ИТ-подрядчикам в РФ хотят открыть доступ к банковской тайне

Банкам хотят разрешить передавать банковскую тайну на сторону — внешним ИТ-подрядчикам. Поправки подготовила рабочая группа «Инфраструктура и ЦОДы для искусственного интеллекта» при правительственной подкомиссии по развитию ИИ.

Хранить и обрабатывать такие данные позволят аккредитованным ИТ-компаниям, но с жёстким условием — на серверах, которые принадлежат им самим. Плюс обяжут сообщать об инцидентах с защитой информации в течение двух часов после их выявления. Как первым написал Forbes, вся соль поправок — именно в ограничении по «принадлежащим серверам».

Зачем это вообще понадобилось? Причина прозаична — санкции и разрыв цепочек поставок оборудования. Расширять собственные серверные мощности банкам стало дорого и местами невозможно, а закон до сих пор фактически запирает чувствительные данные внутри их контура.

Отсюда и желание легализовать аутсорсинг. Есть и ещё один чувствительный нюанс: по замыслу, как отмечают эксперты, отдельного согласия клиента на обработку его данных третьим лицом спрашивать не придётся — ответственность за тайну подрядчик будет нести наравне с банком.

Два слова, которые решают всё

Почему это так важно? Потому что сейчас аутсорсинг разработки упирается в закон, и многие банки просто боятся работать с поставщиками из-за риска нарушить банковскую тайну. Поправки идут не на пустое место, а к законопроекту, который Госдума приняла 30 ноября 2023 года в первом чтении, да так и завис перед вторым. Документ вводит в право новую фигуру — поставщика услуг ИТ- и облачного аутсорсинга, на которого распространят ответственность за разглашение банковской и иных охраняемых тайн, а Центробанк получит право устанавливать требования к привлечению таких компаний.

В комитете Госдумы по финрынку инициативу поддерживают. Его глава Анатолий Аксаков, как подготовила рабочая группа поправки, считает, что облака помогут банкам сократить расходы на обработку больших массивов данных. Логика понятна: зачем каждому банку строить и греть собственный ЦОД, если мощности можно арендовать у профильного игрока. Минфин законопроект в целом поддержал, оговорившись лишь, что работу аудиторов с аутсорсерами стоит регулировать отдельно.

Арендуешь сервер? Ты за бортом

А вот тут и начинается главная загвоздка — в самой формулировке «принадлежащие серверы». Аренда стойки в дата-центре, публичное облако, оборудование соседней фирмы из той же группы — всё это рискует выпасть из-под регулирования. Получается абсурд: две компании с абсолютно одинаковым уровнем защиты окажутся в разных условиях просто из-за того, на чьём железе физически стоят серверы. Одна купила — ей можно, другая взяла в лизинг — ей нельзя.

Проблема не теоретическая. Лизинг, аренда и инфраструктура внутри группы — это, по словам Inc, самые распространённые на рынке модели работы с оборудованием. Под требование о собственности они не подпадают. Добавьте сюда второй фильтр — обязательную ИТ-аккредитацию, которой обладают далеко не все операторы дата-центров, а с 2026 года требования к ней ещё и ужесточили.

На выходе круг допущенных сужается до считаных крупных игроков — и возникает вопрос, не превратится ли норма, задуманная ради конкуренции и экономии, в инструмент отсечения большинства подрядчиков.

Всё решает одно слово — «собственные»

Начнём с лексики, потому что вся конструкция держится буквально на одном слове — «собственные». По действующей редакции привлекать можно аккредитованные ИТ-компании в целом, а поправки сужают круг до тех, у кого серверы именно в собственности. Разница кажется мелкой, но она отсекает лизинг, аренду и облако одним росчерком.

Поэтому юристы предлагают формулировку смягчить — добавить к праву собственности «иное законное основание», иначе целые бизнес-модели остаются вне закона не по сути, а по форме владения железом. Пока этой правки нет, норма наказывает не за слабую защиту, а за способ, которым подрядчик получил свои серверы.

Но настоящая дыра даже не в серверах, а в судьбе договора при потере аккредитации. И вот где поправки молчат. Представим: банк передал тайну аккредитованному подрядчику, а тот через год свой ИТ-статус потерял. Что происходит с уже переданными данными? Кто их удаляет, возвращает, под чью ответственность они попадают в этот момент? Закон ответа не даёт.

А до тех пор, пока это не прописано, как замечает CISOClub, банк несёт риск за данные, которые уже ушли на чужое железо и живут вне его контроля. Для банковской тайны это не мелкая недоработка, а зияющий пробел.

Третий вопрос — двухчасовой срок на уведомление об инциденте. Это не формальность для галочки, а жёсткий операционный норматив, который неизбежно ляжет в договоры между банком и подрядчиком и станет точкой разграничения ответственности. Пропустил двухчасовое окно — уже нарушил требование к защите информации, со всеми вытекающими для обеих сторон: для подрядчика это штраф и репутация, для банка — объяснения перед регулятором.

По сути, две невинные на вид строчки — «собственные серверы» и «два часа» — перекраивают всю будущую архитектуру отношений банка с ИТ-подрядчиком.