T1
Новая нормативная база
Соответствовать формирующимся требованиям и показывать техническую готовность.
Отрасль · Криптоактивы / CASP
Безопасность как условие существования
Активы клиентов существуют в цифровой форме, и компрометация доступа означает не «утечку данных», а прямую потерю средств, которую почти невозможно откатить. Доверие в этом секторе — измеримый актив, и оно рушится мгновенно.
Работы ведутся только после письменной авторизации и в согласованном объёме работ; доступы передаются вне сайта.
ПРОФИЛЬ_РИСКА
Профиль давления на сектор
Новая регуляторная среда и необратимость ошибок доступа.
86
80
73
68
Кто это
Сектор, где безопасность — не вспомогательная функция, а само условие существования бизнеса.
CASPКастодиальные платформыБиржевые платформыТребовательные к управлению
01 — Что болит и во что это обходится
Два испытания одновременно
Первое — новая и быстро формирующаяся нормативная база: услуги регулируются и лицензируются под надзором ЦБ РА, действует закон о криптоактивах, а в январе 2026 года ЦБ опубликовал первый пакет подзаконных правил.
Второе — природа рисков: кастодиальные операции, управление ключами и привилегированный доступ создают мишень, где одна ошибка в модели доступа ведёт к необратимым последствиям.
Цена ошибки
Один скомпрометированный секрет ведёт к необратимой потере средств. Доверие рушится мгновенно и не прощает разрыва между словами и реальностью.
02 — Поводы для обращения
Демонстрировать готовность, а не намерения
Регуляторные ожидания уточняются, и разговор всё чаще идёт о доказательствах.
T2
Риск доступа
Понимание, что привилегии и управление ключами — самая чувствительная точка.
T3
Уязвимость платформы и кастодиальной модели
Веб-платформа и API как прямая поверхность атаки на средства клиентов.
T4
Зрелость управления
Ожидание, что процессы управления и реагирования выстроены и проверяемы.
03 — Ключевые риски
Четыре давления, где ошибка необратима
R1 · Новая регуляторная среда
Требования уточняются; отставание означает и надзорный, и репутационный риск.
Надзор ЦБ РА уточняет именно технические ожидания — разговор идёт о доказательствах, а не о намерениях.04 — Как мы адаптируем проверки под сектор
Концентрируемся на том, что защищает средства и доверие
Акцент — на проверяемой технической готовности: состоянии, которое можно показать регулятору, партнёру и аудитору с доказательствами в руках.
Тестирование безопасности Web и API
Платформа обмена и клиентские интерфейсы.
Оценка безопасности облака и IAM
Модель привилегий, обращение с секретами и критичные доступы.
Обзор архитектуры безопасности
Границы доверия и системная устойчивость кастодиальной модели.
Обзор готовности к реагированию на инциденты
Способность действовать в момент компрометации.
Оценка регуляторной готовности
Сопоставление технических контролей с надзорными ожиданиями сектора.
05 — Результаты и ценность
Доказательная картина технической готовности
Доказательства технической готовности, которые можно предъявить в диалоге с регулятором и партнёрами — не «зелёная галочка», а обоснованная картина: где устойчивость реальна, а где разрывы, и в каком порядке их закрывать.
Управление
Управленческий слой поддерживает управленческие решения с доказательствами в руках.
Инженеры
Конкретные действия по укреплению платформы, доступов и кастодиальной модели.
Регулятор и партнёры
Доказательства технической готовности для диалога о надзорных ожиданиях.
06 — Регуляторный контекст и источники
Сектор работает под надзором и лицензированием ЦБ РА, в рамках закона о криптоактивах и с учётом первого пакета подзаконных правил января 2026 года.
Граница честности и объём работ
Результаты оценок помогают подготовиться к надзорным ожиданиям и показать техническую готовность, но не являются юридическим заключением, сертификацией или подтверждением получения либо сохранения лицензии.
Любая работа ведётся только в согласованном объёме и по правилам взаимодействия.
Показать техническую готовность с доказательствами в руках
Обсудим объём и границы работ. Работы ведутся только после письменной авторизации; доступы передаются вне сайта — сайт статичен и не принимает учётные данные.