Финансовые организации Казахстана будут не реже одного раза в год проводить мероприятия по оценке состояния кибербезопасности и готовности реагировать на инциденты информационной безопасности. Проверки затронут внутренние процедуры, работу сотрудников и устойчивость критически важных информационных систем, включая мобильный и интернет-банкинг, платежную инфраструктуру и базы данных клиентов. В 2027 году планируется охватить все банки второго уровня, передает inbusiness.kz со ссылкой на агентство РК по регулированию и развитию финансового рынка.
Новые требования утверждены постановлением правления агентства Республики Казахстан по регулированию и развитию финансового рынка от 30 октября 2026 года № 151. Документ устанавливает правила проведения финансовыми организациями мероприятий по оценке состояния кибербезопасности и реагированию на инциденты информационной безопасности.
Документ предусматривает три вида проверочных мероприятий.
- Первый — документальная оценка, в рамках которой будут изучать внутренние документы финансовых организаций, планы и процедуры обеспечения информационной безопасности. Это позволит определить, насколько формализованы процессы защиты данных и предусмотрены ли необходимые алгоритмы действий при возникновении угроз.
- Второй вид — функциональная оценка. Она направлена на проверку готовности сотрудников и подразделений к реагированию на инциденты, а также способности взаимодействовать между собой в кризисных ситуациях. Важно не только наличие утвержденных инструкций, но и то, насколько эффективно персонал может применять их на практике.
- Третий вид — технические имитационные мероприятия. Они предполагают моделирование киберугроз для проверки возможностей обнаружения инцидентов, реагирования на них и восстановления критически важных информационных активов.
"Сценарии таких проверок будут формироваться, с учетом актуальных киберугроз, существенных технологических изменений и результатов предыдущих мероприятий. В зависимости от выбранного сценария, под проверку могут попасть мобильный и интернет-банкинг, платежные системы, клиентские базы данных и другие важные информационные системы", - уточнили в агентстве.
Каждое мероприятие будет проходить в четыре этапа: планирование, подготовка, проведение и анализ результатов. По итогам специалисты должны определить выявленные недостатки и разработать необходимые корректирующие меры.
"Особое внимание уделят времени обнаружения инцидентов и восстановления информационных систем, эффективности взаимодействия подразделений, соблюдению процедур реагирования и своевременному информированию руководства и регулятора. Также будет оцениваться обоснованность управленческих решений, принимаемых в кризисных ситуациях", - дополнили в АРРФР.
Техническое моделирование предусмотрено проводить в контролируемой непродуктивной среде. Это означает, что проверка не должна нарушать непрерывность функционирования действующих информационных систем финансовой организации.
До утверждения новых требований агентство провело пилотные киберучения с участием трех банков второго уровня. В ходе испытаний моделировалось повреждение критически важного информационного актива в результате воздействия программы-шифровальщика. После этого участники должны были восстановить систему из резервной копии на тестовом стенде.
"Все три банка успешно восстановили проверяемые системы. По итогам учений была подтверждена работоспособность восстановленных систем и достижение целевых показателей восстановления", - рассказали в вгентстве.
Теперь подобные мероприятия станут регулярными. В соответствии с утвержденными правилами, финансовые организации должны будут проводить оценку состояния кибербезопасности не реже одного раза в календарный год. В 2027 году планируется распространить проверки на все банки второго уровня.
"В процессе подготовки и проведения мероприятий агентство сможет выступать как наблюдателем, так и соорганизатором. По результатам проверок финансовые организации обязаны представить регулятору отчет с информацией о выявленных недостатках, показателях реагирования, необходимых корректирующих мерах и сроках их реализации", - предупредил регулятор.
При этом требования не ограничиваются составлением планов по устранению проблем. Финансовые организации должны будут подтвердить эффективность принятых решений посредством повторной проверки. Таким образом, формируется постоянный цикл повышения киберустойчивости: моделирование угроз, оценка готовности, выявление слабых мест, устранение недостатков и повторное тестирование.
Полученные результаты агентство будет использовать для выявления системных рисков в финансовом секторе и совершенствования надзорных подходов.
При этом основная задача новых киберучений — не наказание банков за условные инциденты, смоделированные во время проверок, а выявление уязвимостей и повышение реальной готовности финансовых организаций к кибератакам. Для клиентов это имеет практическое значение: устойчивость банковских систем напрямую связана с сохранностью данных, доступностью платежей и бесперебойной работой цифровых финансовых сервисов.
С текстом постановления правления агентства можно ознакомиться на официальном интернет-ресурсе агентства.
Читайте по теме:
Банкам РК хотят разрешить активнее финансировать крупные инвестпроекты
