Моделирование рисков банковской деятельности и информационной безопасности

Размещено на http://www.allbest.ru/

МОДЕЛИРОВАНИЕ РИСКОВ БАНКОВСКОЙ ДЕЯТЕЛЬНОСТИ И ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

Лосев В.С. - д-р экон. наук, проф., зав. кафедрой «Экономическая кибернетика»,

Пяткова Е.А. - магистрант кафедры «Экономическая кибернетика»

В современном мире, многие критически важные функции организации зависят от информационных технологий, способности управлять этой технологией и обеспечивать конфиденциальность, целостность и доступность информации. В статье раскрываются трудности банковской безопасности в современных условиях и значимость их разрешения. Рассматриваются стандарты, регулирующие процессы информационной защиты финансовых организаций, а также меры предотвращения часто возникающих рисков.

Ключевые слова: риск, банковская услуга, информационная безопасность, программные средства, информационные технологии.

Title: Modeling the Risks of Banking Activities and Information Security Authors' affiliation:

Losev V.S. - Pacific National University, Khabarovsk, Russian Federation

Piatkova E.A. - Pacific National University, Khabarovsk, Russian Federation

Abstract: In today's world, many essential functions of the organization depend on information technology, the ability to manage this technology and ensure the confidentiality, integrity and availability of information. The article reveals the difficulties of banking security in modern conditions and the significance of their resolution. It discusses the standards governing the processes of information protection of financial organizations, as well as measures to prevent frequently occurring risks.

Keywords: risk, banking service, information security, software, information technology.

В последнее время значительно расширяется сфера банковских услуг. При реализации функций банка протекают достаточно сложные информационные процессы, в которых используются самые разнообразные потоки информации. Все процессы банковской деятельности связаны в единый технологический цикл с выраженной последовательностью операций. При этом вся совокупность этих операций образует достаточно сложную систему, в которой реализуется взаимосвязь большого комплекса задач, каждая из которых имеет свою собственную микро-технологию [1].

В процессе своей деятельности банки сталкиваются с совокупностью различных видов рисков, отличающихся между собой местом и временем возникновения, внешними и внутренними факторами, влияющими на их уровень, и, следовательно, на способы их анализа и методы их описания. По мнению А.И. Уколова все виды рисков взаимосвязаны и в той или иной мере и оказывают воздействие на деятельность банка. Банковский риск - это ситуативная характеристика деятельности банка, отображающая неопределенность ее исхода и характеризующая вероятность негативного отклонения полученного в действительности результата от прогнозируемого уровня [2].

Риск присутствует в каждой процедуре (операции), только обладает различным масштабом нанесенного ущерба и по-разному компенсируется.

Современный подход к обеспечению безопасности требует создания целостной системы информационной безопасности, включающей в себя комплекс организационных, правовых, инженерно-технических и программно-аппаратных мер защиты, использующей современные методы прогнозирования, анализа и моделирования постоянно изменяющихся ситуаций.

Риски, с которыми сталкивается банк, можно разделить на три категории: риски события (бизнес-риски), финансовые риски и операционные риски [3].

Текущее состояние дел в области информационной безопасности организаций кредитно-финансовой сферы характеризуется [4]:

- ростом активности киберпреступности;

- увеличением масштабов хищения денежных средств с использованием уязвимостей в применяемых информационных технологиях;

- качественным изменением состава объектов атак киберпреступников, при котором атаки осуществляются непосредственно на кредитные организации

- ростом количества инцидентов в области информационной безопасности

Так же в последние годы в банковской деятельности назрела проблема обеспечения безопасности данных. Внутри организации следует сохранять такие параметры как:

- конфиденциальность (предотвращение несанкционированного доступа в режиме реального времени, в том числе к контролю управления процессами, изменяющими состояние данных).

- целостность (способность технической системы выполнять свои функции при отказе части компонентов в результате воздействия дестабилизирующих факторов и возвращаться в исходное состояние).

- устойчивость (по отношению к внутренним дестабилизирующим факторам определяется надежностью системы и ее компонентов (reliability), внешним дестабилизирующим факторам - живучестью системы и ее компонентов (resiliency))

Финансовое благополучие банков напрямую связано с поддержанием банковской и коммерческой тайны, а также с поддержанием соответствующего имиджа, который напрямую зависит от обеспечения достаточной защиты информации. Клиентам важно знать, что соблюдается конфиденциальность их персональных данных. Инвесторам необходима уверенность в том, что бизнес информационные активы организации защищены. Бизнес партнеры ожидают, что организация будет функционировать без сбоев, которые могут быть вызваны ошибками в работе информационных систем на всех стадиях их жизненного цикла, умышленными или неумышленными действиями персонала, вредоносным программным обеспечением и другими факторами.

В последние годы вследствие развития и распространению новых технологий предоставления банковских услуг кредитными организациями обстановка в банковском секторе изменилась радикально. Что касается российских стандартов, то в настоящее время особое внимание уделяется вопросам защиты информации в банковском секторе. Особенностями современных ИТ- среды, которая связывает предприятия и их подразделения, состоит в постоянно возрастающем уровне опасности из-за непрерывного увеличения частоты атак и постоянно ожесточающимися требованиями к времени реакции. Мнение авторов изложенные в книге сводиться к тому, что стандарты и законы, относящиеся к сохранению конфиденциальности и выполнению финансовых обязательств, заставляют руководство предприятий уделять больше внимания повышению эффективности управления информационной безопасностью предприятия [5].

При разработке программных средств систем контроля информационной безопасности необходимо руководствоваться двумя основными стандартами. Стандарт банка России РФ ГОСТ Р 57580.1-2017 «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер» введен в действие с 1 января 2018 года. Документ содержит требования к организации всех основных процессов информационной защиты финансовых организаций, включая противодействие вредоносному коду, утечкам информации, а также нарушению целостности информации. Стандарт банка России СТО БР ИББС-10-2014 ««Обеспечение информационной безопасности организаций банковской системы российской Федерации. Общие положения» определяет общую концепцию построения комплексной системы обеспечения информационной безопасности, общие требования по обеспечению ИБ, также требования к системе менеджмента ИБ.

Кредитные организации, двигателем работы которых считаются информационные потоки, находятся в постоянной неминуемой опасности. Каждому информационному процессу угрожают:

- предоставление недостоверных данных;

- использование ошибочных сведений;

- утечка конфиденциальной информации;

- уничтожение значимых сведений;

- модификация информации;

- блокирование доступа к нужной информации;

- несанкционированный допуск к секретным данным;

- шпионаж конкурирующих учреждений.

При проведении анализа состояния безопасности, выявлены четыре группы рисков, которые неблагоприятно влияют на работу банка (рис. 1).

Рис. 1. Внешние и внутренние угрозы для банка

Следуя выше изложенным угрозам в каждом банке должны быть разработаны, утверждены и реализованы правила сбора, обработки, хранения и использования информации, предназначенные для обеспечения финансовой стабильности и безопасности. Защищенность и гарантия целостности информации достигается путем соблюдения следующих правил [9]:

Во-первых, компьютерная безопасность подразумевает принятие технических и управленческих мер, которые гарантируют высококачественную работу абсолютно всех аппаратно-компьютерных систем, что дает возможность сформировать единый, целостный, доступный и засекреченный источник.

Во-вторых, защищенность данных. Защита информации от халатных, случайных, неавторизированных или предумышленных разглашений сведений или взлома системы. Применении различных криптографических преобразований защищаемой информации. Стойкость криптографических преобразований основана на секретности ключа дешифрования.

В-третьих, лицензированное программное обеспечение - это целый комплекс прикладных и общецелевых программных средств, нацеленных на предоставление безопасной работы всех систем и безопасную обработку данных.

В-четвертых, защищенность коммуникаций обеспечивается за счет аутентификации систем телекоммуникаций, предотвращающих доступность данных неавторизированным лицам, которая может быть выдана на телекоммуникационный запрос.

Управление информационной безопасностью - это комплексный, непрерывно выполняемый процесс, обязательно имеющий правовую, организационную, документальную и другие составляющие [10]. В современных условиях многое сделано для обеспечения информационной безопасности, но мало предложено по управлению теми защитными мерами, которые внедрены в организации. Зачастую организации не осознают, какие активы являются более критичными, какие риски связаны с этими активами и какие защитные меры необходимо запланировать. Все эти проблемы можно решить при эффективном управлении информационной безопасностью в организации за счет построения системы управления информационной безопасностью. Непрерывный мониторинг информационной безопасности определяется как ведение постоянной осведомленности об информационной безопасности, уязвимостях и угрозах для поддержки организационных решений по управлению рисками (таблица 1).

Стандарты требуют от предприятия развивать, внедрять и постоянно улучшать систему, целью которой является интеграция процесса по управлению рисками с руководством бизнес-процессов, которые включают управление стратегией и планированием, процессами отчетности, ценностями и культурой.

Таблица 1. Стандарты/рекомендации по информационной безопасности