پایگاه خبری راه پرداخت دارای مجوز به شماره ۷۴۵۷۲ از وزارت فرهنگ و ارشاد اسلامی و بخشی از «شبکه عصر تراکنش» است. راه پرداخت فعالیت خود را از دوم اردیبهشت‌ماه ۱۳۹۰ شروع کرده و اکنون پرمخاطب‌ترین رسانه ایران در زمینه فناوری‌های مالی، بانکداری و پرداخت و استارت‌آپ‌های فین‌تک است.
حمید سلامت، کارشناس امنیت شرکت گسترش فناوری‌های نوین/ با ظهور فناوری‌های نوین، فضای برخط و اینترنت و نیز کم‌رنگ‌شدن و ازبین‌رفتن مرزهای سازمانی به‌ویژه در سال‌های اخیر، امنیت و حفاظت از داده‌ها، منابع و ارائه خدمات در فضای برخط ممکن نیست؛ مگر با شناسایی موجودیت‌ها و احراز هویت آنها. همین امر منجر به این شد که هویت دیجیتال و مدیریت هویت و دسترسی در فضای دیجیتال به یکی از سازه بلوک‌های اصلی در حوزه بانکداری دیجیتال و خدمات مبتنی بر فناوری‌های دیجیتال تبدیل شود.
افزایش جرائمی نظیر سرقت هویت و جعل هویت در فضای اینترنت و سوءاستفاده از هویتهای به‌سرقت‌رفته باعث شده نقش مدیریت هویت دیجیتال در امنیت سایبری، که به یکی از ارکان اصلی امنیت در صنایع مالی و بانکی تبدیل شده، بسیار پررنگ شود و بانکهای مختلف را به سمت مدیریت هویتهای دیجیتال هدایت کرده است. با توجه به اینکه خدمات و داده‌های مالی و بانکی از حساس‌ترین و مهم‌ترین داده‌های هر شخص و شرکتی هستند و دسترسی به این داده‌ها و خدمات نیازمند احراز هویت درست و قوی افراد متقاضی است، نقش هویت دیجیتال در ایجاد یک اکوسیستم بانکی امن، سالم و قابل اعتماد مورد تأکید بانکهای پیشرو جهان بوده و بسیاری از راهکارهای هویتی در خدمت صنایع مالی بوده است.
هویت دیجیتال چیست؟
هویت دیجیتال مجموعه‌ای از داده‌ها و خصیصه‌های دیجیتال و نمایانگر یک موجودیت در فضای دیجیتال است. اطلاعات هویتی موجودیت‌ها معمولاً در اعتبارنامههای سختافزاری یا نرمافزاری ثبت میشوند تا در فرایند احراز هویت به کار گرفته شوند. اعتبارنامه یک شیء دادهای است که توسط ارائه‌دهنده اعتبارنامه ایجاد شده و بیانگر مجازبودن، نقش‌ها، حقوق، دسترسی‌های ممتاز و دیگر خصیصه‌های دارنده آن اعتبارنامه است. از جمله رسانههایی که برای اعتبارنامههای بانکی استفاده میشوند می‌توان به کارتهای ATM، توکنهای سختافزاری و اعتبارنامههای مورد استفاده در اپلیکیشنهای موبایل اشاره کرد.
مدیریت هویت و مدیریت دسترسی ابتدا دو مفهوم و دو عرصه جدا از هم بودند که به‌صورت مجزا مدیریت میشدند. اما با توجه به اینکه این دو مفهوم درهمتنیده بوده و به یکدیگر وابستگی و نیازمندی دارند، به مفهومی واحد تبدیل شدند و مفهوم مدیریت هویت و دسترسی شکل گرفت. مدیریت هویت و دسترسی مجموعه‌ای از ابزارها، سیاستها، فناوریها و سیستم‌هایی است که سازمانها از آنها برای ایمنسازی دسترسی به خدمات، منابع و داده‌های محافظت‌شده خود استفاده مي‌کنند.
معماری مرجع برای مدیریت هویت و دسترسی
معماری مرجع پیشنهادی برای مدیریت هویت و دسترسی، مطابق شکل زیر است که از پنج مؤلفه اصلی مدیریت هویت، مدیریت اعتبارنامه، مدیریت دسترسی، حاکمیت و همپیمانسازی تشکیل شده است. این معماری مرجع از مقایسه و برآیند معماریهای مرجع موجود برای مدیریت هویت و دسترسی طراحی شده و برخلاف رویکرد لایهای در آنها، رویکرد دوار-لایهای در آن دیده شده تا پویایی درون آن و تعامل همه مؤلفهها با یکدیگر نیز مصور شود.
بانکها از دیرباز از پیشگامان به‌کارگیری مفاهیم و روش‌های احراز هویت بودهاند. در عصر اقتصاد دیجیتال و با فراگیرشدن خدمات دیجیتال و به‌تبع آن احراز هویت دیجیتال، بانکها از پیشروان این حوزه بودند. در ایران نیز با فراگیری بانکداری دیجیتال و خدمات اینترنتی و موبایلی، روش‌های احراز هویت دیجیتال در بانکها به کار گرفته شد. در دوران کرونا و پساکرونا رشد و ارتقای چشمگیری در این زمینه ایجاد شد و شرکتهای مختلفی در حوزه احراز هویت دیجیتال و احراز هویت غیرحضوری پدید آمدند و امروز شاهد آن هستیم که احراز هویت، KYC و افتتاح حساب افراد به‌صورت کاملاً دیجیتال و غیرحضوری انجام میشود. پیشبینی میشود با گسترش بلاکچین در سال‌های آتی، راهکارهای هویتی مبتنی بر بلاکچین نیز جایگاه ویژهای داشته باشد.
فرایندها و نیازمندیهای مدیریت هویت و دسترسی
با توجه به معماری مرجع مدیریت هویت و دسترسی، پنج دسته فرایند را برای آن می‌توان در نظر گرفت:
- فرایندهای مدیریت دسترسی: این فرایندها به افراد مجاز اجازه دسترسی به سیستمها و داده‌های متناسب را میدهد و مشخص می‌کند که شخص، مجوز معتبر برای دسترسی یا تغییر چه داده‌ها و اطلاعاتی را دارد. در مدیریت دسترسی، حقوق متناسب با هر یک از موجودیت‌ها تبیین میشود. حقوق دسترسی مجموعه تمام مؤلفه‌های دادهای و خدمات است که در صورت احراز هویت کاربر در اختیار او قرار میگیرد. برای مثال یک کارمند شعبه، یک مدیر بازاریابی و یک مشتری ویژه به چه اطلاعاتی می‌توانند دسترسی داشته باشند. دو فرایند اصلی در این دسته عبارت‌اند از:
- 1. احراز هویت: دسترسی کاربران را تأیید می‌کند. وقتی کاربری می‌خواهد به سیستم متصل شود باید سیستم او را شناسایی کند. رمزهای عبور یکی از این روشهاست. روش‌های پیچیدهتر میتواند پاسخ‌دادن به سؤالات، استفاده از اثرانگشت یا توکن امنیتی (Security Token) باشد.
- 2. مجوزدهی: به اشخاص بر اساس نقشی که در سازمان دارند مجوز دسترسی داده میشود. هر بار که کاربر به سیستم متصل میشود، سیستم کنترل دسترسی، مجوزها و حقوق او را بررسی می‌کند تا درستی دسترسیها قابل بررسی باشد. برای مثال در بانکداری شرکتی، مجوزدهی تعیین می‌کند چه کسانی حق ایجاد تراکنش دارند و چه کسانی باید امضا و تأیید کنند و چه کسانی باید از تراکنش مطلع شوند.
- مدیریت هویت: فرایندهایی هستند که برای چرخه حیات موجودیت‌ها و هویت تعریف، ایجاد و نگهداری می‌کنند. در نظام بانکی، نقطه شروع ایجاد هویت افراد، معمولاً با درخواست افتتاح حساب و KYC آغاز میشود. ضمن اینکه با درگذشت فرد، هویت او تعلیق و حسابش مسدود میشود.
- مدیریت اعتبارنامه: فرایندهایی هستند که برای هویت موجودیت‌ها، رسانه هویتی (سختافزاری یا نرمافزاری) متناسب را ایجاد و از آن در طول چرخه حیات نگهداری می‌کنند. برای مثال کارتهای بانکی افراد، رسانه هویتی اشخاص و حسابهای مرتبط با آنها هستند که چرخه عمر اعتبارنامههای آنها برابر تاریخ انقضای کارت است. همچنین در صورت مفقودشدن کارت لازم است اعتبارنامهها بازنشانی و تجدید شوند.
- فرایندهای حکمرانی و ممیزی: این فرایندها مباحث حاکمیتی اکوسیستم هویت دیجیتال را جاری می‌کنند. برای مثال در ممیزی، برای تضمین پیروی از قوانین و تبعیت از سیاستهای شرکت، اقدامات امنیتی و فعالیت‌های کاربران بازبینی میشود. کارشناسان امنیت اطلاعات با استفاده از فناوری‌های دادهای و تحلیل داده، لیست عملیات (Logs) و مستندات را تحلیل و بازبینی کرده و نتیجه این ممیزیها را به‌صورت دورهای منتشر می‌کنند. در نظام بانکی به‌کارگیری درست نظامها و سیستمهای هوشمند داده‌محور حکمرانی هویت دیجیتال، نقش بسیار مؤثری در مسائل حاکمیتی نظیر مبارزه با پول‌شویی ایفا خواهند کرد.
- مدیریت همپیمانی: این فرایندها رویکرد اکوسیستمی هویت دیجیتال را میسر می‌کنند. بدین ترتیب که با ایجاد اکوسیستمی از فراهمکنندگان خدمت و فراهمکنندگان هویت برمبنای اعتماد، امکان تبادل اعتبارنامههای هویتی و احراز هویت به‌صورت بخش ثالث را برقرار میسازند. در شبکه بانکی ایران، سامانه شتاب نمونهای از یک همپیمانی موفق است که بانکها را قادر میسازد مشتریان سایر بانکها را احراز هویت کرده و به آنها خدمات ارائه دهند.
نظارت بر احراز هویت و رفتارهای دسترسی کاربران
با نظارت بر رفتارهای کاربران هنگام دسترسی به خدمات، داده‌ها و اطلاعات، می‌توان تراکنشهای غیرعادی، پیش‌بینی‌نشده و مشکوک را شناسایی کرد. سیاستهای نظارتی شامل مواردی که باید تحت کنترل و پایش قرار گیرند، مدت زمان پایش و نیز اقدامات لازم در صورت مشاهده فعالیت‌های مشکوک باید از پیش تعریف شود.
ممکن است نظارت محدود به داده‌های خاص، کاربران یا نقشهای خاص باشد. همچنین میتواند در محدوده یک یا چند سیستم اجرا شود. علاوه بر این میتواند وابسته به رفتارهای خاص نظیر دانلود حجم زیاد داده یا دسترسی به داده‌ها در ساعات غیراداری باشد.
با گسترش فناوری‌های کلان‌داده و تحلیل داده، نظارت هوشمند و خودکار جایگزین روش‌های سنتی شده تا نظارت بر عملیات بانکی به شکل آنی، بلادرنگ و هوشمند باشد. نبود نظارت خودکار ریسکهایی را به دنبال دارد:
- ریسک‌های قانونی: چنانچه سازمانی فاقد سازوکار مناسب برای نظارت باشد، احتمال نقض قوانین و مقررات را افزایش میدهد.
- تشخیص و بازیابی ریسک: سازوکارهای ممیزی آخرین خط دفاع هستند و می‌توانند منشا انجام عملیات مخرب را تشخیص دهند. همچنین می‌توان از آن برای بهبود سیستم استفاده کرد.
- تفکیک وظایف عادی و ممیزی: کاربرانی که اجازه دسترسی مدیر دارند، چه این دسترسی قانونی باشد و چه غیرقانونی، می‌توانند ممیزی را غیرفعال کنند تا از طریق آن فعالیت‌های مخربی را که انجام میدهند پنهان کنند. تیم ممیزی بهتر است مجزا از تیم اجرایی نظیر مدیران پایگاه داده و سرورها باشد.
- ریسک عدم کفایت ابزارهای پیش‌فرض: معمولاً سیستمهای پایگاه داده تجاری ابزارهای متعددی جهت وارسی و پایش امنیتی پایگاه داده ارائه میدهند. اما در برخی موارد این ابزارها با کاستیهایی همراه هستند. برای مثال، وقتی کاربران از طریق برنامههای کاربردی تحت وب به پایگاه داده دسترسی پیدا می‌کنند، هویت آنها در پایگاه داده مخفی میماند و پایگاه داده همه فعالیت‌های آنها را به نام کاربری برنامه میشناسد؛ بنابراین درصورتی‌که یکی از کاربران تخلفی مرتکب شود، هویتش قابل شناسایی نخواهد بود.
کاربردهای هویت دیجیتال
به‌صورت کلی هویت دیجیتال دو کاربرد اصلی دارد: تأمین امنیت و ارائه خدمت. برای تأمین امنیت در فضای بانکداری دیجیتال ضروری است موجودیتهای حاضر در این فضا شناسایی و احراز هویت شوند تا دسترسی درست و خدمات مناسب در اختیار آنها قرار گیرد و از فعالیت‌های غیرمجاز آنها جلوگیری شود. از سوی دیگر، ارائه خدمات مختص هر فرد، تنها با احراز هویت درست او امکانپذیر میشود و احراز هویت کلید دروازه ارائه خدمات است. ضمن اینکه تحلیلهای داده‌محور بخشهای مربوط به مشتریان (نظیر CRM) و بخشهای بازاریابی و توسعه محصول (علی‌الخصوص سفارشیسازی و شخصیسازی محصول) وابسته به این است که هویت افراد قابل تشخیص و تمیز باشد تا از طریق شناسایی ارتباطات، تفاوتها و شباهتهای مشتریان مختلف بتوان محصولات هدفمند و متناسب با هر مشتری (یا دسته مشتریان) را طراحی کرده و توسعه داد. اگر هویت هر یک از فیلدهای داده قابل تمیز نباشد و نتوان مشخص کرد چه دادههایی متعلق به کدام مشتری است، در این صورت داده‌ها بلااستفاده خواهند بود.