Как защищены банковские приложения, рассказали в АРРФР

Агентство Республики Казахстан по регулированию и развитию финансового рынка на постоянной основе принимает меры по обеспечению информационной безопасности, в том числе по кибербезопасности мобильных приложений финансовых организаций.

В настоящее время действуют требования по обязательному применению двухфакторной аутентификации с использованием биометрии в качестве основного фактора при оказании клиентам финансовых организаций дистанционных услуг.

В целях усиления защиты граждан с июля 2024 года введена обязательная дополнительная биометрическая идентификация при выдаче банками и МФО кредитов электронным способом.

Кроме того, в августе 2024 года агентство ввело Правила проведения биометрической идентификации, обязывающие к двухэтапной проверке изображения.

Сначала на стороне мобильного приложения проверяется присутствие реального клиента, а не его подставного фото или видеокопии. Это называется – проверка достоверности изображения клиента. Затем на этапе биометрической идентификации осуществляется сверка изображения лица клиента с эталонной базой. По результатам двух этапов биометрической проверки финансовая организация принимает решение о возможности предоставления дистанционной услуги.

Для обеспечения в последующем возможности проверки результатов биометрической идентификации агентство установило требования о хранении нескольких изображений, полученных из видеопотока, в виде электронного документа в течении всего срока действия кредита. Данные механизмы являются обязательными для банков и МФО при выдаче кредитов и микрокредитов через интернет.

Кроме того, агентство в октябре 2023 года ввело дополнительные требования к безопасности информационных систем и мобильных приложений банков и МФО:

• до ввода в эксплуатацию мобильные приложения подлежат обязательной проверке на безопасность исходного кода;
• при наличии на мобильном устройстве признаков взлома или удаленного управления блокируется сервис онлайн-оформления займа;
• для выявления случаев международного мошенничества обеспечивается запись геолокационных данных клиента.

Вместе с тем законодательно усилена защита прав граждан, на которых оформлены фиктивные кредиты:

• с 20 августа 2024 года введена обязанность кредиторов приостановить начисление вознаграждения и претензионно-исковую работу на весь период проведения следственных мероприятий по мошенническим кредитам;
• требования к клиенту по фиктивным кредитам прекращаются по вступившему в законную силу решению суда, в котором установлен факт оформления займа мошенническим способом без участия клиента;
• с 1 сентября 2024 года введена обязанность кредиторов списать долг по кредитам граждан, незаконно оформленным в период установления добровольного отказа от получения кредита (услуга "Стоп-кредит").
  В целях обеспечения исполнения банками требований по информационной безопасности агентство регулярно проводит контрольные и надзорные мероприятия.

В текущем году проведены проверки в отношении 14 БВУ, предоставляющих дистанционные услуги посредством мобильных приложений, на предмет соответствия требованиям информационной безопасности используемых программно-технических средств. В результате в отношении семи БВУ применены меры надзорного реагирования. Все выявленные нарушения оперативно устранены банками.

Кроме того, согласно закону "О персональных данных и их защите", уполномоченным органом в этой сфере является Комитет по информационной безопасности Министерства цифрового развития, инноваций и аэрокосмической промышленности Республики Казахстан (КИБ МЦРИАП), в чьи функции входит участие в реализации государственной политики в сфере персональных данных и их защиты.

КИБ МЦРИАП в рамках своих полномочий осуществляет контроль за соблюдением требований по защите персональных данных, в том числе БВУ, проводя проверки по жалобам физических лиц на возможные утечки данных.

За утечку персональных данных законодательством предусмотрена как административная, так и уголовная ответственность.