به گزارش دیوان اقتصاد، بخش اعظم ریسک بانکداری کشور به شبکه سامانه‌های برخط، مراکز داده، شبکه‌های ارتباطی، نرم‌افزارهای بانکی، درگاه‌های پرداخت، پایگاه‌های داده، تجهیزات امنیتی، خدمات ابری، پیمانکاران فناوری و سامانه‌های ملی انتقال و تسویه وجوه منتقل شده است. شبکه بانکی کشور از سال‌ها پیش به مجموعه به‌هم‌پیوسته زیرساخت‌های الکترونیکی متکی شده است. شتاب، شاپرک، پایا، ساتنا، چکاوک و سامانه‌های مرتبط با خدمات بانکی، اجزای زنجیره‌ای هستند که اختلال در هر حلقه می‌تواند آثار خود را به حلقه‌های دیگر منتقل کند. بانک جهانی نیز در بررسی زیرساخت‌های مالی کشور، مجموعه سامانه‌ها را بخش مهمی از سازمان پرداخت و انتقال وجوه کشور معرفی کرده است.

پرسش مهمی که به ذهن متبادر می شود اینست که آیا زیرساخت فناوری بانکداری کشور با ساختار فعلی قابلیت بیمه‌پذیری دارد؟ بالتبع پاسخ با صدور یک بیمه‌نامه سایبری یا تعیین یک سقف تعهد مکفی نخواهدبود. بیمه‌پذیری (Insurability) مستلزم وجود قابلیت اندازه‌گیری احتمال وقوع خسارت، برآورد شدت خسارت، تفکیک ریسک‌های قابل انتقال، تعیین حدود تعهد بیمه‌گر و ایجاد ظرفیت مالی متناسب با انباشت خسارت است. مادامی که یک بانک دارای میلیون‌ها حساب، حجم عظیمی از تراکنش‌ها و اتصال دائمی به سامانه‌های ملی باشد، ریسک فناوری، به ریسک شبکه‌ای تبدیل می‌شود. ویژگی مذکور است که تفاوت مهم بیمه زیرساخت فناوری بانک با بیمه آتش‌سوزی ساختمان یا بیمه تجهیزات فنی ایجاد می‌کند. اهمیت بومی مساله فوق با وابستگی فزاینده فعالیت اقتصادی به خدمات پرداخت و انتقال الکترونیکی بیشتر شده است. اختلال کوتاه‌مدت در یک جزء فناوری می‌تواند موجب توقف عملیات پرداخت، افزایش مراجعات مشتریان، اختلال در تسویه معاملات، ایجاد هزینه برای بانک و مشتری و افزایش فشار رسانه‌ای شود. بانک مرکزی در تیرماه ۱۴۰۵ درباره وضعیت خدمات شاپرک اعلام کرد که پس از لغو گواهی فنی-امنیتی یک تأمین‌کننده خارجی، اقدامات جایگزین برای استمرار خدمات انجام شده است و در همان اطلاعیه آن را از حمله سایبری به شاپرک منفک نمود. اهمیت بیمه‌ای رخداد یادشده در خودِ ماهیت آن است بطوری که وابستگی زیرساخت مالی به مؤلفه‌ای خارج از کنترل مستقیم بانک یا نهاد داخلی می‌تواند بدون وقوع حمله سایبری، ریسک توقف خدمت ایجاد کند.

همانطور که اشاره شد، تفکیک حمله سایبری از اختلال فناوری اهمیت اساسی دارد. اگر بیمه‌نامه فقط حمله سایبری را پوشش دهد، بخش مهم زیان‌های ناشی از خرابی نرم‌افزار، خطای به‌روزرسانی، نقص تجهیزات، اختلال ارتباطی، خطای انسانی، قطعی خدمات پیمانکار و از دست رفتن دسترسی به داده‌ها خارج از پوشش باقی می‌ماند. از آن سو اگر بیمه‌نامه تمامی اختلالات فناوری را بدون محدودیت پوشش دهد، بیمه‌گر با ریسکی مواجه می‌شود که ممکن است فراوانی بالا و قابلیت کنترل محدودی داشته باشد. لذا طراحی محصول باید بین ریسک سایبری، ریسک فناوری، ریسک عملیاتی و ریسک وابستگی به اشخاص ثالث تفکیک آماری و قراردادی ایجاد کند که استانداردهای بانکی بین‌المللی نیز تغییرات مذکور را در ماهیت ریسک پذیرفته‌اند. کمیته بازل، تاب‌آوری عملیاتی (Operational Resilience)  را توانایی بانک برای ادامه عملیات حیاتی در زمان اختلال دانسته و در الزامات خود بر شناسایی دارایی‌های اطلاعاتی حیاتی، زیرساخت وابسته به آنها، امنیت فناوری اطلاعات، برنامه‌های پاسخ و بازیابی، آزمون‌های دوره‌ای و مدیریت وابستگی به اشخاص ثالث تأکید دارد. نسخه جاری استانداردهای بازل در سال ۲۰۲۶ نیز مدیریت فناوری اطلاعات و ارتباطات، امنیت سایبری، تداوم کسب‌وکار، وابستگی به پیمانکاران و مدیریت رخداد را در کنار یکدیگر قرار داده است.  لذا بیمه‌پذیری زیرساخت بانکی کشور باید پیش از صدور بیمه‌نامه، با ارزیابی قابلیت تاب‌آوری بانک آغاز شود. بیمه‌گر باید بداند بانک چه دارایی‌هایی را حیاتی تلقی کرده، معماری مراکز داده چگونه بوده، چه سامانه‌هایی نقطه شکست مشترک داشته، نسخه‌های پشتیبان کجا نگهداری شده، زمان بازیابی واقعی سامانه‌ها چقدر بوده، دسترسی کاربران ممتاز چگونه کنترل شده و بانک برای ادامه خدمت در صورت از کار افتادن یک مرکز داده چه ظرفیت جایگزینی دارد. بازل نیز بر این نکته تأکید دارد که بیمه به خودی خود ریسک عملیاتی را حذف نکرده و باید بررسی شود که انتقال ریسک به بیمه‌گر میزان ریسک را کاهش می‌دهد یا بخشی از آن را به ریسک طرف مقابل تبدیل می‌کند. از طرفی انباشت ریسک (Accumulation Risk) نکته دیگری است بصورتی  که یک اختلال نرم‌افزاری یا حمله سایبری، هم‌زمان چند بانک، شرکت پرداخت و سامانه واسط را درگیر کند. چندین بیمه‌نامه که در ظاهر ریسک‌های مستقل دارند، ممکن است در عمل به یک علت مشترک وابسته باشند. خسارت از چند پرونده بیمه‌ای عبور کرده و به یک رویداد انباشته تبدیل می‌شود. اگر ظرفیت اتکایی بیمه‌گر برای چنین سناریویی محاسبه نشده باشد، بیمه‌نامه‌ای که از نظر فردی سودآور به نظر می‌رسد، می‌تواند در یک رخداد سیستمیک به زیان سنگین تبدیل شود. انجمن بین‌المللی ناظران بیمه نیز در گزارش‌ها و اسناد خود بر نکته فوق تأکید کرده و انباشت ریسک، ابهام پوشش و دشواری قیمت‌گذاری را از چالش‌های مهم صنعت بیمه سایبری دانسته است.

همانطور که پیشتر هم اشاره شده مساله داده ها در کشور برای قیمت‌گذاری نیز جدی است. نرخ بیمه زیرساخت بانکی را نمی‌توان با الگوی ساده تعداد کارکنان یا ارزش دارایی‌های فیزیکی تعیین کرد. متغیرهای تعداد تراکنش، ارزش تراکنش، تعداد کاربران، تعداد نقاط اتصال، نوع معماری فناوری، میزان برون‌سپاری، سابقه رخداد، زمان بازیابی، کیفیت پشتیبان‌گیری، سطح کنترل دسترسی و وابستگی به تأمین‌کنندگان باید وارد الگوی نرخ‌گذاری شوند. فقدان داده های گذشته نگر کافی درباره خسارت‌های سایبری نیز سبب می‌شود استفاده از روش‌های سنتی نرخ‌گذاری با خطای قابل توجه همراه باشد. لذا صنعت بیمه کشور نیازمند پایگاه داده مشترک و محرمانه‌ای از رخدادهای فناوری و خسارت‌های ناشی از آنهاست. شایان ذکر است که برخی اقدامات در سال جاری آغاز شده که نقطه حرکت از بحث نظری بیمه سایبری به سمت طراحی محصولات مشخص است. در تیرماه ۱۴۰۵ بیمه پاسارگاد از بیمه‌نامه مسوولیت مدنی امنیت سایبری برای شرکت‌های فعال در حوزه امنیت فضای مجازی با تأیید بیمه مرکزی خبر داد. محصول مذکور هرچند بیمه نامه سایبری محسوب نشده لکن مسوولیت حرفه‌ای شرکت‌های امنیت سایبری در برابر قصور یا اهمال در اجرای تعهدات قراردادی را هدف گرفته است. همچنین در شهریور ۱۴۰۵ همکاری بیمه مرکزی و سازمان نظام صنفی رایانه‌ای کشور برای توسعه بیمه‌های سایبری و مدیریت ریسک فناوری اطلاعات مطرح شد و توسعه بیمه سایبری در برنامه تحول دیجیتال صنعت بیمه قرار گرفت. تحولات مذکور برای شبکه بانکی کشور حائز اهمیت است لکن بیمه مسوولیت شرکت‌های امنیت سایبری با بیمه زیرساخت فناوری بانک تفاوت دارد. محصول مورد نیاز شبکه بانکی باید بتواند خسارت مستقیم بانک، هزینه بازیابی داده و سامانه، هزینه کارشناسی و پاسخ به رخداد، وقفه کسب‌وکار، مسوولیت در برابر اشخاص ثالث و هزینه‌های مدیریت بحران را در قالب منسجم بررسی کند. علیهذا خسارت ناشی از خطای داخلی، نقص پیمانکار، اختلال گسترده شبکه و رخدادهای ناشی از زیرساخت‌های مشترک باید با دقت قراردادی از یکدیگر تفکیک شوند.

واقعیت اینست که جایگاه بیمه مرکزی ج.ا.ا در دوره کنونی فرای صدور مجوز یک محصول است. بازار بیمه فناوری بانکداری به قواعد مشترک برای تعریف رخداد سایبری، استاندارد ارزیابی ریسک، الزامات افشای اطلاعات، حداقل کنترل‌های امنیتی، نحوه محاسبه خسارت، حدود مسئولیت پیمانکاران فناوری و سازوکار بیمه اتکایی نیاز دارد. تجربه بین‌المللی نیز گواه آنست که نهاد ناظر صنعت بیمه باید هم‌زمان با رشد بیمه سایبری، بر کیفیت سنجش ریسک و ظرفیت مالی بیمه‌گران نظارت کند. از سوی دیگر باید تاکید کرد که طریق منطقی بیمه پذیری شبکه بانکداری کشور از شناخت دارایی‌های حیاتی و اندازه‌گیری ریسک آغاز می‌شود. بانک باید بتواند برای هر سامانه حیاتی، احتمال اختلال، مدت قابل تحمل توقف، هزینه هر ساعت وقفه، وابستگی‌های فنی و مسیر بازیابی را محاسبه نموده که پس از آن بیمه‌گر می‌تواند ظرفیت قابل انتقال را تعیین کند. صنعت بیمه در ساختار مذکور جایگزین امنیت سایبری، پشتیبان‌گیری، مرکز داده پشتیبان و برنامه تداوم کسب‌وکار نبوده و ابزار تأمین مالی بخشی از زیان باقی‌مانده پس از اقدامات کنترلی خواهدبود.

شایان توجه است که ایجاد پیوند بین صنعت بانکداری، صنعت بیمه و جامعه تخصصی فناوری نیازمند اهتمام جدی پس از رخدادهای سایبری-فنآوری سال جاریست. بانک اطلاعاتی خسارات‌ سایبری، ارزیابی مستقل فناوری، الگوهای سنجش تاب‌آوری و قراردادهای استاندارد انتقال ریسک می‌توانند زمینه‌ای ایجاد کنند که نرخ بیمه از حدس کارشناسی فاصله گرفته و داده مبنا شود. بیمه‌گر نیز انگیزه خواهد داشت که پیش از وقوع خسارت، بانک را به ارتقای کنترل‌های امنیتی و تاب‌آوری تشویق کند چرا که کیفیت امنیت بانک بطور مستقیم بر احتمال و شدت خسارت بیمه‌گر اثر می‌گذارد. بیمه‌پذیری زیرساخت فناوری بانکداری کشور مرتبط با امنیت مالی، تداوم خدمات عمومی و ظرفیت جذب زیان در نظام مالی است. شبکه بانکی کشور که بخش عمده عملیات خود را بر بستر فناوری انجام می‌دهد، در برابر ریسک فناوری قرار گرفته  و صنعت بیمه در صورتی که بخواهد ریسک را بپذیرد، باید به سمت ارزیابی کمی، الگو‌سازی سناریو، مدیریت انباشت، بیمه اتکایی و پایش مستمر حرکت کند. مبرهن است که آینده بازار به میزان توانایی هر دو صنعت بانک و بیمه در تبدیل اختلال فناوری از رخداد مبهم به ریسک قابل اندازه‌گیری، قیمت‌گذاری و انتقال وابسته خواهد بود.

*دستیار مدیرعامل بانک دی در امور بانکداری و بیمه