امنیت بانک داری دیجیتال در ایران: ریسک ها و راهکارهای عملی

بانکداری در ایران طی سال های اخیر بیش از هر زمان دیگری به زیرساخت های دیجیتال وابسته شده است. بخش بزرگی از کارهایی که زمانی فقط در شعبه انجام میشد، امروز از طریق همراه بانک، اینترنت بانک، درگاه های پرداخت، APIها و سامانه های غیرحضوری انجام می شود. این تحول برای مشتریان سرعت و دسترسی بیشتری ایجاد کرده، اما همزمان سطح حمله بانکها و شرکت های فعال در اکوسیستم مالی را نیز گسترش داده است.

در سال ۲۰۲۶ دیگر نمیتوان امنیت بانکداری دیجیتال را صرفا با نصب آنتی ویروس، تهیه نسخه پشتیبان یا آموزش تشخیص پیامهای فیشینگ تعریف کرد. بانک مدرن مجموعه ای از مراکز داده، سرویس های ابری و خصوصی، APIها، تجهیزات کاربران، سامانههای هویت، پیمانکاران، شرکت های پرداخت، نرم افزارهای قدیمی و جدید و ارتباطات متعدد با اشخاص ثالث است. مهاجم نیز معمولا ضعیف ترین حلقه همین زنجیره را جست و جو می کند.

در چنین محیطی، اعتماد مشتری مستقیما به امنیت گره خورده است. مشتری انتظار دارد پول، اطلاعات هویتی و سوابق مالی او محفوظ بماند و خدمات نیز در زمان مورد نیاز در دسترس باشند. بنابراین امنیت فقط مسئله واحد فناوری اطلاعات نیست، بلکه بخشی از مدیریت ریسک و تداوم کسب و کار بانک است.

امنیت بانک داری دیجیتال چرا یک مسئله سازمانی است؟

یک تصور قدیمی این است که وظیفه تیم امنیت، جلوگیری از ورود مهاجم به شبکه داخلی است. معماری سامانه های بانکی امروز نشان میدهد این نگاه کافی نیست. مرز سنتی شبکه کمرنگ تر شده و سازمان باید فرض کند یک حساب کاربری، لپتاپ، سرور یا حتی یکی از تأمین کنندگانش ممکن است روزی در معرض نفوذ قرار گیرد.

به همین دلیل استانداردها و چارچوب های جدید امنیت سایبری بر مدیریت ریسک، کنترل هویت، پایش مستمر، تفکیک دسترسی ها و توانایی شناسایی و پاسخ سریع به حادثه تأکید دارند. NIST Cybersecurity Framework 2.0 با اضافه کردن محور Governance نیز اهمیت حاکمیت امنیت و مسئولیت مدیران ارشد را پررنگ تر کرده است. ISO/IEC 27001:2022، اصول معماری Zero Trust و الزامات PCI DSS 4.0.1 برای محیط هایی که در دامنه داده های کارت قرار می گیرند نیز نمونه هایی از مراجع مهم برای طراحی کنترل های امنیتی هستند.

این رویکرد برای شرکت هایی که با خدمات مالی در ارتباط اند نیز اهمیت دارد. یک شرکت متوسط ممکن است به اندازه یک بانک نیروی امنیتی نداشته باشد، اما اتصال آن به سامانه های مالی یا نگهداری اطلاعات حساس می تواند برای مهاجم جذاب باشد. به همین دلیل طراحی امنیت سایبری برای کسب و کارهای متوسط باید متناسب با ریسک واقعی، دارایی ها و توان عملیاتی سازمان انجام شود و صرفا به خرید چند ابزار محدود نشود.

۵ ریسک اصلی بانک داری دیجیتال در سال ۲۰۲۶

ریسک های بانکی فقط از رفتار مشتری ناشی نمی شوند. اتفاقا برخی از مهمترین تهدیدها در لایه های زیرساخت، هویت، زنجیره تأمین و نرم افزار قرار دارند.

۱. نفوذ سایبری و حرکت جانبی در شبکه

مهاجم همیشه از سامانه اصلی بانک شروع نمی کند. یک رایانه کارمند، VPN، سرویس اینترنتی آسیب پذیر، حساب مدیریتی یا سامانهای که بروزرسانی نشده است میتواند نقطه آغاز نفوذ باشد. مسئله مهمتر مرحله بعد از ورود است. مهاجم تلاش میکند سطح دسترسی خود را افزایش دهد، اطلاعات لازم را جمع آوری کند و از یک بخش شبکه به بخش دیگر حرکت کند.

شبکه تخت و دسترسی بیش از حد کاربران و سرویس ها، خسارت چنین نفوذی را افزایش می دهد. بخشبندی شبکه، اصل حداقل دسترسی، مدیریت حساب های ممتاز، احراز هویت چندعاملی مقاوم در برابر فیشینگ برای دسترسی های حساس و پایش رفتار کاربران و تجهیزات، از کنترلهای مهم این بخش هستند.

در بانکها و مجموعه های بزرگ، تعداد زیاد Endpoint، سرور و سرویس باعث می شود مدیریت جداگانه هشدارهای امنیتی کافی نباشد. راهکارهای امنیت سایبری سازمانی زمانی ارزش عملی پیدا می کنند که حفاظت، مشاهده پذیری، تشخیص و پاسخ به رخداد در قالب یک معماری هماهنگ دیده شوند.

۲. سرقت هویت، اعتبارنامه و اطلاعات مالی

نام کاربری و رمز عبور همچنان هدف مهمی هستند، اما سرقت هویت دیجیتال در سال ۲۰۲۶ شکل پیچیده تری پیدا کرده است. سرقت Cookie یا Session، حملات مبتنی بر Token، سوءاستفاده از فرایند بازیابی حساب، Credential Stuffing و حتی فریب کارکنان مرکز تماس میتوانند کنترل حساب را در اختیار مهاجم قرار دهند.

هوش مصنوعی مولد نیز جعل صدا، تصویر و پیام های متقاعدکننده را کم هزینه تر کرده است. در نتیجه بانک نباید احراز هویت مشتری یا کارمند را صرفا به دانستن چند پاسخ، دریافت یک پیام یا تشخیص ظاهری فرد وابسته کند.

مدیریت چرخه عمر هویت، کنترل دسترسی مبتنی بر ریسک، MFA مناسب، محدودسازی نشست ها و تحلیل رفتار حساب میتواند احتمال موفقیت این حملات را کاهش دهد. برای دسترسی های بسیار حساس، روشهای مقاوم در برابر فیشینگ مانند کلیدهای امنیتی و استانداردهایی نظیر FIDO2 میتوانند نسبت به روشهای مبتنی بر رمز عبور مقاومت بیشتری ایجاد کنند.

انتخاب فناوری نیز تنها بخشی از این مسیر است. سازمان باید پشتیبانی، تخصص اجرایی، اصالت مجوزها و توان پاسخگویی تأمین کننده را در ارزیابی خود لحاظ کند. برای نمونه، گروه آتنا نماینده رسمی کسپرسکی می تواند در مرحله بررسی تأمین کنندگان و راهکارهای امنیتی موارد ارزیابی سازمانی را انجام دهد. تصمیم نهایی بهتر است بر اساس معماری، نیاز عملیاتی، الزامات رگولاتوری و ارزیابی ریسک مستقل گرفته شود.

۳. باج افزار و اخاذی مبتنی بر سرقت داده

باج افزار دیگر صرفا برنامه ای برای رمزگذاری فایل ها نیست. مهاجمان حرفه ای ممکن است ابتدا هفته ها در شبکه حضور داشته باشند، دسترسی های مدیریتی به دست آورند و حجم قابل توجهی اطلاعات را خارج کنند. سپس رمزگذاری، تهدید به انتشار اطلاعات یا هر دو را برای اعمال فشار به کار بگیرند.

برای یک بانک، پیامد حادثه میتواند فراتر از هزینه بازیابی باشد. توقف سرویس، اختلال در عملیات، افشای اطلاعات، هزینه بررسی جرم شناسی دیجیتال و کاهش اعتماد مشتری همگی باید در سناریوی ریسک لحاظ شوند.

نسخه پشتیبان در اینجا ضروری است اما به تنهایی راهکار نیست. Backup باید در برابر حذف و دستکاری محافظت شود و بازیابی آن به صورت واقعی آزمایش شده باشد. همزمان Endpointها و سرورها باید پایش شوند و رفتارهای مشکوک، اجرای ابزارهای غیرمجاز و تلاش برای افزایش سطح دسترسی در اسرع وقت شناسایی شوند.

۴. APIها، اپلیکیشن ها و آسیبپذیری های زنجیره نرم افزار

بانکداری باز و توسعه خدمات مبتنی بر API، ارتباط میان بانک، فینتک و سایر ارائه دهندگان را بیشتر کرده است. هر API جدید میتواند یک قابلیت تجاری و در عین حال یک سطح حمله جدید باشد.

احراز هویت ناقص API، کنترل ضعیف مجوزها، افشای اطلاعات اضافی، نبود محدودیت مناسب برای درخواست ها و اشتباهات منطقی در فرایند تراکنش از جمله ریسک های مهم هستند. بسیاری از این مشکلات نیز با یک فایروال سنتی به تنهایی قابل مدیریت نیستند.

امنیت باید از مرحله طراحی نرم افزار آغاز شود. استفاده از Secure SDLC، تحلیل امنیتی کد، آزمون امنیتی پویا، مدیریت وابستگی های نرم افزاری، مدیریت اسرار و کلیدها و کنترل تغییرات از اقدامات ضروری است. راهنماهای OWASP، به ویژه موارد مرتبط با API Security، در این زمینه مرجع عملی مناسبی محسوب می شوند.

زنجیره تأمین نرم افزار نیز باید بررسی شود. کتابخانه های متن باز، بروزرسانی های نرم افزاری، شرکت های پیمانکار و ابزارهای مدیریت از راه دور هر یک ممکن است مسیری برای نفوذ ایجاد کنند. تهیه فهرست اجزای نرم افزاری یا SBOM در موارد مناسب میتواند دید سازمان نسبت به وابستگی ها و آسیبپذیری های مرتبط را افزایش دهد.

۵. ریسک اشخاص ثالث و دسترسی های مدیریتی

بانکها در خلأ فعالیت نمی کنند. شرکتهای نرم افزاری، پیمانکاران زیرساخت، ارائه دهندگان خدمات، مراکز تماس و مجموعه های متعدد دیگری ممکن است به بخشی از سیستم یا اطلاعات دسترسی داشته باشند.

اشتباه مهم این است که پس از عقد قرارداد، دسترسی پیمانکار برای مدت نامحدود باز بماند. دسترسی شخص ثالث باید حداقلی، زماندار و قابل ثبت و پایش باشد. در بخشهای حساس، نشستهای مدیریتی نیز باید ثبت و در صورت لزوم بازبینی شوند.

ارزیابی ریسک تأمین کنندگان نباید صرفا به یک پرسشنامه ابتدایی محدود شود. الزامات امنیتی باید وارد قرارداد شود، مسئولیت طرفین در رخداد سایبری مشخص باشد و فرایند خاتمه دسترسی نیز تعریف شود.

از پیشگیری صرف تا تشخیص و پاسخ سریع

هیچ معماری معقولی وعده نمی دهد که صددرصد حملات را متوقف کند. به همین علت دو سؤال مهم برای یک بانک وجود دارد: اگر مهاجم وارد شد، چه زمانی متوجه می شویم و پس از شناسایی چقدر سریع میتوانیم دامنه حادثه را محدود کنیم؟

جمع آوری Log بدون تحلیل مؤثر پاسخ این مسئله نیست. بانک باید دید مناسبی از Endpointها، شبکه، هویت، سرورها، برنامه های کاربردی و تجهیزات امنیتی داشته باشد. رویدادهای مهم باید به یکدیگر مرتبط شوند تا یک هشدار کوچک در یک سیستم، در کنار رفتار مشکوک سیستم دیگری معنای خود را نشان دهد.

مرکز عملیات امنیت یا SOC نیز تنها زمانی مؤثر است که فرایندهای عملیاتی مشخص داشته باشد. اینکه در صورت مشاهده حساب مدیریتی مشکوک چه کسی میتواند آن را مسدود کند، چه کسی مسئول جداسازی Endpoint است و چه زمانی تیم حقوقی، مدیریت ارشد و روابط عمومی وارد فرایند میشوند باید پیش از حادثه تعیین شده باشد.

نقش بانک ها و نهاد ها در ایجاد یک محیط امن

مسئولیت امنیت بانک داری دیجیتال را نمی توان کاملا به مشتری منتقل کرد. آموزش مشتری برای تشخیص صفحات جعلی و پیام های مشکوک لازم است، اما بانک نیز باید سامانه را به شکلی طراحی کند که یک اشتباه انسانی تا حد امکان به خسارت جدی منجر نشود.

در سطح بانک، هیئت مدیره و مدیران ارشد باید تصویر روشنی از ریسک سایبری داشته باشند. شاخصه ایی مانند زمان کشف و مهار حادثه، تعداد دسترسی های ممتاز، وضعیت وصله آسیبپذیری های بحرانی، پوشش MFA، آمادگی بازیابی خدمات و ریسک اشخاص ثالث، اطلاعات مدیریتی ارزشمندتری نسبت به تعداد خام هشدارهای امنیتی هستند.

نهادهای تنظیم گر نیز با تعیین حداقل الزامات، استانداردسازی گزارش رخدادها، نظارت و تشویق به اشتراک گذاری کنترل شده اطلاعات تهدید میتوانند تاب آوری کل اکوسیستم مالی را افزایش دهند. در عین حال، هر چارچوب بین المللی باید با قوانین، مقررات، الزامات بانک مرکزی و محدودیت های عملیاتی داخل ایران تطبیق داده شود.

معماری Zero Trust چه کمکی به بانک می کند؟

Zero Trust به معنی بی اعتماد بودن به همه کاربران نیست. اصل مهم آن این است که قرار داشتن کاربر یا سیستم در شبکه داخلی به خودی خود نباید مجوز اعتماد دائمی ایجاد کند.

هویت کاربر، وضعیت دستگاه، حساسیت منبع، مکان و شرایط درخواست می توانند در تصمیم گیری دسترسی نقش داشته باشند. برای مثال، یک کارمند واحد مالی لزوما نباید از هر دستگاهی و در هر شرایطی بتواند به یک سامانه حساس دسترسی کامل داشته باشد.

اجرای Zero Trust نیز پروژهای نیست که با خرید یک محصول تمام شود. شناخت دارایی ها، طبقه بندی اطلاعات، مدیریت هویت، تفکیک شبکه و پایش مداوم اجزای اصلی این مسیر هستند.

آینده بانک داری امن در ایران

بانک داری ایران در سالهای آینده احتمالا بیشتر به APIها، احراز هویت دیجیتال، تحلیل داده و اتوماسیون وابسته خواهد شد. استفاده گسترده تر از هوش مصنوعی نیز هم فرصت و هم ریسک ایجاد میکند. بانکها میتوانند از تحلیل های پیشرفته برای کشف تقلب و رفتار غیرعادی استفاده کنند، در حالی که مهاجمان نیز از همین فناوری برای مهندسی اجتماعی، جعل محتوا و خودکارسازی بخشی از عملیات خود بهره خواهند گرفت.

تهدید دیگر، افزایش سرعت حملات است. در چنین شرایطی فرایندهایی که برای بررسی یک هشدار به چند روز زمان نیاز دارند، کارایی گذشته را نخواهند داشت. اتوماسیون کنترل شده در کنار تحلیل انسانی می تواند زمان تشخیص و مهار را کاهش دهد.

در کنار فناوری، تابآوری سایبری اهمیت بیشتری پیدا خواهد کرد. هدف تنها جلوگیری از حادثه نیست، بلکه بانک باید بتواند هنگام حمله، خدمات حیاتی را حفظ کند و پس از حادثه نیز در زمان قابل قبول به وضعیت پایدار برگردد.

برای بانکها و مجموع ههای مالی ایران، مسیر مناسب در سال ۲۰۲۶ حرکت از امنیت ابزارمحور به سمت مدیریت مستمر ریسک و تاب آوری سایبری است. سازمانی که دارایی های خود را می شناسد، دسترسی ها را کنترل میکند، رفتار شبکه و سیستم ها را می بیند، برای رخداد تمرین میکند و امنیت تأمین کنندگان خود را نیز جدی میگیرد، در برابر تهدیدهای جدید موقعیت بسیار بهتری خواهد داشت.