НБУ - Анализ рисков,связанных с информационными технологиями

1. Анализ рисков, связанных с
информационными
технологиями
Ивченко И.С.
Начальник управления защиты информации
Департамента информатизации
Национального банка Украины

2. Риски, которые наиболее часто встречаются
и приносят наибольшие потери
• Мошенничества с платежными картами
• Атаки на информационную безопасность:
(неавторизованный доступ,
отказ в обслуживании,
вирусные атаки
• Интернет-банкинг
• Миграции ИТ-систем (переход на другую
платформу, внедрение новых систем)
• Новые технологии (VoIP, Wi-Fi)

3. Влияние ИТ на банковскую деятельность
• Новые банковские продукты все больше и во всех
аспектах зависят от информационных технологий
• Реинжиниринг существующих бизнес-процессов
• Обеспечение надежной работы платежных систем
• Новые методы удаленной работы с клиентами
• Нет ИТ – нет услуг клиентам
• Трудности в достижении и поддержании приемлемого
уровня информационной безопасности
• Ошибочное или непредвиденное поведение
информационных систем может оказать негативное
влияние на один банк или банковскую систему в целом
• Возможное негативное влияние на репутацию банка

4. • Информационные технологии создают
взаимосвязь и взаимозависимость между
инфраструктурой, приложениями и принятием
решений по внедрению новых банковских
продуктов и услуг
• Информационные технологии становятся
центральным компонентом операционной
деятельности и правильного управления в банках
• Эффективное управление информационными
технологиями приводит к получению
максимальных прибылей от технологий и
поддерживает стратегические бизнес-планы
банков.

5. Риски в банковском бизнесе
Кредитный Рыночный Операционный
риск риск риск
BASEL I BASEL I (.5) BASEL II
1988 1995 2004

6. • Операционный риск – риск потерь,
возникающих за счет неадекватных или
ошибочных (сбойных) внутренних процессов,
персонала и систем или внешних факторов.
• Источники операционного риска:
процессы
персонал
системы (в том числе и информационные
системы)
внешние события

7. • Стандарт ISO 27001:2005
Информационные технологии. Методы защиты.
Система управления информационной безопасностью.
Требования
• Стандарт ISO 27002:2005
Информационные технологии. Методы защиты.
Свод правил для управления информационной
безопасностью.

8. Стандарт ISO 27001:2005
• Создание системы управления информационной
безопасностью
• Ответственность руководства
• Внутренние аудиты системы управления
информационной безопасностью
• Анализ системы управления безопасностью
руководством
• Совершенствование системы управления
безопасностью

9. Модель структурирования всех процессов
системы управления информационной
безопасностью
• Планирование (создание системы управления
информационной безопасностью)
• Реализация (внедрение и эксплуатация)
• Проверка (мониторинг и аудит)
• Действие (сопровождение и совершенствование)

10. Создание системы управления
информационной безопасностью
(СУИБ)
• Определить область действия системы
• Определить политику системы в терминах бизнеса,
организации, ее ресурсов и технологий
• Определить подход организации к оценке рисков
• Идентифицировать и оценить риски
• Выбрать цели и механизмы контроля обработки рисков
• Получить разрешение руководства на внедрение и
эксплуатацию системы
• Подготовить документы на систему

11. АКТИВЫ – все, что представляет ценность для организации
• информация, представляющая ценность: базы данных и
файлы данных, контракты и договора, системная
документация, аналитическая информация, инструкции
для пользователей, учебные материалы, процедуры
функционирования или поддержки информационных
систем, планы по обеспечению непрерывности бизнеса,
методы устранения неисправностей, журналы аудита и
архивная информация
• программные активы: прикладное программное
обеспечение, системное программное обеспечение,
средства разработки и утилиты;
• физические активы: компьютеры, сервера, сетевое
оборудование;
• услуги;
• персонал и его квалификация, культура и опыт;
• нематериальные активы: репутация

12. Определение рисков
• Идентифицировать угрозы активам
• Определить уязвимостей, которые могут быть
использованы при реализации угроз
• Идентифицировать влияние (воздействие) на
деятельность банка, которое может оказать потеря
доступности, конфиденциальности, целостности

13. Анализ и оценка рисков
• Оценивание влияния рисков на деятельность банка в
результате нарушения информационной безопасности,
принимая во внимание потери, связанные с потерями
доступности, целостности и конфиденциальности информации
• Оценивание реальной вероятности реализации угроз, а также
ущерб, связанный с этим, и внедренные на данный момент
контроли информационной безопасности
• Определение уровней рисков
• Разработка критериев допустимости рисков и определение,
являются ли риски допустимыми или требуют обработки

14. Уровни рисков
В соответствии с одной из методик оценки рисков текущие
уровни рисков для каждого из активов вычисляются по
следующей формуле:
RF = Ц * СУ , где
Ц – ценность актива
СУ – степень уязвимости актива (оценивается им по шкале
от 1 до 4, исходя из текущей ситуации с данным активом)
В – вероятность реализации угрозы

15. Оценка вариантов обработки рисков
• Разработка и применение соответствующих контролей
безопасности
• Сознательное допущение (принятие) рисков при условии,
что это соответствует принятой политике безопасности и
критериям принятия рисков
• Устранение рисков
• Перенос рисков на другие стороны, например,
поставщиков или страховые компании
Внедрение выбранных контролей безопасности

16. Цели Киевского отделения ISACA
• Способствовать обучению и помогать распространению знаний и
опыта членов Киевского отделения ISACA в разных сферах ИТ
управления;
• Поддерживать и развивать практику открытого обмена методология
ми та подходами к решению актуальных вопросов в разных сферах
ИТ управления между членами Киевского отделения ISACA;
• Способствовать связям и информированию членов Киевского
отделения ISACA про события и новые подходы в разных сферах
ИТ управления, которые могут быть полезными как для них, так и
для других организаций;
• Информировать руководителей, аудиторов и профессионалов в
сфере ИТ, а также ВУЗы про важность внедрения современных
методов ИТ-управления с целью обеспечения необходимого уровня
ИТ управления, эффективной организации и использования ИТ
ресурсов;
• Способствовать популяризации сертификаций ISACA International
(CISA/CISM/CGEIT), а также распространению «лучших практик»
ИТ управления;
• Способствовать улучшению практик управления та контроля ИТ в
Украине.