KURZUS: Ellátási lánc menedzsment
MODUL: Banki logisztika
2. lecke: Kockázatelemzés, kockázatmenedzsment
Tanulási útmutató | |||
Tevékenység | |||
| |||
Követelmények | |||
Ön akkor sajátította el megfelelően a tananyagot, ha | |||
| |||
Tananyag | |||
1. Kockázatelemzés elvi megközelítése | |||
A bank informatikai rendszereket általában az alábbi veszélyek fenyegetik: | |||
| |||
A bank informatikai rendszereit fenyegető veszélyforrások által jelentett kockázatokat nehéz becsülni, "forintosítani". Egyrészt ebben a folyamatosan változó világban a veszélyforrások bekövetkezésének gyakoriságára nincsenek jó statisztikák, másrészt a ténylegesen okozott károk pénzben kifejezett mértéke sem határozható meg, sokszor még nagyságrendileg sem. Annak ellenére, hogy számszerű közelítő eredményt nem remélhetünk, legalább elvi síkon célszerű tisztában lenni a veszélyforrások, illetve károk hatásmechanizmusával. | |||
A kockázatbecslés elvi megközelítése kapcsán az ábrán látható modellt szokás alkalmazni: | |||
| |||
Ahogy az ábráról leolvasható, informatikai rendszerek esetén a veszélyforrások általában konkrét rendszerelemeket (szervereket, adattárakat stb.) támadnak. | |||
Az egyes rendszerelemek sérülése hat a velük kapcsolatban lévő alkalmazásokra (különféle szoftverekre, például a raktárnyilvántartó vagy a bérszámfejtő alkalmazásra). | |||
A szoftverek problémái esetén a munkafolyamatokban - mind az alaptevékenységben, mind az operatív, taktikai és stratégiai irányításban is - fennakadások lehetnek. | |||
1.1. A kockázat | |||
Fogalmazza meg, mit értünk kockázaton! | A kockázat matematikai definíció szerint a kár várható értéke egy adott időszakban. | ||
Képletben: | |||
Jegyezze meg a kockázat számításának képletét! | |||
Ahol R a kockázat (risk), T a veszélyforrások halmaza (threat), pt egy adott veszélyforrás bekövetkezési valószínűsége (probability), dt pedig a keletkező kár (damage) mértéke. | |||
1.2. Kockázati paraméterek becslése | |||
Fogalmazza meg, hogyan keletkezik kár az informatikai rendszerelemek sérülése esetén! | Egy bank informatikai rendszer esetében azért van különösen nehéz feladatunk a kockázat mértékének pontos meghatározásakor, mert a fenti képlet egyetlen paraméterét sem tudjuk jól megbecsülni. A veszélyforrások listája sem lehet teljes; sok esetben a bekövetkezési valószínűség becsléséhez nem áll rendelkezésre korábbi statisztikai, tapasztalati érték; a keletkezett kár pedig egy informatikai rendszerben komplex, áttételes hatásmechanizmuson keresztül realizálódik, amely hatásmechanizmus feltérképezése, és a kár pénzben kifejezett meghatározása sem magától értetődő. | ||
| |||
Forrás: http://www.am-computertechnik.net/images/plugged.jpg | |||
Sorolja fel, milyen jellegű károk keletkeznek az informatikai rendszer sérülésekor! | Amennyiben az informatikai rendszerben keletkezett kár hatását nem sikerül jól kezelni, a fennakadás az ügyfelek, partnerek, üzleti folyamatok szintjén is érzékelhető lehet és ez szélsőséges esetben piaci hatásokhoz is vezethet (imázs romlás, ügyfelek elpártolása, piacvesztés). A hatás továbbterjedésének megfelelően szokás ezért úgynevezett elsődleges, másodlagos, harmadlagos stb. kárról beszélni. | ||
Egy informatikai rendszer esetében a másodlagos, harmadlagos károk nagyságrendekkel nagyobbak az elsődleges, károknál, ezért rendkívül fontos minden veszélyforrás esetén egyenként elbírálni, hogy az esetlegesen bekövetkező hatás meddig terjedhet ki. | |||
| |||
Forrás: http://www.abakusz.eu/aruhaz/kepek/nagy_kepek/hdd/HDD_n.jpg | |||
Jegyezze meg, mit értünk elsődleges, másodlagos, harmadlagos káron! Próbáljon saját példát keresni ezekre a kárfajtákra! | Például egy egyszerű merevlemez meghibásodása okozhatja, hogy nagy mennyiségű adat visszaállíthatatlanul megsemmisül. Ilyenkor az elsődleges kár, a merevlemez megjavításának költsége eltörpül az áttételesen okozott károkhoz viszonyulva. Az elveszett adatok pótlásának költségei, a visszaállítás ideje alatt fennakadt üzleti folyamatok és még rosszabb esetben az ennek hatására elmaradt üzleti haszon hatalmasak lehetnek a bekövetkezés konkrét okától függetlenül. | ||
Tekintve, hogy informatikai rendszerekben a veszélyek, károk, illetve kockázati tényezők hatásmechanizmusa ennyire összetett, gyakorlatilag egyetlen komoly módszertan sem vállalkozik arra, hogy a kockázat pénzügyi nagyságát közvetlenül megbecsülje, forintosítsa. | |||
2. Kockázatelemzés, kockázatmenedzsment | |||
Fogalmazza meg, mit értünk kockázatelemzésen! | A legtöbb, gyakorlatban alkalmazott kockázatbecslési módszertan a kategorizálás módszerét alkalmazza, azaz csak nagy nagyságrendben határozza meg a bekövetkezés valószínűségét és a kár nagyságát. | ||
| |||
Forrás: http://jkontherun.files.wordpress.com/2009/04/computer_smoke_130873.jpg | |||
Jegyezze meg, hogy a kockázatelemzés során hogyan határozzák meg a gyenge láncszemeket! | Ez ugyan nem teszi lehetővé, hogy a biztosításokhoz hasonlóan, számszerű kockázati értéket határozzunk meg egy veszélyforráshoz, de már jó kiinduló pontot ad. Az egyes kockázati tényezőket egymáshoz hasonlítva határozzuk meg a gyenge láncszemeket, azokat a pontokat, ahol a legcélszerűbb védekezni. Ezt a folyamatot nevezzük kockázatelemzésnek vagy kockázatmenedzselésnek, nevében is megkülönböztetve a kockázatbecsléstől. | ||
3. Kockázat kezelésének módszerei | |||
Jegyezze meg, mi a kockázatmenedzsment célja! | A kockázatelemzés eredményeként képet kapunk egy rendszert fenyegető veszélyforrásokról, a bekövetkezési valószínűségeken és becsült kár értékeken keresztül pedig a fellépő kockázat egymáshoz viszonyított nagyságáról. A kockázatmenedzsment célja ennek ismeretében a kockázat hatékony csökkentése, ezáltal a biztonság növelése. | ||
Egy kockázati tényező kezelésére alapvetően három eszköz áll rendelkezésünkre: | |||
Jegyezze meg a kockázati tényező kezelésének eszközeit! |
| ||
3.1. Védekezés | |||
| |||
A kockázatot a bekövetkezési valószínűségek és az okozott károk szorzatainak összegeként definiáljuk, így csökkentése ezen tényezők csökkentésével valósulhat meg. A kockázatcsökkentés alapmódszerei tehát: | |||
Sorolja fel a kockázatcsökkentés alapmódszereit! |
| ||
A megfelelő szintű védekezési módszerek tervezésére általánosan elfogadott és a gyakorlatban is rendkívül jól alkalmazható szemlélet az úgy nevezett PreDeCo kontrollok rendszere alkalmazható. A név a három fő mechanizmus angol nevének kezdetéből áll: | |||
| |||
Fogalmazza meg a PreDeCo-szemlélet alapelvét! | A PreDeCo szemlélet szerint egy kontroll cél (control objective) biztosítására tett védelmi intézkedések e három, alapvetően más működésű védelmi mechanizmus ötvözéséből tevődnek össze. | ||
3.1.1. Megelőző, kivédő kontrollok | |||
Jegyezze meg, mit értünk megelőző, felismerő és elhárító kontroll alatt! Keresse meg a szövegben ezek konkrét megvalósításának módját! |
| ||
Forrás: http://www.digialt.com/images/Security_small1.jpg | |||
A bekövetkezési valószínűség csökkenthető erősebb védelmi mechanizmus alkalmazásával. A veszélyforrások kiküszöbölése tulajdonképpen tekinthető a bekövetkezési valószínűség csökkentés speciális esetének is, azzal a lényeges kitétellel, hogy ez a valószínűség itt közel nullára csökken. Sajnos a veszélyforrások kiküszöbölése védekezéssel általában nem valósítható meg. Bizonyos ritka esetekben nyílik csak erre lehetőség (pl. megfelelő villámvédelemmel a villámcsapás hatása gyakorlatilag kivédhető). A teljes kiküszöbölés a legtöbb esetben csak megfelelő architekturális átszervezéssel oldható meg (új operációs rendszerek telepítésétől a manuális visszaellenőrzésekig), amelyek kivitelezése csak nagyon ritkán jelent reális alternatívát. | |||
3.1.2. Felismerő kontrollok | |||
| |||
Forrás: http://www.discoveriesinmedicine.com/images/mdis_0000_0003_0_img0101.jpg | |||
A kockázat csökkentésének fontos eszköze a keletkező kár nagyságának csökkentése. Általában azonban csak a kár mértékének korlátozásáról beszélünk. A másodlagos, harmadlagos, egyre nagyobb kárt okozó hatásmechanizmust úgy kezelhetjük, ha az elsődleges károknál, illetve a lehető legalacsonyabb szinten "megakadályozzuk" a kár továbbterjedését. Ehhez minél előbb felismerni (detekció) és minél gyorsabban orvosolni (korrekció) kell a problémát. A károk továbbterjedési mechanizmusának feltérképezése után megfelelő átszervezéssel és a megszüntethető függőségek felszámolásával tovább korlátozható a kár terjedése. | |||
A kár hatása általában két szinten vizsgálható: | |||
| |||
3.1.3. Elhárító, helyreállító kontroll | |||
| |||
Forrás: http://www.fusionuv.com/uploadedImages/Images_Library/Market_Images/Maintenance%20and%20Repair.jpg | |||
A kár bekövetkeztekor beatvakozunk a rendellenes események folyásába, megpróbáljuk minél hamarabb visszaállítani a hibamentes állapotot. A különösen nagy kárt okozó veszélyhelyzetek lekezelésére célszerű külön felkészülni, úgynevezett katasztrófa-elhárítási tervek készítésével, illetve természetszerűleg az ilyen helyzetekre számító felkészülési tevékenységek végzésével (például biztonsági mentések készítésével). | |||
3.2. Kockázat-áthárítás | |||
Ha a kár bekövetkezését megakadályozni már nem tudjuk, akkor a kockázat és ezzel a károk áthárítása sok esetben még enyhítheti, orvosolhatja a problémát. | |||
A kockázat-áthárítás elvét követve, például a beszállítókkal, illetve az ügyfelekkel olyan szerződést köthetünk, hogy bizonyos veszélyforrások következményeit ők viseljék. | |||
Sorolja fel a kockázat-áthárítás módjait! | Az áthárítás másik módja biztosítás kötése. | ||
A biztosítás a bekövetkezett károk pénzügyi kezelését könnyíti. A biztosítási összeggel azonban meg kell fizetni a biztosító kockázatát és költségeit is, így a biztosításként kifizetendő összeg minden esetben meghaladja a kiküszöbölni szándékozott kockázatot. Bár a biztosítás a károk és a kiadások összegének várható értékét nem csökkenti, azaz célszerűtlennek látszik ezt a védelmet alkalmazni, sok esetben mégis érdemes, mert megvédi a céget a kirívóan nagy veszteségektől, amelyek további sokkal nehezebben kezelhető és nagyobb veszteségeket jelentő károkat indukálhatnak. Informatikai kockázatok tekintetében a biztosítási lehetőségek sajnos még eléggé szűkösek. | |||
3.3. Tudatos kockázatvállalás | |||
A megfelelő biztonságérzet kialakítása nem más, mint tudatos kockázatvállalás. Mint láttuk, bizonyos veszélyforrások ellen csak célszerűtlenül nagy költségekkel lehet védekezni. Ilyen esetekben a veszélyforrás által jelentett kockázat vállalható, azonban ezen kockázatokkal feltétlenül tisztában kell lenni. A kockázat vállalására irányuló döntést minden esetben a felső vezetésnek kell meghoznia, illetve jóváhagynia. |
Önellenőrző kérdések | |||||||||||
1. Jelölje meg az alábbiak közül a kockázat definícióját!
![]() | |||||||||||
2. Jelölje meg az alábbi összefüggések közül a kockázat számításának helyes képletét;
![]() | |||||||||||
3. Jelölje meg a következő károk közül a nem elsődleges károkat!
![]() | |||||||||||
4. Jelölje meg az alábbiak közül a kockázatelemzés definícióját!
![]() | |||||||||||
5. Jelölje meg az alábbiak közül a kockázati tényező kezelésének eszközeit!
![]() | |||||||||||
6. Jelölje meg, mit értünk PreDeCo-módszeren!
![]() | |||||||||||
7. Melyik kontrollokhoz tartozik a vírusvédelmi szoftver alkalmazása?
![]() | |||||||||||
8. Melyik kontrollokhoz tartozik a korábban elmentett adatok visszaállítása?
![]() | |||||||||||
9. Melyik kontrollokhoz tartozik az illetéktelenek által már pénzfelvételre használt bankkártya letiltása?
![]() | |||||||||||
10. Jelölje meg az alábbiak közül a kockázat-áthárítás módjait!
![]() |