Қырғызстанның қаржы секторының АҚ талаптары: AppSec-те нені ескеру керек

Қырғызстан коммерциялық банктерінің ақпараттық қауіпсіздігіне қойылатын талаптарды 2021 жылғы 22 желтоқсандағы № 2021-П-20/72-8-(НПА) Басқарма қаулысымен бекітілген ҚР Ұлттық банкінің Ережесі белгілейді. Дербес деректерді 2026 жылғы 6 ақпаннан бастап бұрынғы № 58 заңның орнына ҚР Цифрлық кодексі реттейді, ал жалпы шеңберді 2024 жылғы 17 шілдедегі № 121 «Киберқауіпсіздік туралы» заң береді. AppSec үшін басты нәрсе: БҚ-ның бүкіл өмірлік циклінде қауіпсіздік, осалдықтарды басқару және деректерді трансшекаралық беруге мұқият қарау.

Негізгі актілер

• ҚР Ұлттық банкі Басқармасының 2021 жылғы 22 желтоқсандағы № 2021-П-20/72-8-(НПА) қаулысы — «Қырғыз Республикасының коммерциялық банктерінде ақпараттық қауіпсіздікті қамтамасыз ету жөніндегі талаптар туралы» Ереже. Ресми жарияланғаннан кейін 15 күн өткен соң күшіне енеді; 2011 жылғы 14 қыркүйектегі № 52/12 қаулыны жояды.
• ҚР 2024 жылғы 17 шілдедегі № 121 «Киберқауіпсіздік туралы» Заңы — Жогорку Кенеш 2024 жылғы 12 маусымда қабылдады, жарияланғаннан кейін 15 күн өткен соң күшіне енді. Бірыңғай киберқауіпсіздік жүйесінің құқықтық негіздерін, сыни ақпараттық инфрақұрылымды, киберқауіпсіздік аудитін айқындайды.
• ҚР Цифрлық кодексі, 2025 жылғы 31 шілдедегі № 178 — бұрынғы реттеуді біріктірді. 2008 жылғы 14 сәуірдегі № 58 «Дербес сипаттағы ақпарат туралы» Заң 2025 жылғы 31 шілдедегі № 179 Заңға байланысты 2026 жылғы 6 ақпанда күшін жойды.
• Министрлер Кабинетінің қаулысы — аса маңызды ақпараттық инфрақұрылым объектілеріне арналған киберқауіпсіздік талаптарының бірыңғай тізбесі туралы — 24.kg-тің 2026 жылғы 21 сәуірдегі хабарламасы бойынша; қаулы нөмірі жарияланымда көрсетілмеген.

ҚРҰБ Ережесі банктерден не талап етеді

Ереже халықаралық стандарттар мен практикаларға негізделген (жоба ISO/IEC 27001 және 27005 стандарттарына сілтеме жасаған). ҚРҰБ сайтындағы мәтін бойынша растаған мазмұнынан әзірлеу мен AppSec үшін мына нормалар маңызды.

• Жүйелердің өмірлік циклі. Қауіпсіздік барлық кезеңде ескеріледі; енгізу мен өзгерістер құжатталып, банк басшылығымен бекітіледі. Тестілеу өнеркәсіптік ортаға ұқсас ортада жүргізіледі.
• Бағдарламалық қамтамасыз ету. Банк лицензиялық БҚ-ны, сондай-ақ толық бекітілген құжаттама (спецификациялар, сынақ бағдарламалары мен нәтижелері, пайдалануға енгізу актілері) болған жағдайда open-source немесе өз әзірлемелерін пайдалана алады.
• Осалдықтар. Банк осалдықтарды анықтауға, бағалауға және жоюға тиіс; инциденттерді талдау сабақтары тәуекелдерді бағалауда ескеріледі. Карталық жүйелер үшін зауыттық параметрлер мен өндірушілердің құпиясөздеріне тыйым салынған.
• Журналдау және аудит. Журналдар күн сайын қаралады, қауіпсіздік параметрлерінің өзгеруі тіркеледі, ішкі аудит ІТ мен АҚ-ны қамтиды; Ұлттық банк талаптардың сақталуын тексеруге құқылы.
• Аутсорсинг және бұлттар. Функцияларды, соның ішінде деректерді өңдеу орталықтары мен бұлттық сервистерді аутсорсингке бергенге дейін банк тәуекелдерді бағалайды және сұратылған жағдайда бағалауды Ұлттық банкке ұсынады; шарт қауіпсіздікті, құпиялылықты, үздіксіздікті және реттеушімен өзара іс-қимылды қозғауы тиіс.

Мәтіннен таппағанымыз: пентесттің нақты талабы (карталық жүйелер үшін қауіпсіздік жүйелерін тұрақты тестілеу аталған), Ұлттық банкке инциденттер туралы хабарлаудың нақты мерзімдері және кодты міндетті статикалық талдау талабы. Бұл олар қадағалау практикасында болмайды дегенді білдірмейді, бірақ ресми түрде норма ретінде оларға сүйенуге болмайды.

Цифрлық кодекс бойынша дербес деректер

Дербес деректерді өңдеу, сақтау, беру және қорғау мәселелері Цифрлық кодекстің 11-тарауына кірді. Уәкілетті орган — Дербес деректерді қорғау жөніндегі мемлекеттік агенттік. 24.kg деректері бойынша, трансшекаралық беру үшін шет мемлекеттердегі қорғаудың барабарлығын бағалау тәртібі әзірленіп жатыр: деректерді тізімдегі елдерге еркін беруге болады, ал қалғандарына — тек субъектінің келісімімен. 2026 жылғы мамырда парламент бірінші оқылымда дербес деректерді қорғауға байланысты Құқық бұзушылықтар туралы кодекске өзгерістер туралы заң жобасын мақұлдады.

Локализацияға қатысты тікелей айтайық: бізге қолжетімді дереккөздерде бұрынғы № 58 заң деректерді елде сақтаудың жалпы талабын қамтымады, ал Цифрлық кодекс үшін мұндай талапты растамадық. 2026 жылға дейінгі консалтингтік шолулар дербес деректер ұстаушылар тізілімін және айыппұл тәуекелдерін сипаттайды, бірақ олар бұрынғы заң туралы жазылған, сондықтан Кодекстің мәтініне және агенттіктің түсіндірмелеріне сүйеніңіз. Заңгерлер Кодекске көшуге байланысты деректерді сақтау және беру тәртібін қайта қарауды ұсынады.

Бұл AppSec практикасы үшін нені білдіреді

1. Өмірлік циклді құжаттаңыз. Ереже бекітілген құжаттаманы және сынақтарды талап етеді. SAST, SCA және динамикалық тестілеу нәтижелері — осы кезеңдердің табиғи артефактілері; құралдар туралы — SAST, DAST, SCA және MAST мақаласында.
2. Open-source тек құжаттамамен рұқсат етіледі. Ашық компоненттер сипатталып, тестіленуі тиіс. Компоненттер тізілімі (SBOM) бұл міндетті шешеді — SBOM деген не.
3. Жұмыс деректерінсіз тест-орта. Өнеркәсіптікке ұқсас орта қажет, бірақ ондағы деректер маскіленген немесе синтетикалық болуы тиіс.
4. Жеткізушілердің тәуекелін бағалау. Сканер, репозиторий немесе CI үшінші тарап провайдерінде орналасса, бұл тәуекелдерді бағалайтын және шартта қауіпсіздік ережелері бар аутсорсинг. On-premise бұл қадамды жеңілдетеді.
5. Киберинциденттерге дайындық. Киберқауіпсіздік туралы заң киберқауіпсіздік аудитін және қатерлердің бірыңғай базасын енгізеді; есеп беруге ұят болмайтын ден қою процесін дайындаңыз.
6. Тәуелсіз тексеру. Сыни жүйелердің қорғалуын талдау ішкі аудит пен тексерулерге дәлел алудың практикалық тәсілі; қорғалуды талдау туралы толығырақ.

Бұл практикаларды әзірлеу процесіне жүйелі түрде жинауға DevSecOps енгізу көмектеседі; базалық маршрут «DevSecOps: неден бастау керек» материалында сипатталған.

«Киберқауіпсіздік туралы» Заң және сыни инфрақұрылым

2024 жылғы 17 шілдедегі № 121 Заң киберқауіпсіздікті қамтамасыз ету субъектілері мен қағидаттары, сыни ақпараттық инфрақұрылым, киберқатерлердің бірыңғай базасы, мемлекеттік-жеке өзара іс-қимыл және киберқауіпсіздік аудиті ұғымдарын енгізеді. Үкіметтің 2020 жылғы 21 мамырдағы № 266 қаулысымен киберқауіпсіздік саласындағы уәкілетті орган болып Ұлттық қауіпсіздіктің мемлекеттік комитеті (Киберқауіпсіздік жөніндегі үйлестіру орталығы) тағайындалды; бұл 2024 жылғы заңда қалай көрсетілгенін оның мәтіні бойынша тексеріңіз. 24.kg хабарлауынша, 2026 жылғы сәуірде Министрлер Кабинеті аса маңызды ақпараттық инфрақұрылым объектілеріне арналған киберқауіпсіздік талаптарының бірыңғай тізбесін бекітті; ол маңызды ақпараттық жүйелермен байланысты қызметі бар мемлекеттік, сондай-ақ коммерциялық және коммерциялық емес ұйымдарға қатысты. Жүйелеріңіздің мұндай инфрақұрылымға жататын-жатпайтынын өз АҚ қызметіңізден анықтаңыз.

ҚРҰБ Ережесінің жобасында не болды

Жоба материалдарында (2021 жыл) Ұлттық банк талаптардың құрылымын атауынан көрінетінінен кеңірек сипаттады. Жобада үш деңгейлі құжаттама (жалпы саясаттар, жеке саясаттар және рәсімдер), АҚ саясатына жауапты тұлға, қабылданатын қызметкерлерді тексеру, ең аз артықшылықтар қағидаты, төлем операцияларын қосарлы бақылау, қашықтан қол жеткізуді көпфакторлы аутентификациялау, оқиғалар журналдарын кемінде екі жыл сақтау, карталарға PCI DSS талаптары және төлем деректерін Қырғызстанда сақтау көрсетілді. Бұл жоба, бекітілген норма емес: қандай ережелер түпкілікті құжатқа енгенін қабылданған мәтінмен салыстырып тексеріңіз. Бірақ жетілген АҚ процесінің бағдары ретінде ол пайдалы: өз саясаттарыңызды құрғанда соған теңелген орынды.

Банк немесе финтех неден бастауы керек

1. nbkr.kg сайтынан Ереженің өзекті мәтінін алып, қолданылатын тармақтар тізбесін жасау.
2. Жүйелеріңіздің сыни ақпараттық инфрақұрылымға жататын-жатпайтынын анықтау.
3. Дербес деректерді сақтау мен беруді Цифрлық кодекс және Дербес деректерді қорғау жөніндегі мемлекеттік агенттіктің ұстанымын ескере отырып қайта қарау.
4. Әзірлеу процесіндегі «ақ дақтарды» жабу: кодты талдау, тәуелділіктерді бақылау, жұмыс деректерінсіз тест-орта.
5. Сыртқы сервистер бойынша тәуекелдерді бағалауды дайындау: хостинг, бұлттық CI/CD және SaaS-сканерлер.

Жиі қойылатын сұрақтар

Мақала ақпараттық сипатта және заң кеңесі болып табылмайды. Қырғызстанның нормативтік актілері жиі жаңарады — өзекті редакцияларды тексеріңіз.

Дереккөздер

• ҚР Ұлттық банкі: № 2021-П-20/72-8-(НПА) қаулысы және коммерциялық банктердегі АҚ туралы Ереже
• ҚР Ұлттық банкі: коммерциялық банктердегі АҚ туралы Ереже жобасы (негіздеме)
• CERT ҚР: заңнама, № 121 «Киберқауіпсіздік туралы» Заң
• ҚР № 58 «Дербес сипаттағы ақпарат туралы» Заңы (06.02.2026 күшін жойды)
• 24.kg: парламент дербес деректерді қорғау туралы заң жобасын мақұлдады
• 24.kg: сыни жүйелерді қорғау талаптары