فصل سیاست - رئیس سازمان فناوری اطلاعات در نشست مجازی مجلس گفت: بودجه مرتبط و متوازن برای مسائل امنیت سایبری در دستگاهها وجود ندارد و این یک نقیصه جدی است.
به گزارش فصل سیاست ، محمدمحسن صدر، رئیس سازمان فناوری اطلاعات، در نشست علنی امروز (سه شنبه 10 شهریور ماه) مجلس شورای اسلامی، در جریان بررسی گزارش کمیسیون اقتصادی مجلس در خصوص تدابیر و اقدامات در راستای پایداری خدمات الکترونیکی بانکها و تأمین امنیت سایبری شبکه بانکی کشور، با اشاره به اتفاقات رخ داده در مجموعه بانکها، اظهار کرد: وزیر محترم امور اقتصادی و دارایی توضیحات مبسوطی در این خصوص ارائه کردند، اما ابتدا باید به این موضوع توجه داشته باشیم که هدف دشمن در چنین مواقعی کجاست؛ قطعاً مجموعه بانکی، به دلیل ارتباط مستقیم با معیشت مردم، یکی از اهداف دشمن است و این مخاطرات، موضوع را بسیار پرریسک میکند.
وی افزود: اینکه چه اتفاقی افتاد و بعد از آن به کجا رسیدیم، موضوعی است که باید درباره آن صحبت کنیم. در خصوص «سند نظام ملی پیشگیری و مقابله» ما دستگاههای ناظر را معرفی کردهایم و مشخص شده است هر مجموعه در کشور متولی نظارت بر کدام بخش است. در مجموعه بانکها نیز بانک مرکزی وظیفه نظارت را بر عهده دارد، اما یک نکته در این زمینه وجود دارد که میخواهم ابتدا مورد توجه قرار دهم.
رئیس سازمان فناوری اطلاعات ادامه داد: بندی در این سند وجود دارد که میگوید بالاترین مقام دستگاه، مسئول امنیت سایبری است؛ یعنی اگر اتفاقی افتاده باشد، بالاترین مقام دستگاه باید پاسخگو باشد. بنابراین باید این موضوع را بدانیم که اگر دستگاه هماهنگکنندهای هم وجود دارد، اما بالاترین مقام دستگاه باید پاسخگو باشد.
صدر با اشاره به شرایط تحریمی کشور تصریح کرد: ما کاملاً تحریم هستیم و امکان تأمین برخی از اقلام را نداریم یا به سختی میتوانیم آنها را تأمین کنیم؛ یعنی اینگونه نیست که دست ما باز باشد و هر اقدامی را که میخواهیم انجام دهیم.
وی افزود: گزارش آنچه در بانکها اتفاق افتاد، توسط مرکز راهبردی افتا تهیه شده و به سمع و نظر نمایندگان نیز رسیده است. این مرکز به عنوان ناظر و هماهنگکننده، گزارشی در خصوص علل وقوع حادثه و اینکه به چه دلیل این اتفاق افتاده و پس از آن چه اتفاقاتی رخ داده است، ارائه کرده است.
رئیس سازمان فناوری اطلاعات در ادامه با قدردانی از سیدعلی مدنیزاده، وزیر امور اقتصادی و دارایی، گفت: ابتدا میخواهم از مدنیزاده به خاطر مجموعه اقدامات و برنامههایی که به بانکها ابلاغ کرد، تشکر کنم. حسینی نیز به عنوان رئیس کمیسیون اقتصادی در جلسه حضور دارد و در جریان ماجرا و مجموعه اقدامات و اتفاقاتی که مدنیزاده به عنوان وزیر اقتصاد به بانکها ابلاغ کرد، بود.
وی ادامه داد: انصافاً از دید ما، با توجه به اینکه در بسیاری از جلسات نیز همراهی و همکاری میکردیم، مجموعه اقدامات انجامشده، اقدامات خوبی بود، اما اکنون چه کاری باید انجام دهیم و چه اتفاقی افتاده که به نظر من باید قدری بیشتر وارد موضوع شویم؟
وی با اشاره به ضرورت کاهش وابستگی بانکها به یک پیمانکار، تصریح کرد: اعتقاد ما در وزارت ارتباطات و فناوری اطلاعات این است که بانکها نباید به یک «وندور» وابسته باشند؛ زیرا وابستگی به یک پیمانکار، کار را بسیار پیچیدهتر میکند. البته برای برونرفت از شرایط عادی، میتوان از توانمندی شرکتهای داخلی استفاده کرد، اما آیا این وضعیت باید در بلندمدت نیز ادامه داشته باشد؟ قاعدتاً خیر.
استفاده از ظرفیت شرکتهای دانشبنیان برای تأمین امنیت شبکه بانکی
رئیس سازمان فناوری اطلاعات افزود: در مجموعه دولت تدابیر بسیار خوبی دیده شده است. از جمله اینکه وزیر محترم اقتصاد به بانکها ابلاغ کردهاند و در کمیته امنیت نیز مصوب شده است که از ظرفیت شرکتهای دانشبنیان استفاده کنند. ما این موضوع را یک گام رو به جلو میدانیم؛ یعنی نظر ما این است که در وضعیت جاری و با توجه به شرایط جاری کشور، استفاده از این ظرفیت برای پایداری سرویسها اقدام مناسبی است، اما سایر بازیگرانی که شرکتهای دانشبنیان هستند نیز میتوانند در این زمینه اقدام کنند و باید آنها را وارد این عرصه کنیم.
صدر با اشاره به مشکلات تأمین تجهیزات مورد نیاز بانکها گفت: یک نکته بسیار اساسی نیز در تأمین تجهیزات بانکها وجود دارد. وقتی بانکها به سمت تأمین تجهیزات میروند، تشریفات قانونی که باید طی کنند بسیار طولانی است.
وی خطاب به رئیس جلسه اظهار کرد: آقای رئیس، این تشریفات قانونی تا طی شود، اولاً منابع لازم از زمان شروع درخواست تا زمانی که به نتیجه میرسد بسیار متفاوت میشود؛ یعنی یک عددی با یک نرخ ارزی در نظر گرفته میشود، اما در زمان تأمین، آن عدد چند برابر میشود. این نیز یک نقیصه جدی است.
رئیس سازمان فناوری اطلاعات ادامه داد: آقای مدنیزاده، وزیر محترم اقتصاد، نیز اشاره کردند که شاید در بانکهای خصوصی دست آنها بازتر باشد و راحتتر بتوانند عمل کنند، اما در بانکهای دولتی با این موضوع مواجه هستیم و نباید این را فراموش کنیم که حتی اگر منابع کافی باشد و تشریفات نیز انجام شود، در تأمین تجهیزات باز با مشکلاتی مواجه میشویم که باید برای آن فکر کرد.
وی درباره اقدامات وزارت ارتباطات و فناوری اطلاعات برای کمک به شبکه بانکی گفت: ما در وزارت ارتباطات، با کمک دوستانمان در بانک مرکزی، رفتیم و فضایی را تأمین کردیم تا دوستان بتوانند در آنجا مستقر شوند؛ هم در تهران و هم خارج از تهران. همچنین در زمینه تأمین تجهیزات نیز تلاش کردیم از یک رویه به رویه دیگر عبور کنیم.
صدر خطاب به مجموعه بانکها گفت: من همینجا از مجموعه بانکهای محترم خواهشی دارم؛ اینکه پیمانکار ما برای تعیین تکلیف زیرساخت تصمیم بگیرد، کار جالبی نیست. یعنی عمدتاً من به عنوان پیمانکار به بانک اعلام کنم که حتماً باید با این زیرساخت کار کنم. این موضوع مخاطراتی دارد.
وی با اشاره به تجربه جنگ اخیر افزود: در جنگ اخیر نیز بعضاً با مخاطراتی از جنس زیرساختها مواجه بودیم که شاید دانش کافی در خصوص اداره آن، بحث «لاک»ها و سایر مسائل مربوط به آن وجود نداشت.
رئیس سازمان فناوری اطلاعات ادامه داد: به نظر ما، اقدام مؤثری که در وزارت اقتصاد در قالب کمیته امنیت انجام شده و بانکها باید برای آن مصوبه بگیرند، میتواند کمککننده باشد، اما اینکه همبندی این موارد را به چه شکلی انجام دهیم، موضوع مهمی است.
صدر با اشاره به ضرورت توجه به سیستمهای حاکمیتی اظهار کرد: به نظر ما دستوری که همتی نیز به بانکها داده، در خصوص سیستمهای حاکمیتی باید در وضعیت امنتری قرار گیرد. اگر این کار را انجام ندهیم، شاید مخاطرات بعدی ما به این سمت برود و بسیار جدیتر باشد.
بودجه مرتبط و متوازن برای مسائل امنیت سایبری در دستگاهها وجود ندارد
وی در ادامه با اشاره به موضوع بودجه امنیت سایبری دستگاهها گفت: آنچه آشکار است و چیزی که فکر میکنیم باید به سمت آن برویم، شاید همان مصوبه یا تقاضایی باشد که ما از نمایندگان محترم مجلس داریم و در کمیسیون امنیت ملی، کمیسیون اقتصادی و کمیسیون صنایع نیز مطرح کردهایم؛ اینکه بودجه مرتبط و متوازن برای مسائل امنیت سایبری در دستگاهها وجود ندارد و این یک نقیصه جدی است.
رئیس سازمان فناوری اطلاعات افزود: ما در یک مقطع، موضوعی داشتیم که در تبصره 6 قانون بودجه مطرح شده بود و بر اساس آن یک درصد از بودجه، به استثنای فصلهای 7 و 5 و هزینههای جاری، کسر میشد، اما اصلاً عدد قابل توجهی نمیشد. در دستگاهها آن یک درصد نیز به اندازهای نبود که بتواند نیازهای امنیت سایبری را تأمین کند.
صدر گفت: ما آمار دستگاههایی را که هزینهکرد داشتهاند و تأییدیه وزارت ارتباطات یا دستگاه هماهنگکننده را گرفته و هزینهکرد آنها تأیید شده است، ارائه خواهیم کرد، اما بحث این است که آن یک درصد بعضاً به اندازه تأمین یک لایسنس نرمافزاری هم نیست، چه رسد به اینکه بخواهند زیرساخت را با آن تأمین کنند.
وی ادامه داد: درخواست ما از سه کمیسیونی که جلسات متعددی در این زمینه برگزار کردند و هاشمی نیز جلساتی گذاشت، این بود که یک سرفصل متمرکز با نظارت متمرکز داشته باشیم؛ نه اینکه پول را یکجا و متمرکز ببینیم، بلکه نظارت عالیه وزارت ارتباطات وجود داشته باشد، اما این منابع به صورت گسترده در دستگاهها هزینه شود و هزینهکرد مشخصی داشته باشد.
رئیس سازمان فناوری اطلاعات تصریح کرد: در این صورت، به طور واقعی میتوانیم بالاترین مقام دستگاه را مورد خطاب قرار دهیم که چرا در حوزه سایبری این کار را انجام نداده است. اما واقعیت این است که اکنون از بیشتر دستگاهها یک کار مشخص میخواهیم، در حالی که منابع لازم برای انجام آن تأمین نشده است.
صدر با اشاره به دلایل هزینهنکردن دستگاهها از منابع اختصاصیافته اظهار کرد: درباره تفریق بودجه و گزارش هزینهکرد نیز باید توضیح دهم که دستگاهها وقتی با آنها مکاتبه میکنیم و بازرسی نیز به سراغشان میرود، مطرح میکنند که این عددی که باید برای آن هزینه کنند، موجب امن شدن دستگاه هم نمیشود و از طرف دیگر نیز یک تکلیف برای خود ایجاد کردهاند. به همین خاطر شاید از زیر آن در بروند؛ یعنی با آن عدد کم، کار را انجام نمیدهند و این منابع نیز باقی میماند.این عدد را میتوان به صورت سرجمع در نظر گرفت، زیرا واقعاً با یک بحران اساسی مواجه میشویم اگر برای این موضوع فکر اساسی نکنیم.
رئیس سازمان فناوری اطلاعات در ادامه به موضوع کمبود نیروی متخصص در دستگاهها پرداخت و گفت: یک نکته دیگر نیز در گزارش سخنگوی محترم کمیسیون مطرح شد و آن این است که ما نمیتوانیم نیروهای متخصص را در دستگاهها نگه داریم.
صدر افزود: ما خودمان در دستگاه تخصصی، روزی سه، چهار استعفا روی میزمان داریم که افراد میخواهند یا مرخصی بدون حقوق بگیرند یا از دستگاه خارج شوند و به بخش خصوصی بروند. دلیل آن نیز این است که وضعیت این نیروها در دنیا همین است؛ اینها نیروهای تخصصی هستند و دستمزدشان نیز از نیروهای عادی بیشتر است.
وی ادامه داد: اما اکنون اگر از هر کدام از بانکها یک لیست از نیروهای تخصصی و کاربردی آنها بگیرید، شاید نیروی تخصصیِ کارمند بانک انگشتشمار باشد. البته حداقل در حوزه بانک میگوییم دست آنها کمی بازتر است و میتوانند در قرارداد با شرکتهای دانشبنیان کاری انجام دهند، اما در سایر دستگاههایی که به این زنجیره متصل میشوند، همچنان با مشکلات عدیدهای مواجه هستیم.
بیش از یک میلیارد تراکنش موفق در شبکه اداری کشور طی جنگ 40 روزه
رئیس سازمان فناوری اطلاعات با قدردانی از مجموعه دستگاههای فعال در جریان جنگ گفت: البته این را نیز باید عرض کنم که واقعاً جای تشکر از مجموعه همه ارکانی که کار کردند وجود دارد. ما در همان 40 روز جنگ، شاهد بودیم که همه دستگاهها پای کار بودند و بیش از یک میلیارد تراکنش موفق در شبکه اداری کشور داشتیم.
صدر این میزان تراکنش را یک رکورد دانست و اظهار کرد: این یک رکورد است که واقعاً تابآوری کشور را نشان میدهد، اما نباید فراموش کنیم که در یک وضعیت سخت قرار داریم.
وی در پایان خاطرنشان کرد: خوشبختانه کشور، به نظر همه، پای کار است و همه ارکان در برابر دشمن با این حدت و شدت ایستادگی کردند. به نظر من عزیزانمان در مجلس باید در بحثهای بودجهای، کمکی در حوزه امنیت انجام دهند تا دستگاههای ناظر چهارگانه سند ملی بتوانند نظارت کافی داشته باشند و به کمک دستگاهها بروند و انشاءالله از این مرحله نیز عبور کنیم.
محمدمحسن صدر، رئیس سازمان فناوری اطلاعات ایران، در ادامه بررسی گزارش کمیسیون اقتصادی مجلس درباره تدابیر و اقدامات دستگاههای مسئول پیرامون پایداری خدمات الکترونیکی بانکها و تأمین امنیت سایبری شبکه بانکی کشور، گفت: در بند «ب» ماده 103، تکلیف وزارت ارتباطات با هماهنگی دستگاههای ذیربط برای کاربر امن مشخص شده است که این اقدام انجام شده و 60 شرکت در فراخوان شرکت کردند و در نهایت تعدادی از آنها برای صدور مجوز اپراتوری معرفی شدند.
وی افزود: صدور مجوز اپراتوری به این معناست که دستگاههای اجرایی میتوانند از این شرکتهای امن خدمات دریافت کنند و وزارت ارتباطات تقریباً تکلیف خود را در این حوزه انجام داده و انشاءالله بهزودی پروانه اپراتوری آنها صادر خواهد شد.
رئیس سازمان فناوری اطلاعات ایران ادامه داد: یک اقدام دیگر نیز در وزارت ارتباطات و در همان کمیته در حال انجام است و آن تعریف اپراتورهای موضوعی است که موضوعاتی مانند شبکه بانکی، انرژی و سایر حوزهها را دنبال میکند، بنابراین تکلیف مربوطه انجام شده و انشاءالله به دستگاهها ابلاغ خواهد شد.
صدر در ادامه با اشاره به مطالب مطرحشده از سوی نمایندگان مجلس، اظهار کرد: چند نکته هم در پاسخ به ابهامات موجود و هم برای برداشتن یک گام رو به جلو وجود دارد. نخستین موضوع، اقدام ویژهای است که به نظر ما وزارت امور اقتصادی و دارایی در خصوص حضور یک نیروی متخصص فناوری اطلاعات در هیأتمدیره بانکها میتواند انجام دهد و این نکته مهمی است.
وی تصریح کرد: اگر نیروی متخصص فناوری اطلاعات در هیأتمدیره بانکها حضور داشته باشد، با توجه به اینکه بخش عمدهای از خدمات بانکی به فناوری اطلاعات وابسته است، به نظر من حضور معاون فناوری اطلاعات باید در این سطح مورد توجه قرار گیرد.
رئیس سازمان فناوری اطلاعات ایران با اشاره به موضوع مسئولیت مدیران در حوزه امنیت سایبری، گفت: در نظام پیشگیری و مقابله، بالاترین مقام دستگاه پاسخگو است و اتفاقاً ایراد همینجاست؛ مدیرعامل بانک، معاون فناوری اطلاعات را منصوب میکند و ممکن است او را برکنار کند، اما مسئولیت همچنان سر جای خود باقی است و خدمات نیز الزاماً پایدار نمیشود.
صدر افزود: اگر این موضوع را در یک لایه بالاتر ببینیم و هیأتمدیره و مدیرعامل را پاسخگو بدانیم، به نظر من اقدام درستی است؛ البته این موضوع در صلاحدید مجلس و مسئولان مربوطه است و ما به عنوان پیشنهاد مطرح میکنیم.
وی در ادامه با اشاره به موضوع کیف پول آنلاین، اظهار کرد: در بانک مرکزی اقدام خوبی در زمینه کیف پول انجام شده است، اما برای فراگیر کردن آن اگر این موضوع را انحصاراً به شبکه بانکی بسپاریم، شاید مردم درگیر آن نشوند.
رئیس سازمان فناوری اطلاعات ایران ادامه داد: ما یک پنجره خدمات دولت الکترونیک داریم که 80 میلیون کاربر از طریق آن خدمات الکترونیکی دریافت میکنند. به نظر من میتوان کیف پول آنلاین را از طریق پنجره واحد متصل کرد تا مردم بتوانند از آنجا وارد خدمات کیف پول آنلاین شوند و حداقل در مواقع اضطرار، استفاده از این خدمات برای مردم و نظام بانکی راحتتر باشد.
صدر در بخش دیگری از سخنان خود با اشاره به موضوع نیروی انسانی متخصص، گفت: همانطور که آقای مدنیزاده نیز اشاره کردند، موضوع نیروی انسانی واقعاً باید در جایی حل شود. اگر نتوانیم موضوع نگهداشت نیروی انسانی متخصص را حل کنیم، اتفاقات عجیبی که شاهد آن هستیم ادامه پیدا میکند، نیروها دستگاههای دولتی را ترک میکنند و دستگاه دولت از نیروی انسانی متخصص خالی میشود.
وی افزود: وزارت ارتباطات در این حوزه هر آنچه را که تکلیف داشته، انجام داده است. ما ناظر هماهنگی در نظام پیشگیری در حوزه بانکها هستیم و در عین حال به عنوان دستگاه تخصصی در خدمت دوستان در بانک مرکزی، وزارت امور اقتصادی و دارایی و بانکها بودهایم.
رئیس سازمان فناوری اطلاعات ایران تصریح کرد: در تأمین زیرساختها، تأمین فضای استقرار و همچنین بحث توزیع این زیرساختها در سراسر کشور، آمادهایم به دوستان کمک کنیم و هر جایی که نیاز باشد، در خدمت آنها خواهیم بود.
صدر در ادامه با اشاره به موضوع تمرکززدایی در شبکه بانکی اظهار کرد: از آنجا که دوستانی از مجموعه بانکها نیز در جلسه حضور داشتند، باید گفت در زمینه تمرکززدایی و اینکه کوربانکینگ را معطل چند شرکت نکنیم، اقدامات خوبی در بانکها آغاز شده است.
وی افزود: اگر این اقدامات در مدت شش ماه تا یک سال آینده به نتیجه برسد، توزیع کوربانکینگ یا واگذاری مسئولیت آن به خود بانکها میتواند یک اقدام مؤثر باشد.
رئیس سازمان فناوری اطلاعات ایران ادامه داد: اقدامی که بانک مرکزی در این حوزه انجام میدهد نیز حائز اهمیت است، چراکه سیستم های حاکمیتی در اختیار بانک مرکزی قرار دارند و تابآوری آنها باید تا حدی بالاتر برود. میدانیم که بانک مرکزی در این حوزه نیز برنامه منسجم و منظمی دارد و ما در وزارت ارتباطات نیز در خدمت آنها هستیم و کمک کردهایم و همچنان مانند گذشته در خدمت آنها خواهیم بود.
صدر در بخش دیگری از سخنان خود درباره نقش وزارت ارتباطات در کمیتههای امنیت بانکها گفت: در مجموعه کمیته امنیت بانکها، مجدداً تأکید میکنم که ما ناظر و هماهنگکننده بانکها نیستیم، اما آمادگی داریم در کمیته امنیت وزارت امور اقتصادی و دارایی و همچنین کمیته امنیتی که بانک مرکزی تشکیل میدهد، وزارت ارتباطات نیز نقش داشته باشد.
وی افزود: اگر دوستان دعوت کنند، میتوانیم در این حوزه به عنوان عضو یا در جایگاه مورد نظر، برای ایجاد یک زیرساخت یکپارچه و انجام یک چیدمان جدید و اساسی همکاری کنیم.
رئیس سازمان فناوری اطلاعات ایران در پایان با اشاره به ضرورت افزایش تابآوری خدمات بانکی گفت: به عنوان یک شهروند باید عرض کنم که همانطور که آقای حسینی به مخاطرات موجود اشاره کردند، باید در کنار آن توجه داشته باشیم که ما در نظامهای پرداخت الکترونیک، از برخی کشورها بسیار جلوتر هستیم، اما سؤال این است که آیا میزان تابآوری خود را متناسب با تعدد خدمات افزایش دادهایم یا خیر.
صدر خاطرنشان کرد: این موضوع نیازمند اقداماتی است که به نظر من در چند ماه اخیر اقدامات بسیار خوبی در این زمینه انجام شده، اما مهم این است که برنامهها و اقدامات انجامشده رها نشود و با جدیت ادامه پیدا کند.