Markaziy Osiyoda AppSec va DevSecOps: talab omillari, talablar va mamlakatlar bo‘yicha tendensiyalar

Markaziy Osiyoda AppSec va DevSecOps’ga bo‘lgan talabning asosiy harakatlantiruvchi kuchi — moda emas, balki moliya sektori va shaxsga doir ma’lumotlarni tartibga solish. Qozog‘iston va O‘zbekiston banklari tartibga soluvchilarning yangi talablari asosida ishlamoqda, Qirg‘iziston qoidalarni Raqamli kodeks atrofida qayta qurmoqda, Tojikiston va Turkmaniston esa o‘ziga xos xususiyatlarga ega, yopiqroq bozorlar bo‘lib qolmoqda. Quyida — biz tasdiqlay olgan hujjatlar bilan mamlakatlar bo‘yicha sharh.

Mintaqada AppSec’ga bo‘lgan talabni nima belgilaydi

• Tartibga soluvchilarning banklarga talablari. Qozog‘istonda Milliy bankning eski 48-sonli qarori o‘rniga 2026-yilgi AMRRA hujjatlari kuchga kirdi; O‘zbekistonda 2025-yil noyabridan Markaziy bankning 19/1-sonli nizomi amal qiladi.
• Shaxsga doir ma’lumotlar. Mintaqaning barcha mamlakatlarida shaxsga doir ma’lumotlar to‘g‘risida qonunlar mavjud, lokalizatsiya va transchegaraviy uzatish esa infratuzilma va vositalarni tanlashga ta’sir qiladi.
• Raqamlashtirish va to‘lovlar. Mobil ilovalar, API va davlat platformalari bilan integratsiyalarning o‘sishi hujum sirtini kengaytiradi.
• Dasturiy ta’minot yetkazib berish zanjiri. Ommaviy repozitoriylardagi bog‘liqliklar va pudratchilar — tartibga soluvchilar allaqachon talablarga kiritayotgan mavzu; qarang: SBOM.
• Kasbiy hamjamiyat. Amaliy o‘qitish va tajriba almashinuviga talab paydo bo‘ldi.

Qozog‘iston

Mintaqadagi eng ko‘p tartibga solingan bozor. Banklar uchun Qozog‘iston Respublikasi Moliyaviy bozorni tartibga solish va rivojlantirish agentligining (AMRRA) 2026-yil 3-apreldagi banklarning AX talablari haqidagi 53-sonli qarori va moliya bozoridagi AX bo‘yicha minimal talablar haqidagi 2026-yil 20-apreldagi 81-sonli qarori amal qiladi (2026-yil 12-iyuldan kuchga kirgan). Milliy bankning avvalgi normalari masofaviy xizmatlar dasturiy ta’minoti uchun kodning statik tahlilini va uchinchi tomon komponentlarini tahlil qilishni talab qilgan. Shaxsga doir ma’lumotlar 2013-yil 21-maydagi 94-V-sonli qonun bilan (2026-yil o‘zgartirishlari bilan) tartibga solinadi, 2026-yil iyulida esa Raqamli kodeks kuchga kirdi. Davlat sektori va u bilan integratsiyalashgan tizimlar uchun AKT va AX sohasidagi yagona talablar (Hukumatning 2016-yil 20-dekabrdagi 832-sonli qarori) amal qiladi. Batafsil: Qozog‘iston banklarining AX talablari va Qozog‘istonda shaxsga doir ma’lumotlar.

O‘zbekiston

Markaziy bankning 19/1-sonli nizomi (2025-yil 20-noyabrdan kuchga kirgan) mintaqadagi dasturiy ta’minotning hayotiy sikli haqidagi eng batafsil normalardan birini o‘z ichiga oladi: har bir bosqichda xavfsizlik talablari, ishga tushirishdan oldin zaifliklarga sinov, yopiq konturda kodni avtomatik tahlil qiladigan DevOps platformalari. «Shaxsga doir ma’lumotlar to‘g‘risida»gi O‘RQ-547-sonli qonun 2026-yil 26-martdagi o‘zgartirishlardan keyin biometriya, genetika va telekom operatorlari foydalanuvchilarining ma’lumotlari uchun majburiy lokalizatsiyani saqlab qoldi. «Kiberxavfsizlik to‘g‘risida»gi qonun (2022) ham mavjud. Batafsil — O‘zbekistonda AX talablari maqolasida.

Qirg‘iziston

Banklar Qirg‘iziston Milliy bankining 2021-yilgi Nizomiga (2021-P-20/72-8-(NHA)-sonli qaror) amal qiladi, unda dasturiy ta’minotning hayotiy sikli, zaifliklarni boshqarish va autsorsingga talablar bor. «Kiberxavfsizlik to‘g‘risida»gi qonun 2024-yilda imzolangan, shaxsga doir ma’lumotlar esa 2026-yil fevralidan Raqamli kodeks bilan tartibga solinadi. Batafsil — Qirg‘izistonda AX talablari.

Tojikiston

Asosiy hujjat — 2018-yil 3-avgustdagi 1537-sonli «Shaxsga doir ma’lumotlarni himoya qilish to‘g‘risida»gi Qonun. CABAR.asia sharhiga (2024) ko‘ra, vakolatli organ — Hukumat huzuridagi Aloqa xizmati, ma’lumotlarni to‘plash va qayta ishlash uchun shu organning sertifikati talab qilinadi, qonunda esa buzilishlar uchun javobgarlik mexanizmi yo‘q. Bu sharhda umumiy lokalizatsiya talablari bayon etilmagan, qonun mundarijasida esa ma’lumotlarni to‘plash va saqlash haqidagi 14-modda hamda transchegaraviy uzatish haqidagi 18-modda bor — ularning matnini tekshira olmadik. Milliy bankning biz tasdiqlay oladigan AX bo‘yicha me’yoriy hujjatlarini topa olmadik, shu sababli mintaqa banklari uchun talablarni bevosita tartibga soluvchi va hamkorlardan so‘rashni tavsiya etamiz.

Turkmaniston

«Shaxsiy hayot haqidagi axborot va uni himoya qilish to‘g‘risida»gi Qonun 2017-yil 20-martda imzolangan, 2017-yil 1-iyuldan amalda. 12-modda shaxsga doir ma’lumotlarni Turkmaniston hududida joylashgan bazada saqlashni talab qiladi; 17-modda qabul qiluvchi mamlakatda himoya ta’minlangan taqdirda yoki subyektning roziligi va boshqa ko‘rsatilgan asoslar mavjud bo‘lganda chet elga uzatishga ruxsat beradi. Markaziy bank 2024-yil yanvarida, Turkmenportal xabariga ko‘ra, bank tizimida kiberxavfsizlik va AX talablarini bajarish tartibini tasdiqladi: banklarning kiberhimoyasi, ruxsatsiz kirish va zararli dasturiy ta’minotga qarshi choralar, muhim axborot infratuzilmasini aniqlash hamda kiberrisklarni muntazam baholash.

Tendensiyalar

1. Bir martalik pentestdan jarayonga. Tartibga soluvchilar bir martalik tekshiruvlar haqida emas, dasturiy ta’minotning hayotiy sikli haqida tobora ko‘proq gapirmoqda — yo‘l DevSecOps: nimadan boshlash kerak materialida bayon etilgan.
2. On-premise va kod ustidan nazorat. Yopiq kontur va ma’lumotlar lokalizatsiyasi talablari kompaniya ichida ishlaydigan yechimlarga qiziqishni oshirmoqda.
3. Rahbariyatning shaxsiy mas’uliyati. Qozog‘istonda 81-sonli qarorga sharhga ko‘ra, AX uchun mas’uliyat moliya tashkilotining birinchi rahbariga yuklangan.
4. SCA va SBOM. Uchinchi tomon komponentlarini nazorat qilish «yaxshi amaliyot»dan kutiladigan artefaktga aylanmoqda.
5. Sirlar va imtiyozli kirish. Masalalar autentifikatsiya talablariga olib chiqilgan; qarang: sirlarni boshqarish.

Hamjamiyat: Almatidagi AppSecFest

Mintaqada AppSec va DevSecOps bo‘yicha amaliy tajriba almashinuvi AST Cyber Lab tashkil etadigan Almatidagi AppSecFest konferensiyasida bo‘lib o‘tadi. Konferensiya sahifasi ma’lumotlariga ko‘ra, barcha yillar davomida uni 3173 kishi ziyorat qilgan, 83 nafar spiker chiqish qilgan; to‘rtinchi konferensiya 2026-yilda Al-Farabi Hall’da o‘tdi. Jarayonni endigina shakllantirayotgan jamoalar uchun bu banklar va fintech hamkasblari vazifalarni qanday hal qilayotganini ko‘rish imkoniyati, dastur va yozuvlarni esa konferensiya sahifasida topish mumkin.

Mamlakatlarni qisqacha taqqoslash

• Qozog‘iston: banklar uchun AMRRA’ning tarmoq talablari (№ 53, № 81), 94-V-sonli qonun va Raqamli kodeks; saqlashni mamlakat hududidagi baza yoki raqamli obyektda lokalizatsiya qilish; biz tasdiqlagan moliya sektori tartibga solishlari ichida eng zichi.
• O‘zbekiston: dasturiy ta’minotning hayotiy sikli va SIEM bo‘yicha normalarga ega Markaziy bankning 19/1-sonli nizomi; lokalizatsiya faqat biometriya, genetika va telekom xizmatlari foydalanuvchilarining ma’lumotlari uchun; alohida kiberxavfsizlik qonuni.
• Qirg‘iziston: 2021-yilgi MBQR nizomi, 2024-yilgi kiberxavfsizlik qonuni, shaxsga doir ma’lumotlar to‘g‘risidagi qonun o‘rniga Raqamli kodeks; umumiy lokalizatsiya talabini tasdiqlamadik.
• Tojikiston: 2018-yilgi shaxsga doir ma’lumotlar qonuni, vakolatli organ — Aloqa xizmati; banklarning AX bo‘yicha batafsil tarmoq hujjatlarini topmadik.
• Turkmaniston: ma’lumotlarni mamlakat hududidagi bazada saqlash talabi bilan 2017-yilgi qonun; Markaziy bankning banklar kiberhimoyasi tartibi (2024-yil yanvari).

Mintaqa uchun vositalarni qanday tanlash kerak

Bir nechta mamlakatda ishlaydigan jamoalar uchun amaliy mezonlar to‘plami:

• Moslashuvchan joylashtirish. Mahsulotni kerakli yurisdiksiyada on-premise yoki xususiy bulutda o‘rnatish imkoniyati.
• Tillar va stek. Foydalanilayotgan tillar va freymvorklarni, shu jumladan mobil ilovalarni qo‘llab-quvvatlash — kodingizda pilot orqali tekshiring.
• Tartibga soluvchi uchun hisobot. Natijalarni sizning AX xizmatingiz va auditoringiz tushunadigan formatda yuklab olish.
• Mahalliy qo‘llab-quvvatlash. Til, vaqt mintaqasi va xarid usuli.
• Jarayonga integratsiya. CI/CD’ga o‘rnatilmagan vosita tezda «ortiqcha hisobot»ga aylanadi.

Bir nechta mamlakatda ishlasangiz, qanday boshlash kerak

Qo‘llaniladigan rejimlarning eng qat’iysini bazaviy sifatida tanlang va milliy xususiyatlarni uning ustiga qo‘shing. Agar Qozog‘iston va O‘zbekistonda bank-mijozlaringiz bo‘lsa, kodni avtomatik tahlil qilish, bog‘liqliklarni nazorat qilish va audit uchun hisobotlar bilan xavfsiz dasturlash jarayoni umumiy talablarning katta qismini yopadi. Alohida tartibda shaxsga doir ma’lumotlarni saqlash bo‘yicha milliy normalarni solishtiring va tizimlarni yurisdiksiyalar bo‘yicha taqsimlang. So‘ng qaysi muhitlar (ishlab chiqish, sinov, productiv) mamlakat ichida bo‘lishi kerakligini, qaysilarini markazlashgan holda saqlash mumkinligini aniqlang. Mamlakatlaringiz uchun joriy etish xaritasini DevSecOps sahifasida muhokama qilish mumkin.

Ko‘p beriladigan savollar

Maqola ma’lumot xarakteriga ega va yuridik maslahat hisoblanmaydi. Me’yoriy baza o‘zgaradi — qaror qabul qilishdan oldin hujjatlarning amaldagi tahrirlarini tekshiring.

Manbalar

• Qozog‘iston Respublikasi AMRRA’ning 2026-yil 3-apreldagi 53-sonli qarori
• O‘zbekiston Markaziy bankining 19/1-sonli nizomi (lex.uz)
• Qirg‘iziston Milliy banki: tijorat banklarida AX to‘g‘risidagi nizom
• CABAR.asia: Tojikistonda shaxsga doir ma’lumotlarni himoya qilish
• Turkmaniston Qonuni «Shaxsiy hayot haqidagi axborot va uni himoya qilish to‘g‘risida»
• Turkmenportal: Turkmaniston Markaziy banki banklar uchun kiberxavfsizlik talablarini tasdiqladi
• Tojikiston Respublikasining «Shaxsga doir ma’lumotlarni himoya qilish to‘g‘risida»gi Qonuni