هشدار درباره امنیت اطلاعات بانکی / چه کسی از اطلاعات بانکی مردم محافظت می‌کند؟

ابهام در واگذاری پروژه‌های فناوری بانک‌ها، بار دیگر موضوع امنیت اطلاعات و حفاظت از داده‌های مشتریان را به یکی از دغدغه‌های اصلی تبدیل کرده است.

کد خبر: ۲۱۵۰۳۶۴

۲۲ تير ۱۴۰۵

به گزارش اقتصاد آنلاین به نقل از تسنیم، هم‌زمان با تغییرات مدیریتی در شبکه بانکی، پرسش‌هایی درباره نحوه واگذاری پروژه‌های راهبردی فناوری اطلاعات، جابه‌جایی مدیران و متخصصان میان بخش دولتی و شرکت‌های خصوصی و سازوکارهای پیشگیری از تعارض منافع مطرح شده است؛ پرسش‌هایی که به دلیل ارتباط مستقیم با امنیت اطلاعات و پایداری خدمات بانکی، نمی‌توان آنها را صرفاً اختلافاتی درون‌سازمانی دانست.

سامانه بانکداری متمرکز، تنها یک نرم‌افزار برای ثبت و پردازش عملیات روزمره نیست؛ این سامانه در عمل قلب تپنده یک بانک به شمار می‌رود و بخش مهمی از اطلاعات مشتریان، تراکنش‌ها، حساب‌ها و فرآیندهای عملیاتی را در خود جای می‌دهد. از همین رو، انتخاب پیمانکار، نحوه دسترسی شرکت‌های مجری و چگونگی نظارت بر نیروهای انسانی فعال در این حوزه، باید تابع سخت‌گیرانه‌ترین ضوابط فنی، امنیتی و نظارتی باشد.

در سال‌های اخیر، برخی ابهام‌ها درباره انتقال پروژه‌های مهم بانکی از مجموعه‌های وابسته به نهادهای عمومی به یک شرکت‌ بزرگ خصوصی فعال در حوزه فناوری مطرح شده است. در کنار این موضوع، رفت‌وآمد تعدادی از مدیران و کارشناسان میان جایگاه‌های تصمیم‌گیری در بانک‌ها و شرکت‌های پیمانکار نیز حساسیت‌هایی را به وجود آورده است.

البته جابه‌جایی مدیران میان بخش دولتی و خصوصی، به‌خودی‌خود نشانه وقوع تخلف نیست و استفاده از تجربه متخصصان صنعت بانکی می‌تواند به ارتقای خدمات کمک کند. با این حال، اگر مدیری در جایگاه تصمیم‌گیری، ارزیابی یا نظارت بر شرکتی قرار گیرد که پیش‌تر با آن همکاری داشته یا پس از پایان مسئولیت به آن مجموعه بپیوندد، احتمال شکل‌گیری تعارض منافع افزایش می‌یابد. در چنین شرایطی، نبود قواعد شفاف می‌تواند حتی تصمیم‌های صحیح را نیز در معرض تردید افکار عمومی قرار دهد.

بخشی دیگر از نگرانی‌ها به جابه‌جایی نیروهای متخصص میان شرکت‌های زیرساختی، بانک‌های بزرگ و مجموعه‌های خصوصی مربوط است. گردش نیروی انسانی در صنعت فناوری امری طبیعی است، اما در حوزه بانکداری، این جابه‌جایی‌ها باید با ملاحظات ویژه‌ای همراه باشد؛ زیرا متخصصان این بخش ممکن است به معماری سامانه‌ها، نقاط حساس شبکه، فرآیندهای امنیتی و اطلاعات عملیاتی دسترسی داشته باشند.

در چنین فضایی، صرف امضای تعهدنامه محرمانگی کافی نیست. بانک‌ها و نهادهای مسئول باید مشخص کنند هنگام خروج یا انتقال نیروهای کلیدی، دسترسی‌های آنها چگونه مسدود می‌شود، چه نظارتی بر انتقال دانش و اسناد وجود دارد و مسئولیت شرکت مقصد در حفاظت از اطلاعات محرمانه چیست.

هم‌زمان، مطالبی نیز درباره احتمال دسترسی یکی از شرکت‌های بزرگ خصوصی به اطلاعات فنی سامانه‌های بانکی منتشر شده است. تاکنون سند رسمی یا گزارش قابل استنادی که وقوع تخلف مشخصی را اثبات کند، در دسترس افکار عمومی قرار نگرفته و مراجع مسئول نیز نتیجه بررسی جامعی درباره این ادعاها اعلام نکرده‌اند. بنابراین، نسبت‌دادن تخلف به اشخاص یا شرکت‌ها بدون رسیدگی رسمی و ارائه مستندات، قابل اتکا نیست.

با وجود این، نبود تأیید رسمی به معنای بی‌نیازی از بررسی نیست. در حوزه زیرساخت‌های حیاتی، نهادهای نظارتی باید حتی احتمال انتقال غیرمجاز اطلاعات، دسترسی خارج از قرارداد یا نفوذ منافع تجاری در فرآیندهای تصمیم‌گیری را با حساسیت دنبال کنند. هزینه بی‌توجهی به چنین هشدارهایی ممکن است پس از وقوع یک اختلال یا حادثه امنیتی، بسیار بیشتر از هزینه شفاف‌سازی پیشگیرانه باشد.

ابهام اصلی آن است که پروژه‌های راهبردی فناوری اطلاعات بانک‌های دولتی بر چه اساسی واگذار می‌شوند. آیا انتخاب مجریان از طریق فرآیندی شفاف، رقابتی و قابل ارزیابی انجام می‌شود؟ سوابق حرفه‌ای مدیران تصمیم‌گیر چگونه بررسی می‌شود؟ آیا افراد دارای ارتباط شغلی پیشین با شرکت‌های متقاضی، از فرآیند ارزیابی و تصویب قرارداد کنار گذاشته می‌شوند؟ همچنین چه نهادی بر سطح دسترسی پیمانکاران به داده‌ها و سامانه‌های حیاتی نظارت می‌کند؟

کارشناسان این حوزه معتقدند بانک‌ها باید پیش از واگذاری پروژه‌های حساس، علاوه بر ارزیابی فنی و مالی، «پیوست تعارض منافع» و «پیوست امنیت اطلاعات» نیز تهیه کنند. در این چارچوب، همه ارتباطات شغلی و اقتصادی مدیران مؤثر در قرارداد باید اعلام شود و دسترسی پیمانکاران نیز صرفاً در محدوده ضرورت فنی، برای مدت مشخص و به‌صورت ثبت‌شده و قابل حسابرسی باشد.

استفاده از شرکت‌های خصوصی توانمند نه‌تنها تهدید محسوب نمی‌شود، بلکه می‌تواند به افزایش رقابت، کاهش هزینه‌ها و ارتقای کیفیت خدمات بانکی کمک کند. مسئله اصلی، خصوصی یا دولتی‌بودن مجری نیست؛ مسئله، نبود شفافیت در انتخاب پیمانکار، تمرکز بیش از اندازه اطلاعات در اختیار یک مجموعه و ضعف احتمالی سازوکارهای نظارتی است.

اکنون انتظار می‌رود بانک مرکزی، بانک‌های درگیر و نهادهای ناظر، بدون ورود به حاشیه‌های غیرمستند، درباره فرآیند واگذاری پروژه‌های راهبردی، ضوابط جابه‌جایی مدیران، سطح دسترسی شرکت‌های پیمانکار و سازوکارهای جلوگیری از تعارض منافع توضیح دهند. انتشار پاسخ‌های روشن می‌تواند از شکل‌گیری گمانه‌زنی جلوگیری کند و اعتماد عمومی به امنیت خدمات بانکی را افزایش دهد.

دروازه زیرساخت بانکی کشور نباید با روابط غیرشفاف، تصمیم‌های غیررقابتی یا نظارت حداقلی گشوده شود. شاید همه نگرانی‌های مطرح‌شده در نهایت بی‌اساس باشد، اما در حوزه‌ای که با دارایی و اطلاعات میلیون‌ها شهروند سروکار دارد، سکوت و ابهام خود می‌تواند به اندازه یک رخنه امنیتی، اعتماد عمومی را آسیب‌پذیر کند. حق پاسخ‌گویی برای تمامی بانک‌ها، شرکت‌ها و نهادهای مرتبط نیز محفوظ است.