اپلیکیشن

بانکداری و پرداخت الکترونیک

تجارت الکترونیک

تلفن همراه

رگولاتوری

فناوری اطلاعات

March 3, 2022
14:52 پنجشنبه، 12ام اسفندماه 1400
کد خبر: 133859

درنگی بر احراز هویت دیجیتال

نوشته: صادق فرامرزی
 

sadegh faramarzi.jpg

آیا در وضعیت فعلی احراز هویت‌های انجام شده توسط نهادهای مختلف برای همدیگر قابل پذیرش است؟
 
پس از نامه ای که توسط اداره مبارزه با پولشویی بانک مرکزی مبنی بر ممنوعیت احراز هویت غیر حضوری جهت خدمات پایه به بانک‌ها ابلاغ شد در میز گردی مطالبی گفتم که به برخی از آنها در این یادداشت اشاره می‌کنم.
 
کرونا علیرغم همه مصائبی که بر دنیا وارد کرد در درون خود دارای فرصتی بود که جوامع مختلف به نسبت ظرفیت خود از آن بهره‌مند شدند. به گمان من شاید یکی از کشورهایی که کمترین استفاده را از این فرصت کرد ایران بود. این اعتقاد نافی تمام زحمات و تغییرات مشخص اتفاق افتاده در این دو سال نیست، منتها همین که پس از دو سال از شروع این بیماری و تقریباً در دومین سالگرد آن در مورد دروازه ورود به تحول دیجیتال یعنی احراز هویت دیجیتال چنین حکمی می‌آید موید اعتقاد بنده است. حتما می­دانید که ماجرا همان تبصره (۳) ماده (۹۱) آیین­نامه اجرایی ماده۱۴ الحاقی قانون مبارزه با پولشویی است که با پیگیری‌های فراوان در تاریخ ۲۹/۱۱/۱۳۹۹ به این شکل تغییر کرد:
 
«هیأت وزیران در جلسه ۱۳۹۹/۱۱/۲۹ به پیشنهاد وزارت امور اقتصادی و دارایی و به استناد اصل یکصد و سی و هشتم قانون اساسی جمهوری اسلامی ایران تصویب کرد: در تبصره (۳) ماده (۹۱) آیین­نامه اجرایی ماده (۱۴) الحاقی قانون مبارزه با پولشویی موضوع تصویب­نامه شماره ۹۲۹۸۶/ت۵۷۱۰۱هـ مورخ ۱۳۹۸/۷/۲۲، عبارت “ممنوع است.” به عبارت “با رعایت دستورالعملی که به تصویب شورا می­رسد، خواهد بود.” اصلاح می­شود. »
 
این یعنی بدون ارائه دستورالعمل تمام این مصوبه یعنی هیچ و متاسفانه دستورالعملی هم ابلاغ نشد.
 
هر چند نگارنده معتقد است می‌توان این نوع احراز هویت را غیرحضوری ندانست چرا که با ابزارهای بیومتریک و تصاویر لایو، این نوع احراز هویت حضوریست و فقط شامل سطوح مختلف می‌شود و این در دنیا پذیرفته شده است. ما قوانین را از اسناد بالادستی بین‌المللی ترجمه می‌کنیم اما در هنگام تطبیق پذیری­های بعدی سخت عمل می‌کنیم.
 
همواره از سجام به­ عنوان یک مثال خوب از استفاده درست و به موقع از تکنولوژی جهت احراز هویت یاد می‌کنند که کاملا درست هم هست و در زمان خود بسیار هوشمندانه عمل شد. به اعتقاد من در ماجرای سجام مجموعه سمات صاحب یکی از تمیزترین و کاملترین دیتابیس‌های اطلاعات کاربران شد، حتی شاید تنها مجموعه با این سطح دقت و حجم اطلاعات. در همان زمان این نگرانی را به بانک‌ها و مخصوصاً بانک مرکزی اعلام کردم که چه نظارتی بر شرکت‌هایی که ناگهان اعلام حضور کردند و با بانک‌های مختلف جهت احراز هویت غیر حضوری قرارداد بستند وجود دارد؟ روند اجرای عملیات غیر حضوری را چه کسی تایید می‌کند؟ نگهداری اطلاعات چگونه کنترل می‌شوند؟ آیا حواسمان بود که این شرکت‌های واسطه امکان دسترسی و لاگ چه سطح از اطلاعات محرمانه‌ای دارند؟
 
 البته لازم به ذکر است خوشبختانه خیلی از بانک‌ها این حساسیت را داشتند و کارهای امنیتی لازم را انجام می­دادند.
 
همه اینها را بگذارید در کنار اینکه تکیه این عملیات بر این بود که افراد قبلاً در بانک حساب داشته‌اند پس یکبار احراز هویت شده‌اند اما در سیستم بانکی این ابزار قابل اتکا نیز لزوما وجود ندارد.
 
حتما ملاحظه کرده‌اید که اگر در شعبه A بانکی احراز هویت حضوری شده باشید در مراجعه با شعبه B همان بانک در زمانی دیگر برای افتتاح حساب مجدداً و بطور کامل احراز هویت می‌شوید همه مدارک را مجدداً می‌دهید و همه فرآیند را مجدد انجام می‌دهید. این یعنی شعبه B مسئولیت احراز هویت انجام شده در شعبه A را حتی در یک بانک نمی­پذیرد. دقت کنید داریم در مورد احراز هویت حضوری صحبت می‌کنیم . حالا بماند که حتی در همان بانک Aهم در صورت در خواست وام یا افتتاح حساب جدید یا… مجدد بطور کامل احراز هویت می‌شوید.
 
در چنین حالتی مگر می‌شود در مورد به اشتراک­گذاری احراز هویت غیر حضوری حرف زد. اشکال کار جایی است که مبانی احراز هویت از استاندارد یکسانی برخوردار نیستند و هیچ نهادی جهت تایید این پلتفرم‌ها انتخاب نشده است.
 
در چنین حالتی دو راه به ذهنمان می­رسد:
 
حاکمیت مطابق علاقه قدیمی خود اقدام به تاسیس سامانه احراز هویت ملی کند. به­طور مثال به شرکت خدمات انفورماتیک ماموریت بدهد سامانه‌ای جهت این فرآیند تهیه کند و همه بانک‌ها از طریق یک سامانه واحد اقدام به احراز هویت کنند. مطلع هستیم که اتفاقاً این اقدام در مراحلی از اجرا وجود دارد.
حاکمیت اقدام به ابلاغ یکسری چهارچوب‌ها و الزامات در این حوزه کند که حتماً رفرنس‌هایی در این حوزه در دنیا وجود دارند (مانند EIDAS ) و در کنار آن نهاد یا نهادهایی را جهت آدیت، ارزیابی و ارائه گواهی به این شرکت‌ها و البته محصولات معرفی کند. به ذهن من شرکت‌های کاشف و افتا می‌رسند که جداگانه یا توامان این قابلیت را دارند.
بدیهی است علیرغم اینکه شاید بخش بزرگی از فعالان حوزه با راه حل اول مخالف باشند اما واقعیت این است که این مدل اتفاقاً کار می‌کند و برای شرایط همیشه حساس کنونی کارساز است. اشکالات مهمی هم بر آن وارد است مانند دوری از انعطاف و نوآوری که اساساً در همه سامانه‌های حاکمیتی مرکزی این ایراد وارد است و باید دید رگولاتور در ترازو به کدام نتیجه می‌رسد.
 
راه حل دوم نیز عاقلانه به نظر می‌رسد و حتی به گمان من به شدت الزامی است به شکلی که اعتقاد دارم حتی فردا برای تصمیم­گیری در این حوزه دیر است.
 
شاید ترکیب توامان دو راه حل بهترین راه حل باشد یعنی ضمن تاسیس یک سامانه حاکمیتی ( در صورت اصرار رگولاتور ) استانداردهای این حوزه نیز دقیق تدوین و ابلاغ شود و اجازه فعالیت بخش‌های خصوصی و فین تک ها نیز در این حوزه داده شود. حوزه هوش مصنوعی پرچمدار فناوری در سالهای پیش رو خواهد بود.
 
لطفاً فراموش نکنید که ما داریم در مورد به اشتراک­گذاری احراز هویت صحبت می‌کنیم. در چنین حالتی رگولاتور برای خطاهایی که در این حوزه وجود دارند نیز باید روال بنویسد تا بانک‌ها بدون نگرانی بتوانند مسئولیت پذیرفتن احراز هویت انجام شده توسط دیگری را بپذیرند.
 
رگولاتور باید قوانین به طور خاصGDPR  را در استانداردسازی به اشتراک گذاری و ذخیره داده‌های کاربران شامل اخذ تایید و اجازه کاربران جهت به اشتراک­گذاری داده‌های وی و امکان لغو مجوزهایی که قبلا صادر کرده است را بررسی و در مستندات خود مد نظر قرار دهد.
 
دقت کنید در دنیای نوآوری باز مفهوم مالکیت داده توسط بانک‌ها به حاکمیت داده تغییر شکل یافته لذا دیگر بانک‌ها مالک داده مشتریان خود نیستند بلکه فقط حاکم آن هستند و مسئولیت حفظ امنیت و محرمانگی آن را به عهده دارند.
 
البته حتماً راه حل سومی نیز وجود دارد که بگذاریم همینطور شرایط بدون رگولاتوری بگذرد و امیدوار باشیم اتفاقی نیفتد و بانک‌ها و سازمان‌هایی که اعتقاد به راه انداز جا بنداز دارند و خیلی نگران عدم تطبیق نیستند بازار را بگیرند، البته به شدت معتقدم این از حوزه‌هایی است که در صورت اتخاذ این تصمیم و یا تاخیر در تصمیم درست حتماً مجبور به تدوین یک طرح ” صیانت” در این حوزه نیز خواهیم شد.
 
تلاش می‌کنم در مورد مسائل جاری در مورد امضاء الکترونیک نیز بعداً مطالبی بنویسم اما بخش اول تشکیل دهنده هویت دیجیتال چیزی نیست بجز احراز هویت دیجیتال که اجزای کاملا تست شده و تمرین شده در دنیا دارند و نیاز و عادت قدیمی ما به اختراع مجدد چرخ را مرتفع می‌کند.
 
در پایان اشاره می‌کنم که مستند احراز هویت دیجتال توسط گروهی در بانک مرکزی آماده شد و در تابستان سال گذشته (۱۳۹۹) تقدیم بانک مرکزی گردید.
  • مشترک شوید!

    برای عضویت در خبرنامه روزانه ایستنا؛ نشانی پست الکترونیکی خود را در فرم زیر وارد نمایید. پس از آن به صورت خودکار ایمیلی به نشانی شما ارسال میشود، برای تکمیل عضویت خود و تایید صحت نشانی پست الکترونیک وارد شده، می بایست بر روی لینکی که در این ایمیل برایتان ارسال شده کلیک نمایید. پس از آن پیامی مبنی بر تکمیل عضویت شما در خبرنامه روزانه ایستنا نمایش داده میشود.

    با عضویت در خبرنامه پیامکی آژانس خبری فناوری اطلاعات و ارتباطات (ایستنا) به طور روزانه آخرین اخبار، گزارشها و تحلیل های حوزه فناوری اطلاعات و ارتباطات را در هر لحظه و هر کجا از طریق پیام کوتاه دریافت خواهید کرد. برای عضویت در این خبرنامه، مشترکین سیمکارت های همراه اول لازم است عبارت 150 را به شماره 201464 و مشترکین سیمکارت های ایرانسل عبارت ozv ictn را به شماره ۸۲۸۲ ارسال کنند. دریافت موفق هر بسته خبری که محتوی پیامکی با حجم ۵پیامک بوده و ۴ تا ۶ عنوان خبری را شامل میشود، ۳۵۰ ریال برای مشترک هزینه در بردارد که در صورتحساب ارسالی از سوی اپراتور مربوطه محاسبه و از اعتبار موجود در حساب مشترکین سیمکارت های دائمی کسر میشود. بخشی از این درآمد این سرویس از سوی اپراتور میزبان شما به ایستنا پرداخت میشود. مشترکین در هر لحظه براساس دستورالعمل اعلامی در پایان هر بسته خبری قادر خواهند بود اشتراک خود را در این سرویس لغو کنند. هزینه دریافت هر بسته خبری برای مشترکین صرفا ۳۵۰ ریال خواهد بود و این هزینه برای مشترکین در حال استفاده از خدمات رومینگ بین الملل اپراتورهای همراه اول و ایرانسل هم هزینه اضافه ای در بر نخواهد داشت.