عصر پر گویی و پر نویسی گذشت. کوتاه بگوییم، کوتاه بنویسیم. (روزنامه آسیا)       
تعداد بازدید: ۲۵۳
شبکه شاپرک به عنوان نهاد نظارتی و سوییچ مرکزی در بخش پرداخت‌های کارتی که تا کنون اقداماتی را جهت جلوگیری از تخلف در تراکنش‌های بانکی به خصوص در حوزه درگاه‌ ‌های اینترنتی انجام داده، اخیرا تصمیم به پیاده سازی سامانه‌ی کشف تقلب بومی گرفته است
کد خبر: ۹۷۶۵۴
تاریخ انتشار: ۱۰ دی ۱۳۹۷ - ۱۰:۳۰

جزییات تجهیز شبکه شاپرک به سامانه کشف تقلب بومی

به گزارش سرمدنیوز، تقلب واژهٔ آشنایی برای صنعت مالی در هر کشور است. نظام مالی ایران نیز از این موضوع مستثنی نبوده و حجم تقلبات در صنعت بانکی و پرداخت کشور بالاست .این تخلفات مالی هم در بخش بانکی و هم در بخش تراکنش‌های کارتی در حال وقوع است. اما در دنیا بحث تخلفات مالی توسط راه حل‌های مختلفی از قبیل ارتقای استانداردها و استفاده از سامانه‌های تشخیص و مبارزه با تخلف پیگیری می‌شوند.سامانه‌های کشف تقلب قابلیت پیشگیری از انجام تراکنش‌های متخلف و تخصیص ریسک را دارند. شبکه شاپرک به عنوان نهاد نظارتی و سوییچ مرکزی در بخش پرداخت‌های کارتی که تا کنون اقداماتی را جهت جلوگیری از تخلف در تراکنش‌های بانکی به خصوص در حوزه درگاه‌ ‌های اینترنتی انجام داده، اخیرا تصمیم به پیاده سازی سامانه‌ی کشف تقلب بومی گرفته است در این خصوص با افشین لامعی مدیر امنیت شرکت شاپرک گفت و گویی داشتیم که در ادامه می خوانید:

لامعی در خصوص ضرورت وجود سامانه کشف تقلب در شبکه پرداخت کشور گفت: هر کسب و کار قوانین و الزاماتی دارد و طبیعتا رفتار افراد موجود در کسب و کار لزوما منطبق با الزامات و مقررات نیست و ممکن است تخلفات مختلفی در آن صورت گیرد. تقلب نیز براساس قوانین کسب و کار که ناشی از الزامات رگولاتور و قوانین بالادستی است معنی پیدا می‌کند و در همه جا از کسب و کارهای کوچک تا بزرگ ممکن است صورت بگیرد. حوزهٔ مالی و پرداخت نیزاز این قاعده مستثنی نبوده و مسئله مدیریت تقلب به عنوان بخشی از مدیریت ریسک در شبکه پرداخت مدنظر قرار می گیرد. منظور از مدیریت تقلب فرآیندهای پیشگیری از تقلب، شناسایی تقلب و کنترل آثار و تبعات ناشی از تقلب است.

چقدر موضوع تقلب با بحث امنیت مشترک است آیا هم پوشانی در این میان وجود دارد

همانطور که اشاره کردم مدیریت تقلب و مدیریت امنیت بخشی از مدیریت ریسک های سازمان هستند. همچنین در هر دو موضوع تقلب و نفوذ امنیتی، طیفی از الگوهای رفتاری ساده تا پیچیده توسط کاربر یا موجودیت متخلف انجام می شود که شما باید بتوانید با آن مقابله کنید. در امنیت اطلاعات امروزه سامانه های تحلیل رفتار کاربر و موجودیت ها (UEBA) مطرح هستند که به عنوان مکمل سامانه های رصد امنیتی در مرکز عملیات امنیت (SOC) مستقر می شوند. الگوی کار اینگونه سامانه ها بسیار به سامانه کشف تقلب شباهت دارد. علاوه بر این، فرآیندهای پیشگیری، شناسایی و کاهش اثرات هم در مدیریت تقلب و هم در مدیریت امنیت مطرح است. اما تقلب و نقض امنیت در دو لایه متفاوت مطرح می‌شوند. موضوع امنیت بیشتر در لایه های فناوری اطلاعات مطرح می شود اما موضوع تقلب بیشتر در لایه قواعد و کارکردهای کسب و کار مطرح است. با این حال همپوشانی بین این دو موضوع در برخی حوزه ها وجود دارد. مثلاً برخی تقلب ها بر بستر آسیب پذیری های امنیتی امکان بروز پیدا می کنند. یا گاهی اوقات یک نفوذ و نقض امنیت سامانه، در تصویر بزرگ تر، بخشی از یک سناریوی تقلب است. ما در اینگونه موارد به عنوان واحد امنیت به پیشگیری از برخی انواع تقلب در شبکه پرداخت کمک می‌کنیم. مواردی هم هست که یک تقلب هیچ ارتباطی با نقض امنیت اطلاعات ندارد. مثلاً وقتی شما می گویید دستگاه کارتخوان فقط باید در داخل مرزهای کشور و توسط پذیرنده مجاز استفاده شود، نقض این قاعده نوعی تقلب است اما لزوماً نفوذ امنیتی به حساب نمی‌آید.

در گذشته شاپرک اقدام به خرید سامانه خارجی کرد آیا در هنگام انتخاب سامانه دانش داخلی آن وجود نداشت؟

این موضوع مربوط به چند سال قبل است. باید توجه کرد که صرفاً داشتن دانش کفایت نمی کند. صد درصد با وجود نخبگان دانشگاهی و صنعت، دانش این موضوع در سطح مناسبی وجود دارد. در حوزه دانش کشف تقلب با مباحث بیگ دیتا، هوش مصنوعی و یادگیری ماشینی طرف هستیم که موضوعات بسیار پیچیده ای هستند و فرایند پیاده سازی آن ها از دانش موضوع پیچیده تر است ونیازمند الزامات سخت افزاری ونرم افزاری خاصی نیزمی باشند. باید بینیم با چه هزینه مالی و زمانی می‌توانیم یک راه‌‌کار را عملیاتی کنیمبحث عملیاتی شدن سامانه مدیریت تقلب در مقیاس مناسب نیاز شاپرک، فراتر از دانش روشهای مدیریت تقلب است. به علاوه اینکه در بسیاری از حوزه ها دانش سطح بالا در کشور وجود دارد، اما آیا خروجی عملیاتی و محصول نهایی آن حوزه، متناسب با سطح دانش تئوریک موجود در کشور است؟ کشف تقلب هم از این موضوع مستثنی نیست. این یکی از مهمترین مشکلات کشور در حوزه نرم افزار است؛ گاهی تصمیم می گیریم برای بستری راه کاری را پیاده سازی کنیم آنقدر پیاده سازی زمان بر می‌شود که دیگر بستر تغییر می‌کند و به جایی می رسیم که آن نیاز اولیه دیگر موضوعیت ندارد و باید پروژه جدیدی تعریف کنیم .ما امیدوار هستیم که در موضوع سامانه کشف تقلب بومی با این مشکل مواجه نشویم.

ضمناً شبکه پرداخت بسیار گسترده تر از یک PSP است وارتباطات فرآیندی و فنی با نهادهای دیگر مانند بانک ها، اپراتورها، ثبت احوال و پست دارد. بنابراین تقلب در قلمرو شاپرک با تقلب در قلمر PSP یا بانک متفاوت است، به نحوی که در شاپرک سناریوهایی مطرح می‌شود که نه تنها در PSP ها به تنهایی بلکه در هیچ سازمان دیگری در داخل کشور مطرح نیست. بنابراین راهکار یا سامانه مدیریت تقلب مناسب برای شاپرک راهکار خاصی است که بتواند این سطح از نیاز را پوشش دهد.

روند انتخاب سامانه کشف تقلب بومی به کجا رسیده است؟ تا کنون چه اقداماتی در خصوص انتخاب و بررسی سامانه های بومی انجام شده؟

ما در تابستان فراخوانی برای شناسایی توانمندی شرکت های داخلی منتشر کردیم و پیشنهادهایی بر همین اساس ارسال شده که در حال بررسی آنها هستیم. تعدادی شرکت اعلام آمادگی کرده اند که همکاران ما در حال بررسی توانمندی آنها هستند. در صورتی که شاپرک به این نتیجه برسد که توان داخلی پاسخگوی این نیاز است، متعاقباً از مجاری قانونی مثل هر پروژه ای برای مراحل بعدی انتخاب پیمانکار و تهیه و استقرار این سامانه اقدام خواهد کرد.

چه بازه زمانی را برای پیاده سازی کامل سامانه در شبکه متصورید؟

این بستگی به میزان آمادگی و عملیاتی بودن آن سامانه منتخب دارد. شاپرک آمادگی کامل دارد و قبلاً بسترها را فراهم کرده است. اساساً یکی از نکاتی که قبلاً هم در خصوص اهمیت تبدیل دانش کشف تقلب به محصول عملیاتی اشاره کردم همین است. هرقدر یک سامانه کشف تقلب، برای استقرار در شبکه شاپرک آماده تر باشد، یعنی آن قواعد و الگوهای مناسب این شبکه را تا بالاترین سطح ممکن از پیش آماده داشته باشد و بتواند از دیتا و بستر شاپرک استفاده کرده و قابلیت یادگیری و استخراج الگوهای دیگر را هم با بالاترین پرفورمنس داشته باشد، پروژه سریع تر پیش می رود. اما اگر مثل بعضی شرکت های داخلی، تازه بعد از عقد قرارداد بخواهند سیستم را برای مشتری توسعه بدهند و مناسب سازی کنند، قطعاً به مشکل بر خواهیم خورد. پیاده سازی چنین سیستمی قاعدتا زمان بر خواهد بود و یکباره اتفاق نمی افتد. سیستم باید مستقر شده و بخشی از قلمرو را رصد کند و به تدریج گسترش یافته و راهبری شود؛ نکات مثبت و منفی آن مشخص شده و بازخوردهای لازم گرفته شود اما این معادل نیست با اینکه آنچه بیشتر در سطح دانش است بخواهند به محصول تبدیل کنند.

در خلاء نبود سامانه چه اقداماتی از سوی شاپرک تا کنون در حوزه تقلبات مالی تدوین شده است؟

دغدغه کشف تقلب و مدیریت تخلفات همیشه برای شاپرک به عنوان رگولاتور شبکه پرداخت وجود داشته ویکی از الزامات شاپرک برای همه شرکت های PSP نیز بحث کنترل و تشخیص تقلب بوده است. بسیاری از الزامات فنی و اجرایی شاپرک هم در جهت پیشگیری از رخداد انواع سناریوهای تقلب اجرایی شده اند اما چون در یک سامانه یکپارچه نیستند ممکن است برای همگان قابل تشخیص نباشد. همه PSP ها موظف هستند در محدوده عملکرد خودشان، فرآیندهای مدیریت تقلب را اجرا کنند فرآیندهای پیشگیری و کشف تقلب در معاونت نظارت شاپرک با استفاده از ابزارهای موجود و دانشی که در سال های اخیر به دست آمده در حال اجرا است.

با توجه به داده های شاپرک و دید آن نسبت به شبکه پرداخت و الزامات مکتوب، سناریوهای متفاوتی از تخلف را پیگیری و بهبود دادیم. در خصوص نوع تراکنش، تعداد و عدد تراکنش های پذیرنده ، فواصل تراکنش‌ها و مطابقت آن‌ها با صنف خود، زمان و مکان تراکنش، هویت پذیرنده و مشخصات آن، الگوهایی تعریف شده است و چک می شود و بعضا ابزارهایی هم برای بررسی اتوماتیک الگوها توسعه داده شده است. ما نه فقط روی داده های کسب وکاری شاپرک یعنی داده های تراکنشی و سامانه جامع پذیرندگان تمرکز کردیم بلکه در حوزه SOC به خصوص در حوزه پذیرندگان اینترنتی اقداماتی انجام دادیم و در حال گسترش آن هستیم و پذیرندگان مشکوک اینترنتی را شناسایی می کنیم.

توضیحاتی که عرض کردم به معنای کامل بودن این پروسه نیست. بدیهی است که کشف تقلب در مقیاس شبکه شاپرک بدون بهره گیری از سامانه یکپارچه، قدرتمند و تخصصی مناسب برای این شبکه، کمبودهای فراوانی دارد و اساساً در بسیاری از سناریوها، بدون استفاده از سامانه نمی توان تقلب را پیشگیری یا کشف کرد. شاپرک به این موضوع واقف بوده و از سال های قبل برای رفع این نقیصه اقدام کرده و امیدواریم به نتیجه مطلوب برای شبکه پرداخت کشور برسیم.

ایا گستردگی بحث تقلب بانکی و تجربهٔ استفاده از سامانه ها در حوزه بانکی نمی تواند برای شبکه پرداخت مفید باشد؟

اگر شرکتی توانسته نیاز بانک را در بحث مدیریت تقلب پوشش دهد احتمالاً کاندیدای مناسبی برای عملیاتی کردن مدیریت تقلب در شبکه پرداخت است. اما سوال اینجاست آیا سیستم پیاده سازی شده در یک بانک قابلیت پیاده سازی در شاپرک را دارد؟ چقدر تفاوت بین این دو سیستم وجود دارد؟ به عقیده من ما در مورد دو فضای متفاوت صحبت می کنیم، چرا که هم داده‌ها و موجودیت ها متفاوت و هم سناریوهای تقلب در بانک با شبکه پرداخت شاپرک متفاوت است و اگر با دقت به فضا نگاه کنیم تفاوت ها بیشتر از شباهت‌ها است.

ویژگی سامانه کشف تقلب خوب چیست؟

مراجعه به تاریخچه سامانه کشف تقلب در شاپرک به شما این امکان را می دهد که بدانید از دید شاپرک یک سامانه مناسب چه ویژگی ها و قابلیت های فنی باید داشته باشد. سامانه کشف تقلب مطلوب شاپرک باید بتواند از مجموعه وسیعی از داده های ناهمگون اما مرتبط مثل داده های تراکنش ها، پذیرندگان، دارندگان کارت، ابزارهای پذیرش، توپولوژی و ترافیک شبکه پرداخت، خروجی SOC شاپرک وغیره تغذیه شود.اما یکسری ویژگی‌ها مانند تجربه پیاده سازی در محیط های مشابه، پویایی، قابلیت توسعه بر اساس تغییرات شبکه شاپرک و مقیاس پذیر بودن جزو نیازمندی های عمومی است. اینکه چقدر سامانه مجهز به الگوها و روش های از پیش آماده و قابل بهره برداری در ابتدای کار است و چقدر نیاز به دخالت کاربر و تیم توسعه برای مدیریت سناریوها دارد فاکتور بسیار مهمی است. سامانه باید بتواند طیف وسیعی از سناریوهای تقلب را با کمترین دخالت کاربر یا کمترین نیاز به تغییرات توسعه ای، پوشش دهد و قابلیت سازگاری و یادگیری را هم بر اساس دیتای گذشته و حال شاپرک با پرفورمنس بالا و در کمترین زمان داشته باشد. هرقدر قابلیت های این سامانه سریع تر بتواند تحویل شاپرک شود و سامانه ای نباشد که شاپرک را به صورت روزمره به تیم توسعه وابسته کند، مطلوب تر است.


نظر شما
نام:
ایمیل:
* نظر: