АРРФР РК постановлением от 30 октября 2026 года утвердило в новой редакции Требования к обеспечению информационной безопасности банков, филиалов банков-нерезидентов РК и организаций, осуществляющих отдельные виды банковских операций, сообщает prosud.kz.
Заголовок документа изложен в новой редакции: "Требования к обеспечению информационной безопасности в финансовой сфере, в том числе кибербезопасности банков, филиалов банков-нерезидентов Республики Казахстан и организаций, осуществляющих отдельные виды банковских операций".
К обеспечению информационной безопасности банков, организаций предъявляются следующие требования:
- требования к организации системы управления информационной безопасностью;
- требования к категорированию информационных активов банка, организации;
- требования к организации доступа к информационным активам банка, организации;
- требования к обеспечению безопасности цифровой инфраструктуры;
- требования к средствам криптографической защиты информации;
- требования к обеспечению информационной безопасности при доступе третьих лиц к информационным активам банка, организации;
- требования к проведению внутренних проверок состояния информационной безопасности;
- требования к процессам системы управления информационной безопасностью.
Первый руководитель банка, организации обеспечивает создание, функционирование и улучшение системы управления информационной безопасностью, являющейся частью общей системы управления банка, организации, предназначенной для управления процессом обеспечения информационной безопасности.
Система управления информационной безопасностью обеспечивает защиту информационных активов банка, организации, предусматривающую минимальный уровень потенциального ущерба для бизнес-процессов банка, организации.
Банк, организация обеспечивают надлежащий уровень системы управления информационной безопасностью, ее развитие и улучшение.
Участниками системы управления информационной безопасностью банка, организации являются:
- орган управления;
- исполнительный орган;
- коллегиальный орган, уполномоченный принимать решения по задачам обеспечения информационной безопасности (далее – коллегиальный орган);
- подразделение по информационной безопасности;
- подразделение по цифровым технологиям;
- подразделение по безопасности;
- подразделение по работе с персоналом;
- юридическое подразделение;
- подразделение по комплаенс-контролю;
- подразделение внутреннего аудита;
- подразделение по управлению рисками информационной безопасности.
Банк, организация ежегодно, не позднее 10 января года, следующего за отчетным годом, представляют в уполномоченный орган информацию о состоянии системы управления информационной безопасностью и ее соответствии Требованиям (информация о СУИБ).
Информация о СУИБ включает сведения о (об):
- области действия системы управления информационной безопасностью банка, организации и ее участниках с указанием соответствия их функционала Требованиям;
- наличии документов, регламентирующих создание и функционирование системы управления информационной безопасностью;
- наличии и количественном составе программно-технических средств, используемых для обеспечения информационной безопасности;
- имеющихся в договорах о предоставлении услуг, заключенных с операторами связи, условий и обязательств по обеспечению информационной безопасности;
- наличии, материально-технической обеспеченности и готовности резервных центров обработки данных;
- проведенных мероприятиях по приведению системы управления информационной безопасностью и информационных активов банка, организации в соответствие с Требованиями.
Банк, организация формируют перечень критичных информационных активов с указанием их владельцев.
Доступ к цифровым системам банка, организации осуществляется путем идентификации и аутентификации пользователей цифровых систем.
Идентификация и аутентификация пользователей цифровых систем банка, организации производится одним из следующих способов:
- посредством ввода пары "учетная запись (идентификатор) – пароль" или с применением способов двухфакторной аутентификации (использованием двух из трех факторов: знания, владения, неотъемлемости);
- с использованием способов биометрической или криптографической и аппаратной аутентификации.
Также документ содержит:
- Требования к обеспечению безопасности цифровой инфраструктуры.
- Требования к средствам криптографической защиты информации.
- Требования к обеспечению информационной безопасности при доступе третьих лиц к информационным активам банка, организации.
- Требования к проведению внутренних проверок состояния информационной безопасности.
- Требования к процессам системы управления информационной безопасностью и др.
Постановление вводится в действие с 15 ноября.