فرایند امن‌سازی کانال یو‌اس‌اس‌دی برای ایجاد زمینه‌های فراهم‌کردن امنیت در ارائه خدمات پرداخت موبایلی بر بستر USSD، توسط شرکت شاپرک و پی‌اس‌پی‌ها در حال انجام است.

فرایند امن‌سازی کانال یو‌اس‌اس‌دی برای ایجاد زمینه‌های فراهم‌کردن امنیت در ارائه خدمات پرداخت موبایلی بر بستر USSD، توسط شرکت شاپرک و پی‌اس‌پی‌ها در حال انجام است.

به گزارش افتانا (پایگاه خبری امنیت فناوری اطلاعات)، محدودیت‌های ایجاد شده برای ارائه خدمات پرداخت موبایلی بر بستر USSD به بهانه امن نبودن شبکه اپراتورهای تلفن همراه همچنان مورد انتقاد کارشناسان است. آنها معتقدند که بانک مرکزی جمهوری اسلامی ایران باید توانمندی‌ خود را در حوزه قانون‌گذاری و تامین امنیت شبکه‌های پرداخت الکترونیک افزایش دهد تا در شرایطی که هر روزه امکان جدیدتری برای استفاده از فضای الکترونیک به‌وجود می‌آید کاربران از بهره‌مندی این قابلیت‌ها محروم نشوند. همچنین ادامه کار برای شرکت‌های واسط پرداختی که سال گذشته به دستور کمیته فیلترینگ فضای مجازی قوه قضاییه فیلتر شدند همچنان با ابهام مواجه است. 

داوود محمدبیگی، مدیر اداره نظام پراخت بانک مرکزی جمهوری اسلامی ایران، به برخی از انتقادها در این‌باره پاسخ گفت. در ادامه این گفت‌وگو را می‌خوانید. 

برخی از شرکت‌های پرداخت الکترونیک معتقدند که با محدود کردن کانال USSD ناچارند برخی از برنامه‌هایشان را که بر بستر این کانال تعریف کرده‌اند، معلق کنند. آنها می‌گویند بانک مرکزی به دلایلی همچون نا امنی این فضا چنین محدودیتی را ایجاد کرده‌است. کمی بیشتر درباره این محدودیت اعمال‌شده توضیح دهید.
محدودیت‌هایی که در حوزه پرداخت موبایلی اعمال شد به‌خصوص در بستر USSD اغلب در این راستا بود که ریسک ناشی از ارائه خدمات برای کاربران کاهش یابد هرچند که باید در نظر داشت میزان ریسک با اعمال محدودیت  به صفر نمی‌رسد. هنوز هم برخی انتقاد دارند که چرا سرویس خرید موبایلی محدود به 200هزار تومان است و نسبت به سرویس مانده‌گیری حساب که از آن جلوگیری شده‌است و محدودیت در فروش شارژ معترض هستند. مشکل اصلی از ابتدای شروع پروسه پرداخت موبایل بحث اطلاعات پرداخت مشتریان شبکه بانکی در بستر کانال‌های USSD بود که تبادل امن را به مخاطره می‌انداخت. همواره بانک مرکزی در پاسخ به انتقادات در این‌باره گفته اگر راهکاری مطمئن پیدا شود با فعالیت کانال USSD در بستری امن و پرداخت موبایلی مشکلی ندارد؛ بنابراین برای ایجاد زمینه‌های فراهم‌کردن امنیت در این فضا فرایند امن‌سازی کانال یو‌اس‌اس‌دی توسط شرکت شاپرک و پی‌اس‌پی‌ها در حال انجام است.

اما این فرایندی است که در دنیا تجربه شده و حالا  مسئله امنیت، کمتر موجب محدودیت در ارائه خدمات می‌شود. چرا ما همچنان در پیچ و خم تأمین امنیت الکترونیک هستیم؟
واقعیت این است که در دنیا با توجه به بالا بودن استفاده از تلفن هوشمند، ضریب نفوذ بالا و خطوط دیتا در بستر تلفن همراه از ثبات و سرعت بالایی برخوردار است و به همین علت در روش‌های پرداختی مانند USSD به‌خوبی اطلاع‌رسانی شده‌است و کمتر دچار اشکال می‌شوند اما در ایران با توجه به روند ضریب نفوذ تلفن هوشمند و ثبات دیتا در تلفن همراه استفاده از روش‌های USSD یا روش‌های اس ام اس در پرداخت سابقه طولانی ندارد و موارد استفاده از این قبیل سرویس‌ها در سال‌هایی که دوره گذار برای زیرسازی آماده‌سازی تجهیزات نام دارد، کمتر است. تمامی اعمال محدودیت‌ها در دوره گذار که در آن قرار داریم برای این است که مشتری دچار مشکل نشود.

با فراهم شدن زیرساخت آیا امکان برداشته‌شدن این اعمال محدودیت در آینده نزدیک هست؟
انجام پروژه امن‌سازی فضای زیرساخت این سرویس در دستور کار شرکت‌های پرداخت الکترونیک قرار دارد و اگر این کار به‌سرعت به سرانجام برسد که از امنیت آن مطمئن باشیم، محدودیت اعمال‌شده قابل برداشتن است. هرچند که به نظر می‌رسد اگر قرار به برداشته‌شدن محدودیت باشد و شرکت‌ها اجازه ارائه سرویس پرداخت داشته‌باشند بیش از ۸۰ تا ۹۰درصد استفاده از سرویس پرداخت روی کانال USSD خرید شارژ خواهد‌بود و می‌توان گفت که بخش جزئی از حجم سرویس به خرید یا پرداخت قبض مربوط است. از نظر آماری می‌توان دریافت که استفاده از سرویس پرداخت موبایلی به نسبت سایر دستگاه‌ها دارای حجم بالایی نیست. البته بانک مرکزی هم با توجه به گسترش ابزارهای همراه قصد دارد تا نحوه استفاده از چنین پرداخت‌هایی را تسهیل کند و موجبات پرداخت بدون مراجعه به پایانه‌های فروش را فراهم‌کند. به همین دلیل به‌دنبال برطرف کردن مشکلات با ارائه راهکارهای موقت هستیم هرچند معتقدم آمدن بستر اینترنت در تلفن همراه در سال‌های آینده محقق خواهد شد چون هنوز در برخی از نقاطی در کشور به‌خصوص در روستاها امکان دسترسی به خطوط اینترنت وجود ندارد.

اما کندی اعمال مقررات و نظارت بر سرویس‌های شبکه‌های پرداخت الکترونیک باعث شده تا برخی از آنها معتقد باشند که همواره این شبکه‌ها جلوتر از بانک مرکزی هستند و به‌طور مثال بانک‌ها یا شبکه‌های پرداخت الکترونیک پس از ارائه سرویس باید منتظر دستور‌العمل بانک مرکزی بمانند. این نظر می‌تواند در جایی درست و در جایی نادرست باشد. اگر می‌گوییم درست نیست به این دلیل است که مثلا سرویس علی بابا در چین بعد از ۸ سال در این کشور تحت قوانین و مقررات قرار گرفت و همچنین آمریکا نسبت به سرویس‌های جدیدی مثل سرویس پرداخت گوگل یا اپل پی موضع‌گیری دارند و این سرویس‌ها نتوانسته‌اند به بانک‌های مرکزی دنیا ورود پیدا کنند؛ بنابراین اگر قبل از ایجاد نوآوری در زمینه کسب‌وکار اعمال نگرش سخت‌گیرانه و اعمال قوانین داشته‌باشیم مانع نوآوری و خلاقیت می‌شویم. اعمال قانون پیش از ارائه ایده، بازار را محدود می‌کند چراکه با وجود قانون همه‌چیز باید در چارچوب قانون ارائه شود که این موضوع خود مانع ایجاد خلاقیت می‌شود؛ بنابراین سیاست‌گذاری و قانون‌گذاری کلان در حوزه پرداخت و ایجاد نوآوری این است که دنباله‌رو بازار باشیم.

البته روال همیشه این‌گونه نیست، به‌طور مثال در ارتباطات برون‌مرزی در شبکه کارت از ۸ ماه گذشته اعمال مقررات را شروع کردیم و خصوصا ۶ماه پیش از اجرایی‌شدن برجام ارتباط برون‌مرزی را آغاز کردیم، چراکه اگر شرایط و ویژگی‌های بازار قابل پیش‌بینی و رصد باشند و قانون‌گذار مطلع باشد بررسی و تدوین و قانون‌گذاری سریع‌تر برای بازار انجام می‌شود، بنابراین به‌دلیل تحول و نوآوری در بازار که نیازمند اعمال سیاست‌های جدید است، نمی‌شود ایراد گرفت که بانک مرکزی کُند عمل می‌کند. آنچه مهم است برای آسایش و امنیت مشتری هر دو این عوامل باید به نقطه تعامل برسند تا مجموع سیاست‌ها در این زمینه منجر به ارتقای کیفیت در حوزه پرداخت شود. در زمینه USSD این موضوع از چشم بانک مرکزی دور نبود، چراکه از سال ۸۷ توسط شرکت پی‌اس‌پی‌ها فعالیت در این بستر آغاز شده‌بود اما در واقع در بازاری که بر اساس این سرویس‌ها شکل گرفته‌است نیاز به تعامل و همکاری با تمامی ذی‌نفعان مانند اپراتورها، پی‌اس‌پی و شرکت‌های واسط داریم و تا وقتی‌که چنین تعاملی صورت‌نگیرد راحت‌ترین کار محدود‌کردن است تا جامعه با چالش و نگرانی عمده‌ای مواجه نشود.

درخصوص فعالیت شرکت‌های درگاه واسط نیز در سال گذشته بسیاری از این شرکت‌ها به دستور کمیته فیلترینگ مسدود و فیلتر شدند؛ با این دلیل که شرکت‌های واسط تخلفاتی داشته و یا مجوز فعالیت ندارند. موضع بانک مرکزی برای فعالیت این دست از شرکت‌ها چیست؟
درگاه‌های واسط یا اسامی مختلفی که برای این نوع کسب‌و‌کار وجود دارد از جمله شرکت‌های متمرکز‌کننده پرداخت خرد، کارشان در حوزه پرداخت الکترونیک بسیار جزئی و خرد است که البته فعالیت آنها مربوط به شروع به کار شرکت شاپرک نیست بلکه در چند سال اخیر و از سال ۸۸ آغاز شد که با توجه به نیاز بازار بعد از ورود شاپرک موضوع رسیدگی به فعالیت درگاه‌های واسط در مرکز توسعه تجارت الکترونیکی و شرکت شاپرک در دستور کار قرار گرفت. این درگاه‌های واسط با توجه به محدودیت‌هایی که برخی از سایت‌های خرید‌و‌فروش بعضا در ارائه خدمات داشتند، شروع به رشد کردند. مثلا شهروندی که علاقه به عکاسی دارد و دوست دارد در فضای اینترنتی به فروش آثارش بپردازد یا معلمی که جزوات آموزشی دارد و می‌خواهد آن را در سطح خرد به فروش برساند برای کسب‌وکار این افراد در فضای مجازی دو نوع فضا وجود داشته که یکی وبلاگ است و دیگری شبکه‌های اجتماعی که در دسترس هستند، بنابراین نقل و انتقال وجوهی که در قبال این خدمات باید پرداخت یا دریافت شود از طریق درگاه واسط انجام می‌شود. 

در حال حاضر بانک مرکزی و مرکز توسعه تجارت الکترونیکی مشغول تدوین قوانین و مقررات برای ارائه خدمت در این حوزه هستند که با توجه به هماهنگی‌هایی که با قوه قضاییه انجام شده دیگر این دست از خدمات به‌صورت نظام‌مند فعالیت خواهند کرد؛ هرچند این شرکت‌ها باید به‌صورت کامل الزامات و مقررات تعیین‌شده را رعایت کنند که تعیین خط‌مشی مناسب در این زمینه با همکاری مرکز توسعه تجارت الکترونیکی در حال تدوین است و به‌زودی از طریق شرکت شاپرک اعلام خواهد‌شد.

آیا فکر نمی‌کنید بررسی شرایط و تدوین مقررات کمی بیش از حد طولانی شده‌است؟
بله، نمی‌توان انکار کرد که بررسی این پروسه طولانی شده و زمان‌بر بوده‌است اما در نظر داشته‌باشید بررسی این مسئله نیازمند تهیه مجوز از بانک مرکزی است و چالش بعدی بررسی این مسئله با هم‌فکری مرکز توسعه تجارت الکترونیکی بود که چه مدل کسب‌و‌کار نظام‌مندی برای این دست از کسب‌وکارها لازم است. اخیرا ما به این مدل دست پیدا کردیم که در آینده نزدیک اطلاع‌رسانی می‌شود. مدلی که به‌وسیله آن مشتری‌ها با طیب‌خاطر سرویس بگیرند. هرچند پیش از این چند موضوع پرداخت موبایلی و اینترنتی و پرداخت اینترنتی در دستور کار پایانه‌های فرو‌شگاهی قرار دارد که از طریق درگاه‌های واسط و شاپرک با تدبیر مرکز توسعه تجارت الکترونیکی در حال انجام است.

آیا بانک مرکزی از موضوع فیلتر شدن شرکت‌های واسط در سال گذشته مطلع بوده و با هماهنگی شما فیلتر شدن سایت‌ها انجام شده‌است؟
قطعا با هماهنگی ما بوده است. بخش زیادی از تصمیمات در کارگروهی با حضور نمایندگان مرکز توسعه تجارت الکترونیکی، قوه قضاییه، بانک مرکزی و برخی دستگاه‌های دیگر در حوزه پرداخت صورت‌می‌گیرد. در زمینه فیلتر شدن شرکت‌های واسط پرداخت نیز اخیرا جلساتی برگزار شده و این کارگروه در روزهای پایانی کارش به سر می‌برد. ما در این کارگروه قصد داریم با جمع‌بندی نظرات به‌خصوص در حوزه قضایی که نگرانی‌های به‌جایی دارند، تصمیماتی برای ادامه کار این شرکت‌ها بگیریم. تصمیم بر این است که شرایطی ایجاد شود تا بر اساس آن تمامی سرویس‌ها در این سایت‌ها مطابق با قوانین و عرف و شرایط اجتماعی جامعه و مرکز توسعه تجارت الکترونیک فعالیت کنند. این قوانین تمامی ابهامات را درباره نحوه ارائه خدمات و ثبات خدمات و رعایت قوانین پرداخت‌های الکترونیک بانک مرکزی برطرف می‌کند. 

اتفاق سال گذشته نقطه عطفی بود تا این سه دستگاه سیاست‌گذار (بانک مرکزی، مرکز تجارت الکترونیکی و دستگاه قضایی) درباره سیستم پرداخت کشور و کسب‌وکار در حوزه الکترونیک به راهکاری واحد برسند و مشکل این سایت‌ها را حل کنند. در کنار آن باید هر سه حوزه این اطمینان را حاصل کنند که بر اساس قوانین و مقررات کشور از این فضا سوءاستفاده نمی‌شود.