Центральный банк Узбекистана готовится изменить подход к надзору за кибербезопасностью коммерческих банков. Регулятор намерен учитывать не только соблюдение обязательных требований, но также уровень рисков и фактическую готовность каждой организации к инцидентам.
Об этом представитель Центра кибербезопасности Центрального банка CERT-CBU Мирзабек Бобожанов рассказал на Silk Road Finance & Technology Forum в Ташкенте.
По словам Бобожанова, ЦБ завершил работу над стратегией кибербезопасности банковского сектора и методологией оценки рисков с учётом зрелости коммерческих банков. Новую систему планируют внедрить в 2027 году.
Для банков предусмотрят четыре уровня киберзрелости. К значимым организациям будут предъявлять более строгие требования. Для банков с меньшим количеством клиентов и более ограниченным набором цифровых услуг требования будут мягче. Проверки планируют в первую очередь проводить в организациях, получивших низкие оценки.
Публично методология пока не представлена. Поэтому неизвестно, как будут называться четыре уровня, какие показатели войдут в оценку и что банк должен будет сделать, чтобы перейти на следующую ступень.
От формальных требований — к проверке на прочность
Сейчас надзор во многом строится вокруг выполнения обязательных правил: создал ли банк службу кибербезопасности, утвердил ли внутреннюю политику, защищает ли базы данных и сообщает ли регулятору об атаках.
Эти обязанности закреплены в Положении о минимальных требованиях к информационной безопасности и кибербезопасности коммерческих банков, зарегистрированном Министерством юстиции в августе 2025 года. Банки должны создавать специализированные службы, защищать информационные активы, предотвращать несанкционированный доступ к базам данных и незамедлительно уведомлять Центральный банк о признаках внешней атаки.
Риск-ориентированная модель должна добавить к этому оценку реальной устойчивости банка. Однако ЦБ пока не объяснил, какие именно возможности будет проверять.
В международной практике оценивается не только наличие документов и программ защиты. Важны способность банка вовремя обнаружить атаку, локализовать её, сохранить критические операции и восстановить работу после сбоя. Учитываются также действия руководства, подготовка сотрудников и безопасность сторонних поставщиков IT-услуг.
Международный валютный фонд относит пропорциональный и ориентированный на результат надзор к эффективным практикам регулирования киберрисков. Базельский комитет по банковскому надзору также отмечает, что регуляторы всё чаще оценивают устойчивость организаций к реальным угрозам, а не только формальное соответствие стандартам.
Это не означает, что небольшим банкам разрешат экономить на базовой защите. Минимальные требования должны сохраняться для всех. Различаться могут глубина и частота проверок, а также дополнительные меры, соответствующие масштабу банка и возможным последствиям атаки.
Контекст
Система банковской кибербезопасности в Узбекистане формируется не с нуля. Центр CERT-CBU действует с 2021 года. В его задачи входят мониторинг рисков, обмен информацией об инцидентах и предупреждение угроз в банках, платёжных организациях и у операторов платёжных систем, указывает Центральный банк.
В апреле 2025 года президентским постановлением № ПП-153 финансовую безопасность клиентов определили одной из приоритетных задач банков и платёжных организаций. Документ поручил внедрить порядок взыскания с финансовых организаций ущерба, если киберпреступление стало возможным из-за несоблюдения ими требований безопасности. Он также предусматривал создание централизованной антифрод-системы ЦБ и интеграцию транзакционных данных финансовых организаций с единой платформой регулятора.
В марте 2026 года была утверждена Стратегия кибербезопасности Узбекистана на 2026–2030 годы. Она предусматривает развитие взаимодействия между государственными органами, банками и операторами связи, а также создание системы оперативного выявления и блокировки действий мошенников.
Четыре уровня киберзрелости могут стать следующим этапом этой системы. Но пока неизвестно, будут ли оценки доступны клиентам и какие последствия ждут банки с низкими показателями.
Что это значит для клиентов банков?
Для клиента важно не то, какую цифру или цвет присвоят банку. Важнее, насколько быстро организация обнаружит подозрительную операцию, заблокирует перевод, сообщит об утечке данных и восстановит мобильное приложение после атаки.
При этом новая система не решит проблему финансового мошенничества сама по себе. Многие преступления связаны не со взломом банковской системы, а с социальной инженерией — когда человек под давлением мошенников сам сообщает код, пароль или данные карты. Здесь нужны не только технические меры, но и взаимодействие банков с операторами связи и понятные предупреждения для клиентов.
Отдельный вопрос — возмещение ущерба. Постановление № ПП-153 предусматривает внедрение механизма взыскания средств с финансовой организации, если преступление стало следствием её несоблюдения правил безопасности. Но клиенту необходима прозрачная процедура: кто устанавливает вину банка, куда подавать заявление, в какие сроки оно рассматривается и когда возвращаются деньги.
Польза новой модели станет заметна, если уровни киберзрелости будут связаны с реальными проверками, обязательными сроками устранения уязвимостей и ответственностью за нарушения. Важно и то, будет ли ЦБ раскрывать хотя бы часть результатов, чтобы клиент мог оценить не только удобство приложения и проценты по вкладу, но и способность банка защищать его деньги и данные.
Если же четыре уровня останутся внутренней классификацией без понятных последствий, большинство клиентов перемен просто не заметит.