Management of Operational Risks related to Information Security in Financial Organizations

4.2.2.3  

Structure of Organization 

Respondent said  in their organization there  is  no separate department  for managing operational 

risks.  All  risks  and  threats  related  to  information  are  managed  by  our  information  technology 

department. 

4.2.2.4  

Operational Risks and Threats 

CDC  claims  that  basically  there  are  two  dimensions  of  threats  and  risks,  magnitude  and 

seriousness.  It  is  rather  difficult  to  rank  these  dimensions,  because  all  are  considered  very 

important.  Organizations  must  aware  of  both  manual  (personal)  and  technical  (system)  risks 

because  both  are  important  areas  and  these  risks  can  cause  serious  affects  on  business. 

---

33 

 

Inappropriate use of information by people or stealing company specific information constitutes 

a risk.  

According  to  the  question  about  information  leakage,  CDC  signed  several  agreements  and 

contracts  with  its  business  partners  (vendors,  employees)  regarding  to  the  confidentiality 

commitments.  If  any  employee  resigns  from  the  company,  according  to  company  policy, 

contracts and agreements exist for the employees to protect leakage of information. 

CDC  manages  monitoring arrangements  to maintain all emails,  internet  and all related services 

that it provides,  and the concerned department will apply these  monitoring arrangements to all 

users. Daily internal and external communications via email or instant messaging are monitored 

through  different  software‟s.  It  is  to  be  mentioned  here  that  the  company  does  not  routinely 

inspect  or  monitor  email  messages  but  does  reserve  the  right  to  do  so  under  the  prescribed 

conditions defined in the company‟s information security policy. These types of rules are defined 

in company access control policy i.e. email usage policy and internet usage policy etc. and it is 

the responsibility of managers of the concerned department to implement policy rules.