Қаржы нарығындағы киберқауіпсіздік
ҚР Қаржы нарығын реттеу және дамыту агенттігі Киберқауіпсіздік басқармасының бастығы Роман Перминовтің сұхбаты
Соңғы екі жылда банктерге бірқатар кибершабуылдар жасалды, оларға сәтті қарсы тұра алдық, банктердің клиенттері зардап шеккен жоқ. Бұл ретте киберқауіпсіздік Қазақстан үшін айтарлықтай жаңа қызмет бағыты болып табылады. Агенттік қаржы нарығындағы киберқауіпсіздік процесін қалай реттейді?
Расында да, киберқауіпсіздік жүйесін іс жүзінде жаңадан құрдық. Оның үстіне киберқауіпсіздік жөніндегі әлемдік стандарттар мен нормалар қалыптасу сатысында ғана, бірақ жаңадан туындаған қауіп-қатерлер ескеріле отырып үнемі өзгеріп отырады. Банк қызметкерлерінің қашықтан жұмыс істеуін оңтайландыру, онлайн операциялар санының өсуі, банк қызметтеріне қол жеткізуді жеңілдету, алаяқтармен және хакерлермен күрес сияқты шараларды банктердің киберқауіпсіздігі үшін басты сынақтар деп атауға болады.
Сондықтан да Агенттіктің киберқауіпсіздік саласындағы бастапқы міндеті туындайтын тәуекелдерді барынша азайту және банктердің ішкі бизнес процестерін регламенттеу үшін құқықтық база әзірлеу және оны жаңартып отыру болды. Ол үшін бір жағынан нарықта туындайтын тәуекелдер мен қауіп-қатерлерге шұғыл ден қою мүмкіндігін қамтамасыз ететін, екінші жағынан қаржы институттарына шектен тыс салмақ салмайтын талаптар мен әдістемелерді белгілеу қажет.
Агенттік Қазақстан Ұлттық Банкімен бірлесіп Қазақстан Республикасының қаржы секторы киберқауіпсіздігінің 2020-2022 жылдарға арналған стратегиясын әзірлеп, бекітті. Қазіргі кезде ақпараттық қауіпсіздік оқыс оқиғаларына ден қою қызметтеріне және қаржы ұйымдары қызметкерлерінің құзыретіне қойылатын талаптар айқындалды. Ақпараттық қауіпсіздік тәуекелдерін бағалау әдістемесі және қорғалу деңгейін бағалау қағидалары енгізілді, банктер мен бағалы қағаздар нарығы үшін ақпараттық қауіпсіздік жөніндегі талаптарға өзгерістер енгізілді. Бұл барлық құжаттар тұтастай алғанда киберқауіпсіздік жүйелерін күшейтуге және дамытуға бағытталған.
Киберқауіпсіздік жүйесін жетілдіру үшін тағы қандай бастамаларды енгізу қажет?
Бірінші кезекте Ақпараттық-коммуникациялық технологиялар және ақпараттық қауіпсіздікті қамтамасыз ету саласындағы бірыңғай талаптарды пысықтау қажет. Бұл құжат 2016 жылы қабылданды және қазіргі заманғы талаптар ескеріле отырып, жетілдірілуге тиіс. Қазіргі уақытта жоба мемлекеттік органдардың талқылауында жатыр.
Бұдан басқа, біз ақпараттық қауіпсіздік талаптарының сақталуын бақылау және қадағалау саласындағы, сондай-ақ дербес деректерді үшінші тұлғаларға беру бөлігінде Агенттіктің өкілеттіктерін кеңейтіп, нақтылағымыз келеді. Тиісті ұсыныстар ҚР ЦДИАӨМ әзірлеп жатқан заң жобаларына енгізілді.
Біз сондай-ақ қаржылық қызметтерді тұтынушылардың құқықтарын қорғаудың қолданыстағы тетіктері сияқты әкімшілік шараларды қолдану ақпараттық қауіпсіздікке қатысты заңнамалық талаптарды сақтау сапасын арттыруға мүмкіндік береді деп ойлаймыз. Әкімшілік шаралар ақпараттық қауіпсіздікті қамтамасыз ету саласындағы банк заңнамасын бұзғаны және ақпараттық қауіпсіздік тәуекелдерін басқару жүйесін қалыптастыру тәртібін сақтамағаны үшін айыппұлдар салуды көздейді.
Сол арқылы қазірдің өзінде бүкіл қаржы саласында ақпараттық қауіпсіздікті қамтамасыз етудің тетіктері күшейтіледі деуге болады.
Іс жүзінде қаржы нарығында киберқауіпсіздікті қамтамасыз ету қалай ұйымдастырылған? Нәтижелер бар ма?
Агенттік тек қаржы нарығын реттеумен ғана емес, сонымен қатар дамытумен де айналысады. Біз салалық ақпараттық қауіпсіздік орталығы сияқты бағытты дамытудамыз. Қаржы секторы – осындай тәжірибе басталған Қазақстандағы алғашқы сала, экономиканың басқа секторларында салалық ақпараттық қауіпсіздік орталықтарын құру енді ғана жоспарлануда. Біз қаржы ұйымдарына орталықтың деректер алмасуды қамтамасыз ететін тиісті ақпараттық жүйесіне қосылуды міндеттегіміз келеді.
2020-2021 жылдары кибершабуылдардың алдын алу мақсатында Агенттік 20 алаяқтық интернет-ресурсты, оның ішінде қаржылық пирамида белгілері бар 13 интернет-ресурсты бұғаттады. Банктерге ақпараттық қауіпсіздік қатерлері туралы 400-ден астам ескерту жіберілді және ЕДБ-дан келіп түскен 300-ден астам ақпараттық оқыс оқиға картасы өңделді.
Ақпараттық қауіпсіздік мәселелері бойынша өзара іс-қимыл жасау процестерін автоматтандыру, адам ресурстарын үнемдеу және жедел ден қоюды арттыру үшін Қаржы нарығындағы ақпараттық қауіпсіздік оқиғалары мен оқыс оқиғалары бойынша ақпаратты өңдеудің автоматтандырылған жүйесі – «Qainar» АӨАЖ пилоттық пайдалануға іске қосылды. Бұл жүйе ақпараттық қауіпсіздік оқиғаларын, сигналдарын және оқыс оқиғаларын тіркейді, қауіптер мен осал жерлер туралы ескертеді.
Қазіргі кезде барлық 22 банк «Qainar»-ға қосылған. Бұл ретте 8 банк ("Еуразиялық банк" АҚ; "Ресей Сбербанкі" АҚ ЕБ; "Банк ЦентрКредит" АҚ; "ForteBank" АҚ; "Альфа-Банк" ЕБ АҚ; "Bank RBK "Банкі" АҚ, "Halyk Bank" АҚ, "Altyn Bank" АҚ) өзара іс-қимыл жасаудың автоматтандырылған тетігін пайдаланады.
Қаржы секторының киберқауіпсіздігін қамтамасыз ету процесінде басқа стейкхолдерлер іске қосылған ба?
Иә, жұмыстың басты бағыты өзара іс-қимыл жасау және ынтымақтастық болып табылады. Тәжірибе алмасу, озық тәжірибелерді үйрену және қалыптасып жатқан жағдай бойынша жай ғана өзгелердің пікірін тыңдау әрқашан пайдалы.
Біз қаржы нарығының және мемлекеттік органдардың өкілдерімен өзекті мәселелерді талқылау үшін кез келген мүмкіндікті пайдаланамыз. Біз бейнеконференция режимінде және көзбе-көз форматта дербес деректерді қорғау жөніндегі заңнама жобасын, бірыңғай ұлттық биометрикалық жүйені құру мәселесін, қаржы нарығында бұлттық сервистерді пайдалану проблемалары мен болашағын талқылаған болатынбыз.
Сонымен қатар, Агенттіктің нормативтік құқықтық актілеріне қаржы нарығындағы ақпараттық қауіпсіздікті қамтамасыз ету мәселелері бойынша өзгерістер жобаларын енгізбес бұрын біз оларды әріптестермен талқылаймыз.
Өкінішке қарай, ағымдағы және өткен жылдары пандемияға байланысты халықаралық ынтымақтастық бойынша белсенділік төмендеді. Соған қарамастан жұмыс қатынастары реттеліп, Ресейдің, Беларусьтің, Қырғызстанның және Арменияның орталық банктерімен ақпараттық қауіпсіздікті қамтамасыз ету саласында өзара іс-қимыл жасау туралы келісімдерге қол қойылды.
ЕАЭО мемлекеттері орталық ұлттық және банктерінің қаржы нарығының ақпараттық қауіпсіздігін қамтамасыз ету мәселелері жөніндегі жұмыс тобы қызметінің шеңберінде ақпараттық киберқауіпсіздік мәселелері бойынша глоссарий бекітілді және қажетті процестер тізбесінің жобасы қарастырылды.
2020 жылдың соңында Агенттік FIRST (Оқыс оқиғаларға ден қою және қауіпсіздік топтарының халықаралық форумы) - KZ-FinCERT толық құқылы қатысушысы ретінде тіркелді.
Сонымен бірге, біз киберқылмыстарды тексеруде аса бағалы тәжірибе жинадық – 2020 жылы Алматы қаласы прокуратурасының жедел-іздестіру тобының кейбір қазақстандық банктердегі цифрлық арналар арқылы ақшалай қаражатты жымқыру дерегі бойынша сотқа дейінгі тергеп-тексеруіне қатыстық. Цифрлық материалдарды талдау жүргізіліп, мамандардың қылмыстық іс шеңберіндегі қорытындысы дайындалып, Алматы қ. прокуратурасына тапсырылды.
Киберқауіпсіздікті қамтамасыз ету жүйесінің алдында жаңа әрі күрделі сынақтардың тұрғанына қарамастан, нарықтың бұл сегменті серпінді дамуда. Халықаралық тәжірибені талда, пайдаланудың, сондай-ақ кәсіби деңгейі жоғары мамандармен өзара тығыз іс-қимыл жасаудың арқасында Қазақстанның қаржы секторы туындайтын қауіп-қатерлерге тойтарыс беруге және ақпараттық әрі киберқауіпсіздікті қамтамасыз етуді одан әрі жетілдіруге дайын.