哈萨克斯坦批准了银行网络安全检查新规则

哈萨克斯坦金融机构被要求至少每年进行一次网络安全状况评估。检查将涉及网上银行系统、支付服务和客户数据库。在2027年，计划将网络演练覆盖所有二级银行。

规定了哪些检查

据金融市场调控与发展署（АРРФР）称，新规由2026年10月30日第151号决议批准。

文件规定了三种网络安全检查：

• 文件检查——研究信息保护的内部指令、计划和程序。
• 功能检查——检查员工对网络事件和危机情况下协同配合的准备情况。
• 技术检查——模拟网络攻击，以评估发现威胁、应对威胁和恢复系统运行的能力。

检查将分四个阶段进行：规划、准备、实施和结果分析。技术测试将在受控的测试环境中组织，以免影响现有银行服务的运行。

三家银行通过了网络攻击测试

АРРФР已与三家二级银行共同开展了试点网络演练。

专家模拟了勒索软件对关键系统的破坏。此后，银行必须在测试平台上从备份中恢复其运行。

三家银行均成功完成了任务。监管机构确认了恢复后系统的可用性以及既定恢复指标的达成。

网络演练将每年举行

根据新规，金融机构必须每个日历年度至少一次评估网络安全状况。

检查时将考虑网络事件的发现速度、系统恢复时间、员工行动以及及时通知管理层和监管机构的情况。

2027年，АРРФР计划将网络演练覆盖所有二级银行。

如何监督消除违规行为

检查后，金融机构必须向监管机构提交关于发现的缺陷、应对结果和问题消除期限的报告。

АРРФР将能够作为观察员或共同组织者参与相关活动。所采取措施的有效性需要通过重复检查来确认。

监管机构强调，网络演练的主要目的不在于对模拟情境中的错误实施制裁，而在于发现漏洞并提高金融机构对真实网络攻击的准备程度。