Что произошло

Президент РФ подписал закон, который устанавливает правовые основы ИТ-аутсорсинга на финансовом рынке. Банки и другие финансовые организации получили право передавать обработку информации ограниченного доступа — персональных данных клиентов, сведений о счетах и операциях — аккредитованным Минцифры ИТ-компаниям и подконтрольным государству банкам. Исключение сделано только для сведений, составляющих государственную тайну. Норма вступает в силу через год после опубликования, а уже заключённые договоры нужно привести в соответствие с новыми требованиями в течение 180 дней.

Принципиальный момент: передавать данные на аутсорсинг можно без согласия субъектов — при условии, что ИТ-подрядчик соответствует требованиям закона. Как отметил эксперт АНО «Институт экономики роста имени П. А. Столыпина», член генсовета «Деловой России» Олег Николаев, суть нововведения не в самом факте разрешения аутсорсинга, а именно в снятии барьера клиентских согласий.

Почему это актуально

До сих пор банки фактически работали в «серой зоне». «Банки давно отдавали обработку данных облакам и процессинговым центрам, но делали это на свой страх и риск», — поясняет доцент РЭУ имени Г. В. Плеханова Вадим Ковригин. Теперь у подрядчиков появляются формальные требования, а надзор за их соблюдением закреплён за Банком России.

Для российского ИТ-рынка закон открывает заметный сегмент: финансовые организации — одни из крупнейших заказчиков ИТ в стране, а требование использовать аккредитованные отечественные ИТ-компании и размещать системы на территории РФ дополнительно работает в пользу российских вендоров и интеграторов. Одновременно растёт спрос на средства защиты данных, аудит информационной безопасности и сервисы контроля подрядчиков.

Подробности: что можно, что нельзя и какие требования к подрядчику

  • Разрешено передавать без согласия клиентов: вспомогательные ИТ-функции, обезличенные массивы для аналитики, антифрод-мониторинг под контролем банка, обработку типовых обращений клиентов и аудит систем информационной безопасности.
  • Запрещено выводить на аутсорсинг: ведение бухгалтерского учёта, функции внутреннего контроля и аудита, алгоритмы антифрод-систем, сведения о мерах защиты критической инфраструктуры и данные VIP-клиентов.
  • Кто может быть подрядчиком: только аккредитованная Минцифры ИТ-компания или госбанк; информационные системы подрядчика должны находиться на территории России.
  • Ежегодный аудит: подрядчик обязан проходить операционный аудит с привлечением организаций с лицензией ФСБ или ФСТЭК и направлять заключения банку и ЦБ.
  • Постоянная отчётность: договор должен предусматривать ежеквартальную отчётность о показателях защиты информации и уведомление об инцидентах в течение двух часов.
  • Уведомительный порядок: передача данных возможна лишь через 60 дней после уведомления регулятора, если ЦБ не выдал запрет.
  • Ответственность: закон закрепляет ответственность за разглашение переданной информации и полномочия Банка России по контролю всей цепочки.

Что это значит для информационной безопасности — простыми словами

ИТ-аутсорсинг данных означает, что часть работы с клиентской информацией банка выполняют сотрудники сторонней компании на её инфраструктуре. «Передача обработки данных внешней организации добавляет банку ещё одну зону, которую необходимо контролировать. Каждый такой доступ нужно учитывать», — отмечает Кирилл Левкин, проджект-менеджер ГК Softline (продукт MD Audit). Под ударом в случае инцидента окажутся не только персональные и финансовые данные клиентов, но и технические секреты: API-ключи, токены, служебные учётные записи и конфигурации. Отраслевые эксперты сходятся в том, что банкам потребуется не массовый найм безопасников, а специализированные компетенции — контроль защищённости интеграций, разграничение доступа и расследование инцидентов за пределами собственного контура.

Итог: Закон легализует практику, которая и так существовала на финансовом рынке, и превращает ИТ-аутсорсинг данных из «серой зоны» в регулируемый институт с понятными требованиями к подрядчикам и надзором ЦБ. Для ИТ-отрасли это долгосрочный драйвер спроса: аккредитованные компании и разработчики отечественных средств защиты, аудита и мониторинга получат новый поток заказов от финансового сектора. Для банков — повод уже сейчас провести инвентаризацию договоров, оценить готовность подрядчиков к ежегодным аудитам и двухчасовому нормативу уведомления об инцидентах, чтобы успеть к переходному периоду.

Читайте также: