Информационная безопасность в банках объединяет управление рисками, защиту информации в отдельных банковских процессах и меры для непрерывности услуг. Начните с перечня процессов, данных и инфраструктурных зависимостей. Затем определите применимые нормативные требования, владельцев контролей и способы подтверждения их работы.
Какие задачи входят в банковскую ИБ
Банковский контур включает не только системы дистанционного обслуживания или платёжную инфраструктуру. В него входят процессы, приложения, данные, рабочие места, каналы обмена, инфраструктурные зависимости и поставщики, от которых зависят критичные услуги. Их состав и значимость различаются между организациями — единого списка средств, одинакового для любого банка, статья не предлагает.
Для начала полезно описать:
- какие банковские услуги и технологические процессы поддерживаются информационными системами;
- какие данные обрабатываются, где они создаются, передаются и хранятся;
- какие приложения, устройства, сети и внешние поставщики поддерживают процесс;
- какие события могут привести к нарушению конфиденциальности, целостности, доступности или непрерывности услуги;
- кто владеет процессом, риском, системой и подтверждением контрольной меры.
Такой перечень — рабочий способ начать инвентаризацию, а не нормативная форма и не подтверждение выполнения требований.
Три разных нормативных вопроса
Управление рисками, защита переводов и операционная надёжность относятся к разным нормативным задачам. Для каждой нужны свои первоисточники и проверка области применения.
| Контур | Что проверять в первоисточнике | Как использовать в рабочей карте |
|---|---|---|
| Управление операционным риском и риском ИБ | Положение Банка России № 716-П и его действующую редакцию. В разъяснениях Банк России описывает риск ИБ и риск информационных систем в контексте системы управления операционным риском. | Связать событие и риск с процессом управления риском и внутренней отчётностью; точные требования сверять по актуальному тексту акта. |
| Операционная надёжность и непрерывность банковских услуг | Положение Банка России № 850-П. Официальный текст устанавливает требования к операционной надёжности кредитных организаций и филиалов иностранных банков при банковской деятельности. | Проверить затрагиваемые технологические процессы, зависимости, показатели, допустимое нарушение и порядок восстановления в границах самого документа. |
| Защита информации при переводах без согласия клиента | Положение Банка России № 851-П. Его предмет — обеспечение защиты информации в банковской деятельности в целях противодействия переводам денежных средств без согласия клиента. | Применять при разборе соответствующего платёжного контура; не переносить этот предмет на всю банковскую кибербезопасность. |
| Стандарты защиты финансовых операций | ГОСТ Р 57580 и связанные официальные документы. Проверять конкретную часть, редакцию, адресата и правовой контекст применения. | Использовать как отдельный слой карты; не заменять им проверку нормативного акта и области его действия. |
В частности, Положение № 850-П 2025 года относится к операционной надёжности и непрерывности банковских услуг; оно заменило прежнее Положение № 787-П. Оно не заменяет все требования к защите информации. № 851-П посвящено защите информации в определённом контуре банковских операций для противодействия переводам без согласия клиента. Перед практическим применением сверяйте статус и редакцию каждого документа по официальному перечню актов Банка России, опубликованных в «Вестнике» за 2026 год и по самому тексту акта: перечень служит навигацией и не заменяет действующую редакцию нормы.
Указание Банка России № 7419-У от 22 июля 2026 года вносит изменения в № 850-П. Банк России опубликовал его 3 сентября 2026 года; основная часть вступает в силу 1 января 2027 года, а подпункт 1.5 — 1 января 2028 года. Поэтому на дату этой статьи будущие изменения нельзя считать уже действующими. Они, в частности, уточняют учёт отдельных периодов недоступности внешних информационных систем, от которых зависят банковские процессы, и состав фиксируемых сведений. Перед практическим применением нужно сверить сроки и конкретные пункты по официальному тексту указания № 7419-У в «Вестнике Банка России».
Как связать требование с рабочим процессом
Практическая карта может выглядеть так:
процесс или услуга → информационный актив и зависимость → риск/сценарий → применимый документ → владелец → контрольная мера → доказательство выполнения → дата пересмотра.
Например, если организация оценивает непрерывность банковской услуги, в карту сначала попадают соответствующий технологический процесс и его инфраструктурные зависимости. Затем владелец процесса вместе с ИТ, ИБ и управлением рисками проверяет применимые положения, контрольные показатели и внутренние процедуры. Для защиты операций перевода рассматривается отдельный контур и его собственные первоисточники. Одно решение или сертификат не подтверждает автоматически выполнение всех задач.
Это редакционная схема организации работы. Она не является готовой формой Банка России, юридическим заключением или универсальным перечнем документов для любой кредитной организации.
Как выбрать первый нормативный контур: три ситуации
| Ситуация | С чего начать проверку | Куда перейти в первоисточнике | Чего не заключать автоматически |
|---|---|---|---|
| Клиентам недоступна банковская услуга или технологический процесс деградировал | Назвать услугу и поддерживающий её процесс, определить затронутые системы и категорию организации | Положение № 850-П, включая приложение 1 с порогами по технологическим процессам и категориям организаций | Не переносить один порог простоя на все процессы и банки: приложение различает процессы и категории. |
| Разбирается перевод денежных средств без согласия клиента | Уточнить банковскую операцию и системы, в которых подготавливается, обрабатывается или хранится защищаемая информация | Положение № 851-П, прежде всего пункт 1 | Не считать предмет № 851-П полным перечнем требований ко всему ИТ-ландшафту банка. |
| Критически важный процесс или его этап передан подрядчику | Установить, что именно передано, как оно связано с критически важной операцией и какими системами третьего лица поддерживается | Официальный ответ ЦБ по № 716-П связывает процедуры аутсорсинга с критически важными процессами и контрольные показатели риска аутсорсинга ИС — с № 716-П и № 850-П | Не считать, что любой договор с ИТ-поставщиком автоматически подпадает под один и тот же набор процедур. |
Это навигационные примеры для постановки вопроса, а не автоматическая классификация инцидента или готовое заключение о применимости нормы. Решение зависит от вида организации, процесса, конкретной операции и действующих редакций документов.
Роли: ИБ, ИТ, риск и владелец процесса
Команда ИБ помогает выявлять и оценивать риск, организовывать контроль защиты и разбирать инциденты. ИТ и владельцы систем знают архитектуру, изменения, зависимости и способы восстановления. Владелец бизнес-процесса оценивает влияние нарушения на услугу и допустимые последствия. Функция управления рисками связывает события с системой управления операционным риском и установленной отчётностью.
Для каждого сценария полезно заранее определить, кто обнаруживает событие, кто оценивает влияние на услугу, кто принимает решение о восстановлении, кто фиксирует доказательства и кто отвечает за взаимодействие с регулятором. Конкретные обязанности и сроки взаимодействия нужно брать из применимых официальных актов и стандартов, а не переносить из общего списка в статье или из опыта другой организации.
Ошибки, которые приводят к неверной карте
- Считать один стандарт полной картой банковской ИБ. У стандартов, положений и законов разные предметы и адресаты.
- Смешивать защиту переводов и операционную надёжность. Это связанные, но не тождественные контуры.
- Переносить старые номера актов из поисковой статьи. Например, № 787-П утратило силу со дня вступления № 850-П; в материалах выдачи могут оставаться устаревшие ссылки. Сверяйте действующий текст Банка России перед тем, как указывать номер и статус.
- Принимать проект изменений за вступившую в силу норму. Проверяйте публикацию, регистрацию и дату действия, относящуюся к конкретному положению.
- Приписывать нормативный результат одному продукту. Мера, средство и доказательство контроля — разные элементы; соответствие зависит от процесса, области применения и организации.
С чего начать проверку
Составьте реестр банковских процессов и зависимостей, затем сопоставьте каждую задачу с первоисточником и ответственным владельцем. Для соседних тем используйте отдельные материалы: ГОСТ Р 57580, 161-ФЗ о национальной платёжной системе, PCI DSS, комплаенс КИИ и страницы по модели угроз и плану реагирования. Выбирайте их по задаче и применимости, а не как взаимозаменяемые документы.
Частые вопросы
Что регулирует Положение Банка России № 850-П?
Оно устанавливает требования к операционной надёжности при банковской деятельности для кредитных организаций и филиалов иностранных банков в целях непрерывности банковских услуг. Для конкретного процесса проверьте актуальный официальный текст и адресата нормы.
Чем № 851-П отличается от № 850-П?
У актов разный предмет: № 851-П касается защиты информации для противодействия переводам без согласия клиента; № 850-П — операционной надёжности и непрерывности оказания банковских услуг.
Достаточно ли ГОСТ Р 57580, чтобы оценить весь контур?
Не следует считать один стандарт полной оценкой. Нужно определить область задачи, адресата, применимые акты и действующую редакцию; конкретный вывод зависит от организации и процесса.
Можно ли по этой статье определить, соответствует ли банк требованиям?
Нет. Это обзорная навигация, а не аудит и не правовое заключение. Соответствие проверяется для конкретной организации, процессов и действующих документов.