O‘zbekistonda axborot xavfsizligi va shaxsga doir ma’lumotlar talablari: dasturlash va AppSec xaridida nimalarni hisobga olish kerak

O‘zbekistonda shaxsga doir ma’lumotlarni 2019-yil 2-iyuldagi O‘RQ-547-sonli qonun tartibga soladi, banklarning axborot xavfsizligiga qo‘yiladigan talablarni esa 2025-yil 20-noyabrdan amalda bo‘lgan Markaziy bankning 19/1-sonli nizomi belgilaydi. 2026-yil 27-martdan biometrik va genetik ma’lumotlar hamda telekom operatorlari foydalanuvchilarining ma’lumotlari uchun majburiy lokalizatsiya saqlanib qoldi, qolgan ma’lumotlarni esa uchta shart bajarilganda xorijda qayta ishlash mumkin. Dasturlash uchun bu ma’lumotlar xaritasi, kod uchun on-premise kontur va xavfsizlikni sinash jarayoniga o‘rnatilgan tekshiruvlarni anglatadi.

Asosiy hujjatlar

• 2019-yil 2-iyuldagi O‘RQ-547-sonli «Shaxsga doir ma’lumotlar to‘g‘risida»gi O‘zbekiston Respublikasi Qonuni 2019-yil 1-oktabrda kuchga kirgan. 27-1-modda O‘zbekiston fuqarolarining shaxsga doir ma’lumotlarini qayta ishlashning maxsus shartlarini tartibga soladi.
• 2026-yil 26-martdagi O‘RQ-1125-sonli Qonun — shaxsga doir ma’lumotlar to‘g‘risidagi qonunga o‘zgartirishlar kiritish haqida; rasman e’lon qilingan kuni, ya’ni 2026-yil 27-martda kuchga kirgan.
• «Kiberxavfsizlik to‘g‘risida»gi Qonun 2022-yil 15-aprelda imzolangan va 2022-yil 15-iyulda kuchga kirgan. Vakolatli organ sifatida Davlat xavfsizlik xizmati belgilangan. Kiberhujumga uchragan axborot resurslari egalari bu haqda vakolatli organga xabar berishi shart. Qonun bank sohasini muhim axborot infratuzilmasi sektorlariga kiritadi.
• O‘zbekiston Respublikasi Markaziy banki Boshqaruvining 19/1-sonli qarori bilan tasdiqlangan «Tijorat banklarida axborot xavfsizligi va kiberxavfsizlikni ta’minlashga qo‘yiladigan minimal talablar to‘g‘risida»gi nizom Adliya vazirligida 2025-yil 18-avgustda 3669-son bilan ro‘yxatdan o‘tgan va 2025-yil 20-noyabrda kuchga kirgan.

2026-yil o‘zgartirishlaridan keyin shaxsga doir ma’lumotlar lokalizatsiyasi

2021-yilgi tahrirda 27-1-modda O‘zbekiston fuqarolarining shaxsga doir ma’lumotlarini mamlakat hududida jismonan joylashgan va Shaxsga doir ma’lumotlar bazalarining davlat reestrida ro‘yxatdan o‘tgan texnik vositalarda to‘plash, tizimlashtirish va saqlashni talab qilgan edi. O‘RQ-1125-sonli qonundan keyin vaziyat o‘zgardi (Kun.uz va ITTS tahlillarida bayon etilgan matnlarga ko‘ra):

• O‘zbekistonda saqlanishi majburiy bo‘lgan uch toifa: biometrik ma’lumotlar, genetik ma’lumotlar va mamlakatda faoliyat yuritayotgan telekommunikatsiya operatorlari xizmatlari foydalanuvchilarining ma’lumotlari.
• Qolgan ma’lumotlarni uchta shartdan biri bajarilgan taqdirda xorijda saqlash va qayta ishlash mumkin: davlat teng darajadagi himoyani ta’minlovchi deb tan olingan bo‘lsa; operator vakolatli organ talablariga javob beradigan namunaviy shartnoma shartlarini yoki majburiy korporativ qoidalarni qabul qilgan bo‘lsa; operator vakolatli organ tasdiqlagan ro‘yxatdagi shaxsga doir ma’lumotlarni boshqarish va saqlash bo‘yicha xalqaro standartlarga amal qilsa.
• Teng darajadagi himoyaga ega davlatlar ro‘yxatini Vazirlar Mahkamasi belgilaydi.

Huquqshunoslar ochiq qolgan masalalarga e’tibor qaratadi: lokalizatsiya qilingan toifalarni chet elga uzatishni to‘g‘ridan-to‘g‘ri taqiqlash normada yo‘q, u nazarda tutiladi; transchegaraviy uzatish haqidagi 15-modda o‘zgarmagan va rozilikni asos sifatida ruxsat etadi; me’yoriy-huquqiy hujjatlar va ro‘yxatlar sharhlar e’lon qilingan paytda faqat tayyorlanayotgan edi. Shu sababli joriy holatni lex.uz saytida tekshirib turing.

Tarmoq normasining alohida namunasi: Spot.uz xabariga ko‘ra, Markaziy bankning 2026-yil 22-iyuldagi qarori (Adliya vazirligida 5-avgustda ro‘yxatdan o‘tgan, 6-avgustdan amalda) bank bo‘lmagan kredit tashkilotlaridan identifikatsiya va autentifikatsiya uchun ishlatiladigan mijozlarning biometrik ma’lumotlarini O‘zbekiston hududida saqlashni talab qiladi.

Markaziy bankning banklar AX bo‘yicha talablari: 19/1-sonli nizom

Nizom 24 bobdan iborat. Undan bevosita dasturlash va AppSec’ga ta’sir qiladigan qoidalarni ajratib ko‘rsatish lozim:

• Axborot va kiberxavfsizlik xizmati banklar va filiallarda, ichki AX siyosati, risklarni boshqarish tizimi.
• Autsorsingga taqiq: IT-infratuzilma va axborot xavfsizligi tizimlarini boshqarish, nazorat qilish va uzluksiz ishlashini ta’minlashni autsorsingga berish mumkin emas (16-band).
• Tizimlarning hayotiy sikli (21-bob). O‘z ishlanmalari uchun xavfsizlik talablariga muvofiqlik har bir bosqichda tekshiriladi (159-band); tizimlar kiberriskllarni hisobga olib loyihalanadi (161-band). 163-band xavfsizlik talablarini texnik topshiriqqa kiritishni, ishlab chiqish va sinov vaqtida bank sirini va maxfiy ma’lumotlardan foydalanmaslikni hamda DevOps platformalarini (masalan, GitLab) faqat ichki kontur doirasida, kodni avtomatik tahlil qilish (SAST/DAST) bilan, internetga ulanmagan holda qo‘llashni, masofaviy kirishni esa himoyalangan VPN orqali amalga oshirishni talab qiladi.
• Ishga tushirishdan oldin sinov (164-band): tizimlar zaifliklarga tekshiriladi, aniqlangan zaifliklar ishga tushirishdan oldin bartaraf etiladi, himoya choralari hujjatlashtiriladi.
• Zaifliklarni boshqarish (156–157-bandlar): IT-aktivlarni muntazam skanerlash, CVE bo‘yicha tasniflash, kritiklikni CVSS bo‘yicha baholash, tuzatishlarni o‘rnatish, xavfsizlikning bazaviy konfiguratsiyalari.
• SIEM, monitoring va incidentlar: SIEM yoki uning analogi va SOAR’ni joriy etish, sutkasiga 24 soat monitoring va Markaziy bankning CERT-CBU monitoring markaziga ulanish (36-band); g‘ayrioddiy hodisalar haqida Markaziy bankka va vakolatli davlat organiga zudlik bilan xabar berish lozim (35-band).
• Pentest: aniq talab ma’lumotlarni qayta ishlash markazlari uchun topilgan — zaifliklarni tahlil qilish va penetratsion testlar yiliga kamida bir marta (168-band). Banklarning o‘zi uchun pentestlarning umumiy davriyligini matndan tasdiqlay olmadik.

Shuni ta’kidlaymizki, nizom qonunning o‘rnini bosmaydi: 2024-yilda Senat Markaziy bankning kredit tashkilotlari, to‘lov tashkilotlari va boshqa bozor ishtirokchilari tomonidan AX tahdidlarini aniqlash va oldini olish bo‘yicha vakolatlarini kengaytiruvchi qonunni ma’qulladi hamda bank tizimlarida AX talablarini buzishni qo‘pol buzilishlar qatoriga kiritdi.

Bu dasturlash va AppSec xaridi uchun nimani anglatadi

1. On-premise — afzallik emas, talab. Banklar uchun 163-band yopiq konturdagi DevOps platformasini nazarda tutadi. Manba kodini internet orqali talab qiladigan bulutli SaaS-skaner bunday sxemaga mos kelmaydi. Batafsil — AppSec uchun on-premise va bulut haqidagi maqolada.
2. Konveyerda SAST va DAST. Kodni avtomatik tahlil qilish va dinamik sinov CI/CD’ning bir qismi bo‘lishi kerak, reliz oldidan qo‘lda tekshiruv emas — qarang: DevSecOps’ni nimadan boshlash kerak.
3. Ishlab chiqishdagi ma’lumotlar. Ishlab chiqish va sinov vaqtida maxfiy ma’lumotlardan foydalanishni taqiqlash maskalash va sintetik to‘plamlardan foydalanishni anglatadi.
4. Ma’lumotlar tasnifi. Qaysi ma’lumotlaringiz biometrik, genetik yoki telekom xizmatlari foydalanuvchilariga tegishli ekanini aniqlang: ular uchun bulut strategiyasidan qat’i nazar majburiy lokalizatsiya amal qiladi.
5. Xarid. AppSec vositasiga texnik topshiriqda quyidagilarni belgilang: yopiq konturda o‘rnatish imkoniyati, internetga majburiy chiqishsiz ishlash, natijalarning sizda saqlanishi, mahalliy kompaniya uchun litsenziyalashni qo‘llab-quvvatlash. Litsenziyalash va O‘zbekiston bo‘yicha hujjatlarni yetkazib beruvchidan aniqlashtiring.
6. Himoyalanganlikni baholash. Muhim tizimlarni mustaqil tahlil qilish Markaziy bank tekshiruvlari uchun dalillarni tayyorlashga yordam beradi — xizmat haqida himoyalanganlik tahlili sahifasida.

Kiberxavfsizlik to‘g‘risidagi qonun va muhim infratuzilma

«Kiberxavfsizlik to‘g‘risida»gi Qonun (2022-yil 15-aprelda imzolangan) muhim axborot infratuzilmasiga davlat boshqaruvi, mudofaa, huquq-tartibot, energetika, bank sohasi, transport, sog‘liqni saqlash, aloqa va suv ta’minoti sohalaridagi tizimlarni kiritadi. Anhor.uz nashrining bayoniga ko‘ra, bunday tizimlar kiberxavfsizlik bo‘yicha majburiy ekspertizadan o‘tadi, davlat organlari uchun axborotni himoya qilish vositalari sertifikatlanishi lozim, ma’lumotlar esa zaxiralanadi va kamida uch oy saqlanadi. Agar siz muhim infratuzilma obyektlari uchun dasturiy ta’minot ishlab chiqayotgan bo‘lsangiz, buyurtmachidan obyekt toifasini va tegishli talablar ro‘yxatini oldindan so‘rab oling.

Markaziy bank xabar berganidek, 2024-yilda Senat Markaziy bankning kiberxavfsizlikni ta’minlash bo‘yicha vakolatlarini kengaytiruvchi o‘zgartirishlarni ma’qulladi: u kredit tashkilotlari, to‘lov tashkilotlari, to‘lov tizimlari operatorlari, valyuta ayirboshlash shahobchalari va kredit byurolari tomonidan AX tahdidlarini aniqlashi va oldini olishi mumkin. Yetkazib beruvchilar uchun bu shuni anglatadi: banklarni tekshirish pudratchilar ishlab chiqayotgan tizimlarni ham qamrab oladi.

AppSec yechimini xarid qilish uchun cheklist

• Joylashtirish: internetga majburiy chiqishsiz yopiq konturda o‘rnatishni qo‘llab-quvvatlash.
• Ma’lumotlar: kod, natijalar va hisobotlar qayerda saqlanadi; ishlab chiqish va sinov muhitlarini ajratish mumkinmi.
• Integratsiyalar: GitLab va kontur ichida ishlaydigan boshqa DevOps platformalari.
• Hisobot: AX xizmati uchun sinov natijalarini yuklab olish, Markaziy bank nizomiga muvofiq CVE va CVSS bilan bog‘lash.
• Qo‘llab-quvvatlash: O‘zbekistondagi tashkilot uchun mahalliy qo‘llab-quvvatlash va litsenziyalash — shartlarni yetkazib beruvchidan aniqlashtiring.
• Pilot: tekshiruvni o‘z kodingizda o‘tkazing; tartibi 30 kunda SAST va SCA pilotini qanday o‘tkazish kerak materialida bayon etilgan.

Ko‘p beriladigan savollar

Maqola ma’lumot xarakteriga ega va yuridik maslahat hisoblanmaydi. O‘zbekistonning me’yoriy bazasi tez-tez yangilanadi — tahrirlarni lex.uz va cbu.uz saytlarida tekshirib turing.

Manbalar

• Tijorat banklarida AX va kiberxavfsizlikka minimal talablar to‘g‘risidagi nizom, Markaziy bankning 19/1-sonli qarori (lex.uz)
• «Shaxsga doir ma’lumotlar to‘g‘risida»gi O‘RQ-547-sonli Qonun (lex.uz)
• Kun.uz: ayrim shaxsga doir ma’lumotlarni O‘zbekiston tashqarisida saqlashga ruxsat berildi
• IT-TEAM SERVICE: shaxsga doir ma’lumotlar to‘g‘risidagi qonunga 2026-yil o‘zgartirishlari sharhi
• Spot.uz: Markaziy bank bank bo‘lmagan kredit tashkilotlarini biometrik ma’lumotlarni O‘zbekistonda saqlashga majbur qildi
• Anhor.uz: prezident kiberxavfsizlik to‘g‘risidagi qonunni imzoladi
• O‘zbekiston Markaziy banki: kiberxavfsizlikni ta’minlash bo‘yicha qo‘shimcha vakolatlar