نهادهای دخیل در ایمن سازی فضای بانکداری مجازی

به گزارش پایگاه خبری بانکداری الکترونیک ایجاد امنیت اطلاعات در توسعه بانکداری الکترونیک از ابعاد مختلف، قابل بحث و بررسی و از اهمیت و جایگاه خاصی نیز برخوردار است. یکی از نکات اساسی در این خصوص عبارتست از شناسائی کلیه نهادهائی که در زمینه تاثیرگذار بوده و اینکه چه تاثیر دارند.محور مصاحبه با آقای مهندس علی چهارلنگی، مدیر امور فناوری اطلاعات بانک تجارت در این خصوص و موضوعات مربوط به آن است.متن این مصاحبه را در ادامه می خوانید.

**************************************

در حوزه بانکداری الکترونیکی از دیدگاه قضایی ، تمرکز جرم خیزی بیشتر در چه نقاطی از این حوزه بوده و اصلی ترین کانالهای جرم کدامند؟ مهمترین روشهای پیشگیری از این جرایم چیست؟ و اینکه نقش نهادهای مختلف ازجمله قوه قضاییه و پلیس فتا در این خصوص را چگونه ارزیابی می نمائید؟

در اوایل دهه 80 پیش در ماموریتی جهت بررسی سیستم های قضایی خارج از کشور، به مواردی از پیشگیری از جرایم در کشورهای آلمان و فرانسه برخورد کرده که نتایج حاصل طی گزارشی تنظیم و رئیس محترم وقت قوه قضائیه تقدیم گردید. موارد مهم درخصوص این گزارش عبارت بودند از:

• این گزارش در حوزه پیشگیری از جرایم، مفید و کاربردی شناخته شد.
• دراین گزارش به بستر و زیرساخت الکترونیکی جهت استعلام آنی و ارائه به موقع اطلاعات مورد نیاز و نقش آن در پیشگیری از جرایم اشاره شده بود.
• در راستای بند 2 به موارد احتمالی جرم آفرینی هم، در بستر الکترونیک اشاره گردیده بود.
• به کارتهای الکترونیکی و نقش آنها در کاهش جرایم در حوزه پولی و بانکی پرداخته شده بود هرچند که آن زمان هنوز این فناوری در سطح کشور ما رایج نبود اما تبعات مفید این فناوری در کاهش جرایم، به خوبی ارزیابی و مطرح شده بود.
• بهره گیری از آمار دقیق جرائم که برگرفته از اطلاعات دریافتی در این خصوص بوده و زمینه را برای روند یابی جرائم جهت برنامه ریزی و مطالعات آینده بمنظور برنامه ریزی برای کاهش جرائم فراهم می سازد.

چه شاخص مهمی در این گزارش بود که از دیدگاه بومی سازی ، نقش تولید الگو را ایفا می کرد؟

 نکته اساسی در این گزارش عبارت بود از اینکه:"وجود یک مرکز داده منسجم و دارای قدرت سرویس دهی مناسب در پاسخ به استعلامها و درخواستهای اطلاعات، یک آرزوی دیرینه و مهمترین عامل پیشگیری از جرایم است".به عنوان نمونه در این گزارش به بررسیها درخصوص دوکشور فرانسه و کانادا اشاره شده بود:درخصوص کشور فرانسه به دادگستری و سیستم ذخیره سازی متمرکز اطلاعات قضایی آن اشاره شده بود که از 60 سال قبل ایجاد تاسیس چنین مرکزی را آغاز کرده بودند.مورد جالب توجه درخصوص کشور کانادا، وجود پرونده هایی بود که از ثبت اطلاعات آنها روی پوست درخت و آهو گرفته تا اسناد اسکن شده را شامل می گردید.نکته جالب درخصوص این دوکشور، بهره گیری تام آن ها از اطلاعات مرکز داده متمرکز بود.

به نظر شما آیا صرفاً وجود یک مرکز داده با حجم داده های بسیار زیاد جهت پیشگیری و کاهش جرایم کفایت می کند؟

از دیدگاه کارشناسان جرم و جنایت، وجود یک مرکز داده با حجم بالای داده ها الزامی بوده ولی کافی نیست این کفایت مربوط به آن است که آیا از این داده ها در زمان به موقع و در قالب مناسب بهره گیری می گردد یا خیر؟

نتایج آن سفر حاکی از این بود که یکبار ذخیره سازی داده ها و میلیونها بار بهره گیری از آن ها انجام میگردید درحالی که بدون وجود یک مرکز داده اصلی، این فرآیند معکوس می گردد به عبارتی میلیونها بار ذخیره سازی داده و دریغ از یکبار بهره گیری به موقع و در قالب مناسب.

نقش چنین مرکز داده ای درحوزه بانکداری الکترونیکی را به عنوان مثال درخصوص جلوگیری از پولشویی، افزایش ضریب اطمینان به نتایج اعتبار سنجی، به عنوان موارد هم پوشانی بانکداری و قوه قضاییه چگونه ارزیابی می کنید؟

درخصوص عدم تمرکز داده ایی در کشور که به آن می توان مجمع الجزایر داده ایی اطلاق نمود مهمترین عارضه عدم بهره گیری از داده ها به دلیل عدم دسترسی به آنهاست که این موضوع درحوزه بانکداری الکترونیک هم مشهود است دراین مورد می توان به کد ملی در سطح سازمان ثبت احوال از یک سو و وابسته نمودن حسابهای بانکی به یک چنین کلید اطلاعاتی اشاره نمود، نکته حائز اهمیت دیگر آنست که مشکل اساسی دراین خصوص مربوط به هیچ سازمان بانکی نبوده بلکه مربوط به حوزه IT درکشور طی چند سال گذشته بوده است.

از نظر شما گام اول جهت ورود به نقطه ایده آل چیست؟

در یک نگاه سیستمی در وضعیت ورود به نقطه ایده آل، چند مشکل اساسی وجود دارد که باید حل شوند این مشکلات عبارتند از:

• عدم تعامل کامل دوطرفه بانک مرکزی و بانک ها علیرغم فعالیت های بسیار زیاد هر دو گروه در این زمینه
• اتخاذ تصمیم در آخرین دقایق یا اصطلاحاً تصمیم گیری در دقیقه 90
• عدم متولی مشخص دراین خصوص جهت برنامه ریزی و ضمانت اجرای برنامه های مصوب
• عدم تحقق برآیند کار در حد کافی علی رغم وجود نیروهای بسیار توانمند در سطح کشور.

نقطه نظر شما به عنوان یک فرد دارای سابقه فعالیت در حوزه قضایی، درخصوص امنیت در بانکداری الکترونیکی چیست؟

در وهله اول بایستی توجه داشت که مقوله امنیت از ذاتی انعطاف پذیر و نسبی برخوردار بوده و بایستی همواره با نگرش پویا و راهکارهایی انعطاف پذیر با آن برخورد نمود.

در وهله دوم دقت کنید که امنیت از بافتی اجتماعی برخوردار بوده و درحوزهIT  هم از چنین بافتی برخوردار است و نکته جالب آنکه این مقوله همسان سایر فناوریها رشد نکرده و از این رو نیازمند تمرکز بودجه ایی و برنامه ای از یک سو و سرمایه گذاری به موقع و در حجم بالا از سوی دیگر  می باشد این موضوع در حیطهIT  و به ویژه در حوزه مخابرات از الزام بیشتری برخوردار است.

در وهله سوم شناخت درخصوص ساختار امنیت است که همواره صحنه کارزار دوگروه بوده آنهایی که همواره وظیفه دفاع و محافظت از حیات سیستم، منابع و دارائیها را به عهده دارند و آنهایی که همواره در پی نابودی سیستم، ضربه زدن به منابع و غارت دارائیها هستند. همانطور که می دانید  در حوزه IT به گروه اول، گروه امنیت الکترونیکی و ضد هکر اطلاق شده و به گروه دوم، گروه هکرها یا نفوذگران گفته می شود و به فناوری مربوط به این دوگروه هک و آنتی هک اطلاق می شود و در آخرین  اینکه توجه به این نکته حائز اهمیت است که امنیت به عنوان واژه معادل Security، یک مقوله جهانی است نه محلی.

اگر اینترنت داخلی ایجاد شود آیا بازهم مشکل خواهیم داشت؟

اینترنت داخلی صرفاً زمانی می تواند موثر باشدکه:

• بهره گیری از ابزار قدرتمند تولید اینترنت داخلی در زمان ایجاد آن با مطالعات غنی کارشناسی صورت پذیرد
• بررسی، تحلیل و یافتن مشخصه های بستر مخابراتی امن و کارآ و به کارگیری این بستر انجام گردد
• در نظر گرفتن تمامی مسائل و موضوعات امنیتی در قالب یک مدل ملی و فراگیر و درعین حال جزیی نگر و کاربردی.

همانطور که جنابعالی اطلاع دارید شورایی در سطح عالی برروی چالش های امنیتی از گذشته تا کنون در حال مطالعه و بررسی بوده اند اگر این شورای عالی به بانکها اعلام کند که روزنه های نفوذ را ببندند چه عواقبی خواهدداشت؟

در این خصوص من به ترکیبی از نمایندگان سه قوه اشاره میکنم که به عنوان یک شورای عالی برروی دو موضوع بنیادی مطالعه و بررسی می کردند این دو موضوع بنیادی عبارت بودند از:

• ISMS یا سیستم مدیریت امنیت اطلاعات
• استاندارد رایج و مورد نیاز در این خصوص

از مجموعه دستاوردهای آن زمان می توان به دستور العمل های صادره از نهاد ریاست جمهوری و نیز مصوبات ابلاغی محلی مجلس به هیات دولت اشاره نمود و نتیجه نهایی آنکه بایستی توجه داشت همواره حتی در عالی ترین شرایط تامین امنیت بازهم ضریبی از عدم امنیت و آسیب پذیری وجود دارد.

در خصوص ایجاد سامانه بانکداری متمرکز بانکها در سطح ملی، تابحال در کشور تجربه ای صورت نگرفته نظر به ضرورت چنین امری، تشکیل گروهی خبره در این خصوص را چگونه ارزیابی می کنید؟

توجه کنید که چنین تجربه ای در سطوح مختلف در برخی از شرکت های ایرانی فعال در این حوزه وجود دارد. قدر مسلم وجود مرکزی جهت طراحی نظام بانکداری متمرکز در سطح ملی، نه تنها امری مفید، بلکه ضرورتی اجتناب ناپذیر است چرا که این موضوع از چند منظر، کاملاً حیاتی و الزامی است:

• از جنبه های پیاده سازی سیاستهای کلان صنعت بانکداری کشور و تمرکز حاکمیتی در این خصوص
• حل مهمترین معضل بانکها یا بعبارتی رفع نیاز اساسی بانکها جهت تبادل اطلاعات مالی و غیر مالی با یکدیگر
• اجتناب و پیشگیری از جرائم پولی و بانکی نظیر پول شوئی و عدم کنترل اعتبارسنجی و نظایر اینها

آیا می توان گفت که عدم شکل گیری نظام متمرکز بانکی در سطح ملی و یا حتی برخی از بانکها، به علت عدم وجود ساختار رقابتی بین شرکتها بوده است؟

وجود رقابت آنهم از نوع رقابت سالم، از جمله عوامل ضروری رشد صنعت بانکی کشور بوده که از یک سو بین بانکها و از سوی دیگر بین شرکتهای فعال در حوزه صنعت و خدمات بانکی می بایستی برقرار گردد و در این راستا مهمترین فعالیتها عبارتند از:

• حمایت عمده از محصولات داخلی
• پشتیبانی و هدایت توانمندی های داخلی
• گسترش رقابت سالم

قطعاً برخورداری از زیرساخت مخابراتی برای بانکها با دو مشخصه اساسی امنیت داده ای و پهنای باند وسیع، بسیار حیاتی بوده و این ضرورت خود را در دو بخش بانکداری الکترونیکی و خدمات نوین بانکی کاملاً بدیهی نشان میدهد در این راستا ارزیابی شما چیست؟ و معمولاً نیازهای خود را به بهره گیری از بستر مخابراتی امن و با پهنای باند مناسب، از کجا تامین می نمائید؟

در خصوص سوال اول، من هم معتقدم که وابستگی بانکها به بستر مخابراتی امن و با پهنای باند وسیع، کاملاً بدیهی است اما در خصوص سوال دوم توجه به چند نکته ضروریست:

• نکته اول آنکه در بهره گیری از خدمات مخابراتی، همواره ما از نقطه نظرات و پیشنهادات مخابرات بهره گرفته ایم و این بدلیل جایگاه قانونی و فنی مخابرات در این خصوص است.
• نکته دوم آنکه در حوزه مخابرات بدون شک پیشرفت های بسیاری صورت گرفته هر چند که این پیشرفت ها صرفاً کمیتی بوده و امیدوارم که به لحاظ کیفیتی نیز چنین پیشرفتهایی تحقق یابد.
• نکته سوم آنکه پیشرفت کیفیتی در حوزه زیرساخت مخابراتی بدلیل ماهیت استراتژیک آن، از بافتی دراز مدت برخوردار بوده و مستلزم برنامه ریزی میان مدت و یا حتی در برخی از موارد بلند مدت می باشد.
• نکته آخر آنکه پیشرفت کیفیتی در این حوزه بسیار هزینه بر است در این خصوص می توان به توسعه فیبر نوری در سطح کشور اشاره نمود که از سه مشخصه اساسی برخوردار است:
  • مشخصه اول: نیازمند بررسی های فنی و فوق تخصصی در حوزه توسعه فیبر نوری
  • مشخصه دوم: نیازمند برنامه ریزی استراتژیک حداقل میان مدت در این خصوص
  • مشخصه سوم: نیازمند سرمایه گذاری کلان
  • مشخصه چهارم: نیازمند زمان بالای انجام کار

اغلب بر این اعتقادند که مخابرات کشوری طی 5 سال گذشته شاهد رشد چشمگیری در حوزه زیرساخت بوده است نظر شما در این خصوص چیست؟

مسلماً همینطور است و نمی توان پیشرفت مخابراتی در حوزه زیرساخت را نادیده گرفت اما به منظور سنجش هر چه بهتر و واقعی تر اینگونه پیشرفت ها، می بایستی مقادیر شاخص های رشد در این حوزه را با مقادیر شاخص های رشد در سطح جهان مورد بررسی تطبیقی قرار داد تا به نتایج قابل اطمینان در برنامه ریزی های آینده دست یافت.

توجه کنید که قبلاً شاخص رشد اقتصادی و توسعه یافتگی کشورها به حوزه هایی چون فولاد و سایر صنایع سنگین مربوط میگردید اما امروزه مهمترین شاخص های رشد اقتصادی و توسعه یافتگی کشورها به شاخص های رشد در حوزه IT و بویژه زیر ساخت مخابراتی مربوط می گردد که به طور نمونه می توان به شاخص سرعت اینترنت اشاره نمود.

موضوع دیگر در این خصوص به نحوه بهره گیری ما از بستر مخابراتی مربوط میگردد که در تمامی موارد به شرکت های دارای مجوز مخابراتی از مخابرات کشوری نظیر شرکتهای دارنده مجوز خدمات وایمکس از سازمان تنظیم مقررات محدود می گردد یا بطور مثال بحث ویست (VSAT) که از طرف مخابرات سرویس دهی نمی گردد و جهت برخورداری از آن می بایستی طی مناقصه محدود بین شرکتهای دارنده مجوز ارائه خدمات ویست (VSAT) از سوی سازمان تنظیم مقررات اقدام گردد. نکته بسیار جالب در حوزه زیرساخت مخابراتی آنست که اهمیت این زیرساخت آنگاه در حوزه بانکی مشخص می گردد که بدانیم رقابت سالم بین بانکها تا حد بسیار وسیعی وابسته به این زیرساخت تعریف و ممکن میگردد، بطور نمونه ارائه خدمات نوین بانکی با بهره گیری از این زیرساخت و نیز ارائه سرویس ها و خدمات مخابراتی بطور رایگان یا با هزینه اندک به مشتریان.

گرچه تبادل اطلاعاتی و پردازش آن ها در درون بانک ها در وضعیت مناسبی قرار دارد اما تبادل اطلاعات بین بانکها است که از اهمیت ویژه ای برخوردار می باشد نظر شما در این خصوص چیست؟

در خصوص ارتباط با سایر بانکها، بویژه از سوی بانک مرکزی و وزارت اقتصاد و دارایی باید بگویم که هر گونه داده و یا اطلاعاتی که این دو سازمان از مشتریان بخواهند در کوتاهترین زمان ممکن در اختیارشان قرار می دهیم و در خصوص ارتباط داده ایی با سایر بانکها نیز اقداماتی در دست انجام است. تحقق ارتباط بین بانکها تا حد وسیعی وابسته به تحقق نظام یکپارچه بانکی کشور بوده که تحت قالب دولت الکترونیک شکل گیری می شود.با توجه به تجربه اینجانب با شرکتهای خارجی در حوزه ارتباطات داده ایی می بایستی دو موضوع را یادآور شوم:موضوع اول اینکه متد کاری آنها در حوزه ارتباطات داده ایی بسیار پیچیده استموضوع دوم آنکه اینگونه ارتباطات داده ای توسط شخص ثالث و ارگانی مستقل انجام می گردد که برقراری پل های ارتباطی در این خصوص را به عهده دارد.

منبع:فصل نامه تازه های اقتصاد، ویژه نامهاولین همایش بانکداری الکترونیک و نظام های پرداخت

گفتگو از محمود فراهانی