Выявление и оценка рисков: деньги, ИТ, управление, поставки

Коротко. Выявление и оценка рисков являются не таблицей Excel, а процессом, цель которого состоит в том, чтобы понять, как риски фактически реализуются на предприятии. Многие организации составляют перечни рисков, но не связывают их с повседневными процессами; в кризисе риск тогда не удается распознать. Эффективное выявление и оценка рассматривают предприятие через четыре призмы: финансовые процессы, ИТ и данные, структура управления и цепочка поставок.¹

1. Финансовые процессы: платежные поручения и подтверждения

Финансовые процессы дают прямой доступ к деньгам и поэтому являются основным вектором атаки. При выявлении и оценке нужно пройти весь платежный цикл.

Выявление и оценка платежного цикла

1. Как инициируется платеж (счет, электронное письмо, автоматический запрос системы, распоряжение руководителя)?
2. Кто и на скольких уровнях подтверждает платеж? Видит ли подтверждающий документ, на котором основан платеж?
3. Какие проверки проводятся до движения денег (лимиты сумм, проверка нового получателя, сверка реквизитов)?
4. Как выявляются отклонения (необычная сумма, новая страна, изменение реквизитов непосредственно перед платежом)?

Принцип четырех глаз должен работать по существу. Подтверждение двух лиц не помогает, если оба исходят из одного и того же ложного предположения или если атакующему удается убедить одного из них ускорить процесс («сделка конфиденциальна, никому не говори»). Подтверждающий должен проверять основание платежа, а не только подпись другого человека.

Платежами с повышенным риском являются крупные переводы, международные платежи, платежи новым получателям или получателям с недавно измененными реквизитами и срочные внеочередные платежи. Именно в этих категориях реализуется наибольший ущерб.

Связь со страхованием. Срабатывание страхования crime часто зависит от того, как выстроены процессы и соблюдались ли они. Многие договоры ставят условием страховой защиты мошеннического платежного указания то, что изменение реквизитов было проверено по независимому каналу (call-back). В эстонском праве важно различать, сформулировано ли такое требование как определение границ страхового случая или как лежащая на страхователе обязанность проявлять прилежание (заботливость и осмотрительность). Согласно практике Государственного суда решающим является то, зависит ли условие от поведения страхователя; если зависит, это обязанность проявлять прилежание, при нарушении которой страховщик может освободиться от обязанности исполнения лишь в пределах VÕS § 452 ч. 2 и соразмерно влиянию нарушения.² Это разграничение используется в споре, однако целью предприятия должно быть фактическое функционирование контроля, а не последующий спор.

2. ИТ и данные: облачные услуги и поставщики услуг

ИТ и данные являются основой функционирования предприятия. При выявлении и оценке нужно ответить на вопросы, какие системы и данные являются критическими и каковы их защищенность и доступность.

Где находятся данные и кто ими управляет? При использовании облачных услуг предприятие не контролирует физическую инфраструктуру, но по-прежнему отвечает за безопасность данных. Риск распределен между предприятием и поставщиком услуг, однако ответственность перед третьими лицами и надзором часто остается на предприятии.

Управление идентификацией и доступы. Значительная часть инцидентов происходит не в виде сложной технической атаки, а через скомпрометированную учетную запись пользователя. Если права доступа слишком широки или аутентификация слаба, одна учетная запись может привести к масштабному ущербу. Отдельно нужно рассмотреть учетные записи администраторов, у которых есть права как на системы, так и на платежные потоки.

Резервное копирование и восстановление. Многие предприятия исходят из того, что резервные копии существуют, однако в кризисе выясняется, что они устарели, атакующий их зашифровал или восстановление занимает недели. Это продлевает перерыв в деятельности и напрямую влияет на страховое возмещение по киберстрахованию (период ожидания, период возмещения, лимит перерыва в деятельности).

Поставщики услуг. Если критическая система делегирована третьему лицу, нужно оценить его меры безопасности и договорное распределение ответственности: должен ли поставщик услуг незамедлительно уведомить об инциденте, есть ли у него страхование ответственности, ограничена ли ответственность в договоре суммой, которая в несколько раз меньше возможного ущерба клиента.

Три измерения для правления. При оценке ИТ-риска практично использовать три вопроса:

3. Структура управления и процессы принятия решений

Структура управления определяет, как принимаются решения и кто за них отвечает. При выявлении и оценке нужно оценить, являются ли процессы принятия решений ясными, документированными и проверяемыми.

• Распределение ответственности. Как распределяется ответственность между правлением, руководством и оперативным уровнем? Если ответственность неясна, в кризисе никто не чувствует себя ответственным или решения принимаются в спешке и без проверки.
• Чрезвычайные ситуации. Схемы социальной инженерии используют чувство срочности. Если у предприятия нет ясных инструкций, как действовать при поступлении срочного платежного поручения от имени руководителя, вероятность ошибки возрастает.
• Документирование и прослеживаемость. В кризисе и позднее в споре нужно суметь доказать, какие решения были приняты и на каком основании. Это влияет как на оценку ответственности правления, так и на рассмотрение страхового требования.

Анализ структуры управления напрямую связан с риском D&O. Член правления должен доказать, что он исполнял обязанности с прилежанием надлежащего предпринимателя (ÄS § 187).³ В сфере применения Закона о кибербезопасности нужно назначить члена правления, ответственного за кибербезопасность; если это не сделано, отвечают все члены правления (KüTS § 6¹).⁴ Таким образом, недостаточный процесс управления является не просто организационной проблемой, а правовым риском.

4. Цепочка поставок и третьи лица

Цепочки поставок, поставщики услуг и партнеры образуют сеть, через которую движутся как ценность, так и риски. Выявление и оценка должны охватывать всю сеть.

Перечень критических партнеров: поставщики ИТ-услуг, облачные услуги, поставщики платежных услуг, логистические предприятия, ключевые поставщики и субподрядчики. По каждому партнеру нужно спросить, что произойдет, если он на неделю перестанет функционировать.

Договорный контроль: распределение ответственности, ограничения ответственности, требования к безопасности, право на аудит и обязанность уведомлять об инцидентах. Доверие без контроля может привести к масштабному ущербу.

Контроль партнеров: проводятся ли аудиты безопасности, требуются ли сертификаты (например, ISO/IEC 27001) или сотрудничество основывается лишь на доверии?

Связь со страхованием. Киберстрахование может покрывать ущерб, возникший через третьих лиц, однако это зависит от определений (охватывает ли «компьютерная система» системы поставщика услуг) и от расширения страховой защиты на перерыв в цепочке поставок. Возникает также вопрос, должны ли в конечном счете нести ущерб поставщик услуг и его страховщик ответственности. Если страховщик предприятия возместил ущерб, требование к поставщику услуг, причинившему ущерб, переходит к страховщику в объеме возмещенного (VÕS § 492).⁵ Страхователь не вправе ни до, ни после наступления ущерба отказываться от этого требования таким образом, который ущемляет регрессное требование страховщика; поэтому ограничения ответственности и оговорки об отказе от требований в договоре об оказании услуг нужно обсудить со страховщиком.

5. От выявления и оценки к карте рисков

Когда четыре области проанализированы, можно:

• оценить фактический уровень риска (вероятность × воздействие);
• выявить слабые места;
• связать их с подходящей страховой защитой или внутренним контролем.

Вероятность делится, например, на четыре уровня: низкая, средняя, высокая, очень высокая. Воздействие также на четыре: низкое, среднее, высокое, критическое. Риски с высокой вероятностью и высоким или критическим воздействием должны доходить до правления, и для них должен быть отдельный план действий.

Хорошим рабочим приемом являются три зоны:

• зеленая: риски с низким воздействием и низкой вероятностью, за которыми следят в обычном порядке;
• желтая: риски, которым нужны меры контроля, ответственное лицо и периодический пересмотр;
• красная: риски, которым нужны внимание правления, кризисный план и страховое решение.

В красную зону чаще всего попадают программы-вымогатели, утечка данных, крупное финансовое мошенничество, простой критического поставщика услуг и требование, предъявляемое к правлению. Карту рисков нужно обновлять не реже одного раза в год и всегда, когда меняются бизнес-модель, рынок, ИТ-платформа, ключевой поставщик или регулирование. Полный вопросник приведен на странице контрольные вопросы и примерная карта рисков.

6. Рабочий прием: семинар по выявлению и оценке рисков

Выявление и оценку рисков можно провести в форме одного полудневного семинара.

1. Подготовка. Каждый участник (правление, финансовый директор, ИТ-руководитель, юрист, руководители продаж и производства) приносит три риска, которые беспокоят его больше всего.
2. Описание процессов (1 час). Рисуется простая схема: как деньги поступают и уходят, какие системы это поддерживают, кто является критическими партнерами.
3. Сценарии (1 час). По каждой из четырех призм (финансовые процессы, ИТ и данные, управление, цепочка поставок) описываются два реалистичных наихудших сценария.
4. Оценка (30 минут). Вероятность и воздействие каждого сценария; размещение на карте рисков.
5. Связь со страхованием (30 минут). По сценариям красной зоны: какой договор их покрывает и знают ли об этом участники. Если никто не знает, это и есть находка.
6. Последующие действия. Ответственные лица и сроки; результаты вносятся в протокол правления.

Результат семинара служит исходными данными для самооценки рисков и Insurance Readiness Audit.

Связанные страницы

• Взгляд предпринимателя
• Взгляд брокера и юриста
• Самооценка рисков
• Переход требования и регресс

Примечания