Финансовые организации Казахстана должны не реже одного раза в год проверять, как они выдерживают кибератаки и восстанавливают работу после сбоев. Правила таких проверок утвердило Агентство по регулированию и развитию финансового рынка (АРРФР) постановлением правления от 30 октября 2026 года № 151. Документ касается в том числе систем, которыми ежедневно пользуются клиенты: мобильного и интернет-банкинга, платёжных сервисов и баз данных клиентов.
Правила предусматривают три вида проверок. Документальные оценивают внутренние регламенты, планы и процедуры информационной безопасности. Функциональные показывают, готовы ли сотрудники и подразделения действовать слаженно в кризисной ситуации. Технические имитационные моделируют реальные киберугрозы и проверяют, как быстро организация обнаруживает атаку, реагирует на неё и восстанавливает критичные системы.
Имитации проводят в отдельной тестовой среде, поэтому действующие банковские системы во время учений не останавливаются. Сценарии составляют с учётом актуальных угроз, технологических изменений и итогов прежних проверок.
Каждое мероприятие проходит четыре этапа: планирование, подготовку, проведение и анализ результатов. Оценивают время обнаружения инцидента и восстановления систем, взаимодействие подразделений, соблюдение процедур, своевременность информирования руководства и регулятора, а также обоснованность принятых решений. По итогам организация сдаёт отчёт с выявленными недостатками и сроками их устранения, после чего исправления проверяют повторно.
Агентство участвует в учениях как наблюдатель и соорганизатор. Регулятор подчёркивает, что главная цель проверок не санкции, а поиск слабых мест: результаты будут использовать для выявления системных рисков и совершенствования надзора.
Пилотные киберучения уже прошли три банка второго уровня. По сценарию программа-шифровальщик повреждала критичный актив, а банкам нужно было восстановить его из резервной копии на тестовом стенде. Все три банка справились и достигли целевых показателей восстановления. В 2027 году учениями планируют охватить все банки второго уровня.
Новые правила разработаны во исполнение закона от 23 июля 2026 года о совершенствовании и цифровизации финансового рынка. Тема защиты данных в Казахстане остаётся острой: airpres.kz подробно разбирал, какие кибератаки и утечки фиксировали в стране в этом году. Ранее МВД предложило создать в Астане региональный центр ООН по борьбе с киберпреступностью.
