بلوبانك في طريقها لتحسين الأمن؛ 19 تقريرا حقيقيا في حدث باغبانتي الثاني
يعد حدث Bugbunty Blue الثاني، بعد المنافسة المتخصصة، جزءًا من مسار السلسلة لتعزيز الأمن المصرفي الرقمي وتطوير التعاون مع مجتمع المتخصصين في الأمن السيبراني. أتاحت مشاركة 80 خبيرًا وتسجيل 19 تقريرًا صالحًا فرصة تحديد النقاط التي يمكن تحسينها والتحسين المستمر للمنصة الزرقاء. تشير خطة المجموعة لتوسيع BugBunity إلى واجهات برمجة التطبيقات وأجزاء أخرى من البنية التحتية أيضًا إلى أن هذا المسار سيكون حدثًا محدودًا.
واختتمت فعالية Bluebank Bug Bunty الثانية بحضور 80 خبيرًا في الأمن السيبراني وتسجيل 19 تقريرًا صالحًا؛ فعالية تنافس فيها خبراء الأمن لتحديد نقاط الضعف في التطبيق الأزرق. يقول مديرو هذا البنك الرقمي أنه لا يمكن إضافة الأمان في نهاية تطوير المنتج، ويخططون لتوسيع نطاق هذه الاختبارات لتشمل واجهات برمجة التطبيقات وأجزاء أخرى من النظام الأساسي. وبحسب السفير أرجان، في مجال الخدمات المصرفية الرقمية، تعتمد ثقة العملاء على شيء لا يتم رؤيته عادة؛ أمن البنية التحتية التي من المفترض أن تحمي أمواله ومعلوماته ومعاملاته اليومية. عند تحويل الأموال أو الحصول على الأموال، يتوقع العميل أن تسير الأمور بسلاسة من خلال بضع نقرات على شاشة الهاتف المحمول. لكن وراء هذه التجربة البسيطة، هناك مجموعة من العمليات الفنية والأمنية التي يجب مراجعتها بشكل مستمر. تم عقد حدث Bluebank Saman Bugbunty الثاني بنفس النهج. برنامج قام فيه باحثون في مجال الأمن السيبراني بفحص التطبيق الأزرق لتحديد نقاط الضعف المحتملة. وبحسب المعلومات التي تم الإعلان عنها في الحفل الختامي، فقد شارك 1465 شخصًا في مسابقة CTF عبر الإنترنت، وفي مرحلة Bugbunty، قام 80 خبيرًا في شكل 25 فريقًا بمراجعة الطلب خلال يومين. وكانت نتيجة هذه العملية تسجيل 19 تقريراً أمنياً صالحاً. Bugbunty هي إحدى طرق تقييم أمان المنتجات الرقمية، حيث تقوم الشركات بدعوة الباحثين الأمنيين لتحديد نقاط الضعف المحتملة في منتجاتهم والإبلاغ عنها بشكل مسؤول. تساعد هذه الطريقة الشركات على التعرف على الثغرة الأمنية قبل أن تصبح تهديدًا خطيرًا واتخاذ الإجراءات اللازمة لإصلاحها.
ثقة 28 مليون مستخدم؛ مسؤولية تفوق العدد
وفي الحفل الختامي لحدث Bugbunty الثاني من هذه السلسلة، اعتبر رضا حيدري، الرئيس التنفيذي لشركة Blue، أن ثقة المستخدم هي إحدى أهم مسؤوليات الخدمات المصرفية الرقمية وأكد على ضرورة مراعاة الأمن منذ بداية تصميم المنتج وحتى وقت استخدامه. وأشار إلى تجربة المستخدمين في استخدام التطبيقات المصرفية، وقال: «الثقة في الخدمات المصرفية الرقمية تتشكل خلف شاشة الهاتف المحمول، فبلمسات قليلة يتوقع المستخدم الحصول على الخدمات التي يحتاجها بأمان وسلاسة وتجربة مناسبة». وتذكر الحيدري أهمية المال في حياة الناس اليومية، واعتبر أن مسؤولية مقدمي الخدمات المصرفية تتجاوز مجرد توفير إمكانية إجراء المعاملات. ووفقا له، فإن الأموال المحفوظة في الحسابات المصرفية قد تكون نتيجة عمل تجاري، أو مدخرات الأسرة، أو جزء من مستقبل الأطفال. كما أعلن الرئيس التنفيذي لشركة Blue عن ثقة 28 مليون شخص وقال إن هذا الرقم ليس مجرد مؤشر إحصائي، ولكن خلف كل مستخدم هناك ثقة وتوقع يخلق المزيد من المسؤولية للمجموعة. ومن وجهة النظر هذه، فإن الأمن في الخدمات المصرفية الرقمية ليس مجرد مسألة فنية في وحدة تكنولوجيا المعلومات؛ بل هو جزء من التزام المجموعة تجاه العملاء الذين عهدوا بممتلكاتهم وجزء من حياتهم اليومية إلى خدماتها.
لماذا لا يمكن إضافة الأمان إلى المنتج في النهاية؟
كانت إحدى النقاط الرئيسية في خطاب الرئيس التنفيذي لشركة Blue هي ضرورة الاهتمام المستمر بالأمن في جميع مراحل تطوير المنتج. وشدد حيدري على أنه لا ينبغي إضافة الأمان إلى المنتج كميزة منفصلة في نهاية عملية التطوير. وقال: "ليس الأمر وكأننا نبني تطبيقًا أو منتجًا ونضيف إليه الأمان مثل التوابل في النهاية. يبدأ الأمن بالتصميم والهندسة المعمارية، ويستمر في التطوير، والاكتشاف المسؤول لنقاط الضعف هو جزء من هذه العملية." يعد هذا النهج مهمًا لأن المنتجات الرقمية لا تظل ثابتة حتى بعد إصدارها. يمكن أن يؤدي تغيير القدرات وتطوير البنية التحتية وتحديث البرامج وتغيير أساليب الهجوم إلى تحويل الوضع الأمني للمنتج. ولذلك، فإن التقييم الأمني للمنتج في وقت الإصدار لا يشكل ضمانًا لأمنه في الأشهر والسنوات التالية. وفي إشارة إلى هذا الموضوع، اعتبر الحيدري أن النشاط في المجال الأمني هو عملية مستمرة ليس لها نهاية محددة وتتطلب المراجعة والتحسين المستمر. كما وصف دور الباحثين الأمنيين بأنه مكمل لأنشطة المطورين الداخليين. وبحسب الرئيس التنفيذي لشركة Blue، فإن فريق التطوير عادةً ما يعرف المسارات المتوقعة لاستخدام المنتج، لكن الباحث الأمني يحاول إيجاد مسارات أخرى ربما لم يتم أخذها في الاعتبار أثناء التصميم والتطوير.
وفي شرحه لهذا الاختلاف، قال حيدري: "يعرف المطور إلى أين سيذهب العميل بهذه النقرات، لكن الباحث الأمني يفكر في المسارات الأخرى التي يمكن أن تؤدي إليها هذه النقرات". ليس بالضرورة أن تنتهي كل النقرات في المسار الذي تصورناه." وتكمن أهمية هذا الرأي في أن الميزة قد تعمل بشكل جيد في ظل الظروف العادية، ولكن دمجها مع ميزات أخرى أو استخدامها في ظروف غير متوقعة يمكن أن يؤدي إلى إنشاء ثغرة أمنية. ويمكن أن يساعد اختبار الأمان المستقل في تحديد مثل هذه المواقف.
19 تقريرًا أصليًا؛ نهاية المنافسة أم بداية الإصلاح؟
وفي جزء آخر من الحفل، أعرب الرئيس التنفيذي لشركة Blue عن تقديره للجهود التي يبذلها الباحثون لتحديد نقاط الضعف وأكد على أهمية العملية التي تتم قبل تقديم التقرير؛ عملية تتضمن التجربة والخطأ والتحقق من المسارات المختلفة ومحاولة الوصول إلى نتيجة. وأكد حيدري أن التقرير الأمني ليس مجرد صفحة أو صفحتين، بل هو نتيجة سلسلة من الفحوصات والجهود الفنية. إلا أن القيمة النهائية لهذه التقارير تعتمد على الإجراءات التي يتم اتخاذها بعد استلامها. وقال: "هذه التقارير هي مجرد بداية القصة، ونحن بحاجة إلى مراجعتها واتخاذ الإجراءات اللازمة ومعرفة كيف يمكننا استخدامها بأفضل طريقة". وفي الحقيقة فإن تسجيل تقرير صحيح لا يعني نهاية العمل. وينبغي مراجعة النتائج من قبل الفرق المسؤولة، وينبغي تحديد أهميتها وتأثيرها المحتمل، وإذا تم تأكيدها، ينبغي اتخاذ التدابير اللازمة لتصحيح الثغرة الأمنية. إلى جانب هذه التدابير، يمكن لإعادة التقييم أيضًا تحديد ما إذا كان التصحيح قد حل المشكلة أم لا. ووجد حيدري أن نتيجة هذا التعاون واضحة في التجربة اليومية للعملاء؛ ومع ذلك، لا يتم عادةً إعلام المستخدمين بتقارير الأمان وتفاصيل التصحيحات. وقال: "لا يرى العملاء تقاريرك، ولكن يمكننا رؤية نتائجها براحة البال التي يتمتعون بها عند استخدام التطبيق واستلام المدفوعات وتحويل الأموال". وشدد الرئيس التنفيذي بلو أيضًا على الحاجة إلى إنشاء ثقافة يعتبر فيها تحديد نقاط الضعف والإعلان عنها جزءًا من عملية تحسين المنتج بدلاً من التسبب في القلق أو المقاومة. ومن وجهة نظره، فإن قبول وجود نقاط الضعف وإتاحة الإبلاغ عنها بشكل مسؤول هو نوع من الاستثمار لزيادة الأمن.
من المنافسة عبر الإنترنت إلى مراجعة التطبيق الأزرق
وفي الحفل الختامي، قدمت بريما محمدبور، مدير التدقيق الرئيسي في Bluebank Saman، مزيدًا من التفاصيل حول هيكل حدث Bugbunty الثاني لهذه المجموعة. ووفقا له، فإن شركة Blue تتابع بشكل جدي الأنشطة في مجال الأمن السيبراني على مدار العامين الماضيين، وقد أقيم حدث هذا العام كاستمرار لبرنامج العام الماضي. ومع ذلك، فقد تغير هيكل عقد وطريقة اختيار المشاركين مقارنة بالدورة السابقة. وأوضح محمد بور أن الدورة الأولى عقدت علناً العام الماضي وشاركت فيها مجموعة متنوعة من قراصنة القبعة البيضاء وخبراء الأمن السيبراني في تحديد التحديات الأمنية المحتملة للتطبيق الأزرق. لكن هذا العام، في الفترة الثانية، تم تصميم العملية في جزأين منفصلين، وكان الجزء الرئيسي من باغبانتي، على عكس العام الماضي، خاصًا وقائمًا على الدعوة بشكل أساسي. الجزء الأول كان عبارة عن مسابقة CTF عبر الإنترنت "Capture the Flag". في هذا النوع من المسابقات، يجب على المشاركين حل مجموعة من التحديات التقنية خلال فترة زمنية معينة والحصول على شارة معينة مخصصة لكل تحدي. وبحسب توضيح مدير التدقيق الرئيسي في بلوبانك سامان، فقد شارك في هذه المسابقة 1465 خبيراً في مجال الأمن السيبراني. كان الغرض من عقد CTF، بالإضافة إلى حل التحديات التقنية، هو إنشاء مسار لتحديد وإدخال المتخصصين في مرحلة Bugbunty. تم اختيار المشاركين في المرحلة الثانية من ثلاث مجموعات: الفائزون والخبراء الذين تم تحديدهم في مسابقة CTF، والأشخاص الذين كان لهم مشاركة فعالة في فترة Bugbunty Blue السابقة، وشخصيات معروفة في مجتمع الأمن السيبراني. وأخيراً تمت دعوة 80 باحثاً للمشاركة في مرحلة بوغبونتي. قام هؤلاء الأشخاص، في شكل 25 فريقًا، بمراجعة تطبيق Blue Banking في غضون يومين لتحديد نقاط الضعف والمشكلات الأمنية. وأعلن محمد بور أن هذه المراجعات أدت إلى تسجيل 19 بلاغاً صحيحاً. وبحسب قوله، فقد تم اختيار ثلاثة فرق كفرق مختارة لتقديم أهم التقارير وتم تكريمهم في الحفل الختامي. سيحصل المشاركون المؤهلون الآخرون أيضًا على جوائزهم من Blue. كما أعلن عن التغيير في هيكل الجوائز مقارنة بالفترة السابقة، وقال إن جوائز قسم CTF لهذا العام تعتبر ذهبية.
وأشار جمال غضنفري، نائب الرئيس الفني الأول لشركة بلوبانك، إلى التغييرات الفنية في الصناعة المصرفية والحاجة إلى توسيع التقييمات الأمنية. ووفقا له، فإن استخدام تقنيات مثل بنية الخدمات الصغيرة، والذكاء الاصطناعي، والأتمتة يسمح بزيادة مرونة العمليات وتحسين تجربة المستخدم؛ ولكنه في الوقت نفسه يزيد من تعقيد البنية التحتية ونطاق الأجزاء التي تحتاج إلى فحص أمني. وفي مثل هذه الحالة، يصبح التقييم الأمني المستمر أكثر أهمية. وأشار غضنفري إلى ضرورة الحفاظ على ثقة المستخدمين والالتزام بمتطلبات الهيئة الرقابية، وقال إن الاختبار المستمر هو أحد الشروط الضرورية لضمان أمن الخدمات. وأوضح: "أحد الشروط الضرورية هو الاختبار المستمر. برنامج مثل BugBunty هو أحد الطرق التي نعرض بها أنفسنا للاختبار بشكل مستمر". وأشار نائب الرئيس الفني الأول لشركة BlueBank أيضًا إلى أن المؤسسات قد تكون واثقة من صحة قراراتها الفنية، ولكن يمكن للمراجعة المستقلة أن تكشف عن نقاط الضعف التي لم يتم تحديدها مسبقًا. وقال إن شركة بلو حاولت إخضاع منتجاتها لتقييم الخبراء الخارجيين على الرغم من هذه المخاوف. وينبغي استخدام تعاون مجتمع الأمن السيبراني لتحسين المنصة. وذكر غضنفري أن الهدف من هذا التعاون هو تطوير نظام بيئي للخدمات المصرفية الحديثة والمرنة والقابلة للتطوير وطلب من الباحثين الإبلاغ عن نقاط الضعف ونقاط الضعف غير المعروفة بطريقة آمنة ومسؤولة. ومع ذلك، فإن نطاق مراجعات الأحداث لهذا العام كان مقتصرًا بشكل أساسي على التطبيق الأزرق. وبحسب نائب الرئيس الفني الأول لشركة بلوبانك، فقد تم اقتراح توسيع هذا البرنامج ليشمل أجزاء أخرى في الفترة السابقة، لكن ظروف البلاد وأحداث العام الماضي حدت من تنفيذه. وفي شرحه لبرنامج Blue المستقبلي، قال: "برنامجنا هو إعطاء المزيد من العمق لـ Bugbunty وتوسيعه ليشمل واجهات برمجة التطبيقات العامة وغير العامة والأجزاء الأخرى التي يوفرها تطبيق Blue." واجهات برمجة التطبيقات (APIs) هي واجهات تتيح الاتصال بين البرامج وتوفر خدمات مختلفة. وفي منصة الخدمات المصرفية الرقمية، يمكن أن تكون هذه الواجهات جزءًا من مسار تقديم الخدمة للتطبيقات والأنظمة الأخرى. يمكن أن تساعد المراجعة الأمنية الخاصة بهم، جنبًا إلى جنب مع تقييم التطبيق نفسه، في تحديد نقاط الضعف التي لا تكون مرئية بالضرورة من خلال الاستخدام العادي لواجهة المستخدم. إن توسيع BugBunty ليشمل هذه القطاعات، إذا تم تنفيذه، سيوسع نطاق التقييم الأمني لـ Blue إلى ما هو أبعد مما يراه المستخدم مباشرة على شاشة الهاتف المحمول. يعد حدث BugBunty Blue الثاني، بعد المنافسة المتخصصة، جزءًا من مسار السلسلة لتعزيز أمن الخدمات المصرفية الرقمية وتطوير التعاون مع مجتمع المتخصصين في الأمن السيبراني. أتاحت مشاركة 80 باحثًا وتسجيل 19 تقريرًا صالحًا فرصة تحديد النقاط التي يمكن تحسينها والتحسين المستمر للمنصة الزرقاء. تُظهر خطة المجموعة لتوسيع BugBunity إلى واجهات برمجة التطبيقات وأجزاء أخرى من البنية التحتية أيضًا أن هذا المسار لا يقتصر على حدث واحد.
وفي نهاية المطاف، فإن هدف هذه الجهود بسيط ولكنه مهم: يمكن للمستخدمين استخدام الخدمات الرقمية بثقة أكبر وتدعم ثقتهم تطوير الخدمات المصرفية الرقمية من خلال التحسين المستمر للأمن وجودة الخدمة.