Финансовым организациям могут расширить возможности по передаче данных внешним IT-подрядчикам.

Рабочая группа «Инфраструктура и ЦОДы для искусственного интеллекта» при правительственной подкомиссии предложила уточнить правила использования облачных сервисов и IT-аутсорсинга: при выполнении установленных требований внешним компаниям могут разрешить размещать, хранить и обрабатывать сведения, в том числе составляющие банковскую тайну.

Речь пока идет о подготовленных поправках, а не о вступившем в силу регулировании. Однако для рынка инициатива важна сразу по двум причинам. С одной стороны, банки получают потенциальный инструмент для снижения затрат на собственную IT-инфраструктуру. С другой — для облачных провайдеров и коммерческих ЦОД появляется новый, но значительно более требовательный сегмент клиентов.

От собственной инфраструктуры к модели внешних мощностей

Финансовый сектор давно использует аутсорсинг отдельных технологических процессов. Банк России прямо относит к IT-аутсорсингу, в частности, использование облачных сервисов и размещение информации в дата-центрах. При этом для финансовых организаций принципиальным остается сохранение необходимого уровня информационной безопасности и операционной надежности.

Проблема заключается в том, что обработка обычных корпоративных данных и работа с информацией, подпадающей под режим банковской тайны, — принципиально разные задачи с точки зрения требований к инфраструктуре.

Предлагаемые изменения должны расширить пространство для таких сценариев. По информации Forbes, одним из ключевых условий рассматривается использование провайдером собственных серверов. Одновременно подрядчиков могут обязать сообщать о нарушениях требований к защите информации в течение двух часов после выявления инцидента.

Для банка это потенциально означает возможность перенести часть капиталоемких вычислительных задач во внешнюю инфраструктуру, не отказываясь от требований к защите данных.

Экономика может стать главным стимулом

Содержание собственного серверного парка требует постоянных инвестиций: оборудование необходимо закупать, обновлять, резервировать и обеспечивать инженерной инфраструктурой.

Для крупных банков это привычная часть IT-бюджета. Но потребность в вычислениях растет, в том числе из-за внедрения искусственного интеллекта, машинного обучения и аналитических систем.

Глава комитета Госдумы по финансовому рынку Анатолий Аксаков ранее отмечал, что доступ финансовых организаций к облачным вычислительным ресурсам способен снизить расходы на вычислительные мощности. Минцифры, в свою очередь, связывает расширение использования внешней IT-инфраструктуры с дополнительным спросом на услуги коммерческих ЦОД.

Экономический эффект здесь может возникать сразу на нескольких уровнях.

Банк получает возможность гибче масштабировать мощности под нагрузку. Провайдер получает более крупного и платежеспособного корпоративного клиента. Рынок ЦОД получает дополнительный спрос на мощности, резервирование и инфраструктуру информационной безопасности.

Почему собственный сервер — сложный критерий

Одним из наиболее дискуссионных элементов предлагаемого подхода становится формулировка о серверах, принадлежащих провайдеру.

На практике IT-инфраструктура далеко не всегда строится по принципу «компания владеет каждым сервером, который использует для оказания услуги».

Провайдер может использовать арендованное или лизинговое оборудование, мощности внутри группы компаний или инфраструктуру партнеров. Поэтому требование именно права собственности потенциально способно сузить круг поставщиков сильнее, чем это необходимо с точки зрения фактической безопасности.

Юристы, которых цитирует Forbes, предлагают учитывать не только собственность, но и иное законное основание использования инфраструктуры.

Для бизнеса это принципиальный вопрос. Если критерий будет сформулирован слишком узко, рынок может получить парадоксальную ситуацию: технически надежный провайдер не сможет работать с определенной категорией финансовых данных только потому, что часть оборудования находится у него в аренде.

Поэтому окончательная формулировка требований будет иметь прямое влияние на структуру рынка.

Два часа на инцидент меняют требования к провайдеру

Еще одно существенное изменение — предлагаемая обязанность сообщать о нарушениях требований к защите информации в течение двух часов после выявления инцидента.

Для финансового сектора это означает более короткую цепочку реагирования.

Провайдеру недостаточно будет просто обеспечить техническую защиту инфраструктуры. Потребуются процессы обнаружения инцидентов, их классификации, документирования и оперативной передачи информации заказчику.

Фактически облачный сервис для финансовой организации становится частью ее собственной системы управления рисками.

Это соответствует общему подходу Банка России: регулятор рассматривает информационную безопасность не только как защиту от утечки данных, но и как элемент непрерывности финансовых услуг. Среди киберрисков Банк России отдельно выделяет нарушение надежности и непрерывности предоставления финансовых сервисов.

Поэтому потенциальные требования к провайдерам будут оцениваться не только по уровню защиты данных, но и по способности быстро обнаружить проблему и обеспечить восстановление работы.

Банкам придется менять подход к выбору облака

Если поправки будут приняты в близком к предлагаемому виде, финансовым организациям потребуется более детальная проверка IT-подрядчиков.

Для банка важными критериями станут не только цена, производительность и наличие нужных сервисов, но и инфраструктурная модель провайдера.

В частности, при выборе поставщика потребуется оценивать:

на каком основании провайдер использует серверное оборудование;
где физически размещаются данные и резервные копии;
кто имеет административный доступ к инфраструктуре;
как организованы сегментация и изоляция данных разных клиентов;
какие существуют резервные площадки;
как выявляются и классифицируются инциденты;
насколько быстро провайдер способен уведомить заказчика;
как проводится восстановление после отказа;
кто отвечает за отдельные элементы технологической цепочки.

Таким образом, закупка облачных услуг для финансовой организации постепенно превращается из обычного коммерческого выбора в полноценную процедуру технологического и регуляторного due diligence.

Что это означает для рынка ЦОД

Для коммерческих дата-центров потенциальное изменение регулирования может стать дополнительным источником спроса.

Финансовые организации являются крупными потребителями вычислительных мощностей, а распространение ИИ дополнительно увеличивает потребность в GPU-инфраструктуре, системах хранения и высокопроизводительных вычислениях.

По оценке Apple Hills Digital, приведенной в публикации Sostav, объем российского рынка ЦОД в 2025 году оценивался примерно в 100 млрд рублей. Общий объем потребления облачных сервисов составлял 487 млрд рублей, из которых 417 млрд рублей приходилось на рыночное потребление.

Если финансовому сектору действительно станет проще передавать отдельные категории данных внешним поставщикам, это способно увеличить спрос не только на классические виртуальные машины, но и на специализированную инфраструктуру с повышенными требованиями к безопасности.

Однако рост спроса не будет автоматическим.

Главный вопрос — требования Банка России

Экономический эффект от реформы во многом будет зависеть от того, какие конкретно требования к провайдерам установит регулятор.

Банк России уже развивает собственный подход к регулированию IT-аутсорсинга. В опубликованных материалах регулятор указывал на необходимость установить требования к поставщикам облачных и IT-аутсорсинговых услуг, включая сохранность банковской и иной охраняемой законом тайны, ответственность за разглашение конфиденциальной информации и требования к взаимодействию финансовых организаций с поставщиками.

Одновременно Банк России усиливает требования к информационной безопасности финансовых организаций. Например, в 2026 году регулятор расширил требования к защите информации для ряда некредитных финансовых организаций.

Поэтому либерализация доступа к внешней инфраструктуре не означает отказа от жесткого контроля.

Скорее речь идет о переносе части требований с самой финансовой организации на технологическую цепочку, которую она использует.

Кто выиграет, а кто может столкнуться с барьерами

Для банков потенциальные преимущества очевидны: меньше необходимости постоянно расширять собственные вычислительные мощности, более гибкое масштабирование и возможность быстрее запускать ресурсоемкие проекты.

Для крупных облачных провайдеров это открывает перспективный сегмент с высокой стоимостью контракта и долгим жизненным циклом инфраструктуры.

Для небольших IT-компаний ситуация сложнее. Если требования к физической инфраструктуре, резервированию, сертификации, мониторингу и реагированию на инциденты окажутся дорогими, вход на рынок финансового IT-аутсорсинга может стать фактически доступным только крупнейшим игрокам.

Именно поэтому принцип пропорциональности требований имеет большое значение: чрезмерно высокие издержки соответствия способны уменьшить конкуренцию и в конечном итоге увеличить стоимость облачных услуг для самих банков.

ИИ усиливает потребность в такой реформе

Связь инициативы с рабочей группой по инфраструктуре и ЦОД для искусственного интеллекта закономерна.

ИИ-системы требуют значительных вычислительных ресурсов, причем нагрузка может резко меняться в зависимости от стадии проекта. Покупка собственного оборудования под максимальный объем нагрузки не всегда экономически оправдана.

Внешняя инфраструктура позволяет масштабировать вычисления более гибко. Но для финансового сектора возникает вопрос: можно ли использовать такие мощности при работе с данными, защищенными специальными режимами?

Именно здесь предлагаемые поправки могут стать важным элементом формирования рынка промышленного ИИ в финансовом секторе.

При этом Банк России уже рекомендует финансовым организациям формировать собственные модели угроз и политики информационной безопасности при работе с ИИ. Для высокорисковых процессов, например платежных операций, регулятор рекомендует сохранять участие сотрудника в подтверждении операции.

Следовательно, перенос вычислений в облако не будет означать передачу провайдеру всей ответственности за безопасность.

Что бизнесу стоит делать уже сейчас

Пока поправки находятся на стадии подготовки, финансовым организациям преждевременно перестраивать инфраструктуру исключительно под новую модель. Но уже сейчас имеет смысл подготовиться к возможному изменению правил.

Банкам и другим финансовым организациям стоит провести инвентаризацию IT-систем и определить, какие нагрузки потенциально можно вынести во внешнюю инфраструктуру. Отдельно следует разделить данные по уровню чувствительности и требованиям к их защите.

Провайдерам, в свою очередь, полезно заранее оценить собственную инфраструктуру: права на оборудование, резервные мощности, процедуры реагирования на инциденты, журналирование событий и готовность выполнять короткие сроки уведомления.

Особое внимание стоит уделить цепочке субподрядчиков. Если законодательство в итоге будет предъявлять требования непосредственно к инфраструктуре поставщика, компаниям придется понимать, кто фактически предоставляет вычислительные ресурсы на каждом этапе.

Не просто легализация облаков, а новая модель ответственности

Предлагаемые поправки важны не столько потому, что «банковскую тайну разрешат хранить в облаке». Облачные и IT-аутсорсинговые технологии уже используются финансовым сектором, а Банк России давно рассматривает их как разновидность IT-аутсорсинга.

Существеннее другое: государство пытается сформировать понятные правила, при которых внешняя инфраструктура сможет работать с более чувствительными финансовыми данными.

Для банков это потенциальная возможность оптимизировать капитальные затраты и быстрее масштабировать вычисления. Для облачных компаний и ЦОД — новый крупный рынок. Для регулятора — необходимость обеспечить, чтобы снижение инфраструктурных барьеров не сопровождалось снижением уровня защиты информации.

Поэтому главным показателем успеха реформы станет не само разрешение передавать данные внешним IT-поставщикам, а баланс между экономикой облачных технологий и требованиями к безопасности. Если этот баланс будет найден, финансовый сектор сможет активнее использовать коммерческую инфраструктуру, а рынок ЦОД получит дополнительный устойчивый источник спроса.

С уважением к Вашему делу, Ника Виноградова

Источник: Sostav.ru

Что новые правила могут изменить для финансового и IT-рынка