چند بانک بزرگ در یک مرکز داده؛ هشدار درباره خطر اختلال گسترده در شبکه بانکی
حمله به زیرساخت‌های بانکی، ضعف مراکز داده متمرکز و نبود مسیرهای جایگزین، تاب‌آوری شبکه بانکی را در شرایط بحران با چالش مواجه کرده است. مدیران بانکی و فعالان حوزه فناوری اطلاعات در پنل «زیرساخت پایدار مرکز داده و حیات صنایع مالی و بانکی در زمان بحران» تاکید کردند عبور از این چالش‌ها تنها به راهکارهای فنی وابسته نیست و به اصلاح موانع حقوقی، تغییر فرهنگ سازمانی بانک‌ها و استفاده از ظرفیت شرکت‌های خصوصی نیز نیاز دارد.
تمرکز زیرساخت‌های بانکی، یکی از نقاط آسیب‌پذیر در شرایط بحران
مرتضی ترک‌تبریزی، رئیس هیئت‌مدیره بانک تجارت، تمرکز زیرساخت‌های بانکی در تعداد محدودی از مراکز داده را یکی از چالش‌های مهم تاب‌آوری شبکه بانکی دانست. به باور او، با وجود توسعه فناوری‌های توزیع‌شده، همچنان بخشی از نگاه حاکم بر زیرساخت‌های بانکی بر الگوهای متمرکز گذشته است؛ الگویی که می‌تواند در زمان بروز بحران، ریسک اختلال گسترده در خدمات بانکی را افزایش دهد.
ما چند بانک بزرگ را در یک سایت زیرساختی مستقر کرده‌ایم و تصور می‌کنیم همه‌چیز امن است؛ در حالی که اگر حادثه‌ای در چنین زیرساخت متمرکزی رخ دهد، تبعات آن می‌تواند کل نظام بانکی را تحت تاثیر قرار دهد.
– مرتضی ترک‌تبریزی، رئیس هیئت‌مدیره بانک تجارت
او با بیان اینکه نگاه به زیرساخت‌های بانکی همچنان تحت تاثیر تفکر تمرکزگرایانه گذشته است، گفت: «با وجود توسعه فناوری‌هایی مانند بلاکچین و راهکارهای نرم‌افزاری و زیرساخت‌های توزیع‌شده، همچنان بر تمرکزگرایی اصرار داریم. در بسیاری از موارد نیز رویکردهای امنیتی باعث شده‌اند دست بخش خصوصی برای استفاده از ظرفیت‌ها و فناوری‌های جدید بسته بماند.»
رئیس هیئت‌مدیره بانک تجارت با اشاره به چالش‌های زیرساختی نظام بانکی افزود: «برخی نرم‌افزارهای مورد استفاده بانک‌ها به‌روز نیستند و سخت‌افزارها نیز از استانداردهای روز فاصله دارند. علاوه بر این، درباره استقلال واقعی زیرساخت بانک‌ها از یکدیگر نیز ابهام‌هایی وجود دارد. ممکن است در ظاهر گفته شود سیستم‌ها کاملاً از یکدیگر جدا هستند، اما در عمل چنین استقلالی وجود نداشته باشد.»
ترک‌تبریزی با اشاره به تجربه اختلال‌های گسترده در زیرساخت‌های بانکی گفت: «ما قبلا از این رویکرد آسیب دیده‌ایم؛ در یک مقطع، اختلالی گسترده باعث شد سیستم‌های بانکی حدود ۴۵ روز با مشکل مواجه شوند. با این حال، هنوز هم گاهی همان الگوی تمرکزگرایی را دنبال می‌کنیم.»
او استفاده از فناوری‌های جدید را یکی از راهکارهای کاهش آسیب‌پذیری زیرساخت‌های بانکی دانست و گفت بلاکچین می‌تواند در بخش‌هایی از زیرساخت سخت‌افزاری و نرم‌افزاری کاربرد داشته باشد. همچنین بانک‌ها باید به سمت راهکارهایی حرکت کنند که امکان دریافت خدمات از چند محل و ایجاد سایت‌های پشتیبان مستقل را فراهم کند.
تجربه بانک تجارت در مواجهه با بحران زیرساختی
رئیس هیئت‌مدیره بانک تجارت در ادامه به اقدامات این بانک برای آمادگی در برابر بحران اشاره کرد و گفت: «بانک تجارت از حدود سه سال پیش پروژه‌ای با عنوان تداوم کسب‌وکار (BCP) تعریف کرده است تا مشخص شود در صورت بروز اختلال در بخش‌های مختلف زیرساخت، چه اقداماتی باید انجام شود.»
به گفته ترک‌تبریزی، این برنامه‌ریزی در یکی از بحران‌های اخیر به کمک بانک تجارت آمد؛ زمانی که ارائه‌دهنده اصلی بخشی از سیستم‌های بانک با اختلال مواجه شد، اقدامات پیش‌بینی‌شده در قالب برنامه‌های بازیابی بحران (DRP) و راهکارهای جایگزین باعث شد بانک بتواند طی دو تا سه روز دوباره عملیاتی شود. با این حال، بازگشت سوئیچ بانکی به چرخه فعالیت حدود ۲۰ روز زمان برد.
تجربه بانک تجارت نشان می‌دهد برنامه‌ریزی برای تداوم خدمات باید پیش از وقوع بحران انجام شود و بانک‌ها نباید در زمان بروز اختلال به دنبال راهکارهای جایگزین باشند.
– مرتضی ترک‌تبریزی، رئیس هیئت‌مدیره بانک تجارت
ترک‌تبریزی همچنین بر ضرورت استفاده بیشتر از ظرفیت بخش خصوصی در توسعه و مدیریت زیرساخت‌های بانکی تاکید کرد و گفت: «من که در حوزه بانکداری فعالیت می‌کنم، نباید درگیر اتصال سایت‌ها، شبکه و انتقال فایل‌ها باشم. وظیفه اصلی ما باید تأمین مالی، ارائه خدمات بانکی و حل مشکلات مشتریان باشد.»
او به محدودیت‌های ناشی از تحریم و وابستگی به ارائه‌دهندگان خارجی خدمات فناوری اطلاعات نیز اشاره کرد: «تحریم نباید بهانه‌ای برای متوقف‌شدن فعالیت‌ها باشد. بانک‌ها باید برای تامین خدمات موردنیاز خود به دنبال ارائه‌دهندگان جایگزین باشند و از ظرفیت شرکت‌های خصوصی و متخصص داخلی استفاده کنند تا بتوانند وابستگی به زیرساخت‌های متمرکز را کاهش دهند و تاب‌آوری خدمات بانکی را در شرایط بحران افزایش دهند.»
ترس از تبعات قضایی، مانع تصمیم‌گیری برای انتقال داده‌های بانکی است
مجید غیوری ثالث، رئیس هیئت‌مدیره هلدینگ داده‌پردازی بانک پارسیان، در این پنل با اشاره به تجربه حمله به زیرساخت‌های بانک سپه در جنگ ۱۲ روزه، بر ضرورت بازنگری در نگاه به امنیت و تاب‌آوری مراکز داده تاکید کرد. به گفته او، تجربه جنگ نشان داد مراکز داده و تجهیزات فیزیکی آن‌ها نیز می‌توانند مستقیم هدف حمله قرار بگیرند.
او با اشاره به تعدد نهادهای نظارتی در حوزه بانکی و فناوری اطلاعات توضیح داد: «پس از وقوع حادثه، مدیران و مسئولان فنی باید به نهادهای مختلف پاسخ دهند. در تجربه بانک سپه، بخش زیادی از زمان و انرژی مدیران صرف پاسخ‌گویی به نهادهای نظارتی و امنیتی می‌شد؛ به‌گونه‌ای که گاهی به‌جای تمرکز بر بازگرداندن خدمات، باید به نگرانی‌ها و پرسش‌های متعدد پاسخ می‌دادند.»
به گفته غیوری ثالث، از نظر فنی، منطقی و حتی قانونی، انتقال داده‌ها و ایجاد زیرساخت‌های جایگزین اقدامی ضروری است اما مساله این است که مدیران و تصمیم‌گیرندگان نمی‌دانند در صورت وقوع حادثه، چه نهادی مسئولیت تصمیم آن‌ها را می‌پذیرد. هیچ تضمینی وجود ندارد که در صورت وقوع چنین اتفاقی، مدیران بتوانند بدون نگرانی از تبعات قضایی و نظارتی پاسخ‌گو باشند.
رئیس هیئت‌مدیره هلدینگ داده‌پردازی بانک پارسیان با اشاره به تجربه مذاکرات برای استفاده از مراکز داده جایگزین گفت: در مقطعی تلاش شد برای استفاده از زیرساخت‌های شرکت‌های دیگر و انتقال بخشی از خدمات به مراکز داده جایگزین برنامه‌ریزی شود. حتی گزینه‌هایی مانند خرید یا استفاده از یک مرکز داده و ساختمان مستقل نیز مطرح شد؛ اما نگرانی از تبعات تصمیم‌گیری همچنان وجود داشت. او با تاکید بر ضرورت تعیین چارچوب مشخص برای مسئولیت مدیران در شرایط بحران افزود:
لازم است این موضوع در سطوح بالاتر مدیریتی و حاکمیتی بررسی شود تا مدیران بدانند در صورت انجام اقدامات پیشگیرانه و اتخاذ تصمیم‌های لازم برای حفاظت از زیرساخت‌ها، در صورت وقوع حادثه چگونه با آن‌ها برخورد خواهد شد. بدون ایجاد چنین اطمینانی، ممکن است تصمیمی که از نظر فنی و منطقی درست است، در عمل به دلیل نگرانی از تبعات آن اجرا نشود.
– مجید غیوری ثالث، رئیس هیئت‌مدیره هلدینگ داده‌پردازی بانک پارسیان
ضرورت استفاده از دیتاسنترهای ماژولار و کانتینری
او در بخش دیگری از صحبت‌هایش با اشاره به راهکارهای جدید توسعه مراکز داده گفت: «باید ببینیم ارائه‌دهندگان خدمات زیرساختی در دنیا چگونه برای شرایط اضطراری برنامه‌ریزی می‌کنند. یکی از راهکارهایی که می‌توان به آن توجه کرد، استفاده از دیتاسنترهای ماژولار و کانتینری است.»
به گفته او، در این مدل‌ها لزوماً نیازی نیست یک ساختمان بزرگ و ثابت به‌عنوان مرکز داده ساخته شود؛ بلکه می‌توان از زیرساخت‌های ماژولار و کانتینری استفاده کرد که در محل‌های مختلف مستقر شوند و در شرایط اضطراری، امکان ارائه خدمات و بازیابی زیرساخت‌ها را فراهم کنند.
استفاده از ظرفیت بخش خصوصی به فرهنگ سازمانی بانک‌ها وابسته است
مسعود وکیلی‌نیا، مدیرعامل و عضو هیئت‌مدیره هلدینگ تفتا، نیز در این پنل استفاده محدود بانک‌های ایرانی از ظرفیت شرکت‌های خصوصی در حوزه مراکز داده را ناشی از چند عامل دانست. به اعتقاد او، یکی از مهم‌ترین این عوامل، فرهنگ سازمانی بانک‌ها و تمایل آن‌ها به در اختیار داشتن زیرساخت‌ها و خدمات در داخل مجموعه است. از سوی دیگر، بانک‌ها معمولا با محدودیت منابعی مواجه نیستند که آن‌ها را ناگزیر به استفاده از خدمات بیرونی کند.
مدیرعامل هلدینگ تفتا تاکید کرد که موانع قانونی تنها دلیل استفاده نکردن بانک‌ها از ظرفیت بخش خصوصی نیستند. او معتقد است اگر بانک‌ها به این نتیجه برسند که استفاده از خدمات شرکت‌های خصوصی برای آن‌ها فرصت ایجاد می‌کند، می‌توانند برای اصلاح یا تغییر الزامات موجود نیز اقدام کنند.
وکیلی‌نیا همچنین به رشد شرکت‌های خصوصی فعال در حوزه مراکز داده اشاره کرد و گفت برخی از این شرکت‌ها طی چهار تا پنج سال گذشته به سطح قابل قبولی از توانمندی و کیفیت خدمات رسیده‌اند. به باور او، گفت‌وگوی موثر میان شرکت‌های ارائه‌دهنده خدمات مراکز داده، بانک‌ها و نهادهای حاکمیتی از جمله وزارت امور اقتصادی و دارایی هنوز به سطح مطلوب نرسیده است.
وکیلی‌نیا در بخش دیگری از صحبت‌هایش تاکید کرد که مساله استفاده از ظرفیت‌های بیرونی فقط به شرکت‌های خصوصی محدود نمی‌شود و همکاری میان خود بانک‌ها نیز می‌تواند به افزایش بهره‌وری زیرساخت‌ها کمک کند. به گفته او، تا پیش از ابلاغ بخشنامه بانک مرکزی و الزام بانک‌ها به استفاده از ظرفیت سایر بانک‌ها، کمتر بانکی از زیرساخت‌ها و امکانات بانک‌های دیگر استفاده می‌کرد.
