Нацбанк определил, что такое кибер-риск
Отвечая на угрозы, связанные с применением современных технологий, постановлением Правления Нацбанка от 27.04.2018 № 196, вступившим в силу с 13 мая 2018 г., внесены изменения в п. 11 Инструкции об организации системы управления рисками в банках, открытом акционерном обществе «Банк развития Республики Беларусь», небанковских кредитно-финансовых организациях, банковских группах и банковских холдингах, утв. постановлением Правления Нацбанка от 29.10.2012 № 550 (далее – Инструкция № 550).
Как и прежде, операционным риском в п. 11 Инструкции № 550 назван риск возникновения у банка потерь (убытков) и (или) дополнительных затрат в результате несоответствия установленных банком порядков и процедур совершения банковских операций и других сделок законодательству или их нарушения сотрудниками банка, некомпетентности или ошибок сотрудников банка, несоответствия или отказа используемых банком систем, в том числе информационных, а также в результате действия внешних факторов. Однако если ранее одним из основных видов операционного риска назывался правовой риск, то теперь таковым также признается кибер-риск, который, как и правовой риск, может возникать в сочетании с иными видами операционного риска.
При этом п. 11 Инструкции № 550 дополнен определением, согласно которому под кибер-риском понимается риск возникновения у банка потерь (убытков) и (или) дополнительных затрат вследствие противоправных действий сторонних лиц в отношении компьютерных и информационных систем или сетей, систем связи, информационных ресурсов и потоков банка, совершаемых посредством информационных и телекоммуникационных технологий.
Также уточнено, что кибер-риск возникает вследствие воздействия на компьютерные и информационные системы или сети, системы связи, информационные ресурсы и потоки банка с целью получения несанкционированного доступа к информации, обрабатываемой и (или) хранящейся в информационной системе банка, и информационным потокам (угроза информационной безопасности), нарушения функционирования информационной системы и (или) системы защиты информации, осуществляемого посредством внедрения вредоносного программного обеспечения либо иных деструктивных воздействий, источником которых являются сеть Интернет или другие внешние информационные сети и системы.
