Вадим Уваров, директор департамента ИБ Банка России, признался в своем слове, что не ожидал такого пристального внимания к своему выступлению и докладам коллег.

Вероятно, интерес подогрело то, что времени остается совсем немного: с 1 сентября 2026 года должно осуществиться подключение клиентских операций у 22 значимых банков. С 1 сентября 2027 года — на очереди еще 214 банков с универсальной лицензией, а с 1 сентября 2028-го подключаются все остальные кредитные организации, платформы, биржи и посредники.

Как отметил один из спикеров: «Внедрение ЦР — это не только вопрос разработки. Из 16 этапов дорожной карты пять напрямую связаны с криптографией и ИБ. При этом этап проверки корректности встраивания программного модуля (ПМ) Банка России занимает около шести месяцев при общем времени подключения к платформе 12 месяцев. Этот этап на месяц дольше, чем классические IT-проекты, связанные с доработкой бэк-офисных систем или мобильного приложения банка, на которые отводятся по пять месяцев».

Вадим Уваров указал на еще одну ключевую особенность проекта ЦР: «Положение Банка России № 833-П предъявляет требование обязательного использования программного модуля СКЗИ Банка России на стороне клиента и наличия в кредитной организации двухконтурной системы контроля электронных сообщений, а также удостоверяющих центров (УЦ) для выпуска клиентских сертификатов. Поэтому ЦР — самый масштабный в стране проект по использованию криптографии, что делает его далеко не самым простым делом».

Цель регулятора в этих условиях заключается в том, чтобы внедрение ЦР происходило для кредитных организаций без избыточной нагрузки и резких изменений регуляторных подходов. Это возможно только при соблюдении всеми требований эксплуатационной документации на СКЗИ.

«В условиях динамичного изменения продукта эта задача стала для нас и коллег из ФСБ задачей со звездочкой. Ее решение было найдено в виде разработки и публикации Стандарта платформы цифрового рубля. Документ регулирует порядок оценки влияния приложений клиентов на работу СКЗИ, самой непростой части работ», — отметил представитель Банка России.

Согласно Стандарту, необходима оценка того, как работа ПО влияет на криптографические функции. Для этого финансовая организация должна создать службу безопасности и контроля, после чего необходимо заключить договор с испытательной лабораторией, уполномоченной 8-м центром ФСБ, а также передать в лабораторию исходный код, контрольные суммы и документацию на клиентское приложение. Лаборатория исследует приложение и выдает заключение. После этого участник получает выписку, которая дает право применять упрощенный порядок при изменениях в приложении.

Если изменения в приложении не затронули критический перечень, служба безопасности банка может сама зафиксировать изменения и отправить отчет в лабораторию — повторная оценка требоваться не будет, поэтому возможны обновления клиентского приложения.

Задача регулятора на будущее — рассмотреть возможность применения упрощенного порядка к другим значимым процессам на стороне банков.

Те, кто провели ранее долгие месяцы в согласованиях с регуляторами каждого изменения в ПО в связке с СКЗИ, могут выдохнуть и спокойно заниматься тем, от чего старались откреститься!