Книги, научные публикации Pages:     | 1 | 2 | 3 | 4 |

Московский международный институт эконометрики, информатики, финансов и права Дик В.В. Логинов Е.А. Печенкин А.Е. Павлековская И.В. Суспицын П.Ю. Тютюник А.В. ...

-- [ Страница 2 ] --

Х Пакеты программных инструментов для разработчиков и администраторов программно-технических комплексов. На сегодняшний день программные продукты компании установлены более чем в 200 российских и зарубежных финансовых институтах. Компания осуществляет индивидуальную работу с каждым клиентом на всех этапах внедрения и сопровождения своих программных продуктов, компания оказывает консультационные услуги по выбору оборудования, технологии работы, проводит обучения сотрудников. При разработке своих решений компания придерживается следующих принципов работы: Х Для всех подразделений клиента создается единое информационное пространство. Это обеспечивает платформу для построения системы, способной эффективно управлять всеми ресурсами заказчика;

Х Осуществляется построение корпоративной телекоммуникационной сети клиента, что позволяет решить комплекс телекоммуникационных задач и связать их с прикладными процессами;

Х С целью снижения затрат на предоставление услуг клиентам заказчика создается распределенный электронный front-office банка;

Х Поддерживаются административно-управленческие функции в информационной системе заказчика. В индивидуальном порядке создаются системы оценки рисков и поддержки принятия решений. Западные БИС Midas DBA, Equation DBA (Midas-Kapiti Int., Великобритания) Самые распространенные БИС в мире. Разработаны в середине 70х готов. Работают на платформе IBM AS/400. Системы являются жесткими и трудно настраиваемыми, особенно в российских условиях. Внедрение системы занимает время около 1 года. В России и СНГ насчитывается более 20 инсталляций. Bankmaster (Kindel Banking Systems, Ирландия) Система занимает третье место в мире по числу пользователей и первое среди систем на платформе UNIX. Система насчитывает около 900 инсталляций. Широко распространена в Великобритании, Африке, Юго-Восточной Азии, ближнем Востоке и Северной Америке. Первая коммерческая версия системы была разработана в 1980 году для аппаратно-системной платформы ICL. В 1987 году был выполнен перенос на платформу UNIX, а в 1996 году на Windows NT. В 1994 году была выпущена версия БИС (BANKMASTER/RS), в которой в качестве СУБД использовался Informix.

Bankmaster - это универсальная банковская система, однако существенная доля функций поддерживается за счет дополнительных продуктов производителя и третьих фирм. Розничные операции поддерживаются отдельным продуктом BRANCHPOWER, предназначенном для установки в филиалах и отделениях. Связь отделений и головного офиса осуществляется по сетям ATM или X.25. Допускается как автономная работа отделений, так и совместная в режиме клиент-сервер с использованием интерфейсного продукта Transaction Processing Getway. Имеются единичные установки системы в России и странах Балтии. Microbanker (Citiron IT Industries Ltd. (Citil), Индия) БИС была разработана на основе системы Cosmos и предназначены для работы на платформе UNIX. Ориентирована на небольшие и средние банки. Основными рынками являются континентальная Европа, Африка, Юго-Восточная Азия и Ближний Восток. Кроме работы в широком спектре UNIX-платформ анонсирована работа на платформах Windows NT и Novell NetWare. Microbanker - это бэк-офисная многовалютная, многофилиальная система с ограниченной поддержкой различных операций. Система поддерживает: Х Главную книгу;

Х Изменение остатков в режиме реального времени;

Х Валютный дилинг;

Х Межбанковский дилинг;

Х Кредитные операции;

Х Документарные операции;

Х Операции с ценными бумагами. Часть функций поддерживаются другими продуктами. Так в частности система Finware автоматизирует бэк-офис розничных операций и включает: Х Главную книгу;

Х Кредитные операции;

Х Ипотеку;

Х Депозитные операции;

Х Ведение текущих и сберегательных счетов;

Х Безналичные расчеты и взаимозачеты. Система обеспечивает связь в режиме реального времени между всеми подразделениями банка. В настоящее время предлагается комплекс из Microbanker и Finware в качестве интегрированного решения под торговой маркой Unified Banking Solution. IBIS (Financial Object PLC, Великобритания) БИС была разработана в 1980 году в лондонском отделении Итальянского Международного банка. В настоящее время система насчитывает более 250 инсталляций. Основными рынками являются Юго-Восточная и Восточная Азия, континентальная Европа, США. В 1992 году системы была перенесена на платформу IBM AS/400 и стала распространяться под маркой IBIS /AS. Функциональное развитие системы осуществлялось в форме проектов для отдельных банков. Все основные функции поддерживаются средствами самой системы, при этом она плохо структурирована, тяжела в поддержке и сопровождении. В недавнее время с целью устранения недостатков система была полностью перепрограммирована с применением современного инструментария и современных технологий. В России имеются единичные установки. Platon (IMS Business Corp., США) Первая версия БИС была разработана для двух нью-йоркских филиалов корейских банков в 1985 году. БИС была написана на 4GL Progress и работает на широком спектре UNIX-платформ. В 1996 году была выпущена 32-разрядная версия для платформы Windows NT. Имеются интерфейсы к СУБД Oracle, DB2, DB2/400. Система Platon поддерживает основные операции валютного и межбанковского дилинга, коммерческие и потребительские кредиты, ипотеку, прием и выпуск аккредитивов, работу со счетами ностро. БИС имеет средства обработки и передачи основных финансовых сообщений через SWIFT, CHIPS, FEDWIRE и телекс. Некоторые функции поддерживаются продуктами третьих фирм. Система имеет около 50 инсталляций. Имеются единичные установки в России и странах Балтии. SYMBOLS (System Access Pte Ltd., Сингапур) Система является одним из самых новых предложения на рынке банковских информационных систем. Первая установка была выполнена в 1989 году. Первая версия БИС состояла из учетного ядра и основных функциональных модулей казначейства. Первый успех за пределами Юго-Восточной Азии был достигнут в 1991 году - был подписан контракт с Южноафриканским банком. Основной причиной по которой банки останавливали свое внимание на SYMBOLS была ориентация банков на продукцию ORACLE. Такая СУБД-ориентированная стратегия при выборе БИС становилась все более популярной из-за того, что банкам требовалось хранить данные их разных источников в одном хранилище. Ряд контрактов на поставку системы были инициированы самой фирмой ORACLE. Основная деятельность System Access за пределами ЮгоВосточной Азии осуществляется через дистрибьюторов. В России таким дистрибьютором является компания ФОРС, которая в 1995 году заключила контракты на поставку системы в банки Российский кредит и Зенит. ФОРС выполнил адаптацию БИС к российским условиям: локализованная версия распространяется под маркой Symbols-R. System Access позиционируется БИС SYMBOLS как решение для средних банков - минимальная установка поддерживает 12 пользователей. Наличие проблем в инструментальной части и механизмах доступа производитель компенсирует возможность приобретения БИС вместе с исходными кодами системы, давая возможность пользователю самому исправлять ошибки и развивать систему. SYMBOLS целиком базируется на ORACLE. Система может работать на любой платформе, которая поддерживает эту СУБД. Большей частью система ориентирована на UNIX платформы. Сама БИС построена по модульному принципу. К функциональности первой версии были добавлены кредитные операции, документарные операции и депозиты частных лиц. В 1996 году был представлен графический пользовательский интерфейс. В середине 1994 году была добавлена поддержка розничных операций. Компания в основном развивает поддержку именно этих операций, добавляя интерфейсы к автоматическим кассам, системам обслуживания пластиковых карт и др. Перспективы развития банковских информационных систем. Наиболее современным подходом в развитии банковских систем является организация и внедрение средств поддержки принятия решения на самом верхнем уровне. Наибольшая востребованность в них наблюдается как раз в сфере кредитования. Сбор бизнес - информации с ее последующим анализом позволит лучшим образом формировать кредитный портфель, вести грамотную процентную политику и т.д. Вообще, до сих пор существовал ряд традиционных методов в аналитической деятельности: 1)Анализ последовательности работ (Workflow);

2)Анализ при помощи таблиц, который обеспечивает конечному пользователю полный контроль над процессом анализа и принятия решения. Он гибок и прост в использовании, но в то же время обладает слабой масштабируемостью, недостаточным контролем целостности данных, низкой эксплуатационной надежностью. В приложениях большей сложности мы получаем запутанный клубок таблиц, быстро теряющий связь с реальным бизнесом. Аналитические задачи высокого уровня (анализ деятельности банка, подготовка консолидированной отчетности, расчет и управление рисками и др.) требуют совершенно иной организации данных, процедур доступа и обработки информации, чем в OLTP и реализуются на базе технологий информационных хранилищ (Data Warehouse) и приложений оперативной аналитической обработки OLAP (on-line analytic processing). Среда OLAP служит для разработки и формализации представлений о банке как об объекте и о механизмах управления им, отражающих то "ноу-хау", которое позволяет банку зарабатывать деньги. Расчет параметров объекта, значений лимитов и нормативов на основе этого представления формирует корректирующие воздействия для OLTP-системы, создавая замкнутый по управлению контур, а также предоставляет данные для системы поддержки принятия решений и составления прогнозов. Таковы некоторые принципы построения современной банковской системы. В той или иной степени они начинают реализовываться в передовых разработках отечественных производителей БИС:R-Style Software Lab., "Диасофт", ЦФТ ("Центр финансовых технологий", Новосибирск), "ПрограмБанк" и ряда других. И хотя OLAP- анализ создан для управления решением крупномасштабными аналитическими проблемами, при нем заметно возросла масштабируемость и целостность данных, аналитические исследования выведены на качественно новый уровень, но высокая сложность OLAP-подхода делает его во многом недоступным, т.к. переводит управление процессом анализа из отдела бизнес - аналитиков в информационное подразделение компании, что значительно растягивает по времени аналитические процессы. Огромные возможности в этом направлении включает в себя новая архитектура Dynamic OLAP, предложенная ведущим разработчиком СУБД и инструментальных средств в архитектуре клиент-сервер компанией Sybase, создающая продукт Sybase PowerDimensions для Dynamic OLAP. Он прост в использовании, в отличие от стандартной OLAP технологии, и обладает высокой степенью масштабируемости, что позволит его пользователям строить большое количество сложных аналитических моделей, не прибегая к сложному программированию. Там реализуются функции финансового, статического, логического анализа и прочие базовые средство при построении аналитической модели. Система, проводя анализ, позволяет ответить на вопрос что будет, еслиЕ, причем анализ может проводиться на основе значения (Что будет, если изменить процентную ставку по кредитам?), структуры (Что будет, если мы реорганизуем систему выдачи кредитов?) или основанный на конкретной формуле. Также можно реализовать сложные запросы, позволяющие, например, выбрать из 10000 клиентов 2% самых выгодных. В системе организован контроль на ссылочную целостность, проверку на непротиворечивость, трассировка вычислений и ревизия модели. Для максимального использования системных ресурсов в сервере Dynamic OLAP должна применяться архитектура совместного использования всего, учитывая, что объемы баз данных могут измеряться терабайтами, а число пользователей достигать нескольких тысяч. В системе реализовано многомерное (пространственное) кэширование, что особенно эффективно при больших выборках типа ланализ кредитных рисков. Кроме того, эта система достаточно адаптивна (интеграция разнородных реляционных СУБД, отсутствие ограничений на схемы, поддержка инструментария третьих фирм и т.д.). Потребность в использовании аналитических систем в ближайшем будущем будут испытывать даже практически все банки. Это объясняется изменением правил учета, усложнением экономической ситуации вокруг банковского бизнеса, ускорением процессов укрупнения банков, а также масштабными событиями на фондовом рынке. В современных БИС по-прежнему сложно генерировать новые знания в результате анализа, а также выделять необходимое для этого время. Это заставляет разработчиков сложных аналитических систем искать новые подходы к их построению для удовлетворения постоянно возрастающих потребностей рынка. Какова же системная организация аналитической обработки информации в БИС? Разумеется, она, прежде всего, должна соответствовать структуре и функциям банка. Так, проведение анализа нужно: бухгалтерам - для составления отчетов на основе сложных показателей и выполнения внутреннего аудита от уровня показателей до уровня проводок;

фондовым отделам - для выяснения положения на фондовом рынке (а зачастую и на нескольких фондовых рынках);

службе менеджмента - для правильного управления доходами и расходами, а также повышения эффективности банковской деятельности в целом. А особо важно, естественно, проанализировать все многообразие данных банка, что требует создания систем на базе хранилищ данных. В ближайшее время должны появиться специализированные продукты для конкретных БИС. Так, "Центр финансовых технологий" предлагает систему "Анализ банковской деятельности", АРМ "Функциональный анализ" и программу "Рейтинг банков". Фирма "Кворум" продвигает на рынок подсистему анализа финансовоэкономического состояния банка. Компания "Диасофт" выпустила систему анализа финансовой информации DiasoftManagment, "ПрограмБанк" и "Форс" предложили новые комплексные решения на базе систем и средств. Первая из них вместо традиционных парадигм аналитической обработки (статистической и технического анализа) перешла на так называемый "прецецентный" анализ и надеется в ближайшее время заменить свой продукт "Нострадамус" системой с трехуровневой архитектурой, включающей базовую на основе серверов данных (Oracle), клиентскую часть со средством разработки Delphi 3 и серверы приложений. Анализ будет проводиться с использованием структуры инструментальных объектов и концепции оптимизации видимого пользователем быстродействия системы. Компания "Форс" также переходит на комплексную обработку банковской информации, используя для многокритериального финансового анализа систему с применением OLAP-технологии. Для анализа на основе показателей (нормативов) и мониторинга важнейших оперативных параметров деятельности банка разработаны программные средства "Про-Филиал" и "Финансовый калькулятор", работающие в БИС "Ва-Банк Плюс" и "Ва-Банк". 3. Проблема безопасности в БИС. 3.1. Угрозы безопасности.

В последние годы внедрение систем электронной обработки и передачи информации приобрело всеобъемлющий характер, охватив все сферы банковской деятельности. Наряду с интенсивным развитием вычислительных систем и средств передачи данных все более актуальной становится проблема обеспечения безопасности банковских информационных систем и защиты финансовой информации. При разработке современных банковских систем все большее внимание уделяется обеспечению безопасности информации. Меры безопасности направляются на предотвращение незаконного использования информации, физического уничтожения или модификации информации. Однако параллельно с совершенствованием средств защиты информации совершенствуются и средства преодоления защиты, что поставило вопрос о разработке не просто частных механизмов защиты, а организации комплекса мер с использованием специальных средств, методов и мероприятий с целью предотвращения потери информации. Информация, хранящаяся в БИС, затрагивает интересы большого количества людей и организаций, поскольку эта информация представляет собой реальные деньги (остатка на счетах). На основании этой информации могут производиться платежи, начисляться проценты и выдаваться кредиты. Любое манипулирование этой информацией может привести к серьезным убыткам. Проблемы безопасности усложняются в связи с развитием и распространением компьютерных сетей. Распределенные системы и системы удаленного доступа выдвинули на первый план вопрос защиты обрабатываемой и передаваемой информации.

Можно выделить несколько особенностей современных БИС, которые отрицательно влияют на информационную безопасность: Х Их реализация на принципах открытой архитектуры, в которых самыми уязвимыми местами являются связи между элементами (АРМами, подсистемами БИС). Модель информационного взаимодействия ISO предусматривает наличие систем безопасности только на соответствующих уровнях, но не в рамках интерфейсов между нами;

Х Реализация без учета возможного использования в корпоративной сети (взаимодействия удаленных объектов БИС через коммутируемые линии), что приводит к большим дополнительным затратам;

Х Неэффективность парольной защиты вне зависимости от используемых средств криптозащиты и алгоритмов аутентификации;

Х Возможность реализации средствами СУБД бизнес - логики, что создает канал опосредованного воздействия на Базу Данных. Проблема усугубляется тем, что эти процедуры зачастую хранятся не в виде бинарных кодов, которые можно было бы охватить средствами контроля целостности, а вместе с данными, и специальные механизмы их выделения отсутствуют. Х БИС является прикладной программой и работает под управлением ОС со всеми их особенностями и недостатками. Оценки потерь от преступлений, связанных с вмешательством в БИС различны. По данным из разных источников ущерб за 1998 год составляет от 170 млн. до 40 млрд. долларов США. Причем в 99% случаев к крупным финансовым потерям приводит систематическое пренебрежение мерами безопасности. Целью любых мероприятий по обеспечению безопасности БИС является защита владельцев и законных пользователей от нанесения им материального и морального ущерба в результате случайных или преднамеренных воздействий на систему. Банковская тайна. Прежде чем говорить о методах и средствах, обеспечивающих защищенность информации, необходимо определить какую же информацию необходимо защищать. В банке подлежит защите информация, составляющая его коммерческую и банковскую тайну. К понятию коммерческая тайна относится любая конфиденциальная, управленческая, научно-техническая, деловая и другая информация, представляющая ценность для банка и достижении преимуществ над конкурентами и извлечение прибыли. Термин банковская тайна традиционно толкуется в двух основных значениях: Во-первых, под банковской тайной в широком смысле понимается разновидность коммерческой тайны - то есть конфиденциальные сведения, принадлежащие банку. Все что касается коммерческой тайны применимо к банковской тайне в этом смысле. Во-вторых, под банковской тайной в узком смысле понимают обязанность кредитного учреждения сохранять тайну по операциям клиентов, ограждение банковских операций от ознакомления с ними посторонних лиц, прежде всего конкурентов того или иного клиента, тайну по операциям, счетам или вкладам своих клиентов и корреспондентов. Понятие банковская тайна введено законом Российской Федерации от 02.12.90 г. О банках и банковской деятельности Вот далеко не полный перечень данных, составляющих банковскую тайну: Х Движение и остатки средств на счетах клиентов;

Х Объемы и структура предоставленных и полученных кредитов и депозитов;

Х Данные о клиентах, акционерах и сотрудниках банка;

Х Объемы инвестиций в ценные бумаги;

Х Подробные балансы и бухгалтерская отчетность;

Х Сведения о размерах заработной платы и социальных выплатах;

Х Перечень сведений относящихся коммерческую тайну и ноу-хау;

Конкретные документы, другие носители информации, конкретные объемы устной информации. 3.2. Принципы безопасности БИС.

Под безопасность БИС понимается ее защищенность от случайного или преднамеренного вмешательства в нормальный процесс ее функционирования, а также от попыток хищения, модифицирования или разрушения ее компонентов, то есть способность противодействовать различным возмущающим воздействиям. Различают внешнюю и внутреннюю безопасность БИС. Внешняя безопасность включает как защиту от случайных внешних воздействий, так и защиту от несанкционированного доступа к информации и любых несанкционированных действий. Внутренняя безопасность связана с регламентацией деятельности пользователей и обслуживающего персонала, с организацией доступа к ресурсам системы и информации.

К основным угрозам безопасности информации можно отнести: Х Раскрытие конфиденциальной информации - осуществляет через несанкционированный доступ к базам данных, прослушивание каналов, другими способами;

Х Изменение информации или внесение несанкционированных изменений в базы данных, в результате чего пользователь должен либо отказаться от информации, либо предпринять дополнительные усилия по ее восстановлению;

Х Несанкционированное использование информации - является средством раскрытия и модификации информации, и, вместе с тем, может нанести финансовый ущерб при ее использовании;

Х Ошибочные использование информации - является следствием ошибок, имеющихся в программном обеспечении БИС;

Х Несанкционированный обмен информацией - может привести к получению пользователем сведений, доступ к которым ему закрыт. Х Отказ от информации - состоит в непризнании отправителем или получателем фактов получения или посылки информации, что может нанести одной из сторон значительный ущерб;

Х Отказ в обслуживании - представляет собой задержку в предоставлении информации, что может привести к ошибочным действиям пользователя. Дополнительные трудности в обеспечении безопасности вызывают использование локальных или глобальных вычислительных сетей. Трудности могут быть связаны: Х с обеспечением сохранности информации, как в памяти ЭВМ, так и на отдельных носителях;

Х с обеспечением достоверности информации при ее передаче по каналам связи;

Х с обеспечением идентификации информации при ее передаче по каналам связи. Кроме того, сами меры по защите информации приводят к: Х Увеличению трудности работы с защищенной системой;

Х Увеличению стоимости защищенной системы;

Х Дополнительной нагрузкой на системные ресурсы Х Необходимости привлечения дополнительного персонала, отвечающего за системы защиты. Кроме этого защищенность объекта не должна мешать его полезному использованию, поскольку сам по себе банк не является закрытой системой, а существует благодаря связям с клиентами, банками-корреспондентами, биржами, то есть внешним миром. Таким образом, при проектировании систем защиты банк должен искать оптимальное сочетание информационной системы.

защищенности и открытости своей Некоторое время назад были согласованы и приняты критерии оценки безопасности информационных технологий (Information Technology Security Evaluation Criteria, ITSEC), которые рассматривают следующие составляющие информационной безопасности: Х Конфиденциальность - защита от несанкционированного получения информации;

Х Целостность - защита от несанкционированного изменения информации;

Х Доступность - Защита от несанкционированного закрытия доступа к информации. ITSEC выделяет следующие функции, обеспечивающие защищенность информации: Х Идентификация и аутентификация - проверка подлинности пользователей, регистрация новых и удаление старых пользователей, проверки аутентификационной информации, контроля целостности и ограничения числа повторных попыток аутентификации;

Х Управление доступом - ограничение доступа к базам данных и распределение прав доступа пользователям;

Х Аудит - проверка корректности совершаемых пользователям действий, протоколирование всех действий пользователей в системе;

Х Повторное использование объектов - действие пользователей не должны приводить к необратимым последствиям в базе данных;

Х Точность информации подразумевает однозначное соответствие между различными частями данных одной системы обеспечиваемое точностью связей и неизменности данных при передаче между процессами;

Х Надежность обслуживания - гарантия того, что пользователи в срок получат ту информацию, которую они запрашивают, и что время доступа к требуемым ресурсам не будет превышать допустимое для выполнения данной процедуры;

Х Обмен данными - обеспечивает безопасный обмен информацией с внешней средой через коммуникационные каналы и предъявляет свои требования по наличию функций безопасности, таких как аутентификация, управление доступом, конфиденциальность, целостность, невозвратность совершенных действий. Сходные критерии оценки безопасности информации позже были сформулированы Гостехкомиссиией при Президенте РФ в наборе Руководящих документов по защите информации, которые основываются на Концепциях защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации. В этом документе определяются основные принципы и методы защиты информации, способы возможного покушения на нее, классификация нарушителей, а также классификация средств вычислительной техники (устанавливается 7 классов от 1 до 7 по возрастанию) и автоматизированных систем (9 классов от 1 до 9 по возрастанию) по уровню защищенности от несанкционированного доступа. В данном документе четко разделяется защита средств вычислительной техники и защита информационных систем, как две основных аспекта обеспечения информационной безопасности. В качестве главного средства защиты от несанкционированного доступа рассматривается система разграничения доступа, обеспечивающая следующие функции: Х Разграничение доступа к данным;

Х Разграничение доступа к устройствам печати;

Х Изоляция процессов, то есть доступ пользователя только к своим процесса;

Х Управление потоками данных с целью предотвращения несанкционированной записи на внешней носитель или передачи информации;

Х Реализация правил обмена между пользователями в вычислительной сети. Для поддержки системы разделения доступа предлагается следующий перечень, по своему содержанию пересекающийся с перечнем ITSEC: Х Идентификация и аутентификация пользователей и привязка пользователя к своему исполняемому процессу;

Х Регистрация действий пользователя и его процесса;

Х Возможность включения и удаления пользователей, изменение списка подсистем и изменений полномочий пользователя;

Х Реакцию на попытки несанкционированного доступа, такие как сигнализация, блокировка, восстановление после несанкционированного доступа;

Х Тестирование;

Х Очистка оперативной памяти и рабочих областей носителей после работы с защищенными данными;

Х Учет отчетов, выходных форм и твердых копий;

Х Контроль целостности программной и информационной части. Криптозащита Обеспечение информационной безопасности исключительно организационными методами приводит к большим затратам на построение системы защиты. Для снижения стоимости и повышения эффективности защиты в современных условиях применяются дополнительные меры, называемые логическими. Основу этих мер составляют криптографические средства защиты информации. Под криптографическими средствами понимают реализацию криптографических алгоритмов и правил их использования (протоколов). На практике используются три основных разновидности криптографических механизмов. Эти механизмы обеспечивают аутентификацию, сертификацию и шифрование. Аутентификация дает возможность убедится, что сообщения получено от пользователя зарегистрированного в системе. Сертификация дает возможность удостоверится в том, что сообщение не было модифицировано с момента отправки (функция контроля целостности). Шифрование позволяет преобразовать данные с помощью секретного механизма, к которому нельзя подобрать ключ за приемлемое время. Шифрация или кодирование информации призваны решить сразу несколько задач: Х Сжатие информации с целью сокращения времени передачи по каналам связи;

Х Защита информации от ошибок и искажений;

Х Защита информации от несанкционированного доступа. Под кодирование обычно принято понимать процесс преобразование информации из одного представление в другое. Процесс обратного преобразования в этом случае называют декодированием. Исторически задачу кодирования информации решали с помощью коммерческих кодов. С развитием вычислительной техники принципы построения кодов для защиты информации претерпели существенные изменения. Теперь при кодировании информации уже не ограничиваются одним заранее выбранным постоянным кодом, а меняют его от сеанса к сеансу, от сообщения к сообщению. Такие коды строятся по методу случайного выбора: конкретный код выбирается случайным образом из множества однотипных кодов, а получателю информации сообщается каким кодом он должен воспользоваться для декодирования полученной информации. Обычно параметр, описывающий конкретный код, стараются сделать максимально простым - это просто некая строка символов или целое число. Этот параметр обычно называют ключом, или номером кода, лишь зная который можно легко декодировать закодированное сообщение. При этом степень надежности защиты информации будет определяться главным образом надежность хранения пользователем своего персонального ключа, с помощью которого он выбирает конкретный код из множества возможных. Несмотря на то что, шифрование призвано решать множество задач, ее основной задачей остается скрывать содержимое сообщения с конфиденциальной информацией. Желательно чтобы методы шифрования обладали как минимум двумя свойствами: Х Получатель сможет выполнить обратное преобразование и расшифровать сообщений;

Х При получении несанкционированного доступа к сообщению, по нему нельзя будет восстановить исходное сообщения без таких затрат времени и средств, которые сделают эту работу нецелесообразной. На практике обычно используют два алгоритма шифрования: рассеивание и перемешивание. Рассеивание заключается в распространении влияния одного символа открытого текста на множество символов шифрованного текста: это позволяет скрыть статистические свойства открытого текста Развитием этого принципа является распространение влияния одного символа ключа на много символов шифрограммы, что позволяет исключить восстановление ключа по частям. Перемешивание заключается в использовании таких шифрующих преобразований, которые исключаются восстановление взаимосвязи статистических свойств открытого и закодированного текста. Распространенный способ достижения хорошего рассеивания состоит в использовании составного шифра, который может быть реализован в виде некоторой последовательности простых шифров, каждый их которых вносит небольшой вклад в значительно суммарное рассеивание и перемешивание. В качестве простых шифров чаще всего используют простые подстановки и перестановки. Одним из лучших примеров криптоалгоритма, разработанного в соответствии с принципами рассеивания и перемешивания, может служить принятый в 1977 году Национальным бюро стандартов США стандарт шифрования данных DES. Несмотря на интенсивное и тщательное исследование алгоритма, пока не найдено уязвимых мест, но основе которых можно было бы предложить метод криптоанализа, существенно лучший, чем полный перебор ключей. В июле 1991 года введен в действие подобный отечественный криптоалгоритм ГОСТ 28147-89. Существуют также алгоритмы с симметричными (секретными) и асимметричными (открытыми) ключами. Первые в основном используются для шифрования и сертификации, вторые - для распределения криптографических ключей и формирования проверки электронной цифровой подписи (ЭЦП). Механизмы ЭЦП обеспечивают сертификацию и аутентификацию. Несмотря на то, что средства криптозащиты обеспечивают защищенность информации эффективность их использования в БИС оценивается не однозначно. Криптография традиционно ориентируется на обеспечение стойкости информации в течении многих лет при ее перехвате и расшифровке, в то время как в большинстве случаев ценность перехваченной банковской информации сохраняется в лучшем случае несколько дней. Это означает, что банк, применяя традиционные криптографические средства, неэффективно расходует финансовые средства и вычислительные ресурсы. В области криптографии до сих пор не существует теоретических работ, позволяющих соотносить затраты при применении криптозащиты со стоимостью защищаемой информации. Кроме того, в банковских системах важнейшим условием является наличие договорных отношений с финансовой ответственностью всех сторон, а на сегодняшний день технологий защиты, разрешенных к применению в России и предполагающих наличие полной финансовой ответственности, не имеется. И, тем не менее, необходимо отметить, что своим возникновением и развитием криптография во многом обязаны развитию банковских технологий. Устройство защиты информации КРИПТО-ДИСК Как известно любую проблему можно решить как на программном, так и на аппаратном уровне. Этот тезис применим и к проблемам криптографии. Примером аппаратного решения является устройство защиты информации КРИПТО-ДИСК. Основная задача устройства КРИПТО-ДИСК - предоставление пользователю защиты данных, хранящихся на жестком диске, при сохранении привычных условий работы. Принципиальным моментом в построение систем комплексной безопасности является возможность генерации ключей для шифрования средствами самого устройства защиты. Такая необходимость вызвана тем обстоятельством, что системы взлома алгоритмов шифрования основаны на перехвате ключей. Например, при вводе ключа с клавиатуры его может перехватить программа-сканер. После перехвата ключа дальнейшее шифрование лишено смысла. Поэтому необходимо изолировать все операции с ключами от стандартных элементов компьютера. В КРИПТО-ДИСКе основной элемент защиты - ключ - хранится на антиударной, водонепроницаемой таблетке Touch Memory, которая обеспечивает высокую степень неуязвимости. Ключ вводится непосредственно в устройство через специальный аппаратный интерфейс. Владельцем ключа является сам пользователь, и только пользователь имеет возможность при изготовлении ключа сгенерировать и распространить необходимое количество копий ключа. На случай хищения каждый 256-битный ключ защищен паролем, пароль вводится в устройство до загрузки Операционной Системы, что исключает возможность его просмотра программой-сканером. При генерации ключ зашифровывается на введенном пароле (от 7 до 31 символа) и уже в зашифрованном виде записывается в таблетку. Точно также при активизации диска ключ расшифровывается при введенном пароле. Пароль необходимо помнить. В случае потери пароля к КРИПТО-ДИСКу, зашифрованную на диске информацию можно считать утерянной. При замене пользователем ключей необходимо все нужные данные сохранить на другом диске, а затем переписать их обратно. Открытие/закрытие КРИПТО-ДИСКа достигается при перегрузке. В случае форс-мажорных обстоятельств мгновенная недоступность данных достигается нажатием кнопки RESET или выключением питания компьютера. Данные при этом не будут потеряны или испорчены. При потере пользователем таблетки с ключом данные с диска без знания пароля достать будет невозможно. Если диск не активизирован, то для ОС он не существует. Однако при надежной ключевой системе необходимо также обращать внимание и на технологическую надежность устройств защиты. Плата шифратора КРИПТО-ДИСКа собирается из комплектующих ведущих мировых производителей Analog Devices, IDT, и проходит тщательное тестирование. Однако с теоретической точки зрения вероятность отказа КРИПТО-ДИСКа существует. Для разрешения этой ситуации был найден следующий выход: при генерации рабочих ключей на Touch Memory пользователь имеет возможность создать копию ключа и записать ее на несколько чистых дискет. В случае отказа платы шифратора информацию с жесткого диска можно будет восстановить, подключив диск напрямую к IDEконтроллеру и воспользовавшись ключевой дискетой и специальной низкоуровневой утилитой. Такое решение не снижает надежность ключевой системы защиты, так как копия ключа на дискете защищена тем же паролем, что и рабочий ключ на Touch Memory. Интерфейс системы защиты информации. До сих пор мы рассматривали средства защиты информации как автономные продукты - то есть в отрыве от БИС. Однако поскольку зачастую эти средства защиты являются частью банковской технологии, существует проблемы их взаимосвязи или интерфейса систем защиты. Помимо функций сопряжения приложения и криптографических средств, интерфейс безопасности обеспечивает прикладной системе необходимый спектр услуг защиты. На него, как правило, возлагается поддержка протоколов безопасности. К протоколам безопасности предъявляются следующие требования: Х Функциональность, достаточная для реализации необходимых услуг и протоколов безопасности и создание на их основе целостной защиты без слабых участков. При этом интерфейс должен быть универсален, и отвечать соответствующим требованиям приложений и транспортных протоколов;

Х Нивелирование различий между криптографическими средства для избежания существенных издержек при их замене. Интерфейс должен позволять работать с несколькими механизмами защиты;

Х Соответствие выбираемого интерфейса существующим стандартам. Одним из таких стандартов является обобщенный прикладной программный интерфейс GSS-API, представляющий собой набор спецификаций, рекомендованный обществом Интернет. Основная цель этого интерфейса - предоставление возможности защиты при взаимодействии между компонентами распределенных вычислительных систем, ориентированных на архитектуру клиентсервер. Отличительные особенности интерфейса логическая завершенность, широкие функциональные возможности, компактность, независимость от используемых механизмов безопасности и операционной среды, независимость от характеристик коммуникаций. Базовыми понятиями этого интерфейса являются: удостоверение, контекст и токен. Удостоверения представляют собой набор данных, обладание которыми позволяет пользователю однозначно идентифицировать себя локальной системой или удаленной стороной. Удостоверение содержит секретные ключи клиента и должно быть защищено от несанкционированного доступа. Приложение, запущенное пользователем, получает в свое распоряжение не само удостоверение, а его ссылку - дескриптор. Дескрипторы не содержат секретной информации и не защищены. Пользователь получает удостоверение по умолчанию при входе в систему или с предъявлением защищенного носителя ключей. Таким образом удостоверение это основное средство аутентификации пользователя, и обладание им необходимо для использования услуг системы защиты. Контекст безопасности - это набор данных, формируемых локально каждой стороной перед обменом сообщениями при предъявлении удостоверения. В нем содержится информация, обеспечивающая функционирование защиты в процессе обмена. Как и в случае с удостоверениями, приложение получает только дескриптор контекста. Сами данные контекста хранятся и защищаются средствами системы. В процессе взаимодействия с системой защиты приложение вызывает функции интерфейса и получает в ответ элементы данных, называемые токенами безопасности. Токен может содержать зашифрованное сообщение, аутентификационную криптограмму, сертификат, ЭЦП или служебную информацию системы защиты. Приложения обмениваются токенами, полученные токены обрабатываются средствами интерфейса. Служебные токены, предназначенные для формирования контекстов, выделяются в особый класс. Приложение получает контекстный токен в ответ на запрос инициализации контекста и пересылает его респонденту, который передает его экземпляру интерфейса безопасности. При этом, как правило, происходит аутентификация противоположной стороны. При обращении к GSS-API приложение вызывает первую функцию - формирование удостоверения. Помимо создания удостоверения, интерфейс поддерживает функции уничтожения удостоверения и получение информации об удостоверении. Пользователи могут неявным образом получать удостоверения при входе в систему. При выходе пользователя из системы функция уничтожения удостоверения выполняется автоматически. Перед обменом сообщениями с партнером, приложение формирует контекст безопасности. При создании контекста партнеры могут произвести взаимную или одностороннюю аутентификацию и установить желаемый механизм защиты. Инициатор обмена формирует исходящий контекст, противоположная сторона после обработки полученного контекстного токена - входящий. Кроме функций создания контекста поддерживаются функции его уничтожения и получения дополнительной информации. Служба безопасности может предоставлять различный уровень защиты для приложения, что важно с точки зрения разумного расходования ресурсов, поскольку усиленная защита может требовать значительных накладный расходов. Спектр применения интерфейса системы защиты информации весьма широк. Это системы контроля доступа к ресурсам банковской системы, системы клиент-банк, платежи через Интернет, защищенная почта и многое другое. Помимо проблемы защиты информации при обмене данными с внешним миром, существует проблема защиты информации при ее передачи локальным сетям банка.

Значительная часть проблем, связанных с внутренней безопасностью в сетях, решается административными мерами: через ограничение доступа и парольной защитой. Однако разграничение полномочий еще не означает безопасность данных. На рис. 1 представлена локальная сеть из одного сегмента, в которой пользователь A имеет доступ к информации на сервере, а пользователь B такого права не имеет.

Рис. Ethernet Сервер Пользователь A Пользователь B Однако в момент доступа легального пользователя к данным их передача по сети идет в открытом виде. Это значит, что любой пользователь, подключенный к данному сегменту, в частности пользователь B, при помощи соответствующего программного обеспечения сможет получить копию данных, чтение или запись которых происходит в данный момент. При этом ни одна система контроля доступа не сможет отследить факт перехвата данных. Существует несколько способов защиты от такого рода перехватов информации. Так, некоторые фирмы выпускают концентраторы Ethernet с функциями защиты от прослушивания, которые обеспечивают зашумление поля данных в передаваемых по сети пакетах при распространении их на порт, для которого они не предназначены. Это решение при его невысокой стоимости, отличается неудобство в администрировании и не обеспечивает разграничение доступа к сетевым ресурсам средствами сетевого оборудования. Более совершенным способом решения проблемы безопасности передачи данных в локальных сетях является построение сети как полностью коммутируемой и создание в ней виртуальных сетей (VLAN). На рис. 2 показан пример сети, построенный подобным образом.

Сервер Сервер Станция Станция Рис. Станция Станция Это полностью коммутируемая сеть предполагает, что каждая станция непосредственно подключена к порту коммутатора. Тем самым решается несколько задач: Х Достигается высокая производительность, не снижающаяся при росте сети, поскольку каждая станция располагает своей линией передачи;

Х Обеспечивается полная защита передаваемых данных от прослушивания другими станциями, поскольку данные появляются только на портах, к которым подключены источник и получатель информации. При этом данные, не предназначенные для передачи на порт, вообще не поступают на него, поэтому не возникает коллизий и дополнительного снижения производительности;

Х Создается возможность гибкого управления, то есть на основании MAC адресов определяется, какие станции на какие порты могут быть подключены, чем исключается возможность подключения к сети посторонней станции. Таким образом, применение технологии виртуальных сетей позволяет контролировать доступ к сетевым ресурсам и весьма гибко ими управлять8.

А. Скороходов. Безопасность и виртуальные сети - Банки и технологии №3, 1997.

Система защиты БИС. Под системой защиты БИС обычно понимают единую совокупность правовых и морально-этических норм административных, технологических мер и программно-технических средств, направленных на противодействие угрозам БИС с целью сведения до минимума возможного ущерба пользователем и владельцам системы. Подходы к созданию системы защиты (комплексный подход). При построении систем защиты исторически сложилось два подхода к решению проблемы безопасности БИС, которые условно называют фрагментарным и комплексным. Фрагментарный подход решает проблемы противодействия строго определенным угрозам при определенных условиях. Главным достоинством такого подхода является его высокая избирательность относительно конкретной угрозы. Однако отсюда следует и главный недостаток - локальность действия. Таким образом, фрагментарные методы обеспечивают эффективную защиту конкретных элементов БИС от конкретной угрозы. При комплексном подходе объединяются разнородные методы противодействия угрозам (правовые, организационные, программнотехнические). Совокупность этих методов составляет систему безопасности. При комплексном использовании методов создается защищенная среда обработки информации. Банк России рекомендует осуществлять построение системы безопасности в следующей последовательности: Х Изучить действующую нормативную базу;

Х Проанализировать информационную систему в банке и выделить объекты защиты;

Х Определить потенциальные источники угрозы;

Х Сформулировать требования к системе защиты информации;

Х Реализовать систему защиты. Создание системы защиты информации проходит в несколько этапов. На первом этапе необходимо сформировать структуру исполнительных органов. Во всех учреждениях банка должны быть сформированы исполнительные органы по проведению практической работы в области информационной безопасности. Они могут представлять собой группу администраторов информационной безопасности учреждения банка. Основными функциями администратора информационной безопасности являются: Х Составление и ведение схем информационных потоков, проведение их анализа с целью выявления недостатков в организации системы информационной безопасности, составление и выполнение планов по их устранению;

Х Организация и выполнение технологических операций по предоставлению прав доступа сотрудников к аппаратным и программным средствам, а также информации в соответствии с принятыми в установленном порядке решениями;

Х Организация и участие в обеспечении и эксплуатации средств зашиты информации коллективного и индивидуального пользования;

Х Проведение инструктажей по мерам информационной безопасности среди сотрудников и клиентов банка, обучение их работе с использованием этих средств;

Х Контроль правильности выполнения требований информационной безопасности сотрудниками банка и расследование случаев нарушения этих требований.

На втором этапе необходимо определить объект защиты. На этом этапе определяются виды защищаемой информации в зависимости от ее носителей, каналов распространения, средств хранения и обработки. Далее необходимо определить степень конфиденциальности той или иной информации и провести разделение различных видов информации на категории, исходя из требуемой степени их защищенности. На этом же этапе необходимо определить потенциальные угрозы для каждого вида информации. На третьем этапе проводится анализ схем появления, распространения, хранения и переработки информации. При этом составляются топологические информационные схемы, учитывающие функции каждого конкретного банковского учреждения и используемые в нем информационные средства и каналы связи. На этом этапе первоочередное внимание уделяется платежной системе банка, системе электронного документооборота, информационному обеспечению системы на основе пластиковых карточек, АБС и др. На следующем этапе осуществляется анализ возможных угроз безопасности и определяются приоритетные направления работы по защите информации от этих угроз. Информация должна быть защищена от: Х Несанкционированного просмотра и копирования;

Х Несанкционированного изменения и блокирования;

Х Несанкционированного определения отправителя и получателя информации;

Х Др. Перечень потенциальных угроз информации зависит от многих параметров, таких как: Х Наличие филиальной сети банка;

Х Характеристика каналов связи с отделениями банка;

Х Состав и строение сетей, используемых в банке;

Х Перечень услуг, оказываемых банком Х Технологии, сложившиеся в банке;

Х Кадровый состав банка. На следующем этапе производится разработка основных регламентирующих документов: Х Концепция информационной безопасности банка;

Х Основные направления работы службы информационной безопасности;

Х Другие документы.

При разработке документов учитываются следующие факторы: Х Степень опасности для каждого вида информации;

Х Типы возможных злоумышленников;

Х Возможности сговора злоумышленника с сотрудниками банка Х Множество других факторовЕ Регламентирующие документы должны базироваться, с одной стороны, на принципах минимизации доступа к информации, а с другой - на соблюдении принципов достаточности защиты. Список основных методик и инструкций по обеспечению безопасности может состоять из: Х Основных требований к информационной безопасности учреждений банка;

Х Регламентация антивирусной работы в банке;

Х Регламентация порядка предоставления пользователям доступа к информационным ресурсам;

Х Порядок изменения прав доступа к информации при кадровых перестановках;

Х Методики проведения проверок учреждений банка по выполнению требований информационной безопасности;

Х Методики проведения расследований фактов нарушения информационной безопасности;

Х Инструкции по обеспечению безопасности автоматизированных рабочих мест АБС;

Х Другие методики и инструкции.

На следующем этапе осуществляется формирование службы информационной безопасности. Состав службы состоит из специалистов: Х По физическим информационным каналам;

Х По защите ЛВС;

Х По защите БИС;

Х По защите платежных систем на основе пластиковых карточек. Желательно в штате иметь специалиста по шифрации данных. После проведения всех этих этапах можно приступать к выбору средств защиты. При выборе средств помимо качества предлагаемой продукции необходимо учитывать и легальность фирм-производителей. Согласно российскому законодательству фирмы должны иметь лицензию Гостехкомиссии на деятельность в области защиты от несанкционированного доступа и лицензию на деятельность в области криптографии. Сами средства защиты должны быть соответствующим образом сертифицированы. После выбора средств наступает этап внедрение систем защиты и их последующего сопровождения. Этот этап весьма продолжителен по времени. Основными проблемы, подлежащими рассмотрению на этом этапе являются: Х Защита платежной системы учреждений банка;

Х Защита системы электронного документооборота;

Х Защита АБС;

Х Защита платежной системы на базе пластиковых карточек;

Х Защита физических каналов передачи информации. Необходимо проводить постоянную работу по отслеживанию информации о нарушениях в области информационной безопасности, повлекшие финансовые потери для банков. В зависимости от серьезности ситуации (размеров ущерба) необходимо оперативно принимать меры по недопущению подобных действия против банка в дальнейшем. Важное значение приобретают вопросы организации сотрудничества службы информационной безопасности банка с другими отделами банка, а также служб безопасности с аналогичными службами других банков и финансовых учреждений. При контактах со службами других банков необходимо сочетать максимально возможный уровень открытости с сохранением конфиденциальности по отдельным вопросам защиты банковской информации.

Большое значение для обеспечения безопасности приобретает работы с персоналом банка. Это обуславливается следующими причинами: Х Угроза информационной безопасности в значительной степени исходит именно от персонала;

Х Все средства защиты информации в той или иной степени требуют участия человека;

Х Определенный объем работ по обеспечению безопасности возлагается на пользователей информационных систем. Таким образом, персонал при выполнении правил и инструкций по защите информации должен иметь определенное представление и цели защиты информации и тех конкретных способах ее достижения, которые используются на каждом рабочем месте. При таком подходе проще решаются проблемы: Х Хранения средств защиты информации;

Х Защиты от копирования информации;

Х Использования публичных средств защиты;

Х Антивирусной безопасности. Рекомендуется периодически проводить аттестацию персонала на знания основ компьютерной и информационной безопасности. Важным этапом при проведении профилактических мероприятий по предупреждению нарушений в области информационной безопасности является контроль и расследование случаев нарушения требований информационной безопасности. Вся информация, полученная в ходе подобных мероприятий должны строго документироваться. 4. Риски в БИС 4.1. Риски в экономической деятельности Любая сфера человеческой деятельности, в особенности экономика, связана с принятием решений в условиях неполноты информации, что является источником неопределенности. Категории неопределенность и риск играют огромную роль в окружающем нас мире вообще и в экономических отношениях в частности. Будучи неотъемлемой составной частью условий хозяйственной деятельности, неопределенность лежит в основе массы сложных и важных экономических явлений, взаимодействие с которыми вызывает соответствующее поведение как отдельных экономических агентов - участников производства и потребления, так и общества в целом. Особенно наглядно это проявляется в экономиках, для которых характерно отсутствие чрезмерно жесткой детерминированной составляющей - административной системы и наличие рыночной системы хозяйствования. Свою сконцентрированную сущность неопределенность проявляет в риске. Фрэнк Найт (1921) впервые обратил внимание на проблему экономического риска как таковую и выдвинул следующее положение: Вся подлинная прибыль связана с неопределенностью. С начала 40-х годов анализ уровня риска признается одним из основных условий принятия адекватных экономических решений, в том числе и в финансовом секторе. Примерно в 60-е годы такой анализ становится предметом междисциплинарных исследований и приобретает статус общенаучного понятия, которое выходит за границы той или иной частной науки. В настоящее время проблема риска и прибыли является одной из ключевых в экономической деятельности, в частности в управлении производством и финансами. Несмотря на то, что в экономической литературе термин риск используется часто, его трактовка весьма многообразна. Разнообразие мнений о сущности риска объясняется многоаспектностью этого явления, практически полным его игнорированием в существующем хозяйственном законодательстве (особенно по сравнению с западным законодательством), недостаточном использованием в реальной экономической практике и управленческой деятельности. В экономической литературе широко распространено суждение о риске как о возможной опасности или неудаче. Так, в частности: Х риск - это ситуативная характеристика деятельности любого производителя, в том числе и банка, отображающая неопределенность ее исхода и возможные неблагоприятные последствия в случае неуспеха;

Х риск - неопределенность, связанная с некоторым событием;

Х риск - вероятность того, что произойдет событие, которое неблагоприятно скажется на прибыли или капитале банка;

Х риск - это вероятность возникновения убытков или недополучения доходов по сравнению с прогнозируемым вариантом;

Х риск - вероятность потери предприятием части своих ресурсов, недополучения доходов или появления дополнительных расходов в результате осуществления определенной производственной или финансовой деятельности;

Х риск - это действие, выполняемое в условиях выбора, когда в случае неудачи существует возможность оказаться в худшем положении, чем до выбора;

Х риск - это полувариация распределения всех исходов, взятая лишь для негативных последствий и по отношению к некоторой установленной базовой величине;

Х риск - это взвешенная линейная комбинация вариации и ожидаемой величины (математического ожидания) распределения всех возможных исходов;

Х риск - это деятельность, связанная с преодолением неопределенности в ситуации неизбежного выбора, в процессе которого имеется возможность количественно и качественно оценить вероятность достижения предполагаемого результата, неудачи и отклонения от цели;

Х риск - это возможность ненаступления каких-либо ожидаемых событий, возможность отклонения каких-либо величин от некоторых их (ожидаемых) значений.

Как видно из приведенных выше определений различные авторы видят природу возникновения риска по-разному. Для одних риск связан с ситуацией неопределенности, для других с совокупностью различных обстоятельств и условий, оказывающих влияние на деятельность организации. Для третьих риск лишь тождественен понятию вероятности. Для четвертых - это мера опасности при выборе, который необходимо сделать (то есть решение, которое нужно принять). Не углубляясь в вопрос выбора наиболее адекватного определения этого термина, отметим тот факт, что природа возникновения риска раскрывается через сопутствующие ему условия, такие как наличие неопределенности, необходимость выбора альтернативы и возможность оценить вероятность осуществления выбираемых альтернатив. Кроме того, риск экономической деятельности необходимо оценивать в стоимостном выражении. 4.2. Управление рисками Менеджмент риска - одна из важнейших областей современного управления, связанная со специфической деятельностью менеджеров в условиях неопределенности, сложного выбора вариантов управленческих действий. Наличие риска неизбежно в рыночном хозяйствовании, причем, чем выше уровень риска, тем больше при прочих равных условиях прибыль. В настоящее время, как мировой, так и локальные рынки характеризуются нестабильностью и возможностью непредсказуемых изменений. Бурно развивается рисковый бизнес. В этих условиях менеджер, избегающий рискованных решений, становится опасным для организации, обрекает ее на застой, потерю конкурентоспособности. С расширением зоны рискованных ситуаций риск-менеджмент становится объективно необходимым и весьма значимым элементом управления, важнейшей предпосылкой делового успеха. Управление риском можно охарактеризовать как совокупность методов, приемов и мероприятий, позволяющих в определенной степени прогнозировать наступление рисковых событий и принимать меры к исключению или снижению отрицательных последствий таких событий. Основной задачей управления является определение такого варианта действия, который бы обеспечивал оптимальное сочетание риска и дохода, при условии, что высокий доход одновременно означает и высокую степень риска. Конкретные методы и приемы, которые используются при принятии и реализации решений в условиях риска, в значительной степени определяются спецификой отрасли экономики, принятой стратегией достижения цели и текущей ситуацией. Управление риском представляет собой многоступенчатый процесс, в котором можно выделить следующие этапы: Х анализ риска - начальный этап, имеющий целью получение необходимой информации о структуре, свойствах объекта и имеющихся рисках;

Х выбор методов воздействия на риск при оценке их сравнительной эффективности - на этом этапе производится оценка риска, сущность которой сводится к количественному описанию выявленных рисков и определению таких их характеристик, как вероятность и размер возможного ущерба;

Х принятие решений - на этом этапе появляется возможность сформировать общую стратегию управления всем комплексом рисков предприятия;

Х воздействие на риск - на этом этапе осуществляется процесс непосредственного воздействия на риск, который представлен тремя основными способами: 1. снижение риска - подразумевает уменьшение размеров возможного ущерба, или вероятности наступления неблагоприятных событий. Чаще всего снижение достигается за счет осуществления предупредительных организационно-технических мероприятий;

2. сохранение риска - означает как отказ от любых действий, направленных на компенсацию ущерба, так и создание специальных резервных фондов, из которых будет производиться компенсация убытков при наступлении неблагоприятных ситуаций;

3. передача риска - означает передачу ответственности за него третьим лицам при сохранении существующего уровня риска;

контроль и корректировка результатов - является заключительным этапом реализации выбранной стратегии с учетом новой информации. Контроль состоит в получении данных от менеджеров о произошедших убытках и принятых мерах по их минимизации.

4.3.

Риски в банковской деятельности Банк, как и любой самостоятельно хозяйствующий субъект, ставит своей главной целью получение максимального дохода при допустимом уровне риска. Однако особенности оказываемых банком услуг заставляют его уделять особое внимание контролю за рисками. Эти особенности, в первую очередь, раскрываются через функции банка и перечень осуществляемых им операций. Выделяют четыре основные функции банка: Х осуществление расчетов между хозяйствующими субъектами основная функция банка и присуща только ему. Иными словами, банк обеспечивает платежный оборот, который является основой хозяйственных взаимоотношений. Основная масса расчетов осуществляется в безналичной форме, путем списания средств с банковских счетов на основании представленных платежных документов и в пределах остатка средств на счете;

Х привлечение средств - одной из задач банка является аккумулирование свободных денежных средств для последующего их распределения в виде кредитного ресурса;

Х размещение средств - кредит является основным источником развития любого предприятия и, нуждаясь в свободных средствах, субъекты вынуждены обращаться в банк;

Х операции на рынке ценных бумаг - покупка ценных бумаг, является одним из видов кредитования, и банк, обладая свободными средствами, представляет собой одного из самых активных игроков на рынке ценных бумаг. Таким образом, отличие банка, как предприятия заключается в том, что он производит продукт, существенно отличающийся от продукта, производимого в сфере материального производства - он производит товар в виде денег и платежных инструментов, поэтому банк можно определить, как предприятие или денежно-кредитный институт, осуществляющий регулирование платежного оборота в наличной и безналичной форме. Из вышеперечисленных функций можно сделать вывод, что специфика кредитной организации заключается в том, что операции, позволяющие ей получать прибыль, совершаются за счет чужих, или привлеченных средств. Следовательно, наиболее остро встает вопрос измерения риска проводимых операций: риска неполучения дохода или риска полной потери размещенных средств, что может привести не только к потери прибыли, но и к банкротству банка. Таким образом, основные задачи банковского менеджмента могут быть сведены к одной - задаче управления банковскими рисками. Причем необходимо отметить, что эта задача не является тождественной задаче минимизации риска, поскольку риск прямо пропорционален доходности и простое сведение риска к минимуму может настолько уменьшить прибыль, что вызовет отток акционерного капитала. Следует отметить, что множество разнообразных операций, совершаемых банком, означает и множество разнообразных видов рисков, с которыми он сталкивается в процессе своей деятельности. Следовательно, для успешного управления всем множеством банковских рисков необходимо их упорядочивание с целью разработки системы оценки и управления каждым из них. Эта задача решается с помощью разработки систем классификации финансовых рисков. Риски, с которыми сталкиваются банки в процессе своей деятельности, отличаются друг от друга местом, временем и причиной возникновения, что влияет на выбор метода управления ими. В экономической литературе можно встретить множество различных классификаций банковских рисков. Так в частности, риски можно классифицировать по следующим основаниям: Х По связи с другими рисками: некоррелированный коррелированный, замещаемый - незамещаемый;

простой, сложный (из нескольких рисков);

Х По оценке масштабов последствий: катастрофический, критический, значительный, умеренный, незначительный, малый;

Х По возможностям управления: явный, скрытый, измеримый, прогнозируемый, непредсказуемый, передаваемый, непередаваемый, управляемый, неуправляемый, прямой, косвенный;

Х По источнику риска: систематический, индивидуальный;

Х По экономическим последствиям: риск банкротства, потери капитала, потери дохода, упущенной прибыли, не эффективных инвестиций. Также можно встретить классификации рисков по: Х времени возникновения (ретроспективные, текущие и перспективные);

Х причинам возникновения (политические и экономические);

Х характеру учета (внешние и внутренние);

Х сферам возникновения (производственные, коммерческие и финансовые) Интересно обратить внимание на различие в подходах к классификации банковских рисков у отечественных и зарубежных авторов, что связано, в первую очередь, с различиями в восприятии риска обществом. Так, например американский ученый П. Роуз выделяет следующие виды рисков: Х кредитный риск - вероятность того, что стоимость части активов банка, в особенности кредитов, уменьшится или сведется к нулю;

Х риск несбалансированной ликвидности - риск недостаточности наличных и привлеченных средств для того, чтобы обеспечить возврат депозитов, выдачу кредитов и т.д. Х рыночный риск - риск неустойчивости процентных ставок, особенно на обращающиеся на рынке ценные бумаги;

Х процентный риск - влияние движения процентных ставок на маржу банковской прибыли;

Х риск недополучения прибыли - риск уменьшения чистой прибыли банка;

Х риск неплатежеспособности - риск банкротства Кроме вышеперечисленных рисков, Роуз указывает, что банк в процессе своей деятельности может также столкнуться и со следующими рисками: Х инфляционный риск - вероятность того, что повышение цен на товары и услуги сведут к нулю покупательную способность прибыли банка и его выплат акционерам;

Х валютный, или курсовой, риск - вероятность того, что изменение курсов иностранных валют приведет к появлению у банка убытков вследствие изменения рыночной стоимости его активов или пассивов;

Х политический риск - вероятность того, что изменение законодательных или регулирующих актов внутри страны или за ее пределами окажет негативное воздействие на прибыль, операции и перспективы банка;

Х риск злоупотреблений - возможность того, что владельцы банка, его служащие или клиенты нарушат закон, а это повлечет за собой убытки для банка вследствие мошенничества, растраты, кражи или других незаконных действий. Как можно заметить, в данной классификации на первое место выходят риски, непосредственно связанные с проводимыми банком операциями, то есть те, управление которыми зависит непосредственно от банка. Если же посмотреть классификации, приводимые нашими учеными, то здесь в первую очередь внимание обращается на макрориски, не связанные непосредственно с банковскими операциями. Так, например Д. Шаплыко во главу угла ставит следующие риски, влияющие на конкурентную устойчивость банка и его надежность для клиентов:

Х политический - риск реставрации политической системы, не опирающейся на общепринятые законы развития рыночной экономики;

Х экономический - риск отходов от законов рыночной экономики;

Х финансовый - риск незапланированных убытков;

Х экологический - риск загрязнения окружающей среды;

Х психологический - риск того, что люди перестанут доверять государству, как гаранту защиты их прав и интересов;

Х социальный - риск разрешения конфликтов, в формах мешающих социально-экономическому развитию страны С нашей точки зрения, наиболее удачно задачу построения системы классификации с точки зрения управления рисками решила группа под руководством У. Гулда. Первоначально все риски, с которыми сталкивается банк в процессе своей деятельности, были разделены на 3 группы: Х финансовые - связанные с непредвиденными изменениями в объемах, доходности, стоимости и структуре активов и пассивов;

Х функциональные - возникают вследствие невозможности своевременно и в полном объеме контролировать финансовохозяйственный процесс, собирать и анализировать соответствующую информацию. В отличие от финансовых рисков, их труднее идентифицировать и определить количественно. Х внешние по отношению к банку риски. Кроме этого, каждый из видов рисков можно разделить на ряд подкатегорий. Финансовые риски обычно подразделяются на: Х кредитный риск - означает возможность финансовых потерь вследствие невыполнения обязательств заемщиками. Этот вид риска возникает при осуществлении операций кредитования, формирования портфеля ценных бумаг, межбанковских операциях, валютных операциях, работе с гарантиями и поручительствами, производными ценными бумагами и дилерской деятельности;

Х риск ликвидности - риск того, что банк не сможет своевременно выполнить свои обязательства или для этого потребуется продажа отдельных активов банка на невыгодных условиях, а также риск потери доходов банка из-за избытка высоколиквидных активов и, как следствие, неоправданного финансирования низкодоходных активов за счет платных ресурсов;

Х ценовой риск - обозначает целую группу рисков и связан с возможностью непредвиденного изменения доходности или стоимости активов и обязательств банка. Тремя ключевыми для банка рисками, относящимися к этой группе, являются риск изменения процентных ставок, рыночный и валютный риски. Валютный риск и риск изменения процентных ставок выделяют ввиду их первостепенной важности, а к ценовому риску относят лишь риски, связанные с изменением цен на остальные активы, в первую очередь ценные бумаги. В этом случае ценовой риск является тождественным понятию рыночного риска;

Х риск изменения процентных ставок - риск того, что на прибыль банка отрицательно повлияют непредвиденные изменения в общем уровне процентных ставок. Риск изменения процентных ставок возникает как результат их непостоянства и является обычным явлением для рыночной экономики;

Х базисный риск - является противоположностью риску изменения процентных ставок и связан со сдвигами в структуре процентных ставок - асимметрии в движении отдельных процентных ставок;

Х валютный риск - возникает при формировании активов и пассивов с использованием валют иностранных государств. Валютный риск может быть обусловлен рядом факторов, среди которых выделяют рыночный, политический, экономический и социальный. Выделяют три составляющих валютного риска: 1. риск изменения обменного курса - риск обесценивания вложений в иностранную валюту вследствие непредвиденного изменения обменного курса;

2. риск конвертирования - связан с ограничениями в проведении обменных операций;

3. риск открытой валютной позиции - связан с несоответствием объемов активов и обязательств банка в иностранной валюте. Х рыночный риск - обусловлен возможным воздействием рыночных факторов, влияющих на стоимость активов, пассивов или забалансовых статей;

Х риск инфляции - один из самых неоднозначных рисков, поскольку с одной стороны в результате инфляции происходит обесценивание банковских активов, а с другой стороны высокая инфляция повышает доходность банковских операций и повышает платежеспособность заемщиков из числа торговых предприятий;

Х риск неплатежеспособности фактически является производным от других рисков и связан с опасностью того, что банк не сможет выполнить свои обязательства, потому что объемы накопленных убытков превысят его собственный капитал. Функциональные риски подразделяются на: Х стратегический риск - риск, связанный с ошибками в стратегическом управлении из-за неверного формулирования целей организации, неверного ресурсного обеспечения их реализации и неверного подхода к управлению банковскими рисками в целом;

Х технологический риск - риск связан с использованием различной техники и технологий и является причиной потерь из-за расходов на устранение неполадок в работе оборудования, несанкционированного доступа к секретной информации и сбоями в системе электронных платежей;

Х операционный риск - риск несоответствия расходов банка на осуществление своих операций и их результативностью;

Х внедренческий риск - риск связан с внедрением новых технологий и по своей сути является риском экономического освоения: риском того, что не будет достигнута запланированная окупаемость новых банковских продуктов, услуг, операций подразделений или технологий.

Внешние риски подразделяются на: Х риск несоответствия - риск несоответствия условиям государственного регулирования и обусловлен как непредвиденными изменениями условий государственного регулирования, так и возможными проблемами во внутрибанковской системе управления. Может привести к потерям в результате санкций органов государственного регулирования и надзора, потери репутации банка и убыткам вследствие упущенной выгоды или прямых потерь из-за ограничения спектра банковской деятельности или снижения доходности операций;

Х риск потери репутации - риск связан с неспособностью банка поддерживать свою репутацию как надежного делового партнера. Преимущество данной классификации заключается в том, что она в качестве критерия разделения рисков берет не только источник их возникновения, но и место их проявления. Фактически это классификация по методам управления рисками. В распоряжении банка имеется множество общих и специфических подходов, методов и методик управления отдельными видами риска (см таблицу 3).

Таблица 3.

Способы управления некоторыми видами финансового риска Подходы, методы, техника(методика) управления контроль, Все виды Анализ, мониторинг, установление финансового лимитов, внутренний аудит, риска управленческие информационные системы Вид риска Финансовые и организационные инструменты Лимиты, центры отчетности, управленческая отчетность, положения, стандарты, инструкции, регламенты Управление кредитным портфелем, авторизация, диверсификация, хеджирование, обеспечение, ранжирование, ценообразование, участие в капитале, формирование ФПГ Риск Управление активами и ликвидности пассивами, управление балансом, управление движением денежных средств, управление фондами, активное управление портфелем, конверсия фондов, секьюритизация Риск изменения Управление активами и пассивами, управление процентных разрывом, хеджирование, ставок ценообразование Валютный риск Управление открытой позицией, хеджирование, диверсификация Кредитный риск Резервы на случай потерь по кредитам, кредитные рейтинги Первичные и резервы, инструменты рынка вторичные минибанки, денежного Процентные опционы, свопы Валютные опционы, инструменты рынка фьючерсы, фьючерсы, свопы, денежного Чтобы преуспеть в той области деятельности, для которой характерен повышенный риск, банкам следует развивать особые механизмы принятия решений. Они должны позволять оценить, какие риски и в каком объеме может принять на себя кредитная организация;

определить, оправдывает ли ожидаемая доходность соответствующий риск и на основе полученной информации разработать и претворить в жизнь мероприятия, которые позволяют снизить влияние фактора риска. Методом реализации данной задачи является разработка систем управления риском, которые позволяют руководству банка выявить, локализовать, измерить и проконтролировать тот или иной вид риска и тем самым минимизировать его влияние.

4.3.1 Использование информационных технологий в банковском деле Интеграция России в мировое экономическое сообщество, происходившая в последние годы, привела к тому, что все современные тенденции мировой экономики оказывают прямое влияние на развитие нашей экономики. Основными тенденциями развития мировой банковской системы, являются дерегулирование, росте конкуренции, повышение уровня банковских рисков и т.д. Среди этих тенденций выделим современную технологическую революцию, а именно существенный рывок в развитии науки и техники, особенно в области компьютерных и телекоммуникационных средств, который обеспечил возможность применения разнообразных банковских технологий, недоступных ранее. Понятие технология пришло из производства и буквально определяется как система взаимосвязанных способов обработки материалов и приемов изготовления продукции в производственном процессе. Под информационной технологией понимают систему методов и способов сбора, накопления, хранения, поиска и обработки информации на основе применения средств вычислительно техники. Понятие информационной технологии (ИТ) неотделимо от среды, в которой она организована, то есть от технической и программной сред. Сами по себе, как обособленные единицы, информационные технологии имеют мало ценности, однако их роль существенно возрастает, когда мы начинаем рассматривать их в привязке к предметной области, где они функционируют. Эта позволяет говорить о связи предметной и функциональной ИТ. Предметная технология представляет собой традиционную технологию решения экономических и управленческих задач и характеризуется, как последовательность технологических этапов по модификации первичной информации в результатную, вне зависимости от используемого инструментария. В привязке к конкретному примеру из банковской деятельности можно описать последовательность открытия предприятием лицевого счета: предоставление уставных документов, заключение договора на расчетно-кассовое обслуживание и получение справки об открытие счета. В свою очередь функциональная информационная технология представляет собой информационную технологию, реализованную в конкретной предметной области. В привязке к предыдущему примеру с открытием лицевого счета - АРМ бухгалтера, включающий набор стандартных технологий, обеспечивающих ведение Плана счетов банка. Отметим, что первоначально БИС состояли из подобных АРМов, реализующих исключительно стандартные технологии, когда интересы банкиров в области автоматизации технологических процессов ограничивались вводом проводок и получением обязательной отчетности. Однако в последние годы произошли сильные изменения, которые повлияли на отношение банков к используемым информационным технологиям. Среди этих изменений выделим: Х уменьшение числа спекулятивных операций;

Х снижение темпов инфляции, которая являлась источником сверхвысоких прибылей для коммерческих банков;

Х ужесточение контроля за банковской деятельностью со стороны Центрального Банка, и как следствие увеличение и усложнение отчетных форм;

Х рост конкуренции на рынке банковских услуг, что привело к снижению уровня прибыли;

Х развитие и проникновение компьютерных технологий во все сферы человеческой деятельности.

Все эти факторы привели к усложнению банковских операций и обусловили необходимость использования информационных технологий даже в таких трудно формализуемых областях как стратегическое управление и планирование. Таким образом, усложнение предметных технологий привело к тому, что их использование стало физически невозможно без использования компьютерных технологий, то есть предметная и функциональная ИТ стали неразрывно связаны. Технологии все в большей степени непосредственно воздействуют на индустрию финансовых услуг и способы конкуренции. Однако не только развитие, но и выживание банка на рынке все более и более зависит от успешного внедрения и использования информационных технологий. Эффективность их использования является ключевым фактором, оказывающим влияние на способность банка оставаться конкурентоспособным. Применяя все более сложные методы сбора и накопления данных, банк может автоматизировать многие из своих функций, что позволяет достичь значительных преимуществ в ряде ключевых областей управлении банком, таких как управление рисками, стратегическое планирование и др.

4.3.2 Риск при использовании информационных технологий Как это часто бывает, основополагающие факторы успеха обычно являются и основным источником опасности для организации. Так и информационные технологии, являясь ведущим фактором успешного развития банка, одновременно являются и главным источником риска и финансовых потерь. Неработоспособность компьютерных систем даже в течение нескольких часов может привести к серьезным финансовым потерям, а при более длительных сроках - поставить под угрозу существование банка. Согласно данным исследований, спустя две недели после прекращения работы вычислительных систем у 75 % компаний потеря функционирования становится критической или полной. Оценки потерь от преступлений, связанных с вмешательством в БИС различны. По данным из разных источников ущерб за 1998 год составляет от 170 млн. до 40 млрд. долларов США. Причем в 99% случаев к крупным финансовым потерям приводит систематическое пренебрежение мерами безопасности. В результате отказов информационных систем банк может понести: Х финансовый ущерб из-за невозможности своевременно обрабатывать счета, задержек платежей, нарушения учета и т.п.;

Х неосязаемые убытки, связанные с задержкой выполнения операций, потерей расположения заказчика, распространением неблагоприятной информации о нестабильности работы банка, ухудшением имиджа, снижением конкурентоспособности и уменьшением доли на рынке;

Х юридическую ответственность за невыполнение обязательств. Таким образом, риск информационных систем в последнее время стал одним их тех видов, не учитывая который можно прийти не только к уменьшению доходов банка, но и прекращению существования в качестве самостоятельного хозяйствующего субъекта. Это заставило уделить особое внимание такому новому для банков виду рисков как информационный, и потребовало разработки специальных методов по его оценке и управлению.

4.3.3 Risks in computer and telecommunication system. Возросшее влияние информационного риска на функционирование банковских организаций привело к тому, что на них обратил серьезное внимание Базельский комитет по банковскому надзору, который в своем документе Risks in computer and telecommunication system. выделил следующие составляющие операционного риска в компьютерных и телекоммуникационных системах: Х риск безопасности (риск мошенничества) - связан с риском противоправного использования информации, с которой оперирует система, в целях, противоречащих интересам банка. Особенностью операционного риска в контексте функционирования компьютерных систем является то, что большие объемы информации могут быть выведены из системы без оставления следов несанкционированного проникновения, что может привести к ухудшению репутации банка и выдвижению против банка имущественных исков. Х риск совершения ошибки - риск связан с ошибками, которые возникают при вводе данных в систему, модификации программного обеспечения и во время технического обслуживания;

Х риск прерывания нормальной деятельности вследствие сбоев в работе программного и аппаратного компонентов компьютерной системы - риск уязвимости компьютерных систем, вследствие непредвиденных происшествий;

Х риск неэффективного планирования;

Х риск неадекватного исполнения управляющим звеном своих обязанностей - сводится к неготовности банка к чрезвычайной ситуации. Кроме этого Базельским комитетом были разработаны международные стандарты по контролю за операционными рисками, в соответствии с которыми подсистема внутреннего контроля за автоматизированными банковскими системами может быть условно разделена на две составляющие: Х подсистему общего контроля, связанную с процедурами, сопутствующими работе компьютерных систем (контроль за разработкой систем, контроль безопасности, контроль за тестированием систем и т. д.);

Х подсистему частного контроля, связанную с функционированием конкретной компьютерной системы (системы бухгалтерского учета, системы электронных платежей и т. д.) Общий контроль связан с условиями, в рамках которых компьютерные системы разрабатываются, устанавливаются, отлаживаются и функционируют. Задачей такого контроля является разработка и обеспечение выполнения соответствующих требований при создании и применении конкретных систем, а также обеспечение совместимости данных, программных продуктов и операционных процедур в пределах организации. Частный контроль связан с данными, операциями и сделками, учитываемыми в конкретной системе и, следовательно, является специфичным для каждой системы. Целью такого контроля является гарантирование полного и корректного ввода, обработки и выдаче информации. Общий контроль в свою очередь может быть подразделен на системный и административный. Системный контроль включает в себя следующие процедуры: Х проверка реальности внедрения новой системы или модернизации существующей;

Х наличие стандартных процедур утверждения с перечислением должностных лиц, в них участвующих;

Х участие конечных пользователей в процессе разработки и внедрения системы;

Х наличие стандартизированных документации и спецификаций аппаратных и программных средств, позволяющих уменьшить зависимость функционирования системы от обслуживающего ее персонала;

Х предварительное тестирование систем с привлечением конечных пользователей;

Х наличие задокументированных процедур приемки системы;

Х контроль за конвертацией данных из старой системы в новую. После принятия системы в эксплуатацию, дальнейший контроль за ее функционированием осуществляется с использованием процедур административного контроля, который включает в себя: Х адекватное разделение ответственности персонала и формальное закрепление последовательности прохождения распоряжений по системе, построение иерархической системы ответственности работников;

Х наличие инструкций для операторов и руководства пользователей;

Х стандартизованные операционные процедуры: профессиональное соответствие персонала, ротация должностных обязанностей, наличие отработанного плана действий в случае возникновения чрезвычайных ситуаций, аудит всех действий пользователей в системе;

Х контроль за правильным и полным приемом и безопасной передачей данных;

Х регламентация операций, проверка адекватности системной документации, контроль за распределением итоговых данных, аудит проводимых в системе операций и анализ произошедших сбоев;

Х контроль за сохранностью информации, как на физическом, так и логическом уровне;

Х разработка мер по обеспечению пожарной безопасности и энергозащите оборудования. Все вышеперечисленные методы используются при управлении операционными рисками, классификация которых была приведена в предыдущем параграфе. Данные по методам управления приведены в таблице 4.

Таблица Меры по оптимизации операционных рисков Вид риска Риск безопасности Методы управления Х планирование обеспечения безопасности, как часть общесистемного планирования;

Х наличие системных решений, способных усилить безопасность информационных технологий;

Х разработка внутрибанковской политики обеспечения безопасности;

Х операционная безопасность;

Х физическая безопасность;

Х контроль доступа к информационным системам;

Х обмен опытом;

Х подготовка персонала. Х наличие встроенных программных модулей, контролирующих правильность и полноту ввода информации;

Х дружественный интерфейс;

Х утвержденные процедуры контроля изменений;

Х подготовка персонала;

Х разработка операционных инструкций. Х наличие официально утвержденного плана действий в чрезвычайных ситуациях;

Х наличие резервной системы и правил перехода на нее Риск совершения ошибки Риск прерывания нормальной деятельности Разработка стратегического плана, содержащего конечные Неэффективцели технического развития организации и наличие увязок ное планирование плана с другими ключевыми требованиями к деятельности банка Риск Х пруденциальная практика;

неадекватноХ наличие официально утвержденного плана действий в го исполнечрезвычайных ситуациях;

ния Х успешная организация поддержания и использования систем управляющим звеном своих обязательств 4.3. Безопасность информационных систем и методы ее оценки.

Основным господствующем на данный момент подходом к управлению рисками при использовании информационных систем является тот, при котором системы рассматриваются, как объекты, требующие защиты от угроз, то есть все разрабатываемые в рамках этого подхода методы оценки и управления в качестве своей главной цели ставят обеспечение безопасности, как самих систем, так и хранящейся в ней информации. Информация, хранящаяся в БИС, затрагивает интересы большого количества людей и организаций, поскольку эта информация представляет собой реальные деньги (остатки на счетах). На основании этой информации могут производиться платежи, начислять проценты и выдавать кредиты. Любое манипулирование этой информацией может привести к серьезным убыткам. Проблемы безопасности усложняются в связи с развитием и распространением компьютерных сетей. Распределенные системы и системы удаленного доступа выдвинули на первый план вопрос защиты обрабатываемой и передаваемой информации. Можно выделить несколько особенностей современных БИС, которые отрицательно влияют на информационную безопасность: Х реализация на принципах открытой архитектуры, в которой самыми уязвимыми местами являются связи между элементами (АРМами, подсистемами БИС). Модель информационного взаимодействия ISO предусматривает наличие систем безопасности только на соответствующих уровнях, но не в рамках интерфейсов между нами;

Х реализация без учета возможного использования в корпоративной сети (взаимодействия удаленных объектов БИС через коммутируемые линии), что приводит к большим дополнительным затратам;

Х неэффективность парольной защиты вне зависимости от используемых средств криптозащиты и алгоритмов аутентификации;

Х возможность реализации средствами СУБД бизнес - логики, что создает канал опосредованного воздействия на Базу Данных. Проблема усугубляется тем, что эти процедуры зачастую хранятся не в виде бинарных кодов, которые можно было бы охватить средствами контроля целостности, а вместе с данными, и специальные механизмы их выделения отсутствуют. Х БИС является прикладной программой и работает под управлением ОС со всеми их особенностями и недостатками. Целью любых мероприятий по обеспечению безопасности БИС является защита владельцев и законных пользователей от нанесения им материального и морального ущерба в результате случайных или преднамеренных воздействий на систему. Под безопасностью БИС понимается ее защищенность от случайного или преднамеренного вмешательства в нормальный процесс ее функционирования, а также от попыток хищения, модифицирования или разрушения ее компонентов, то есть способность противодействовать различным возмущающим воздействиям. Различают внешнюю и внутреннюю безопасность БИС. Внешняя безопасность включает как защиту от случайных внешних воздействий, так и защиту от несанкционированного доступа к информации и любых несанкционированных действий. Внутренняя безопасность связана с регламентацией деятельности пользователей и обслуживающего персонала, с организацией доступа к ресурсам системы и информации. К основным угрозам безопасности информации можно отнести: Х раскрытие конфиденциальной информации - осуществляет через несанкционированный доступ к базам данных, прослушивание каналов, другими способами;

Х изменение информации или внесение несанкционированных изменений в базы данных, в результате чего пользователь должен либо отказаться от информации, либо предпринять дополнительные усилия по ее восстановлению;

Х несанкционированное использование информации - является средством раскрытия и модификации информации, и, вместе с тем, может нанести финансовый ущерб при ее использовании;

Х ошибочные использование информации - является следствием ошибок, имеющихся в программном обеспечении БИС;

Х несанкционированный обмен информацией - может привести к получению пользователем сведений, доступ к которым ему закрыт. Х отказ от информации - состоит в непризнании отправителем или получателем фактов получения или посылки информации, что может нанести одной из сторон значительный ущерб;

Х отказ в обслуживании - представляет собой задержку в предоставлении информации, что может привести к ошибочным действиям пользователя. Дополнительные трудности в обеспечении безопасности вызывают использование локальных или глобальных вычислительных сетей. Трудности могут быть связаны: Х с обеспечением сохранности информации, как в памяти ЭВМ, так и на отдельных носителях;

Х с обеспечением достоверности информации при ее передаче по каналам связи;

Х с обеспечением идентификации информации при ее передаче по каналам связи. Кроме того, сами меры по защите информации приводят к: Х увеличению трудности работы с защищенной системой;

Х увеличению стоимости защищенной системы;

Х дополнительной нагрузкой на системные ресурсы Х необходимости привлечения дополнительного персонала, отвечающего за системы защиты.

Кроме этого защищенность объекта не должна мешать его полезному использованию, поскольку сам по себе банк не является закрытой системой, а существует благодаря связям с клиентами, банками-корреспондентами, биржами, то есть внешним миром. Таким образом, при проектировании систем защиты банк должен искать оптимальное сочетание защищенности и открытости своей информационной системы. Некоторое время назад были согласованы и приняты критерии оценки безопасности информационных технологий (Information Technology Security Evaluation Criteria, ITSEC), которые рассматривают следующие составляющие информационной безопасности: Х конфиденциальность - защита от несанкционированного получения информации;

Х целостность - защита от несанкционированного изменения информации;

Х доступность - защита от несанкционированного закрытия доступа к информации. ITSEC выделяет следующие функции, обеспечивающие защищенность информации: Х идентификация и аутентификация - проверка подлинности пользователей, регистрация новых и удаление старых пользователей, проверки аутентификационной информации, контроля целостности и ограничения числа повторных попыток аутентификации;

Х управление доступом - ограничение доступа к базам данных и распределение прав доступа пользователям;

Х аудит - проверка корректности совершаемых пользователям действий, протоколирование всех действий пользователей в системе;

Х повторное использование объектов - действие пользователей не должны приводить к необратимым последствиям в базе данных;

Х точность информации - подразумевает однозначное соответствие между различными частями данных одной системы обеспечиваемое точностью связей и неизменности данных при передаче между процессами;

Х надежность обслуживания - гарантия того, что пользователи в срок получат ту информацию, которую они запрашивают, и что время доступа к требуемым ресурсам не будет превышать допустимое для выполнения данной процедуры;

Х обмен данными - обеспечивает безопасный обмен информацией с внешней средой через коммуникационные каналы и предъявляет свои требования по наличию функций безопасности, таких как аутентификация, управление доступом, конфиденциальность, целостность, невозвратность совершенных действий. Сходные критерии оценки безопасности информации позже были сформулированы Гостехкомиссиией при Президенте РФ в наборе Руководящих документов по защите информации, которые основываются на Концепциях защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации. В этом документе определяются основные принципы и методы защиты информации, способы возможного покушения на нее, классификация нарушителей, а также классификация средств вычислительной техники (устанавливается 7 классов от 1 до 7 по возрастанию) и автоматизированных систем (9 классов от 1 до 9 по возрастанию) по уровню защищенности от несанкционированного доступа. В данном документе четко разделяется защита средств вычислительной техники и защита информационных систем, как два основных аспекта обеспечения информационной безопасности. В качестве главного средства защиты от несанкционированного доступа рассматривается система разграничения доступа, обеспечивающая следующие функции: Х разграничение доступа к данным;

Х разграничение доступа к устройствам печати;

Х изоляция процессов, то есть доступ пользователя только к своим процессам;

Х управление потоками данных с целью предотвращения несанкционированной записи на внешней носитель или передаче информации;

Х реализация правил обмена между пользователями в вычислительной сети. Для поддержки системы разделения доступа предлагается следующий перечень, по своему содержанию пересекающийся с перечнем ITSEC: Х идентификация и аутентификация пользователей, и привязка пользователя к своему исполняемому процессу;

Х регистрация действий пользователя и его процесса;

Х возможность включения и удаления пользователей, изменение списка подсистем и изменений полномочий пользователя;

Х реакцию на попытки несанкционированного доступа, такие как сигнализация, блокировка, восстановление после несанкционированного доступа;

Х тестирование;

Х очистка оперативной памяти и рабочих областей носителей после работы с защищенными данными;

Х учет отчетов, выходных форм и твердых копий;

Х контроль целостности программной и информационной части. Обеспечение информационной безопасности исключительно организационными методами приводит к большим затратам на построение системы защиты. Для снижения стоимости и повышения эффективности защиты в современных условиях применяются дополнительные меры, называемые логическими. Основу этих мер составляют криптографические средства защиты информации. Под криптографическими средствами понимают реализацию криптографических алгоритмов и правил их использования (протоколов). На практике используются три основных разновидности криптографических механизмов. Эти механизмы обеспечивают аутентификацию, сертификацию и шифрование. Аутентификация дает возможность убедиться, что сообщение получено от пользователя зарегистрированного в системе. Сертификация дает возможность удостоверится в том, что сообщение не было модифицировано с момента отправки (функция контроля целостности). Шифрование или кодирование позволяет преобразовать данные с помощью секретного механизма, к которому нельзя подобрать ключ за приемлемое время и призвано решить сразу несколько задач: Х сжатие информации с целью сокращения времени передачи по каналам связи;

Х защита информации от ошибок и искажений;

Х защита информации от несанкционированного доступа. Под кодированием обычно принято понимать процесс преобразования информации из одного представления в другое. Процесс обратного преобразования в этом случае называют декодированием. Исторически задачу кодирования информации решали с помощью коммерческих кодов. С развитием вычислительной техники принципы построения кодов для защиты информации претерпели существенные изменения. Теперь при кодировании информации уже не ограничиваются одним заранее выбранным постоянным кодом, а меняют его от сеанса к сеансу, от сообщения к сообщению. Такие коды строятся по методу случайного выбора: конкретный код выбирается случайным образом из множества однотипных кодов, а получателю информации сообщается каким кодом он должен воспользоваться для декодирования полученной информации. Обычно параметр, описывающий конкретный код, стараются сделать максимально простым - это просто некая строка символов или целое число. Этот параметр обычно называют ключом, или номером кода, лишь зная который можно легко декодировать закодированное сообщение. При этом степень надежности защиты информации будет определяться главным образом надежность хранения пользователем своего персонального ключа, с помощью которого он выбирает конкретный код из множества возможных. Несмотря на то что, шифрование призвано решать множество задач, ее основной задачей остается скрывать содержимое сообщения с конфиденциальной информацией. Желательно чтобы методы шифрования обладали как минимум двумя свойствами: Х получатель сможет выполнить обратное преобразование и расшифровать сообщений;

Х при получении несанкционированного доступа к сообщению, по нему нельзя будет восстановить исходное сообщения без таких затрат времени и средств, которые сделают эту работу нецелесообразной. На практике обычно используют два алгоритма шифрования: рассеивание и перемешивание. Рассеивание заключается в распространении влияния одного символа открытого текста на множество символов шифрованного текста: это позволяет скрыть статистические свойства открытого текста Развитием этого принципа является распространение влияния одного символа ключа на много символов шифрограммы, что позволяет исключить восстановление ключа по частям. Перемешивание заключается в использовании таких шифрующих преобразований, которые исключаются восстановление взаимосвязи статистических свойств открытого и закодированного текста. Распространенный способ достижения хорошего рассеивания состоит в использовании составного шифра, который может быть реализован в виде некоторой последовательности простых шифров, каждый из которых вносит небольшой вклад в значительное суммарное рассеивание и перемешивание. В качестве простых шифров чаще всего используют простые подстановки и перестановки. Одним из лучших примеров криптоалгоритма, разработанного в соответствии с принципами рассеивания и перемешивания, может служить принятый в 1977 году Национальным бюро стандартов США стандарт шифрования данных DES. Несмотря на интенсивное и тщательное исследование алгоритма, пока не найдено уязвимых мест, но основе которых можно было бы предложить метод криптоанализа, существенно лучший, чем полный перебор ключей. В июле 1991 года введен в действие подобный отечественный криптоалгоритм ГОСТ 28147-89. Существуют также алгоритмы с симметричными (секретными) и асимметричными (открытыми) ключами. Первые в основном используются для шифрования и сертификации, вторые - для распределения криптографических ключей и формирования проверки электронной цифровой подписи (ЭЦП). Механизмы ЭЦП обеспечивают сертификацию и аутентификацию. Несмотря на то, что средства криптозащиты обеспечивают защищенность информации эффективность их использования в БИС оценивается не однозначно. Криптография традиционно ориентируется на обеспечение стойкости информации в течение многих лет при ее перехвате и расшифровке, в то время как в большинстве случаев ценность перехваченной банковской информации сохраняется в лучшем случае несколько дней. Это означает, что банк, применяя традиционные криптографические средства, неэффективно расходует финансовые средства и вычислительные ресурсы. В области криптографии до сих пор не существует теоретических работ, позволяющих соотносить затраты при применении криптозащиты со стоимостью защищаемой информации. Кроме того, в банковских системах важнейшим условием является наличие договорных отношений с финансовой ответственностью всех сторон, а на сегодняшний день технологий защиты, разрешенных к применению в России и предполагающих наличие полной финансовой ответственности, не имеется. Целью анализа рисков, связанных с эксплуатацией информационных систем (ИС), является оценка угроз (т. е. условий и факторов, которые могут стать причиной нарушения целостности системы, ее конфиденциальности, а также облегчить несанкционированный доступ к ней) и уязвимостей (слабых мест в защите, которые делают возможной реализацию угрозы), а также определение комплекса контрмер, обеспечивающего достаточный уровень защищенности ИС. При оценивании рисков учитываются многие факторы: ценность ресурсов, значимость угроз, уязвимостей, эффективность имеющихся и планируемых средств защиты и многое другое. В настоящее время используются два подхода к анализу рисков Ч базовый и полный вариант. Выбор зависит от оценки собственниками ценности своих информационных ресурсов и возможных последствий нарушения режима информационной безопасности. В простейшем случае собственники информационных ресурсов могут не оценивать эти параметры. Подразумевается, что ценность ресурсов с точки зрения организации не является чрезмерно высокой. В этом случае анализ рисков производится по упрощенной схеме: рассматривается стандартный набор наиболее распространенных угроз без оценки их вероятности и обеспечивается минимальный или базовый уровень ИБ. Полный вариант анализа рисков применяется в случае повышенных требований к ИБ. В отличие от базового варианта в том или ином виде оцениваются ресурсы, характеристики рисков и уязвимостей. Как правило, проводится анализ соотношения стоимость/эффективность нескольких вариантов защиты. При проведении полного анализа рисков необходимо: Х определить ценность ресурсов;

Х составить список угроз и оценить их вероятность;

Х определить уязвимость ресурсов;

Х разработать ряд мероприятий, направленных на снижение уровня риска Таким образом, на первом этапе анализа необходимо определить ценность ресурсов. Ресурсы обычно подразделяются на несколько классов Ч например, физические, программные ресурсы, данные. Для каждого класса необходима своя методика определения ценности элементов, помогающая выбрать подходящий набор критериев. Эти критерии служат для описания потенциального ущерба, связанного с нарушением конфиденциальности и целостности ИС, уровня ее доступности. Физические ресурсы оцениваются с точки зрения стоимости их замены или восстановления работоспособности. Эти стоимостные величины затем преобразуются в ранговую (качественную) шкалу, которая используется также для информационных ресурсов. Программные ресурсы оцениваются тем же способом, что и физические, на основе определения затрат на их приобретение или восстановление. Если для информационного ресурса существуют особенные требования к конфиденциальности или целостности (например, если исходный текст имеет высокую коммерческую ценность), то оценка этого ресурса производится по той же схеме, т. е. в стоимостном выражении. Кроме критериев, учитывающих финансовые потери, коммерческие организации могут применять критерии, отражающие: Х ущерб репутации организации;

Х неприятности, связанные с нарушением действующего законодательства;

Х ущерб для здоровья персонала;

Х ущерб, связанный с разглашением персональных данных отдельных лиц;

Х финансовые потери от разглашения информации;

Х финансовые потери, связанные с восстановлением ресурсов;

Х потери, связанные с невозможностью выполнения обязательств;

Х ущерб от дезорганизации деятельности Могут использоваться и другие критерии в зависимости от профиля организации. К примеру, в правительственных учреждениях прибегают к критериям, отражающим специфику национальной безопасности и международных отношений. Оценка информации в стоимостном выражении крайне затруднительна, поэтому зачастую для этой цели используются методики с использованием экспертных оценок. К подобным методикам, связанным с анализом информационного риска можно отнести метод, предназначенный для оценки возможных потерь от несанкционированного доступа и разрушения банковской информация на основе аддитивной модели. В основу методики положен принцип: затраты на защиту не должны превышать возможные потери. Для определения затрат обычно строятся вспомогательные структуры, определяющие ценность информации. Одной из таких структур является аддитивная модель. В рамках этой модели информация представляется в виде конечного множества элементов, и, следовательно, можно оценить суммарную стоимость в денежных единицах исходя из оценки компонент. Оценка строится на основе экспертных оценок. Однако существует проблема объективности количественной оценки компонент, что связано с их неоднородностью. Поэтому в защищаемую информацию вносят иерархически относительную шкалу (линейный порядок, который позволяет сравнивать отдельные компоненты по ценности относительно друг друга). Единая шкала означает равенство цены всех компонент, имеющих одну и ту же порядковую оценку. Пусть O1, O2, O3 - объекты. По четырехбальной шкале объекты оценены как 1 = 2, 2 = 1, 3 = 4, 4 = 3 - вектор относительных ценностей объектов. Если известна цена хотя бы одного объекта, например C1, то можно вычислить оценку одного балла: c1 = C1/1. Цена каждого следующего объекта Ci = i*c1. Сумма S = C1 + C2 + C3 дает стоимость всей информации. После определения ценности ресурсов необходимо составить список угроз и оценить их вероятность. Существует 2 основных способа составления этого списка. Первый подход использует данные статистического анализа. Он основан на накопление статистических данных о реальных происшествиях, анализ и классификация их причин, выявление факторов риска. Однако для его использования должен быть собран весьма обширный материал о происшествиях в этой области. Кроме того, применение этого подхода не всегда оправданно. Если информационная система достаточно крупная (содержит большое число элементов, расположена на обширной территории), и используется на протяжении длительного отрезка времени, то подобный подход скорее всего применим. Если система сравнительно невелика, использует только новейшие технологии (для которых пока нет достаточной статистики), оценки рисков и уязвимостей могут оказаться недостоверными. Второй подход основан на анализе особенностей используемых технологий. Однако его применение также затруднено, если организация использует новейшие технологии и самые последние разработки. Оценка возможных потерь строится на основе полученных стоимостных компонент исходя из прогноза возможных угроз этим компонентам. Возможности угроз оцениваются вероятностями соответствующих событий, а потери подсчитываются как сумма математических ожиданий потерь для компонент по распределению возможных угроз. Пусть O1,Е,On - объекты, ценности которых C1,Е,Cn. Предположим, что ущерб одному объекту не снижает цены других, и пусть вероятность нанесения ущерба объекты Oi равна pi, функция потерь для объекта Oi:

Сi - если объекту нанесен ущерб Wi = 0 - в противном случае (1) Оценка потерь от реализации угроз объекту i равна: Ei = pi*Wi (2) Исходя из сделанных предположений потери (средний риск) в системе равны: E= pi * Wi i = n (3) На следующем этапе необходимо определить уязвимость ресурсов. Для этого можно использовать категории защиты - свойство объекта, теряемое при доступе субъекта, содержащего деструктивное преобразование. Обозначим множество объектов как O, множество категорий защиты - K. При этом будем рассматривать следующие категории защиты: секретность (с), целостность (ц), доступность (д), актуальность (а). Далее составляется классификация объектов. Количество операций по проставлению оценочных баллов () составляет b = n*k, где n - мощность множества рассматриваемых объектов O, k - мощность множества категорий защиты K. Следует обратить особое внимание, что правильная оценка объекта зависит от квалификации и профессионализма эксперта. Пример классификации по четырехбалльной шкале приведен в таблице 5. Согласно перечню защищаемых объектов, каждому объекту соответствует оценочный балл, и, если задать цену одного балла, можно получить стоимость всей защищаемой информации. Теперь, для оценки риска остается оценить вероятность возможных потерь для каждого объекта. Идея такой оценки заключается в следующем. Пусть Oi - произвольный защищаемый объект с множеством категорий защиты K = {K1, Е, Kn}, а D = {D1, Е, Dn} - множество возможных угроз. Нарушение безопасности объекта происходит, когда действие хотя бы одной из угроз Dj приводит к потере категории защиты Kk. Так, к примеру, ошибочное удаление документов, приводит к нарушению целостности данных с вероятностью Pц, нарушению доступности данных с вероятностью Pд и к нарушению актуальности данных с вероятностью Pа. При воздействии данной угрозы не нарушена секретность, то есть Pс = 0. В общем случае вероятность нанесения ущерба объекту Oi для данной категории защиты Kk от воздействия угроз Dj рассчитывается по формуле суммы вероятностей: Pk = pj j = s pj j = s (4) Где pj последовательно принимает значения Pс, Pц, Pд, Pа.

4.3.4.1. Характеристика категории защиты Таблица Классификация категорий защиты Характеристика категории защиты Целостность Несанкционированное редактирование Потеря устойчивости к ошибкам Несанкционированное уничтожение Несанкционированное уничтожение восстановления Доступность Время получения ответа на запрос: до 5 минут;

до 1 часа;

до 24 часов более 24 часов Секретность Несекретно Для служебного пользования Секретно Совершенно секретно Актуальность Требуется обновление информации: до 1 мин;

до 1 часа;

ежесуточное;

более суток 1 2 3 без возможности 4 4 3 2 1 1 2 3 4 4 3 2 Однако для управления риском помимо вероятности Pi нужна и оценка риска возможных потерь в денежных единицах Ei. Для определения вероятности нанесения ущерба объекту Oi для всех категорий защиты используется следующий метод. Пусть риск возможных потерь для данной категории защиты составляет Eik = Pk*Wik. Определим Ei = max (Eik), то есть риск возможных потерь информации в объекте Oi равен максимальному риску возможных потерь из множества рисков по каждой категории защиты. Таким образом, для того чтобы рассчитать риск возможных потерь информации в объекте Oi, необходимо получить значения Pс, Pц, Pд, Pа для каждого источника угрозы. Для решения этой задачи составляется список источников угроз с указанием доли ущерба в процентах от каждого вида угрозы. Данные организуются в базе данных, состоящей из четырех таблиц: Х список защищаемых объектов;

Х классифицируемые атрибуты объектов;

Х список источников угроз;

Х вероятности успешно реализованных угроз. Таким образом, мы получаем риск возможных потерь, выраженный в денежной форме. Для снижения риска необходимо варьировать значениями вероятностей успешно реализованных угроз: уменьшая их, можно снизить величину риска возможных потерь. К методам снижения значения вероятностей относят: Х организационные защитные мероприятия, такие как создание положения по информационной безопасности, регламентирующее порядок доступа к ценной информации и порядок работы с документами, составление списка обязанностей пользователя и перечня объектов, доступных данному пользователю, создание плана выхода из кризисной ситуации и т.д.;

Х технические защитные мероприятия, такие как резервирование информации, создание реестра используемого программного обеспечения, использование механизмом шифрации и электронной подписи, разграничение доступа, как на уровне БИС, так и на уровне операционных систем. Если предположить, что после применения защитных мероприятий процент реализованных угроз уменьшается, то можно сделать вывод, что величина риска возможных потерь прямо пропорциональна среднему изменению вероятностей реализованных угроз. При рассмотрении подобных методик невозможно пройти мимо западных наработок в этой области. В 1985 г. Центральное агентство по компьютерам и телекоммуникациям (CCTA) Великобритании начало исследования существующих методов анализа информационной безопасности (ИБ) для того, чтобы рекомендовать наиболее пригодные для использования в правительственных учреждениях, занятых обработкой несекретной, но критичной информации. Ни один из рассмотренных вариантов не подошел. Поэтому был разработан новый метод, получивший название CRAMM Ч метод ССТА анализа и контроля рисков. Затем появилось несколько его версий, ориентированных на требования Министерства обороны, гражданских государственных учреждений, финансовых структур, частных организаций. Одна из версий, коммерческий профиль, является коммерческим продуктом. В настоящее время продается версия CRAMM 4.0. Целью разработки метода являлось создание формализованной процедуры, позволяющей: Х убедиться, что требования, связанные с безопасностью, полностью проанализированы и документированы: Х избежать расходов на излишние меры безопасности, возможные при субъективной оценке рисков;

Х оказывать помощь в планировании и осуществлении защиты на всех стадиях жизненного цикла информационных систем;

Х обеспечить проведение работ в сжатые сроки;

Х автоматизировать процесс анализа требований безопасности;

Х представить обоснование для мер противодействия;

Х оценивать эффективность контрмер, сравнивать различные варианты контрмер;

Х генерировать отчеты. Анализ рисков включает в себя идентификацию и вычисление уровней (мер) рисков на основе оценок, присвоенных ресурсам, угрозам и уязвимостям ресурсов. Контроль рисков состоит в идентификации и выборе контрмер, позволяющих снизить риски до приемлемого уровня. Формальный метод, основанный на этой концепции, позволяет убедиться, что защита охватывает всю систему и есть уверенность в том, что все возможные риски идентифицированы;

уязвимости ресурсов и угрозы идентифицированы и их уровни оценены;

контрмеры эффективны;

расходы, связанные с ИБ, оправданны. Исследование ИБ системы с помощью CRAMM проводится в три стадии. Стадия 1: анализируется все, что касается идентификации и определения ценности ресурсов системы. По завершении этой стадии заказчик исследования будет знать, достаточно ли ему существующей традиционной практики или он нуждается в проведении полного анализа рисков. Стадия начинается с решения задачи определения границ исследуемой системы. Для этого накапливается информация о том, кто отвечает за физические и программные ресурсы, кто входит в число пользователей системы и как они ее применяют или будут применять, а также сведения о конфигурации системы. Первичная информация собирается в процессе бесед с менеджерами проектов, менеджером пользователей или другими сотрудниками. Проводится идентификация ресурсов: физических, программных и информационных, содержащихся внутри границ системы. Каждый ресурс необходимо отнести к одному из предопределенных классов. Затем строится модель информационной системы с позиции ИБ. Для каждого информационного процесса, имеющего, по мнению пользователя, самостоятельное значение и называемого пользовательским сервисом (end-userser-vice), строится дерево связей используемых ресурсов. Построенная модель позволяет выделить критичные элементы. Ценность физических ресурсов в данном методе определяется стоимостью их восстановления в случае разрушения. Ценность данных и программного обеспечения определяется в следующих ситуациях: Х недоступность ресурса в течение определенного периода времени;

Х разрушение ресурса Ч потеря информации, полученной со времени последнего резервного копирования, или ее полное разрушение;

Х нарушение конфиденциальности в случаях несанкционированного доступа штатных сотрудников или посторонних лиц;

Х модификация Ч рассматривается для случаев мелких ошибок персонала (ошибки ввода), программных ошибок, преднамеренных ошибок;

Х ошибки, связанные с передачей информации: отказ от доставки, недоставка информации, доставка по неверному адресу. Для оценки возможного ущерба рекомендуется использовать некоторые из следующих параметров: Х ущерб репутации организации;

Х нарушение действующего законодательства;

Х ущерб для здоровья персонала;

Х ущерб, связанный с разглашением персональных данных отдельных лиц;

Х финансовые потери от разглашения информации;

Х финансовые потери, связанные с восстановлением ресурсов;

Х потери, связанные с невозможностью выполнения обязательств;

Х дезорганизация деятельности.

Приведенная совокупность параметров используется в коммерческом варианте метода. В других версиях совокупность будет иной. Так, в версию, используемую в правительственных учреждениях, добавляются параметры, отражающие национальную безопасность и международные отношения. Для данных и программного обеспечения выбираются применимые к данной системе критерии, дается оценка ущерба по шкале со значениями от 1 до 10. Стадия 2: рассматривается все, что относится к идентификации и оценке уровней угроз для групп ресурсов и их уязвимостей. В конце стадии заказчик получает идентифицированные и оцененные уровни рисков для своей системы. На этой стадии оцениваются зависимость пользовательских сервисов от определенных групп ресурсов и существующий уровень угроз и уязвимостей, вычисляются уровни рисков и анализируются результаты. Ресурсы группируются по типам угроз и уязвимостей. Например, в случае существования угрозы пожара или кражи в качестве группы ресурсов разумно рассмотреть все ресурсы, находящиеся в одном месте (серверный зал, комната средств связи и т. д.). Оценка уровней угроз и уязвимостей производится на основе исследования косвенных факторов. Программное обеспечение CRAMM для каждой группы ресурсов и каждого из 36 типов угроз генерирует список вопросов, допускающих однозначный ответ. Уровень угроз оценивается, в зависимости от ответов, как очень высокий, высокий, средний, низкий и очень низкий. Уровень уязвимости оценивается, в зависимости от ответов, как высокий, средний и низкий. Возможно проведение коррекции результатов или использование других методов оценки. На основе этой информации рассчитываются уровни рисков в дискретной шкале с градациями от 1 до 7. Полученные уровни угроз, уязвимостей и рисков анализируются и согласовываются с заказчиком. Только после этого можно переходить к третьей стадии метода.

Стадия 3: поиск адекватных контрмер. По существу, это поиск варианта системы безопасности, наилучшим образом удовлетворяющей требованиям заказчика. По завершении стадии он будет знать, как следует модифицировать систему для принятия мер уклонения от риска, а также для выбора специальных мер противодействия. ведущих к снижению или минимизации оставшихся рисков. На этой стадии CRAMM генерирует несколько вариантов мер противодействия, адекватных выявленным рискам и их уровням. Контрмеры можно объединить в три категории: около 300 рекомендаций общего плана;

более 1000 конкретных рекомендаций;

около 900 примеров того, как можно организовать защиту в данной ситуации. На этой стадии можно провести сравнительный анализ эффективности различных вариантов зашиты.

4.3.5 Управление информационным риском.

Другим, альтернативой подходом к проблеме информационных рисков предлагается подход, при котором информационные системы рассматриваются как источники угроз для деятельности кредитных организаций. Начнем рассматривать этот подход с определения информационного риска. Для начала необходимо понять, когда появляется информационный риск в банке. И если с кредитным и валютным риском все более менее ясно: первый появляется при выдаче первого кредита, а второй по время начала ведения валютных операций, то как быть с информационным риском. Предположим, что информационный риск появился, когда сотруднику впервые поставили компьютер, и он стал выполнять с его помощью некоторые операции, например, рассчитывать кредитоспособность заемщика. Риск здесь заключался в том, что однажды сотрудник не смог рассчитать ее или рассчитал неправильно, по одной или совокупности следующих причин: Х неверно введенная информация;

Х неверный алгоритм расчета;

Х неполадки компьютера;

Х сбой программы. То есть при едином риске мы имеем разные не связанные его составляющие: техническую, технологическую, программную и т.д. Возможно, эти не связанные составляющие не доставляли бы особое беспокойство, если бы компьютер был один и одна автоматизированная задача. Однако, другое дело, когда информационные системы охватили все сферы деятельности банка, и потребовался системный подход к решению задачи по оценке и управлению информационным риском. Таким образом, информационный риск можно определить как вероятность ущерба из-за использования компьютерных технологий при совершении стандартных банковских операций. Очевидно, что возросшая опасность от информационного риска прямо связано с развитием и распространением Банковских Информационных Систем (БИС) и их использованием на всех участках работ коммерческого банка. Выделяют пять поколений БИС, используемых российскими коммерческими банками. При этом в списке реально используемых систем можно найти как самые первые системы автоматизации, предназначенные в основном для ввода бухгалтерских проводок, так и сложные интегрированные БИС. При этом наибольшее распространение имеют системы 3 поколения, работающие на СУБД btrieve (Pervasive SQL) в LAN Novell NetWare и Windows NT. Отличием систем 3 поколения от интегрированных БИС является охват лишь части банковских операций, и, как следствие, необходимость использования дополнительных программных модулей, что лишь усложняет взаимосвязи внутри комплексной системы автоматизации банка. Таким образом, любую БИС можно отнести к разряду сложных систем. Изучение сложных систем обычно начинается с самого простого с элементов, из которых состоит система и их взаимодействия друг с другом. Если мы говорим о БИС как о системе, которая охватывает всю совокупность задач, решаемых в банке комплексно, то мы можем разделить ее по группам задач, будь то отдельные программы (например, разделенный фронт и бэк офисы) или функциональные подсистемы в рамках интегрированной БИС. Приступая к декомпозиции комплекса задач, вспомним, что основной нашей целью является разработка метода по оценке и управлению риском. Выбирая такой элемент, приведем высказывание А. Орехова о том, что грамотно спроектированная интегрированная система представляет собой набор модулей, работающий с единой логической базой данных и объединенных вокруг единого ядра, ответственного за такие общие функции, как администрирование системы, управление доступом, ведение справочников и базовые функции бухгалтерского учета. Именно наличие общего ядра и единой модели данных является отличием интегрированной системы.... В лучших интегрированных системах функциональные модули не эквивалентны АРМам с их жесткой структурой меню и набором функций, а представляют собой наборы специализированных функций, добавляемых в общий пул функций системы, доступный со всех рабочих мест и позволяющих конструировать нестандартные индивидуальные АРМы, при необходимости объединяя функции разных модулей системы. Следовательно, с точки зрения контроля за информационными рисками имеет смысл осуществлять декомпозицию автоматизированных систем до уровня выполняемых банковских операций. Такое разделение позволит учитывать ущерб, который понесет банк в случае невозможности выполнить заданную операцию (например, формирование электронного макета межбанковских документов, отказ в приеме документов по системе Клиент-банк, ошибку в формирование обязательной отчетности или неверно начисленные проценты по кредитным договорам), а с другой стороны построить схемы влияния и выявить причину произошедших сбоев. Очевидно, что выполнению любой операции в БИС предшествует определенный набор действий, таких как ввод информации, контроль, переходы между состояниями и т.д. На каждом этапе задействованы различные исполнители, программные и технические средства. Следовательно, можно сказать о том, что процесс выполнения любой операции можно представить как технологию решения задачи, состоящую из нескольких этапов. Связь элементов технологии при решении структурированных задач представлена на рис.13. В силу того, что в данном случае объединяются свойства двух технологий - предметной и обеспечивающей - правила и требования по каждому элементу описываются отдельно9. 4.4. Информационные технологии взаимодействия клиента и банка.

Система телекоммуникационного взаимодействия клиента с банком (Клиент-Банк) позволяет сократить число визитов клиента в банк и облегчить ведение бухгалтерии обоим участникам. Система обеспечивает подготовку клиентом платежных документов различного вида, УпачкованиеФ их при необходимости и пересылку в банк, а также получение из банка выписок по счету и реестров платежей. Система Клиент-Банк в банке связана с блоком операционно-учетных работ, который обеспечивает прохождение платежей и формирование необходимой выходной документации. Платежные документы и запросы в банк формируются клиентом банка в АРМ бухгалтера. Даже в системе клиент-банк возможны две информационные технологии: "толстый" и "тонкий" клиент. В первом случае у клиента устанавливается часть БИС, а во втором - используется схема "клиентсервер" в рамках среды Интернет.

Дик В.В. Методология формирования решений в экономических системах и инструментальные среды их поддержки. - М.: Финансы и статистика, 2000 - 300 с.

Pages:     | 1 | 2 | 3 | 4 |    Книги, научные публикации