4. Определение стратегии управления рисками

Оценив потери по каждой из вероятных угроз необходимо определить стратегию управления рисками. При этом возможно несколько подходов:

• уменьшение риска (многие риски могут быть существенно уменьшены путем использования весьма простых и дешевых контрмер);

• уклонение от риска (от некоторых классов рисков можно уклониться. Например, вынесение Web-сервера организации за пределы локальной сети позволяет избежать риска несанкционированного доступа в локальную сеть со стороны Web-клиентов);

• изменение характера риска (можно принять некоторые меры, например, страхование отдельных рисков);

• принятие риска (не все риски могут быть уменьшены до пренебрежимо малой величины).

На практике, после принятия стандартного набора контрмер, ряд рисков уменьшается, но остается все еще значимым. Необходимо знать остаточную величину риска. Если какие-либо риски оказались недопустимо высокими, необходимо реализовать дополнительные защитные меры.

Хотелось бы поподробнее остановиться на одном из важных и только еще зарождающемся в России элементов управления рисками – страховании. Несколько слов об истории и развитии этого напрвления.

В ходе обычной сверки дневных операций его сотрудники обнаружили, что подписи на не­скольких полученных из Лондона платежных приказах о переводе де­нег в европейские и американские банки были поддельными. Общая сумма убытка превысила 60 млн ан­глийских фунтов. Благодаря опера­тивным действиям специализиро­ванного подразделения Лондонской полиции основная сумма была воз­вращена, однако часть средств разы­скать не удалось. Потерянные сред­ства были возмещены Ллойдовскими страховщиками.

В компаниях, занимающихся во­просами страхования банковских рисков, могут рассказать о десятках и сотнях подобных случаев. Банки традиционно являются объектом са­мого пристального внимания кри­минальных элементов, и этот фак­тор, несомненно, учитывается при построении системы управления рис­ками в любом подобном учреждении. К сожалению, российские банкиры обычно довольно прямолинейно от­носятся к механизму риск-менедж­мента, считая, что криминальные риски можно нейтрализовать лишь путем усложнения механизмов без­опасности. Однако международный, да и российский опыт подтверждает, что ни самые изощренные техничес­кие средства защиты, ни самые про­двинутые и многочисленные служ­бы безопасности не могут полно­стью гарантировать банк от потерь в результате преступных действий.

Причина этого кроется в том, что главной угрозой для банка уже давно стал не громила в маске с автоматом наперевес, а весьма интеллигентный молодой человек (обычно собствен­ный сотрудник), взламывающий бан­ковские компьютерные коды или выдающий в сговоре с заемщиком крупный кредит по поддельным до­кументам. По имеющимся данным, результатом среднестатистического «физического» ограбления является потеря 5 000 долларов США, в то вре­мя как среднее компьютерное пре­ступление обходится банку в 500 000 долларов. Другая весьма показатель­ная цифра: по данным ФБР, от 60 до 70 % преступлений против банков совершается их сотрудниками.

Что же может надежно уберечь банк от криминальных потерь?

На западе ответ на этот вопрос на­шли уже более ста лет назад — стра­хование. Известно, что инвестиции в систему безопасности эффектив­ны лишь до определенного предела. Можно, конечно, до бесконечности вкладывать средства в покупку са­мых современных систем защиты, расширять штат службы безопас­ности, ограничивать возможности сотрудников по принятию решений. Но все эти меры, не обеспечивая стопроцентной гарантии от потерь, могут серьезно снизить оператив­ность деятельности банка. С другой стороны, если система безопасности будет «дырявой», не соответствую­щей принятым в отрасли нормам, страховая компания либо не примет банк на страхование, либо назначит такую страховую премию, что затея потеряет всякий смысл.

Поэтому задача риск-менеджера банка должна состоять в выстраива­нии сбалансированной политики без­опасности, где разумные затраты на создание системы защиты дополня­лись бы минимальными расходами на страхование при обеспечении мак­симально широкого объема покры­тия. Это условие вполне достижимо: при нормально функционирующей системе безопасности расходы на страхование действительно являют­ся незначительными.

Что же конкретно могут предло­жить банкам страховые компании в плане защиты от криминальных рисков? Это, прежде всего, так назы­ваемый ВВВ (Bankers Blanket Bond), впервые выпущенный на рынок в 1907 году американскими страхов­щиками совместно с Ассоциацией американских банков. Полис был построен по «пакетному» принципу, то есть предоставлял защиту по не­скольким рискам, объединенным по принципу наличия в них криминаль­ного начала. Этот страховой продукт оказался столь удачным, что сохра­нился до нашего времени, конечно, претерпев значительные изменения. На сегодняшний день наряду с поя­вившейся в 70-е годы секцией стра­хования от электронных и компью­терных преступлений ВВВ является основополагающим элементом стра­ховой защиты банка.

Основным риском, покрываемым полисом ВВВ, является риск противо­правных действий персонала. Пре­доставляя это покрытие, страховые компании вводят одну принципи­альную оговорку: ими возмещаются лишь убытки от противоправных действий сотрудников, совершенных с целью личного обогащения либо с целью преднамеренного нанесения ущерба банку.

По полису ВВВ покрытие предо­ставляется также в отношении рис­ков утери ценностей, находящихся в помещениях банка (в хранилище, сейфах, кассах и т. д.) и во время их перевозки.

Кроме этого, страховщики возме­щают убытки, вызванные принятием банками поддельных чеков, депозит­ных сертификатов, векселей, облига­ций, акций, других ценных бумаг, а также наличных денежных средств. Компенсируется и ущерб, наноси­мый помещениям и внутренней об­становке банков в результате проти­воправных действий третьих лиц.

Для специалистов, занимающих­ся банковским страхованием, оче­видно, что в покрытие ВВВ входит страхование ряда рисков, зачастую страхуемых банками (особенно рос­сийскими) отдельно — страхование ценностей во время перевозки и на хранении. Однако комплексный под­ход к страхованию намного выгод­нее по финансовым условиям (сто­имость отдельных рисков таким об­разом значительно уменьшается) и удобен с чисто технической точки зрения.

Обычно вместе с полисом ВВВ банки приобретают полис страхова­ния от электронных и компьютер­ных преступлений, название которо­го говорит само за себя. Такой полис предоставляет покрытие от любых потерь, связанных с преступными действиями с использованием ком­пьютерных сетей и электронных средств банка в результате:

• ввода мошеннически подготовленных или видоизмененных данных или команд в компью­терные сети банка, системы пере­вода средств или связи с клиента­ми, в том числе во время переда­чи данных;

• умышленного уничтожения или кражи, воровства электронных данных и их носителей;

• вирусных атак;

• осуществления платежей нa основании сфальсифицированных поручений клиентов, передавае­мых по системам электронной, тестированной телексной, факси­мильной или телефонной связи.

Тесно примыкает к полисам ВВВ (страхования от электронных и ком­пьютерных преступлений) страхование эмитентов пластиковых карт.

Очевидно, что перед заключени­ем полиса по ВВВ или компьютер­ным преступлениям страховая ком­пания всесторонне оценивает при­нимаемые на себя риски. В этом ей помогает так называемый сюрвейер — специализированная компания, занимающаяся оценкой рискозащи-щенности предприятий (проверяет­ся система физической безопасности, компьютерной безопасности, систе­ма подбора персонала и контроля за его работой и т. д.). К сожалению, службами безопасности российских банков сюрвейер зачастую воспри­нимается как некий шпион, заслан­ный в учреждение для выявления методов построения систем защиты.

Парадокс, но за рубежом именно эти службы вместе с риск-менедже­рами являются активными сторон­никами проведения сюрвеев. Сюр­вейер действует в тесном контакте со службой безопасности, главный ме­тод его работы — интервью с руко­водителями и сотрудниками ключе­вых подразделений. Он не роется в файлах, а всего лишь задает вопро­сы и по ответам делает вывод о том, насколько ключевые сотрудники бан­ка ориентированы на предотвраще­ние преступлений.

Сюрвейер не только дает советы службе безопасности, но и помогает ей заострить вопросы обеспечения безопасности перед руководством банка. Ведь службе безопасности обычно известны имеющиеся недо­статки, но руководство может не счи­тать эти проблемы первоочередны­ми (нет денег, другие приоритеты и т.д.).

Таким образом, страхование бан­ковских рисков как никакой другой вид страхования тесно интегрирова­но в систему управления рисками в банке. По сути, страховщик привносит в эту систему еще одно звено — независимую оценку имеющихся в банке механизмов защиты. Кстати, те российские институты, которые соглашались на приезд сюрвейеров, зачастую сами впоследствии пригла­шали их для консультаций вне ка­кой-либо связи со страхованием.

Очевидно, что для банковского страховщика весьма важен правиль­ный выбор сюрвейера. При страхо­вании по дорогостоящим междуна­родным программам в России обычно привлекаются хорошо известные в мире компании WBK International и ISS Survey. В то же время и россий­ские компании начинают внедрять­ся на рынок банковских сюрвеев.

В частности, страховая компания «Ингосстрах», наиболее активно дей­ствующая в области криминального банковского страхования, подписа­ла соглашение и плодотворно со­трудничает с компанией «Конфи­дент», ранее не занимавшейся бан­ковскими сюрвеями, однако быстро и успешно освоившей этот новый для себя вид деятельности.

Видимо, нет смысла приводить цифры по преступлениям экономи­ческой направленности в России. Мы к ним привыкли, и они уже ни­кого не пугают.

Тем не менее, стоит задуматься о том, что от такого рода неприятнос­тей никто не застрахован (как в пря­мом, так и в переносном смысле). Зарегистрирована не одна сотня по­пыток несанкционированных втор­жений в банковские компьютерные сети, появились у нас уголовные компьютерные и «пластиковые» дела.

Пора осознать, что действитель­но грамотное управление банковски­ми рисками должно предусматри­вать возможность непредвиденных внешних воздействий и, соответ­ственно, набор средств для быстрой нейтрализации их последствий. Од­ним из важнейших элементов этой системы защиты является, конечно, страхование.

Итак, проведение анализа рисков и оценки потерь требуют глубоких системных знаний и аналитического мышления во многих смежных областях проблемы защиты информации. Без таких знаний невозможно построить в последствии надежную систему информационной безопасности на выделенные средства в заданные сроки.

По результатам работ на этапе анализа уязвимости должно быть подготовлено экспертное заключение о защищенности информационных ресурсов на объекте, включающее в себя (или в виде приложений):

• модели каналов утечки информации и НСД;

• методики определения вероятностей установления информационного контакта для внешних нарушителей;

• сценарии возможных действий нарушителя по каждому из видов угроз, учитывающие модель нарушителя, возможности системы защиты информации и технических средств разведки, а также действия нарушителя после ознакомления с информацией, ее искажения или уничтожения.

Руководство предприятия или организации, как правило, ожидает точной количественной оценки защищенности информационных ресурсов на объекте. Не всегда удается получить такие оценки, однако можно вычленить наиболее уязвимые участки и сделать прогноз о возможных проявлениях описанных в отчете угроз.