Анализ проблем и перспектив банковского сектора РФ

Введение 

Постоянное увеличение конкуренции в секторе банковского  обслуживания частных лиц и агрессивные  темпы роста дочерних иностранных  банков, специализирующихся на розничных  услугах населению, а также являющееся следствием вышесказанных факторов снижение комиссионного и процентного дохода от обслуживания физических лиц, заставляют российские банки искать новые, более перспективные и экономичные пути повышения плотности и качества взаимодействия с клиентами.

Территориальная филиальная экспансия не может быть бесконечна, и в эпоху бурного развития информационных технологий банки в стремлении приблизиться к клиенту все чаще стараются развиваться не за счет построения широких сетей дополнительных офисов, а за счет внедрения передовых достижений науки и техники, реализованных в различных методах дистанционного банковского обслуживания (ДБО) физических лиц.

Распространение мобильных  коммуникационных устройств и интернета  среди населения, развитие сетевой  инфраструктуры в регионах, совершенствование  законодательства, рост финансовой грамотности и доходов россиян - все это способствует, с одной стороны, повышению доверия к банкам и востребованности розничных банковских услуг, а, с другой – возможностям кредитных организаций, стремящихся к максимальному удовлетворению потребностей своих клиентов, внедрять у себя и постоянно расширять спектр предлагаемых дистанционных услуг.

Проведение операций по удаленным каналам выгодно  обеим сторонам: и населению, и  банкам. Первые получают возможность  совершать широкий спектр операций в любое время суток в любом месте с помощью доступных средств (компьютера с выходом в интернет, мобильного или стационарного телефона, банкоматов и киосков самообслуживания и др.) на высоком уровне безопасности. А кредитные организации выигрывают за счет экономии издержек, возникающих при традиционном способе обслуживания, привлечения большего количества клиентов и повышения их лояльности, а, следовательно, росте конкурентоспособности. Вышесказанное предопределяет актуальность темы исследования.

Целью контрольной работы является рассмотрение особенностей дистанционного банковского обслуживания, анализ статьи на тему «Дистанционное банковское обслуживание: актуальные направления регулирования», отражение своей точки зрения на изучаемую проблему и предложение  мер по устранению выявленных проблем.

Основная часть

В рассматриваемой статье приведены преимущества дистанционного банковского обслуживания (ДБО) и  причины появления новых источников банковских рисков, связанных с его внедрением в кредитных организациях. Рассмотрены вопросы возрастания операционного риска, обеспечения информационной безопасности и противодействия отмыванию денег в условиях ДБО.

Значительный рост достижений в области информационных и коммуникационных технологий на основе использования Интернета и возможностей сотовой связи создали условия для широкого внедрения ДБО. Динамично развиваются системы электронного банкинга (ЭБ), основу которых составляют интернет-банкинг (управление банковскими счетами и картами через Интернет) и мобильный банкинг (управление банковскими счетами и картами с КПК, коммуникаторов, смартфонов и других аналогичных устройств).

Значительное удешевление услуг по предоставлению доступа к глобальной сети приводит к уменьшению затрат на проведение банковских операций через Интернет и, соответственно, их стоимости.

Эти факторы дают основу все большему распространению и  использованию ДБО и обеспечат  максимальный прирост клиентской базы российских кредитных организаций.

Наряду с очевидными преимуществами внедрение технологии ДБО сопровождается появлением дополнительных банковских рисков, источником которых могут выступать как, непосредственно, кредитные организации так и провайдеры и сотовые операторы. Увеличение банковских рисков связано с возрастанием доли технической составляющей, от которой, прежде всего,  зависит непрерывность выполнения банковских операций.

Технический аспект источников типичных банковских рисков требует совершенствования отдельных вопросов регулирования в области применения технологий ДБО. В статье рассмотрены три из них:

1. расширение профиля операционного риска в рамках ДБО;

Операционный риск (ОР) рассматривается как риск убытков, возникающий в результате неадекватных или ошибочных внутренних процессов, действий сотрудников и систем или в результате  внешних событий. ОР является одним из основных типичных банковских рисков, на который в большей степени оказывают влияние технологии ДБО. Он определяется как вероятность образования убытков и/или неполучение прибыли вследствие сбоев в выполнении каждодневных, рутинных банковских операций. Применительно к электронному банкингу выделяют три главные сферы ОР:

• функционирование системы безопасности (рассматриваются возможные нарушениях в процессах электронного хранения, передачи и обработки информации и отказах в функционировании банковских информационных систем)

• привлечение сторонних организаций к предоставлению некоторых видов электронных банковских услуг (аутсорсинг);

• освоение новых технологий сотрудниками банка (ускорение процесса модернизации информационных систем  повышает требования к адаптационным способностям персонала банков и увеличивает опасность возникновения трудностей при переходе ко все более сложным интегрированным электронным решениям).

Минимизировать ОР предлагается с помощью принятия риска, полной или частичной передачи риска или же избежания риска.

На сегодняшний день операционный риск является одним из основных банковских рисков, так как все больше бизнес-процессов в кредитных организациях выполняются с помощью программных продуктов и с  минимальным участием человека; насколько серьезно будут относиться в банках к управлению операционным риском, настолько будет стабильна не только отдельно взятая кредитная организация, но и банковская система в целом.

2. значительный рост числа киберпреступлений в финансовой сфере и обеспечение информационной безопасности;

Одним из последствий мирового финансового кризиса стало снижение затрат на обеспечение информационной безопасности (ИБ) в банках и, напротив, значительное увеличение активности криминального мира.  Компьютерные злоумышленники – это специалисты с достаточно высокой подготовкой в области информационных технологий и в финансах.

Одним из наиболее известных способов мошенничества в интеренете является фишинг (phishing) - способ мошеннических действий, при котором злоумышленник рассылает множество сообщений по электронной почте с целью получения личной и финансовой информации о потенциальных жертвах (для доступа к их банковским счетам и другим важным ресурсам).

Другие угрозы исходят от троянских программ, которые, используя технологии сокрытия, могут не распространяться, а долгое время находиться в системе, похищая данные.

В ответ на появление  все более сложных и  разнообразных  угроз итернет-мошенничества должны разрабатываться и использоваться новые  все более совершенные средства обеспечения адекватной защиты.

3. использование технологии ДБО в схемах, направленных на легализацию преступных доходов.

Данная проблема заключается в активном привлечении технологий ДБО для легализации преступных доходов. В последнее время проблема отмывания денег (ОД) стала одной из основных международных проблем, к решению которой привлечены ведущие страны мира.

В рассматриваемой статье подробно рассмотрены факторы, способствующие ОД, представлена обобщенная модель ОД, состоящая из нескольких этапов, приведены наиболее распространенные  негативные последствия ОД и предложен ряд мероприятий, направленных на их предотвращение и борьбу с ними.

Основными факторами, способствующими ОД являются: высокая доля неофициальных доходов населения и бизнеса; несовершенство механизмов контроля и мониторинга деятельности кредитных организаций; несоблюдение международных стандартов регулирования финансовой деятельности; распространение коррупции в различных органах власти; законодательное закрепление тайны финансовых операций и др.

Обобщенная модель ОД включает три этапа: размещение (placement), расслоение (layering) и интеграцию (integration). Они могут частично накладываться друг на друга в зависимости от выбранного механизма легализации и от требований, предъявляемых преступной организацией.

На этапе размещения изменяется форма денежных средств с целью сокрытия их нелегального происхождения. На этапе расслоения лица, отмывающие деньги, стараются еще больше скрыть следы, по которым их могут обнаружить. На этом этапе активно используются технологии ДБО. На этапе интеграции преступник пытается трансформировать денежные доходы, полученные от противозаконной деятельности, в средства, имеющие внешне легальное происхождение.

ОД приводит к  следующим распространенным негативным последствиям: удар по репутации  банков страны, негативное влияние  на курсы валют и процентные ставки, подрыв целостности финансовых рынков, утрата контроля над экономической  политикой, экономические деформации и нестабильность, потеря доходов, риск для программ приватизации, социальные издержки и др.

В целом ОД ставит перед  мировым сообществом сложную задачу, постоянно приобретающую все новые формы. Характер их требует разработки глобальных стандартов и международного сотрудничества для уменьшения возможности преступников осуществлять свою деятельность.

Использование коммерческими банками технологий ДБО, в частности электронного банкинга, требует не только пересмотра системы управления банковскими рисками в каждой отельной кредитной организации, но и совершенствования системы надзорного регулирования со стороны государственных органов.

В статье были рассмотрены типичные уязвимости технологии ДБО, угрозы, которые  они представляют, возможные риски от реализации этих угроз и средства противодействия им. Дополнительно более подробно хочу остановиться на принципах обеспечения информационной безопасности (ИБ) систем ДБО, связанных с техническим аспектом, процедурах и мерах, для этого необходимых.

К сожалению, внедрение новых услуг по требованию бизнеса сопровождается отсутствием должного внимания к существенному фактору – безопасности использования систем. В одних случаях о нем вовсе забывают. В других – к вопросам безопасности информации подходят частично и поверхностно, создавая лишь иллюзию защищенности. Критичность этих процессов наглядно демонстрируют заголовки новостных агентств, все чаще сообщающие о компрометации систем дистанционного обслуживания и хищении денег у клиентов. Если учесть при этом, что процент «утечки» инцидентов крайне невелик, масштаб махинаций впечатляет.

На мой взгляд, в вопросе обеспечения безопасности дистанционного обслуживания важно сделать особый акцент на двух принципах: процессном подходе и комплексном обеспечении информационной безопасности.

Тезис о том, что «безопасность  – это процесс», звучит достаточно часто. На практике он встречается гораздо  реже. В других случаях вместо постоянной систематической деятельности по поддержанию и улучшению процессов имеет место скачкообразный процесс – выполнение процедур от случая к случаю. Конечно, при таком подходе достигается определенный уровень безопасности и, возможно, при очередном «скачке» уровень защищенности в течение некоторого времени будет довольно высок. Однако в таком случае вы принимаете на себя те же риски, как если бы закрывали входную дверь через раз, полагаясь на то, что грабитель будет проходить мимо именно в те разы, когда дверь заперта.

В рамках безопасности систем дистанционного обслуживания рекомендуется  реализовать, как минимум, следующие  процедуры:

• разграничение прав пользователей и контроля доступа,
• работа с аутентификационными данными,
• контроль парольной политики,
• использование криптографии и обращение с криптографическими ключами,
• антивирусная защита,
• обеспечение безопасности корпоративной сети,
• межсетевое экранирование,
• анализ защищенности и внутреннего аудита,
• резервное копирование и аварийное восстановление,
• обеспечение непрерывности,
• обеспечение физической защиты,
• обеспечение безопасности прикладного и системного ПО,
• мониторинг событий и реагирование на инциденты ИБ,
• повышение осведомленности клиентов и сотрудников в вопросах информационной  безопасности,
• внесение изменений и обновления программных средств.

Стоит отметить, что порой  понятие «процессного» подхода  перерастает в настолько сложную  бюрократическую процедуру, что  не остается места самому действию. Важно понимать, что качество внедряемой процедуры напрямую зависит от степени ее выполнимости, а чрезмерно сложные действия сотрудники в лучшем случае будут выполнять только формально, «для галочки».

Идея комплексного подхода внешне выглядит достаточно просто и заключается в рациональном сочетании рассмотренных ранее и в статье различных организационных и программно-технических мер и средств с учетом требований действующих нормативно-правовых и нормативно-технических документов. При создании комплексной системы необходимо защищать информацию во всех уровнях/фазах ее существования.

Если рассмотреть архитектуру  систем дистанционного обслуживания, можно условно выделить несколько  основных уровней: программное обеспечение (ПО) клиента, прикладное ПО, системное  ПО (web-сервер, СУБД, операционная система) и сетевая инфраструктура, физическое размещение и пользователи.

В ходе обеспечения безопасности систем ДБО необходимо проработать  защитные механизмы на всех уровнях. При этом их реализация в каждом случае должна определяться индивидуально  в зависимости от типа взаимодействия и функциональности системы.

Безопасность «клиентской  стороны»  – головная боль специалистов по информационной безопасности. Причины тут очевидны: сторона клиента априори считается не доверенной, а навязывание требований по безопасности противоречит пожеланиям бизнеса в максимально простом использовании систем на всех популярных платформах. Основной мерой защиты в данном случае выступает двухфакторная аутентификация (одноразовые пароли, sms-код, значение криптокалькулятора, криптотокен), позволяющая противодействовать зловредному ПО, осуществляющему кражу аутентификационных данных. Также все чаще банки разрабатывают для клиентов обучающие программы, освещающие основные вопросы информационной безопасности и противодействия мошенничеству. Однако, несмотря на все предпринимаемые меры, атаки на клиентов активно осуществляются злоумышленниками и являются одним из самых распространенных способов компрометаций.

Отдельного внимания заслуживают клиенты мобильных  средств, активно внедряемые в последнее  время. Современные мобильные устройства в силу своей популярности находятся под пристальным вниманием исследователей, что отражается в периодических сводках вновь обнаруженных уязвимостей как системного, так и прикладного ПО. Тем не менее, это не заставляет разработчиков мобильных приложений уделять повышенное внимание безопасности в ходе проектирования и реализации приложения и, как показывает практика, использовать уже имеющиеся стандартные методы защиты.

Безопасность прикладного  ПО. Уязвимости прикладного программного обеспечения также популярны среди взломщиков банковских систем. Несмотря на множество ресурсов, которые освещают методы компрометации и популярные недостатки, возникающие при разработке программных продуктов, уровень знаний в области безопасного программирования остается достаточно низким, а процессы разработки включают требования по безопасности лишь в редких исключениях.

Опираясь на современные  тенденции, следует отметить, что  обеспечение безопасности в программных  продуктах – уже не дополнительный плюс, а одно из основных требований бизнеса. Первым шагом к повышению уровня безопасности разрабатываемого ПО может стать внедрение процессов обучения разработчиков, безопасного программирования, анализа исходного кода и тестирования безопасности, а также независимый анализ и контроль защищенности разработанных продуктов.

Безопасность системного ПО и сетевой инфраструктуры. Стальная массивная дверь с мощным замком глупо смотрится в стене, сколоченной из гнилых досок. Так и самое защищенное приложение, работающее в среде операционной системы с критичными уязвимостями, на web-сервере, подверженном DOS-атаке или использующем СУБД с правом доступа удаленных пользователей на основании данных, установленных по умолчанию, будет не в состоянии противостоять действиям злоумышленника.

Обеспечение безопасности систем, на базе которых работает система  дистанционного обслуживания, а также  всех смежных систем, прямо или  косвенно влияющих на уровень исходной защищенности, не менее важно, чем  защита самого прикладного ПО. Настройка  безопасности должна быть не разовым явлением, выполненным на усмотрение администратора, а процессным явлением, обеспечивающим актуализацию и постоянство конфигураций всех типов системных компонентов.

Физическая безопасность и пользователи системы. Последним по списку, но не по значению идет обеспечение безопасности физического окружения. Нет смысла осуществлять настройку безопасности всех компонентов, строить сложную систему защиты информации, если злоумышленник может получить доступ непосредственно к аппаратным компонентам системы. Бесполезно защищаться от DOS и DDOS атак при отсутствии в серверной комнате должного кондиционирования и системы пожаротушения, приводящем к глобальному «отказу в обслуживании».

Также нельзя забывать о  сотрудниках, имеющих легитимный доступ к системе. Часто именно невнимательные действия сотрудников, действующих абсолютно без корыстных намерений, приводят к утечкам данных и компрометации системы. Простой и надежной мерой является периодическое обучение пользователей, наглядная демонстрация последствий пренебрежительного обращения с защищаемой информацией и популярных методов мошенничества.

Оценивая и обеспечивая  уровень защищенности систем банковского  обслуживания, часто рассматривают  только непосредственно само прикладное ПО. По-настоящему же полную картину можно увидеть, только если оценивать систему на всех уровнях, как текущий уровень обеспечения безопасности, так и поддерживающие процессы.

Заключение

В данной работе были рассмотрены особенности технологии  дистанционного банковского обслуживания (ДБО), преимущества ДБО и причины появления новых источников банковских рисков, связанных с его внедрением в кредитных организациях. Рассмотрены вопросы возрастания операционного риска, обеспечения информационной безопасности и противодействия отмыванию денег в условиях ДБО. Более подробно была раскрыта проблема обеспечения информационной безопасности (ИБ) систем ДБО, связанных с техническим аспектом, принципах ИБ, процедурах и мерах, обеспечивающих ИБ.

За последние годы система дистанционного банковского  обслуживания превратилась из дополнительного  в основной инструмент предоставления услуг.  К такому результату  привели несколько процессов. Это и общее распространение он-лайн технологий, предоставляющих пользователям максимальную мобильность и удобство. И перевод всех доступных операций «в сеть», что позволяет существенно снизить затраты на оказание услуг в отделениях банка. Положительный как для клиента, так и для банка сценарий закономерно привел к тому, что дистанционное обслуживание  (ДБО) сегодня у банков в приоритете.

Не секрет, что за все  надо платить, и говоря о ДБО, платой за столь существенные преимущества от его использования, будет являться необходимость решения сложных и масштабных вопросов, связанных с обеспечением информационной безопасности (ИБ).

На сегодняшний день одним из основных банковских рисков является операционный риск, так как все больше бизнес-процессов в кредитных организациях выполняются с помощью программных продуктов и с  минимальным участием человека; насколько серьезно будут относиться в банках к управлению операционным риском, настолько будет стабильна не только отдельно взятая кредитная организация, но и банковская система в целом.

В вопросе обеспечения безопасности дистанционного обслуживания важно делать особый акцент на двух принципах: процессном подходе и комплексном обеспечении информационной безопасности, обеспечивающие ее непрерывность, рациональность сочетаний средств и методов на всех уровнях Системы.

Использование коммерческими банками технологий ДБО, в частности электронного банкинга, требует не только пересмотра системы управления банковскими рисками в каждой отельной кредитной организации, но и совершенствования системы надзорного регулирования со стороны государственных органов.