Киберриски представляют собой возрастающую угрозу для финансовых организаций. Успешная масштабная кибератака может оказать значительное влияние на способность организации обслуживать обязательства своевременно и в полном объеме, полагают авторы исследования «Киберриски в новую эпоху: влияние на рейтинги банков», опубликованном S&P Global Ratings. NBJ представляет вниманию читателей основные тезисы данного исследования.

Тенденции к развитию цифровизации в банковской системе и применению механизмов удаленной работы, которые усилились вследствие пандемии COVID-19, подвергли отрасль еще более высоким рискам, связанным с деятельностью киберпреступников, поскольку объем онлайн-операций значительно увеличился.

Кибератаки могут оказывать давление на кредитные рейтинги финансовых организаций посредством репутационного ущерба и возможных потерь денежных средств. Вместе с тем S&P Global Ratings прогнозирует, что в случае успешной масштабной кибератаки на системно значимый банк или ряд крупных финансовых институтов государственные органы могут принять ответные меры для стабилизации ситуации в секторе.

В рамках анализа кредитоспособности банков аналитики S&P Global Ratings учитывают киберриски как на уровне банковской системы, так и на уровне конкретного банка. Можно учитывать киберриски в рамках анализа банковского сектора конкретной страны в тех случаях, когда банковская отрасль в целом страдает от серии повторяющихся серьезных взломов систем безопасности, или если отмечается, что регулирующие органы в большей степени пассивны и не действуют проактивно, требуя от финансовых организаций повысить качество систем кибербезопасности.

В анализе факторов, специфических для конкретного банка, эксперты S&P Global Ratings учитывают эти риски следующим образом:

•          негативное влияние на стабильность бизнеса банка может оказать утрата доверия клиентов в результате успешной кибератаки. Мы также учитываем способность банка управлять киберрисками и предотвращать их в нашей оценке его менеджмента и корпоративного управления;

•          возможные потери от киберинцидентов могут обусловить существенные убытки и, в свою очередь, оказать негативное влияние на показатели капитализации банка;

•          низкое качество управления киберрисками может отражать структурные недостатки системы управления рисками в банке;

•          киберинцидент может обусловить значительный репутационный ущерб, что в самых крайних случаях может привести к непредвиденному оттоку средств клиентов и возникновению давления на ликвидность.

Хотя надежная статистика о количестве киберинцидентов имеется не всегда (отчасти потому, что раскрываться может только часть информации), можно отметить увеличение числа сообщений в СМИ об успешных кибератаках на финансовые организации.

Согласно данным американской компании Guidewire, большинство публично известных киберинцидентов для финансовых организаций связаны с кражей данных, хотя число атак с помощью программ-вымогателей также растет. Относительно крупные финансовые организации остаются наиболее частыми мишенями публично известных атак. Вместе с тем авторы исследования полагают, что ни одна из финансовых организаций не защищена от причиняющих ущерб киберинцидентов, а небольшие финансовые институты, которые не вкладывают достаточно средств в кибербезопасность, также могут подвергаться более частым и более успешным атакам.

Киберинциденты оказывают различное влияние на рейтинги в зависимости от характеристик и масштаба инцидента, что, в свою очередь, может обусловить разный репутационный ущерб и разный размер убытков от кибератаки. Например, хищение персональных данных клиентов может оказать менее существенное влияние, чем атака с использованием вредоносной программы. Влияние на рейтинг зависит от того, как изменяются кредитные характеристики организаций в результате кибератаки, и являются ли финансовые характеристики достаточно сильными для того, чтобы абсорбировать убытки и ущерб. Одним из примеров влияния на рейтинг является понижение рейтинга Bank of Valetta PLC в связи с тем, что кибератака повысила обеспокоенность относительно эффективности его управления операционным риском.

Взлом системы защиты американского банка Capital One Financial Corp для получения доступа к данным его клиентов, произошедший в июле 2019 г., не привел к рейтинговому действию, поскольку прямые затраты, связанные с инцидентом, были управляемыми для организации, и доступ злоумышленников к ключевым данным о клиентах был ограничен. В то же время этот случай подчеркнул значимость систем защиты от кибератак и обусловил повышение репутационного риска для банка.

В декабре 2020 г. российское ООО ИК «Фридом Финанс» сообщило о хищении данных после успешной фишинговой атаки. Рейтинги компании остались без изменения в связи с устойчивыми показателями капитализации и прибыльности.

Несмотря на ограниченное влияние кибератак на рейтинги финансовых институтов до настоящего времени ожидается, что число рейтинговых действий, обусловленных киберинцидентами, увеличится, поскольку киберинциденты становятся все более частыми и сложными и оказывают все более значительное влияние на финансовые характеристики рейтингуемых организаций.