ЦБ ужесточает требования к кибербезопасности для организаций, участвующих в переводе денежных средств

Банк России планирует значительно ужесточить требования к обеспечению защиты информации при осуществлении переводов денежных средств. Это следует из опубликованных 9 июля изменений в указание ЦБ №821-П. В частности, документом вводится обязательное использование криптографии класса не ниже КС1 (начальный уровень криптографической защиты) и усиленной электронной подписи, а также вводятся требования для трансграничных переводов. До сих пор банки и другие участники платежного рынка должны были соответствовать оценочному уровню доверия (ОУД4), установленному ГОСТом и показывающему текущий уровень защищенности программного обеспечения.

Также в положении ЦБ планируется расширить сферу регулирования обеспечения защиты информации за счет операций с биометрией и уточнив участие филиалов иностранных банков, а также операторов электронных платформ. Кроме того, уточняется время предоставления отчетности по инцидентам: сейчас оно формулируется как «своевременно», в новом варианте банкам дается 3 часа на информирование и до 30 дней — на расследование инцидента.

По данным Банка России, в первом квартале 2025 года было совершено 296,6 тыс. несанкционированных списаний средств со счетов граждан и компаний на общую сумму 6,9 млрд руб. При этом регулятор отмечает, что злоумышленниками было проведено 714 фишинговых атак, 70 DDoS-атак и 9 атак с использованием вредоносного программного обеспечения.

Эксперты отмечают, что изменения ужесточают требования к защите информации, особенно в части использования средств криптографической защиты информации, сертификации ПО и трансграничных переводов. По их мнению, акцент сделан на стандартизации процессов оценки защиты и на контроле со стороны Банка России.

Наиболее существенными для финсектора изменениями, на взгляд экспертов, являются новые требования к обеспечению целостности электронных сообщений и информации, связанной с биометрическими данными, для которых требуется применение усиленной электронной подписи. По словам директора по работе с финансовым сектором компании SafeTech Ирины Чуриковой, требуется применение механизмов и протоколов, обеспечивающих защиту электронных сообщений и биометрических данных от искажения, фальсификации, переадресации и несанкционированного доступа.

Максим Буйлов, Юлия Пославская, Татьяна Исакова