واکنش شرکت شاپرک به گزارش کیهان و پاسخ ما
پس از انتشار گزارش مستند کیهان با عنوان «اهدای کلید اطلاعات بانکی ایران به آمریکا» و افشاء خطرات انعقاد قرارداد با اصلی‌ترین دشمن ایران، شرکت شبکه الکترونيک پرداخت کارت (شاپرک)، پس از هفته‌ها عدم شفافيت در خصوص این قرارداد، بالاخره روز يکشنبه 12 ارديبهشت ماه، با انتشار مطلبي، ضمن تاييد اصل عقد قرارداد با شرکت SAS، نسبت به مسائل مطروحه پاسخی ارائه کرد.
هر چند جوابیه مذکور پیش از این در اقدامی غیرحرفه‌ای در سایت شاپرک منتشر شد، اما کیهان مطابق قانون پاسخ کامل شاپرک و استدلال‌های تخصصی در رد کامل آن را در ادامه می‌آورد:
جوابیه شاپرک
با توجه به اخبار منتشر شده در برخي رسانه‌ها در خصوص عقد قرارداد با يک شرکت آمريکايي و ابراز نگراني در مورد نشت اطلاعات، لازم به توضيح مي داند که نرم افزار SAS يک نرم افزار تحليل آماري و مدلسازي عمومي است که داده‌هاي آزمايشي و غير حساس را تحليل کرده و امکان مدلسازي فرآيندهاي تشخيص را در محيطي ايزوله به کارشناسان مربوطه مي دهد. اين نرم افزار روي سامانه هاي برخط و داده هاي اصلي نصب نشده و تهديدي امنيتي را متوجه سامانه هاي حساس بانکي نمي کند.
ضمن اينکه قرارداد موصوف با شرکت آمريکايي منعقد نشده و اين قرارداد با يکي از نمايندگان رسمي اين شرکت که مديريت و مالکيت صد در صد ايراني دارد، بسته شده است.
شرکت شاپرک از رسانه هاي محترم درخواست مي کند پيش از انتشار اخبار و ايجاد نگراني در سطح جامعه، با مشاوره گرفتن از کارشناسان و مطالعه عمومي در مورد موضوع بحث، تحليل دقيقتري از موضوع ارايه دهند.
پاسخ کیهان
1-در جوابیه شاپرک که به امضای مدیرعامل این شرکت رسیده، اطلاعات صحیحی در مورد شرکت آمریکایی «SAS” به چشم نمی‌خورد. تخصص شرکت نرم افزاری شهیر مذکور، «داده کاوی» برای دستیابی به مدل و ایجاد «هوش‌مصنوعی» تحلیل گرا است. یعنی حرفه این شرکت، استفاده از بانک‌های اطلاعات خام و داده‌های به ظاهر معمولی سازمان‌ها و شرکت‌ها و دولت‌ها برای دستیابی به سیستم «پیش‌بینی رفتار» است. غیراز این اگر بود، نرم‌افزارهای تولیدی شرکت آمریکایی مورد بحث تا این اندازه پرهزینه و مهم نبود و صرفاً اصل قرارداد زیرمجموعه بانک مرکزی با SAS زیر سوال بود!
پس در شاخه مهم علم «داده کاوی»، اولا چیزی به نام «داده‌های ساده و غیرمهم» نداریم و ثانیا بحث مذکور توجیهی برای «نقض گسترده حریم خصوصی ایرانیان» با برون سپاری وظایف به کشوری با جدی‌ترین نیات و اهداف خصمانه نمی‌تواند باشد.
2-برون سپاری مسئولیتی ملی، به شرکتی خارجی قانونا تنها در شرایطی قابل پذیرش است که اولا تولیدکنندگان داخلی از توان رقابت با محصول خارجی برخوردار نباشند و ثانیا روند برون سپاری مورد تجزیه و تحلیل امنیتی قرار گرفته باشد. صرفا در چنین شرایطی است که مجوزهای لازم برای عقد قرارداد با چنین دامنه اطلاعاتی مهمی، صادر می‌شود.
در شرایطی که بنا بر اطلاعات کارشناسان موضوع، دستیابی به نرم افزار مشابه برنامه تولیدی شرکت آمریکایی، با سرمایه گذاری اندک داخلی قابل حصول است، هدف از عقد بی‌سر و صدای قرارداد مذکور چه بوده است؟ آیا مطالعات پیرامونی برای شناسایی توانمندی رقبای داخلی انجام شده؟ آیا مناقصه‌ای در سطح داخلی و سپس بین‌المللی پیش از برون سپاری پرونده به شرکت SAS برگزار شد؟ براساس کدام اصول، شرکتی «آمریکایی» در دوره تحریم و جنگ لفظی و حقوقی گسترده دولت ایران و آمریکا، برای حل مشکل سیستم بانکی کشور، انتخاب شد؟
مطابق اظهارنظر صريح سردار جلالي رئيس سازمان پدافند غيرعامل کشور، خريد نرم افزارهاي حياتي در صورت نداشتن مشابه خارجي، نيازمند بررسي کارشناسان سازمان پدافند غيرعامل است و شرکت شاپرک مجوز خريد نرم‌افزار آمريکايي را نداشته است. مجوزهای امنیتی چنین عملیات پرخطری که با نقض قطعی امنیت ملی و حریم خصوصی ایرانیان همراه است، دقیقا از کدام مراکز ذی صلاح کسب شده است؟
3- به اذعان صریح کارشناسان موضوع مدلسازی با «داده هاي آزمايشي و غيرحساس» در فاز یادگیری(LEARNING) ممکن نیست، چرا که انطباق نرم افزار طراحی شده با سیستم را نمی‌توان تضمین کرد. به همین جهت است که نرم افزار کشف تقلب در سیستم بانکی ایران نیازمند «داده‌های ایرانی» و نقض حریم خصوصی مردم، سازمان‌ها و مراکز و امنیت بانک‌های اطلاعاتی کشورمان است. حتی به فرض محدود‌سازی داده‌ها و استفاده از سناریوهای فرضی برای طراحی نرم افزار بومی، اصل صورت مسئله یعنی برون سپاری پروژه‌ای با درجه حساسیت بسیار بالای امنیتی به شرکتی آمریکایی، توجیه پذیر نخواهد بود، چرا که امکان نظارت بر سیستم به علت اشراف حداکثری شرکت تخصصی آمریکایی به نرم افزار نهایی، حداقلی خواهد بود.
سوال دیگر این است که اگر قرار بود نرم‌افزار در محيط ايزوله اجرايي شود، چه لزومي به استقرار سریع و بی‌خبر کارشناسان شرکت آمریکایی در محل شرکت شاپرک بود؟ بنابر اطلاعات موثق، کارشناسان خارجي شرکت مذکور، که عموما هندي و پاکستاني هستند، در چند مرحله استقرار کامل در شرکت شاپرک و مصاحبه با کارشناسان توانسته‌اند معماري کلي شبکه بانکي کشور، نحوه ارتباطات شبکه اي، شماي کلي توزيع شدگي فيزيکي سرورهاي شبکه شتاب و شاپرک، پروتکل هاي امنيتي بين آنها و موارد ديگري از اين دست را براي خود مستندسازي نمايند تا به دفتر مرکزي شرکت خود ارسال نمايند. آيا اينها مصداق ايزوله بودن و صرفا نگراني از نشت اطلاعات است؟!
4-کساني که با الفباي تجارت خارجي آشنايي دارند مي دانند که شرکت هاي بزرگ و چندمليتي از طريق نمايندگي هاي خود که براي هر منطقه جغرافيايي مشخص مي کنند، با مشتريان ارتباط می‌گیرند. اين موضوع نفي‌کننده هويت اصلي شرکت نيست. نمايندگي، عملا نقش يک واسط و سيستم ارتباطي را دارد و تهيه و توليد نرم افزار و تحليل اطلاعات فقط و فقط در دفتر مرکزي شرکت انجام مي شود. در ثاني ايراني تبار بودن نماينده شرکت آمريکايي، اثبات‌کننده چیست که بر آن تاکيد شده است؟!
5- به نظر می‌رسد همان طور که پیش از این به مخاطبین گرامی کیهان اعلام شد، عقد چنین قراردادهای مشکوکی میان شرکت‌های آمریکایی و برخی از مدیران دولتی کشورمان، در دوره‌ای که هنوز از چارچوب تحریم‌های پولی و بانکی و ارتباطی ایران به شدت صیانت می‌شود، صرفا با هدف «نفوذ» صورت می‌گیرد. هدف از دسترسی سریع و بی‌واسطه به بانک‌های اطلاعاتی حساس کشور طبیعتا مدلسازی رفتار اقتصادی نهادها و مراکز حساس و نظامی در کنار تسلط بر الگوهای کسب و کار و سبک زندگی ایرانیان با هدف ضربه زدن به جامعه ایرانی است. با این احتساب قرارداد بانک مرکزی با SAS را نیز می‌توان بخشی از پروژه آمریکایی «اشغال سایبری ایران» به شمار آورد. طرح هوشمندی که هم اکنون در حوزه ارتباطات نیز به واسطه ضعف نهادهای ملی از جمله وزارت ارتباطات و شورای عالی فضای مجازی و وزارت اطلاعات به سرعت در حال اجرایی شدن است و با تکمیل حلقه‌ها، دور جدیدی از تحریم‌های ضد ایرانی را رقم خواهد زد. بدیهی‌ترین انتظار از دستگاه‌های امنیتی معرفی و محاکمه متهمین این پرونده مهم حوزه امنیت ملی است.