В ЦБ оценили планы банков по восстановлению сервисов на фоне атак на ЦОДы

Банк России готов корректировать подход к параметрам восстановления инфраструктуры банков в случае сбоев их работы из-за атак на дата-центры, если это будет необходимо, сообщила глава ЦБ Эльвира Набиуллина. Так она прокомментировала, насколько устойчива банковская и платежная инфраструктура к возможным атакам беспилотников на центры обработки данных (ЦОДы).

«Что касается готовности и устойчивости банковской и в целом платежной инфраструктуры в связи с атаками, то у нас достаточно жесткие требования к обеспечению безопасности, требования по многократному резервированию инфраструктуры, к тому, что данные должны храниться в разных местах», — заявила она в ходе пресс-конференции.

«Все (финансовые компании — РБК.) должны иметь план восстановления, который рассчитан на часы. И у каждого банка есть свой план восстановления. Мы в постоянном контакте с ними», — добавила Набиуллина. «При необходимости готовы будем, конечно, эти планы корректировать. Но все меры принимаются для защиты инфраструктуры и, если что-то произойдет, — для быстрого восстановления всех сервисов», — отметила глава ЦБ.

Для российских банков установлены нормативы восстановления доступа к официальным сайтам и каналам дистанционного обслуживания клиентов. Согласно постановлению Банка России № 850-П, срок восстановления зависит от размера активов и типа лицензии кредитной организации. Так, крупные банки с активами от 500 млрд руб. должны восстановить ключевые услуги не позднее чем через два часа после сбоя независимо от его причины. К таким услугам относятся переводы, доступ к счетам и вкладам, мобильный и интернет-банк.

Для банков с универсальной лицензией и активами менее 500 млрд руб. этот срок составляет четыре часа, с базовой лицензией — шесть часов. В платежной системе Банка России сроки восстановления также зависят от вида сервиса: для срочных и несрочных переводов предусмотрено не более 48 часов, для Системы быстрых платежей (СБП) — не более двух часов.

Также регулятор задает рамочные требования к системе управления операционным риском и обеспечению непрерывности деятельности: согласно положениям № 716-П и № 787-П, кредитная организация обязана самостоятельно выявить критически важные бизнес-процессы и утвердить для них целевые показатели времени восстановления (RTO) и точки восстановления данных (RPO).

О сбоях банки обязаны уведомлять Банк России. За нарушение установленных сроков регулятор может оштрафовать кредитную организацию или ограничить ее операции. При этом меры воздействия за несоблюдение требований по восстановлению работы банков начали применять в начале 2025 года с учетом действовавшего тогда уровня технологических угроз, обращал внимание ранее старший директор по рейтингам кредитных институтов «Эксперт РА» Иван Уклеин. «В случае изменения масштаба атак на финансовую инфраструктуру нельзя исключать ввод временных льгот по данной части со стороны регулятора», — не исключал он.

Материал дополняется