ЦБ ужесточает требования к кибербезопасности при платежах
Банк России планирует значительно ужесточить требования к обеспечению защиты информации при осуществлении денежных переводов. Это следует из опубликованных 9 июля изменений в указание ЦБ №821-П.
В частности, документом вводится обязательное использование криптографии класса не ниже КС1 (начальный уровень криптографической защиты) и усиленной электронной подписи, а также вводятся требования для трансграничных переводов.
До сих пор банки и другие участники платежного рынка должны были соответствовать оценочному уровню доверия (ОУД4), установленному ГОСТом и показывающему текущий уровень защищенности программного обеспечения.
Также в положении ЦБ планируется расширить сферу регулирования обеспечения защиты информации за счет операций с биометрией и уточнив участие филиалов иностранных банков, а также операторов электронных платформ. Кроме того, уточняется время предоставления отчетности по инцидентам: сейчас оно формулируется как «своевременно», в новом варианте банкам дается 3 часа на информирование и до 30 дней — на расследование инцидента.
По данным Банка России, в первом квартале 2025 года было совершено 296,6 тыс. несанкционированных списаний средств со счетов граждан и компаний на общую сумму 6,9 млрд руб. При этом регулятор отмечает, что злоумышленниками было проведено 714 фишинговых атак, 70 DDoS-атак и 9 атак с использованием вредоносного программного обеспечения.
Эксперты отмечают, что изменения ужесточают требования к защите информации, особенно в части использования средств криптографической защиты информации, сертификации ПО и трансграничных переводов. По их мнению, акцент сделан на стандартизации процессов оценки защиты и на контроле со стороны Банка России.
Наиболее существенными для финсектора изменениями, на взгляд экспертов, являются новые требования к обеспечению целостности электронных сообщений и информации, связанной с биометрическими данными, для которых требуется применение усиленной электронной подписи.
По словам директора по работе с финансовым сектором компании SafeTech Ирины Чуриковой, требуется применение механизмов и протоколов, обеспечивающих защиту электронных сообщений и биометрических данных от искажения, фальсификации, переадресации и несанкционированного доступа.
