Финансовые организации Казахстана обязали проводить оценку состояния кибербезопасности не реже одного раза в год. Проверки затронут системы интернет-банкинга, платежные сервисы и базы данных клиентов. В 2027 году киберучениями планируют охватить все банки второго уровня.
КАКИЕ ПРОВЕРКИ ПРЕДУСМОТРЕНЫ
По данным агентства по регулированию и развитию финансового рынка (АРРФР), новые правила утверждены постановлением от 30 октября 2026 года №151.
Документ предусматривает три вида проверок кибербезопасности:
- Документальные — изучение внутренних инструкций, планов и процедур защиты информации.
- Функциональные — проверка готовности сотрудников к киберинцидентам и взаимодействию в кризисных ситуациях.
- Технические — моделирование кибератак для оценки способности обнаруживать угрозы, реагировать на них и восстанавливать работу систем.
Проверки будут проходить в четыре этапа: планирование, подготовка, проведение и анализ результатов. Технические испытания организуют в контролируемой тестовой среде, чтобы не нарушать работу действующих банковских сервисов.
ТРИ БАНКА ПРОШЛИ ИСПЫТАНИЕ КИБЕРАТАКОЙ
АРРФР уже провело пилотные киберучения с участием трёх банков второго уровня.
Специалисты смоделировали повреждение критически важной системы программой-шифровальщиком. После этого банки должны были восстановить её работу из резервных копий на тестовом стенде.
Все три банка успешно справились с заданием. Регулятор подтвердил работоспособность восстановленных систем и достижение установленных показателей восстановления.
КИБЕРУЧЕНИЯ СТАНУТ ЕЖЕГОДНЫМИ
Согласно новым правилам, финансовые организации обязаны оценивать состояние кибербезопасности не реже одного раза в календарный год.
При проверках будут учитывать скорость обнаружения киберинцидентов, время восстановления систем, действия сотрудников и своевременность уведомления руководства и регулятора.
В 2027 году АРРФР намерено охватить киберучениями все банки второго уровня.
КАК ПРОКОНТРОЛИРУЮТ УСТРАНЕНИЕ НАРУШЕНИЙ
После проверок финансовые организации должны представлять регулятору отчёты о выявленных недостатках, результатах реагирования и сроках устранения проблем.
АРРФР сможет участвовать в мероприятиях в качестве наблюдателя или соорганизатора. Эффективность принятых мер потребуется подтверждать повторными проверками.
Регулятор подчёркивает, что основная цель киберучений заключается не в применении санкций за ошибки в смоделированных ситуациях, а в выявлении уязвимостей и повышении готовности финансовых организаций к реальным кибератакам.
