АРРФР проверило казахстанские банки
В ведомстве рассказали о мерах по обеспечению информационной безопасности финансовых организаций и противодействию мошенничеству.
Агентство Республики Казахстан по регулированию и развитию финансового рынка на постоянной основе принимает меры по обеспечению информационной безопасности, в том числе по обеспечению кибербезопасности мобильных приложений финансовых организаций.
В настоящее время действуют требования по обязательному применению двухфакторной аутентификации с обязательным использованием биометрии в качестве основного фактора при оказании клиентам финансовых организаций дистанционных услуг.
В целях усиления защиты граждан с июля 2024 года введена обязательная дополнительная биометрическая идентификация при выдаче банками и МФО кредитов электронным способом. Кроме того, в целях недопущения использования для оформления электронного займа фотографий или видеозаписей посторонним человеком в августе 2024 года Агентством введены Правила проведения биометрической идентификации, которыми установлена обязанность осуществления двухэтапной проверки изображения.
«В первую очередь, на стороне мобильного приложения проверяется присутствие реального клиента, а не его подставного фото или видеокопии. Это называется — проверка достоверности изображения клиента. На следующем этапе биометрической идентификации осуществляется сверка изображения лица клиента с эталонной базой. По результатам двух этапов биометрической проверки финансовая организация принимает решение о возможности предоставления дистанционной услуги. Для обеспечения в последующем возможности проверки результатов биометрической идентификации Агентством установлены требования о хранении нескольких изображений, полученных из видеопотока, в виде электронного документа в течение всего срока действия кредита», — пояснили в ведомстве.
Эти механизмы являются обязательными для банков и микрофинансовых организаций при выдаче кредитов и микрокредитов через интернет.
Кроме того, ранее, для усиления защиты граждан Агентством в октябре 2023 года введены дополнительные требования к безопасности информационных систем и мобильных приложений банков и МФО:
— до ввода в эксплуатацию мобильные приложения подлежат обязательной проверке на безопасность исходного кода;
— при наличии на мобильном устройстве признаков взлома или удаленного управления блокируется сервис онлайн-оформления займа;
— для выявления случаев международного мошенничества обеспечивается запись геолокационных данных клиента.
Вместе с тем, Агентством приняты меры по защите граждан от мошенничества. Так, законодательно усилена защита прав граждан, на которых оформлены фиктивные кредиты:
— с 20 августа 2024 года введена обязанность кредиторов приостановить начисление вознаграждения и претензионно-исковую работу на весь период проведения следственных мероприятий по мошенническим кредитам;
— требования к клиенту по фиктивным кредитам прекращаются по вступившему в законную силу решению суда, в котором установлен факт оформления займа мошенническим способом без участия клиента;
— с 1 сентября 2024 года введена обязанность кредиторов списать долг по кредитам граждан, незаконно оформленным в период установления добровольного отказа от получения кредита (услуга «Стоп-кредит»).
В целях обеспечения исполнения банками требований по информационной безопасности Агентством регулярно проводятся контрольные и надзорные мероприятия. В текущем году Агентством проведены проверки в отношении 14 банков второго уровня, предоставляющих дистанционные услуги посредством мобильных приложений, на предмет соответствия требованиям информационной безопасности используемых программно-технических средств. В результате в отношении 7 банков второго уровня применены меры надзорного реагирования. Все выявленные Агентством нарушения банками оперативно устранены.
«Дополнительно сообщаем, что согласно закону „О персональных данных и их защите“ уполномоченным органом в сфере защиты персональных данных является Комитет по информационной безопасности Министерства цифрового развития, инноваций и аэрокосмической промышленности Республики Казахстан (далее — КИБ МЦРИАП), в чьи функции входит участие в реализации государственной политики в сфере персональных данных и их защиты. КИБ МЦРИАП в рамках своих полномочий осуществляет контроль за соблюдением требований по защите персональных данных, в т. ч. банками второго уровня, посредством проведения проверок по жалобам физических лиц на возможные утечки персональных данных. За утечку персональных данных законодательством предусмотрена как административная, так и уголовная ответственность», — подытожили в АРРФР.