رتبهٔ امنیت بانک‌ها محرمانه ماند؛ یک ماه برای رفع نقص‌ها

در نشست ۲۸ مهر ۱۴۰۵ در مرکز ملی فضای مجازی، رتبه‌های امنیت سایبری بانک‌های ایران به مدیران آن‌ها اعلام شد و بانک‌ها یک ماه برای رفع نقص‌های احتمالی فرصت یافتند. نمایندگان بانک مرکزی، مرکز مدیریت افتا و سازمان بازرسی کل کشور نیز در نشست حضور داشتند. با این حال، نام و جایگاه بانک‌ها هنوز برای مشتریان منتشر نشده است.

سیدمحمدامین آقامیری، رئیس مرکز ملی فضای مجازی، در توضیح روند اعلام نتایج گفت: «گزارش اولیه محرمانه است». پس از فرصت اصلاح، دستگاه هماهنگ‌کننده دوباره ارزیابی می‌کند و گزارش نهایی را برای اطلاع‌رسانی عمومی به مرکز می‌فرستد. بنابراین هنوز نمی‌توان از این ارزیابی نام بانکی را به‌عنوان امن‌ترین یا کم‌امنیت‌ترین بانک معرفی کرد.

رتبه‌بندی انجام شده؛ کارنامهٔ عمومی هنوز منتشر نشده است

اعلام رتبه به مدیران بانک‌ها یعنی مرحلهٔ اولیهٔ سنجش به نتیجه رسیده است. نمایندگان افتا روند بررسی اقدام‌های امنیت سایبری بانک‌ها را در نشست تشریح کردند و هر بانک از جایگاه خود آگاه شد. این اطلاع‌رسانی به مسئولان بانک‌ها امکان می‌دهد نقص‌های احتمالی شناسایی‌شده در ارزیابی را پیگیری کنند.

مرکز ملی فضای مجازی گزارش تصویری نشست اعلام رتبه‌بندی بانک‌ها را در بخش چندرسانه‌ای وبگاه خود فهرست کرده است. برگزاری نشست و ثبت آن، به معنی در دسترس قرار گرفتن رتبه‌ها برای مردم نیست: گزارشی که اکنون دربارهٔ آن صحبت می‌شود، همان گزارش اولیهٔ محرمانه است.

برای مشتری، تفاوت این دو مرحله تعیین‌کننده است. اینکه بانکی نتیجهٔ ارزیابی خود را دریافت کرده، دربارهٔ جایگاهش در مقایسه با بانک‌های دیگر چیزی به مشتری نمی‌گوید. در اطلاعات عمومی این نشست، جدولی از نام بانک‌ها و رتبهٔ آن‌ها ارائه نشده و امتیازها یا فاصلهٔ بانک‌ها از یکدیگر نیز روشن نیست.

جزئیات کامل شاخص‌ها و وزن هر شاخص هم همراه با خبر اعلام رتبه‌های اولیه در اختیار مردم قرار نگرفته است. در نتیجه، حتی اگر کسی از وجود ارزیابی آگاه باشد، نمی‌تواند نتیجهٔ یک بانک معین را از روی شهرت آن، تجربهٔ استفاده از خدماتش یا خبری دربارهٔ یک اختلال حدس بزند. هرکدام از این‌ها موضوعی متفاوت از رتبهٔ حاصل از سنجش اعلام‌شده است.

مهلت اصلاح چگونه به نتیجهٔ نهایی می‌رسد

مسیر اعلام‌شده سه مرحلهٔ مشخص دارد: نتیجهٔ اولیه به بانک می‌رسد، بانک برای رفع ایرادهای احتمالی فرصت دارد و پس از آن ارزیابی تکرار می‌شود. گزارش حاصل از بررسی دوباره قرار است به مرکز ملی فضای مجازی برسد تا نتایج برای مردم منتشر شود. آنچه مشتری در آینده خواهد دید باید به این مرحلهٔ نهایی مربوط باشد، نه جایگاه محرمانهٔ فعلی.

فرصت اصلاح به این دلیل در فرایند قرار گرفته که بانک بتواند به موارد شناسایی‌شده بر اساس شاخص‌های ارزیابی رسیدگی کند. ممکن است اقدام‌های اصلاحی در سنجش بعدی بر جایگاه یک بانک اثر بگذارند؛ این یک امکان است و اکنون تغییری برای بانک مشخصی گزارش نشده است. رتبهٔ اولیه را نباید به‌جای نتیجه‌ای قرار داد که پس از بازبینی به دست خواهد آمد.

پایان فرصت بانک‌ها نیز به‌تنهایی تاریخ انتشار عمومی نیست. نخست باید ارزیابی مجدد انجام شود و گزارش نهایی به مرکز برسد. برای اعلام نتیجه به مردم، روز قطعی جداگانه‌ای در خبر نشست تعیین نشده است؛ بنابراین از مهلت اصلاح نمی‌توان تاریخ دقیق انتشار جدول رتبه‌ها را محاسبه کرد.

این فاصله میان ابلاغ داخلی و انتشار عمومی، پرسش مهمی دربارهٔ شکل گزارش آینده باقی می‌گذارد. هنوز روشن نشده نتیجه با امتیاز عددی، رتبهٔ ترتیبی یا سطح‌بندی ریسک عرضه خواهد شد و چه اندازه از روش سنجش همراه آن منتشر می‌شود. پاسخ این پرسش‌ها تعیین می‌کند مشتری تا چه حد می‌تواند تفاوت میان بانک‌ها را بفهمد.

مشتری اکنون چه چیزی برای انتخاب بانک می‌داند

در وضعیت فعلی، مشتری می‌داند بانک‌های کشور ارزیابی شده‌اند و نتیجهٔ اولیه به مدیران رسیده است؛ اما دربارهٔ رتبهٔ بانک مورد استفادهٔ خود دادهٔ عمومی ندارد. این خبر فعلاً مبنایی برای کنار هم گذاشتن نام بانک‌ها از نظر امنیت سایبری فراهم نمی‌کند. تصمیم دربارهٔ خدمات بانکی را نمی‌توان به جدولی نسبت داد که هنوز منتشر نشده است.

هدف اعلام‌شده برای انتشار عمومی، آگاه‌کردن استفاده‌کنندگان از وضعیت خدمات‌دهندگان است تا بتوانند میزان ریسک قابل‌پذیرش خود را در انتخاب بانک در نظر بگیرند. این هدف زمانی برای مشتری کاربرد عملی پیدا می‌کند که نتیجه به بانک معینی قابل انتساب باشد و معنای رتبه یا سطح اعلام‌شده نیز توضیح داده شود. صرف اطلاع از برگزاری ارزیابی چنین مقایسه‌ای را ممکن نمی‌کند.

رتبهٔ مطلوب، اگر برای بانکی در گزارش نهایی اعلام شود، وضعیت آن بانک را در چارچوب معیارها و زمان همان سنجش نشان می‌دهد. چنین رتبه‌ای تضمین نبود رخداد سایبری یا اختلال خدمات در آینده نیست؛ وضعیت امنیتی می‌تواند تغییر کند و هیچ ارزیابی دوره‌ای تمام رخدادهای آینده را پیش‌بینی نمی‌کند. ارزش رتبه برای مقایسه نیز به روشن‌بودن دامنه و شیوهٔ سنجش وابسته است.

گام بعدی داستان، پایان فرصت اصلاح و انجام ارزیابی دوباره است. پس از آن باید دید مرکز ملی فضای مجازی نتیجهٔ نهایی را با چه سطحی از جزئیات دربارهٔ هر بانک منتشر می‌کند؛ همان داده‌ها نخستین امکان واقعی مشتری برای مقایسهٔ جایگاه امنیتی بانک‌ها در این طرح خواهد بود.

بیشتر بخوانید:

• Ramp یا Brex؛ طرح ارزان‌تر برای تیم جهانی الزاماً ارزان‌تر نمی‌ماند
• حذف My Activity کافی نیست؛ تاریخچهٔ Chrome و Timeline جدا می‌ماند
• Docker یا Podman بدون root؛ شباهت فرمان‌ها تفاوت امنیت را پنهان می‌کند