KURZUS: Ellátási lánc menedzsment

MODUL: Banki logisztika

2. lecke: Kockázatelemzés, kockázatmenedzsment

Tanulási útmutató
Tevékenység
  • fogalmazza meg, mit értünk kockázaton;
  • jegyezze meg a kockázat számításának képletét;
  • fogalmazza meg, hogyan keletkezik kár az informatikai rendszerelemek sérülése esetén;
  • sorolja fel, milyen jellegű károk keletkeznek az informatikai rendszer sérülésekor;
  • jegyezze meg, mit értünk elsődleges, másodlagos, harmadlagos káron; próbáljon saját példát keresni ezekre a kárfajtákra;
  • fogalmazza meg, mit értünk kockázatelemzésen;
  • jegyezze meg, hogy a kockázatelemzés során hogyan határozzák meg a gyenge láncszemeket;
  • jegyezze meg, mi a kockázatmenedzsment célja;
  • jegyezze meg a kockázati tényező kezelésének eszközeit;
  • sorolja fel a kockázatcsökkentés alapmódszereit;
  • fogalmazza meg a PreDeCo-szemlélet alapelvét;
  • jegyezze meg, mit értünk megelőző, felismerő és elhárító kontroll alatt; keresse meg a szövegben ezek konkrét megvalósításának módját;
  • sorolja fel a kockázat-áthárítás módjait;
Követelmények

Ön akkor sajátította el megfelelően a tananyagot, ha

  • felsorolásból ki tudja választani a kockázat definícióját;
  • felsorolásból ki tudja választani a kockázat számításának képletét;
  • felsorolásból ki tudja választani kockázatelemzés definícióját;
  • felsorolásból ki tudja választani a kockázati tényező kezelésének eszközeit;
  • felsorolásból ki tudja választani a PreDeCo-szemlélet alapevét;
  • adott kockázatcsökkentő elemről el tudja dönteni, hogy melyik kontrollhoz tartozik;
  • felsorolásból ki tudja választani a kockázat-áthárítás módjait.
Tananyag
1. Kockázatelemzés elvi megközelítése

A bank informatikai rendszereket általában az alábbi veszélyek fenyegetik:

  • jogosulatlan felhasználók adat-hozzáféréséből adódó veszélyek;
  • a rendszer hardver eszközeinek meghibásodása.

A bank informatikai rendszereit fenyegető veszélyforrások által jelentett kockázatokat nehéz becsülni, "forintosítani". Egyrészt ebben a folyamatosan változó világban a veszélyforrások bekövetkezésének gyakoriságára nincsenek jó statisztikák, másrészt a ténylegesen okozott károk pénzben kifejezett mértéke sem határozható meg, sokszor még nagyságrendileg sem. Annak ellenére, hogy számszerű közelítő eredményt nem remélhetünk, legalább elvi síkon célszerű tisztában lenni a veszélyforrások, illetve károk hatásmechanizmusával.

A kockázatbecslés elvi megközelítése kapcsán az ábrán látható modellt szokás alkalmazni:

Kár keletkezésének hatásmechanizmusai
1. ábra

Ahogy az ábráról leolvasható, informatikai rendszerek esetén a veszélyforrások általában konkrét rendszerelemeket (szervereket, adattárakat stb.) támadnak.

Az egyes rendszerelemek sérülése hat a velük kapcsolatban lévő alkalmazásokra (különféle szoftverekre, például a raktárnyilvántartó vagy a bérszámfejtő alkalmazásra).

A szoftverek problémái esetén a munkafolyamatokban - mind az alaptevékenységben, mind az operatív, taktikai és stratégiai irányításban is - fennakadások lehetnek.

1.1. A kockázat
Fogalmazza meg, mit értünk kockázaton!

A kockázat matematikai definíció szerint a kár várható értéke egy adott időszakban.

Képletben:

Jegyezze meg a kockázat számításának képletét! R= p t d t r , minden tT-re

Ahol R a kockázat (risk), T a veszélyforrások halmaza (threat), pt egy adott veszélyforrás bekövetkezési valószínűsége (probability), dt pedig a keletkező kár (damage) mértéke.

1.2. Kockázati paraméterek becslése
Fogalmazza meg, hogyan keletkezik kár az informatikai rendszerelemek sérülése esetén!

Egy bank informatikai rendszer esetében azért van különösen nehéz feladatunk a kockázat mértékének pontos meghatározásakor, mert a fenti képlet egyetlen paraméterét sem tudjuk jól megbecsülni. A veszélyforrások listája sem lehet teljes; sok esetben a bekövetkezési valószínűség becsléséhez nem áll rendelkezésre korábbi statisztikai, tapasztalati érték; a keletkezett kár pedig egy informatikai rendszerben komplex, áttételes hatásmechanizmuson keresztül realizálódik, amely hatásmechanizmus feltérképezése, és a kár pénzben kifejezett meghatározása sem magától értetődő.

2. ábra

Forrás: http://www.am-computertechnik.net/images/plugged.jpg

Sorolja fel, milyen jellegű károk keletkeznek az informatikai rendszer sérülésekor!

Amennyiben az informatikai rendszerben keletkezett kár hatását nem sikerül jól kezelni, a fennakadás az ügyfelek, partnerek, üzleti folyamatok szintjén is érzékelhető lehet és ez szélsőséges esetben piaci hatásokhoz is vezethet (imázs romlás, ügyfelek elpártolása, piacvesztés). A hatás továbbterjedésének megfelelően szokás ezért úgynevezett elsődleges, másodlagos, harmadlagos stb. kárról beszélni.

Egy informatikai rendszer esetében a másodlagos, harmadlagos károk nagyságrendekkel nagyobbak az elsődleges, károknál, ezért rendkívül fontos minden veszélyforrás esetén egyenként elbírálni, hogy az esetlegesen bekövetkező hatás meddig terjedhet ki.

3. ábra

Forrás: http://www.abakusz.eu/aruhaz/kepek/nagy_kepek/hdd/HDD_n.jpg

Jegyezze meg, mit értünk elsődleges, másodlagos, harmadlagos káron! Próbáljon saját példát keresni ezekre a kárfajtákra!

Például egy egyszerű merevlemez meghibásodása okozhatja, hogy nagy mennyiségű adat visszaállíthatatlanul megsemmisül. Ilyenkor az elsődleges kár, a merevlemez megjavításának költsége eltörpül az áttételesen okozott károkhoz viszonyulva. Az elveszett adatok pótlásának költségei, a visszaállítás ideje alatt fennakadt üzleti folyamatok és még rosszabb esetben az ennek hatására elmaradt üzleti haszon hatalmasak lehetnek a bekövetkezés konkrét okától függetlenül.

Tekintve, hogy informatikai rendszerekben a veszélyek, károk, illetve kockázati tényezők hatásmechanizmusa ennyire összetett, gyakorlatilag egyetlen komoly módszertan sem vállalkozik arra, hogy a kockázat pénzügyi nagyságát közvetlenül megbecsülje, forintosítsa.

2. Kockázatelemzés, kockázatmenedzsment
Fogalmazza meg, mit értünk kockázatelemzésen!

A legtöbb, gyakorlatban alkalmazott kockázatbecslési módszertan a kategorizálás módszerét alkalmazza, azaz csak nagy nagyságrendben határozza meg a bekövetkezés valószínűségét és a kár nagyságát.

4. ábra

Forrás: http://jkontherun.files.wordpress.com/2009/04/computer_smoke_130873.jpg

Jegyezze meg, hogy a kockázatelemzés során hogyan határozzák meg a gyenge láncszemeket!

Ez ugyan nem teszi lehetővé, hogy a biztosításokhoz hasonlóan, számszerű kockázati értéket határozzunk meg egy veszélyforráshoz, de már jó kiinduló pontot ad. Az egyes kockázati tényezőket egymáshoz hasonlítva határozzuk meg a gyenge láncszemeket, azokat a pontokat, ahol a legcélszerűbb védekezni. Ezt a folyamatot nevezzük kockázatelemzésnek vagy kockázatmenedzselésnek, nevében is megkülönböztetve a kockázatbecsléstől.

3. Kockázat kezelésének módszerei
Jegyezze meg, mi a kockázatmenedzsment célja!

A kockázatelemzés eredményeként képet kapunk egy rendszert fenyegető veszélyforrásokról, a bekövetkezési valószínűségeken és becsült kár értékeken keresztül pedig a fellépő kockázat egymáshoz viszonyított nagyságáról. A kockázatmenedzsment célja ennek ismeretében a kockázat hatékony csökkentése, ezáltal a biztonság növelése.

Egy kockázati tényező kezelésére alapvetően három eszköz áll rendelkezésünkre:

Jegyezze meg a kockázati tényező kezelésének eszközeit!
  • a kockázat csökkentése megfelelő szintű védekezéssel,
  • a kockázat áthárítása,
  • tudatos kockázatvállalás.
3.1. Védekezés
5. ábra

A kockázatot a bekövetkezési valószínűségek és az okozott károk szorzatainak összegeként definiáljuk, így csökkentése ezen tényezők csökkentésével valósulhat meg. A kockázatcsökkentés alapmódszerei tehát:

Sorolja fel a kockázatcsökkentés alapmódszereit!
  • a bekövetkezési valószínűség csökkentése,
  • a veszélyforrás kiküszöbölése,
  • az okozott kár nagyságának korlátozása, csökkentése.

A megfelelő szintű védekezési módszerek tervezésére általánosan elfogadott és a gyakorlatban is rendkívül jól alkalmazható szemlélet az úgy nevezett PreDeCo kontrollok rendszere alkalmazható. A név a három fő mechanizmus angol nevének kezdetéből áll:

  • Preventive: megelőző, kivédő kontrollok
  • Detective: felismerő kontrollok
  • Corrective: elhárító, helyreállító kontrollok
Fogalmazza meg a PreDeCo-szemlélet alapelvét!

A PreDeCo szemlélet szerint egy kontroll cél (control objective) biztosítására tett védelmi intézkedések e három, alapvetően más működésű védelmi mechanizmus ötvözéséből tevődnek össze.

3.1.1. Megelőző, kivédő kontrollok

Jegyezze meg, mit értünk megelőző, felismerő és elhárító kontroll alatt! Keresse meg a szövegben ezek konkrét megvalósításának módját!
6. ábra

Forrás: http://www.digialt.com/images/Security_small1.jpg

A bekövetkezési valószínűség csökkenthető erősebb védelmi mechanizmus alkalmazásával. A veszélyforrások kiküszöbölése tulajdonképpen tekinthető a bekövetkezési valószínűség csökkentés speciális esetének is, azzal a lényeges kitétellel, hogy ez a valószínűség itt közel nullára csökken. Sajnos a veszélyforrások kiküszöbölése védekezéssel általában nem valósítható meg. Bizonyos ritka esetekben nyílik csak erre lehetőség (pl. megfelelő villámvédelemmel a villámcsapás hatása gyakorlatilag kivédhető). A teljes kiküszöbölés a legtöbb esetben csak megfelelő architekturális átszervezéssel oldható meg (új operációs rendszerek telepítésétől a manuális visszaellenőrzésekig), amelyek kivitelezése csak nagyon ritkán jelent reális alternatívát.

3.1.2. Felismerő kontrollok

7. ábra

Forrás: http://www.discoveriesinmedicine.com/images/mdis_0000_0003_0_img0101.jpg

A kockázat csökkentésének fontos eszköze a keletkező kár nagyságának csökkentése. Általában azonban csak a kár mértékének korlátozásáról beszélünk. A másodlagos, harmadlagos, egyre nagyobb kárt okozó hatásmechanizmust úgy kezelhetjük, ha az elsődleges károknál, illetve a lehető legalacsonyabb szinten "megakadályozzuk" a kár továbbterjedését. Ehhez minél előbb felismerni (detekció) és minél gyorsabban orvosolni (korrekció) kell a problémát. A károk továbbterjedési mechanizmusának feltérképezése után megfelelő átszervezéssel és a megszüntethető függőségek felszámolásával tovább korlátozható a kár terjedése.

A kár hatása általában két szinten vizsgálható:

  • Elsődleges kár: az adott rendszerben okozott tényleges kár mértéke, a helyreállítás költsége.
  • Másodlagos kár: a különböző kölcsönhatásokon keresztül, a teljes szervezetben realizálódott veszteség mértéke.

3.1.3. Elhárító, helyreállító kontroll

8. ábra

Forrás: http://www.fusionuv.com/uploadedImages/Images_Library/Market_Images/Maintenance%20and%20Repair.jpg

A kár bekövetkeztekor beatvakozunk a rendellenes események folyásába, megpróbáljuk minél hamarabb visszaállítani a hibamentes állapotot. A különösen nagy kárt okozó veszélyhelyzetek lekezelésére célszerű külön felkészülni, úgynevezett katasztrófa-elhárítási tervek készítésével, illetve természetszerűleg az ilyen helyzetekre számító felkészülési tevékenységek végzésével (például biztonsági mentések készítésével).

3.2. Kockázat-áthárítás

Ha a kár bekövetkezését megakadályozni már nem tudjuk, akkor a kockázat és ezzel a károk áthárítása sok esetben még enyhítheti, orvosolhatja a problémát.

A kockázat-áthárítás elvét követve, például a beszállítókkal, illetve az ügyfelekkel olyan szerződést köthetünk, hogy bizonyos veszélyforrások következményeit ők viseljék.

Sorolja fel a kockázat-áthárítás módjait!

Az áthárítás másik módja biztosítás kötése.

A biztosítás a bekövetkezett károk pénzügyi kezelését könnyíti. A biztosítási összeggel azonban meg kell fizetni a biztosító kockázatát és költségeit is, így a biztosításként kifizetendő összeg minden esetben meghaladja a kiküszöbölni szándékozott kockázatot. Bár a biztosítás a károk és a kiadások összegének várható értékét nem csökkenti, azaz célszerűtlennek látszik ezt a védelmet alkalmazni, sok esetben mégis érdemes, mert megvédi a céget a kirívóan nagy veszteségektől, amelyek további sokkal nehezebben kezelhető és nagyobb veszteségeket jelentő károkat indukálhatnak. Informatikai kockázatok tekintetében a biztosítási lehetőségek sajnos még eléggé szűkösek.

3.3. Tudatos kockázatvállalás

A megfelelő biztonságérzet kialakítása nem más, mint tudatos kockázatvállalás. Mint láttuk, bizonyos veszélyforrások ellen csak célszerűtlenül nagy költségekkel lehet védekezni. Ilyen esetekben a veszélyforrás által jelentett kockázat vállalható, azonban ezen kockázatokkal feltétlenül tisztában kell lenni. A kockázat vállalására irányuló döntést minden esetben a felső vezetésnek kell meghoznia, illetve jóváhagynia.

Önellenőrző kérdések
1. Jelölje meg az alábbiak közül a kockázat definícióját!
A kár bekövetkezésének valószínűsége.
A veszélyforrások valószínűségeinek szorzata.
A kár várható értéke egy adott időszakban.
A keletkező kár mértéke.
2. Jelölje meg az alábbi összefüggések közül a kockázat számításának helyes képletét;
R= p t d t , minden tT-re
R= d t p t , minden tT-re
R= p t d t r minden tT-re
R= t i p t d t , minden tT-re
3. Jelölje meg a következő károk közül a nem elsődleges károkat!
nem tervezett leállás
adóhátralék
bírságfizetés
adatpótlás
számítógép-javítás
4. Jelölje meg az alábbiak közül a kockázatelemzés definícióját!
Az egyes kockázati tényezőket egymáshoz hasonlítva határozzuk meg azokat a pontokat, ahol a legcélszerűbb védekezni.
Számszerű kockázati értékeket határozunk meg az egyes veszélyforrásokhoz, és ebből határozzuk meg a várható kár nagyságát.
Az egyes kockázati tényezőket kategóriákra osztva határozzuk meg a veszélyforrások valószínűségét.
5. Jelölje meg az alábbiak közül a kockázati tényező kezelésének eszközeit!
A kockázat csökkentése megfelelő szintű védekezéssel.
A kockázat várható értékének meghatározása.
Tudatos kockázatvállalás.
A védekezés gyenge pontjainak meghatározása.
A kockázat áthárítása.
6. Jelölje meg, mit értünk PreDeCo-módszeren!
A védelem a megelőző, felismerő és elhárító, helyreállító védelmi intézkedések leghatásosabban megvalósítható elemére koncentrál.
A védelmet a megelőző, felismerő és elhárító, helyreállító védelmi intézkedések közül a legolcsóbban megvalósítható elemmel oldja meg.
A védelem megelőző, felismerő és elhárító, helyreállító védelmi intézkedések együtteseként valósul meg.
7. Melyik kontrollokhoz tartozik a vírusvédelmi szoftver alkalmazása?
A preventive (megelőző, kivédő) kontrollokhoz.
A detective (felismerő) kontrollokhoz.
A corrective (elhárító, helyreállító) kontrollokhoz.
8. Melyik kontrollokhoz tartozik a korábban elmentett adatok visszaállítása?
A preventive (megelőző, kivédő) kontrollokhoz.
A detective (felismerő) kontrollokhoz.
A corrective (elhárító, helyreállító) kontrollokhoz.
9. Melyik kontrollokhoz tartozik az illetéktelenek által már pénzfelvételre használt bankkártya letiltása?
A preventive (megelőző, kivédő) kontrollokhoz.
A detective (felismerő) kontrollokhoz.
A corrective (elhárító, helyreállító) kontrollokhoz.
10. Jelölje meg az alábbiak közül a kockázat-áthárítás módjait!
A kockázat áthárítása az ügyfelekre.
Céltartalék elkülönítése a kár csökkentésére.
Tudatos kockázatvállalás.
Biztosítás kötése.