تحول مدل امنیتی بلوبانک از دیوار دفاعی به سمت اعتماد دوطرفه با جامعه هکرهای کلاهسفید, در حاشیه یکی از منحصربهفردترین رویدادهای امنیتی سال، باگ بانتی بلوبانک، دیجیاتو با اسماعیل ملااحمدی، مدیر تیم امنیت این بانک، گفتگویی انجام داده است. او با اشاره به چشماندازهای استراتژیک بلوبانک، بر ضرورت تغییر پارادایم در مدلهای امنیتی تأکید میکند امنیت در بانکها تنها یک نیاز فنی نیست، بلکه یک مسئولیت اعتبارمحور است.
اگر باگ بانتی را صرفاً یک رویداد شوقانگیز بدانیم، بخش اعظمی از حقیقت را نادیده گرفتهایم.
ملااحمدی در پاسخ به این پرسش که آیا برگزاری این رویداد ناشی از نگرانیهای امنیتی جدی در فضای فناوری کشور بوده، توضیح میدهد امنیت برای شرکتها اهمیت حیاتی دارد و در حوزه بانکداری این اهمیت دوچندان است. ما سرمایهگذاریهای گستردهای در امنیت داشتهایم و ملاحظات امنیتی در تمامی فرآیندها گنجانده شده است. هر سازمانی که دادههای حساس مدیریت میکند، قطعاً از وقایع اخیر پلتفرمهای بزرگ درس گرفته است.
وجود حفره امنیتی میتواند اعتبار بانک را به شدت تهدید کند؛ از این رو، بهتر است متخصصان امنیت (کلاهسفیدها) این نواقص را در سریعترین زمان گزارش دهند.
تأثیرهای بلندمدت همکاری با جامعه امنیتی به عقیده مدیر تیم امنیت بلو، جدا از اثر فوری در افزایش امنیت پلتفرم، این رویکرد در درازمدت باعث میشود متخصصان امنیت با حوزه مالی و نئوبانکها آشنا شده و به سمت تست و بررسی زیرساختهای دیگر حرکت کنند. این آشنایی در نهایت برای کل اکوسیستم فینتک سودمند خواهد بود و اثرات مثبت آن در افق طولانیمدت نمایانتر میشود.
تحلیل هزینه-فایده باگ بانتی در برابر تقویت دیوار دفاعی در پاسخ به سوالی درباره هزینههای برگزاری و امکان صرف آن بودجه بر تقویت مستقیم دفاعها، ملااحمدی بیان میکند بلوبانک تنها به برگزاری رویدادهای یکباره بسنده نمیکند. باگ بانتی از نظر هزینه برای سازمانها بسیار مقرونبهصرفه است. هدف اصلی ایجاد انگیزه در فرآیند شناسایی حفرهها است، اما این برنامه به یک فصل خاص محدود نمیشود.
ما در طول سال به طور مداوم در جستجوی همکاری با هکرهای کلاهسفید هستیم. حتی پیش از این رویداد، برنامههای باگ بانتی داشتیم و گزارشهای باکیفیت دریافت کرده بودیم که اگرچه جوایز سنگین نداشتند، اما بیارزش نبودند. شرکتهایی مانند بلو چارهای جز پیشرفت در این مسیر ندارند و این رویکرد به نفع تمام طرفین است. وی افزود پایان این ایونت، پایان راه نیست. ما به طور مستمر گزارشهایی که در قالب مورد نظر ارسال میشوند را ارزیابی میکنیم.
تیم داوری متشکل از ۶ متخصص دقیق، هر گزارش دریافتی را بررسی میکند. ما باور داریم در حوزه امنیت باید به این صورت عمل کرد؛ فرآیندی که علاوه بر کشف باگ و اهدای جایزه، باعث میشود شرکتکنندگان با فناوریهای بانکی آشنایی عمیقتری پیدا کنند. مدیریت ریسک در دسترسی به زیرساختهای بانکی در مورد ریسکهای ناشی از دسترسی متخصصان به زیرساختهای حساس حتی در شرایط کنترلشده، او میگوید بلوبانک همیشه ساختارشکن، خلاق و نوآور بوده است.
اکنون بانکها و مؤسسات مالی دیگر نیز به سمت این مدل حرکت کردهاند؛ در نتیجه متخصصان امنیت با فضای مالی آشناتر شده و پلتفرمهای دیگر را تست میکنند. مبنای باگ بانتی اعتماد است؛ اعتماد سازمان به جامعه تخصصی و بالعکس. اما این اعتماد بیقید و شرط نیست. ما چارچوبها و مقررات مشخصی تعریف کردهایم که باید رعایت شوند. با این برنامهریزی، مسیر آینده بازتر و دامنه فعالیت گستردهتر خواهد شد.
در این رویداد، افراد در ۲۴ ساعت (در دو شیفت ۱۲ ساعته) بر روی اپلیکیشن بلو تمرکز داشتند. هدف آینده گسترش این دامنه به سایر اپلیکیشنها و زیرساختهای بانک است که امیدواریم مطابق برنامه عملیاتی شود. مزیت رقابتی مدلهای خلاقانه و باز ملااحمدی بر مزیت همکاری با جامعه هکرهای کلاهسفید نسبت به روشهای سنتی تأکید دارد در بلوبانک در تمام حوزهها روحیه پیشرو بودن و جسارت در تصمیمگیری وجود دارد.
امنیت برای ما موضوعی مداوم است، نه حاشیهای یا موقتی. اگرچه تیم داخلی ما بسیار توانمند است، اما ظرفیت انسانی و زاویه دید آن محدود است. برنامههایی مانند باگ بانتی باعث ورود دیدگاههای تازه و متنوع به فرآیند ایمنسازی میشود و این تعامل بر امنیت پشتیبانی زیادی میافزاید. آیا بلوبانک به سمت تعاملات امنیتی سطح جهانی میرود؟
در پاسخ به اینکه آیا بلو برنامهای برای ورود به سطح بینالمللی دارد یا باید به ظرفیت داخلی اکتفا کرد، او بیان میکند هرچقدر تیم داخلی قوی باشد، طبیعتاً باید بتوانیم تست نفوذ و باگ بانتی را در سطح بینالمللی نیز اجرا کنیم. برای راهاندازی یک رویداد رسمی، ابتدا زیرساختها و میزان آمادگی داخلی را ارزیابی کردیم. مسیر مشارکت عمومی باز است؛ هر متخصصی از هر نقطهای میتواند شرکت کند، گزارش ارسال کند و ما آن را بررسی میکنیم.
او با تأکید بر توانایی متخصصان ایرانی ادامه میدهد در ایران متخصصان بسیار خوبی داریم. اعضای تیم ما نیز افراد توانمندی هستند که میتوانند در سطح بینالمللی مقایسه شوند. نگرانی خاصی درباره فعالان خارجی نداریم، زیرا مکانیزمهای تعریف شده روز به روز تقویت میشوند. تیم داخلی قوی و برنامه باگ بانتی هر دو مکمل یکدیگر هستند و ما هر دو را روی میز داریم.
اعتماد به نفس تیم ما برای قرار گرفتن در معرض بررسیها و تلاشهای نفوذ، نشاندهنده اطمینان از کار خود است. منبع اصلی رضایت اعتماد متخصصان، نه تنها کشف باگ در پاسخ به اینکه چه چیزی در این رویداد او را واقعاً خوشحال میکند، ملااحمدی میگوید اگر متخصصان حوزه امنیت به ما اعتماد کنند، خوشحالکنندهترین اتفاق برای ماست. ما واقعاً میخواهیم با تمام این دوستان در ارتباط باشیم.
تمایل داریم افراد از حوزههای گستردهتر نیز ما را پشتیبانی کنند و این ارتباط مستمر با جامعه تخصصی، یکی از لذتبخشترین و ارزشمندترین دستاوردها برای ماست. به نظر میرسد خروجی این رویدادها بیشتر کیفی از آن که کمی باشد. آنچه اهمیت دارد، شکلگیری یک تعامل سازنده و مبتنی بر اعتماد بین متخصصان امنیت کشور و بلوبانک است.
