Prezentacja: Rozwiązania zarządzania bezpieczeństwem w kontekście Rekomendacji M i Rekomendacji D NBP

Marcin Kozak

O wadze, jaką banki powinny przywiązywać do kwestii związanych z bezpieczeństwem, świadczą zalecenia Komisji Nadzoru Bankowego, znane jako Rekomendacja M (2004 r.) oraz Rekomendacja D (2002 r.). Pierwsza dotyczy zarządzania ryzykiem operacyjnym w bankach, zaś druga – zarządzania ryzykami towarzyszącymi systemom informatycznym i telekomunikacyjnym używanym przez banki.

Zapobieganie nadużyciom, redukcja błędów transakcyjnych czy też rozwój kontroli wewnętrznej zawsze miały dla banków duże znaczenie, zatem sama koncepcja zarządzania ryzykiem operacyjnym nie jest niczym nowym. Nowością jest podejście do zarządzania tym rodzajem ryzyka jako zintegrowanego procesu, porównywalnego z zarządzaniem ryzykiem finansowym – takim jak ryzyko rynkowe lub kredytowe. Zintegrowane podejścia do ryzyka.

Warto zdać sobie sprawę z tego, co powinniśmy chronić. Nie komputer czy jego twardy dysk – powinniśmy chronić informację, gdyż to ona ma kluczowe znaczenie. Do informacji przechowywanej w różnej formie mogą mieć dostęp nieuprawnieni użytkownicy (w tym pracownicy), stąd też mówiąc o zarządzaniu bezpieczeństwem, musimy skoncentrować się na kilku najważniejszych procesach:

• zarządzanie ryzykiem,
• stworzenie, stosowanie oraz ewaluacja polityki bezpieczeństwa,
• klasyfikacja informacji,
• budowanie świadomości pracowników poprzez szkolenia.

Zastosowanie zintegrowanego – w skali całego banku – podejścia do zarządzania bezpieczeństwem minimalizuje ryzyko związane z pojawieniem się zagrożeń w naszych systemach informacji. Już pierwsza wersja Rekomendacji D (1997 r.) mocno podkreślała kluczową rolę kierownictwa banku jako opowiadającego za stworzenie i realizację polityki bezpieczeństwa. Podobnie Rekomendacja M (2004 r.) w części poświęconej roli organów banku wskazuje, iż za opracowanie i realizację strategii zarządzania ryzykiem odpowiada zarząd banku. A zatem o tym, jaki poziom ryzyka jest akceptowalny, decydują władze banku i to one są bezpośrednio odpowiedzialne za problemy powstałe ze złej identyfikacji ryzyka bądź złego nim zarządzania.

Analiza ryzyka

Jednym z podstawowych narzędzi zarządzania ryzykiem jest analiza. Polega ona na identyfikacji kluczowych zasobów czy procesów oraz identyfikacji potencjalnych zagrożeń i faktycznego ryzyka związanego ze zmaterializowaniem się wcześniej określonych zagrożeń. Dzięki identyfikacji ...