لخّصلي

الفصل الخامس أولا: تمهيد حول المصرفية الالكترونية • يقصد بعبارة المصرفية الالكترونية الخدمات المصرفية التي تقدمها المصارف او ممثلوها عبر أجهزة تعمل تحت رقابة وإدارة مباشرة من المصرف او بموجب اتفاقية اسناد هذه المهمة لجهةاخري تعتبرالمصرفية الالكترونية مصطلح عام لعملية يمكن بواسطتها للعميل القيام بعمليات مصرفية الكترونية بدون زيارة الفرع • يشمل هذا المصطلح الأنظمة التى تمكن عملاء المصارف سواء افراد او شركات من الوصول الي حساباتهم او تنفيذ عملياتهم او الحصول علي معلومات تتعلق بمنتجات وخدمات مالية عبر شبكة عامة اوخاصة بما في ذلك شبكات الانترنت • تواجه المصارف تحدي التكيف والابتكار والتعامل مع الفرص التي تقدمها التطورات التقنية فقد استفادت المصارف وعملائها الي حد كبير من نمو المصرفية الالكترونية اذا اتاحت المصرفية الالكترونية للمصارف التوسع في تقديم الخدمات الي من يتعذر عليهم الوصول اليها وتقليص تكاليف العمليات وتحسين الفاعلية وتقديم خدمات مصرفية مباشرة • علي الجانب الاخر استفاد العملاء من الخدمات المصرفية الفعالة بتكاليف اقل نسبيا مع اتاحة خيار الاختيار من القنوات البديلة لتقديم الخدمات كما سهلت المصارف للالكترونية الانتقال السريع للاموال محليا وعبر الحدود نظرا لاهمية الموضوع أصدرت لجنة بازل للرقابة المصرفية في عام 2003 مبادي اداره المخاطر المصرفية الالكترونية والتي تتكون من 14 مبدا تتناول الاشراف الفعال علي المخاطر المصاحبة لنشاطات المصرفية الالكترونية والضوابط الأمنية وادار المخاطر القانونية ومخاطر السمعة • مخاطر المصرفية الالكترونية • أنواع التهديدات المرتبطة بالقنوات الالكترونية • طرق التصدي • دور المصارف المركزية والتنسيق مع السلطات الأخرى ثانيا:مخاطر المصارف الالكترونية لتحديد ماهية المخاطر من المفيد تحديد أنواع وخدمات المصرفية والالكترونية وتتمثل اهم الخدمات المصرفية الالكترونية وفقا للمواقع الالكترونية بما يلي: أ- المواقع الالكترونية للحصول علي المعلومات فقط تعرف هذه المواقع بانها تلك التي تتيح الدخول لغرض الحصول علي معلومات عن التسويق بشكل عام ومعلومات اخري متاحة للجمهور او لارسال رسائل بريدية الكترونية غير حساسة ويجب علي المصارف ضمان تحذير العملاء من المخاطر المحتملة المرتبطة بالرسائل البريدية الالكترونية غير المشفرة عبر وسيله كهذه ب-المواقع الالكترونية لنقل المعلومات تعد هذ المواقع تفاعلية من حيث انها تمكن من ارسال الرسائل او الوثائق او الملفات الحساسة فيما بين مجموعة من المستخدمين مثل موقع الكتروني لمصرف يتيح للعميل
تقديم طلب الحصول علي قرض او حساب ايداع عن طريق الانترنت وبما ان المخاطر الامنيه المتعلقه بالاتصال والانظمه تشمل خصوصيه وسريه البيانات وسلامه البيانات وعدم الانكار وتصميم نظام الدخول لذا من الضروري وضع بعض الطرق للتخفيف من حده المخاطر ج -المواقع الالكترونيه لاتمام تنفيذ العمليات تمثل هذه المواقع اعلي درجه للطاقه التشغيليه كما انها تنطوي علي مستويات مرتفعه من المخاطر المتحمله فهذه الانظمه توفر الإمكانات اللازمه للتقدم بطلب الحصول علي المعلومات وانظمه التحويل المعلومات الكترونيا بالاضافه الي الحصول علي الخدمات المصرفيه لتنفيذ العمليات عبر الانترنت وتوفر هذه الإمكانات عن طريق الارتباط التفاعلي بين اجهزه العملاء وبين الانظمه الداخليه للمصرف كما ان العديد من الانظمه تشمل من هذه الإمكانات علي ضوء ما تقدم فقد اوجدت الخدمات المصرفيه الالكترونيه تحديات لاداره المخاطر بالنسبه للمصارف وبالطبع تتاثر جميع المخاطر المرتبطه بالخدمات و المنتجات المصرفيه التقليديه بتطبيق تلك الخدمات وعلاوه علي ذلك هنالك فئات من المخاطر ذات صله بشكل خاص بالخدمات المصرفيه الالكترونيه تتمثل اهم المخاطر المصاحبه للخدمات المصرفيه الالكترونيه في مخاطر استراتيجيه وتشغيليه (عمليات ومخاطر تقنيه ومخاطر احتيال عبر الانترنت ومخاطر سمعه ومخاطر قانونيه) وفقا لما يلي :
هي المخاطر الناتجه عن قرارات عما غير ملائمه وتطبيق خاطئ للقرارات او قصور او عدم الاستجابه للتغيرات الحاصله في الصناعه المصرفيه ويجب ان تتوافق الخدمة المصرفيه مع استراتيجه المصرف الكليه ان تركز عمليه التخطيط اتخاذ القرارات علي كيفيه تصميم المصرفيه الالكترونيه وعمليه تطبيقها ومتابعتها ب ـ مخاطر تشغيليه (العمليات) تنشا المخاطر التشغيليه من الاحتيال واخطاء المعالجه وتوقف النظام وعدم القدره علي تقديم المنتجات والخدمات والمحافظه علي الوضع التنافسي وادراه المعلومات ولتقديم الخدمات المصرفيه الالكترونيه قد تعتمد المصارف علي اسناد مهام لشركات وبرمجيات خارجيه وتتطلب المصارف انظمه ملائمه الاداره المعلومات والسعه المناسبه لخدمات عملائها وانه من الضروري بالنسبه للمصارف تخطيط حالات الطوارئ واستئناف العمل لضمان قدرتها علي تقديم المنتجات والخدمات في الأحوال والظروف ج ـ مخاطره تقنيه هي المخاطر المتعلقه بتوقف العمل او خلل او تعطل النظام ناجم عن استخدام او اعتماد اجهزه الكمبيوتر والبرمجيات والاجهزه الالكترونيه وشبكات الانترنت بالاضافه الي انظمه الاتصال وان مثل هذه المخاطر قد ترتبط أيضا بتوقف النظام واخطاء المعالجه وخلل في البرمجيات واخطاء التشغيل وتعطل النظام وعدم ملاءمه السعه وضعف المراقبه وقصور في حمايه والهجمات بقصد الحاق الضرر و حوادث الاختراق واعمال الاحتيال ويجب علي المصارف مراقبه كل عنصر و عمليه تتعلق بانظمتها المصرفيه الالكترونيه ويمثل كل عنصر نقطه للمراقبه تؤخذ بعين الاعتبار وكذلك العناصر المتحمله التي يجب تقييمها بطريقه مناسبه قبل تطبيقها في بيئه المصرفيه الالكترونيه ويتاثر مستوي مخاطر العمليات بهيكل بيئه المعالجه للمصرف د ـ مخاطر الاحتيال عبر الانترنت يجب اخذ مخاطر الاحتيال البماشره عبر الانترنت بعين الاعتبار فالتخطيط غير القانوني للتحايل مثل هجمات المواقع المزوره والرسائل الالكترونيه وتزوير العناوين التي تتطلب افشاء معلومات شخصيه سريه وسرقه بيانات الهويه وتعرض المصرف لمخاطر عاليه له ولعملائه ويجب علي المصرف اتخاذ الإجراءات المناسبه لمنع حدوث خسائر نتيجة التعرض للاحتيال عبر الانترنت و القيام بالاجراء المناسب لحمايه عملائه ه ـ مخاطر السمعه تنشا مخاطر السمعه نتيجه لراي الجمهور السلبي ويمكن ان تتضرر سمعه المصرف بواسطه الخدمات المصرفيه الالكترونيه التي تنفذ بشكل سيئ والتي تتسب بطريقه او اخري في نفور العملاء ومن المهم ان يفهم العملاء ما يمكن ان يتوقعوه بشكل معقول من المنتج او الخدمه وما هي المخاطر والفوائد الخاصه التي تترتب عليهم استخدامهم لهذه المنتجات او الخدمات ويمكن ان تساعد رفع مستوي تثقيف العميل وتقليل مخاطر السمعه للمصرف وبطلب من المصارف التواصل بطريقه شفافه وواضحه مع عملائه وعلي المصرف وضع استراتيجيه فعاله للتواصل وـ مخاطره قانونيه هي مخاطر تنشا من الانتهاكات او عدم الالتزام بالقوانين والانظمه واللوائح والمعايير وتزيد الحاجه لضمان التوافق بين الإعلانات الورقيه الالكترونيه والافصاحات والاشعارات من احتمال حدوث مخالفه قانونيه وتساعد عمليه المتابعه المنتظمه لمواقع المصرف الالكتروني علي ضمان الالتزام بالقوانين والانظمه . المصرف هو المسؤول عن اداره المخاطر المذكورة أعلاه ويجب عليه ضمان ان اداره مخاطر المصرفيه الالكترونيه جزء لا يتجزا من مخاطر المصرف بشكل عام ونتيجه لذلك يجب تعزيز وتنفيذ السياسات وإجراءات اداره المخاطر بشكل يناسب خدمات المصرفيه الالكترونيه علاوه علي ذلك يجب علي المصرف ضمان ان انظمه وضوابط اداره مخاطر المصرف يتم تحديثها حسب ما هو ضروري لكي تواجه المشاكل المصاحبه للمصرفيه الالكترونيه تعتبر الطبيعه المعقده لتقنيه المعلومات خصوصا المستخدمه بواسطه الانترنت مثال(مخاطر مصاحبه الاستخدام الانترنت مخاطر ذات صله بالشركاء في سلسله تقديم الخدمات مثل مزودي الاتصالات بائعي ومقدمى الانظمه ومقدمي المنتجات والخدمات) ومن اهم الأسباب الرئيسيه التي توجب علي المصرفي انشاء اطار عمل سليما لاداره المخاطر ويجب تغطيه جميع الاعمال ذات صله ومجالات التشغيل والدعم التي لديه مسؤوليات الاداره مخاطر التقنيه علي الخطوط اوالمستويات الوظيفيه من خلال تقديم وتحديد الاولويه للمخاطر لكي يتسني اعداد استراتيجيه للتعامل مع هذه المخاطر والتخفيف من حدتها ان المخاطر المصاحبه لخدمات المصرفيه لخدمات الالكترونيه لسيت في الحقيقه جديده لكن الطرق المختلفهالتي تنشا من خلالها وحجمها واثارها المحتمله تتخذ ابعادا جديده ومن ناحيه اخري فان المخاطر الامنيه مثل تلك الي تتجلي في عمليات الهجوم لقطع الخدمه عن المستخدمين ليس لها سابقه او مقابل في الطريقه التقليديه لتنفيذ الاعمال قد تسبب انقطاعا حادا في عمليات المصرف مما يؤدي لخسائر فادحه لجميع الأطراف المتضررة يجب ان تغطي عمليه تحديد المخاطر تعين جميع أنواع التهديدات ونقاط الضعف والانكشاف الكامنه في هيكل المصرفيه الالكترونيه وجميع مكونات مثل الشبكات الداخليه والخارجيه والاجهزه والبرامج التطبيقات البرمجيه والعمليات و العناصر البشريه وخصوصا اثر سوء التصرف البشري وعلاوه علي ذلك يجب ان تغطي عمليه تحديد المخاطر بيئه المصرف الالكترونيه المباشره بالاضافه الي انظمه الدعم والمهام والاعتماد الفردي والمتبادل من اجل الحصول علي تقرير ملائم لحجم المخاطر يجب تقييم وحل المخاطر ذات الصله بعمليه اطلاق منتجات او خدمات جديده او إجراءات تعديلات اساسيه للمنتجات والخدمات الموجوده خلال مراحل عمليه وضع التصورات والتطوير ويجب ان تكون إجراءات التحكم بالمخاطرواجراءات امنيه قبل او خلال مرحله التطبيق يجب علي المصرف تحديد وتصنيف المخاطر ذات الصله بعمليات المصرف علي سبيل المثال اعتماد صيغه لتصنيف المخاطر وتحديد خطه تشمل السياسات والممارسات والإجراءات لمعالجه هذه المخاطر ومدي فعاليه الخطه علي أساس مستمر وتحديد عمليات لعمل اختبارات منتظمه وتحديث الخطه لمراعاه التغيرات التي تحدث في التقنيه والتطورات القانونيه وبيئه العمل (وتشمل التهديدات الخارجيه والداخليه لامن المعلومات ) ب ـ تحليل المخاطر و تحديد حجمها كما يجب موازانه تكاليف التحكم بالمخاطر والتخفبف من حدتها مقابل فوائد التي يمكن تحقيقها ويجب ان تتخذ المصارف قراراً يتعلق بالموارد التي تخصص لمهمه المراقبه انه من المهم التأكد من فعاليه الضوابط الداخليه بما في ذلك فصل المهام والرقابه الثنائيه والمطابقه حيث ان ضوابط امن المعلومات بشكل خاص أصبحت اكثر اهميه اذ تتطلب وجود إجراءات اضافيه أدوات وخبرات واختبارات ويجب علي المصارف تحديد مستوي الضوابط الامنيه بناء علي تقييمها للخدمه التي تقدمها علي حساسيه المعلومات بالنسبه للعميل والمصرف ومستوي تحمل المخاطر القائمه للمصرف د ـ متابعه المخاطر كما يجب القيام باختبارات مستمرة و مراجعه كفاءه و فعالية اجراءات ادارة المخاطر و الضوابط المصاحبة و الاجراءات الامنيه الساريه . وينصح كثيرا بان يقوم المصرف باجراءات برنامج تقييم شامل للمخاطر بواسطه طرف ثالث سنويا أـ استهداف البنيه التحتيه : استهدفت ابرز الهجمات الالكترونيه تعطيل البنيه التحتيه للمصرف ومن اشهر أنواع التهديدات الاتي : 1ـ البرمجات الخبيثه وتعطيل الخدمه الخدمات الخبيه ) (malware هي اختصار لكلمتين هما malicious software والبرمجيه الماكره او الخبيثه هي برمجيه تضمينها او ادراجها عمدا في نظام الحاسوب لأغراض ضاره فقد تستخدم لعرقله تشغيل الحاسوب جمع معلومات حساسه او الوصول الي انظمه الكمبيوتر الخاصه وعندما يتم تثبيت البرمجيه الخيثه فقد يكون من الصعب جدا ازالتها وبحسب درجه خطوره البرمجيه من الممكن ان يتراوح اذاها من ازعاج بسيط ( بعض النوافذ الاعلانيه غير المرغوب فيها خلال عمل المستخدم علي الحاسوب سواء كان متصلا ام غير متصل بشبكه حواسيب ) الي اذي غير قابل للإصلاح يتطلب اعاده تهيئه القرص الصلب علي سبيل المثال من الامثله علي البرمجيات الخبيثه الفيروسات واحصنه طرواده 2 ـاستغلال الثغرات ويسمي أيضا بالهجوم دون انتظار zero day attack وهوعبارة عن استغلال نقاط الضعف في برمجيات وثغراتها الأمنية خاصه غير المعروفة منها للعامة او حتي مطوريها في شن هجمات الكترونية وغالبا ما يتم استغلال هذه الثغرات بل وتشاركها بين القراصنة (hackers)بل ان تكتشفها الجهات المطورة للبرمجيات المصابة وتسمح المعرفة بالثغرة الأمنية من قبل المطورين لمستغليها الحصول علي فترة زمنية ينشر فيها ادواته الخبيثة لتحدث ضررا كبيرا لانه متي ما اكتشفت الثغرة الأمنية يسارع المطورون لسدها منخلال نشر برامج تصحيحيه وياتي مصطلح (zero day attack)من كون ان مستغل الثغرة الأمنية غير المعروفة لا يترك أي يوم يمر لبدء هجومه كونه في سباق مع الزمن وكلما تأخر اكتشاف الثغره منح ذلك مزيد من الوقت للمهاجمين في توسيع نطاق الهجوم واضافة ضحايا جدد -اغلب المستخدمين لا يلم بصفه عامة المخاطر الأمنية للهواتف الذكية ج-الرسائل المزيفة عبر وسائل الاتصال المختلفة (الاستدراج الالكتروني) :ان الاستدراج هو هجوم علي هوية شخص قد يكون عميلا لاحد المصارف ولقد جرت العادة علي اطلاق مصطلح"سرقة الهوية" علي هذا النوع من الهجمات لان غرض المهاجم هو الحصول علي البيانات الشخصية باستخدام تقنيات مختلفة كالمواقع الوهمية والرسائل الالكترونية المزيفة. الخ فالاستدراج الالكتروني هو عبارة عن نشاط اجرامي ينطوي علي محاولة الحصول علي معلومات حساسة كهوية المستخدم وكلمة السر وبيانات الحسابات عن طريق الاحتيال من خلال انتحال هوية صديق موثوق او شركة او مصرف في رسالة الكترونيه او موقع وهمي وتعبتر الشركات التي تقدم خدمات استثمارية علي الانترنت او المصارف الالكترونية مواقع مستهدفه لعمليات الاستدراج اما اكثر وسائل الاتدراج شيوعا فهي الرسائل الالكترونيه وغالبا ما تنطوي علي طلب للمستخدمين بالكشف علي تفاصيل شخصية عبر موقع وهمي وعلي الشبكه العنكوبتية وكذلك تتم عمليات الاستدراج باستخدام المكالمات الهاتفية والرسائل النصية خامسا: طرق التصدي تشمل اهم طرق التصدي ما يلي :

الفصل الخامس

أولا: تمهيد حول المصرفية الالكترونية
• يقصد بعبارة المصرفية الالكترونية الخدمات المصرفية التي تقدمها المصارف او ممثلوها عبر أجهزة تعمل تحت رقابة وإدارة مباشرة من المصرف او بموجب اتفاقية اسناد هذه المهمة لجهةاخري تعتبرالمصرفية الالكترونية مصطلح عام لعملية يمكن بواسطتها للعميل القيام بعمليات مصرفية الكترونية بدون زيارة الفرع
• يشمل هذا المصطلح الأنظمة التى تمكن عملاء المصارف سواء افراد او شركات من الوصول الي حساباتهم او تنفيذ عملياتهم او الحصول علي معلومات تتعلق بمنتجات وخدمات مالية عبر شبكة عامة اوخاصة بما في ذلك شبكات الانترنت
• تواجه المصارف تحدي التكيف والابتكار والتعامل مع الفرص التي تقدمها التطورات التقنية فقد استفادت المصارف وعملائها الي حد كبير من نمو المصرفية الالكترونية اذا اتاحت المصرفية الالكترونية للمصارف التوسع في تقديم الخدمات الي من يتعذر عليهم الوصول اليها وتقليص تكاليف العمليات وتحسين الفاعلية وتقديم خدمات مصرفية مباشرة
• علي الجانب الاخر استفاد العملاء من الخدمات المصرفية الفعالة بتكاليف اقل نسبيا مع اتاحة خيار الاختيار من القنوات البديلة لتقديم الخدمات كما سهلت المصارف للالكترونية الانتقال السريع للاموال محليا وعبر الحدود
• لقد فرضت هذه البيئة المالية المتغيرة تحديات جديدة علي المصارف والجهات الرقابية فقد ازداد اعتماد المصارف علي التقنية في بيئة عمل تنافسية بشكل متسارع وبالتالي يجب عليها إدارة امن تقنية المعلومات والمخاطر الأخرى المتعلقة بها وتواجه المصارف المركزية والسلطات الرقابية تحديات جديدة في الرقابة المصرفية

نظرا لاهمية الموضوع أصدرت لجنة بازل للرقابة المصرفية في عام 2003 مبادي اداره المخاطر المصرفية الالكترونية والتي تتكون من 14 مبدا تتناول الاشراف الفعال علي المخاطر المصاحبة لنشاطات المصرفية الالكترونية والضوابط الأمنية وادار المخاطر القانونية ومخاطر السمعة
تشكر اللجنة العربية للرقابة المصرفية مؤسسة النقد العربي السعودي علي جهودها في إعادة المسودة الاولي من الورقة وتهدف هذه الورقة الي الضوء علي ما يتعلق بسلامة وامن المعلومات المصرفية الالكترونية والمخاطر والتهديدات المرتبطة بها وطرق الحد من تاثيرها من خلال التركيز علي كل من النقاط التالية:

• مخاطر المصرفية الالكترونية
• طرق إدارة المخاطر
• أنواع التهديدات المرتبطة بالقنوات الالكترونية
• طرق التصدي
• دور المصارف المركزية والتنسيق مع السلطات الأخرى
ثانيا:مخاطر المصارف الالكترونية
لتحديد ماهية المخاطر من المفيد تحديد أنواع وخدمات المصرفية والالكترونية وتتمثل اهم الخدمات المصرفية الالكترونية وفقا للمواقع الالكترونية بما يلي:
أ- المواقع الالكترونية للحصول علي المعلومات فقط
تعرف هذه المواقع بانها تلك التي تتيح الدخول لغرض الحصول علي معلومات عن التسويق بشكل عام ومعلومات اخري متاحة للجمهور او لارسال رسائل بريدية الكترونية غير حساسة ويجب علي المصارف ضمان تحذير العملاء من المخاطر المحتملة المرتبطة بالرسائل البريدية الالكترونية غير المشفرة عبر وسيله كهذه
ب-المواقع الالكترونية لنقل المعلومات
تعد هذ المواقع تفاعلية من حيث انها تمكن من ارسال الرسائل او الوثائق او الملفات الحساسة فيما بين مجموعة من المستخدمين مثل موقع الكتروني لمصرف يتيح للعميل

تقديم طلب الحصول علي قرض او حساب ايداع عن طريق الانترنت وبما ان المخاطر الامنيه المتعلقه بالاتصال والانظمه تشمل خصوصيه وسريه البيانات وسلامه البيانات وعدم الانكار وتصميم نظام الدخول لذا من الضروري وضع بعض الطرق للتخفيف من حده المخاطر
ج -المواقع الالكترونيه لاتمام تنفيذ العمليات
تمثل هذه المواقع اعلي درجه للطاقه التشغيليه كما انها تنطوي علي مستويات مرتفعه من المخاطر المتحمله فهذه الانظمه توفر الإمكانات اللازمه للتقدم بطلب الحصول علي المعلومات وانظمه التحويل المعلومات الكترونيا بالاضافه الي الحصول علي الخدمات المصرفيه لتنفيذ العمليات عبر الانترنت وتوفر هذه الإمكانات عن طريق الارتباط التفاعلي بين اجهزه العملاء وبين الانظمه الداخليه للمصرف كما ان العديد من الانظمه تشمل من هذه الإمكانات
علي ضوء ما تقدم فقد اوجدت الخدمات المصرفيه الالكترونيه تحديات لاداره المخاطر بالنسبه للمصارف وبالطبع تتاثر جميع المخاطر المرتبطه بالخدمات و المنتجات المصرفيه التقليديه بتطبيق تلك الخدمات وعلاوه علي ذلك هنالك فئات من المخاطر ذات صله بشكل خاص بالخدمات المصرفيه الالكترونيه
تتمثل اهم المخاطر المصاحبه للخدمات المصرفيه الالكترونيه في مخاطر استراتيجيه وتشغيليه (عمليات ومخاطر تقنيه ومخاطر احتيال عبر الانترنت ومخاطر سمعه ومخاطر قانونيه) وفقا لما يلي :

أـ مخاطر استراتجيه
هي المخاطر الناتجه عن قرارات عما غير ملائمه وتطبيق خاطئ للقرارات او قصور او عدم الاستجابه للتغيرات الحاصله في الصناعه المصرفيه ويجب ان تتوافق الخدمة المصرفيه مع استراتيجه المصرف الكليه ان تركز عمليه التخطيط اتخاذ القرارات علي كيفيه تصميم المصرفيه الالكترونيه وعمليه تطبيقها ومتابعتها
ب ـ مخاطر تشغيليه (العمليات)
تنشا المخاطر التشغيليه من الاحتيال واخطاء المعالجه وتوقف النظام وعدم القدره علي تقديم المنتجات والخدمات والمحافظه علي الوضع التنافسي وادراه المعلومات ولتقديم الخدمات المصرفيه الالكترونيه قد تعتمد المصارف علي اسناد مهام لشركات وبرمجيات خارجيه وتتطلب المصارف انظمه ملائمه الاداره المعلومات والسعه المناسبه لخدمات عملائها وانه من الضروري بالنسبه للمصارف تخطيط حالات الطوارئ واستئناف العمل لضمان قدرتها علي تقديم المنتجات والخدمات في الأحوال والظروف
ج ـ مخاطره تقنيه
هي المخاطر المتعلقه بتوقف العمل او خلل او تعطل النظام ناجم عن استخدام او اعتماد اجهزه الكمبيوتر والبرمجيات والاجهزه الالكترونيه وشبكات الانترنت بالاضافه الي انظمه الاتصال وان مثل هذه المخاطر قد ترتبط أيضا بتوقف النظام واخطاء المعالجه وخلل في البرمجيات واخطاء التشغيل وتعطل النظام وعدم ملاءمه السعه وضعف المراقبه وقصور في حمايه والهجمات بقصد الحاق الضرر و حوادث الاختراق واعمال الاحتيال ويجب علي المصارف مراقبه كل عنصر و عمليه تتعلق بانظمتها المصرفيه الالكترونيه ويمثل كل عنصر نقطه للمراقبه تؤخذ بعين الاعتبار وكذلك العناصر المتحمله التي يجب تقييمها بطريقه مناسبه قبل تطبيقها في بيئه المصرفيه الالكترونيه ويتاثر مستوي مخاطر العمليات بهيكل بيئه المعالجه للمصرف
د ـ مخاطر الاحتيال عبر الانترنت
يجب اخذ مخاطر الاحتيال البماشره عبر الانترنت بعين الاعتبار فالتخطيط غير القانوني للتحايل مثل هجمات المواقع المزوره والرسائل الالكترونيه وتزوير العناوين التي تتطلب افشاء معلومات شخصيه سريه وسرقه بيانات الهويه وتعرض المصرف لمخاطر عاليه له ولعملائه ويجب علي المصرف اتخاذ الإجراءات المناسبه لمنع حدوث خسائر نتيجة التعرض للاحتيال عبر الانترنت و القيام بالاجراء المناسب لحمايه عملائه

ه ـ مخاطر السمعه
تنشا مخاطر السمعه نتيجه لراي الجمهور السلبي ويمكن ان تتضرر سمعه المصرف بواسطه الخدمات المصرفيه الالكترونيه التي تنفذ بشكل سيئ والتي تتسب بطريقه او اخري في نفور العملاء ومن المهم ان يفهم العملاء ما يمكن ان يتوقعوه بشكل معقول من المنتج او الخدمه وما هي المخاطر والفوائد الخاصه التي تترتب عليهم استخدامهم لهذه المنتجات او الخدمات ويمكن ان تساعد رفع مستوي تثقيف العميل وتقليل مخاطر السمعه للمصرف وبطلب من المصارف التواصل بطريقه شفافه وواضحه مع عملائه وعلي المصرف وضع استراتيجيه فعاله للتواصل
وـ مخاطره قانونيه
هي مخاطر تنشا من الانتهاكات او عدم الالتزام بالقوانين والانظمه واللوائح والمعايير وتزيد الحاجه لضمان التوافق بين الإعلانات الورقيه الالكترونيه والافصاحات والاشعارات من احتمال حدوث مخالفه قانونيه وتساعد عمليه المتابعه المنتظمه لمواقع المصرف الالكتروني علي ضمان الالتزام بالقوانين والانظمه . المصرف هو المسؤول عن اداره المخاطر المذكورة أعلاه ويجب عليه ضمان ان اداره مخاطر المصرفيه الالكترونيه جزء لا يتجزا من مخاطر المصرف بشكل عام ونتيجه لذلك يجب تعزيز وتنفيذ السياسات وإجراءات اداره المخاطر بشكل يناسب خدمات المصرفيه الالكترونيه علاوه علي ذلك يجب علي المصرف ضمان ان انظمه وضوابط اداره مخاطر المصرف يتم تحديثها حسب ما هو ضروري لكي تواجه المشاكل المصاحبه للمصرفيه الالكترونيه
ثالثا : طرق اداره المخاطر
تعتبر الطبيعه المعقده لتقنيه المعلومات خصوصا المستخدمه بواسطه الانترنت مثال(مخاطر مصاحبه الاستخدام الانترنت مخاطر ذات صله بالشركاء في سلسله تقديم الخدمات مثل مزودي الاتصالات بائعي ومقدمى الانظمه ومقدمي المنتجات والخدمات) ومن اهم الأسباب الرئيسيه التي توجب علي المصرفي انشاء اطار عمل سليما لاداره المخاطر ويجب تغطيه جميع الاعمال ذات صله ومجالات التشغيل والدعم التي لديه مسؤوليات الاداره مخاطر التقنيه علي الخطوط اوالمستويات الوظيفيه من خلال تقديم وتحديد الاولويه للمخاطر لكي يتسني اعداد استراتيجيه للتعامل مع هذه المخاطر والتخفيف من حدتها
أ ـ تحديد المخاطر
ان المخاطر المصاحبه لخدمات المصرفيه لخدمات الالكترونيه لسيت في الحقيقه جديده لكن الطرق المختلفهالتي تنشا من خلالها وحجمها واثارها المحتمله تتخذ ابعادا جديده ومن ناحيه اخري فان المخاطر الامنيه مثل تلك الي تتجلي في عمليات الهجوم لقطع الخدمه عن المستخدمين ليس لها سابقه او مقابل في الطريقه التقليديه لتنفيذ الاعمال قد تسبب انقطاعا حادا في عمليات المصرف مما يؤدي لخسائر فادحه لجميع الأطراف المتضررة
يجب ان تغطي عمليه تحديد المخاطر تعين جميع أنواع التهديدات ونقاط الضعف والانكشاف الكامنه في هيكل المصرفيه الالكترونيه وجميع مكونات مثل الشبكات الداخليه والخارجيه والاجهزه والبرامج التطبيقات البرمجيه والعمليات و العناصر البشريه وخصوصا اثر سوء التصرف البشري وعلاوه علي ذلك يجب ان تغطي عمليه تحديد المخاطر بيئه المصرف الالكترونيه المباشره بالاضافه الي انظمه الدعم والمهام والاعتماد الفردي والمتبادل من اجل الحصول علي تقرير ملائم لحجم المخاطر
يجب تقييم وحل المخاطر ذات الصله بعمليه اطلاق منتجات او خدمات جديده او إجراءات تعديلات اساسيه للمنتجات والخدمات الموجوده خلال مراحل عمليه وضع التصورات والتطوير ويجب ان تكون إجراءات التحكم بالمخاطرواجراءات امنيه قبل او خلال مرحله التطبيق
يجب علي المصرف تحديد وتصنيف المخاطر ذات الصله بعمليات المصرف علي سبيل المثال اعتماد صيغه لتصنيف المخاطر وتحديد خطه تشمل السياسات والممارسات والإجراءات لمعالجه هذه المخاطر ومدي فعاليه الخطه علي أساس مستمر وتحديد عمليات لعمل اختبارات منتظمه وتحديث الخطه لمراعاه التغيرات التي تحدث في التقنيه والتطورات القانونيه وبيئه العمل (وتشمل التهديدات الخارجيه والداخليه لامن المعلومات )
ب ـ تحليل المخاطر و تحديد حجمها
ان هذه المرحله عباره عن تحليل وفهم وتحديد حجم الأثر المحتمل وتبعات المخاطرالتى تم تحديدها على العمل و العمليات بشكل عام و تحديد الاولوية للمخاطر والقيام بتحليل تكلفه المنفعه واتخاذ قرارات لتخفيف حدة المخاطر
ج ـ معالجه المخاطر
يجب علي المصارف تقييم حجم الاضرار والخسائرالتي قد يتحملها المصرف عندوقوع مخاطر معينة ذات صلة . و يجب على المصارف تحمل الخسائر التى قد تحدث من دون تعريض سلامتها الماله واستقرارها للخطر .
كما يجب موازانه تكاليف التحكم بالمخاطر والتخفبف من حدتها مقابل فوائد التي يمكن تحقيقها ويجب ان تتخذ المصارف قراراً يتعلق بالموارد التي تخصص لمهمه المراقبه
انه من المهم التأكد من فعاليه الضوابط الداخليه بما في ذلك فصل المهام والرقابه الثنائيه والمطابقه حيث ان ضوابط امن المعلومات بشكل خاص أصبحت اكثر اهميه اذ تتطلب وجود إجراءات اضافيه أدوات وخبرات واختبارات ويجب علي المصارف تحديد مستوي الضوابط الامنيه بناء علي تقييمها للخدمه التي تقدمها علي حساسيه المعلومات بالنسبه للعميل والمصرف ومستوي تحمل المخاطر القائمه للمصرف

د ـ متابعه المخاطر
لمواجهه التغير المستمر الحاصل في بيئه المصرفيه الالكترونيه يجب علي المصرف انشاء اطار عمل لمتابعه المخاطر والالتزام علي أساس مستمر للتاكد من أداء وفعاليه وإجراءات ادارة المخاطر ، يجب تحديث اجراءات المخاطر و تعزيزها ، كما يجب تحديث اجراءات المخاطر و تعزيزها ، كما يجب القيام باختبارات مستمرة و مراجعه كفاءه و فعالية اجراءات ادارة المخاطر و الضوابط المصاحبة و الاجراءات الامنيه الساريه . وينصح كثيرا بان يقوم المصرف باجراءات برنامج تقييم شامل للمخاطر بواسطه طرف ثالث سنويا
رابعا : أنواع التهديدات المرتبطه بالقنوات الالكترونيه
تتمثل ابرز أنواع التهديدات المرتبطه بالقنوات الالكترونيه علي القطاع المصرفي بما يلي
أـ استهداف البنيه التحتيه : استهدفت ابرز الهجمات الالكترونيه تعطيل البنيه التحتيه للمصرف ومن اشهر أنواع التهديدات الاتي :
1ـ البرمجات الخبيثه وتعطيل الخدمه
الخدمات الخبيه ) (malware هي اختصار لكلمتين هما malicious software والبرمجيه الماكره او الخبيثه هي برمجيه تضمينها او ادراجها عمدا في نظام الحاسوب لأغراض ضاره فقد تستخدم لعرقله تشغيل الحاسوب جمع معلومات حساسه او الوصول الي انظمه الكمبيوتر الخاصه وعندما يتم تثبيت البرمجيه الخيثه فقد يكون من الصعب جدا ازالتها وبحسب درجه خطوره البرمجيه من الممكن ان يتراوح اذاها من ازعاج بسيط ( بعض النوافذ الاعلانيه غير المرغوب فيها خلال عمل المستخدم علي الحاسوب سواء كان متصلا ام غير متصل بشبكه حواسيب ) الي اذي غير قابل للإصلاح يتطلب اعاده تهيئه القرص الصلب علي سبيل المثال من الامثله علي البرمجيات الخبيثه الفيروسات واحصنه طرواده
ويستخدم قراصنه الانترنت أساليب عديده لاختراق او تعطيل شبكات الحاسوب المستهدفه وقد يكون ضرر بعض هذه الأساليب محدودا يقتصر علي سرقه معلومات محدده من حاسوب مستهدف وقد يكون مدمرا يؤدي الي تعطيل الشبكه بأكملها وتسريب بيانات مستخدميها وبريدهم الالكتروني ومن ابرزالقراصنه لتعطيل شبكات الحاسوب ما يعرف بهجوم الحرمان من الخدمه denial of sericeوهي هجمات تستهدف مؤسسات حكوميه او شركات كبري كالمصارف مثلا وهدفها جعل جهاز او شبكه حاسوب غير متاحه للمستخدمين المستهدفين أي حرمانهم من الخدمه التي تستضيفها خوادم الشبكه
2 ـاستغلال الثغرات
ويسمي أيضا بالهجوم دون انتظار zero day attack وهوعبارة عن استغلال نقاط الضعف في برمجيات وثغراتها الأمنية خاصه غير المعروفة منها للعامة او حتي مطوريها في شن هجمات الكترونية وغالبا ما يتم استغلال هذه الثغرات بل وتشاركها بين القراصنة (hackers)بل ان تكتشفها الجهات المطورة للبرمجيات المصابة وتسمح المعرفة بالثغرة الأمنية من قبل المطورين لمستغليها الحصول علي فترة زمنية ينشر فيها ادواته الخبيثة لتحدث ضررا كبيرا لانه متي ما اكتشفت الثغرة الأمنية يسارع المطورون لسدها منخلال نشر برامج تصحيحيه وياتي مصطلح (zero day attack)من كون ان مستغل الثغرة الأمنية غير المعروفة لا يترك أي يوم يمر لبدء هجومه كونه في سباق مع الزمن وكلما تأخر اكتشاف الثغره منح ذلك مزيد من الوقت للمهاجمين في توسيع نطاق الهجوم واضافة ضحايا جدد
ب- استهداف الهواتف الذكية:بعد ان أصبحت الهواتف الذكية والأجهزة اللوحية هي الطريقه الشائعه للمستخدمين للاتصال بالانترنت والتواصل مع بعضهم البعض ودخول الكثير من العملاء علي حسابتهم المصرفية او اجراء عمليات البيع والشراء من خلال الهواتف الذكية والاجهزه اللوحية بدا القراصنة والمهاجمون يركزون اهتمامهم علي اختراق هذه الاجهزه ويرتبط بهذا التهديد مجموعه من الحقائق التاليه :
-اغلب المستخدمين لا يلم بصفه عامة المخاطر الأمنية للهواتف الذكية
-انتشار استخدام الهواتف الذكية ادي الي زيادة لجوء القراصنة لبرمجه التطبيقات الخبيثة
-يلجا قراصنة المعلومات الي التحايل على مالكي الهواتف لتوجيههم علي تحميل تطبيق خاضع لسيطرتهم
-ويمكن خطر تهديدات الهواتف الذكية في تطبيقاتها الخاصة بدخول العملاء من خلالها لحساباتهم المصرفية مما يتيح الفرصه لقراصنة المعلومات المصرفية من الدخول علي تلك الحسابات او إصابة النظام الالكتروني للمصرف بالفيروسات التي تسبب عطل النظام اوبعض اجزاؤه
ج-الرسائل المزيفة عبر وسائل الاتصال المختلفة (الاستدراج الالكتروني) :ان الاستدراج هو هجوم علي هوية شخص قد يكون عميلا لاحد المصارف ولقد جرت العادة علي اطلاق مصطلح"سرقة الهوية" علي هذا النوع من الهجمات لان غرض المهاجم هو الحصول علي البيانات الشخصية باستخدام تقنيات مختلفة كالمواقع الوهمية والرسائل الالكترونية المزيفة... الخ
فالاستدراج الالكتروني هو عبارة عن نشاط اجرامي ينطوي علي محاولة الحصول علي معلومات حساسة كهوية المستخدم وكلمة السر وبيانات الحسابات عن طريق الاحتيال من خلال انتحال هوية صديق موثوق او شركة او مصرف في رسالة الكترونيه او موقع وهمي وتعبتر الشركات التي تقدم خدمات استثمارية علي الانترنت او المصارف الالكترونية مواقع مستهدفه لعمليات الاستدراج اما اكثر وسائل الاتدراج شيوعا فهي الرسائل الالكترونيه وغالبا ما تنطوي علي طلب للمستخدمين بالكشف علي تفاصيل شخصية عبر موقع وهمي وعلي الشبكه العنكوبتية وكذلك تتم عمليات الاستدراج باستخدام المكالمات الهاتفية والرسائل النصية

خامسا: طرق التصدي
تشمل اهم طرق التصدي ما يلي :
أ- التوعية بامن المعلومات المصرفية :تتمثل المهمه الاولي في امن المعلومات المصرفية في زيادة الوعي بامن المعلومات لدي كافه مستويات المجتمع في الاجهزه الحكومية والموسسات العامة والخاصة وكل الافراد المستخدمين والمتعاملين مع نظم المعلومات المصرفية والتعرف عل أهمية اهداف وامن المعلومات المصرفيه والممارسات السليمة
يجب علي المصارف ان تضع وتنفذ برامج توعوية مناسبة حول منتاجاتها وخدماتها المصرفية الالكترونية لضمان التعرف علي هوية العميل وتوثيقه قبل الدخول وتنفيذ عمليات مصرفية عن طريق الانترنت ولهذا الغرض تستطيع المصارف استخدام قنوات متعدده مثل المواقع الالكترونيية لضمان التعرف علي هوية العميل وتوثيقه قبل الدخول وتنفيذ عمليات مصرفية عن طريق الانترنت ولهذا الغرض تستطيع المصارف استخدام قنوات متعددة مثل المواقع الالكترونية علي الشبكة او الرسائل المطبوعة علي كشوفات العميل او المنشورات الترويجيه او الاتصال المباشر بالموظفين من خلال مراكز الاتصال الهاتفيه للمصارف
ب-كفاءه امن المعلومات((cyber threat intelligence:امن المعلومات هو عبارةعن مجموع الوسائل التقنية واللاداريه التي يتم استخدامه لمنع الاستخدام الغيرمصرح وسوء الاستغلال واستعادة المعلومات الالكترونية ونظم الاتصالات والمعلومات التي تحتويها بهدف ضمان توافر واستمرارية عمل نظم المعلومات وتامين حماية وسرية وخصوصيه البيانات الشخصية ولحماية المواطنين من المخاطر في الفضاء السيبراني
ج-اكتشاف وصد المواقع والرسائل المزيفة: للحد من هجمات المواقع والرسائل المزيفة علي المصارف توعية عملائها وموظفيها بأهمية الاجراءات التالية:
-مراجعة اعدادات بوابات البريد الالكتروني (email gateway)للتصدي لرسائل البريد الالكتروني الغير مرغوبة((phishing spam
-عدم مشركة عنوان البريد الالكتروني الا مع الأشخاص الموثوق بهم فقط
-عدم الرد علي رسائل البريد العشوائي التي تصل الي صندوق الوارد
-يجب الحذر عند ملء النماذج الموجودة علي الانترنت خاصة خانات الاختيار مثل نعم (اريد تلقي معلومات عن... في علبة الوارد)
-عدم مناقشة أي معلومات شخصية مهمه عبر المكالمات الهاتفية او رسائل البريد الالكتروني غير المرغوب فيها دون التحقق من مصداقيه المرسل
-يجب ان تكون علي دراية بان المصارف لن تطلب منك أي معلومات مهمه عن حسابك المصرفي عبر البريد الالكتروني
-التأكد من ان جهازك مزود باحدث برامج التصحيح المصدرة لتصحيح الثغرات الأمنية في التطبيقات وأنظمة التشغيل المثبتة علي جهازك
-توعية المستخدمين بعدم فتح رسائل تحتوي علي روابط او مرفقات من اشخاص غير معروفين
-استخدام أنظمة التشغيل المعتمدة والمحددة
د-اختبار الثغرات بشكل دوري :يعتبر القيام باعمال الكشف الدوري لاختبار الثغرات من اهم وسائل حماية امن المعلومات المصرفية وتعتبر احد الوسائل الأساسية للقيام بذلك هي عملية الترقيع وهي عباره عن عملية تقليل نقاط الضعف في الأنظمة واغلاق المداخل علي المخترقين بحيث تكون البرامج معدة بصفة متقنة وجيدة ومحدثة باخر الرقع والنسخ وتشمل التطبيقات والشبكات وأنظمة التشغيل التي تدير تلك الشبكات بحيث تكون التحديثات بشكل دوري ومستمر
1-الرقع الأمنيةsecurity patch: هي برامج حاسوبية الهدف منها هو اصلاح منتج معين وحمايتة من الناحيه الأمنية وسد الثغرات الأمنية
2-إدارة الرقع وسد الثغرات(patch management): هي عملية التحكم وإدارة البرامج والرقع الحاسوبية المثبته وطريقة تثبيتها والمتابعة المستمرة لاخر اصداراتها وطريقه انزالها علي الانظمه الموجوده ويجب علي مسئولي الامن عند اداره الرقع وسد الثغرات التأكد من عدم اتاحة فرص للمتطفلين في اختراق الانظمة والتي تشمل الاتي:
-تحديد الانظمه التي تحتاج رقع وعمل تحديثات معينه
-الاشتراك في الاستشارات وقوئم التنبيه والتحذيرات وهذه تبقيك علي اتصال بكل تحديث جديد او سد ثغرات لبرنامج معين
-مواقع منتجي الأنظمة والموردين
-القيام بالتوثيق
-تحديد وتقييم الثغرات الامنيه في كل برامج
-اختبار الرقع المصممه والتعديلات قبل انزالها ومن ثم استشعار واكتشاف الثغرات الجديدة والتي تكون هدفا للمهاجمين
ان عمليات الترقيع والترقيه من اهم العناصر الأمنية التي يجب علي المؤسسه المصرفية اخذها بعين الاعتبار وان تكون ذات أولوية لمسئولي الامن
ه-اكتشاف الثغرات : تقوم استراتيجية حماية البيانات في البيئه المصرفية علي ان اول الخطوات لمستخدمي التقنية هي تحصين النظام داخليا (الحاسوب الشخصي او الخوادم(servers )وذلك من خلال :
ـ اغلاق الثغرات الموجودة فى النظام ، عن طريق اختبارات فعالة للثغرات الامنية
ـ التأكد من تحديث الانظمة المستخدمة و متابعة ما تصدره الشركات من تعديلات لسد الثغرات التى تظهر فى النظم المستخدمة ، و يمكن ذلك عبر مواقع الشركات المعنية على الانترنت
ـ متابعه المواقع التىتكشف عن ثغرات البرمجيات و انظمة التشغيل و تعالج المشاكل الامنية
ـ استخدام البرامج المضادة للفيروسات مع دوام تطويرها و كذلك التأكيد من تقسيم الشبكة بشكل فعال
ـ عدم تشغيل برامج غير معروفة المصدر و الغرض ، مما يرد ضمن البريد الالكترونى او مواقع الانترنت
ـ ايجاد حلول تقنية للبنية التحتية التى تقوم بتحليل انشطة البيانات (traffic ) و اكتشاف الانشطة المشبوهة فى الشبكة
وتوفر البنوك الرقمية عدة فرص منها
التكامل مع منصات الدفع الالكترونى
البنوك الرقمية تتكامل مع منصات الدفع الالكترونى مما يسهل على الافراد اجراء المدفوعات واستلام الاموال عبر الانترنت وتشمل دفع الفواتير وتحويل الاموال والتسوق عبر الانترنت مما يعزز من راحة ومرونة العمليات المالية
الوصول الى شريحة اوسع من عملاء
حيث انها تستطيع الوصول الى عدد اكبر من العملاء عن طريق الهواتف المحمولة والبرامج التطبيقية الحديثة والسهلة دون الحاجه لتحرك العميل الى البنك مثل عميل البنك التقليدى
تخفيض التكاليف للخدمات المالية
وذلك بفضل بنية تحتية رقمية متطورة تمكنها من تقديم الخدمة المصرفية للعملاء من خلال رسوم مخفضة وجودة خدمة سريعة ومرنة

الخاتمة

فى الختام يتضح ان البنوك الرقمية تمثل تحولا جزريا فى عالم الخدمات المالية وتقدم فرصا كبيرة لتطوير القطاع المصرفى وتوسيع نطاق الخدمات المالية لتشمل شرائح اوسع من المجتمع ، والتحول الرقمى للمعاملات البنكية الالكترونية اصبح واقعا حتميا نراه اليوم والبنوك الرقمية بشكل عام تفيد القطاع المصرفي عموماً عبر جذب المزيد من العملاء، وتوفير المزيد من الخدمات الرقمية الذكية خاصة بعد جائحة «كوفيد - 19» التي سرعت التحول نحو الخدمات الرقمية، وأكدت أهميتها وفعاليتها ومع ذلك تظل التحديات المتعلقة بالامان والامتثال للقوانين من العقبات التى يجب التغلب عليها لضمان نجاح واستدامة هذه البنوك والمستقبل يبدو واعدا للبنوك الرقمية حيث من المتوقع أن تستمر فى النمو والابتكار لتلبية احتياجات العملاء فى عصر التقدم الرقمى الذى نعيشه وان ادارة واستخدام البيانات بشكل فعال ستصبح ميزة تنافسية كبرى فى عالم البيانات وستكون ضرورية للبنوك لرفع القدرات في مجالات التحليلات وستطلب ايضا التعديل المستمر لنماذج التشغيل للتوسع اكثر فى حياة العملاء والتوصل لتتحقيق ايرادات اكبر