مینا حاجی، سردبیر ماهنامه عصر تراکنش / در بازار مشغول خرید بودم که کارت بانکیام کار نکرد. اول فکر کردم مشکل از دستگاه کارتخوان است. کارت دیگری را امتحان کردم و این بار تراکنش انجام شد. چند دقیقه بعد، در حالی که میان مغازهها قدم میزدم، از حرفهای پراکنده کسبه و مردم متوجه شدم ماجرا فقط به یک کارت یا یک دستگاه محدود نیست. میگفتند خدمات چهار بانک دچار اختلال شده و کارتهایشان کار نمیکند. بعضیها چند کارت را پشت سر هم امتحان میکردند، عدهای سراغ کارتبهکارت میرفتند و برخی هم از فروشنده میخواستند خریدشان را کنار بگذارد تا راه دیگری برای پرداخت پیدا کنند.
برای مشتری بانک، ماجرا همینقدر ساده و ملموس است. او نمیداند سامانه بانک را چه شرکتی نوشته یا حمله از چه مسیری رخ داده است. فقط میبیند پول در حسابش هست، اما درست در لحظهای که به آن نیاز دارد، نمیتواند از آن استفاده کند. در چنین موقعیتی، عباراتی مانند «صیانت از دادهها»، «بازگردانی سرویس» یا «فعالسازی مسیر جایگزین» چندان برایش معنا ندارد. مسئله برای او روشنتر از این حرفهاست: چرا نمیتوانم به پول خودم دسترسی داشته باشم؟
اختلالی که از ۲۳ خرداد خدمات بانکهای ملی، صادرات، تجارت و توسعه صادرات را درگیر کرد و بعدتر با توقف دوباره خدمات کارتمحور برخی از این بانکها ادامه یافت، بهتدریج فروکش کرد. کارتها دوباره کار کردند، بخشی از خدمات بازگشت و مقامهای مسئول نیز تأکید کردند اطلاعات و داراییهای مشتریان محفوظ مانده است. بااینحال، بیش از یک ماه و نیم بعد، هنوز یک سؤال ساده بیپاسخ مانده است: دقیقاً چه اتفاقی افتاد؟
یک ماه و نیم ابهام
میدانیم حملهای سایبری رخ داده، میدانیم بخشی از خدمات بانکی برای مدتی از دسترس خارج شده و میدانیم بازگردانی سامانهها ساده نبوده است. اما هنوز نمیدانیم نقطه آغاز حادثه کجا بوده، دقیقاً کدام بخشها آسیب دیدهاند، چرا اختلال پس از بازگشت اولیه خدمات دوباره تکرار شده، چه تعداد تراکنش با مغایرت روبهرو شده و برای جلوگیری از تکرار این اتفاق چه تغییر مشخصی در زیرساختها ایجاد خواهد شد.
البته که میدانیم انتشار همه جزئیات فنی و امنیتی نه ممکن است و نه منطقی؛ اما میان افشای اطلاعات حساس و نگفتن تقریباً هیچچیز، فاصله زیادی وجود دارد. میتوان بدون افشای جزئیات محرمانه توضیح داد که دامنه حادثه چه بوده، چه کنترلهایی عمل نکردهاند، بازگردانی خدمات چگونه انجام شده و چه برنامهای برای جلوگیری از تکرار آن در نظر گرفته شده است.
تجربه جهان؛ از اختلال تا اصلاح
تجربه بانکهای جهان نشان میدهد بازگشت سرویس، پایان ماجرا نیست؛ بلکه آغاز مرحله پاسخگویی است. در سال ۲۰۱۲، یک بهروزرسانی ناموفق در گروه رویال بانک اسکاتلند، دسترسی میلیونها مشتری RBS، NatWest و Ulster Bank را مختل کرد. پس از حادثه، این بانکها با جریمهای ۵۶ میلیون پوندی روبهرو شدند، بخشی از پاداش مدیران و کارکنان مسئول کاهش یافت و صدها میلیون پوند برای اصلاح زیرساخت فناوری اختصاص داده شد.
مسئله فقط پیدا کردن یک خطای نرمافزاری نبود. نهاد ناظر میخواست بداند چرا کنترلهای داخلی و برنامههای بازیابی نتوانستهاند جلوی گسترش بحران را بگیرند و چرا یک تغییر فنی توانسته زندگی مالی میلیونها نفر را مختل کند.
واکنش اداره پولی سنگاپور به اختلالهای مکرر DBS در سال ۲۰۲۳ نیز قابلتأمل است. رگولاتور، این بانک را برای شش ماه از خرید کسبوکار جدید و اجرای تغییرات غیرضروری فناوری منع کرد و سرمایه بیشتری برای پوشش ریسک عملیاتی از آن خواست. پاداش مدیرعامل و شماری از مدیران ارشد نیز کاهش یافت. در این تجربه، اختلال فناوری فقط مسئله تیم فناوری اطلاعات نبود؛ بر مجوز رشد بانک، سرمایه موردنیاز و ارزیابی عملکرد مدیران اثر گذاشت.
هدف از مرور این تجربهها، نسخهبرداری مستقیم از جریمهها یا مجازات مدیران نیست. مسئله مهمتر، پذیرفتن حق مردم برای دانستن و ضرورت یادگیری از بحران است. اگر پس از یک اختلال گسترده، تنها خدمات را بازگردانیم و منتظر حادثه بعدی بمانیم، عملاً چیزی از آنچه رخ داده نیاموختهایم. گزارش پساحادثه باید روشن کند چه اتفاقی افتاده، کدام کنترلها عمل نکردهاند، مشتریان چگونه جبران میشوند و چه برنامهای با زمانبندی مشخص برای اصلاح وجود دارد.
بعد از این اختلال چه چیزی تغییر خواهد کرد؟
حالا مسئله این است که اختلال چهار بانک در ایران به چه تغییری منجر خواهد شد. آیا گزارشی غیرمحرمانه از حادثه منتشر میشود؟ آیا بانکها ملزم خواهند شد برنامههای بازیابی خود را در شرایط واقعی آزمایش کنند؟ آیا عملکرد مدیران، بانکها و شرکتهای مسئول بهطور شفاف ارزیابی خواهد شد؟ و آیا مشتریانی که با تراکنشهای ناموفق، چکهای سررسیدشده یا تأخیر در انجام تعهداتشان روبهرو شدهاند، مسیر روشنی برای پیگیری خواهند داشت؟
بیش از یک ماه و نیم گذشته است، اما هنوز بیش از آنکه بدانیم، حدس میزنیم. شاید مهمترین وظیفه شبکه بانکی پس از بازگرداندن خدمات، بازگرداندن همین اطمینان باشد؛ اطمینان از اینکه حادثه واقعاً بررسی شده، علتها پنهان نماندهاند و قرار نیست همان ضعفها در بحران بعدی دوباره مردم را از پولشان جدا کنند.
کارتها برگشتهاند، اما اعتماد با بازگشت چند سرویس بهتنهایی برنمیگردد. اعتماد زمانی بازمیگردد که بدانیم دقیقاً چه اتفاقی افتاد و پس از آن چه چیزی تغییر کرد.
