Кратко

  • В докладе от 28 октября 2026 года генеральный инспектор указал, что Совет управляющих ФРС дважды в год проверяет меры на случай сбоя и располагает планами непрерывности для подразделений. Однако для отдельных информационных систем не составлены полные планы с необходимыми техническими процедурами восстановления.
  • Анализ влияния на работу и анализ процессов ведет подразделение разведки, внутренних рисков и национальной безопасности, IINS, а техническую подготовку — ИТ-служба. Единого правила их координации и обновления документов нет. Большинство анализов влияния не обновлялось с 2023 года или раньше.
  • Зрелость программы информационной безопасности оценена на 2 из 5 при федеральном пороге эффективности 4. Метод подсчета менялся, а к оценке добавили управление кибербезопасностью, поэтому прежние баллы нельзя механически сравнить. Из 17 старых рекомендаций 13 остались открытыми; по восьми новым Совет согласился с выводами и изложил будущие меры.

Название подразделения не перезапустит приложение

Оригинальный доклад инспекции от октября 2026 года посвящен Совету управляющих ФРС, который работает с чувствительной финансовой и надзорной информацией. Это не оценка всех региональных банков ФРС. Совет уже планирует непрерывность работы подразделений и дважды в год проводит проверки готовности. Но для восстановления отдельных информационных систем он не разработал планов со всеми обязательными техническими компонентами.

План подразделения отвечает, какая работа важнее. План системы должен указать последовательность действий, порядок возвращения сервисов, точку восстановления данных, альтернативную обработку и проверку результата. Инспектор перечислил отсутствие этих деталей в документах по отдельным системам. Представитель Совета говорил, что нужная информация включена в планы безопасности систем. Проверка показала, что там нет конкретных процедур восстановления, которые требуются для каждого из них.

Существующие учения — факт в пользу ведомства, а не довод закрыть вопрос. Можно отработать звонки, смену ответственных и работу подразделения, не проверив, до какого состояния вернется конкретная база данных. Во время сбоя решение о порядке восстановления придется принимать тем, у кого уже мало времени. Хороший план должен оставить им не лозунг о готовности, а проверенную последовательность.

У одного кризиса две версии документов

Группа Intelligence, Insider Risk, and National Security Programs, IINS, отвечает за анализ влияния на деятельность, анализ процессов и общую непрерывность. ИТ-подразделение готовит технические действия при сбое. Инспектор не нашел политики, определяющей их совместную работу, согласование приоритетов и периодичность совместного обновления записей.

Большинство анализов влияния на деятельность не обновлялось с 2023 года или раньше; более половины анализов процессов — с 2024 года или раньше. Несколько изменений процессов, сделанных в 2025-м, не появились в соответствующих анализах влияния. На одном столе лежит новая схема работы, на другом — ее прежняя важность. Пока система работает, расхождение остается бумажным. Во время прерывания оно становится спором о времени и ресурсах.

Инспекция считает, что при таком устройстве у Совета ограниченная уверенность в своевременном и последовательном восстановлении критически важных систем. Доклад не утверждает, что конкретная система уже не смогла вернуться после аварии. Его предмет — возможность доказать заранее, что приоритет бизнеса соответствует реальным техническим шагам.

Проверка реестра систем добавляет измеримый пробел. Из 32 полей, обязательных по собственному стандарту Совета, в инвентаризации отсутствовали 10: среди них тип информации, границы авторизации, владелец и тип облачного сервиса. Часть систем с персональными данными или важными функциями была неверно классифицирована; некоторые системы из другой программы учета не попали в реестр. Речь идет о десяти полях, а не о десяти пропавших системах. Без точных владельцев и функций трудно заранее упорядочить восстановление.

Двойка в отчете и работающая система — разные доказательства

Официальное краткое изложение присваивает программе безопасности Совета уровень зрелости 2 по пятибалльной шкале. Политики определены, но применяются непоследовательно; федеральные критерии считают эффективным уровень 4, при котором меры управляемы и измеримы. В 2024 году результат был 4, в 2025-м — 3. Но метод оценки изменился: вместо самого частого результата стали рассчитывать среднее, управление кибербезопасностью выделили в отдельное направление, появились новые замечания аудиторов. Нынешняя двойка действительна, однако три отметки не образуют чистого графика ухудшения одной и той же меры.

Из 17 рекомендаций прошлых ежегодных проверок 13 оставались открытыми. Четыре закрыли после мер Совета. Новый доклад содержит еще восемь рекомендаций; среди их тем — управление ИТ, реестр систем, исключения из многофакторной проверки, уязвимости, мониторинг, непрерывность и облачные контракты. Руководители ИТ и финансов Совета согласились с выводами и изложили будущие шаги. Согласие определяет работу, но не выполняет ее.

Одна рекомендация направлена точно в стык: обязать IINS и ИТ согласовывать анализ влияния и процессов с технической подготовкой, а также разработать правила для планов отдельных систем. Следующий убедительный документ — датированные согласованные анализы, точная инвентаризация с ответственными, приоритеты и результаты испытаний восстановления. У Совета уже есть учения. Теперь нужно показать маршрут от важной функции к системе, которая действительно может вернуться.

Источники