Post on 22-Jan-2016
transcript
© 2011 IBM Corporation
Luis María Perez
Líder de Soluciones de Industria(+56 9) 97421121
Smarter Banking
IBM Servicios Globales
Gestión Integrada del Riesgo
Descubriendo el valor de una estrategia integrada contra el Fraude
© 2011 IBM Corporation
IBM Security Solutions
2
Agenda
El Desafío: Más Fraude, Más Sofisticación
Smarter Planet: incremento del riesgo
Los estafadores nunca duermen
Visión de nuestros Clientes
El Contexto: Nuevo Modelo Paperless
Transición: impactos del nuevo modelo “paperless”
Contexto: documentos negociables, fraudes
La Respuesta: Estrategia Integrada de Fraude
Estrategia Integrada y Caso de Negocio
Los beneficios y desafíos de un enfoque unificado
© 2011 IBM Corporation
IBM Security Solutions
3
El riesgo se incrementa en la medida que el mundo está más interconectado
El incremento del entorno del riesgo a elevado el rol y la importancia de la función de la seguridad
Nuevos escenarios (cloud, mobile, enterprise 2.0, Check21) introducen nuevas plataformas que requieren seguridad
Las amenazas a los activos de seguridad se han incrementado
Estándares y procedimientos relacionados con seguridad deberán tener más foco
Los consumidores demandan accesos instantáneos a la información bancaria -– online, mobile phone, iPad/touchpad, social media
El cumplimiento de la normativa es una prioridad clave para el sector financiero, pero no siempre sigue el ritmo de las nuevas tecnologías
La combinación de los desafíos económicos y las tecnologías emergentes incrementan e introducen nuevos riesgos
El Desafío: Más Fraude, Más Sofisticación
© 2011 IBM Corporation
IBM Security Solutions
4
Los estafadores nunca duermen: nuevos patrones de fraude
“Los criminales han percibido que pueden hacer víctimas a más personas como nunca antes… y continúan siendo crímenes multi-canal.” James Van Dyke, President of Javelin Strategy & Research, 4 February 2010
“las instituciones financieras… están reportando aumentos significativos en fraudes relacionados con transferencias de fondos, con la participación de credenciales válidas pertenecientes a empresas chicas y medianas… soluciones de EFT basadas en aplicaciones web están siendo objeto de software malicioso.”FDIC Bulletin, 21 August 2009
“Instituciones de Ahorro y Crédito para Vivienda han visto como la mayor parte de su capital ha sido “borrado” como resultado de grandes fraudes relacionados con transferencia electróinica de fondos, han sido capturados por los reguladores….”TheStreet.com, 14 August 2009
IBM, FDIC, Thestreet.com, and Javelin Strategy & Research Logos copyright their respective owners
El Desafío: Más Fraude, Más Sofisticación
© 2011 IBM Corporation
IBM Security Solutions
5
June 9… Citigroup revela expedientes robados de aproximadamente el 1% de 21 millones de usuarios
May 25… Bank of America: robos de identidad resultan en pérdidas de $10M
April 11… Hyundai Capital: brechas en los datos afectan a 420K clientes
Los ataques y las brechas a la seguridad rápidamente adquieren audiencia global
Oct 19… SBC Financial revela $17M en préstamos farudulentos
534, 232,379 de registros se han infringido
desde 2005 *
Fuente: 15-Jun 2011 from http://www.privacyrights.org/data-breach
El Desafío: Más Fraude, Más Sofisticación
© 2011 IBM Corporation
IBM Security Solutions
6
Hechos & Figuras
Para el sector financiero, los proyectos relacionados con Fraude contabilizan apróximadamente un promedio del 12,5% del presupuesto total de IT,
De acuerdo a nuestras estimaciones, los bancos top de USA podrían ahorrar $30-50 millones combatiendo el fraude en los canales
La velocidad de implementación es un factor crítico de éxito: los costos por atrasos promediarían $12 millones por trimestre.
Un 12% sólo en 2009, a niveles récord
11.1 Milliones de víctimas
$54 Billion en pérdidas
Más del doble de cuentas fraudulentas, con una sofisticación cada vez mayor Robo deIdentidad
Fuentes: Javelin Strategy & Research: “2010 Identity Fraud Study” 2010 IBM Institute for Business Value: “Unlocking the Value of an Integrated Fraud Strategy” 2009Gartner Group: “Bank Spending on Fraud and Authentication Rises, but Not Due to Red Flag Regulations” 2009
Cost of Combating
El Desafío: Más Fraude, Más Sofisticación
© 2011 IBM Corporation
IBM Security Solutions
7
Los Bancos en el mundo entienden que la gestión del riesgo es el atributo más crítico para el valor del accionista
El Desafío: Más Fraude, Más Sofisticación
© 2011 IBM Corporation
IBM Security Solutions
8
Las prioridades de los CIO’s están directamente impactadas por problemas de seguridad
Source: 2011 CIO Study, Q12: “Which visionary plans do you have to increase competitiveness over the next 3 to 5 years?”(n=3,018)
Business Intelligence and analytics
83%
Mobility solutions 74%
Virtualization 68%
Cloud computing60%
Business process management
60%
Risk management and compliance
58%
Self-service portals 57%
Collaboration and Social Networking 55%
Most important visionary plan elements(Interviewed CIOs could select as many as they wanted) Key Security Risks
Hacked intellectual property
Data lost on phones
Attacks in hypervisor
Untested cloud threats
Process fraud and compliance
Cost of reporting and compliance
Application exploits
Social business risks
El Desafío: Más Fraude, Más Sofisticación
© 2011 IBM Corporation
IBM Security Solutions
9
Nuestros clientes ven una convergencia de los patrones de fraude
Los estafadores cada vez más comienzan por el robo de identidades.
Luego, explotan la multicanalidad o fasean los ataques.
El punto de compromiso generalmente no está en el mismo canal donde la pérdida ocurre.
Un porcentaje (incremental) de los ataques afectan a bancos regionales y empresas chicas a medianas.
El Desafío: Más Fraude, Más Sofisticación
© 2011 IBM Corporation
IBM Security Solutions
10
Ejemplo de Fraude en ACHProblema: Violación de Seguridad del Site
Canales: Alteración de las nóminas, cambio de los números de cuenta en las remesas.
Pérdida: Los lotes normales de la cámara son enviados, conteniendo las cuentas “mula”.
Ejemplo de Fraude con ChequesProblema: Identidades robadas vía suplantación online (phishing)
Canales: Acceso a las cuentas corrientes, robo de MICR’s desde las imágenes de los cheques, y posterior emisión de cheque falso hacia un comercio (por ej.)
Pérdida: El comercio envía cheque falso para su cobro.
El Desafío: Más Fraude, Más Sofisticación
Ejemplo de Fraude con HELOC Problema: Credenciales online son robadas vía portal de mobile banking (motor de búsqueda / troyano)
Canales: Acceso al HELOC de la víctima y adelantos de dinero. Usan motores internos para transferir a cuentas “mula”..
Pérdida: El dinero es enviado fuera del banco.
Nuestros clientes ven una convergencia de los patrones de fraude
HELOC: home equity line of credit
© 2011 IBM Corporation
IBM Security Solutions
11
Entendimiento del Contexto
TransiciónEl modelo de trabajo con imágenes de cheques implicará una transición desde “procesamiento basado en papeles” hacia “procesamiento basado en imágenes”– transición que entenderíamos se acelerará durante los próximos dos a tres años en la medida que tanto los Clientes como los Bancos ganen en experiencia y confianza en el nuevo proceso “paperless”.
ObjetivosBásicamente, vemos los siguientes objetivos principales:
Facilitar el uso de las imágenes para el procesamiento de cheques,
Promover y fomentar la innovación tanto en la recepción como en el posterior procesamiento de cheques; y
Mejorar la eficiencia global del sistema chileno de pagos.
El Contexto: Nuevo Modelo Paperless
© 2011 IBM Corporation
IBM Security Solutions
12
Contexto de los Documentos Negociables
Cheque Sustituto El propósito primario de la legislación (en USA) era el de facilitar el intercambio electrónico de cheques autorizando un nuevo instrumento negociable llamado “cheque sustituto”. Especialmente, la regulación define “cheque sustituto” como una reproducción en papel del cheque original, conteniendo una imagen del frente y reverso del original.
TruncamientoLa regulación utiliza el término “truncamiento” para referirse al removimiento del cheque original. El banco responsable del truncamiento es llamado “Banco Truncante”.
Banco de Re-ConversiónEs definido como el banco que crea un cheque sustituto.
El Contexto: Nuevo Modelo Paperless
Nota: estándares ANS X9.100-140 para la creación de IRD.
© 2011 IBM Corporation
IBM Security Solutions
13
Principales Impactos del Nuevo Modelo
Tres diferentes plataformas (interoperatividad): cheques originales, cheques sustitutos, imágenes electrónicas
Nuevas tecnologías y procedimientos, necesidades de inversiones y entrenamiento
Ahorro de Costos: Labor, Transporte, Float
Probable impacto en costos de FNS (Fondos no Suficientes)
Potencial para la detección más rápida de ciertos tipos de fraudes
Inexistencia de estándares para las funciones de fraude
Impacto desconocido en la relación con los clientes, marco regulatorio y cumplimiento de la Ley, dependencia en la calidad de los cheques sustitutos, entre otros
El Contexto: Nuevo Modelo Paperless
© 2011 IBM Corporation
IBM Security Solutions
14
Modelo Paperless – Nuestra Visión del Fraude: Pros Históricamente, la identificación de cheques fraudulentos ha sido un proceso
donde las entidades financieras pueden “tocar”, “sentir” y “mirar” cheques de baja calidad, falsificaciones y/o cheques alterados.
Con el nuevo modelo a implementar, el papel puede ser truncado en el punto donde se presenta (caja, tesorería, ATM). La captura de las imágenes en estos puntos posibilita un procesamiento temprano ante fraudes. A modo de ejemplo, en la caja y antes de que la transacción sea finalizada, se puede utilizar detección estándar de fraude como ser autorización de pago frente a una base de cheques emitidos.
“Check Kiting” es otra forma de fraude que tendería a descender debido a la disminución del tiempo de procesamiento a través del intercambio de imágenes o IRD’s (Image Replacement Document) y la eliminación del transporte físico.
La apertura de nuevas cuentas y robos de identidades usados para emitir cheques fraudulentos y retiros inmediatos, podría tender a disminuir mediante la utilización de tecnologías apropiadas que posibiliten detectar actividades sospechosas como ser “velocidad de los cheques”, números de serie fuera de rango o duplicados, depósitos sospechosos, entre otros.
Otro punto favorable sería la velocidad de procesamiento de las excepciones. Las notificaciones y toma de decisión sobre un item en particular permite tomar acciones correctivas más rápidamente. Esto reduce la exposición de las entidades financieras ante fraudes y NSF (fondos no suficientes).
El Contexto: Nuevo Modelo Paperless
© 2011 IBM Corporation
IBM Security Solutions
15
Modelo Paperless – Nuestra Visión del Fraude: Cons
Diversas áreas sobre posibles fraudes han sido identificadas. Esto incluye: validación cliente/banco de funciones de seguridad del stock de cheques, validación cliente/banco de cheque legítimo, alteraciones/falsificaciones, verificación de firmas, identificación de duplicaciones, entre otros.
Control de la duplicación: la implementación del modelo de truncamiento y los sistemas asociados deberán estar cuidadosa y perfectamente integrados en el modelo operativo para evitar, dentro de otros, el envío duplicado de una imagen.
Preocupaciones adicionales podrían incluir: dado que las entidades no dispondrán del cheque original en papel para inspeccionar, parecería probable que los estafadores explotarán la inhabilidad de las imágenes digitales y de los cheques sustitutos de retener funciones de seguridad tradicionales, así como capturar ciertos tipos de falsificaciones y/o adulteraciones (*)
Otra forma probable en que el fraude evolucionará podría ser la extensión de la flotación (float) asociada a los cheques emitidos por aquellas entidades que aún no adopten el nuevo modelo. Esto podría impactar no solo en los que no lo adopten, sino que también sobre los diferentes actores que continuarán recibiendo documentos emitidos desde dichas entidades.
El Contexto: Nuevo Modelo Paperless
(*) Se podrán analizar temas tales como: 2D Bar Code y Digital Watermark, “Void” pantographs, etc.
© 2011 IBM Corporation
IBM Security Solutions
16
Estrategia Integrada de Fraude
“La Gestión Integrada del Fraude permite a los usuarios romper las barreras de la operación tipo silos, en cuanto a que se puede mirar a nivel de cliente o “grupo de clientes” y no solo a nivel de cuenta o transacción. Esto hace que el personal dedicado al análisis del fraude lo haga en forma más productiva y versátil en lo que respecta a la gestión a través de líneas de productos y , además, posibilita detectar el fraude que antes no se percibía por estar mal categorizado "
Gartner Group: “MarketScope for Enterprise Fraud Management”, 2009
La Respuesta: Estrategia Integrada de Fraude
© 2011 IBM Corporation
IBM Security Solutions
17
Entendemos que hay cuatro factores clave para avanzar en la agenda de prevención integrada del fraude
IntegratedFinancialCrimes
“Mitigación del Riesgo” “Hacer más con menos”
“El Cliente primero”“Vender más – en forma segura”
La integración considera la sofisticación creciente de losataques a través de los canales y la complicidad de infuyentes internos
La integración posibilita la colaboración con el desarrollo de los productos y otras disiplinas del negocio
La integración de los sistemas y procesos provee
de la entrega de valor mediante la utilización
de las capacidades existentes,
minimizando el alcance de los
cambios
La integración coordina el contacto con los
Clientes, permitiendoobtener la percepción del
Cliente sobre el valor respecto a la prevención del fraude
La Respuesta: Estrategia Integrada de Fraude
© 2011 IBM Corporation
IBM Security Solutions
18
Abordar el la gestión del fraude en forma integrada es una iniciativa que requerirá de un balance entre mostrar resultados en forma rápida y la maximización del ROI a largo plazo
Ejemplos de un Roadmap exitoso
Definir componentes discretos conteniendo costos y beneficios cuantificables
Identificar enfoques de implementación candidatos con sus beneficios y ROI’s
Un enfoque balanceado tiende a favorecer cambio incremental (step by step) vs. la estrategia del big-bang.
In Year Return
-$20
-$10
$0
$10
$20
$30
$40
2010 2011 2012 2013 2014
In Y
ea
r R
etu
rn
Low
High
Low High
Approach 2
Approach 1
Horizon ROI
Approach 3
La Respuesta: Estrategia Integrada de Fraude
© 2011 IBM Corporation
IBM Security Solutions
19
WG-1Identificar requerimientos y regulaciones
legales existentes relacionados con la detección, prevención y reporte de fraudes.
WG-2Inventariar las iniciativas de la industria:
• Prevenir duplicación• Posibilitar sinergias
WG-3Desarrollar modelos (taxonomy) de los
esquemas de fraude para facilitar las discuciones y proveer entendimiento común.
WG-4Utilizar los esquemas de fraude, desde la
taxonomía desarrrollar conceptos de operación y/o demostraciones limitadas de
recolección de datos y capacidades de propagación.
“Fraud Initiatives Landscape” and Taxonomy
Unathorized wire
transfers
ForgeryCheck Kiting
Counterfeiting and Alteration
Paperhanging/Ghost
Accounts
Financial Services Industry - Taxonomy
Check Fraud Cyber Fraud Branch banking/Internal
CorporatePersonalTrojansPhishing
Online Banking
Identity Theft
Teller Skimming
False Accounting
Entries
Lockbox Controls
Unauthorized Wire
Transfers Move Money from Dormant
Accounts
Lending
Daisey Chains
Asset Based
Lending
Loans to non-existent borrower
Lapping or rolling scheme
Construction Lending
False application
s/credit info
Double Pledging Collateral
Ghost Loans
Straw Borrowers
Loan Fee Fraud
“Modelo Operacional del Fraude”Arquitectura de la Solución (Negocio + TI)
IBM es miembro de BITS-FSTC y FS-ISAC, y es activo en ACFE, ABA, RMA, SIFMA, NACHA y en otras asociaciones de industria en el mercado financiero
BITS-FSTC: Finacial Services Technology Cosortium&Financial Services RoundtableRMA: Risk Management AssociationACFE: Association of Certified Fraud Examiners
La Respuesta: Estrategia Integrada de Fraude
SIFMA: Securities Industry and Financial Markets Association NACHA - The Electronic Payment Associatin
© 2011 IBM Corporation
IBM Security Solutions
20
Taxonomy - Eventos de Fraude por Canal
Microsoft Excel Worksheet
La Respuesta: Estrategia Integrada de Fraude
© 2011 IBM Corporation
IBM Security Solutions
21
Gestión del Fraude – Enfoque Global e Integrado
Core Banking
Transformation
CustomerCare andInsight
Paymentsand
Securities
Integrated Risk
Management
Beneficios del Framework de Industria de IBM • Soluciones pre-integradas y optimizadas para la industria bancaria• Aceleradores para implementaciones ágiles • Reuso de componentes que posibilitan reducciones de costo y riesgo • Soportan estándares de industria y tecnologías abiertas
Prioridades top de Bancos Clientes• Re-construcción de la confianza• Adquisición y Servicio de Clientes• Gestión Holística del Fraude• Reducción de Costos • Cumplimiento con las Regulaciones• Aprovechamiento de los datos
La Respuesta: Estrategia Integrada de Fraude
© 2011 IBM Corporation
IBM Security Solutions
22
Por donde empezamos (ejemplo)?
Paso 1: Analizar el Estado Actual de Seguridad
Paso 2: Diseño de la Solución
Se requiere identificar posibles eficiencias y ahorros de costos, maximizando la seguridad actual?
Como aseguramos que la data crítica está protegida de los robos protegiendo la privacidad de los clientes?
Se requiere asegurar el entorno de IT (infraestructura), aseguando la continuidad operativa, cumplimiento del marco regulatorio?
Como protejo la data de los clientes y la seguridad a través de los sistemas?
Como controlo los accesos de usuarios a los sistemas?
Como protejo la data de los clientes en los diferentes portales?
Paso 3: Gestión y Mantenimiento de la Solución
Somos concientes del riesgo asociado a la evolución de las nuevas tecnologías (mobile banking, etc.)?
Necesitamos reducir riesgos relacionados con upgrades de productos, patch de sistemas o, liberamos recursos hacia otras actividades?
Se requiere simplificar costos operacionales asociados con almacenamiento, análisis y reporte de eventos de seguridad para cumplir con los requerimientos regulatorios?
La Respuesta: Estrategia Integrada de Fraude
© 2011 IBM Corporation
IBM Security Solutions
23
Plataforma Integrada: Cloud Privada de Fraude – Visión Conceptual
Fraud Information Analytics – Key Platform Elements
Fraud Case Management
Identify Relate Monitor
ID/Authentication and Transaction Monitoring across Consumer LoBs
Discover Non-Obvious Relationships –
Identity / Relationship Resolution
Complex Event Processing and
discovery of Cross-LoB Fraud Events
Alert / Respond
Generate and Route Alerts based on Fraud
Event Types and Severity
ATMBanking Center
OnlineDCCWireACH
Deposit / DDA
Retail Lending, Mortgage?
Consumer Lending
Credit, DebitCard, Transaction
Monitoring
Card Services
ApplicationsClaims
LocationsProfiles
Payments (Check, ACH, Wire, etc.)
Information Aggregation & Analytics Dashboards
Integrate with existing Banks process and systems
Integrated Fraud Platform (IFP)
External interfaces delivered via IBM secure and economical
Private Compute Cloud
Example only: Needs to be developed with the Bank
La Respuesta: Estrategia Integrada de Fraude
© 2011 IBM Corporation
IBM Security Solutions
24
Reucrsos Globales IBM en Seguridad
Source: IBM IP estimate, August 2011; some overlap in counts between categories may occur
Security Operations Centers
Security Research Centers
Security Solution Development CentersSecurity Solution Development Centers
9 Security operations centers
9 Security research centers
11 Security solution development labs
400Security operations analysts
520 Field security sales / tech specialists
950Professional services security consultants
3,300 Security delivery resources
IBM cuenta con las capacidades para la entrega de soluciones completas, y para gestionar el costo y la complejidad relacionados.
La Respuesta: Estrategia Integrada de Fraude
© 2011 IBM Corporation
IBM Security Solutions
25
Principales conclusiones
Las Entidades Financieras están enfrentando un incremento en los niveles de sofisticación de aquellos que perpetran actos delictivos. El fraude es multifacético, diverso, y constantemente evoluciona, forzando a las instituciones financieras a ejecutar enormes esfuerzos para mantenerse un paso adelante de los criminales, proteger a sus clientes y cumplir con las crecientes regulaciones.
La clave para una reducción efectiva del riesgo es un enfoque holístico que combina tecnología con los procesos de negocio, para proactivamente identificar y evitar actividades criminales, monitoreando los sistemas en tiempo real, haciendo posible o permitiendo “atrapar” a los criminales en el “acto”.
La o las soluciones que posibiliten esto deberán estar integradas, derribando barreras internas y eliminando silos de información, proveyendo transparencia y entendimiento de cómo las actividades criminales afectan a todos los actores.
Asimismo, la solución que soporte estos esfuerzos deberá ser confiable y performante para soportar la operación continua y de misión crítica.
La Respuesta: Estrategia Integrada de Fraude
© 2011 IBM Corporation
IBM Security Solutions
26