В Казахстане вводят новые требования к оценке состояния кибербезопасности финансовых организаций. Агентство по регулированию и развитию финансового рынка (АРРФР) утвердило правила, предусматривающие регулярное моделирование кибератак, проверку готовности банков к инцидентам информационной безопасности и контроль устранения выявленных недостатков.

Соответствующее постановление правления АРРФР №151 принято 30 октября 2026 года. Документ разработан в рамках реализации закона от 23 июля 2026 года, направленного на совершенствование и цифровизацию финансового рынка.

Какие проверки будут проводить

Новые правила предусматривают три вида мероприятий по оценке кибербезопасности:

• Документальная оценка — анализ внутренних документов, планов и процедур, регулирующих информационную безопасность.

• Функциональная проверка — оценка готовности сотрудников и подразделений к реагированию на инциденты и взаимодействию в кризисных ситуациях.

• Техническое моделирование — имитация киберугроз для проверки способности организации обнаруживать атаки, реагировать на них и восстанавливать критически важные информационные системы.

Сценарии проверок будут формироваться с учетом актуальных киберугроз, технологических изменений и результатов предыдущих мероприятий. В зависимости от выбранного сценария тестированию могут подвергаться мобильный и интернет-банкинг, платежные системы, клиентские базы данных и другие важные цифровые сервисы.

Каждое мероприятие будет включать четыре этапа: планирование, подготовку, проведение и анализ результатов. По итогам определят уязвимости и необходимые меры по их устранению.

В частности, проверяющие будут оценивать скорость обнаружения инцидентов и восстановления систем, эффективность взаимодействия подразделений, соблюдение процедур реагирования, своевременность информирования руководства и регулятора, а также обоснованность принимаемых решений.

При этом техническое моделирование будет проводиться в контролируемой тестовой среде, не затрагивающей действующие информационные системы и не нарушающей их работу.

Как прошли первые киберучения

До утверждения новых требований Агентство провело пилотные киберучения с участием трех банков второго уровня.

В рамках испытаний моделировалась ситуация, при которой критически важный информационный актив подвергался воздействию программы-шифровальщика. После этого участники должны были восстановить систему из резервной копии на тестовом стенде.

Все три банка успешно справились с задачей. Работоспособность восстановленных систем была подтверждена, а целевые показатели восстановления достигнуты.

Проверки станут ежегодными

Согласно новым правилам, финансовые организации должны будут проводить мероприятия по оценке состояния кибербезопасности не реже одного раза в календарный год.

В 2027 году АРРФР планирует охватить такими проверками все банки второго уровня.

Регулятор сможет участвовать в мероприятиях в качестве наблюдателя или соорганизатора. По итогам проверок финансовые организации обязаны направлять в Агентство отчеты с информацией об обнаруженных недостатках, показателях реагирования, корректирующих мерах и сроках их реализации.

Устранение проблем не ограничится подготовкой соответствующих планов. Эффективность принятых мер необходимо будет подтверждать повторными проверками.

Таким образом, регулятор намерен внедрить постоянный механизм повышения киберустойчивости финансового сектора: от моделирования угроз и выявления слабых мест до устранения недостатков и повторной оценки.

В АРРФР подчеркивают, что главная задача киберучений — не применение санкций за результаты смоделированных ситуаций, а повышение реальной готовности финансовых организаций к кибератакам и другим инцидентам информационной безопасности.

С полным текстом постановления можно ознакомиться на официальном сайте АРРФР.