آمادگی کوانتومی در نظام بانکی ایران؛ تهدیدی از دیروز، فرصتی برای فردا
جهان صنعت – در عصری که دادهها بهطلای دیجیتال تبدیل شدند امنیت آنها بهیکی از حیاتیترین دغدغههای نظام مالی جهان تبدیل شده است. رمزنگاری کلاسیک که ستونفقرات امنیت بانکی در جهان را تشکیل میدهد با ظهور رایانههای کوانتومی با تهدیدی بیسابقه روبهرو شده است. رایانههایی که توانایی حل مسائل پیچیده ریاضی را در کسری از ثانیه دارند میتوانند دیوارهای امنیتی کنونی را فرو بریزند. در این میان دو دیدگاه کلی وجود دارد:
دیدگاه اول رایانه کوانتومی را خطری برای امنیت مالی میداند و دیدگاه دوم آن را فرصتی برای تحول در پردازشهای مالی محسوب میکند اما واقعیت این است که جهان بهسمت استفاده از این فناوری پیش میرود و کشورها با سرعت تمام در حال سرمایهگذاری برای مقاومسازی زیرساختهای خود برای بهرهگیری از فناوری نوظهور هستند.
در این گفتوگو بهسراغ بهرام زاهدی باروق از صاحبنظران حوزه آمادگی کوانتومی در نظام بانکی رفتیم تا ابعاد این تهدید، وضعیت ایران و راهکارهای عملی برای عبور از این گذار تاریخی را بررسی کنیم.
آمادگی کوانتومی چیست و چرا برای نظام بانکی ایران حیاتی است؟
زاهدی در پاسخ بهاین سوال آمادگی کوانتومی را مجموعه اقداماتی تعریف میکنند که سازمانها برای محافظت از زیرساختهای رمزنگاری کلاسیک خود دربرابر تهدیدات ناشی از رایانههای کوانتومی انجام میدهند. اهمیت این موضوع برای نظام بانکی در سهسطح قابلبررسی است:
سطح اول، امنیت دادههای مشتریان: بانکها حجم عظیمی از اطلاعات هویتی، تراکنشها و حسابهای مشتریان را با الگوریتمهایی مانند RSA (الگوریتم رمزنگاری کلید عمومی براساس تجزیه اعداد بزرگ) و ECC (رمزنگاری منحنی بیضوی) محافظت میکنند که در برابر حملات کوانتومی آسیبپذیر هستند.
سطح دوم، یکپارچگی و ثبات مالی: اگر رمزنگاری بانکی شکسته شود مهاجم میتواند بهحسابها دسترسی پیدا کرده، تراکنشها را جعل کند و اعتماد عمومی را از بین ببرد. این اتفاق نهفقط برای یک بانک بلکه برای کل نظام مالی کشور فاجعهبار خواهد بود.
سطح سوم، امنیت ملی: نظام بانکی بخشی از زیرساختهای حیاتی کشور محسوب میشود و هرگونه اختلال در آن میتواند امنیت ملی را تحت تاثیر قرار دهد.
نکتهی کلیدی که زاهدی بهآن تاکید میکنند سناریوی «برداشت اکنون، رمزگشایی بعدا» (HNDL) است. یعنی مهاجمان هماکنون ترافیک رمزنگاریشده کلاسیک شبکه بانکی را ذخیره میکنند تا در آینده با رایانه کوانتومی آن را رمزگشایی کنند. بنابراین تهدید از امروز آغاز شده است.
آیا رایانههای کوانتومی واقعا رمزنگاری کلاسیک فعلی را میشکنند؟
پاسخ زاهدی قاطع است: بله، این موضوع کاملا جدی بوده و براساس اصول ریاضی اثبات شده است. الگوریتم شور (Shor›s Algorithm) که در سال۱۹۹۴ ارائه شد ثابت کرده که یک رایانه کوانتومی با توان کافی میتواند مساله تجزیه اعداد بزرگ بهعوامل اول که پایه امنیت الگوریتم RSA بوده را در زمان بسیار کوتاهی حل کند. کاری که برای رایانههای کلاسیک میلیونها سال طول میکشد برای رایانه کوانتومی تنها چند ساعت یا چند روز زمان میبرد.
براساس تحلیلهای موسسه NIST (موسسه ملی استاندارد و فناوری آمریکا) و آژانس NSA (آژانس امنیت ملی آمریکا) رایانههای کوانتومی با اهمیت رمزنگاری (CRQC) بین سالهای۲۰۳۰تا۲۰۳۵ بهبلوغ کامل میرسند. یعنی ما تنها ۵تا۱۰سال فرصت داریم تا زیرساختهای خود را مقاومسازی کنیم. بانک تسویههای بینالمللی (BIS) نیز سال گذشته در سندی صریح اعلام کرد که موسسات مالی باید هرچه سریعتر انتقال بهرمزنگاری پساکوانتومی را آغاز کنند.
رمزنگاری پساکوانتومی (PQC) چهتفاوتی با رمزنگاری کلاسیک دارد؟
رمزنگاری کلاسیک مانند RSA (بر پایه تجزیه اعداد بزرگ) و ECC (رمزنگاری منحنی بیضوی بر پایه لگاریتم گسسته) بر دو مساله ریاضیاتی استوار هستند. این مسائل برای رایانههای کلاسیک سخت اما برای رایانههای کوانتومی با الگوریتم شور آسان هستند.
درمقابل رمزنگاری پساکوانتومی (PQC) بر پایه مسائل ریاضیاتی استوار است که هم دربرابر رایانههای کلاسیک و هم دربرابر رایانههای کوانتومی مقاوم هستند. این الگوریتمها در پنج حوزه اصلی دستهبندی میشوند: تبادل کلید، امضای دیجیتال، امضای دیجیتال پشتیبان، امضای دیجیتال با اندازه کوچک و تبادل کلید پشتیبان.
خوشبختانه موسسه ملی استاندارد و فناوری آمریکا (NIST) در سال۲۰۲۴ اولین مجموعه استانداردهای نهایی این حوزه را منتشر کرده که هماکنون در کشور قابلپیادهسازی هستند و نیازی بهمنتظر ماندن برای ورود فناوری جدید بهکشور نیست.
وضعیت فعلی نظام بانکی ایران در مواجهه با تهدید کوانتومی چگونه است؟
زاهدی وضعیت موجود را در سهسطح تحلیل میکنند:
سطح اول، آگاهی: خوشبختانه آگاهی از تهدید کوانتومی در سالهای اخیر افزایش یافته است. رونمایی از شبکه کلید توزیع کوانتومی (QKD) توسط محققان دانشگاه صنعتی شریف نشاندهنده حرکت کشور در مسیر صحیح بوده اما این آگاهی همچنان محدود بهبخشهای خاصی است و نیاز بهگسترش در سطح مدیریت ارشد و کارشناسان فنی دارد.
سطح دوم، زیرساخت: نظام بانکی ایران هنوز بر پایه الگوریتمهای کلاسیک RSA و ECC استوار است که دربرابر حملات کوانتومی آسیبپذیرند. وابستگی گسترده بهزیرساختهای رمزنگاری خارجی (از کتابخانههای رمزنگاری گرفته تا ماژولهای امنیت سختافزاری یاHSM ) یکی از چالشهای اصلی است.
سطح سوم، حاکمیت: مهمترین چالش نبود استانداردهای کشوری در حوزه رمزنگاری پساکوانتومی (PQC) است. متاسفانه ذینفعان فعال در این حوزه تاکنون نقشی در ترجمه و داخلیسازی این استانداردها نداشتند و فقدان یک نقشهراه کشوری با جدول زمانی مشخص برنامهریزی منسجم در کشور را با مشکل مواجه کرده است.
چالشهای اصلی پیشروی آمادگی کوانتومی در بانکهای ایران
زاهدی چالشهای اصلی را در چهارحوزه دستهبندی میکنند:
۱- حوزه زیرساخت: کمبود ماژولهای سختافزاری HSM (ماژولهای امنیت سختافزاری) که از رمزنگاری پساکوانتومی (PQC) پشتیبانی کنند. بهویژه اکثر ماژولهای موجود فاقد پشتیبانی از مکانیسم محصورسازی کلید مبتنی بر شبکه ماژول (ML-KEM) هستند. فقدان شبکه یکپارچه ملی و هزینههای سرسامآور تجهیزات از دیگر موانع اصلی محسوب میشوند.
۲- حوزه نرمافزار: نبود کتابخانههای داخلی برای رمزنگاری پساکوانتومی (PQC) و وابستگی شدید بهپروتکل OpenSSL خارجی چابکی رمزنگاری را با مشکل مواجه کرده است.
۳- حوزه پلتفرم: زیرساخت عمومی کلید (PKI) هنوز مبتنی بر رمزنگاری کلاسیک (RSA/ECC) است و برنامهای برای مهاجرت بهرمزنگاری پساکوانتومی (PQC) در پلتفرمهای فعال کشور وجود ندارد.
۴- حوزه نیروی انسانی: کمبود شدید متخصصان رمزنگاری پساکوانتومی (PQC) در کشور و بیانگیزگی تعدادی از آنها عدم آشنایی تخصصی تصمیمگیران این حوزه با آمادگی کوانتومی از چالشهای جدی در این حوزه محسوب میشود.
اقدامات انجامشده و درسآموختههای بینالمللی
هرچند اقدامات انجامشده در ایران محدود و جزیرهای بوده اما برخی از آنها ارزشمند هستند:
– راهاندازی شبکه کلید توزیع کوانتومی (QKD) در تهران با استفاده از زیرساخت فیبر نوری موجود و باندO در فیبر نوری برای ارتباطات کوانتومی
– معرفی ۱۶طرح درس کوانتوم به۱۲دانشگاه کشور
– تدوین سند چشمانداز ۱۰ساله باهدف سرمایهگذاری ۵۰میلیوندلاری در سهسال آینده
– تشکیل ستاد توسعه اقتصاد دانشبنیان کوانتوم برای هماهنگی بیننهادی
با این حال زاهدی تاکید دارند که این اقدامات با نیازهای واقعی کشور فاصله معناداری دارند و آنچه بیش از همه مورد نیاز بوده یک نقشهراه عملیاتی با الزامات نظارتی از سوی بانک مرکزی است.
ایشان با اشاره بهتجربیات کشورهای پیشرو درسآموختههای کلیدی قابل استفاده را چنین برمیشمارد:
– حکمرانی متمرکز (آمریکا): پنتاگون(وزارت جنگ آمریکا) پنج محور اصلی برای مهاجرت تدوین کرده و مجموعه نسخه ۲.۰ الگوریتمهای امنیت ملی تجاری (CNSA 2.0) را با جدول زمانی شفاف منتشر کرده و ۲میلیارد دلار سرمایهگذاری در ۹شرکت کوانتومی انجام داده است.
– رویکرد پلکانی (کانادا): تفکیک سیستمهای محرمانه از غیرمحرمانه و گزارشدهی سالانه پیشرفت مهاجرت.
– شاخص آمادگی کوانتومی(سنگاپور): ابزاری برای خودارزیابی سازمانها و تولید کتابچه راهنمای ایمن دربرابر کوانتوم (Quantum-Safe) در پنجحوزه کلیدی.
– هماهنگی استانداردها(اتحادیه اروپا): هماهنگی با موسسه ملی استاندارد و فناوری (NIST) برای الگوریتمهای امنیت ملی تجاری (CNSA) و یکپارچهسازی رمزنگاری پساکوانتومی (PQC) در پروتکلهای 5G نسخه ۳ بهبعد.
راهکارهای عملیاتی برای مقاومسازی نظام بانکی
زاهدی راهکارهای مقاومسازی نظام بانکی را در چهارسطح ارائه میدهند:
سطح اول، حاکمیت و برنامهریزی: تشکیل کارگروه آمادگی کوانتومی با حضور مدیریت ارشد، مدیر ارشد عملیات امنیت، نمایندگان بهرهبردار و مدیر ریسک/ تهیه سیاهه رمزنگاری برای شناسایی تمام الگوریتمها، کلیدها و گواهیها/ تدوین نقشهراه مهاجرت بهرمزنگاری پساکوانتومی (PQC) با جدول زمانی مشخص و بودجهبندی دقیق/ ترجمه و داخلیسازی استانداردهای ملی رمزنگاری پساکوانتومی (PQC) با الگوگیری از موسسه ملی استاندارد و فناوری (NIST) و مجموعه نسخه ۲.۰ الگوریتمهای امنیت ملی تجاری (CNSA 2.0).
سطح دوم، زیرساخت و فناوری: مهاجرت بهپروتکل انتقال امن داده (TLS) برای ایمنسازی ارتباطات مشتری و بانک/ مهاجرت زیرساخت عمومی کلید (PKI) بهمکانیسم محصورسازی کلید مبتنی بر شبکه ماژول (ML-KEM) برای گواهیهای دیجیتال/ ارتقای ماژولهای امنیت سختافزاری (HSM) بهرمزنگاری پساکوانتومی (PQC) برای مدیریت امن کلیدها/ استقرار چابکی رمزنگاری برای امکان تعویض سریع الگوریتمها.
سطح سوم، نیروی انسانی: آموزش مدیریت ارشد جهت آشنایی با تهدید و الزامات/ آموزش کارشناسان فنی برای پیادهسازی رمزنگاری پساکوانتومی (PQC) و تامین ابزارهای مورد نیاز/ جذب و تربیت متخصصان کوانتوم برای ایجاد اکوسیستم مورد نیاز و افزایش برنامههای آموزشی در دانشگاهها.
سطح چهارم، نظارت و پاسخ بهحادثه: ایجاد مکانیسمهای تشخیص حملات تنزل امنیت (Downgrade Attacks)/ تدوین برنامه پاسخ بهحادثه رمزنگاری با تعریف و استانداردسازی سناریوهای شکست مبتنی بر رمزنگاری پساکوانتومی (PQC)/ گزارشدهی منظم بهبانک مرکزی در مورد وضعیت اثرگذاری شاخصهای کلیدی عملکرد در نظام فناوری اطلاعات بانکی.
الزامات نظارتی بانک مرکزی؛ ۷حوزه کلیدی
زاهدی با تاکید بر نقش کلیدی بانک مرکزی بهعنوان نهاد ناظر بر نظام بانکی کشور الزامات نظارتی را در هفتحوزه دستهبندی میکنند:
۱- حاکمیت و برنامهریزی راهبردی: ابلاغ تشکیل کارگروه آمادگی کوانتومی در هر بانک، تدوین برنامه مهاجرت رمزنگاری پساکوانتومی (PQC) حداکثر سهماه پس از ابلاغ و انتصاب مدیر مهاجرت رمزنگاری پساکوانتومی (PQC) با دسترسی مستقیم بهمدیرعامل هربانک و اعمال جرایم برای بانکهای متخلف.
۲- زیرساخت رمزنگاری و ماژولهای سختافزاری (HSM) : ایجاد نظام ارزیابی آمادگی و الزام بانکها بهارتقای HSM در بازه ۶تا۹ماهه و استقرار رمزنگاری پساکوانتومی (PQC) در بانکها طی یک برنامه مشخص از پیش تعریفشده.
۳- پروتکل انتقال امن داده(TLS) : ایجاد برنامه مهاجرت TLS بهسطوح بالاتر مانند ماژول مکانیسم فشردهسازی کلید شبکهای (ML-KEM) و غیرفعالسازی نسخههای ۱.۰ تا ۱.۲ TLS تا دوسال آینده.
۴- زیرساخت عمومی کلید (PKI) و گواهیهای دیجیتال: کمک بهآغاز مهاجرت بانکها بهرمزنگاری پساکوانتومی (PQC) در مدت مشخص (مثلا تا پایان سال آینده) و شروع رویکرد ترکیبی برای صدور گواهیهای دیجیتال.
این موضوع بهبانکها امکان میدهد تا مهاجرت بهگواهیهای کارتهای هوشمند را در یک برنامه پنجساله بهصورت کامل انجام دهند.
۵- سامانههای پرداخت و تسویه: ایجاد نظام پذیرش امضای دیجیتال مبتنی بر امضای دیجیتال مبتنی بر شبکه ماژولار (ML-DSA) در سامانههای پرداخت در یک برنامه سهساله و پس از راهاندازی فعالسازی همه تراکنشهای بالای یک سقف مشخص براساس ML-DSA در یک برنامه سهساله.
۶- چابکی رمزنگاری و مدیریت کلید: استقرار نظام رمزنگاری چابک با تدوین فرآیندهای مدیریت چرخهعمر کلیدهای رمزنگاری پساکوانتومی (PQC) در یک برنامه سهساله در کلیه بانکهای کشور.
۷- تشخیص، نظارت و پاسخ بهحادثه: نظارت بر مقابله با حملات تنزل امنیت، برنامه پاسخ بهحادثه دستکاری رمزنگاری و گزارشدهی ماهانه شاخصهای کلیدی مبتنی بر رمزنگاری پساکوانتومی (PQC).
زاهدی تاکید میکنند که حداقل تاکنون بانک مرکزی هیچ نقشهراه مشخصی برای موارد پیشگفته منتشر نکرده است. نکته خیلی با اهمیت در این هفت حوزه، این است که این روندها باید بهصورت پلکانی انجام شوند تا درنهایت پنجتاهشتسال بعد هیچبانکی از رمزنگاری کلاسیک (RSA/ECC) استفاده نکند و همه تراکنشها با کلیدهای رمزنگاری پساکوانتومی (PQC) انجام شوند.
یک دستورالعمل ششساله برای بانکهای نیمهدولتی
زاهدی از تهیه یک دستورالعمل اجرایی ششساله برای مهاجرت بانکهای نیمهدولتی بهرمزنگاری پساکوانتومی (PQC) با همکاری تعدادی از خبرگان این بانکها خبر میدهند و این دستورالعمل اجرایی را شامل پنجفاز اصلی بهشرح زیر معرفی میکنند:
فاز صفر (آمادهسازی و تشکیل ساختار- یکتادوماه): صدور ابلاغ رسمی تشکیل کارگروه آمادگی کوانتومی بانک، تعیین اعضای کارگروه شامل معاون فناوری اطلاعات، معاون امنیت، مدیر مهاجرت PQC، نمایندگان بهرهبردار و مدیر ریسک هستند که وظیفه تدوین منشور کارگروه و گرفتن تایید هیات مدیره، پیسنهاد، تصویب و تخصیص بودجه اولیه و شروع برنامههای آموزشی برای مدیریت ارشد، مدیران میانی و کارشناسان فنی را بهعهده دارند.
فاز یک (شناسایی و ارزیابی – سهتاهشتماه): تهیه سیاهه کامل رمزنگاری از تمام الگوریتمها، کلیدها و گواهیها/ ارزیابی ریسک کوانتومی براساس چارچوب گذار بهاستانداردهای رمزنگاری پساکوانتومی (NIST IR 8547)/ شناسایی دادههای با عمر طولانی و مواجهه با سناریوی «برداشت اکنون، رمزگشایی بعدا (HNDL)» و در نهایت انجام ارزیابی آمادگی تامینکنندگان کلیدی.
فاز دو (برنامهریزی راهبردی – ۹تا۱۴ماه): تدوین نقشهراه مهاجرت بهرمزنگاری پساکوانتومی PQC با جدول زمانی مشخص/ اولویتبندی سیستمها براساس حساسیت داده و مواجهه خارجی/ انتخاب الگوریتمهای هدف مانند مکانیسم محصورسازی کلید مبتنی بر شبکه ماژول (ML-KEM)، امضای دیجیتال مبتنی بر شبکه ماژولار (ML-DSA) و طراحی معماری ترکیبی (Hybrid) برای دوران گذار.
فاز سه (اجرا و پیادهسازی – ۱۵تا۲۴ماه): مهاجرت بهپروتکل انتقال امن داده (TLS)، مهاجرت زیرساخت عمومی کلید (PKI)، مهاجرت گواهیهای دیجیتال فعلی بهامضای دیجیتال مبتنی بر شبکه ماژولار (ML-DSA)، مهاجرت سامانههای پرداخت فعلی بهسامانههای مبتنی بر ML-DSA، مهاجرت ارتباطات بینبانکی فعلی بهتبادل امن داده مبتنی بر آیپی (IPsec) با مکانیسم محصورسازی کلید مبتنی بر شبکه ماژول (ML-KEM) و ارتقای ماژولهای امنیت سختافزاری (HSM) بهرمزنگاری پساکوانتومی (PQC).
فاز چهار (نظارت، پایش و پاسخ بهحادثه – ۲۷تا۴۳ماه): استقرار سیستم نظارت رمزنگاری، فعالسازی تشخیص حملات تنزل امنیت (Downgrade Attacks)، تدوین برنامه پاسخ بهحادثه رمزنگاری و گزارشدهی منظم بههیات مدیره بانک و بانک مرکزی.
هزینههای اجرا و بودجهبندی
زاهدی هزینههای اجرای برنامه آمادگی کوانتومی را در پنجدسته اصلی طبقهبندی میکنند:
۱- هزینههای نیروی انسانی: استخدام و تربیت نیروهای متخصص.
۲- هزینه مشاوره تخصصی: استفاده از خدمات مشاوره اشخاص حقیقی و حقوقی در سطح بینالمللی یا داخلی.
۳- هزینه سختافزار: ارتقای ماژولهای امنیت سختافزاری (HSM)، سرورها و تجهیزات رمزنگاری.
۴- هزینه پلتفرم و نرمافزار: خرید یا توسعه پلتفرم اختصاصی، خرید یا توسعه کتابخانههای رمزنگاری پساکوانتومی (PQC) و سیستمهای نظارت.
۵- هزینه آموزش: آموزش نیروی کار متخصص در سطوح مختلف.
برای بودجهبندی متناسب ایشان توصیه میکنند بانکها اقدامات زیر را انجام دهند:
– برنامهریزی پروژهمحور با برش سالانه زیرا مهاجرت بهPQC یک پروژه چهار تا پنجساله است.
– تخصیص تدریجی بودجه؛ در سالهای اول (آمادهسازی و ارزیابی) کمتر و در سالهای میانی (اجرا و خرید تجهیزات) بیشتر باشد.
– مشارکت با تامینکنندگان HSM، پلتفرم و نرمافزار برای کاهش هزینهها.
– استفاده از منابع موجود(مانند فیبرنوری) برای کاهش هزینهها.
تاکید کلیدی ایشان این است که تاخیر در تخصیص بودجه، نهتنها هزینههای بسیار بیشتری در آینده ایجاد میکند بلکه هزینه انجام این مهاجرت در امروز بسیار کمتر از هزینههای آشکار و پنهان برای جبران آسیبهای ناشی از شکست این مهاجرت در آینده است.
چشمانداز ۵ساله؛ ۳سناریو پیشرو
زاهدی چشمانداز آمادگی کوانتومی در نظام بانکی ایران را در سهسناریو ترسیم میکنند:
سناریوی اول(پیشرو – بهترین حالت): بانک مرکزی برنامه مهاجرت بهرمزنگاری پساکوانتومی (PQC) را بههمراه سند الزامات نظارتی بههمه بانکها ابلاغ کرده است. بانکها سیاهه رمزنگاری خود را بههمراه برنامه مهاجرت PQC تهیه کردهاند. مهاجرت بهپروتکل انتقال امن داده (TLS) در سرورهای عمومی بانکها بهاتمام رسیده است. مهاجرت بهزیرساخت عمومی کلید (PKI) در همه بانکهای کشور آغاز شده است. ماژولهای امنیت سختافزاری (HSM) مبتنی بر PQC درحال استقرار هستند و ایران در جمع کشورهای پیشرو منطقه در حوزه آمادگی کوانتومی قرار دارد.
سناریوی دوم (متوسط-واقعبینانه): بانک مرکزی برنامه مهاجرت PQC را ابلاغ کرده اما برخی بانکها تاخیر دارند. برخی بانکها سیاهه رمزنگاری و برنامه مهاجرت خود را تهیه کردند. مهاجرت بهپروتکل انتقال امن داده (TLS) در سرورهای عمومی برخی بانکها آغاز شده است. برنامههای آموزشی آمادگی کوانتومی در بانکها درحال اجراست و ایران در مسیر صحیح اما با سرعت متوسط حرکت میکند.
سناریوی سوم (عقبمانده-بدترین حالت): بانک مرکزی هنوز برنامه مهاجرت PQC را ابلاغ نکرده است. بانکها فاقد سیاهه رمزنگاری و برنامه مهاجرت هستند. هیچ اقدامی برای مهاجرت بهپروتکل انتقال امن داده (TLS) در سرورهای عمومی بانکها انجام نشده است. زیرساختهای بانکی همچنان بهپروتکلهای کلاسیک رمزنگاری (RSA/ECC) وابسته است و ایران درمعرض تهدیدات جدی کوانتومی قرار دارد و از رقبای خود در منطقه بهطور معناداری عقبتر است.
زاهدی تاکید میکنند که مسیر حرکت نظام بانکی ایران بهاراده راهبردی، همکاری بیننهادی بانکها و تخصیص منابع کافی توسط بانک مرکزی و تمامی بانکها بستگی دارد. تجربه کشورهای پیشرو نشان میدهد که شروع زودهنگام بههمراه برنامهریزی دقیق و نظارت مستمر کلید موفقیت است.
پاسخ بهسوالات کلیدی
آیا رمزنگاری پساکوانتومی (PQC) جایگزین کلید توزیع کوانتومی (QKD) میشود؟
خیر؛ زاهدی تاکید میکنند که این دو فناوری مکمل یکدیگر هستند. رمزنگاری پساکوانتومی (PQC) برای اکثر کاربردهای بانکی(ارتباطات مشتری، سیستمهای پرداخت، ارتباطات بینبانکی) راهکار عملیتر، مقرونبهصرفهتر و قابلدسترستری است. کلید توزیع کوانتومی (QKD) میتواند در کاربردهای بسیار خاص با بالاترین سطح امنیت در مسافتهای کوتاه استفاده شود اما جایگزین PQC نخواهد بود.
چابکی رمزنگاری چیست و چرا مهم است؟
چابکی رمزنگاری (Crypto-Agility) بهتوانایی سیستم برای تعویض سریع و ایمن الگوریتمها، پروتکلها و زیرساختهای رمزنگاری بدون نیاز بهبازطراحی اساسی و بدون ایجاد اختلال در خدمات جاری اشاره دارد. این قابلیت برای امکان تعویض الگوریتم درصورت کشف آسیبپذیری، هماهنگی با استانداردهای درحال تحول و کاهش هزینههای مهاجرت حیاتی است. ابعاد کلیدی آن شامل جداسازی لایه رمزنگاری از منطق برنامه، استفاده از ماژولهای قابل تعویض برای الگوریتمها، مدیریت متمرکز سیاست و پایش و گزارشدهی مداوم وضعیت رمزنگاری است.
نقش بانک مرکزی در آمادگی کوانتومی چیست؟
زاهدی نقش بانک مرکزی در آمادگی کوانتومی را بهپنج بخش دستهبندی میکنند:
۱- تدوین و ابلاغ الزامات نظارتی مانند جدول زمانی شفاف، الگوریتمهای الزامی با الگوگیری از CNSA 2.0 و ضربالاجلهای مشخص.
۲- ایجاد استانداردهای کشوری مهاجرت بهرمزنگاری پساکوانتومی (PQC) با مشارکت همه ذینفعان.
۳- نظارت و گزارشگیری از طریق دریافت گزارشهای دورهای، انجام ارزیابی و ممیزی و اعمال ضمانتاجرا.
۴- تسهیل و هماهنگی بین بانکها و تامینکنندگان و حمایت از برنامههای آموزشی.
۵- هماهنگی با سایر نهادهای حاکمیتی مانند ستاد توسعه کوانتوم، وزارت ارتباطات، سازمان تنظیم مقررات، نهادهای امنیتی، افتای ریاستجمهوری و سازمان پدافند غیرعامل.
پیام نهایی بهمدیران ارشد بانکها
زاهدی درپایان پیام خود را در پنج محور خلاصه میکنند:
۱- تهدید کوانتومی یک تهدید نظری نیست بلکه سناریوی «برداشت اکنون، رمزگشایی بعدا» (HNDL) از دیروز آغاز شده است. مهاجمان از قبل دادههای رمزنگاریشده شبکه بانکی را ذخیره کرده و میکنند. دادههای دیروز و امروز در خطر افشا در فردا هستند.
۲- آمادگی کوانتومی یک ارتقای فنی ساده نیست بلکه یک تحول راهبردی برای بانکها بوده که نیازمند تعهد مدیریت ارشد، تخصیص منابع کافی و همکاری تمام واحدهای سازمانی در سطح مدیریت عالی است.
۳- استانداردهای بینالمللی مربوطه تدوین شده و موجودند و هماکنون قابلپیادهسازی هستند. موسسه ملی استاندارد و فناوری (NIST) این استانداردها را منتشر کرده و نیازی بهمنتظر ماندن برای فناوری جدید نیست.
۴- ضربالاجلها شفاف و فشرده هستند: سال اول آمادهسازی، سال دوم منسوخسازی رمزنگاری کلاسیک (RSA/ECC)و آغاز مهاجرت بهPQC، سال سوم تکمیل مهاجرت بهرمزنگاری پساکوانتومی (PQC)، سال چهارم الگوریتمهای امنیت ملی تجاری (CNSA) و سال پنجم ارزیابی نهایی آمادگی کوانتومی در بانک.
۵- هرچه دیرتر برای شروع آمادگی کوانتومی اقدام کنیم هزینههای پیدا و پنهان بههمراه ریسکهای با شدت بالا و حتی ریسک موجودیتی برای بانک بیشتر خواهد بود. هزینه امنیت کوانتومی امروز، بسیار کمتر از هزینه جبران آسیبهای ناشی از شکست رمزنگاری در آینده است.
جمعبندی نهایی
زاهدی در جمعبندی نهایی خود تاکید میکنند که تهدید کوانتومی یک سناریوی دور از دسترس نیست بلکه از دیروز آغاز شده و امروز نیز ادامه دارد. نظام بانکی ایران برای حفظ امنیت دادهها، ثبات مالی و جلب اعتماد عمومی باید با اراده راهبردی، برنامهریزی دقیق و همکاری بیننهادی هرچهسریعتر مهاجرت بهرمزنگاری پساکوانتومی (PQC) را آغاز کند زیرا زمان سرمایهای است که اگر از دست برود قابلبازگشت نخواهد بود.
