UzbekAI

Ўзбекистон Республикаси Президентининг

Қарори

НИЗОМ

УМУМИЙ ТАЛАБЛАР

Ўзбекистон Республикасининг муҳим ахборот инфратузилмаси объектлари киберхавфсизлигини таъминлаш тизимини такомиллаштириш бўйича қўшимча чора-тадбирлар тўғрисида

[Кўчирма]

Ўзбекистон Республикасининг «Киберхавфсизлик тўғрисида»ги Қонуни , Ўзбекистон Республикаси Президентининг 2020 йил 15 июндаги «Ўзбекистон Республикасининг ахборот тизимлари ва ресурсларини ҳимоя қилиш давлат тизимини жорий этиш чора-тадбирлари тўғрисида»ги ПФ-6007-сон Фармони ҳамда 2020 йил 15 июндаги «Ўзбекистон Республикасида киберхавфсизликни таъминлаш тизимини янада такомиллаштиришга доир қўшимча чора-тадбирлар тўғрисида»ги ПҚ-4751-сон қарорига мувофиқ, Ўзбекистон Республикасининг муҳим ахборот инфратузилмаси киберхавфсизлигини таъминлаш бўйича ягона давлат сиёсатининг юритилишини самарали йўлга қўйиш мақсадида:

1. Қуйидагилар:

Ўзбекистон Республикасининг муҳим ахборот инфратузилмаси объектлари киберхавфсизлигини таъминлаш тартиби тўғрисидаги низом 1-иловага мувофиқ;

Ўзбекистон Республикасининг муҳим ахборот инфратузилмаси объектларида киберхавфсизликнинг умумий талаблари 2-иловага мувофиқ тасдиқлансин.

2. Белгилансинки, Ўзбекистон Республикаси Давлат хавфсизлик хизмати (кейинги ўринларда — ваколатли давлат органи) муҳим ахборот инфратузилмаси (кейинги ўринларда — МАИ) объектларида киберхавфсизликнинг таъминланганлик даражасини кузатиб боради, уларни баҳолаш ва мониторинг қилиш тартибини ишлаб чиқади ҳамда Ўзбекистон Республикаси Рақамли технологиялар вазирлиги ҳузуридаги Ахборотлаштириш ва телекоммуникациялар соҳасида назорат инспекцияси билан биргаликда киберхавфсизликни қонунчиликда белгиланган тартибда таъминлаш ҳамда ривожлантириш ҳолати устидан назорат ва мониторинг олиб боришда иштирок этади.

4. Ўзбекистон Республикаси Президентининг 2018 йил 19 февралдаги «Ахборот технологиялари ва коммуникациялари соҳасини янада такомиллаштириш чора-тадбирлари тўғрисида»ги ПФ-5349-сон Фармони 7-бандининг «г» кичик бандида белгиланган ҳар ойлик устама МАИ объектларида киберхавфсизликни таъминлашга ва мазкур фаолиятни мувофиқлаштиришга масъул бўлган ходимларга ҳам татбиқ этилсин.

5. МАИ объектларида киберхавфсизликни таъминлашга масъул бўлган ходимларнинг лавозимга тайинланиши ва лавозимидан озод этилиши юзасидан ваколатли давлат органини ўз вақтида хабардор этиш ҳамда ушбу ходимларни ҳар уч йилда бир марта ваколатли давлат органи томонидан аттестациядан ўтказиш амалиёти жорий этилсин.

6. Ваколатли давлат органи томонидан ўта муҳим ва тоифаланган объектлардаги МАИ объектларида киберхавфсизликни таъминлаш юзасидан тезкор-назорат тадбирларини ўтказишда Ўзбекистон Республикаси Президенти ҳузуридаги Хавфсизлик кенгаши котибияти бу ҳақда хабардор қилинади ҳамда уларнинг натижалари тўғрисида 48 соат ичида ёзма ахборот киритилади.

7. Ўзбекистон Республикаси Давлат хавфсизлик хизмати (А. Азизов):

2023 йил 1 октябрга қадар Ўзбекистон Республикаси Президенти ҳузуридаги Хавфсизлик кенгаши аппарати билан келишилган ҳолда Ўзбекистон Республикаси МАИ объектларининг вақтинчалик ягона давлат реестрини шакллантирсин ҳамда МАИ объектларини тоифалаш тартибини белгиловчи вақтинчалик низомни тасдиқласин;

2024 йил 1 декабрга қадар хорижий давлатлар илғор тажрибасини ўрганиш асосида Ўзбекистон Республикаси МАИ объектларининг доимий ягона давлат реестрини шакллантириш ҳамда МАИ объектларини тоифалашнинг доимий тартибини белгилаш юзасидан таклифларни Ўзбекистон Республикаси Президенти ҳузуридаги Хавфсизлик кенгаши котибиятига киритсин.

8. Ушбу қарорнинг ижросини назорат қилиш Ўзбекистон Республикаси Президенти ҳузуридаги Хавфсизлик кенгаши котиби В.В. Махмудов зиммасига юклансин.

Ўзбекистон Республикаси Президентининг 2023 йил 31 майдаги ПҚ-167-сон қарорига 1-ИЛОВА

Ўзбекистон Республикаси муҳим ахборот инфратузилмаси объектларининг киберхавфсизлигини таъминлаш тартиби тўғрисидаги

1-боб. Умумий қоидалар

1. Мазкур Низом Ўзбекистон Республикаси муҳим ахборот инфратузилмаси объектларининг киберхавфсизлигини таъминлаш тартибини белгилайди.

2. Ушбу Низомда қуйидаги асосий тушунчалар қўлланилади:

киберҳимоя — киберхавфсизлик ҳодисаларининг олдини олишга, киберҳужумларни аниқлашга ва улардан ҳимоя қилишга, киберҳужумларнинг оқибатларини бартараф этишга, телекоммуникация тармоқлари, ахборот тизимлари ҳамда ресурслари фаолиятининг барқарорлигини ва ишончлилигини тиклашга қаратилган ҳуқуқий, ташкилий, молиявий-иқтисодий, муҳандислик-техник чора-тадбирлар, шунингдек, маълумотларни криптографик ва техник жиҳатдан ҳимоя қилиш чора-тадбирлари мажмуи;

муҳим ахборот инфратузилмаси — муҳим стратегик ва ижтимоий-иқтисодий аҳамиятга эга бўлган автоматлаштирилган бошқарув тизимларининг, ахборот тизимлари ҳамда тармоқлар ва технологик жараёнлар ресурсларининг мажмуи;

муҳим ахборот инфратузилмаси объектига киберҳужум — кибермаконда муҳим ахборот инфратузилмаси объектларига аппарат, аппарат-дастурий ва дастурий воситалардан фойдаланган ҳолда қасддан амалга ошириладиган, киберхавфсизликка таҳдид соладиган ҳаракат;

муҳим ахборот инфратузилмаси объектида киберхавфсизлик ҳодисаси — кибермаконда муҳим ахборот инфратузилмаси объекти фаолияти ахборот тизимларининг ишлашида узилишларга ва/ёки улардаги ахборотнинг очиқлиги, яхлитлиги ва ундан эркин фойдаланилишининг бузилишига олиб келган ҳодиса;

муҳим ахборот инфратузилмаси объектлари — давлат бошқаруви ва давлат хизматлари кўрсатиш, мудофаа, давлат хавфсизлигини, ҳуқуқ-тартиботни таъминлаш, ёқилғи-энергетика мажмуи (атом энергетикаси), кимё, нефть-кимё тармоқлари, металлургия, сувдан фойдаланиш ва сув таъминоти, қишлоқ хўжалиги, соғлиқни сақлаш, уй-жой коммунал хизматлар кўрсатиш, банк-молия тизими, транспорт, ахборот-коммуникация технологиялари, экология ва атроф-муҳитни муҳофаза қилиш, стратегик аҳамиятга эга бўлган фойдали қазилмаларни қазиб олиш ва қайта ишлаш соҳасида, ишлаб чиқариш соҳасида, шунингдек, иқтисодиётнинг бошқа тармоқларида ва ижтимоий соҳада қўлланиладиган ахборотлаштириш тизимлари;

муҳим ахборот инфратузилмаси субъектлари — давлат органлари ва ташкилотлари, шунингдек, мулк, ижара ҳуқуқлари асосида ёки бошқа қонуний асосларда муҳим ахборот инфратузилмаси объектларига эгалик қилувчи юридик шахслар, шу жумладан муҳим ахборот инфратузилмаси объектларининг ишлашини ҳамда ҳамкорлигини таъминловчи юридик шахслар ва (ёки) якка тартибдаги тадбиркорлар;

муҳим ахборот инфратузилмасининг киберхавфсизлиги — муҳим ахборот инфратузилмаси объектида киберхавфсизлик ҳодисасини келтириб чиқариши мумкин бўлган бузилишдан муҳим ахборот инфратузилмаси объекти барқарор ишлашини таъминловчи ҳимояланганлик ҳолати.

3. Муҳим ахборот инфратузилмаси (кейинги ўринларда — МАИ) объектларининг киберхавфсизлигини таъминлаш қонунийлик, киберҳимоянинг узлуксизлиги ва мажмуавийлиги ҳамда киберҳужумни аниқлаш, унинг олдини олиш, тезкор чора кўриш ва оқибатларини бартараф қилиш устуворлиги принципларига асосланади.

4. МАИ объектлари киберхавфсизлигини таъминлашнинг асосий йўналишлари қуйидагилардан иборат:

МАИ объектларининг киберхавфсизлиги соҳасида давлат сиёсатини юритиш;

МАИ объектларининг киберхавфсизлик фаолиятини ташкилий-ҳуқуқий жиҳатдан тартибга солиш;

МАИ объектларининг киберхавфсизлигини таъминлаш соҳасида талабларни ўрнатиш, ҳаёт циклининг барча босқичлари — яратиш, ишга тушириш, фойдаланиш ва модернизация қилишда уларнинг техник хавфсизлигини ташкил қилиш;

МАИ объектларининг ҳимояланганлигини баҳолаш, киберхавфсизлигига таҳдид ва заифликларини аниқлаш бўйича тадбирлар ўтказиш;

киберҳужумлардан огоҳлантириш, уларнинг олдини олиш, тезкор чоралар кўриш ва оқибатларини бартараф этиш, киберхавфсизлик ҳодисаларини текшириш жараёнида МАИ субъектлари орасида тезкор ҳамкорликни таъминлаш;

МАИ объектларининг киберхавфсизлигини ташкилий, моддий-техник жиҳатдан ва кадрлар билан таъминлаш;

МАИ объектларига киберҳужумларни амалга оширишга бўлган уринишларни ёки бевосита амалга оширилган киберҳужумларни бартараф этиш, киберҳужумлар амалга оширилган тақдирда МАИ объектларининг барқарор фаолият юритишини тиклаш режаларини ишлаб чиқиш ва уларни ишлатишга тайёрлаш;

МАИ объектларининг киберхавфсизлигини таъминлаш бўйича илмий-тадқиқот ва тажриба-конструкторлик ишларини олиб бориш.

5. Қуйидагилар МАИ объектларининг киберхавфсизлигини таъминлаш давлат тизими иштирокчилари ҳисобланади:

Ўзбекистон Республикасида киберхавфсизлик соҳасидаги ваколатли давлат органи — Ўзбекистон Республикаси Давлат хавфсизлик хизмати (кейинги ўринларда — ваколатли давлат органи);

ваколатли давлат органининг ишчи органи (кейинги ўринларда — ишчи орган);

Ўзбекистон Республикаси Рақамли технологиялар вазирлиги ҳузуридаги Ахборотлаштириш ва телекоммуникациялар соҳасида назорат инспекцияси (кейинги ўринларда — Ўзкомназорат);

МАИ субъектлари.

Ўзбекистон Республикаси МАИ объектларининг киберхавфсизлигини таъминлаш иловадаги ташкилий схемага мувофиқ амалга оширилади.

6. МАИ объектларининг киберхавфсизлигини таъминлаш соҳасида муносабатлар Ўзбекистон Республикаси Конституцияси ва қонунлари, Ўзбекистон Республикаси Президентининг фармонлари, қарорлари ва фармойишлари, Вазирлар Маҳкамасининг қарорлари ва фармойишлари, шунингдек, ушбу Низом ва бошқа қонунчилик ҳужжатлари билан тартибга солинади.

2-боб. Ваколатли давлат органи ва Ўзкомназоратнинг муҳим ахборот инфратузилмаси объектларининг киберхавфсизлигини таъминлаш соҳасидаги вазифалари

7. Ваколатли давлат органи:

МАИ объектлари киберхавфсизлигини таъминлаш соҳасини меъёрий-ҳуқуқий тартибга солишни такомиллаштириш бўйича Ўзбекистон Республикаси Президенти ҳузуридаги Хавфсизлик кенгаши котибиятига таклифлар киритади;

МАИ объектларининг киберхавфсизлик тизимини яратиш, шунингдек, узлуксиз ишлашини таъминлаш ҳамда техник инфратузилмасини ривожлантириш юзасидан қарорлар қабул қилади

МАИ объектларида киберҳужумларни аниқлаш, уларнинг олдини олиш, тезкор чора кўриш ва оқибатларини бартараф этиш ҳамда киберхавфсизликни таъминлаш бўйича фаолиятни мувофиқлаштиради;

МАИ объектларининг ягона давлат реестрини (кейинги ўринларда — реестр) шакллантиради ва юритади;

давлат сирларини ўз ичига олган маълумотларни қайта ишлайдиган МАИ объектларида киберхавфсизлик тўғрисидаги қонунчиликка риоя этилиши устидан назоратни амалга оширади;

қонунчиликка мувофиқ МАИ объектларини аттестациядан ўтказиш тизимини ташкил этади ва ўтказади;

ишчи орган ва Ўзкомназорат томонидан МАИ объектларида киберхавфсизликнинг таъминланганлик даражасини баҳолаш бўйича биргаликда ўтказиладиган ўрганиш ва текширишларнинг ташкил этилиши ва амалга оширилишини тартибга солади;

МАИ субъектлари, ҳуқуқни муҳофаза қилувчи органлар, ваколатли давлат органи, шунингдек, чет эл давлатларининг МАИ субъектлари ва ваколатли органлари, киберхавфсизлик ҳодисаларига чора кўриш соҳасида фаолият юритувчи халқаро нодавлат ташкилотлар билан ҳамкорлик доирасида киберхавфсизлик ҳодисалари бўйича маълумот алмашиш тартибини белгилайди;

МАИ объектларида киберҳужумларни аниқлаш, уларнинг олдини олиш ва оқибатларини бартараф этиш, киберхавфсизлик ҳодисаларига чора кўриш воситаларидан фойдаланишга қўйиладиган талабларни белгилайди ва уларнинг жорий қилинишини мувофиқлаштиради;

МАИ объектларига уюштирилиши мумкин бўлган киберхавфсизлик таҳдидлари ва уларнинг заифликлари тўғрисидаги маълумотларни аниқлаш, йиғиш ва таҳлил қилишни амалга оширади;

МАИ субъектлари билан биргаликда МАИ объектларига киберҳужумларни амалга оширишга бўлган уринишларни ёки бевосита амалга оширилган киберҳужумларнинг олдини олиш ва киберхавфсизлик ҳодисаси содир бўлган тақдирда объектларнинг барқарор ишлашини тиклаш бўйича режаларни ишлаб чиқади ҳамда улар бўйича режали ўқув машқларни ўтказади.

8. Ваколатли давлат органи ўз ваколати доирасида МАИ объектлари киберхавфсизлигини таъминлаш соҳасида халқаро тадбирларда иштирок этади ҳамда халқаро шартномаларга мувофиқ киберхавфсизликка таҳдидлар ва киберхавфсизлик ҳодисалари бўйича маълумотлар алмашади.

9. Ўзкомназорат:

давлат сирларини ўз ичига олмаган маълумотларни қайта ишлайдиган МАИ объектларида киберхавфсизлик тўғрисидаги қонунчиликка риоя этилиши устидан назоратни амалга оширади;

ишчи орган билан биргаликда МАИ объектларида киберхавфсизликни таъминлашда техник жиҳатдан тартибга солиш соҳасидаги норматив ҳужжатлар талабларининг МАИ субъектлари томонидан бажарилишини текширади, ўрганади ва назорат қилади;

МАИ объектларининг киберхавфсизлигини таъминлаш соҳасидаги норматив-ҳуқуқий базани такомиллаштириш бўйича таклиф ва тавсиялар ишлаб чиқишда иштирок этади;

ўз ваколатлари доирасида МАИ субъектларига МАИ объектлари киберхавфсизлигини таъминлашда аниқланган заифлик ва камчиликларни бартараф этиш бўйича кўрсатмалар беради;

МАИ объектларининг киберхавфсизлигини таъминлаш билан боғлиқ масалалар юзасидан идоралараро маслаҳат-кенгаш органлари фаолиятида, халқаро семинарлар, илмий-техник анжуманлар, симпозиумлар, учрашувлар ва кўргазмаларда иштирок этади.

3-боб. Ишчи органнинг муҳим ахборот инфратузилмаси киберхавфсизлигини таъминлаш соҳасидаги вазифалари

10. Ишчи орган зиммасига ваколатли давлат органи қарорларига мувофиқ МАИ объектларининг киберхавфсизлик тизимини яратиш, шунингдек, уларнинг узлуксиз ишлашини таъминлаш ҳамда техник инфратузилмасини ривожлантириш бўйича вазифалар юклатилади.

Ишчи орган:

МАИ объектларига киберҳужумларнинг олдини олиш бўйича самарали ташкилий ва дастурий-техник ечимларни тезкор қабул қилиш юзасидан тавсиялар ҳамда таклифлар ишлаб чиқиш учун киберхавфсизликка замонавий таҳдидлар тўғрисидаги маълумотларни марказлаштирилган тартибда тўплайди ва таҳлил қилади;

амалга оширилиши мумкин бўлган киберҳужумлардан ҳимоя қилиш ва МАИ объектларининг узлуксиз ишлашини таъминлашга кўмаклашади;

МАИ объектларига киберҳужумларни аниқлаш, уларнинг олдини олиш ва оқибатларини бартараф этиш воситаларини татбиқ қилади;

МАИ объектларида киберхавфсизлик ҳодисалари ва уларга бўлган кибертаҳдидларга жавоб бериш бўйича ҳуқуқни муҳофаза қилувчи органлар билан ўзаро ҳамкорлик қилади;

МАИ субъектларининг киберхавфсизлик бўлинмалари фаолиятини мувофиқлаштиради ҳамда МАИ объектларидаги киберхавфсизлик ҳодисаларини текширишга кўмаклашади;

МАИ объектларини киберҳужумлардан ҳимоя қилиш ва киберхавфсизлик ҳодисаларига чора кўриш бўйича МАИ субъектлари фаолиятини услубий жиҳатдан таъминлайди;

МАИ объектларини уларнинг техник топшириқ ва киберхавфсизлик талабларига мослиги юзасидан аудит, аттестация ҳамда экспертизадан ўтказади;

МАИ объектларида фойдаланиладиган телекоммуникация ускуналари, ахборотни ҳимоя қилиш аппарат, аппарат-дастурий ва дастурий воситаларни уларнинг техник жиҳатдан тартибга солиш соҳасидаги норматив ҳужжатларнинг талабларига мувофиқлиги юзасидан сертификатлашдан ўтказади;

МАИ субъектларида киберхавфсизликни таъминлаш учун масъул бўлган мутахассисларни қайта тайёрлаш ва уларнинг малакасини оширишни таъминлайди;

МАИ объектларида ахборот хавфсизлиги сиёсатини ишлаб чиқиш ва жорий этишга кўмаклашади;

ваколатли давлат органи билан биргаликда МАИ объектларида киберхавфсизлик ҳолатини ўрганади ва текширади;

МАИ объектларининг киберхавфсизлигини таъминлаш билан боғлиқ масалалар бўйича халқаро миқёсдаги тадбирларда иштирок этади ва илмий-техник конференциялар, симпозиумлар, йиғилишлар, кўргазмалар ташкил этади, шу жумладан ахборот-таҳлилий материалларини ишлаб чиқади.

4-боб. Муҳим ахборот инфратузилмаси субъектларининг ҳуқуқ ва мажбуриятлари

11. МАИ субъектлари қуйидаги ҳуқуқларга эга:

МАИ объектларининг киберхавфсизлигини таъминлаш учун, шу жумладан бундай объектлар томонидан қайта ишланадиган маълумотларга бўлган кибертаҳдидлар ҳамда бундай объектларда фойдаланилаётган дастурий таъминотлар, қурилмалар ва технологияларидаги заифликлар ҳақида маълумотларни ваколатли давлат органидан олиш;

МАИ объектларининг киберхавфсизлигини таъминлаш мақсадида ўзининг киберхавфсизлик бўлинмаларини ташкил этиш ҳамда чора-тадбирларни ишлаб чиқиш ва амалга ошириш.

12. МАИ субъектлари:

МАИ объектларининг киберхавфсизлигини белгиловчи норматив-ҳуқуқий ҳужжатлар ва техник жиҳатдан тартибга солиш соҳасидаги норматив ҳужжатлар талабларига риоя қилиши;

киберхавфсизлик ҳодисалари тўғрисида ваколатли давлат органи ва ишчи органни белгиланган тартибда дарҳол хабардор қилиши;

киберҳужумларни аниқлаш, уларнинг олдини олиш ва оқибатларини бартараф этиш, киберхавфсизлик ҳодисаларининг келиб чиқиш сабаблари ва шароитларини аниқлашда ваколатли давлат органи ҳамда ишчи органга кўмаклашиши;

МАИ объектларининг киберхавфсизлигини таъминлаш жараёнига давлат органлари томонидан ноқонуний аралашиш ҳолатлари ҳақида ваколатли органни хабардор қилиши;

ваколатли давлат органи билан келишилган ҳолда киберҳужумларни аниқлаш, уларнинг олдини олиш ва оқибатларини бартараф этиш, киберхавфсизлик ҳодисаларига жавоб бериш учун мўлжалланган воситаларни ўз ҳисобидан ўрнатиши ва сақлаши;

МАИ объектларига киберҳужумларни аниқлаш, уларнинг олдини олиш ва оқибатларини бартараф этиш учун ўрнатилган воситаларнинг белгиланган талабларга мувофиқ тўлақонли ишлашини таъминлаши;

ваколатли давлат органи томонидан тасдиқланган тартибда киберхавфсизлик ҳодисаларига жавоб бериш, МАИ объектларига қарши амалга оширилган киберҳужумларнинг оқибатларини бартараф этиш чораларини кўриши ва киберхавфсизлик ҳодисаларини текширишда иштирок этиши;

ваколатли давлат органи, ишчи орган, Ўзкомназорат мансабдор шахсларига ушбу Низомда назарда тутилган ваколатларни амалга ошириш жараёнида МАИ объектларига тўсиқсиз киришини таъминлаши;

ваколатли давлат органи ва ишчи орган билан келишилган ҳолда, МАИ объектларига уюштирилиши мумкин бўлган кибертаҳдидларнинг олдини олиши ва киберҳужумлар содир бўлганда МАИ объектларининг барқарор ишлашини тиклаш режаларини ишлаб чиқиши;

ваколатли давлат органи ва ишчи орган томонидан ташкил этиладиган режали машғулотларда иштирок этиши шарт.

13. МАИ субъектлари қонунчиликка мувофиқ бошқа ҳуқуқларга эга бўлиши ва уларнинг зиммасида бошқа мажбуриятлар бўлиши мумкин.

5-боб. Муҳим ахборот инфратузилмаси объектларинингкиберхавфсизлик тизими

14. МАИ субъектлари МАИ объектларининг киберхавфсизлик тизимини яратади ва унинг ишлашини таъминлайди.

15. Қуйидагилар МАИ объектлари киберхавфсизлик тизимининг асосий вазифалари ҳисобланади:

МАИ объектларида қайта ишланадиган маълумотдан ноқонуний фойдаланиш, уни ўчириб ташлаш, ўзгартириш, блоклаш (чеклаш), нусха олиш, тақдим қилиш, тарқатиш ва шу каби киберхавфсизликка таҳдид солувчи бошқа ноқонуний хатти-ҳаракатларнинг олдини олиш;

маълумотни қайта ишлашнинг аппарат, дастурий ва аппарат-дастурий воситаларига МАИ объектлари ишининг бузилиши ва (ёки) тўхтаб қолишига олиб келиши мумкин бўлган таъсирга йўл қўймаслик;

МАИ объектлари фаолиятини телекоммуникация тармоқлари, ахборот ресурслари ва ҳаёт фаолияти тизимини захиралаш орқали тиклаш.

6-боб. Якунловчи қоида

16. МАИ объектлари киберхавфсизлигини таъминлаш давлат тизимининг жорий этилиши ва узлуксиз фаолият юритишни назорат қилиш Ўзбекистон Республикаси Президенти ҳузуридаги Хавфсизлик кенгаши котибияти томонидан амалга оширилади.

17. Ушбу Низом талабларининг бузилишида айбдор бўлган шахслар қонунчиликка мувофиқ жавобгар бўладилар.

Ўзбекистон Республикаси Президентининг 2023 йил 31 майдаги ПҚ-167-сон қарорига 2-ИЛОВА

Ўзбекистон Республикаси муҳим ахборот инфратузилмаси объектларининг киберхавфсизлигини таъминлаш бўйича

1-боб. Умумий қоидалар

1. Ушбу талаблар Ўзбекистон Республикаси муҳим ахборот инфратузилмаси (кейинги ўринларда — МАИ) объектларининг киберхавфсизлигини таъминлашга қўйиладиган умумий талабларни белгилайди.

2. МАИ субъекти «Киберхавфсизлик тўғрисида»ги Ўзбекистон Республикасининг Қонуни , ушбу талаблар ва бошқа қонунчилик ҳужжатларига мувофиқ унга тегишли бўлган МАИ объектининг киберхавфсизлигини таъминлайди.

2-боб. МАИ объектларининг киберхавфсизлигини таъминлаш бўйича асосий талаблар

3. МАИ объектларига киберхавфсизликни таъминлашнинг қуйидаги талаблари қўйилади:

МАИ объектининг киберхавфсизлигини самарали таъминлаш тизимининг йўлга қўйилганлиги;

ахборот тизимида маълумотлардан рухсатсиз фойдаланиш, уларни йўқ қилиш, ўзгартириш, блоклаш (чеклаш), нусха олиш, тақдим этиш ва тарқатиш ҳамда МАИ объектлари фаолиятининг бузилиши ва/ёки тўхташига олиб келувчи бошқа ҳаракатларни амалга оширишнинг олди олинганлиги;

киберхавфсизликни таъминлаш тизими параметрларининг техник регламентлар талабларига мувофиқлиги, киберхавфсизлик ва МАИ объектининг узлуксиз фаолият юритишини таъминловчи чора-тадбирлар жорий этилганлиги;

киберхавфсизлик ҳодисаси рўй берганда киберҳимояни таъминлаш тизимини тезкор тиклаш имконияти мавжудлиги;

киберҳужумларни мониторинг, аудит ва таҳлил қилиш, аниқлаш, чора кўриш ҳамда уларнинг оқибатларини бартараф этиш тизимининг самарали йўлга қўйилганлиги;

киберхавфсизлик ва МАИ объектининг киберхавфсизлиги ва унинг эксплуатациясига доир ҳужжатларнинг мавжудлиги.

4. МАИ объекти раҳбари мазкур объектда киберхавфсизликни таъминлашга масъул шахс ҳисобланади. МАИ объекти раҳбари томонидан белгиланган тартибда объектда киберхавфсизликни таъминловчи ҳимоя тизимининг ишлашини таъминлашга масъул мутахассислар ёки таркибий бўлинма тайинланади.

5. МАИ объекти раҳбари объектнинг ахборот хавфсизлиги сиёсати, киберхавфсизлик соҳасидаги низомлар, кўрсатмалар, талаблар, ҳимоя воситаларидан фойдаланиш, киберхавфсизликни таъминловчи ҳимоя тизимининг ишлашини ташкил этиш ва назорат қилиш тартибини тасдиқлайди ҳамда уларни доимий равишда такомиллаштириш чораларини кўради.

6. МАИ объектида қуйидаги ҳужжатлар бўлиши керак:

киберхавфсизлик ва МАИ объекти раҳбари томонидан объектда киберҳимоя тизимининг ишлашини таъминлаш учун масъул мутахассислар тайинланганлиги ва/ёки таркибий бўлинманинг мавжудлигини тасдиқловчи ҳужжатлар;

киберхавфсизлик ва МАИ объектининг ахборот хавфсизлиги сиёсати, киберхавфсизлик соҳасидаги низомлари, кўрсатмалари, талаблари ҳамда ҳимоя воситаларидан фойдаланиш, киберҳимоя тизимининг ишлашини ташкил этиш ва назорат қилиш тартиби тасдиқланганлиги ва доимий равишда такомиллаштириб борилганлигини тасдиқловчи ҳужжатлар;

ахборот тизимларининг киберхавфсизлик ҳолати ва муҳим кўрсаткичларининг мониторингини олиб бориш, шунингдек, ахборот хавфсизлигига таҳдидлар ва уларни амалга ошириш мумкин бўлган усуллар (сценарийлар) ва моделлар ҳамда улардаги заифликлар таҳлил қилинганлиги, киберхавфсизлик ҳодисаларининг олдини олиш ва уларни бартараф этишга доир чоралар кўрилганлигини тасдиқловчи ҳужжатлар;

киберҳимоя тизими ва унинг тизимости қисмларининг тажриба-эксплуатацияси, қабул қилиш синовлари ҳамда киберҳимоя тизимини синовдан ўтказиш амалиётларини тасдиқловчи ҳужжатлар;

ходимларнинг ахборот ва киберхавфсизликни таъминлаш бўйича билими ва амалий тажрибаси ошириб борилганлигини тасдиқловчи ҳужжатлар;

МАИ объектининг киберхавфсизлигини таъминлаш бўйича тасдиқланган ишчи ёки эксплуатация ҳужжатлари;

ахборот ва киберхавфсизлик йўналишидаги техник жиҳатдан тартибга солиш соҳасига оид норматив ҳужжатларга мувофиқ ҳимоя тизимининг ҳолатини режали ва режадан ташқари текшириш амалиёти жорий этилганлигини тасдиқловчи ҳужжатлар;

барча маълумот ташувчиларни объект ҳудудига олиб кириш ва олиб чиқиш, сақлаш, узатиш ва муомаладан чиқариш жараёнини тартибга солувчи қоидаларга риоя қилинаётганлигини тасдиқловчи ҳужжатлар;

йиллик режаларда киберхавфсизликни таъминлашга оид белгиланган тадбирларнинг ижро этилганлигини тасдиқловчи ҳужжатлар.

7. МАИ объектларининг киберхавфсизлигини таъминловчи барча аппарат, аппарат-дастурий ва дастурий таъминотлар тегишли мувофиқлик сертификатлари ҳамда киберхавфсизлик тўғрисидаги қонунчиликка мувофиқ бўлиши керак.

8. МАИ объектларининг киберхавфсизлигини таъминлаш бўйича белгиланган талаблар билан бирга қўшимча равишда қуйидагилар:

МАИ объектларининг киберхавфсизлигини таъминлаш бўйича чора-тадбирларни режалаштириш, ишлаб чиқиш, такомиллаштириш ва жорий қилиш;

МАИ объектларининг киберхавфсизлигини таъминлаш учун ташкилий, ҳуқуқий ва техник чораларни кўриш;

МАИ объектларининг киберхавфсизлигини таъминлашда қўлланиладиган аппарат, дастурий-аппарат ва дастурий воситаларнинг кўрсаткич ва хусусиятларини белгилаш назарда тутилади.

9. Давлат ҳокимияти ва бошқаруви органлари, бирлашмалар, корхоналар, муассасалар ва ташкилотлар ваколатли давлат органи ва унинг ишчи органи билан келишган ҳолда ахборот хавфсизлиги сиёсатини ишлаб чиқиш ва уни амалга оширишда МАИ объектларининг иш фаолияти хусусиятларидан келиб чиққан ҳолда уларнинг киберхавфсизлигини таъминлаш воситаларига қўшимча талабларни белгилаши мумкин.

3-боб. МАИ объектининг автоматлаштирилган ва ахборот тизимларида қайта ишланаётган конфиденциал ва махфий маълумотларнинг хавфсизлигини таъминлаш воситаларига қўйиладиган талаблар

10. Киберхавфсизликни таъминловчи ҳимоя тизими қуйидагиларни таъминлаши зарур:

МАИ объекти томонидан қайта ишланадиган маълумотлардан рухсатсиз фойдаланиш, уларни йўқ қилиш, ўзгартириш, блоклаш (чеклаш), нусхалаш, тақдим этиш, тарқатиш ва шу каби бошқа хатти-ҳаракатларнинг олдини олиш;

МАИ объектининг иш фаолияти бузилиши ва/ёки тўхтаб қолишига олиб келиши мумкин бўлган аппарат, аппарат-дастурий ва дастурий воситаларга ахборот таъсирининг олдини олиш;

ўз ичига давлат сирини олмаган, қонунчилик билан ҳимояланган (кейинги ўринларда — конфиденциал) ва махфий маълумотларга киберхавфсизлик таҳдиди шароитида МАИ объектининг тўлиқ ишлашини таъминлаш;

МАИ объекти фаолиятини тиклаш имкониятини таъминлаш.

11. Автоматлаштирилган ва ахборот тизимларида қуйидагилар ҳимоя қилинади:

барча қайта ишланаётган маълумотлар;

аппарат, аппарат-дастурий ҳамда дастурий воситалар, шу жумладан компьютерни сақлаш воситалари, иш станциялари, серверлар, телекоммуникация ускуналари, алоқа линиялари, график, видео ва нутқ маълумотларини қайта ишлаш воситалари;

аппарат-дастурий воситаларнинг дастурий таъминоти;

ахборот тизимларининг архитектураси ва конфигурацияси.

12. Телекоммуникация тармоқларида қуйидагилар ҳимоя қилинади:

алоқа линиялари орқали узатиладиган маълумотлар;

телекоммуникация ускуналари, шу жумладан дастурий таъминот, бошқарув тизими;

ўрнатилган ҳимоя воситалари;

телекоммуникация тармоғи архитектураси ва конфигурациясининг яхлитлиги.

13. Автоматлаштирилган бошқарув тизимларида қуйидагилар ҳимоя қилинади:

бошқариладиган, кузатиладиган объект ёки жараённинг параметрлари ёхуд ҳолати тўғрисидаги маълумотлар, шу жумладан кириш-чиқиш маълумотлари, бошқарув маълумотлари, назорат ва ўлчов маълумотлари ҳамда бошқа муҳим маълумотлар;

дастурий таъминот ва аппарат воситалари, шу жумладан иш станциялари, саноат серверлари, телекоммуникация ускуналари, алоқа линиялари, дастурланадиган мантиқий текширгичлар, ишлаб чиқариш, технологик ускуналар;

аппарат-дастурий воситаларнинг дастурий таъминоти;

ўрнатилган ҳимоя воситалари;

автоматлаштирилган бошқарув тизимининг архитектураси ва конфигурацияси.

14. Хавфсизлик чораларини амалга оширишда аппарат, тизим, дастур ва тармоқ даражаларида, шу жумладан виртуаллашган муҳитда киришнинг барча объектлари ва субъектларига нисбатан киберхавфсизлик таҳдидларининг ҳисобга олинганлиги мажбурий мезонлардан бири ҳисобланади.

15. МАИ объектларидаги конфиденциал ва махфий маълумотларни қайта ишлайдиган қурилмаларда, киберхавфсизлик таҳдидларига қараб, қуйидаги чоралар амалга оширилиши зарур:

кичик тизим ёки бошқа тизимларнинг элементларига кириш ҳуқуқи олинишининг ҳар бир босқичида идентификация ва аутентификация қилиш;

файллар, тизимлар ва қурилмаларга кириш ҳуқуқини бошқариш;

ахборот инфратузилмасини бошқариш ваколатига эга бўлмаган фойдаланувчи учун дастурий муҳитни чеклаш;

конфиденциал ва махфий маълумотларни ташувчи воситаларни ҳимоя қилиш;

тизимлар, дастурлар, шу жумладан дастурий ва дастурий-аппарат ресурсларининг киберхавфсизлик аудитини ўтказиш;

МАИ объекти ахборот активларини бузғунчи дастурий таъминотларга қарши ҳимоя қилиш;

киберҳужумларни аниқлаш, уларнинг олдини олиш ва бартараф этиш;

қурилмалар орқали узатиладиган барча маълумотларни қўллаш мақсадларидан қатъи назар уларнинг яхлитлигини таъминлаш;

фойдаланувчиларнинг МАИ объекти фаолиятидаги ўрнига қараб тизим фойдаланувчилари учун маълумотларга рухсат бериш ва ҳимоясини таъминлаш;

ахборот техник ҳимоя воситаларининг хавфсизлигини таъминлаш;

конфигурацияни бошқариш;

дастурий таъминот янгиланишларини ўз вақтида бошқариш;

киберхавфсизлик ҳодисаларига ўз вақтида чора кўриш;

фавқулодда вазиятларда зарур ҳаракатларни бажариш;

яхлитлиги, конфиденциаллиги ёки махфийлиги ҳамда мавжудлиги МАИ объектининг фаолияти ва хавфсизлиги билан боғлиқ бўлган муҳим маълумотларнинг захира нусхасини сақлаш;

киберхавфсизликни таъминлаш ҳолатини, рухсатсиз кириш ва ахборотни ўзгартиришга уринишларни доимий назорат ҳамда таҳлил қилиш;

маълумотларни тезкор тиклаш механизмларини амалга ошириш;

объектни унинг киберхавфсизлик талабларига жавоб бериши юзасидан аттестациядан ўтказиш.

4-боб. Якунловчи қоида

16. Ушбу талабларнинг бузилишида айбдор бўлган шахслар қонунчилик ҳужжатларига мувофиқ жавоб берадилар.

Ўзбекистон Республикаси Президенти Ш. МИРЗИЁЕВ

Тошкент ш.,

2023 йил 31 май,

ПҚ-167-сон

(Қонунчилик маълумотлари миллий базаси, 02.06.2023 й., 07/23/167/0321-сон)

lex.uz

Oʻzbekiston Respublikasi Prezidentining

Qarori

NIZOM

UMUMIY TALABLAR

Oʻzbekiston Respublikasining muhim axborot infratuzilmasi obyektlari kiberxavfsizligini taʼminlash tizimini takomillashtirish boʻyicha qoʻshimcha chora-tadbirlar toʻgʻrisida

[Koʻchirma]

Oʻzbekiston Respublikasining “Kiberxavfsizlik toʻgʻrisida”gi Qonuni , Oʻzbekiston Respublikasi Prezidentining 2020-yil 15-iyundagi “Oʻzbekiston Respublikasining axborot tizimlari va resurslarini himoya qilish davlat tizimini joriy etish chora-tadbirlari toʻgʻrisida”gi PF-6007-son Farmoni hamda 2020-yil 15-iyundagi “Oʻzbekiston Respublikasida kiberxavfsizlikni taʼminlash tizimini yanada takomillashtirishga doir qoʻshimcha chora-tadbirlar toʻgʻrisida”gi PQ-4751-son qaroriga muvofiq, Oʻzbekiston Respublikasining muhim axborot infratuzilmasi kiberxavfsizligini taʼminlash boʻyicha yagona davlat siyosatining yuritilishini samarali yoʻlga qoʻyish maqsadida:

1. Quyidagilar:

Oʻzbekiston Respublikasining muhim axborot infratuzilmasi obyektlari kiberxavfsizligini taʼminlash tartibi toʻgʻrisidagi nizom 1-ilovaga muvofiq;

Oʻzbekiston Respublikasining muhim axborot infratuzilmasi obyektlarida kiberxavfsizlikning umumiy talablari 2-ilovaga muvofiq tasdiqlansin.

2. Belgilansinki, Oʻzbekiston Respublikasi Davlat xavfsizlik xizmati (keyingi oʻrinlarda — vakolatli davlat organi) muhim axborot infratuzilmasi (keyingi oʻrinlarda — MAI) obyektlarida kiberxavfsizlikning taʼminlanganlik darajasini kuzatib boradi, ularni baholash va monitoring qilish tartibini ishlab chiqadi hamda Oʻzbekiston Respublikasi Raqamli texnologiyalar vazirligi huzuridagi Axborotlashtirish va telekommunikatsiyalar sohasida nazorat inspeksiyasi bilan birgalikda kiberxavfsizlikni qonunchilikda belgilangan tartibda taʼminlash hamda rivojlantirish holati ustidan nazorat va monitoring olib borishda ishtirok etadi.

4. Oʻzbekiston Respublikasi Prezidentining 2018-yil 19-fevraldagi “Axborot texnologiyalari va kommunikatsiyalari sohasini yanada takomillashtirish chora-tadbirlari toʻgʻrisida”gi PF-5349-son Farmoni 7-bandining “g” kichik bandida belgilangan har oylik ustama MAI obyektlarida kiberxavfsizlikni taʼminlashga va mazkur faoliyatni muvofiqlashtirishga masʼul boʻlgan xodimlarga ham tatbiq etilsin.

5. MAI obyektlarida kiberxavfsizlikni taʼminlashga masʼul boʻlgan xodimlarning lavozimga tayinlanishi va lavozimidan ozod etilishi yuzasidan vakolatli davlat organini oʻz vaqtida xabardor etish hamda ushbu xodimlarni har uch yilda bir marta vakolatli davlat organi tomonidan attestatsiyadan oʻtkazish amaliyoti joriy etilsin.

6. Vakolatli davlat organi tomonidan oʻta muhim va toifalangan obyektlardagi MAI obyektlarida kiberxavfsizlikni taʼminlash yuzasidan tezkor-nazorat tadbirlarini oʻtkazishda Oʻzbekiston Respublikasi Prezidenti huzuridagi Xavfsizlik kengashi kotibiyati bu haqda xabardor qilinadi hamda ularning natijalari toʻgʻrisida 48 soat ichida yozma axborot kiritiladi.

7. Oʻzbekiston Respublikasi Davlat xavfsizlik xizmati (A. Azizov):

2023-yil 1-oktabrga qadar Oʻzbekiston Respublikasi Prezidenti huzuridagi Xavfsizlik kengashi apparati bilan kelishilgan holda Oʻzbekiston Respublikasi MAI obyektlarining vaqtinchalik yagona davlat reyestrini shakllantirsin hamda MAI obyektlarini toifalash tartibini belgilovchi vaqtinchalik nizomni tasdiqlasin;

2024-yil 1-dekabrga qadar xorijiy davlatlar ilgʻor tajribasini oʻrganish asosida Oʻzbekiston Respublikasi MAI obyektlarining doimiy yagona davlat reyestrini shakllantirish hamda MAI obyektlarini toifalashning doimiy tartibini belgilash yuzasidan takliflarni Oʻzbekiston Respublikasi Prezidenti huzuridagi Xavfsizlik kengashi kotibiyatiga kiritsin.

8. Ushbu qarorning ijrosini nazorat qilish Oʻzbekiston Respublikasi Prezidenti huzuridagi Xavfsizlik kengashi kotibi V.V. Maxmudov zimmasiga yuklansin.

Oʻzbekiston Respublikasi Prezidentining 2023-yil 31-maydagi PQ-167-son qaroriga 1-ILOVA

Oʻzbekiston Respublikasi muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini taʼminlash tartibi toʻgʻrisidagi

1-bob. Umumiy qoidalar

1. Mazkur Nizom Oʻzbekiston Respublikasi muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini taʼminlash tartibini belgilaydi.

2. Ushbu Nizomda quyidagi asosiy tushunchalar qoʻllaniladi:

kiberhimoya — kiberxavfsizlik hodisalarining oldini olishga, kiberhujumlarni aniqlashga va ulardan himoya qilishga, kiberhujumlarning oqibatlarini bartaraf etishga, telekommunikatsiya tarmoqlari, axborot tizimlari hamda resurslari faoliyatining barqarorligini va ishonchliligini tiklashga qaratilgan huquqiy, tashkiliy, moliyaviy-iqtisodiy, muhandislik-texnik chora-tadbirlar, shuningdek, maʼlumotlarni kriptografik va texnik jihatdan himoya qilish chora-tadbirlari majmui;

muhim axborot infratuzilmasi — muhim strategik va ijtimoiy-iqtisodiy ahamiyatga ega boʻlgan avtomatlashtirilgan boshqaruv tizimlarining, axborot tizimlari hamda tarmoqlar va texnologik jarayonlar resurslarining majmui;

muhim axborot infratuzilmasi obyektiga kiberhujum — kibermakonda muhim axborot infratuzilmasi obyektlariga apparat, apparat-dasturiy va dasturiy vositalardan foydalangan holda qasddan amalga oshiriladigan, kiberxavfsizlikka tahdid soladigan harakat;

muhim axborot infratuzilmasi obyektida kiberxavfsizlik hodisasi — kibermakonda muhim axborot infratuzilmasi obyekti faoliyati axborot tizimlarining ishlashida uzilishlarga va/yoki ulardagi axborotning ochiqligi, yaxlitligi va undan erkin foydalanilishining buzilishiga olib kelgan hodisa;

muhim axborot infratuzilmasi obyektlari — davlat boshqaruvi va davlat xizmatlari koʻrsatish, mudofaa, davlat xavfsizligini, huquq-tartibotni taʼminlash, yoqilgʻi-energetika majmui (atom energetikasi), kimyo, neft-kimyo tarmoqlari, metallurgiya, suvdan foydalanish va suv taʼminoti, qishloq xoʻjaligi, sogʻliqni saqlash, uy-joy kommunal xizmatlar koʻrsatish, bank-moliya tizimi, transport, axborot-kommunikatsiya texnologiyalari, ekologiya va atrof-muhitni muhofaza qilish, strategik ahamiyatga ega boʻlgan foydali qazilmalarni qazib olish va qayta ishlash sohasida, ishlab chiqarish sohasida, shuningdek, iqtisodiyotning boshqa tarmoqlarida va ijtimoiy sohada qoʻllaniladigan axborotlashtirish tizimlari;

muhim axborot infratuzilmasi subyektlari — davlat organlari va tashkilotlari, shuningdek, mulk, ijara huquqlari asosida yoki boshqa qonuniy asoslarda muhim axborot infratuzilmasi obyektlariga egalik qiluvchi yuridik shaxslar, shu jumladan muhim axborot infratuzilmasi obyektlarining ishlashini hamda hamkorligini taʼminlovchi yuridik shaxslar va (yoki) yakka tartibdagi tadbirkorlar;

muhim axborot infratuzilmasining kiberxavfsizligi — muhim axborot infratuzilmasi obyektida kiberxavfsizlik hodisasini keltirib chiqarishi mumkin boʻlgan buzilishdan muhim axborot infratuzilmasi obyekti barqaror ishlashini taʼminlovchi himoyalanganlik holati.

3. Muhim axborot infratuzilmasi (keyingi oʻrinlarda — MAI) obyektlarining kiberxavfsizligini taʼminlash qonuniylik, kiberhimoyaning uzluksizligi va majmuaviyligi hamda kiberhujumni aniqlash, uning oldini olish, tezkor chora koʻrish va oqibatlarini bartaraf qilish ustuvorligi prinsiplariga asoslanadi.

4. MAI obyektlari kiberxavfsizligini taʼminlashning asosiy yoʻnalishlari quyidagilardan iborat:

MAI obyektlarining kiberxavfsizligi sohasida davlat siyosatini yuritish;

MAI obyektlarining kiberxavfsizlik faoliyatini tashkiliy-huquqiy jihatdan tartibga solish;

MAI obyektlarining kiberxavfsizligini taʼminlash sohasida talablarni oʻrnatish, hayot siklining barcha bosqichlari — yaratish, ishga tushirish, foydalanish va modernizatsiya qilishda ularning texnik xavfsizligini tashkil qilish;

MAI obyektlarining himoyalanganligini baholash, kiberxavfsizligiga tahdid va zaifliklarini aniqlash boʻyicha tadbirlar oʻtkazish;

kiberhujumlardan ogohlantirish, ularning oldini olish, tezkor choralar koʻrish va oqibatlarini bartaraf etish, kiberxavfsizlik hodisalarini tekshirish jarayonida MAI subyektlari orasida tezkor hamkorlikni taʼminlash;

MAI obyektlarining kiberxavfsizligini tashkiliy, moddiy-texnik jihatdan va kadrlar bilan taʼminlash;

MAI obyektlariga kiberhujumlarni amalga oshirishga boʻlgan urinishlarni yoki bevosita amalga oshirilgan kiberhujumlarni bartaraf etish, kiberhujumlar amalga oshirilgan taqdirda MAI obyektlarining barqaror faoliyat yuritishini tiklash rejalarini ishlab chiqish va ularni ishlatishga tayyorlash;

MAI obyektlarining kiberxavfsizligini taʼminlash boʻyicha ilmiy-tadqiqot va tajriba-konstruktorlik ishlarini olib borish.

5. Quyidagilar MAI obyektlarining kiberxavfsizligini taʼminlash davlat tizimi ishtirokchilari hisoblanadi:

Oʻzbekiston Respublikasida kiberxavfsizlik sohasidagi vakolatli davlat organi — Oʻzbekiston Respublikasi Davlat xavfsizlik xizmati (keyingi oʻrinlarda — vakolatli davlat organi);

vakolatli davlat organining ishchi organi (keyingi oʻrinlarda — ishchi organ);

Oʻzbekiston Respublikasi Raqamli texnologiyalar vazirligi huzuridagi Axborotlashtirish va telekommunikatsiyalar sohasida nazorat inspeksiyasi (keyingi oʻrinlarda — Oʻzkomnazorat);

MAI subyektlari.

Oʻzbekiston Respublikasi MAI obyektlarining kiberxavfsizligini taʼminlash ilovadagi tashkiliy sxemaga muvofiq amalga oshiriladi.

6. MAI obyektlarining kiberxavfsizligini taʼminlash sohasida munosabatlar Oʻzbekiston Respublikasi Konstitutsiyasi va qonunlari, Oʻzbekiston Respublikasi Prezidentining farmonlari, qarorlari va farmoyishlari, Vazirlar Mahkamasining qarorlari va farmoyishlari, shuningdek, ushbu Nizom va boshqa qonunchilik hujjatlari bilan tartibga solinadi.

2-bob. Vakolatli davlat organi va Oʻzkomnazoratning muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini taʼminlash sohasidagi vazifalari

7. Vakolatli davlat organi:

MAI obyektlari kiberxavfsizligini taʼminlash sohasini meʼyoriy-huquqiy tartibga solishni takomillashtirish boʻyicha Oʻzbekiston Respublikasi Prezidenti huzuridagi Xavfsizlik kengashi kotibiyatiga takliflar kiritadi;

MAI obyektlarining kiberxavfsizlik tizimini yaratish, shuningdek, uzluksiz ishlashini taʼminlash hamda texnik infratuzilmasini rivojlantirish yuzasidan qarorlar qabul qiladi

MAI obyektlarida kiberhujumlarni aniqlash, ularning oldini olish, tezkor chora koʻrish va oqibatlarini bartaraf etish hamda kiberxavfsizlikni taʼminlash boʻyicha faoliyatni muvofiqlashtiradi;

MAI obyektlarining yagona davlat reyestrini (keyingi oʻrinlarda — reyestr) shakllantiradi va yuritadi;

davlat sirlarini oʻz ichiga olgan maʼlumotlarni qayta ishlaydigan MAI obyektlarida kiberxavfsizlik toʻgʻrisidagi qonunchilikka rioya etilishi ustidan nazoratni amalga oshiradi;

qonunchilikka muvofiq MAI obyektlarini attestatsiyadan oʻtkazish tizimini tashkil etadi va oʻtkazadi;

ishchi organ va Oʻzkomnazorat tomonidan MAI obyektlarida kiberxavfsizlikning taʼminlanganlik darajasini baholash boʻyicha birgalikda oʻtkaziladigan oʻrganish va tekshirishlarning tashkil etilishi va amalga oshirilishini tartibga soladi;

MAI subyektlari, huquqni muhofaza qiluvchi organlar, vakolatli davlat organi, shuningdek, chet el davlatlarining MAI subyektlari va vakolatli organlari, kiberxavfsizlik hodisalariga chora koʻrish sohasida faoliyat yurituvchi xalqaro nodavlat tashkilotlar bilan hamkorlik doirasida kiberxavfsizlik hodisalari boʻyicha maʼlumot almashish tartibini belgilaydi;

MAI obyektlarida kiberhujumlarni aniqlash, ularning oldini olish va oqibatlarini bartaraf etish, kiberxavfsizlik hodisalariga chora koʻrish vositalaridan foydalanishga qoʻyiladigan talablarni belgilaydi va ularning joriy qilinishini muvofiqlashtiradi;

MAI obyektlariga uyushtirilishi mumkin boʻlgan kiberxavfsizlik tahdidlari va ularning zaifliklari toʻgʻrisidagi maʼlumotlarni aniqlash, yigʻish va tahlil qilishni amalga oshiradi;

MAI subyektlari bilan birgalikda MAI obyektlariga kiberhujumlarni amalga oshirishga boʻlgan urinishlarni yoki bevosita amalga oshirilgan kiberhujumlarning oldini olish va kiberxavfsizlik hodisasi sodir boʻlgan taqdirda obyektlarning barqaror ishlashini tiklash boʻyicha rejalarni ishlab chiqadi hamda ular boʻyicha rejali oʻquv mashqlarni oʻtkazadi.

8. Vakolatli davlat organi oʻz vakolati doirasida MAI obyektlari kiberxavfsizligini taʼminlash sohasida xalqaro tadbirlarda ishtirok etadi hamda xalqaro shartnomalarga muvofiq kiberxavfsizlikka tahdidlar va kiberxavfsizlik hodisalari boʻyicha maʼlumotlar almashadi.

9. Oʻzkomnazorat:

davlat sirlarini oʻz ichiga olmagan maʼlumotlarni qayta ishlaydigan MAI obyektlarida kiberxavfsizlik toʻgʻrisidagi qonunchilikka rioya etilishi ustidan nazoratni amalga oshiradi;

ishchi organ bilan birgalikda MAI obyektlarida kiberxavfsizlikni taʼminlashda texnik jihatdan tartibga solish sohasidagi normativ hujjatlar talablarining MAI subyektlari tomonidan bajarilishini tekshiradi, oʻrganadi va nazorat qiladi;

MAI obyektlarining kiberxavfsizligini taʼminlash sohasidagi normativ-huquqiy bazani takomillashtirish boʻyicha taklif va tavsiyalar ishlab chiqishda ishtirok etadi;

oʻz vakolatlari doirasida MAI subyektlariga MAI obyektlari kiberxavfsizligini taʼminlashda aniqlangan zaiflik va kamchiliklarni bartaraf etish boʻyicha koʻrsatmalar beradi;

MAI obyektlarining kiberxavfsizligini taʼminlash bilan bogʻliq masalalar yuzasidan idoralararo maslahat-kengash organlari faoliyatida, xalqaro seminarlar, ilmiy-texnik anjumanlar, simpoziumlar, uchrashuvlar va koʻrgazmalarda ishtirok etadi.

3-bob. Ishchi organning muhim axborot infratuzilmasi kiberxavfsizligini taʼminlash sohasidagi vazifalari

10. Ishchi organ zimmasiga vakolatli davlat organi qarorlariga muvofiq MAI obyektlarining kiberxavfsizlik tizimini yaratish, shuningdek, ularning uzluksiz ishlashini taʼminlash hamda texnik infratuzilmasini rivojlantirish boʻyicha vazifalar yuklatiladi.

Ishchi organ:

MAI obyektlariga kiberhujumlarning oldini olish boʻyicha samarali tashkiliy va dasturiy-texnik yechimlarni tezkor qabul qilish yuzasidan tavsiyalar hamda takliflar ishlab chiqish uchun kiberxavfsizlikka zamonaviy tahdidlar toʻgʻrisidagi maʼlumotlarni markazlashtirilgan tartibda toʻplaydi va tahlil qiladi;

amalga oshirilishi mumkin boʻlgan kiberhujumlardan himoya qilish va MAI obyektlarining uzluksiz ishlashini taʼminlashga koʻmaklashadi;

MAI obyektlariga kiberhujumlarni aniqlash, ularning oldini olish va oqibatlarini bartaraf etish vositalarini tatbiq qiladi;

MAI obyektlarida kiberxavfsizlik hodisalari va ularga boʻlgan kibertahdidlarga javob berish boʻyicha huquqni muhofaza qiluvchi organlar bilan oʻzaro hamkorlik qiladi;

MAI subyektlarining kiberxavfsizlik boʻlinmalari faoliyatini muvofiqlashtiradi hamda MAI obyektlaridagi kiberxavfsizlik hodisalarini tekshirishga koʻmaklashadi;

MAI obyektlarini kiberhujumlardan himoya qilish va kiberxavfsizlik hodisalariga chora koʻrish boʻyicha MAI subyektlari faoliyatini uslubiy jihatdan taʼminlaydi;

MAI obyektlarini ularning texnik topshiriq va kiberxavfsizlik talablariga mosligi yuzasidan audit, attestatsiya hamda ekspertizadan oʻtkazadi;

MAI obyektlarida foydalaniladigan telekommunikatsiya uskunalari, axborotni himoya qilish apparat, apparat-dasturiy va dasturiy vositalarni ularning texnik jihatdan tartibga solish sohasidagi normativ hujjatlarning talablariga muvofiqligi yuzasidan sertifikatlashdan oʻtkazadi;

MAI subyektlarida kiberxavfsizlikni taʼminlash uchun masʼul boʻlgan mutaxassislarni qayta tayyorlash va ularning malakasini oshirishni taʼminlaydi;

MAI obyektlarida axborot xavfsizligi siyosatini ishlab chiqish va joriy etishga koʻmaklashadi;

vakolatli davlat organi bilan birgalikda MAI obyektlarida kiberxavfsizlik holatini oʻrganadi va tekshiradi;

MAI obyektlarining kiberxavfsizligini taʼminlash bilan bogʻliq masalalar boʻyicha xalqaro miqyosdagi tadbirlarda ishtirok etadi va ilmiy-texnik konferensiyalar, simpoziumlar, yigʻilishlar, koʻrgazmalar tashkil etadi, shu jumladan axborot-tahliliy materiallarini ishlab chiqadi.

4-bob. Muhim axborot infratuzilmasi subyektlarining huquq va majburiyatlari

11. MAI subyektlari quyidagi huquqlarga ega:

MAI obyektlarining kiberxavfsizligini taʼminlash uchun, shu jumladan bunday obyektlar tomonidan qayta ishlanadigan maʼlumotlarga boʻlgan kibertahdidlar hamda bunday obyektlarda foydalanilayotgan dasturiy taʼminotlar, qurilmalar va texnologiyalaridagi zaifliklar haqida maʼlumotlarni vakolatli davlat organidan olish;

MAI obyektlarining kiberxavfsizligini taʼminlash maqsadida oʻzining kiberxavfsizlik boʻlinmalarini tashkil etish hamda chora-tadbirlarni ishlab chiqish va amalga oshirish.

12. MAI subyektlari:

MAI obyektlarining kiberxavfsizligini belgilovchi normativ-huquqiy hujjatlar va texnik jihatdan tartibga solish sohasidagi normativ hujjatlar talablariga rioya qilishi;

kiberxavfsizlik hodisalari toʻgʻrisida vakolatli davlat organi va ishchi organni belgilangan tartibda darhol xabardor qilishi;

kiberhujumlarni aniqlash, ularning oldini olish va oqibatlarini bartaraf etish, kiberxavfsizlik hodisalarining kelib chiqish sabablari va sharoitlarini aniqlashda vakolatli davlat organi hamda ishchi organga koʻmaklashishi;

MAI obyektlarining kiberxavfsizligini taʼminlash jarayoniga davlat organlari tomonidan noqonuniy aralashish holatlari haqida vakolatli organni xabardor qilishi;

vakolatli davlat organi bilan kelishilgan holda kiberhujumlarni aniqlash, ularning oldini olish va oqibatlarini bartaraf etish, kiberxavfsizlik hodisalariga javob berish uchun moʻljallangan vositalarni oʻz hisobidan oʻrnatishi va saqlashi;

MAI obyektlariga kiberhujumlarni aniqlash, ularning oldini olish va oqibatlarini bartaraf etish uchun oʻrnatilgan vositalarning belgilangan talablarga muvofiq toʻlaqonli ishlashini taʼminlashi;

vakolatli davlat organi tomonidan tasdiqlangan tartibda kiberxavfsizlik hodisalariga javob berish, MAI obyektlariga qarshi amalga oshirilgan kiberhujumlarning oqibatlarini bartaraf etish choralarini koʻrishi va kiberxavfsizlik hodisalarini tekshirishda ishtirok etishi;

vakolatli davlat organi, ishchi organ, Oʻzkomnazorat mansabdor shaxslariga ushbu Nizomda nazarda tutilgan vakolatlarni amalga oshirish jarayonida MAI obyektlariga toʻsiqsiz kirishini taʼminlashi;

vakolatli davlat organi va ishchi organ bilan kelishilgan holda, MAI obyektlariga uyushtirilishi mumkin boʻlgan kibertahdidlarning oldini olishi va kiberhujumlar sodir boʻlganda MAI obyektlarining barqaror ishlashini tiklash rejalarini ishlab chiqishi;

vakolatli davlat organi va ishchi organ tomonidan tashkil etiladigan rejali mashgʻulotlarda ishtirok etishi shart.

13. MAI subyektlari qonunchilikka muvofiq boshqa huquqlarga ega boʻlishi va ularning zimmasida boshqa majburiyatlar boʻlishi mumkin.

5-bob. Muhim axborot infratuzilmasi obyektlariningkiberxavfsizlik tizimi

14. MAI subyektlari MAI obyektlarining kiberxavfsizlik tizimini yaratadi va uning ishlashini taʼminlaydi.

15. Quyidagilar MAI obyektlari kiberxavfsizlik tizimining asosiy vazifalari hisoblanadi:

MAI obyektlarida qayta ishlanadigan maʼlumotdan noqonuniy foydalanish, uni oʻchirib tashlash, oʻzgartirish, bloklash (cheklash), nusxa olish, taqdim qilish, tarqatish va shu kabi kiberxavfsizlikka tahdid soluvchi boshqa noqonuniy xatti-harakatlarning oldini olish;

maʼlumotni qayta ishlashning apparat, dasturiy va apparat-dasturiy vositalariga MAI obyektlari ishining buzilishi va (yoki) toʻxtab qolishiga olib kelishi mumkin boʻlgan taʼsirga yoʻl qoʻymaslik;

MAI obyektlari faoliyatini telekommunikatsiya tarmoqlari, axborot resurslari va hayot faoliyati tizimini zaxiralash orqali tiklash.

6-bob. Yakunlovchi qoida

16. MAI obyektlari kiberxavfsizligini taʼminlash davlat tizimining joriy etilishi va uzluksiz faoliyat yuritishni nazorat qilish Oʻzbekiston Respublikasi Prezidenti huzuridagi Xavfsizlik kengashi kotibiyati tomonidan amalga oshiriladi.

17. Ushbu Nizom talablarining buzilishida aybdor boʻlgan shaxslar qonunchilikka muvofiq javobgar boʻladilar.

Oʻzbekiston Respublikasi Prezidentining 2023-yil 31-maydagi PQ-167-son qaroriga 2-ILOVA

Oʻzbekiston Respublikasi muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini taʼminlash boʻyicha

1-bob. Umumiy qoidalar

1. Ushbu talablar Oʻzbekiston Respublikasi muhim axborot infratuzilmasi (keyingi oʻrinlarda — MAI) obyektlarining kiberxavfsizligini taʼminlashga qoʻyiladigan umumiy talablarni belgilaydi.

2. MAI subyekti “Kiberxavfsizlik toʻgʻrisida”gi Oʻzbekiston Respublikasining Qonuni , ushbu talablar va boshqa qonunchilik hujjatlariga muvofiq unga tegishli boʻlgan MAI obyektining kiberxavfsizligini taʼminlaydi.

2-bob. MAI obyektlarining kiberxavfsizligini taʼminlash boʻyicha asosiy talablar

3. MAI obyektlariga kiberxavfsizlikni taʼminlashning quyidagi talablari qoʻyiladi:

MAI obyektining kiberxavfsizligini samarali taʼminlash tizimining yoʻlga qoʻyilganligi;

axborot tizimida maʼlumotlardan ruxsatsiz foydalanish, ularni yoʻq qilish, oʻzgartirish, bloklash (cheklash), nusxa olish, taqdim etish va tarqatish hamda MAI obyektlari faoliyatining buzilishi va/yoki toʻxtashiga olib keluvchi boshqa harakatlarni amalga oshirishning oldi olinganligi;

kiberxavfsizlikni taʼminlash tizimi parametrlarining texnik reglamentlar talablariga muvofiqligi, kiberxavfsizlik va MAI obyektining uzluksiz faoliyat yuritishini taʼminlovchi chora-tadbirlar joriy etilganligi;

kiberxavfsizlik hodisasi roʻy berganda kiberhimoyani taʼminlash tizimini tezkor tiklash imkoniyati mavjudligi;

kiberhujumlarni monitoring, audit va tahlil qilish, aniqlash, chora koʻrish hamda ularning oqibatlarini bartaraf etish tizimining samarali yoʻlga qoʻyilganligi;

kiberxavfsizlik va MAI obyektining kiberxavfsizligi va uning ekspluatatsiyasiga doir hujjatlarning mavjudligi.

4. MAI obyekti rahbari mazkur obyektda kiberxavfsizlikni taʼminlashga masʼul shaxs hisoblanadi. MAI obyekti rahbari tomonidan belgilangan tartibda obyektda kiberxavfsizlikni taʼminlovchi himoya tizimining ishlashini taʼminlashga masʼul mutaxassislar yoki tarkibiy boʻlinma tayinlanadi.

5. MAI obyekti rahbari obyektning axborot xavfsizligi siyosati, kiberxavfsizlik sohasidagi nizomlar, koʻrsatmalar, talablar, himoya vositalaridan foydalanish, kiberxavfsizlikni taʼminlovchi himoya tizimining ishlashini tashkil etish va nazorat qilish tartibini tasdiqlaydi hamda ularni doimiy ravishda takomillashtirish choralarini koʻradi.

6. MAI obyektida quyidagi hujjatlar boʻlishi kerak:

kiberxavfsizlik va MAI obyekti rahbari tomonidan obyektda kiberhimoya tizimining ishlashini taʼminlash uchun masʼul mutaxassislar tayinlanganligi va/yoki tarkibiy boʻlinmaning mavjudligini tasdiqlovchi hujjatlar;

kiberxavfsizlik va MAI obyektining axborot xavfsizligi siyosati, kiberxavfsizlik sohasidagi nizomlari, koʻrsatmalari, talablari hamda himoya vositalaridan foydalanish, kiberhimoya tizimining ishlashini tashkil etish va nazorat qilish tartibi tasdiqlanganligi va doimiy ravishda takomillashtirib borilganligini tasdiqlovchi hujjatlar;

axborot tizimlarining kiberxavfsizlik holati va muhim koʻrsatkichlarining monitoringini olib borish, shuningdek, axborot xavfsizligiga tahdidlar va ularni amalga oshirish mumkin boʻlgan usullar (ssenariylar) va modellar hamda ulardagi zaifliklar tahlil qilinganligi, kiberxavfsizlik hodisalarining oldini olish va ularni bartaraf etishga doir choralar koʻrilganligini tasdiqlovchi hujjatlar;

kiberhimoya tizimi va uning tizimosti qismlarining tajriba-ekspluatatsiyasi, qabul qilish sinovlari hamda kiberhimoya tizimini sinovdan oʻtkazish amaliyotlarini tasdiqlovchi hujjatlar;

xodimlarning axborot va kiberxavfsizlikni taʼminlash boʻyicha bilimi va amaliy tajribasi oshirib borilganligini tasdiqlovchi hujjatlar;

MAI obyektining kiberxavfsizligini taʼminlash boʻyicha tasdiqlangan ishchi yoki ekspluatatsiya hujjatlari;

axborot va kiberxavfsizlik yoʻnalishidagi texnik jihatdan tartibga solish sohasiga oid normativ hujjatlarga muvofiq himoya tizimining holatini rejali va rejadan tashqari tekshirish amaliyoti joriy etilganligini tasdiqlovchi hujjatlar;

barcha maʼlumot tashuvchilarni obyekt hududiga olib kirish va olib chiqish, saqlash, uzatish va muomaladan chiqarish jarayonini tartibga soluvchi qoidalarga rioya qilinayotganligini tasdiqlovchi hujjatlar;

yillik rejalarda kiberxavfsizlikni taʼminlashga oid belgilangan tadbirlarning ijro etilganligini tasdiqlovchi hujjatlar.

7. MAI obyektlarining kiberxavfsizligini taʼminlovchi barcha apparat, apparat-dasturiy va dasturiy taʼminotlar tegishli muvofiqlik sertifikatlari hamda kiberxavfsizlik toʻgʻrisidagi qonunchilikka muvofiq boʻlishi kerak.

8. MAI obyektlarining kiberxavfsizligini taʼminlash boʻyicha belgilangan talablar bilan birga qoʻshimcha ravishda quyidagilar:

MAI obyektlarining kiberxavfsizligini taʼminlash boʻyicha chora-tadbirlarni rejalashtirish, ishlab chiqish, takomillashtirish va joriy qilish;

MAI obyektlarining kiberxavfsizligini taʼminlash uchun tashkiliy, huquqiy va texnik choralarni koʻrish;

MAI obyektlarining kiberxavfsizligini taʼminlashda qoʻllaniladigan apparat, dasturiy-apparat va dasturiy vositalarning koʻrsatkich va xususiyatlarini belgilash nazarda tutiladi.

9. Davlat hokimiyati va boshqaruvi organlari, birlashmalar, korxonalar, muassasalar va tashkilotlar vakolatli davlat organi va uning ishchi organi bilan kelishgan holda axborot xavfsizligi siyosatini ishlab chiqish va uni amalga oshirishda MAI obyektlarining ish faoliyati xususiyatlaridan kelib chiqqan holda ularning kiberxavfsizligini taʼminlash vositalariga qoʻshimcha talablarni belgilashi mumkin.

3-bob. MAI obyektining avtomatlashtirilgan va axborot tizimlarida qayta ishlanayotgan konfidensial va maxfiy maʼlumotlarning xavfsizligini taʼminlash vositalariga qoʻyiladigan talablar

10. Kiberxavfsizlikni taʼminlovchi himoya tizimi quyidagilarni taʼminlashi zarur:

MAI obyekti tomonidan qayta ishlanadigan maʼlumotlardan ruxsatsiz foydalanish, ularni yoʻq qilish, oʻzgartirish, bloklash (cheklash), nusxalash, taqdim etish, tarqatish va shu kabi boshqa xatti-harakatlarning oldini olish;

MAI obyektining ish faoliyati buzilishi va/yoki toʻxtab qolishiga olib kelishi mumkin boʻlgan apparat, apparat-dasturiy va dasturiy vositalarga axborot taʼsirining oldini olish;

oʻz ichiga davlat sirini olmagan, qonunchilik bilan himoyalangan (keyingi oʻrinlarda — konfidensial) va maxfiy maʼlumotlarga kiberxavfsizlik tahdidi sharoitida MAI obyektining toʻliq ishlashini taʼminlash;

MAI obyekti faoliyatini tiklash imkoniyatini taʼminlash.

11. Avtomatlashtirilgan va axborot tizimlarida quyidagilar himoya qilinadi:

barcha qayta ishlanayotgan maʼlumotlar;

apparat, apparat-dasturiy hamda dasturiy vositalar, shu jumladan kompyuterni saqlash vositalari, ish stansiyalari, serverlar, telekommunikatsiya uskunalari, aloqa liniyalari, grafik, video va nutq maʼlumotlarini qayta ishlash vositalari;

apparat-dasturiy vositalarning dasturiy taʼminoti;

axborot tizimlarining arxitekturasi va konfiguratsiyasi.

12. Telekommunikatsiya tarmoqlarida quyidagilar himoya qilinadi:

aloqa liniyalari orqali uzatiladigan maʼlumotlar;

telekommunikatsiya uskunalari, shu jumladan dasturiy taʼminot, boshqaruv tizimi;

oʻrnatilgan himoya vositalari;

telekommunikatsiya tarmogʻi arxitekturasi va konfiguratsiyasining yaxlitligi.

13. Avtomatlashtirilgan boshqaruv tizimlarida quyidagilar himoya qilinadi:

boshqariladigan, kuzatiladigan obyekt yoki jarayonning parametrlari yoxud holati toʻgʻrisidagi maʼlumotlar, shu jumladan kirish-chiqish maʼlumotlari, boshqaruv maʼlumotlari, nazorat va oʻlchov maʼlumotlari hamda boshqa muhim maʼlumotlar;

dasturiy taʼminot va apparat vositalari, shu jumladan ish stansiyalari, sanoat serverlari, telekommunikatsiya uskunalari, aloqa liniyalari, dasturlanadigan mantiqiy tekshirgichlar, ishlab chiqarish, texnologik uskunalar;

apparat-dasturiy vositalarning dasturiy taʼminoti;

oʻrnatilgan himoya vositalari;

avtomatlashtirilgan boshqaruv tizimining arxitekturasi va konfiguratsiyasi.

14. Xavfsizlik choralarini amalga oshirishda apparat, tizim, dastur va tarmoq darajalarida, shu jumladan virtuallashgan muhitda kirishning barcha obyektlari va subyektlariga nisbatan kiberxavfsizlik tahdidlarining hisobga olinganligi majburiy mezonlardan biri hisoblanadi.

15. MAI obyektlaridagi konfidensial va maxfiy maʼlumotlarni qayta ishlaydigan qurilmalarda, kiberxavfsizlik tahdidlariga qarab, quyidagi choralar amalga oshirilishi zarur:

kichik tizim yoki boshqa tizimlarning elementlariga kirish huquqi olinishining har bir bosqichida identifikatsiya va autentifikatsiya qilish;

fayllar, tizimlar va qurilmalarga kirish huquqini boshqarish;

axborot infratuzilmasini boshqarish vakolatiga ega boʻlmagan foydalanuvchi uchun dasturiy muhitni cheklash;

konfidensial va maxfiy maʼlumotlarni tashuvchi vositalarni himoya qilish;

tizimlar, dasturlar, shu jumladan dasturiy va dasturiy-apparat resurslarining kiberxavfsizlik auditini oʻtkazish;

MAI obyekti axborot aktivlarini buzgʻunchi dasturiy taʼminotlarga qarshi himoya qilish;

kiberhujumlarni aniqlash, ularning oldini olish va bartaraf etish;

qurilmalar orqali uzatiladigan barcha maʼlumotlarni qoʻllash maqsadlaridan qatʼi nazar ularning yaxlitligini taʼminlash;

foydalanuvchilarning MAI obyekti faoliyatidagi oʻrniga qarab tizim foydalanuvchilari uchun maʼlumotlarga ruxsat berish va himoyasini taʼminlash;

axborot texnik himoya vositalarining xavfsizligini taʼminlash;

konfiguratsiyani boshqarish;

dasturiy taʼminot yangilanishlarini oʻz vaqtida boshqarish;

kiberxavfsizlik hodisalariga oʻz vaqtida chora koʻrish;

favqulodda vaziyatlarda zarur harakatlarni bajarish;

yaxlitligi, konfidensialligi yoki maxfiyligi hamda mavjudligi MAI obyektining faoliyati va xavfsizligi bilan bogʻliq boʻlgan muhim maʼlumotlarning zaxira nusxasini saqlash;

kiberxavfsizlikni taʼminlash holatini, ruxsatsiz kirish va axborotni oʻzgartirishga urinishlarni doimiy nazorat hamda tahlil qilish;

maʼlumotlarni tezkor tiklash mexanizmlarini amalga oshirish;

obyektni uning kiberxavfsizlik talablariga javob berishi yuzasidan attestatsiyadan oʻtkazish.

4-bob. Yakunlovchi qoida

16. Ushbu talablarning buzilishida aybdor boʻlgan shaxslar qonunchilik hujjatlariga muvofiq javob beradilar.

Oʻzbekiston Respublikasi Prezidenti Sh. MIRZIYOYEV

Toshkent sh.,

2023-yil 31-may,

PQ-167-son

(Qonunchilik maʼlumotlari milliy bazasi, 02.06.2023-y., 07/23/167/0321-son)

lex.uz

Президента Республики Узбекистан

Постановление

ПОЛОЖЕНИЕ

ОБЩИЕ ТРЕБОВАНИЯ

О дополнительных мерах по совершенствованию системы обеспечения кибербезопасности объектов критической информационной инфраструктуры Республики Узбекистан

[Извлечение]

В соответствии с Законом Республики Узбекистан «О кибербезопасности», Указом Президента Республики Узбекистан от 15 июня 2020 года № УП-6007 «О мерах по внедрению Государственной системы защиты информационных систем и ресурсов Республики Узбекистан» и постановлением от 15 июня 2020 года № ПП-4751 «О дополнительных мерах по дальнейшему совершенствованию системы обеспечения кибербезопасности в Республике Узбекистан» и в целях эффективной организации осуществления единой государственной политики по обеспечению кибербезопасности объектов критической информационной инфраструктуры Республики Узбекистан:

1. Утвердить:

Положение о порядке обеспечения кибербезопасности объектов критической информационной инфраструктуры Республики Узбекистан, согласно приложению № 1 ;

Общие требования кибербезопасности объектов критической информационной инфраструктуры Республики Узбекистан, согласно приложению № 2 .

2. Определить, что Служба государственной безопасности Республики Узбекистан (далее — уполномоченный государственный орган) ведет наблюдение за степенью обеспеченности кибербезопасности объектов критической информационной инфраструктуры (далее — КИИ), разрабатывает порядок их оценки и мониторинга, совместно с Инспекцией по контролю в сфере информатизации и телекоммуникаций при Министерстве цифровых технологий Республики Узбекистан принимает участие в осуществлении контроля и мониторинга обеспечения и развития кибербезопасности в порядке, установленном законодательством.

4. Применить ежемесячную надбавку, определенную в подпункте «г» пункта 7 Указа Президента Республики Узбекистан от 19 февраля 2018 года № УП-5349 «О мерах по дальнейшему совершенствованию сферы информационных технологий и коммуникаций» также к сотрудникам, ответственным за обеспечение кибербезопасности объектов КИИ и координации их деятельности.

5. Внедрить практику своевременного информирования уполномоченного государственного органа о назначении на должность и освобождении от должности, проведения аттестации работников, ответственных за обеспечение кибербезопасности объектов КИИ, а также проведения аттестации данных работников уполномоченным государственным органом каждые три года.

6. Уполномоченный государственный орган при проведении оперативно-контрольных мероприятий по обеспечению кибербезопасности объектов КИИ на особо важных и категорированных объектах уведомляет и представляет письменную информацию по их результатам в течение 48 часов в секретариат Совета безопасности при Президенте Республики Узбекистан.

7. Службе государственной безопасности Республики Узбекистан (А. Азизов):

в срок до 1 октября 2023 года по согласованию с аппаратом Совета безопасности при Президенте Республики Узбекистан сформировать Временный Единый государственный реестр объектов КИИ Республики Узбекистан и утвердить Временное положение по установлению Порядка классификации объектов КИИ;

в срок до 1 декабря 2024 года на основе изучения передового опыта зарубежных государств внести в секретариат Совета безопасности при Президенте Республики Узбекистан предложения о формировании Постоянного Единого государственного реестра объектов КИИ Республики Узбекистан и утверждении Постоянного Положения по установлению Порядка классификации объектов КИИ.

8. Контроль за исполнением настоящего постановления возложить на секретаря Совета безопасности при Президенте Республики Узбекистан В.В. Махмудова .

ПРИЛОЖЕНИЕ № 1 к постановлению Президента Республики Узбекистан от 31 мая 2023 года № ПП-167

о порядке обеспечения кибербезопасности объектов критической информационной инфраструктуры Республики Узбекистан

Глава 1. Общие положения

1. Настоящее Положение определяет порядок обеспечения кибербезопасности объектов критической информационной инфраструктуры Республики Узбекистан.

2. В настоящем Положении используются следующие основные понятия:

киберзащита — комплекс правовых, организационных, финансово-экономических, инженерно-технических мер, а также мер криптографической и технической защиты данных, направленных на предотвращение инцидентов кибербезопасности, выявление кибератак и защиту от них, устранение последствий кибератак, восстановление стабильности и надежности деятельности телекоммуникационных сетей, информационных систем и ресурсов;

критическая информационная инфраструктура — комплекс автоматизированных систем управления, информационных систем и ресурсов сетей и технологических процессов, имеющих важное стратегическое и социально-экономическое значение;

кибератака на объект критической информационной инфраструктуры — умышленное действие, представляющее угрозу кибербезопасности путем использования в киберпространстве аппаратных, аппаратно-программных и программных средств на объектах критической информационной инфраструктуры;

инцидент кибербезопасности на объекте критической информационной инфраструктуры — инцидент, при эксплуатации объекта критической информационной инфраструктуры в киберпространстве приведший к сбоям в работе информационных систем и (или) нарушениям доступности, целостности и свободного использования информации;

объекты критической информационной инфраструктуры — системы информатизации, применяемые в сфере государственного управления и оказания государственных услуг, обороны, обеспечения государственной безопасности, правопорядка, топливно-энергетического комплекса (атомной энергетики), в химической, нефтехимической отраслях, металлургии, водопользования и водоснабжения, сельского хозяйства, здравоохранения, жилищно-коммунального обслуживания, банковско-финансовой системы, сферах транспорта, информационно-коммуникационных технологий, экологии и охраны окружающей среды, добычи и переработки полезных ископаемых стратегического значения, производственной сфере и других отраслях экономики и социальной сфере;

субъекты критической информационной инфраструктуры — государственные органы и организации, а также юридические лица, владеющие объектами критической информационной инфраструктуры на правах собственности, аренды или на других законных основаниях, в том числе юридические лица и (или) индивидуальные предприниматели, обеспечивающие эксплуатацию и взаимодействие объектов критической информационной инфраструктуры;

кибербезопасность (объектов) критической информационной инфраструктуры — состояние защищенности, обеспечивающее устойчивое функционирование объекта критической информационной инфраструктуры и защиту от нарушения, которое может привести к возникновению инцидента кибербезопасности на объекте критической информационной инфраструктуры.

3. Обеспечение кибербезопасности объектов критической информационной инфраструктуры (далее — КИИ) основывается на принципах законности, непрерывности и комплексности киберзащиты, приоритетности выявления, предотвращения, оперативного реагирования и устранения последствий кибератаки.

4. Основными направлениями обеспечения кибербезопасности объектов КИИ являются:

осуществление государственной политики в области кибербезопасности объектов КИИ;

организационно-правовое регулирование деятельности по обеспечению кибербезопасности объектов КИИ;

установление требований в области обеспечения кибербезопасности объектов КИИ, организация их технической безопасности на всех этапах жизненного цикла — создание, эксплуатация, использование и модернизация;

оценка защищенности объектов КИИ, проведение мероприятий по выявлению угроз и уязвимостей кибербезопасности;

предупреждение кибератак, их предотвращение, принятие оперативных мер и устранение их последствий, обеспечение оперативного взаимодействия субъектов КИИ при расследовании инцидентов кибербезопасности;

организационное, материально-техническое и кадровое обеспечение кибербезопасности объектов КИИ;

пресечение попыток или прямых кибератак на объекты КИИ, разработка и подготовка к применению планов восстановления их стабильной работы в случае кибератак;

проведение научно-исследовательских и опытно-конструкторских работ по обеспечению кибербезопасности объектов КИИ.

5. Участниками государственной системы обеспечения кибербезопасности объектов КИИ являются:

уполномоченный государственный орган в области кибербезопасности в Республике Узбекистан — Служба государственной безопасности Республики Узбекистан (далее — уполномоченный государственный орган);

рабочий орган уполномоченного государственного органа (далее — рабочий орган);

Инспекция по контролю в сфере информатизации и телекоммуникаций при Министерстве цифровых технологий Республики Узбекистан (далее — «Узкомназорат»);

субъекты КИИ.

Обеспечение кибербезопасности объектов КИИ Республики Узбекистан осуществляется в соответствии с прилагаемой организационной схемой.

6. Отношения в сфере обеспечения кибербезопасности объектов КИИ регулируются Конституцией и законами Республики Узбекистан, указами, постановлениями и распоряжениями Президента Республики Узбекистан, постановлениями и распоряжениями Кабинета Министров, а также настоящим Положением и иными актами законодательства.

Глава 2. Задачи уполномоченного государственного органа и «Узкомназорат» в области обеспечения кибербезопасности объектов критической информационной инфраструктуры

7. Уполномоченный государственный орган:

вырабатывает решения по созданию системы кибербезопасности объектов КИИ, а также обеспечению бесперебойной работы и развитию технической инфраструктуры;

вносит предложения в секретариат Совета безопасности при Президенте Республики Узбекистан по совершенствованию нормативно-правового регулирования в области обеспечения кибербезопасности (объектов) КИИ;

координирует деятельность по выявлению, предупреждению, оперативному реагированию, устранению их последствий кибератак и обеспечению кибербезопасности объектов КИИ;

формирует и ведет единый государственный реестр объектов КИИ (далее — реестр);

осуществляет надзор за соблюдением законодательства в области кибербезопасности объектов КИИ, обрабатывающих сведения, которые составляют государственную тайну;

организует и осуществляет систему аттестации объектов КИИ в соответствии с законодательством;

регулирует организацию и проведение изучений и проверок совместно с рабочим органом и «Узкомназорат» по определению состояния обеспечения кибербезопасности объектов КИИ;

определяет порядок обмена информацией об инцидентах кибербезопасности в рамках взаимодействия с субъектами КИИ, правоохранительными органами, уполномоченным государственным органом, а также субъектами КИИ и уполномоченными органами иностранных государств, международными негосударственными организациями, осуществляющими деятельность в сфере реагирования на инциденты кибербезопасности;

устанавливает и координирует реализацию требований к применению мер по выявлению, предотвращению кибератак и устранению их последствий, реагированию на инциденты кибербезопасности на объектах КИИ;

выявляет, собирает и анализирует информацию о возможных угрозах кибербезопасности объектов КИИ и об их уязвимостях;

совместно с субъектами КИИ разрабатывает планы по предотвращению попыток или прямых кибератак на объекты КИИ, а также по восстановлению стабильной работы объектов в случае инцидента кибербезопасности, проводит по ним плановые учения.

8. Уполномоченный государственный орган в пределах своих полномочий участвует в международных мероприятиях в области обеспечения кибербезопасности КИИ и осуществляет обмен информацией об угрозах кибербезопасности и инцидентах кибербезопасности в соответствии с международными договорами.

9. «Узкомназорат»:

осуществляет надзор за соблюдением законодательства в области кибербезопасности объектов КИИ, обрабатывающих информацию, не содержащую государственную тайну;

совместно с рабочим органом проверяет, изучает и контролирует выполнение субъектами КИИ требований нормативных документов в сфере технического регулирования в области обеспечения кибербезопасности объектов КИИ;

участвует в разработке предложений и рекомендаций по совершенствованию нормативно-правовой базы в области обеспечения кибербезопасности объектов КИИ;

в пределах своих полномочий дает указания субъектам КИИ по устранению выявленных слабых сторон и недостатков в обеспечении кибербезопасности объектов КИИ;

участвует в деятельности межведомственных консультативно-совещательных органов, международных семинарах, научно-технических конференциях, симпозиумах, встречах и выставках по вопросам обеспечения кибербезопасности объектов КИИ.

Глава 3. Задачи рабочего органа в области обеспечения кибербезопасности объектов критической информационной инфраструктуры

10. В соответствии с решениями уполномоченного государственного органа на рабочий орган возлагаются задачи по созданию системы кибербезопасности объектов КИИ, а также по обеспечению ее бесперебойного функционирования и развитию технической инфраструктуры.

Рабочий орган:

в централизованном порядке собирает и анализирует информацию о современных угрозах кибербезопасности с целью выработки рекомендаций и предложений по оперативному принятию эффективных организационных и программно-технических решений в предотвращении кибератак на объекты КИИ;

оказывает содействие защите от возможных кибератак и обеспечению бесперебойного функционирования объектов КИИ;

внедряет средства выявления, предотвращения и устранения последствий кибератак на объекты КИИ;

взаимодействует с правоохранительными органами по реагированию на инциденты кибербезопасности и киберугрозы на объектах КИИ;

координирует деятельность подразделений кибербезопасности субъектов КИИ и оказывает содействие в расследовании инцидентов кибербезопасности на объектах КИИ;

обеспечивает методологическое содействие деятельности субъектов КИИ по защите объектов КИИ от кибератак и принятию мер против инцидентов кибербезопасности;

проводит аудит, аттестацию и экспертизу объектов КИИ на соответствие техническим поручениям и требованиям кибербезопасности;

сертифицирует телекоммуникационное оборудование, аппаратные, программно-аппаратные средства по защите информации, используемые на объектах КИИ, на соответствие требованиям нормативных документов в области технического регулирования;

обеспечивает переподготовку и повышение квалификации специалистов субъектов КИИ, ответственных за обеспечение кибербезопасности;

оказывает содействие в разработке и реализации политики информационной безопасности на объектах КИИ;

совместно с уполномоченным государственным органом изучает и проверяет состояние кибербезопасности на объектах КИИ;

участвует в международных мероприятиях по вопросам обеспечения кибербезопасности объектов КИИ и организует научно-технические конференции, симпозиумы, совещания, выставки, в том числе готовит информационно-аналитические материалы.

Глава 4. Права и обязанности субъектов критической информационной инфраструктуры

11. Субъекты КИИ имеют следующие права:

получение от уполномоченного государственного органа информации по обеспечению кибербезопасности объектов КИИ, в том числе о киберугрозах данным, обрабатываемым такими объектами, и уязвимостях в программном обеспечении, устройствах и технологиях, используемых на таких объектах;

создание собственных подразделений кибербезопасности, разработка и реализация мероприятий по обеспечению кибербезопасности объектов КИИ.

12. Субъекты КИИ обязаны:

соблюдать требования нормативно-правовых актов в области кибербезопасности объектов КИИ и нормативных документов в области технического регулирования;

незамедлительно уведомлять уполномоченный государственный орган и рабочий орган об инцидентах кибербезопасности в установленном порядке;

оказывать содействие уполномоченному государственному органу и рабочему органу в обнаружении и предотвращении кибератак, устранении их последствий, выявлении причин и условий возникновения инцидентов кибербезопасности;

уведомлять уполномоченный государственный орган о случаях неправомерного вмешательства государственных органов в процесс обеспечения кибербезопасности объектов КИИ;

по согласованию с уполномоченным государственным органом устанавливать и поддерживать за свой счет средства, предназначенные для обнаружения и предотвращения кибератак, устранения их последствий, реагирования на инциденты кибербезопасности;

обеспечивать полноценную работу средств, предназначенных для обнаружения и предотвращения кибератак, устранения их последствий на объектах КИИ в соответствии с установленными требованиями;

реагировать на инциденты кибербезопасности в порядке, утвержденном уполномоченным государственным органом, принимать меры по устранению последствий кибератак, совершенных на объекты КИИ, участвовать в расследовании инцидентов кибербезопасности;

обеспечивать беспрепятственный доступ на объекты КИИ должностным лицам уполномоченного государственного органа, рабочего органа и «Узкомназорат» в процессе осуществления ими полномочий, предусмотренных настоящим Положением;

по согласованию с уполномоченным государственным органом и рабочим органом предотвращать возможные киберугрозы на объектах КИИ и разрабатывать планы по восстановлению стабильного функционирования объектов КИИ в случае кибератак;

участвовать в плановых учениях, организуемых уполномоченным государственным органом и рабочим органом.

13. Субъекты КИИ могут иметь иные права и нести иные обязанности в соответствии с законодательством.

Глава 5. Система кибербезопасности объектов критической информационной инфраструктуры

14. Субъекты КИИ создают систему кибербезопасности объектов КИИ и обеспечивают ее функционирование.

15. Основными задачами системы кибербезопасности объектов КИИ являются:

предотвращение неправомерного использования, удаления, изменения, блокирования (ограничения), копирования, предоставления и распространения информации, обрабатываемой на объектах КИИ, а также иных неправомерных действий;

недопущение воздействия на аппаратные, программные и программно-аппаратные средства обработки информации, способного вызвать нарушение и (или) остановку работы объектов КИИ;

восстановление работы объектов КИИ путем резервирования телекоммуникационных сетей, информационных ресурсов и системы жизнедеятельности.

Глава 6. Заключительные положения

16. Внедрение государственной системы обеспечения кибербезопасности объектов КИИ и контроль над ее бесперебойной работой осуществляется секретариатом Совета безопасности при Президенте Республики Узбекистан.

17. Лица, виновные в нарушении требований настоящего Положения, несут ответственность в соответствии с законодательством Республики Узбекистан.

ПРИЛОЖЕНИЕ № 2 к постановлению Президента Республики Узбекистан от 31 мая 2023 года № ПП-167

по обеспечению кибербезопасности объектов критической информационной инфраструктуры Республики Узбекистан

Глава 1. Основные положения

1. Настоящие Требования определяют общие требования по обеспечению кибербезопасности объектов критической информационной инфраструктуры (далее — КИИ) Республики Узбекистан.

2. Субъект КИИ обеспечивает кибербезопасность принадлежащего ему объекта КИИ в соответствии с Законом Республики Узбекистан «О кибербезопасности», настоящими Требованиями и иными нормативно-правовыми актами законодательства.

Глава 2. Основные требования по обеспечению кибербезопасности объектов КИИ

3. К объектам КИИ предъявляются следующие требования обеспечения кибербезопасности:

создание системы эффективного обеспечения кибербезопасности объекта КИИ;

предотвращение несанкционированного использования информации в информационной системе, ее уничтожения, модификации, блокирования (ограничения), копирования, предоставления и распространения, а также иных действий, приводящих к нарушению и (или) прекращению деятельности объектов КИИ;

соответствие параметров системы обеспечения кибербезопасности требованиям технических регламентов, внедрение мероприятий по обеспечению кибербезопасности и бесперебойной работы объекта КИИ;

наличие возможности быстрого восстановления системы киберзащиты в случае инцидента кибербезопасности;

эффективно налаженная система мониторинга, аудита и анализа кибератак, выявления, принятия мер и устранение их последствий;

наличие документов по кибербезопасности и кибербезопасности объекта КИИ и его эксплуатации.

4. Руководитель объекта КИИ является ответственным за обеспечение его кибербезопасности. В установленном порядке руководителем объекта КИИ назначаются специалисты или структурное подразделение, ответственные за обеспечение функционирования системы защиты, обеспечивающей кибербезопасность на объекте.

5. Руководитель объекта КИИ утверждает политику обеспечения информационной безопасности объекта, положения, инструкции, требования, порядок применения средств защиты, организации и контроля над работой системы защиты, обеспечивающей кибербезопасность, а также принимает меры по их постоянному совершенствованию.

6. У объекта КИИ должны быть следующие документы:

документы, подтверждающие назначение руководителем кибербезопасности и объекта КИИ ответственных за обеспечение работы системы киберзащиты на объекте специалистов и/или наличие структурного подразделения киберзащиты;

документы, подтверждающие утверждение и постоянное совершенствование политики информационной безопасности кибербезопасности и объекта КИИ, положений, инструкций, требований, порядка применения средств защиты, организации и контроля работы системы киберзащиты;

мониторинг состояния кибербезопасности и важных показателей информационных систем, а также документы, подтверждающие анализ угроз информационной безопасности и возможных способов (сценариев) и моделей их реализации, ее слабых сторон, принятие мер по предупреждению и устранению последствий инцидентов кибербезопасности;

документы, подтверждающие опытную эксплуатацию системы и подсистем киберзащиты, приемо-сдаточные испытания и практику испытаний системы киберзащиты;

документы, подтверждающие повышение знаний и практических навыков сотрудников по обеспечению информационной безопасности и кибербезопасности;

утвержденные рабочие или эксплуатационные документы по обеспечению кибербезопасности объекта КИИ;

документы, подтверждающие проведение плановых и внеплановых проверок состояния системы защиты в соответствии с нормативными документами в области технического регулирования в сфере информационной и кибербезопасности;

документы, подтверждающие соблюдение правил, регламентирующих процесс ввоза и вывоза, хранения, передачи и списания всех носителей информации на территорию объекта;

документы, подтверждающие выполнение мероприятий по обеспечению кибербезопасности, определенных годовыми планами.

7. Все аппаратные технические, программно-аппаратные и программные средства, обеспечивающие кибербезопасность объектов КИИ, должны иметь необходимые сертификаты соответствия и соответствовать законодательству по кибербезопасности.

8. Помимо требований по обеспечению кибербезопасности объектов КИИ дополнительно предусматриваются:

планирование, разработка, совершенствование и введение мероприятий по обеспечению кибербезопасности объектов КИИ;

принятие организационных, правовых и технических мер по обеспечению кибербезопасности объектов КИИ;

определение показателей и характеристик аппаратных технических, программно-аппаратных и программных средств, используемых для обеспечения кибербезопасности объектов КИИ.

9. Органы государственной власти и управления, объединения, предприятия, учреждения и организации по согласованию с уполномоченным государственным органом и его рабочим органом могут устанавливать дополнительные требования к разработке политики информационной безопасности, при ее реализации, средствам обеспечения кибербезопасности объектов КИИ, исходя из особенностей деятельности объектов.

Глава 3. Требования к средствам обеспечения безопасности конфиденциальной и секретной информации, обрабатываемой в автоматизированных и информационных системах объекта КИИ

10. Система защиты кибербезопасности должна обеспечить:

недопущение несанкционированного использования, уничтожения, изменения, блокирования (ограничения), копирования, представления, распространения и иных подобных действий с данными, обрабатываемыми средствами КИИ;

предотвращение информационного воздействия на аппаратные, программно-аппаратные и программные средства, способного привести к неисправности и/или остановке деятельности объекта КИИ;

обеспечение полноценного функционирования объекта КИИ в условиях угроз кибербезопасности информации, не составляющей государственные секреты и охраняемой законодательством (далее — конфиденциальная информация);

обеспечить возможность восстановления работы объекта КИИ.

11. В автоматизированных и информационных системах подлежат защите:

все обрабатываемые данные;

аппаратные, программно-аппаратные и программные средства, в том числе компьютерные запоминающие устройства, рабочие станции, сервера, телекоммуникационное оборудование, линии связи, средства обработки графической, видео- и речевой информации;

программное обеспечение программно-аппаратных средств;

архитектура и конфигурация информационных систем.

12. В сетях телекоммуникаций подлежат защите:

данные, передаваемые по линиям связи;

телекоммуникационное оборудование, в том числе программное обеспечение, система управления;

встроенное защитное оборудование;

целостность архитектуры и конфигурации телекоммуникационной сети.

13. В автоматизированных системах управления подлежат защите:

информация о параметрах и состоянии контролируемого объекта или процесса, включая входные и выходные данные, управленческие данные, контрольно-измерительные и другие важные данные;

программное и аппаратное обеспечение, включая рабочие станции, промышленные сервера, телекоммуникационное оборудование, линии связи, программируемые логические контроллеры, производственное, технологическое оборудование;

программное обеспечение программно-аппаратных средств;

встроенное защитное оборудование;

архитектура автоматизированной системы управления и конфигурация.

14. Одним из обязательных критериев реализации мер безопасности является учет угроз кибербезопасности всем объектам и субъектам доступа на аппаратном, системном, программном и сетевом уровнях, в том числе в виртуализированной среде.

15. В зависимости от угроз кибербезопасности в устройствах обработки конфиденциальной и секретной информации на объектах КИИ должны быть реализованы следующие меры:

идентификация и аутентификация на каждом этапе получения доступа к элементам подсистемы или других систем;

управление доступом к файлам, системам и устройствам;

ограничение программной среды для пользователя, не имеющего полномочий на управление информационной инфраструктурой;

защита средств, несущих конфиденциальную и секретную информацию;

проведение аудита кибербезопасности систем, программ, в том числе программных и программно-аппаратных ресурсов;

защита объекта КИИ информационных активов от вредоносного программного обеспечения;

обнаружение, предотвращение и устранение последствий кибератак;

обеспечение целостности всех данных, передаваемых устройствами, вне зависимости от назначения применения;

обеспечение доступа и защиту данных для пользователей системы в зависимости от позиции пользователя в деятельности объекта КИИ;

обеспечение безопасности технических средств защиты информации;

управление конфигурацией;

своевременное управление обновлениями программного обеспечения;

своевременное реагирование на инциденты кибербезопасности;

выполнение необходимых действий в чрезвычайных ситуациях;

хранение резервной копии критичных данных, целостность, конфиденциальность и доступность которых связаны с работой и безопасностью объекта КИИ;

состояние кибербезопасности, несанкционированный доступ постоянный мониторинг и анализ попыток изменения информации;

внедрение механизмов быстрого восстановления данных;

аттестация сертификация объекта на соответствие требованиям кибербезопасности.

Глава 4. Заключение

16. Лица, виновные в нарушении указанных требований, несут ответственность в соответствии с актами законодательства.

Президент Республики Узбекистан Ш. МИРЗИЁЕВ

г. Ташкент,

31 мая 2023 г.,

№ ПП-167

(Национальная база данных законодательства, 02.06.2023 г., № 07/23/167/0321)

lex.uz