هر بار که سامانه یکی از بانکهای کشور از دسترس خارج میشود، اولین واکنشها معمولا بهسمت هکرها، حملات سایبری یا اشکال نرمافزاری میرود. این نگاه تا حدی درست است اما همه واقعیت نیست.
به گزارش اقتصاد گستر شمال،هر بار که سامانه یکی از بانکهای کشور از دسترس خارج میشود، اولین واکنشها معمولا بهسمت هکرها، حملات سایبری یا اشکال نرمافزاری میرود. این نگاه تا حدی درست است اما همه واقعیت نیست. اگر ساختمانی با یک زلزله متوسط فرو بریزد، نمیتوان تمام تقصیر را گردن زلزله انداخت، باید پرسید چرا ساختمان آنقدر ضعیف ساخته شده بود که توان مقاومت نداشت. درباره بانکداری دیجیتال هم همین منطق برقرار است.
اختلالهای اخیر شبکه بانکی، بیش از آنکه خبر از قدرت مهاجمان بدهد، از ضعف زیرساختهایی حکایت میکند که سالهاست کمتر دیده شدهاند. زیرساختهایی که مردم آنها را نمیبینند اما هر تراکنش، هر انتقال وجه، هر خرید اینترنتی و هر برداشت از دستگاه خودپرداز روی شانههای همین لایههای پنهان انجام میشود.
در سالهای گذشته رقابت بانکها بیشتر بر سر چیزی بود که مشتری میدید؛ اپلیکیشنهای جدید، اینترنتبانکهای مدرن، خدمات آنلاین متنوع و امکاناتی که هرروز به فهرست قابلیتهای بانکها اضافه میشد. این رقابت از نظر تجربه کاربری اتفاق مثبتی بود اما یک سوال اساسی کمتر مطرح شد: آیا زیرساختی که باید این حجم از خدمات را پشتیبانی کند، همپای آن رشد کرده است؟
واقعیت این است که ساخت یک اپلیکیشن جدید، هم سریعتر نتیجه میدهد و هم بیشتر دیده میشود. مدیران میتوانند از آن رونمایی کنند، درباره آن گزارش بدهند و رضایت مشتریان را به نمایش بگذارند اما توسعه یک مرکز داده جدید، خرید تجهیزات پردازشی سازمانی یا طراحی معماری مقاوم، پروژههایی هستند که شاید سالها زمان ببرند و اگر درست انجام شوند، اساسا هیچکس متوجه آنها نمیشود چون موفقیتشان در این است که بحران رخ ندهد. همین تفاوت بهتدریج توازن سرمایهگذاری را بر هم زد، منابع بیشتری صرف توسعه خدمات شد و بخش مهمی از زیرساختها با همان ظرفیت گذشته به کار خود ادامه دادند. نتیجه این شد که ساختمان هر روز طبقات بیشتری پیدا کرد اما پی آن تقویت نشد. یکی از مهمترین مشکلات امروز، وجود نقاطی است که خرابیشان میتواند کل سیستم را از کار بیندازد یعنی بخشهایی که اگر از کار بیفتند، زنجیره بزرگی از خدمات نیز متوقف میشود. در یک معماری استاندارد هیچ جزء حیاتی نباید تنها یک مسیر یا یک نسخه داشته باشد. اگر یک سرور، یک مرکز داده یا حتی یک نرمافزار دچار مشکل شد، سامانه باید بدون آنکه مشتری متوجه شود، از مسیر دیگری به کار خود ادامه دهد. این همان مفهومی است که در دنیا با عنوان تابآوری شناخته میشود؛ توانایی ادامه خدمت حتی در شرایط بحران.
موضوع دیگر، تمرکز بیش از اندازه برخی سامانههای بانکی بر تعداد محدودی نرمافزار و تامینکننده است. وقتی بانکهای مختلف از کوربنکینگ مشابه استفاده میکنند، یک آسیبپذیری میتواند همزمان چندین بانک را درگیر کند. در همینجا یک پرسش مهم پیش میآید: ریاست محترم بانک مرکزی، آیا با در نظر گرفتن سامانههای کوربنکینگ مضاعف برای بانکها، مشکلات و اختلالهای پیشآمده در خدمات بانکی از نظر سختافزار و نرمافزار برطرف خواهد شد؟ پاسخ روشن این است که نه بهتنهایی. داشتن سامانه پشتیبان یا کوربنکینگ دوم میتواند ریسک تمرکز را کمتر کند اما اگر زیرساخت پردازش، ذخیرهسازی، شبکه، امنیت، پشتیبانگیری و بازیابی بحران اصلاح نشود، همان مشکل فقط در لایهای دیگر تکرار میشود.
در کنار این موضوع، وابستگی به فناوریهای خارجی نیز چالش دیگری است که نمیتوان آن را نادیده گرفت. تحریمها فقط خرید تجهیزات را دشوار نکردهاند بلکه دسترسی به بهروزرسانیهای امنیتی، خدمات پشتیبانی، قطعات یدکی و حتی ارزیابی مستقل برخی محصولات را نیز با محدودیت روبهرو کردهاند. این شرایط به معنای ناامن بودن فناوری خارجی نیست اما اداره زیرساختهای حیاتی بدون دسترسی کامل به چرخه پشتیبانی، ریسک بهرهبرداری را افزایش میدهد.
البته امنیت سایبری فقط به خرید تجهیزات امنیتی یا نصب دیوار آتش محدود نمیشود. امنیت از معماری صحیح آغاز میشود. بانکی که دو مرکز داده همزمان فعال داشته باشد، مسیرهای ارتباطی متفاوتی ایجاد کند، نقاط خرابی را حذف کند، برنامههای بازیابی بحران را مرتب آزمایش کند و تجهیزات پردازشی خود را بهروز نگه دارد حتی اگر هدف حمله قرار بگیرد، احتمال از کار افتادن کامل خدماتش بسیار کمتر خواهد بود. در بسیاری از کشورها مراکز داده حیاتی بهصورت Active-Active طراحی میشوند یعنی دو مرکز داده به شکل همزمان فعال هستند و اگر یکی از آنها از مدار خارج شود، مرکز دیگر بدون وقفه بار خدمات را بر عهده میگیرد. در چنین معماریای، مشتری معمولا حتی متوجه وقوع حادثه هم نمیشود. در مقابل، معماریهای قدیمیتر که مرکز دوم فقط در زمان بحران فعال میشود، هم زمان بازیابی بیشتری دارند و هم احتمال از دست رفتن بخشی از اطلاعات در آنها بیشتر است.
بانکداری آینده نیز بیش از هر زمان دیگری به قدرت زیرساخت وابسته خواهد بود. هوش مصنوعی، کشف تقلب، تحلیل لحظهای تراکنشها، شناسایی رفتارهای مشکوک و ارائه خدمات هوشمند، همگی نیازمند مراکز داده قدرتمند، پردازش پرظرفیت و شبکهای پایدار هستند. بانکی که امروز زیرساخت خود را تقویت نکند، فردا برای استفاده از فناوریهای نوین ناچار خواهد بود به ظرفیتهایی خارج از اختیار خود تکیه کند؛ وابستگیای که هم هزینه اقتصادی دارد و هم پیامدهای امنیتی.
اتفاقات اخیر باید یک هشدار جدی تلقی شوند، نه صرفا یک خبر چندروزه. تمرکز صرف بر یافتن مقصر، بدون اصلاح ریشههای فنی، مشکلی را حل نخواهد کرد. اگر زیرساخت همان باشد که امروز هست، بحرانهای مشابه دیر یا زود دوباره تکرار خواهند شد؛ شاید با شکل و ابعادی متفاوت.
امروز بیش از هر زمان دیگری باید پذیرفت که امنیت بانکداری دیجیتال از ویترین خدمات آغاز نمیشود بلکه از لایههایی شروع میشود که کمتر دیده میشوند؛ همان زیرساختهایی که اگر درست طراحی شوند، مردم هرگز متوجه وجودشان نخواهند شد اما اگر نادیده گرفته شوند، میلیونها نفر همزمان اثر آن را احساس خواهند کرد.
سرمایهگذاری در زیرساخت هزینه نیست بلکه بیمه پایداری اقتصاد دیجیتال کشور است. همانگونه که هیچ شهری بدون جاده، نیروگاه و شبکه آب پایدار توسعه پیدا نمیکند، بانکداری دیجیتال نیز بدون زیرساختی مقاوم، امن و تابآور دوام نخواهد آورد. آینده این صنعت را نه تعداد اپلیکیشنها بلکه کیفیت زیرساختهایی تعیین میکند که در سکوت، بار اعتماد میلیونها ایرانی را بر دوش میکشند.
در پایان یک پرسش ساده اما مهم باقی میماند: آیا تا به حال به این فکر کردهایم که هزینه خسارت روزانه از کار افتادن همزمان چهار بانک بزرگ کشور، چقدر بیشتر از هزینهای بوده که برای توسعه زیرساخت لازم بود؟ و خسارت وارد شده به مشتریان این چهار بانک در بازهای ۳۵روزه چقدر بوده که بسیاری از آنان را واداشته در اولین فرصت حسابهای خود را به بانکهای دیگر منتقل کنند؟
