Проверят не только документы
Агентство по регулированию и развитию финансового рынка утвердило новые правила оценки кибербезопасности финансовых организаций. Теперь проверки будут проходить по трём направлениям: документальному, функциональному и техническому.
В первом случае регулятор оценит внутренние документы банков, планы и процедуры информационной безопасности. Во втором – готовность сотрудников и подразделений реагировать на киберинциденты. Третий этап предполагает имитацию кибератак, чтобы проверить, насколько хорошо банк умеет обнаруживать угрозы, устранять последствия и восстанавливать работу систем.
Сценарии проверок будут учитывать актуальные киберугрозы, технологические изменения и результаты предыдущих учений. Под проверку могут попасть мобильный и интернет-банкинг, платёжные системы, клиентские базы данных и другие критически важные системы.
"Мероприятия включают четыре этапа: планирование, подготовку, проведение и анализ результатов. В результате определяются выявленные недостатки и необходимые корректирующие меры", – уточнили в АРРФР.
Как будут моделировать атаки хакеров
Для технических испытаний банки должны использовать контролируемую среду, которая не связана с действующими системами. Это позволит проверять защиту без риска остановить работу банковских сервисов. Во время проверки специалисты оценят, сколько времени требуется для обнаружения атаки и восстановления систем, насколько быстро подразделения обмениваются информацией и соблюдают ли сотрудники инструкции при возникновении угрозы.
"Техническое моделирование проводится в контролируемой непродуктивной среде без нарушения непрерывности функционирования действующих информационных систем", – указано в правилах.
Три банка уже проверили на вирусы-вымогатели
АРРФР провело пилотные киберучения с участием трёх банков второго уровня. Во время испытаний специалисты смоделировали атаку программы-шифровальщика, которая повредила критически важную информационную систему. Затем банки должны были восстановить её из резервной копии на тестовом стенде. Все три участника справились с задачей.
"Все три банка успешно восстановили проверяемые системы. Подтверждены работоспособность восстановленных систем и достижение целевых показателей восстановления", – сообщили в агентстве.
Согласно новым правилам, финансовые организации должны проводить оценку кибербезопасности не реже одного раза в календарный год. В 2027 году АРРФР планирует охватить все банки второго уровня. Регулятор также будет участвовать в проверках в качестве наблюдателя или соорганизатора.
Ищут слабые места
После испытаний финансовые организации должны направлять агентству отчёты с выявленными недостатками, показателями реагирования, планами исправления проблем и сроками их устранения.
При этом одного отчёта будет недостаточно. Банкам придётся повторно проверять системы, чтобы подтвердить, что они действительно устранили обнаруженные уязвимости.
"Основная цель киберучений – не применение санкций по результатам моделируемых ситуаций, а выявление слабых мест и повышение фактической готовности финансовых организаций к реальным киберинцидентам", – подчеркнули в АРРФР.
Результаты испытаний агентство будет использовать для выявления системных рисков в финансовом секторе и совершенствования надзорных подходов.
Ранее Qumash.kz рассказывал, как мошенники атакуют казахстанцев, используя банковскую инфраструктуру. Один из ярких примеров – история алматинки Зухры Валиевой, на которую без её ведома мошенники открыли счета и отмыли через них 36 млн теңге. Мы писали также о множестве случаев открытия дропперских счетов в Home Credit Bank.
поиск