Qozog‘iston banklarining axborot xavfsizligi talablari: AppSec uchun bu nimani anglatadi

Qozog‘iston banklarining AX (axborot xavfsizligi) talablarini Moliya bozorini tartibga solish va rivojlantirish agentligi (ARRFR) belgilaydi; u 2026 yildan boshlab Milliy bankning avvalgi talablarini o‘zining aktlari bilan almashtirdi: 2026 yil 3 apreldagi 53-son va 2026 yil 20 apreldagi 81-son qarorlar. AppSec uchun bu o‘z ilovalarini isbotlanadigan tarzda sinovdan o‘tkazish, zaifliklarni boshqarish va natija uchun birinchi rahbar darajasida javob berish zarurligini anglatadi. Quyida rasmiy va ma’lumotnoma manbalari bo‘yicha biz tasdiqlagan aktlar hamda ulardan xavfsiz dasturlash uchun nima kelib chiqishi keltirilgan.

Qozog‘istonda banklarning AX’ini qaysi aktlar tartibga soladi

Uch darajani farqlash foydali: regulyatorning tarmoq talablari, AKT bo‘yicha umumiy talablar va yuqori darajadagi kodekslar.

• ARRFR Boshqaruvining 2026 yil 3 apreldagi 53-son qarori — «Banklar, Qozog‘iston Respublikasi norezident banklarining filiallari va bank operatsiyalarining alohida turlarini amalga oshiruvchi tashkilotlar axborot xavfsizligini ta’minlashga qo‘yiladigan talablarni tasdiqlash to‘g‘risida». Ma’lumotnoma tizimi ma’lumotlariga ko‘ra, 2026 yil 18 apreldan kuchga kiritilgan; «Banklar va bank faoliyati to‘g‘risida»gi Qonunning 55-moddasi asosida qabul qilingan. Tuzilishi: umumiy qoidalar, AX boshqaruv tizimi, axborot aktivlarini kategoriyalash, aktivlarga kirish, axborot infratuzilmasi xavfsizligi.
• ARRFR Boshqaruvining 2026 yil 20 apreldagi 81-son qarori — «Moliya bozorida axborot xavfsizligini ta’minlash bo‘yicha minimal talablarni tasdiqlash to‘g‘risida». 2026 yil 12 iyulda kuchga kirgan. Yuridik firma sharhiga ko‘ra, banklar, sug‘urtachilar, qimmatli qog‘ozlar bozori ishtirokchilari, MMT va boshqa moliyaviy tashkilotlarni qamrab oladi.
• Milliy bank Boshqaruvining 2018 yil 27 martdagi 48-son qarori (ro‘yxat raqami 16772) — banklarning AX’iga oid avvalgi talablar va insidentlar haqida xabardor qilish qoidalari. ARRFR’ning 53-son qarori qabul qilingani munosabati bilan kuchini yo‘qotgan.
• QR Raqamli kodeksi, 2026 yil 9 yanvar, 255-VIII-son — 2026 yil iyulda kuchga kirgan; kiberxavfsizlik doirasini belgilaydi, tafsilotlar quyi darajadagi aktlarga havola qilingan.
• «Axborotlashtirish to‘g‘risida»gi Qonun, 2015 yil 24 noyabr, 418-V-son — AKT va AX sohasidagi Yagona talablar unga havola qiladi.

«Yagona talablar» haqida muhim izoh: bu QR Hukumatining 2016 yil 20 dekabrdagi 832-son qarori, ARRFR akti emas. U davlat organlari, kvazidavlat sektori, muhim AKT obyektlari egalari hamda davlat tizimlari bilan integratsiyalashgan nodavlat axborot tizimlari egalari uchun majburiy. Shu bilan birga, hujjatning o‘zi uni qo‘llash bank qonunchiligiga zid keladigan holatlarni istisno qiladi. Shuning uchun bank uchun asosiy hujjat — ARRFR talablari, Yagona talablar esa tizimingiz davlat xizmatlari bilan integratsiyalashgan joyda dolzarb bo‘ladi.

Avvalgi me’yorlar xavfsiz dasturlashga nimani talab qilgan

48-son qarorning avvalgi tahririda masofaviy xizmatlar dasturiy ta’minoti bo‘yicha aniq me’yorlar mavjud edi (bekor qilinguniga qadar ma’lumotnoma tizimida e’lon qilingan matnga ko‘ra):

• manba kodi xavfsizlik perimetri ichidagi repozitoriylarni boshqarish tizimlarida, zaxira nusxalash bilan saqlanadi;
• ishlab chiqish va sinov muhitlari sanoat muhitidan ajratilgan, dasturchilar prodaktivga o‘zgartirish kiritmaydi;
• ishga tushirishdan oldin standart xavfsizlik sozlamalari o‘zgartiriladi va sinov akkauntlari o‘chiriladi;
• xavfsizlikni majburiy sinash, kamida kodning statik tahlilini hamda komponentlar va uchinchi tomon kutubxonalari tahlilini o‘z ichiga oladi (ya’ni mohiyatan SAST va SCA);
• kritik zaifliklar foydalanishga topshirilgunga qadar bartaraf etiladi, pudratchi bajargan ishlab chiqish uchun javobgarlik bankda qoladi;
• axborot aktivlarini skanerlash kamida yarim yilda bir marta, infratuzilma pentesti esa mustaqil tashqi mutaxassislar tomonidan o‘tkaziladi.

Biz 53-son qarorning ochiq to‘liq matnini topmadik, shuning uchun bu me’yorlarning qaysilari unga so‘zma-so‘z ko‘chirilganini tasdiqlamaymiz. Amaliy qoida: avvalgi talablar darajasi saqlanadi yoki oshadi, deb hisoblang, aniq formulalarni esa adilet.zan.kz’dagi matn bo‘yicha tekshiring.

Yangi aktlarda nima tasdiqlangan

81-son qarorga sharh bo‘yicha (manba — yuridik firma, akt matni emas):

• moliyaviy tashkilotning birinchi rahbari axborot xavfsizligi uchun shaxsan javobgar;
• insidentlar (DT zaifliklaridan foydalanish, ruxsatsiz kirish, DDoS, serverlarning zararlanishi, ruxsatsiz o‘tkazmalar, bir soatdan ortiq ishdan to‘xtash) haqida insidentlarni qayta ishlashning avtomatlashtirilgan tizimi (ASOI) orqali zudlik bilan xabar berish kerak;
• tashqi kirish uchun kamida ikkita mustaqil autentifikatsiya omili kerak;
• audit jurnallari yaxlitligi himoyalangan holda saqlanadi (uch oy onlayn va bir yil arxivda yoki bir yil onlayn);
• tashqi serverlar va saqlash xizmatlaridan foydalanganda tashkilot qonun oshkor qilishni taqiqlagan ma’lumotlarga, shu jumladan shaxsga doir ma’lumotlarga uchinchi shaxslarning kirishiga yo‘l qo‘ymasligi shart.

Bu qoidalar ishlab chiqishga bevosita taalluqli: DT zaifliklaridan foydalanish bo‘yicha insidentlar xabardor qilishning alohida toifasi, demak, ilovalardagi zaifliklarni boshqarish regulyator oldidagi hisobot masalasiga aylanadi.

Bu AppSec amaliyoti uchun nimani anglatadi

1. Statik tahlil va SCA — jarayonning ichida, yilda bir marta emas. Regulyator kod va uchinchi tomon komponentlari tahlili dalillarini kutsa, har bir yig‘ma bo‘yicha hisobotlar kerak. Vosita sinflarini tanlashdan boshlang va ularni CI/CD’ga joylashtiring.
2. Komponentlar reyestri (SBOM). Yangi zaiflik sizga ta’sir qilganini soatlar ichida tushunish uchun bog‘liqliklarning dolzarb ro‘yxati kerak — SBOM nima maqolasiga qarang.
3. Mustaqil sinov. Tashqi pentest va muhim tizimlar himoyalanganligini baholash banklarning standart amaliyoti bo‘lib qolmoqda — bu xizmat haqida batafsil himoyalanganlik tahlili sahifasida.
4. Manba kodi perimetr ichida. Bank konturida ishlaydigan repozitoriylar, CI va skanerlarni tashqi xizmatlarga qaraganda himoya qilish osonroq. Bu on-premise yechimlar foydasiga dalillardan biri.
5. Sirlar va kalitlar. Autentifikatsiya va kirishni farqlash talablari xizmat akkauntlari va tokenlarga ham tatbiq etiladi — sirlarni boshqarish maqolasiga qarang.
6. Pudratchilar. Pudratchi kodi uchun bank javob beradi: shartnomalarda xavfsiz dasturlash talablari va yetkazib beriladigan yig‘malarni tekshirish kerak.

Jarayonni to‘liq qurishga DevSecOps joriy etish yordam beradi: u regulyator talablarini konveyerning har bir bosqichidagi tekshiruvlarga va tayyor hisobotlarga aylantiradi.

Muvofiqlikni tekshirishni nimadan boshlash kerak

• 53 va 81-son qarorlarning dolzarb matnlarini olib, «talab — chora — dalil» matritsasini tuzish.
• Ilovalarni muhimligi bo‘yicha tasniflash: sinov chuqurligi va tekshiruvlar chastotasi shunga bog‘liq.
• Bankda qayerda dalillar yo‘qligini tekshirish: SAST/SCA hisobotlari, pentest natijalari, zaifliklarni bartaraf etish jurnali.
• AX xizmati bilan ilovalardagi zaifliklar bilan bog‘liq insidentlar haqida xabardor qilish tartibini kelishish.

Yagona talablar: ularda dasturchilar uchun nima muhim

Bank tizimlarining bir qismi davlat tizimlari bilan (masalan, «elektron hukumat» platformasi bilan) integratsiyalashgan bo‘lsa, Yagona talablar (832-son qaror) kuchga kiradi. Ma’lumotnoma tizimidagi matnga ko‘ra, ularga oxirgi o‘zgartirishlar Hukumatning 2026 yil 25 fevraldagi 119-son qarori bilan kiritilgan. AX mavzusi bo‘yicha ularda quyidagilar bor:

• voqealar jurnallari kamida uch yil saqlanadi va kamida ikki oy davomida operativ tahlil uchun mavjud bo‘ladi; «elektron hukumat»ning 1 va 2-sinf obyektlari AX monitoringi tizimiga ulanadi;
• 1 va 2-sinf obyektlari uchun ko‘p omilli autentifikatsiya talab qilinadi;
• majburiy hujjatlar orasida tarmoq resurslari zaifliklarini baholash hisoboti hamda insidentlar haqida xabardor qilish va ularga javob berish tartibi bor;
• «elektron hukumat» obyektlarini sanoat ekspluatatsiyasiga kiritish Davlat texnik xizmatiga topshirilgan manba kodidan yig‘ilgan bajariladigan koddan, yagona repozitoriy qoidalari bo‘yicha amalga oshiriladi.

Bizga mavjud matn qismida SDLC va kirib borishga sinovlar bo‘yicha talablarni topmadik, ammo hujjat uzun, «elektron hukumat» obyektlari va muhim AKT obyektlarini sinash esa «Axborotlashtirish to‘g‘risida»gi Qonun asosida tasdiqlanadigan alohida uslubiyotlar bilan tartibga solinadi. Agar davlat tizimlari bilan integratsiyalashsangiz, obyekt sinfini va unga tegishli talablarni aniqlab oling.

Muvofiqlik matritsasini qanday qurish kerak

1. 53 va 81-son qarorlardagi talablarni jadvalga yozing: band, formula, egasi, chora, dalil.
2. Har bir ilova uchun muhimlik toifasini va u qayta ishlaydigan ma’lumotlar turini ko‘rsating.
3. Talablarni konveyerning aniq qadamlariga bog‘lang: har bir pull request’da SAST va SCA, relizdan oldin DAST, siyosatingiz belgilaydigan davrda bir marta qo‘lda pentest.
4. Hisobotlarni avtomatik yig‘ishni sozlang: auditorga skrinshotlar yig‘ishdan ko‘ra tizimdan chiqarilgan ma’lumotni ko‘rsatish osonroq.
5. Zaifliklarni bartaraf etish uchun mas’ullarni va muhimlik bo‘yicha muddatlarni belgilang.

Bunday matritsa pudratchilarni tekshirishda ham asqotadi: xuddi shu talablarni ishlab chiqish shartnomasiga kiritish mumkin.

Ko‘p beriladigan savollar

Maqola axborot xarakteriga ega va yuridik maslahat hisoblanmaydi.

Manbalar

• ARRFR’ning 2026 yil 3 apreldagi 53-son qarori (prg.kz)
• Milliy bank Boshqaruvining 2018 yil 27 martdagi 48-son qarori (kuchini yo‘qotgan)
• Moliya bozorida AX bo‘yicha minimal talablar — 81-son qaror (SOLIS Partners sharhi, prg.kz)
• QR Hukumatining 2016 yil 20 dekabrdagi 832-son qarori (Yagona talablar)
• Raqamli kodeks: fuqarolar va biznes uchun nima o‘zgaradi (zakon.kz)