Казахстанские банки обяжут сообщать о кибератаках в течение суток
Под новые требования попадут не только взломы, но и сбои, незаконные переводы и уязвимости в системах. Часть сведений регулятор будет получать автоматически.
Банки Казахстана должны будут в течение 24 часов сообщать в Агентство по регулированию и развитию финансового рынка (АРРФР) о хакерских атаках, незаконном доступе к системам и других инцидентах информационной безопасности. При этом сутки будут отсчитывать с момента обнаружения проблемы, а не самой атаки.
О каких случаях идёт речь
В первую очередь о попытках нарушить работу банковских систем или получить к ним доступ без разрешения. В перечень вошли атаки типа «отказ в обслуживании», из-за которых пользователи не могут воспользоваться цифровыми сервисами или сталкиваются с трудностями при подключении к ним, а также заражение серверов вредоносными программами.
Кроме того, банки должны информировать АРРФР о сбоях в системах идентификации клиентов и случаях, когда злоумышленники используют уязвимости программного обеспечения. Отдельно в постановлении упоминается:
«Совершение несанкционированного перевода денег вследствие нарушения контролей информационной безопасности».
При этом сообщать придётся и о других инцидентах информационной безопасности, если из-за них цифровые системы банка простаивают более часа.
Ещё одно требование касается уязвимостей, которые позволяют получить доступ к банковской инфраструктуре извне. Даже если проблему обнаружили сторонние специалисты, банк должен передать сведения регулятору в течение 24 часов.
Если система не работает?
Для уведомлений банки смогут использовать специальную цифровую систему АРРФР или защищённый электронный канал передачи данных. Но если оба способа будут недоступны, представители банка должны будут связаться с регулятором по телефону. Передавать информацию в таком случае нужно с номера банка на контактный номер уполномоченного органа:
«С дублированием на бумажном носителе официальным письмом банка, организации», — говорится в постановлении.
Впрочем, не все сведения банки будут отправлять вручную. Информация которая могжет указывать на проблемы с защитой цифровых систем, должна поступать в АРРФР автоматически:
«Сведения о нарушениях, сбоях в цифровых системах предоставляются в автоматизированном режиме путем передачи из систем информационной безопасности или систем банка, организации».
Для этого банковские системы будут собирать и анализировать данные о происходящем в цифровой инфраструктуре в реальном времени.
Кого коснутся новые правила
Требования распространили на казахстанские банки, филиалы иностранных банков, работающих в стране, а также организации, которые проводят отдельные банковские операции.
При этом отдельный порядок предусмотрели для организаций, входящих в структуру Нацбанка, и компаний, в которых ему принадлежат не менее 50% голосующих акций. Они смогут передавать сведения о сбоях и уязвимостях через цифровые системы Национального банка, подключённые к системе АРРФР.
Постановление вступит в силу через десять календарных дней после первого официального опубликования.
Кибератаки уже отрепетировали
6 ноября в АРРФР сообщили об утверждении других правил, по которым финансовые организации должны не реже одного раза в год проверять свою готовность к киберугрозам. Регулятор уже провёл пилотные учения с участием трёх банков, смоделировав повреждение важной информационной системы программой-шифровальщиком. В 2027 году подобные проверки планируют провести во всех банках второго уровня.
