Банковские карты россиян получат мощную защиту от хакеров и утечек данных

Центробанк усилит защиту платёжных карт россиян. Новый документ регулятора обязывает оператора Единой системы учёта платёжных карт реагировать на любые инциденты, включая кибератаки, утечки и несанкционированный доступ, в рекордно короткие сроки - вплоть до трёх часов с момента их обнаружения. Документ опубликован на портале проектов нормативных правовых актов.

В частности, Центробанк требует защищать данные комплексно на всех этапах - от получения до хранения и передачи. Согласно документу, Национальная система платёжных карт (НСПК), которая станет оператором с 1 сентября, обязана применять для этого как организационные, так и технические меры безопасности.

Главным инструментом безопасности станут средства криптографической защиты информации (СКЗИ). Все электронные сообщения будут защищать усиленной квалифицированной электронной подписью и шифровать на сетевом уровне. Для этого обяжут использовать сертифицированные российские криптографические алгоритмы. Особое внимание Центробанк уделил прикладному программному обеспечению. Все системы, через которые проходят данные банковских карт, должны получить сертификат ФСТЭК России или пройти проверку соответствия на уровень доверия не ниже ОУД4. Как вариант - сертификация процессов безопасной разработки по специальному стандарту (ГОСТ Р 56939-2024).

Кроме того, оператор будет обязан тестировать свои системы на уязвимости. Это должна быть не формальная проверка, а непрерывный процесс: мониторинг, выявление, оценка, устранение и контроль за ним.

Центробанк также установил сроки для отчётов о кибератаках и проблемах с безопасностью. Например, сообщить в ЦБ о выявлении инцидента защиты информации или незаконном раскрытии защищаемых данных нужно в течение 3 часов, о компьютерных атаках и инцидентах, не связанных с критической информационной инфраструктурой - за 24 часа. На то, чтобы сообщить о результатах расследования инцидента, даётся 30 дней. В течение 48 часов после завершения мероприятий нужно отчитаться о результатах реагирования на компьютерные инциденты.

Оператор также обязан хранить все электронные сообщения и данные о кибератаках не менее пяти лет. Благодаря этому любая попытка взлома останется в базе и поможет при расследовании. Новые правила вступят в силу не раньше 1 сентября 2026 года, поэтому у операторов системы есть время на адаптацию инфраструктуры и процессов под новые требования, сообщает «Парламентская газета».

Председатель Совета Федерации Валентина Матвиенко призывала активнее рассказывать россиянам об уловках кибермошенников.

Вице-спикер СФ Николай Журавлёв отмечал, что необходимо как можно быстрее внедрять дополнительные меры защиты граждан от киберпреступников в финансовой сфере. Он заявил, что по данным исследований, более 70% всех атак в мире приходится на банки, платёжные системы и инвестиционные платформы.