KURZUS: Ellátási lánc menedzsment

MODUL: Banki logisztika

2. lecke: Kockázatelemzés, kockázatmenedzsment

|  | Tanulási útmutató
| Tevékenység
| fogalmazza meg, mit értünk kockázaton; jegyezze meg a kockázat számításának képletét; fogalmazza meg, hogyan keletkezik kár az informatikai rendszerelemek sérülése esetén; sorolja fel, milyen jellegű károk keletkeznek az informatikai rendszer sérülésekor; jegyezze meg, mit értünk elsődleges, másodlagos, harmadlagos káron; próbáljon saját példát keresni ezekre a kárfajtákra; fogalmazza meg, mit értünk kockázatelemzésen; jegyezze meg, hogy a kockázatelemzés során hogyan határozzák meg a gyenge láncszemeket; jegyezze meg, mi a kockázatmenedzsment célja; jegyezze meg a kockázati tényező kezelésének eszközeit; sorolja fel a kockázatcsökkentés alapmódszereit; fogalmazza meg a PreDeCo-szemlélet alapelvét; jegyezze meg, mit értünk megelőző, felismerő és elhárító kontroll alatt; keresse meg a szövegben ezek konkrét megvalósításának módját; sorolja fel a kockázat-áthárítás módjait;
| Követelmények
| Ön akkor sajátította el megfelelően a tananyagot, ha
| felsorolásból ki tudja választani a kockázat definícióját; felsorolásból ki tudja választani a kockázat számításának képletét; felsorolásból ki tudja választani kockázatelemzés definícióját; felsorolásból ki tudja választani a kockázati tényező kezelésének eszközeit; felsorolásból ki tudja választani a PreDeCo-szemlélet alapevét; adott kockázatcsökkentő elemről el tudja dönteni, hogy melyik kontrollhoz tartozik; felsorolásból ki tudja választani a kockázat-áthárítás módjait.
| Tananyag
| 1. Kockázatelemzés elvi megközelítése
| A bank informatikai rendszereket általában az alábbi veszélyek fenyegetik:
| jogosulatlan felhasználók adat-hozzáféréséből adódó veszélyek; a rendszer hardver eszközeinek meghibásodása.
| A bank informatikai rendszereit fenyegető veszélyforrások által jelentett kockázatokat nehéz becsülni, "forintosítani". Egyrészt ebben a folyamatosan változó világban a veszélyforrások bekövetkezésének gyakoriságára nincsenek jó statisztikák, másrészt a ténylegesen okozott károk pénzben kifejezett mértéke sem határozható meg, sokszor még nagyságrendileg sem. Annak ellenére, hogy számszerű közelítő eredményt nem remélhetünk, legalább elvi síkon célszerű tisztában lenni a veszélyforrások, illetve károk hatásmechanizmusával.
| A kockázatbecslés elvi megközelítése kapcsán az ábrán látható modellt szokás alkalmazni:
Kár keletkezésének hatásmechanizmusai
1. ábra
| Ahogy az ábráról leolvasható, informatikai rendszerek esetén a veszélyforrások általában konkrét rendszerelemeket (szervereket, adattárakat stb.) támadnak.
| Az egyes rendszerelemek sérülése hat a velük kapcsolatban lévő alkalmazásokra (különféle szoftverekre, például a raktárnyilvántartó vagy a bérszámfejtő alkalmazásra).
| A szoftverek problémái esetén a munkafolyamatokban - mind az alaptevékenységben, mind az operatív, taktikai és stratégiai irányításban is - fennakadások lehetnek.
| 1.1. A kockázat
Fogalmazza meg, mit értünk kockázaton! | A kockázat matematikai definíció szerint a kár várható értéke egy adott időszakban.
| Képletben:
Jegyezze meg a kockázat számításának képletét! | R= ∑ p t d t r , minden t∈T-re
| Ahol R a kockázat (risk), T a veszélyforrások halmaza (threat), pt egy adott veszélyforrás bekövetkezési valószínűsége (probability), dt pedig a keletkező kár (damage) mértéke.
| 1.2. Kockázati paraméterek becslése
Fogalmazza meg, hogyan keletkezik kár az informatikai rendszerelemek sérülése esetén! | Egy bank informatikai rendszer esetében azért van különösen nehéz feladatunk a kockázat mértékének pontos meghatározásakor, mert a fenti képlet egyetlen paraméterét sem tudjuk jól megbecsülni. A veszélyforrások listája sem lehet teljes; sok esetben a bekövetkezési valószínűség becsléséhez nem áll rendelkezésre korábbi statisztikai, tapasztalati érték; a keletkezett kár pedig egy informatikai rendszerben komplex, áttételes hatásmechanizmuson keresztül realizálódik, amely hatásmechanizmus feltérképezése, és a kár pénzben kifejezett meghatározása sem magától értetődő.
2. ábra
| Forrás: http://www.am-computertechnik.net/images/plugged.jpg
Sorolja fel, milyen jellegű károk keletkeznek az informatikai rendszer sérülésekor! | Amennyiben az informatikai rendszerben keletkezett kár hatását nem sikerül jól kezelni, a fennakadás az ügyfelek, partnerek, üzleti folyamatok szintjén is érzékelhető lehet és ez szélsőséges esetben piaci hatásokhoz is vezethet (imázs romlás, ügyfelek elpártolása, piacvesztés). A hatás továbbterjedésének megfelelően szokás ezért úgynevezett elsődleges, másodlagos, harmadlagos stb. kárról beszélni.
| Egy informatikai rendszer esetében a másodlagos, harmadlagos károk nagyságrendekkel nagyobbak az elsődleges, károknál, ezért rendkívül fontos minden veszélyforrás esetén egyenként elbírálni, hogy az esetlegesen bekövetkező hatás meddig terjedhet ki.
3. ábra
| Forrás: http://www.abakusz.eu/aruhaz/kepek/nagy_kepek/hdd/HDD_n.jpg
Jegyezze meg, mit értünk elsődleges, másodlagos, harmadlagos káron! Próbáljon saját példát keresni ezekre a kárfajtákra! | Például egy egyszerű merevlemez meghibásodása okozhatja, hogy nagy mennyiségű adat visszaállíthatatlanul megsemmisül. Ilyenkor az elsődleges kár, a merevlemez megjavításának költsége eltörpül az áttételesen okozott károkhoz viszonyulva. Az elveszett adatok pótlásának költségei, a visszaállítás ideje alatt fennakadt üzleti folyamatok és még rosszabb esetben az ennek hatására elmaradt üzleti haszon hatalmasak lehetnek a bekövetkezés konkrét okától függetlenül.
| Tekintve, hogy informatikai rendszerekben a veszélyek, károk, illetve kockázati tényezők hatásmechanizmusa ennyire összetett, gyakorlatilag egyetlen komoly módszertan sem vállalkozik arra, hogy a kockázat pénzügyi nagyságát közvetlenül megbecsülje, forintosítsa.
| 2. Kockázatelemzés, kockázatmenedzsment
Fogalmazza meg, mit értünk kockázatelemzésen! | A legtöbb, gyakorlatban alkalmazott kockázatbecslési módszertan a kategorizálás módszerét alkalmazza, azaz csak nagy nagyságrendben határozza meg a bekövetkezés valószínűségét és a kár nagyságát.
4. ábra
| Forrás: http://jkontherun.files.wordpress.com/2009/04/computer_smoke_130873.jpg
Jegyezze meg, hogy a kockázatelemzés során hogyan határozzák meg a gyenge láncszemeket! | Ez ugyan nem teszi lehetővé, hogy a biztosításokhoz hasonlóan, számszerű kockázati értéket határozzunk meg egy veszélyforráshoz, de már jó kiinduló pontot ad. Az egyes kockázati tényezőket egymáshoz hasonlítva határozzuk meg a gyenge láncszemeket, azokat a pontokat, ahol a legcélszerűbb védekezni. Ezt a folyamatot nevezzük kockázatelemzésnek vagy kockázatmenedzselésnek, nevében is megkülönböztetve a kockázatbecsléstől.
| 3. Kockázat kezelésének módszerei
Jegyezze meg, mi a kockázatmenedzsment célja! | A kockázatelemzés eredményeként képet kapunk egy rendszert fenyegető veszélyforrásokról, a bekövetkezési valószínűségeken és becsült kár értékeken keresztül pedig a fellépő kockázat egymáshoz viszonyított nagyságáról. A kockázatmenedzsment célja ennek ismeretében a kockázat hatékony csökkentése, ezáltal a biztonság növelése.
| Egy kockázati tényező kezelésére alapvetően három eszköz áll rendelkezésünkre:
Jegyezze meg a kockázati tényező kezelésének eszközeit! | a kockázat csökkentése megfelelő szintű védekezéssel, a kockázat áthárítása, tudatos kockázatvállalás.
| 3.1. Védekezés
5. ábra
| A kockázatot a bekövetkezési valószínűségek és az okozott károk szorzatainak összegeként definiáljuk, így csökkentése ezen tényezők csökkentésével valósulhat meg. A kockázatcsökkentés alapmódszerei tehát:
Sorolja fel a kockázatcsökkentés alapmódszereit! | a bekövetkezési valószínűség csökkentése, a veszélyforrás kiküszöbölése, az okozott kár nagyságának korlátozása, csökkentése.
| A megfelelő szintű védekezési módszerek tervezésére általánosan elfogadott és a gyakorlatban is rendkívül jól alkalmazható szemlélet az úgy nevezett PreDeCo kontrollok rendszere alkalmazható. A név a három fő mechanizmus angol nevének kezdetéből áll:
| Preventive: megelőző, kivédő kontrollok Detective: felismerő kontrollok Corrective: elhárító, helyreállító kontrollok
Fogalmazza meg a PreDeCo-szemlélet alapelvét! | A PreDeCo szemlélet szerint egy kontroll cél (control objective) biztosítására tett védelmi intézkedések e három, alapvetően más működésű védelmi mechanizmus ötvözéséből tevődnek össze.
| 3.1.1. Megelőző, kivédő kontrollok
Jegyezze meg, mit értünk megelőző, felismerő és elhárító kontroll alatt! Keresse meg a szövegben ezek konkrét megvalósításának módját! |
6. ábra
| Forrás: http://www.digialt.com/images/Security_small1.jpg
| A bekövetkezési valószínűség csökkenthető erősebb védelmi mechanizmus alkalmazásával. A veszélyforrások kiküszöbölése tulajdonképpen tekinthető a bekövetkezési valószínűség csökkentés speciális esetének is, azzal a lényeges kitétellel, hogy ez a valószínűség itt közel nullára csökken. Sajnos a veszélyforrások kiküszöbölése védekezéssel általában nem valósítható meg. Bizonyos ritka esetekben nyílik csak erre lehetőség (pl. megfelelő villámvédelemmel a villámcsapás hatása gyakorlatilag kivédhető). A teljes kiküszöbölés a legtöbb esetben csak megfelelő architekturális átszervezéssel oldható meg (új operációs rendszerek telepítésétől a manuális visszaellenőrzésekig), amelyek kivitelezése csak nagyon ritkán jelent reális alternatívát.
| 3.1.2. Felismerő kontrollok
7. ábra
| Forrás: http://www.discoveriesinmedicine.com/images/mdis_0000_0003_0_img0101.jpg
| A kockázat csökkentésének fontos eszköze a keletkező kár nagyságának csökkentése. Általában azonban csak a kár mértékének korlátozásáról beszélünk. A másodlagos, harmadlagos, egyre nagyobb kárt okozó hatásmechanizmust úgy kezelhetjük, ha az elsődleges károknál, illetve a lehető legalacsonyabb szinten "megakadályozzuk" a kár továbbterjedését. Ehhez minél előbb felismerni (detekció) és minél gyorsabban orvosolni (korrekció) kell a problémát. A károk továbbterjedési mechanizmusának feltérképezése után megfelelő átszervezéssel és a megszüntethető függőségek felszámolásával tovább korlátozható a kár terjedése.
| A kár hatása általában két szinten vizsgálható:
| Elsődleges kár: az adott rendszerben okozott tényleges kár mértéke, a helyreállítás költsége. Másodlagos kár: a különböző kölcsönhatásokon keresztül, a teljes szervezetben realizálódott veszteség mértéke.
| 3.1.3. Elhárító, helyreállító kontroll
8. ábra
| Forrás: http://www.fusionuv.com/uploadedImages/Images_Library/Market_Images/Maintenance%20and%20Repair.jpg
| A kár bekövetkeztekor beatvakozunk a rendellenes események folyásába, megpróbáljuk minél hamarabb visszaállítani a hibamentes állapotot. A különösen nagy kárt okozó veszélyhelyzetek lekezelésére célszerű külön felkészülni, úgynevezett katasztrófa-elhárítási tervek készítésével, illetve természetszerűleg az ilyen helyzetekre számító felkészülési tevékenységek végzésével (például biztonsági mentések készítésével).
| 3.2. Kockázat-áthárítás
| Ha a kár bekövetkezését megakadályozni már nem tudjuk, akkor a kockázat és ezzel a károk áthárítása sok esetben még enyhítheti, orvosolhatja a problémát.
| A kockázat-áthárítás elvét követve, például a beszállítókkal, illetve az ügyfelekkel olyan szerződést köthetünk, hogy bizonyos veszélyforrások következményeit ők viseljék.
Sorolja fel a kockázat-áthárítás módjait! | Az áthárítás másik módja biztosítás kötése.
| A biztosítás a bekövetkezett károk pénzügyi kezelését könnyíti. A biztosítási összeggel azonban meg kell fizetni a biztosító kockázatát és költségeit is, így a biztosításként kifizetendő összeg minden esetben meghaladja a kiküszöbölni szándékozott kockázatot. Bár a biztosítás a károk és a kiadások összegének várható értékét nem csökkenti, azaz célszerűtlennek látszik ezt a védelmet alkalmazni, sok esetben mégis érdemes, mert megvédi a céget a kirívóan nagy veszteségektől, amelyek további sokkal nehezebben kezelhető és nagyobb veszteségeket jelentő károkat indukálhatnak. Informatikai kockázatok tekintetében a biztosítási lehetőségek sajnos még eléggé szűkösek.
| 3.3. Tudatos kockázatvállalás
| A megfelelő biztonságérzet kialakítása nem más, mint tudatos kockázatvállalás. Mint láttuk, bizonyos veszélyforrások ellen csak célszerűtlenül nagy költségekkel lehet védekezni. Ilyen esetekben a veszélyforrás által jelentett kockázat vállalható, azonban ezen kockázatokkal feltétlenül tisztában kell lenni. A kockázat vállalására irányuló döntést minden esetben a felső vezetésnek kell meghoznia, illetve jóváhagynia.

|  | Önellenőrző kérdések
| 1. Jelölje meg az alábbiak közül a kockázat definícióját!
| A kár bekövetkezésének valószínűsége.
| A veszélyforrások valószínűségeinek szorzata.
| A kár várható értéke egy adott időszakban.
| A keletkező kár mértéke.
| 2. Jelölje meg az alábbi összefüggések közül a kockázat számításának helyes képletét;
| R= ∑ p t d t , minden t∈T-re
| R= ∑ d t p t , minden t∈T-re
| R= ∑ p t d t r minden t∈T-re
| R= t i ∑ p t d t , minden t∈T-re
| 3. Jelölje meg a következő károk közül a nem elsődleges károkat!
| nem tervezett leállás
| adóhátralék
| bírságfizetés
| adatpótlás
| számítógép-javítás
| 4. Jelölje meg az alábbiak közül a kockázatelemzés definícióját!
| Az egyes kockázati tényezőket egymáshoz hasonlítva határozzuk meg azokat a pontokat, ahol a legcélszerűbb védekezni.
| Számszerű kockázati értékeket határozunk meg az egyes veszélyforrásokhoz, és ebből határozzuk meg a várható kár nagyságát.
| Az egyes kockázati tényezőket kategóriákra osztva határozzuk meg a veszélyforrások valószínűségét.
| 5. Jelölje meg az alábbiak közül a kockázati tényező kezelésének eszközeit!
| A kockázat csökkentése megfelelő szintű védekezéssel.
| A kockázat várható értékének meghatározása.
| Tudatos kockázatvállalás.
| A védekezés gyenge pontjainak meghatározása.
| A kockázat áthárítása.
| 6. Jelölje meg, mit értünk PreDeCo-módszeren!
| A védelem a megelőző, felismerő és elhárító, helyreállító védelmi intézkedések leghatásosabban megvalósítható elemére koncentrál.
| A védelmet a megelőző, felismerő és elhárító, helyreállító védelmi intézkedések közül a legolcsóbban megvalósítható elemmel oldja meg.
| A védelem megelőző, felismerő és elhárító, helyreállító védelmi intézkedések együtteseként valósul meg.
| 7. Melyik kontrollokhoz tartozik a vírusvédelmi szoftver alkalmazása?
| A preventive (megelőző, kivédő) kontrollokhoz.
| A detective (felismerő) kontrollokhoz.
| A corrective (elhárító, helyreállító) kontrollokhoz.
| 8. Melyik kontrollokhoz tartozik a korábban elmentett adatok visszaállítása?
| A preventive (megelőző, kivédő) kontrollokhoz.
| A detective (felismerő) kontrollokhoz.
| A corrective (elhárító, helyreállító) kontrollokhoz.
| 9. Melyik kontrollokhoz tartozik az illetéktelenek által már pénzfelvételre használt bankkártya letiltása?
| A preventive (megelőző, kivédő) kontrollokhoz.
| A detective (felismerő) kontrollokhoz.
| A corrective (elhárító, helyreállító) kontrollokhoz.
| 10. Jelölje meg az alábbiak közül a kockázat-áthárítás módjait!
| A kockázat áthárítása az ügyfelekre.
| Céltartalék elkülönítése a kár csökkentésére.
| Tudatos kockázatvállalás.
| Biztosítás kötése.