第2章 金融信息风险ppt课件

1、第2章 金融信息风险主要内容2.1 金融信息风险概念2.2 风险分类2.3 风险的模型2.4 风险识别2.5 风险的评价2.6 风险的处置.金融信息风险要挟利用我们的破绽，引起一些事故，对我们的资产呵斥一些不良影响的能够性。资产对组织具有价值的信息或资源，平安战略维护的对象。资产价值资产重要程度或敏感程度表征；资产的属重要性；进展资产识别的主要根据和内容。 2.1 金融信息风险概述.信息资产有形资产：人、场地、计算机硬件、软件、文档、网络通讯设备、各种银行终端设备如ATM、POS、手机无形财富：系统数据、声誉、友好关系、员工的消费力和IT效力等。 .信息资产重要性给定环境中对它们所支持系统才干

2、的价值和临界值的意义斧头对鲁班的重要性以及鲁班失去斧子能够呵斥的影响，需求思索财务本钱，更需求思索系统对组织业务开展的重要性。评判重要性借助本钱效益分析学习过财务管理就应该有这样的思想，就像生物学家看人与化学家看人不一样，这就是“专业目光本钱：获取、开发、维护和维护该资产所需投入。效益：该资产对一切者、用户和竞争对手所具有的价值。风险：该资产不可用或丧失情况下所呵斥的损失。 .2.2 风险分类金融信息平安能够的要挟要挟：能够导致资产对象出现平安问题的活动或者才干，能够呵斥对我们的系统、组织和财富的不良影响。要挟可以经过作用方式动机来源等多种属性来描画。 .平安学家Shirey将要挟按动机分为四

3、大类：泄露破坏系统的性：对信息的非授权访问。途径是一个非授权方系统进展攻击，破坏严密性。非授权方可以是一个人、一个程序、一台微机。攻击手段:搭线窃听、文件或程序的不正当拷贝。破坏(破坏系统的可用性)：中断或妨碍正常操作。这包括机具、硬盘等硬件的毁坏、通讯线路的切断、文件管理系统的瘫痪等。篡夺：对系统某些部分非授权控制。在篡夺攻击中，一个非授权方不仅介入系统而且在系统中进展非法操作，如改动数据文件，改动程序使之不能正确执行，修正信件内容等。欺骗：接受虚伪数据，一个非授权方将伪造的“客体植入系统中，如在网络中插入假信件，或者在文件中追加记录等。 威 胁.要挟按来源划分环境要素天灾断电、灰尘、静电自

4、然灾祸(有不可抗拒要素)人为要素人“祸心怀恶意者：心怀不满者内贼、觊觎财富的外鬼，二者沆瀣一气无心之过者：责任心不强、任务马虎、有章不循、有法不依.脆 弱 性脆弱性是系统对象的一种固有属性蛇有“七寸人有“软肋运用信誉卡可以透支消费，给用户带来了方便，但同时也给银行带来了恶意透支的问题。以磁条卡为卡基作支付工具，无论是传统的卡买卖或是在互联网上买卖不运用数字证书，持卡人的卡号和PIN都极易被人盗窃。可透支和易复制性就是信誉卡业务的弱点。.“脆弱性没有被“要挟所利用就不会产生危害谦谦君子不会攻击他人导致脆弱性的缘由：信息平安战略本身存在破绽信息平安战略没有得到很好的贯彻执行，尤其是缺乏相应的技术保

5、证措施。.脆弱性分类技术脆弱性物理环境从机房场地、机房防火、机房供配电、机房防静电、机房接地与防雷、电磁防护、通信线路的保护、机房区域防护、机房设备管理等方面进行识别网络结构从网络结构设计、边界保护、外部访问控制策略、内部访问控制策略、网络设备安全配置等方面进行以别系统软件从补丁安装、物理保护、用户账号、口令策略、资源共享、事件审计、访问控制、新系统配置（初始化）、注册表加固、网络安全、系统管理等方面进行以别数据库从补丁安装、鉴别机制、口令机制、访问控制、网络为服务设置、备份恢复机制、审计机制等方面进行识别中间件从协议安全、交易完整性、数据完整性等方面进行识别应用系统从审计机制、审计存储、访问

6、控制策略、数据完整性通信、鉴别机制、密码保护等方面进行识别管理脆弱性技术管理从物理和环境安全、通信与操作管理、访问控制、系统开发与维护、业务连续性等方面进行识别组织管理从安全策略、组织安全、资产分类与控制、人员安全符合性等方面进行识别.金融信息风险：人为或自然的要挟利用信息系统及其管理体系中存在的脆弱性导致平安事件的发生及其对组织呵斥的影响。金融信息风险涵盖了规划、研发、建立、运转、维护、监控及退出与信息技术相关的产品、效力、传送渠道、系统等时，所产生或引发的银行运营的不确定性或对银行管理的不利要素。 .2.3 金融信息风险模型模型：实践对象或情境或系统的反映笼统模型数学模型实体关系模型描画系

7、统的因果关系或相互关系的过程称之为建模。.2.2 金融信息风险模型火金水木土.用以描画阐明金融信息系统风险、要挟、脆弱性、价值等等.各要素以及要素间关系的图、表、表达式等称之为金融信息系统风险模型。.信息风险要素及关系.2.4 金融信息风险之识别Neumann列举了9种计算机系统平安问题的来源：需求定义的错误或者脱漏智者千虑必有一失；系统设计的错误；硬件的错误，如跳线或者芯片的缺陷；软件实现错误，如编程或者编译的错误、缓冲区溢出系统运用、操作的错误和不经意的失误；系统滥用；系统硬件和通讯部件的失常；环境要素的影响，包括自然缘由和非自然缘由；系统的晋级、更新以及停顿运转。.金融信息系统风险事件种

8、类：灾难事件致使业务中断：关键资源不可控电力电信、自然灾祸、运用系统、数据库系统缺陷、新系统上线.内部欺诈: 内部欺诈是指有机构内部人员参与的诈骗、盗用资产、违犯法律以及公司的规章制度的行为，如内部人员虚报头寸、内部人员盗窃、在职员的账户上进展内部买卖等。手段：内部职员超越本人权限访问本来无权访问的资源，非法修正信息，破坏信息的完好性从而使系统的平安性降低或信息不可用，或泄露信息。缘由：组织内部岗位职责划分不清，会计主管、会计人员相互兼岗，业务经办与会计账务处置合一，不实行重要岗位定期轮换制度，导致双重控制执行不力，监视制约机制不能有效发扬作用，极易引发内部欺诈行为的产生。呵斥的损失：调查显示

9、，内部欺诈无论在数目还是金额上都是最重要的一种损失事件类型，而外部欺诈那么排在第二位。还是那句话：堡垒最容易从内部攻破.外部欺诈：第三方的诈骗、盗用资产、违反法律的行为，包括经过密码破译、安装后门、嗅探、伪造和欺骗、封锁审计、回绝效力等手段入侵和攻击系统，或者经过物理的接触呵斥对软件、硬件、数据的破坏。实施者：外部恶意人员，包括黑客、商业间谍、破坏者等，所采取的攻击手段已达数百种。手段与工具：攻击工具的完善与攻击方法自动化程度的提高，业余攻击者也可以完成复杂的攻击过程。攻击的类型：信息性的攻击方法主要有信息拦截技术、监听技术、重定向改道 Re-direction技术、信息推理技术、电子邮件病毒

10、传输技术。针对完好性的攻击方法主要有身份认证攻击技术、会话劫持技术、程序异常输入技术等。针对可用性的攻击方法主要有回绝效力攻击技术、分布式回绝效力攻击技术等，它们常 用的手段是耗费网络带宽、耗费内存、磁盘空间和CPU资源等。.执行交割、买卖过程管理的风险系统业务复杂或者有了变化，而软件设计没有跟上，程序设计流程不合理或不完全，导致出现逻辑错误执行错误，呵斥错误的账户数据，给平安带来隐患。新系统经常很快就解体，同样的小错误在一个又一个运用软件上反复发生。除了会出现缺点之外，很多系统还不能很好地任务。以下是几个这方面的例子：恶意透支：用户在输入取款金额时，能够会利用系统的破绽恶意透支。曾经发生过这

11、样一个案例，国内一客户在ATM自动柜员机上取款时发现ATM软件的破绽取100元账户只被扣1元，于是拼命取款十多万后潜逃。业务违规：例如，有时单位卡现金销户时，不按规定划往根本账户，由此呵斥银行的政策性风险。隐匿和挤占资金：在手工联行系统下，银行内部异地经办行之间资金的代收代付引起款项横向清算，由于清算不能及时完成，在联行清算中存在隐匿和挤占资金的能够。买卖失败：以资金清算系统为例，由于采用严厉的“无透支规那么流动风险防备措施，要可以完成系统内借款的自动处置，否那么会使买卖无法进展。系统混乱：计算机硬件、操作系统、网络系统、运用程序、数据库及嵌入式系统等广泛采用两位十进制数而不是四位十进制数表示

12、年份，导致计算机“千年虫.金融买卖中的风险点金融产品买卖前、中、后的各个环节，自始至终存在风险(风险无处不在)操作员和客户身份冒用买卖数据输入错误管理失误不完备的法律文件未经同意访问客户账户越权进展大额操作协作同伴的不当操作以及卖方纠纷等。.从普通金融业务流程看风险.风险分布描画在一个金融信息系统中，硬件失失效概率可以统计丈量可以用平均无缺点时间目的，软件中的bug数量也可以运用不同的技术跟踪alpha，beta测试、统计等。对于操作错误等平安事件发生的概率，需求基于已有的处置阅历，根据处置义务的复杂度、员工的掌握程度、资产价值、所面临的要挟等估计能够产生的概率。弄清风险分布以及概率对于评价风

13、险的根底！.损失分布描画工具损失概率进展分析，典型情况是假设损失发生的概率服从泊松分布，例如，网点被攻击的次数、智能卡不合格品出现的次数、数字通讯中传输数字中发生的误码个数等都是随机变量，它们相当近似地服从泊松分布。特点：当时间间隔获得极短时，只能有0个或1个失效发生。出现一次失效的概率大小与时间间隔大小成正比，而与从哪个时辰开场算起无关。各段时间出现失效与否，是相互独立的。.根据上述假设对损失程度进展分析时，可将损失看作由多个不同层面的损失累积而成，即损失程度可以看作是许多很小独立因子的乘积，损失程度这一变量可以看作是符合对数正态分布规律的。 即损失符合expX分布 对数正态分布 其中X为正

14、态分布的随机变量.马尔可夫过程模型由于风险过程经常伴随一定的随机过程，而在随机过程实际中的一种重要模型就是马可夫过程模型：一个系统有N个形状又，S1，S2，Sn。，随着时间的推移，该系统从某一形状转移到另一形状。假设在特定情况下，系统在时间t的形状q只与其在时间t-1的形状qt-1相关，那么该系统构成一个离散的一阶马尔可夫链。其数学描画为:马尔可夫模型可视为随机有限形状自动机，该有限形状自动机的每一个形状转换过程都有一个相应的概率，称为转移概率，该概率表示自动机采用这一形状转换的能够性：.2.5 风险的评价定性评价分级丈量定量评价.2.5 风险的评价定性评价凭仗评价者的知识、阅历和直觉，或者业

15、界的规范和实际，为风险的各个要素定级。定性评价通常经过调查表和协作研讨会的组合方式进展风险分析，涉及来自组织内各个部门的人员，例如信息平安专家、信息技术经理和员工、企业资产一切者和用户以及高级经理。.2.5 金融股信息系统风险的评价风险评价Risk Assessment的定义：金融信息系统风险事件发生后，对企业资产财富呵斥的影响和损失进展量化评价的任务。风险评价6大要素：客体对象主体评价者内容评价什么数据根据方法？报告结果.评价主体风险评价的要素之一第三方的领域专家，包括金融领域的业务专家、信息技术领域的专家评价客体金融企业的金融信息系统.风险评价的内容：风险本身的界定。风险发生的能够性；风险

16、强度；风险继续时间；风险发生的区域及关键风险点。 风险作用方式的界定。风险对企业的影响是直接的还是间接的；能否会引发其他的相关风险；风险对企业的作用范围等。 风险后果的界定。在损失方面：假设风险发生，对企业会呵斥多大的损失？假设防止或减少风险，企业需求付出多大的代价？在冒风险的利益方面：假设企业冒了风险，能够获得多大的利益？假设防止或减少风险，企业得到的利益又是多少？.评价风险数据来源：问卷调查方式：基于特定规范或基线建立对特定系统进展审查的工程条款，提供一套关于管理或操作控制的问题表格，供系统技术或管理人员填写，以了解组织的主要业务、重要资产、面临的要挟、管理上的缺陷、采用的控制措施和平安战

17、略的执行情况。现局面谈：现场察看搜集系统在物理、环境和操作方面的信息，要求相关部门对所采取的措施进展争辩。经过查阅审计报告、外部监管报告等获得管理、技术和运转各方面的信息。.评价方法-专家咨询法德尔菲法经过背对背群体决策咨询的方法，群体成员各自独立任务，然后以系统的、独立的方式综合他们的判别，抑制了为某些权威所左右的缺陷，减少调查对象的心思压力，添加了预测的可靠性。德尔非法可以确定风除之间的相互关系和相对重要性，这里风险可以是指同一系统部件中的不同风险，也可以是指同一种风险类型在个同业务部门、系统部件之间的分布情况。详细的德尔菲法同窗查询决策方法相关资料.分级丈量对不同风险进展直观的比较，综合

18、思索风险控制本钱与风险呵斥的影响，提出一个可接受的风险范围或设定可接受风险值的基准。它介于定性评价和定量评价之间，是专门针对信息系统的平安性质提出的一种评价方法。评价方法的要点：.评价方法的步骤：赋值计算结果分级.赋值的内容：资产性、完好性、可用性综合赋值还是去最重要的赋值根据组织业务特点确定要挟按要挟出现的频率以及要挟的强度分级赋值脆弱性按资产的损害强度，技术实现的难易程度，以及管理管理的脆弱等要素分级.风险计算计算的内容包括：平安事件发生的能够性 P(T,V) 其中T为要挟，V为脆弱性资产损失 F(I，V) 其中I为资产，V为脆弱性风险值 RT， V计算方法：乘积法和矩阵法.定量评价方法引

19、入本钱效益分析进展定量分析，即对构成风险的各个要素和潜在损失程度赋予数值或货币金额，经过对度量风险的一切要素进展赋值，建立综合评价的数学模型，从而完成风险的量化计算。经过平安投资收益推进风险管理。在操作层面上，银行业务风险量化的常用方法包括：根本目的法、规范法和高级计量法。.计算原理：在定量风险评价中，通常会计算资产价值AV资产对犯罪吸引力年发生率ARO各种风险发生的能够性，如非正常中断的能够性.单一预期损失SLE一个载荷50公斤的窃贼闯入金库能呵斥的一次性损失年预期损失ALE不采取任何平安措施能够呵斥的资产损失还要计算“堵住上述破绽每年所需求的平安投入的总和ROSI=实施控制前的ALE- 实

20、施控制后的ALE- 年控制本钱实际上将ROSI之值为正即可.计算方法之 - 根本目的法操作风险以银行业务活动的规模来丈量，如操作风险资本金等于前三年总收入的平均值GI乘以一个系数 ，通常取值1520。 KBIA GI X 根本目的法简便易行，是专门为操作风险管理程度尚未到达量化阶段的银行而设计的。采用此法的银行需遵照委员会于2003年2月发布的指引。根本目的法计算出的监管资本较高。不能发扬操作风险管理的奖优罚劣机制，适用于业务单一的小银行。根本目的法有眉毛胡子一把抓之嫌.计算方法之 - 规范法银行各类损失的均值相差都很大。已有的研讨阐明，买卖和销售、零售银行业务、商业银行业务是呵斥操作风险损失

21、的主要业务线，三者合计比重到达73以上。零售银行业务那么是发生操作风险事件最多的业务线，其比重到达60以上。因此在度量风险时，应该分别思索每个业务部门和每个风险事件组合下的损失分布情况。以产品线分类计算的规范法，是对不同业务线的操作风险进展分类监控，分类度量。计算公式如下所示，将银行的总收入按照业务类别分为公司金融、买卖、零售业务等八类，监管当局对每类业务收入的操作风险资本要求制定不同的乘数，然后每类业务也用前三年总收入平均数乘以该乘数，由此提出不同类业务操作风险的资本要求。规范法是根本目的法根据业务类别进展差别化的计算方法.计算方法之 - 高级计量法银行依托其内部系统的特点决议针对操作风险的

22、资本要求。目的如何来发扬银行本身的积极性，鼓励银行在操作风险管理方面的创新，同时对银行管理、数据、人员等提出更高的防备风险规范。高级计量法没有规定详细的风险计算方法和统计分布假设。它与前两种方法的最大区别在于，运用者可以有更大的发扬空间。各家银行可以运用本人的损失数据来计算监管资本，经过对一切IT领域及其业务之间进展有效校准，监管资本的大小防各金融机构风险损失分布特征的不同而有所不同，更敏感地反映本机构操作风险的真实情况。“治的更高境界 “无为而治！.评价结果报告包含内容：风险评价结果：风险评价结果风险图、风险表方式来展现。风险图是一组用来描画不同业务线风险发生频率或强度的图形，可运用各种外形的点代表不同类型的风险；点所处的位置阐明其严重程度，越接近右上角，风险越严重。在风险表中，分别运用圆圈颜色和箭头方向阐明风险严重程度和风险的开展趋势。.损失事件及分析：风险经常是变化的，其诱因包括以下几种：变动类：如引进新技术或新产品等。复杂类：产品流程、技术设计较为复杂，难以了解或掌握。疏于防备：对业务运转