Заключение

Известно, что в настоящее время отечественные кредитные организации зачастую не уделяют должного внимания вопросам управления рисками в области информационных технологий. Вместе с тем, можно предположить, что ожидаемое дальнейшее обострение конкуренции в отечественной финансово-кредитной сфере, связанное, в частности, с предстоящим вступлением России в ВТО, а также с предполагаемыми структурными изменениями в банковском секторе, послужит дополнительным стимулом к более широкому внедрению информационных технологий в банковскую деятельность, которое неизбежно приводит к повышению уровня ряда основных банковских рисков. Таким образом, необходимость управления рисками в области информационных технологий на сегодняшний день представляется очевидной. При этом, для достижения поставленных целей система управления рисками кредитной организации должна удовлетворять определенным требованиям.

Эффективная система управления рисками в области информационных технологий предполагает определение ролей всего персонала кредитной организации, включая руководство, сотрудников службы информационной безопасности, специалистов подразделения информатизации, а также пользователей автоматизированных ресурсов.

Система управления рисками в области информационных технологий должна обеспечивать защиту от основных угроз информационной безопасности кредитной организации, а именно, угроз нарушения конфиденциальности, целостности, доступности, а также своевременности предоставления информации - критически важного ресурса любого банка, - при этом, для нейтрализации этих угроз должны быть разработаны и приняты контрмеры в отношении всех информационных активов, а также бизнес-процессов кредитной организации.

Обязательным в системе управления рисками в области информационных технологий являются процедуры проверки соответствия выбранных контрмер целям и задачам обеспечения информационной безопасности и, в случае необходимости, разработка мер по оптимизации уровня рисков.

В представленной работе предложены практические рекомендации по оценке эффективности системы управления рисками кредитной организации в области информационных технологий, которые могут применяться при проведении проверок.

При разработке практических рекомендаций широко использовался отечественный и международный опыт, отраженный в ряде известных стандартов, посвященных вопросам обеспечения информационной безопасности.

По мнению автора, в ходе проверки оценку эффективности системы управления рисками кредитной организации в области информационных технологий необходимо проводить по следующим основным направлениям.

Во-первых, следует осуществить анализ положений действующей в кредитной организации политики информационной безопасности, которая должна определять принципы построения системы управления рисками в области информационных технологий, а также цели и основные требования обеспечения информационной безопасности.

Во-вторых, необходимо оценить организацию процесса управления информационными рисками.

В-третьих, следует проверить практические аспекты реализации управления рисками в области информационных технологий.

В-четвертых, необходимо осуществить оценку установленных кредитной организацией процедур контроля соответствия требованиям информационной безопасности.

Для проведения оценки эффективности системы управления рисками кредитной организации в области информационных технологий автором предложен систематизированный в соответствии с указанными направлениями перечень показателей.

Также в настоящей работе представлена методика, позволяющая вынести качественную оценку уровня эффективности системы управления рисками кредитной организации в области информационных технологий на основе заполненного в ходе проверки перечня показателей.

Практическое применение данных рекомендаций при проведении проверок позволит, по мнению автора, оценить эффективность системы управления рисками кредитных организаций в области информационных технологий с точки зрения нормативных требований, а также положений отечественных и международных стандартов, посвященных организации обеспечения банковской информационной безопасности. Кроме того, в ходе использования разработанных рекомендаций представляется возможность, с одной стороны, получить статистические данные, иллюстрирующие различные аспекты управления информационной безопасностью отечественного банковского сектора, а с другой стороны, продолжить деятельность по дальнейшему совершенствованию подхода, предложенного в данной работе.

Автор также надеется, что результаты исследования будут использованы в процессе создания нормативно-методической базы, посвященной вопросам оценки эффективности управления информационными рисками в кредитных организациях.

Список использованной литературы

1. Закон Российской Федерации от 23.09.1992 №3523-I «О правовой охране программ для электронных вычислительных машин и баз данных».

2. Федеральный закон от 02.12.1990 №395-I «О банках и банковской деятельности».

3. Федеральный закон от 10.07.2002 №86-ФЗ «О Центральном банке Российской Федерации (Банке России)».

4. Федеральный закон от 20.02.1995 №24-ФЗ «Об информации, информатизации и защите информации».

5. Федеральный закон от 10.01.2002 №1-ФЗ «Об электронной цифровой подписи».

6. ГОСТ Р ИСО/МЭК 15408-1-2002. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель.

7. ГОСТ Р ИСО/МЭК 15408-2-2002. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности.

8. ГОСТ Р ИСО/МЭК 15408-3-2002. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия безопасности.

9. ГОСТ Р ИСО 9000-2001. Системы менеджмента качества. Основные положения и словарь.

10. ГОСТ 34.003-90. Автоматизированные системы. Термины и определения.

11. Государственная техническая комиссия при Президенте РФ. Руководящий документ. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации.

12. Государственная техническая комиссия при Президенте РФ. Руководящий документ. Защита от несанкционированного доступа к информации. Термины и определения.

13. Государственная техническая комиссия при Президенте РФ. Руководящий документ. Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации.

14. Положение Банка России от 16.12.2003 №242-П «Об организации внутреннего контроля в кредитных организациях и банковских группах».

15. Инструкция Банка России от 25.08.2003 №105-И «О порядке проведения проверок кредитных организаций (их филиалов) уполномоченными представителями Центрального банка Российской Федерации».

16. Инструкция Банка России от 01.12.2003 №108-И «Об организации инспекционной деятельности Центрального банка Российской Федерации (Банка России)».

17. Указание Банка России от 01.03.2004 №1390-У «О порядке информирования кредитными организациями Центрального банка Российской Федерации об использовании в своей деятельности интернет-технологий».

18. Указание оперативного характера Банка России от 03.02.2004 №16-Т «О рекомендациях по информационному содержанию и организации WEB-сайтов кредитных организаций в сети Интернет».

19. Указание оперативного характера Банка России от 23.06.2004 №70-Т «О типичных банковских рисках».

20. Стандарт Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения», принят и введен в действие Распоряжением Банка России от 18.11.2004 №Р-609.

21. Сборник терминов и определений, применяемых в ИТС Банка России (проект). - М.: 2002.

22. Система внутреннего контроля в банках: основы организации. Базельский комитет по банковскому надзору, Базель, сентябрь 1998.

23. Управление операционным риском. Базель, сентябрь 1998.

24. Галатенко В.А. Стандарты информационной безопасности. - М.: ИНТУИТ.РУ «Интернет-университет Информационных Технологий», 2004. - 328 с.

25. Грачева М.В. Банковская система в развитых странах: некоторые проблемы цифровых технологий. - М.: Ось-89, 2003. - 92 с.

26. Деднев М.А., Дыльнов Д.В., Иванов М.А. Защита информации в банковском деле и электронном бизнесе. - М.: КУДИЦ-ОБРАЗ, 2004. - 512 с.

27. Зима В.М., Молдовян А.А., Молдовян Н.А. Безопасность глобальных сетевых технологий. - СПб.: БХВ-Петербург, 2003. - 368 с.

28. Конеев И.Р., Беляев А.В. Информационная безопасность предприятия. - СПб.: БХВ-Петербург, 2003. - 618 с.

29. Петренко С.А., Симонов С.В. Управление информационными рисками. Экономически оправданная безопасность. - М.: Компания Айти; ДМК Пресс, 2004.-328 с.

30. Василец В.И. Практика обеспечения экономической безопасности акционерного общества. // Защита информации. Конфидент, №5, 2004.

31. Велигура А.Н. Информационная безопасность кредитной организации. // Банковские технологии, №10, 2004.

32. Голованов В.Б., Каминский В.Г., Алексеев М.В. Стандарты ИСО/МЭК 15408 и ИСО/МЭК 17799: что дальше? // Защита информации. Конфидент, №4, 2004.

33. Комарова Н., Потапова Н. Тайны банковского двора. // Национальный банковский журнал, №10, 2004.

34. Курило А. О стандартизации подходов к обеспечению информационной безопасности. // Банковское дело в Москве, №№10,11, 2003.

35. Мельников Ю., Теренин А. Политика безопасности в банке. // Банковские технологии, №10, 2004.

36. Шатунов В.М., Бабков И.Н. Обучение персонала как составная часть проблемы обеспечения информационной безопасности энергосистемы. // Защита информации. Конфидент, №3, 2004.

37. Терновая Н. Информация под защитой. // Финанс., №44, 2004.

38. BS 7799-2-2002. Information security management systems. Specification with guidance for use.

39. ISO/IEC IS 17799-2000. Information technology. Code of practice for Information security management.

40. Risk management principles for electronic banking. Basel Committee on Banking Supervision, July 2003.

41. www.bdm.ru материалы WEB-сайта.

42. www.citforum.ru материалы WEB-сайта.

43. www.cnews.ru материалы WEB-сайта.

44. www.techcom3623.ru материалы WEB-сайта.

Приложение

Пример списка управляющих воздействий на режим информационной безопасности

Пример оценки тяжести последствий нарушения режима информационной безопасности

Размещено на Allbest.ru