حملات سایبری به شبکه بانکی و تجربه دو جنگ اخیر، امنیت را دوباره به یکی از جدی‌ترین مسائل بانک‌ها تبدیل کرده است. اما برای یک نئوبانک ماجرا فقط بستن مسیرهای نفوذ نیست؛ امنیت نباید به ترمزی برای توسعه محصول و نوآوری تبدیل شود. پیوست با همین پرسش سراغ اسماعیل ملااحمدی، مدیر ارشد امنیت بلو، رفته است: بلو بعد از تجربه حملات اخیر چه تغییری در نگاه امنیتی خود داده، باگبانتی چه نقشی در این مسیر داشته و هوش مصنوعی چگونه هم‌زمان به ابزار مهاجمان و تیم‌های دفاعی تبدیل شده است.
دومین دوره باگبانتی بلوبانک امسال برگزار شد. ملااحمدی درباره تفاوت آن با دوره اول میگوید: «از تجربه دوره قبل استفاده کردیم. دوره اول خرداد سال گذشته برگزار شد و حالا حدود یک سال و نیم از آن می‌گذرد. در این مدت، با وجود اینکه فضای کشور بسیار متفاوت بوده، ارتباط ما با جامعه متخصصان حوزه امنیت بیشتر شده و تلاش کردیم این ارتباط را حفظ کنیم.»
به گفته او یکی از تفاوت‌های این دوره، نحوه انتخاب و دعوت شرکت‌کنندگان بود: «علاوه بر افرادی و تیم‌هایی که از قبل می‌شناختیم، حدود دو هفته پیش یک رقابت CTF یا فتح پرچم برگزار کردیم و از میان افرادی که در آن رقابت برگزیده شدند یا عملکرد خوبی داشتند و توانستند چالش‌های مورد نظر ما را بهتر حل کنند، برای حضور در باگبانتی دعوت کردیم.»
او اضافه می‌کند: «در دوره اول تا حدی این دغدغه را داشتیم که آیا دانش و تجربه کافی برای برگزاری مناسب چنین رویدادی داریم یا نه، اما حالا با تجربه‌ای که به دست آورده‌ایم، اعتمادبه‌نفس بیشتری داریم. از طرف دیگر، ارتباط ما با شرکت‌کنندگان نیز قوی‌تر شده است. برخی از آنها در فاصله میان دو دوره با ما در تعامل بودند و گزارش‌های خوبی ارائه کردند و ما هم سعی کردیم این ارتباط را حفظ کنیم. در مجموع، از نظر کیفی این دوره را فراتر از دوره قبل می‌دانم. به نظرم تیم‌ها نیز با تجربه بیشتری وارد رویداد شده‌اند و حتی بعضی از آنها ابزارهایی برای خودشان توسعه داده‌اند که باعث شده با آمادگی و کیفیت بیشتری در این دوره شرکت کنند.»
درباره دستاورد امنیتی دوره قبل و اینکه آیا ضعف زیرساختی مشخصی شناسایی شد، پاسخ او صریح است: «ما همیشه در حال به‌روزرسانی و بهبود زیرساخت‌ها هستیم، اما نمی‌توان گفت از دوره قبل تا امروز ضعف زیرساختی مشخصی صرفاً به واسطه باگبانتی شناسایی و برطرف شده است. هدف اصلی ما از برگزاری باگبانتی این بود که در کنار نگاه و ارزیابی تیم‌های داخلی خودمان، دید دیگری هم نسبت به محصولات و زیرساخت‌های بلو داشته باشیم و از نگاه و ایده متخصصان بیرون از مجموعه استفاده کنیم. در عین حال تلاش کردیم افرادی که در این رقابت شرکت می‌کنند نیز از این همکاری منتفع شوند. فکر می‌کنم از دوره قبل بهره کافی بردیم و این همکاری و تعامل با جامعه متخصصان امنیت برای ما دستاورد خوبی داشته است.»
پرسش کلیدی: با توجه به شرایط دو سال اخیر کشور و اینکه امنیت نیازمند پایش مداوم و بستن مسیرهای نفوذ است، این موضوع مانعی برای نوآوری و توسعه محصول در بلو نشده؟ او میگوید: «اتفاق‌های اخیر کشور حتماً روی توسعه سازمان‌ها تأثیر گذاشته و این قابل کتمان نیست، اما چالش میان امنیت و نوآوری برای ما موضوع جدیدی نیست و در گذشته هم با آن مواجه بوده‌ایم. ما یک نئوبانک هستیم و برخلاف بانکداری کلاسیک، نوآوری در نئوبانک حرف اول را می‌زند. از طرف دیگر، در فضای مالی و بانکی طبیعتاً امنیت اهمیت بسیار زیادی دارد. به نظرم امنیت از یک منظر می‌تواند نقش ترمز را در برابر نوآوری داشته باشد و این چالشی است که همیشه وجود دارد.»
راه‌حل بلو، به گفته مدیر ارشد امنیت آن، فناوری است: «رویکرد ما این بوده که با استفاده از فناوری‌های جدید این چالش را مدیریت کنیم. خودمان را به آنچه دیگران انجام می‌دهند محدود نکرده‌ایم و همواره سعی کرده‌ایم از فناوری‌ها و تجربه‌های روز دنیا استفاده کنیم. همین موضوع باعث شده در مواردی از روش‌ها، فناوری‌ها و ابزارهایی استفاده کنیم که شاید در ایران کمتر مورد استفاده قرار گرفته‌اند و از این طریق در کنار تیم‌های محصول، چالش‌های امنیتی را حل کنیم تا امنیت مانع توسعه محصول نشود.»
او ادامه می‌دهد: «در یک سال و چهار پنج ماه گذشته، با وجود شرایطی که شاید توسعه را برای بسیاری از سازمان‌ها و بخش‌ها دشوار کرده، ما همچنان توسعه محصول و ارائه محصولات و نوآوری‌های جدید را ادامه داده‌ایم. البته شرایط کشور، به‌ویژه در مقاطع مرتبط با جنگ، روی بعضی بازه‌های زمانی تأثیر گذاشته است، اما تلاش کرده‌ایم با استفاده از روش‌ها و فناوری‌های جدید، امنیت در نهایت بازنده نوآوری در فضای بانکی نباشد.»
هوش مصنوعی، شمشیر دولبه: در دوره قبلی و به‌ویژه در اختتامیه، به تأثیر هوش مصنوعی بر افزایش سرعت حملات و در مقابل نقش آن در حفظ امنیت بانک‌ها اشاره شد. ملااحمدی میگوید: «استفاده از هوش مصنوعی با سرعت بسیار زیادی در حال رشد است و تقریباً هر روز، هر هفته و هر ماه با فضای جدیدی مواجه می‌شویم. این فناوری از یک طرف می‌تواند چالش‌های امنیتی جدیدی ایجاد کند و از طرف دیگر، ابزار مؤثری برای بهبود فرایندها و حتی فرهنگ‌سازی در حوزه امنیت باشد. ما در حال حاضر در چرخه تولید محصولات خود از زیرساخت‌های هوش مصنوعی داخلی استفاده می‌کنیم و به‌تدریج در حال توسعه این استفاده هستیم. البته باید توجه داشت که هوش مصنوعی یک شمشیر دولبه است و استفاده از آن باید با ملاحظات امنیتی همراه باشد.»
او به کاربرد دفاعی اشاره می‌کند: «در حوزه ارزیابی امنیتی و کشف آسیب‌پذیری نیز هم تیم‌های خود ما و هم متخصصانی که با ما همکاری می‌کنند از ابزارهای مبتنی بر هوش مصنوعی استفاده می‌کنند. این موضوع را در طول سال و همین رویداد هم مشاهده کرده‌ایم؛ شرکت‌کنندگان با کمک ابزارهای هوش مصنوعی راحت‌تر با چالش‌ها مواجه می‌شوند، روش‌های خلاقانه‌تری برای کشف آسیب‌پذیری به کار می‌گیرند و سرعت کار آنها نسبت به دوره قبل افزایش پیدا کرده است.»
درباره اینکه تجربه دوره اول، که پیش از جنگ برگزار شد، در دو جنگ اخیر چه کمکی کرد، میگوید: «امنیت برای بلوبانک موضوع جانبی نیست و حتی اگر این اتفاقات هم رخ نمی‌داد، برنامه‌های امنیتی خود را ادامه می‌دادیم. با این حال، برگزاری باگبانتی به ما کمک کرد بخشی از مسیر بلوغ امنیتی خود را طی کنیم؛ به‌خصوص اینکه ارتباطمان با متخصصان خارج از سازمان را قوی‌تر و ساختارمندتر کردیم. پیش از آن، تمرکز اصلی ما بر تقویت تیم داخلی و استفاده از تخصص همکاران خودمان بود و البته از تجربه متخصصان خارج از مجموعه نیز استفاده می‌کردیم. اما از سال گذشته این ارتباط را ساختارمندتر کردیم و در فاصله میان دو رویداد نیز ارتباط با جامعه متخصصان امنیت ادامه پیدا کرد.»
نتیجه، به گفته او، بلوغ بیشتر بود: «این روند باعث شد بلوغ و آمادگی بیشتری در حوزه امنیت پیدا کنیم. ضمن اینکه انتظاراتمان را صرفاً به الزاماتی که از ما خواسته می‌شود یا سطحی که معمولاً از یک مجموعه بانکی انتظار می‌رود محدود نکردیم و تلاش کردیم فراتر از آن حرکت کنیم. بخشی از نتیجه این رویکرد در اتفاقات سال گذشته خودش را نشان داد. در مواجهه با چالش‌هایی که برای فضای بانکی و کشور ایجاد شد، آمادگی بیشتری داشتیم و با بلوغ بیشتری با شرایط مواجه شدیم. خوشبختانه اتفاق خاصی نیز در این حوزه برای ما رخ نداد و توانستیم با چالش‌های ایجادشده برخورد مناسبی داشته باشیم.»
جمع‌بندی: بلو باگبانتی را نه به‌عنوان یک رویداد تبلیغاتی، بلکه به‌عنوان سازوکاری برای ساخت رابطه پایدار با جامعه امنیتی بیرونی توصیف می‌کند. نکته عملی برای تیم‌های محصول این است که در نئوبانک، امنیت به‌عنوان یک مرحله پایانی پیش از انتشار محصول معنا ندارد؛ باید در همان چرخه تولید، همراه تیم محصول و با ابزارهای روز حل شود. این همان نقطه تعادلی است که بلو ادعا می‌کند دنبالش است.