DLP As Part Of Security Standards

Российские и
международные
стандарты в
контексте DLP-
решений

Алексей Лукацкий
Бизнес-консультант по безопасности

Personal Data © 2008 Cisco Systems, Inc. All rights reserved. 1/120

О чем пойдет речь?

 О каком законодательстве мы говорим?
 Что такое DLP-решение?
Какие данные защищаем?
Где может произойти утечка?
Классификация DLP-решений
 Требования российского законодательства
 Требования международного законодательства
 Стандарты и лучшие практики
 Законно ли применение DLP-решений?


Парафраз о
законодательстве


Иерархия требований по ИБ

Рекомендации
Международные Резолюции Стандарты
и требования
ООН, принципы (например, ISO
требования ОЭСР… 2700x)
(например, PCI
DSS)

Национальные Законы, Постановления, и требования
требования кодексы, указы приказы (например,
ПДн)

Отраслевые Стандарты Стандарты
и требования
(например, СТО ISO 13569,
требования БР ИББС)
(например,
HB 174-2003
СТР-К)

Корпоративные Стандарт
Концепция ИБ настроек
требования оборудования


Что такое DLP-
решение?


Что такое предотвращение потери
данных (DLP)?

Защита конфиденциальных
и персональных данных на
уровне содержимого
при использовании (In-Use)
при передаче (In-Motion)
при хранении (At-Rest)

DLP Защита от случайных или
намеренных утечек данных

Расширение политики
безопасности для защиты
данных


Классификации DLP

DLP

Data-at- Data-in- Data-in-
Rest Motion Use

ILM DLP СЗИ от НСД

Защита от
Классификация Защита от
случайных Шифрование
данных кражи данных
утечек


Что мы
защищаем?


Данные или информация?

Данные Контекст Информация

 Сами по себе данные не являются целью для
защиты, т.к. не представляют никакого интереса для
злоумышленников
 Данные интересны только в контексте, т.е. когда они
становятся информацией


Утечку чего надо контролировать?

 DLP-решение обеспечивает предотвращение или
контроль утечек информации ограниченного доступа,
к которой согласно российскому законодательству
относят
Конфиденциальную информацию (она же информация
ограниченного доступа)
Государственную тайну
 В российском законодательстве существует около 50
видов тайн
Все они требуют защиты
Но нарушение не каждой из них влечет за собой наказание


Парафраз о тайне в российском праве

 В российском праве отсутствует единая
классификация тайн
Указ президента №188 – только одна из попыток (не самая
удачная)
 Также отсутствует четкое правовое понятие терминов
«тайна» и «конфиденциальная информация»
 В различных нормативных актах
Конфиденциальная информация приравнивается к гостайне
Конфиденциальная информация противопостовляется
гостайне
Конфиденциальная информация включает тайну связи или
находится с ней на одном и том же уровне иерархии
Конфиденциальная информация не относится к охраняемой
законом

Пример: банковская тайна

 Сведения об операциях, счетах и вкладах ее
клиентов и корреспондентов, а также об иных
сведениях, устанавливаемых кредитной
организацией
Определена в ФЗ 395-1 «О банках и банковской
деятельности», 857 ГК РФ, Таможенный кодекс РФ, ФЗ «О
реструктуризации кредитных организаций»
Наказание за разглашение - 183 УК РФ, 81 ТК РФ


Пример: персональные данные

 Любая информация, относящаяся к определенному
или определяемому на основании такой информации
физическому лицу (субъекту персональных данных),
в том числе его фамилия, имя, отчество, год, месяц,
дата и место рождения, адрес, семейное,
социальное, имущественное положение,
образование, профессия, доходы, другая
информация
Определены в 143-ФЗ «Об актах гражданского состояния»,
152-ФЗ «О персональных данных», 242-ФЗ «О
государственной геномной регистрации в РФ» и т.д.
Наказание за разглашение - 13.11 КоАП, 137 УК РФ, 81 ТК РФ


Пример: коммерческая тайна

 Научно-техническая, технологическая,
производственная, финансово-экономическая или
иная информация (в том числе составляющая
секреты производства (ноу-хау), которая имеет
действительную или потенциальную коммерческую
ценность в силу неизвестности ее третьим лицам, к
которой нет свободного доступа на законном
основании и в отношении которой обладателем такой
информации введен режим коммерческой тайны
Определена в 98-ФЗ «О коммерческой тайне»
Наказание за разглашение - 183 УК РФ, 81 ТК РФ


Коммерческая тайна для АО

 Реестр держателей акций
 Финансовая и бухгалтерская информация
 Документы стратегического развития
 Прогнозы по развитию бизнеса
 Аналитика по рынкам
 Внутренние документы конкурентного анализа
 Информация о системе защиты информации
 Информация по разведке, запасах и добыче
полезных ископаемых
 Информация по сбыту нефти и нефтепродуктов
 Исходные коды программных продуктов…

Другие виды тайн
Наказание за
Тайна Содержимое Нормативный акт
разглашение
Научно-техническая, технологическая,
производственная, финансово-
экономическая или иная информация (в
том числе составляющая секреты
Информация, производства (ноу-хау), которая имеет
составляющая действительную или потенциальную 98-ФЗ "О коммерческой
183 УК РФ, 81 ТК РФ
коммерческую коммерческую ценность в силу тайне"
тайну неизвестности ее третьим лицам, к
которой нет свободного доступа на
законном основании и в отношении
которой обладателем такой информации
введен режим коммерческой тайны
ФЗ 395-1 "О банках и
Сведения об операциях, счетах и
банковской деятельности",
Банковская тайна вкладах ее клиентов и корреспондентов,
857 ГК РФ, Таможенный
(тайна банковских а также об иных сведениях, 183 УК РФ, 81 ТК РФ
кодекс РФ, ФЗ "О
вкладов) устанавливаемых кредитной
реструктуризации
организацией
кредитных организаций"
Указ Президента от
6.03.1997 №188, 139 ГК РФ,
Служебные сведения, доступ к которым
ФЗ "Об основах
ограничен органами государственной
государственной службы
Служебная тайна власти в соответствии с Гражданским 81 ТК РФ
Российской Федерации",
кодексом Российской Федерации и
Постановление
федеральными законами
Правительства РФ от
3.11.94г. № 1233

Другие виды тайн (продолжение)

Тайна кредитной 218-ФЗ "О кредитных
81 ТК РФ
истории историях"

Сведения о страхователе,
застрахованном лице и
Тайна страхования выгодоприобретателе, состоянии их 946 ГК РФ 81 ТК РФ
здоровья, а также об имущественном
положении этих лиц

Сведения, касающиеся содержания
Тайна завещания завещания, его совершения, изменения 1123 ГК РФ 81 ТК РФ
или отмены

Любые полученные налоговым органом,
органами внутренних дел, органом
государственного внебюджетного фонда и 146-ФЗ "Налоговый кодекс
Налоговая тайна 183 УК РФ, 81 ТК РФ
таможенным органом сведения о РФ"
налогоплательщике (за рядом
исключением)

Тайна усыновления
223-ФЗ Семейный кодекс РФ 155 УК РФ, 81 ТК РФ
ребенка



Сведения о наличии у гражданина
психического расстройства, фактах
117-ФЗ "О психиатрической
обращения за психиатрической помощью
Врачебная тайна помощи и гарантиях прав 81 ТК РФ
и лечении в учреждении, оказывающем
граждан при ее оказании"
такую помощь, а также иные сведения о
состоянии психического здоровья

Информация о факте обращения за
медицинской помощью, состоянии
здоровья гражданина, диагнозе
заболевания, иные сведения, полученные Основы законодательства 151 ГК РФ, 1064 ГК
при обследовании и лечении гражданина, РФ об охране здоровья РФ, 137 УК РФ, 81
а также сведения о проведенных граждан ТК РФ
искусственном оплодотворении и
имплантации эмбриона, а также о
личности донора

Результаты обследования лица,
Медицинская тайна 223-ФЗ Семейный кодекс РФ 81 ТК РФ
вступающего в брак
4180-1-ФЗ "О
Сведения о доноре
Возможно это врачебная тайна трансплантации органов 81 ТК РФ
и реципиенте
и(или) тканей человека"



Тайна переписки,
телефонных
переговоров,
176-ФЗ "О почтовой связи",
почтовых, 138 УК РФ, 81 ТК РФ
126-ФЗ "О связи", УПК РФ
телеграфных или
иных сообщений
(тайна связи)

Тайна частной
жизни (личная Общее понятие Конституция РФ, 150 ГК РФ 137 УК РФ, 81 ТК РФ
тайна)

Любые сведения и документы,
полученные и (или) составленные
аудиторской организацией и ее
307-ФЗ "Об аудиторской
Аудиторская тайна работниками, а также индивидуальным 81 ТК РФ
деятельности"
аудитором и работниками, с которыми им
заключены трудовые договоры, при
оказании услуг (за рядом исключений)

Тайна 241 УПК РФ, 10 ГПК РФ, 11
судопроизводства АПК РФ, 166 УПК РФ, Указ
81 ТК РФ
(тайна следствия и Президента от 6.03.1997
судопроизводства) №188



Адвокатская тайна
Любые сведения, связанные с оказанием 63-ФЗ "Об адвокатской
(она же тайна
адвокатом юридической помощи своему деятельности и адвокатуре в 81 ТК РФ
судебного
доверителю РФ"
представительства)

Основы законодательства
Тайна нотариальных
Российской Федерации о 81 ТК РФ
действий
нотариате

Профессиональная Указ Президента от
Общее понятие 81 ТК РФ
тайна 6.03.1997 №188

143-ФЗ "Об актах
гражданского состояния",
Персональные 152-ФЗ "О персональных 13.11 КоАП, 137 УК
данные данных", 242-ФЗ "О РФ, 81 ТК РФ
государственной геномной
регистрации в РФ"

125-ФЗ "О свободе совести 120-е правило
Тайна исповеди и о религиозных Номоканона при
объединениях" Большом Требнике



Государственная ФЗ 5485-1 "О
81 ТК РФ
тайна государственной тайне"

Семейная тайна 137 УК РФ 137 УК РФ, 81 ТК РФ

51-ФЗ "О выборах депутатов
Государственной Думы
Федерального Собрания
РФ", 19-ФЗ "О выборах
Тайна голосования Президента РФ", 67-ФЗ "Об 141 УК РФ, 81 ТК РФ
основных гарантиях
избирательных прав и права
на участие в референдуме
граждан РФ"…

Журналистская 2124-1-ФЗ "О средствах
81 ТК РФ
тайна массовой информации"



Сведения любого характера
(производственные, технические,
экономические, организационные и
другие), в том числе о результатах
интеллектуальной деятельности в научно-
технической сфере, а также сведения о
способах осуществления
Секрет производства профессиональной деятельности,
1465 ГК РФ 183 УК РФ, 81 ТК РФ
(ноу-хау) которые имеют действительную или
потенциальную коммерческую ценность в
силу неизвестности их третьим лицам, к
которым у третьих лиц нет свободного
доступа на законном основании и в
отношении которых обладателем таких
сведений введен режим коммерческой
тайны
Сведения об
сущности
изобретения,
полезной модели 147 УК РФ, 7.12
147 УК РФ, 7.12 КоАП
или промышленного КоАП, 81 ТК РФ
образца до их
официальной
публикации



Тайна
предварительного 139 УПК РФ, ФЗ 2202-1 "О
расследования прокуратуре РФ"
(следствия)

Тайна сведений о
мерах безопасности
в отношении судьи и 311 УК РФ 311 УК РФ, 81 ТК РФ
иных участников
уголовного процесса
мерах безопасности
в отношении
должностного лица 320 УК РФ, 17.13
320 УК РФ, 17.13 КоАП
правоохранительног КоАП, 81 ТК РФ
о или
контролирующего
органа
Сведения о частной жизни (личной и
Тайна дневников и семейной тайне), содержащиеся в Присутствовало в
личных записей дневниках, блокнотах, записныъ книжках, предыдущей версии ГК РФ
записках и т.п.



Сведения об отношении к религии, к
исповеданию или отказу от исповедания
религии, об участии или неучастии в 125-ФЗ "О свободе совести и
Тайна
богослужениях, других религиозных о религиозных 81 ТК РФ
вероисповедания
обрядах и церемониях, о деятельности в объединениях"
религиозных объединениях, об обучении
религии
Сведения о местах дислокации или о
передислокации соединений и воинских
частей внутренних войск, а также
сведения о военнослужащих внутренних
военнослужащих 27-ФЗ "О внутренних
войск, принимавших участие в пресечении 81 ТК РФ
внутренних войск войсках МВД РФ"
деятельности вооруженных преступников,
МВД
незаконных вооруженных формирований
и иных организованных преступных групп,
а также сведений о членах их семей
Тайна сведений
личного
характера, ставшие 122-ФЗ "О социальном
известными обслуживании граждан
81 ТК РФ
работникам пожилого возраста и
учреждений при инвалидов"
оказании
социальных услуг


119-ФЗ "О государственной
защите потерпевших,
потерпевших,
свидетелей и иных
свидетелей и иных
участников уголовного 81 ТК РФ
участников
судопроизводства", Указ
уголовного
Президента от 23.09.2005
судопроизводства
№1111

Производственная Скорее всего совпадает с понятием 146-ФЗ "Налоговый кодекс
81 ТК РФ
тайна "секрет производства" РФ"

Любая не являющаяся общедоступной
информация об эмитенте и выпущенных
им эмиссионных ценных бумагах, которая
ставит лиц, обладающих в силу своего
Тайна ценных бумаг
служебного положения, трудовых 39-ФЗ "О рынке ценных
(она же служебная 81 ТК РФ
обязанностей или договора, заключенного бумаг"
информация)
с эмитентом, такой информацией, в
преимущественное положение по
сравнению с другими субъектами рынка
ценных бумаг



76-ФЗ "О статусе
Некоторые юристы относят военную тайну
военнослужащих", Устав
Военная тайна либо к государственной тайне, либо к 81 ТК РФ
внутренней службы
служебной тайне Вооруженных сил РФ
Вооруженных Сил РФ
лицах, внедренных в
организованные
преступные группы,
штатных негласных
сотрудников
органов,осуществля
ющих оперативно- 144-ФЗ "Об оперативно-
81 ТК РФ
розыскную розыскной деятельности"
деятельность, а
также лицах,
оказывающих или
оказывавших им
содействие на
конфиденциальной
основе
Тайна совещания Суждения, имевшие место при
298 УПК РФ 81 ТК РФ
судей обсуждении и постановлении приговора



Тайна совещания
Суждения, имевшие место во время
присяжных 341 УПК РФ 81 ТК РФ
совещания
заседателей
Информация об особенностях строения
128-ФЗ "О государственной
Дактилоскопическая папиллярных узоров пальцев рук
дактилоскопической 81 ТК РФ
тайна человека и о его личности (охраняется в
регистрации в РФ"
режиме служебной тайны)

352-ПП от 28.05.1992 "О
заключении
межправительственных
Торговая тайна 81 ТК РФ
соглашений во избежании
двойного налогообложения
жоходов и имущества"

352-ПП от 28.05.1992 "О
заключении
Промышленная межправительственных
81 ТК РФ
тайна соглашений во избежании
двойного налогообложения
доходов и имущества"



Соглашение между
Правительством РФ и
Правительством Республики
Беларусь об избежании
Секретный торговый
двойного налогообложения и 81 ТК РФ
процесс
предотвращении уклонения
от уплаты налогов в
отношении налогов на
доходы и имущество
Информация, Правительством РФ и
противоречащая Правительством Республики
81 ТК РФ
государственным Узбекистан об избежании
интересам двойного налогооблажения
доходов и имущества
Правительством РФ и
Информация,
Правительством Республики
раскрытие которой
Молдова об избежании
противоречит 81 ТК РФ
двойного налогооблажения
национальному
доходов и имущества и
законодательству
предотвращении уклонения
от уплаты налогов


Другие виды тайн (окончание)

Конвенция между
Информация, Правительством РФ и
которую нельзя Правительством
получить в ходе Королевства Швеции об
81 ТК РФ
обычной избежании двойного
административной налогообложения в
практики отношении налогов на
доходы
В зависимости от нормативного акта
может включать в себя государственную
тайну, противопоставляться ей, быть 61-ФЗ "Таможенный Кодекс
Конфиденциальная самостоятельным видом тайны (наряду, РФ", 126-ФЗ "О связи", Указ
81 ТК РФ
информация например, с банковской или Президента от 6.03.1997
коммерческой тайной, а также тайной №188
связи), а также вообще не считаться
охраняемой законом
3-ФЗ "О статусе депутата
Совета Федерации и статусе
Депутатская тайна депутата Государственной 81 ТК РФ
Думы Федерального
Собрания РФ", 56 УПК РФ

Тайна жилища Конституция РФ 139 УК РФ


Переход из состояния в состояние

ПДн
Другие виды
тайн Врачебная
(страхование, нотариат, … ВТ тайна
усыновление и т.д.)

Служебная
Тайна
связи ТС СТ тайна

Банковская БТ КТ Коммерческая
тайна тайна

Классификация
информации


Классификация информации

 Классификация информации – разделение
существующих информационных активов
организации по типам, выполняемое в соответствии
со степенью тяжести последствий от потери их
значимых свойств ИБ
СТО БР ИББС-1.0-2008

 В организации рекомендуется провести
классификацию неплатежной информации
 Классификацию информации следует проводить в
соответствии со степенью тяжести последствий
потери ее свойств ИБ, в частности, свойств
доступности, целостности и конфиденциальности
СТО БР ИББС-1.0-2008

ISO 27002-2005, ITU-T X.1051

 Стандарт ISO/IEC 27002 «Свод правил по
управлению защитой информации»
Раздел 7.2 стандарта ISO 27002 посвящен классификации
ГОСТ Р ИСО/МЭК 17799-2005

 Рекомендации ITU-T X.1051 «Система управления
информационной безопасностью – Требования к
электросвязи (ISMS-T)»
Раздел А.3.2 стандарта посвящен классификации


РС БР ИББС-2.2-2009

 Перечень типов информационных активов
формируется на основе результатов выполнения в
организации БС РФ классификации информационных
активов
 Состав перечня типов информационных активов
(классификация информации) не должен
противоречить нормам законодательства РФ и иных
нормативных правовых актов, в том числе
нормативных актов Банка России
 В конкретной организации БС РФ рекомендуемый
перечень информационных активов может быть
изменен в соответствии с принятыми в ней
подходами к классификации информационных
активов и уровнем детализации типов
информационных активов

Классификация РС БР ИББС-2.2-2009

 Информация ограниченного доступа
Информация, установленная нормами законодательства РФ
Банковская тайна
Персональные данные
Информация, установленная организацией БС РФ
Платежная информация
Внутренняя банковская информация
Управляющая информация платежных, информационных и
информационно-телекоммуникационных систем
 Открытая (общедоступная) информация


Классификация ИСПДн

 Приказ Федеральной службы по техническому и
экспортному контролю (ФСТЭК России) Федеральной
службы безопасности Российской Федерации (ФСБ
России) Министерства информационных технологий и
связи Российской Федерации (Мининформсвязи
России) от 13 февраля 2008 г. N 55/86/20 г. Москва
«Об утверждении Порядка проведения
классификации информационных систем
персональных данных»


Категорирование ПДн

 1 категория
ПДн, касающиеся расовой, национальной принадлежности,
политических взглядов, религиозных и философских убеждений,
состояния здоровья, интимной жизни

ПДн, позволяющие идентифицировать субъекта персональных данных и
получить о нем дополнительную информацию, за исключением
персональных данных, относящихся к категории 1

ПДн, позволяющие идентифицировать субъекта персональных данных

Обезличенные и (или) общедоступные ПДн


Классификация информации в КСИИ

 Методика определения актуальных угроз
безопасности информации в ключевых системах
информационных инфраструктурах
Утверждены 18 мая 2007 года
 Дана методика оценки важности (ценности)
5 степеней важности по конфиденциальности
3 степени важности по целостности
3 степени важности по доступности


Классификация в Газпроме

 СТО Газпром 4.2.3-004. Правила классификации
объектов защиты
 Р Газпром 4.2.3-001. Методика классификации
объектов защиты
 Классификация объектов защиты выполняется с
целью обеспечения дифференцированного подхода к
организации их защиты с учетом уровня критичности,
характеризующего влияние на деятельность и
репутацию организации, ее деловых партнеров,
клиентов и работников
Классификация позволяет определить приоритетность и
экономическую целесообразность проведения дальнейших
мероприятий по обеспечению информационной безопасности
Personal Data
объекта защиты
© 2008 Cisco Systems, Inc. All rights reserved. 39/120

Другие нормативы по классификации

 ISO 13569. Banking and related financial services —
Information security guidelines
 BSI Standard 100-1 Information Security Management
Systems (ISMS)
 BSI-Standard 100-2: IT-Grundschutz Methodology
 The Standard of Good Practice for Information Security
(от ISF)
 И т.д.


DLP с точки зрения
техники


Какая функциональность есть в DLP?

 Контроль доступа к информации
 Контроль использования информации
 Контроль копирования/передачи информации
 Регистрация и учет доступа к информации
 Обеспечение конфиденциальности информации


Парафраз о
конфиденциальности


Что такое конфиденциальность?

 Конфиденциальность информации - обязательное для
выполнения лицом, получившим доступ к
определенной информации, требование не
передавать такую информацию третьим лицам без
согласия ее обладателя
ст.2 ФЗ-149 «Об информации, ИТ и защите информации»

 Конфиденциальность ПДн - обязательное для
соблюдения оператором или иным получившим
доступ к персональным данным лицом требование не
допускать их распространение без согласия субъекта
персональных данных или наличия иного законного
основания
ст.3 ФЗ-152 «О персональных данных»

Дает ли нам
международное
законодательство
право на
применение DLP?


Законы США

 Закон США 107-204 (он же Sarbanes-Oxley Act of
2002)
Секция 302 возлагает на руководство компаний обязательство
обеспечить корректность и истинность финансовой
Общее правило: «Информация, которая может быть
изменения без информирования об этом руководства не
может быть признана корректной»
 Закон США 104-191 (он же Health Insurance Portability
and Accountability Act, HIPAA)
Секция 1173 (d)(2) определяет, что каждое лицо, имеющее
доступ к медицинской информации, должен принимать
административные, технические и физические меры по
защите от несанкционированного использования или
раскрытия этой информации


Законы США

 Комиссия по ценным бумагам США (U.S. Securities
and Exchange Commission) требует обеспечения
конфиденциальности финансовой информации
компаний
В частности, правила SEC Rule 17a-4

 Закон США GLBA (Gramm-Leach-Bliley Act), также
известный под названием Financial Services
Modernization Act
Требует от финансовых учреждений обеспечить безопасность
и приватность любых персональных сведений клиентов,
находящихся на попечении организации (в том числе номеров
банковских счетов, баланса средств на счетах и т.д.)

 Аналогичные требования есть в законе США FACTA
(Fair and Accurate Credit Transactions Act of 2003)

Законы Европы

 Директива Европарламента 2002/58/EC (она же e-
Privacy Directive)
Множество правил обращения с электронной информацией,
включая требование обеспечения конфиденциальности
 Конвенция Совета Европы о защите личности в связи
с автоматической обработкой персональных данных
 Директива 95/46/ЕС Европарламента и Совета
ЕвроСоюза от 24 октября 1995 года о защите прав
частных лиц применительно к личным данным и о
свободном движении таких данных
 Директива 97/66/ЕС Европарламента и Совета
ЕвроСоюза от 15 декабря 1997 года, касающаяся
использования персональных данных и защиты
неприкосновенности частной жизни в сфере
телекоммуникаций

Правила об уведомлении

 Все штаты США имеют собственные законы,
обязывающие компании, ставшие жертвой утечек
персональных данных своих клиентов, уведомлять
последних об этих фактах
Стоимость уведомления одного клиента – от 20 долларов
 Чтобы уведомить, необходимо узнать об утечке
 Первая ласточка - California's Database Security
Breach Notification Act (SB 1386) and General Security
Standard for Businesses (AB 1950)


Базель II


Базель II

 Базель II (Международная конвергенция измерения
капитала и стандартов капитала: новых подходы)
Принят в 2004-м году (первая версия – в 1988 г.)
 Базель II применяется в США, Евросоюзе, Канаде,
Японии и Индии
 В России и некоторых других странах СНГ
планировалось сделать эти требования
обязательными в 2009-2010 гг.
Но вмешался кризис ;-(
 Ориентация на финансовые институты


Риски

 Базель II предъявляет требования к минимальному
размеру банковского капитала
Подход может применяться и к другим отраслям

 Необходимо оценивать кредитные, рыночные и
операционные риски и резервировать капитал на их
покрытие
Операционные риски появились только во второй версии
соглашения

 Неэффективное управление операционными рисками
приводит
К возрастанию операционных рисков
К большим финансовым резервам, «вырванным» из бизнеса

О резервировании капитала

 Капитал резервируется на покрытие возможного
ущерба от осуществления рисков
 Сумма резервирования зависит от принятого метода
измерения рисков
Базовый индикативный подход
Стандартизованный подход
Расширенный измеряющий подход (AMA)
 Чем «серьезнее» метод измерения, тем меньше
сумма резервирования
 При базовом индикативном подходе сумма
резервирования равна 15% среднегодового валого
дохода за предыдущие 3 года
Зависит от требований национальных стандартов бухучета

Определение операционного риска

 Операционный риск - риск возникновения убытков в
результате несоответствия характеру и масштабам
деятельности кредитной организации и (или) требованиям
действующего законодательства внутренних порядков и
процедур проведения банковских операций и других сделок,
их нарушения служащими кредитной организации и (или)
иными лицами (вследствие непреднамеренных или
умышленных действий или бездействия), несоразмерности
(недостаточности) функциональных возможностей
(характеристик) применяемых кредитной организацией
информационных, технологических и других систем и (или) их
отказов (нарушений функционирования), а также в результате
воздействия внешних событий


Определение операционного риска в
"Базель II"
Злоупотребление
Пожар или полномочиями
землетрясение
Ненадлежащие
процедуры контроля

Неполные/
ненадлежащие ОПЕРАЦИОННЫЙ РИСК
бизнес-процедуры Определяется как риск убытков,
возникающих в результате Внутренние/
ненадлежащих внутренних внешние кражи
процессов, кадровых ресурсов или
систем, или их отказа, а также
внешних событий
Утрата ключевых
работников или (Базель II) Некорректная /
целых отделов неполная /
устаревшая база
данных MIS

Отказы ИТ-
систем и сетей Невыполнение Судебные
требований разбирательства,
регулирующих органов начатые против компании

© 2003 Cisco Systems, Inc. С сохранением всех прав. Cisco Systems, Inc. All rights reserved.
Personal Data © 2008 55
55/120

ИТ- vs ИБ- vs операционный риск

Риск ИТ

Безопасность
и
доступность ИТ

Операционный риск

Связанные с ИТ-системами риски представляют собой (всего
лишь) часть операционных рисков, но именно на них приходится
большинство крупных убытков…
© 2003 Cisco Systems, Inc. С сохранением2008 Cisco Systems, Inc. All rights reserved.
Personal Data © всех прав. 56
56/120

Репутационные риски

 Базель II указывает (п.732), что «в процессе оценки
достаточности капитала должны учитываться все
существенные риски, с которыми сталкивается банк»
 Согласно п.742 в состав таких рисков должны входить
репутационные риски


Виды операционных рисков по Базель II
1-ый уровень 2-ой уровень 3-ий уровень
событий событий событий
Неотраженные в отчетности
Неразрешенная операции
деятельность Неразрешенные типы
Внутреннее операций
мошенничество Умышленное уничтожение
Воровство и активов
мошенничество Присвоение чужих счетов
Воровство, хищения, грабеж
Воровство и Воровство, грабеж
Внешнее мошенничество Подделка
мошенничество Хакерство
Безопасность систем Кража информации
Организация трудовой
Взаимоотношения с
деятельности
сотрудниками Вопросы оплаты труда
Кадровая политика и
безопасность труда Охрана здоровья
Безопасная среда Компенсации сотрудникам
Дискриминация Все типы дискриминации


Нарушения инструкций
Приемлемость, Раскрытие информации
раскрытие Злоупотребления
конф.информацией
Деятельность без лицензии
Неправильная деловая
или рыночная практика
Клиенты, продукты и
деловая практика Дефекты продуктов
Изъяны продуктов Ошибки конструкции
Выбор, спонсорство и Превышение лимитов риска
риски на одного клиента

Разногласия в оценках
Консалтинговые услуги результатов консалтинговых
услуг
Ущерб от природных
Причинение ущерба Катастрофы и прочие
катастроф
физическим активам события Терроризм, вандализм


Нарушения в ведении Программное обеспечение
Аппаратное обеспечение
бизнеса и системные Системы Телекоммуникации
сбои Сбои в предоставлении услуг
Неправильные
коммуникации
Исполнение и
Ошибки при вводе данных
поддержание операций Неправильное
функционирование систем
Несоблюдение обязательной
Мониторинг и отчетность отчетности
Исполнение, доставка
Неполная документация
и управление Привлечение клиентов и
Отсутствие разрешения от
процессами ведение документации клиентов
Управление клиентскими Неавторизованный доступ
счетами Халатность

Торговые контрагенты Конфликты с контрагентами

Поставщики и Аутсорсинг
подрядчики Конфликты с поставщиками

Управление рисками в России

 Положение №242-П «Об организации внутреннего
контроля в кредитных организациях и банковских
группах» от 16 декабря 2003 г.
Обязателен к применению
 Письмо ЦБР от 24 мая 2005 г. №76-Т «Об
организации управления операционным риском в
кредитных организациях»


Внутренний
контроль


Корпоративное управление

 Система отчетности перед акционерами лиц, которым
доверено текущее руководство компанией
 Способ управления компанией, который обеспечивает
справедливое и равноправное распределение
результатов деятельности между всеми акционерами,
а также заинтересованными лицами


Корпоративное управление (продолжение)

 Комплекс мер и правил, которые помогают
акционерам контролировать руководство компании и
влиять на менеджмент с целью максимизации
прибыли и стоимости предприятия
 Система взаимоотношений между менеджерами
фирмы и ее владельцами по вопросам обеспечения
эффективности деятельности компании и защите
интересов владельцев, а также других
заинтересованных сторон


Зачем внедрять?

 Признание деловым сообществом
 Рост репутации в глазах инвесторов, кредиторов и
партнеров
 Рост стоимости акций по сравнению с компаниями, не
внедрившими корпоративное управление
Рост от 20 до 50%
 Обязательное или настоятельно рекомендуемое
внедрение
Защита интересов
 Биржевые требования листинга
 Рост конкурентоспособности

Необходимость внутреннего контроля

 Разделение права собственности и управления этой
собственностью
 Конфликт интересов акционеров (рост капитализации)
и менеджмента (статус, бонус и зарплата)
 Требуются
Разграничение сфер деятельности и ответственности
Прозрачность управления
Распределение исполнительных и контрольных функций
Правила и процедуры для доступа акционеров к сведениям о
деятельности компании
 Нужен внутренний контроль механизмов
корпоративного управления

DLP As Part Of Security Standards

DLP As Part Of Security Standards

Recommended

Recommended

More Related Content

Viewers also liked

Viewers also liked (6)

Similar to DLP As Part Of Security Standards

Similar to DLP As Part Of Security Standards (20)

More from Aleksey Lukatskiy

More from Aleksey Lukatskiy (20)

DLP As Part Of Security Standards