Орталық Азиядағы AppSec және DevSecOps: сұраныс драйверлері, талаптар және елдер бойынша тренділер

Орталық Азиядағы AppSec пен DevSecOps сұранысының басты драйвері — сәнді қуу емес, қаржы секторы мен дербес деректерді реттеу. Қазақстан мен Өзбекстан банктері реттеушілердің жаңа талаптарымен өмір сүріп жатыр, Қырғызстан ережелерді Цифрлық кодекс төңірегінде қайта құруда, ал Тәжікстан мен Түрікменстан өз ерекшелігі бар неғұрлым «жабық» нарықтар болып қалуда. Төменде біз растай алған актілермен елдер бойынша шолу берілген.

Аймақта AppSec сұранысын не қозғайды

• Реттеушілердің банктерге қойған талаптары. Қазақстанда Ұлттық Банктің ескі № 48 қаулысы ҚНРДА-ның 2026 жылғы актілерімен ауыстырылды; Өзбекстанда 2025 жылғы қарашадан Орталық банктің № 19/1 ережесі қолданылады.
• Дербес деректер. Дербес деректер туралы заңдар аймақтың барлық елінде бар, ал локализация мен трансшекаралық беру инфрақұрылым мен құралдарды таңдауға әсер етеді.
• Цифрландыру және төлемдер. Мобильді қосымшалардың, API-лердің және мемлекеттік платформалармен интеграциялардың өсуі шабуыл бетін кеңейтеді.
• БҚ жеткізу тізбегі. Жария репозиторийлерден алынатын тәуелділіктер мен мердігерлер — реттеушілер талаптарға қосып отырған тақырып; SBOM қараңыз.
• Кәсіби қауымдастық. Практикалық оқуға және тәжірибе алмасуға сұраныс пайда болды.

Қазақстан

Аймақтағы ең реттелген нарық. Банктер үшін банктердің АҚ-на қойылатын талаптар туралы ҚНРДА-ның 2026 жылғы 3 сәуірдегі № 53 қаулысы және қаржы нарығындағы АҚ-ға қойылатын ең төменгі талаптар туралы 2026 жылғы 20 сәуірдегі № 81 қаулысы (2026 жылғы 12 шілдеден күшінде) қолданылады. Ұлттық Банктің бұрынғы нормалары қашықтан қызмет көрсетуге арналған БҚ үшін кодты статикалық талдауды және үшінші тарап компоненттерін талдауды талап етті. Дербес деректерді 2013 жылғы 21 мамырдағы № 94-V заң 2026 жылғы түзетулермен реттейді, ал 2026 жылғы шілдеде Цифрлық кодекс күшіне енді. Мемлекеттік сектор мен онымен интеграцияланған жүйелер үшін АКТ және АҚ саласындағы Бірыңғай талаптар (Үкіметтің 2016 жылғы 20 желтоқсандағы № 832 қаулысы) қолданылады. Толығырақ: Қазақстан банктерінің АҚ талаптары және Қазақстандағы дербес деректер.

Өзбекстан

Орталық банктің № 19/1 ережесі (2025 жылғы 20 қарашадан күшінде) БҚ өмірлік циклі туралы аймақтағы ең егжей-тегжейлі нормалардың бірін қамтиды: әр кезеңдегі қауіпсіздік талаптары, іске қосу алдында осалдықтарға тестілеу, кодты автоматты талдауы бар жабық контурдағы DevOps платформалары. № ЗРУ-547 дербес деректер туралы заң 2026 жылғы 26 наурыздағы түзетулерден кейін биометрия, генетика және телеком-операторлар пайдаланушыларының деректері үшін міндетті локализацияны сақтады. Киберқауіпсіздік туралы заң бар (2022). Толығырақ — Өзбекстандағы АҚ талаптары мақаласында.

Қырғызстан

Банктер БҚ өмірлік циклі, осалдықтарды басқару және аутсорсинг талаптары бар ҚР Ұлттық банкінің 2021 жылғы Ережесін (№ 2021-П-20/72-8-(НПА) қаулысы) басшылыққа алады. «Киберқауіпсіздік туралы» Заңға 2024 жылы қол қойылды, ал дербес деректерді 2026 жылғы ақпаннан Цифрлық кодекс реттейді. Толығырақ — Қырғызстандағы АҚ талаптары.

Тәжікстан

Негізгі акт — 2018 жылғы 3 тамыздағы № 1537 «Дербес деректерді қорғау туралы» Заң. CABAR.asia шолуы бойынша (2024), уәкілетті орган — Үкімет жанындағы Байланыс қызметі, деректерді жинау және өңдеу үшін осы органның сертификаты қажет, ал заңда бұзушылық үшін жауапкершілік тетігі жоқ. Бұл шолуда локализацияның жалпы талаптары сипатталмаған, ал заңның мазмұнында деректерді жинақтау және сақтау туралы 14-бап және трансшекаралық беру туралы 18-бап бар — олардың мәтінін тексере алмадық. Біз растай алатын Ұлттық банктің АҚ бойынша нормативтік актілерін табу мүмкін болмады, сондықтан аймақ банктері үшін талаптарды реттеушіден және серіктестерден тікелей сұрауды ұсынамыз.

Түрікменстан

«Жеке өмір туралы ақпарат және оны қорғау туралы» Заңға 2017 жылғы 20 наурызда қол қойылған, 2017 жылғы 1 шілдеден қолданылады. 12-бап дербес деректерді Түрікменстан аумағында орналасқан базада сақтауды талап етеді; 17-бап шетелге беруге алушы елде қорғау қамтамасыз етілсе не субъектінің келісімімен және өзге көрсетілген негіздер бойынша жол береді. Turkmenportal хабарлауынша, Орталық банк 2024 жылғы қаңтарда банк жүйесінде киберқауіпсіздік және АҚ талаптарын орындау тәртібін бекітті: банктердің киберқорғанысы, рұқсатсыз қол жеткізуге және зиянды БҚ-ға қарсы шаралар, сыни ақпараттық инфрақұрылымды айқындау және киберәуекелдерді тұрақты бағалау.

Тренділер

1. Бір реттік пентесттен процеске. Реттеушілер біржолғы тексерулер туралы емес, БҚ өмірлік циклі туралы жиірек айтады — жол DevSecOps: неден бастау керек материалында сипатталған.
2. On-premise және код үстінен бақылау. Жабық контур мен деректерді локализациялау талаптары компания ішінде жұмыс істейтін шешімдерге қызығушылықты арттырады.
3. Басшылықтың жеке жауапкершілігі. Қазақстанда № 81 қаулыға түсініктеме бойынша АҚ үшін жауапкершілік қаржы ұйымының бірінші басшысына жүктелген.
4. SCA және SBOM. Үшінші тарап компоненттерін бақылау «жақсы практикадан» күтілетін артефактқа айналып барады.
5. Құпиялар және артықшылықты қол жеткізу. Мәселелер аутентификация талаптарына шығарылған; құпияларды басқару қараңыз.

Қауымдастық: Алматыдағы AppSecFest

Аймақта AppSec және DevSecOps бойынша практикалық тәжірибе алмасу AST Cyber Lab ұйымдастыратын Алматыдағы AppSecFest конференциясында өтеді. Конференция беті деректері бойынша, барлық жылдар бойы оған 3173 адам қатысты, 83 спикер сөз сөйледі; төртінші конференция 2026 жылы Al-Farabi Hall-да өтті. Процесті енді құрып жатқан командалар үшін бұл банктер мен финтех әріптестерінің міндеттерді қалай шешетінін көру мүмкіндігі, ал бағдарлама мен жазбаларды конференция бетінен табуға болады.

Елдерді екі сөзбен салыстыру

• Қазақстан: банктерге арналған ҚНРДА-ның салалық талаптары (№ 53, № 81), № 94-V заң және Цифрлық кодекс; елдің аумағындағы дерекқорда немесе цифрлық объектіде сақтауды локализациялау; біз растаған ішінде қаржы секторын ең тығыз реттеу.
• Өзбекстан: БҚ өмірлік циклі мен SIEM нормалары бар Орталық банктің № 19/1 ережесі; тек биометрия, генетика және телеком-қызметтерді пайдаланушылардың деректері үшін локализация; киберқауіпсіздік туралы жеке заң.
• Қырғызстан: ҚРҰБ-тің 2021 жылғы Ережесі, 2024 жылғы киберқауіпсіздік туралы заң, дербес деректер туралы заңның орнына Цифрлық кодекс; локализацияның жалпы талабын растамадық.
• Тәжікстан: 2018 жылғы дербес деректер туралы заң, уәкілетті орган — Байланыс қызметі; банктердің АҚ бойынша егжей-тегжейлі салалық актілерін таппадық.
• Түрікменстан: деректерді елдің аумағындағы базада сақтау талабы бар 2017 жылғы заң; Орталық банктің банктердің киберқорғанысы жөніндегі тәртібі (2024 жылғы қаңтар).

Аймаққа арналған құралдарды қалай таңдау керек

Бірнеше елде жұмыс істейтін командаларға арналған практикалық өлшемдер жиынтығы:

• Икемді орналастыру. Өнімді қажетті юрисдикцияда on-premise немесе жеке бұлтта орнату мүмкіндігі.
• Тілдер және стек. Қолданылатын тілдер мен фреймворктерді, соның ішінде мобильді қосымшаларды қолдау — өз кодыңызда пилотта тексеріңіз.
• Реттеушіге арналған есептілік. Нәтижелерді АҚ қызметіңіз бен аудиторға түсінікті форматта шығару.
• Жергілікті қолдау. Тіл, уақыт белдеуі және сатып алу тәсілі.
• Процеске интеграция. CI/CD-ге кіріктірілмеген құрал тез «артық есепке» айналады.

Бірнеше елде жұмыс істесеңіз, қалай бастау керек

Қолданылатын режимдердің ең қатаңын базалық етіп таңдап, ұлттық ерекшеліктерді соның үстіне қосыңыз. Қазақстан мен Өзбекстанда банк-клиенттеріңіз болса, кодты автоматты талдауы, тәуелділіктерді бақылауы және аудитке арналған есептері бар қауіпсіз әзірлеу процесі жалпы талаптардың едәуір бөлігін жабады. Жеке-жеке дербес деректерді сақтау туралы ұлттық нормаларды салыстырып, жүйелерді юрисдикциялар бойынша бөліңіз. Содан кейін қандай орталар (әзірлеу, тест, продуктив) ел ішінде болуы тиіс, ал қайсысын орталықтандырылған түрде ұстауға болатынын айқындаңыз. Елдеріңізге арналған енгізу картасын DevSecOps бетінде талқылауға болады.

Жиі қойылатын сұрақтар

Мақала ақпараттық сипатта және заң кеңесі болып табылмайды. Нормативтік база өзгеріп отырады — шешім қабылдамас бұрын актілердің өзекті редакцияларын тексеріңіз.

Дереккөздер

• ҚР ҚНРДА-ның 2026 жылғы 3 сәуірдегі № 53 қаулысы
• Өзбекстан Орталық банкінің № 19/1 ережесі (lex.uz)
• ҚР Ұлттық банкі: коммерциялық банктердегі АҚ туралы Ереже
• CABAR.asia: Тәжікстандағы дербес деректерді қорғау
• Түрікменстанның «Жеке өмір туралы ақпарат және оны қорғау туралы» Заңы
• Turkmenportal: Түрікменстан Орталық банкі банктерге арналған киберқауіпсіздік талаптарын бекітті
• Тәжікстан Республикасының «Дербес деректерді қорғау туралы» Заңы