161-ФЗ, СТО БР и ФинЦЕРТ: комплаенс-требования к антифроду
Антифрод в российском банке и платёжном бизнесе — это не только технология, но и комплаенс. Требования к противодействию переводам без согласия клиента задаёт 161-ФЗ «О национальной платёжной системе», практику безопасности описывают стандарты Банка России (комплекс СТО БР ИББС и ГОСТ Р 57580), а обмен данными о мошеннических операциях идёт через ФинЦЕРТ Банка России и его автоматизированную систему. На стыке этих трёх блоков и формируется реальный набор обязанностей: выявлять признаки операций без согласия клиента, приостанавливать подозрительные переводы, информировать клиента и передавать сведения в Банк России. **Если коротко:** антифрод-система нужна не «для галочки», а чтобы закрыть конкретные требования — от детектирования операций без добровольного согласия до интеграции с каналами обмена ФинЦЕРТ. Ниже разбираем, кто за что отвечает, переводим требования в практические задачи к системе, даём чек-лист соответствия и план внедрения. Сравнить поставщиков по подтверждённым сигналам можно в [рейтинге антифрод-систем](/rating/antifraud-transaction-security).
Антифрод оценивает риск операции в моменте
Для финансовых сценариев важны поведенческие признаки, устройство, контекст платежа и скорость реакции на подозрительную активность.
Рейтинги подрядчиков по теме исследования
Если после чтения нужен короткий список исполнителей, начните с профильных рейтингов cyber-index.ru: в них видны компании, кейсы, интервью, категории экспертизы и доверительный индекс.
Как проверять выводы исследования
Используйте материал как основу для shortlist: сопоставьте выводы с профилями компаний, связанными рейтингами, кейсами, интервью клиентов и источниками. Если в статье есть список источников, начинайте проверку с него; если источников мало, дополнительно запросите у подрядчика методику, baseline и примеры работ.
Авторы и проверка материала
У каждого исследования есть персональные авторы, профиль экспертизы, дата публикации, список источников и редакционная проверка выводов.
author
Антон Смирнов
Старший редактор исследований ИБ-рынка
Ведет исследования по категориям ИБ, публичным источникам и критериям выбора поставщиков.
- 7 лет в SEO-аналитике и редакционных B2B-исследованиях
- Специализация: ИБ-категории, entity-based SEO и факторы E-E-A-T
author
Полина Лебедева
Исследователь рынка ИБ-поставщиков
Собирает и сравнивает данные по подрядчикам, услугам, публичным кейсам, ценовым диапазонам и рыночным сегментам.
- 5 лет в market research, digital-аналитике и конкурентных обзорах
- Специализация: ИБ-поставщики, сервисные категории, прайс-анализ и case review
Авторы закреплены по теме исследования и опираются на практические разборы страниц, кейсов, источников и рыночных выборок.
В профиле автора указаны зона экспертизы, роль в редакции, регалии и темы, за которые он отвечает.
Материалы связаны с методологией cyber-index.ru, внутренними рейтингами, карточками компаний и источниками.
Позиции не продаются, выводы отделены от рекламы, а проверяемые утверждения поддержаны источниками и датами обновления.
161-ФЗ, СТО БР и ФинЦЕРТ: кто за что отвечает
Три источника требований работают в связке, но решают разные задачи. Важно не путать их между собой: закон задаёт обязанности, стандарты — как их выполнять технически и организационно, а ФинЦЕРТ — куда и как передавать информацию.
- **161-ФЗ** — федеральный закон о национальной платёжной системе. Здесь закреплены базовые обязанности оператора по переводу денежных средств: противодействовать переводам без согласия клиента, приостанавливать подозрительные операции, информировать клиента и взаимодействовать с Банком России. Конкретику признаков операций без согласия клиента Банк России устанавливает отдельными нормативными актами. - **Стандарты Банка России** — комплекс СТО БР ИББС (стандарт обеспечения информационной безопасности организаций банковской системы) и национальный стандарт ГОСТ Р 57580, задающий требования к защите информации в финансовых организациях и уровни этой защиты. Они описывают, как организовать процессы, контроль и техническую защиту. - **ФинЦЕРТ Банка России** — центр взаимодействия и реагирования по инцидентам в финансовой сфере. Через его автоматизированную систему банки и платёжные операторы обмениваются сведениями о мошеннических операциях, счетах-«дропах» и индикаторах атак.
> Точные формулировки статей, перечни признаков и сроки уточняйте в первоисточниках — на > сайте Банка России [cbr.ru](https://www.cbr.ru/). Статус и реестровый статус самой > антифрод-системы проверяйте в [реестре отечественного ПО](https://reestr.digital.gov.ru/).
Противодействие переводам без согласия клиента: суть требования
Ключевая идея 161-ФЗ в части антифрода — оператор обязан не просто фиксировать мошенничество постфактум, а активно ему противодействовать в момент операции. На практике это разворачивается в несколько обязанностей:
- **Выявлять признаки перевода без добровольного согласия клиента.** Перечень таких признаков устанавливает Банк России; антифрод-система должна уметь проверять операцию по этим признакам в реальном времени. - **Приостанавливать подозрительную операцию** на установленный срок и информировать клиента, давая возможность подтвердить или отклонить перевод. - **Сверять реквизиты получателя** с информацией Банка России о случаях и попытках переводов без согласия клиента (сведения из базы ФинЦЕРТ). - **Фиксировать и хранить** данные об операции и принятых мерах для последующей отчётности и взаимодействия с регулятором.
Именно поэтому «антифрод» в банке — это не один скоринговый модуль, а связка из правил, поведенческой аналитики, проверки по спискам ФинЦЕРТ и процессов приостановки и информирования. Как устроена техническая часть — в материале [как работает антифрод-система](/research/kak-rabotaet-antifrod-sistema).
Требование → что должна обеспечить антифрод-система
| Источник требования | Суть обязанности | Что должна обеспечить система |
|---|---|---|
| 161-ФЗ (операции без согласия клиента) | Выявлять признаки перевода без добровольного согласия | Скоринг операций в реальном времени по признакам, заданным Банком России |
| 161-ФЗ (приостановка) | Приостанавливать подозрительный перевод и информировать клиента | Механизм hold-операции, уведомление клиента, журналирование решения |
| 161-ФЗ / ФинЦЕРТ (сверка реквизитов) | Проверять получателя по сведениям Банка России | Интеграция со списками и базой ФинЦЕРТ, проверка по «дроп»-счетам |
| ФинЦЕРТ / АСОИ | Обмениваться данными об инцидентах и мошеннических операциях | Автоматизированная отправка и приём сведений, форматы обмена |
| ГОСТ Р 57580 / СТО БР ИББС | Обеспечить уровень защиты информации и контроль процессов | Разграничение доступа, аудит, защита данных, отказоустойчивость |
| Отчётность и хранение | Фиксировать операции и принятые меры | Неизменяемые журналы, выгрузки для регулятора, сроки хранения |
Антифрод-комплаенс: вес требований по трудоёмкости внедрения
Усреднённая редакционная оценка относительной трудоёмкости по открытым данным. Это не нормативная шкала и не заменяет юридический и ИБ-аудит.
Антифрод-комплаенс: коротко в ориентирах
161-ФЗ, стандарты Банка России, ФинЦЕРТ
Требования и уровни защиты в финорганизациях
Автоматизированная система Банка России
Тексты актов и перечни признаков
СТО БР ИББС и ГОСТ Р 57580: зачем они антифроду
Стандарты Банка России отвечают не на вопрос «что детектировать», а на вопрос «как при этом защищена сама система и данные». Комплекс СТО БР ИББС исторически описывал требования к обеспечению информационной безопасности в банковской системе, а ГОСТ Р 57580 закрепил требования к защите информации финансовых организаций и ввёл уровни защиты.
Для антифрод-платформы это означает вполне конкретные вещи: разграничение доступа к данным о клиентах и операциях, журналирование действий администраторов и аналитиков, защита каналов обмена с ФинЦЕРТ, контроль целостности и доступности. Поэтому при выборе системы смотрят не только на качество детектирования, но и на то, как она вписывается в требования к уровню защиты — иначе сильный антифрод окажется слабым звеном комплаенса. Подробный разбор критериев выбора — в материале [как выбрать российский антифрод](/research/vybor-rossiyskogo-antifroda).
Чек-лист соответствия требованиям к антифроду
План приведения антифрода в соответствие: 6 шагов
-
01
Инвентаризация требований
Сведите обязанности из 161-ФЗ, стандартов Банка России и регламентов ФинЦЕРТ в единый перечень с привязкой к ответственным.
-
02
Gap-анализ
Сопоставьте текущие возможности антифрода с требованиями таблицы выше и зафиксируйте разрывы.
-
03
Детектирование операций без согласия
Настройте правила и скоринг под актуальный перечень признаков Банка России, проверьте срабатывание на исторических данных.
-
04
Интеграция с ФинЦЕРТ
Подключите обмен через АСОИ, отладьте форматы приёма и передачи сведений, проверьте сверку по спискам.
-
05
Защита и журналирование
Закройте требования к уровню защиты по ГОСТ Р 57580, настройте аудит, доступ и неизменяемые журналы.
-
06
Процессы и отчётность
Опишите регламенты приостановки, информирования клиента и отчётности регулятору, проведите учения и зафиксируйте метрики.
Как мы оцениваем поставщиков
cyber-index.ru не продаёт места в рейтинге. Поставщики сравниваются по проверяемым сигналам: подтверждённые внедрения и кейсы, отзывы и интервью клиентов, внешняя репутация, специализация, прозрачность и свежесть данных. Поэтому статью стоит читать в связке с [рейтингом антифрод-систем](/rating/antifraud-transaction-security): здесь — требования и критерии, там — сравнение конкретных решений по подтверждённым фактам.
Следующий шаг
Разобрались с требованиями — переходите к сравнению решений: **[рейтинг антифрод-систем →](/rating/antifraud-transaction-security)**. Полезно прочитать рядом: [как работает антифрод-система](/research/kak-rabotaet-antifrod-sistema), [как выбрать российский антифрод](/research/vybor-rossiyskogo-antifroda) и [рейтинг антифрод-систем 2026](/research/reyting-antifrod-sistem-2026).
Частые вопросы
Что именно требует 161-ФЗ от антифрода?
В части противодействия мошенничеству закон обязывает оператора выявлять признаки переводов без добровольного согласия клиента, приостанавливать такие операции, информировать клиента и взаимодействовать с Банком России. Конкретные признаки и сроки устанавливают нормативные акты Банка России — их формулировки нужно сверять по cbr.ru.
Чем СТО БР ИББС отличается от ГОСТ Р 57580?
Это разные, но связанные слои требований к информационной безопасности в финансовой сфере. ГОСТ Р 57580 задаёт требования к защите информации финансовых организаций и уровни защиты, а комплекс СТО БР ИББС описывает обеспечение ИБ в банковской системе. Для антифрод-системы оба важны как требования к защите самих данных и процессов.
Зачем антифроду интеграция с ФинЦЕРТ?
ФинЦЕРТ Банка России — это центр обмена сведениями об инцидентах и мошеннических операциях. Через его автоматизированную систему банки получают данные о подозрительных счетах и операциях и передают свои. Без такой интеграции сложно выполнить сверку реквизитов и требования по обмену информацией.
Достаточно ли купить антифрод-систему, чтобы соответствовать требованиям?
Нет. Технология закрывает часть задач, но соответствие — это ещё процессы приостановки и информирования клиента, регламенты обмена с ФинЦЕРТ, защита данных по стандартам и отчётность. Систему нужно встроить в эти процессы и регулярно актуализировать под изменения нормативной базы.
Где сравнить конкретные антифрод-системы между собой?
В рейтинге антифрод-систем и платформ transaction security и рейтинге категории — там решения ранжированы по подтверждённым сигналам, а не по рекламе.
Источники и метод проверки
Антифрод в российском банке и платёжном бизнесе — это не только технология, но и комплаенс. Требования к противодействию переводам без согласия клиента задаёт 161-ФЗ «О национальной платёжной системе», практику безопасности описывают стандарты Банка России (комплекс СТО БР ИББС и ГОСТ Р 57580), а обмен данными о мошеннических операциях идёт через ФинЦЕРТ Банка России и его автоматизированную систему. На стыке этих трёх блоков и формируется реальный набор обязанностей: выявлять признаки операций без согласия клиента, приостанавливать подозрительные переводы, информировать клиента и передавать сведения в Банк России. **Если коротко:** антифрод-система нужна не «для галочки», а чтобы закрыть конкретные требования — от детектирования операций без добровольного согласия до интеграции с каналами обмена ФинЦЕРТ. Ниже разбираем, кто за что отвечает, переводим требования в практические задачи к системе, даём чек-лист соответствия и план внедрения. Сравнить поставщиков по подтверждённым сигналам можно в [рейтинге антифрод-систем](/rating/antifraud-transaction-security).