مرکز ملی فضای مجازی نتایج نخستین دوره رتبه‌بندی جامع امنیت سایبری شبکه بانکی کشور را در نشستی با حضور مدیران‌عامل و اعضای هیئت‌مدیره بانک‌ها ابلاغ کرده است. این رتبه‌بندی در چارچوب اجرای «سند ارتقای امنیت سایبری» مصوب سال ۱۴۰۴ شورای عالی فضای مجازی انجام شده و هدف آن، ارزیابی آمادگی عملیاتی بانک‌ها در برابر حملات سایبری و تداوم ارائه خدمات در زمان بحران است.
محسن پاشا، قائم‌مقام و معاون امنیت مرکز ملی فضای مجازی در یادداشتی از رتبه‌بندی امنیت سایبری بانک‌ها خبر داد و رویکرد این ارزیابی را فراتر از بررسی تجهیزات و سامانه‌های امنیتی بانک‌ها و بر توان واقعی آنها در پیشگیری از حملات، شناسایی زودهنگام تهدیدها، مهار رخدادها و بازیابی خدمات عنوان کرد.
چه شاخص‌هایی در رتبه‌بندی امنیت سایبری بانک‌ها اهمیت دارند؟
در چارچوب تشریح‌شده برای این رتبه‌بندی، ارزیابی امنیت سایبری بانک‌ها باید مجموعه‌ای از شاخص‌های مدیریتی، فنی و عملیاتی را دربرگیرد؛ از شناسایی دارایی‌های حیاتی و حفاظت از داده‌های مشتریان تا مدیریت ریسک، آمادگی نیروی انسانی، پاسخ به رخدادهای امنیتی و استمرار خدمات بانکی.
یکی از محورهای اصلی، بررسی توان بانک‌ها در شناسایی رفتارهای مشکوک پیش از تبدیل‌شدن آنها به بحران است. همچنین برنامه‌های واکنش به حملات و بازیابی خدمات باید به‌صورت عملیاتی و مبتنی بر سناریوهای مشخص آزمایش شوند. بر این اساس، داشتن تجهیزات امنیتی پیشرفته به‌تنهایی معیار کافی برای ارزیابی امنیت یک بانک محسوب نمی‌شود.
در این چارچوب، پرسش‌های اساسی مدیران و ارزیابان نباید معطوف به تعداد ابزارهای خریداری‌شده باشد، بلکه باید به موارد زیر پاسخ دهد:
- آیا بانک شناخت دقیق و به‌روزی از دارایی‌های حیاتی و داده‌های حساس خود دارد؟
- آیا مسئولیت‌ها و پاسخگویی در قبال امنیت سایبری در بالاترین سطح، یعنی هیئت‌مدیره و مدیران ارشد، تعریف و رصد می‌شود؟
- آیا توان کشف زودهنگام رفتارهای مشکوک و رخدادهای امنیتی در شبکه بانکی وجود دارد؟
- آیا برنامه‌های واکنش به رخداد و تداوم خدمات به‌صورت میدانی و سناریومحور آزموده شده‌اند
- آیا بانک قادر است در کوتاه‌ترین زمان ممکن پس از یک حمله یا اختلال، خدمات حیاتی خود را بازیابی کند؟
- آیا ریسک‌های ناشی از فعالیت پیمانکاران، شرکت‌های فناوری وابسته و ارائه‌دهندگان خدمات مشترک به دقت مدیریت می‌شوند؟
- آیا درس‌آموخته‌های رخدادهای گذشته به بازمهندسی فرآیندها و کنترل‌ها منجر شده است.
پاسخ به این پرسش‌هاست که عیار واقعی تاب‌آوری سایبری بانک‌ها را نمایان می‌سازد؛ تصویری که هرگز با تکیه بر میزان هزینه‌کرد ظاهری یا حجم تجهیزات انبارشده قابل ترسیم نیست.
از اعلام رتبه تا اجرای برنامه اصلاحی
در الگوی مطرح‌شده، رتبه‌بندی باید به شناسایی نقاط ضعف و تدوین برنامه اصلاحی برای هر بانک منجر شود. اولویت‌بندی سرمایه‌گذاری‌های امنیتی نیز باید بر اساس میزان ریسک دارایی‌ها و سناریوهای تهدید انجام گیرد، نه صرفاً افزایش هزینه خرید تجهیزات.
برای اعتبار این فرایند، شفافیت شاخص‌های ارزیابی، متناسب‌بودن معیارها با اندازه و منابع بانک‌ها و امکان اعتراض و بازبینی نتایج ضروری دانسته شده است. همچنین انتشار اطلاعات رتبه‌بندی باید به‌گونه‌ای انجام شود که جزئیات آسیب‌پذیری‌های امنیتی بانک‌ها در اختیار مهاجمان قرار نگیرد.
مسئولیت امنیت سایبری از واحد فناوری اطلاعات فراتر می‌رود
یکی دیگر از محورهای این چارچوب، مسئولیت مستقیم هیئت‌مدیره و مدیران ارشد بانک‌ها در قبال امنیت سایبری است. بر این اساس، شاخص‌هایی مانند سرعت شناسایی و مهار حملات، کیفیت برنامه‌های بازیابی، حفاظت از داده‌های مشتریان و اجرای اقدامات اصلاحی باید در ارزیابی عملکرد مدیران بانکی نیز مورد توجه قرار گیرند.
موضوع امنیت زنجیره تأمین نیز بخشی از این ارزیابی است. وابستگی چند بانک به یک شرکت فناوری، سامانه نرم‌افزاری یا زیرساخت ارتباطی مشترک می‌تواند باعث گسترش پیامدهای یک رخداد سایبری در شبکه بانکی و پرداخت شود. ازاین‌رو، مدیریت ریسک پیمانکاران و تبادل امن اطلاعات تهدیدها نیز از الزامات مطرح‌شده برای ارتقای تاب‌آوری بانک‌هاست.
حرکت به سمت دفاع پیش‌دستانه
هدف نهایی این رویکرد، حرکت از نظارت‌های مقطعی و واکنش پس از وقوع حادثه به پایش مستمر تهدیدها و دفاع پیش‌دستانه است؛ به‌گونه‌ای که بانک‌ها بتوانند آسیب‌پذیری‌ها را پیش از وقوع حمله شناسایی و برطرف کنند و در صورت بروز اختلال، خدمات حیاتی را در کوتاه‌ترین زمان ممکن بازیابی کنند.
لازم به ذکر است، با وجود ابلاغ نتایج نخستین رتبه‌بندی، هنوز جزئیاتی درباره روش امتیازدهی، تعداد بانک‌های بررسی‌شده، فاصله زمانی ارزیابی‌های بعدی و مهلت اجرای برنامه‌های اصلاحی در اطلاعات منتشرشده مشخص نشده است.
