АРРФР ввел обязательные требования по кибербезопасности для банков и страховщиков

Агентство по регулированию и развитию финансового рынка (АРРФР) утвердило минимальные требования к информационной безопасности для всех финансовых организаций. Документ вступает в силу с 12 июля 2026 года. Руководители компаний понесут персональную ответственность за защиту данных и систем.

Кого касается

Требования обязательны для всех финансовых организаций, которые используют цифровые системы и инфраструктуру: банков, страховых компаний, инвестиционных фирм, микрофинансовых организаций, кредитных товариществ и иных поднадзорных АРРФР структур.

Что меняется

Организационная ответственность. Первый руководитель несёт персональную ответственность за состояние информационной безопасности. В компании должна быть утверждена политика ИБ. Новых сотрудников обязаны ознакомить с требованиями под подпись в течение пяти рабочих дней.

Отчётность об инцидентах. Финорганизация обязана незамедлительно сообщать регулятору о любых серьёзных происшествиях: уязвимостях, взломах, DDoS-атаках, заражениях вредоносным ПО, несанкционированных переводах, сбоях работы систем дольше одного часа. Для экстренной связи предусмотрены телефон и электронная почта.

Технические барьеры. Все соединения за пределами защищённого периметра организации должны шифроваться. Почтовые серверы — только на физических мощностях в Казахстане. Обязательно применение механизмов SPF, DKIM и DMARC для борьбы с подделкой писем. Запрещены права локального администратора для рядовых сотрудников (кроме случаев, когда это требуется для работы софта).

Антивирусная защита — везде, включая серверы, рабочие станции, ноутбуки и мобильные устройства (где технически возможно). Пользователь не может отключить защиту. Обязательны лицензии, обновления и техподдержка.

Резервное копирование — по результатам анализа воздействия на бизнес. Порядок и периодичность организация определяет сама.

Доступ клиентов и сотрудников

Двухфакторная аутентификация обязательна для всех пользователей (включая работников и третьих лиц), подключающихся к цифровым системам извне периметра. Факторы — знание (пароль), владение (устройство или ключ) и неотъемлемость (биометрия).

Дистанционная регистрация клиента возможна только с подтверждением личности через:

• биометрию по изображению лица (с госбазой данных) или через устройства финансовой организации, плюс
• проверку владения телефонным номером (через госбазу мобильных номеров) либо ЭЦП аккредитованного удостоверяющего центра.

Контроль и хранение

Все цифровые системы должны вести аудиторский след (логи) — кто, когда и зачем подключался, что менял. Логи хранятся:

• не менее 3 месяцев в оперативном доступе;
• не менее 1 года в архивном доступе (или не менее года в оперативном).

Сроки и последствия

Документ вступает в силу 12 июля 2026 года (через почти три месяца после подписания). У финансовых организаций есть время на доработку систем и процедур. Нарушение требований — это основание для проверок и санкций со стороны АРРФР, вплоть до отзыва лицензий.

Для клиентов банков и страховых компаний новые правила означают более сильную защиту их счетов и персональных данных, а также обязательное использование биометрии или ЭЦП при дистанционной регистрации в мобильных приложениях.

Контроль за исполнением возложен на курирующего зампреда АРРФР.