Банки Индонезии должны постоянно отслеживать уязвимости ИТ-систем и контролировать риски внешних поставщиков. С марта 2026 г. требования к подрядчикам ужесточились: договоры с ними должны предусматривать право финансового регулятора на аудит. Для банков это означает усиление контроля программного обеспечения и инфраструктуры, которые обслуживают сторонние компании.

Новое положение PADK OJK 1/2026 вступило в силу 1 марта 2026 г. Оно обязывает банки закреплять в договорах право Управления финансовых услуг Индонезии (OJK) проверять ИТ-поставщиков. Банкам необходимо пересмотреть соглашения с подрядчиками и порядок оценки рисков. За нарушение требований предусмотрены санкции вплоть до ограничения деятельности и отзыва лицензии.

Главная техническая проблема связана с уязвимостями во внешних системах. Даже при защищенной собственной инфраструктуре банк может столкнуться с угрозой через программное обеспечение подрядчика. Поэтому действующие правила OJK предусматривают непрерывный мониторинг уязвимостей, тестирование на проникновение и моделирование кибератак. Ежегодная проверка не позволяет своевременно выявлять все изменения в системах поставщиков.

Дополнительные требования касаются реагирования на инциденты. Банки должны направлять первоначальное уведомление в OJK в течение 24 часов после обнаружения кибератаки, а полный отчет представлять за пять рабочих дней. Если происшествие затронуло внешнюю ИТ-систему, финансовой организации необходимо оперативно получить технические сведения от подрядчика.

Сократить время расследования помогают системы управления событиями информационной безопасности (SIEM), инструменты поведенческого анализа и автоматизации реагирования (SOAR). Они позволяют сопоставлять данные из разных источников, выявлять подозрительную активность и автоматизировать обработку инцидентов.

«Для ИТ-поставщиков, работающих с банками Индонезии, право OJK на аудит становится условием договора. Банк теперь выбирает не только по функциональности продукта, но и по тому, насколько можно проверить защищенность поставщика, отслеживать уязвимости и получать данные об инцидентах в установленные сроки. На практике это повышает ценность локального присутствия и готовности к аудиту», — прокомментировал Иван Горковенко, региональный директор ГК Softline по Юго-Восточной Азии.

Источник: