سند فناوریهای نوین پولی و مالی؛ الزامات امنیت سایبری و حریم خصوصی
بررسی سند فناوریهای نوین پولی و مالی و الزامات آن درباره امنیت سایبری، رمزنگاری، احراز هویت چندعاملی، حریم خصوصی و حفاظت از دادههای کاربران.
سند «بهکارگیری فناوریهای نوین پولی و مالی در فضای مجازی» که در یکصدوهشتادوهشتمین جلسه کمیسیون عالی تنظیم مقررات فضای مجازی کشور در ۹ اردیبهشت ۱۴۰۵ به تصویب رسیده است، توسعه فناوریهای مالی را در کنار الزامات امنیتی، حریم خصوصی و تابآوری نظام مالی قرار داده است.
سیدمحمد امین آقامیری، دبیر شورای عالی و رئیس مرکز ملی فضای مجازی، این سند را ۱۴ شهریور ۱۴۰۵ برای اجرا به دستگاههای مربوط ابلاغ کرده است.
این سند حوزههایی مانند بانکداری، پرداخت، بیمه، وامدهی فناورانه، بانکداری باز، اعتبارسنجی دیجیتال، رمزینهسازی داراییها و فناوریهای نظارتی را دربرمیگیرد و در چشمانداز خود، ایجاد زیستبومی «امن، شفاف، رقابتی و نوآور» را تا افق ۱۴۱۰ هدفگذاری کرده است. بر این اساس، ارائه خدمات مالی دیجیتال باید در کنار توسعه فناوری، با استانداردهای امنیتی و الزامات حریم خصوصی همراه باشد.
استانداردهای امنیتی برای خدمات مالی نوین
یکی از صریحترین بخشهای سند در حوزه امنیت سایبری، به توسعه زیرساختهای امنیتی و حفاظت از حریم خصوصی اختصاص دارد. بر اساس بند ۳-۶، برای تمامی خدمات فناوریهای نوین پولی و مالی باید استانداردهای امنیتی الزامآور تدوین شود.
در همین بند، سه محور مشخص مورد تأکید قرار گرفته است: رمزنگاری، احراز هویت چندعاملی و حفاظت از دادههای حساس کاربران.
اهمیت این موضوع از آنجا ناشی میشود که بخش قابلتوجهی از خدمات مالی جدید بر بسترهایی مانند بانکداری باز، نئوبانکها، کیف پولهای الکترونیکی، پرداختهای آنلاین، اعتبارسنجی دیجیتال و سکوهای وامدهی ارائه میشوند. ضعف در احراز هویت، حفاظت از دادهها یا کنترل دسترسی در این خدمات میتواند آنها را به هدف حملات سایبری و سوءاستفاده از اطلاعات کاربران تبدیل کند.
مقابله با حوادث سایبری به مسئولیت تنظیمگران تبدیل شد
سند در بخش مربوط به پیادهسازی و نظارت، جزئیات بیشتری درباره مقابله با تهدیدهای سایبری ارائه کرده است. بر اساس بند ۵-۲-۵، تنظیمگران بخشی در توسعه خدمات فناوریهای نوین پولی و مالی موظفاند برای جلوگیری از بروز حوادث و جرائم رایانهای یا سایبری، الزامات امنیتی و انتظامی نهادهای مسئول را رعایت کنند.
این الزامات باید مطابق تقسیمبندی سند ملی پیشگیری و مقابله با حوادث فضای مجازی، مصوب سال ۱۳۹۶ شورای عالی فضای مجازی، اجرا شوند.
به این ترتیب، امنیت سایبری در این سند صرفاً یکی از اهداف کلی توسعه فناوری نیست، بلکه رعایت الزامات مقابله با حوادث سایبری به فرایند توسعه خدمات مالی نوین گره خورده است.
بانکداری باز و اعتبارسنجی؛ دو نقطه حساس امنیت داده
گستردگی فناوریهایی که در این سند زیر عنوان فناوریهای نوین پولی و مالی قرار گرفتهاند، نشان میدهد دامنه الزامات امنیتی تنها به بانکها یا سامانههای پرداخت محدود نمیشود.
بانکداری باز، نئوبانکها، اعتبارسنجی دیجیتال، وامدهی فناورانه، مدیریت ثروت، فناوری بیمه، فناوریهای مالیاتی و رمزینهسازی داراییها نیز در این زیستبوم قرار گرفتهاند.
در حوزه اعتبارسنجی دیجیتال، استفاده از کلانداده، هوش مصنوعی، پایگاههای داده یکپارچه و سامانههای احراز هویت الکترونیکی پیشبینی شده است. در بانکداری باز نیز ارتباط و تبادل داده میان سامانهها و خدمات مالی اهمیت ویژهای پیدا میکند.
همین موضوع، حفاظت از دادههای مالی و هویتی کاربران را به یکی از چالشهای اصلی امنیتی این زیستبوم تبدیل میکند؛ بهویژه آنکه سند همزمان بر «حفظ حریم خصوصی کاربران، امنیت و جریان باز دادهها» تأکید کرده است.
سامانههای یکپارچه باید امنیت خدمات مالی را افزایش دهند
سند در بخش سیاستها بر تقویت و یکپارچگی سامانههای زیرساختی نیز تأکید کرده است. بر اساس بند ۳-۴، استقرار سامانههای یکپارچه دیجیتال در حوزههایی مانند احراز هویت، امور مالی باز و اعتبارسنجی در سطح ملی باید با همکاری نهادهای مربوط انجام شود.
هدف اعلامشده از این اقدام، افزایش امنیت فعالیتهای فناوریهای نوین پولی و مالی و کاهش مخاطرات مرتبط با آنهاست.
با این حال، یکپارچهشدن سامانههای مالی و ایجاد زیرساختهای مشترک، اهمیت امنیت این زیرساختها را نیز افزایش میدهد؛ زیرا اختلال یا نفوذ در یک سامانه کلیدی میتواند دامنهای فراتر از یک کسبوکار یا خدمت منفرد داشته باشد.
تنظیمگران مختلف، مسئول حوزههای مختلف امنیتی هستند
این سند مسئولیت تنظیم حوزههای مختلف فناوریهای مالی را میان بانک مرکزی، وزارت امور اقتصادی و دارایی، سازمان بورس و اوراق بهادار و بیمه مرکزی تقسیم کرده است.
بانک مرکزی مسئول حوزههایی مانند فناوریهای پرداخت، فناوریهای بانکی، وامدهی فناورانه و پرداختهای بینالمللی است. وزارت اقتصاد نیز حوزههایی مانند فناوریهای مالیاتی، توثیق دیجیتال، تضمین دیجیتال و اعتبارسنجی دیجیتال را بر عهده دارد.
سازمان بورس مسئول فناوریهای مرتبط با بازار سرمایه و رمزینهسازی داراییهاست و بیمه مرکزی نیز فناوری بیمه و فناوریهای نظارتی و تطابق مقررات در حوزه بیمه را پوشش میدهد.
این تقسیم کار از منظر امنیت سایبری اهمیت ویژهای دارد؛ زیرا خدمات مالی نوین به یک حوزه واحد محدود نیستند و ممکن است یک خدمت یا زیرساخت، همزمان با چند حوزه تنظیمگری و دادهای ارتباط داشته باشد.
کمیسیون عالی تنظیم مقررات بر عملکرد تنظیمگران نظارت میکند
بر اساس این سند، کمیسیون عالی تنظیم مقررات فضای مجازی کشور مسئول تدوین و اجرای شیوهنامه نظارتی برای ایجاد هماهنگی و نظارت بر تنظیمگران بخشی خواهد بود.
تنظیمگران نیز باید بر اساس نقشهراههای تعیینشده فعالیت کنند و هر شش ماه یکبار گزارش عملکرد خود را بهصورت عمومی منتشر کنند. همچنین در موارد مربوط به الزامات نظارتی و ضمانت اجرا، باید اقدامات تنبیهی خود را بهصورت شفاف و در چارچوب اختیارات قانونی، در دستورالعملهای مربوط درج کنند.
از منظر امنیت سایبری، این بخش اهمیت زیادی دارد؛ زیرا میزان اثرگذاری الزامات امنیتی سند در نهایت به نحوه تبدیل آنها به مقررات اجرایی، شاخصهای ارزیابی و سازوکارهای نظارت بر عملکرد تنظیمگران وابسته خواهد بود.
از رمزنگاری تا مقابله با جرائم سایبری
سند «بهکارگیری فناوریهای نوین پولی و مالی در فضای مجازی» امنیت را در سطوح مختلف وارد چارچوب توسعه خدمات مالی کرده است؛ از رمزنگاری و احراز هویت چندعاملی گرفته تا حفاظت از دادههای حساس، امنیت سامانههای یکپارچه و رعایت الزامات مقابله با حوادث سایبری.
با این حال، بخش مهمی از این الزامات در سند در سطح سیاستگذاری قرار دارند و جزئیات اجرایی آنها باید در مقررات، نقشهراهها و دستورالعملهایی که تنظیمگران بخشی تدوین خواهند کرد، مشخص شود.
بنابراین، میزان اثرگذاری واقعی این سند بر امنیت سایبری صنعت مالی تا حد زیادی به نحوه تبدیل این الزامات کلی به استانداردهای فنی، سازوکارهای نظارتی و ضمانت اجراهای عملی بستگی خواهد داشت.
