Совет Федерации утвердил закон, который меняет правила игры для финансовых организаций: теперь они смогут выводить IT-инфраструктуру и облачные сервисы на аутсорсинг по чётким требованиям, повышая безопасность и прозрачность.
Совет Федерации утвердил закон, который полностью меняет правила игры для банков, страховых компаний и прочих финансовых организаций: теперь они смогут выводить IT-инфраструктуру и облачные сервисы на аутсорсинг по чётким требованиям. Это не только облегчит жизнь финорганизациям, но и задаёт всё новые стандарты безопасности и прозрачности для IT-поставщиков. В условиях, когда от стабильности цифрового контура финансов зависит практически любая сделка, главный риск — потерять контроль над системами и данными. Разбираемся, как новый закон влияет именно на ваш бизнес и почему паниковать не стоит, а вот к изменениям — точно стоит подготовиться.
Что конкретно меняется для финансовых организаций
Самая свежая бюрократическая новинка: финансовые компании обязаны уведомлять Банк России о планах вывести свои IT-системы или облачные сервисы «на сторону». Более того, регулятору нужно заблаговременно присылать заключение об операционном аудите подрядчика — иначе ни один подрядчик не протиснется в ваш бизнес-процесс. Тут есть тонкий момент: если за 60 дней ЦБ не ответил «нет», работать можно. А если нашёл подозрительное — стоп машина! Для тех, кто привык делать всё в последний момент, такой процесс станет холодным душем.
Мне кажется, эта норма может показаться неудобной тем, кто привык мгновенно подписывать контракты, руководствуясь только доверием к партнёру. Тем не менее, контроль со стороны ЦБ — реальная прослойка против «левых» подрядчиков.
Ключевые требования к подрядчикам и облачным сервисам
Теперь подрядчик — не абы кто из каталога фрилансеров. Только аккредитованные IT-компании и банки с универсальной лицензией под российским контролем смогут стать вашими поставщиками, а их IT-системы должны физически находиться внутри страны. Всё строго: менеджеры аутсорсера обязаны отвечать за информационную безопасность, а отдельные специалисты — отвечать за сохранность данных «ограниченного доступа». В штат требуется не просто айтишник, а специальные кадры, которые умеют строить неприступные цифровые крепости.
С одной стороны, это больно для рынка подрядчиков — не все пройдут через горнило аккредитации. С другой — бизнес хоть и вынужден выбирать только из «белых» компаний, но получает дополнительную защиту информации. Сам я бы предпочёл работать по строгим правилам, чем потом бегать с ведром и тушить пожар утечек.
Возьмём IT-поддержку на себя. Разберём, что у вас ломается чаще всего, и предложим, как это закрыть.
Обсудить поддержку
Разрешение на передачу банковской тайны подрядчику
Одна из самых острых и спорных новаций: теперь банки могут передавать подрядчику данные, составляющие банковскую тайну, и персональные данные без отдельного согласия клиента. В механизм передачи не включена только информация, относящаяся к государственной тайне. Подразумевается, что компании-контрагенты обязаны защищать эти данные надёжно, чтобы не оказаться в центре громкого скандала. Лично я возлагаю большие надежды на присмотр со стороны регулятора — иначе любое послабление в вопросах приватности может выйти боком. Но вот с точки зрения бизнеса: если всё устроено правильно, сервисы будут выстраиваться быстрее, а сделка не застопорится на бумажном согласовании каждого клиента.
Контроль Банка России: что, как и когда?
ЦБ получает расширенные полномочия: он может запретить аутсорсинг, если подрядчик не прошёл аудит или вызывает сомнения. Для передачи данных достаточно, чтобы с момента уведомления прошло 60 дней, и если нет запрета — можно двигаться дальше. За нарушения предусмотрено серьёзное наказание: Центробанк вправе приостановить использование систем подрядчика на срок до полугода. У такого подхода две стороны: на одной — жёсткая дисциплина и снижение вероятности повторения историй об утечках, на другой — риск попасть под заморозку важных сервисов, если что-то пойдёт не по плану.
Когда внедрял системы предотвращения вторжений и обучал коллег по кибербезопасности, всегда хватало споров: нужно ли заранее устанавливать столь строгие рамки? Теперь ответ очевиден — иначе нельзя.
Ответственность подрядчика и жёсткие требования по инфобезопасности
Поставщики финансовых IT-систем и облака несут полную ответственность за разглашение информации, которую получили от клиента. В штате подрядчика теперь обязательны спецы по информационной безопасности, а ещё — регулярный внешний аудит с участием организаций, имеющих лицензию ФСБ или ФСТЭК. Без бумажки никуда: если подрядчик не выдержал инспекцию — рискует не только контрактом, но и всей своей репутацией.
По мне, это здравый подход. Хватит случаев, когда IT-компания заявляет — «у нас супер защита», а через полгода выносит весь сервер чужой информацией. В мире финансов, где на кону миллиарды, слабых звеньев просто не прощают.
Новые правила оповещения об инцидентах и штрафы
Если у подрядчика вдруг случилась утечка, проникновение или любой другой инцидент с безопасностью — он должен сообщить об этом клиенту не позднее чем через два часа. Не успел — рискуешь остаться без работы на рынке на полгода. Теперь нет шансов тихонько «подлатать дырочку» и сделать вид, что «ничего не было»: вся индустрия учится реагировать молниеносно. Конечно, это добавит нервов топам и руководителям IT-служб, но скорость — залог минимизации ущерба для всех.
Считаю правильным учить подрядчиков честности и «реактивной» реакции, а не затяжному размазыванию ответственности.
Алгоритм внедрения аутсорсинга финансовых IT-систем: пошаговая инструкция
- Проведите анализ своих систем и определите, какие процессы передадите на аутсорсинг. Найдите точки, где IT-аутсорсинг действительно прибавит эффективности и сэкономит ресурсы.
- Выберите аккредитованную IT-компанию или банк с универсальной лицензией и российским контролем. Убедитесь, что их системы размещены в РФ и удовлетворяют новым законодательно требованиям.
- Сделайте и приложите заключение о результатах операционного аудита — это обязательное условие для подачи уведомления в ЦБ.
- Заранее (не менее чем за 60 дней до планируемой передачи данных) уведомьте Банк России и ожидайте решения.
- Убедитесь, что подрядчик имеет квалифицированных специалистов по информационной безопасности и назначенных лиц для сохранности ограниченной информации, а также заключайте договор с учётом новых жёстких требований.
- Пропишите механизм сообщения об инцидентах: подрядчик обязан уведомлять вас не позднее чем через два часа после инцидента.
- Готовьтесь регулярно проходить внешний аудит подрядчика с привлечением лицензированных организаций ФСБ или ФСТЭК.
Остались вопросы по теме? Напишите нам — ответим простым языком.
Написать специалисту
Кому новые правила подойдут, а кому могут усложнить жизнь
Ограниченный круг поставщиков — одновременно и плюс, и минус. Для крупных игроков это хороший фильтр — появляется уверенность, что сервис не «лёг на коленке за два дня». Малому бизнесу придётся тщательно выбирать партнёра, ведь теперь недостаточно «симпатичной презентации» — нужны лицензии, штат инфобезопасников и подтверждение аккредитации.
Есть и исключения. Например, российский банк с универсальной лицензией, подконтрольный иностранной группе, может использовать ИТ-систему материнской структуры только после комплексного согласования с ЦБ, ФСБ и Росфинмониторингом — и то если выполнены дополнительные условия.
Как человек, который не раз настраивал корпоративные брандмауэры и системы предотвращения вторжений, отлично понимаю, насколько важно выбирать подрядчика не по принципу «подешевле», а строго по соответствию требованиям. В финансовых делах сэкономил на безопасности — рискуешь всем бизнесом.
Что делать владельцу бизнеса и топ-менеджеру прямо сейчас
Во-первых, стоит провести ревизию всех IT-контуров, чтобы точно понимать: где вы опираетесь на внутренних айтишников, а где можно или нужно вынести процессы наружу. Выбирать подрядчиков теперь придётся особо тщательно: изучайте, есть ли у них нужная аккредитация и штат специалистов по информационной безопасности. Особое внимание уделите пунктам договоров — требования ужесточились, за халатность теперь отвечают обе стороны. Если возникнут вопросы — заранее консультируйтесь со специалистами по регуляторике и кибербезопасности. И, конечно, следите за новостями: закон стартует через год после публикации, а за год на рынке ещё многое поменяется!
Нужна помощь с IT-поддержкой? Оставьте заявку, и наши специалисты свяжутся с вами в течение 15 минут — разберем вашу задачу и предложим решение.
Получить консультацию бесплатно
