فصل بانک - یک کارشناس حوزه پرداخت با اشاره به فرسودگی زیرساخت‌ها، محدودیت دسترسی به فناوری‌های اصلی و چالش‌های امنیت سایبری، تأکید کرد که پایداری خدمات پرداخت به‌تنهایی نشانه امنیت کامل زیرساخت‌ها نیست و نوسازی تجهیزات، دسترسی به پشتیبانی رسمی و تقویت سازوکارهای حفاظتی باید در اولویت قرار گیرد.
تداوم فعالیت شبکه پرداخت در شرایط اختلال‌های فیزیکی، حملات سایبری و محدودیت دسترسی به برخی خدمات فناوری، اهمیت تاب‌آوری زیرساخت‌های مالی را بیش از گذشته نمایان کرده است. با این حال، پایداری شبکه در زمان بحران، تنها یکی از ابعاد آمادگی نظام پرداخت است و نمی‌تواند به‌تنهایی تضمین‌کننده امنیت تجهیزات، نرم‌افزارها و اطلاعات باشد.
محمدرضا روشناس، کارشناس حوزه پرداخت در گفت‌وگو با خبرنگار ایبنا با اشاره به عملکرد زیرساخت‌های پرداخت در دوره‌های اخیر گفت: شبکه پرداخت در شرایط دشوار توانسته است به فعالیت خود ادامه دهد، اما نگرانی اصلی به وضعیت زیرساخت‌ها در سال پیش‌رو بازمی‌گردد؛ چراکه بخشی از سرورها و تجهیزات سخت‌افزاری در حال فرسوده‌شدن هستند و ادامه فعالیت پایدار به نوسازی و جایگزینی آن‌ها نیاز دارد.
فرسودگی زیرساخت‌ها و محدودیت دسترسی به فناوری
این کارشناس حوزه پرداخت با بیان اینکه تحریم‌ها و افزایش هزینه‌های ارزی، تأمین تجهیزات را دشوار کرده است، افزود: دسترسی‌نداشتن به تولیدکنندگان اصلی و خرید از مسیرهای غیرمستقیم، علاوه بر افزایش هزینه و زمان تأمین، می‌تواند دریافت به‌موقع به‌روزرسانی‌های امنیتی و خدمات پشتیبانی را نیز با مشکل مواجه کند.
به گفته او، استفاده از نرم‌افزارها و مجوزهای تأمین‌شده از بازارهای واسطه‌ای ممکن است دسترسی به نسخه‌های معتبر، اصلاحیه‌های امنیتی و پشتیبانی رسمی شرکت‌های سازنده را محدود کند. در چنین شرایطی، سازمان‌ها ممکن است برای رفع آسیب‌پذیری‌های شناسایی‌شده با تأخیر روبه‌رو شوند؛ مسئله‌ای که در زیرساخت‌های حیاتی مالی اهمیت ویژه‌ای دارد.
از این منظر، تاب‌آوری فقط به روشن‌ماندن سرورها و برقرارماندن تراکنش‌ها محدود نمی‌شود؛ بلکه توانایی نگهداری، به‌روزرسانی و اطمینان از سلامت زیرساخت نیز بخشی از آمادگی شبکه برای مواجهه با بحران است.
امنیت سایبری؛ فراتر از مقابله با حملات
این کارشناس حوزه امنیت پرداخت معتقد است: ارزیابی امنیت زیرساخت‌های مالی نباید صرفاً بر مبنای نبود اختلال یا موفقیت در مقابله با حملات انجام شود؛ زیرا ممکن است یک سامانه به فعالیت خود ادامه دهد، اما درباره سلامت تجهیزات، اصالت نرم‌افزارها یا وجود آسیب‌پذیری‌های ناشناخته آن اطمینان کافی وجود نداشته باشد.
او توضیح داد: وقتی تجهیزات از مسیرهای غیرمستقیم تهیه می‌شوند و امکان دریافت خدمات رسمی از سازنده وجود ندارد، بررسی منشأ تجهیزات، اطمینان از اصالت نرم‌افزارها و دریافت اصلاحیه‌های معتبر دشوارتر می‌شود. این شرایط ضرورت ارزیابی‌های فنی مستقل و مستمر را افزایش می‌دهد.
در این میان، احتمال وجود کدهای مخرب یا دست‌کاری‌های پنهان در تجهیزات و نرم‌افزارها نیز موضوعی است که به گفته روشناس، باید با ارزیابی تخصصی بررسی شود؛ نه اینکه بدون شواهد فنی، وجود چنین تهدیدهایی در شبکه بانکی قطعی فرض شود. انجام ممیزی‌های مستقل امنیتی می‌تواند به شناسایی آسیب‌پذیری‌ها و افزایش اطمینان از سلامت زیرساخت‌های حیاتی کمک کند.
این کارشناس حوزه امنیت پرداخت همچنین بر اهمیت نیروی انسانی و حفظ دانش عملیاتی تأکید کرد. به گفته او، جابه‌جایی مدیران و نیروهای فنی، در صورتی که با انتقال دقیق مسئولیت‌ها و مستندسازی همراه نباشد، می‌تواند بخشی از تجربه انباشته سازمان را از بین ببرد؛ تجربه‌ای که شامل شناخت نقاط ضعف سامانه‌ها، سابقه تغییرات، تنظیمات فنی و شیوه واکنش به رخدادهای امنیتی است.
مستندسازی معماری سامانه‌ها، آسیب‌پذیری‌های شناخته‌شده، سوابق رخدادها و اطلاعات تماس افراد مسئول، در کنار برنامه‌ریزی برای جانشینی نیروهای کلیدی و برگزاری مانورهای منظم، می‌تواند از ایجاد خلأ در زمان تغییر مسئولیت‌ها جلوگیری کند. همچنین ایجاد سازوکاری برای گزارش صادقانه رخدادها و حمایت از نیروهایی که آسیب‌پذیری‌ها را اعلام می‌کنند، در شناسایی به‌موقع مشکلات اهمیت دارد.
کدام بخش زنجیره پرداخت آسیب‌پذیرتر است؟
روشناس با اشاره به تفاوت نیازهای فنی بخش‌های مختلف شبکه پرداخت گفت: بخش صدور و زیرساخت‌های بانکی، به دلیل وابستگی بیشتر به سخت‌افزار، نرم‌افزار و تأمین برق، در برخی شرایط آسیب‌پذیری بیشتری نسبت به بخش پذیرندگی دارد.
او افزود: برخی بانک‌ها برای کاهش وابستگی به شبکه برق، از راهکارهایی مانند مولدهای برق اضطراری، انرژی خورشیدی، سایت‌های پشتیبان و مراکز بازیابی بحران استفاده می‌کنند.
با این حال، پایداری واقعی به آمادگی عملیاتی این تجهیزات، آزمون دوره‌ای آن‌ها و امکان انتقال سریع خدمات به زیرساخت جایگزین نیز وابسته است.
از این رو، صرف در اختیار داشتن مرکز پشتیبان یا تجهیزات اضطراری کافی نیست و باید اطمینان حاصل شود که این ظرفیت‌ها در شرایط واقعی بحران نیز قابل استفاده‌اند.
پرداخت آفلاین و کیف پول؛ ضرورت تنوع‌بخشی به ابزارها
این کارشناس حوزه بانکداری دیجیتال با اشاره به راهکارهای حفظ خدمات پرداخت در زمان اختلال ارتباطی، گفت: موفقیت ابزارهای آفلاین و روش‌های جایگزین پرداخت در مقیاس گسترده، به آمادگی زیرساخت، پذیرش کاربران و نحوه طراحی خدمات بستگی دارد.
به گفته او، برخی کیف پول‌ها برای شارژ یا تکمیل فرایند پرداخت همچنان به ارتباط آنلاین نیاز دارند و بنابراین نمی‌توان آن‌ها را در همه شرایط جایگزین کامل شبکه آنلاین دانست. همچنین، محدودیت فراگیری فناوری‌هایی مانند پرداخت مبتنی بر ارتباط میدان نزدیک (NFC) و تفاوت قابلیت‌های دستگاه‌های کاربران، توسعه این روش‌ها را با ملاحظاتی روبه‌رو می‌کند.
روشناس تأکید کرد: ابزارهای جایگزین باید متناسب با شرایط واقعی شبکه و نیاز کاربران توسعه یابند و در کنار آن‌ها، برای موقعیت‌هایی که دسترسی به ابزارهای الکترونیکی ممکن نیست، نقش پول نقد نیز در برنامه‌ریزی تداوم خدمات در نظر گرفته شود.
در صورت قطع ارتباطات، چه بخشی از شبکه فعال می‌ماند؟
روشناس درباره امکان تداوم فعالیت پایانه‌های فروشگاهی در صورت قطع ارتباطات بی‌سیم، بر ضرورت توجه به مسیرهای ارتباطی جایگزین تأکید کرد. برآورد شخصی او این است که از بیش از 10 میلیون پایانه فروشگاهی در کشور، حدود یک‌ونیم تا دو میلیون پایانه امکان ارتباط از طریق خطوط تلفن را دارند.
بر اساس این برآورد، در صورت قطع ارتباطات بی‌سیم، بخشی از شبکه می‌تواند از مسیرهای ارتباطی دیگر به فعالیت ادامه دهد؛ با این حال، این کارشناس حوزه پرداخت سهم این بخش را حدود 20 درصد تخمین می‌زند. این ارقام برآورد اوست و برای تعیین ظرفیت واقعی شبکه در شرایط بحران، به داده‌های به‌روز و ارزیابی فنی نیاز دارد.
دسترسی مستقیم به فناوری؛ اولویت پیشنهادی
روشناس در پاسخ به این پرسش که چه اقداماتی باید در اولویت قرار گیرد، دسترسی مستقیم و معتبر به فناوری‌های مورد نیاز را از مهم‌ترین ضرورت‌ها دانست و گفت: کاهش محدودیت‌های بین‌المللی در حوزه فناوری اطلاعات می‌تواند امکان خرید مستقیم تجهیزات، استفاده از مجوزهای معتبر نرم‌افزاری و دریافت خدمات پشتیبانی و به‌روزرسانی از شرکت‌های سازنده را فراهم کند.
با این حال، کاهش محدودیت‌های تأمین فناوری به‌تنهایی برای ارتقای امنیت کافی نیست. تقویت ممیزی‌های فنی مستقل، مستندسازی دانش عملیاتی، تعیین سازوکار روشن برای انتقال مسئولیت‌های فنی و آزمودن منظم برنامه‌های بازیابی بحران نیز می‌تواند به افزایش آمادگی شبکه پرداخت کمک کند.
در مجموع، تجربه تداوم فعالیت شبکه پرداخت در شرایط دشوار، نشانه‌ای از ظرفیت عملیاتی این زیرساخت است؛ اما حفظ این ظرفیت در بلندمدت به نوسازی تجهیزات، دسترسی به پشتیبانی معتبر، مدیریت دانش فنی و ارزیابی مستمر امنیت وابسته است. پایداری خدمت و امنیت زیرساخت دو مفهوم مرتبط اما متفاوت‌اند؛ شبکه‌ای که از کار نمی‌افتد، لزوماً شبکه‌ای نیست که همه ابعاد امنیت آن ارزیابی و تضمین شده باشد.