金融信息风险的识别与评估

第第2章章 金融信息风险金融信息风险主要内容主要内容2.1 金融信息风险概念金融信息风险概念2.2 风险分类风险分类2.3 风险的模型风险的模型2.4 风险识别风险识别2.5 风险的评估风险的评估2.6 风险的处置风险的处置 金融信息风险金融信息风险 威胁利用我们的漏洞，引起一些事故，对我们的威胁利用我们的漏洞，引起一些事故，对我们的资产资产造成一些不良影响的可能性。造成一些不良影响的可能性。资产资产 对组织具有价值的信息或资源，安全策略保护的对象。对组织具有价值的信息或资源，安全策略保护的对象。资产价值资产价值 资产重要程度或敏感程度表征；资产重要程度或敏感程度表征；资产的属重要性；资产的属重要性；进行资产识别的主要依据和内容。进行资产识别的主要依据和内容。2.1 金融信息风险概述金融信息风险概述 信息资产信息资产 有形资产：有形资产：人、场地、计算机硬件、软件、文人、场地、计算机硬件、软件、文档、网络通信设备、各种银行终端设备（如档、网络通信设备、各种银行终端设备（如ATM、POS、电话、手机）、电话、手机）无形财产：无形财产：系统数据、声誉、友好关系、员工系统数据、声誉、友好关系、员工的生产力和的生产力和IT服务等。服务等。信息资产重要性信息资产重要性 给定环境中对它们所支持系统能力的价值和临界值的意义（给定环境中对它们所支持系统能力的价值和临界值的意义（斧头斧头对鲁班的重要性以及鲁班失去斧子可能造成的影响对鲁班的重要性以及鲁班失去斧子可能造成的影响），需要考虑），需要考虑财务成本，更需要考虑系统对组织业务发展的重要性。财务成本，更需要考虑系统对组织业务发展的重要性。评判重要性借助成本效益分析（评判重要性借助成本效益分析（学习过财务管理就应该有这样的学习过财务管理就应该有这样的思维，就像生物学家看人与化学家看人不一样，这就是思维，就像生物学家看人与化学家看人不一样，这就是“专业目专业目光光”）成本：成本：获取、开发、维护和保护该资产所需投入。获取、开发、维护和保护该资产所需投入。效益：效益：该资产对所有者、用户和竞争对手所具有的价值。该资产对所有者、用户和竞争对手所具有的价值。风险：风险：该资产不可用或丧失情况下所造成的损失。该资产不可用或丧失情况下所造成的损失。2.2 风险分类风险分类 金融信息安全可能的威胁金融信息安全可能的威胁 威胁：可能导致资产对象出现安全问题的活动或威胁：可能导致资产对象出现安全问题的活动或者能力，可能造成对我们的系统、组织和财富的者能力，可能造成对我们的系统、组织和财富的不良影响。不良影响。威胁可以通过威胁可以通过 作用形式作用形式 动机动机 来源来源 等多种属性来描述。等多种属性来描述。安全学家安全学家Shirey将威胁按动机分为四大类：将威胁按动机分为四大类：泄露（破坏系统的机密性）泄露（破坏系统的机密性）：对信息的非授权访问。：对信息的非授权访问。途径途径是是一个非授权方系统进行攻击，破坏保密性。非授权方可以是一个非授权方系统进行攻击，破坏保密性。非授权方可以是一个人、一个程序、一台微机。攻击手段一个人、一个程序、一台微机。攻击手段:搭线窃听、文件搭线窃听、文件或程序的不正当拷贝。或程序的不正当拷贝。破坏破坏(破坏系统的可用性破坏系统的可用性)：中断或妨碍正常操作。这包括机中断或妨碍正常操作。这包括机具、硬盘等硬件的毁坏、通信线路的切断、文件管理系统的具、硬盘等硬件的毁坏、通信线路的切断、文件管理系统的瘫痪等。瘫痪等。篡夺：篡夺：对系统某些部分非授权控制。在篡夺攻击中，一个非对系统某些部分非授权控制。在篡夺攻击中，一个非授权方不仅介入系统而且在系统中进行非法操作，如改变数授权方不仅介入系统而且在系统中进行非法操作，如改变数据文件，改变程序使之不能正确执行，修改信件内容等。据文件，改变程序使之不能正确执行，修改信件内容等。1.欺骗：欺骗：接受虚假数据，一个非授权方将伪造的接受虚假数据，一个非授权方将伪造的“客体客体”植入植入系统中，如在网络中插入假信件，或者在文件中追加记录等。系统中，如在网络中插入假信件，或者在文件中追加记录等。威威 胁胁威胁按来源划分威胁按来源划分 环境因素（天灾）环境因素（天灾）断电、灰尘、静电自然灾害断电、灰尘、静电自然灾害(有不可抗拒因有不可抗拒因素素)人为因素（人人为因素（人“祸祸”）心怀恶意者：心怀恶意者：心怀不满者内贼、觊觎财富的外心怀不满者内贼、觊觎财富的外鬼，二者沆瀣一气鬼，二者沆瀣一气 无心之过者：无心之过者：责任心不强、工作马虎、有章不责任心不强、工作马虎、有章不循、有法不依循、有法不依脆脆 弱弱 性性 脆弱性是系统（对象）的一种固有属性脆弱性是系统（对象）的一种固有属性 蛇有蛇有“七寸七寸”人有人有“软肋软肋”使用信用卡可以透支消费，给用户带来了方便，使用信用卡可以透支消费，给用户带来了方便，但同时也给银行带来了恶意透支的问题。但同时也给银行带来了恶意透支的问题。以磁条卡为卡基作支付工具，无论是传统的卡交以磁条卡为卡基作支付工具，无论是传统的卡交易或是在互联网上交易（不使用数字证书），持易或是在互联网上交易（不使用数字证书），持卡人的卡号和卡人的卡号和PIN都极易被人盗窃。可透支和易都极易被人盗窃。可透支和易复制性就是信用卡业务的弱点。复制性就是信用卡业务的弱点。“脆弱性脆弱性”没有被没有被“威胁威胁”所利用就不会所利用就不会产生危害（谦谦君子不会攻击别人）产生危害（谦谦君子不会攻击别人）导致脆弱性的原因：导致脆弱性的原因：信息安全策略本身存在漏洞信息安全策略本身存在漏洞1.信息安全策略没有得到很好的贯彻执行，尤信息安全策略没有得到很好的贯彻执行，尤其是缺乏相应的技术保障措施。其是缺乏相应的技术保障措施。脆弱性分类脆弱性分类技术技术脆弱脆弱性性物理物理环境环境从机房场地、机房防火、机房供配电、机房防静电、机房接地与防从机房场地、机房防火、机房供配电、机房防静电、机房接地与防雷、电磁防护、通信线路的保护、机房区域防护、机房设备管雷、电磁防护、通信线路的保护、机房区域防护、机房设备管理等方面进行识别理等方面进行识别网络网络结构结构从网络结构设计、边界保护、外部访问控制策略、内部访问控制策从网络结构设计、边界保护、外部访问控制策略、内部访问控制策略、网络设备安全配置等方面进行以别略、网络设备安全配置等方面进行以别系统系统软件软件从补丁安装、物理保护、用户账号、口令策略、资源共享、事件审从补丁安装、物理保护、用户账号、口令策略、资源共享、事件审计、访问控制、新系统配置（初始化）、注册表加固、网络安计、访问控制、新系统配置（初始化）、注册表加固、网络安全、系统管理等方面进行以别全、系统管理等方面进行以别数据库数据库从补丁安装、鉴别机制、口令机制、访问控制、网络为服务设置、从补丁安装、鉴别机制、口令机制、访问控制、网络为服务设置、备份恢复机制、审计机制等方面进行识别备份恢复机制、审计机制等方面进行识别中间件中间件从协议安全、交易完整性、数据完整性等方面进行识别从协议安全、交易完整性、数据完整性等方面进行识别应用应用系统系统从审计机制、审计存储、访问控制策略、数据完整性从审计机制、审计存储、访问控制策略、数据完整性通信、鉴别机通信、鉴别机制、密码保护等方面进行识别制、密码保护等方面进行识别管理管理脆弱脆弱性性技术技术管理管理从物理和环境安全、通信与操作管理、访问控制、系统开发与维护、从物理和环境安全、通信与操作管理、访问控制、系统开发与维护、业务连续性等方面进行识别业务连续性等方面进行识别组织组织管理管理从安全策略、组织安全、资产分类与控制、人员安全符合性等方面从安全策略、组织安全、资产分类与控制、人员安全符合性等方面进行识别进行识别 金融信息风险：金融信息风险：人为或自然的威胁利用信息系统及其管理体系人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组中存在的脆弱性导致安全事件的发生及其对组织造成的影响。织造成的影响。金融信息风险涵盖了金融信息风险涵盖了规划、研发、建设、运行、规划、研发、建设、运行、维护、监控及退出与信息技术相关的产品、服维护、监控及退出与信息技术相关的产品、服务、传递渠道、系统务、传递渠道、系统等时，所产生或引发的银等时，所产生或引发的银行经营的不确定性或对银行管理的不利因素。行经营的不确定性或对银行管理的不利因素。2.3 金融信息风险模型金融信息风险模型 模型：实际模型：实际对象对象或或情境情境或或系统系统的反映的反映 形象模型形象模型 数学模型数学模型 实体关系模型实体关系模型 描述系统的因果关系或相互关系的过程称描述系统的因果关系或相互关系的过程称之为建模。之为建模。2.2 金融信息风险模型金融信息风险模型火火金金水水木木土土 用以描述（说明）金融信息系统风险、威用以描述（说明）金融信息系统风险、威胁、脆弱性、价值等等胁、脆弱性、价值等等.各要素以及要各要素以及要素间关系的图、表、表达式等称之为金融素间关系的图、表、表达式等称之为金融信息系统风险模型。信息系统风险模型。信息风险要素及关系2.4 金融信息风险之识别金融信息风险之识别Neumann列举了列举了9种种计算机系统安全问题计算机系统安全问题的来源：的来源：需求定义的错误或者遗漏（需求定义的错误或者遗漏（智者千虑必有一失智者千虑必有一失）；）；系统设计的错误；系统设计的错误；硬件的错误，如跳线或者芯片的缺陷；硬件的错误，如跳线或者芯片的缺陷；软件实现错误，如编程或者编译的错误、缓冲区溢出软件实现错误，如编程或者编译的错误、缓冲区溢出 系统使用、操作的错误和不经意的失误；系统使用、操作的错误和不经意的失误；系统滥用；系统滥用；系统硬件和通信部件的失常；系统硬件和通信部件的失常；环境因素的影响，包括自然原因和非自然原因；环境因素的影响，包括自然原因和非自然原因；1.系统的升级、更新以及停止运转。系统的升级、更新以及停止运转。金融信息系统风险事件种类：金融信息系统风险事件种类：1.灾难事件致使业务中断：关键资源不可控（电灾难事件致使业务中断：关键资源不可控（电力电信）、自然灾害、应用系统、数据库系统力电信）、自然灾害、应用系统、数据库系统缺陷、新系统上线缺陷、新系统上线内部欺诈内部欺诈:内部欺诈是指有机构内部人员参与的诈骗、内部欺诈是指有机构内部人员参与的诈骗、盗用资产、违犯法律以及公司的规章制度的行为，如内盗用资产、违犯法律以及公司的规章制度的行为，如内部人员虚报头寸、内部人员偷盗、在职员的账户上进行部人员虚报头寸、内部人员偷盗、在职员的账户上进行内部交易等。内部交易等。手段：手段：内部职员超越自己权限访问本来无权访问的资源，非法内部职员超越自己权限访问本来无权访问的资源，非法修改信息，破坏信息的完整性从而使系统的安全性降低或信息修改信息，破坏信息的完整性从而使系统的安全性降低或信息不可用，或泄露秘密信息。不可用，或泄露秘密信息。原因：原因：组织内部岗位职责划分不清，会计主管、会计人员相互组织内部岗位职责划分不清，会计主管、会计人员相互兼岗，业务经办与会计账务处理合一，不实行重要岗位定期轮兼岗，业务经办与会计账务处理合一，不实行重要岗位定期轮换制度，导致双重控制执行不力，监督制约机制不能有效发挥换制度，导致双重控制执行不力，监督制约机制不能有效发挥作用，极易引发内部欺诈行为的产生。作用，极易引发内部欺诈行为的产生。造成的损失：造成的损失：调查显示，内部欺诈无论在数目还是金额上都是调查显示，内部欺诈无论在数目还是金额上都是最重要的一种损失事件类型，而外部欺诈则排在第二位。（还最重要的一种损失事件类型，而外部欺诈则排在第二位。（还是那句话：是那句话：堡垒最容易从内部攻破堡垒最容易从内部攻破）外部欺诈：外部欺诈：第三方的诈骗、盗用资产、违反法律的行为，包括通过密码第三方的诈骗、盗用资产、违反法律的行为，包括通过密码破译、安装后门、嗅探、伪造和欺骗、关闭审计、拒绝服务等手段入侵破译、安装后门、嗅探、伪造和欺骗、关闭审计、拒绝服务等手段入侵和攻击系统，或者通过物理的接触造成对软件、硬件、数据的破坏。和攻击系统，或者通过物理的接触造成对软件、硬件、数据的破坏。实施者：实施者：外部恶意人员，包括黑客、商业间谍、破坏者等，所采取的攻外部恶意人员，包括黑客、商业间谍、破坏者等，所采取的攻击手段已达数百种。击手段已达数百种。手段与工具：手段与工具：攻击工具的完善与攻击方法自动化程度的提高，业余攻击攻击工具的完善与攻击方法自动化程度的提高，业余攻击者也能够完成复杂的攻击过程。者也能够完成复杂的攻击过程。攻击的类型：攻击的类型：信息机密性信息机密性的攻击方法主要有信息拦截技术、监听技术、重定向（改道的攻击方法主要有信息拦截技术、监听技术、重定向（改道 Re-direction）技术、信息推理技术、电子邮件病毒传输技术。）技术、信息推理技术、电子邮件病毒传输技术。针对完整性针对完整性的攻击方法主要有身份认证攻击技术、会话劫持技术、程序异常的攻击方法主要有身份认证攻击技术、会话劫持技术、程序异常输入技术等。输入技术等。针对可用性针对可用性的攻击方法主要有拒绝服务攻击技术、分布式拒绝服务攻击技术的攻击方法主要有拒绝服务攻击技术、分布式拒绝服务攻击技术等，它们常等，它们常 用的手段是消耗网络带宽、消耗内存、磁盘空间和用的手段是消耗网络带宽、消耗内存、磁盘空间和CPU资源等。资源等。执行交割、交易过程管理的风险执行交割、交易过程管理的风险 系统业务复杂或者有了变化，而软件设计没有跟上，程序设计流程不合理系统业务复杂或者有了变化，而软件设计没有跟上，程序设计流程不合理或不完全，导致出现逻辑错误（执行错误），造成错误的账户数据，给安或不完全，导致出现逻辑错误（执行错误），造成错误的账户数据，给安全带来隐患。新系统经常很快就崩溃，同样的小错误在一个又一个应用软全带来隐患。新系统经常很快就崩溃，同样的小错误在一个又一个应用软件上重复发生。除了会出现故障之外，很多系统还不能很好地工作。以下件上重复发生。除了会出现故障之外，很多系统还不能很好地工作。以下是几个这方面的例子：是几个这方面的例子：恶意透支：恶意透支：用户在输入取款金额时，可能会利用系统的漏洞恶意透支。曾用户在输入取款金额时，可能会利用系统的漏洞恶意透支。曾经发生过这样一个案例，国内一客户在经发生过这样一个案例，国内一客户在ATM（自动柜员机）上取款时发现（自动柜员机）上取款时发现ATM软件的漏洞（取软件的漏洞（取100元账户只被扣元账户只被扣1元），于是拼命取款十多万后潜逃。元），于是拼命取款十多万后潜逃。业务违规：业务违规：例如，有时单位卡现金销户时，不按规定划往基本账户，由此例如，有时单位卡现金销户时，不按规定划往基本账户，由此造成银行的政策性风险。造成银行的政策性风险。隐匿和挤占资金：隐匿和挤占资金：在手工联行系统下，银行内部异地经办行之间资金的代在手工联行系统下，银行内部异地经办行之间资金的代收代付引起款项横向清算，由于清算不能及时完成，在联行清算中存在隐收代付引起款项横向清算，由于清算不能及时完成，在联行清算中存在隐匿和挤占资金的可能。匿和挤占资金的可能。交易失败：交易失败：以资金清算系统为例，由于采用严格的以资金清算系统为例，由于采用严格的“无透支规则无透支规则”流动风流动风险防范措施，要能够完成系统内借款的自动处理，否则会使交易无法进行。险防范措施，要能够完成系统内借款的自动处理，否则会使交易无法进行。系统混乱：系统混乱：计算机硬件、操作系统、网络系统、应用程序、数据库及嵌入计算机硬件、操作系统、网络系统、应用程序、数据库及嵌入式系统等广泛采用两位十进制数而不是四位十进制数表示年份，导致计算式系统等广泛采用两位十进制数而不是四位十进制数表示年份，导致计算机机“千年虫千年虫”金融交易中的风险点金融交易中的风险点 金融产品交易前、中、后的各个环节，自始至终存在风险金融产品交易前、中、后的各个环节，自始至终存在风险(风险无处不在风险无处不在)操作员和客户身份冒用操作员和客户身份冒用 交易数据输入错误交易数据输入错误 管理失误管理失误 不完备的法律文件不完备的法律文件 未经批准访问客户账户未经批准访问客户账户 越权进行大额操作越权进行大额操作 合作伙伴的不当操作以及卖方纠纷等。合作伙伴的不当操作以及卖方纠纷等。从一般金融业务流程看风险从一般金融业务流程看风险风险分布描述风险分布描述 在一个金融信息系统中，硬件失失效概率可以统在一个金融信息系统中，硬件失失效概率可以统计测量（可以用平均无故障时间指标），软件中计测量（可以用平均无故障时间指标），软件中的的bug数量也可以使用不同的技术跟踪（数量也可以使用不同的技术跟踪（alpha，beta测试、统计等）。对于操作错误等安全事件测试、统计等）。对于操作错误等安全事件发生的概率，需要基于已有的处理经验，根据处发生的概率，需要基于已有的处理经验，根据处理任务的复杂度、员工的掌握程度、资产价值、理任务的复杂度、员工的掌握程度、资产价值、所面临的威胁等估计可能产生的概率。所面临的威胁等估计可能产生的概率。弄清风险分布以及概率对于评估风险的基础！弄清风险分布以及概率对于评估风险的基础！损失分布描述工具损失分布描述工具 损失概率进行分析，典型情况是假设损失发生的损失概率进行分析，典型情况是假设损失发生的概率服从泊松分布，例如，网点被攻击的次数、概率服从泊松分布，例如，网点被攻击的次数、智能卡不合格品出现的次数、数字通信中传输数智能卡不合格品出现的次数、数字通信中传输数字中发生的误码个数等都是随机变量，它们相当字中发生的误码个数等都是随机变量，它们相当近似地服从泊松分布。特点：近似地服从泊松分布。特点：当时间间隔取得极短时，只能有当时间间隔取得极短时，只能有0个或个或1个失效发生。个失效发生。出现一次失效的概率大小与时间间隔大小成正比，而出现一次失效的概率大小与时间间隔大小成正比，而与从哪个时刻开始算起无关。与从哪个时刻开始算起无关。各段时间出现失效与否，是相互独立的。各段时间出现失效与否，是相互独立的。依据上述假设对损失程度进行分析时，可依据上述假设对损失程度进行分析时，可将损失看作由多个不同层面的损失累积而将损失看作由多个不同层面的损失累积而成，即损失程度可以看作是许多很小独立成，即损失程度可以看作是许多很小独立因子的乘积，损失程度这一变量可以看作因子的乘积，损失程度这一变量可以看作是符合对数正态分布规律的。是符合对数正态分布规律的。即损失符合即损失符合exp（X）分布）分布（对数正态分布对数正态分布）其中其中X为正态分布的随机变量为正态分布的随机变量马尔可夫过程模型马尔可夫过程模型 由于风险过程常常伴随一定的随机过程，而在随机由于风险过程常常伴随一定的随机过程，而在随机过程理论中的一种重要模型就是马可夫过程模型：过程理论中的一种重要模型就是马可夫过程模型：一个系统有一个系统有N个状态又，个状态又，S1，S2，Sn。，随着时。，随着时间的推移，该系统从某一状态转移到另一状态。如间的推移，该系统从某一状态转移到另一状态。如果在特定情况下，系统在时间果在特定情况下，系统在时间t的状态的状态q只与其在时只与其在时间间t-1的状态的状态qt-1相关，则该系统构成一个离散的一阶相关，则该系统构成一个离散的一阶马尔可夫链。其数学描述为马尔可夫链。其数学描述为:马尔可夫模型可视为随机有限状态自动机，该有限状态自动机的每一个马尔可夫模型可视为随机有限状态自动机，该有限状态自动机的每一个状态转换过程都有一个相应的概率，称为转移概率，该概率表示自动机状态转换过程都有一个相应的概率，称为转移概率，该概率表示自动机采用这一状态转换的可能性：采用这一状态转换的可能性：2.5 风险的评估风险的评估 定性评估定性评估 分级测量分级测量 定量评估定量评估2.5 风险的评估风险的评估 定性评估定性评估 凭借评估者的知识、经验和直觉，或者业界的标凭借评估者的知识、经验和直觉，或者业界的标准和实践，为风险的各个要素定级。定性评估通准和实践，为风险的各个要素定级。定性评估通常通过调查表和合作研讨会的组合形式进行风险常通过调查表和合作研讨会的组合形式进行风险分析，涉及来自组织内各个部门的人员，例如信分析，涉及来自组织内各个部门的人员，例如信息安全专家、信息技术经理和员工、企业资产所息安全专家、信息技术经理和员工、企业资产所有者和用户以及高级经理。有者和用户以及高级经理。2.5 金融股信息系统风险的评估金融股信息系统风险的评估 风险评估（风险评估（Risk Assessment）的定义：）的定义：金融信息系统风险事件发生后，对企业资产财产造成的影金融信息系统风险事件发生后，对企业资产财产造成的影响和损失进行量化评估的工作。响和损失进行量化评估的工作。风险评估风险评估6大要素：大要素：客体（对象）客体（对象）主体（评估者）主体（评估者）内容（评估什么）内容（评估什么）数据（依据）数据（依据）方法（？）方法（？）报告（结果）报告（结果）评估主体（风险评估的要素之一）评估主体（风险评估的要素之一）第三方的领域专家，包括金融领域的业务专家、第三方的领域专家，包括金融领域的业务专家、信息技术领域的专家信息技术领域的专家 评估客体评估客体 金融企业的金融信息系统金融企业的金融信息系统 风险评估的内容：风险评估的内容：风险本身的界定。风险发生的可能性；风险强度；风风险本身的界定。风险发生的可能性；风险强度；风险持续时间；风险发生的区域及关键风险点。险持续时间；风险发生的区域及关键风险点。风险作用方式的界定。风险对企业的影响是直接的还风险作用方式的界定。风险对企业的影响是直接的还是间接的；是否会引发其他的相关风险；风险对企业是间接的；是否会引发其他的相关风险；风险对企业的作用范围等。的作用范围等。风险后果的界定。在损失方面：如果风险发生，对企风险后果的界定。在损失方面：如果风险发生，对企业会造成多大的损失？如果避免或减少风险，企业需业会造成多大的损失？如果避免或减少风险，企业需要付出多大的代价？在冒风险的利益方面：如果企业要付出多大的代价？在冒风险的利益方面：如果企业冒了风险，可能获得多大的利益？如果避免或减少风冒了风险，可能获得多大的利益？如果避免或减少风险，企业得到的利益又是多少？险，企业得到的利益又是多少？评估（风险）数据来源：评估（风险）数据来源：问卷调查方式：基于特定标准或基线建立对特定系统问卷调查方式：基于特定标准或基线建立对特定系统进行审查的项目条款，提供一套关于管理或操作控制进行审查的项目条款，提供一套关于管理或操作控制的问题表格，供系统技术或管理人员填写，以了解组的问题表格，供系统技术或管理人员填写，以了解组织的主要业务、重要资产、面临的威胁、管理上的缺织的主要业务、重要资产、面临的威胁、管理上的缺陷、采用的控制措施和安全策略的执行情况。陷、采用的控制措施和安全策略的执行情况。现场面谈：现场观察收集系统在物理、环境和操作方现场面谈：现场观察收集系统在物理、环境和操作方面的信息，要求相关部门对所采取的措施进行答辩。面的信息，要求相关部门对所采取的措施进行答辩。通过查阅审计报告、外部监管报告等获得管理、技术通过查阅审计报告、外部监管报告等获得管理、技术和运行各方面的信息。和运行各方面的信息。评估方法评估方法-专家咨询法（德尔菲法）专家咨询法（德尔菲法）通过背对背群体决策咨询的方法，群体成员各自独立通过背对背群体决策咨询的方法，群体成员各自独立工作，然后以系统的、独立的方式综合他们的判断，工作，然后以系统的、独立的方式综合他们的判断，克服了为某些权威所左右的缺点，减少调查对象的心克服了为某些权威所左右的缺点，减少调查对象的心理压力，增加了预测的可靠性。理压力，增加了预测的可靠性。德尔非法可以确定风除之间的相互关系和相对重要性，德尔非法可以确定风除之间的相互关系和相对重要性，这里风险可以是指同一系统部件中的不同风险，也可这里风险可以是指同一系统部件中的不同风险，也可以是指同一种风险类型在个同业务部门、系统部件之以是指同一种风险类型在个同业务部门、系统部件之间的分布情况。间的分布情况。具体的德尔菲法同学查询决策方法相关资料具体的德尔菲法同学查询决策方法相关资料分级测量分级测量 对不同风险进行直观的比较，综合考虑风险控制成本与风对不同风险进行直观的比较，综合考虑风险控制成本与风险造成的影响，提出一个可接受的风险范围或设定可接受险造成的影响，提出一个可接受的风险范围或设定可接受风险值的基准。它介于定性评估和定量评估之间，是专门风险值的基准。它介于定性评估和定量评估之间，是专门针对信息系统的安全性质提出的一种评估方法。针对信息系统的安全性质提出的一种评估方法。评估方法的要点：评估方法的要点：评估方法的步骤：评估方法的步骤：赋值赋值 计算计算 结果分级结果分级 赋值的内容：赋值的内容：资产资产（机密性、完整性、可用性综合赋值还是（机密性、完整性、可用性综合赋值还是去最重要的赋值根据组织业务特点确定）去最重要的赋值根据组织业务特点确定）威胁威胁（按威胁出现的频率以及威胁的强度分级（按威胁出现的频率以及威胁的强度分级赋值）赋值）脆弱性脆弱性（按资产的损害强度，技术实现的难易（按资产的损害强度，技术实现的难易程度，以及管理管理的脆弱等因素分级）程度，以及管理管理的脆弱等因素分级）风险计算风险计算计算的内容包括：计算的内容包括：安全事件发生的可能性安全事件发生的可能性 P(T,V)其中其中T为威胁，为威胁，V为脆弱性为脆弱性资产损失资产损失 F(I，V)其中其中I为资产，为资产，V为脆弱性为脆弱性风险值风险值 R（T，V）1.计算方法：乘积法和矩阵法计算方法：乘积法和矩阵法定量评估方法定量评估方法 引入引入成本效益分析成本效益分析进行定量分析，即对构成风险进行定量分析，即对构成风险的各个要素和潜在损失水平赋予数值或的各个要素和潜在损失水平赋予数值或货币金额货币金额，通过对度量风险的所有要素进行赋值，建立综合通过对度量风险的所有要素进行赋值，建立综合评价的数学模型，从而完成风险的量化计算。评价的数学模型，从而完成风险的量化计算。通通过安全投资收益推动风险管理。过安全投资收益推动风险管理。在操作层面上，银行业务风险量化的常用方法包在操作层面上，银行业务风险量化的常用方法包括：基本指标法、标准法和高级计量法。括：基本指标法、标准法和高级计量法。计算原理：计算原理：在定量风险评估中，通常会计算在定量风险评估中，通常会计算 资产价值（资产价值（AV）（资产对犯罪吸引力）（资产对犯罪吸引力）年发生率（年发生率（ARO）（各种风险发生的可能性，如非正常中断的可能）（各种风险发生的可能性，如非正常中断的可能性性.）单一预期损失（单一预期损失（SLE）（一个载荷）（一个载荷50公斤的窃贼闯入金库能造成的公斤的窃贼闯入金库能造成的一次性损失）一次性损失）年预期损失（年预期损失（ALE）（不采取任何安全措施可能造成的资产损失）（不采取任何安全措施可能造成的资产损失）还要计算还要计算“堵住堵住”上述漏洞每年所需要的安全投入的总和上述漏洞每年所需要的安全投入的总和ROSI=ROSI=（实施控制前的（实施控制前的ALEALE）-（实施控制后的（实施控制后的ALEALE）-（年控制成本）（年控制成本）理论上将ROSI之值为正即可 计算方法之计算方法之-基本指标法基本指标法 操作风险以银行业务活动的规模来测量，如操作风险资本金操作风险以银行业务活动的规模来测量，如操作风险资本金等于前三年总收入的平均值（等于前三年总收入的平均值（GI）乘以一个系数）乘以一个系数，通常，通常取值取值1520。KBIA GI X 基本指标法简便易行，是专门为操作风险管理水平尚未达到基本指标法简便易行，是专门为操作风险管理水平尚未达到量化阶段的银行而设计的。采用此法的银行需遵循委员会于量化阶段的银行而设计的。采用此法的银行需遵循委员会于2003年年2月发布的指引月发布的指引操作风硷管理与监管的稳健做法操作风硷管理与监管的稳健做法。基本指标法计算出的监管资本较高。不能发挥操作风险管理基本指标法计算出的监管资本较高。不能发挥操作风险管理的奖优罚劣机制，适用于业务单一的小银行。的奖优罚劣机制，适用于业务单一的小银行。基本指标法有眉毛胡子一把抓之嫌基本指标法有眉毛胡子一把抓之嫌 计算方法之计算方法之-标准法标准法 银行各类损失的均值相差都很大。已有的研究表明，交易和银行各类损失的均值相差都很大。已有的研究表明，交易和销售、零售银行业务、商业银行业务是造成操作风险损失的销售、零售银行业务、商业银行业务是造成操作风险损失的主要业务线，三者合计比重达到主要业务线，三者合计比重达到73以上。零售银行业务则以上。零售银行业务则是发生操作风险事件最多的业务线，其比重达到是发生操作风险事件最多的业务线，其比重达到60以上。以上。因此在度量风险时，应该分别考虑每个业务部门和每个风险因此在度量风险时，应该分别考虑每个业务部门和每个风险事件组合下的损失分布情况。以产品线分类计算的标准法，事件组合下的损失分布情况。以产品线分类计算的标准法，是对不同业务线的操作风险进行分类监控，分类度量。是对不同业务线的操作风险进行分类监控，分类度量。计算公式如下所示，将银行的总收入按照业务类别分为公司计算公式如下所示，将银行的总收入按照业务类别分为公司金融、交易、零售业务等八类，监管当局对每类业务收入的金融、交易、零售业务等八类，监管当局对每类业务收入的操作风险资本要求制定不同的乘数，然后每类业务也用前三操作风险资本要求制定不同的乘数，然后每类业务也用前三年总收入平均数乘以该乘数，由此提出不同类业务操作风险年总收入平均数乘以该乘数，由此提出不同类业务操作风险的资本要求。的资本要求。标准法是基本指标法根据业务类别进行差异化的计算方法标准法是基本指标法根据业务类别进行差异化的计算方法 计算方法之计算方法之-高级计量法高级计量法 银行依靠银行依靠其内部系统的特点决定针对操作风险的资本要求其内部系统的特点决定针对操作风险的资本要求。目的目的如何来发挥银行本身的积极性，鼓励银行在操作风险管如何来发挥银行本身的积极性，鼓励银行在操作风险管理方面的创新，同时对银行管理、数据、人员等提出更高的理方面的创新，同时对银行管理、数据、人员等提出更高的防范风险标准。防范风险标准。高级计量法高级计量法没有规定具体的风险计算方法和统计分布假设没有规定具体的风险计算方法和统计分布假设。它与前两种方法的最大区别在于，使用者可以有更大的发挥它与前两种方法的最大区别在于，使用者可以有更大的发挥空间。各家银行可以使用自己的损失数据来计算监管资本，空间。各家银行可以使用自己的损失数据来计算监管资本，通过对所有通过对所有IT领域及其业务之间进行有效校准，监管资本的领域及其业务之间进行有效校准，监管资本的大小防各金融机构风险损失分布特征的不同而有所不同，更大小防各金融机构风险损失分布特征的不同而有所不同，更敏感地反映本机构操作风险的真实情况。敏感地反映本机构操作风险的真实情况。“治治”的更高境界的更高境界 “无为而治！无为而治！”评估结果（报告）评估结果（报告）包含内容：包含内容：1.风险评估结果：风险评估结果：风险评估结果风险图、风险表形风险评估结果风险图、风险表形式来展示。风险图是一组用来描述不同业务线风式来展示。风险图是一组用来描述不同业务线风险发生频率或强度的图形，可使用各种形状的点险发生频率或强度的图形，可使用各种形状的点代表不同类型的风险；点所处的位置表明其严重代表不同类型的风险；点所处的位置表明其严重程度，越靠近右上角，风险越严重。在风险表中，程度，越靠近右上角，风险越严重。在风险表中，分别使用圆圈颜色和箭头方向表明风险严重程度分别使用圆圈颜色和箭头方向表明风险严重程度和风险的发展趋势。和风险的发展趋势。损失事件及分析：损失事件及分析：风险常常是变化的，其诱因包括以下风险常常是变化的，其诱因包括以下几种：几种：变动类：如引进新技术或新产品等。变动类：如引进新技术或新产品等。复杂类：产品流程、技术设计较为复杂，难以理解或掌握。复杂类：产品流程、技术设计较为复杂，难以理解或掌握。疏于防范：对业务运行的无效管理，如未经授权的交易等。疏于防范：对业务运行的无效管理，如未经授权的交易等。对于内部事件，风险评估报告应包括损失事件及分析：对于内部事件，风险评估报告应包括损失事件及分析：事件的经过、导致事件发生的原因、是否存在类似事件、事件的经过、导致事件发生的原因、是否存在类似事件、已经或准备采取什么措施防止此类事件再次发生。另外，已经或准备采取什么措施防止此类事件再次发生。另外，报告还包括风险诱因，即导致风险的因素，那些与业务报告还包括风险诱因，即导致风险的因素，那些与业务运行密切相关的风险诱因，如系统升级、兼并收购等，运行密切相关的风险诱因，如系统升级、兼并收购等，更应引起高度重视。更应引起高度重视。风险指标风险指标风险指标风险评估报告应提出风险指标，即对风险指标的变化情况、风险指标风险评估报告应提出风险指标，即对风险指标的变化情况、与门槛值（限额、波动范围）的距离等作出分析和解释。对整个行与门槛值（限额、波动范围）的距离等作出分析和解释。对整个行业发展趋势及外部监管信息进行分析，预测变化趋势，为以后量化业发展趋势及外部监管信息进行分析，预测变化趋势，为以后量化风险提供数据基础。风险提供数据基础。资本金水平资本金水平在进行风险评估后，组织需要准备信息安全适用性声明。信息安全在进行风险评估后，组织需要准备信息安全适用性声明。信息安全适用性声明纪录了组织内相关的风险管制目标和针对每种风险所采适用性声明纪录了组织内相关的风险管制目标和针对每种风险所采取的各种控制措施。信息安全适用性声明的准备，一方面是为了向取的各种控制措施。信息安全适用性声明的准备，一方面是为了向组织内的员工声明对信息安全面对的风险的态度，在更大程度上则组织内的员工声明对信息安全面对的风险的态度，在更大程度上则是为了向外界表明组织的态度和作为，以表明组织已经全面、系统是为了向外界表明组织的态度和作为，以表明组织已经全面、系统地审视了其信息安全系统，并将所有有必要管控的风险控制在可接地审视了其信息安全系统，并将所有有必要管控的风险控制在可接受的范围，因此需要评价资本金的充足状况受的范围，因此需要评价资本金的充足状况2.6 风险处置风险处置 风险有大小、可控不可控之分，风险有大小、可控不可控之分，可控风险是指管理者能加以控可控风险是指管理者能加以控制和影响的风险，如预测错误、管理失当等。不可控风险也称外在风制和影响的风险，如预测错误、管理失当等。不可控风险也称外在风险，是指超出管理者控制力和影响力之外的风险，如政策变化、不可险，是指超出管理者控制力和影响力之外的风险，如政策变化、不可抗力等。抗力等。在每一个目标信息环境中，基于风除是否可控，可以采用在每一个目标信息环境中，基于风除是否可控，可以采用减轻、规避、减轻、规避、转嫁或接受转嫁或接受风险的处置措施，也可以使用这些措施的组合。在经过一风险的处置措施，也可以使用这些措施的组合。在经过一系列安全控制和安全措施之后，信息安全的风险会降低，但是绝对不系列安全控制和安全措施之后，信息安全的风险会降低，但是绝对不会完全消失，会有一些剩余风险的存在。对这些风险可能我们就需要会完全消失，会有一些剩余风险的存在。对这些风险可能我们就需要用其他方法转嫁或者承受。在某些情况下，风险控制代价超过了它所用其他方法转嫁或者承受。在某些情况下，风险控制代价超过了它所能带来的回报，因而，必须接受这种残留的风险而不是去试图消除它。能带来的回报，因而，必须接受这种残留的风险而不是去试图消除它。商业组织必须平衡风险和回报之间的关系。商业组织必须平衡风险和回报之间的关系。