تاب‌آوری زنجیره پرداخت؛ چرا موفقیت تراکنش‌ها کافی نیست؟
فاطمه سبزه‌ای در یادداشتی تخصصی، با بررسی سه تجربه اختلال در شبکه پرداخت ایران، به اهمیت تاب‌آوری زیرساخت‌های پرداخت و چالش‌های ناشی از وابستگی بانک‌ها به زیرساخت‌ها و تأمین‌کنندگان مشترک پرداخته است.
فاطمه سبزه‌ای؛ پژوهشگر مستقل در حوزه حکمرانی فناوری مالی و هوش مصنوعی
کارت می‌کشیم، قبض می‌پردازیم و پول جابه‌جا می‌کنیم، بی‌آنکه به مسیر این تراکنش‌ها فکر کنیم. این مسیرها وقتی به چشم می‌آیند که کارتخوان فروشگاه از کار بیفتد یا کسی نتواند به پول خودش دسترسی پیدا کند. از تیر ۱۴۰۴ تا تیر ۱۴۰۵ این اتفاق سه بار و به سه شکل متفاوت افتاد: کارتخوان‌ها در سراسر کشور مختل شدند، خدمات چهار بانک بزرگ از دسترس خارج شد و بانک مرکزی از لغو گواهینامه فنی- امنیتی شاپرک از سوی یک تأمین‌کننده خارجی خبر داد. علت‌ها یکی نبود، اما درس‌شان مشترک بود: نرخ موفقیت تراکنش‌ها در یک روز عادی چیز زیادی درباره روز بد نمی‌گوید.
نرخ موفقیت و دسترس‌پذیری شاخص‌های لازمی‌اند، ولی فقط می‌گویند شبکه در حالت معمول چطور کار می‌کند. اینکه با از کار افتادن یک جزء بقیه چه می‌شوند، از روی آن‌ها معلوم نمی‌شود.
شنبه ۲۸ تیر ۱۴۰۴ همین‌طور بود. از حدود ساعت ۱۱ صبح، کاربران از اختلال گسترده در کارتخوان‌های فروشگاهی خبر دادند. مدیرعامل شاپرک علت را مانوری آزمایشی برای سنجش آمادگی شبکه پرداخت اعلام کرد و بانک مرکزی از چند قطعی کوتاه گفت، هر کدام حدود یک دقیقه. کاربران اما قطعی را حدود یک ساعت توصیف می‌کردند و رسانه‌ها نوشتند مانور بدون اطلاع قبلی اجرا شده بود. سامانه ثبت می‌کند چند بار و چقدر قطع شد. فروشنده‌ای که در همان ساعت نمی‌توانست پول بگیرد، فقط می‌داند کسب‌وکارش ایستاده بود. هر دو روایت می‌تواند درست باشد و هر دو در سنجش تاب‌آوری وزن دارد.
مانور برای سنجش آمادگی لازم است و اطلاع‌رسانی به مردم هم مهم. اما به نظر من نباید نقش اطلاع‌رسانی را بزرگ کرد. مردم اگر بدانند چرا کارتخوان کار نمی‌کند، مشکل‌شان حل نمی‌شود. اولویت با جلوگیری از اختلال گسترده، فراهم‌کردن مسیر جایگزین و برگرداندن سریع خدمات است. اطلاع‌رسانی باید کنار این کارها بیاید، نه جای آن‌ها.
اما مسئله فقط به آزمون و اطلاع‌رسانی برنمی‌گردد. پرداخت کارتی از بیرون ساده است، ولی پشتش شرکت‌های پرداخت، زیرساخت ارتباطی، سامانه‌های بانکی و پردازش و تسویه کار می‌کنند. وقتی چند خدمت به یک زیرساخت مشترک تکیه کنند، خرابی یک نقطه می‌تواند همه را با هم از کار بیندازد. اختلال خرداد ۱۴۰۵ در چهار بانک ملی، تجارت، صادرات و توسعه صادرات نمونه‌اش بود. شورای هماهنگی بانک‌ها منشأ مشکل را زیرساخت ارتباطی مشترک این بانک‌ها اعلام کرد و بانک مرکزی گفت شتاب و شاپرک فعال بودند و ربطی به اختلال نداشتند. یعنی شبکه ملی پرداخت کار می‌کرد و مشتریان باز هم به بعضی خدمات بانکی دسترسی نداشتند.
از میان این سه رخداد، این یکی به نظر من معنادارتر بود. حتی اگر هر بانک به‌تنهایی خوب کار کند، وابستگی به یک مسیر مشترک می‌تواند همه‌چیز را مختل کند. چیزی که در خطر بود فقط خرید با کارت نبود؛ دسترسی مردم به پول‌شان بود.
برگشت خدمات هم تدریجی بود. اختلال از بامداد شنبه ۲۳ خرداد شروع شد و شرکت خدمات انفورماتیک شامگاه یک‌شنبه از بازگشت خدمات پایه کارتی خبر داد. با این حال گزارش‌های بعدی می‌گفتند بعضی مشتریان هنوز به موجودی حساب‌شان دسترسی ندارند. برگشت بخشی از خدمات را نمی‌شود بازیابی کامل دانست. برای پذیرندگان هم اعلام شد وجوه به حساب پشتیبان‌شان واریز می‌شود. این کار از فشار اختلال می‌کاهد، اما اثرش به دامنه پوشش و سرعت اجرا بستگی دارد.
این نگاه در اسناد بین‌المللی هم هست. صندوق بین‌المللی پول در گزارش دسامبر ۲۰۲۱ با عنوان تاب‌آوری عملیاتی در پرداخت‌های دیجیتال به وابستگی متقابل زیرساخت‌ها و ضرورت ترتیبات جایگزین پرداخته است. راهنمای مشترک کمیته پرداخت‌ها و زیرساخت‌های بازار (CPMI) و سازمان بین‌المللی کمیسیون‌های اوراق بهادار (IOSCO) هم که در ژوئن ۲۰۱۶ منتشر شد، بر آمادگی برای اختلال‌های سایبری و بازیابی به‌موقع خدمات تأکید می‌کند.
نرخ موفقیت نمی‌گوید با قطع یک زیرساخت چند بانک، چند خدمت و چند کاربر آسیب می‌بینند، یا شبکه از مسیرهای جایگزین چقدر می‌تواند ادامه دهد. خواندنش بدون شناخت علت خطاها هم ریسک دارد، چون هر تراکنش ناموفق تقصیر شبکه نیست. گاهی مشکل از سمت کاربر است و گاهی از محدودیت حساب. گزارش شاپرک برای دی‌ماه ۱۴۰۴ کاهش تعداد تراکنش‌ها نسبت به ماه قبل را نشان می‌داد. زومیت این افت را با قطعی‌های غیرمعمول اینترنت مرتبط دانست، آن هم با لحن احتمالی. هم‌زمانی دو اتفاق علت و معلولی را ثابت نمی‌کند و تقاضا و شرایط اقتصادی هم باید بررسی شود. برای ارزیابی درست‌تر به چیزهای دیگری هم نیاز داریم: دامنه و مدت اختلال، شمار کاربران و خدمات درگیر و ظرفیت واقعی مسیرهای جایگزین.
و همین‌جا مشکل داده پیش می‌آید. گاهی مدت دقیق اختلال معلوم نیست، گاهی شمار کاربران متأثر و ظرفیت مسیرهای جایگزین هم هیچ‌وقت زیر فشار واقعی آزمایش نشده است. اختلاف روایت‌ها درباره کارتخوان‌ها در تیر ۱۴۰۴ نمونه‌اش بود. کمبود داده اما دلیل کنار گذاشتن ارزیابی نیست. می‌شود از اطلاعات عمومی شروع کرد، وابستگی‌های شناخته‌شده را ثبت کرد و سناریوهای اختلال را بررسی کرد، به شرط اینکه روشن باشد کدام نتیجه به داده مستند تکیه دارد و کدام هنوز برآورد است. بانک انگلستان در بیانیه نظارتی ۱۲ ژوئن ۲۰۲۶ درباره تاب‌آوری عملیاتی اپراتورهای سامانه‌های پرداخت، خدمتی را مهم می‌داند که اختلال طولانی آن بتواند انتقال پرداخت‌ها یا ایمنی و کارایی سامانه را جدی تهدید کند. چنین چارچوبی را نمی‌شود بی‌تغییر وارد ایران کرد. ساختار نهادی و ویژگی‌های شبکه پرداخت ما فرق دارد.
پس از شناخت نقاط ضعف، سؤال این است که از کجا شروع کنیم. بودجه و نیروی انسانی محدود است و همه‌چیز را نمی‌شود هم‌زمان درست کرد. اولویت را باید بر اساس ریسکی گذاشت که هر اقدام کم می‌کند. تجربه چهار بانک نشان داد گاهی مشکل اصلی عملکرد جداگانه بانک‌ها نیست؛ زیرساخت مشترکی است که همه به آن تکیه دارند. تقویت چنین زیرساختی می‌تواند چند بانک را هم‌زمان محافظت کند. رئیس‌کل بانک مرکزی هم در نشست علنی مجلس در ۱۰ شهریور ۱۴۰۵ به همین نکته رسید. او گفت تمرکز تراکنش‌ها بر شبکه کارت و وابستگی چند بانک به زیرساخت‌ها و تأمین‌کنندگان مشترک باید بازنگری شود، چون اختلال در یک زیرساخت یا تأمین‌کننده مشترک نباید چند بانک را هم‌زمان متوقف کند. حساب اقتصادی هم تنها معیار نیست؛ الزام‌های قانونی و امنیتی را هم باید در تصمیم‌گیری دید.
اواخر تیر ۱۴۰۵ هم بانک مرکزی اعلام کرد تأمین‌کننده‌ای خارجی بدون اطلاع قبلی گواهینامه فنی- امنیتی شاپرک را لغو کرده و با تدابیر فنی جایگزین، خدمات شبکه پرداخت ادامه یافته است. این اطلاعیه برای سنجش دقیق دامنه وابستگی و ریسک کافی نیست، اما پرسشی روشن پیش می‌کشد: اگر خدمت، مجوز یا فناوری مورد نیاز شبکه از بیرون قطع شود، آیا جایگزین عملیاتی قابل اتکایی از قبل آماده است؟ وابستگی وقتی نقطه ضعف می‌شود که جایگزین‌کردنش سخت باشد، انتقال به گزینه دیگر زمان ببرد یا ادامه خدمت به تصمیم تأمین‌کننده‌ای بیرونی بسته باشد.
شاخص‌های روزانه همچنان لازم‌اند، اما برای قضاوت درباره تاب‌آوری کافی نیستند. پرسش اصلی این است: اگر یکی از اجزای کلیدی شبکه از کار بیفتد، کدام خدمات می‌خوابند، جایگزین کجاست و برگشت چقدر طول می‌کشد؟
به نظر بهترین پیشنهاد این است که اول وابستگی‌های اصلی شبکه فهرست شود: کدام بانک‌ها و خدمات به زیرساخت مشترک تکیه دارند و با از کار افتادن هر کدام چه چیزهایی می‌خوابد. بعد باید روشن شود مسیر جایگزین فقط در سند هست یا در شرایط واقعی هم کار می‌کند. به نظر برنامه جایگزین روی کاغذ کافی نیست؛ باید پیش از بحران آماده باشد و مرتب آزمایش شود.
