به گزارش ستاد رویداد تراکنش ایران، نشست تخصصی «بقای صنعت بانکی در زمان بحران‌ها و مزایای خدمات Disaster Recovery as a Service» روز سه‌شنبه ۱۲ آبان ۱۴۰۵ با حمایت شرکت عصر داده‌های آسیاتک (کلود دات آی‌آر) و حضور جمعی از مدیران و فعالان حوزه فناوری اطلاعات و امنیت صنعت بانکی برگزار شد. رضا رجال‌زاده، مدیرعامل عصر داده‌های آسیاتک، علیرضا نوروزی، مدیر مراکز داده داده‌ورزی سداد، هومن ملک‌لی، مدیرعامل فینوتک و حمید علیزاده، مشاور حوزه زیرساخت و امنیت صنعت بانکی کشور، از سخنرانان این نشست بودند. محور اصلی گفت‌وگوها، بررسی آمادگی بانک‌ها برای مواجهه با اختلالات گسترده، حفظ سرویس‌های حیاتی و استفاده از ظرفیت ارائه‌دهندگان تخصصی خدمات بازیابی پس از بحران بود.
گسترش بانکداری دیجیتال و وابستگی فعالیت مردم، کسب‌وکارها و سازمان‌ها به خدمات مالی، اهمیت استمرار فعالیت سامانه‌های بانکی را افزایش داده است. اختلال در یک مرکز داده، سرویس وابسته یا تأمین منابع بیرونی می‌تواند حتی در شرایطی که سایر تجهیزات بانک فعال هستند، ارائه خدمت نهایی را متوقف کند. مباحث این نشست بر ضرورت تغییر معیارهای ارزیابی تاب‌آوری از وضعیت تجهیزات و امکانات فنی به توانایی واقعی سازمان در ادامه ارائه خدمات و بازگشت به شرایط عملیاتی متمرکز بود.
پایداری بانک باید براساس امکان دریافت خدمت سنجیده شود
رضا رجال‌زاده، مدیرعامل عصر داده‌های آسیاتک، در آغاز نشست با طرح این پرسش که آیا فعال بودن زیرساخت‌های فنی به معنای استمرار خدمات بانکی است، بر ضرورت تغییر نگاه سازمان‌ها به مفهوم تاب‌آوری تأکید کرد. وی توضیح داد که ممکن است سرورها، سامانه‌ها و تجهیزات یک بانک در وضعیت فعال قرار داشته باشند، اما مشتری همچنان نتواند عملیات بانکی موردنظر خود را انجام دهد. در چنین شرایطی، فعال بودن زیرساخت به‌تنهایی نمی‌تواند معیاری برای پایداری خدمات باشد.
رجال‌زاده با اشاره به اینکه مشتریان نظام بانکی تنها اشخاص حقیقی نیستند و سازمان‌ها و مجموعه‌های اداری نیز به خدمات مالی وابسته‌اند، توضیح داد که معیار اصلی باید امکان دریافت خدمت نهایی باشد. به گفته وی، اگر یک سازمان نتواند عملیات انتقال وجه خود را انجام دهد، فعال بودن تجهیزات و مراکز داده بانک مشکل آن مجموعه را برطرف نمی‌کند و نمی‌توان وضعیت خدمات را پایدار ارزیابی کرد.
مدیرعامل عصر داده‌های آسیاتک تأکید کرد که سنجش تاب‌آوری باید از سطح تجهیزات فراتر رود و تمام اجزای مؤثر در ارائه یک خدمت را در بر بگیرد. در این رویکرد، حفظ دسترسی مشتریان به خدمات ضروری، جایگاه مهم‌تری از صرفاً روشن بودن سرورها یا فعال بودن سامانه‌های زیرساختی دارد.
شناسایی وابستگی سرویس‌ها پیش‌نیاز تداوم کسب‌وکار است
رجال‌زاده در ادامه به پیچیدگی ارتباط میان سرویس‌های فناوری اطلاعات در بانک‌ها پرداخت و توضیح داد که هر خدمت بانکی ممکن است برای فعالیت به چند سامانه یا سرویس دیگر وابسته باشد. اختلال در یکی از این اجزا می‌تواند زنجیره ارائه خدمت را متوقف کند، حتی اگر بخش عمده تجهیزات و زیرساخت‌های بانک بدون مشکل فعالیت کنند.
وی بر ضرورت شناسایی مالکیت سرویس‌ها، مشخص شدن مسئولیت واحدهای مختلف و مستندسازی ارتباط میان اجزای زیرساخت تأکید کرد. از نگاه رجال‌زاده، بانک‌ها باید پیش از وقوع بحران بدانند هر خدمت به چه سامانه‌هایی وابسته است و در صورت اختلال در یک بخش، چه سرویس‌های دیگری تحت تأثیر قرار می‌گیرند.
مدیرعامل عصر داده‌های آسیاتک در همین زمینه به دو مفهوم برنامه تداوم کسب‌وکار (BCP) و بازیابی پس از بحران (DR) اشاره کرد و توضیح داد که این دو باید در ارتباط با یکدیگر طراحی شوند. به اعتقاد وی، برنامه تداوم کسب‌وکار نباید صرفاً سندی برای پاسخ‌گویی به الزامات قانونی باشد، بلکه باید مشخص کند فعالیت‌های ضروری سازمان هنگام وقوع بحران چگونه ادامه پیدا می‌کنند. برنامه بازیابی نیز باید فراتر از تهیه زیرساخت جایگزین، مراحل عملی بازگرداندن سرویس‌ها را تعیین کند.
تمرکز جغرافیایی زیرساخت‌ها خطر توقف خدمات را افزایش می‌دهد
رجال‌زاده در بخش دیگری از سخنان خود، توزیع جغرافیایی مراکز داده و زیرساخت‌های حیاتی را یکی از عوامل مهم در کاهش آثار بحران دانست. وی با اشاره به تجربه جنگ روسیه و اوکراین، ضرورت توجه به آسیب‌های فیزیکی زیرساخت‌ها و پیش‌بینی محل‌های جایگزین برای استمرار خدمات را مطرح کرد.
به گفته وی، تمرکز تمام ظرفیت‌های حیاتی یک سازمان در یک مرکز یا محدوده جغرافیایی می‌تواند خطر توقف گسترده خدمات را افزایش دهد؛ زیرا آسیب دیدن همان نقطه ممکن است بخش قابل‌توجهی از فعالیت سازمان را مختل کند. در مقابل، توزیع زیرساخت‌ها در موقعیت‌های مختلف و آماده بودن ظرفیت‌های جایگزین می‌تواند امکان ادامه فعالیت را در شرایط بحرانی تقویت کند.
مدیرعامل عصر داده‌های آسیاتک همچنین بر ضرورت فراهم کردن امکان انتقال سریع سرویس‌ها یا Migration به زیرساخت‌های جایگزین تأکید کرد. وی توضیح داد که بانک‌ها باید از پیش الزامات فنی و اجرایی این انتقال را فراهم کنند تا در صورت بروز اختلال، خدمات با کمترین وقفه ممکن به بستر دیگری منتقل شوند.
رجال‌زاده استفاده از ظرفیت شرکت‌های فناوری و ارائه‌دهندگان تخصصی زیرساخت را نیز یکی از مسیرهای قابل بررسی برای تحقق این هدف دانست. از نگاه وی، بهره‌گیری از خدمات بیرونی زمانی می‌تواند مؤثر باشد که الزامات امنیتی، محرمانگی اطلاعات و اعتماد به ارائه‌دهنده خدمت در طراحی همکاری مورد توجه قرار گیرند. آمادگی سازمانی و توان تصمیم‌گیری سریع نیز باید در کنار ظرفیت‌های فنی تقویت شود.
بازیابی پس از بحران تنها به داشتن مرکز داده پشتیبان محدود نیست
علیرضا نوروزی، مدیر مراکز داده داده‌ورزی سداد، در ادامه نشست بر ضرورت برنامه‌ریزی پیش از وقوع بحران تأکید کرد و توضیح داد که سازمان‌ها نباید پس از بروز اختلال به دنبال طراحی راهکارهای بازیابی باشند. به اعتقاد وی، آمادگی عملیاتی باید پیش از وقوع حادثه ایجاد شود و مسئولیت‌ها، اقدامات ضروری و مسیر بازگرداندن خدمات از قبل مشخص باشند.
نوروزی با اشاره به مراحل مختلف مدیریت بحران توضیح داد که برنامه‌ریزی باید از شناسایی نشانه‌های اولیه و تشخیص دامنه اختلال تا مدیریت شرایط بحرانی و بازگرداندن سامانه‌ها به وضعیت پایدار را پوشش دهد. وی تأکید کرد که داشتن یک مرکز داده دوم، بدون برنامه مشخص برای انتقال اطلاعات و راه‌اندازی مجدد سرویس‌ها، به معنای برخورداری از توان بازیابی نیست.
مدیر مراکز داده داده‌ورزی سداد با اشاره به تجربه اختلال در برخی خدمات بانکی، از جمله سرویس‌های کارتی، توضیح داد که در مراحل ابتدایی بحران ممکن است تشخیص دامنه مشکل و تعیین زمان بازگشت خدمات دشوار باشد. سازمان در چنین شرایطی باید هم‌زمان منشأ اختلال، سرویس‌های تحت تأثیر و اقدامات موردنیاز برای بازیابی را بررسی کند.
به گفته نوروزی، نبود برنامه مشخص می‌تواند فرایند تصمیم‌گیری را دشوارتر و زمان بازیابی را طولانی‌تر کند. از نگاه وی، مسیرهای ارتباطی، مسئولیت تیم‌ها و اقدامات مرتبط با ادامه یا بازگرداندن خدمات حیاتی باید پیش از وقوع حادثه مشخص شده باشند تا سازمان در زمان بحران ناچار به تصمیم‌گیری بدون آمادگی قبلی نباشد.
تجربه بانک‌های اوکراین اهمیت انتقال پیش‌دستانه داده‌ها را نشان می‌دهد
نوروزی در بخش دیگری از سخنان خود به تجربه نظام بانکی اوکراین در جریان جنگ اشاره کرد و با ارائه اطلاعاتی در اسلاید، نقش تصمیم‌گیری پیش از تشدید بحران را در حفظ زیرساخت‌های بانکی این کشور مورد توجه قرار داد.
براساس اطلاعات نمایش‌داده‌شده در این ارائه، یک هفته پیش از آغاز تهاجم روسیه به اوکراین، مجوز قانونی انتقال داده‌های دولتی و خصوصی به زیرساخت‌های بیرونی صادر شد. در ادامه و هم‌زمان با جنگ، بیش از ۱۰ پتابایت داده حیاتی منتقل شد. همچنین در اسلاید به پیمایشی از ۶۸ بانک اشاره شده بود که براساس آن، حدود ۵۰ بانک اطلاعات خود را به خارج از کشور منتقل یا در زیرساخت‌های بیرونی تکثیر کرده بودند.
اطلاعات ارائه‌شده از سوی نوروزی همچنین نشان می‌داد که تا میانه ژوئن ۲۰۲۲، حدود ۸۵ درصد شعب بانکی دوباره فعال شده بودند. در بخش دیگری از ارائه، شبکه Power Banking با مشارکت ۱۱ بانک و بیش از سه هزار و ۲۰۰ شعبه معرفی شد؛ شبکه‌ای که به‌عنوان بخشی از اقدامات مرتبط با حفظ دسترسی به خدمات بانکی در شرایط بحرانی مورد توجه قرار گرفت.
مدیر مراکز داده داده‌ورزی سداد با استفاده از این تجربه بر اهمیت اتخاذ تصمیم‌های پیش‌دستانه و فراهم کردن ظرفیت‌های جایگزین تأکید کرد. از نگاه وی، حفظ داده‌ها، انتقال اطلاعات و آماده‌سازی بسترهای پشتیبان باید پیش از آنکه اختلال به توقف گسترده خدمات منجر شود، در برنامه‌ریزی سازمان‌ها جای داشته باشد.
شناسایی ریسک‌های ناشناخته نیز بخشی از آمادگی سازمانی است
نوروزی در ادامه به ضرورت توجه به ریسک‌های شناخته‌شده و ناشناخته پرداخت و تأکید کرد که دشواری پیش‌بینی تمام بحران‌ها نباید مانع برنامه‌ریزی سازمان‌ها شود. وی توضیح داد که حتی آمادگی برای تعداد محدودی از سناریوهای مشخص، می‌تواند نسبت به شرایطی که هیچ برنامه‌ای برای مواجهه با اختلال وجود ندارد، وضعیت مناسب‌تری ایجاد کند.
به اعتقاد وی، بانک‌ها باید بدانند برای کدام تهدیدها راهکار عملی دارند و در کدام بخش‌ها همچنان با کمبود آمادگی یا نبود برنامه بازیابی مواجه‌اند. این شناخت می‌تواند مبنای اصلاح برنامه‌های موجود، شناسایی اولویت‌ها و تقویت توان عملیاتی سازمان در شرایط غیرعادی قرار گیرد.
مدیر مراکز داده داده‌ورزی سداد همچنین فرهنگ‌سازی و جلب اعتماد بانک‌ها به خدمات بازیابی را از الزامات توسعه این حوزه دانست. از نگاه وی، برخورداری از تجهیزات و مراکز داده پشتیبان بدون پذیرش ضرورت برنامه‌ریزی و آمادگی برای استفاده از آن‌ها، نمی‌تواند تاب‌آوری موردنیاز را ایجاد کند.
حملات سایبری می‌توانند فعالیت اقتصادی مشتریان بانک را مختل کنند
هومن ملک‌لی، مدیرعامل فینوتک، در ادامه نشست از منظر تهدیدهای سایبری و پیامدهای آن‌ها برای کسب‌وکارهای آنلاین و خدمات مالی به موضوع تاب‌آوری پرداخت. وی تأکید کرد که حملات سایبری نباید صرفاً مشکلی فنی در واحد فناوری اطلاعات تلقی شوند؛ زیرا اختلال ناشی از این حملات می‌تواند مستقیماً بر ارائه خدمات و فعالیت اقتصادی مشتریان تأثیر بگذارد.
ملک‌لی با اشاره به تجربه اختلال در خدمات برخی بانک‌ها، از جمله بانک سپه، به شرایط دشوار تصمیم‌گیری مدیران فناوری اطلاعات هنگام وقوع حملات سایبری پرداخت. وی توضیح داد که در چنین موقعیت‌هایی، مدیران علاوه بر مواجهه با مشکلات فنی و امنیتی، مسئولیت حفظ خدمات ضروری و کاهش آثار اختلال بر مشتریان را نیز بر عهده دارند.
مدیرعامل فینوتک، آمادگی پیش از وقوع حمله را از عوامل مهم کاهش پیامدهای بحران دانست. از نگاه وی، وابستگی کسب‌وکارهای آنلاین به زیرساخت‌های بانکی باعث می‌شود اختلال در یک خدمت مالی، فراتر از بانک گسترش پیدا کند و فعالیت مجموعه‌هایی را تحت تأثیر قرار دهد که برای انجام تراکنش‌ها و ارائه خدمات خود به سامانه‌های بانکی متکی هستند.
مباحث این بخش بر ضرورت پیش‌بینی شرایط از دسترس خارج شدن سرویس‌ها و طراحی راهکارهایی برای ادامه فعالیت‌های ضروری متمرکز بود. در این رویکرد، مقابله با حمله سایبری تنها به جلوگیری از نفوذ یا حفاظت از داده‌ها محدود نمی‌شود و مدیریت آثار عملیاتی حادثه و بازگشت تدریجی خدمات نیز بخشی از آمادگی سازمان به شمار می‌رود.
مالکیت سرویس‌ها و وابستگی‌های عملیاتی باید مشخص باشد
حمید علیزاده، مشاور حوزه زیرساخت و امنیت صنعت بانکی کشور، در بخش دیگری از نشست بر ضرورت شناخت دقیق ارتباط میان سرویس‌ها و زیرساخت‌های بانکی تأکید کرد. وی توضیح داد که سنجش تداوم خدمات باید براساس توانایی مشتری برای انجام عملیات موردنظر صورت گیرد و فعال بودن تجهیزات، بدون امکان استفاده از خدمت نهایی، به معنای پایداری واقعی نیست.
علیزاده با اشاره به اینکه مشتری بانک می‌تواند یک سازمان یا مجموعه اداری باشد، توضیح داد که اختلال در یک سرویس وابسته ممکن است انجام عملیات مالی را متوقف کند. از نگاه وی، بانک‌ها باید بدانند هر خدمت به چه سامانه‌ها و زیرساخت‌هایی وابسته است، مالک هر سرویس چه واحدی است و بروز مشکل در یک بخش، چه تأثیری بر سایر خدمات خواهد داشت.
مشاور حوزه زیرساخت و امنیت صنعت بانکی کشور همچنین بر ارتباط میان برنامه تداوم کسب‌وکار و بازیابی پس از بحران تأکید کرد. وی توضیح داد که BCP باید برای حفظ عملی فعالیت‌های ضروری طراحی شود و صرفاً سندی برای پاسخ‌گویی به الزامات قانونی نباشد. برنامه بازیابی نیز باید امکان استفاده از ظرفیت‌های جایگزین و بازگرداندن سرویس‌های مختل‌شده را در شرایط واقعی فراهم کند.
اختلال در زنجیره تأمین می‌تواند زیرساخت بانکی را از کار بیندازد
علیزاده در ادامه به ریسک‌هایی پرداخت که خارج از محدوده فناوری اطلاعات بانک شکل می‌گیرند، اما می‌توانند بر فعالیت زیرساخت‌های آن تأثیر بگذارند. وی با اشاره به تأمین سوخت و سایر منابع موردنیاز، ضرورت شناسایی وابستگی سازمان‌ها به خدمات بیرونی و زنجیره تأمین را مورد توجه قرار داد.
به گفته وی، منشأ تمام بحران‌ها حملات سایبری یا خرابی تجهیزات داخلی نیست و اختلال در تأمین منابع ضروری نیز می‌تواند استمرار خدمات بانکی را با مشکل مواجه کند. از نگاه علیزاده، سازمان‌ها باید علاوه بر شناخت وابستگی‌های فنی سرویس‌ها، وابستگی خود به تأمین‌کنندگان بیرونی را نیز در برنامه‌های تداوم کسب‌وکار بررسی کنند.
مشاور حوزه زیرساخت و امنیت صنعت بانکی کشور همچنین توزیع جغرافیایی مراکز داده و پرهیز از تمرکز تمام زیرساخت‌های حیاتی در یک محل را از موضوعات مهم طراحی زیرساخت دانست. وی تأکید کرد که آماده بودن ظرفیت‌های جایگزین در نقاط مختلف می‌تواند هنگام آسیب دیدن یک مرکز، امکان ادامه فعالیت از محل دیگر را فراهم کند و خطر توقف کامل خدمات را کاهش دهد.
بازیابی به‌عنوان خدمت می‌تواند وابستگی به زیرساخت اختصاصی را کاهش دهد
یکی از محورهای اصلی این نشست، بررسی خدمات بازیابی پس از بحران به‌عنوان خدمت یا Disaster Recovery as a Service (DRaaS) بود؛ مدلی که در آن سازمان‌ها می‌توانند بخشی از ظرفیت موردنیاز برای بازیابی زیرساخت‌ها و سرویس‌های خود را از ارائه‌دهندگان تخصصی دریافت کنند.
در چنین الگویی، بانک برای آماده‌سازی تمام تجهیزات و امکانات پشتیبان، الزاماً نیازی به ایجاد و نگهداری مستقل همه ظرفیت‌ها ندارد و می‌تواند از زیرساخت‌های بیرونی برای فراهم کردن بخشی از امکانات جایگزین استفاده کند. با این حال، استفاده از این خدمات در صنعت بانکی به بررسی الزامات امنیتی، محرمانگی اطلاعات، مقررات و میزان اعتماد به ارائه‌دهنده خدمت وابسته است.
مباحث نشست بر این نکته تأکید داشت که استفاده از خدمات DRaaS تنها زمانی می‌تواند در کاهش زمان اختلال مؤثر باشد که فرایند انتقال داده‌ها، راه‌اندازی سرویس‌ها و بازگشت به شرایط عملیاتی از پیش مشخص شده باشد. بانک‌ها همچنین باید بدانند کدام خدمات و اطلاعات قابلیت انتقال دارند، چه مسئولیت‌هایی بر عهده ارائه‌دهنده خدمت قرار می‌گیرد و تیم‌های داخلی در زمان بحران چه اقداماتی باید انجام دهند.
در این چارچوب، تهیه زیرساخت پشتیبان یا خرید خدمات بازیابی به‌تنهایی کافی نیست و سازمان باید آمادگی عملی خود برای استفاده از این ظرفیت‌ها را نیز ارزیابی کند. بدون چنین آمادگی‌ای، ممکن است امکانات جایگزین در دسترس باشند، اما امکان بهره‌برداری مؤثر از آن‌ها هنگام وقوع بحران فراهم نشود.
بقای صنعت بانکی به پیوند فناوری، مدیریت و آمادگی عملیاتی وابسته است
مجموع دیدگاه‌های مطرح‌شده در نشست «بقای صنعت بانکی در زمان بحران‌ها و مزایای خدمات Disaster Recovery as a Service» نشان داد که تاب‌آوری بانک‌ها تنها با تعداد مراکز داده، تجهیزات پشتیبان یا ابزارهای امنیتی قابل سنجش نیست. توانایی حفظ خدمات حیاتی، شناخت وابستگی‌های فنی و عملیاتی، مدیریت ریسک‌های بیرونی و انتقال سریع سرویس‌ها به زیرساخت‌های جایگزین، از عوامل مهم تداوم فعالیت در شرایط بحرانی هستند.
سخنرانان این نشست بر ضرورت تدوین برنامه‌های اجرایی تداوم کسب‌وکار و بازیابی پس از بحران، توزیع جغرافیایی زیرساخت‌ها و تقویت آمادگی سازمانی تأکید کردند. همچنین استفاده از تجربه بانک‌های اوکراین در شرایط جنگی و بررسی آثار اختلالات سایبری بر خدمات مالی، اهمیت تصمیم‌گیری پیش از وقوع بحران را برجسته کرد.
مباحث نشست همچنین نشان داد که استفاده از ظرفیت شرکت‌های تخصصی برای ارائه خدمات بازیابی می‌تواند یکی از گزینه‌های بانک‌ها برای حفظ استمرار فعالیت باشد؛ مشروط بر آنکه امنیت اطلاعات، تقسیم مسئولیت‌ها و امکان اجرای عملی فرایند بازیابی در طراحی همکاری مورد توجه قرار گیرد.
برآیند این نشست بر ضرورت تغییر نگاه از حفاظت صرف از تجهیزات به حفظ خدمت نهایی متمرکز بود. در چنین رویکردی، موفقیت بانک در شرایط بحران با توانایی مشتریان برای ادامه استفاده از خدمات مالی سنجیده می‌شود و دستیابی به این هدف، به هماهنگی میان فناوری، برنامه‌ریزی مدیریتی، زیرساخت‌های جایگزین و آمادگی تیم‌های اجرایی وابسته است.
دوازدهمین رویداد بزرگ تراکنش ایران از ۱۰ تا ۱۲ آبان ۱۴۰۵ با حضور بانک‌ها، شرکت‌های فناوری مالی و فعالان حوزه پرداخت، نوآوری و اقتصاد دیجیتال در مرکز آفرینش‌های کانون و هتل لاله تهران برگزار شد.
علاقه‌مندان برای کسب اطلاعات بیشتر می‌توانند به سایت تراکنش ایران مراجعه کنند. همچنین اخبار و گزارش‌های رویداد از طریق سایت فابانیوز منتشر می‌شود.
برای کسب اطلاعات بیشتر می‌توانید ویژه‌نامه دوازدهمین رویداد بزرگ تراکنش ایران را دریافت کنید.
تراکنش دوازدهم ایران با حضور مدیران، متخصصان، بانک‌ها و شرکت‌های فعال در اکوسیستم صنایع مالی، بانکی، پرداخت، نوآوری، فناوری، تجارت الکترونیکی و اقتصاد دیجیتال برگزار شد و نشست‌های تخصصی آن به بررسی چالش‌ها و فرصت‌های این حوزه‌ها اختصاص داشت.
شبکه پایدار، تراکنش در حال انجام است
گفت‌وگوی کاربران
نظر شما می‌تواند این بحث را کامل‌تر کند.
اولین نفری باشید که درباره این نوشته گفتگو را شروع می‌کند.