Qirg‘iziston moliya sektorining axborot xavfsizligi talablari: AppSec’da nimalarni hisobga olish kerak

Qirg‘iziston tijorat banklarining axborot xavfsizligi talablarini Qirg‘iziston Milliy bankining 2021 yil 22 dekabrdagi 2021-P-20/72-8-(NHA)-son Boshqaruv qarori bilan tasdiqlangan Nizom belgilaydi. Shaxsga doir ma’lumotlarni 2026 yil 6 fevraldan avvalgi 58-son qonun o‘rniga QR Raqamli kodeksi tartibga soladi, umumiy doirani esa 2024 yil 17 iyuldagi 121-son «Kiberxavfsizlik to‘g‘risida»gi qonun beradi. AppSec uchun asosiysi: DT hayot tsiklining barcha bosqichlarida xavfsizlik, zaifliklarni boshqarish va ma’lumotlarni chegaradan o‘tkazishda ehtiyotkor bo‘lish.

Asosiy aktlar

• QR Milliy banki Boshqaruvining 2021 yil 22 dekabrdagi 2021-P-20/72-8-(NHA)-son qarori — «Qirg‘iziston Respublikasi tijorat banklarida axborot xavfsizligini ta’minlash talablari to‘g‘risida»gi Nizom. Rasmiy e’lon qilingandan 15 kun o‘tgach kuchga kiradi; 2011 yil 14 sentyabrdagi 52/12-son qarorni bekor qiladi.
• QR Qonuni, 2024 yil 17 iyul, 121-son «Kiberxavfsizlik to‘g‘risida» — Jogorku Kenesh tomonidan 2024 yil 12 iyunda qabul qilingan, e’londan 15 kun o‘tgach kuchga kirgan. Yagona kiberxavfsizlik tizimining huquqiy asoslarini, muhim axborot infratuzilmasini, kiberxavfsizlik auditini belgilaydi.
• QR Raqamli kodeksi, 2025 yil 31 iyul, 178-son — avvalgi tartibga solishni birlashtirdi. «Shaxsga doir axborot to‘g‘risida»gi 2008 yil 14 apreldagi 58-son Qonun 2025 yil 31 iyuldagi 179-son Qonun qabul qilingani munosabati bilan 2026 yil 6 fevralda kuchini yo‘qotdi.
• Vazirlar Mahkamasining qarori — muhim axborot infratuzilmasi obyektlari uchun kiberxavfsizlik talablarining yagona ro‘yxati to‘g‘risida — 24.kg‘ning 2026 yil 21 apreldagi xabariga ko‘ra; qaror raqami nashrda ko‘rsatilmagan.

Milliy bank Nizomi banklardan nimani talab qiladi

Nizom xalqaro standartlar va amaliyotlarga tayanib tuzilgan (loyihada ISO/IEC 27001 va 27005 ga havola qilingan). Biz Milliy bank saytidagi matn bo‘yicha tasdiqlagan mazmunidan ishlab chiqish va AppSec uchun quyidagi normalar muhim.

• Tizimlarning hayot tsikli. Xavfsizlik barcha bosqichlarda hisobga olinadi; joriy etish va o‘zgartirishlar hujjatlashtiriladi va bank rahbariyati tomonidan tasdiqlanadi. Sinov sanoat muhitiga o‘xshash muhitda o‘tkaziladi.
• Dasturiy ta’minot. Bank litsenziyalangan DT’dan, shuningdek, to‘liq tasdiqlangan hujjatlar (spetsifikatsiyalar, sinov dasturlari va natijalari, ekspluatatsiyaga qabul qilish dalolatnomalari) mavjud bo‘lganda open-source yoki o‘z ishlanmalaridan foydalanishi mumkin.
• Zaifliklar. Bank zaifliklarni aniqlashi, baholashi va bartaraf etishi kerak; insidentlar tahlili saboqlari xavflarni baholashda hisobga olinadi. Karta tizimlari uchun zavod sozlamalari va ishlab chiqaruvchi parollari taqiqlangan.
• Jurnallash va audit. Jurnallar har kuni ko‘rib chiqiladi, xavfsizlik sozlamalarining o‘zgarishi qayd etiladi, ichki audit IT va AX’ni qamrab oladi; Milliy bank talablarga rioya etilishini tekshirishga haqli.
• Autsorsing va bulutlar. Funksiyalarni, shu jumladan ma’lumotlarni qayta ishlash markazlari va bulutli xizmatlarni autsorsingga berishdan oldin bank xavflarni baholaydi va so‘rov bo‘yicha bahoni Milliy bankka taqdim etadi; shartnoma xavfsizlik, konfidensiallik, uzluksizlik va regulyator bilan hamkorlikka taalluqli bo‘lishi kerak.

Matnda biz topmaganlarimiz: pentestning aniq talabi (karta tizimlari uchun xavfsizlik tizimlarini muntazam sinash eslatilgan), Milliy bankni insidentlar haqida xabardor qilishning aniq muddatlari va kodni majburiy statik tahlil qilish talabi. Bu ularning nazorat amaliyotida bo‘lmasligini anglatmaydi, ammo rasman ularga norma sifatida tayanib bo‘lmaydi.

Raqamli kodeks bo‘yicha shaxsga doir ma’lumotlar

Shaxsga doir ma’lumotlarni qayta ishlash, saqlash, uzatish va himoya qilish masalalari Raqamli kodeksning 11-bobiga kirgan. Vakolatli organ — Shaxsga doir ma’lumotlarni himoya qilish davlat agentligi. 24.kg ma’lumotlariga ko‘ra, chegaradan o‘tkazish uchun xorijiy davlatlarda himoya adekvatligini baholash tartibi tayyorlanmoqda: ma’lumotlarni ro‘yxatdagi davlatlarga erkin uzatish, qolganlariga esa faqat sub’ekt roziligi bilan uzatish mumkin bo‘ladi. 2026 yil may oyida parlament shaxsga doir ma’lumotlarni himoya qilish bilan bog‘liq Huquqbuzarliklar to‘g‘risidagi kodeksga o‘zgartirishlar kiritish haqidagi qonun loyihasini birinchi o‘qishda ma’qulladi.

Lokalizatsiya haqida ochiq aytib qo‘yamiz: bizga mavjud manbalarda avvalgi 58-son qonun ma’lumotlarni mamlakat ichida saqlash umumiy talabini o‘z ichiga olmagan, Raqamli kodeks uchun esa bunday talabni tasdiqlamadik. 2026 yilgacha bo‘lgan konsalting sharhlari shaxsga doir ma’lumotlar egalari reyestrini va jarimalar xavfini tasvirlaydi, biroq ular avvalgi qonun haqida yozilgan, shuning uchun Kodeks matniga va agentlik tushuntirishlariga tayaning. Huquqshunoslar Kodeksga o‘tish munosabati bilan ma’lumotlarni saqlash va uzatish tartibini qayta ko‘rib chiqishni tavsiya qiladi.

Bu AppSec amaliyoti uchun nimani anglatadi

1. Hayot tsiklini hujjatlashtiring. Nizom tasdiqlangan hujjatlar va sinovlarni talab qiladi. SAST, SCA va dinamik sinov natijalari bu bosqichlarning tabiiy artefaktlaridir; vositalar haqida — SAST, DAST, SCA va MAST maqolasida.
2. Open-source faqat hujjatlar bilan joiz. Ochiq komponentlar tavsiflangan va sinovdan o‘tgan bo‘lishi kerak. Komponentlar reyestri (SBOM) bu vazifani hal qiladi — SBOM nima.
3. Jonli ma’lumotlarsiz sinov muhiti. Ishlab chiqarish muhitiga o‘xshash muhit kerak, lekin undagi ma’lumotlar maskalangan yoki sintetik bo‘lishi lozim.
4. Yetkazib beruvchilar xavfini baholash. Skaner, repozitoriy yoki CI uchinchi tomon provayderida joylashgan bo‘lsa, bu xavflarni baholash va shartnomada xavfsizlik qoidalari bilan autsorsingdir. On-premise bu qadamni soddalashtiradi.
5. Kiberinsidentlarga tayyorlik. Kiberxavfsizlik to‘g‘risidagi qonun kiberxavfsizlik auditi va yagona tahdidlar bazasini joriy etadi; hisobot berish uyat bo‘lmaydigan javob berish jarayonini tayyorlang.
6. Mustaqil tekshiruv. Muhim tizimlarning himoyalanganligini tahlil qilish ichki audit va tekshiruvlar uchun dalillar olishning amaliy usuli; himoyalanganlik tahlili haqida batafsil.

Bu amaliyotlarni ishlab chiqish jarayoniga tizimli birlashtirishga DevSecOps joriy etish yordam beradi; asosiy yo‘nalish «DevSecOps: nimadan boshlash kerak» materialida tasvirlangan.

«Kiberxavfsizlik to‘g‘risida»gi qonun va muhim infratuzilma

2024 yil 17 iyuldagi 121-son Qonun kiberxavfsizlikni ta’minlash sub’ektlari va tamoyillari, muhim axborot infratuzilmasi, kiberxavflarning yagona bazasi, davlat-xususiy hamkorlik va kiberxavfsizlik auditi tushunchalarini joriy etadi. Hukumatning 2020 yil 21 maydagi 266-son qarori bilan kiberxavfsizlik sohasidagi vakolatli organ etib Milliy xavfsizlik davlat qo‘mitasi (Kiberxavfsizlik bo‘yicha koordinatsiya markazi) belgilangan; bu 2024 yilgi qonunda qanday aks etganini uning matni bo‘yicha tekshiring. 24.kg xabariga ko‘ra, 2026 yil aprelda Vazirlar Mahkamasi muhim axborot infratuzilmasi obyektlari uchun kiberxavfsizlik talablarining yagona ro‘yxatini tasdiqladi; u davlat, shuningdek, faoliyati muhim axborot tizimlari bilan bog‘liq tijorat va notijorat tashkilotlariga taalluqli. O‘z AX xizmatingizdan tizimlaringiz bunday infratuzilmaga kirish-kirmasligini aniqlab oling.

Milliy bank Nizomi loyihasida nima bor edi

Loyiha materiallarida (2021 yil) Milliy bank talablar tuzilmasini nomidan ko‘rinadiganidan kengroq tasvirlagan. Loyihada uch darajali hujjatlar (umumiy siyosatlar, xususiy siyosatlar va tartiblar), AX siyosati uchun mas’ul, qabul qilinayotgan xodimlarni tekshirish, minimal huquqlar tamoyili, to‘lov operatsiyalarini ikki tomonlama nazorat qilish, masofaviy kirishning ko‘p omilli autentifikatsiyasi, voqealar jurnallarini kamida ikki yil saqlash, kartalar bo‘yicha PCI DSS talablari va to‘lov ma’lumotlarini Qirg‘izistonda saqlash ko‘rsatilgan edi. Bu loyiha, tasdiqlangan norma emas: qaysi qoidalar yakuniy hujjatga kirganini qabul qilingan matn bilan solishtiring. Biroq yetuk AX jarayoni uchun mo‘ljal sifatida u foydali: o‘z siyosatlaringizni qurishda unga teng bo‘lish ma’qul.

Bank yoki fintex nimadan boshlashi kerak

1. nbkr.kg‘dan Nizomning dolzarb matnini olib, qo‘llaniladigan bandlar ro‘yxatini tuzish.
2. Tizimlaringiz muhim axborot infratuzilmasiga kirish-kirmasligini aniqlash.
3. Shaxsga doir ma’lumotlarni saqlash va uzatishni Raqamli kodeks hamda Shaxsga doir ma’lumotlarni himoya qilish davlat agentligi pozitsiyasini hisobga olib qayta ko‘rib chiqish.
4. Ishlab chiqish jarayonidagi «oq dog‘lar»ni yopish: kod tahlili, bog‘liqliklar nazorati, jonli ma’lumotlarsiz sinov muhiti.
5. Tashqi xizmatlar bo‘yicha xavflarni baholashni tayyorlash: hosting, bulutli CI/CD va SaaS-skanerlar.

Ko‘p beriladigan savollar

Maqola axborot xarakteriga ega va yuridik maslahat hisoblanmaydi. Qirg‘iziston me’yoriy aktlari tez-tez yangilanadi — dolzarb tahrirlarni tekshirib turing.

Manbalar

• QR Milliy banki: 2021-P-20/72-8-(NHA)-son qaror va tijorat banklarida AX to‘g‘risidagi Nizom
• QR Milliy banki: tijorat banklarida AX to‘g‘risidagi Nizom loyihasi (asoslash)
• QR CERT: qonunchilik, 121-son «Kiberxavfsizlik to‘g‘risida»gi Qonun
• QR Qonuni 58-son «Shaxsga doir axborot to‘g‘risida» (06.02.2026 da kuchini yo‘qotgan)
• 24.kg: parlament shaxsga doir ma’lumotlarni himoya qilish to‘g‘risidagi qonun loyihasini ma’qulladi
• 24.kg: muhim tizimlarni himoya qilish talablari