AppSec и DevSecOps в Центральной Азии: драйверы спроса, требования и тренды по странам

Главный драйвер спроса на AppSec и DevSecOps в Центральной Азии — не мода, а регуляторика финансового сектора и персональных данных. Банки Казахстана и Узбекистана уже живут по свежим требованиям регуляторов, Кыргызстан перестраивает правила вокруг Цифрового кодекса, а Таджикистан и Туркменистан остаются более «закрытыми» рынками с собственной спецификой. Ниже — обзор по странам с актами, которые нам удалось подтвердить.

Что движет спросом на AppSec в регионе

• Требования регуляторов к банкам. В Казахстане старое постановление Нацбанка № 48 заменено актами АРРФР 2026 года; в Узбекистане с ноября 2025 года действует положение ЦБ № 19/1.
• Персональные данные. Законы о персональных данных есть во всех странах региона, а локализация и трансграничная передача влияют на выбор инфраструктуры и инструментов.
• Цифровизация и платежи. Рост мобильных приложений, API и интеграций с государственными платформами расширяет поверхность атаки.
• Цепочка поставок ПО. Зависимости из публичных репозиториев и подрядчики — тема, которую регуляторы уже включают в требования; см. SBOM.
• Профессиональное сообщество. Появился спрос на практическое обучение и обмен опытом.

Казахстан

Самый регулируемый рынок региона. Для банков действуют постановление АРРФР № 53 от 3 апреля 2026 года о требованиях к ИБ банков и постановление № 81 от 20 апреля 2026 года о минимальных требованиях к ИБ на финансовом рынке (в силу с 12 июля 2026 года). Прежние нормы Нацбанка требовали статического анализа кода и анализа сторонних компонентов для ПО дистанционных услуг. Персональные данные регулируются законом № 94-V от 21 мая 2013 года с поправками 2026 года, а в июле 2026 года вступил в силу Цифровой кодекс. Для госсектора и интегрированных с ним систем действуют Единые требования в области ИКТ и ИБ (постановление Правительства № 832 от 20 декабря 2016 года). Подробно: требования к ИБ банков Казахстана и персональные данные в Казахстане.

Узбекистан

Положение ЦБ № 19/1 (в силу с 20 ноября 2025 года) содержит одну из самых подробных в регионе норм о жизненном цикле ПО: требования безопасности на каждом этапе, тестирование на уязвимости перед запуском, DevOps-платформы в закрытом контуре с автоматическим анализом кода. Закон о персональных данных № ЗРУ-547 после поправок от 26 марта 2026 года сохранил обязательную локализацию для биометрии, генетики и данных пользователей телеком-операторов. Есть закон о кибербезопасности (2022). Подробнее — в статье требования к ИБ в Узбекистане.

Кыргызстан

Банки руководствуются Положением Нацбанка КР 2021 года (постановление № 2021-П-20/72-8-(НПА)) с требованиями к жизненному циклу ПО, управлению уязвимостями и аутсорсингу. Закон «О кибербезопасности» подписан в 2024 году, а персональные данные с февраля 2026 года регулируются Цифровым кодексом. Подробнее — требования к ИБ в Кыргызстане.

Таджикистан

Базовый акт — Закон «О защите персональных данных» от 3 августа 2018 года № 1537. По обзору CABAR.asia (2024), уполномоченным органом выступает Служба связи при Правительстве, сбор и обработка данных требуют сертификата этого органа, а механизма ответственности за нарушения в законе нет. Общих требований локализации в этом обзоре не описано, а в оглавлении закона есть статья 14 о накоплении и хранении данных и статья 18 о трансграничной передаче — их текст мы проверить не смогли. Нормативных актов Нацбанка по ИБ, которые мы могли бы подтвердить, найти не удалось, поэтому для банков региона рекомендуем запрашивать требования напрямую у регулятора и партнёров.

Туркменистан

Закон «Об информации о личной жизни и её защите» подписан 20 марта 2017 года, действует с 1 июля 2017 года. Статья 12 требует хранить персональные данные в базе, находящейся на территории Туркменистана; статья 17 допускает передачу за границу при обеспечении защиты в стране получателя либо при согласии субъекта и других указанных основаниях. Центральный банк в январе 2024 года, по сообщению Turkmenportal, утвердил порядок выполнения требований кибербезопасности и ИБ в банковской системе: киберзащита банков, меры против несанкционированного доступа и вредоносного ПО, определение критической информационной инфраструктуры и регулярная оценка киберрисков.

Тренды

1. От разового пентеста к процессу. Регуляторы всё чаще говорят о жизненном цикле ПО, а не о разовых проверках — путь описан в материале DevSecOps: с чего начать.
2. On-premise и контроль над кодом. Требования о закрытом контуре и локализации данных повышают интерес к решениям, которые работают внутри компании.
3. Личная ответственность руководства. В Казахстане, по комментарию к постановлению № 81, ответственность за ИБ возложена на первого руководителя финансовой организации.
4. SCA и SBOM. Контроль сторонних компонентов превращается из «хорошей практики» в ожидаемый артефакт.
5. Секреты и привилегированный доступ. Вопросы вынесены в требования к аутентификации; см. управление секретами.

Сообщество: AppSecFest в Алматы

Практический обмен опытом по AppSec и DevSecOps в регионе идёт на конференции AppSecFest в Алматы, которую организует AST Cyber Lab. По данным страницы конференции, за все годы её посетили 3173 человека, выступил 83 спикера; четвёртая конференция прошла в 2026 году в Al-Farabi Hall. Для команд, которые только выстраивают процесс, это возможность увидеть, как задачи решают коллеги из банков и финтеха, а программу и записи можно найти на странице конференции.

Сравнение стран в двух словах

• Казахстан: отраслевые требования АРРФР для банков (№ 53, № 81), закон № 94-V и Цифровой кодекс; локализация хранения в базе или цифровом объекте на территории страны; наиболее плотное из подтверждённых нами регулирование финансового сектора.
• Узбекистан: положение ЦБ № 19/1 с нормами о жизненном цикле ПО и SIEM; локализация только для биометрии, генетики и данных пользователей телеком-услуг; отдельный закон о кибербезопасности.
• Кыргызстан: Положение НБКР 2021 года, закон о кибербезопасности 2024 года, Цифровой кодекс вместо закона о персональных данных; общего требования локализации мы не подтвердили.
• Таджикистан: закон 2018 года о персональных данных, уполномоченный орган — Служба связи; подробных отраслевых актов по ИБ банков мы не нашли.
• Туркменистан: закон 2017 года с требованием хранить данные в базе на территории страны; порядок ЦБ по киберзащите банков (январь 2024 года).

Как выбирать инструменты для региона

Практичный набор критериев для команд, которые работают в нескольких странах:

• Гибкое развёртывание. Возможность установить продукт on-premise или в частном облаке в нужной юрисдикции.
• Языки и стек. Поддержка используемых языков и фреймворков, включая мобильные приложения — проверяйте на пилоте на вашем коде.
• Отчётность под регулятора. Выгрузка результатов в формате, который понятен вашей службе ИБ и аудитору.
• Локальная поддержка. Язык, часовой пояс и способ закупки.
• Интеграция в процесс. Инструмент, который не встроен в CI/CD, быстро превращается в «лишний отчёт».

Как начать, если вы работаете в нескольких странах

Выберите самый строгий из применимых режимов как базовый и добавляйте национальные особенности поверх него. Если у вас есть клиенты-банки в Казахстане и Узбекистане, процесс безопасной разработки с автоматическим анализом кода, контролем зависимостей и отчётами под аудит закроет значительную часть общих требований. Отдельно сопоставьте национальные нормы о хранении персональных данных и распределите системы по юрисдикциям. Затем определите, какие среды (разработка, тест, продуктив) должны находиться внутри страны, а какие можно держать централизованно. Карту внедрения под ваши страны можно обсудить на странице DevSecOps.

Частые вопросы

Статья носит информационный характер и не является юридической консультацией. Нормативная база меняется — перед принятием решений проверяйте актуальные редакции актов.

Источники

• Постановление АРРФР РК от 3 апреля 2026 года № 53
• Положение ЦБ Узбекистана № 19/1 (lex.uz)
• Нацбанк КР: Положение об ИБ в коммерческих банках
• CABAR.asia: защита персональных данных в Таджикистане
• Закон Туркменистана «Об информации о личной жизни и её защите»
• Turkmenportal: Центробанк Туркменистана утвердил требования кибербезопасности для банков
• Закон Республики Таджикистан «О защите персональных данных»