Bezpieczeństwo instytucji finansowej: Ochronić szwajcarski bank

Jerzy Szygiel

Dwie niezwykłe afery, które wstrząsnęły szwajcarskim systemem bankowym, są z uwagą analizowane przez zarządy licznych europejskich banków. Obie mają związek z tzw. szkodami informatycznymi, tj. po prostu używaniem powiązanych w sieci komputerów. 70 proc. tych szkód rodzi się wewnątrz, w bankach. Niektóre z nich przynoszą takie straty, że w porównaniu z nimi tradycyjne napady to zabawny folklor. Co się dzieje, kiedy złodziejowi nie chodzi o pieniądze?

W imię uczciwości

Kradzież danych kont klientów genewskiego HSBC Private Bank, której dopuścił się zatrudniony w nim informatyk Herve Falciani, doprowadziła wręcz do ochłodzenia stosunków szwajcarsko-francuskich. Szwajcarzy podejrzewają, że w nagłej ucieczce z kraju pomogły mu francuskie służby specjalne. Sam Falciani, który dostarczył te dane Paryżowi, zarzeka się, że nie zrobił tego dla pieniędzy, a tylko po to, by „bronić interesów Francji”. Trochę inaczej wygląda sprawa anonimowej kradzieży danych z należącego do samego serca szwajcarskiego systemu bankowego, słynnego UBS (Union de Banques Suisses), zaoferowanych niedawno rządowi niemieckiemu, ale z punku widzenia Szwajcarów zarówno Francja, jak i Niemcy postępują identycznie: sankcjonują przestępstwo. W końcu, jak nazywa się ten, kto świadomie kupuje ukradzioną rzecz lub z niej korzysta?

Francja i Niemcy argumentują, że właśnie chodzi im o ukaranie nieuczciwych. Zarówno prezydent Francji, Nicolas Sarkozy, jak i kanclerz Niemiec, Angela Merkel głośno poparli pozyskanie danych, które pozwolą poznać tysiące niesumiennych podatników. W Szwajcarii, ojczyźnie bankowości, już nie wiedzą, czy dwa wielkie państwa tylko skorzystały z okazji, czy też przygotowywały swoje „napady” od dawna. Podejrzewają, że nie chodzi im o pieniądze z podatków, tylko o coś więcej, o chęć trwałego zaszkodzenia całemu systemowi szwajcarskiemu.

Obie afery to dla banków katastrofa. Można się spodziewać, że wielu klientów, nie tylko tych uchylających się od podatków, mocno zwątpiło w solidność szwajcarskich instytucji finansowych. Obie jasno wskazują na pewną słabość w zarządzaniu przedsiębiorstwami, obie też stawiają bezpieczeństwo informatyczne już nie na poziomie czysto technicznym, ale samej strategii zarządzania. Zapewnienie bezpieczeństwa danych jest kluczowym elementem redukcji ryzyka, a błędy związane z kontrolą dostępu do informacji cyfrowej stanowią poważne zagrożenie dla wszystkich przedsiębiorstw.

Pierwsze wnioski

Przypadek HSBC i inne podobnie spektakularne sprawy wymagają szczególnej uwagi kierownictw banków. Już w 2008 r. niemiecki fiskus kupił dane klientów jednego z banków w Liechtensteinie od informatyka zarządzającego bazami danych. Wskutek „afery Kerviela” francuski gigant Société Générale stracił prawie 5 mld euro, ledwo unikając bankructwa, bo zapomniano zmienić zakres praw dostępu informatycznego pracownikowi, który zmienił stanowisko w przedsiębiorstwie.

Pracownicy banku okradzionego z danych utrzymują, że ich system zabezpieczeń jest tak szczelny, że słynna „płyta CD”, którą tak zainteresował się rząd niemiecki, to blef. Istnienie rozszyfrowanych (!) danych potwierdza tymczasem francuska prokuratura. Jerry Krattiger, czołowy genewski ekspert w sprawach bezpieczeństwa banków, twierdzi, że popełniono błędy, a można było ich uniknąć. Według niego owe głośne sprawy skłaniają do kilku wniosków szerszej natury:

• Po pierwsze, większość szkód informatycznych wyrządzają rozczarowani bądź niedelikatni pracownicy, albo ich przyczyną jest zwykła nieuwaga.
• Po ...