Центральный Банк Российской Федерации рассматривает возможность пересмотра установленных нормативов по восстановлению работы финансовой инфраструктуры, если текущие требования окажутся недостаточными перед лицом новых технологических угроз. О готовности регулятора адаптировать параметры устойчивости банковского сектора к возможным атакам на центры обработки данных (ЦОДы) сообщила глава Банка России Эльвира Набиуллина.
В ходе пресс-конференции Эльвира Набиуллина подчеркнула, что защита платежной системы и банковской среды строится на принципах жесткой безопасности и многократного резервирования. Ключевым фактором устойчивости является географическое распределение данных: информация должна храниться в различных локациях, чтобы исключить ее потерю при физическом воздействии на конкретный объект. По словам главы Центробанка, каждая финансовая организация обязана иметь четкий алгоритм действий, позволяющий вернуть сервисы в строй в течение нескольких часов. Регулятор поддерживает непрерывную коммуникацию с кредитными организациями и готов вносить правки в существующие планы восстановления, если ситуация потребует оперативного реагирования.
На сегодняшний день регламенты работы банков жестко привязаны к их масштабам и типам лицензий. В соответствии с постановлением Банка России № 850-П, скорость возвращения к работе критически важных каналов дистанционного обслуживания зависит от объема активов организации. Так, крупнейшие игроки рынка, чьи активы превышают 500 млрд рублей, обязаны возобновить работу таких сервисов, как мобильный и интернет-банк, доступ к вкладам и возможность совершать переводы, максимум через два часа после возникновения инцидента. Для банков с универсальной лицензией, имеющих менее 500 млрд рублей в активах, этот временной лимит составляет четыре часа, а для организаций с базовой лицензией — шесть часов.
Специфические требования предъявляются и к платежным операциям внутри системы Банка России. Если для работы Системы быстрых платежей (СБП) предельный срок восстановления ограничен двумя часами, то на проведение срочных и несрочных переводов отводится до 48 часов.
Помимо временных рамок, регулятор через положения № 716-П и № 787-П контролирует саму систему управления операционными рисками. Кредитные организации обязаны самостоятельно определять наиболее значимые бизнес-процессы и устанавливать для них конкретные целевые показатели: время восстановления (RTO) и точку восстановления данных (RPO). О любых технических сбоях банки обязаны незамедлительно информировать Банк России.
Несоблюдение этих правил влечет за собой санкции — от денежных штрафов до ограничения операционной деятельности. Как отметил старший директор по рейтингам кредитных институтов агентства «Эксперт РА» Иван Уклеин:
Практика применения мер воздействия за нарушение сроков восстановления началась в начале 2025 года, исходя из актуального тогда уровня угроз.
При этом эксперт допустил, что при резком росте интенсивности атак на финансовую инфраструктуру регулятор может пойти на введение временных льгот для банков.
