تعدد الزامات قانونی بالادستی در حوزه امنیت اطلاعات؛ چالش جاری بانک‌ها
مقدمه:
امنیت اطلاعات در صنعت بانکداری ایران طی سال‌های اخیر از یک موضوع صرفاً فنی و فناوری‌محور، به یکی از مهم‌ترین موضوعات حاکمیتی و نظارتی تبدیل شده است. بانک‌ها و مؤسسات اعتباری، علاوه بر الزامات داخلی و استانداردهای بین‌المللی، با مجموعه‌ای از قوانین، مقررات، دستورالعمل‌ها، بخشنامه‌ها و الزامات صادرشده از سوی نهادهای مختلف مواجه‌اند؛ از مرکز مدیریت راهبردی افتای ریاست جمهوری و بانک مرکزی جمهوری اسلامی ایران گرفته تا سازمان پدافند غیرعامل کشور و وزارت امور اقتصادی و دارایی. هر یک از این نهادها نیز از زاویه مأموریت و صلاحیت خود، بخشی از الزامات امنیتی، سایبری، تابآوری و حفاظت از اطلاعات را مطالبه می‌کنند.
اصل وجود این الزامات، نه‌تنها قابل دفاع، بلکه برای حفاظت از زیرساخت‌های بانکی و اعتماد عمومی ضروری است. مسئله اصلی، اما در جایی شکل می‌گیرد که چندین مرجع مختلف، الزامات بعضاً هم‌پوشان، با ادبیات و ساختار متفاوت و سازوکارهای ارزیابی جداگانه را از یک بانک مطالبه می‌کنند. در چنین شرایطی، بانک ممکن است به جای آنکه یک نظام منسجم امنیت اطلاعات ایجاد کند، بخش قابل‌توجهی از منابع خود را صرف شناسایی، تفسیر، تطبیق، مستندسازی و پاسخ‌گویی مجدد به الزامات مختلف کند.
این موضوع در سال‌های اخیر به‌عنوان یکی از چالش‌های جدی بانک‌ها نیز مطرح شده است و حتی در اظهارنظرهای تخصصی، تعدد نهادهای نظارتی از جمله افتا، پدافند غیرعامل و بانک مرکزی و وجود دستورالعمل‌های مجزا، از عوامل ایجادکننده چندباره‌کاری برای بانک‌ها عنوان شده است.
نمونه‌هایی از الزامات امنیتی بانک‌ها
اگرچه الزامات امنیتی بانک‌ها به این چهار حوزه محدود نمی‌شود، اما می‌توان بخش مهمی از انتظارات بالادستی را در چهار گروه اصلی بررسی نمود:
۱. الزامات مرکز مدیریت راهبردی افتا
مرکز مدیریت راهبردی افتا، در چارچوب نظام حکمرانی امنیت فضای تولید و تبادل اطلاعات کشور، یکی از مهم‌ترین مراجع تعیین و پیگیری الزامات امنیت سایبری دستگاه‌ها و زیرساخت‌های کشور محسوب می‌شود.
در این چارچوب، موضوعاتی مانند مدیریت امنیت اطلاعات، حفاظت از زیرساخت‌ها، مدیریت مخاطرات و تهدیدات سایبری، ارزیابی امنیتی، برنامه‌های عملیاتی امنیت و گزارش‌دهی می‌توانند در دامنه الزامات قرار گیرند.
مهم‌ترین الزامات قانونی مرکز مدیریت راهبردی افتا عبارت‌اند از: طرح امن‌سازی زیرساخت‌های حیاتی در قبال حملات سایبری، طرح ضربتی امن‌سازی زیرساخت‌های حیاتی و …
۲. الزامات بانک مرکزی
بانک مرکزی از منظر تنظیم‌گری و نظارت بر مؤسسات اعتباری، جایگاه متفاوتی نسبت به سایر نهادهای امنیتی دارد. تمرکز بانک مرکزی صرفاً بر «امنیت فناوری اطلاعات» نیست؛ بلکه امنیت باید در خدمت پایداری، سلامت و استمرار فعالیت‌های بانکی و مالی قرار گیرد.
قانون بانک مرکزی نیز اختیارات نظارتی گسترده‌ای برای این نهاد در قبال اشخاص تحت نظارت، از جمله مؤسسات اعتباری، پیش‌بینی کرده است.
بخشی از مهم‌ترین الزامات بانک مرکزی در حوزه امنیت اطلاعات عبارت‌اند از:
- چارچوب کنترل‌های امنیتی سازمانی و سامانه‌ای بانکی
- سند حداقل الزامات ناظر بر ریسک فناوری اطلاعات بانک مرکزی
- حداقل الزامات تداوم کسب و کار در مؤسسات اعتباری
در عمل، بانک‌ها با مجموعه‌ای از الزامات و انتظارات بانک مرکزی در حوزه‌هایی مانند امنیت سامانه‌های بانکی، کنترل‌های دسترسی، مدیریت رخدادها، امنیت خدمات الکترونیکی، ارزیابی‌های امنیتی، مدیریت مخاطرات فناوری اطلاعات و تابآوری مواجه هستند. تفاوت مهم در اینجا آن است که بانک مرکزی امنیت اطلاعات را از منظر ریسک و پایداری نظام بانکی دنبال می‌کند؛ بنابراین ممکن است اولویت‌ها و شیوه ارزیابی آن با یک مرجع تخصصی امنیت سایبری متفاوت باشد.
۳. الزامات سازمان پدافند غیرعامل کشور
بانک‌ها به دلیل نقش حیاتی خود در اقتصاد کشور، از منظر پدافند غیرعامل نیز در معرض الزامات و ملاحظات متعددی قرار دارند.
رویکرد پدافند غیرعامل عمدتاً بر مصون‌سازی، کاهش آسیب‌پذیری، تداوم کارکرد، تابآوری و آمادگی در برابر تهدیدات متمرکز است. این رویکرد، در بسیاری از موارد با اهداف امنیت سایبری هم‌راستا است، اما الزاماً با همان ادبیات و چارچوب‌های امنیت اطلاعات بیان نمی‌شود.
برای نمونه، دستورالعمل نحوه اعمال الزامات و ملاحظات پدافند غیرعامل در زیرساخت‌های با اهمیت بالای بخش غیردولتی، موضوعاتی نظیر مصون‌سازی زیرساخت‌ها و آمادگی در برابر تهدیدات و مخاطرات انسان‌ساخت را مورد توجه قرار داده است. در این حوزه نیز تعدد الزامات امنیت اطلاعات وجود دارد:
- طرح‌های عملیاتی حفاظت از زیرساخت
- طرح شهید زاهدی (ارتقاء پایداری و حفظ تداوم کارکرد زیرساخت‌ها و فعالیت‌های ضروری)
- دستورالعمل عملیاتی مقابله با تهدیدات حوزه الکترونیک و الکترومغناطیس دشمن (سردار شهید دکتر چمران)
- دستورالعمل اجرای حفاظت از زیرساخت‌های با اهمیت بالای کشور با رویکرد عملیات پدافندی پیشگیرانه (سردار شهید مهدی باکری)
- دستورالعمل مقابله با تهدیدات احتمالی (سرلشکر پاسدار شهید عباس نیلفروشان)
- نظام فنی تخصصی حفاظت از زیرساخت‌های کشور
- نظام آمادگی و رزمایش دستگاه‌های اجرایی کشور
در نتیجه، بانک ممکن است برای یک موضوع واحد مانند تابآوری زیرساخت، تداوم خدمت یا حفاظت از سامانه‌های حیاتی، با انتظاراتی از چند منظر مواجه شود و پیاده‌سازی این الزامات بانک را با چالش‌هایی مواجه می‌سازد.
4. الزامات وزارت امور اقتصادی و دارایی
وزارت امور اقتصادی و دارایی نیز به‌عنوان یکی از نهادهای مهم حاکمیتی مرتبط با شبکه اقتصادی و مالی کشور، در برخی اسناد و برنامه‌های بالادستی دارای نقش و تکالیف مرتبط با حوزه امنیت، تابآوری و حفاظت از زیرساخت‌های اقتصادی است.
این موضوع به‌ویژه زمانی اهمیت بیشتری پیدا می‌کند که الزامات امنیتی با موضوعاتی مانند حاکمیت، مدیریت ریسک، نظارت، تابآوری اقتصادی و حفاظت از زیرساخت‌های با اهمیت پیوند می‌خورند.
بنابراین بانک‌ها نباید الزامات امنیت اطلاعات را صرفاً در محدوده واحد فناوری اطلاعات یا واحد امنیت سایبری تعریف کنند؛ بلکه باید آن را بخشی از نظام گسترده‌تر حاکمیت، مدیریت ریسک و تابآوری سازمانی بدانند.
مسئله اصلی چیست؟
مشکل بانک‌ها الزاماً «زیاد بودن کنترل‌های امنیتی» نیست؛ در بسیاری از موارد، یک کنترل امنیتی واحد ممکن است از چند مسیر مختلف مطالبه شود.
برای مثال، فرض کنیم یک بانک باید:
- دارایی‌های فناوری اطلاعات خود را شناسایی و طبقه‌بندی کند؛
- آسیب‌پذیری‌های زیرساخت را شناسایی و مدیریت کند؛
- دسترسی‌های کاربران را کنترل کند؛
- رخدادهای امنیتی را ثبت و پایش کند؛
- نسخه پشتیبان تهیه و بازیابی اطلاعات را آزمون کند؛
- برنامه تداوم کسب‌وکار و بازیابی خدمات داشته باشد؛
- امنیت تأمین‌کنندگان و پیمانکاران را مدیریت کند.
اصل این کنترل‌ها کاملاً منطقی است. اما چالش از جایی آغاز می‌شود که هر مرجع، همین موضوع را با تعاریف، قالب مستندات، شواهد و روش ارزیابی متفاوت مطالبه کند.
در این شرایط، سازمان با پدیده‌ای مواجه می‌شود که می‌توان آن را “تورم انطباق” نامید؛ یعنی افزایش مستمر فعالیت‌های مرتبط با انطباق، بدون آنکه الزاماً به همان نسبت، سطح واقعی امنیت افزایش پیدا کند.
هزینه پنهان تعدد الزامات
تعدد الزامات صرفاً یک مسئله مستندسازی نیست؛ بلکه می‌تواند هزینه‌های قابل‌توجهی برای بانک ایجاد کند که در ادامه به برخی از آنها اشاره شده است.
۱. موازی‌کاری
ممکن است یک واحد سازمانی، یک کنترل امنیتی را برای چند چارچوب مختلف مستندسازی و گزارش کند؛ در حالی که از منظر عملیاتی، همه آنها به یک قابلیت امنیتی مشترک اشاره دارند.
۲. تمرکز بر مستندات به جای اثربخشی
وقتی ارزیابی‌ها عمدتاً بر ارائه مستندات و شواهد متمرکز شوند، این خطر وجود دارد که سازمان به جای تمرکز بر اثربخشی کنترل، به سمت “تولید مدرک برای ممیزی” حرکت کند و عملاً به جای اثربخشی سراغ پاس شدن ممیزی برود.
3. افزایش بار واحدهای فناوری و امنیت
واحدهای امنیت اطلاعات بانک‌ها علاوه بر مدیریت تهدیدات واقعی، باید پاسخ‌گوی طیف گسترده‌ای از درخواست‌های نظارتی باشند. این موضوع می‌تواند ظرفیت تیم‌های امنیتی برای فعالیت‌های پیشگیرانه و عملیاتی را کاهش دهد.
4. دشواری اولویت‌بندی
وقتی تعداد زیادی الزام با اولویت‌ها و زمان‌بندی‌های متفاوت وجود داشته باشد، مدیریت بانک ممکن است در تشخیص اینکه کدام اقدام بیشترین تأثیر را بر کاهش ریسک دارد با دشواری مواجه شود.
5. ایجاد رویکرد جزیره‌ای
اگر هر الزام به‌صورت مستقل مدیریت شود، ممکن است واحدهای مختلف سازمان برای پاسخ‌گویی به مراجع مختلف، سامانه‌ها، فرایندها و مستندات جداگانه ایجاد کنند؛ در حالی که یک معماری یکپارچه امنیتی می‌تواند بسیاری از این نیازها را پوشش دهد. به عنوان نمونه سند حداقل الزامات ناظر بر ریسک را ادارات مدیریت ریسک در بانک‌ها پیگیری نموده و سند چارچوب کنترلی را ادارات امنیت اطلاعات.
راهکار چیست؟ “یک کنترل، چند الزام“
راهکار این مسئله، حذف الزامات قانونی یا کاهش سطح کنترل‌های امنیتی نیست؛ بلکه حرکت از “مدیریت الزامات“ به سمت “مدیریت یکپارچه انطباق و کنترل“ است.
بانک باید بتواند مشخص کند:
هر الزام از کدام مرجع آمده است؟
چه ریسکی را پوشش می‌دهد؟
به کدام کنترل امنیتی مرتبط است؟
مالک اجرای آن کنترل چه واحدی است؟
چه شواهدی برای اثبات اجرای آن وجود دارد؟
و این کنترل، کدام الزامات دیگر را نیز پوشش می‌دهد؟
برای این منظور، یکی از ابزارهای کلیدی، ایجاد ماتریس جامع الزامات و کنترل‌های امنیت اطلاعات است.
در چنین ماتریسی، الزامات افتا، بانک مرکزی، پدافند غیرعامل، وزارت امور اقتصادی و دارایی و سایر مراجع در یک ساختار واحد گردآوری شده و سپس به کنترل‌ها، فرایندها و اقدامات عملیاتی بانک نگاشت می‌شوند و در واقع یک کنترل امنیتی جامع پوشش دهنده این موضوع است.
نتیجه این رویکرد می‌تواند چیزی شبیه به این باشد:
چند الزام بالادستی ← یک کنترل سازمانی ← یک مالک کنترل ← یک فرایند اجرایی ← یک مجموعه شواهد قابل اتکا
به این ترتیب، بانک به جای اینکه برای هر مرجع یک پروژه جداگانه اجرا کند، ابتدا یک قابلیت امنیتی واقعی ایجاد می‌کند و سپس آن قابلیت را به الزامات مختلف نگاشت می‌دهد.
از Compliance به Capability
نگاه سنتی به انطباق معمولاً این سؤال را مطرح می‌کند: “برای این الزام چه مدرکی داریم؟“؛ اما نگاه بلوغ‌یافته باید سؤال متفاوتی مطرح کند: “برای این الزام چه قابلیت امنیتی ایجاد کرده‌ایم و اثربخشی آن را چگونه اثبات می‌کنیم؟“؛ این تغییر نگاه بسیار مهم است.
برای مثال، اگر پنج مرجع مختلف به‌صورت مستقیم یا غیرمستقیم بر مدیریت آسیب‌پذیری تأکید دارند، راهکار مناسب این نیست که بانک پنج فرایند جداگانه برای مدیریت آسیب‌پذیری ایجاد کند. راهکار، ایجاد یک نظام جامع مدیریت آسیب‌پذیری و سپس نگاشت آن به الزامات مختلف است.
همین رویکرد را می‌توان برای مدیریت دسترسی، ثبت رویدادها، مدیریت رخداد، پشتیبان‌گیری، مدیریت دارایی، امنیت تأمین‌کنندگان، مدیریت تغییرات، تداوم کسب‌وکار و سایر حوزه‌های امنیتی نیز به کار گرفت.
ضرورت استفاده از ابزارهای GRC
در شرایطی که بانک‌ها با حجم قابل‌توجهی از الزامات قانونی و نظارتی از سوی مراجع مختلف مواجه هستند، استفاده از ابزارهای GRC (Governance, Risk & Compliance) می‌تواند نقش مهمی در ایجاد یکپارچگی و کاهش موازی‌کاری داشته باشد. ابزارهای GRC این امکان را فراهم می‌کنند که الزامات مراجع مختلف، از جمله افتا، بانک مرکزی، سازمان پدافند غیرعامل و وزارت امور اقتصادی و دارایی، در یک مخزن متمرکز ثبت و مدیریت شده و ارتباط میان الزام، ریسک، کنترل، مسئول اجرا، وضعیت انطباق و شواهد به‌صورت ساختاریافته مشخص شود. به این ترتیب، بانک به جای مدیریت پراکنده الزامات در فایل‌ها و سامانه‌های متعدد، یک نمای واحد و قابل‌اتکا از وضعیت انطباق خود در اختیار خواهد داشت.
اهمیت GRC زمانی بیشتر آشکار می‌شود که یک کنترل امنیتی بتواند به‌طور هم‌زمان چند الزام مختلف را پوشش دهد. یک ابزار GRC مناسب می‌تواند این روابط را به‌صورت Cross-Mapping مدیریت کرده و از تولید مستندات و شواهد تکراری برای ارزیابی‌های مختلف جلوگیری کند. همچنین با استفاده از داشبوردهای مدیریتی، گردش کار، اعلان سررسید الزامات، مدیریت اقدامات اصلاحی و گزارش‌های تحلیلی، امکان پایش مستمر وضعیت انطباق و ارائه گزارش به مدیران ارشد و مراجع نظارتی فراهم می‌شود. در واقع، GRC می‌تواند بانک را از یک رویکرد “واکنشی و ممیزی‌محور” به سمت یک رویکرد “مستمر، داده‌محور و مبتنی بر ریسک” در مدیریت الزامات امنیت اطلاعات هدایت کند.
پیشنهاد به بانک‌ها: ایجاد “معماری انطباق امنیت اطلاعات“
بانک‌ها برای مدیریت این وضعیت می‌توانند یک Compliance Architecture یا «معماری انطباق امنیت اطلاعات» ایجاد کنند.
این معماری حداقل باید شامل پنج جزء باشد:
- مخزن مرکزی الزامات: ثبت تمامی قوانین، آیین‌نامه‌ها، بخشنامه‌ها و الزامات مرتبط با امنیت اطلاعات و سایبری.
- طبقه‌بندی الزامات: مشخص‌کردن مرجع صادرکننده، دامنه کاربرد، مالک الزام، تناوب ارزیابی و سطح اهمیت.
- ماتریس نگاشت الزامات به کنترل‌ها: مشخص‌کردن اینکه هر الزام توسط کدام کنترل یا مجموعه‌ای از کنترل‌ها پوشش داده می‌شود.
- مدیریت شواهد و مستندات: ایجاد یک منبع مشترک برای شواهد اجرای کنترل‌ها، به جای تولید مستندات مجزا برای هر ارزیابی.
- پایش مستمر انطباق: تبدیل انطباق از یک فعالیت دوره‌ای و ممیزی‌محور به یک فرایند مستمر که وضعیت کنترل‌ها و الزامات را به‌صورت مستمر پایش می‌کند.
نتیجه‌گیری
تعدد الزامات امنیتی برای بانک‌ها، در ذات خود یک ضعف نیست؛ بلکه نتیجه افزایش اهمیت امنیت سایبری، حساسیت زیرساخت بانکی و افزایش تهدیدات علیه نظام مالی کشور است. حتی در سال ۱۴۰۵ نیز موضوع میزان انطباق بانک‌ها با الزامات امنیتی و ضرورت ارزیابی و گزارش‌دهی وضعیت امنیت آنها همچنان مورد توجه جدی قرار دارد.
چالش اصلی زمانی ایجاد می‌شود که تعدد مراجع، به تعدد فرایندها، ارزیابی‌های موازی و تولید شواهد تکراری منجر شود.
بانک آینده‌نگر نباید امنیت اطلاعات را مجموعه‌ای از پروژه‌های جداگانه برای پاسخ‌گویی به نهادهای مختلف بداند. رویکرد اثربخش، ایجاد یک نظام یکپارچه امنیت اطلاعات و سپس نگاشت هوشمند آن به مجموعه الزامات قانونی و نظارتی کشور است.
در چنین رویکردی، هدف صرفاً این نیست که بانک بتواند بگوید: “ما با الزامات منطبق هستیم“. بلکه باید بتواند با اطمینان بیشتری بگوید: “ما قابلیت‌های امنیتی موردنیاز خود را ایجاد کرده‌ایم و می‌توانیم انطباق، اثربخشی و بلوغ این قابلیت‌ها را در برابر الزامات مختلف اثبات کنیم“؛ این تغییر از “انطباق برای ممیزی” به “امنیت برای کاهش ریسک”، شاید یکی از مهم‌ترین گام‌هایی باشد که بانک‌ها برای عبور از چالش تعدد الزامات امنیتی پیش رو دارند.
