Основными областями концентрации рисков, на которые кредитным организациям следует обращать внимание, являются следующие:
1) Нормативно распорядительная документация (договоры, регламенты, инструкции по использованию технологий ДБО и др.). Концентрация рисков в данной зоне связана с тем, что при внедрении и эксплуатации систем ДБО нормативно распорядительная документация должна обеспечить взаимодействие достаточно большого числа разносторонних сотрудников и внешних клиентов. Учитывая различные области производственной деятельности вовлечённых в процесс специалистов, вполне вероятно наличие нестыковок и недостаточная проработанность некоторых вопросов;
2) Отсутствие в кредитных организациях чёткой регламентации процессов, связанных с эксплуатацией систем ДБО, а также механизмов мониторинга адекватности действующей нормативной документации приводят к расширению состава негативных факторов, которые могут сказаться как на интересах клиентов, так и на финансовом состоянии организации;
3) Доступ пользователей к информационным ресурсам через не доверенную среду сети Интернет. Концентрация рисков в данной зоне связана, прежде всего, с ошибками или злоупотреблениями по предоставлению прав доступа и управлению идентификационными данными (паролями, криптоключами) клиентов. Кроме того, существенное влияние оказывают уязвимости программных, аппаратных средств и существующих технологий, а также рост попыток получения неправомерного доступа к информации, циркулирующей в системах ДБО;
4) Использование устаревших технологий создаёт дополнительные риски, вероятность реализации которых с течением времени увеличивается.
Основными направлениями в клиентской части системы, на которые следует обращать пристальное внимание, являются:
недостаточная проработанность документов, регламентирующих права и обязанности клиентов при получении услуг;
недостатки в обеспечении информационной безопасности;
недостатки, присущие конкретной банковской технологии ДБО;
недостатки и уязвимости, присущие операционным системам и другим прикладным программам, эксплуатируемым клиентами;
последствия, обусловленные ошибочными действиями персонала кредитной организации или безграмотностью клиентов.
Для кредитной организации направления, нуждающиеся в тщательной проработке, следующие:
недостаточная проработанность документов, призванных осуществить адаптацию довольно большого количества внутренних процессов и процедур к новым условиям деятельности;
недостатки в вопросах технического обеспечения информационной безопасности системы ДБО;
недостаточный анализ при внедрении новой банковской технологии, ориентированной на ДБО через Интернет, анализ тех "неприятностей" (организационных, юридических), которые клиент может доставить кредитной организации;
значительная зависимость кредитной организации от других вовлеченных в процесс сторон (провайдеров, поставщиков программно-аппаратных средств и др.).
Анализ существующих факторов риска поможет выявить процессы, влияющие на их уровень. Этот анализ должен включать:
разработку и поддержание в актуальном состоянии нормативно распорядительных документов;
поддержание требуемого уровня информационной безопасности, включая управление жизненным циклом автоматизированных систем (от разработки до окончания эксплуатации);
администрирование вычислительной сети и телекоммуникационного оборудования;
управление идентификацией и доступом пользователей к информационным ресурсам;
внедрение новых технологий повышающих безопасность эксплуатации систем ДБО;
мониторинг сетевого трафика с целью обнаружения вредоносного кода и вторжений.
Для своевременного реагирования на существующие риски кредитным организациям необходимо обеспечить выполнение комплекса организационных и технических мероприятий, направленных на обеспечение безопасного функционирования системы ДБО. Обеспечение удобства работы клиентов в системе, при выполнении такого комплекса, может явиться дополнительным конкурентным преимуществом.
Существует мнение, что усиление безопасности всегда негативно сказывается на удобстве работы клиента. Это не верно. Если безопасность не является "параноидальной", а используемые технологии современны и адекватны наличествующим угрозам, обеспечить одновременно удобную и безопасную работу для клиента вполне возможно.
