الزام تداوم ارائه خدمات بانکی در شرایط بحران؛ رویکرد نوین حکمرانی پولی و مالی

ابوالحسن کیخا، اندیشکده بزرگمهر

برای بسیاری، حمله سایبری یعنی هک یک حساب بانکی یا از کار افتادن موقت یک سامانه. اما واقعیت این است که نفوذ موفق به شبکه بانکی می تواند زنجیره ای از بحران ها را رقم بزند؛ از اختلال در پرداخت ها و خدمات حیاتی گرفته تا بی اعتمادی عمومی و سرایت بحران به کل اقتصاد.

در چنین شرایطی، مسئله اصلی دیگر وقوع یا عدم وقوع حمله سایبری نیست، بلکه میزان آمادگی نظام بانکی برای تداوم خدمت رسانی در شرایط بحران است؛ موضوعی که توجه را به مفهوم «تاب آوری عملیاتی» و سازوکارهای تحقق آن معطوف می سازد.

در این چارچوب، بخشنامه «حداقل الزامات ناظر بر ریسک فناوری اطلاعات مؤسسات اعتباری» و سامانه «مهتاب»، در صورت اجرای صحیح و تکمیل مؤثر، می توانند به عنوان ستون فقرات معماری پدافند غیرعامل دیجیتال و تضمین کننده تاب آوری عملیاتی بانک های کشور ایفای نقش کنند.

بازتعریف امنیت در قالب تاب آوری عملیاتی

در نگاه سنتی، امنیت سایبری مسئله ای فنی بود که به تیم های فناوری اطلاعات سپرده می شد. اما تحولات جهانی نشان می دهد این رویکرد دیگر کافی نیست و بانک ها برای مواجهه با تهدیدات جدید، به نگاهی فراتر از امنیت صرفاً فنی نیاز دارند.

تاب آوری عملیاتی، رویکرد امنیت بانک را از «جلوگیری مطلق از حادثه» به «ادامه خدمت رسانی حتی در شرایط بحران» تغییر می دهد. در این چارچوب، حملات یا اختلال ها اجتناب ناپذیر فرض شده و تمرکز بر کاهش اثرات، مدیریت بحران و بازگرداندن سریع خدمات حیاتی است.

بانک مرکزی با درک این تحول، در سال ۱۴۰۰ بخشنامه «حداقل الزامات ناظر بر ریسک فناوری اطلاعات» را ابلاغ کرد؛ سندی که برای نخستین بار تاب آوری عملیاتی و پدافند غیرعامل دیجیتال را به زبان اجرایی برای بانک ها تبدیل می کند.

پدافند غیرعامل دیجیتال؛ از امنیت سنتی به تاب آوری پیش نگر بانکی

پدافند غیرعامل دیجیتال فقط به دیوارهای امنیتی محدود نمی شود؛ طراحی هوشمند سیستم ها، داشتن پشتیبان و برنامه برای بحران ضروری است. بخشنامه بانک مرکزی هم می خواهد بانک ها از واکنش سریع صرف بیرون بیایند و به نهادهایی پیش نگر و تاب آور تبدیل شوند.

سامانه مهتاب؛ گذار از نظارت مقطعی به پایش مستمر و داده محور در نظام بانکی

یک سند، بدون ابزار نظارتی کارآمد ضمانت اجرایی ندارد و اینجاست که سامانه «مهتاب» نقش آفرینی می کند. مهتاب به عنوان چشم نظارتی پدافند غیرعامل دیجیتال، با جمع آوری گزارش های دوره ای از بانک ها، امکان تجمیع داده ها، مقایسه آمادگی و شناسایی شکاف های تاب آوری را برای بانک مرکزی فراهم می سازد.

مهتاب فراتر از نظارت سنتی عمل می کند؛ داده محور است و به جای گزارش های موردی، وضعیت تاب آوری بانک ها را به طور مستمر پایش می کند، نقاط ضعف کل نظام بانکی را شناسایی کرده و تصمیم ها را بر اساس شواهد واقعی می گیرد، تا به «منبع حقیقت واحد» در نظارت سایبری تبدیل شود.

هم سویی با استانداردهای جهانی؛ بررسی قوت ها و شکاف ها

بخشنامه بانک مرکزی با استانداردهای بین المللی امنیت سایبری و تاب آوری تطابق قابل توجهی دارد، اما همچنان برخی نقاط ضعف باقی است: عدم تعیین «آستانه تحمل اختلال»، محدودیت در مدیریت ریسک زنجیره تأمین و فین تک ها و بهره گیری محدود از تحلیل داده و هوش مصنوعی. رفع این شکاف ها، مهتاب را از سامانه ای گزارش محور به پلتفرمی هوشمند برای پیش بینی و هشدار تبدیل خواهد کرد.

یک نقشه راه چهارلایه برای تاب آوری بانکی

معماری پدافند غیرعامل دیجیتال بانک ها را می توان در چهار بخش دید:

• حکمرانی: مدیران ارشد و هیئت مدیره فعال عمل کنند.
• زیرساخت: مراکز داده پشتیبان و امنیت شبکه مستقر باشند.
• کشف و پاسخ: تیم های واکنش سریع و پایش دائم رخدادها انجام شود.
• تداوم خدمات: برنامه ها و آزمون های منظم برای ادامه کار در بحران اجرا شود.

سامانه مهتاب مثل نخ تسبیح چهار لایه است؛ داده ها را به هم وصل می کند و تصویر کلی تاب آوری بانک ها را جلوی ناظر می گذارد.

مسئولیت ناظر: از ابلاغ مقرره تا معماری اعتماد بانکی

اجرای کامل این چارچوب فراتر از بخشنامه است؛ بانک مرکزی باید تاب آوری بانک ها را در مهتاب اندازه گیری کند، «مرکز عملیات امنیت» مشترک برای بانک های کوچک ایجاد کند، آزمون های ملی استرس سایبری برگزار کند و مهتاب را به تحلیل داده و هوش مصنوعی مجهز سازد. بانک ها نیز باید امنیت سایبری را سرمایه ای برای اعتماد عمومی ببینند.

جمع بندی

نظام بانکی ایران در مسیر گذار دیجیتال قرار دارد و اکنون نقطه حساسی را پشت سر می گذارد. اگر بخشنامه «حداقل الزامات ناظر بر ریسک فناوری اطلاعات» به درستی اجرا شود و سامانه مهتاب کامل و کارآمد شود، این تغییر می تواند فرصت مناسبی برای افزایش تاب آوری بانک ها، کاهش ریسک های مالی و بازگرداندن اعتماد مردم باشد. امنیت سایبری دیگر فقط یک مسئله فنی نیست؛ بلکه ستون اصلی مدیریت اقتصادی کشور است. تاب آوری بانکی یعنی توانایی سیستم مالی در ایستادگی حتی در شرایط سخت.