گفتوگو با محمدرضا مقدمجاه، مدیرعامل شرکت آدانیک، درباره وضعیت رگتک و تابآوری صنعت مالی ایران
غافلگیری، قابل پیشگیری است
جنگ، حملات سایبری و بحرانهای اخیر، یک مسئله قدیمی در نظام نظارتی صنعت مالی را پررنگتر کردهاند: اینکه کنترل و گزارشگیری پس از وقوع، برای مدیریت ریسکهای پیچیده امروز کافی نیست. محمدرضا مقدمجاه، مدیرعامل شرکت آدانیک، معتقد است رگتک در ایران باید از یک ابزار فناورانه و نظارتی فراتر برود و با تکیه بر دادههای مالی، پایش مستمر و هشدار زودهنگام، به بخشی از مدیریت ریسک و تابآوری شبکه مالی تبدیل شود؛ مسیری که به گفته او، پیش از هر چیز به استانداردسازی و یکپارچهسازی دادهها، معماری مناسب اطلاعات و همکاری میان نهاد ناظر و بازیگران صنعت مالی نیاز دارد.
رگتک؛ از ابزار نظارتی تا زیرساخت اعتماد
محمدرضا مقدمجاه، مدیرعامل شرکت آدانیک، در ارزیابی وضعیت فعلی رگتک در ایران معتقد است این حوزه وارد مرحلهای شده که دیگر نمیتوان آن را صرفاً یک موضوع فناورانه یا ابزاری جانبی برای واحدهای نظارتی و تطبیق دانست. او در این باره میگوید: «رشد بانکداری دیجیتال، افزایش حجم تراکنشها، توسعه بانکداری باز و تعدد سرویسها و بازیگران مالی، پیچیدگی کنترل و مدیریت ریسک را به شکل محسوسی افزایش داده است. در سالهای گذشته اقدامات قابل توجهی در حوزههایی مانند مبارزه با پولشویی، کشف تقلب، احراز هویت و کنترل تراکنشها انجام شده است؛ اما همچنان بخش مهمی از فرایندهای نظارتی، گزارشمحور و مبتنی بر کنترلهای پس از وقوع است. به نظر من، گام بعدی حرکت از «گزارشگیری» به سمت «پایش مستمر» و از «کشف تخلف» به سمت «شناسایی زودهنگام ریسک» است.»
او تأکید میکند که ایران از نظر حجم دادههای مالی ظرفیت بسیار بالایی دارد و میگوید: «مسئله اصلی، کمبود داده نیست؛ بلکه کیفیت، استانداردسازی، یکپارچگی و تبدیل داده به اطلاعات قابل تصمیمگیری است. اگر بتوانیم این ظرفیت را بهدرستی به کار بگیریم، رگتک میتواند به یکی از زیرساختهای مهم افزایش کارآمدی و اعتماد در صنعت مالی تبدیل شود.»
تابآوری؛ از پایداری زیرساخت تا تشخیص بهموقع
مقدمجاه با اشاره به تجربه جنگ اخیر و حملات سایبری به برخی بانکها، یکی از مهمترین درسهای اتفاقات اخیر را در نحوه تعریف تابآوری میداند: «به نظرم یکی از مهمترین درسهای اتفاقات اخیر این بود که «تابآوری» را نباید صرفاً با پایداری زیرساخت فناوری اطلاعات یا داشتن سایت پشتیبان تعریف کرد. این موارد ضروری هستند، اما تابآوری واقعی یعنی یک سازمان بتواند در زمان بحران، سریع تشخیص دهد چه اتفاقی در حال رخ دادن است، دامنه اثر آن را بفهمد و در کوتاهترین زمان، تصمیم مناسب بگیرد. در صنعت مالی، یک رخداد امنیتی یا عملیاتی ممکن است ابتدا در قالب یک تغییر کوچک در رفتار تراکنشی، افزایش غیرعادی درخواستها، تغییر الگوی دسترسی یا رفتار متفاوت کاربران ظاهر شود. اگر این نشانهها در کنار یکدیگر تحلیل شوند، میتوان پیش از آنکه یک رخداد به بحرانی گسترده تبدیل شود، نسبت به آن واکنش نشان داد.»
از نگاه او، رگتک میتواند با کنار هم قرار دادن این دادهها و تبدیل آنها به سیگنالهای قابل اقدام، در شناسایی زودهنگام تهدیدها ایفای نقش کند. مقدمجاه توضیح میدهد: «اینجاست که رگتک میتواند نقش مهمی ایفا کند؛ یعنی دادههای تراکنشی، عملیاتی و امنیتی را به سیگنالهای قابل اقدام تبدیل کند. در ادبیات بینالمللی نیز، از جمله در رویکردهای BIS، بر اهمیت افزایش تابآوری سایبری و توانایی شناسایی و مدیریت ریسکهای دیجیتال تأکید شده است. به زبان ساده، هدف این است که از «فهمیدن اینکه چه اتفاقی افتاده» به سمت «فهمیدن اینکه چه اتفاقی در حال رخ دادن است» حرکت کنیم.»
موفقیت سوپتک صرفاً به فناوری وابسته نیست
مدیرعامل شرکت آدانیک با اشاره به حجم دادههایی که در بانک مرکزی، شاپرک، شبکه بانکی و سایر نهادهای مالی تولید میشود، میگوید: «به اعتقاد من، از نظر حجم داده و ظرفیت فنی، بستر اولیه وجود دارد؛ اما برای رسیدن به نظارت واقعاً دادهمحور، هنوز چند گام مهم باقی مانده است. سوپتک در سادهترین تعریف، یعنی استفاده نهاد ناظر از فناوری، داده و ابزارهای تحلیلی برای اینکه بهجای اتکا به گزارشهای دورهای، تصویر دقیقتر و بههنگامتری از وضعیت شبکه مالی داشته باشد. چالش اصلی ایران، به نظر من، «داده نداشتن» نیست؛ بلکه پراکندگی داده، تفاوت استانداردها، جزیرهای بودن سامانهها و محدودیتهای موجود در تبادل و تجمیع اطلاعات است. از طرف دیگر، استفاده از هوش مصنوعی و ابزارهای تحلیلی بدون حاکمیت داده و کیفیت مناسب اطلاعات، میتواند حتی به تصمیمهای اشتباه منجر شود.»
مقدمجاه تأکید میکند: «قبل از اینکه درباره هوش مصنوعی و نظارت کاملاً بلادرنگ صحبت کنیم، باید روی معماری داده، استانداردسازی و سازوکارهای امن تبادل اطلاعات تمرکز کنیم. تجربه جهانی نیز نشان میدهد که موفقیت سوپتک صرفاً به فناوری وابسته نیست و حاکمیت داده، ساختار سازمانی و نیروی متخصص نقش تعیینکنندهای دارند.»
تبدیل رگتک به زیرساختی واقعی برای افزایش امنیت
مقدمجاه در پاسخ به این پرسش که اگر قرار باشد تنها سه اولویت برای توسعه رگتک در ایران تعیین شود، این سه اولویت چه خواهند بود، نخستین اولویت را استانداردسازی و یکپارچهسازی دادههای مالی و نظارتی میداند. او در این باره میگوید:
«اولین اولویت را استانداردسازی و یکپارچهسازی دادههای مالی و نظارتی میدانم. بدون داده باکیفیت، هیچ مدل هوشمندی نمیتواند خروجی قابل اتکایی ایجاد کند. اولویت دوم، حرکت از کنترلهای پسینی به سمت پایش مستمر و هشدار زودهنگام است. سیستمهای رگتک باید بتوانند رفتارهای غیرعادی، ریسکهای عملیاتی، تقلب و تهدیدهای امنیتی را در زمان مناسب شناسایی کنند؛ نه اینکه صرفاً بعد از وقوع، گزارش تهیه شود.»
به گفته مقدمجاه، اولویت سوم نیز تقویت همکاری میان نهاد ناظر، بانکها، شرکتهای پرداخت و شرکتهای فناوری است: «امروز زنجیره ارائه خدمات مالی بسیار بههمپیوسته است و بسیاری از ریسکها در مرز یک سازمان اتفاق نمیافتند. بنابراین، برای مدیریت مؤثر ریسک، باید در کنار حفظ محرمانگی و امنیت اطلاعات، نگاه اکوسیستمی داشته باشیم. اگر این سه موضوع همزمان دنبال شوند، رگتک میتواند از یک ابزار صرفاً نظارتی به زیرساختی واقعی برای افزایش امنیت، تابآوری و کارآمدی صنعت مالی تبدیل شود.»
از انطباق با مقررات تا جلوگیری از غافلگیری
در نهایت، مقدمجاه مهمترین درس بحرانهای اخیر برای رگتک ایران را جلوگیری از غافلگیری میداند: «به نظر من، مهمترین درس این است که بحران همیشه قابل پیشگیری نیست، اما غافلگیر شدن قابل پیشگیری است. ما نمیتوانیم تضمین کنیم که در آینده با حمله سایبری، اختلال زیرساختی یا بحران دیگری مواجه نخواهیم شد؛ اما میتوانیم کاری کنیم که در زمان وقوع، سریعتر متوجه شویم، دقیقتر تصمیم بگیریم و دامنه اثر را محدود کنیم. رگتک در اینجا باید از مفهوم سنتی «انطباق با مقررات» فراتر برود و به بخشی از سیستم مدیریت ریسک و تابآوری سازمان تبدیل شود. یعنی دادهها را بهصورت مستمر پایش کند، رفتارهای غیرعادی را تشخیص دهد، هشدار زودهنگام ایجاد کند و به مدیران و نهادهای ناظر در تصمیمگیری کمک کند.»
به باور مقدمجاه، آینده رگتک در ایران صرفاً در تولید گزارشهای بیشتر نیست؛ بلکه در دیدن زودتر، تحلیل بهتر و واکنش سریعتر است. او میگوید: «ما در صنعت مالی کشور، داده و تجربه بسیار ارزشمندی در اختیار داریم. اگر بتوانیم این سرمایه را به شکلی استاندارد، امن و هوشمند به کار بگیریم، رگتک میتواند نقش مهمی در افزایش اعتماد، پایداری و تابآوری شبکه مالی کشور ایفا کند.»
منبع:عصرتراکنش