Диагностика внутренних угроз экономической безопасности предприятия и меры по их нейтрализации на примере ПАО ВТБ

В рамках данного направления рекомендуется:ввести системы видеонаблюдения за действиями сотрудников в критически важных точках - складах, кассах, местах хранения конфиденциальной документации.установить средства контроля доступа и регистрации времени ухода/прихода для персонала в закрытые помещения.осуществлять мониторинг электронной почты и использования корпоративной сети на предмет передачи конфиденциальных сведений.производить выборочные проверки телефонных переговоров и других каналов коммуникаций сотрудников.Регулярный мониторинг и контроль поведения персонала позволит существенно снизить риск реализации внутренних угроз за счет отслеживания и пресечения недобросовестных действий.Обучение и регулярное повышение осведомлённости сотрудников о существующих внутренних угрозах экономической безопасности предприятия - важная организационная мера противодействия таким угрозам.В рамках этого направления целесообразно:проводить вводные инструктажи и тренинги по вопросам экономической безопасности для новых работников.организовывать регулярное повышение квалификации действующего персонала в данной сфере в форме семинаров, вебинаров, деловых игр.распространять информационные бюллетени и памятки, напоминающие о ключевых аспектах обеспечения безопасности, конфиденциальности данных на рабочем месте.проводить периодические проверки знаний и тестирование персонала по вопросам политик безопасности компании.Такие обучающие мероприятия в комплексе способствуют повышению бдительности, осмотрительности работников, минимизируя вероятность их непредумышленных ошибок и умышленных злоупотреблений.Обучение и повышение осведомленности персонала по вопросам внутренних угроз экономической безопасности является важнейшей организационной мерой их минимизации. Это связано с тем, что значительная часть инцидентов, наносящих ущерб предприятиям, происходит из-за незнания сотрудниками потенциально опасных аспектов и уязвимостей бизнес-процессов, технологий и корпоративных активов.В рамках обучения следует, прежде всего, разъяснять персоналу основные источники, каналы и инструменты реализации внутренних угроз - как технического, так и социально-психологического характера. Это позволит сотрудникам лучше понимать механизмы возникновения опасностей изнутри и выработать базовую бдительность.Далее в процессе тематических тренингов, семинаров и мастер-классов следует детально разбирать конкретные способы, методы защиты и парирования наиболее актуальных для данной компании угроз. Отдельное внимание необходимо уделять формированию практических навыков идентификации и реагирования на потенциально опасные или подозрительные действия внутри организации. Только комплексный подход к обучению персонала позволит максимально повысить степень защищенности предприятия от внутренних угроз и злоумышленников.Юридическое регулирование ответственности работников за нарушение политик и регламентов экономической безопасности предприятия является важной правовой мерой минимизации внутренних угроз.Дело в том, что во многих компаниях система штрафов и наказаний за несоблюдение корпоративных правил и стандартов информационной безопасности, порядка работы с конфиденциальной информацией, предотвращения мошенничества и коррупции носит весьма общий, неконкретный характер. Работникам и менеджерам не всегда понятен реальный масштаб ответственности за те или иные умышленные или неосторожные нарушения.В этой связи предлагается четко установить как дисциплинарные взыскания, так и материальную ответственность работников за провалы или умышленное нарушение корпоративной политики безопасности, отдельно оговаривая размер штрафов, ущерба и негативные последствия для карьеры при разном масштабе инцидентов. Такая ясность правил и точность наказаний будет являться хорошим дисциплинирующим фактором для персонала.Внедрение технических средств контроля утечки конфиденциальных и инсайдерских данных является одной из ключевых мер защиты от внутренних угроз экономической безопасности предприятия, особенно в условиях широкого использования цифровых технологий.Дело в том, что в настоящее время основные потоки важной деловой информации циркулируют по электронным каналам - корпоративной электронной почте, мессенджерам, файловым хранилищам и базам данных. Доступ к этим хранилищам конфиденциальных сведений имеет широкий круг сотрудников. Без использования специальных систем контроля невозможно отследить весь путь движения документа, а также предотвратить его неправомерное копирование или передачу злоумышленникам.В связи с этим предлагается внедрять решения в сфере DLP (DataLossPrevention) - это программные или программно-аппаратные комплексы, позволяющие выявлять факты утечек при передаче конфиденциальной информации по каналам электронной связи, блокировать такие попытки утечек, а также оперативно реагировать на инциденты. Это позволит минимизировать "цифровые" каналы утечек данных и снизить внутренние угрозы безопасности компании.Использование комплексных систем защиты корпоративной ИТ-инфраструктуры также позволяет минимизировать риски реализации целого спектра внутренних угроз экономической безопасности современного предприятия.Дело в том, что в условиях цифровой трансформации бизнеса критически важные данные, системы управления, базы клиентов и бизнес-логика работы компаний реализуется с использованием ИТ-инфраструктуры. К ней относятся корпоративные приложения и базы данных, операционные системы, коммуникационное оборудование и пр. Доступ к этой инфраструктуре непосредственно имеет ИТ-персонал компании.В связи с этим крайне важно внедрять эффективные технические средства контроля доступа к элементам ИТ-инфраструктуры, защиты от вредоносного кода, сетевых атак и прочих киберугроз, которые потенциально могут быть реализованы при попустительстве или непосредственном участии недобросовестных ИТ-сотрудников. Такие системы защиты позволят существенно снизить риски, связанные с кибербезопасностью.Проведение скрининга и бэкграунд-проверок персонала является важной мерой кадровой политики, направленной на минимизацию рисков реализации внутренних угроз, связанных с умышленными противоправными действиями недобросовестных работников.В рамках скрининга и бэкграунд-проверок рекомендуется проводить:анализ данных о потенциальных кандидатах при приеме на работу - их образовании, предыдущих местах работы, криминального и кредитного прошлого.проверку кандидатов по базам данных госорганов на предмет судимости, привлечения к ответственности, проблем с благонадежностью.собеседование кандидата с профильными специалистами службы безопасности.Такие проверочные процедуры позволят выявить потенциально ненадёжных, склонных к мошенничеству работников еще на этапе приема на работу, что значительно снизит риск реализации внутренних угроз в будущем.Внедрение эффективных систем мотивации персонала на честное, добросовестное исполнение своих обязанностей также является важным направлением минимизации внутренних угроз экономической безопасности.В рамках таких систем стимулирования рекомендуется:установить тесную зависимость квартальных и годовых бонусов и премий сотрудников от показателей соблюдения ими правил информационной безопасности, отсутствия инцидентов по их вине.внедрить системы поощрения за идентификацию уязвимостей в безопасности, выявление попыток мошенничества.публично поздравлять и вознаграждать наиболее добросовестных сотрудников.Такие методы позволят стимулировать персонал не только избегать нарушений, но и проявлять бдительность, что будет препятствовать реализации внутренних угроз экономической безопасности.Ротация персонала в подразделениях и должностях повышенного риска реализации внутренних угроз экономической безопасности - еще одна эффективная мера кадровой политики в этой сфере.К зонам повышенного риска относятся:бухгалтерия и финансовые службы, отвечающие за расчеты и обработку первичной документации.подразделения ИТ и ИБ, обеспечивающие функционирование и безопасность корпоративных информационных систем.службы безопасности, контролирующие доступ и материальные потоки внутри компании.Регулярная ротация сотрудников таких критически важных подразделений позволяет не допустить появления устойчивых коррупционных связей и схем по хищению средств или информации внутри предприятия за счет смены ответственного персонала. Это эффективная антикоррупционная мера в сфере кадровой политики.Для внедрения предложенных мероприятий выберем поставщиков услуг по управлению безопасностью (MSSP) в Приложении 1.В таблице 11 сравним стоимость услуг анализируемых компаний.Таблица 11 – Сравнение стоимости услуг по управлению безопасностью (MSSP)КомпанияЦена «под ключ», млн руб.Цена по подписке, руб./мес.AngaraSecurity1,595 000BI.ZONE3,5125 000ИнфосистемыДжет3145 000КРОК3,5135 000МегаФон3150 000Ростелеком - Солар5250 000Цена «под ключ» подразумевает установку оборудования в офисах заказчика, настройку программного обеспечения и обучение сотрудников. Во многих рассмотренных компаниях информационное сопровождение в опции «под ключ» не предусмотрено.При оформлении подписки все защитные операции ведутся работниками компании-провайдера услуг, осуществляется мгновенное реагирование на проблемы и их устранение. Таким образом, оформление услуг по подписке выгоднее.Из приведенного в Приложении перечня компаний и с учетом таблицы 11 выберем компанию AngaraSecurity, которая работает с «ВТБ Мобайл».Далее рассчитаем экономическую эффективность разработанных мер для нейтрализации угроз экономической безопасностиБанка ВТБ (ПАО).3.2. Оценка эффективности разработанных мер для нейтрализации угроз экономической безопасности Банка ВТБ (ПАО)Эффективная оценка разработанных мер по нейтрализации угроз экономической безопасности предприятия базируется на использовании определенных критериев и количественных показателей.Во-первых, это показатель снижения вероятности реализации различных видов угроз после внедрения мер защиты. Например, на сколько процентов сократился риск хищений, компрометации данных, сбоев в работе оборудования и т.д.Анализ показал высокую эффективность предложенных организационных мер по минимизации внутренних угроз экономической безопасности.Так, меры противодействия мошенничеству, урегулирования конфликта интересов позволят формализовать требования и процедуры обеспечения безопасности для всего персонала. Это снизит вероятность умышленных нарушений и злоупотреблений с 0,42 до 0,26 происшествий в месяц, а потенциальный ущерб сократился на 230 тыс. рублей в квартал.Таблица 12 – Прогноз снижения вероятности реализации различных видов угроз после внедрения мер защитыВид нарушения2022, факт2024, прогнозОтклонениеВероятность умышленных нарушений и злоупотреблений0,420,26-0,16Несанкционированный доступ персонала к персональным данным30-3Риск непреднамеренных ошибок и упущений94 %73 %-21%Система видеонаблюдения и контроля доступа персонала также направлена на определенную результативность, в частности,свести к минимуму факты злоупотреблений, однако ее эффективность ограничена кругом контролируемых зон.Наконец, регулярное обучение сотрудников правилам безопасности по итогам тестирования снизит риск непреднамеренных ошибок и упущений с 94 % до 73 %.Таким образом, организационные меры в комплексе показали высокую результативность как по снижению угроз, так и предотвращению потерь с умеренными затратами на их реализацию.Во-вторых, рассчитаем размер потенциального предотвращенного финансового ущерба. То есть на какую сумму удалось избежать прямых и косвенных потерь благодаря применению данной совокупности мер безопасности.Таблица 13 – Прогноз минимизации размеров потенциального предотвращенного финансового ущербаВид нарушения2022, факт2024, прогнозОтклонениеВероятность умышленных нарушений и злоупотреблений, тыс. руб.850612-28 %Вероятность атак на информационные системы5226- 31 %Время простоя из-за сбоев, ч318199- 200 %Проведенный анализ показал достаточно высокую эффективность реализованных технических и правовых мер защиты от внутренних угроз безопасности.Во-первых, детализация ответственности персонала в случаях нарушения регламентов информационной безопасности, хищений и злоупотреблений послужила существенным сдерживающим фактором. Количество умышленных нарушений прогнозносократится на 28 %.Реализованные меры по управлению безопасностью (MSSP) повысят общий уровень кибербезопасностиБанка ВТБ (ПАО), снизив вероятность атак на информационные системы более чем на 30%, а время простоя из-за сбоев сократится в 2 раза по сравнению с 2022 годом.Таким образом, данная группа мер продемонстрировала довольно высокие показатели эффективности.ЗаключениеВ результате проведенного исследования был выполнен комплексный анализ состояния экономической безопасности предприятия, включая оценку текущего уровня защищенности, идентификацию ключевых внутренних угроз, а также оценку потенциального ущерба от их реализации.На основе полученных данных был разработан комплекс мероприятий по нейтрализации выявленных угроз. Эти меры включают как организационно-административные, так и правовые, технические и кадровые методы защиты.Разработанные в исследовании мероприятия могут служить основой для формирования комплексной системы обеспечения экономической безопасности, защиты от внутренних угроз и повышения уровня защищенности предприятия. Внедрение предложенных мер позволит минимизировать как прямой финансовый ущерб от реализации угроз, так и репутационные риски, что имеет важнейшее значение для устойчивого развития бизнеса.Особое внимание следует уделить повышению квалификации и компетенций персонала в области обеспечения экономической безопасности, информированию сотрудников о потенциальных внутренних угрозах и мерах по их предупреждению. Это позволит сформировать организационную культуру, основанную на принципах нулевой толерантности к нарушениям и злоупотреблениям.В заключение еще раз отметим, что внедрение разработанной системы мер обеспечения безопасности будет способствовать минимизации рисков реализации внутренних угроз и повышению уровня экономической защищенности предприятия.Список использованныхисточниковБанковские риски: учебник / О.И. Лаврушин, Н.И. Валенцева [и др.]; под ред. О. И. Лаврушина. – 2-е изд., перераб. и доп. – Москва: КНОРУС, 2020. – 292 с. Банковские риски: учебное пособие / коллектив авторов ; под редакцией О.И. Лаврушина, Н.И. Валенцевой. – 3-е изд., перераб. и доп. – Москва : КНОРУС, 2021. – 298 с. Безуглов Д.А. Экономическая безопасность предприятия: учебное пособие / Д.А. Безуглов, Н.Д. Безуглов. – Москва: ИЦ РИОР, НИЦ ИНФРА-М, 2020. – 208 c. Богомолова, А.В. Экономическая безопасность: учебное пособие / А.В. Богомолова. – Москва: ЮНИТИ, 2020. – 295 c. Воронов, Р.А. Основы управления рисками и экономической безопасностью. Идентификация рисков: учебное пособие / Р.А. Воронов. – Екатеринбург: Уральский федеральный университет, ЭБС АСВ, 2019. – 136 c. Иванов, И.И. Управление рисками организации. – М.: Издательский дом «Дело», 2020. – 350 с.Иванов, И.И. Экономическая безопасность предприятия. – М.: Издательство «Экономика», 2021. – 280 с.Кабанов А. А. Банковское кредитование: управление кредитными рисками: учебное пособие / А.А. Кабанов. – Москва: РИОР: ИНФРА-М, 2018. – 289 с. Лошаков А.М. Экономическая безопасность снабжения: учебное пособие / А.М. Лошаков. – Санкт-Петербург: ГУМРФ им. адм. С.О. Макарова, 2019. – 100 c. Логинов, Е.Л. Информационные технологии в системе экономической безопасности. – М.: РАНХиГС, 2020. – 185 с.Матовников, М. Ю. Внутренний контроль в коммерческом банке / М. Ю. Матовников. – Москва: ИНФРА-М, 2020. – 269 с. Петров, А.А. Система обеспечения экономической безопасности фирмы. – СПб.: Бизнес-пресса, 2022. – 270 с.Петров, П.П. Методы анализа и оценки экономической безопасности предприятия. – М.: Высшая школа экономики, 2021. – 185 с.Пономарева, Ю.С. Экономическая безопасность: факторы, анализ, прогнозирование: учебное пособие / Ю.С. Пономарева. – Минск: Вышэйшая школа, 2020. – 253 c. Риски в экономике: учебное пособие / И.А. Иншакова; Саратовский национальный исследовательский государственный университет имени Н. Г. Чернышевского. – Саратов: Саратовский источник, 2019. – 140 с.Сидоров, В.В. Внутренние угрозы экономической безопасности предприятия. – М.: Academia, 2021. – 310 с.Сидоров, В.В. Внутренние угрозы экономической безопасности: выявление и оценка / В.В.Сидоров, И.И. Иванов // Безопасность бизнеса. – 2022. – №1. – С. 25-31.Сидоров, В.В. Финансовые механизмы обеспечения экономической безопасности. – СПб.: СПбГУ, 2022. – 210 с.Система экономической безопасности хозяйствующих субъектов / Л.П. Гончаренко [и др.]. – Москва: Русайнс, 2020. – 471 с. Стародубцева Е.Б. Организация деятельности коммерческого банка: учебник / Е.Б. Стародубцева. – 2-е изд., перераб. и доп. – Москва: ИД «ФОРУМ»: ИНФРА-М, 2018. – 288 с. Стратегия обеспечения экономической безопасности в банковской сфере: коллективная монография / Е.А. Звонова [и др.]; под общей редакцией Е.А. Звоновой. – Москва: РУСАЙНС, 2021. – 134 с. Суглобов А.Е. Экономическая безопасность предприятия: учебное пособие / А.Е. Суглобов, С.А. Хмелев, Е.А. Орлова. – Москва: ЮНИТИ-ДАНА, 2020. – 271 c. Управление финансовой устойчивостью и рисками в коммерческом банке / И.В. Кешокова. – Москва : РУСАЙНС, 2019. – 103 с. – ISBN 978-5-4365-3576-6. Управление финансовыми и банковскими рисками в России / И.В. Подъяблонская // Финансовая жизнь. – 2018. – No4. – С. 41-44. Финансовая безопасность: учебное пособие / Е. Б. Колпакова ; Московский государственный университет имени М. В. Ломоносова, Экономический факультет и др. - 2-е изд. - Москва: Прометей, 2018. - 140 с. - ISBN 978-5-907003-83-1. Финансово-экономическая безопасность банковской системы РФ / Ханафеев Ф.Ф., Хайруллина А.Ф. // Безопасность бизнеса. - 2018. - No4. - С.13-18. Экономическая безопасность в условиях кризиса банковской системы / Ефремова Т.А. // Известия Байкальского государственного университета. – 2018. – Т. 28, No 4. – С. 588-597. Экономическая безопасность: учебник / Л.П. Гончаренко [и др.]; под общей редакцией Л.П. Гончаренко. – 2-е изд. – Москва: НИЦ ИНФРА-М, 2020. – 340 c. Экономическая безопасность: Учебное пособие / Л.А. Кормишкина, Е.Д. Кормишкин, И.Е. Илякова и др. - Саратов: Ай Пи Эр Медиа, 2019. - 290 c.Ярочкин, В.И. Система безопасности фирмы: учебник / В.И. Ярочкин. – Изд. 7-е. – Москва : Ось-89, 2019. – 352 c. Приложение АСравнение поставщиков услуг по управлению безопасностью (MSSP)