مدیرارشد امنیت بلوبانک: میان امنیت و نوآوری به دنبال نقطه تعادلیم

امسال دومین دوره باگ‌بانتی بلوبانک برگزار شد. این دوره نسبت به دوره اول با چه تغییراتی همراه بود؟

از تجربه دوره قبل استفاده کردیم. دوره اول خرداد سال گذشته برگزار شد و حالا حدود یک سال و نیم از آن می‌گذرد. در این مدت، با وجود اینکه فضای کشور بسیار متفاوت بوده، ارتباط ما با جامعه متخصصان حوزه امنیت بیشتر شده و تلاش کردیم این ارتباط را حفظ کنیم.

یکی از تفاوت‌های این دوره، نحوه انتخاب و دعوت شرکت‌کنندگان بود. علاوه بر افرادی و تیم‌هایی که از قبل می‌شناختیم، حدود دو هفته پیش یک رقابت CTF یا «فتح پرچم» برگزار کردیم و از میان افرادی که در آن رقابت برگزیده شدند یا عملکرد خوبی داشتند و توانستند چالش‌های مورد نظر ما را بهتر حل کنند، برای حضور در باگ‌بانتی دعوت کردیم.

در دوره اول تا حدی این دغدغه را داشتیم که آیا دانش و تجربه کافی برای برگزاری مناسب چنین رویدادی داریم یا نه، اما حالا با تجربه‌ای که به دست آورده‌ایم، اعتمادبه‌نفس بیشتری داریم. از طرف دیگر، ارتباط ما با شرکت‌کنندگان نیز قوی‌تر شده است. برخی از آنها در فاصله میان دو دوره با ما در تعامل بودند و گزارش‌های خوبی ارائه کردند و ما هم سعی کردیم این ارتباط را حفظ کنیم.

در مجموع، از نظر کیفی این دوره را فراتر از دوره قبل می‌دانم. به نظرم تیم‌ها نیز با تجربه بیشتری وارد رویداد شده‌اند و حتی بعضی از آنها ابزارهایی برای خودشان توسعه داده‌اند که باعث شده با آمادگی و کیفیت بیشتری در این دوره شرکت کنند.

باگ‌بانتی دوره قبل چه دستاورد امنیتی برای شما داشت؟ آیا ضعف زیرساختی مشخصی شناسایی شد که بعد از آن روی رفعش کار کنید؟

ما همیشه در حال به‌روزرسانی و بهبود زیرساخت‌ها هستیم، اما نمی‌توان گفت از دوره قبل تا امروز ضعف زیرساختی مشخصی صرفاً به واسطه باگ‌بانتی شناسایی و برطرف شده است.

هدف اصلی ما از برگزاری باگ‌بانتی این بود که در کنار نگاه و ارزیابی تیم‌های داخلی خودمان، دید دیگری هم نسبت به محصولات و زیرساخت‌های بلو داشته باشیم و از نگاه و ایده متخصصان بیرون از مجموعه استفاده کنیم. در عین حال تلاش کردیم افرادی که در این رقابت شرکت می‌کنند نیز از این همکاری منتفع شوند.

فکر می‌کنم از دوره قبل بهره کافی بردیم و این همکاری و تعامل با جامعه متخصصان امنیت برای ما دستاورد خوبی داشته است.

با توجه به شرایط دو سال اخیر کشور و اینکه امنیت نیازمند پایش مداوم و بستن مسیرهای نفوذ است، این موضوع مانعی برای نوآوری و توسعه محصول در بلو نشده است؟

اتفاق‌های اخیر کشور حتماً روی توسعه سازمان‌ها تأثیر گذاشته و این قابل کتمان نیست، اما چالش میان امنیت و نوآوری برای ما موضوع جدیدی نیست و در گذشته هم با آن مواجه بوده‌ایم.

ما یک نئوبانک هستیم و برخلاف بانکداری کلاسیک، نوآوری در نئوبانک حرف اول را می‌زند. از طرف دیگر، در فضای مالی و بانکی طبیعتاً امنیت اهمیت بسیار زیادی دارد. به نظرم امنیت از یک منظر می‌تواند نقش ترمز را در برابر نوآوری داشته باشد و این چالشی است که همیشه وجود دارد.

رویکرد ما این بوده که با استفاده از فناوری‌های جدید این چالش را مدیریت کنیم. خودمان را به آنچه دیگران انجام می‌دهند محدود نکرده‌ایم و همواره سعی کرده‌ایم از فناوری‌ها و تجربه‌های روز دنیا استفاده کنیم. همین موضوع باعث شده در مواردی از روش‌ها، فناوری‌ها و ابزارهایی استفاده کنیم که شاید در ایران کمتر مورد استفاده قرار گرفته‌اند و از این طریق در کنار تیم‌های محصول، چالش‌های امنیتی را حل کنیم تا امنیت مانع توسعه محصول نشود.

در یک سال و چهار پنج ماه گذشته، با وجود شرایطی که شاید توسعه را برای بسیاری از سازمان‌ها و بخش‌ها دشوار کرده، ما همچنان توسعه محصول و ارائه محصولات و نوآوری‌های جدید را ادامه داده‌ایم. البته شرایط کشور، به‌ویژه در مقاطع مرتبط با جنگ، روی بعضی بازه‌های زمانی تأثیر گذاشته است، اما تلاش کرده‌ایم با استفاده از روش‌ها و فناوری‌های جدید، امنیت در نهایت بازنده نوآوری در فضای بانکی نباشد.

در دوره قبلی و به‌ویژه در اختتامیه، به تأثیر هوش مصنوعی بر افزایش سرعت حملات و در مقابل، نقش آن در حفظ امنیت بانک‌ها اشاره شد. بلوبانک در حال حاضر از چه راهکارهای مبتنی بر هوش مصنوعی برای افزایش امنیت خود استفاده می‌کند؟

استفاده از هوش مصنوعی با سرعت بسیار زیادی در حال رشد است و تقریباً هر روز، هر هفته و هر ماه با فضای جدیدی مواجه می‌شویم. این فناوری از یک طرف می‌تواند چالش‌های امنیتی جدیدی ایجاد کند و از طرف دیگر، ابزار مؤثری برای بهبود فرایندها و حتی فرهنگ‌سازی در حوزه امنیت باشد.

ما در حال حاضر در چرخه تولید محصولات خود از زیرساخت‌های هوش مصنوعی داخلی استفاده می‌کنیم و به‌تدریج در حال توسعه این استفاده هستیم. البته باید توجه داشت که هوش مصنوعی یک شمشیر دولبه است و استفاده از آن باید با ملاحظات امنیتی همراه باشد.

در حوزه ارزیابی امنیتی و کشف آسیب‌پذیری نیز هم تیم‌های خود ما و هم متخصصانی که با ما همکاری می‌کنند از ابزارهای مبتنی بر هوش مصنوعی استفاده می‌کنند. این موضوع را در طول سال و همین رویداد هم مشاهده کرده‌ایم؛ شرکت‌کنندگان با کمک ابزارهای هوش مصنوعی راحت‌تر با چالش‌ها مواجه می‌شوند، روش‌های خلاقانه‌تری برای کشف آسیب‌پذیری به کار می‌گیرند و سرعت کار آنها نیز نسبت به دوره قبل افزایش پیدا کرده است.

با توجه به اینکه دوره اول باگ‌بانتی پیش از جنگ برگزار شد، آیا تجربه و آموخته‌های آن توانست در جریان دو جنگ اخیر به افزایش امنیت بلوبانک کمک کند و به‌عنوان بخشی از سد دفاعی شما در برابر حملات مورد استفاده قرار بگیرد؟

امنیت برای بلوبانک موضوع جانبی نیست و حتی اگر این اتفاقات هم رخ نمی‌داد، برنامه‌های امنیتی خود را ادامه می‌دادیم. با این حال، برگزاری باگ‌بانتی به ما کمک کرد بخشی از مسیر بلوغ امنیتی خود را طی کنیم؛ به‌خصوص اینکه ارتباطمان با متخصصان خارج از سازمان را قوی‌تر و ساختارمندتر کردیم.

پیش از آن، تمرکز اصلی ما بر تقویت تیم داخلی و استفاده از تخصص همکاران خودمان بود و البته از تجربه متخصصان خارج از مجموعه نیز استفاده می‌کردیم. اما از سال گذشته این ارتباط را ساختارمندتر کردیم و در فاصله میان دو رویداد نیز ارتباط با جامعه متخصصان امنیت ادامه پیدا کرد.

این روند باعث شد بلوغ و آمادگی بیشتری در حوزه امنیت پیدا کنیم. ضمن اینکه انتظاراتمان را صرفاً به الزاماتی که از ما خواسته می‌شود یا سطحی که معمولاً از یک مجموعه بانکی انتظار می‌رود محدود نکردیم و تلاش کردیم فراتر از آن حرکت کنیم.

بخشی از نتیجه این رویکرد در اتفاقات سال گذشته خودش را نشان داد. در مواجهه با چالش‌هایی که برای فضای بانکی و کشور ایجاد شد، آمادگی بیشتری داشتیم و با بلوغ بیشتری با شرایط مواجه شدیم. خوشبختانه اتفاق خاصی نیز در این حوزه برای ما رخ نداد و توانستیم با چالش‌های ایجادشده برخورد مناسبی داشته باشیم.