Дайджест по посадкам. ИБ-специалисту на заметку

[stilic]

Банк провел расследование по этим действиям, в ходе него выяснилось, что скорее всего сотрудник использовал счета клиентов, чтобы без их ведома «прогонять» деньги для дальнейшей обналички. Этот вывод сделали, т.к. проследили взаимосвязь: банковский сотрудник печатал реквизиты счетов, а в течение недели на эти счета поступали деньги от юрлиц. При этом сами клиенты сообщили, что не знали о зачислении на их счета денег

Зачисление — ладно.
Но чтобы «прогонять» без ведома — нужно и списывать без ведома.

То есть процедура списания денег никак не перепроверяется внутри банка?

Есть тут кто-то кто работает с ядром ИТ банка? Можете пояснить?

[mixsture]

Вот и я присоединяюсь к вопросу. Если сотрудники могут перебрасывать деньги без уведомлений клиента и отражений в его истории операций — то в банковской сфере может творится что угодно. А «по умолчанию» ответственным за операции является таки клиент.
Так что, если это правда, то ситуация могла случиться плачевная: и деньги обналичены и клиент посажен за чужие действия.

[labyrinth]

Тут правду навряд ли узнаем, но звучала версия, что человек отбирал «мёртвые» счета, по которым было видно (как?), что владелец не следит активно. Может искал вклады пенсионеров, у которых уведомления всякие не были подключены. mixsture

[Fofka]

Добрый день! Спасибо за интересную статью! На мой взгляд проблема есть и, в основном, защита от неё в орг-методах. DLP-система хороша, но, как правило, она значительно дороже (покупка, обслуживание, и мониторинг), чем проверка кандидата, дальнейшее воспитание сотрудников и методы разграничения информации. Так, конечно, уже хорошо, что такие дела появляются и подобные вопросы решаются в правовом поле!

[labyrinth]

Как по мне, проверка, разграничение доступа и корпоративная культура — необходимый минимум для компании.

[mixsture]

Я бы даже добавил, что в таких сферах, как банки, где собрана масса крайне важной личной информации (движения финансов) и способность распоряжаться деньгами клиентов — должен быть обязательный периодический независимый аудит безопасности с открытыми для всех результатами, чтобы клиенты понимали риск относительно своих денег и информации.