Оценка рисков информационной безопасности ОАО «Агроинвестбанк»

Информационные технологии (ИТ) де-факто являются не только средствами автоматизации бизнес-процессов, но и стали интегрированной частью самих эти процессов. В настоящий момент основные банковские бизнес процессы в принципе не могут быть реализованы без использования ИТ. Например, в ритейловом банке ежедневно могут появляться десятки тысяч новых клиентов, а однократное начисление процентов может потребоваться по нескольким миллионам выданных кредитов.
Можно предположить, что в основе деятельности ИТ подразделения Банка лежат некоторые принципиальные положения. Причем, независимо от того, закреплены ли эти положения в официальных документах, или они являются не декларируемыми, но общепринятыми и разделяемыми на осознанном уровне всеми заинтересованными и взаимодействующими сторонами или они являются интуитивно понятными и зафиксированными в культуре сложившихся отношений, - неважно. В любом случае все эти принципы составляют содержательную часть реализуемой в банке ИТ стратегии. Даже отсутствие стратегии можно считать одной из возможных стратегий.
Современные тенденции в области операционного риска говорят о возрастающем внимании к нему со стороны Банка Таджикистана и коммерческих банков (резидентов и не резидентов) присутствующих на банковском рынке Таджикистана. Стремление банковской системы к рекомендациям международного института, регламентирующего общие принципы функционирования интернациональных финансовых институтов (Базельского Комитета) уже сегодня вынуждает банки выстраивать систему управления операционным риском.
Практически вся технологическая инфраструктура банков предназначена для решения в первую очередь учетных задач, плюс бизнес-планирование и бюджетирование. Из-за этого специалистам и риск-менеджерам приходится тратить огромное количество времени на поиск и структурирование информации. Даже «хорошая» ERP-система не всегда позволяет эффективно решать эту задачу. В ней обязательно должен присутствовать блок, отвечающий за оценку и анализ рисков....

В рамках данной дипломной работы нами был предложен проект по внедрению ПО, реализующего методики анализа рисков.
Предлагаемое ПО условно разделено на 2 группы:
• ПО базового уровня;
• ПО полного анализа рисков.
Надо учитывать, что это разделение весьма условно, поскольку инструментарий базового уровня зачастую содержит дополнительные возможности, относящиеся к полному анализу рисков.
Рассматриваемый проект включает проведение работ по сбору информации обо всех компонентах информационной системы (сетевые, платформенные и прикладные), а также о специализированных системах АСУТП. Был проведен анализ и оценка рисков ИБ, в рамках которого были категоризированы ресурсы банка, составлена модель угроз и потенциального злоумышленника, сформирован детальный перечень уязвимых мест с оценкой их критичности, определены потенциальные последствия от реализации угроз и на основании этой информации разработан пакет рекомендаций по повышению уровня защиты и план внедрения рекомендаций.
Основными показателями экономической эффективности проекта являются:
• затраты на обработку информации в проектируемом и базовом вариантах;
• затраты на минимизацию рисков информационной безопасности;
• срок окупаемости капитальных вложений;
• годовой экономический эффект.
Цель оценивания рисков состоит в определении характеристик рисков корпоративной информационной системы и ее ресурсов. В результате оценки рисков становится возможным выбрать средства, обеспечивающие желаемый уровень информационной безопасности компании. При оценивании рисков учитываются: ценность ресурсов, значимость угроз и уязвимостей, эффективность существующих и планируемых средств защиты. Сами показатели ресурсов, значимости угроз и уязвимостей, эффективность средств защиты могут быть определены как количественными методами (например, при определении стоимостных характеристик), так и качественными (например, учитывающими штатные или чрезвычайно опасные нештатные воздействия внешней среды). Таким образом, анализ и...