تبلیغات
باشگاه کارکنان بانک ایران زمین - امنیت اطلاعات در بانکداری الکترونیکی
حرکت اخیر سازمان ها، به ویژه سازمان های پولی - مالی به سمت جامعه اطلاعاتی و نقش موثر و تحول آفرین IT در این زمینه باعث شده است بانک ها به عنوان نهاد مالی و اعتباری مهم در هر نظام اقتصادی برای بقای خود در عصر اطلاعات، استانداردسازی امنیت اطلاعات را برای اجرای موثر و مناسب جدی بگیرند.
بدیهی است رابطه میان سودآوری یک موسسه مالی و ریسک حاکم برآن، یک رابطه تعیین کننده است. لذا؛ سود یک بنگاه اقتصادی که ازتعامل مستمر با مشتریانش به دست می آید، موضوعی است که امروزه برای تمامی واحدهای اقتصادی تعیین کننده است، زیرا مشتریانی به سمت یک موسسه مالی واعتباری روی می آورند که علاوه براطمینان بیش تر از اطلاعات و عملیات بانکی، سودآوری خود را نیز تضمین شده بدانند. ازسوی دیگر افزایش کیفیت و کمیت خدمات بانکی، راهکاری برای جذب مشتریان بیش تر است.
بانکداری الکترونیکی نیز از جمله خدمات جدیدی است که درسال های اخیر بانک ها و موسسات پولی و مالی به آن روی آورده اند.
بانکداری الکترونیکی به عنوان درگاهی درفضای وب می تواند از طریق تبادل اطلاعات، تمام عملیات مالی و اعتباری مشتریان را با موسسات پولی ومالی انجام دهد. بانکداری الکترونیکی دراستانداردسازی و دستیابی به سطح مشخصی از امنیت همواره مورد تاکید مشتریان و ذی نفعان موسسه پولی و مالی است.
اطلاعات گنجینه ای که تاچندی قبل در بایگانی های بانک ها نگهداری می شد، ازچندسال قبل وباتوسعه شبکه های محلی درون بانکی، به شبکه داخلی بانک ها راه یافت. درآن زمان اطلاعات محدودکاربران شبکه و اعمال کنترل های مدیریتی، محافظت های فیزیکی و محدود کردن تعداد افرادی که به سرویس ها و به ویژه سرویس های حساس دسترسی داشتند، موجب می شد تا مشکل خاصی بروز نکند.
اما اینک با اتصال شبکه های بانکی به شبکه های جهانی، همان گنجینه حساس در معرض دید و استفاده طیف وسیعی از مخاطبان در سراسر جهان قرار گرفته است. به علاوه این که بانک یک موسسه مالی باتراکنش های مالی فراوان است که این تراکنش ها با حجم بانک وافزایش خدمات جدیدبانکی که از ملزومات بقا در حوزه رقابتی بانک هااست، افزایش می یابد.
در این شرایط تامین امنیت همان گنجینه گرانمایه یعنی اطلاعات، بدون شک یکی ازضروریات هر بانکی است. حاصل تجربه و اقدامات انجام شده درطول دهه های گذشته درجهان، رویکردی است تحت عنوان سیستم مدیریت امنیت اطلاعات.
با ارایه اولین استاندارد مدیریت امنیت اطلاعات درسال ۱۹۹۵، نگرش سیستماتیک به مقوله امنیت اطلاعات شکل گرفت.
براساس این نگرش تامین امنیت اطلاعات دریک مجموعه بانکی، به یکباره ممکن نیست ولازم است این امربه صورت مداوم ودریک چرخه ایمن سازی شامل مراحل طراحی، پیاده سازی، ارزیابی واصلاح انجام گیرد. بنابراین لازم است هربانک براساس یک متدولوژی مشخص، ضمن تهیه طرح ها و برنامه امنیتی مورد نیاز، تشکیلات لازم جهت ایجاد و تداوم امنیت اطلاعات خود را نیز ایجاد کند.
بایک نگاه تاریخی، رویکرد مکانیزاسیون و نفوذ رایانه های شخصی در بانک های ایرانی به دهه ۱۳۶۰شمسی بر می گردد، شاید تا آن زمان ها تردیدها و مقاومت ها در به کارگیری رایانه های شخصی و فرآیندهای مکانیزه به دلیل تبعات ناشی از ریسک مالیاتی و سوء استفاده های ناشی ازمحیط سایبرنبوده بلکه عامل مقاومت درعدم آشنایی باپدیده فناوری اطلاعات وعادت کردن به فرآیندهای سنتی واجرایی شدن تمامی فرایندهابه روش سنتی بوده است. اخیرا با گسترش بانکداری الکترونیکی و ریسک پذیری بالای آن، حجم بالایی ازمطالعات امنیتی یک سازمان را در برمی گیرد.
ریسک عملیاتی بانکداری الکترونیکی و ضرر و زیان های ناشی از آن با گسترش و توسعه بانکداری الکترونیکی اینترانتی وافزایش کانال های دیجیتالی بدون حضورومراجعه مشتریان به شعبه نیز از اواخر دهه ۱۳۷۰شمسی آغازشده است.
گسترش خدمات ومحصولات بین بانکی ازطریق شبکه شتاب وراه اندازی سیستم تسویه ناخالص آنی (RTGS) بین بانک ها از سوی بانک مرکزی و ارایه خدمات برداشت وانتقال وجوه از طریق دستگاه های PINPAD، EFTوPOSبرغم تمامی مزیت هاورضایت مشتریان هنوزسابقه زیادی دربانکداری ایران ندارد و هنوز بسیاری ازمسایل مربوط به ریسک وسیستم های نظارتی مکانیزه ومشکلات ناشی ازآن برای بعضی ازبانک هاوموسسات مالی ومشتریان آشکارنشده است.
تبعات سوء ناشی از نبود مدیریت ریسک مبتنی برفناوری برای ردگیری تراکنش ها، مانیتورکردن کانال های توزیع دیجیتال می تواند به افزایش هزینه های سرباربانک هاوموسسات پولی ومالی منجرویاحتی ممکن است ارایه خدمات مبتنی برفناوری راباشکست مواجه کند.
وجودیک مشکل امنیتی می تواند یک بانک یاموسسه پولی ومالی رابه روش های متفاوتی تحت تاثیرقراردهد. آشنایی باعواقب خطرناک یک مشکل یاحفره امنیتی دریک موسسه پولی ومالی وشناسایی مهم ترین تهدیدات امنیتی که می تواند حیات یک موسسه پولی و مالی را با مشکل روبه رو کند، ازجمله مواردضروری به منظورطراحی و پیاده سازی یک مدل امنیتی دریک موسسه پولی و مالی است.
وجودحفره های امنیتی دریک موسسه پولی ومالی، می تواندپیامدهای منفی زیادی به دنبال داشته باشد که عبارتنداز:
▪ افزایش هزینه وکاهش درآمد
▪ خدشه به اعتباروشهرت یک موسسه پولی ومالی
▪ ازدست دادن داده واطلاعات مهم
▪ اختلال درفرایندهای جاری یک موسسه پولی ومالی
▪ سلب اعتمادمشتریان وسرمایه گذاران
پیامدهای قانونی به دلیل عدم ایجادیک سیستم ایمن وتاثیرجانبی منفی برفعالیت سایرموسسات پولی ومالی که هرکدام ازمواردبالا، ریسک های مربوط به خودرابه همراه خواهدداشت.
● رویکردهای متفاوت مدیریت خطرات امنیتی
اکثر سازمان ها به منظور مدیریت خطرات امنیتی از دو رویکرد مختلف استفاده می کنند.
۱) رویکردانفعالی:
فرآیندی است که براساس آن صرفا پس ازبروزیک حادثه امنیتی به آن پاسخ داده می شود. پس ازبروزیک مشکل امنیتی، کارشناسان فن آوری اطلاعات صرفا می توانند از پیشرفت مشکل جلوگیری کرده و پس از ایزوله کردن آن، مشکل سیستم های آلوده رابرطرف کند. متاسفانه برای بسیاری ازبانک هاوموسسات پولی ومالی همچنان رویکردهای انفعالی یک نگرش موثربه منظور برخورد با تهدیدات امنیتی است (پس از بروز مشکل در مورد حل مشکل تصمیم گیری میشودوبرای پیشگیری ازآن از رویکردخاصی پیروی نمی شود).
۲) رویکردپیشگیرانه:
فرآیندی است که باعث کاهش خطرآسیب پذیری دریک موسسه پولی ومالی می شود. مدیریت پیشگیری ازخطرات امنیتی مزایای زیادی نسبت به یک رویکردانفعالی دارد. باپیاده سازی کنترل هایی که کاهش آسیب پذیری سیستم وسوء استفاده ازآنها توسط نرم افزارهای مخرب رابه دنبال خواهدداشت، امکان سوء استفاده مهاجمان ازفرصت های ایجادشده کاهش یافته وپیشگیری لازمه انجام خواهدشد. موسسات پولی و مالی می بایست فرایند پاسخ به حوادث امنیتی را بهبود بخشیده و به طور همزمان ایجاد رویکردهای پیشگیرانه بلندمدت را در دستور کارخود قرار دهند. زیرا که بانکداری الکترونیکی درگاهی مجزا و نفوذپذیرتر از سایرکانال ها درصنعت بانکداری است.
● امنیت دربانکداری الکترونیکی
▪ روش های حفاظت امنیتی پیشنهادی بانک ها و مورد انتظار مشتریان عبارتند از:
▪ وضوح آدرس وب سایت تاییدشده موسسه پولی ومالی درنشریات بانک.
▪ تایید وب سایت ازطریق گواهینامه های دیجیتالی.
▪ حفاظت PIN و رمزعبور.
▪ استفاده ازصفحه کلیدهایی بامحرک موس یالمسی برای اطلاعات حساس.
▪ محافظت در برابر ویروس ها.
▪ پیاده سازی دیواره آتش.
▪ رمزگذاری حداقل ۱۲۸بیتی.
قراردادن محدودیت برای مشتریانی که دروب سایت شناسایی نشده اند و محدودیت دردسترسی به کدها.
موارد زیر برای افزایش اعتمادکاربران تجارت الکترونیکی و بانک الکترونیکی درجهت انجام فعالیت های اقتصادی وتجاری، مطرح می شود:
- محافظت: فرایندی که طی آن مشخص می شودکه مشتریان متقاعد می شوند تا اطلاعات شان به قدرکافی توسط گردآورندگان اطلاعات جمع آوری شود.
- تایید: به معنی اطمینان دادن به مشتری ازاین جهت است که تراکنش هایی که ازطریق وب سایت انجام می دهد با سایت واقعی و اصلی بانک موردنظرش انجام شده است.
- تصدیق: منظورازتصدیق این است که یک گروه سوم به عنوان ناظرحضورداشته باشدتاگواهی کندکه تراکنش ها بین چه افرادی صورت گرفته است وبه عبارتی فعالیت دراینترنت ازاین طریق گارانتی شود.
- رد انکار: مکانیسمی برای اطمینان ازاین است که کامپیوتر client(مشتری ) باسروربانک ارتباط برقرار کرده است وبالعکس. بنابراین افرادشرکت کننده در این ارتباطات قادر به انکار فعالیت خود نخواهندبود.
● محیط بانکداری اینترنتی
سه محیط اصلی درفضای اینترنتی وجوددارند:
۱) بانک،
۲) اینترنت
۳) کاربرکامپیوتر(مشتری تجاری خانگی یابانکی )
● نتیجه گیری:
بانک ها، موسسات پولی ومالی وموسسات تجاری باپیاده سازی یک استراتژی امنیتی ازمزایای زیربهره مندخواهندشد:
- افزایش مشتریان بانکی وبانکداری الکترونیکی باافزایش اطمینان مشتریان به موسسه پولی ومالی.
- سودآوری بیش تر موسسات پولی ومالی باجذب سرمایه های مشتریان افزوده شده.
- کاهش احتمال غیرفعال شدن سیستم هاوبرنامه ها.
- استفاده موثرازمنابع انسانی وغیرانسانی دریک موسسه پولی ومالی (افزایش بهره وری )
- کاهش هزینه ازدست دادن داده توسط ویروس های مخرب و یاحفره های امنیتی (حفاظت ازداده های ارزشمند).
- افزایش حفاظت ازمالکیت معنوی.
- دارابودن یک استراتژی برای مدیریت مخاطرات درمواقع لازم.
یک مشکل امنیتی که باعث ازبین رفتن اطلاعات مشتریان می شود، می تواندپیامدهای قانونی برای یک موسسه پولی ومالی به دنبال داشته باشد.