در شرایطی که شبکه بانکی کشور در خط مقدم جنگ ترکیبی و تهدیدات سایبری قرار دارد، شورای عالی و مرکز ملی فضای مجازی با اجرایی کردن سند ارتقای امنیت سایبری مصوب ۱۴۰۴، رویکرد تازه‌ای را برای صیانت از داده‌های مردم و افزایش مسئولیت‌پذیری مؤسسات مالی آغاز کرده‌اند.
برگزاری دومین جلسه ارزیابی خدمات‌دهندگان فضای مجازی با حضور مقامات ارشد امنیتی، نظارتی و بانکی، نشان‌دهنده عزم جدی حاکمیت برای شناسایی گلوگاه‌های آسیب‌پذیر و ارتقای تاب‌آوری سیستم بانکی کشور در برابر حملات پیچیده دیجیتال است.
به‌روزرسانی مهر ۱۴۰۵: دومین جلسه ارزیابی امنیت سایبری خدمات‌دهندگان فضای مجازی به ریاست سیدمحمدامین آقامیری، دبیر شورای عالی و رئیس مرکز ملی فضای مجازی، و با حضور معاون بانک مرکزی، رئیس مرکز مدیریت افتا، نمایندگان سازمان بازرسی و مدیران عامل بانک‌های کشور برگزار شد.
در این نشست تخصصی، گزارش ارزیابی و رتبه‌های امنیت سایبری به صورت محرمانه به مدیران بانک‌ها اعلام شد و به آن‌ها فرصتی یک‌ماهه داده شد تا بر اساس شاخص‌های ارزیابی، ایرادات و نقص‌های امنیتی سیستم‌های خود را برطرف کنند. پس از پایان این مهلت و انجام ارزیابی مجدد، نتایج نهایی به صورت عمومی منتشر خواهد شد تا شهروندان بتوانند بر اساس ریسک و امنیت سرویس‌ها، بانک خود را انتخاب کنند.
چرا انتشار عمومی نتایج رتبه‌بندی امنیت سایبری بانک‌ها یک تحول راهبردی است؟
تا پیش از این، گزارش‌های ارزیابی امنیتی صرفا میان دستگاه‌های نظارتی و مجموعه‌های مورد بررسی ردوبدل می‌شد و پیگیری‌ها درون‌سازمانی باقی می‌مانید. با سازوکار جدید مصوب شورای عالی فضای مجازی، حق دسترسی مردم به اطلاعات امنیتی خدماتی که دریافت می‌کنند به رسمیت شناخته شده است.
انتشار رتبه‌بندی بانک‌ها پس از مهلت اصلاح یک‌ماهه، ابزار قدرتمندی برای «شفافیت بازار» و «ایجاد رقابت سالم» ایجاد می‌کند؛ به طوری که بانک‌ها برای حفظ اعتماد عمومی و جذب مشتریان، ناچارند استانداردهای حفاظتی و سایبری خود را به شکل چشمگیری ارتقا دهند.
کالبدشکافی پیامدهای حقوقی و اجرایی هشدار جدید سازمان امور مالیاتی در جدول زیر قابل بررسی است:
ابعاد و جزئیات طرح ارزیابی و مهلت اصلاح امنیتی بانک‌ها
بررسی ارکان اصلی این طرح نظارتی و راهبردهای اعلام‌شده در نشست اخیر در جدول زیر قابل بررسی است:
| ابعاد و ارکان طرح امنیت سایبری | جزئیات اجرایی و تصمیمات اتخاذ شده | تحلیل راهبردی و اثرگذاری در شبکه بانکی |
| مهلت اصلاح نواقص | یک ماه (پس از اعلام رتبه اولیه به بانک‌ها) | فرصت تنفس برای رفع آسیب‌پذیری‌های پایه پیش از انتشار عمومی کارنامه امنیتی. |
| جامعه آماری و اهداف | شبکه بانکی کشور (خط مقدم جنگ ترکیبی) | ارتقای تاب‌آوری سیستم پولی و مالی در برابر تهدیدات پیچیده بازیگران متخاصم. |
| مراحل اجرایی | اعلام محرمانه ➔ اصلاح ➔ ارزیابی مجدد ➔ انتشار عمومی برای مردم | شفاف‌سازی اطلاعات برای آگاهی جامعه و انتخاب آگاهانه خدمات بانکی بر اساس ریسک. |
| نهادهای همکار و هماهنگ‌کننده | مرکز افتا، پلیس فتا، پدافند غیرعامل و مرکز ماهر | هم‌افزایی دستگاه‌های امنیتی و نظارتی برای پایش مستمر و دوره‌های سه‌ماهه. |
| چشم‌انداز آینده | سخت‌گیرانه‌تر شدن شاخص‌ها در سال آینده | افزایش استانداردهای امنیتی و استمرار پایش پایداری سامانه‌های بانکی. |
آسیب‌پذیری‌های ساختاری و توصیه‌های کلیدی فرماندهی عملیات امنیت سایبری
در این نشست، حجت، رئیس مرکز فرماندهی عملیات امنیت سایبری کشور، با اشاره به تجربیات حملات اخیر، بر وجود ضعف‌های پایه‌ای در بخش فناوری اطلاعات برخی بانک‌ها تأکید کرد و راهکارهای زیر را برای اصلاح ساختار امنیتی ضروری دانست:
استقلال واحد امنیت از فناوری اطلاعات
جداسازی ساختاری تیم امنیت سایبری از واحد IT و ارتباط مستقیم مدیر امنیت با مدیرعامل بانک برای تسریع در تصمیم‌گیری‌های بحران
پایش مستمر و آزمون‌های نفوذ
برطرف کردن چالش نبود پایش مداوم امنیتی از طریق ارزیابی‌های دوره‌ای و تست‌های نفوذپذیری پیش از سوءاستفاده هکرها
بازطراحی سامانه‌های قدیمی و زنجیره تأمین
لزوم نوسازی زیرساخت‌های فرسوده، تقویت برنامه‌های استمرار کسب‌وکار (BCP) و نظارت دقیق بر افزونه‌ها، اپلیکیشن‌های بانکی و زنجیره تأمین نرم‌افزاری
اتصال به ظرفیت‌های ملی پایش تهدیدات
بهره‌گیری از زیرساخت‌های ملی جمع‌آوری نشانه‌های حملات برای جلوگیری از تکرار آسیب‌پذیری‌ها در سایر ارکان شبکه بانکی
رویکرد سخت‌گیرانه مرکز ملی فضای مجازی در دوره‌های آتی رتبه‌بندی
مقامات ارشد مرکز ملی فضای مجازی از جمله محسن پاشا، معاون امنیت این مرکز، با اشاره به اینکه سال جاری نخستین سال اجرای رسمی این رتبه‌بندی است، تأکید کردند که شاخص‌های فعلی با هدف قابلیت اجرای حداکثری تدوین شده‌اند؛
اما با عبور از این مرحله گذار، در دوره‌های آتی (ارزیابی‌های سه‌ماهه) شاخص‌های بسیار سخت‌گیرانه‌تری اعمال خواهد شد. همچنین برای رفع اختلافات احتمالی میان نظام بانکی و نهادهای نظارتی، کمیسیون عالی امنیت فضای مجازی پیش‌بینی شده است تا شاخص‌ها متناسب با شرایط کشور و اقتضائات جنگی بازنگری شوند.
چگونه می‌توان آخرین اخبار و استانداردهای امنیت سایبری را پیگیری کرد؟
مدیران فناوری، پژوهشگران و شهروندان برای رصد آخرین بخشنامه‌ها و دستورالعمل‌های امنیتی حوزه فضای مجازی و پایش خدمات دیجیتال می‌توانند به مراجع زیر مراجعه کنند:
مرکز ملی فضای مجازی
برای پیگیری اجرای سند ارتقای امنیت سایبری و اطلاعیه‌های رسمی از طریق پورتال رسمی مرکز ملی فضای مجازی
مرکز مدیریت امداد و هماهنگی رخدادهای رایانه‌ای (ماهر)
برای دسترسی به هشدارها و توصیه‌های ایمنی امنیتی برای سامانه‌های خدمات‌دهنده از طریق وب‌سایت رسمی مرکز ماهر
بانک مرکزی جمهوری اسلامی ایران
برای بررسی بخشنامه‌های ابلاغی به شبکه بانکی در خصوص الزامات امنیت اطلاعات و پایداری شبکه از طریق پورتال بانک مرکزی
جمع‌بندی؛ آیا فرصت یک‌ماهه بانک‌ها را به استانداردهای امنیتی می‌رساند؟
اولتیماتوم یک‌ماهه مرکز ملی فضای مجازی به بانک‌ها برای رفع نواقص امنیتی، گامی قاطع در جهت صیانت از سرمایه‌های خرد و کلان مردم در بستر دیجیتال است. با توجه به اینکه انتشار عمومی نتایج این ارزیابی‌ها در آستانه اجراست، بانک‌ها فرصت طلایی و محدودی در اختیار دارند تا با بازنگری در ساختارها، استقلال واحد امنیت و اتصال به پایش‌های ملی، کارنامه خود را درخشان کرده و اعتماد عمومی به نظام بانکی و اقتصاد دیجیتال را بیش از پیش تحکیم بخشند.
سوالات متداول
مهلت درنظرگرفته‌شده برای بانک‌ها جهت رفع نواقص امنیت سایبری چقدر است؟
پس از اعلام رتبه‌های اولیه در نشست تخصصی، بانک‌ها یک فرصت دقیقاً یک‌ماهه دارند تا ایرادات و نواقص خود را بر اساس شاخص‌های ارزیابی برطرف کنند.
پس از پایان مهلت یک‌ماهه، چه اتفاقی برای نتایج رتبه‌بندی بانک‌ها می‌افتد؟
پس از پایان این مهلت، دستگاه‌های هماهنگ‌کننده ارزیابی مجدد را انجام داده و گزارش نهایی برای اطلاع عموم و افکار عمومی منتشر خواهد شد تا مردم با آگاهی از سطح ریسک، بانک خود را انتخاب کنند.
چه نهادهایی در اجرای طرح رتبه‌بندی امنیت سایبری خدمات‌دهندگان همکاری دارند؟
چهار دستگاه هماهنگ‌کننده شامل مرکز مدیریت افتا، پلیس فتا، سازمان پدافند غیرعامل و مرکز ماهر در این ارزیابی‌ها همکاری می‌کنند و این پایش‌ها به صورت مستمر در دوره‌های سه‌ماهه تکرار می‌شود.
مهم‌ترین چالش‌های ساختاری امنیت سایبری بانک‌ها بر اساس گزارش‌ها چیست؟
نبود پایش مستمر امنیتی، عدم استقلال کامل واحد امنیت از واحد فناوری اطلاعات (IT)، نیاز به بازطراحی سامانه‌های قدیمی و لزوم نظارت دقیق بر زنجیره تأمین نرم‌افزاری و اپلیکیشن‌ها از چالش‌های اصلی است.
هدف اصلی مرکز ملی فضای مجازی از انتشار عمومی نتایج رتبه‌بندی چیست؟
علاوه بر الزام بانک‌ها به ارتقای امنیت داده‌های مردم، ایجاد رقابت سالم و فراهم کردن شرایطی که مردم بتوانند متناسب با میزان ریسک، درباره انتخاب بانک و خدمات آن آگاهانه تصمیم بگیرند، هدف اصلی این طرح است.
منابع و استنادات رسمی:
نظر شما در مورد این مطلب چیه؟