© 2011 IBM Corporation Luis María Perez Líder de Soluciones de Industria (+56 9) 97421121 Smarter...

© 2011 IBM Corporation

Luis María Perez

Líder de Soluciones de Industria(+56 9) 97421121

Smarter Banking

IBM Servicios Globales

Gestión Integrada del Riesgo

Descubriendo el valor de una estrategia integrada contra el Fraude


IBM Security Solutions

2

Agenda

El Desafío: Más Fraude, Más Sofisticación

Smarter Planet: incremento del riesgo

Los estafadores nunca duermen

Visión de nuestros Clientes

El Contexto: Nuevo Modelo Paperless

Transición: impactos del nuevo modelo “paperless”

Contexto: documentos negociables, fraudes

La Respuesta: Estrategia Integrada de Fraude

Estrategia Integrada y Caso de Negocio

Los beneficios y desafíos de un enfoque unificado



3

El riesgo se incrementa en la medida que el mundo está más interconectado

El incremento del entorno del riesgo a elevado el rol y la importancia de la función de la seguridad

Nuevos escenarios (cloud, mobile, enterprise 2.0, Check21) introducen nuevas plataformas que requieren seguridad

Las amenazas a los activos de seguridad se han incrementado

Estándares y procedimientos relacionados con seguridad deberán tener más foco

Los consumidores demandan accesos instantáneos a la información bancaria -– online, mobile phone, iPad/touchpad, social media

El cumplimiento de la normativa es una prioridad clave para el sector financiero, pero no siempre sigue el ritmo de las nuevas tecnologías

La combinación de los desafíos económicos y las tecnologías emergentes incrementan e introducen nuevos riesgos




4

Los estafadores nunca duermen: nuevos patrones de fraude

“Los criminales han percibido que pueden hacer víctimas a más personas como nunca antes… y continúan siendo crímenes multi-canal.” James Van Dyke, President of Javelin Strategy & Research, 4 February 2010

“las instituciones financieras… están reportando aumentos significativos en fraudes relacionados con transferencias de fondos, con la participación de credenciales válidas pertenecientes a empresas chicas y medianas… soluciones de EFT basadas en aplicaciones web están siendo objeto de software malicioso.”FDIC Bulletin, 21 August 2009

“Instituciones de Ahorro y Crédito para Vivienda han visto como la mayor parte de su capital ha sido “borrado” como resultado de grandes fraudes relacionados con transferencia electróinica de fondos, han sido capturados por los reguladores….”TheStreet.com, 14 August 2009

IBM, FDIC, Thestreet.com, and Javelin Strategy & Research Logos copyright their respective owners




5

June 9… Citigroup revela expedientes robados de aproximadamente el 1% de 21 millones de usuarios

May 25… Bank of America: robos de identidad resultan en pérdidas de $10M

April 11… Hyundai Capital: brechas en los datos afectan a 420K clientes

Los ataques y las brechas a la seguridad rápidamente adquieren audiencia global

Oct 19… SBC Financial revela $17M en préstamos farudulentos

534, 232,379 de registros se han infringido

desde 2005 *

Fuente: 15-Jun 2011 from http://www.privacyrights.org/data-breach




6

Hechos & Figuras

Para el sector financiero, los proyectos relacionados con Fraude contabilizan apróximadamente un promedio del 12,5% del presupuesto total de IT,

De acuerdo a nuestras estimaciones, los bancos top de USA podrían ahorrar $30-50 millones combatiendo el fraude en los canales

La velocidad de implementación es un factor crítico de éxito: los costos por atrasos promediarían $12 millones por trimestre.

Un 12% sólo en 2009, a niveles récord

11.1 Milliones de víctimas

$54 Billion en pérdidas

Más del doble de cuentas fraudulentas, con una sofisticación cada vez mayor Robo deIdentidad

Fuentes: Javelin Strategy & Research: “2010 Identity Fraud Study” 2010 IBM Institute for Business Value: “Unlocking the Value of an Integrated Fraud Strategy” 2009Gartner Group: “Bank Spending on Fraud and Authentication Rises, but Not Due to Red Flag Regulations” 2009

Cost of Combating




7

Los Bancos en el mundo entienden que la gestión del riesgo es el atributo más crítico para el valor del accionista




8

Las prioridades de los CIO’s están directamente impactadas por problemas de seguridad

Source: 2011 CIO Study, Q12: “Which visionary plans do you have to increase competitiveness over the next 3 to 5 years?”(n=3,018)

Business Intelligence and analytics

83%

Mobility solutions 74%

Virtualization 68%

Cloud computing60%

Business process management

60%

Risk management and compliance

58%

Self-service portals 57%

Collaboration and Social Networking 55%

Most important visionary plan elements(Interviewed CIOs could select as many as they wanted) Key Security Risks

Hacked intellectual property

Data lost on phones

Attacks in hypervisor

Untested cloud threats

Process fraud and compliance

Cost of reporting and compliance

Application exploits

Social business risks




9

Nuestros clientes ven una convergencia de los patrones de fraude

Los estafadores cada vez más comienzan por el robo de identidades.

Luego, explotan la multicanalidad o fasean los ataques.

El punto de compromiso generalmente no está en el mismo canal donde la pérdida ocurre.

Un porcentaje (incremental) de los ataques afectan a bancos regionales y empresas chicas a medianas.




10

Ejemplo de Fraude en ACHProblema: Violación de Seguridad del Site

Canales: Alteración de las nóminas, cambio de los números de cuenta en las remesas.

Pérdida: Los lotes normales de la cámara son enviados, conteniendo las cuentas “mula”.

Ejemplo de Fraude con ChequesProblema: Identidades robadas vía suplantación online (phishing)

Canales: Acceso a las cuentas corrientes, robo de MICR’s desde las imágenes de los cheques, y posterior emisión de cheque falso hacia un comercio (por ej.)

Pérdida: El comercio envía cheque falso para su cobro.


Ejemplo de Fraude con HELOC Problema: Credenciales online son robadas vía portal de mobile banking (motor de búsqueda / troyano)

Canales: Acceso al HELOC de la víctima y adelantos de dinero. Usan motores internos para transferir a cuentas “mula”..

Pérdida: El dinero es enviado fuera del banco.

Nuestros clientes ven una convergencia de los patrones de fraude

HELOC: home equity line of credit



11

Entendimiento del Contexto

TransiciónEl modelo de trabajo con imágenes de cheques implicará una transición desde “procesamiento basado en papeles” hacia “procesamiento basado en imágenes”– transición que entenderíamos se acelerará durante los próximos dos a tres años en la medida que tanto los Clientes como los Bancos ganen en experiencia y confianza en el nuevo proceso “paperless”.

ObjetivosBásicamente, vemos los siguientes objetivos principales:

Facilitar el uso de las imágenes para el procesamiento de cheques,

Promover y fomentar la innovación tanto en la recepción como en el posterior procesamiento de cheques; y

Mejorar la eficiencia global del sistema chileno de pagos.




12

Contexto de los Documentos Negociables

Cheque Sustituto El propósito primario de la legislación (en USA) era el de facilitar el intercambio electrónico de cheques autorizando un nuevo instrumento negociable llamado “cheque sustituto”. Especialmente, la regulación define “cheque sustituto” como una reproducción en papel del cheque original, conteniendo una imagen del frente y reverso del original.

TruncamientoLa regulación utiliza el término “truncamiento” para referirse al removimiento del cheque original. El banco responsable del truncamiento es llamado “Banco Truncante”.

Banco de Re-ConversiónEs definido como el banco que crea un cheque sustituto.


Nota: estándares ANS X9.100-140 para la creación de IRD.



13

Principales Impactos del Nuevo Modelo

Tres diferentes plataformas (interoperatividad): cheques originales, cheques sustitutos, imágenes electrónicas

Nuevas tecnologías y procedimientos, necesidades de inversiones y entrenamiento

Ahorro de Costos: Labor, Transporte, Float

Probable impacto en costos de FNS (Fondos no Suficientes)

Potencial para la detección más rápida de ciertos tipos de fraudes

Inexistencia de estándares para las funciones de fraude

Impacto desconocido en la relación con los clientes, marco regulatorio y cumplimiento de la Ley, dependencia en la calidad de los cheques sustitutos, entre otros




14

Modelo Paperless – Nuestra Visión del Fraude: Pros Históricamente, la identificación de cheques fraudulentos ha sido un proceso

donde las entidades financieras pueden “tocar”, “sentir” y “mirar” cheques de baja calidad, falsificaciones y/o cheques alterados.

Con el nuevo modelo a implementar, el papel puede ser truncado en el punto donde se presenta (caja, tesorería, ATM). La captura de las imágenes en estos puntos posibilita un procesamiento temprano ante fraudes. A modo de ejemplo, en la caja y antes de que la transacción sea finalizada, se puede utilizar detección estándar de fraude como ser autorización de pago frente a una base de cheques emitidos.

“Check Kiting” es otra forma de fraude que tendería a descender debido a la disminución del tiempo de procesamiento a través del intercambio de imágenes o IRD’s (Image Replacement Document) y la eliminación del transporte físico.

La apertura de nuevas cuentas y robos de identidades usados para emitir cheques fraudulentos y retiros inmediatos, podría tender a disminuir mediante la utilización de tecnologías apropiadas que posibiliten detectar actividades sospechosas como ser “velocidad de los cheques”, números de serie fuera de rango o duplicados, depósitos sospechosos, entre otros.

Otro punto favorable sería la velocidad de procesamiento de las excepciones. Las notificaciones y toma de decisión sobre un item en particular permite tomar acciones correctivas más rápidamente. Esto reduce la exposición de las entidades financieras ante fraudes y NSF (fondos no suficientes).




15

Modelo Paperless – Nuestra Visión del Fraude: Cons

Diversas áreas sobre posibles fraudes han sido identificadas. Esto incluye: validación cliente/banco de funciones de seguridad del stock de cheques, validación cliente/banco de cheque legítimo, alteraciones/falsificaciones, verificación de firmas, identificación de duplicaciones, entre otros.

Control de la duplicación: la implementación del modelo de truncamiento y los sistemas asociados deberán estar cuidadosa y perfectamente integrados en el modelo operativo para evitar, dentro de otros, el envío duplicado de una imagen.

Preocupaciones adicionales podrían incluir: dado que las entidades no dispondrán del cheque original en papel para inspeccionar, parecería probable que los estafadores explotarán la inhabilidad de las imágenes digitales y de los cheques sustitutos de retener funciones de seguridad tradicionales, así como capturar ciertos tipos de falsificaciones y/o adulteraciones (*)

Otra forma probable en que el fraude evolucionará podría ser la extensión de la flotación (float) asociada a los cheques emitidos por aquellas entidades que aún no adopten el nuevo modelo. Esto podría impactar no solo en los que no lo adopten, sino que también sobre los diferentes actores que continuarán recibiendo documentos emitidos desde dichas entidades.


(*) Se podrán analizar temas tales como: 2D Bar Code y Digital Watermark, “Void” pantographs, etc.



16

Estrategia Integrada de Fraude

“La Gestión Integrada del Fraude permite a los usuarios romper las barreras de la operación tipo silos, en cuanto a que se puede mirar a nivel de cliente o “grupo de clientes” y no solo a nivel de cuenta o transacción. Esto hace que el personal dedicado al análisis del fraude lo haga en forma más productiva y versátil en lo que respecta a la gestión a través de líneas de productos y , además, posibilita detectar el fraude que antes no se percibía por estar mal categorizado "

Gartner Group: “MarketScope for Enterprise Fraud Management”, 2009




17

Entendemos que hay cuatro factores clave para avanzar en la agenda de prevención integrada del fraude

IntegratedFinancialCrimes

“Mitigación del Riesgo” “Hacer más con menos”

“El Cliente primero”“Vender más – en forma segura”

La integración considera la sofisticación creciente de losataques a través de los canales y la complicidad de infuyentes internos

La integración posibilita la colaboración con el desarrollo de los productos y otras disiplinas del negocio

La integración de los sistemas y procesos provee

de la entrega de valor mediante la utilización

de las capacidades existentes,

minimizando el alcance de los

cambios

La integración coordina el contacto con los

Clientes, permitiendoobtener la percepción del

Cliente sobre el valor respecto a la prevención del fraude




18

Abordar el la gestión del fraude en forma integrada es una iniciativa que requerirá de un balance entre mostrar resultados en forma rápida y la maximización del ROI a largo plazo

Ejemplos de un Roadmap exitoso

Definir componentes discretos conteniendo costos y beneficios cuantificables

Identificar enfoques de implementación candidatos con sus beneficios y ROI’s

Un enfoque balanceado tiende a favorecer cambio incremental (step by step) vs. la estrategia del big-bang.

In Year Return

-$20

-$10

$0

$10

$20

$30

$40

2010 2011 2012 2013 2014

In Y

ea

r R

etu

rn

Low

High

Low High

Approach 2

Approach 1

Horizon ROI

Approach 3




19

WG-1Identificar requerimientos y regulaciones

legales existentes relacionados con la detección, prevención y reporte de fraudes.

WG-2Inventariar las iniciativas de la industria:

• Prevenir duplicación• Posibilitar sinergias

WG-3Desarrollar modelos (taxonomy) de los

esquemas de fraude para facilitar las discuciones y proveer entendimiento común.

WG-4Utilizar los esquemas de fraude, desde la

taxonomía desarrrollar conceptos de operación y/o demostraciones limitadas de

recolección de datos y capacidades de propagación.

“Fraud Initiatives Landscape” and Taxonomy

Unathorized wire

transfers

ForgeryCheck Kiting

Counterfeiting and Alteration

Paperhanging/Ghost

Accounts

Financial Services Industry - Taxonomy

Check Fraud Cyber Fraud Branch banking/Internal

CorporatePersonalTrojansPhishing

Online Banking

Identity Theft

Teller Skimming

False Accounting

Entries

Lockbox Controls

Unauthorized Wire

Transfers Move Money from Dormant

Accounts

Lending

Daisey Chains

Asset Based

Lending

Loans to non-existent borrower

Lapping or rolling scheme

Construction Lending

False application

s/credit info

Double Pledging Collateral

Ghost Loans

Straw Borrowers

Loan Fee Fraud

“Modelo Operacional del Fraude”Arquitectura de la Solución (Negocio + TI)

IBM es miembro de BITS-FSTC y FS-ISAC, y es activo en ACFE, ABA, RMA, SIFMA, NACHA y en otras asociaciones de industria en el mercado financiero

BITS-FSTC: Finacial Services Technology Cosortium&Financial Services RoundtableRMA: Risk Management AssociationACFE: Association of Certified Fraud Examiners


SIFMA: Securities Industry and Financial Markets Association NACHA - The Electronic Payment Associatin



20

Taxonomy - Eventos de Fraude por Canal

Microsoft Excel Worksheet




21

Gestión del Fraude – Enfoque Global e Integrado

Core Banking

Transformation

CustomerCare andInsight

Paymentsand

Securities

Integrated Risk

Management

Beneficios del Framework de Industria de IBM • Soluciones pre-integradas y optimizadas para la industria bancaria• Aceleradores para implementaciones ágiles • Reuso de componentes que posibilitan reducciones de costo y riesgo • Soportan estándares de industria y tecnologías abiertas

Prioridades top de Bancos Clientes• Re-construcción de la confianza• Adquisición y Servicio de Clientes• Gestión Holística del Fraude• Reducción de Costos • Cumplimiento con las Regulaciones• Aprovechamiento de los datos




22

Por donde empezamos (ejemplo)?

Paso 1: Analizar el Estado Actual de Seguridad

Paso 2: Diseño de la Solución

Se requiere identificar posibles eficiencias y ahorros de costos, maximizando la seguridad actual?

Como aseguramos que la data crítica está protegida de los robos protegiendo la privacidad de los clientes?

Se requiere asegurar el entorno de IT (infraestructura), aseguando la continuidad operativa, cumplimiento del marco regulatorio?

Como protejo la data de los clientes y la seguridad a través de los sistemas?

Como controlo los accesos de usuarios a los sistemas?

Como protejo la data de los clientes en los diferentes portales?

Paso 3: Gestión y Mantenimiento de la Solución

Somos concientes del riesgo asociado a la evolución de las nuevas tecnologías (mobile banking, etc.)?

Necesitamos reducir riesgos relacionados con upgrades de productos, patch de sistemas o, liberamos recursos hacia otras actividades?

Se requiere simplificar costos operacionales asociados con almacenamiento, análisis y reporte de eventos de seguridad para cumplir con los requerimientos regulatorios?




23

Plataforma Integrada: Cloud Privada de Fraude – Visión Conceptual

Fraud Information Analytics – Key Platform Elements

Fraud Case Management

Identify Relate Monitor

ID/Authentication and Transaction Monitoring across Consumer LoBs

Discover Non-Obvious Relationships –

Identity / Relationship Resolution

Complex Event Processing and

discovery of Cross-LoB Fraud Events

Alert / Respond

Generate and Route Alerts based on Fraud

Event Types and Severity

ATMBanking Center

OnlineDCCWireACH

Deposit / DDA

Retail Lending, Mortgage?

Consumer Lending

Credit, DebitCard, Transaction

Monitoring

Card Services

ApplicationsClaims

LocationsProfiles

Payments (Check, ACH, Wire, etc.)

Information Aggregation & Analytics Dashboards

Integrate with existing Banks process and systems

Integrated Fraud Platform (IFP)

External interfaces delivered via IBM secure and economical

Private Compute Cloud

Example only: Needs to be developed with the Bank




24

Reucrsos Globales IBM en Seguridad

Source: IBM IP estimate, August 2011; some overlap in counts between categories may occur

Security Operations Centers

Security Research Centers

Security Solution Development CentersSecurity Solution Development Centers

9 Security operations centers

9 Security research centers

11 Security solution development labs

400Security operations analysts

520 Field security sales / tech specialists

950Professional services security consultants

3,300 Security delivery resources

IBM cuenta con las capacidades para la entrega de soluciones completas, y para gestionar el costo y la complejidad relacionados.




25

Principales conclusiones

Las Entidades Financieras están enfrentando un incremento en los niveles de sofisticación de aquellos que perpetran actos delictivos. El fraude es multifacético, diverso, y constantemente evoluciona, forzando a las instituciones financieras a ejecutar enormes esfuerzos para mantenerse un paso adelante de los criminales, proteger a sus clientes y cumplir con las crecientes regulaciones.

La clave para una reducción efectiva del riesgo es un enfoque holístico que combina tecnología con los procesos de negocio, para proactivamente identificar y evitar actividades criminales, monitoreando los sistemas en tiempo real, haciendo posible o permitiendo “atrapar” a los criminales en el “acto”.

La o las soluciones que posibiliten esto deberán estar integradas, derribando barreras internas y eliminando silos de información, proveyendo transparencia y entendimiento de cómo las actividades criminales afectan a todos los actores.

Asimismo, la solución que soporte estos esfuerzos deberá ser confiable y performante para soportar la operación continua y de misión crítica.




26

© 2011 IBM Corporation Luis María Perez Líder de Soluciones de Industria (+56 9) 97421121 Smarter...

Documents

Transcript of © 2011 IBM Corporation Luis María Perez Líder de Soluciones de Industria (+56 9) 97421121 Smarter...