Система управления рисками банка в области информационных технологий

Как было показано в параграфе 1.1, широкое использование кредитными организациями информационных технологий обуславливает повышение уровня ряда банковских рисков, прежде всего, операционного, стратегического, правового и репутационного. При этом, представляется возможным выделить общую предметную область исследования, объединяющую эти изменения уровней основных рисков. Такой областью является банковская информация — очевидно, критически важный ресурс любого кредитно-финансового учреждения. Информация, а также информационные технологии, которые поддерживают деятельность кредитной организации, обеспечивая сбор, хранение, обработку, передачу и использование данных с применением средств вычислительной техники, являются специфической средой, генерирующей изменения в структуре основных банковских рисков.

Как известно, под банковским риском понимается возможность (вероятность) понесения кредитной организацией потерь вследствие наступления неблагоприятных событий, связанных с внутренними и/или внешними факторами [19]. При этом, кредитная организация может понести потери вследствие реализации той или иной угрозы — совокупности внутренних и внешних условий и факторов, которые стали причиной возникновения неблагоприятных событий. Таким образом, банковский риск можно определить как вероятность понесения кредитной организацией потерь вследствие успешной реализации той или иной угрозы.

С точки зрения предметной области исследования, можно выделить основные виды угроз кредитной организации, возникающих в связи с использованием информационных технологий, которые определяют главные направления повышения уровня основных банковских рисков.

Угрозы организационного характера возникают как следствие неэффективных управленческих решений и проявляются в несоответствии информационных систем, в том числе систем информационной безопасности, направлениям бизнеса кредитной организации. К средствам нейтрализации данных видов угроз относятся наличие в банке планов по развитию информационных технологий, соответствующий статус руководителей службы автоматизации (Chief Information Officer, CIO) и службы информационной безопасности (Chief Information Security Officer, CISO) с делегированием достаточных прав и наделением необходимых обязанностей в рамках организационно-штатной структуры банка, регулярные совещания по вопросам обеспечения информационной безопасности с участием руководства, наличие разработанных правил и процедур, периодическое обучение пользователей/сотрудников банка, надлежащее ведение документации и др.

Угрозы со стороны внешней инфраструктуры проявляются в качестве причины того, что АБС и ее компоненты не соответствуют стратегическим целям развития кредитной организации. К механизмам противодействия этим угрозам можно отнести периодическое проведение анализа текущей архитектуры АБС (программно-аппаратного комплекса, его физических и логических компонентов) на предмет соответствия стратегии банка и перспективным тенденциям развития ИТ, стратегические и тактические планы модернизации АБС, технико-экономическое обоснование политики закупок аппаратных и программных средств, включая средства защиты информации (СЗИ), наличие методологии проектирования, разработки и внедрения информационных систем и т. п.

Рассмотренные виды угроз организационного характера и внешней инфраструктуры могут быть объединены в общий вид — угрозы нарушения своевременности предоставления информации.

Угрозы нарушения целостности информации выступают в качестве причины того, что информационная система либо ее отдельный компонент/компоненты не будут соответствовать выполнению целей либо функций конкретного подразделения или кредитной организации в целом, при этом, поставляемая пользователям информация может быть модифицирована либо уничтожена. К мерам противодействия данным видам угроз можно отнести соблюдение требований нормативно-правовой базы в области применения информационных технологий, строгую реализацию последовательности этапов разработки и/или внедрения АБС, контроль вносимых изменений в программно-аппаратные составляющие АБС, планирование мощности вычислительных средств и количества пользователей, постоянный мониторинг эффективности использования ресурсов, принятие мер по обеспечению информационной безопасности на всех этапах жизненного цикла АБС и т. д.

Угрозы нарушения конфиденциальности информации реализуются, в частности, в виде неавторизованного и/или несанкционированного доступа (НСД) к информации в процессе ее создания, передачи, обработки либо хранения, что может привести к раскрытию, модификации, использованию данных в целях, противоречащих интересам кредитной организации. Существующие механизмы нейтрализации указанных угроз обеспечивают защиту данных на физическом либо логическом уровне, кроме того, обязательной является разработка системы организационных мероприятий по защите информации от НСД.

Угрозы нарушения доступности информации проявляются в качестве причины того, что необходимая для бесперебойной работы кредитной организации и принятия управленческих решений информация не сможет быть предоставлена на регулярной основе. К средствам нейтрализации данных видов угроз относятся регулярное резервное копирование всей важной информации, создание резервных центров обработки и хранения данных, принятие мер по физической безопасности средств обработки и хранения информации, эффективная антивирусная защита, наличие плана выхода из чрезвычайной/аварийной ситуации с проведением его регулярного тестирования и др.

Специфические виды угроз, перечисленные выше, очевидно, требуют со стороны кредитной организации разработки и осуществления эффективных контрмер противодействия. Вследствие этого, представляется возможным ввести понятие информационного риска (ИР) — вероятность успешной реализации той или иной угрозы, возникающей в связи с использованием информационных технологий, которая может привести к нарушению целостности, конфиденциальности, доступности либо своевременности информации как критически важного ресурса кредитной организации.

Очевидно, что риски в области ИТ, или информационные риски, не могут быть выделены в качестве отдельного вида банковского риска. Вместе с тем, их уровень оказывает влияние на уровень основных банковских рисков, к которым, как было сказано выше, относятся, прежде всего, операционный, стратегический, правовой и репутационный.

Непрерывный контроль и постоянное ограничение информационных рисков обеспечивают информационную безопасность (ИБ) банка — состояние защищенности интересов и целей кредитной организации в информационной сфере, при котором уровень рисков в области информационных технологий находится на приемлемом с точки зрения эффективного и устойчивого функционирования организации уровне.

Обеспечение ИБ кредитной организации является одной из важных составляющих стратегии развития бизнеса предприятия, обязательным элементом которой является механизм управления рисками, в особенности, управления рисками в области ИТ — комплекс управленческих, организационных, технологических, профилактических и контролирующих мероприятий и процедур, обеспечивающих своевременное выявление, анализ, измерение и контроль за основными видами информационных рисков, разработку и осуществление эффективных контрмер по их ограничению, принятие в результате разумного уровня остаточных рисков.

Таким образом, система управления информационными рисками представляет собой неотъемлемую часть общей системы управления рисками кредитной организации, при этом ее эффективность сильно зависит от ряда административных и организационных факторов.

Во-первых, важную роль играет роль и место службы ИБ в организационной структуре организации. Согласно исследованию международной аудиторской фирмы KPMG за 2002 год, в наиболее благополучных с точки зрения ИБ западных коммерческих структурах функцией обеспечения ИБ занимается отдельное подразделение, наделенное полномочиями и имеющее поддержку высшего руководства компании. При этом почти в половине «успешных» компаний ответственность за ИБ закреплена за советом директоров, что наиболее характерно для финансового сектора. Действительно, непосредственное участие TOP-менеджмента организации требуется для корректного определения и постановки «правильных» целей и задач в области ИБ, позволяющих без ущерба для бизнеса компании грамотно управлять информационными рисками. Кроме того, как правило, только руководство организации способно поддержать обеспечение ИБ надлежащим уровнем инвестирования и другими необходимыми ресурсами.

В большинстве российских компаний, в том числе финансового сектора экономики, ранее (а зачастую и сейчас) проблемой ИБ организации занимались отделы и службы автоматизации. Однако, сегодня ведущие отечественные компании уже идут путем выделения подразделения ИБ в отдельную службу с соответствующими организационными, кадровыми и финансовыми изменениями. При этом создаются две ключевые позиции специалистов, ответственных за ИБ: CISO (Chief Information Security Officer) — директор службы ИБ, который отвечает, главным образом, за разработку и реализацию политики безопасности компании, адекватной целям и задачам бизнеса; BISO (Business Information Security Officer) — менеджер службы ИБ, занимающийся практической реализацией политики ИБ на уровне конкретного подразделения, например, казначейства, службы маркетинга или автоматизации. При этом, статус CISO становится адекватным, то есть равным статусу ведущих TOP менеджеров, отвечающих за стратегическое развитие компании. Главная задача CISO — оценка информационных рисков организации и управление ими. Это предполагает, что данный специалист должен быть способен грамотно идентифицировать риски и управлять ими в соответствии с целями и задачами бизнеса организации и текущим уровнем ее развития. Дополнительную специфику вносит финансовая сфера деятельности кредитной организации, а также ее размер и стоимость информационных активов. При этом, представляется вполне разумным, чтобы CISO входил в верхний эшелон управления компанией и умел увязывать потребности бизнеса и требования безопасности с учетом степени развития ИТ, возрастающей активности разного рода злоумышленников, изменяющихся положений законодательства и нормативной базы, а также ожиданий клиентов и партнеров по бизнесу. В случае, если потребности бизнеса вступают в противоречие с требованиями ИБ, CISO должен быть в состоянии «переводить» технические вопросы на язык, понятный другим TOP менеджерам. В свою очередь, это означает, что в дополнение к солидному основному и дополнительному образованию, а также опыту работы в области информатизации и защиты информации CISO, несомненно, должен обладать некоторыми личностными качествами, например, аналитическим складом ума, способностями в сфере стратегического и операционного менеджмента, лояльностью к организации и пр.

Во-вторых, необходимо определить отношение кредитной организации к остаточным информационным рискам. При построении корпоративной системы ИБ следует понимать, что абсолютной 100-процентной защиты не существует, остаточные риски присутствуют при любом варианте создания либо реорганизации системы защиты информации. Понятно, что чем больше защищена АБС, тем меньше такие риски.

Настоящий собственник информационных ресурсов должен сам выбирать допустимый уровень остаточных рисков и нести ответственность за свой выбор. При этом, для кредитных организаций, как и прочих финансовых структур, информационные ресурсы являются критически важными и, следовательно, представляют существенную ценность. В этой ситуации руководству кредитной организации следует осознанно выбирать остаточные риски, производя анализ по критерию «стоимость-эффективность» различных вариантов защиты. Как следствие, затраты на выбор подсистем безопасности будут являться вполне обоснованными для руководства банка.

Таким образом, грамотно построенная система управления ИР позволяет эффективно решать задачи анализа рисков в области ИТ и управления ими, что является необходимым для определения перспектив развития и управления развитием современной отечественной кредитной организации.