ЦБ разработал требования к киберустойчивости банков

24.08.2021

Центробанк опубликовал для общественного обсуждения проект положения Банка России «Об обязательных для кредитных организаций требованиях к операционной надёжности (киберустойчивости) при осуществлении банковской деятельности в целях обеспечения непрерывности оказания банковских услуг».

Проект разработан на основе имеющегося международного опыта, сказано в пояснительной записке.

Документ устанавливает:
 

• требования по определению и обеспечению контроля значений показателей операционной надёжности (допустимого времени простоя и (или) деградации технологических процессов, допустимой доли деградации технологических процессов, допустимого суммарного времени простоя и (или) деградации технологического процесса, показателя соблюдения режима работы (функционирования) технологического процесса);
  

• требования в рамках процессов обеспечения операционной надежности (идентификация критичной архитектуры, управление изменениями, управление конфигурациями и уязвимостями, выявление, регистрация, реагирование на инциденты, связанные с реализацией информационных угроз, и восстановление после их реализации, взаимодействие с поставщиками услуг, планирование непрерывности деятельности и тестирование операционной надёжности технологических процессов, управление риском внутреннего нарушителя, обеспечение осведомлённости об актуальных информационных угрозах);
  

• требования к описанию деятельности в целях реализации процессов обеспечения операционной надёжности;
  

• требования к информированию Банка России о выявленных инцидентах операционной надёжности.
  

 
Максимальное время простоя онлайн-сервисов дистанционного обслуживания должно быть не более двух часов. Столько же времени даётся на устранение проблем в процессе привлечения средств физлиц и юрлиц, переводов средств физлиц и открытие счетов клиентов.

Регулятор обяжет крупные банки с активами более 500 миллиардов рублей реализовывать меры противодействия целевым компьютерным атакам, моделировать сценарии компьютерных атак, проводить плановые учения и оперативно взаимодействовать с Банком России.

Предполагается, что документ вступит в силу с 1 октября 2022 года.

Источник