Утверждены правила проведения мероприятий по оценке состояния кибербезопасности

Постановлением Правления Агентства Республики Казахстан по регулированию и развитию финансового рынка от 30 октября 2026 года №151 утверждены Правила проведения финансовыми организациями мероприятий по оценке состояния кибербезопасности и реагированию на инциденты информационной безопасности в финансовой сфере, в том числе кибербезопасности (далее – Правила).

Правила разработаны в целях реализации Закона Республики Казахстан от 23 июля 2026 года «О внесении изменений и дополнений в некоторые законодательные акты Республики Казахстан по вопросам совершенствования и цифровизации финансового рынка, банкротства, а также оценки государственных органов».

Основные нововведения

Правилами предусмотрено проведение трех видов мероприятий по оценке состояния кибербезопасности:

Документальные – оценка внутренних документов, планов и процедур обеспечения информационной безопасности.

Функциональные – проверка готовности работников и подразделений к реагированию на инциденты и взаимодействию в кризисных ситуациях.

Технические имитационные – моделирование киберугроз для проверки возможностей обнаружения инцидентов, реагирования на них и восстановления критичных информационных активов.

Сценарии формируются с учетом актуальных киберугроз, существенных технологических изменений и результатов предыдущих мероприятий. В зависимости от выбранного сценария могут проверяться мобильный и интернет-банкинг, платежные системы, базы данных клиентов и другие критически важные информационные системы.

Мероприятия включают четыре этапа: планирование, подготовку, проведение и анализ результатов. В результате определяются выявленные недостатки и необходимые корректирующие меры.

В ходе мероприятий оцениваются время обнаружения инцидентов и восстановления систем, эффективность взаимодействия подразделений, соблюдение процедур реагирования, своевременность информирования руководства и регулятора, а также обоснованность управленческих решений.

Техническое моделирование проводится в контролируемой непродуктивной среде без нарушения непрерывности функционирования действующих информационных систем.

Проведение мероприятий и результаты пилотных киберучений

В целях апробации нового подхода Агентством проведены пилотные киберучения с участием трех банков второго уровня.

В рамках учений моделировалось повреждение критичного информационного актива вследствие воздействия программы-шифровальщика с последующим восстановлением системы из резервной копии на тестовом стенде. Все три банка успешно восстановили проверяемые системы. Подтверждены работоспособность восстановленных систем и достижение целевых показателей восстановления.

В дальнейшем в соответствии с Правилами финансовые организации будут проводить мероприятия по оценке состояния кибербезопасности не реже одного раза в календарный год.

В 2027 году планируется охватить все банки второго уровня.

Контроль устранения недостатков и ожидаемые результаты

Правилами предусмотрено участие Агентства как наблюдателя, так и соорганизатора при совместной подготовке и проведении мероприятия по оценке. По результатам мероприятий требуется представление в Агентство отчета, содержащего информацию о выявленных недостатках, показателях реагирования, корректирующих мерах и сроках их реализации.

Особое значение придается не только разработке планов устранения недостатков, но и подтверждению эффективности принятых мер посредством повторной проверки.

Таким образом, формируется регулярный цикл повышения киберустойчивости: моделирование угроз, оценка готовности, выявление недостатков, их устранение и повторная проверка.

Результаты мероприятий будут использоваться Агентством для выявления системных рисков и совершенствования надзорных подходов. При этом основная цель киберучений – не применение санкций по результатам моделируемых ситуаций, а выявление слабых мест и повышение фактической готовности финансовых организаций к реальным киберинцидентам.

С текстом постановления Правления Агентства можно ознакомиться на официальном интернет-ресурсе Агентства.

Управление внешних коммуникаций

press@finreg.kz

Источник: Агентство Республики Казахстан по регулированию и развитию финансового рынка