© 2011 IBM Corporation Luis María Perez Líder de Soluciones de Industria (+56 9) 97421121 Smarter Banking IBM Servicios Globales Gestión Integrada del.

Presentación del tema: "© 2011 IBM Corporation Luis María Perez Líder de Soluciones de Industria (+56 9) 97421121 Smarter Banking IBM Servicios Globales Gestión Integrada del."— Transcripción de la presentación:

1 © 2011 IBM Corporation Luis María Perez Líder de Soluciones de Industria (+56 9) 97421121 Smarter Banking IBM Servicios Globales Gestión Integrada del Riesgo Descubriendo el valor de una estrategia integrada contra el Fraude

2 © 2011 IBM Corporation IBM Security Solutions 2 Agenda El Desafío: Más Fraude, Más Sofisticación Smarter Planet: incremento del riesgo Los estafadores nunca duermen Visión de nuestros Clientes El Contexto: Nuevo Modelo Paperless Transición: impactos del nuevo modelo “paperless” Contexto: documentos negociables, fraudes La Respuesta: Estrategia Integrada de Fraude Estrategia Integrada y Caso de Negocio Los beneficios y desafíos de un enfoque unificado

3 © 2011 IBM Corporation IBM Security Solutions 3 El riesgo se incrementa en la medida que el mundo está más interconectado  El incremento del entorno del riesgo a elevado el rol y la importancia de la función de la seguridad  Nuevos escenarios (cloud, mobile, enterprise 2.0, Check21) introducen nuevas plataformas que requieren seguridad  Las amenazas a los activos de seguridad se han incrementado  Estándares y procedimientos relacionados con seguridad deberán tener más foco  Los consumidores demandan accesos instantáneos a la información bancaria -– online, mobile phone, iPad/touchpad, social media  El cumplimiento de la normativa es una prioridad clave para el sector financiero, pero no siempre sigue el ritmo de las nuevas tecnologías La combinación de los desafíos económicos y las tecnologías emergentes incrementan e introducen nuevos riesgos El Desafío: Más Fraude, Más Sofisticación

4 © 2011 IBM Corporation IBM Security Solutions 4 Los estafadores nunca duermen: nuevos patrones de fraude “Los criminales han percibido que pueden hacer víctimas a más personas como nunca antes… y continúan siendo crímenes multi-canal.” James Van Dyke, President of Javelin Strategy & Research, 4 February 2010 “las instituciones financieras… están reportando aumentos significativos en fraudes relacionados con transferencias de fondos, con la participación de credenciales válidas pertenecientes a empresas chicas y medianas… soluciones de EFT basadas en aplicaciones web están siendo objeto de software malicioso.” FDIC Bulletin, 21 August 2009 “Instituciones de Ahorro y Crédito para Vivienda han visto como la mayor parte de su capital ha sido “borrado” como resultado de grandes fraudes relacionados con transferencia electróinica de fondos, han sido capturados por los reguladores….” TheStreet.com, 14 August 2009 IBM, FDIC, Thestreet.com, and Javelin Strategy & Research Logos copyright their respective owners El Desafío: Más Fraude, Más Sofisticación

5 © 2011 IBM Corporation IBM Security Solutions 5 June 9… Citigroup revela expedientes robados de aproximadamente el 1% de 21 millones de usuarios May 25… Bank of America: robos de identidad resultan en pérdidas de $10M April 11… Hyundai Capital: brechas en los datos afectan a 420K clientes Los ataques y las brechas a la seguridad rápidamente adquieren audiencia global Oct 19… SBC Financial revela $17M en préstamos farudulentos 534, 232,379 de registros se han infringido desde 2005 * Fuente: 15-Jun 2011 from http://www.privacyrights.org/data-breach El Desafío: Más Fraude, Más Sofisticación

6 © 2011 IBM Corporation IBM Security Solutions 6 Hechos & Figuras  Para el sector financiero, los proyectos relacionados con Fraude contabilizan apróximadamente un promedio del 12,5% del presupuesto total de IT,  De acuerdo a nuestras estimaciones, los bancos top de USA podrían ahorrar $30-50 millones combatiendo el fraude en los canales  La velocidad de implementación es un factor crítico de éxito: los costos por atrasos promediarían $12 millones por trimestre.  Un 12% sólo en 2009, a niveles récord  11.1 Milliones de víctimas  $54 Billion en pérdidas  Más del doble de cuentas fraudulentas, con una sofisticación cada vez mayor Robo de Identidad Fuentes: Javelin Strategy & Research: “2010 Identity Fraud Study” 2010 IBM Institute for Business Value: “Unlocking the Value of an Integrated Fraud Strategy” 2009 Gartner Group: “Bank Spending on Fraud and Authentication Rises, but Not Due to Red Flag Regulations” 2009 Cost of Combating El Desafío: Más Fraude, Más Sofisticación

7 © 2011 IBM Corporation IBM Security Solutions 7 Los Bancos en el mundo entienden que la gestión del riesgo es el atributo más crítico para el valor del accionista El Desafío: Más Fraude, Más Sofisticación

8 © 2011 IBM Corporation IBM Security Solutions 8 Las prioridades de los CIO’s están directamente impactadas por problemas de seguridad Source:2011 CIO Study, Q12: “Which visionary plans do you have to increase competitiveness over the next 3 to 5 years?”(n=3,018) Business Intelligence and analytics 83% Mobility solutions 74% Virtualization 68% Cloud computing 60% Business process management 60% Risk management and compliance 58% Self-service portals 57% Collaboration and Social Networking 55% Most important visionary plan elements (Interviewed CIOs could select as many as they wanted) Key Security Risks Hacked intellectual property Data lost on phones Attacks in hypervisor Untested cloud threats Process fraud and compliance Cost of reporting and compliance Application exploits Social business risks El Desafío: Más Fraude, Más Sofisticación

9 © 2011 IBM Corporation IBM Security Solutions 9 Nuestros clientes ven una convergencia de los patrones de fraude Identity Theft Insider Fraud Online Fraud ACH/Wire Fraud  Los estafadores cada vez más comienzan por el robo de identidades.  Luego, explotan la multicanalidad o fasean los ataques.  El punto de compromiso generalmente no está en el mismo canal donde la pérdida ocurre.  Un porcentaje (incremental) de los ataques afectan a bancos regionales y empresas chicas a medianas. El Desafío: Más Fraude, Más Sofisticación

10 © 2011 IBM Corporation IBM Security Solutions 10 Identity Theft Insider Fraud Online Fraud ACH/Wire Fraud Ejemplo de Fraude en ACH Problema: Violación de Seguridad del Site Canales: Alteración de las nóminas, cambio de los números de cuenta en las remesas. Pérdida: Los lotes normales de la cámara son enviados, conteniendo las cuentas “mula”. Ejemplo de Fraude con Cheques Problema: Identidades robadas vía suplantación online (phishing) Canales: Acceso a las cuentas corrientes, robo de MICR’s desde las imágenes de los cheques, y posterior emisión de cheque falso hacia un comercio (por ej.) Pérdida: El comercio envía cheque falso para su cobro. El Desafío: Más Fraude, Más Sofisticación Ejemplo de Fraude con HELOC Problema: Credenciales online son robadas vía portal de mobile banking (motor de búsqueda / troyano) Canales: Acceso al HELOC de la víctima y adelantos de dinero. Usan motores internos para transferir a cuentas “mula”.. Pérdida: El dinero es enviado fuera del banco. Nuestros clientes ven una convergencia de los patrones de fraude HELOC: home equity line of credit

11 © 2011 IBM Corporation IBM Security Solutions 11 Entendimiento del Contexto Transición El modelo de trabajo con imágenes de cheques implicará una transición desde “procesamiento basado en papeles” hacia “procesamiento basado en imágenes”– transición que entenderíamos se acelerará durante los próximos dos a tres años en la medida que tanto los Clientes como los Bancos ganen en experiencia y confianza en el nuevo proceso “paperless”. Objetivos Básicamente, vemos los siguientes objetivos principales: Facilitar el uso de las imágenes para el procesamiento de cheques, Promover y fomentar la innovación tanto en la recepción como en el posterior procesamiento de cheques; y Mejorar la eficiencia global del sistema chileno de pagos. El Contexto: Nuevo Modelo Paperless

12 © 2011 IBM Corporation IBM Security Solutions 12 Contexto de los Documentos Negociables Cheque Sustituto El propósito primario de la legislación (en USA) era el de facilitar el intercambio electrónico de cheques autorizando un nuevo instrumento negociable llamado “cheque sustituto”. Especialmente, la regulación define “cheque sustituto” como una reproducción en papel del cheque original, conteniendo una imagen del frente y reverso del original. Truncamiento La regulación utiliza el término “truncamiento” para referirse al removimiento del cheque original. El banco responsable del truncamiento es llamado “Banco Truncante”. Banco de Re-Conversión Es definido como el banco que crea un cheque sustituto. El Contexto: Nuevo Modelo Paperless Nota: estándares ANS X9.100-140 para la creación de IRD.

13 © 2011 IBM Corporation IBM Security Solutions 13 Principales Impactos del Nuevo Modelo Tres diferentes plataformas (interoperatividad): cheques originales, cheques sustitutos, imágenes electrónicas Nuevas tecnologías y procedimientos, necesidades de inversiones y entrenamiento Ahorro de Costos: Labor, Transporte, Float Probable impacto en costos de FNS (Fondos no Suficientes) Potencial para la detección más rápida de ciertos tipos de fraudes Inexistencia de estándares para las funciones de fraude Impacto desconocido en la relación con los clientes, marco regulatorio y cumplimiento de la Ley, dependencia en la calidad de los cheques sustitutos, entre otros El Contexto: Nuevo Modelo Paperless

14 © 2011 IBM Corporation IBM Security Solutions 14 Modelo Paperless – Nuestra Visión del Fraude: Pros  Históricamente, la identificación de cheques fraudulentos ha sido un proceso donde las entidades financieras pueden “tocar”, “sentir” y “mirar” cheques de baja calidad, falsificaciones y/o cheques alterados.  Con el nuevo modelo a implementar, el papel puede ser truncado en el punto donde se presenta (caja, tesorería, ATM). La captura de las imágenes en estos puntos posibilita un procesamiento temprano ante fraudes. A modo de ejemplo, en la caja y antes de que la transacción sea finalizada, se puede utilizar detección estándar de fraude como ser autorización de pago frente a una base de cheques emitidos.  “Check Kiting” es otra forma de fraude que tendería a descender debido a la disminución del tiempo de procesamiento a través del intercambio de imágenes o IRD’s (Image Replacement Document) y la eliminación del transporte físico.  La apertura de nuevas cuentas y robos de identidades usados para emitir cheques fraudulentos y retiros inmediatos, podría tender a disminuir mediante la utilización de tecnologías apropiadas que posibiliten detectar actividades sospechosas como ser “velocidad de los cheques”, números de serie fuera de rango o duplicados, depósitos sospechosos, entre otros.  Otro punto favorable sería la velocidad de procesamiento de las excepciones. Las notificaciones y toma de decisión sobre un item en particular permite tomar acciones correctivas más rápidamente. Esto reduce la exposición de las entidades financieras ante fraudes y NSF (fondos no suficientes). El Contexto: Nuevo Modelo Paperless

15 © 2011 IBM Corporation IBM Security Solutions 15 Modelo Paperless – Nuestra Visión del Fraude: Cons  Diversas áreas sobre posibles fraudes han sido identificadas. Esto incluye: validación cliente/banco de funciones de seguridad del stock de cheques, validación cliente/banco de cheque legítimo, alteraciones/falsificaciones, verificación de firmas, identificación de duplicaciones, entre otros.  Control de la duplicación: la implementación del modelo de truncamiento y los sistemas asociados deberán estar cuidadosa y perfectamente integrados en el modelo operativo para evitar, dentro de otros, el envío duplicado de una imagen.  Preocupaciones adicionales podrían incluir: dado que las entidades no dispondrán del cheque original en papel para inspeccionar, parecería probable que los estafadores explotarán la inhabilidad de las imágenes digitales y de los cheques sustitutos de retener funciones de seguridad tradicionales, así como capturar ciertos tipos de falsificaciones y/o adulteraciones (*)  Otra forma probable en que el fraude evolucionará podría ser la extensión de la flotación (float) asociada a los cheques emitidos por aquellas entidades que aún no adopten el nuevo modelo. Esto podría impactar no solo en los que no lo adopten, sino que también sobre los diferentes actores que continuarán recibiendo documentos emitidos desde dichas entidades. El Contexto: Nuevo Modelo Paperless (*) Se podrán analizar temas tales como: 2D Bar Code y Digital Watermark, “Void” pantographs, etc.

16 © 2011 IBM Corporation IBM Security Solutions 16 Estrategia Integrada de Fraude “La Gestión Integrada del Fraude permite a los usuarios romper las barreras de la operación tipo silos, en cuanto a que se puede mirar a nivel de cliente o “grupo de clientes” y no solo a nivel de cuenta o transacción. Esto hace que el personal dedicado al análisis del fraude lo haga en forma más productiva y versátil en lo que respecta a la gestión a través de líneas de productos y, además, posibilita detectar el fraude que antes no se percibía por estar mal categorizado " Gartner Group: “MarketScope for Enterprise Fraud Management”, 2009 La Respuesta: Estrategia Integrada de Fraude

17 © 2011 IBM Corporation IBM Security Solutions 17 Entendemos que hay cuatro factores clave para avanzar en la agenda de prevención integrada del fraude Integrated Financial Crimes “Mitigación del Riesgo”“Hacer más con menos” “El Cliente primero” “Vender más – en forma segura” La integración considera la sofisticación creciente de los ataques a través de los canales y la complicidad de infuyentes internos La integración posibilita la colaboración con el desarrollo de los productos y otras disiplinas del negocio La integración de los sistemas y procesos provee de la entrega de valor mediante la utilización de las capacidades existentes, minimizando el alcance de los cambios La integración coordina el contacto con los Clientes, permitiendo obtener la percepción del Cliente sobre el valor respecto a la prevención del fraude La Respuesta: Estrategia Integrada de Fraude

18 © 2011 IBM Corporation IBM Security Solutions 18 Abordar el la gestión del fraude en forma integrada es una iniciativa que requerirá de un balance entre mostrar resultados en forma rápida y la maximización del ROI a largo plazo Ejemplos de un Roadmap exitoso  Definir componentes discretos conteniendo costos y beneficios cuantificables  Identificar enfoques de implementación candidatos con sus beneficios y ROI’s  Un enfoque balanceado tiende a favorecer cambio incremental (step by step) vs. la estrategia del big- bang. In Year Return Low High LowHigh  Approach 2  Approach 1 Horizon ROI  Approach 3 La Respuesta: Estrategia Integrada de Fraude

19 © 2011 IBM Corporation IBM Security Solutions 19 WG-1 Identificar requerimientos y regulaciones legales existentes relacionados con la detección, prevención y reporte de fraudes. WG-2 Inventariar las iniciativas de la industria: Prevenir duplicación Posibilitar sinergias WG-3 Desarrollar modelos (taxonomy) de los esquemas de fraude para facilitar las discuciones y proveer entendimiento común. WG-4 Utilizar los esquemas de fraude, desde la taxonomía desarrrollar conceptos de operación y/o demostraciones limitadas de recolección de datos y capacidades de propagación. “Fraud Initiatives Landscape” and Taxonomy “Modelo Operacional del Fraude” Arquitectura de la Solución (Negocio + TI) IBM es miembro de BITS-FSTC y FS-ISAC, y es activo en ACFE, ABA, RMA, SIFMA, NACHA y en otras asociaciones de industria en el mercado financiero BITS-FSTC: Finacial Services Technology Cosortium&Financial Services Roundtable RMA: Risk Management Association ACFE: Association of Certified Fraud Examiners La Respuesta: Estrategia Integrada de Fraude SIFMA: Securities Industry and Financial Markets Association NACHA - The Electronic Payment Associatin

20 © 2011 IBM Corporation IBM Security Solutions 20 Taxonomy - Eventos de Fraude por Canal La Respuesta: Estrategia Integrada de Fraude

21 © 2011 IBM Corporation IBM Security Solutions 21 Gestión del Fraude – Enfoque Global e Integrado Core Banking Transformation Customer Care and Insight Payments and Securities Integrated Risk Management Beneficios del Framework de Industria de IBM Soluciones pre-integradas y optimizadas para la industria bancaria Aceleradores para implementaciones ágiles Reuso de componentes que posibilitan reducciones de costo y riesgo Soportan estándares de industria y tecnologías abiertas Prioridades top de Bancos Clientes Re-construcción de la confianza Adquisición y Servicio de Clientes Gestión Holística del Fraude Reducción de Costos Cumplimiento con las Regulaciones Aprovechamiento de los datos La Respuesta: Estrategia Integrada de Fraude

22 © 2011 IBM Corporation IBM Security Solutions 22 Por donde empezamos (ejemplo)? Paso 1: Analizar el Estado Actual de Seguridad Paso 2: Diseño de la Solución Se requiere identificar posibles eficiencias y ahorros de costos, maximizando la seguridad actual? Como aseguramos que la data crítica está protegida de los robos protegiendo la privacidad de los clientes? Se requiere asegurar el entorno de IT (infraestructura), aseguando la continuidad operativa, cumplimiento del marco regulatorio? Como protejo la data de los clientes y la seguridad a través de los sistemas? Como controlo los accesos de usuarios a los sistemas? Como protejo la data de los clientes en los diferentes portales? Paso 3: Gestión y Mantenimiento de la Solución Somos concientes del riesgo asociado a la evolución de las nuevas tecnologías (mobile banking, etc.)? Necesitamos reducir riesgos relacionados con upgrades de productos, patch de sistemas o, liberamos recursos hacia otras actividades? Se requiere simplificar costos operacionales asociados con almacenamiento, análisis y reporte de eventos de seguridad para cumplir con los requerimientos regulatorios? La Respuesta: Estrategia Integrada de Fraude

23 © 2011 IBM Corporation IBM Security Solutions 23 Plataforma Integrada: Cloud Privada de Fraude – Visión Conceptual Fraud Information Analytics – Key Platform Elements Fraud Case Management IdentifyRelateMonitor ID/Authentication and Transaction Monitoring across Consumer LoBs Discover Non-Obvious Relationships – Identity / Relationship Resolution Complex Event Processing and discovery of Cross- LoB Fraud Events Alert / Respond Generate and Route Alerts based on Fraud Event Types and Severity ATM Banking Center Online DCC Wire ACH Deposit / DDA Retail Lending, Mortgage? Consumer Lending Credit, Debit Card, Transaction Monitoring Card Services Applications Claims Locations Profiles Payments (Check, ACH, Wire, etc.) Information Aggregation & Analytics Dashboards Integrate with existing Banks process and systems Integrated Fraud Platform (IFP) External interfaces delivered via IBM secure and economical Private Compute Cloud Example only: Needs to be developed with the Bank La Respuesta: Estrategia Integrada de Fraude

24 © 2011 IBM Corporation IBM Security Solutions 24 Reucrsos Globales IBM en Seguridad Source: IBM IP estimate, August 2011; some overlap in counts between categories may occur Security Operations Centers Security Research Centers Security Solution Development Centers 9 Security operations centers 9 Security research centers 11 Security solution development labs 400 Security operations analysts 520 Field security sales / tech specialists 950 Professional services security consultants 3,300 Security delivery resources IBM cuenta con las capacidades para la entrega de soluciones completas, y para gestionar el costo y la complejidad relacionados. La Respuesta: Estrategia Integrada de Fraude

25 © 2011 IBM Corporation IBM Security Solutions 25 Principales conclusiones Las Entidades Financieras están enfrentando un incremento en los niveles de sofisticación de aquellos que perpetran actos delictivos. El fraude es multifacético, diverso, y constantemente evoluciona, forzando a las instituciones financieras a ejecutar enormes esfuerzos para mantenerse un paso adelante de los criminales, proteger a sus clientes y cumplir con las crecientes regulaciones. La clave para una reducción efectiva del riesgo es un enfoque holístico que combina tecnología con los procesos de negocio, para proactivamente identificar y evitar actividades criminales, monitoreando los sistemas en tiempo real, haciendo posible o permitiendo “atrapar” a los criminales en el “acto”. La o las soluciones que posibiliten esto deberán estar integradas, derribando barreras internas y eliminando silos de información, proveyendo transparencia y entendimiento de cómo las actividades criminales afectan a todos los actores. Asimismo, la solución que soporte estos esfuerzos deberá ser confiable y performante para soportar la operación continua y de misión crítica. La Respuesta: Estrategia Integrada de Fraude

26 © 2011 IBM Corporation IBM Security Solutions 26