Өзбекстандағы АҚ және дербес деректер талаптары: AppSec әзірлеу мен сатып алуда нені ескеру керек

Өзбекстанда дербес деректерді 2019 жылғы 2 шілдедегі № ЗРУ-547 заң реттейді, ал банктердің ақпараттық қауіпсіздігіне қойылатын талаптарды 2025 жылғы 20 қарашадан бастап қолданыстағы Орталық банктің № 19/1 ережесі белгілейді. 2026 жылғы 27 наурыздан бастап міндетті локализация биометриялық және генетикалық деректер үшін, сондай-ақ телеком-операторлар пайдаланушыларының деректері үшін сақталды, ал қалған деректерді үш шартты сақтаған жағдайда шетелде өңдеуге болады. Әзірлеу үшін бұл деректер картасын, код үшін on-premise контурды және кіріктірілген қауіпсіздік тестілеуін білдіреді.

Негізгі актілер

• «Дербес деректер туралы» Заң, 2019 жылғы 2 шілде, № ЗРУ-547, 2019 жылғы 1 қазанда күшіне енді. 27-1-бап Өзбекстан азаматтарының дербес деректерін өңдеудің ерекше шарттарын реттейді.
• 2026 жылғы 26 наурыздағы № ЗРУ-1125 Заң дербес деректер туралы заңға өзгерістер енгізу туралы; 2026 жылғы 27 наурызда, ресми жарияланған күні күшіне енді.
• «Киберқауіпсіздік туралы» Заң, 2022 жылғы 15 сәуірде қол қойылған; 2022 жылғы 15 шілдеде күшіне енді. Уәкілетті орган ретінде Мемлекеттік қауіпсіздік қызметі аталған. Кибершабуылға ұшыраған ақпараттық ресурстардың иелері бұл туралы уәкілетті органға хабарлауға міндетті. Заң банк саласын сыни ақпараттық инфрақұрылым секторларына жатқызады.
• Орталық банк Басқармасының № 19/1 қаулысы «Коммерциялық банктердің ақпараттық қауіпсіздігі мен киберқауіпсіздігін қамтамасыз етуге қойылатын ең төменгі талаптар туралы ереже», Әділет министрлігінде 2025 жылғы 18 тамызда № 3669 болып тіркелген, 2025 жылғы 20 қарашада күшіне енді.

2026 жылғы түзетулерден кейінгі дербес деректерді локализациялау

2021 жылғы редакцияда 27-1-бап Өзбекстан азаматтарының дербес деректерін елде физикалық түрде орналасқан және Дербес деректер базаларының мемлекеттік тізілімінде тіркелген техникалық құралдарда жинауды, жүйелеуді және сақтауды талап етті. № ЗРУ-1125 заңнан кейін көрініс өзгерді (Kun.uz пен ITTS талдамасында баяндалған мәтіндер бойынша):

• Өзбекстанда міндетті түрде сақталады үш санат: биометриялық деректер, генетикалық деректер және елде жұмыс істейтін телекоммуникация операторлары қызметтерін пайдаланушылардың деректері.
• Қалған деректерді үш шарттың бірі орындалса, шетелде сақтауға және өңдеуге болады: мемлекет баламалы қорғауды қамтамасыз ететін ретінде танылған; оператор уәкілетті органның талаптарына сай үлгілік шарттық талаптарды немесе міндетті корпоративтік қағидаларды қабылдаған; оператор уәкілетті орган бекіткен тізімдегі дербес деректерді басқару мен сақтаудың халықаралық стандарттарын ұстанады.
• Баламалы қорғауы бар елдердің тізбесін Министрлер Кабинеті айқындайды.

Заңгерлер ашық сұрақтарды көрсетеді: нормада локализацияланған санаттарды шетелге беруге тікелей тыйым жоқ, ол болжалданады; трансшекаралық беру туралы 15-бап өзгермеді және негіз ретінде келісімге жол береді; шолулар жарияланған сәтте заңға тәуелді актілер мен тізімдер әзірленіп жатқан еді. Сондықтан өзекті мәртебені lex.uz сайтынан тексеріңіз.

Салалық норманың жеке мысалы: Spot.uz хабарлауынша, Орталық банктің 2026 жылғы 22 шілдедегі қаулысы (Әділет министрлігінде 5 тамызда тіркелді, 6 тамыздан қолданыста) банктік емес кредит ұйымдарынан сәйкестендіру және аутентификация үшін пайдаланылатын клиенттердің биометриялық деректерін Өзбекстан аумағында сақтауды талап етеді.

Орталық банктің банктердің АҚ-на қойылатын талаптары: № 19/1 ереже

Ереже 24 тараудан тұрады. Одан әзірлеу мен AppSec-ке тікелей әсер ететінін бөліп көрсету керек:

• Ақпараттық және киберқауіпсіздік қызметі банктер мен филиалдарда, АҚ жөніндегі ішкі саясат, тәуекелдерді басқару жүйесі.
• Аутсорсингке тыйым — ІТ-инфрақұрылымды және ақпараттық қауіпсіздік жүйелерін басқаруға, бақылауға және үздіксіз жұмысын қамтамасыз етуге (16-тармақ).
• Жүйелердің өмірлік циклі (21-тарау). Меншікті әзірлемелер үшін қауіпсіздік талаптарына сәйкестік әр кезеңде тексеріледі (159-тармақ); жүйелер киберәуекелдерді ескере отырып жобаланады (161-тармақ). 163-тармақ техникалық тапсырмаға қауіпсіздік талаптарын енгізуді, әзірлеу мен тестілеу кезінде банк құпиясы мен құпия деректерді пайдаланбауды және DevOps платформаларын (мысалы, GitLab) тек контур ішінде, кодты автоматты талдаумен (SAST/DAST), интернетке қосылусыз қолдануды, қашықтан қол жеткізуді қорғалған VPN арқылы жүргізуді талап етеді.
• Іске қосу алдындағы тестілеу (164-тармақ): жүйелер осалдықтарға тексеріледі, анықталған осалдықтар іске қосқанға дейін жойылады, қорғау шаралары құжатталады.
• Осалдықтарды басқару (156–157-тармақтар): ІТ-активтерді тұрақты сканерлеу, CVE бойынша жіктеу, CVSS бойынша сыннилықты бағалау, түзетулерді орнату, қауіпсіздіктің базалық конфигурациялары.
• SIEM, мониторинг және инциденттер: SIEM немесе аналогты және SOAR енгізу, тәулік бойы мониторинг және Орталық банктің CERT-CBU мониторинг орталығына қосылу (36-тармақ); төтенше оқиғалар туралы Орталық банкке және уәкілетті мемлекеттік органға дереу хабарлау керек (35-тармақ).
• Пентест: нақты талап деректерді өңдеу орталықтары үшін табылды — осалдықтарды талдау және ену тестілері жылына кемінде бір рет (168-тармақ). Банктердің өздері үшін пентесттің жалпы кезеңділігін мәтіннен растай алмадық.

Ереже заңды алмастырмайтынын атап өтеміз: 2024 жылы Сенат несие ұйымдары, төлем ұйымдары және нарықтың басқа қатысушылары тарапынан АҚ қатерлерін анықтау мен болдырмау жөніндегі Орталық банктің өкілеттіктерін кеңейткен, банк жүйелеріндегі АҚ талаптарын бұзуды өрескел бұзушылыққа жатқызған заңды мақұлдады.

Бұл AppSec әзірлеу мен сатып алу үшін нені білдіреді

1. On-premise қалау емес, талап ретінде. 163-тармақ банктер үшін жабық контурдағы DevOps платформасын болжайды. Бастапқы кодты интернет арқылы қажет ететін бұлттық SaaS-сканер мұндай схемаға сыймайды. Толығырақ — AppSec үшін on-premise және бұлт туралы мақалада.
2. Конвейердегі SAST және DAST. Кодты автоматты талдау және динамикалық тестілеу релиз алдындағы қолмен тексеру емес, CI/CD бөлігі болуы тиіс — DevSecOps-ты неден бастау керек мақаласын қараңыз.
3. Әзірлеудегі деректер. Әзірлеу мен тестілеу кезінде құпия деректерді пайдалануға тыйым салу маскілеуді және синтетикалық жиынтықтарды білдіреді.
4. Деректерді жіктеу. Сіздің деректеріңіздің қайсысы биометриялық, генетикалық немесе телеком-қызметтерді пайдаланушыларға қатысты екенін анықтаңыз: олар үшін бұлттық стратегияға қарамастан міндетті локализация қолданылады.
5. Сатып алу. AppSec-құралға техникалық тапсырмада мынаны бекітіңіз: жабық контурда орнату мүмкіндігі, интернетке міндетті шықпай жұмыс істеу, нәтижелерді өзіңізде сақтау, жергілікті компанияға лицензиялауды қолдау. Лицензиялау мен Өзбекстан бойынша құжаттарды жеткізушіден нақтылаңыз.
6. Қорғалуды бағалау. Сыни жүйелерді тәуелсіз талдау Орталық банк тексерулеріне дәлелдер дайындауға көмектеседі — қызмет туралы қорғалуды талдау бетінде.

Киберқауіпсіздік туралы заң және сыни инфрақұрылым

«Киберқауіпсіздік туралы» Заң (2022 жылғы 15 сәуірде қол қойылған) мемлекеттік басқару, қорғаныс, құқықтық тәртіп, энергетика, банк саласы, көлік, денсаулық сақтау, байланыс және сумен жабдықтау салаларындағы жүйелерді сыни ақпараттық инфрақұрылымға жатқызады. Anhor.uz басылымының сипаттамасы бойынша, мұндай жүйелер киберқауіпсіздіктің міндетті сараптамасынан өтеді, мемлекеттік органдарға арналған ақпаратты қорғау құралдары сертификатталуға жатады, ал деректер резервтеледі және кемінде үш ай сақталады. Сыни инфрақұрылым объектілеріне БҚ әзірлесеңіз, тапсырыс берушіден объектінің санатын және қолданылатын талаптар тізбесін алдын ала сұратыңыз.

Орталық банк хабарлағандай, 2024 жылы Сенат несие ұйымдары, төлем ұйымдары, төлем жүйелерінің операторлары, айырбастау пункттері және кредиттік бюролар тарапынан АҚ қатерлерін анықтау мен болдырмауға мүмкіндік беретін, киберқауіпсіздікті қамтамасыз ету жөніндегі Орталық банктің өкілеттіктерін кеңейткен түзетулерді мақұлдады. Жеткізушілер үшін бұл банктерді тексеру мердігерлер әзірлейтін жүйелерді де қамтитынын білдіреді.

AppSec шешімін сатып алуға арналған чек-парақ

• Орналастыру: интернетке міндетті шықпай жабық контурда орнатуды қолдау.
• Деректер: код, нәтижелер мен есептер қайда сақталады; әзірлеу және тестілеу орталарын бөлуге бола ма.
• Интеграциялар: контур ішінде жұмыс істейтін GitLab және басқа DevOps платформалары.
• Есептілік: АҚ қызметіне арналған тестілеу нәтижелерін шығару, Орталық банк ережесіне сәйкес CVE және CVSS-ке байланыстыру.
• Қолдау: Өзбекстандағы ұйым үшін жергілікті қолдау және лицензиялау — шарттарды жеткізушіден нақтылаңыз.
• Пилот: тексеруді өз кодыңызда жүргізіңіз; тәртібі SAST және SCA пилотын 30 күнде қалай өткізу керек материалында сипатталған.

Жиі қойылатын сұрақтар

Мақала ақпараттық сипатта және заң кеңесі болып табылмайды. Өзбекстанның нормативтік базасы жиі жаңарады — редакцияларды lex.uz және cbu.uz сайттарынан тексеріңіз.

Дереккөздер

• Коммерциялық банктердің АҚ және киберқауіпсіздігіне қойылатын ең төменгі талаптар туралы ереже, Орталық банктің № 19/1 қаулысы (lex.uz)
• «Дербес деректер туралы» № ЗРУ-547 Заңы (lex.uz)
• Kun.uz: кейбір дербес деректерді Өзбекстаннан тыс жерде сақтауға рұқсат етілді
• IT-TEAM SERVICE: дербес деректер туралы заңға 2026 жылғы түзетулерге шолу
• Spot.uz: Орталық банк банктік емес кредит ұйымдарын биометриялық деректерді Өзбекстанда сақтауға міндеттеді
• Anhor.uz: президент киберқауіпсіздік туралы заңға қол қойды
• Өзбекстан Орталық банкі: киберқауіпсіздікті қамтамасыз ету жөніндегі қосымша өкілеттіктер