В ЦБ оценили планы банков по восстановлению сервисов на фоне атак на ЦОДы

Глава Банка России Эльвира Набиуллина заявила, что регулятор готов корректировать параметры восстановления банковской инфраструктуры после сбоев, вызванных атаками на дата-центры, если это потребуется. Комментарий прозвучал в ответ на вопрос об устойчивости банковской и платежной систем к возможным атакам беспилотников на центры обработки данных (ЦОДы).

По словам Набиуллиной, к обеспечению безопасности предъявляются жесткие требования, включая многократное резервирование инфраструктуры и хранение данных в разных местах. Все финансовые компании обязаны иметь план восстановления, рассчитанный на часы, и у каждого банка такой план есть. Регулятор находится в постоянном контакте с кредитными организациями и при необходимости скорректирует эти планы. Все меры принимаются для защиты инфраструктуры и быстрого восстановления сервисов в случае инцидентов.

Для российских банков установлены нормативы восстановления доступа к официальным сайтам и каналам дистанционного обслуживания. Согласно постановлению Банка России № 850-П, срок зависит от размера активов и типа лицензии. Крупные банки с активами от 500 млрд руб. должны восстановить ключевые услуги — переводы, доступ к счетам и вкладам, мобильный и интернет-банк — не позднее чем через два часа после сбоя независимо от его причины. Для банков с универсальной лицензией и активами менее 500 млрд руб. срок составляет четыре часа, с базовой лицензией — шесть часов. В платежной системе Банка России для срочных и несрочных переводов предусмотрено не более 48 часов, для Системы быстрых платежей (СБП) — не более двух часов.

Регулятор также задает рамочные требования к управлению операционным риском и обеспечению непрерывности деятельности. Согласно положениям № 716-П и № 787-П, кредитная организация обязана самостоятельно выявить критически важные бизнес-процессы и утвердить для них целевые показатели времени восстановления (RTO) и точки восстановления данных (RPO). О сбоях банки обязаны уведомлять Банк России; за нарушение сроков регулятор может оштрафовать организацию или ограничить ее операции.

Меры воздействия за несоблюдение требований по восстановлению работы банков начали применять в начале 2025 года с учетом действовавшего тогда уровня технологических угроз, отмечал ранее старший директор по рейтингам кредитных институтов «Эксперт РА» Иван Уклеин. Он не исключал ввода временных льгот по этой части со стороны регулятора в случае изменения масштаба атак на финансовую инфраструктуру. Материал дополняется.