Ping Channel

❗️شبکه بانکی کشور؛ پنج حمله در دو سال! 🔴چرا زیرساخت‌های بانکی کشور تا این اندازه در برابر حملات سایبری آسیب‌پذیر شده‌اند؟ 🔴آیا صرفاً با چند آسیب‌پذیری نرم‌افزاری، چند سرور Patch نشده یا چند تنظیم اشتباه مواجه هستیم؟ 🔴به عنوان کسی که 15 سال تجربه کار با تیم های امنیتی اکثر بانکها را داشته ام کمبود نیروی متخصص امنیت اطلاعات بویژه در سالهای اخیر را یکی از ضعف عمده امنیت زیرساختها میدانم. در سال‌های اخیر، بخش قابل توجهی از نیروهای توانمند حوزه امنیت سایبری در دستگاه‌های دولتی، بانک‌ها و شرکت‌های وابسته یا مهاجرت کرده‌اند، یا به‌دلیل فاصله شدید حقوق و مزایا میان بخش دولتی و بازار خصوصی و بین‌المللی، انگیزه کافی برای ماندن در پروژه‌های حساس حاکمیتی و بانکی ندارند. وقتی متخصص امنیتی که باید از زیرساخت‌های حیاتی کشور دفاع کند، از نظر جایگاه سازمانی، درآمد، اختیار تصمیم‌گیری و مسیر رشد حرفه‌ای در موقعیت مناسبی قرار نداشته باشد، طبیعی است که کیفیت دفاع سایبری نیز کاهش پیدا کند. 🔴پرسش مهم دیگر به سیاست‌های فناوری و بومی‌سازی برمی‌گردد. آیا حذف گسترده محصولات خارجی و جایگزینی آن‌ها با برخی محصولات بومی، واقعاً امنیت ما را افزایش داده است؟ 🔴بومی‌سازی اگر همراه با کیفیت، بلوغ فنی، تست امنیتی مستقل، پشتیبانی حرفه‌ای، به‌روزرسانی مستمر، قابلیت کشف تهدید، Threat Intelligence، گزارش‌پذیری دقیق و پاسخ‌گویی تولیدکننده باشد، می‌تواند یک مزیت راهبردی محسوب شود. اما اگر بومی‌سازی صرفاً به‌معنای حذف دستوری ابزارهای معتبر خارجی و جایگزینی آن‌ها با محصولاتی باشد که از نظر قابلیت، دقت تشخیص، مقیاس‌پذیری، یکپارچگی، پشتیبانی و به‌روزرسانی در سطح پایین‌تری قرار دارند، نتیجه آن نه تنها افزایش امنیت نیست؛ بلکه منجر به ناامنی و نفوذ بیشتر می شود. 🔴برای مثال، حذف یک Endpoint Protection خارجی که به دلیل ضعف انسانی، تنها 20 درصد از قابلیتهای پیشرفته آن در یک بانک پیاده سازی شده است و جایگزینی دستوری آن با محصولی که حتی 50 درصد قابلیتهای محصول خارجی را ندارد آیا واقعا ما را به نقطه امن تر می رساند؟ چنین تصمیم‌هایی فقط در ظاهر استقلال فناورانه ایجاد می‌کنند، اما در عمل سطح دفاع سازمان را تضعیف تر می‌کنند. 🔴بلوغ مدیریتی در امنیت سایبری زمانی اتفاق می افتد که مدیران ما امنیت را صرفاً در محصول نبینند. امنیت یک معماری است. یک فرایند است. یک مدل حکمرانی است. یک فرهنگ سازمانی است. امنیت فقط Firewall، Antivirus، SIEM، EDR یا سامانه بومی و غیربومی نیست. امنیت یعنی نگاه کلان به سه ضلع اصلی: People، Process و Technology. 🔴باید بپذیریم که نگاه حاکمیت به مقوله امنیت معمولاً بیش از اندازه روی Technology و ابزارها متمرکز بوده و از دو گزینه People و Procedure غفلت کرده ایم. 🔴و متاسفانه در بسیاری از سازمان‌ها، امنیت هنوز یک هزینه اضافی دیده می‌شود، نه بخشی از تداوم کسب‌وکار. بودجه امنیتی معمولاً زمانی فراهم می‌شود که حادثه رخ داده، داده‌ها افشا شده، سرویس‌ها مختل شده و اعتبار سازمان آسیب دیده است. در حالی که امنیت زیرساخت بانکی باید از مرحله طراحی، توسعه، خرید، استقرار، بهره‌برداری و نگهداری در متن تصمیم‌گیری باشد؛ نه اینکه بعد از حادثه، به‌عنوان یک وصله اضطراری به سامانه اضافه شود. 🔴موضوع مهم دیگر، وابستگی گسترده به پیمانکاران فناوری است. امروز بخش قابل توجهی از سامانه‌های Core Banking، زیرساخت‌های ارتباطی، دیتاسنتر، شبکه، امنیت، نرم‌افزار، نگهداری و عملیات به شرکت‌ها و پیمانکاران مختلف وابسته است. در چنین شرایطی باید پرسید: آیا مسئولیت امنیت به‌روشنی تعریف شده است؟ آیا بانک‌ها دید کامل و مستقل روی معماری، کد، دسترسی‌ها، لاگ‌ها، آسیب‌پذیری‌ها، مسیرهای ارتباطی، حساب‌های ادمین، دسترسی‌های راه دور و زنجیره تأمین خود دارند؟ یا هر بخش، بخشی از مسئولیت را به دیگری منتقل می‌کند؟ 🔴زنجیره تأمین فناوری یکی از نقاط حساس امنیت بانکی است. اگر پیمانکار نرم‌افزار، پیمانکار زیرساخت، پیمانکار پشتیبانی، پیمانکار SOC، پیمانکار دیتاسنتر و تیم داخلی بانک هر کدام بخشی از تصویر را ببینند، اما هیچ‌کس تصویر کامل را در اختیار نداشته باشد، ریسک‌های جدی پنهان می‌مانند. امنیت در چنین ساختاری نیازمند حاکمیت، شفافیت، قراردادهای دقیق، الزامات امنیتی قابل اندازه‌گیری، ممیزی مستقل و پاسخ‌گویی واقعی است. 🔴ضعف در حاکمیت امنیت سایبری باعث شده مدیران ما امنیت را فقط در سطح خرید چند ابزار پراکنده مانند فایروال، آنتی‌ویروس، SIEM یا اسکنر آسیب‌پذیری ببینند. تا این نگاه اصلاح نشود مشکل حل نخواهد شد و شاهد تداوم تایم لاین حملات خواهیم بود. ✈️@PingChannel خبر، تحلیل، انتقاد - فناوری اطلاعات 🅰️🅰️🅰️🅰️