Мошенничество в платежной сфере

Темпы развития все новых ИТ и способов их противоправного использования приводят к серьезным проблемам для тех, кто обязан воспрепятствовать осуществлению компьютерных преступлений и проводить компьютерные же расследования, чтобы оставаться, так сказать, «на уровне» развития информационных технологий и тем более предупреждать разрушительную деятельность «плохих парней» (как говорят в США). Вследствие этого весьма желательно оценивать новые технологии с позиций возможного их применения для сокрытия ППД, обхода мероприятий по ОИБ, ВК, ФМ и маскировки действий или маскирования личности злоумышленников. В этом плане крайне важны грамотное распределение функциональных ролей в управленческой иерархии кредитной организации и контроль над ними.

В зарубежной литературе, посвященной тематике киберправосудия, считается, что в организациях знаниями о его законодательной основе и основных принципах осуществления следует обладать:

— членам советов директоров;

— главным бухгалтерам (Chief Financial Officers);

— операционным директорам (Chief Operational Officers);

— руководителям, ответственным за информационные технологии;

— руководителям обеспечения информационной безопасности;

— руководителям службы внутреннего контроля (аудита);

— директорам кадровых служб;

— менеджерам, ответственным за непрерывность бизнеса;

— менеджерам, ответственным за реагирование на инциденты.

Данный перечень не является исчерпывающим, но скорее изначальным. Отмечается, что круг лиц, от которых потребуется наличие знаний такого рода, с течением времени будет неизбежно расширяться за счет охвата второго и третьего уровней управленческой иерархии (при усложнении компьютерных систем организации).

Грамотное осуществление ВК и ФМ в условиях применения ТЭБ стало принципиально важным за последние десять лет, но, к сожалению, это не всегда в должной степени осознается руководством высокотехнологичных кредитных организаций. Как всегда подчеркивает в своих работах БКБН, «банкам необходимо располагать средствами внутреннего контроля, адекватными характеру, видам и масштабам их деятельности. Цель использования средств ВК заключается в содействии обеспечению руководством гарантий упорядоченного и эффективного ведения бизнеса, включая приверженность политике управления, защищенность активов, предотвращение и обнаружение мошенничества и ошибок, точности и полноты записей в бухгалтерском учете, а также своевременной подготовки достоверной финансовой отчетности. Разработка специализированных компьютеризованных информационных систем существенно улучшила возможности для осуществления контроля, однако, в свою очередь, привнесла дополнительные риски, связанные с возможностью отказов компьютерной техники или ее мошеннического использования»[85]. Упоминание новых рисков не совсем уместно, поскольку на самом деле речь следовало бы вести об усложнении их структуры (появлении новых компонентов рисков), но ключевое слово здесь — «адекватный», и это совершенно верный акцент.

В условиях новых ИКБД, создаваемых любой ТЭБ, требования к осуществлению ВК неизбежно повышаются, и сама эта работа становится пропорционально более сложной, требующей дополнительной и достаточно высокой квалификации, позволяющей «проникать» в не раз упоминавшееся в данной главе киберпространство и контролировать протекающие в нем процессы. Нельзя при этом забывать о том, что пространство это простирается от устройств, которыми пользуются клиенты, через телекоммуникационные системы, СЭБ и вычислительные сети до той или иной БАС кредитной организации, реализующей ее так называемый бэк-офис. Именно в нем и реализуется наибольшее количество компонентов таких банковских рисков, как операционный, неплатежеспособности, репутационный и, отчасти, стратегический, чему как раз и должен воспрепятствовать ВК. Отсюда можно сделать вывод, какими знаниями и квалификацией необходимо обладать специалистам службы ВК[86].

Поэтому хорошей практикой при переходе кредитной организации к внедрению ТЭБ можно было бы считать включение в состав службы ВК специалистов, имеющих такую квалификацию, как, например:

— Certified Information Systems Auditor (CISA) — сертифицированный аудитор информационных систем;

— Certified Information Systems Manager (CISM) — сертифицированный менеджер информационных систем;

— Certified Information Systems Security Professional (CISSP) — сертифицированный профессионал по безопасности информационных систем;

— Certified Fraud Examiner (CFE) — сертифицированный инспектор по мошенничеству,

или аналогичную им, хотя специалистов, имеющих соответствующие сертификаты, в России до настоящего времени немного[87]. Обеспечение полной совокупности квалификационных качеств вряд ли достижимо для большинства российских кредитных организаций, однако целесообразно все же осознавать значимость их наличия в современном высокотехнологичном банке.