SECURITY RESILIENCE: подходы к оценке зрелости информационной безопасности (АФТ, Февраль 2026)

Дата публикации: Февраль 2026
Источник: Ассоциация ФинТех (АФТ)
Категории: Финтех, Информационная безопасность, Кибербезопасность

Дата публикации: Февраль 2026 Источник: Ассоциация ФинТех (АФТ) Категории: Финтех, Информационная безопасность, Кибербезопасность Сигналы: Trend, Watch

Описание-резюме отчета

В данном исследовании, проведенном Ассоциацией ФинТех, представлены результаты анализа применимости международных фреймворков информационной безопасности в специфических условиях российского финтех-сектора, а также предложен адаптированный фреймворк для самостоятельной оценки зрелости кибербезопасности. Отчет релевантен для финансовых организаций, испытывающих высокую регуляторную нагрузку и сталкивающихся с вызовами в области кибербезопасности, усиленными геополитической обстановкой.

Сама суть

АФТ предлагает адаптированную методологию оценки кибербезопасности, основанную на доменной модели NIST CSF 2.0, но с учетом требований российского законодательства (в частности, ГОСТ Р 57580). Основной вывод состоит в том, что международные фреймворки сохраняют методологическую ценность, но их прямое применение в РФ невозможно без глубокой адаптации. Наиболее применимыми домены NIST CSF оказались Governance, Protect и Respond, тогда как Identify, Detect и Recover требуют серьезной доработки механизмов реализации.

Ключевые инсайты для СЕО

Что работает

  1. Адаптация фреймворков: Комбинированный подход, где серия ГОСТ Р 57580 дополняется архитектурной моделью NIST CSF, является наиболее эффективным для российского финтеха. Это позволяет учитывать национальные требования и лучшие мировые практики одновременно.
  2. Стратегическое управление (Governance): Повышенная роль регуляторов и актуальные геополитические факторы делают домен Governance критически важным для формирования приоритетов ИБ, управления импортозамещением и локализацией данных.
  3. Защита и реагирование (Protect и Respond): Эти домены имеют высокую применимость, особенно с учетом регламентированных сроков уведомления о киберинцидентах и необходимости адаптации архитектурных решений под отечественное ПО и инфраструктуру.

Что НЕ работает

  1. Прямое применение зарубежных стандартов: Без адаптации международные стандарты ИБ не могут быть эффективно применены из-за требований по локализации данных, импортозамещению ПО и специфике взаимодействия с российскими регуляторами.
  2. Идентификация угроз (Identify): Отсутствие единой широкодоступной платформы обмена информацией об угрозах (CTI) и ограниченный доступ к международным источникам усложняют процессы анализа угроз и оценки рисков.
  3. Обнаружение и восстановление (Detect и Recover): Ограничения на использование зарубежных платформ Threat Intelligence, локальное размещение систем мониторинга и резервных копий, а также недостаточная зрелость отечественных решений снижают эффективность этих доменов без локальных доработок.

Радар возможностей и ловушек

ВозможностиЛовушки
Создание адаптированного фреймворка: Использование предложенного АФТ фреймворка для самостоятельной оценки и улучшения кибербезопасности.Негибкость к изменениям: Прямое копирование международных практик без учета местной специфики и регуляторных требований.
Инвестиции в отечественные решения: Использование и развитие российского ПО и инфраструктуры для обеспечения ИБ, что снижает геополитические риски.Зависимость от ограниченного выбора: Ограниченный выбор и не всегда достаточная зрелость отечественных средств ИБ, а также высокая стоимость владения.
Укрепление управления цепочками поставок: Особое внимание к управлению внешними зависимостями и рисками, связанными с поставщиками в условиях повышенной уязвимости.Угрозы от третьих сторон: Низкая зрелость управления рисками цепочки поставок, увеличивающая вероятность проникновения угроз через партнеров.
Повышение квалификации персонала: Инвестиции в развитие внутренних компетенций, особенно в области цифровой форензики и реагирования на инциденты, ввиду ограничений на зарубежные сервисы.Нехватка квалифицированных кадров: Отсутствие достаточных внутренних компетенций и ограниченные возможности привлечения внешних экспертов по инцидентам и форензике.

Что это значит для бизнеса

  • Для Финтех-организаций: Необходимость проведения самооценки по адаптированному фреймворку АФТ, формирование дорожной карты по улучшению кибербезопасности с учетом специфики российского регулирования и инвестиции в отечественные решения.
  • Для Банков: Усиление роли домена Governance, интеграция требований ГОСТ Р 57580 с лучшими практиками NIST CSF, а также активное взаимодействие с регуляторами и ФинЦЕРТ Банка России в рамках управления киберинцидентами.
  • Для Провайдеров ИБ-решений в РФ: Акцент на разработке и улучшении отечественных продуктов, способных конкурировать с зарубежными аналогами по функциональности и стоимости, с учетом требований по локализации и импортозамещению.

Вопросы для управленческой команды

  1. Насколько наша текущая система кибербезопасности соответствует адаптированному фреймворку АФТ, и каковы наши основные пробелы?
  2. Какие инвестиции требуются для развития внутренних компетенций в области цифровой форензики и реагирования на инциденты?
  3. Какова стратегия нашей организации по импортозамещению в области ИБ, и как мы управляем рисками, связанными с зависимостью от отечественных поставщиков?

Stratsessions Signals

  • Trend: Адаптация международных стандартов ИБ к национальным условиям является необходимостью для российского финансового сектора. Фокус на отечественных решениях и внутренних компетенциях.
  • Watch: Эффективность и зрелость отечественных ИБ-решений, развитие централизованных систем CTI в России, а также изменение регуляторных требований и геополитической обстановки.
  • Cut: Прямое и бездумное применение зарубежных стандартов без адаптации к российскому контексту, а также полная зависимость от международных платформ и сервисов.

Для кого полезно

  • СЕО и топ-менеджеры в финансовом и финтех-секторах
  • Директора по информационной безопасности (CISO) и руководители ИТ-департаментов
  • Директора по стратегии и управлению рисками в финансовых организациях

Call to Action

  • Провести самостоятельную оценку зрелости кибербезопасности своей организации с использованием фреймворка АФТ.
  • Подпишитесь на Stratsessions Digest: 5 отчетов → 5 идей → 5 минут

Понравился материал?

Подпишитесь на обновления, чтобы не пропустить новые исследования и инсайты

Все инсайты