Информационная безопасность для банков, МФО и страховых организаций Казахстана

Финансовые организации Казахстана — это банки второго уровня (БВУ), филиалы банков-нерезидентов, микрофинансовые организации (МФО), страховые и перестраховочные компании, платёжные организации, брокеры и ломбарды. Все они работают под надзором Агентства по регулированию и развитию финансового рынка (АРРФР) и Национального Банка РК, обрабатывают персональные и платёжные данные сотен тысяч клиентов и потому остаются главной целью мошенников и инсайдеров. Genius Systems с 2012 года внедряет информационную безопасность для банков, МФО и страховых организаций Казахстана — Усть-Каменогорск, Астана, Алматы, Караганда, Павлодар, Семей. Работаем с продуктами Kaspersky, Falcongaze, GTB Technologies, Palo Alto Networks, Check Point, Fortinet, Invicti, Tenable, Rapid7 и Veeam, проводим пентест, аудит и обучение сотрудников.

Требования регулятора

Финсектор — одна из немногих отраслей в Казахстане, где требования к ИБ прописаны отраслевым регулятором отдельно и проверяются на плановых и внеплановых проверках.

• Постановление Правления Нацбанка РК № 48 от 27.03.2018 «Требования к обеспечению информационной безопасности банков, филиалов банков-нерезидентов и организаций, осуществляющих отдельные виды банковских операций» (с изменениями). Требует службу ИБ, политику и регламенты, управление доступом, регистрацию и мониторинг событий, защиту от вредоносного ПО и утечек, резервное копирование, регулярный аудит и тестирование на проникновение.
• Правила и сроки предоставления информации об инцидентах ИБ — часть того же постановления: банк обязан фиксировать инциденты, включая сбои информационных систем, и передавать сведения о них регулятору в установленные сроки.
• Требования АРРФР к МФО и страховым организациям — отдельные постановления Агентства, по составу близкие к банковским: организация ИБ, защита данных клиентов, управление инцидентами, контроль доступа.
• Подключение к отраслевому центру ИБ. Для банков предусмотрен обмен информацией об инцидентах и угрозах с центром информационной безопасности Нацбанка; для организаций из перечня КВОИКИ действует обязанность подключения к ОЦИБ в течение 90 календарных дней.
• Закон о платежах и платёжных системах (№ 11-VI от 26.07.2016) — требования к платёжным организациям и операторам платёжных систем, включая непрерывность и защиту платёжной информации.
• PCI DSS — для всех, кто хранит, обрабатывает или передаёт данные платёжных карт: эмитенты, эквайеры, платёжные организации, процессинг. Действующая версия — 4.x.
• Закон о цифровизации и защите персональных данных (с 25.08.2026): уведомление регулятора об утечке в течение одного рабочего дня, реестр нарушений, штрафы до 2000 МРП. Цифровой кодекс РК действует с 12.07.2026, закон «Об информатизации» переименован в закон «О кибербезопасности».

Начинаем с аудита соответствия: сверяем каждый пункт требований с фактическим состоянием и отдаём план с приоритетами.

Угрозы 2026 для финсектора РК

• Фишинг под бренд банка. Сайты-клоны, SMS и письма «о блокировке карты», рассылки в WhatsApp и Telegram. По данным KZ-CERT за первое полугодие 2026 года зафиксировано 353 фишинговых инцидента, а число случаев несанкционированного доступа выросло в 26 раз. Как распознать — в статье Фишинг 2026: как распознать письмо.
• Дропперы и мошеннические колл-центры. Схемы «безопасного счёта», перевод через подставных лиц, давление на пожилых клиентов — банк несёт репутационные и финансовые потери, даже если его системы не взломаны.
• Атаки на API мобильного банкинга. Перебор учётных данных, обход лимитов, злоупотребление логикой переводов и бонусов. По Verizon DBIR 2026 эксплуатация уязвимостей стала вектором № 1 (31 %).
• Инсайдерские утечки клиентских баз. Сотрудник отделения или колл-центра выгружает данные заёмщиков «под заказ». F6 насчитала 12 опубликованных утечек казахстанских компаний за полугодие 2026 — столько же, сколько за весь 2025 год.
• DDoS и вымогатели. Check Point фиксирует 2 336 атак на организацию в неделю (+16 %), а Kaspersky — рост бэкдоров на бизнес в Казахстане на 56 %.

Подробная картина угроз с цифрами по Казахстану и миру — в нашем ИБ-дайджесте за август 2026.

Что внедряем

Задача	Решение	Вендоры / продукты	Срок
Контроль утечек клиентских данных	DLP	Falcongaze SecureTower, GTB Technologies	Пилот 2–4 недели, внедрение 1–2 месяца
Мониторинг событий и отчётность об инцидентах	SIEM	Kaspersky Unified Monitoring and Analysis Platform (KUMA), Energy Logserver	1–2 месяца
Защита периметра и филиалов	NGFW	Palo Alto Networks, Check Point, Fortinet	3–6 недель
Защита веб-приложений и API, уязвимости	Управление уязвимостями	Invicti (ex-Acunetix), Tenable, Rapid7	3–5 недель, далее регулярно
Тестирование на проникновение	Пентест	Внешний, внутренний, веб и API, социальная инженерия	2–4 недели
Раннее обнаружение фишинга и утечек учётных данных	Киберразведка	Kaspersky Threat Intelligence, Check Point ThreatCloud, Palo Alto Networks Unit 42	2–3 недели
Восстановление после вымогателей	Резервное копирование	Veeam с неизменяемыми репозиториями	2–4 недели
Контроль ИИ-ассистентов и чат-ботов	Защита ИИ	Политики доступа к данным, защита от инъекций промптов	2–4 недели
Обучение сотрудников	Тренинги по ИБ	Курсы для персонала отделений и колл-центров, учебный фишинг	1–2 дня, далее ежеквартально

Все решения интегрируем между собой: события DLP и NGFW уходят в SIEM, индикаторы киберразведки — в NGFW и SIEM, результаты сканирования уязвимостей — в план устранения с контролем сроков. Как выбрать DLP под требования финсектора — в статье Как выбрать DLP-систему в Казахстане.

Как проходит проект

1. Аудит соответствия. 2–3 недели: сверка с требованиями Нацбанка и АРРФР, инвентаризация систем и данных, интервью с ИТ и ИБ, отчёт с приоритетами.
2. Дорожная карта. 1 неделя: что закрыть до проверки, что — в плановом порядке, бюджет и техспецификации для закупки.
3. Пилоты. 2–4 недели каждый: DLP на 20–50 рабочих местах, SIEM на ключевых источниках, NGFW в тестовом сегменте — на ваших данных и трафике.
4. Внедрение. 1–3 месяца в зависимости от состава: развёртывание, настройка политик и корреляционных правил, интеграция с Active Directory, АБС и процессингом, подключение к SIEM.
5. Документы для регулятора. Параллельно с внедрением: политики, регламенты, журнал инцидентов, порядок уведомления — в формулировках, которые ждёт проверка.
6. Пентест и приёмка. 2–4 недели: проверяем результат внешним и внутренним тестированием, устраняем находки, повторно проверяем.
7. Сопровождение. Обновление правил под новые схемы мошенничества, ежеквартальные сканирования, учебный фишинг, помощь при инцидентах и проверках.

Почему Genius Systems

• Работаем с информационной безопасностью с 2012 года; знаем, что спрашивает проверка Нацбанка и АРРФР и какие документы должны быть на руках.
• Опыт в финсекторе — внедрение DLP в страховой компании: пилоты по нескольким вендорам, политики под требования регулятора, юридическое оформление контроля сотрудников.
• Партнёрства с Kaspersky, Falcongaze, GTB Technologies, Palo Alto Networks, Check Point, Fortinet, Invicti, Rapid7, Tenable и Veeam — официальные поставки, лицензии и поддержка вендора.
• Комплексность: одна команда закрывает DLP, SIEM, NGFW, киберразведку, резервное копирование и защиту ИИ-ассистентов, а не пять подрядчиков с пятью зонами ответственности.
• Пилот до закупки: платите за решение, которое проверили на своих данных. Участвуем в закупках через goszakup.gov.kz и портал Самрук-Казыны, готовим техспецификацию.

Обсудить проект или проверку регулятора — контакты.