Новое положение PADK OJK 1/2026 вступило в силу 1 марта 2026 г. Оно обязывает банки закреплять в договорах право Управления финансовых услуг Индонезии (OJK) проверять ИТ-поставщиков. Банкам необходимо пересмотреть соглашения с подрядчиками и порядок оценки рисков. За нарушение требований предусмотрены санкции вплоть до ограничения деятельности и отзыва лицензии.
Главная техническая проблема связана с уязвимостями во внешних системах. Даже при защищенной собственной инфраструктуре банк может столкнуться с угрозой через программное обеспечение подрядчика. Поэтому действующие правила OJK предусматривают непрерывный мониторинг уязвимостей, тестирование на проникновение и моделирование кибератак. Ежегодная проверка не позволяет своевременно выявлять все изменения в системах поставщиков.
Дополнительные требования касаются реагирования на инциденты. Банки должны направлять первоначальное уведомление в OJK в течение 24 часов после обнаружения кибератаки, а полный отчет представлять за пять рабочих дней. Если происшествие затронуло внешнюю ИТ-систему, финансовой организации необходимо оперативно получить технические сведения от подрядчика.
Сократить время расследования помогают системы управления событиями информационной безопасности (SIEM), инструменты поведенческого анализа и автоматизации реагирования (SOAR). Они позволяют сопоставлять данные из разных источников, выявлять подозрительную активность и автоматизировать обработку инцидентов.
«Для ИТ-поставщиков, работающих с банками Индонезии, право OJK на аудит становится условием договора. Банк теперь выбирает не только по функциональности продукта, но и по тому, насколько можно проверить защищенность поставщика, отслеживать уязвимости и получать данные об инцидентах в установленные сроки. На практике это повышает ценность локального присутствия и готовности к аудиту», - прокомментировал Иван Горковенко, региональный директор ГК Softline по Юго-Восточной Азии.
