RBI: Uusi kyberturvallisuuskehys kaupallisille pankeille

Intian keskuspankki Reserve Bank of India (RBI) on 31. heinäkuuta 2026 antanut uuden kyberturvallisuus-, teknologia-, riski-, resilienssi- ja varmuuskehyksen kaupallisille pankeille. Tämä kehys korvaa aiemman, pirstaloituneen ohjeistuksen yhtenäisellä säännöstöllä.

Uudet säännökset edellyttävät pankeilta muun muassa puolen vuoden välein tehtäviä haavoittuvuustestauksia, kriittisten internetiin yhdistettyjen järjestelmien vuosittaisia penetraatiotestauksia sekä kuuden kuukauden välein suoritettavia katastrofipalautusharjoituksia. Kehys koskee välittömästi kaikkia kaupallisia pankkeja, pois lukien pienrahoituspankit, maksupankit ja paikallisviranomaisten pankit.

Kehys sisältää kattavia vaatimuksia datan ja tietovarojen hallintaan, järjestelmien ja infrastruktuurin suojaamiseen, verkon ja sovellusten turvallisuuteen sekä pääsynhallintaan ja asiakasautentikointiin. Lisäksi se määrittelee vaatimukset sähköpostin, siirrettävien medioiden ja kolmansien osapuolten käytölle, operatiiviselle resilienssille sekä haavoittuvuuksien ja katastrofien hallinnalle.

Pankkien on ylläpidettävä ajantasaisia luetteloita tietovaroista, luokiteltava tieto herkkyyden mukaan ja suojattava dataa koko sen elinkaaren ajan. Järjestelmien osalta vaaditaan muun muassa turvallisia konfiguraatioita, haittaohjelmien torjuntaa ja salausstandardeja. Verkon ja sovellusten turvallisuudessa korostuvat turvalliset kehityskäytännöt ja testaus.

Lisäksi pankkien on varmistettava vahva pääsynhallinta, monivaiheinen tunnistautuminen ja tietojen menetysten estostrategiat. Raportointi kyberturvallisuuspoikkeamista DAKSH-alustalle on tehtävä kuuden tunnin kuluessa. Johtokuntien on hyväksyttävä ja tarkasteltava tietoturvapolitiikkoja vuosittain, ja vanhemman johdon on valvottava strategian toimeenpanoa.