Банк России представил правила защиты финансовых систем с ИИ
Как сообщает пресс-служба Банка России, регулятор впервые представил методические рекомендации, направленные на обеспечение информационной безопасности при внедрении технологий искусственного интеллекта в финансовом секторе. Документ призван систематизировать риски, связанные с использованием ИИ, и предоставить участникам рынка четкий алгоритм защиты от потенциальных атак злоумышленников.
Необходимость разработки данных стандартов обусловлена стремительной цифровизацией банковских услуг и ростом числа киберугроз, направленных на алгоритмические системы. Ранее финансовые организации действовали в условиях отсутствия единых регуляторных требований к безопасности ИИ, что создавало правовую неопределенность и повышало вероятность успешных атак на критическую инфраструктуру.
Согласно рекомендациям регулятора, в процессах с повышенным уровнем риска, таких как проведение платежных операций, внедрение ИИ должно сопровождаться обязательным контролем со стороны человека. В Банке России подчеркивают: «Если финансовая организация использует ИИ в критически важных процессах, рекомендуется, чтобы операцию подтверждал сотрудник». Это позволит минимизировать последствия возможных сбоев или целенаправленных манипуляций алгоритмами.
Для реализации предложенных мер финансовым институтам предписано разработать внутренние модели угроз и актуализировать политику информационной безопасности. Персональную ответственность за подготовку и внедрение этих документов регулятор возлагает на заместителя руководителя организации, курирующего вопросы защиты информации. Такой подход должен обеспечить системный контроль на уровне топ-менеджмента.
Отдельное внимание в документе уделено взаимодействию с внешними поставщиками ИИ-сервисов. Регулятор рекомендует финансовым компаниям отдавать предпочтение тем разработчикам, чьи модели проходят регулярную проверку на уязвимости. Наличие у поставщика программы поиска «багов» (bug bounty) рассматривается как важный индикатор надежности и доверия к используемому программному обеспечению.
