📅 2023-yil 4-sentabr · Vazirlik va idoralar hujjatlari · Davlat xavfsizlik xizmati raisi
Rasmiy matn. Rasmiy hujjat. Tahririy izohlar kiritilmagan.
UzbekAI
📅 2023 йил 4 сентябрь · Вазирлик ва идоралар ҳужжатлари · Давлат хавфсизлик хизмати раиси
Расмий матн. Расмий ҳужжат. Таҳририй изоҳлар киритилмаган.
📅 4 сентября 2023 г. · Документы министерств и ведомств · Председатель службы государственной безопасности
Официальный текст. Официальный документ. Редакционные примечания не включены.
📅 4 September 2023 · Ministry and agency documents · Davlat xavfsizlik xizmati raisi
Official text. Official document. Editorial notes are not included.
Ўзбекистон Республикаси Давлат хавфсизлик хизмати раисининг
буйруғи
НИЗОМ
Ўзбекистон Республикаси киберхавфсизлик ва муҳим ахборот инфратузилмаси объектларининг киберхавфсизлигини таъминлаш даражасини баҳолаш тартиби тўғрисидаги низомни тасдиқлаш ҳақида
Ўзбекистон Республикасининг «Киберхавфсизлик тўғрисида»ги Қонуни , Ўзбекистон Республикаси Президентининг 2020 йил 15 июндаги ПФ-6007-сон «Ўзбекистон Республикаси ахборот тизимлари ва ресурсларини ҳимоя қилиш давлат тизимини жорий этиш чора-тадбирлари тўғрисида»ги Фармони, Ўзбекистон Республикаси Президентининг 2020 йил 15 июндаги ПҚ-4751-сон «Ўзбекистон Республикасида киберхавфсизликни таъминлаш тизимини янада такомиллаштириш чора-тадбирлари тўғрисида»ги қарорига мувофиқ буюраман:
1. Ўзбекистон Республикаси киберхавфсизлик ва муҳим ахборот инфратузилмаси объектларининг киберхавфсизлигини таъминлаш даражасини баҳолаш тартиби тўғрисидаги низом иловага мувофиқ тасдиқлансин.
2. Мазкур буйруқ Ўзбекистон Республикаси Рақамли технологиялар вазирлиги билан келишилган.
3. Мазкур буйруқ расмий эълон қилинган кундан эътиборан кучга киради.
Ўзбекистон Республикаси Давлат хавфсизлик хизмати раисининг 2023 йил 4 сентябрдаги 91-сон буйруғига ИЛОВА
Ўзбекистон Республикаси киберхавфсизлик ва муҳим ахборот инфратузилмаси объектларининг киберхавфсизлигини таъминлаш даражасини баҳолаш тартиби тўғрисидаги
Мазкур Низом Ўзбекистон Республикаси киберхавфсизлик ва муҳим ахборот инфратузилмаси объектларининг киберхавфсизлигини таъминлаш даражасини баҳолаш (бундан буён матнда баҳолаш деб юритилади) тартибини белгилайди.
1-боб. Умумий қоидалар
1. Мазкур Низомда қуйидаги тушунчалар қўлланилади:
киберхавфсизлик — кибермаконда шахс, жамият ва давлат манфаатларининг ташқи ва ички таҳдидлардан ҳимояланганлик ҳолати;
киберхавфсизлик объекти — ахборотнинг киберҳимоя қилинишини ҳамда миллий ахборот тизимлари ва ресурсларининг киберхавфсизлигини таъминлашга доир фаолиятда фойдаланиладиган ахборот тизимлари мажмуи, шу жумладан муҳим ахборот инфратузилмаси объектлари;
киберҳимоя — киберхавфсизлик ҳодисаларининг олдини олишга, киберҳужумларни аниқлашга ва улардан ҳимоя қилишга, киберҳужумларнинг оқибатларини бартараф этишга, телекоммуникация тармоқлари, ахборот тизимлари ҳамда ресурслари фаолиятининг барқарорлигини ва ишончлилигини тиклашга қаратилган ҳуқуқий, ташкилий, молиявий-иқтисодий, муҳандислик-техник чора-тадбирлар, шунингдек маълумотларни криптографик ва техник жиҳатдан ҳимоя қилиш чора-тадбирлари мажмуи;
киберҳужум — кибермаконда аппарат, аппарат-дастурий ва дастурий воситалардан фойдаланган ҳолда қасддан амалга ошириладиган, киберхавфсизликка таҳдид соладиган ҳаракат;
муҳим ахборот инфратузилмаси — муҳим стратегик ва ижтимоий-иқтисодий аҳамиятга эга бўлган автоматлаштирилган бошқарув тизимларининг, ахборот тизимлари ҳамда тармоқлар ва технологик жараёнлар ресурсларининг мажмуи;
муҳим ахборот инфратузилмаси объектлари — давлат бошқаруви ва давлат хизматлари кўрсатиш, мудофаа, давлат хавфсизлигини, ҳуқуқ-тартиботни таъминлаш, ёқилғи-энергетика мажмуи (атом энергетикаси), кимё, нефть-кимё тармоқлари, металлургия, сувдан фойдаланиш ва сув таъминоти, қишлоқ хўжалиги, соғлиқни сақлаш, уй-жой коммунал хизматлар кўрсатиш, банк-молия тизими, транспорт, ахборот-коммуникация технологиялари, экология ва атроф-муҳитни муҳофаза қилиш, стратегик аҳамиятига эга бўлган фойдали қазилмаларни қазиб олиш ва қайта ишлаш соҳасида, ишлаб чиқариш соҳасида, шунингдек иқтисодиётнинг бошқа тармоқларида ва ижтимоий соҳада қўлланиладиган ахборотлаштириш тизимлари.
2. Баҳолаш киберхавфсизлик ва муҳим ахборот инфратузилмаси объектларини жорий қилиш, улардан фойдаланиш ва/ёки ривожлантириш жараёнида тизимли равишда амалга оширилади.
2-боб. Баҳолаш ўтказиш тартиби
3. Баҳолаш киберхавфсизлик ва муҳим ахборот инфратузилмаси объектлари раҳбарларининг Ўзбекистон Республикаси Давлат хавфсизлик хизматига (бундан буён матнда ваколатли давлат органи деб юритилади) тақдим қилган мурожаатига мувофиқ ўтказилади. Бунда, мурожаатга мазкур Низомнинг 3-бобида белгиланган талабларнинг бажарилганлигини кўрсатувчи маълумотлар илова қилинади.
Баҳолаш бевосита ваколатли давлат органи ташаббусига кўра ёки унинг ёзма топшириғи асосида ваколатли давлат органининг ишчи органи — «Киберхавфсизлик маркази» ДУК (бундан буён матнда ишчи орган деб юритилади) томонидан амалга оширилиши мумкин.
Бунда, баҳолаш уч ойгача бўлган муддатда амалга оширилади, шунингдек киберхавфсизлик ва муҳим ахборот инфратузилмаси объектларини баҳолаш жараёнининг мураккаблик даражасидан келиб чиқиб, ушбу муддат ваколатли давлат органи ёки ишчи орган раҳбари томонидан кейинги уч ойгача узайтирилиши мумкин.
4. Баҳолаш жараёнида ваколатли давлат органи ёки ишчи органи томонидан киберхавфсизлик ва муҳим ахборот инфратузилмаси объектларининг киберхавфсизлигига салбий таъсир этувчи таҳдидлар мавжудлиги ўрганилади.
5. Баҳолаш жараёнида амалга ошириладиган ишлар автоматлаштирилган дастурий воситалардан фойдаланган ҳолда ҳам амалга оширилиши мумкин.
3-боб. Баҳолаш усуллари
6. Баҳолаш жараёнида ваколатли давлат органи ёки ишчи органи томонидан қуйидаги киберхавфсизликни амалга ошириш ҳолатлари ўрганилади:
киберҳимояни таъминлаш тизимининг самарадорлиги;
маълумот ва уни қайта ишловчи объектлардан рухсатсиз фойдаланишни олдини олиш чораларининг жорий этилганлиги;
киберҳимояни таъминлаш тизими параметрларининг техник регламентлар талабларига мувофиқлиги, киберхавфсизлик ва муҳим ахборот инфратузилмаси объектининг узлуксиз фаолият юритишини таъминловчи чора-тадбирлар жорий этилганлиги;
киберхавфсизлик ҳодисаси рўй берганда киберҳимояни таъминлаш тизимининг тезкор тиклаш имконияти мавжудлиги;
киберҳужумларни мониторинг, аудит ва таҳлил қилиш, аниқлаш, чора кўриш ҳамда асоратларини бартараф этиш тизимининг йўлга қўйилганлиги;
киберхавфсизлик ва муҳим ахборот инфратузилмаси объектини киберхавфсизлигини ва унинг эксплуатациясини таъминловчи ҳужжатларнинг мавжудлиги;
киберхавфсизликни таъминлаш билан боғлиқ лавозимларга мутахассисларнинг тайинланганлиги;
конфиденциал маълумотлар ҳимоясининг таъминланганлиги.
7. Киберҳимояни таъминлаш тизимининг самарадорлиги қуйидаги ҳолатлар асосида баҳоланади:
автоматлаштирилган бошқарув тизими архитектураси ва конфигурациясининг киберхавфсизлик талабларига мувофиқлиги;
киберхавфсизликни таъминлаш воситаларининг ахборот ва киберхавфсизлик талабларига мувофиқлик сертификатининг мавжудлиги;
ахборот тизими ва ресурсларининг киберхавфсизлик талабларига мувофиқ комплекс экспертизадан ўтказилганлиги ҳақидаги хулосанинг мавжудлиги;
бошқариладиган (кузатиладиган) объект ёки жараённинг параметрлари (ҳолати) тўғрисидаги маълумотлар, шу жумладан кириш (чиқиш) маълумотлари, бошқарув ва буйруқ тусдаги маълумотлари, назорат ва ўлчов маълумотлари ҳамда бошқа муҳим (технологик) маълумотларда киберхавфсизликнинг таъминланганлиги;
маълумотларни қайта ишловчи дастурий таъминот ва аппарат воситалари, шу жумладан иш станциялари, серверлар, телекоммуникация ускуналари, алоқа линиялари, дастурлаштириладиган мантиқий текширгичлар, ишлаб чиқариш ва технологик ускуналар киберхавфсизлигининг таъминланганлиги.
8. Маълумот ва уни қайта ишловчи объектлардан рухсатсиз фойдаланишни олдини олиш чораларининг жорий этилганлиги қуйидаги ҳолатлар асосида баҳоланади:
сертификатланган тармоқлараро экран мавжудлиги ва уни тегишли техник жиҳатдан тартибга солиш соҳасидаги норматив ҳужжатларга мувофиқ созланганлиги;
тармоқ ҳужумларини аниқлаш ва олдини олувчи сертификатланган тизимлар мавжудлиги ва уни тегишли техник жиҳатдан тартибга солиш соҳасидаги норматив ҳужжатларга мувофиқ созланганлиги;
конфиденциал маълумотлар чиқиб кетишини олдини олишнинг сертификатланган тизимининг мавжудлиги ва уни тегишли техник жиҳатдан тартибга солиш соҳасидаги норматив ҳужжатларга мувофиқ созланганлиги;
дастурий, аппарат-дастурий ва аппарат воситаларини қўллаш натижасида киберхавфсизлик ва муҳим ахборот инфратузилмаси объектларининг фаолиятини бузилиши ва/ёки тўхташи мумкин бўлган таҳдидларга қарши чора кўрилганлиги;
конфиденциал маълумотларнинг ахборот ва киберхавфсизлигини таъминлашнинг сертификатланган тизимини татбиқ этилганлиги.
9. Киберҳимояни таъминлаш тизими параметрларининг техник регламентлар талабларига мувофиқлиги, киберхавфсизлик ва муҳим ахборот инфратузилмаси объектларининг узлуксиз фаолият юритишини таъминловчи чора-тадбирлар жорий этилганлиги қуйидаги ҳолатлар бўйича баҳоланади:
кафолатланган узлуксиз электр таъминоти ва унинг муқобил манбаларининг мавжудлиги, уларнинг созлигини ўрганиш бўйича синовлар ўтказилганлиги;
маълумотларни қайта ишлаш тизимининг узлуксиз ишлашини таъминловчи ускуна ва дастурий таъминот захираси мавжудлиги;
маълумотлар базаси ва созланма маълумотларининг захира нусхаларини ўрнатилган тартибда олиниши ва сақланишининг таъминланганлиги.
10. Киберхавфсизлик ҳодисаси рўй берганда киберҳимояни таъминлаш тизимининг тезкор тиклаш имконияти мавжудлиги қуйидаги ҳолатлар асосида баҳоланади:
киберҳимояни таъминлаш тизимининг ишчи ҳолатини тиклаш бўйича амалга ошириладиган хатти-ҳаракатлар ва масъул шахсларнинг вазифаларини белгиловчи йўриқноманинг мавжудлиги ва самарадорлиги;
киберҳимояни таъминлаш тизимининг захира нусхаларини ўрнатилган тартибда олиниши ва сақланишининг таъминланганлиги;
киберҳимояни таъминлаш тизимининг тўлиқ қайта тикланиши, шу жумладан, захира нусхаси орқали таъминланганлиги.
11. Киберҳужумларни мониторинг, аудит ва таҳлил қилиш, аниқлаш, чора кўриш ҳамда асоратларини бартараф этиш тизимининг йўлга қўйилганлиги қуйидаги ҳолатлар асосида баҳоланади:
ҳодисаларни қайд этиш электрон журналининг юритилганлиги (камида сўнгги 3 ойлик муддат);
киберҳужумларни мониторинг, аудит ва таҳлил қилувчи тизимнинг ишлашининг таъминланганлиги (тест синови орқали ўрганиш ўтказилади);
киберҳужумларни аниқловчи, чора кўрувчи ва асоратларини бартараф этувчи тизимларнинг ишлашининг таъминланганлиги (тест синови орқали ўрганиш ўтказилади).
12. Киберхавфсизлик ва муҳим ахборот инфратузилмаси объектларининг киберхавфсизлигини ва унинг эксплуатациясини таъминловчи ҳужжатларнинг мавжудлиги қуйидаги ҳолатлар асосида баҳоланади:
киберхавфсизлик ва муҳим ахборот инфратузилмаси объекти раҳбари томонидан объектда киберҳимоя тизимининг ишлашини таъминлаш учун масъул мутахассислар тайинланганлиги ва/ёки таркибий бўлинманинг мавжудлиги;
киберхавфсизлик ва муҳим ахборот инфратузилмаси объектининг ахборот хавфсизлиги сиёсати, низомлари, кўрсатмалари, талаблари ҳамда ҳимоя воситаларидан фойдаланиш, киберҳимоя тизимининг ишлашини ташкил этиш ва назорат қилиш тартиби тасдиқланганлиги ва доимий такомиллаштириб борилганлиги;
ахборот тизимларининг киберхавфсизлик ҳолати ва муҳим кўрсаткичларининг мониторингини олиб бориш, шунингдек ахборот хавфсизлигига таҳдидлар, заифликлар ва уларни амалга ошириш (ҳосил қилиш) мумкин бўлган усуллар (сценарийлар) ва моделлар таҳлил қилинганлиги ҳамда киберхавфсизлик ҳодисаларига чора кўрилганлигини тасдиқловчи ҳужжатлар мавжудлиги;
киберҳимоя тизими ва тизим ости қисмларининг тажриба эксплуатацияси, қабул қилиш синовлари ҳамда киберҳимоя тизимини синовдан ўтказиш амалиётларини тасдиқловчи ҳужжатлар;
ходимларнинг ахборот ва киберхавфсизликни таъминлаш бўйича билими ва амалий тажрибасини ошириб боришини тасдиқловчи ҳужжатларнинг мавжудлиги;
киберхавфсизлик ва муҳим ахборот инфратузилмаси объекти киберхавфсизлигини таъминлаш бўйича тасдиқланган ишчи ёки эксплуатация ҳужжатларининг мавжудлиги;
ахборот ва киберхавфсизлик йўналишидаги техник жиҳатдан тартибга солиш соҳасидаги норматив ҳужжатларга мувофиқ ҳимоя тизимининг ҳолатини режали ва режадан ташқари ўрганиш амалиётини жорий этилганлигини тасдиқловчи ҳужжатларнинг мавжудлиги;
барча маълумот ташувчиларни (шу жумладан объект ҳудудига олиб кириш ва олиб чиқиш) сақлаш, узатиш ва муомаладан чиқариш жараёнини тартибга солувчи қоидаларга риоя қилинаётганлигини тасдиқловчи ҳужжатларнинг мавжудлиги;
йиллик режаларда белгиланган киберхавфсизликни таъминлашга оид тадбирларнинг ижро этилганлигини тасдиқловчи ҳужжатларнинг мавжудлиги.
13. Киберхавфсизлик ва муҳим ахборот инфратузилмаси объектларида киберхавфсизлигини таъминлаш билан боғлиқ лавозимларга шу соҳада касбий кўникмага эга ва малака оширилганлигини тасдиқловчи сертификатлари мавжуд бўлган ходимлар тайинланиши ўрганилади.
14. Киберхавфсизлик ва муҳим ахборот инфратузилмаси объектларининг автоматлаштирилган (ахборот) тизимларида қайта ишланаётган конфиденциал маълумотлар қонунчилик ҳамда техник жиҳатдан тартибга солиш соҳасидаги норматив ҳужжатларда белгиланган талабларга мувофиқ ҳимояланганлиги ўрганилади.
15. Баҳолаш жараёни якунлангандан сўнг мазкур Низомнинг 7 — 14-бандларидаги талабларнинг бажарилиш ҳолати юзасидан ваколатли давлат органи ёки ишчи орган томонидан икки нусхада далолатнома расмийлаштирилади. Бунда, далолатноманинг бир нусхаси баҳолаш ўтказилган муҳим ахборот инфратузилмаси объектининг масъул ходимига берилади.
Далолатномада бартараф этилиши лозим бўлган камчиликлар мавжуд бўлса, бунда баҳолаш ўтказилган муҳим ахборот инфратузилмаси объектининг ходимлари (мутахассислари) томонидан дарҳол ушбу камчиликларни бартараф этиш чоралари кўрилади, бу ҳақида тегишли маълумотнома тузилади ҳамда ваколатли давлат органи ва/ёки ишчи органга тақдим этилади.
16. Ваколатли давлат органи ва ишчи органи томонидан доимий равишда кибертаҳдидлар бўйича маълумотлар таҳлил қилиб борилади.
Бунда, аниқланган кибертаҳдидлар ва заифликлар бўйича ваколатли давлат органи ёки ишчи орган томонидан киберхавфсизлигини таъминлаш даражаси баҳоланган объектларни қайта баҳолаш тадбирлари мазкур Низомнинг 3-бандида белгиланган муддатларда амалга оширилиши мумкин.
4-боб. Якуний қоидалар
17. Муҳим ахборот инфратузилмаси объектлари, ваколатли давлат органи ва/ёки ишчи орган баҳолаш давомида олинган маълумотларнинг қонунчиликда белгиланган тартибда махфийлигини таъминлаш учун жавобгардир.
18. Мазкур Низом талаблари бузилишида айбдор бўлган шахслар қонунчилик ҳужжатларида белгиланган тартибда жавобгар бўладилар.
Раис А. АЗИЗОВ
Тошкент ш.,
2023 йил 4 сентябрь,
91-сон
Oʻzbekiston Respublikasi Davlat xavfsizlik xizmati raisining
buyrugʻi
NIZOM
Oʻzbekiston Respublikasi kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini taʼminlash darajasini baholash tartibi toʻgʻrisidagi nizomni tasdiqlash haqida
Oʻzbekiston Respublikasining “Kiberxavfsizlik toʻgʻrisida”gi Qonuni , Oʻzbekiston Respublikasi Prezidentining 2020-yil 15-iyundagi PF-6007-son “Oʻzbekiston Respublikasi axborot tizimlari va resurslarini himoya qilish davlat tizimini joriy etish chora-tadbirlari toʻgʻrisida”gi Farmoni, Oʻzbekiston Respublikasi Prezidentining 2020-yil 15-iyundagi PQ-4751-son “Oʻzbekiston Respublikasida kiberxavfsizlikni taʼminlash tizimini yanada takomillashtirish chora-tadbirlari toʻgʻrisida”gi qaroriga muvofiq buyuraman:
1. Oʻzbekiston Respublikasi kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini taʼminlash darajasini baholash tartibi toʻgʻrisidagi nizom ilovaga muvofiq tasdiqlansin.
2. Mazkur buyruq Oʻzbekiston Respublikasi Raqamli texnologiyalar vazirligi bilan kelishilgan.
3. Mazkur buyruq rasmiy eʼlon qilingan kundan eʼtiboran kuchga kiradi.
Oʻzbekiston Respublikasi Davlat xavfsizlik xizmati raisining 2023-yil 4-sentabrdagi 91-son buyrugʻiga ILOVA
Oʻzbekiston Respublikasi kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini taʼminlash darajasini baholash tartibi toʻgʻrisidagi
Mazkur Nizom Oʻzbekiston Respublikasi kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini taʼminlash darajasini baholash (bundan buyon matnda baholash deb yuritiladi) tartibini belgilaydi.
1-bob. Umumiy qoidalar
1. Mazkur Nizomda quyidagi tushunchalar qoʻllaniladi:
kiberxavfsizlik — kibermakonda shaxs, jamiyat va davlat manfaatlarining tashqi va ichki tahdidlardan himoyalanganlik holati;
kiberxavfsizlik obyekti — axborotning kiberhimoya qilinishini hamda milliy axborot tizimlari va resurslarining kiberxavfsizligini taʼminlashga doir faoliyatda foydalaniladigan axborot tizimlari majmui, shu jumladan muhim axborot infratuzilmasi obyektlari;
kiberhimoya — kiberxavfsizlik hodisalarining oldini olishga, kiberhujumlarni aniqlashga va ulardan himoya qilishga, kiberhujumlarning oqibatlarini bartaraf etishga, telekommunikatsiya tarmoqlari, axborot tizimlari hamda resurslari faoliyatining barqarorligini va ishonchliligini tiklashga qaratilgan huquqiy, tashkiliy, moliyaviy-iqtisodiy, muhandislik-texnik chora-tadbirlar, shuningdek maʼlumotlarni kriptografik va texnik jihatdan himoya qilish chora-tadbirlari majmui;
kiberhujum — kibermakonda apparat, apparat-dasturiy va dasturiy vositalardan foydalangan holda qasddan amalga oshiriladigan, kiberxavfsizlikka tahdid soladigan harakat;
muhim axborot infratuzilmasi — muhim strategik va ijtimoiy-iqtisodiy ahamiyatga ega boʻlgan avtomatlashtirilgan boshqaruv tizimlarining, axborot tizimlari hamda tarmoqlar va texnologik jarayonlar resurslarining majmui;
muhim axborot infratuzilmasi obyektlari — davlat boshqaruvi va davlat xizmatlari koʻrsatish, mudofaa, davlat xavfsizligini, huquq-tartibotni taʼminlash, yoqilgʻi-energetika majmui (atom energetikasi), kimyo, neft-kimyo tarmoqlari, metallurgiya, suvdan foydalanish va suv taʼminoti, qishloq xoʻjaligi, sogʻliqni saqlash, uy-joy kommunal xizmatlar koʻrsatish, bank-moliya tizimi, transport, axborot-kommunikatsiya texnologiyalari, ekologiya va atrof-muhitni muhofaza qilish, strategik ahamiyatiga ega boʻlgan foydali qazilmalarni qazib olish va qayta ishlash sohasida, ishlab chiqarish sohasida, shuningdek iqtisodiyotning boshqa tarmoqlarida va ijtimoiy sohada qoʻllaniladigan axborotlashtirish tizimlari.
2. Baholash kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarini joriy qilish, ulardan foydalanish va/yoki rivojlantirish jarayonida tizimli ravishda amalga oshiriladi.
2-bob. Baholash oʻtkazish tartibi
3. Baholash kiberxavfsizlik va muhim axborot infratuzilmasi obyektlari rahbarlarining Oʻzbekiston Respublikasi Davlat xavfsizlik xizmatiga (bundan buyon matnda vakolatli davlat organi deb yuritiladi) taqdim qilgan murojaatiga muvofiq oʻtkaziladi. Bunda, murojaatga mazkur Nizomning 3-bobida belgilangan talablarning bajarilganligini koʻrsatuvchi maʼlumotlar ilova qilinadi.
Baholash bevosita vakolatli davlat organi tashabbusiga koʻra yoki uning yozma topshirigʻi asosida vakolatli davlat organining ishchi organi — “Kiberxavfsizlik markazi” DUK (bundan buyon matnda ishchi organ deb yuritiladi) tomonidan amalga oshirilishi mumkin.
Bunda, baholash uch oygacha boʻlgan muddatda amalga oshiriladi, shuningdek kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarini baholash jarayonining murakkablik darajasidan kelib chiqib, ushbu muddat vakolatli davlat organi yoki ishchi organ rahbari tomonidan keyingi uch oygacha uzaytirilishi mumkin.
4. Baholash jarayonida vakolatli davlat organi yoki ishchi organi tomonidan kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarining kiberxavfsizligiga salbiy taʼsir etuvchi tahdidlar mavjudligi oʻrganiladi.
5. Baholash jarayonida amalga oshiriladigan ishlar avtomatlashtirilgan dasturiy vositalardan foydalangan holda ham amalga oshirilishi mumkin.
3-bob. Baholash usullari
6. Baholash jarayonida vakolatli davlat organi yoki ishchi organi tomonidan quyidagi kiberxavfsizlikni amalga oshirish holatlari oʻrganiladi:
kiberhimoyani taʼminlash tizimining samaradorligi;
maʼlumot va uni qayta ishlovchi obyektlardan ruxsatsiz foydalanishni oldini olish choralarining joriy etilganligi;
kiberhimoyani taʼminlash tizimi parametrlarining texnik reglamentlar talablariga muvofiqligi, kiberxavfsizlik va muhim axborot infratuzilmasi obyektining uzluksiz faoliyat yuritishini taʼminlovchi chora-tadbirlar joriy etilganligi;
kiberxavfsizlik hodisasi roʻy berganda kiberhimoyani taʼminlash tizimining tezkor tiklash imkoniyati mavjudligi;
kiberhujumlarni monitoring, audit va tahlil qilish, aniqlash, chora koʻrish hamda asoratlarini bartaraf etish tizimining yoʻlga qoʻyilganligi;
kiberxavfsizlik va muhim axborot infratuzilmasi obyektini kiberxavfsizligini va uning ekspluatatsiyasini taʼminlovchi hujjatlarning mavjudligi;
kiberxavfsizlikni taʼminlash bilan bogʻliq lavozimlarga mutaxassislarning tayinlanganligi;
konfidensial maʼlumotlar himoyasining taʼminlanganligi.
7. Kiberhimoyani taʼminlash tizimining samaradorligi quyidagi holatlar asosida baholanadi:
avtomatlashtirilgan boshqaruv tizimi arxitekturasi va konfiguratsiyasining kiberxavfsizlik talablariga muvofiqligi;
kiberxavfsizlikni taʼminlash vositalarining axborot va kiberxavfsizlik talablariga muvofiqlik sertifikatining mavjudligi;
axborot tizimi va resurslarining kiberxavfsizlik talablariga muvofiq kompleks ekspertizadan oʻtkazilganligi haqidagi xulosaning mavjudligi;
boshqariladigan (kuzatiladigan) obyekt yoki jarayonning parametrlari (holati) toʻgʻrisidagi maʼlumotlar, shu jumladan kirish (chiqish) maʼlumotlari, boshqaruv va buyruq tusdagi maʼlumotlari, nazorat va oʻlchov maʼlumotlari hamda boshqa muhim (texnologik) maʼlumotlarda kiberxavfsizlikning taʼminlanganligi;
maʼlumotlarni qayta ishlovchi dasturiy taʼminot va apparat vositalari, shu jumladan ish stansiyalari, serverlar, telekommunikatsiya uskunalari, aloqa liniyalari, dasturlashtiriladigan mantiqiy tekshirgichlar, ishlab chiqarish va texnologik uskunalar kiberxavfsizligining taʼminlanganligi.
8. Maʼlumot va uni qayta ishlovchi obyektlardan ruxsatsiz foydalanishni oldini olish choralarining joriy etilganligi quyidagi holatlar asosida baholanadi:
sertifikatlangan tarmoqlararo ekran mavjudligi va uni tegishli texnik jihatdan tartibga solish sohasidagi normativ hujjatlarga muvofiq sozlanganligi;
tarmoq hujumlarini aniqlash va oldini oluvchi sertifikatlangan tizimlar mavjudligi va uni tegishli texnik jihatdan tartibga solish sohasidagi normativ hujjatlarga muvofiq sozlanganligi;
konfidensial maʼlumotlar chiqib ketishini oldini olishning sertifikatlangan tizimining mavjudligi va uni tegishli texnik jihatdan tartibga solish sohasidagi normativ hujjatlarga muvofiq sozlanganligi;
dasturiy, apparat-dasturiy va apparat vositalarini qoʻllash natijasida kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarining faoliyatini buzilishi va/yoki toʻxtashi mumkin boʻlgan tahdidlarga qarshi chora koʻrilganligi;
konfidensial maʼlumotlarning axborot va kiberxavfsizligini taʼminlashning sertifikatlangan tizimini tatbiq etilganligi.
9. Kiberhimoyani taʼminlash tizimi parametrlarining texnik reglamentlar talablariga muvofiqligi, kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarining uzluksiz faoliyat yuritishini taʼminlovchi chora-tadbirlar joriy etilganligi quyidagi holatlar boʻyicha baholanadi:
kafolatlangan uzluksiz elektr taʼminoti va uning muqobil manbalarining mavjudligi, ularning sozligini oʻrganish boʻyicha sinovlar oʻtkazilganligi;
maʼlumotlarni qayta ishlash tizimining uzluksiz ishlashini taʼminlovchi uskuna va dasturiy taʼminot zaxirasi mavjudligi;
maʼlumotlar bazasi va sozlanma maʼlumotlarining zaxira nusxalarini oʻrnatilgan tartibda olinishi va saqlanishining taʼminlanganligi.
10. Kiberxavfsizlik hodisasi roʻy berganda kiberhimoyani taʼminlash tizimining tezkor tiklash imkoniyati mavjudligi quyidagi holatlar asosida baholanadi:
kiberhimoyani taʼminlash tizimining ishchi holatini tiklash boʻyicha amalga oshiriladigan xatti-harakatlar va masʼul shaxslarning vazifalarini belgilovchi yoʻriqnomaning mavjudligi va samaradorligi;
kiberhimoyani taʼminlash tizimining zaxira nusxalarini oʻrnatilgan tartibda olinishi va saqlanishining taʼminlanganligi;
kiberhimoyani taʼminlash tizimining toʻliq qayta tiklanishi, shu jumladan, zaxira nusxasi orqali taʼminlanganligi.
11. Kiberhujumlarni monitoring, audit va tahlil qilish, aniqlash, chora koʻrish hamda asoratlarini bartaraf etish tizimining yoʻlga qoʻyilganligi quyidagi holatlar asosida baholanadi:
hodisalarni qayd etish elektron jurnalining yuritilganligi (kamida soʻnggi 3 oylik muddat);
kiberhujumlarni monitoring, audit va tahlil qiluvchi tizimning ishlashining taʼminlanganligi (test sinovi orqali oʻrganish oʻtkaziladi);
kiberhujumlarni aniqlovchi, chora koʻruvchi va asoratlarini bartaraf etuvchi tizimlarning ishlashining taʼminlanganligi (test sinovi orqali oʻrganish oʻtkaziladi).
12. Kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini va uning ekspluatatsiyasini taʼminlovchi hujjatlarning mavjudligi quyidagi holatlar asosida baholanadi:
kiberxavfsizlik va muhim axborot infratuzilmasi obyekti rahbari tomonidan obyektda kiberhimoya tizimining ishlashini taʼminlash uchun masʼul mutaxassislar tayinlanganligi va/yoki tarkibiy boʻlinmaning mavjudligi;
kiberxavfsizlik va muhim axborot infratuzilmasi obyektining axborot xavfsizligi siyosati, nizomlari, koʻrsatmalari, talablari hamda himoya vositalaridan foydalanish, kiberhimoya tizimining ishlashini tashkil etish va nazorat qilish tartibi tasdiqlanganligi va doimiy takomillashtirib borilganligi;
axborot tizimlarining kiberxavfsizlik holati va muhim koʻrsatkichlarining monitoringini olib borish, shuningdek axborot xavfsizligiga tahdidlar, zaifliklar va ularni amalga oshirish (hosil qilish) mumkin boʻlgan usullar (ssenariylar) va modellar tahlil qilinganligi hamda kiberxavfsizlik hodisalariga chora koʻrilganligini tasdiqlovchi hujjatlar mavjudligi;
kiberhimoya tizimi va tizim osti qismlarining tajriba ekspluatatsiyasi, qabul qilish sinovlari hamda kiberhimoya tizimini sinovdan oʻtkazish amaliyotlarini tasdiqlovchi hujjatlar;
xodimlarning axborot va kiberxavfsizlikni taʼminlash boʻyicha bilimi va amaliy tajribasini oshirib borishini tasdiqlovchi hujjatlarning mavjudligi;
kiberxavfsizlik va muhim axborot infratuzilmasi obyekti kiberxavfsizligini taʼminlash boʻyicha tasdiqlangan ishchi yoki ekspluatatsiya hujjatlarining mavjudligi;
axborot va kiberxavfsizlik yoʻnalishidagi texnik jihatdan tartibga solish sohasidagi normativ hujjatlarga muvofiq himoya tizimining holatini rejali va rejadan tashqari oʻrganish amaliyotini joriy etilganligini tasdiqlovchi hujjatlarning mavjudligi;
barcha maʼlumot tashuvchilarni (shu jumladan obyekt hududiga olib kirish va olib chiqish) saqlash, uzatish va muomaladan chiqarish jarayonini tartibga soluvchi qoidalarga rioya qilinayotganligini tasdiqlovchi hujjatlarning mavjudligi;
yillik rejalarda belgilangan kiberxavfsizlikni taʼminlashga oid tadbirlarning ijro etilganligini tasdiqlovchi hujjatlarning mavjudligi.
13. Kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarida kiberxavfsizligini taʼminlash bilan bogʻliq lavozimlarga shu sohada kasbiy koʻnikmaga ega va malaka oshirilganligini tasdiqlovchi sertifikatlari mavjud boʻlgan xodimlar tayinlanishi oʻrganiladi.
14. Kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarining avtomatlashtirilgan (axborot) tizimlarida qayta ishlanayotgan konfidensial maʼlumotlar qonunchilik hamda texnik jihatdan tartibga solish sohasidagi normativ hujjatlarda belgilangan talablarga muvofiq himoyalanganligi oʻrganiladi.
15. Baholash jarayoni yakunlangandan soʻng mazkur Nizomning 7 — 14-bandlaridagi talablarning bajarilish holati yuzasidan vakolatli davlat organi yoki ishchi organ tomonidan ikki nusxada dalolatnoma rasmiylashtiriladi. Bunda, dalolatnomaning bir nusxasi baholash oʻtkazilgan muhim axborot infratuzilmasi obyektining masʼul xodimiga beriladi.
Dalolatnomada bartaraf etilishi lozim boʻlgan kamchiliklar mavjud boʻlsa, bunda baholash oʻtkazilgan muhim axborot infratuzilmasi obyektining xodimlari (mutaxassislari) tomonidan darhol ushbu kamchiliklarni bartaraf etish choralari koʻriladi, bu haqida tegishli maʼlumotnoma tuziladi hamda vakolatli davlat organi va/yoki ishchi organga taqdim etiladi.
16. Vakolatli davlat organi va ishchi organi tomonidan doimiy ravishda kibertahdidlar boʻyicha maʼlumotlar tahlil qilib boriladi.
Bunda, aniqlangan kibertahdidlar va zaifliklar boʻyicha vakolatli davlat organi yoki ishchi organ tomonidan kiberxavfsizligini taʼminlash darajasi baholangan obyektlarni qayta baholash tadbirlari mazkur Nizomning 3-bandida belgilangan muddatlarda amalga oshirilishi mumkin.
4-bob. Yakuniy qoidalar
17. Muhim axborot infratuzilmasi obyektlari, vakolatli davlat organi va/yoki ishchi organ baholash davomida olingan maʼlumotlarning qonunchilikda belgilangan tartibda maxfiyligini taʼminlash uchun javobgardir.
18. Mazkur Nizom talablari buzilishida aybdor boʻlgan shaxslar qonunchilik hujjatlarida belgilangan tartibda javobgar boʻladilar.
Rais A. AZIZOV
Toshkent sh.,
2023-yil 4-sentabr,
91-son