Новые обязательства для банков
Цифровой рубль и информационная безопасность для банков | Положение 833-П
Тестирование цифрового рубля в России началось еще в 2023 году. С 1 сентября 2026 года Банк России начнет массовое поэтапное внедрение новой цифровой валюты центрального банка. И к этому моменты финансовые организации должны быть готовы технически и технологически обеспечить клиентам возможность работы с новой валютой.
Для этого им необходимо выстроить защищенную инфраструктуру, соответствующую строгим требованиям Положения Банка России № 833-П, стандартам платформы цифрового рубля, ГОСТ Р 57580 и др.
Сроки подключения к цифровому рублю жестко регламентированы, подготовку к внедрению цифрового рубля в банке нужно начинать уже сейчас.
Комплексное решение
Компания ARinteg помогает банкам подготовиться к внедрению цифрового рубля. В партнерстве с ними успешно реализует комплексные проекты по созданию защищенной инфраструктуры.
Мы берем на себя полный цикл работ: от проектирования до внедрения защищенной инфраструктуры. Применяем лучшие практики защиты безналичных платежей и учитываем строгие отечественные стандарты ИБ финансовой сферы. Обеспечиваем полный цикл сопровождения.Проводим аудит и проектируем защищенную инфраструктуру с учетом имеющихся решений, при необходимости помогаем ее модернизировать. Внедрение и интеграция: разворачиваем и настраиваем решения, обеспечиваем бесшовную интеграцию с платформой ЦБ и внутренними системами банка. Сопровождение и поддержка: гарантируем оперативную техническую поддержку, поставку оборудования и его настройку для мониторинга безопасности инфраструктуры.Почему банки выбирают ARinteg для реализации таких спецпроектов?
Отраслевая экспертиза с 1996 года: специализируемся на проектировании и внедрении систем защиты информации для финансовых организаций. Мы знаем ИБ-ландшафт отрасли изнутри. Сильная команда: 20+ сертифицированных инженеров с большим опытом реализации комплексных проектов Фокус на практике: предлагаем готовые решения, апробированные в ведущих финансовых институтах России.Положение 833-П
Требования к защите информации, предъявляемые к участникам платформы Цифрового рубля, отражены в Положении Банка России от 7 декабря 2023 г. № 833-П
- Инфраструктура и соответствие стандартам
- Изоляция сетей: объекты информационной инфраструктуры для операций с цифровыми рублями должны быть размещены в выделенных сегментах вычислительных сетей.
- Уровни защиты: системно значимые и значимые на рынке платежных услуг организации обязаны применять усиленный уровень защиты (согласно ГОСТ Р 57580.1-2017), остальные — стандартный уровень.
- Оценка соответствия: для объектов в выделенных сегментах должен быть обеспечен уровень соответствия не ниже четвертого по ГОСТ Р 57580.2-2018.
- Двухконтурная модель безопасности
Для защиты технологии обработки и передачи электронных сообщений (ЭС) участник обязан реализовать два разделенных контура: контур контроля и контур обработки.
- Изоляция: контуры должны использовать разные рабочие места, криптографические ключи и обслуживаться отдельными сотрудниками.
- Размещение: объекты этих контуров должны находиться в разных сегментах сети с документально зафиксированным порядком взаимодействия между ними.
- Использование криптографии
- Использование СКЗИ: защита информации осуществляется с применением средств, имеющих действующий сертификат ФСБ России и соответствующих Положению ПКЗ-2005.
- Классы защиты
- Для взаимодействия с оператором платформы используются СКЗИ класса не ниже КС3 (для шифрования на прикладном уровне) и не ниже КС2 (для VPN-сетей).
- Для взаимодействия с пользователями на стороне клиента — класса не ниже КС1, на стороне кредитной организации — не ниже КС3.
- Удостоверяющий центр (УЦ): участник должен обеспечить функционирование подчиненного УЦ (класса не ниже КС3) для выпуска сертификатов пользователям. При эксплуатации средств УЦ обязательно использование точного времени от Государственной службы времени.
- Хранение данных: электронные сообщения и средства их проверки должны храниться не менее пяти лет.
- Требования к мобильным приложениям и работе с клиентами
- Цифровой отпечаток: участник обязан собирать, обновлять и передавать оператору платформы информацию об устройстве пользователя (цифровой отпечаток), позволяющую его идентифицировать.
- Требования к приложению
- Необходим документированный процесс разработки и тестирования приложения.
- Должны быть реализованы механизмы уведомления об операциях, проверки корректности ввода данных и регистрации событий ИБ.
- Обязателен механизм незамедлительной блокировки сертификата ключа в случае его компрометации.
Состав работ ARinteg
- Аудит текущей ИБ-инфраструктуры банка
- Проектирование инфраструктуры безопасности цифрового рубля
- Разработка модели угроз
- Разработка технической документации
- Поставка и внедрение сертифицированных СКЗИ и СЗИ
- Настройка оборудования защиты информации в каналах связи
- Развертывание Удостоверяющих центров
- Разработка ОРД
Наша справка
С 1 сентября 2026 года крупнейшие банки, а также их клиенты – торговые компании с выручкой более 120 млн рублей за предшествующий год –должны будут предоставить возможность пользоваться цифровыми рублями своим клиентам.
Остальные банки с универсальной лицензией, а также их клиенты – торговые компании с годовой выручкой свыше 30 млн рублей – должны будут обеспечить возможность совершать операции с цифровыми рублями до 1 сентября 2027 года.
Банкам и продавцам с выручкой менее 30 млн рублей в год предписывается предоставить своим клиентам возможность совершать операции с цифровым рублем с 1 сентября 2028 года. Но эта обязанность не распространяется на торговые точки с годовой выручкой менее 5 млн рублей.
Россия находится в лидирующей группе стран, активно разрабатывающих цифровую валюту, отмечается в отчете ЦБ «Цифровой рубль: текущий статус проекта». Его эксперты уверены, что цифровой рубль станет привычным способом расчетов уже на горизонте 5-7 лет.
Цифровой рубль позволит не только повысить скорость, прозрачность и безопасность финансовых операций, но и выстроить новые финансовые потоки трансграничных платежей и обеспечить финансовую независимость страны.
Цифровой рубль выгоден для компаний, поскольку:
удешевит трансакции, оптимизирует затраты на ведение бизнеса,
обеспечит большую прозрачность при исполнении смарт-контрактов и не только.
– Наиболее ресурсоемкие – двухконтурная модель безопасности (разделение контуров контроля и обработки с разными сотрудниками и ключами) и использование сертифицированных СКЗИ нужных классов.
Также банкам требуется создать два независимых Удостоверяющих центра.
– Банкам требуется создать два независимых Удостоверяющих центра:
- первый – подчинённый корневому удостоверяющему центру Банка России, для выпуска сертификатов электронной подписи,
- второй – для выпуска сертификатов для защиты электронных коммуникаций между клиентом, владельцем цифровых рублей и банком.
Средства криптографической защиты информации, равно как и другие программно-аппаратные средства для создания удостоверяющих центров хорошо развиты в России.
Участники финансового рынка давно используют российские решения для создания компонентов инфраструктуры работы с электронной подписью, в том числе и удостоверяющих центров, и наработали значительный опыт. При создании инфраструктуры цифрового рубля это не должно создавать каких-либо существенных сложностей для банков.
– Самостоятельно реализовать такой многоуровневый проект под силу только крупнейшим банкам с мощными IT- и ИБ-командами. При отсутствии таких ресурсов имеет смысл привлечь к работе над проектом опытного системного интегратора в сфере ИБ (например, ARinteg), специалисты которого обладают как опытом в разработке систем, защищённых средствами криптографии, так и в создании защищенной инфраструктуры в целом.
Это поможет:
- избежать фатальных ошибок и дорогостоящих переделок вследствие выбора неверных архитектурных решений;
- выстроить верную магистральную линию: выработать совместный четкий план и проработать дорожную карту;
- соблюсти все требования по информационной безопасности.
Это сложный проект, который потребует достаточного количества времени и существенных финансовых вложений. Реализовать его за счет текущего бюджета не получится.
– Да, объекты в выделенных сегментах для цифрового рубля должны иметь уровень соответствия не ниже четвертого по ГОСТ Р 57580.2-2018. Мы проводим такой аудит и помогаем устранить несоответствия.
– В среднем на выполнение всего комплекса мероприятий может уйти около года (проектирование, закупка СКЗИ, настройка, разработка ОРД, тестовое взаимодействие с ЦБ и т. д.) с учетом доработки ПО, прохождения процедур оценки соответствия, организации тестового взаимодействия с Банком России и т. п.
– Прямые штрафы за неподключение к цифровому рублю пока не опубликованы, но Банк России может применить меры надзорного реагирования: от предписаний до ограничения отдельных операций. Кроме того, невыполнение требований 833-П – это нарушение в области ИБ, которое может повлечь привлечение к административной ответственности.
