Информационная безопасность организаций, осуществляющих обмен цифровых валют
Помогаем организациям, осуществляющим обмен цифровых валют, защитить сервисы обмена криптовалют и ИТ-инфраструктуру: клиентские данные, рабочие места, онлайн-сервис и резервный комплекс.
«Лаборатория безопасности» помогает новым и действующим организациям, осуществляющим обмен цифровых валют, определить требования к защите информации, спроектировать инфраструктуру, внедрить средства защиты и проверить готовность к работе. Реализуем проекты по всей России — для онлайн-сервисов, офисов и сетей подразделений.
Что меняют новые правила
Российское регулирование выделяет организацию, осуществляющую обмен цифровых валют, — ОООЦВ. Для работы в этом статусе предусмотрено включение в реестр Банка России. ИТ-проект строим с учётом функций именно организации; услуги цифрового депозитария требуют отдельного рассмотрения.
Основной и резервный комплексы в России
Часть 4 статьи 44 закона № 282-ФЗ предусматривает оба комплекса, соответствие средств характеру операций, бесперебойность и сохранность данных, включая резервное копирование.
Требования в навигаторе Банка России ↗Защита клиентских анкет и документов
Для процессов обработки персональных данных определяем правовые основания, состав ИСПДн, угрозы и необходимые организационные и технические меры по 152-ФЗ. В периметр обследования включаем CRM, идентификацию клиентов, сайт и подрядчиков.
Защита персональных данных →Отраслевые требования к ИБ
Опубликован проект расширения 757-П на ОООЦВ. В проекте предусмотрены разные уровни защиты и отложенные сроки. Используем его для планирования; обязательные требования фиксируем по вступившей в силу редакции и статусу организации.
Текст проекта от 25.09.2026 ↗Нормативная информация проверена 5 ноября 2026 года. Перед началом проекта повторно уточняем редакции актов, даты применения и условия допуска конкретной организации. Состав работ закрепляем в матрице требований.
Какие наши услуги нужны организации, осуществляющей обмен цифровых валют
Начинаем с обследования и расставляем приоритеты по рискам, требованиям и срокам запуска. Для каждого направления определяем измеримый результат.
| Задача организации | Что делаем | Что получает заказчик |
|---|---|---|
| Понять готовность к запуску | Аудит ИБ: системы, потоки данных, доступы, подрядчики, действующие требования и пробелы. | Матрица «требование — мера — подтверждение», реестр рисков и план внедрения с приоритетами. |
| Сохранить работу при отказе | Основной и резервный ИТ-комплексы, резервное копирование, восстановление, резервирование связи и питания. | Архитектура размещения в РФ, настроенный резерв и протоколы проверки восстановления. |
| Защитить данные клиентов | Защита ИСПДн: обследование обработки данных, модель угроз, разграничение доступа, документы и контроль эффективности мер. | Согласованный комплект документов, реализованные меры и результаты их проверки. |
| Разделить клиентский и служебный доступ | Сегментация сети и защищённые каналы; отдельные доступы операторов, администраторов и подрядчиков, многофакторная аутентификация. | Схема сетей и связей, матрица прав, управляемый удалённый доступ и журналы действий. |
| Проверить онлайн-сервис | Тестирование сайта, API и периметра: авторизация, разделение ролей, доступ к заявкам, документам и административным функциям. | Отчёт о подтверждённых уязвимостях, рекомендации разработчику и повторная проверка исправлений. |
| Внедрить средства защиты | Подбор, поставка и настройка СЗИ: защита рабочих станций и серверов, межсетевые экраны, средства контроля доступа и событий. | Совместимый комплект решений с обоснованием состава, лицензиями и эксплуатационной документацией. |
| Подготовить подтверждающие материалы | Оценка по применимым требованиям финансового сектора и техническое сопровождение проверок. | Документы и фактические свидетельства выполнения мер ИБ; перечень оставшихся несоответствий. |
| Поддерживать защиту после запуска | ИТ-сопровождение: обновления, контроль резервных копий, пересмотр доступов, мониторинг и регламенты реагирования. | Согласованный график обслуживания, зоны ответственности, отчёты и порядок эскалации инцидентов. |
Защита с учётом модели организации
Офис обслуживания
Рабочие места операторов, сканирование и хранение документов, доступ к учётной системе и внешним сервисам. Отделяем гостевую сеть от служебной, ограничиваем выгрузки данных, защищаем носители и административные учётные записи.
Онлайн-сервис
Сайт, личный кабинет, API и административная панель. Проверяем права доступа, защиту сессий, загрузку документов, интеграции с банком и депозитарием. Обсуждаем защиту веб-приложений и от перегрузки канала с учётом архитектуры и поставщиков услуг.
Сеть офисов и подрядчиков
Защищённые соединения между площадками, централизованные учётные записи, персональные доступы разработчиков и техподдержки. Фиксируем, какие данные передаются каждому подрядчику и кто отвечает за их защиту и восстановление.
Резервирование, которое можно проверить
Резервная копия и резервный комплекс решают разные задачи. Копия помогает вернуть данные; резервный комплекс обеспечивает среду для возобновления работы. В проекте предусматриваем оба механизма.
Рабочие сервисы
Заявки, клиентские данные, учёт операций, служебные интеграции.
Данные и настройки
Раздельные права, контроль выполнения заданий, защита от удаления и повреждения.
Восстановление работы
Подготовленная среда, порядок переключения и проверка доступности сервисов.
Это пример проектного подхода. Разнесение площадок и техническую схему выбираем после анализа общих точек отказа, нагрузки и допустимого простоя.
- Согласуем допустимый перерыв работы (RTO) и допустимую потерю последних изменений (RPO).
- Проверяем восстановление базы, документов и конфигураций, работоспособность интеграций и права пользователей.
- Фиксируем фактическое время восстановления и выявленные ограничения в протоколе испытаний.
Доступ к операциям и конфиденциальным данным
Критичные сценарии для организации — захват учётной записи оператора, подмена реквизитов, несанкционированная выгрузка клиентских документов, компрометация административного доступа и потеря данных. Меры ниже — направления проектирования по результатам оценки рисков.
Разделение полномочий
Персональные учётные записи, минимально необходимые права, усиленная аутентификация и согласование критичных действий. Права сотрудников и подрядчиков пересматриваются при смене ролей и завершении работ.
Контроль секретов и действий
Учитываем API-ключи, токены доступа и средства электронной подписи: порядок выдачи, хранения, отзыва и восстановления. Определяем состав журналов и защиту от их изменения. Архитектуру хранения криптоактивов рассматриваем отдельно с учётом роли депозитария.
Для интеграций идентификации клиентов и ПОД/ФТ обеспечиваем защиту передаваемых данных, доступов и технических журналов. Выбор правил финансового мониторинга, проверка транзакций и решения по клиентам относятся к задачам уполномоченных специалистов организации.
Как проходит проект
Обследование и применимые требования
Уточняем статус организации, модель операций, используемые системы, размещение, данные и договоры с подрядчиками. Формируем перечень обязательных и рекомендуемых мер.
Проект и план реализации
Согласуем архитектуру, средства защиты, резервирование, документы, сроки и критерии приёмки. Отдельно выделяем работы разработчика платформы и зоны ответственности внешних сервисов.
Поставка и внедрение
Настраиваем инфраструктуру и средства защиты, организуем доступы и резервное копирование, готовим эксплуатационные инструкции.
Испытания и передача в эксплуатацию
Проверяем восстановление, доступы и согласованные сценарии безопасности. Передаём отчёты, схемы, инструкции и перечень открытых вопросов. Условия поддержки закрепляем отдельно.
Какие работы определяются отдельно
ГОСТ Р 57580 и нормы Банка России
Проверяем вид организации, её функции, совмещение деятельности и действующую редакцию нормативных актов. По результатам согласуем область оценки и необходимые подтверждения. Переходные положения для прежних участников ЭПР не переносим автоматически на новую организацию.
КИИ, аттестация и лицензии
Применимость 187-ФЗ, состав объектов КИИ и необходимость категорирования определяем по статусу и системам организации. Необходимость аттестации и лицензируемых работ устанавливаем для конкретного объекта и деятельности, а не по названию бизнеса.
Наша зона ответственности — ИБ и ИТ-инфраструктура. Корпоративные документы, капитал, включение в реестр Банка России, ПОД/ФТ и правовая модель операций сопровождаются профильными специалистами заказчика. Подготовка технических материалов не гарантирует решение регулятора.
Вопросы перед запуском
Можно ли начать с уже работающего сайта и облачной инфраструктуры?
Да. Сначала проверим размещение основного и резервного комплексов, архитектуру приложения, условия облачного провайдера, доступы и возможность восстановления. По результатам определим, что можно сохранить и что потребуется доработать.
Обязательна ли аттестация для каждой организации, осуществляющей обмен цифровых валют?
Само название деятельности не определяет необходимость аттестации. Сначала устанавливаем тип информационной системы и применимые требования. Оценка эффективности мер защиты ИСПДн, аттестация и оценка по ГОСТ Р 57580 — разные процедуры; нужный состав работ обосновываем для конкретного проекта.
Нужен ли организации аппаратный модуль для хранения ключей?
Это зависит от функций организации и устройства операций. Требования к хранению ключей цифровым депозитарием нельзя автоматически переносить на организацию. Сначала определяем, кто хранит активы и управляет ключами, а затем подбираем средства защиты и проверяем применимые нормы.
Поможете подготовиться к проверке Банка России?
Поможем подготовить техническую часть: описание инфраструктуры и мер защиты, схемы, регламенты, результаты проверок и восстановления. Состав подтверждений согласуем с ответственными за регуляторное сопровождение. Решение о включении в реестр принимает Банк России.
Сколько стоит подготовка и от чего зависят сроки?
Стоимость зависит от числа площадок и рабочих мест, платформы, объёма данных, состава интеграций, существующих средств защиты и требований к восстановлению. После обследования разделяем смету на проектирование, оборудование и ПО, внедрение, испытания и сопровождение. Сроки согласуем с учётом готовности платформы и подрядчиков.
Обсудить безопасность организации
Укажите формат работы, число офисов и пользователей, готовность платформы и предполагаемый срок запуска. Подготовим предложение по составу работ и результатам каждого этапа.
Работаем по всей России. Сведения о компании и лицензиях — в разделе «О нас».
Нормативная основа и источники
- Банк России: требования к ОООЦВ и порядок допуска — в том числе требования к программно-техническим средствам.
- Нормативные акты для ОООЦВ — закон № 282-ФЗ от 04.08.2026 и документы Банка России.
- Банк России о первых участниках реестров — переходные условия допуска.
- Федеральный закон № 152-ФЗ «О персональных данных» — обязанности оператора и защита данных.
- Проект изменений в 757-П от 25.09.2026 — для планирования; проект не является действующим нормативным актом.
Дата проверки материала: 05.11.2026. Конкретный перечень требований и мероприятий определяем по результатам обследования.