Информационные риски

Содержание

Информационные и банковские риски

Введение

Современная экономика  немыслима без информации. Тысячи предприятий, миллионы налогоплательщиков, триллионы рублей, биржевые котировки, реестры акционеров – все эти информационные потоки необходимо оценить, обработать, сделать необходимые выводы, принять правильное решение.

Современный экономист  должен уметь принимать обоснованные решения. Для этого наряду с традиционными  знаниями, такими, как основы менеджмента, основы внешнеэкономической деятельности, банковское дело, административное управление, он должен владеть информацией по построению информационных систем.

Сегодня обработка экономической  информации стала самостоятельным  научно-техническим направлением с большим разнообразием идей и методов. Отдельные компоненты процесса обработки данных достигли высокой степени организации и взаимосвязи, что позволяет объединить все средства обработки информации, на конкретном экономическом объекте понятием «экономическая информационная система» (ЭИС).

Информационная система  экономического объекта является основой  системы управления, она постоянно  видоизменяется, появляются новые информационные потоки, обусловленные широким внедрением средств вычислительной техники  и расширением производственных и финансовых связей предприятия. Функциональное назначение и тип информационной системы зависят от того, чьи интересы и на каком уровне она обслуживает.

Процесс повсеместного  внедрения новых информационных технологий в бизнес-процессы предприятий является одним из основных факторов существенного повышения эффективности современной экономики. Информатизация экономики требует значительных инвестиций в информационную сферу. По данным исследовательской фирмы International data corporation, мировые расходы на информационные технологии в 2009 году даже в условиях экономического кризиса составили 1,8 триллиона долларов.

Возрастание значения информации и информационных технологий для  каждого предприятия сопровождается усложнением задач управления информационной сферой. Важнейшими из них являются рациональное использование инвестиций в информационные технологии и снижение рисков, связанных с информационными процессами предприятия. В современной научной литературе, в национальных и международных стандартах уделяется большое внимание проблемам управления рисками, связанными с использованием информации в деятельности предприятий.

Недооценка важности комплексного подхода к управлению информационными рисками не позволяет  установить взаимосвязи информационных и экономических рисков, сказывается на организационном и технологическом уровнях управления информационными рисками. Управлением занимаются, в основном, специалисты отделов информационной безопасности и отделов информационных технологий. Существующие организационные структуры предприятий и технологии управления не позволяют использовать в полной мере возможности руководства и менеджмента различных уровней в процессе управления информационными рисками.

Учеными разработаны  общие закономерности и принципы управления экономическими рисками, проведен анализ, классификация и систематизация рисков, а также даются научно-методические и практические рекомендации по управлению рисками в различных областях экономики. Вместе с тем информационные риски как разновидность экономических рисков рассматриваются лишь в работах отдельных ученых. Результатом такого подхода является недооценка важности управления информационными рисками и экономических методов управления информационными рисками.

Пока еще не создана  концепция управления информационными рисками, в которой бы с системных позиций рассматривались все составляющие качества и безопасности информации, влияющие на эффективность ее использования в бизнес-процессах.

Понятие рисков

Важной проблемой исследования информационных рисков является анализ понятия «риск». По мнению большинства ученых, оно означает возможность наступления событий с отрицательными последствиями в результате определенных решений или действий. Такой взгляд на сущность риска закреплен в Федеральном законе «О техническом регулировании»: «риск – вероятность причинения вреда жизни или здоровью граждан, имуществу физических или юридических лиц, государственному или муниципальному имуществу…». Существует и другая распространенная точка зрения на содержание риска. Ее сторонники под риском понимают случайное событие, вызывающее негативные последствия.

При этом всеми признается, что рисковое событие – событие  случайное. В соответствии с сущностью  процессов, явлений и объектов, порождающих  случайности, различают объективную и субъективную случайности. Объективная случайность связана с природой материи, ее сущностью. В наиболее явной форме объективная случайность проявляется в микромире на уровне молекул, атомов, элементарных частиц. Субъективная случайность определяется неполнотой информации о причинах и сущности случайных событий.

Таким образом, все рисковые события являются случайными событиями, и случайность определяется их случайной  природой и недостатком качественной информации об этих событиях. Один из первых исследователей неопределенности Ф.Х. Найт разделял ее на измеряемую и не измеряемую. В современной интерпретации различают статистическую и нестатистическую неопределенность.

В условиях статистической неопределенности с необходимой  точностью могут быть определены законы распределения случайных величин. Это позволяет успешно использовать методы теории вероятностей и математической статистики при управлении рисками. В отношении значительной части информационных рисков не удается получить статистическую информацию. В этом случае исследователи вынуждены прибегать к использованию «квазистатистики» или нестрогой статистики, которая основывается не только на частотном определении характеристик случайных величин, но и на широком применении экспертных оценок. Для работы с нестатистическими данными в последние годы успешно применяются методы мягких вычислений, такие, как интервальный метод, нейронные сети, нечеткие множества и нечеткая логика, генетические алгоритмы и др.

Некоторые ученые понятие  «управление риском» относят только к управлению в условиях статистической информации, а если информация является нестатистической, употребляют термин «управление в условиях неопределенности». Автор считает, что понятие «управление рисками» должно применяться как при работе со статистической, так и нестатистической информацией. Различия заключаются лишь в методах управления. При наличии статистической информации следует использовать методы, основанные на теории вероятностей и математической статистике. В условиях вынужденного использования нестатистической информации необходимо снижать степень неопределенности данных и использовать методы мягких вычислений.

Информационная неопределенность является либо единственной основой  случайности события для человека, либо сопровождающей и дополняющей объективную случайность. Следствие такого вывода – необходимость признания информационной составляющей рисков любой природы. В информационной составляющей могут быть выделены общие элементы, которые должны систематизироваться и учитываться в процессе управления рисками.

Понятие информационных рисков

Пока еще не сложилось  общепринятого толкования категории "информационный риск". Представляется, что определение понятия "информационный риск" должно показывать сущность информационного риска, связь его с информационной системой предприятия, последствия воздействия риска на информационную систему и предприятие в целом.

Сущность информационного  риска заключается в том, что  это случайное событие, приводящее к негативным последствиям в информационной системе. Воздействуя на информационную систему, в конечном итоге риски приводят к ущербу предприятия, в чем и заключается экономический смысл понятия "информационный риск".

С учетом приведенных  рассуждений определение информационного  риска может быть представлено в следующем виде. Информационный риск – это возможность наступления случайного события в информационной системе предприятия, приводящего к нарушению ее функционирования, снижению качества информации, в результате которых наносится ущерб предприятию.

Понятие "информационная система" включает в себя все ресурсы предприятия, которые используются для получения, хранения, обработки, передачи и применения информации, а также информационные ресурсы. Информационные системы образуют следующие ресурсы: компьютерные системы, системы передачи информации, оргтехника, базы данных и файлы компьютерных систем, документы в печатной форме, аудио и видеоинформация на носителях различной физической природы. В качестве одного из основных ресурсов информационной системы рассматривается специалист, имеющий отношение к использованию или эксплуатации информационной системы.

К компьютерным системам относятся компьютеры различного назначения, вычислительные системы и комплексы, вычислительные сети. В качестве компьютерных систем рассматриваются также блоки и узлы, входящие в состав других устройств и реализующие программный принцип управления для обработки информации. К таким системам относятся, прежде всего, блоки управления станками, транспортными средствами, средствами автоматизированного доступа на объекты, средствами связи и тому подобными устройствами.

Понятие "информационный риск" включает в себя все возможные события, которые могут воздействовать на любые ресурсы информационной системы и вызывать ущерб предприятия.

Важное место в определении  информационного риска занимает положение о том, что причиной ущерба может служить снижение качества информации. Качество информации характеризуется следующими показателями: достоверность; актуальность; конфиденциальность; полнота; своевременность получения; форма представления; избыточность.

Использование категории "качество информации" в определении информационного  риска позволяет существенно  расширить рамки рисковых событий. В результате этого учитываются  события, влияющие на все показатели качества информации на всех этапах ее использования на предприятии, во всех звеньях информационной технологической цепи, включая работу с документами на бумажных носителях, видео и аудио информацией.

При рассмотрении понятия "информационный риск" принимается во внимание наличие в информационной системе такого противоречивого ресурса как специалист предприятия. С одной стороны специалист является одним из основных элементов информационной системы, противодействующим наступлению информационных рисков. С другой стороны специалист является потенциальным источником информационных рисков.

Такой подход к пониманию сущности информационных рисков позволяет руководству предприятия рассматривать проблему противодействия рискам, как проблему системную. Решение ее возможно с привлечением специалистов всех уровней управления при непосредственном участии первых лиц предприятия.

Понятие "информационный риск" можно  трактовать и в более широком  смысле. Приведенное выше определение  информационного риска не затрагивает таких негативных явлений, которые непосредственно не связаны с информационной системой предприятия, как нарушение авторских прав на использование продукции интеллектуального труда, распространение заведомо ложных сведений о предприятии (дезинформация), незаконное использование торговой или производственной марки. То есть, к информационным рискам относятся также события, связанные с незаконным использованием информации или искажением информации, относящейся к предприятию и наносящие ущерб предприятию путем прямого воздействия на внешнюю среду.

Тогда, информационный риск – это возможность наступления случайного события, приводящего к нарушениям функционирования информационной системы предприятия и снижению качества информации, а также к неправомерному использованию, распространению или противодействию распространения информации во внешней среде, в результате которых наносится ущерб предприятию.

Такой подход к пониманию информационного  риска позволяет непосредственно  связать его с обеспечением конечной цели функционирования предприятия – получением максимальной прибыли и достижением стабильности бизнеса. У руководителя появляется возможность оценить информационный риск и, с учетом его опасности для бизнеса, выработать адекватную политику управления конкретным риском.

По определению информационный риск, как и риск любой природы, является случайным событием. Случайный характер информационного риска необходимо учитывать при рассмотрении его сущности и взаимосвязи информационных и экономических рисков.

В соответствии с сущностью процессов, явлений и объектов, порождающих случайности, различают объективную и субъективную случайности. Объективная случайность связана с природой материи, ее сущностью. В наиболее явной форме объективная случайность проявляется в микромире на уровне молекул, атомов, элементарных частиц. Примерами могут служить броуновское тепловое движение молекул и изменения в генах, приводящие к мутации организмов. Субъективная случайность определяется неполнотой информации о причинах и сущности случайных событий.

Анализ приведенных  рассуждений позволяет сделать вывод: принципиальных препятствий предсказания субъективных случайностей не существует. Субъективная случайность перейдет в разряд закономерных событий, если человеку удастся своевременно получить информацию, связанную с этим событием, требуемого качества.

Объективную случайность  принципиально невозможно предсказать  в силу ее сущности. Используя методы теории вероятностей возможно лишь получить предположительные сведения о случайном  событии.

Событие не является случайным  для определенного человека, если он своевременно получает качественную информацию. Важной характеристикой события является также интервал времени от момента получения информации о рисковом событии до момента наступления этого события. Если необходимая информация получена в момент времени, когда уже невозможно проанализировать ситуацию, принять решение и выполнить необходимые действия до наступления события, то такое событие относится к случайным.

На практике большинство  рисковых событий относятся к классу субъективных случайных событий. Даже в простых случаях не представляется возможным располагать в полном объеме качественной информацией. Например, имея информацию о дефектной детали, невозможно абсолютно точно предсказать время выхода ее из строя и возможные масштабы ущерба. Для этого потребовалось бы собрать и обработать дополнительную информацию, которую в конкретных условиях получить невозможно или экономически нецелесообразно.

Возможность получения всей информации требуемого качества ограничивается отсутствием соответствующих инструментальных средств и методик, времени на сбор и обработку информации, а также отсутствием полных научных знаний о сущности процесса или явления, противодействием конкурентов и злоумышленников.

Для исследования природы  информационных рисков важно определить сущность и взаимосвязь таких понятий как "источник", "причина" и "фактор" риска. Под источником информационных рисков понимается субъект, объект, процесс или явление, в котором реализуются причины информационных рисков. Примерами источников информационных рисков могут служить: специалист, процесс обработки информации, техническое средство, программа, объекты внешней среды. В зависимости от места расположения и принадлежности источника риска относительно информационной системы риски делятся на внутренние и внешние.

Источники порождают  риски при определенных условиях, в силу определенных причин. Знание источника информационного риска  является обязательным для определения  причин негативных событий в информационной системе.

Анализируя причинно-следственные связи информационных рисков, многие авторы не различают понятия "причина" и "фактор" риска. Если следовать определениям, приведенным в толковых словарях, то применительно к понятию риска можно сделать следующие заключения:

•причиной риска служит явление (событие), вызывающее, обуславливающее риск;

• фактором риска называется состояние процесса или объекта, которое способствует реализации риска.

Рассматривая соотношение  понятий "причина" и "фактор", необходимо отметить, что причина  определяет внутренние источники активности процессов или объектов порождающих риски. Факторы же рассматриваются как обстоятельства, способствующие реализации рисков.

Факторы информационных рисков, в меньшей степени связаны  с конкретными источниками риска, чем причины рисков. Они в основном отражают состояние информационной системы в целом, и особенно состояние подсистемы противодействия информационным рискам. Понятию "фактор риска" близко понятие "уязвимость системы", которое используется специалистами по защите информации. Для наступления рискового события необходимо одновременное наличие причины и фактора риска.

Информационные риски  могут быть разделены на прямые и косвенные риски. Прямыми будем считать информационные риски, в результате которых объекты информационной системы приходят в неработоспособное состояние. Для восстановления их работоспособности предприятие вынуждено расходовать ресурсы. Примерами прямых рисков являются утрата работоспособности технических средств в результате отказов, аварий и стихийных бедствий, уничтожение или искажение программных средств, информационных баз данных и т. п.

Информационные риски, которые наносят ущерб предприятию, являющийся следствием воздействия  рисков на бизнес-процессы предприятия  или внешнюю среду, будем называть косвенными информационными рисками. Так, например, при нарушении конфиденциальности информации ухудшается конъюнктура рынка, возможен срыв переговоров с партнерами и другие последствия, приносящие ущерб материальным или интеллектуальным ресурсам предприятия.

Таким образом, информационные риски воздействуют на ресурсы информационной системы, вызывая изменение внутренних и внешних условий функционирования предприятия. В результате этих изменений предприятие терпит убытки, ему наносится определенный ущерб. Внешние информационные риски могут напрямую воздействовать на внешнюю среду, в результате чего внешняя среда непосредственно воздействует на бизнес-процессы предприятия.

Информационные  и банковские риски

Информационные риски  приводят к ущербу предприятия. Поэтому  они с полным правом могут быть отнесены к экономическим рискам. При выделении информационных рисков в отдельный вид экономических рисков важно определить соотношение и взаимосвязи информационных и других экономических рисков.

Рассматривая сущность любого экономического риска необходимо отметить информационную природу риска. Как и любое рисковое событие, экономическое рисковое событие является случайным. Причем, экономические рисковые события являются субъективными случайными событиями. Отсюда следует вывод об информационной сущности любого экономического риска.

Целый ряд экономических  рисков по своей сути являются информационными  рисками. К ним относятся управленческий и основные банковские риски: инвестиционный, валютный, кредитный, риск ликвидности. Такие риски определяются в основном качеством информации, которой располагает менеджер на момент принятия решения. Так как современный процесс управления является процессом информационным, то управленческие риски являются по существу информационными рисками.

Для банковской сферы характерны две особенности:

• в банковских информационных системах возможны практически все виды информационных рисков;
• основные банковские риски имеют информационную сущность.

По мере развития информационных технологий осуществляется переход  на безналичный оборот денежных средств, на автоматизированное обслуживание клиентов, на электронные деньги. Бизнес процесс в банках все более приближается к "чистому" информационному процессу сбора, хранения, обработки, передачи и выдачи информации.

Информационным процессам в банковских системах с позиций анализа информационных рисков присущи следующие основные особенности:

• наличие хорошо защищенного внутреннего контура информационной системы, обеспечивающего высокое качество информации и устойчивость системы;
• связь с открытыми системами;
• присутствие большого количества некорпоративных пользователей, действия которых проконтролировать достаточно сложно (пользователи банкоматов, платежи с использованием Интернет);
• слабым звеном таких систем является недостаточная защищенность от неправомочных действий сотрудников банка;
• особая привлекательность банковской сферы для киберпреступников.

Слабыми звеньями современных  банковских информационных систем являются недостаточная защищенность от противоправных действий сотрудников банка (инсайдеров). По статистике до 90% всех инцидентов, имевших место в информационных банковских системах, связаны с участием работающих или уволенных сотрудников.

Причина этого кроется  в недостатках систем разграничения  доступа. Существующие современные технические, программные и криптографические средства позволяют ограничить возможности системных администраторов, операторов систем безопасности информации и тому подобных привилегированных пользователей по доступу к рабочей информации. В комплексе с правовыми и организационными механизмами эти средства позволяют практически исключить несанкционированный доступ к банковской информации.

Серьезной проблемой  для банков остаются мошеннические действия с пластиковыми картами. Сокращение ущерба от таких рисков может быть достигнуто за счет использования смарт-карт, совершенствования алгоритма защищенной удаленной банковской операции и усиления контроля за банкоматами.

Ущерб от нарушения доступности  информации достаточно сложно учесть. Трудно подсчитать сколько клиентов отказались от проведения банковских операций или стали клиентами других банков получив отказ в обслуживании из-за "зависания" информационной системы. Для преодоления этого распространенного информационного риска банкам необходимо повышать устойчивость клиентской части своих информационных систем к сбоям и отказам аппаратных и программных средств, дублировать каналы связи, снижать время восстановления информационного процесса.

Заключение

Информационные системы  существуют с древнейших времен человеческой цивилизации. Действительно, на любой стадии развития общество требует для своего управления систематизированную информацию. Особую важность в общественной жизни занимают экономические информационные системы, связанные с предоставлением и обработкой информации для всех уровней управления экономическими объектами.

Благодаря научно-техническому прогрессу, современные экономические  информационные системы используют новейшие компьютерные технологии по хранению, передаче и обработке информации, необходимые для экономического анализа и принятия управленческих решений. Такие системы, обеспечивая функционирование экономических объектов, оснащены современными техническими и программными средствами обработки информации, телекоммуникационными средствами работы в мировом информационном пространстве. Учитывая специфику и особенности функционирования экономических объектов и систем управления, специалист по работе с экономическими информационными системами должен обладать комплексными знаниями и умениями по ряду смежных областей, связанных с информатикой, экономикой и управлением.

Переход к рыночным отношениям в экономике и научно-технический  прогресс чрезвычайно ускорили темпы внедрения во все сферы социально-экономической жизни российского общества последних достижений в области информатизации. Сфера применения новых информационных технологий на базе ПЭВМ и развитых средств коммуникаций в экономике очень обширна и включает различные аспекты, начиная от обеспечения простейших функций переписки до системного анализа и поддержки сложных задач принятия решений. Персональные компьютеры, средства массовой информации и различного вида коммуникации позволяют учреждениям, предприятиям, фирмам, организациям получать в полном объеме всю необходимую информацию для реализования своих профессиональных, образовательных, культурных и даже бытовых интересов. Информационные процессы как активные силы взаимосвязи внутри и между экономическими объектами хозяйствования строятся на использовании разнообразных информационных технологических решений и дают возможность отнести информацию к разряду наиболее важных, ценных и дорогостоящих ресурсов, экономящих трудовые, материальные и финансовые средства.

Прогресс в экономике  невозможен без применения современных  компьютерных технологий, которые являются основой экономических информационных систем.

Информационные системы  объективно оценивают экономические  отношения, выявляют резервы и обеспечивают успех предпринимательской деятельности за счет принятия стратегически правильных решений.

В современных условиях без полной достоверной информации об экономическом объекте невозможно эффективное принятие решения. Таким образом, на основании всестороннего анализа сущности информационного риска можно сделать главный вывод – информационный риск является экономической категорией, причем, любой экономический риск включает в себя информационную составляющую. Как и другими экономическими рисками, информационными рисками необходимо управлять на всех уровнях менеджмента.

Основные банковские риски являются, по сути, информационными рисками. Информационные риски банковской сферы имеют свои особенности, которые необходимо учитывать при управлении этими рисками.

Литература

1. Завгородний В.И. Концепция создания ЭВМ защищенной структуры// Безопасность информационных технологий (МИФИ). −2006. − № 1.
2. Федеральный закон «О техническом регулировании» от 27.12.2002 №184 – ФЗ.
3. http://www.idc.com
4. http://ru.wikipedia.org
5. http://www.e-college.ru

[]