Облачные провайдеры и финансовые организации разрабатывают единые критерии тестирования облачных платформ для банковского сектора, сообщают «Ведомости». В частности, предусматривается проверка соответствия облачного контура требованиям приказа ФСТЭК № 239 в отношении объектов критической информационной инфраструктуры (КИИ). Ранее таких требований к облачным платформам для банков не предъявлялось. Публичные тестирования начнутся в IV квартале 2026 года.

Рабочая группа предлагает проверять изоляцию данных и сетей между клиентами облака и централизованное управление доступом. Другими обязательными критериями станут ежегодное тестирование платформы на проникновение и шифрование, а также защита внешнего трафика от кибератак. В итоговый вариант тестирования вошло более 100 критериев. К настоящему времени сформированы требования к облачной инфраструктуре, и система готова к тестированию.

Работа проходит в рамках рабочей группы отраслевого полигона индустриальных центров компетенций (ИЦК) «Финансы». В подготовке и проведении испытаний принимают участие производители решений, операторы полигонов, независимые испытательные лаборатории и участники ИЦК. Своё участие подтвердили крупные облачные провайдеры РТК-ЦОД, Cloud.ru и «Т1 облако», а также ПСБ. По данным источников, в тестах будут участвовать Yandex Cloud и VK Cloud. Кроме того, в работе задействованы крупнейшие банки и представители финтеха, а всю работу модерирует Банк России.

Опрошенные «Ведомостями» эксперты подчеркивают, что создание полигона позволит использовать облака не только крупным банкам, у которых есть значительные ресурсы, но и небольшим организациям. Для них почти невозможно самостоятельно создать инфраструктуру для цифрового рубля, которая соответствовала бы нормативным требованиям и была аттестована. Отдельный трек посвящён именно этому.

Руководитель направления развития продуктов кибербезопасности Cloud.ru Максим Долгинин отмечает, что работа полигона должна продемонстрировать готовность облачных провайдеров к размещению объектов КИИ и показать, чем отличается один провайдер от другого. В рамках тестирования можно будет увидеть, как реализуется управление виртуальными ресурсами, функции безопасности или работа в отказоустойчивом режиме.

Директор К2 Cloud Сергей Зинкевич считает, что для выполнения предложенных требований необходима серьёзная подготовка облачной инфраструктуры. По его словам, для большинства существующих публичных облаков наиболее реалистичным решением станет создание отдельного защищённого контура. Внедрение дополнительных защитных механизмов делает инфраструктуру дороже, а это прямо влияет на клиентский тариф.

Консультант по безопасности Positive Technologies Алексей Лукацкий считает, что предложенные критерии — хорошая отправная точка для оценки технической зрелости и защищённости облачной платформы, но их недостаточно, чтобы автоматически признать её пригодной для размещения значимых объектов КИИ. «Главный риск заключается в том, что организация перестаёт полностью контролировать инфраструктуру, от которой зависит выполнение её критически важных процессов», — подчеркнул эксперт. По его мнению, для значимых объектов КИИ необходимо проверять в том числе способность банка продолжать критически важные операции при длительной или полной недоступности самого провайдера облачных услуг.

Руководитель направления продуктов и архитектурных решений Linx Cloud Алексей Корулин считает, что пока говорить о массовом переносе значимых объектов КИИ преждевременно. Основным барьером является необходимость доказать безопасность и устойчивость всей системы после миграции, а не только наличие средств защиты у провайдера. Требования приказа ФСТЭК № 239 распространяются на объект целиком, включая приложения, сети и среду виртуализации. К этому добавляется сложность переноса существующих банковских систем.

ИЦК (индустриальные центры компетенций) — отраслевые IT-консорциумы, которые объединяют индустриальных заказчиков и разработчиков IT-решений для импортозамещения софта. ИЦК «Финансы» курирует проекты по созданию отечественного программного обеспечения для финансового сектора.

Приказ ФСТЭК № 239 устанавливает требования к обеспечению безопасности значимых объектов критической информационной инфраструктуры. До сих пор облачные платформы для банковского сектора не проверялись на соответствие этим требованиям. Теперь это станет обязательным условием для размещения значимых объектов КИИ в облаках, что особенно важно в контексте внедрения цифрового рубля и перехода банков на отечественные IT-решения.