در مسئله هک حساب کاربری سه میلیون مشتری خیانت در امانت اتفاق افتاده که علت اصلی اینگونه اتفاقات در رعایت نکردن برخی استاندارها حین ارائه خدمات است./نفوذپذیری از داخل سازمان بیشتر از بیرون است/بانک مرکزی باید پاسخگو باشد زیرا اینگونه مسایل به عدم نظارت صحیح نهاد ناظر روی شرکت های پرداخت الکترونیک بر می گردد.
عبدالحمید منصوری ،معاون فناوری اطلاعات بانک پارسیان ، در گفتگو با خبرنگار بانکداری الکترونیک با اشاره به اینکه در مسئله هک حساب کاربری سه میلیون مشتری خیانت در امانت اتفاق افتاده، یادآور شد :علت اصلی اینگونه اتفاقات در رعایت نکردن برخی استاندارها حین ارائه خدمات است.
وی با اشاره به فرایند ارائه خدمات پرداخت الکترونیک افزود :به هر حال خدمات دهنده مجبور است برای اجرای فرایند خرید میزانی از اطلاعات کارت را دریافت کند اما محرمانگی این اطلاعات از جمله مسائلی است که می توان با رعایت استاندارهای موجود حفظ شود.
منصوری افزود: یکی از این استاندارها در بحث طراحی و ساخت تا استفاده از نرم افزار است. این فرایند باید توسط چندین بخش سازمان انجام شود در حالی که اکنون در کشور ما در اغلب شرکتها توسط یک بخش و نهایتا دو بخش انجام می شود.
وی افزود: در اغلب کشور ها فرایند مورد اشاره تولید نرم افزار توسط یک گروه، عملیاتی کردن توسط گروه دیگر و استفاده از نرم افزار توسط گروه سوم انجام می شود در این تقسیم بندی یک گروه از همه بخشهای فرایند اطلاع ندارد در نتیجه احتمال خیانت در امانت و سواستفاده از اطلاعات به حداقل می رسد.
این کارشناس بانکداری الکترونیک افزود: در عین حال احتمال خیانت به صفر نمی رسد چرا که هر سه بخش می توانند با هم متحد شوند بنابراین همواره این احتمال هست که در مواقعی شاهد اینگونه اتفاقات باشیم.
وی معتقد است، رعایت آرامش یکی دیگر از ابعاد هنگام وقوع چنین اتفاقتی است.
وی افزود: بانک پارسیان با استخراج حسابهایی که احتمال هک وجود دارد به صاحبان حساب پیامک زد که نسبت به تغییر رمز کارت خود اقدام کنند در حالی که می توانست به تمام دارندگان کارت این پیامک را بفرستد اما به لحاظ کاهش دامنه اضطراب این کار را نکرد.
وی در عین حال خاطر نشان کرد:سرعت در توسعه بانکداری الکترونیک یکی از عللی است که استاندارها رعایت نشود و حتی در مواقعی استاندارهای موجود نیز زیر پا گذاشته شود بنابراین اکنون زمان آن است که روی پیاده سازی استاندارهای حوزه بانکداری مجازی بیشتر تاکید کنیم.
فرایندهای مهندسی نرم افزار باید متحول شود
ابوالفضل غلامرضایی ، کارشناس بانکداری الکترونیک ، در گفتگو با خبرنگار بانکداری الکترونیک ، در تشریح علل اصلی هک حساب کاربری سه میلیون مشتری گفت:این اتفاق باید در ابعاد مختلفی از جمله بحث تکنیکال که با ایجاد امنیت در لایه های مختلف مرتبط است مورد بررسی قرار گیرد.
وی افزود: شبکه بانکی نیازمند امنیت در لایه های مختلف است وآنچه که در شبکه بانکی ما کمتر به آن توجه می شود بحث امنیت در لایه خود نرم افزارهای کاربردی ونحوه ارتباط بین نرم افزارها ومبادلات اطلاعات بین آنهاست.
غلامرضایی خاطر نشان ساخت: به نظر میرسد توجه کمی به امنیت در لایه application ها صورت گرفته است .
به اعتقاد وی این حوزه نیازمند تخصص است وفرایندهای مهندسی نرم افزار باید متحول شود که البته هزینه هایی را برای تولید کنندگان نرم افزار خواهد داشت .
وی افزود: فرایند های امنیتی چندان رعایت نمی شود ودر این زمینه تخصص و دید مدیریتی کمتری بوده است که در نتیجه طی سال های اخیر تخلف در این زمینه بیشتر شده است و افرادی که دانش کافی برای نفوذ دارند ویا هکرها از این ضعف استفاده کرده اند.
این کارشناس بانکداری الکترونیک با اشاره به اینکه به نظر می رسد امنیت هم در لایه افراد توسعه دهنده وهم افراد نگهدارنده اطلاعات که خود بانک ها هستند باید رعایت شود اظهار داشت: وقتی داده ها به صورت امن ذخیره ویا مبادله نمی شود و افرادی که سیستم را راهبری می کنند دقت عمل کافی در رعایت استانداردها در مراکز داده وسرورها ندارند تخلفات افزایش می یابد.
وی با اشاره به اهمیت کاربرد سیستم HSM برای نگهداری کدهای رمزنگاری عنوان کرد : در حال حاضر کم وبیش این سیستم در ایران استفاده می شود اما نه در همه جا بنابراین استفاده از این سیستم برای جلوگیری از دسترسی به رمز کاربرها ضروری است.
غلامرضایی با اشاره به توجه بیشتر روی امنیت تاکید کرد : باید روی سیستم ها و روش های تولید نرم افزار در شرکت های ایرانی بازبینی شود و هزینه هایی که در این زمینه صرف می شود از سمت بازار باید جبران شود.
این کارشناسی بانکداری الکترونیک با بیان اینکه امنیت صد درصد ی وجود ندارد خاطر نشان ساخت: امنیت یک فرایند است و باید به امنیت در لایه های مختلف توجه کرد.
نفوذپذیری از داخل سازمان بیشتر از بیرون است
وی با اشاره به دستورالعمل های موجود در ISMS گفت : یکی از مهمترین این دستورالعمل ها درخصوص پرسنل یک شرکت است که نیازمند رعایت یکسری اصول مهم هستند .
به گفته وی داخل یک سازمان جایی است که نفوذ بسیارزیاد است در حالیکه ما همیشه به فکر هکر های بیرونی هستیم واز ضابطه مند کردن درون سازمان خود غفلت می کنیم وبسیار راحت به افراد دسترسی می دهیم واین امر منجر به نفوذپذیری سیستم از درون می شود.
غلامرضایی عنوان کرد: دو حوزه یکی نفوذپذیری درونی ودیگری استفاده از راه خل های اجتماعی باید مورد توجه قرار گیرد.
وی تصریح کرد: استفاده از کارت مغناطیسی و 4رقمی برای یک ترنزکشن بانکی باید منسوخ وکارت اعتباری وکارت های هوشمند باید جایگزین گردد همچنین از OTP برای رموز کارت استفاده شود.
این کارشناس بانکداری الکترونیک این اتفاق را چندان متوجه نهاد ناظر ندانست ولی در عین حال معتقد است، بانک مرکزی باید دستورالعمل های قابل قبولی ارایه کند وبرای اینگونه تخلفات متناسب با قوانین جرایم سنگینی را اعمال کند.
عدم نظارت صحیح بانک مرکزی
در عین حال یکی از فعالان PSP در گفتگو با خبرنگار بانکداری الکترونیک معتقد است ، در این مساله بانک مرکزی باید پاسخگو باشد زیرا بروز اینگونه اتفاقات در فضای بانکداری الکترونیک به عدم نظارت صحیح بانک مرکزی روی شرکت های پرداخت الکترونیک بر می گردد.
وی معتقد است ، در صورتیکه نهاد ناظر به جای دخالت در اجرا نقش نظارتی خود را ایفا کند و نظارت دقیق روی اجرای قوانین ودستورالعمل ها به خصوص استاداردهای امنیتی داشته باشد بروز این مسایل به حداقل خواهد رسید .
وی اظهار امیدواری کرد که با اجرایی شدن شاپرک وساماندهی وضع موجود نظارت روی شرکت های PSP وچگونگی عملکرد آنها افزایش یابد.
نظر شما چیست؟