<?xml version="1.0"?>
<rss version="2.0">
   <channel>
      <title>Dyman Associates Risk Management by Sheinne Jim</title>
      <link>https://padlet.com/sheinnejim/b8vgsug08v8d</link>
      <description></description>
      <language>en-us</language>
      <pubDate>2014-09-29 02:33:24 UTC</pubDate>
      <lastBuildDate>2014-10-08 05:36:38 UTC</lastBuildDate>
      <webMaster>hello@padlet.com</webMaster>
      <image>
         <url></url>
      </image>
      <item>
         <title>Dyman Associates Risk Management: eBay In Security Storm With Dangerous Flaw Wide Open</title>
         <author>sheinnejim</author>
         <link>https://padlet.com/sheinnejim/b8vgsug08v8d/wish/35461723</link>
         <description><![CDATA[<p>Auction site&nbsp;<a href="http://www.forbes.com/sites/leoking/2014/09/23/ebay-in-security-storm-with-dangerous-flaw-wide-open/">eBay</a>&nbsp;has found itself in the midst of another&nbsp;<a href="http://dymanassociatesprojects.com/">security</a>&nbsp;storm after apparently choosing to leave a security hole wide open – in the interests of user functionality – as customer details were being stolen.&nbsp;<br><br>It is the latest in a trio of serious&nbsp;<a href="http://dymanassociatesprojects.tumblr.com/">cybersecurity</a>&nbsp;problems at the company this year, following a&nbsp;<a href="http://dymanassociates.blogspot.nl/">database breach</a>&nbsp;in May, and the theft of details from its StubHub ticket site customers two months later.&nbsp;<br><br>eBay allows highly visual JavaScript and Flash content to be included in its listings, which is a somewhat unsurprising step – however, the company reportedly knew for months that a number of hackers were manipulating this code for malicious content, and left the ability to add the code largely as it is, in the interests of offering sellers attractive auction listings.&nbsp;<br><br>Cyber criminals have been using the technology to introduce cross-site scripting (XSS) – in which customers are led to a fake, eBay-mimicking site to enter their payment details. At least 100 exploited listings have been identified by the BBC, which reports that the problems continue even though eBay may have been aware of them since February.&nbsp;<br><br><strong>‘Not An Okay Situation’</strong><br><br>Security experts have lambasted eBay’s handling of the problems. Chris Oakley, principal security consultant at testing firm Nettitude, says he would expect “all organizations, particularly those with vast quantities of customer data to protect” to have the required, standard cross site scripting defenses in place.&nbsp;<br><br>“This hat-trick of security incidents will surely do the company no favors in terms of restoring and maintaining consumer confidence,” adds Paul Ayers, European VP at data security vendor Vormetric, and Mikko Hypponen, chief research officer at security firm F-Secure, describes the situation as “not okay”. Independent expert Graham Cluley told The Drum website that eBay was not in “proper control” of the situation, which he described as “embarrassing”.&nbsp;<br><br><strong>Solving The XSS Problem</strong><br><br>Experts have proposed a number of solutions for eBay, including simply removing the harmful code or listings, or providing its own Javascript editor in which sellers’ code can be more easily managed and controlled.&nbsp;<br><br>Dr Adrian Davis, EMEA managing director at security organization (ISC)2, tellsForbes that XSS is a well known threat, adding that “we can’t afford to tolerate relatively simple security issues like this, especially for a company as massive as eBay”.&nbsp;<br><br>Sites with the issue “need to update their current code to remove the vulnerability”, he says. “Functionality for the user would not be impaired, providing the code running in the browser and application is written properly.”&nbsp;<br><br>He warns that developers need to be much better trained to write secure code and not focus solely on usability, with “fully qualified and certified individuals, such as those holding (ISC)2’s CISSP or CSSLP” qualifications being involved “throughout the entire process”.&nbsp;<br><br>“This is an issue that must rise above the purely technical considerations and go onto the agendas of management and business leaders that are driving the development projects. Only then would we see investment in curbing incidents like these.”&nbsp;<br><br><strong>Act Much More Quickly</strong><br><br>Randy Gross, chief information officer at industry association CompTIA, says that it is “always difficult” for organizations to strike the right balance between security and convenience. But he adds: “With financial transactions, especially given recent high profile attacks, the pendulum needs to swing hard back toward security and give consumers the confidence their information is secure.”&nbsp;<br><br>Fayaz Khaki, an associate director of information security at IDC, adds in aForbes email interview that it is always difficult for large and complex sites, such as eBay, to be completely XSS free. “However, once an XSS vulnerability has been identified the organization must act quickly to remove the vulnerability”, even if it means removing a listing.&nbsp;<br><br>Active content such as Javascript, he says, should only be used where completely necessary, and regular monitoring and vulnerability assessments ought to be carried out to minimize risk.&nbsp;<br><br>“XSS vulnerabilities have existed for a number of years and really companies such as eBay, that came into existence solely as an internet organization, should be on top of these types of vulnerabilities and should have the capability to identify and mitigate these vulnerabilities very quickly.”&nbsp;<br><br>eBay said in a statement that cross site scripting risks exist across the internet, and that it has “hundreds” of engineers and security experts who collaborate with researchers to make its own site both usable and safe.&nbsp;<br><br>It added: “We have no current plans to remove active content from eBay. However, we will continue to review all site features and content in the context of the benefit they bring our customers, as well as overall site security.”&nbsp;<br><br>Criminals behind cross site scripting and phishing activity adapt their code and tactics “to try to stay ahead of the most sophisticated security systems”, it said. “Cross site scripting is not allowed on eBay and we have a range of security features designed to detect and then remove listings containing malicious code.”</p>]]></description>
         <enclosure url="" />
         <pubDate>2014-09-29 02:33:49 UTC</pubDate>
         <guid>https://padlet.com/sheinnejim/b8vgsug08v8d/wish/35461723</guid>
      </item>
      <item>
         <title>Dyman Associates Risk Management: Er dine penger trygt?</title>
         <author>sheinnejim</author>
         <link>https://padlet.com/sheinnejim/b8vgsug08v8d/wish/36541776</link>
         <description><![CDATA[<p>Er dine penger trygt? Risk Management Blindspots som koster investorer dyrt</p><p>Både i retail og institusjonelle investorer som har overlevd en eller flere økonomiske nedgangstider har lært at de ikke velge deres penger ledere utelukkende på en vist strøm av på eller over benchmark tilbake og at de trenger å inkludere underliggende risikoen for deres investeringsportefølje i formelen beregner forventet fremtidig verdi. Men kan risiko nevneren i portefølje ledelsen analytics være undervurdert eller misestimated på grunn av følgende tre industrien:</p><ol><li>den tradisjonelle syn på risiko er disaggregated</li></ol><p>Det tradisjonelle synet segregerer risiko i markedet, kreditt og operative. I de fleste organisasjoner, både offentlige selskaper som utsteder egenkapital og gjeld til investorer og privateid forvaltere som overvåke investorer penger, ulike aspekter av risiko behandles separat. For eksempel i noen typiske organisatoriske strukturer er investering offiser ansvarlig for markedsrisiko; Finansdepartementet offiseren eller CFO for kredittrisiko og COO for operasjonell risiko. Hver analyserer og syntetiserer risiko separat og rapporterer sine funn til styret eller Management Committee, forlater dem forbløffet å forstå Holistisk bildet. Men risikoen er ikke additiv eller lineær og ofte aktiveringspunkt i ett område kan forårsake usett problemer i andre områder.</p><p>Markedet, kreditt og operasjonell risiko var henger sammen i en av de mest beryktede eksemplene på risiko vanstyre, AIGS unnlatelse av å oppfylle forpliktelsene likviditet, noe som førte til $170 milliarder regjeringen bailout. AIG var sterkt involvert i å skrive CDer med eksponering på høyden angivelig nå 440 milliarder dollar (markedsrisiko), som overskrider hva firmaet kan betale i krav når MBS det forsikret misligholdt fører til en likviditet knase (kredittrisiko). I tillegg var det tegn av iboende operasjonell risiko: AIGFP var et minimalt regulert og separat hedgefond som utnyttes kredittvurdering av morselskapet å satse stort med liten reserver. Hver enkelt av disse problemene separat ikke stoppe "crash bilen" risiko, men i samle markedet, kreditt og operative risikofaktorer av AIG kunne vært dødelige&nbsp;<a href="http://dymanassociatesprojects.com/">selskapet og økonomien</a>trygt for den påfølgende regjering bailout.</p><ol><li>regulatorer nærmer industrien reaktivt</li></ol><p>Betydelig regulatoriske stramme fulgte etter 2008 boliglån krise. Ifølge kritikerne, kan regulatorer potensielt se på risiko langt mer reaktivt ved å fokusere på problemene som har allerede manifestert enn proaktivt identifisere nye risikoer som kan føre til neste business svikt. For eksempel finansiell stabilitet forglemmelse Council (FSOC) så langt utpekt tre oss finansinstitusjoner som systemisk viktige finansinstitusjoner (SIFIs)-GE, Prudential og AIG og pålagt dem økt kapitalkrav. Men betrakter FSOC ikke stor ressurs ledere skal SIFIs. Det er noen fortjener å logikken som forvaltere ikke krever som sterk av en balanse siden de ikke eier eiendeler de administrere og passere gjennom nedsiderisiko til sine investorer. Likevel kunne det hevdes at forvaltere samlet risiko og at deres investering prosesser og teknologi infrastrukturen pause systemrisiko. For eksempel administreres over en billion dollar av passiv investeringer inkludert iShares merket på Blackrocks teknologiplattform Aladdin. Det er ikke vanskelig å forutse den dramatiske effekten av en stor svikt i Blackrocks plattform USA og global økonomi.</p><ol><li>driftsrisiko er ikke tilstrekkelig representert</li></ol><p>For å&nbsp;<a href="http://dymanassociates.blogspot.nl/">administrere markedsrisiko</a>&nbsp;bedre, er de fleste investorer vel klar over grunnleggende portefølje hygiene prinsipper inkludert verdien av diversifisering, viktigheten av ser på volatilitet drevet aktivum korrelasjon, rebalansering, ustabile trekke innflytelse ved fastsetting kvalitet alpha, verdien av beskytter for inflasjon gjennom IL obligasjoner eller inflasjon-sikring eiendeler som fast eiendom. Jeg vil hevde at operasjonell risiko som stort hvis en driver ikke er større for økonomiske tap som markedsrisiko. Ifølge Phillipa oppstod, en ledende ekspert på operasjonell risiko og forfatter: "operasjonell risiko i overskriftene i de siste årene" er vanskelig å ignorere: beryktede eksempler "skjerpende svindel (Madoff, Stanford), fantastisk uautorisert handel (Société Générale og UBS), skamløs innsidehandel (Raj Rajaratnam, Nomura, SAC Capital), fantastisk teknologiske svakheter (Knight Capital, Nasdaq Facebook IPO, anonym cyber‐attacks), og hjerteskjærende eksterne hendelser (orkanertsunamis, jordskjelv, terrorangrep). " (Operasjonell risiko vellykket ramme). Mangelfullt klarte operasjonell risiko kostnader investorer, bedrifter og skattebetalere milliarder dollar: Madoffs pyramide angivelig kostnader investorer $18 milliarder og 2008 regjeringen bailout koster skattebetalerne $700 milliarder. (New York Times arkiv)</p><p>Hvis effekten av operasjonell risiko er utvilsomt stor, hvorfor ellers kunnskapsrike investorer ofte disaggregate eller selv helt glipp operasjonell risiko fra det generelle forventet verdi analyseverktøyet i sin portefølje og utilsiktet godta større risiko enn de er komfortable med? Del av problemet stammer fra mangel på en etablert metode for å tydelig kvantifisere operasjonell risiko og integrere den i porteføljeforvaltning.</p><p>Tenk deg å lage en samlet industri-sponset poengsum for operasjonell risiko lik en kreditt score eller Moody's bond rangeringer, som tar i betraktning de grunnleggende elementene i operasjonell risiko-folk, prosess, teknologi og eksterne hendelser og kvantifiserer dem. Den score ville da være klart tilgjengelig for investorer avkastning og markedsrisiko av porteføljen fører til en langt mer nøyaktig verdivurdering. Betydelige fremskritt mot ansvarlighet og åpenhet kan gjøres hvis operasjonell risiko skulle bli avmystifisert.</p><p>Hvordan kan investorer gjøre tryggere investeringer?</p><p>Hva kan investorene gjør i et miljø av forvirrende regelverk og begrenset åpenhet rundt operasjonell risiko? For kan investorer heve deres bevissthet og ansette alternativer til adresse informasjon asymmetri på følgende måter:</p><ol><li>Velg forvaltere som demonstrerer forpliktelse til operasjonell risiko</li></ol><p>Sikkert noen forvaltere forstår og er villig til å investere i&nbsp;<a href="http://dymanassociatesprojects.tumblr.com/">drifts kvalitet og risikostyring</a>. For eksempel i 2014 gjennomgang av Asset Management bransjen gir the Boston Consulting Group en oversikt over skyggen modellen der en forvalters kan bruke to motparter å administrere midten og tilbake office. I Bridgewater Associates ledet co gjennomføringen av slik modell der firmaet som mål å skape større åpenhet, switchability og bo i forkant av regulerende ved å outsource sin bak og midten kontor både BNY Mellon og Northern Trust. FundFire publisert en artikkel, Bridgewater deler industrien med siste avtalen, som beskriver fordelene og åpne spørsmål om modellen. Det er fortsatt tidlig å si om bransjen vil omfavne denne modellen videre. På samme måte for å få en driftskvalitet kant, investert citadellet og Tudor i en spesialbygd gjennomgående behandlingssystemer som integrerer handelsplattformen med etter handel prosesser å skape større åpenhet og pålitelighet. Begge ønsker å kommersialisere sine teknologier og gjøre disse tilgjengelige for mindre penger ledere som ikke kunne ha råd til store interne teknologi utviklingen lag.</p><p><a href="http://www.forbes.com/sites/katinastefanova/2014/09/18/is-your-money-safe-risk-management-blindspots-that-cost-investors-dearly/">Mer om artikkelen</a></p>]]></description>
         <enclosure url="" />
         <pubDate>2014-10-08 05:34:36 UTC</pubDate>
         <guid>https://padlet.com/sheinnejim/b8vgsug08v8d/wish/36541776</guid>
      </item>
   </channel>
</rss>
