Қазақстан банктерінің ақпараттық қауіпсіздігіне қойылатын талаптар: AppSec үшін мағынасы

Қазақстан банктерінің АҚ талаптарын Қаржы нарығын реттеу және дамыту агенттігі (ҚНРДА) белгілейді. 2026 жылдан бастап агенттік Ұлттық Банктің бұрынғы талаптарын өз актілерімен ауыстырды: 2026 жылғы 3 сәуірдегі № 53 қаулымен және 2026 жылғы 20 сәуірдегі № 81 қаулымен. AppSec үшін бұл өз қосымшаларын дәлелді түрде тестілеу, осалдықтарды басқару және нәтиже үшін бірінші басшы деңгейінде жауап беру қажеттігін білдіреді. Төменде ресми және анықтамалық дереккөздер бойынша қандай актілерді растағанымыз және олардан қауіпсіз әзірлеуге не туындайтыны келтірілген.

Қазақстанда банктердің АҚ-ын қандай актілер реттейді

Үш деңгейді ажырата білген пайдалы: реттеушінің салалық талаптары, АКТ-ға қойылатын жалпы талаптар және жоғарғы деңгейдегі кодекстер.

• ҚНРДА Басқармасының 2026 жылғы 3 сәуірдегі № 53 қаулысы «Банктердің, Қазақстан Республикасының бейрезидент-банктері филиалдарының және банк операцияларының жекелеген түрлерін жүзеге асыратын ұйымдардың ақпараттық қауіпсіздігін қамтамасыз етуге қойылатын талаптарды бекіту туралы». Анықтамалық жүйе деректері бойынша 2026 жылғы 18 сәуірден бастап қолданысқа енгізілген; «Қазақстан Республикасындағы банктер және банк қызметі туралы» Заңның 55-бабы негізінде қабылданған. Құрылымы: жалпы ережелер, АҚ басқару жүйесі, ақпараттық активтерді санаттау, активтерге қол жеткізу, ақпараттық инфрақұрылымның қауіпсіздігі.
• ҚНРДА Басқармасының 2026 жылғы 20 сәуірдегі № 81 қаулысы «Қаржы нарығында ақпараттық қауіпсіздікті қамтамасыз ету жөніндегі ең төменгі талаптарды бекіту туралы». 2026 жылғы 12 шілдеден бастап күшіне енді. Заң фирмасының түсініктемесі бойынша банктерді, сақтандырушыларды, бағалы қағаздар нарығының қатысушыларын, МҚҰ-ны және өзге қаржы ұйымдарын қамтиды.
• Ұлттық Банк Басқармасының 2018 жылғы 27 наурыздағы № 48 қаулысы (тіркеу № 16772) — банктердің АҚ-на қойылатын бұрынғы талаптар және инциденттер туралы хабарлау қағидалары. ҚНРДА-ның № 53 қаулысы қабылданғандықтан күшін жойды.
• ҚР Цифрлық кодексі, 2026 жылғы 9 қаңтардағы № 255-VIII — 2026 жылғы шілдеде күшіне енді; киберқауіпсіздік шеңберін белгілейді, егжей-тегжейлері заңға тәуелді актілерге берілген.
• «Ақпараттандыру туралы» Заң, 2015 жылғы 24 қарашадағы № 418-V — АКТ және АҚ саласындағы Бірыңғай талаптар осыған сілтейді.

«Бірыңғай талаптарға» қатысты маңызды ескертпе: бұл ҚР Үкіметінің 2016 жылғы 20 желтоқсандағы № 832 қаулысы, ҚНРДА актісі емес. Олар мемлекеттік органдар, квазимемлекеттік сектор, АКТ-ның аса маңызды объектілерінің иелері және мемлекеттік ақпараттық жүйелермен интеграцияланған мемлекеттік емес ақпараттық жүйелердің иелері үшін міндетті. Бұл ретте құжаттың өзі оны қолдану банк заңнамасына қайшы келетін жағдайларды алып тастайды. Сондықтан банк үшін негізгі құжат — ҚНРДА талаптары, ал Бірыңғай талаптар сіздің жүйеңіз мемлекеттік сервистермен интеграцияланған жерде ғана өзекті болады.

Бұрынғы нормалар қауіпсіз әзірлеуге не талап етті

№ 48 қаулының бұрынғы редакциясында қашықтан қызмет көрсетуге арналған бағдарламалық қамтамасыз етуге нақты нормалар болды (күшін жою алдында анықтамалық жүйеде жарияланған мәтін бойынша):

• бастапқы код қауіпсіздік периметрінің ішіндегі репозиторийлерді басқару жүйелерінде сақталады, резервтік көшірмесі жасалады;
• әзірлеу және тестілеу орталары өнеркәсіптік ортадан бөлінген, әзірлеушілер продуктивке өзгеріс енгізбейді;
• іске қосу алдында әдепкі қауіпсіздік параметрлері өзгертіледі және тестілік есептік жазбалар жойылады;
• қауіпсіздікті міндетті тестілеу, ең болмағанда кодты статикалық талдауды және компоненттер мен үшінші тарап кітапханаларын талдауды қамтиды (яғни мәні жағынан SAST және SCA);
• сыни осалдықтар пайдалануға енгізгенге дейін жойылады, мердігер орындаған әзірлеу үшін жауапкершілік банкте қалады;
• ақпараттық активтерді жарты жылда кемінде бір рет сканерлеу, инфрақұрылымға пентестті тәуелсіз сыртқы мамандардың жүргізуі.

№ 53 қаулының ашық толық мәтінін таппағандықтан, осы нормалардың қайсысы оған сөзбе-сөз көшірілгенін растамаймыз. Практикалық ереже: бұрынғы талаптар деңгейі сақталады немесе артады деп есептеңіз, ал нақты тұжырымдарды adilet.zan.kz сайтындағы мәтінмен салыстырып тексеріңіз.

Жаңа актілерде не расталды

№ 81 қаулыға түсініктеме бойынша (дереккөз — заң фирмасы, актінің мәтіні емес):

• қаржы ұйымының бірінші басшысы ақпараттық қауіпсіздік үшін жеке жауапты болады;
• инциденттер (БҚ осалдықтарын пайдалану, рұқсатсыз қол жеткізу, DDoS, серверлердің жұқтырылуы, рұқсатсыз аударымдар, бір сағаттан астам тоқтап қалу) туралы инциденттерді өңдеудің автоматтандырылған жүйесі (ИӨАЖ) арқылы дереу хабарлау қажет;
• сыртқы қол жеткізу үшін кемінде екі тәуелсіз аутентификация факторы қажет;
• аудит журналдары тұтастығы қорғалып сақталады (үш ай онлайн және бір жыл мұрағатта не бір жыл онлайн);
• сыртқы серверлер мен сақтау сервистерін пайдаланған кезде ұйым заң ашуға тыйым салатын деректерге, оның ішінде дербес деректерге үшінші тұлғалардың қол жеткізуіне жол бермеуге міндетті.

Бұл ережелер әзірлеуге тікелей қатысты: БҚ осалдықтарын пайдалану бойынша инциденттер — хабарлаудың жеке санаты, демек қосымшалардың осалдықтарын басқару реттеушінің алдындағы есептілік мәселесіне айналады.

Бұл AppSec практикасы үшін нені білдіреді

1. Статикалық талдау мен SCA жылына бір рет емес, процестің ішінде. Реттеуші кодты және үшінші тарап компоненттерін талдағанының дәлелін күтсе, әр құрастыру бойынша есептер керек. Құралдар кластарын таңдаудан бастаңыз және оларды CI/CD-ге енгізіңіз.
2. Компоненттер тізілімі (SBOM). Жаңа осалдық сізге әсер ете ме, жоқ па — соны сағаттар ішінде түсіну үшін тәуелділіктердің өзекті тізбесі қажет — SBOM деген не мақаласын қараңыз.
3. Тәуелсіз тестілеу. Сыртқы пентест және сыни жүйелердің қорғалуын бағалау банктер үшін стандартты практика болып қала береді — бұл қызмет туралы толығырақ қорғалуды талдау бетінде.
4. Бастапқы код периметр ішінде. Банк контурында жұмыс істейтін репозиторийлерді, CI мен сканерлерді сыртқы сервистерге қарағанда қорғау оңайырақ. Бұл on-premise шешімдерді таңдаудың бір дәлелі.
5. Құпиялар мен кілттер. Аутентификация және қол жеткізуді бөлу талаптары сервистік есептік жазбалар мен токендерге де қолданылады — құпияларды басқару мақаласын қараңыз.
6. Мердігерлер. Мердігердің коды үшін банк жауап береді: шарттарда қауіпсіз әзірлеуге қойылатын талаптар және жеткізілетін құрастырымдарды тексеру қажет.

Процесті түгел құруға DevSecOps енгізу көмектеседі: ол реттеуші талаптарын конвейердің әр кезеңіндегі тексерулерге және дайын есептілікке айналдырады.

Сәйкестікті тексеруді неден бастау керек

• № 53 және № 81 қаулылардың өзекті мәтіндерін алып, «талап — шара — дәлел» матрицасын жасау.
• Қосымшаларды сыннилығы бойынша жіктеу: тестілеу тереңдігі мен тексеру жиілігі осыған байланысты.
• Банкте дәлелдер қай жерде жоқ екенін тексеру: SAST/SCA есептері, пентест нәтижелері, осалдықтарды жою журналы.
• Қосымшалардың осалдықтарына байланысты инциденттер туралы хабарлау рәсімін АҚ қызметімен келісу.

Бірыңғай талаптар: әзірлеушілер үшін не маңызды

Банк жүйелерінің бір бөлігі мемлекеттік жүйелермен (мысалы, «электрондық үкімет» платформасымен) интеграцияланған болса, Бірыңғай талаптар (№ 832 қаулы) күшіне енеді. Анықтамалық жүйедегі мәтін бойынша оларға соңғы өзгерістер Үкіметтің 2026 жылғы 25 ақпандағы № 119 қаулысымен енгізілген. АҚ тақырыбы бойынша олардағы мазмұн:

• оқиғалар журналдары кемінде үш жыл сақталады және кемінде екі ай жедел талдау үшін қолжетімді болады; «электрондық үкіметтің» 1 және 2-сыныпты объектілері АҚ мониторингі жүйесіне қосылады;
• 1 және 2-сыныпты объектілер үшін көпфакторлы аутентификация қажет;
• міндетті құжаттар қатарында желілік ресурстардың осалдықтарын бағалау туралы есеп және инциденттер туралы хабарлау және оларға ден қою рәсімі бар;
• «электрондық үкімет» объектілерін өнеркәсіптік пайдалануға енгізу Мемлекеттік техникалық қызметке берілген бастапқы кодтан құрастырылған орындалатын кодтан бірыңғай репозиторий қағидалары бойынша жүзеге асырылады.

Мәтіннің бізге қолжетімді бөлігінде SDLC және ену сынақтарына қойылатын талаптарды таппадық, бірақ құжат ұзақ, ал «электрондық үкімет» объектілері мен АКТ-ның аса маңызды объектілерін сынау «Ақпараттандыру туралы» Заң негізінде бекітілетін жеке әдістемелермен реттеледі. Мемлекеттік жүйелермен интеграцияланатын болсаңыз, объектінің сыныбын және соған байланысты талаптарды анықтаңыз.

Сәйкестік матрицасын қалай құруға болады

1. № 53 және № 81 қаулылардағы талаптарды кестеге жазыңыз: тармақ, тұжырым, иесі, шара, дәлел.
2. Әр қосымша үшін сыннилық санатын және ол өңдейтін деректер түрін көрсетіңіз.
3. Талаптарды конвейердің нақты қадамдарымен байланыстырыңыз: әр pull request-те SAST және SCA, релиз алдында DAST, саясатыңыз айқындайтын кезеңде бір рет қолмен пентест.
4. Есептерді автоматты жинауды баптаңыз: аудиторға скриншоттар жинағаннан гөрі жүйеден шығарылған есепті көрсету оңайырақ.
5. Осалдықтарды жоюға жауаптыларды және сыннилығы бойынша мерзімдерді тағайындаңыз.

Мұндай матрица мердігерлерді тексеру кезінде де жарайды: дәл сол талаптарды әзірлеу шартына енгізуге болады.

Жиі қойылатын сұрақтар

Мақала ақпараттық сипатта және заң кеңесі болып табылмайды.

Дереккөздер

• ҚНРДА-ның 2026 жылғы 3 сәуірдегі № 53 қаулысы (prg.kz)
• Ұлттық Банк Басқармасының 2018 жылғы 27 наурыздағы № 48 қаулысы (күшін жойды)
• Қаржы нарығындағы АҚ-ға қойылатын ең төменгі талаптар — № 81 қаулы (SOLIS Partners түсініктемесі, prg.kz)
• ҚР Үкіметінің 2016 жылғы 20 желтоқсандағы № 832 қаулысы (Бірыңғай талаптар)
• Цифрлық кодекс: азаматтар мен бизнес үшін не өзгереді (zakon.kz)