Банк России готов пересмотреть установленные нормативы по возвращению к работе финансовой инфраструктуры, если масштаб кибератак или физических угроз центрам обработки данных (ЦОД) потребует корректировки текущих подходов. Об этом заявила председатель Центрального банка Эльвира Набиуллина, комментируя вопросы устойчивости платежных систем и банковского сектора к возможным атакам беспилотников на объекты хранения данных.
По словам главы регулятора, современная финансовая система опирается на предельно строгие стандарты безопасности. Это включает в себя обязательное многократное резервирование всех критических узлов и распределенное хранение информации в территориально удаленных друг от друга локациях. Эльвира Набиуллина подчеркнула, что каждая финансовая организация обязана располагать индивидуальным планом действий на случай сбоев, рассчитанным на максимально короткий промежуток времени — буквально на несколько часов. Регулятор поддерживает непрерывную связь с банками и, при возникновении необходимости, внесет правки в существующие протоколы восстановления сервисов.
На данный момент жесткость требований к скорости реанимации цифровых услуг напрямую зависит от масштаба кредитной организации. Согласно постановлению Банка России № 850-П, установлены следующие временные рамки:
— Крупнейшие игроки рынка, чей объем активов превышает 500 млрд рублей, обязаны возобновить работу ключевых сервисов (мобильный и интернет-банкинг, доступ к счетам и вкладам, проведение переводов) в течение максимум двух часов после инцидента, вне зависимости от его природы.
— Для банков с универсальной лицензией и активами менее 500 млрд рублей допустимый период восстановления составляет четыре часа.
— Организации, работающие на базе базовой лицензии, имеют на это шесть часов.
Что касается функционирования платежных систем под управлением регулятора, здесь действуют свои регламенты. Так, для Системы быстрых платежей (СБП) критический порог составляет два часа, тогда как на проведение срочных и несрочных переводов отводится до 48 часов.
Помимо временных лимитов, Банк России через положения № 716-П и № 787-П обязывает банки самостоятельно классифицировать наиболее важные бизнес-процессы. Для каждого такого процесса кредитная организация должна утвердить конкретные параметры: целевое время восстановления (RTO) и допустимый объем потери данных (RPO).
Контроль за соблюдением этих правил является строгим: о любом сбое банки обязаны незамедлительно сообщать в Центральный банк. За несоблюдение установленных графиков регулятор наделен полномочиями накладывать штрафы или вводить ограничения на проведение операций. Как отметил Иван Уклеин, старший директор по рейтингам кредитных институтов агентства «Эксперт РА», санкции за нарушение протоколов восстановления начали активно применяться с начала 2025 года, исходя из текущей динамики технологических угроз. Однако эксперт допускает, что в случае резкого изменения характера или интенсивности атак на финансовый сектор, Банк России может пойти на введение временных послаблений для участников рынка.
