Разработка методического обеспечения оценки и управления рисками в платежных системах на банковских картах

Актуальность темы

За последнее десятилетие в России наметилась устойчивая тенденция развития систем безналичных платежей с использованием информационных технологий. Особое место среди них занимают платёжные системы расчётов на банковских картах (БК). На уровне региональной и федеральной власти вводятся программы перевода пенсионных и социальных выплат на данный платёжный инструмент. Предприятия и организации, как государственные, так и частные, участвуют в проектах, целью которых является перевод заработной платы сотрудников на карточные счета в банке. Неуклонный рост числа держателей БК и пунктов обслуживания операций с данным платёжным инструментом, развитие платёжных систем на БК, как элемента банковской информационной системы страны, несомненно, является положительным фактором развития современного российского общества. Но, к сожалению, глубокое внедрение платёжных систем расчётов на БК в инфраструктуру банковской информационной системы страны привело к возникновению новых видов преступлений в сфере высоких технологиймошенничеству с использованием БК. Ежегодно увеличивается число случаев злоупотреблений, связанных с мошенническим использованием БК и ущерб от данных преступлений исчисляется миллиардами рублей. Помимо количественного увеличения объёмов мошенничества в сфере оборота БК, подобные злоупотребления изменяются и качественно: злоумышленники постоянно ищут новые возможности для реализации данного вида преступлений, обладают высокой гибкостью и оперативностью. Кроме прямых финансовых потерь, кредитно-финансовые учреждения несут косвенные потери, связанные с уходом клиентов, уменьшением оборотов, ударом по репутации.

В Доктрине информационной безопасности (ИБ) Российской Федерации указано, что «национальная безопасность Российской Федерации существенным образом зависит от обеспечения информационной безопасности, и в ходе развития технического прогресса эта зависимость будет возрастать» .

Одним из основных направлений обеспечения информационной безопасности является повышение безопасности информационных систем в банковской и кредитно-финансовой сфере.

Появление и осознание проблем ИБ в банковской и кредитно-финансовой сфере, а именно в платёжных системах расчётов на БК, приводит к необходимости измерения величины риска, связанного с возникновением ущерба. Только на основе оценки риска можно определить необходимую степень защиты, выбрать стратегию развития информационной структуры платёжной системы и поддерживать на должном уровне её безопасность. Кроме того, помимо задачи оценки риска возникает необходимость в управлении риском. Понятие «управление рисками» появилось сравнительно недавно и сегодня вызывает постоянный интерес специалистов в области обеспечения непрерывности бизнеса и сетевой безопасности. В настоящее время управление информационными рисками представляет собой одно из наиболее актуальных и динамично развивающихся направлений стратегического и оперативного менеджмента в области защиты информации (ЗИ). Однако до настоящего момента отсутствует методическое обеспечение для количественной оценки рисков, связанных с ущербом от мошеннических операций с банковскими картами, не проработаны методы управления такими рисками, что, несомненно, является краеугольным камнем в дальнейшем развитии индустрии расчётов на банковских картах и всей кредитно-финансовой системы страны в целом и требует большего внимания со стороны специалистов в области ИБ.

Учитывая вышесказанное, вопросы разработки методического обеспечения оценки и управления рисками в ПС на БК являются чрезвычайно актуальными.

Работа выполнена в соответствии с одним из основных научных направлений Международного института компьютерных технологий «Обработка и защита информации».

Объект исследования. Типовые платёжные системы на банковских картах с магнитной полосой, подверженные угрозам мошеннических операций (МО).

Предмет исследования. Методическое обеспечение оценки и управления рисками в платёжных системах на банковских картах.

Цель и задачи исследования

Создание формализованного методического обеспечения численной оценки и управления рисками в платёжных системах на банковских картах.

Основные задачи. Для достижения поставленной цели в работе решались следующие задачи:

1. Анализ способов мошеннического использования БК и их характеристик.

2. Дальнейшее развитие и адаптация методологии стохастического анализа в части нахождения рисков и защищенности систем по заданным статистическим данным ущерба, причиняемого МО с БК.

3. Разработка методик аналитической и численной оценки вероятностей наступления ущербов различной величины применительно к МО с БК.

4. Разработка вероятностных алгоритмов выявления МО с БК по группе независимых признаков и их комбинациям, включая принятие решений по организационно-правовому воздействию.

Методы исследования. В работе использованы методы теории вероятностей и математической статистики, теории риска, теории системного анализа и управления, теории принятия решений.

Обоснованность научных положений, выводов, сформулированных в диссертации, обеспечивается: корректным применением перечисленных методов исследованийэкспертизой результатов при их публикации в печатных изданиях.

Научная новизна. В диссертационной работе получены следующие результаты, характеризующиеся научной новизной:

1. Методология стохастического анализа отличается от аналогов тем, что она адаптирована к нахождению рисков в платёжных системах на банковских картах, связанных с ущёрбом от МО.

2. Впервые разработаны алгоритмы выявления МО с БК по отдельным признакам и группе признаков, включая риск-анализ операций с БК, отличительной особенностью которых является формализованное описание алгоритмов оценки опасности операции с БК и принятия решения о том, что она является мошеннической.

3. Предложены механизмы организационно-правового управления рисками МО с БК, в которых впервые представлены алгоритмы принятия управленческих решений по противодействию МО с БК, отличительной особенностью которых является использование результатов риск — анализа операций с БК.

Практическая значимость полученных результатов. Научные выводы, сделанные в работе по оценке рисков в платёжных системах на БК, разработанные алгоритмы для управлениями рисками позволяют эффективно их использовать для обеспечения безопасности в платёжных системах расчётов на банковских картах. Разработанные методики позволяют не просто оценивать риск мошеннических операций с банковскими картами, но и принимать решение о том, является ли операция мошеннической, управлять противодействием подобным злоупотреблениям.

Кроме того, полученные результаты используются в Международном институте компьютерных технологий в ходе курсового и дипломного проектирования на кафедре «Системы информационной безопасности» студентами специальности 75 300 «Организация и технология защиты информации», а также при выполнении ими индивидуальных заданий по дисциплине «Компьютерные преступления», что подтверждено актами внедрения в учебный процесс.

Научные результаты, полученные в диссертационной работе, были внедрены в ОАО «Воронежпромбанк», ООО «Рукард — Воронеж», что подтверждено актами внедрения.

Апробация работы. Основные результаты диссертационной работы докладывались и обсуждались на следующих конференциях: на региональной студенческой научной конференции «Проектирование и обеспечение безопасности информационно-телекоммуникационных систем» (Воронеж, 2000) — региональной конференции молодых учёных «Проблемы передачи, обработки и защиты информации в технических, биологических и социальных системах» (Воронеж, 2003) — региональной конференции молодёжи «ЮниорИнфоСофети» (Воронеж, 2005).

Публикации. По теме диссертации работы опубликовано 15 научных работ, в том числе 9 — в изданиях рекомендованных ВАК РФ.

В работах, опубликованных в соавторстве, лично автору принадлежит: метод ранжирования источников угроз информационной безопасности в платёжных системах расчётов на БК [5]. В работах [1,2,12] автором дана характеристика основных видов преступлений с использованием БК. В работе [3] проведён анализ возможных угроз ИБ в платёжных системах расчётов на БК. Лично автором в работе [4] рассмотрены основные требования, предъявляемые к средствам защиты информации в платёжных системах на банковских картах. В работах [6,15] автором описаны методики выявления мошеннических операций с БК. В работе [7] автором описаны алгоритмы управления рисками в платёжных системах на БК. В работе [10], автором рассмотрены методы конструктивного представления систем, которые могут быть применимы к исследованию платёжных систем на БК. В работе [8] лично автором предложен алгоритм выявления мошеннической операций на основе вероятностной оценки. В работах [11,13] автором рассмотрены основные угрозы ИБ в платёжных системах на банковских картах и риски, связанные с мошенническим использованием банковских карт.

Основные положения, выносимые на защиту.

1. Методология стохастического анализа в части нахождения рисков и защищенности систем по заданным статистическим данным ущерба, причиняемого МО с БК.

2. Алгоритмы выявления МО с БК по отдельным и группе признаков, включая риск — анализ операций с БК.

3. Формализованное описание алгоритмов оценки опасности операций с БК и алгоритмы организационно-правового управления рисками МО с БК.

Структура и объём работы. Диссертация состоит из введения, четырёх глав, заключения, списка литературы, включающего 72 наименования, и приложения на 2 страницах. Основной текст изложен на 105 страницах. Работа содержит 34 рисунка и 16 таблиц.

4.4. Выводы по четвертой главе.

1. Обобщение данных мониторинга мошеннических операций с БК свидетельствует о наличии ряда признаков, с помощью которых представляется возможным своевременно выявлять и пресекать преступную деятельность данного профиля.

2. С использованием теории вероятностей, предложены алгоритмы выявления МО с БК по отдельным и группе признаков, включая риск — анализ операций с БК.

3. Предложены алгоритмы организационно-правового управления рисками МО с БК, включая схемы консолидации банковского сообщества в части информационного обмена и актуализации статистики данного вида правонарушений.

Траектория устойчивого развития платежной системы расчетов на БК.

Рис. 4.6. Структурная схема управления безопасностью платежной системы расчетов на БК.

Рис. 4.7. Структурная схема рискового режима развития платежной системы расчетов на БК.

ЗАКЛЮЧЕНИЕ

.

В работе получены следующие основные результаты:

1. Развита и адаптирована методология стохастического анализа в части нахождения рисков и защищённости систем по заданным статистическим данным значений ущерба для платёжных систем (ПС), причиняемого мошенническими операциями (МО) с банковскими картами (БК).

2. Получены аналитические выражения для риска и защищённости платёжных систем с БК в самом общем виде, которые могут быть адаптированы для различных одиночных признаков МО и их групп.

3. Разработаны алгоритмы выявления МО с БК по отдельным и группе признаков, включая риск-анализ операций с БК. Выделены основные характеристики операций с БК, при помощи которых формируются признаки МО. Формализованным научным языком описаны алгоритмы оценки опасности операции с БК и принятия решения о том, что она является мошеннической.

4. Предложены алгоритмы организационно-правового управления рисками МО с БК, включая схемы консолидации банковского сообщества в части информационного обмена и актуализации статистики данного вида правонарушений.

5. Разработаны алгоритмы принятия управленческих решений по противодействию МО с БК, используя результаты риск-анализа.