UzbekAI

Ўзбекистон Республикаси Марказий банки бошқарувининг

Қарори

НИЗОМ

Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчиларнинг тўлов тизимларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш ҳамда рақамли технологиялар воситасида содир этиладиган ҳуқуқбузарликларни олдини олиш чораларини кўриш тўғрисидаги низомни тасдиқлаш ҳақида

Ўзбекистон Республикасининг « Ўзбекистон Республикасининг Марказий банки тўғрисида »ги ва « Киберхавфсизлик тўғрисида »ги қонунлари, Ўзбекистон Республикаси Президентининг 2023 йил 30 ноябрдаги ПҚ-381-сон «Рақамли маҳсулотлар (хизматлар) истеъмолчилари ҳуқуқларини ҳимоя қилиш ва рақамли технологиялар воситасида содир этиладиган ҳуқуқбузарликларга қарши курашишни кучайтириш чоралари тўғрисида»ги қарорига мувофиқ Ўзбекистон Республикаси Марказий банки бошқаруви қарор қилади:

1. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчиларнинг тўлов тизимларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш ҳамда рақамли технологиялар воситасида содир этиладиган ҳуқуқбузарликларни олдини олиш чораларини кўриш тўғрисидаги низом иловага мувофиқ тасдиқлансин.

2. Ўзбекистон Республикаси Марказий банки бошқарувининг 2020 йил 11 июндаги 13/10-сон «Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчиларининг тўлов тизимларида ахборот хавфсизлигини таъминлаш тўғрисидаги низомни тасдиқлаш ҳақида»ги қарори (рўйхат рақами 3268, 2020 йил 30 июнь) (Қонун ҳужжатлари маълумотлари миллий базаси, 30.06.2020 й., 10/20/3268/1112-сон) ўз кучини йўқотган деб топилсин.

3. Мазкур қарор Ўзбекистон Республикаси Давлат хавфсизлик хизмати, Рақамли технологиялар вазирлиги, Ички ишлар вазирлиги, Истиқболли лойиҳалар миллий агентлиги ҳамда Электрон технологияларини ривожлантириш маркази билан келишилган.

4. Мазкур қарор расмий эълон қилинган кундан эътиборан уч ойдан кейин кучга киради.

Келишилди:

Ўзбекистон Республикаси Марказий банки бошқарувининг 2024 йил 24 апрелдаги 13/1-сон қарорига ИЛОВА

Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчиларнинг тўлов тизимларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш ҳамда рақамли технологиялар воситасида содир этиладиган ҳуқуқбузарликларни олдини олиш чораларини кўриш тўғрисидаги

Мазкур Низом тўлов тизими операторлари ва тўлов хизматларини етказиб берувчиларнинг тўлов тизимларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш ҳамда рақамли технологиялар воситасида содир этиладиган ҳуқуқбузарликларни олдини олишга доир талабларни белгилайди.

1-боб. Умумий қоидалар

1. Мазкур Низомда қуйидаги асосий тушунчалардан фойдаланилади:

авторизация — маълум шахсга ёки шахслар гуруҳига муайян ҳаракатларни амалга ошириш ҳуқуқини бериш;

аутентификация — фойдаланувчи, дастур, қурилма ёки маълумотларнинг ҳақиқийлигини тасдиқлаш тартиб-таомили;

идентификация — тўлов тизимлари субъектларига идентификатор тайинлаш ва/ёки белгиланган идентификаторлар рўйхати билан идентификаторларни таққослаш;

криптографик калит — электрон рақамли имзони ҳисоблаш ёки текшириш, шунингдек шифрлаш ва дастлабки матнга ўгириш учун қўлланиладиган символлар кетма-кетлиги;

масофавий хизмат кўрсатиш тизими — электрон хизматлардан фойдаланиш учун тўлов хизматларидан фойдаланувчи ва ушбу хизматларни етказиб берувчи ўртасидаги алоқани таъминлайдиган телекоммуникация воситалари, рақамли ва ахборот технологиялари, дастурий таъминот ва ускуналар мажмуи;

муҳим тўлов тизимлари операторлари — тўлов тизимининг ишидаги тўхталишлар (узилишлар) Ўзбекистон Республикаси тўлов хизматлари бозорида таваккалчиликларнинг пайдо бўлишига олиб келиши мумкин бўлган ҳамда Ўзбекистон Республикаси Марказий банки (бундан буён матнда Марказий банк деб юритилади) томонидан муҳим тўлов тизими жумласига киритилган тўлов тизимининг оператори ҳисобланган юридик шахс;

тўлов — пул мажбуриятини нақд пул маблағлари билан бажариш ёхуд пул маблағларини тўлов воситаларидан фойдаланган ҳолда ўтказиш;

тўлов агенти — банк ёки тўлов ташкилоти билан тўлов хизматлари кўрсатиш учун агентлик шартномасини тузган, банк ҳисобланмайдиган юридик шахс;

тўлов субагенти — тўлов агенти билан тўлов хизматларини кўрсатиш бўйича субагентлик шартномасини тузган, банк ҳисобланмайдиган юридик шахс ёки якка тартибдаги тадбиркор;

тўлов ташкилоти — банк ҳисобланмайдиган, тўлов хизматларини кўрсатиш бўйича фаолиятни амалга оширишга ваколатли бўлган юридик шахс;

тўлов тизимлари операторлари — Ўзбекистон Республикаси ҳудудида тўлов тизимининг ишлашини таъминлаш бўйича фаолиятни амалга оширувчи юридик шахс;

тўлов тизимининг иштирокчилари — тўлов тизими оператори билан ҳисоб-китобларни амалга оширувчи ва тўлов тизимларида иштирок этиш тўғрисида шартнома тузган банклар;

тўлов хизматларини етказиб берувчилар — Ўзбекистон Республикаси Марказий банки, банклар, тўлов ташкилотлари, тўлов агентлари, тўлов субагентлари;

клиринг — тўлов тизими иштирокчиларининг пулга доир ўзаро талаблари ва мажбуриятларини йиғиш, таққослаш ҳамда ҳисобга ўтказиш жараёни;

электрон пуллар — электрон пуллар эмитентининг электрон шаклда сақланадиган ҳамда электрон пуллар тизимида тўлов воситаси сифатида қабул қилинадиган шартсиз ва чақириб олинмайдиган пул мажбуриятлари;

ахборотлаштириш объекти — турли даражадаги ва мақсадлардаги ахборот тизимлари, телекоммуникация тармоқлари, ахборотга ишлов беришнинг техник воситалари, ушбу воситалар ўрнатилган ва ишлатиладиган хоналар, шунингдек музокаралар, шу жумладан махфий музокаралар олиб бориш учун мўлжалланган алоҳида хоналар;

антифрод тизими — банк карталари ва ҳисобварақлари, мобил иловалар аккаунтлари ҳамда электрон ҳамёнлар ёрдамида тўловларни амалга оширишда содир этиладиган фирибгарликни олдини олишга қаратилган жараёнлар йиғиндиси;

фрод — ахборот технологияларини қўллаган ҳолда содир этиладиган фирибгарлик ҳаракатлари;

ахборот хавфсизлиги — ахборот муносабатларининг субъектларига номақбул зиёнларни келтириши мумкин бўлган табиий ёки сунъий хусусиятли тасодифий ёки қасддан қилинган таъсирлардан ахборот ва таъминлаб турадиган инфратузилманинг муҳофаза қилинганлиги;

киберхавфсизлик — кибермаконда шахс, жамият ва давлат манфаатларининг ташқи ва ички таҳдидлардан ҳимояланганлик ҳолати;

хавфсизлик режими — норматив-ҳуқуқий ҳужжатлар ва техник жиҳатдан тартибга солиш соҳасидаги норматив ҳужжатлар билан белгиланган, маъмурий-ҳуқуқий, ташкилий, инженер-техник ва бошқа чора-тадбирларни ўз ичига оладиган, ташкилотнинг конфиденциал маълумотларидан ноқонуний фойдаланишнинг олдини олишни таъминловчи тартиб.

2-боб. Тўловлар тўғрисидаги ахборотни ҳимоя қилиш

2. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар ўзларининг ахборот тизимлари хусусиятларидан келиб чиқиб, ахборот хавфсизлиги сиёсатини ишлаб чиқади.

3. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар тўловлар тўғрисидаги ахборотни шакллантириш, узатиш, сақлаш ва унга ишлов беришнинг барча босқичларида тўловлар тўғрисидаги ахборотни узлуксиз ҳимоя қилиш учун қуйидаги чораларни кўришлари лозим:

идентификация, аутентификация ва авторизация қилиш тизимини жорий этиш;

тизимга рухсатсиз киришнинг олдини олиш усулларини (логин, парол, биометрик идентификация, икки факторли аутентификация (2FA) ва бошқа) қўллаш;

тўлов ҳужжати ва идентификация маълумотларини қалбакилаштириш, уларни рухсатсиз ўзгартириш ҳамда учинчи шахсларга тақдим этишдан ҳимоялаш ;

тўлов ахборотлари шакллантирилишини, тўлов ҳужжатининг ҳаққонийлиги текширилишини ва уларга ишлов берилишини ҳамда асосли ўзгартиришлар киритилишини таъминлаш ва назорат қилиш;

тўлов ҳужжатларини узатишда ушбу ҳужжатнинг асл эгасига етказилишини ҳамда бошқа шахсларга жўнатилишининг олди олинишини таъминлаш;

амалга оширилган тўловга оид маълумотларни сақлашда уларни рухсатсиз кўчириш, ўзгартириш, ўчириш ҳамда учинчи шахсларга жўнатилишининг олдини олиш чораларини кўриш;

ташқи сақловчига кўчирилган тўловга оид маълумотларнинг сейфда (темир шкафда) сақланишини таъминлаш ҳамда маълумотларни сақлаш учун масъул ходим (ходимлар) тайинлаш;

ахборот тизимларидаги дастурий таъминотларнинг назоратини ва ҳисобини юритиш ҳамда ахборот тизимларидаги дастурий таъминот талқинларининг, аппарат-дастурий қурилмаларининг ва дастурий воситаларининг узлуксиз ишлашини таъминлаш;

ахборот тизимларининг актуал ҳолатда (охирги версия) бўлишини таъминлаш, бунда дастурий таъминотнинг янги талқинини текширувдан ўтказгандан сўнг ахборот тизимига жорий этиш;

тўлов ахборотларига ишлов бериш, уларни узатиш ҳамда сақлаш жараёнларини электрон баённомаларда автоматик тарзда шакллантириб бориш ҳамда уларнинг сақланишини таъминлаш;

ахборот хавфсизлиги ва киберхавфсизликни таъминлаш хизмати ҳамда банк ва тўлов тизимларида шубҳали фрод операцияларга қарши чоралар кўриш хизматларини ташкил этиш, шунингдек ахборот хавфсизлиги ва киберхавфсизликни таъминлаш ҳамда банк карталари билан боғлиқ шубҳали (фрод) операцияларга қарши чоралар кўриш бўйича амалга ошириладиган ишларни назорат қилиш;

ҳисоблаш тармоғининг хавфсизлиги ва криптографик муҳофазасини таъминлаш, компьютер вирусларидан ҳимоялаш, ахборот тизимларига киришни бошқариш, техник воситаларини созлаш ва бошқа чораларни қўллаш;

ахборот хавфсизлиги ва киберхавфсизликни таъминлаш ҳамда банк карталари билан боғлиқ шубҳали (фрод) операцияларга қарши чоралар кўриш ускуналари, қурилмалар, аппарат-дастурий ва дастурий техник воситалари қўлланишини таъминлаш ҳамда уларни мунтазам такомиллаштириб бориш, фойдаланиш тартибларини белгилаш, уларга техник хизмат кўрсатиш, таъмирлаш ва бошқа ҳолатларда улардан кўзда тутилмаган тарзда рухсатсиз фойдаланишнинг олдини олиш;

қўлланилаётган техник воситаларга барча телекоммуникация тармоқларидан рухсатсиз кириш, улардаги маълумотларни ўзгартириш, ўчириш, кўчириб олишдан ҳимоялаш;

ахборотларни чиқиб кетиши (йўқолишини) олдини олиш;

ахборот тизимига рухсатсиз кириш ёки киберхавфсизлик ҳодисалари содир этилганда, уларни таҳлил қилиш асосида ҳимоя тизимларини мустаҳкамлаб бориш чораларини кўриш.

4. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар дастурларга ва операцион тизимга зарар келтирувчи зарарли кодлар (компьютер вируслари) ва уларнинг салбий таъсирининг олдини олиш учун қуйидаги чораларни кўриши керак:

ҳисоблаш техникаси қурилмалари (серверлар, компьютерлар ва бошқалар), банкомат, эмбоссер ва тўлов терминалларининг (техник имкониятидан келиб чиқиб) иш фаолиятига зарар етказувчи кодларни (компьютер вирусларини) аниқлаш ва уларнинг салбий таъсирининг олдини олиш чораларини кўриш;

ахборот тизимларида фақат лицензияланган антивирус дастуридан фойдаланиш, уларнинг русумлари ва базалари актуаллиги ҳамда янгиланиб борилишини таъминлаш;

антивирус дастурларининг автоматик тарзда ишлашини таъминлаш;

интернет ва корпоратив тармоқлар орқали келган барча ахборотларни антивирус дастури орқали текшириш.

5. Тўлов тизимларида ахборотни муҳофаза қилишнинг криптографик усуллари қўлланилиши ва тўлов тизими қоидаларида қуйидагилар белгилаб берилиши лозим:

криптографик муҳофаза воситаларини автоматлаштирилган тизимларга боғлаш, ишга тушириш, ишлатиш ва фойдаланишдан чиқариш тартиби;

криптографик муҳофаза воситаларининг тўхтаб қолиши, ишдан чиқиши ва бошқа фавқулодда ҳолатларда уларни қайта тиклаш тартиби;

криптографик муҳофаза дастурларига ва техник ҳужжатларига ўзгартиришлар киритиш тартиби;

криптографик калитларни бошқариш тартиби;

криптографик калитларни ташувчи қурилмаларни қўллаш, сақлаш, ўзгартириш ва бошқалар бўйича ташкилий, техникавий усулларни қўллаш тартиби.

Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар Ўзбекистон Республикаси Марказий банки билан ахборот алмашинувида ахборот хавфсизлиги ҳамда киберхавфсизликни таъминлашлари шарт.

6. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчиларнинг ахборотлаштириш объектларига рухсатсиз кириш ҳамда фойдаланишни чегаралаш мақсадида қуйидаги чоралар кўрилиши керак:

ахборотлаштириш объектларига, шу жумладан, банкомат, тўлов терминаллари ва тўлов ўтказиш электрон қурилмаларига жисмонан таъсир этишни ҳамда техник жиҳозлар мавжуд бўлган бино ва хоналарга киришни назорат қилиш;

тўловларни амалга оширишда қўлланиладиган автоматлаштирилган тизимлар, дастурлар, ҳисоблаш техникалари, телекоммуникация қурилмалари параметрлари ва тузилмалари ҳамда тўлов тизимида ишлаш ҳуқуқини берувчи маълумотларни (парол, биометрик ва бошқа маълумотлар) ўз ичига олган техник воситаларнинг жисмоний муҳофазасини (хавфсизлик режимини) таъминлаш ва рухсатсиз таъсир этишнинг олдини олиш;

тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчиларнинг ходимлари ахборотлаштириш объектларига киришини назорат қилиш ва маълумотларни рухсатсиз тарқалишидан ҳимоялаш тизимларини жорий қилиш;

серверлар ва телекоммуникация қурилмалари жойлашган хоналарда ишлаш жараёнларини видеокузатув тизимлари ёрдамида назорат қилиш.

7. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар қуйидаги маълумотларни ўз ичига олган ахборот тизимларининг ахборот хавфсизлиги ва киберхавфсизлигини таъминлашлари керак:

банк (карта) ҳисобварағида пул маблағлари қолдиқлари тўғрисидаги маълумотлар;

электрон пуллар қолдиқлари тўғрисидаги маълумотлар;

амалга оширилган тўловлар тўғрисидаги маълумотлар;

нақд пулсиз ҳисоб-китобларни ўз ичига олган маълумотлар;

банклараро тўлов ва клиринг тизимлари тўлов маълумотлари;

криптографик муҳофазани таъминлаш учун қўлланиладиган криптографик калитлар;

тўловларни амалга оширишда қайта ишланадиган конфиденциал ахборотларни (банк сири, шахсга доир маълумотлар ва бошқа қонун билан муҳофаза қилинадиган маълумотлар);

мижозларнинг банк карталари, аккаунтлари ва идентификациядан ўтганлиги тўғрисидаги маълумотлар.

8. Тўлов тизимлари операторлари ёки тўлов хизматларини етказиб берувчилар масофадан тўлов хизматларини кўрсатувчи ахборот тизимларини (мобил илова, интернет банкинг ва бошқалар) (бундан буён матнда масофавий ахборот тизимлари деб юритилади) амалиётга жорий этиш ҳамда уларга ўзгартириш киритишдан аввал қуйидагиларни таъминлашлари лозим:

масофавий ахборот тизимларининг тўловларни ўтказиш билан боғлиқ барча функцияларини синов (тест) тарзида тўлиқ текширувдан ўтказишни таъминлаш;

масофавий ахборот тизимларини техник топшириқлар, уларни техник топшириққа ва киберхавфсизлик талабларига мувофиқлиги юзасидан экспертизадан ўтказиш ҳамда уларнинг натижалари бўйича экспертиза хулосаларини Марказий банкка тақдим этиш;

масофавий ахборот тизимларини уяли алоқа даражасида ахборот хавфсизлигини таъминлаш тизими, Марказий банкнинг марказлашган антифрод ҳамда замонавий биометрик идентификация тизимларига уланишини таъминлаш;

дастурларни ишлатиш бўйича йўриқномаларни ишлаб чиқиш ва уларнинг актуаллигини таъминлаган ҳолда мижозларга тақдим этиш;

аниқланган заифликларни бартараф этиш учун ўзгаришлар киритилишини таъминлаш;

мижозлар қўллаётган дастурларнинг актуаллигини назорат қилиш.

Тўлов тизимлари операторлари ёки тўлов хизматларини етказиб берувчилар масофавий ахборот тизимларининг янги талқинини (версиясини) жорий этганидан сўнг эски талқиндан (версиядан) фойдаланишни чеклаши ва янги талқинга (версияга) ўтиши (янгилаши) лозим.

9. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар ўзаро тўлов ахборотлари ва тўлов ахборотларига тегишли бўлган маълумотлар алмашинувини телекоммуникация тармоқлари орқали амалга ошириш учун томонларнинг ахборотлаштириш объектлари хусусиятларидан келиб чиқиб, уларнинг вазифалари, жавобгарликлари ва мазкур Низом талабларини ўз ичига олган ахборот хавфсизлиги ва киберхавфсизлигини таъминлаш, шунингдек банк карталари билан боғлиқ шубҳали (фрод) операцияларга қарши чоралар кўриш қоидаларини ишлаб чиқиши керак.

10. Тўлов агенти томонидан банк ёки тўлов ташкилоти билан тўлов хизматларини кўрсатиш учун тузилган агентлик шартномасида ахборот хавфсизлиги бўйича томонларнинг масъулиятлари белгиланган бўлиши керак.

11. Тўлов субагенти томонидан тўлов агенти билан тўлов хизматларини кўрсатиш бўйича тузилган субагентлик шартномасида ахборот хавфсизлиги бўйича томонларнинг масъулиятлари белгиланган бўлиши керак.

3-боб. Тўлов ахборотларининг конфиденциаллиги ҳамда улардаги шахсга доир маълумотларни ҳимоя қилиш

12. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар ахборотнинг конфиденциаллиги ва яхлитлигини, шу жумладан, тўлов хизматларидан фойдаланувчининг шахсига доир маълумотларни муҳофаза қилишда ҳамда етарли хавфсизликни таъминлаш мақсадида қуйидаги чораларни кўришлари лозим:

тўлов тизимида ишлов бериладиган конфиденциал ва шахсга доир маълумотларнинг яхлитлиги ва дахлсизлигини муҳофаза қилиш ҳамда улардан фойдаланиш тартибини ишлаб чиқиш;

ички ҳужжатлар билан тартибга солинадиган ҳимояланадиган маълумотлар билан ишлашда хавфсизлик ва конфиденциалликни таъминлаш қоидалари ва талабларини ишлаб чиқиш;

конфиденциал ва шахсга доир маълумотлар билан ишловчи ходимлар сонини имкон даражасида камайтириш, ходимлар билан конфиденциал ва шахсга доир маълумотлар ошкор этилишининг олдини олиш бўйича мажбуриятномалар (шартнома) тузиш ва ушбу маълумотлардан фойдаланиш ҳуқуқларини ходимларнинг лавозим мажбуриятларидан келиб чиқиб белгилаш;

конфиденциал маълумотлар рўйхатини юритиш бўйича комиссия таркибини шакллантириш ва тасдиқлаш;

конфиденциал маълумотлар рўйхати ва ҳажмини аниқлаш ҳамда тасдиқлаш;

конфиденциал маълумотлар билан ишлашга рухсат берилган ходимлар рўйхатини шакллантириш ва тасдиқлаш;

ахборотлаштириш объектининг техник паспортини ишлаб чиқиш ва тасдиқлаш;

конфиденциал маълумотлар билан ишлаш тартибини ишлаб чиқиш ва тасдиқлаш;

конфиденциал маълумотларни ташувчи воситаларни рўйхатга олиш, йўқ қилиш, конфиденциал ахборот ташувчиларни ташқарига олиб чиқиш/кириш журналлари юритиш;

маълумотлар яхлитлиги ва хавфсизлигини таъминлаш мақсадида электрон рақамли имзо калитларидан фойдаланиш ҳамда шифрланган маълумотларни сақлаш тартибини белгилаш;

конфиденциал ва шахсга доир маълумотлар мавжуд бўлган ресурсларга киришда идентификация, аутентификация ва авторизация қилинишини таъминлаш;

конфиденциал ва шахсга доир маълумотлар билан ишлаш ҳуқуқларининг рухсатсиз берилишини олдини олиш;

ахборот тизимлари фойдаланувчиларининг муҳофазаланган маълумотларига кириш, ишлов бериш, уларни сақлаш ҳамда тақдим этиш жараёнидаги амалга оширилган ҳаракатларни электрон баённомаларда қайд этиб бориш;

ташқи сақловчи қурилмалар ва техник воситаларнинг бинодан ташқарига олиб чиқилиши ҳамда уларнинг ўғирланишининг олдини олиш;

маълумотларни узатиш, сақлаш, ўчириб ташлаш, уларга ишлов бериш ҳамда уларнинг рухсатсиз четга чиқиб кетишининг олдини олиш чоралари таъминланганлигини назоратга олиш.

12 1 . Тўлов тизими операторлари ва тўлов хизматларини етказиб берувчилар томонидан мижозларни идентификация ва аутентификация қилиш жараёнида фойдаланилган жисмоний шахсларнинг биометрик маълумотлари Ўзбекистон Республикаси ҳудудида сақланиши шарт.

Мижозга тегишли биометрик бўлмаган бошқа турдаги шахсга доир маълумотлар Ўзбекистон Республикаси «Шахсга доир маълумотлар тўғрисида»ги Қонунининг 27 1 -моддаси учинчи қисмига мувофиқ Ўзбекистон Республикаси ҳудудидан ташқарида сақланиши ва уларга ишлов берилиши мумкин.

4-боб. Ахборот хавфсизлиги ва киберхавфсизликни таъминлаш хизмати

13. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар ахборот тизимларида ахборот муҳофазаси учун ахборот хавфсизлиги ва киберхавфсизликни таъминлаш хизмати вазифаларига қуйидагиларни киритишлари лозим:

ахборот тизимларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича мазкур Низом талабларининг бажарилишини назорат қилиш;

ахборот хавфсизлигига оид чоралар таъминланганлигини баҳолаш, ахборот хавфсизлиги ва киберхавфсизлик даражасини ошириш, шунингдек авариялар ва ходимларнинг йўл қўйган хатолари натижасида келиб чиқадиган йўқотишларни камайтириш ва уларнинг содир этилишининг олдини олиш;

ахборот инфратузилмасининг яхлитлиги ва хавфсизлигини назорат қилиш;

серверлардаги дастурий таъминотларни муҳофаза қилиш;

барча технологик жараёнларда ходимлар ҳаракатлари, шунингдек, ахборот тизимларидаги амалга оширилган тўлов хизматларидан фойдаланувчиларининг ҳаракатлари бўйича электрон баённомалар рўйхатини юритиш;

автоматлаштирилган тизимларда киберхавфсизликни ва ноқонуний ҳаракатлар билан маблағларни ўзлаштиришнинг олдини олиш чораларини кўриш;

маълумотлар учинчи шахсларга ошкор этилишининг олдини олиш чораларини кўриш;

ахборот коммуникация технологиялари инфратузилмасида юзага келган ахборот хавфсизлиги ва киберхавфсизлик ҳодисалари, кибертаҳдидлар, киберҳужумлар аниқланган вақтда бу ҳақидаги маълумотларни Марказий банкка тақдим этиш;

ахборот коммуникация технологиялари инфратузилмаси, ахборот тизимлари ва ресурсларида ахборот хавфсизлиги ва киберхавфсизликнинг таъминланганлик ҳолатининг мазкур Низом талаблари, ички қоида ва тартибларга мувофиқлигини бир йилда камида икки маротаба ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликларини ҳисобга олган ҳолда ўрганиш ва ўрганиш натижаларини далолатнома билан расмийлаштириш.

5-боб. Ахборот тизимларида ходимларнинг ваколатларини чеклаш

14. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар ахборот тизимларида ишлаш жараёнида, шу жумладан, ишлаб чиқиш, синовдан ўтказиш жараёнида ходимларнинг ваколатларини чегаралаш учун қуйидаги чораларни кўришлари лозим:

ахборот тизимларида ишлаш ҳуқуқларини белгиловчи тартиб ва қоидаларни ишлаб чиқиш ва уларни лавозим йўриқномаларида акс эттириш ҳамда тегишли ҳужжатга (ариза, талабнома ёки бошқа шаклга) асосан тизимдан фойдаланиш тартибини таъминлаш;

ахборот тизимларида ишлаш ҳуқуқи берилган масъул ходимлар рўйхатини шакллантириш;

ахборот тизимларида ишлаш ҳуқуқларини белгилаш ва тақсимлаш билан боғлиқ ҳаракатларни рўйхатга олиш;

ахборот тизимларида ишлаш ҳуқуқлари мантиқан, иш вазифасидан келиб чиқиб тўғри белгиланганлигини даврий (йилига камида икки маротаба) текшириб туриш;

ахборот тизимларининг ишлаши ва синовдан ўтказилиши даврида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш ҳамда берилган ахборот тизимларида ишлаш ҳуқуқлари тўғрилигини назорат қилиш;

ахборот тизими фойдаланувчилари ахборот тизими томонидан берилган ҳуқуқларни ўзгартириш имкониятига эга бўлмаслиги ҳамда бу ҳуқуқларни бегона шахсларга беришни чеклаш чораларини кўриш.

15. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар ўзларининг ахборот тизимларига ўзгартиришлар киритиш учун бошқа ташкилотларни жалб қилганда қуйидагиларни амалга оширишлари зарур:

конфиденциал ва шахсга доир маълумотларни ошкор этмаслик бўйича битим тузиш;

ахборот тизимларидаги тўловларга оид ва бошқа муҳофаза қилинадиган маълумотлар билан ишлашни белгиланган тартибда рухсат бериш асосида амалга ошириш;

тегишли лицензия ва (ёки) бошқа рухсатномага эга бўлган (агар ушбу фаолият лицензия ёки тегишли рухсатнома асосида амалга оширилса) ташкилотларни жалб қилиш;

ахборот тизимларини лойиҳалаштириш босқичида маълумотларнинг конфиденциаллигини таъминлаш чораларини ишлаб чиқиш;

кўриладиган ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича чоралар (амалга ошириладиган ишлар, ўрнатиладиган дастурлар, қурилмалар ва бошқалар), аниқ кўрсатилган техник топшириқ, қабул қилиш (тест синовларини амалга ошириш режаси) ва бошқа тегишли ҳужжатларни расмийлаштириш;

дастурий таъминот ҳамда уни ишлаб чиққан ва унга ўзгартириш киритган (киритадиган) ташкилотлар рўйхатини тузиш;

ахборот тизимларини ишлаб чиқиш ва жорий этишнинг тахминий муддатларини ва шартларини белгилаб олиш;

жалб қилинган ташкилот ходимлари томонидан ахборот тизимларига киритиладиган ўзгартиришларнинг асослилигини, мавжуд техник топшириқларга мослигини, ахборот тизимига ёт бўлган дастурлар (тизим функциялари) бўлмаслигини, тест синовлари натижаларининг ижобийлигини ахборот хавфсизлиги ва киберхавфсизликни таъминлаш хизмати ҳамда ахборотлаштириш бўйича масъул ходим томонидан назоратга олиш.

Автоматлаштирилган тизимларга ўзгартириш киритган ташкилот ўз вазифасини амалга оширганидан сўнг ёки у билан тузилган шартнома муддати тугаганида, унга маълум бўлган барча конфиденциал маълумотлар (идентификатор, пароллар ва бошқалар) ҳамда тизимга кириш имкониятлари ахборот хавфсизлиги ва киберхавфсизликни таъминлаш хизмати томонидан ўзгартирилиши лозим.

6-боб. Ахборот тармоқларини ҳужумлардан ҳимоя қилиш

16. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар ахборот ва интернет жаҳон ахборот тармоғини, шунингдек, серверлар ва алоқа каналларини эҳтимоли мавжуд бўлган кибертаҳдид ва киберҳужумлардан ҳимоя қилиш учун етарли чораларни кўриши лозим. Ушбу чоралар қуйидагиларни ўз ичига олиши керак:

компьютер тармоқларини сегментлаш ва тармоқлараро экрандан фойдаланиш;

ахборот тармоқлари, шу жумладан, интернет жаҳон ахборот тармоғи орқали қабул қилинаётган ва узатилаётган маълумотларга рухсатсиз киришнинг олдини олиш бўйича техник (криптографик ва бошқа) ва/ёки ташкилий чоралар кўриш ҳамда тармоқ маълумотларини фильтрлашни таъминлаш (тармоқлараро экранларни қўллаш);

ахборот тармоқлари ва веб-сайтлар орқали тўловларни амалга оширишда идентификация, кўп омилли аутентификация ва авторизация қилиш (кўп омилли аутентификация қилиш мобил ва алоқасиз тўловларни амалга ошириш чоғида қўлланилмайди);

ахборот тармоқлари ва Интернет жаҳон ахборот тармоғи, шунингдек, серверлар ва алоқа каналларидан фойдаланувчиларни идентификация қилиш;

интернет жаҳон ахборот тармоғи ресурсларидан ходимларнинг фойдаланишини прокси-сервер орқали амалга ошириш, иш фаолияти учун зарур бўлмаган веб-сайтларга киришни чегаралаш ва кирилган веб-сайтларни қайд этиб бориш;

ахборот тизимларини асосий ва захира алоқа каналлари билан таъминлаш;

серверлар тармоғини муҳофазалаш (демилитаризация қилинган зоналарини (DMZ) ташкил этиш);

серверларда иш фаолияти учун зарур бўлмаган портларни ёпиш ва хизматларни тўхтатиш;

ахборот тизимига кириш объектлари ва ресурсларининг ҳисобини юритиш;

мобил тўловларни амалга ошириш чоғида фойдаланувчиларни кўп факторли аутентификация қилиш (SMS, QR-код, NFC, бармоқ излари, кўзнинг рангдор пардаси асосида аниқлаш ёки шу каби тасдиқловчи усулларни қўллаш мумкин);

мобил қурилмалар ёрдамида масофадан киришда тўлов маълумотлари ҳамда ахборот тизимларининг (маълумотлар базасининг) ахборот хавфсизлиги ва киберхавфсизлигини таъминлаш;

масофавий хизмат кўрсатиш ва бошқа ахборот тизимларида мижозни идентификация ва аутентификация қилиш мақсадида қўлланиладиган (бир марталик ёки кўп марталик) паролларни ишлатиш тартибини белгилаш, тасдиқлаш кодларини қўллаш, бир марталик тасдиқлаш кодларини тизимга шифрланган ҳолда юбориш, антифрод ва биометрик идентификация тизимларини қўллаш, коднинг фаол бўлиш вақти ва бошқаларни ёритиш;

автоматлаштирилган тизимга киришда қўлланилган қурилма тўғрисида идентификация маълумотларини (IP-адрес, MAC-адрес ва бошқа идентификаторлар) қайд этиш;

тажовузларни аниқлаш ва уларнинг олдини олиш тизимларини қўллаш.

17. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар чет эл ташкилотларининг ахборот муҳофазаси ускуналарини қўллашлари мумкин.

18. Тўлов тизимлари операторлари тўловлар билан боғлиқ ахборот алмашинуви учун қўлланиладиган техник ва ташкилий чораларни, иш тартибларини белгилаши ҳамда ушбу тартиблар ижроси тўлов хизматларини етказиб берувчилар томонидан таъминланиши лозим.

19. Ахборот хавфсизлиги ва киберхавфсизлигини кучайтириш мақсадида тармоқ протоколида (TCP/IP) тармоқ транзит пакетларининг IP манзилларини ўзгартириш имконини берувчи тармоқ адресларини ўзгартириш протоколи (NAT) қўлланилиши мумкин. Бунда тармоқ орқали барча уланишларнинг электрон журналлари асл IP манзиллар кўрсатилган ҳолда юритилиши ва белгиланган тартибда электрон архивга олиниши лозим.

20. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар ички ҳужжатларида қуйидагиларни белгилашлари лозим:

ахборот тармоқларини хавфсиз ва ишончли алоқа каналлари билан таъминлаш тартиби;

тўлов тизимига кириш ва ундан чиқиш жараёни тартиби;

фойдаланувчини тўлов тизимига улашда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тартиби;

ахборот хавфсизлиги ва киберхавфсизлик ҳодисаси, кибертаҳдид ҳамда киберҳужумлар билан боғлиқ таваккалчиликларни баҳолаш ва бошқариш тартиби;

процессинг ва клиринг жараёнларида ахборот хавфсизлиги тартиби ва талаблари (агар ушбу хизмат амалга оширилса);

хатарларни бошқариш чоралари ва усуллари;

автоматлаштирилган тизимда, ахборот дастурларида фойдаланувчиларнинг ягона идентификаторини ҳосил қилиш тартиби;

қайд этиладиган ҳаракатлар рўйхати;

маълумотларни рўйхатга олиш ва сақлаш тартиби.

7-боб. Ахборот тизимлари ва ресурслари мониторинги

21. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар тўловлар бўйича конфиденциал маълумотлардан ва ўта муҳим мантиқий ҳамда жисмоний ресурслардан (ахборот тармоқлари, ахборот тизимлари, маълумотлар базаларидан, ахборотни ҳимоя қилиш модулларидан) фойдаланиш мониторингини амалга оширади. Бунда мониторинг қилишда қуйидагилар белгиланади:

ахборот инфратузилмасининг ахборотга ишлов бериш, уларни сақлаш ва тармоқда узатиш учун қўлланиладиган дастур ва қурилмалар ҳисобини юритиш;

ахборот хавфсизлиги ва киберхавфсизлик ҳодисаларини таҳлил қилиш, ахборот хавфсизлиги ва киберхавфсизлик ҳолатини мониторинг қилиш ҳамда огоҳлантириш имконини берувчи (Security Information and Event Management (SIEM) ёки бошқалар) тизимларни жорий қилиш;

ахборот хавфсизлиги ва киберхавфсизлиги ҳолатини мониторинг қилишни амалга оширувчи тизим маълумотларини таҳлил қилиб бориш ва аниқланган ҳолатларни (ахборот тармоғига рухсатсиз кириш ва киришга уриниш, тизимдаги тўхталишлар, ахборот ресурсларининг етишмовчилиги, тармоқдаги узилишлар, ахборот хавфсизлиги ва киберхавфсизлигини таъминлашдаги чекланишлар ва бошқа ҳодисалар) бартараф этиш ва (ёки) уларнинг олдини олиш бўйича чоралар кўриш;

конфиденциал маълумотлардан ва ўта муҳим мантиқий ҳамда жисмоний ресурслардан (ахборот тармоқлари, ахборот тизимлари, маълумотлар базаларидан, ахборотни ҳимоя қилиш модулларидан) рухсатсиз фойдаланишнинг олдини олиш бўйича чоралар кўриш;

фойдаланувчи операцияни амалга оширган сана (кун, ой, йил) ва вақт (соат, дақиқа, сония), унинг амалга оширган операцияси фойдаланувчига автоматлаштирилган тизимларда ҳамда ахборот дастурларида берилган идентификация рақами, тизимларга киришда мавжуд бўлган идентификация маълумотлари (IP-адрес, MAC-адрес, IMEI-код, телефон рақами ва/ёки қурилманинг бошқа идентификатори), автоматлаштирилган тизимлар томонидан фойдаланувчига ҳуқуқ берилиши билан боғлиқ ҳаракатларни қайд этиш;

ахборот хавфсизлиги ва киберхавфсизлик ҳолатини тун-у кун (24/7) режимида мониторинг қилиш ишларини ташкил этиш;

ахборот хавфсизлиги ва киберхавфсизлиги ҳолатини мониторинг қилиш тизимини Марказий банк «CERT-CBU» киберхавфсизлик марказининг мониторинг тизимига боғланишини таъминлаш;

ахборот дастурлари, автоматлаштирилган тизимлар ишлатилиши билан боғлиқ фойдаланувчиларнинг ҳаракатини (операция) қайд этиш.

8-боб. Ахборот хавфсизлиги ва киберхавфсизлик талабларининг бузилиши билан боғлиқ ҳодисаларни аниқлаш

22. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар тўловларни ва пул маблағларини ўтказишни амалга ошириш чоғида ахборот хавфсизлиги ва киберхавфсизликни таъминлашга доир талабларнинг бузилиши билан боғлиқ бўлган ҳодисаларни аниқлаш мақсадида ахборот хавфсизлиги ва киберхавфсизликни таъминлашга доир ташкилий чораларни кўришда ҳамда техник воситаларни қўллашда қуйидаги ишларни ташкил этиши лозим:

қўлланилиши зарур бўлган ахборот хавфсизлиги ва киберхавфсизлик бўйича ташкилий чораларни аниқлаш;

мавжуд техник қурилмаларни ишлатиш, созлаш ҳамда улардаги маълумотларни қайд этиш бўйича масъул ходимларни тайинлаш;

ахборот хавфсизлиги ва киберхавфсизлик талабларининг бузилиши билан боғлиқ ҳодисаларни аниқлаш чораларини кўриш ҳамда ушбу ҳолатлар ходимлар томонидан аниқланганда уларнинг ахборот хавфсизлиги ва киберхавфсизликни таъминлаш хизматини хабардор қилиши;

ахборот хавфсизлиги ва киберхавфсизлик талабларининг бузилиши билан боғлиқ ҳодисалар юзага келганда уларни бартараф этиш, юзага келиш сабабларини аниқлаш, таҳлил қилиш ҳамда аниқланган ҳодисалар юзага келмаслиги бўйича тегишли чоралар кўриш;

аниқланган ҳодисаларни рўйхатга олиб бориш (реестрини юритиши);

аниқланган ҳодисалар тўғрисидаги маълумотларни сақлаш тартибини белгилаш;

ахборот хавфсизлиги ва киберхавфсизлигини таъминлашнинг бошқа чораларини кўриш.

Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар ахборот хавфсизлиги ва киберхавфсизлик талабларининг бузилиши билан боғлиқ ҳодисалар тўғрисида Марказий банкка зудлик билан ёзма ёки электрон шаклда хабар бериши лозим.

23. Тўлов тизимлари операторлари ахборот хавфсизлиги ва киберхавфсизлик талабларининг бузилиши билан боғлиқ ҳодисаларнинг олдини олиш мақсадида, қуйидаги талабларни белгилаши керак:

тўлов тизимининг бошқа иштирокчиларига тўловларни амалга ошириш учун зарур техник ва дастурий воситаларга ахборот хавфсизлиги ва киберхавфсизлик бўйича қўйиладиган талабларни;

тўлов тизими ва тўловлар билан боғлиқ нохуш ҳодисалар тўғрисида маълумот бериш шакли ва тартибига бўлган талабларни;

тўлов тизимида ахборот хавфсизлиги ва киберхавфсизлигига оид таваккалчиликларни бошқариш тартиби ва уларни баҳолаш мезонларини;

тўловга оид маълумотларга ишлов бериш воситаларининг хавфсиз ишлашини таъминлаш тартибини;

тўлов тизимида нохуш ҳодисалар юзага келганда ўзаро ҳаракатланиш тартибини.

24. Тўлов хизматларини етказиб берувчилар ахборот хавфсизлиги ва киберхавфсизлик талабларининг бузилиши билан боғлиқ ҳодисаларнинг олдини олиш мақсадида қуйидаги талабларни белгилаши керак:

тўловни амалга ошириш қурилмаларини мижозга етказиб бериш билан боғлиқ таваккалчиликларнинг олдини олиш чораларини кўриш;

тўлов ускуналарининг йўқолиши, ўғирланиши, бегона шахслар томонидан эгалик қилиниши каби ҳолатлар аниқланганда тўлов тизимлари операторларига хабар бериши лозим.

25. Тўлов тизими операторлари томонидан тўлов хизматларини етказиб берувчиларга тўлов тизимида ахборот хавфсизлиги ва киберхавфсизлик талабларининг бузилиши билан боғлиқ ҳодисалар тўғрисида маълумот берилиши ҳамда ушбу ҳолатни таҳлил қилиш ва бартараф этиш бўйича услубий қўлланма тақдим қилиниши лозим.

9-боб. Ахборот хавфсизлиги ва киберхавфсизлик талабларининг бузилиши билан боғлиқ ҳодисаларга нисбатан таъсир чоралари

26. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича талабларнинг бузилиши билан боғлиқ бўлган ҳодисаларга нисбатан қуйидаги таъсир чораларини кўришлари лозим:

юзага келиши мумкин бўлган ҳодисаларга нисбатан таъсир чораларини кўриш юзасидан зарур ҳаракатларни олдиндан кўра билиш ҳамда амалга ошириладиган ҳаракатлар рўйхатини белгилаш;

содир бўлган ҳодисаларга нисбатан қисқа муддатларда таъсир чораларини кўриш;

ишнинг узлуксизлигини таъминлаш, шунингдек, ноқонуний тўловлар ва ҳисобварақлардаги қолдиқ маблағларини рухсатсиз ўзгартирилишини олдини олиш, ахборотни қайта тиклаш ҳамда бошқа салбий ҳолатларни бартараф этиш;

ходимлар томонидан мавжуд ахборот тизимларида ишлашда белгиланган ахборот хавфсизлиги ва киберхавфсизлик талабларига риоя қилинишини таъминлаш;

юзага келган ҳодисаларнинг келиб чиқиш омилларини аниқлаш мақсадида тармоқ қурилмалари ва ахборот тизимларининг электрон баённомаларини расмийлаштириш, йиғиш, таҳлил қилиш ҳамда уларга асосан тегишли кўрсатмаларни ишлаб чиқиш.

10-боб. Ахборот хавфсизлиги ва киберхавфсизлик талабларининг бузилиши билан боғлиқ ҳодисалар сабабларини таҳлил қилиш

27. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар ахборот хавфсизлиги ва киберхавфсизликни таъминлашга доир талабларнинг бузилиши билан боғлиқ аниқланган ҳодисалар сабабларини таҳлил қилиши ҳамда уларга таъсир кўрсатиш натижаларини баҳолаши лозим. Бунда аниқланган ҳодисалар сабабларини таҳлил қилиш ҳамда уларга таъсир кўрсатиш натижаларини баҳолаш тизими қуйидагиларни ўз ичига олиши лозим:

аниқланган ҳодисаларга нисбатан таъсир чоралари кўрилгандан кейин ушбу ҳодисаларнинг келиб чиқиш сабабларини ахборот хавфсизлиги ва киберхавфсизликни таъминлаш хизмати томонидан тегишли бўлинмалар билан биргаликда таҳлил қилиш тартиби;

ахборот тизимларининг тегишли электрон баённомаларини ўрганиш ҳамда аниқланган ҳодисанинг юзага келишига сабабчи бўлган ходимлардан тушунтиришлар олиш;

ҳодисаларнинг келиб чиқиш сабабларига ойдинлик киритиб, бундай ҳолатлар юзага келмаслиги ёки юзага келганда унинг зарар келтириш имкониятларини камайтириш чораларини кўриш (шу жумладан, тегишли мутахассисларни жалб қилган ҳолда);

ҳодисаларнинг салбий таъсир кўрсатиш даражасига қараб таснифлаш ва баҳолаш мезонига асосан уларни баҳолаш.

Ахборот хавфсизлиги ва киберхавфсизликни таъминлашга доир талабларнинг бузилиши билан боғлиқ аниқланган ҳодисаларга нисбатан кўрилган таъсир чоралари, уларни баҳолаш натижалари ва бошқа қўшимча маълумотлар чоп этилиши ҳамда алоҳида йиғмажилдда сақланиши зарур.

11-боб. Банкомат, инфокиоск ва тўлов терминалларини қўллашда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш

28. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар банкомат, инфокиоск ва тўлов терминалларининг ахборот хавфсизлиги ва киберхавфсизлигини таъминлаши лозим. Бунда ахборот хавфсизлиги ва киберхавфсизликни таъминлашда қуйидаги чоралар қўлланилади:

банкомат, инфокиоск ва тўлов терминалларининг ҳисобини юритиш ҳамда уларнинг ахборот дастурига рухсатсиз киришининг олдини олиш;

банкомат, инфокиоск ва тўлов терминалларига техник хизмат кўрсатувчи шахслар фаолиятини назорат қилиш ҳамда улар томонидан амалга оширилган ўзгартиришлар бўйича электрон баённома юритиш;

видеокузатув тизимлари ёрдамида банкоматлар билан ишлаш жараёнларини назоратга олиш (банкоматга киритиладиган банк карталарининг пин код рақамлари видеокузатув тизимлари орқали қайд этиш имкониятига эга бўлмаслиги лозим);

бош банк ҳамда унинг инфратузилмалари (филиал, мини-банк ва бошқалар) ва бошқа қўриқланадиган объектларидан ташқарида жойлаштирилган банкоматларнинг видеокузатув маълумотлари бош банк ёки унинг филиалидаги техник қурилмаларга тўғридан тўғри (онлайн) ёзиб борилишини таъминлаш;

банкомат тармоқ кабелларини муҳофазалаш;

банкоматнинг бошқа банкоматлар билан бир хил бўлган қулфларини алмаштириш;

банкоматларни алоқа каналларидан ёки жисмонан боғланган ҳолда эҳтимолий ҳужумлардан (шу жумладан, скиммингдан) ҳимоя қилиш;

банкоматларнинг операцион тизими ҳамда BIOS тизимига кириш ҳуқуқларини мураккаб пароллар билан ҳимоялаш;

аутентификация қилиш тартибини белгилаш;

тўловларни амалга оширувчи қурилмаларнинг ҳисобини юритиш;

банкоматлардаги нақд пул маблағларининг жисмоний муҳофазасини таъминлаш;

тармоқ орқали ахборот алмашинувида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш;

халқаро тўлов тизимлари билан ишлайдиган ахборот тизимларида халқаро стандартлар (PCI DSS, PTS, PA DSS) талабларига мувофиқ ахборот муҳофазаси воситалари ва тизимларини жорий қилиш.

29. Тўлов тизимлари операторлари ўз тизимларидаги банкомат ва инфокиоскларда ахборот хавфсизлиги ва киберхавфсизликни банклар билан биргаликда таъминлайди ҳамда уларнинг узлуксиз ва тўғри ишлашини назорат қилади. Агар ахборот хавфсизлиги ва киберхавфсизлик бўйича маълум бир (ёки барча) масъулият тўлов хизматларини етказиб берувчига юклатилган бўлса, мазкур ҳолат тегишли шартномаларда қайд этилиши ва масъулият юклатилган ташкилотга зарурий шароитлар яратиб (банкоматларнинг ахборот тизимидаги ишлаш ҳуқуқлари) берилиши зарур.

12-боб. Муҳим тўлов тизимлари операторларига ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича қўйиладиган талаблар

30. Муҳим тўлов тизимлари операторлари мазкур Низомда белгиланган хавфсизлик чораларига қўшимча равишда қуйидаги ахборот хавфсизлиги ва киберхавфсизлик чораларини таъминлаши зарур:

тўлов тизимининг узлуксиз ишлаши ишончлилигини таъминлаш;

ахборот хавфсизлиги ва киберхавфсизликни таъминлаш хизматини ташкил этиш ва унинг мажбуриятларини белгилаш;

Ўз ДСт 2875:2014 «Датамарказларга қўйиладиган талаблар. Инфратузилма ва ахборот хавфсизлигини таъминлаш» стандартининг датамарказ телекоммуникация воситалари инфратузилмаси тайёрлиги ва хавфсизлигининг учинчи даражадан паст бўлмаслигини таъминлаш;

халқаро банк карталаридан фойдаланилганда PCI DSS хавфсизлиги стандарти, Payment Services Directive (PSD2) тўлов хизматларини кўрсатиш директиваси талабларига мувофиқлаштириш;

ахборот тизимлари тўғри ташкил этилганлиги юзасидан нуфузли халқаро аудитор ташкилотларни жалб қилиш орқали АКТ-инфратузилмасини (ахборот хавфсизлиги ҳолатини) аудитдан ўтказишни таъминлаш;

Ўзбекистон Республикасининг «Тўловлар ва тўлов тизимлари тўғрисида»ги Қонуни ва бошқа қонунчилик ҳужжатларида муҳим тўлов тизимлари операторларига белгиланган талабларни бажариш.

31. Муҳим тўлов тизимлари операторлари маълумотларга ишлов берувчи асосий ахборот тизимларини ташкил этиши ва жойлашган жойидан 50 километрдан яқин бўлмаган ҳудудда захира ахборот тизимларини ташкил этиши лозим. Бунда асосий ва захира ахборот тизимлари Ўзбекистон Республикаси ҳудудида ташкил этилади.

Муҳим тўлов тизимлари операторларининг ахборот тизимларидаги маълумотларни (электрон баённомалар ва бошқа тўловлар билан боғлиқ маълумотлар) электрон архивларда камида икки нусхада (хусусан, асосий ва захира ахборот тизимларининг ҳар бирида битта нусхадан) сақлаши лозим.

13-боб. Тўлов тизимининг узлуксиз ишлашини йўлга қўйиш ва электрон архив юритиш

32. Тўлов тизимларининг узлуксиз ишлаши ва барқарорлигини таъминлаш мақсадида қуйидаги чоралар кўрилиши лозим:

тўлов тизими билан боғлиқ тармоқ ва бошқа қурилмалар носоз ҳолатга келганда уни иш жараёнига келтириш ва узлуксиз ишлашини таъминлаш;

операцион тизим, дастурий таъминотлар, ахборот тизимларининг дастурлари, маълумотлар (маълумотлар базаси, созламалари, электрон баённомалар) нусхаларини захирага (бакуп) олиниши ва электрон архивда сақлаш ҳамда уларни қайта тиклаш тартибини (механизмини) ишлаб чиқиш, уларнинг ҳисобини юритиш ва назоратини олиб бориш;

захира техник қурилма ва ускуналарга эга бўлиш;

маълумотларнинг захирага олинган (backup) нусхаларини техник носозликларда ва фавқулодда вазиятларда қайта тиклаш режасини ишлаб чиқиш ва даврий (бир йилда бир маротаба) ахборот тизимини қайта тиклаб текшириш;

дастурларга ўзгариш киритишни синов (тест) учун мўлжалланган серверларда текшириш;

тизимдаги қурилма ва ускуналарнинг ишлашини назорат қилиш;

тўлов тизимининг узлуксизлигига салбий таъсир этиши мумкин бўлган ҳолатларни олдини олиш ва ахборот муҳофазасини таъминлаш;

дизел электр станцияси ва/ёки бошқа электр таъминоти узлуксизлигини таъминлаш воситаларидан (UPS ва бошқалар) фойдаланиш;

ишлов берилган маълумотларни сақлаш ва уларнинг электрон архивда юритилишини таъминлаш;

мижозларнинг ҳаракатига тегишли бўлган маълумотларни камида беш йил сақланишини таъминлаш;

электрон архив юритишда ахборот хавфсизлиги ва киберхавфсизликни таъминлашга доир талабларга риоя этилиши бўйича ишчи гуруҳ тузган ҳолда бир йилда камида икки маротаба текшириш ва натижалари тўғрисида Марказий банкка маълумот бериш;

ахборот узатиш захира тармоқларига эга бўлиш.

33. Муҳим тўлов тизимлари операторлари бўлмаган тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар маълумотларга ишлов берувчи асосий ахборот тизимларини ташкил этиши ва улар жойлашган жойидан 5 километрдан яқин бўлмаган ҳудудда захира ахборот тизимларини ташкил этиши лозим. Бунда асосий ва захира ахборот тизимлари Ўзбекистон Республикаси ҳудудида ташкил этилади.

Ахборот тизимларидаги маълумотлар (электрон баённомалар ва бошқа тўловлар билан боғлиқ маълумотлар) электрон архивларда камида икки нусхада (хусусан, асосий ва захира ахборот тизимларининг ҳар бирида битта нусхадан сақланиши мумкин).

34. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчиларнинг фаолияти тугатилганда, улардаги мавжуд электрон архивнинг ахборот ресурслари давлат архивларига топширилади.

Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар фаолияти тугатилиб, бошқа ташкилотга қўшиб юборилганда, электрон архив маълумотлари қўшиб юборилаётган ташкилотнинг электрон архивга топширилади.

14-боб. Хавфсизлик режими

35. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчиларнинг тўловлар билан боғлиқ маълумотларни сақлаш ва уларга ишлов бериш хоналари билан таъминланган бўлиши керак. Ушбу хоналар қуйидаги талабларга жавоб бериши лозим:

рухсатсиз жисмоний киришдан муҳофазаланган бўлиши;

хона биринчи қаватда жойлашган ҳолларда унинг деразалари темир панжара билан жиҳозланган бўлиши;

қўриқлаш ва ёнғиндан огоҳ этувчи иккита ҳимоя тўсиғи хабаргоҳлари билан жиҳозланиши;

тунги вақтда қўриқлаш ва огоҳлантириш қурилмалари билан жиҳозланиши;

видеокузатув орқали назоратга олиниши.

Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар тўловлар билан боғлиқ маълумотларни сақлаш ва уларга ишлов бериш хоналарини мазкур бандда белгиланган талаблардан ташқари бошқа хавфсизлик чораларини кўриши мумкин.

36. Мазкур Низомда белгиланган барча видеокузатув маълумотларининг сақланиш муддати бир ойдан кам бўлмаслиги зарур.

37. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчиларнинг бинолари ҳимоя қилинишида улар зарурий ускуналар, ташкилий-техник воситалар билан жиҳозланиши ва тегишли дастурий таъминотлардан фойдаланилиши лозим.

15-боб. Тўловларни амалга ошириш жараёнини назорат қилиш

38. Тўлов тизимлари операторлари ўзларининг тўлов тизимларида ахборот хавфсизлиги ва киберхавфсизлик чораларини кўришда назорат ва мониторинг ишларини амалга оширишлари лозим.

39. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар автоматлаштирилган тизимлар, иловалар ҳамда ахборот инфратузилма объектларини ахборот хавфсизлиги ва киберхавфсизлик заифликларига таҳлил қилиши, ҳар йили камида икки марта рухсатсиз киришга текшириши ва ҳужжатларда қайд этилмаган имкониятлар мавжуд эмаслигини назорат қилиши лозим.

40. Тўлов тизимлари операторлари ва тўлов хизматларини етказиб берувчилар ҳар йили, келгуси йилнинг биринчи апрелидан кечиктирмай, Марказий банкка ахборот хавфсизлиги ва киберхавфсизликнинг таъминланганлик ҳолати тўғрисида ҳисобот тақдим этиши шарт.

16-боб. Банк ва тўлов тизимларида шубҳали фрод операцияларга қарши чоралар кўриш хизмати

41. Тўлов тизимлари операторлари, тўлов тизимининг иштирокчилари ва тўлов ташкилотлари банк ва тўлов тизимларида шубҳали (фрод) операцияларга қарши чоралар кўриш хизмати вазифаларига қуйидагиларни киритишлари лозим:

масофадан туриб банк карталари ва ҳисобварақлари, мобил иловалардаги аккаунтлар ҳамда электрон ҳамёнлар билан боғлиқ операцияларни амалга оширувчи ахборот тизимларини (мобил илова, интернет банкинг ва бошқалар) Марказий банкнинг марказлашган антифрод ҳамда биометрик идентификация тизимларига улаш;

пул маблағларини ўтказиш билан боғлиқ шубҳали (фрод) операциялари рўйхатини юритиб бориш;

банк карталари ва ҳисобварақлари, мобил иловалардаги аккаунтлар ҳамда электрон ҳамёнлар билан боғлиқ шубҳали (фрод) операцияларида иштирок этган банк карталари тўғрисидаги маълумотларни йиғиб бориш;

банк карталари ва ҳисобварақлари, мобил иловалардаги аккаунтлар ҳамда электрон ҳамёнлар билан боғлиқ шубҳали (фрод) операцияларини амалга оширилишини антифрод тизимлари ёрдамида олдини олиш;

банк карталари билан боғлиқ шубҳали (фрод) операциялар содир этилган тақдирда, Марказий банкнинг мажбурий кўрсатмасига асосан банк карталари ва ҳисобварақлари, мобил иловалардаги аккаунтлар ҳамда электрон ҳамёнлардан фойдаланишни уч кунгача муддатга вақтинча чеклашни (блоклашни) амалга ошириш;

банк карталари ва ҳисобварақлари, мобил иловалардаги аккаунтлар ҳамда электрон ҳамёнлар билан боғлиқ шубҳали (фрод) операцияларга қарши чораларни кўриш хизмати (шубҳали (фрод) операцияларга қарши чоралар кўришга масъул ходимлари) фаолиятини тун-у кун (24/7) режимида ишлашини ташкил этиш;

масофадан туриб банк карталари ва ҳисобварақлари, мобил иловалар аккаунтлари ҳамда электрон ҳамёнлар билан боғлиқ операцияларни амалга оширувчи ахборот тизимларини (мобил илова, интернет банкинг ва бошқалар) антифрод ҳамда биометрик идентификация тизимлари билан боғлиқ ҳолда узлуксиз ишлашини назорат қилиш.

17-боб. Жисмоний ва юридик шахсларнинг розилигисиз тўловлар амалга оширилишини олдини олиш

42. Тўлов тизими операторлари, тўлов тизимининг иштирокчилари ва тўлов ташкилотлари таваккалчиликларни бошқариш тўғрисидаги ҳужжатларида жисмоний ва юридик шахсларнинг розилигисиз амалга оширилган пул ўтказмаларининг тавсифи, миқдори ва ҳаракатларини таҳлил этиш орқали банк карталаридан жисмоний ва юридик шахсларнинг розилигисиз амалга оширилган пул ўтказмаларининг мезонларига мос келадиган операцияларни аниқлаш жараёнларини белгилайди.

43. Тўлов тизими операторлари банк карталари орқали жисмоний ва юридик шахсларнинг розилигисиз пул ўтказмаларини олдини олиш мақсадида транзакцион антифрод тизимларини жорий этиши ҳамда Марказий банкнинг марказлашган антифрод тизимига интеграция қилинишини таъминлаши лозим.

44. Тўлов тизимининг иштирокчилари ва тўлов ташкилотлари ўзларида сессион антифрод тизимларини жорий этиши ҳамда Марказий банкнинг марказлашган антифрод тизимига интеграция қилинишини таъминлаши лозим.

45. Тўлов тизими иштирокчилари ва тўлов ташкилотларида банк карталари орқали жисмоний ва юридик шахсларнинг розилигисиз амалга оширилган пул ўтказмаларининг мезонларига мос келадиган операциялар аниқланганда, ушбу операция бўйича тақдим этилган фармойишнинг бажарилишини антифрод тизимлари доирасида амалга оширади.

46. Тўлов тизими операторлари, тўлов тизимининг иштирокчилари ва тўлов ташкилотлари жисмоний ва юридик шахсларнинг розилигисиз амалга ошириладиган тўловларни олдини олиш мақсадида қуйидагиларни бажариши лозим:

жисмоний ва юридик шахсларнинг розилигисиз амалга оширилган пул ўтказмаларининг тавсифи, миқдори ва ҳаракатларини таҳлил этиши, таваккалчиликларни баҳолаши ва бошқариши ҳамда уларнинг мезонларига мос келадиган операцияларни аниқлаш жараёнларини белгилаши;

жисмоний ва юридик шахслар ўртасида тузилган шартномаларда (оммавий оферталарда) антифрод тизими доирасида банк карталари билан боғлиқ шубҳали (фрод) операцияларга қарши чоралар кўриш масалаларини ёритиши;

банк карталари билан боғлиқ шубҳали (фрод) операциялар бўйича келиб тушадиган мурожаатларни йиғиши ва таҳлил қилиши;

тўлов хизмати фойдаланувчисининг пул маблағларини ўтказиш вақтида, ушбу тўлов шубҳали (фрод) операциялар рўйхатида бўлса, бундай ҳолат ҳақида фойдаланувчига хабар (SMS, мессенжер ёки бошқа ахборот тизимлар орқали) бериши, такрорий тасдиқ (PIN код, яширин сўзни киритиш ёки бошқа тарзда маълумот) олиши, агар маълум вақт оралиғида ушбу тасдиқ олинмаса, ушбу тўлов операциясини бекор қилиши;

фойдаланувчи томонидан ўзининг ҳисоб-варақларига тегишли тўлов операцияларини тўхтатиш (блокировка қилиш) имкониятини яратиши;

банк карталари билан боғлиқ шубҳали (фрод) операцияларда иштирок этган банк карталари ва ҳисобварақлари, мобил иловалари аккаунтлари ҳамда электрон ҳамёнлар тўғрисида ўзларининг ахборот тизимларида мавжуд бўлган маълумотларни Марказий банкнинг сўровига асосан ўз вақтида тақдим этиши;

ахборот тизимлари ва ресурсларида аниқланган, жисмоний ва юридик шахсларнинг розилигисиз амалга оширилган пул ўтказмаларини ўтказиш ёки ўтказишга уриниш ҳолатлари тўғрисидаги маълумотларни Марказий банкка тақдим этиб бориши.

47. Тўлов тизими операторлари, тўлов тизимининг иштирокчилари ҳамда тўлов ташкилотлари томонидан жисмоний ва юридик шахсларнинг розилигисиз тўловлар содир этилган ҳолатларда иштирок этган банк карталари ва ҳисобварақлари, мобил иловалари аккаунтлари ҳамда электрон ҳамёнлардан фойдаланишни вақтинча чекланган (блокланган) муддат мобайнида қонун ҳужжатларида уларни чеклаш (блоклаш) учун бошқа асослар бўлмаганда, улардан фойдаланишга қўйилган вақтинчалик чеклов (блоклаш) олиб ташланади.

48. Жисмоний ва юридик шахсларнинг розилигисиз амалга оширилган пул ўтказмаларининг мезонлари Марказий банк бошқарувининг қарорига асосан белгиланади.

18-боб. ЭПОС-терминалларидан фойдаланишда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш

49. Тўлов тизими операторлари, тўлов тизимининг иштирокчилари ҳамда тўлов ташкилотлари EPOS-терминалларидан фойдаланишда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича қуйидагиларни амалга ошириши лозим:

тўлов агентлари ва субагентларининг реестрини юритиши, шунингдек, тўлов агентлари ёки субагентларини рўйхатдан ўтказиш, ўзгартириш ва ўчиришда 1 иш куни ичида Марказий банкка ўзгартирилган реестрни тақдим этиши;

жисмоний шахслар ўртасида пул маблағларини ўтказишни (P2P) амалга ошириш учун алоҳида EPOS-терминалидан фойдаланиши, шунингдек ушбу EPOS-терминалларидан бошқа мақсадларда фойдаланишини таъқиқлаши;

EPOS-терминалларидан шартномада кўрсатилган мақсадларда фойдаланишни назорат қилиши;

EPOS-терминалларидан, шунингдек фойдаланувчи пароллари ва кириш ҳуқуқларидан фойдаланишда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тартибини ишлаб чиқиши.

50. Тўлов тизими операторлари ва тўлов тизимининг иштирокчилари Марказий банкнинг мажбурий кўрсатмасига кўра, шубҳали (фрод) операциялари амалга оширилишини чеклаш ёки тўхтатиш мақсадида EPOS-терминаллардан фойдаланишни тўхтатиш ёки ушбу терминалларни ўчириш чораларини кўриши лозим.

19-боб. Якуний қоида

51. Мазкур Низом талабларининг бузилишида айбдор бўлган шахслар қонунчилик ҳужжатларида белгиланган тартибда жавобгар бўлади.

Раис М. НУРМУРАТОВ

Ўзбекистон Республикаси ДХХ Раиси А. АЗИЗОВ

Электрон технологияларни ривожлантириш маркази бошлиғи О. ХОДЖАКБАРОВ

Истиқболли лойиҳалар миллий агентлиги директори Д. ЛИ

Ички ишлар вазири П. БОБОЖОНОВ

Рақамли технологиялар вазири Ш. ШЕРМАТОВ

Тошкент ш.,

2024 йил 24 апрель,

2024 йил 19 апрель

2024 йил 23 апрель

2024 йил 23 апрель

2024 йил 1 апрель

2024 йил 29 март

13/1-сон

(Қонунчилик маълумотлари миллий базаси, 22.05.2024 й., 10/24/3513/0359-сон; 03.08.2026 й., 10/26/3914/0809-сон)

lex.uz

Oʻzbekiston Respublikasi Markaziy banki boshqaruvining

Qarori

NIZOM

Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilarning toʻlov tizimlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash hamda raqamli texnologiyalar vositasida sodir etiladigan huquqbuzarliklarni oldini olish choralarini koʻrish toʻgʻrisidagi nizomni tasdiqlash haqida

Oʻzbekiston Respublikasining “ Oʻzbekiston Respublikasining Markaziy banki toʻgʻrisida ”gi va “ Kiberxavfsizlik toʻgʻrisida ”gi qonunlari, Oʻzbekiston Respublikasi Prezidentining 2023-yil 30-noyabrdagi PQ-381-son “Raqamli mahsulotlar (xizmatlar) isteʼmolchilari huquqlarini himoya qilish va raqamli texnologiyalar vositasida sodir etiladigan huquqbuzarliklarga qarshi kurashishni kuchaytirish choralari toʻgʻrisida”gi qaroriga muvofiq Oʻzbekiston Respublikasi Markaziy banki boshqaruvi qaror qiladi:

1. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilarning toʻlov tizimlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash hamda raqamli texnologiyalar vositasida sodir etiladigan huquqbuzarliklarni oldini olish choralarini koʻrish toʻgʻrisidagi nizom ilovaga muvofiq tasdiqlansin.

2. Oʻzbekiston Respublikasi Markaziy banki boshqaruvining 2020-yil 11-iyundagi 13/10-son “Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilarining toʻlov tizimlarida axborot xavfsizligini taʼminlash toʻgʻrisidagi nizomni tasdiqlash haqida”gi qarori (roʻyxat raqami 3268, 2020-yil 30-iyun) (Qonun hujjatlari maʼlumotlari milliy bazasi, 30.06.2020-y., 10/20/3268/1112-son) oʻz kuchini yoʻqotgan deb topilsin.

3. Mazkur qaror Oʻzbekiston Respublikasi Davlat xavfsizlik xizmati, Raqamli texnologiyalar vazirligi, Ichki ishlar vazirligi, Istiqbolli loyihalar milliy agentligi hamda Elektron texnologiyalarini rivojlantirish markazi bilan kelishilgan.

4. Mazkur qaror rasmiy eʼlon qilingan kundan eʼtiboran uch oydan keyin kuchga kiradi.

Kelishildi:

Oʻzbekiston Respublikasi Markaziy banki boshqaruvining 2024-yil 24-apreldagi 13/1-son qaroriga ILOVA

Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilarning toʻlov tizimlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash hamda raqamli texnologiyalar vositasida sodir etiladigan huquqbuzarliklarni oldini olish choralarini koʻrish toʻgʻrisidagi

Mazkur Nizom toʻlov tizimi operatorlari va toʻlov xizmatlarini yetkazib beruvchilarning toʻlov tizimlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash hamda raqamli texnologiyalar vositasida sodir etiladigan huquqbuzarliklarni oldini olishga doir talablarni belgilaydi.

1-bob. Umumiy qoidalar

1. Mazkur Nizomda quyidagi asosiy tushunchalardan foydalaniladi:

avtorizatsiya — maʼlum shaxsga yoki shaxslar guruhiga muayyan harakatlarni amalga oshirish huquqini berish;

autentifikatsiya — foydalanuvchi, dastur, qurilma yoki maʼlumotlarning haqiqiyligini tasdiqlash tartib-taomili;

identifikatsiya — toʻlov tizimlari subyektlariga identifikator tayinlash va/yoki belgilangan identifikatorlar roʻyxati bilan identifikatorlarni taqqoslash;

kriptografik kalit — elektron raqamli imzoni hisoblash yoki tekshirish, shuningdek shifrlash va dastlabki matnga oʻgirish uchun qoʻllaniladigan simvollar ketma-ketligi;

masofaviy xizmat koʻrsatish tizimi — elektron xizmatlardan foydalanish uchun toʻlov xizmatlaridan foydalanuvchi va ushbu xizmatlarni yetkazib beruvchi oʻrtasidagi aloqani taʼminlaydigan telekommunikatsiya vositalari, raqamli va axborot texnologiyalari, dasturiy taʼminot va uskunalar majmui;

muhim toʻlov tizimlari operatorlari — toʻlov tizimining ishidagi toʻxtalishlar (uzilishlar) Oʻzbekiston Respublikasi toʻlov xizmatlari bozorida tavakkalchiliklarning paydo boʻlishiga olib kelishi mumkin boʻlgan hamda Oʻzbekiston Respublikasi Markaziy banki (bundan buyon matnda Markaziy bank deb yuritiladi) tomonidan muhim toʻlov tizimi jumlasiga kiritilgan toʻlov tizimining operatori hisoblangan yuridik shaxs;

toʻlov — pul majburiyatini naqd pul mablagʻlari bilan bajarish yoxud pul mablagʻlarini toʻlov vositalaridan foydalangan holda oʻtkazish;

toʻlov agenti — bank yoki toʻlov tashkiloti bilan toʻlov xizmatlari koʻrsatish uchun agentlik shartnomasini tuzgan, bank hisoblanmaydigan yuridik shaxs;

toʻlov subagenti — toʻlov agenti bilan toʻlov xizmatlarini koʻrsatish boʻyicha subagentlik shartnomasini tuzgan, bank hisoblanmaydigan yuridik shaxs yoki yakka tartibdagi tadbirkor;

toʻlov tashkiloti — bank hisoblanmaydigan, toʻlov xizmatlarini koʻrsatish boʻyicha faoliyatni amalga oshirishga vakolatli boʻlgan yuridik shaxs;

toʻlov tizimlari operatorlari — Oʻzbekiston Respublikasi hududida toʻlov tizimining ishlashini taʼminlash boʻyicha faoliyatni amalga oshiruvchi yuridik shaxs;

toʻlov tizimining ishtirokchilari — toʻlov tizimi operatori bilan hisob-kitoblarni amalga oshiruvchi va toʻlov tizimlarida ishtirok etish toʻgʻrisida shartnoma tuzgan banklar;

toʻlov xizmatlarini yetkazib beruvchilar — Oʻzbekiston Respublikasi Markaziy banki, banklar, toʻlov tashkilotlari, toʻlov agentlari, toʻlov subagentlari;

kliring — toʻlov tizimi ishtirokchilarining pulga doir oʻzaro talablari va majburiyatlarini yigʻish, taqqoslash hamda hisobga oʻtkazish jarayoni;

elektron pullar — elektron pullar emitentining elektron shaklda saqlanadigan hamda elektron pullar tizimida toʻlov vositasi sifatida qabul qilinadigan shartsiz va chaqirib olinmaydigan pul majburiyatlari;

axborotlashtirish obyekti — turli darajadagi va maqsadlardagi axborot tizimlari, telekommunikatsiya tarmoqlari, axborotga ishlov berishning texnik vositalari, ushbu vositalar oʻrnatilgan va ishlatiladigan xonalar, shuningdek muzokaralar, shu jumladan maxfiy muzokaralar olib borish uchun moʻljallangan alohida xonalar;

antifrod tizimi — bank kartalari va hisobvaraqlari, mobil ilovalar akkauntlari hamda elektron hamyonlar yordamida toʻlovlarni amalga oshirishda sodir etiladigan firibgarlikni oldini olishga qaratilgan jarayonlar yigʻindisi;

frod — axborot texnologiyalarini qoʻllagan holda sodir etiladigan firibgarlik harakatlari;

axborot xavfsizligi — axborot munosabatlarining subyektlariga nomaqbul ziyonlarni keltirishi mumkin boʻlgan tabiiy yoki sunʼiy xususiyatli tasodifiy yoki qasddan qilingan taʼsirlardan axborot va taʼminlab turadigan infratuzilmaning muhofaza qilinganligi;

kiberxavfsizlik — kibermakonda shaxs, jamiyat va davlat manfaatlarining tashqi va ichki tahdidlardan himoyalanganlik holati;

xavfsizlik rejimi — normativ-huquqiy hujjatlar va texnik jihatdan tartibga solish sohasidagi normativ hujjatlar bilan belgilangan, maʼmuriy-huquqiy, tashkiliy, injener-texnik va boshqa chora-tadbirlarni oʻz ichiga oladigan, tashkilotning konfidensial maʼlumotlaridan noqonuniy foydalanishning oldini olishni taʼminlovchi tartib.

2-bob. Toʻlovlar toʻgʻrisidagi axborotni himoya qilish

2. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar oʻzlarining axborot tizimlari xususiyatlaridan kelib chiqib, axborot xavfsizligi siyosatini ishlab chiqadi.

3. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar toʻlovlar toʻgʻrisidagi axborotni shakllantirish, uzatish, saqlash va unga ishlov berishning barcha bosqichlarida toʻlovlar toʻgʻrisidagi axborotni uzluksiz himoya qilish uchun quyidagi choralarni koʻrishlari lozim:

identifikatsiya, autentifikatsiya va avtorizatsiya qilish tizimini joriy etish;

tizimga ruxsatsiz kirishning oldini olish usullarini (login, parol, biometrik identifikatsiya, ikki faktorli autentifikatsiya (2FA) va boshqa) qoʻllash;

toʻlov hujjati va identifikatsiya maʼlumotlarini qalbakilashtirish, ularni ruxsatsiz oʻzgartirish hamda uchinchi shaxslarga taqdim etishdan himoyalash ;

toʻlov axborotlari shakllantirilishini, toʻlov hujjatining haqqoniyligi tekshirilishini va ularga ishlov berilishini hamda asosli oʻzgartirishlar kiritilishini taʼminlash va nazorat qilish;

toʻlov hujjatlarini uzatishda ushbu hujjatning asl egasiga yetkazilishini hamda boshqa shaxslarga joʻnatilishining oldi olinishini taʼminlash;

amalga oshirilgan toʻlovga oid maʼlumotlarni saqlashda ularni ruxsatsiz koʻchirish, oʻzgartirish, oʻchirish hamda uchinchi shaxslarga joʻnatilishining oldini olish choralarini koʻrish;

tashqi saqlovchiga koʻchirilgan toʻlovga oid maʼlumotlarning seyfda (temir shkafda) saqlanishini taʼminlash hamda maʼlumotlarni saqlash uchun masʼul xodim (xodimlar) tayinlash;

axborot tizimlaridagi dasturiy taʼminotlarning nazoratini va hisobini yuritish hamda axborot tizimlaridagi dasturiy taʼminot talqinlarining, apparat-dasturiy qurilmalarining va dasturiy vositalarining uzluksiz ishlashini taʼminlash;

axborot tizimlarining aktual holatda (oxirgi versiya) boʻlishini taʼminlash, bunda dasturiy taʼminotning yangi talqinini tekshiruvdan oʻtkazgandan soʻng axborot tizimiga joriy etish;

toʻlov axborotlariga ishlov berish, ularni uzatish hamda saqlash jarayonlarini elektron bayonnomalarda avtomatik tarzda shakllantirib borish hamda ularning saqlanishini taʼminlash;

axborot xavfsizligi va kiberxavfsizlikni taʼminlash xizmati hamda bank va toʻlov tizimlarida shubhali frod operatsiyalarga qarshi choralar koʻrish xizmatlarini tashkil etish, shuningdek axborot xavfsizligi va kiberxavfsizlikni taʼminlash hamda bank kartalari bilan bogʻliq shubhali (frod) operatsiyalarga qarshi choralar koʻrish boʻyicha amalga oshiriladigan ishlarni nazorat qilish;

hisoblash tarmogʻining xavfsizligi va kriptografik muhofazasini taʼminlash, kompyuter viruslaridan himoyalash, axborot tizimlariga kirishni boshqarish, texnik vositalarini sozlash va boshqa choralarni qoʻllash;

axborot xavfsizligi va kiberxavfsizlikni taʼminlash hamda bank kartalari bilan bogʻliq shubhali (frod) operatsiyalarga qarshi choralar koʻrish uskunalari, qurilmalar, apparat-dasturiy va dasturiy texnik vositalari qoʻllanishini taʼminlash hamda ularni muntazam takomillashtirib borish, foydalanish tartiblarini belgilash, ularga texnik xizmat koʻrsatish, taʼmirlash va boshqa holatlarda ulardan koʻzda tutilmagan tarzda ruxsatsiz foydalanishning oldini olish;

qoʻllanilayotgan texnik vositalarga barcha telekommunikatsiya tarmoqlaridan ruxsatsiz kirish, ulardagi maʼlumotlarni oʻzgartirish, oʻchirish, koʻchirib olishdan himoyalash;

axborotlarni chiqib ketishi (yoʻqolishini) oldini olish;

axborot tizimiga ruxsatsiz kirish yoki kiberxavfsizlik hodisalari sodir etilganda, ularni tahlil qilish asosida himoya tizimlarini mustahkamlab borish choralarini koʻrish.

4. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar dasturlarga va operatsion tizimga zarar keltiruvchi zararli kodlar (kompyuter viruslari) va ularning salbiy taʼsirining oldini olish uchun quyidagi choralarni koʻrishi kerak:

hisoblash texnikasi qurilmalari (serverlar, kompyuterlar va boshqalar), bankomat, embosser va toʻlov terminallarining (texnik imkoniyatidan kelib chiqib) ish faoliyatiga zarar yetkazuvchi kodlarni (kompyuter viruslarini) aniqlash va ularning salbiy taʼsirining oldini olish choralarini koʻrish;

axborot tizimlarida faqat litsenziyalangan antivirus dasturidan foydalanish, ularning rusumlari va bazalari aktualligi hamda yangilanib borilishini taʼminlash;

antivirus dasturlarining avtomatik tarzda ishlashini taʼminlash;

internet va korporativ tarmoqlar orqali kelgan barcha axborotlarni antivirus dasturi orqali tekshirish.

5. Toʻlov tizimlarida axborotni muhofaza qilishning kriptografik usullari qoʻllanilishi va toʻlov tizimi qoidalarida quyidagilar belgilab berilishi lozim:

kriptografik muhofaza vositalarini avtomatlashtirilgan tizimlarga bogʻlash, ishga tushirish, ishlatish va foydalanishdan chiqarish tartibi;

kriptografik muhofaza vositalarining toʻxtab qolishi, ishdan chiqishi va boshqa favqulodda holatlarda ularni qayta tiklash tartibi;

kriptografik muhofaza dasturlariga va texnik hujjatlariga oʻzgartirishlar kiritish tartibi;

kriptografik kalitlarni boshqarish tartibi;

kriptografik kalitlarni tashuvchi qurilmalarni qoʻllash, saqlash, oʻzgartirish va boshqalar boʻyicha tashkiliy, texnikaviy usullarni qoʻllash tartibi.

Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar Oʻzbekiston Respublikasi Markaziy banki bilan axborot almashinuvida axborot xavfsizligi hamda kiberxavfsizlikni taʼminlashlari shart.

6. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilarning axborotlashtirish obyektlariga ruxsatsiz kirish hamda foydalanishni chegaralash maqsadida quyidagi choralar koʻrilishi kerak:

axborotlashtirish obyektlariga, shu jumladan, bankomat, toʻlov terminallari va toʻlov oʻtkazish elektron qurilmalariga jismonan taʼsir etishni hamda texnik jihozlar mavjud boʻlgan bino va xonalarga kirishni nazorat qilish;

toʻlovlarni amalga oshirishda qoʻllaniladigan avtomatlashtirilgan tizimlar, dasturlar, hisoblash texnikalari, telekommunikatsiya qurilmalari parametrlari va tuzilmalari hamda toʻlov tizimida ishlash huquqini beruvchi maʼlumotlarni (parol, biometrik va boshqa maʼlumotlar) oʻz ichiga olgan texnik vositalarning jismoniy muhofazasini (xavfsizlik rejimini) taʼminlash va ruxsatsiz taʼsir etishning oldini olish;

toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilarning xodimlari axborotlashtirish obyektlariga kirishini nazorat qilish va maʼlumotlarni ruxsatsiz tarqalishidan himoyalash tizimlarini joriy qilish;

serverlar va telekommunikatsiya qurilmalari joylashgan xonalarda ishlash jarayonlarini videokuzatuv tizimlari yordamida nazorat qilish.

7. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar quyidagi maʼlumotlarni oʻz ichiga olgan axborot tizimlarining axborot xavfsizligi va kiberxavfsizligini taʼminlashlari kerak:

bank (karta) hisobvaragʻida pul mablagʻlari qoldiqlari toʻgʻrisidagi maʼlumotlar;

elektron pullar qoldiqlari toʻgʻrisidagi maʼlumotlar;

amalga oshirilgan toʻlovlar toʻgʻrisidagi maʼlumotlar;

naqd pulsiz hisob-kitoblarni oʻz ichiga olgan maʼlumotlar;

banklararo toʻlov va kliring tizimlari toʻlov maʼlumotlari;

kriptografik muhofazani taʼminlash uchun qoʻllaniladigan kriptografik kalitlar;

toʻlovlarni amalga oshirishda qayta ishlanadigan konfidensial axborotlarni (bank siri, shaxsga doir maʼlumotlar va boshqa qonun bilan muhofaza qilinadigan maʼlumotlar);

mijozlarning bank kartalari, akkauntlari va identifikatsiyadan oʻtganligi toʻgʻrisidagi maʼlumotlar.

8. Toʻlov tizimlari operatorlari yoki toʻlov xizmatlarini yetkazib beruvchilar masofadan toʻlov xizmatlarini koʻrsatuvchi axborot tizimlarini (mobil ilova, internet banking va boshqalar) (bundan buyon matnda masofaviy axborot tizimlari deb yuritiladi) amaliyotga joriy etish hamda ularga oʻzgartirish kiritishdan avval quyidagilarni taʼminlashlari lozim:

masofaviy axborot tizimlarining toʻlovlarni oʻtkazish bilan bogʻliq barcha funksiyalarini sinov (test) tarzida toʻliq tekshiruvdan oʻtkazishni taʼminlash;

masofaviy axborot tizimlarini texnik topshiriqlar, ularni texnik topshiriqqa va kiberxavfsizlik talablariga muvofiqligi yuzasidan ekspertizadan oʻtkazish hamda ularning natijalari boʻyicha ekspertiza xulosalarini Markaziy bankka taqdim etish;

masofaviy axborot tizimlarini uyali aloqa darajasida axborot xavfsizligini taʼminlash tizimi, Markaziy bankning markazlashgan antifrod hamda zamonaviy biometrik identifikatsiya tizimlariga ulanishini taʼminlash;

dasturlarni ishlatish boʻyicha yoʻriqnomalarni ishlab chiqish va ularning aktualligini taʼminlagan holda mijozlarga taqdim etish;

aniqlangan zaifliklarni bartaraf etish uchun oʻzgarishlar kiritilishini taʼminlash;

mijozlar qoʻllayotgan dasturlarning aktualligini nazorat qilish.

Toʻlov tizimlari operatorlari yoki toʻlov xizmatlarini yetkazib beruvchilar masofaviy axborot tizimlarining yangi talqinini (versiyasini) joriy etganidan soʻng eski talqindan (versiyadan) foydalanishni cheklashi va yangi talqinga (versiyaga) oʻtishi (yangilashi) lozim.

9. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar oʻzaro toʻlov axborotlari va toʻlov axborotlariga tegishli boʻlgan maʼlumotlar almashinuvini telekommunikatsiya tarmoqlari orqali amalga oshirish uchun tomonlarning axborotlashtirish obyektlari xususiyatlaridan kelib chiqib, ularning vazifalari, javobgarliklari va mazkur Nizom talablarini oʻz ichiga olgan axborot xavfsizligi va kiberxavfsizligini taʼminlash, shuningdek bank kartalari bilan bogʻliq shubhali (frod) operatsiyalarga qarshi choralar koʻrish qoidalarini ishlab chiqishi kerak.

10. Toʻlov agenti tomonidan bank yoki toʻlov tashkiloti bilan toʻlov xizmatlarini koʻrsatish uchun tuzilgan agentlik shartnomasida axborot xavfsizligi boʻyicha tomonlarning masʼuliyatlari belgilangan boʻlishi kerak.

11. Toʻlov subagenti tomonidan toʻlov agenti bilan toʻlov xizmatlarini koʻrsatish boʻyicha tuzilgan subagentlik shartnomasida axborot xavfsizligi boʻyicha tomonlarning masʼuliyatlari belgilangan boʻlishi kerak.

3-bob. Toʻlov axborotlarining konfidensialligi hamda ulardagi shaxsga doir maʼlumotlarni himoya qilish

12. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar axborotning konfidensialligi va yaxlitligini, shu jumladan, toʻlov xizmatlaridan foydalanuvchining shaxsiga doir maʼlumotlarni muhofaza qilishda hamda yetarli xavfsizlikni taʼminlash maqsadida quyidagi choralarni koʻrishlari lozim:

toʻlov tizimida ishlov beriladigan konfidensial va shaxsga doir maʼlumotlarning yaxlitligi va daxlsizligini muhofaza qilish hamda ulardan foydalanish tartibini ishlab chiqish;

ichki hujjatlar bilan tartibga solinadigan himoyalanadigan maʼlumotlar bilan ishlashda xavfsizlik va konfidensiallikni taʼminlash qoidalari va talablarini ishlab chiqish;

konfidensial va shaxsga doir maʼlumotlar bilan ishlovchi xodimlar sonini imkon darajasida kamaytirish, xodimlar bilan konfidensial va shaxsga doir maʼlumotlar oshkor etilishining oldini olish boʻyicha majburiyatnomalar (shartnoma) tuzish va ushbu maʼlumotlardan foydalanish huquqlarini xodimlarning lavozim majburiyatlaridan kelib chiqib belgilash;

konfidensial maʼlumotlar roʻyxatini yuritish boʻyicha komissiya tarkibini shakllantirish va tasdiqlash;

konfidensial maʼlumotlar roʻyxati va hajmini aniqlash hamda tasdiqlash;

konfidensial maʼlumotlar bilan ishlashga ruxsat berilgan xodimlar roʻyxatini shakllantirish va tasdiqlash;

axborotlashtirish obyektining texnik pasportini ishlab chiqish va tasdiqlash;

konfidensial maʼlumotlar bilan ishlash tartibini ishlab chiqish va tasdiqlash;

konfidensial maʼlumotlarni tashuvchi vositalarni roʻyxatga olish, yoʻq qilish, konfidensial axborot tashuvchilarni tashqariga olib chiqish/kirish jurnallari yuritish;

maʼlumotlar yaxlitligi va xavfsizligini taʼminlash maqsadida elektron raqamli imzo kalitlaridan foydalanish hamda shifrlangan maʼlumotlarni saqlash tartibini belgilash;

konfidensial va shaxsga doir maʼlumotlar mavjud boʻlgan resurslarga kirishda identifikatsiya, autentifikatsiya va avtorizatsiya qilinishini taʼminlash;

konfidensial va shaxsga doir maʼlumotlar bilan ishlash huquqlarining ruxsatsiz berilishini oldini olish;

axborot tizimlari foydalanuvchilarining muhofazalangan maʼlumotlariga kirish, ishlov berish, ularni saqlash hamda taqdim etish jarayonidagi amalga oshirilgan harakatlarni elektron bayonnomalarda qayd etib borish;

tashqi saqlovchi qurilmalar va texnik vositalarning binodan tashqariga olib chiqilishi hamda ularning oʻgʻirlanishining oldini olish;

maʼlumotlarni uzatish, saqlash, oʻchirib tashlash, ularga ishlov berish hamda ularning ruxsatsiz chetga chiqib ketishining oldini olish choralari taʼminlanganligini nazoratga olish.

12 1 . Toʻlov tizimi operatorlari va toʻlov xizmatlarini yetkazib beruvchilar tomonidan mijozlarni identifikatsiya va autentifikatsiya qilish jarayonida foydalanilgan jismoniy shaxslarning biometrik maʼlumotlari Oʻzbekiston Respublikasi hududida saqlanishi shart.

Mijozga tegishli biometrik boʻlmagan boshqa turdagi shaxsga doir maʼlumotlar Oʻzbekiston Respublikasi “Shaxsga doir maʼlumotlar toʻgʻrisida”gi Qonunining 27 1 -moddasi uchinchi qismiga muvofiq Oʻzbekiston Respublikasi hududidan tashqarida saqlanishi va ularga ishlov berilishi mumkin.

4-bob. Axborot xavfsizligi va kiberxavfsizlikni taʼminlash xizmati

13. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar axborot tizimlarida axborot muhofazasi uchun axborot xavfsizligi va kiberxavfsizlikni taʼminlash xizmati vazifalariga quyidagilarni kiritishlari lozim:

axborot tizimlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha mazkur Nizom talablarining bajarilishini nazorat qilish;

axborot xavfsizligiga oid choralar taʼminlanganligini baholash, axborot xavfsizligi va kiberxavfsizlik darajasini oshirish, shuningdek avariyalar va xodimlarning yoʻl qoʻygan xatolari natijasida kelib chiqadigan yoʻqotishlarni kamaytirish va ularning sodir etilishining oldini olish;

axborot infratuzilmasining yaxlitligi va xavfsizligini nazorat qilish;

serverlardagi dasturiy taʼminotlarni muhofaza qilish;

barcha texnologik jarayonlarda xodimlar harakatlari, shuningdek, axborot tizimlaridagi amalga oshirilgan toʻlov xizmatlaridan foydalanuvchilarining harakatlari boʻyicha elektron bayonnomalar roʻyxatini yuritish;

avtomatlashtirilgan tizimlarda kiberxavfsizlikni va noqonuniy harakatlar bilan mablagʻlarni oʻzlashtirishning oldini olish choralarini koʻrish;

maʼlumotlar uchinchi shaxslarga oshkor etilishining oldini olish choralarini koʻrish;

axborot kommunikatsiya texnologiyalari infratuzilmasida yuzaga kelgan axborot xavfsizligi va kiberxavfsizlik hodisalari, kibertahdidlar, kiberhujumlar aniqlangan vaqtda bu haqidagi maʼlumotlarni Markaziy bankka taqdim etish;

axborot kommunikatsiya texnologiyalari infratuzilmasi, axborot tizimlari va resurslarida axborot xavfsizligi va kiberxavfsizlikning taʼminlanganlik holatining mazkur Nizom talablari, ichki qoida va tartiblarga muvofiqligini bir yilda kamida ikki marotaba axborot xavfsizligi va kiberxavfsizlik tavakkalchiliklarini hisobga olgan holda oʻrganish va oʻrganish natijalarini dalolatnoma bilan rasmiylashtirish.

5-bob. Axborot tizimlarida xodimlarning vakolatlarini cheklash

14. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar axborot tizimlarida ishlash jarayonida, shu jumladan, ishlab chiqish, sinovdan oʻtkazish jarayonida xodimlarning vakolatlarini chegaralash uchun quyidagi choralarni koʻrishlari lozim:

axborot tizimlarida ishlash huquqlarini belgilovchi tartib va qoidalarni ishlab chiqish va ularni lavozim yoʻriqnomalarida aks ettirish hamda tegishli hujjatga (ariza, talabnoma yoki boshqa shaklga) asosan tizimdan foydalanish tartibini taʼminlash;

axborot tizimlarida ishlash huquqi berilgan masʼul xodimlar roʻyxatini shakllantirish;

axborot tizimlarida ishlash huquqlarini belgilash va taqsimlash bilan bogʻliq harakatlarni roʻyxatga olish;

axborot tizimlarida ishlash huquqlari mantiqan, ish vazifasidan kelib chiqib toʻgʻri belgilanganligini davriy (yiliga kamida ikki marotaba) tekshirib turish;

axborot tizimlarining ishlashi va sinovdan oʻtkazilishi davrida axborot xavfsizligi va kiberxavfsizlikni taʼminlash hamda berilgan axborot tizimlarida ishlash huquqlari toʻgʻriligini nazorat qilish;

axborot tizimi foydalanuvchilari axborot tizimi tomonidan berilgan huquqlarni oʻzgartirish imkoniyatiga ega boʻlmasligi hamda bu huquqlarni begona shaxslarga berishni cheklash choralarini koʻrish.

15. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar oʻzlarining axborot tizimlariga oʻzgartirishlar kiritish uchun boshqa tashkilotlarni jalb qilganda quyidagilarni amalga oshirishlari zarur:

konfidensial va shaxsga doir maʼlumotlarni oshkor etmaslik boʻyicha bitim tuzish;

axborot tizimlaridagi toʻlovlarga oid va boshqa muhofaza qilinadigan maʼlumotlar bilan ishlashni belgilangan tartibda ruxsat berish asosida amalga oshirish;

tegishli litsenziya va (yoki) boshqa ruxsatnomaga ega boʻlgan (agar ushbu faoliyat litsenziya yoki tegishli ruxsatnoma asosida amalga oshirilsa) tashkilotlarni jalb qilish;

axborot tizimlarini loyihalashtirish bosqichida maʼlumotlarning konfidensialligini taʼminlash choralarini ishlab chiqish;

koʻriladigan axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha choralar (amalga oshiriladigan ishlar, oʻrnatiladigan dasturlar, qurilmalar va boshqalar), aniq koʻrsatilgan texnik topshiriq, qabul qilish (test sinovlarini amalga oshirish rejasi) va boshqa tegishli hujjatlarni rasmiylashtirish;

dasturiy taʼminot hamda uni ishlab chiqqan va unga oʻzgartirish kiritgan (kiritadigan) tashkilotlar roʻyxatini tuzish;

axborot tizimlarini ishlab chiqish va joriy etishning taxminiy muddatlarini va shartlarini belgilab olish;

jalb qilingan tashkilot xodimlari tomonidan axborot tizimlariga kiritiladigan oʻzgartirishlarning asosliligini, mavjud texnik topshiriqlarga mosligini, axborot tizimiga yot boʻlgan dasturlar (tizim funksiyalari) boʻlmasligini, test sinovlari natijalarining ijobiyligini axborot xavfsizligi va kiberxavfsizlikni taʼminlash xizmati hamda axborotlashtirish boʻyicha masʼul xodim tomonidan nazoratga olish.

Avtomatlashtirilgan tizimlarga oʻzgartirish kiritgan tashkilot oʻz vazifasini amalga oshirganidan soʻng yoki u bilan tuzilgan shartnoma muddati tugaganida, unga maʼlum boʻlgan barcha konfidensial maʼlumotlar (identifikator, parollar va boshqalar) hamda tizimga kirish imkoniyatlari axborot xavfsizligi va kiberxavfsizlikni taʼminlash xizmati tomonidan oʻzgartirilishi lozim.

6-bob. Axborot tarmoqlarini hujumlardan himoya qilish

16. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar axborot va internet jahon axborot tarmogʻini, shuningdek, serverlar va aloqa kanallarini ehtimoli mavjud boʻlgan kibertahdid va kiberhujumlardan himoya qilish uchun yetarli choralarni koʻrishi lozim. Ushbu choralar quyidagilarni oʻz ichiga olishi kerak:

kompyuter tarmoqlarini segmentlash va tarmoqlararo ekrandan foydalanish;

axborot tarmoqlari, shu jumladan, internet jahon axborot tarmogʻi orqali qabul qilinayotgan va uzatilayotgan maʼlumotlarga ruxsatsiz kirishning oldini olish boʻyicha texnik (kriptografik va boshqa) va/yoki tashkiliy choralar koʻrish hamda tarmoq maʼlumotlarini filtrlashni taʼminlash (tarmoqlararo ekranlarni qoʻllash);

axborot tarmoqlari va veb-saytlar orqali toʻlovlarni amalga oshirishda identifikatsiya, koʻp omilli autentifikatsiya va avtorizatsiya qilish (koʻp omilli autentifikatsiya qilish mobil va aloqasiz toʻlovlarni amalga oshirish chogʻida qoʻllanilmaydi);

axborot tarmoqlari va Internet jahon axborot tarmogʻi, shuningdek, serverlar va aloqa kanallaridan foydalanuvchilarni identifikatsiya qilish;

internet jahon axborot tarmogʻi resurslaridan xodimlarning foydalanishini proksi-server orqali amalga oshirish, ish faoliyati uchun zarur boʻlmagan veb-saytlarga kirishni chegaralash va kirilgan veb-saytlarni qayd etib borish;

axborot tizimlarini asosiy va zaxira aloqa kanallari bilan taʼminlash;

serverlar tarmogʻini muhofazalash (demilitarizatsiya qilingan zonalarini (DMZ) tashkil etish);

serverlarda ish faoliyati uchun zarur boʻlmagan portlarni yopish va xizmatlarni toʻxtatish;

axborot tizimiga kirish obyektlari va resurslarining hisobini yuritish;

mobil toʻlovlarni amalga oshirish chogʻida foydalanuvchilarni koʻp faktorli autentifikatsiya qilish (SMS, QR-kod, NFC, barmoq izlari, koʻzning rangdor pardasi asosida aniqlash yoki shu kabi tasdiqlovchi usullarni qoʻllash mumkin);

mobil qurilmalar yordamida masofadan kirishda toʻlov maʼlumotlari hamda axborot tizimlarining (maʼlumotlar bazasining) axborot xavfsizligi va kiberxavfsizligini taʼminlash;

masofaviy xizmat koʻrsatish va boshqa axborot tizimlarida mijozni identifikatsiya va autentifikatsiya qilish maqsadida qoʻllaniladigan (bir martalik yoki koʻp martalik) parollarni ishlatish tartibini belgilash, tasdiqlash kodlarini qoʻllash, bir martalik tasdiqlash kodlarini tizimga shifrlangan holda yuborish, antifrod va biometrik identifikatsiya tizimlarini qoʻllash, kodning faol boʻlish vaqti va boshqalarni yoritish;

avtomatlashtirilgan tizimga kirishda qoʻllanilgan qurilma toʻgʻrisida identifikatsiya maʼlumotlarini (IP-adres, MAC-adres va boshqa identifikatorlar) qayd etish;

tajovuzlarni aniqlash va ularning oldini olish tizimlarini qoʻllash.

17. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar chet el tashkilotlarining axborot muhofazasi uskunalarini qoʻllashlari mumkin.

18. Toʻlov tizimlari operatorlari toʻlovlar bilan bogʻliq axborot almashinuvi uchun qoʻllaniladigan texnik va tashkiliy choralarni, ish tartiblarini belgilashi hamda ushbu tartiblar ijrosi toʻlov xizmatlarini yetkazib beruvchilar tomonidan taʼminlanishi lozim.

19. Axborot xavfsizligi va kiberxavfsizligini kuchaytirish maqsadida tarmoq protokolida (TCP/IP) tarmoq tranzit paketlarining IP manzillarini oʻzgartirish imkonini beruvchi tarmoq adreslarini oʻzgartirish protokoli (NAT) qoʻllanilishi mumkin. Bunda tarmoq orqali barcha ulanishlarning elektron jurnallari asl IP manzillar koʻrsatilgan holda yuritilishi va belgilangan tartibda elektron arxivga olinishi lozim.

20. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar ichki hujjatlarida quyidagilarni belgilashlari lozim:

axborot tarmoqlarini xavfsiz va ishonchli aloqa kanallari bilan taʼminlash tartibi;

toʻlov tizimiga kirish va undan chiqish jarayoni tartibi;

foydalanuvchini toʻlov tizimiga ulashda axborot xavfsizligi va kiberxavfsizlikni taʼminlash tartibi;

axborot xavfsizligi va kiberxavfsizlik hodisasi, kibertahdid hamda kiberhujumlar bilan bogʻliq tavakkalchiliklarni baholash va boshqarish tartibi;

protsessing va kliring jarayonlarida axborot xavfsizligi tartibi va talablari (agar ushbu xizmat amalga oshirilsa);

xatarlarni boshqarish choralari va usullari;

avtomatlashtirilgan tizimda, axborot dasturlarida foydalanuvchilarning yagona identifikatorini hosil qilish tartibi;

qayd etiladigan harakatlar roʻyxati;

maʼlumotlarni roʻyxatga olish va saqlash tartibi.

7-bob. Axborot tizimlari va resurslari monitoringi

21. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar toʻlovlar boʻyicha konfidensial maʼlumotlardan va oʻta muhim mantiqiy hamda jismoniy resurslardan (axborot tarmoqlari, axborot tizimlari, maʼlumotlar bazalaridan, axborotni himoya qilish modullaridan) foydalanish monitoringini amalga oshiradi. Bunda monitoring qilishda quyidagilar belgilanadi:

axborot infratuzilmasining axborotga ishlov berish, ularni saqlash va tarmoqda uzatish uchun qoʻllaniladigan dastur va qurilmalar hisobini yuritish;

axborot xavfsizligi va kiberxavfsizlik hodisalarini tahlil qilish, axborot xavfsizligi va kiberxavfsizlik holatini monitoring qilish hamda ogohlantirish imkonini beruvchi (Security Information and Event Management (SIEM) yoki boshqalar) tizimlarni joriy qilish;

axborot xavfsizligi va kiberxavfsizligi holatini monitoring qilishni amalga oshiruvchi tizim maʼlumotlarini tahlil qilib borish va aniqlangan holatlarni (axborot tarmogʻiga ruxsatsiz kirish va kirishga urinish, tizimdagi toʻxtalishlar, axborot resurslarining yetishmovchiligi, tarmoqdagi uzilishlar, axborot xavfsizligi va kiberxavfsizligini taʼminlashdagi cheklanishlar va boshqa hodisalar) bartaraf etish va (yoki) ularning oldini olish boʻyicha choralar koʻrish;

konfidensial maʼlumotlardan va oʻta muhim mantiqiy hamda jismoniy resurslardan (axborot tarmoqlari, axborot tizimlari, maʼlumotlar bazalaridan, axborotni himoya qilish modullaridan) ruxsatsiz foydalanishning oldini olish boʻyicha choralar koʻrish;

foydalanuvchi operatsiyani amalga oshirgan sana (kun, oy, yil) va vaqt (soat, daqiqa, soniya), uning amalga oshirgan operatsiyasi foydalanuvchiga avtomatlashtirilgan tizimlarda hamda axborot dasturlarida berilgan identifikatsiya raqami, tizimlarga kirishda mavjud boʻlgan identifikatsiya maʼlumotlari (IP-adres, MAC-adres, IMEI-kod, telefon raqami va/yoki qurilmaning boshqa identifikatori), avtomatlashtirilgan tizimlar tomonidan foydalanuvchiga huquq berilishi bilan bogʻliq harakatlarni qayd etish;

axborot xavfsizligi va kiberxavfsizlik holatini tun-u kun (24/7) rejimida monitoring qilish ishlarini tashkil etish;

axborot xavfsizligi va kiberxavfsizligi holatini monitoring qilish tizimini Markaziy bank “CERT-CBU” kiberxavfsizlik markazining monitoring tizimiga bogʻlanishini taʼminlash;

axborot dasturlari, avtomatlashtirilgan tizimlar ishlatilishi bilan bogʻliq foydalanuvchilarning harakatini (operatsiya) qayd etish.

8-bob. Axborot xavfsizligi va kiberxavfsizlik talablarining buzilishi bilan bogʻliq hodisalarni aniqlash

22. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar toʻlovlarni va pul mablagʻlarini oʻtkazishni amalga oshirish chogʻida axborot xavfsizligi va kiberxavfsizlikni taʼminlashga doir talablarning buzilishi bilan bogʻliq boʻlgan hodisalarni aniqlash maqsadida axborot xavfsizligi va kiberxavfsizlikni taʼminlashga doir tashkiliy choralarni koʻrishda hamda texnik vositalarni qoʻllashda quyidagi ishlarni tashkil etishi lozim:

qoʻllanilishi zarur boʻlgan axborot xavfsizligi va kiberxavfsizlik boʻyicha tashkiliy choralarni aniqlash;

mavjud texnik qurilmalarni ishlatish, sozlash hamda ulardagi maʼlumotlarni qayd etish boʻyicha masʼul xodimlarni tayinlash;

axborot xavfsizligi va kiberxavfsizlik talablarining buzilishi bilan bogʻliq hodisalarni aniqlash choralarini koʻrish hamda ushbu holatlar xodimlar tomonidan aniqlanganda ularning axborot xavfsizligi va kiberxavfsizlikni taʼminlash xizmatini xabardor qilishi;

axborot xavfsizligi va kiberxavfsizlik talablarining buzilishi bilan bogʻliq hodisalar yuzaga kelganda ularni bartaraf etish, yuzaga kelish sabablarini aniqlash, tahlil qilish hamda aniqlangan hodisalar yuzaga kelmasligi boʻyicha tegishli choralar koʻrish;

aniqlangan hodisalarni roʻyxatga olib borish (reyestrini yuritishi);

aniqlangan hodisalar toʻgʻrisidagi maʼlumotlarni saqlash tartibini belgilash;

axborot xavfsizligi va kiberxavfsizligini taʼminlashning boshqa choralarini koʻrish.

Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar axborot xavfsizligi va kiberxavfsizlik talablarining buzilishi bilan bogʻliq hodisalar toʻgʻrisida Markaziy bankka zudlik bilan yozma yoki elektron shaklda xabar berishi lozim.

23. Toʻlov tizimlari operatorlari axborot xavfsizligi va kiberxavfsizlik talablarining buzilishi bilan bogʻliq hodisalarning oldini olish maqsadida, quyidagi talablarni belgilashi kerak:

toʻlov tizimining boshqa ishtirokchilariga toʻlovlarni amalga oshirish uchun zarur texnik va dasturiy vositalarga axborot xavfsizligi va kiberxavfsizlik boʻyicha qoʻyiladigan talablarni;

toʻlov tizimi va toʻlovlar bilan bogʻliq noxush hodisalar toʻgʻrisida maʼlumot berish shakli va tartibiga boʻlgan talablarni;

toʻlov tizimida axborot xavfsizligi va kiberxavfsizligiga oid tavakkalchiliklarni boshqarish tartibi va ularni baholash mezonlarini;

toʻlovga oid maʼlumotlarga ishlov berish vositalarining xavfsiz ishlashini taʼminlash tartibini;

toʻlov tizimida noxush hodisalar yuzaga kelganda oʻzaro harakatlanish tartibini.

24. Toʻlov xizmatlarini yetkazib beruvchilar axborot xavfsizligi va kiberxavfsizlik talablarining buzilishi bilan bogʻliq hodisalarning oldini olish maqsadida quyidagi talablarni belgilashi kerak:

toʻlovni amalga oshirish qurilmalarini mijozga yetkazib berish bilan bogʻliq tavakkalchiliklarning oldini olish choralarini koʻrish;

toʻlov uskunalarining yoʻqolishi, oʻgʻirlanishi, begona shaxslar tomonidan egalik qilinishi kabi holatlar aniqlanganda toʻlov tizimlari operatorlariga xabar berishi lozim.

25. Toʻlov tizimi operatorlari tomonidan toʻlov xizmatlarini yetkazib beruvchilarga toʻlov tizimida axborot xavfsizligi va kiberxavfsizlik talablarining buzilishi bilan bogʻliq hodisalar toʻgʻrisida maʼlumot berilishi hamda ushbu holatni tahlil qilish va bartaraf etish boʻyicha uslubiy qoʻllanma taqdim qilinishi lozim.

9-bob. Axborot xavfsizligi va kiberxavfsizlik talablarining buzilishi bilan bogʻliq hodisalarga nisbatan taʼsir choralari

26. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha talablarning buzilishi bilan bogʻliq boʻlgan hodisalarga nisbatan quyidagi taʼsir choralarini koʻrishlari lozim:

yuzaga kelishi mumkin boʻlgan hodisalarga nisbatan taʼsir choralarini koʻrish yuzasidan zarur harakatlarni oldindan koʻra bilish hamda amalga oshiriladigan harakatlar roʻyxatini belgilash;

sodir boʻlgan hodisalarga nisbatan qisqa muddatlarda taʼsir choralarini koʻrish;

ishning uzluksizligini taʼminlash, shuningdek, noqonuniy toʻlovlar va hisobvaraqlardagi qoldiq mablagʻlarini ruxsatsiz oʻzgartirilishini oldini olish, axborotni qayta tiklash hamda boshqa salbiy holatlarni bartaraf etish;

xodimlar tomonidan mavjud axborot tizimlarida ishlashda belgilangan axborot xavfsizligi va kiberxavfsizlik talablariga rioya qilinishini taʼminlash;

yuzaga kelgan hodisalarning kelib chiqish omillarini aniqlash maqsadida tarmoq qurilmalari va axborot tizimlarining elektron bayonnomalarini rasmiylashtirish, yigʻish, tahlil qilish hamda ularga asosan tegishli koʻrsatmalarni ishlab chiqish.

10-bob. Axborot xavfsizligi va kiberxavfsizlik talablarining buzilishi bilan bogʻliq hodisalar sabablarini tahlil qilish

27. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar axborot xavfsizligi va kiberxavfsizlikni taʼminlashga doir talablarning buzilishi bilan bogʻliq aniqlangan hodisalar sabablarini tahlil qilishi hamda ularga taʼsir koʻrsatish natijalarini baholashi lozim. Bunda aniqlangan hodisalar sabablarini tahlil qilish hamda ularga taʼsir koʻrsatish natijalarini baholash tizimi quyidagilarni oʻz ichiga olishi lozim:

aniqlangan hodisalarga nisbatan taʼsir choralari koʻrilgandan keyin ushbu hodisalarning kelib chiqish sabablarini axborot xavfsizligi va kiberxavfsizlikni taʼminlash xizmati tomonidan tegishli boʻlinmalar bilan birgalikda tahlil qilish tartibi;

axborot tizimlarining tegishli elektron bayonnomalarini oʻrganish hamda aniqlangan hodisaning yuzaga kelishiga sababchi boʻlgan xodimlardan tushuntirishlar olish;

hodisalarning kelib chiqish sabablariga oydinlik kiritib, bunday holatlar yuzaga kelmasligi yoki yuzaga kelganda uning zarar keltirish imkoniyatlarini kamaytirish choralarini koʻrish (shu jumladan, tegishli mutaxassislarni jalb qilgan holda);

hodisalarning salbiy taʼsir koʻrsatish darajasiga qarab tasniflash va baholash mezoniga asosan ularni baholash.

Axborot xavfsizligi va kiberxavfsizlikni taʼminlashga doir talablarning buzilishi bilan bogʻliq aniqlangan hodisalarga nisbatan koʻrilgan taʼsir choralari, ularni baholash natijalari va boshqa qoʻshimcha maʼlumotlar chop etilishi hamda alohida yigʻmajildda saqlanishi zarur.

11-bob. Bankomat, infokiosk va toʻlov terminallarini qoʻllashda axborot xavfsizligi va kiberxavfsizlikni taʼminlash

28. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar bankomat, infokiosk va toʻlov terminallarining axborot xavfsizligi va kiberxavfsizligini taʼminlashi lozim. Bunda axborot xavfsizligi va kiberxavfsizlikni taʼminlashda quyidagi choralar qoʻllaniladi:

bankomat, infokiosk va toʻlov terminallarining hisobini yuritish hamda ularning axborot dasturiga ruxsatsiz kirishining oldini olish;

bankomat, infokiosk va toʻlov terminallariga texnik xizmat koʻrsatuvchi shaxslar faoliyatini nazorat qilish hamda ular tomonidan amalga oshirilgan oʻzgartirishlar boʻyicha elektron bayonnoma yuritish;

videokuzatuv tizimlari yordamida bankomatlar bilan ishlash jarayonlarini nazoratga olish (bankomatga kiritiladigan bank kartalarining pin kod raqamlari videokuzatuv tizimlari orqali qayd etish imkoniyatiga ega boʻlmasligi lozim);

bosh bank hamda uning infratuzilmalari (filial, mini-bank va boshqalar) va boshqa qoʻriqlanadigan obyektlaridan tashqarida joylashtirilgan bankomatlarning videokuzatuv maʼlumotlari bosh bank yoki uning filialidagi texnik qurilmalarga toʻgʻridan toʻgʻri (onlayn) yozib borilishini taʼminlash;

bankomat tarmoq kabellarini muhofazalash;

bankomatning boshqa bankomatlar bilan bir xil boʻlgan qulflarini almashtirish;

bankomatlarni aloqa kanallaridan yoki jismonan bogʻlangan holda ehtimoliy hujumlardan (shu jumladan, skimmingdan) himoya qilish;

bankomatlarning operatsion tizimi hamda BIOS tizimiga kirish huquqlarini murakkab parollar bilan himoyalash;

autentifikatsiya qilish tartibini belgilash;

toʻlovlarni amalga oshiruvchi qurilmalarning hisobini yuritish;

bankomatlardagi naqd pul mablagʻlarining jismoniy muhofazasini taʼminlash;

tarmoq orqali axborot almashinuvida axborot xavfsizligi va kiberxavfsizlikni taʼminlash;

xalqaro toʻlov tizimlari bilan ishlaydigan axborot tizimlarida xalqaro standartlar (PCI DSS, PTS, PA DSS) talablariga muvofiq axborot muhofazasi vositalari va tizimlarini joriy qilish.

29. Toʻlov tizimlari operatorlari oʻz tizimlaridagi bankomat va infokiosklarda axborot xavfsizligi va kiberxavfsizlikni banklar bilan birgalikda taʼminlaydi hamda ularning uzluksiz va toʻgʻri ishlashini nazorat qiladi. Agar axborot xavfsizligi va kiberxavfsizlik boʻyicha maʼlum bir (yoki barcha) masʼuliyat toʻlov xizmatlarini yetkazib beruvchiga yuklatilgan boʻlsa, mazkur holat tegishli shartnomalarda qayd etilishi va masʼuliyat yuklatilgan tashkilotga zaruriy sharoitlar yaratib (bankomatlarning axborot tizimidagi ishlash huquqlari) berilishi zarur.

12-bob. Muhim toʻlov tizimlari operatorlariga axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha qoʻyiladigan talablar

30. Muhim toʻlov tizimlari operatorlari mazkur Nizomda belgilangan xavfsizlik choralariga qoʻshimcha ravishda quyidagi axborot xavfsizligi va kiberxavfsizlik choralarini taʼminlashi zarur:

toʻlov tizimining uzluksiz ishlashi ishonchliligini taʼminlash;

axborot xavfsizligi va kiberxavfsizlikni taʼminlash xizmatini tashkil etish va uning majburiyatlarini belgilash;

Oʻz DSt 2875:2014 “Datamarkazlarga qoʻyiladigan talablar. Infratuzilma va axborot xavfsizligini taʼminlash” standartining datamarkaz telekommunikatsiya vositalari infratuzilmasi tayyorligi va xavfsizligining uchinchi darajadan past boʻlmasligini taʼminlash;

xalqaro bank kartalaridan foydalanilganda PCI DSS xavfsizligi standarti, Payment Services Directive (PSD2) toʻlov xizmatlarini koʻrsatish direktivasi talablariga muvofiqlashtirish;

axborot tizimlari toʻgʻri tashkil etilganligi yuzasidan nufuzli xalqaro auditor tashkilotlarni jalb qilish orqali AKT-infratuzilmasini (axborot xavfsizligi holatini) auditdan oʻtkazishni taʼminlash;

Oʻzbekiston Respublikasining “Toʻlovlar va toʻlov tizimlari toʻgʻrisida”gi Qonuni va boshqa qonunchilik hujjatlarida muhim toʻlov tizimlari operatorlariga belgilangan talablarni bajarish.

31. Muhim toʻlov tizimlari operatorlari maʼlumotlarga ishlov beruvchi asosiy axborot tizimlarini tashkil etishi va joylashgan joyidan 50 kilometrdan yaqin boʻlmagan hududda zaxira axborot tizimlarini tashkil etishi lozim. Bunda asosiy va zaxira axborot tizimlari Oʻzbekiston Respublikasi hududida tashkil etiladi.

Muhim toʻlov tizimlari operatorlarining axborot tizimlaridagi maʼlumotlarni (elektron bayonnomalar va boshqa toʻlovlar bilan bogʻliq maʼlumotlar) elektron arxivlarda kamida ikki nusxada (xususan, asosiy va zaxira axborot tizimlarining har birida bitta nusxadan) saqlashi lozim.

13-bob. Toʻlov tizimining uzluksiz ishlashini yoʻlga qoʻyish va elektron arxiv yuritish

32. Toʻlov tizimlarining uzluksiz ishlashi va barqarorligini taʼminlash maqsadida quyidagi choralar koʻrilishi lozim:

toʻlov tizimi bilan bogʻliq tarmoq va boshqa qurilmalar nosoz holatga kelganda uni ish jarayoniga keltirish va uzluksiz ishlashini taʼminlash;

operatsion tizim, dasturiy taʼminotlar, axborot tizimlarining dasturlari, maʼlumotlar (maʼlumotlar bazasi, sozlamalari, elektron bayonnomalar) nusxalarini zaxiraga (bakup) olinishi va elektron arxivda saqlash hamda ularni qayta tiklash tartibini (mexanizmini) ishlab chiqish, ularning hisobini yuritish va nazoratini olib borish;

zaxira texnik qurilma va uskunalarga ega boʻlish;

maʼlumotlarning zaxiraga olingan (backup) nusxalarini texnik nosozliklarda va favqulodda vaziyatlarda qayta tiklash rejasini ishlab chiqish va davriy (bir yilda bir marotaba) axborot tizimini qayta tiklab tekshirish;

dasturlarga oʻzgarish kiritishni sinov (test) uchun moʻljallangan serverlarda tekshirish;

tizimdagi qurilma va uskunalarning ishlashini nazorat qilish;

toʻlov tizimining uzluksizligiga salbiy taʼsir etishi mumkin boʻlgan holatlarni oldini olish va axborot muhofazasini taʼminlash;

dizel elektr stansiyasi va/yoki boshqa elektr taʼminoti uzluksizligini taʼminlash vositalaridan (UPS va boshqalar) foydalanish;

ishlov berilgan maʼlumotlarni saqlash va ularning elektron arxivda yuritilishini taʼminlash;

mijozlarning harakatiga tegishli boʻlgan maʼlumotlarni kamida besh yil saqlanishini taʼminlash;

elektron arxiv yuritishda axborot xavfsizligi va kiberxavfsizlikni taʼminlashga doir talablarga rioya etilishi boʻyicha ishchi guruh tuzgan holda bir yilda kamida ikki marotaba tekshirish va natijalari toʻgʻrisida Markaziy bankka maʼlumot berish;

axborot uzatish zaxira tarmoqlariga ega boʻlish.

33. Muhim toʻlov tizimlari operatorlari boʻlmagan toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar maʼlumotlarga ishlov beruvchi asosiy axborot tizimlarini tashkil etishi va ular joylashgan joyidan 5 kilometrdan yaqin boʻlmagan hududda zaxira axborot tizimlarini tashkil etishi lozim. Bunda asosiy va zaxira axborot tizimlari Oʻzbekiston Respublikasi hududida tashkil etiladi.

Axborot tizimlaridagi maʼlumotlar (elektron bayonnomalar va boshqa toʻlovlar bilan bogʻliq maʼlumotlar) elektron arxivlarda kamida ikki nusxada (xususan, asosiy va zaxira axborot tizimlarining har birida bitta nusxadan saqlanishi mumkin).

34. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilarning faoliyati tugatilganda, ulardagi mavjud elektron arxivning axborot resurslari davlat arxivlariga topshiriladi.

Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar faoliyati tugatilib, boshqa tashkilotga qoʻshib yuborilganda, elektron arxiv maʼlumotlari qoʻshib yuborilayotgan tashkilotning elektron arxivga topshiriladi.

14-bob. Xavfsizlik rejimi

35. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilarning toʻlovlar bilan bogʻliq maʼlumotlarni saqlash va ularga ishlov berish xonalari bilan taʼminlangan boʻlishi kerak. Ushbu xonalar quyidagi talablarga javob berishi lozim:

ruxsatsiz jismoniy kirishdan muhofazalangan boʻlishi;

xona birinchi qavatda joylashgan hollarda uning derazalari temir panjara bilan jihozlangan boʻlishi;

qoʻriqlash va yongʻindan ogoh etuvchi ikkita himoya toʻsigʻi xabargohlari bilan jihozlanishi;

tungi vaqtda qoʻriqlash va ogohlantirish qurilmalari bilan jihozlanishi;

videokuzatuv orqali nazoratga olinishi.

Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar toʻlovlar bilan bogʻliq maʼlumotlarni saqlash va ularga ishlov berish xonalarini mazkur bandda belgilangan talablardan tashqari boshqa xavfsizlik choralarini koʻrishi mumkin.

36. Mazkur Nizomda belgilangan barcha videokuzatuv maʼlumotlarining saqlanish muddati bir oydan kam boʻlmasligi zarur.

37. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilarning binolari himoya qilinishida ular zaruriy uskunalar, tashkiliy-texnik vositalar bilan jihozlanishi va tegishli dasturiy taʼminotlardan foydalanilishi lozim.

15-bob. Toʻlovlarni amalga oshirish jarayonini nazorat qilish

38. Toʻlov tizimlari operatorlari oʻzlarining toʻlov tizimlarida axborot xavfsizligi va kiberxavfsizlik choralarini koʻrishda nazorat va monitoring ishlarini amalga oshirishlari lozim.

39. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar avtomatlashtirilgan tizimlar, ilovalar hamda axborot infratuzilma obyektlarini axborot xavfsizligi va kiberxavfsizlik zaifliklariga tahlil qilishi, har yili kamida ikki marta ruxsatsiz kirishga tekshirishi va hujjatlarda qayd etilmagan imkoniyatlar mavjud emasligini nazorat qilishi lozim.

40. Toʻlov tizimlari operatorlari va toʻlov xizmatlarini yetkazib beruvchilar har yili, kelgusi yilning birinchi aprelidan kechiktirmay, Markaziy bankka axborot xavfsizligi va kiberxavfsizlikning taʼminlanganlik holati toʻgʻrisida hisobot taqdim etishi shart.

16-bob. Bank va toʻlov tizimlarida shubhali frod operatsiyalarga qarshi choralar koʻrish xizmati

41. Toʻlov tizimlari operatorlari, toʻlov tizimining ishtirokchilari va toʻlov tashkilotlari bank va toʻlov tizimlarida shubhali (frod) operatsiyalarga qarshi choralar koʻrish xizmati vazifalariga quyidagilarni kiritishlari lozim:

masofadan turib bank kartalari va hisobvaraqlari, mobil ilovalardagi akkauntlar hamda elektron hamyonlar bilan bogʻliq operatsiyalarni amalga oshiruvchi axborot tizimlarini (mobil ilova, internet banking va boshqalar) Markaziy bankning markazlashgan antifrod hamda biometrik identifikatsiya tizimlariga ulash;

pul mablagʻlarini oʻtkazish bilan bogʻliq shubhali (frod) operatsiyalari roʻyxatini yuritib borish;

bank kartalari va hisobvaraqlari, mobil ilovalardagi akkauntlar hamda elektron hamyonlar bilan bogʻliq shubhali (frod) operatsiyalarida ishtirok etgan bank kartalari toʻgʻrisidagi maʼlumotlarni yigʻib borish;

bank kartalari va hisobvaraqlari, mobil ilovalardagi akkauntlar hamda elektron hamyonlar bilan bogʻliq shubhali (frod) operatsiyalarini amalga oshirilishini antifrod tizimlari yordamida oldini olish;

bank kartalari bilan bogʻliq shubhali (frod) operatsiyalar sodir etilgan taqdirda, Markaziy bankning majburiy koʻrsatmasiga asosan bank kartalari va hisobvaraqlari, mobil ilovalardagi akkauntlar hamda elektron hamyonlardan foydalanishni uch kungacha muddatga vaqtincha cheklashni (bloklashni) amalga oshirish;

bank kartalari va hisobvaraqlari, mobil ilovalardagi akkauntlar hamda elektron hamyonlar bilan bogʻliq shubhali (frod) operatsiyalarga qarshi choralarni koʻrish xizmati (shubhali (frod) operatsiyalarga qarshi choralar koʻrishga masʼul xodimlari) faoliyatini tun-u kun (24/7) rejimida ishlashini tashkil etish;

masofadan turib bank kartalari va hisobvaraqlari, mobil ilovalar akkauntlari hamda elektron hamyonlar bilan bogʻliq operatsiyalarni amalga oshiruvchi axborot tizimlarini (mobil ilova, internet banking va boshqalar) antifrod hamda biometrik identifikatsiya tizimlari bilan bogʻliq holda uzluksiz ishlashini nazorat qilish.

17-bob. Jismoniy va yuridik shaxslarning roziligisiz toʻlovlar amalga oshirilishini oldini olish

42. Toʻlov tizimi operatorlari, toʻlov tizimining ishtirokchilari va toʻlov tashkilotlari tavakkalchiliklarni boshqarish toʻgʻrisidagi hujjatlarida jismoniy va yuridik shaxslarning roziligisiz amalga oshirilgan pul oʻtkazmalarining tavsifi, miqdori va harakatlarini tahlil etish orqali bank kartalaridan jismoniy va yuridik shaxslarning roziligisiz amalga oshirilgan pul oʻtkazmalarining mezonlariga mos keladigan operatsiyalarni aniqlash jarayonlarini belgilaydi.

43. Toʻlov tizimi operatorlari bank kartalari orqali jismoniy va yuridik shaxslarning roziligisiz pul oʻtkazmalarini oldini olish maqsadida tranzaksion antifrod tizimlarini joriy etishi hamda Markaziy bankning markazlashgan antifrod tizimiga integratsiya qilinishini taʼminlashi lozim.

44. Toʻlov tizimining ishtirokchilari va toʻlov tashkilotlari oʻzlarida session antifrod tizimlarini joriy etishi hamda Markaziy bankning markazlashgan antifrod tizimiga integratsiya qilinishini taʼminlashi lozim.

45. Toʻlov tizimi ishtirokchilari va toʻlov tashkilotlarida bank kartalari orqali jismoniy va yuridik shaxslarning roziligisiz amalga oshirilgan pul oʻtkazmalarining mezonlariga mos keladigan operatsiyalar aniqlanganda, ushbu operatsiya boʻyicha taqdim etilgan farmoyishning bajarilishini antifrod tizimlari doirasida amalga oshiradi.

46. Toʻlov tizimi operatorlari, toʻlov tizimining ishtirokchilari va toʻlov tashkilotlari jismoniy va yuridik shaxslarning roziligisiz amalga oshiriladigan toʻlovlarni oldini olish maqsadida quyidagilarni bajarishi lozim:

jismoniy va yuridik shaxslarning roziligisiz amalga oshirilgan pul oʻtkazmalarining tavsifi, miqdori va harakatlarini tahlil etishi, tavakkalchiliklarni baholashi va boshqarishi hamda ularning mezonlariga mos keladigan operatsiyalarni aniqlash jarayonlarini belgilashi;

jismoniy va yuridik shaxslar oʻrtasida tuzilgan shartnomalarda (ommaviy ofertalarda) antifrod tizimi doirasida bank kartalari bilan bogʻliq shubhali (frod) operatsiyalarga qarshi choralar koʻrish masalalarini yoritishi;

bank kartalari bilan bogʻliq shubhali (frod) operatsiyalar boʻyicha kelib tushadigan murojaatlarni yigʻishi va tahlil qilishi;

toʻlov xizmati foydalanuvchisining pul mablagʻlarini oʻtkazish vaqtida, ushbu toʻlov shubhali (frod) operatsiyalar roʻyxatida boʻlsa, bunday holat haqida foydalanuvchiga xabar (SMS, messenjer yoki boshqa axborot tizimlar orqali) berishi, takroriy tasdiq (PIN kod, yashirin soʻzni kiritish yoki boshqa tarzda maʼlumot) olishi, agar maʼlum vaqt oraligʻida ushbu tasdiq olinmasa, ushbu toʻlov operatsiyasini bekor qilishi;

foydalanuvchi tomonidan oʻzining hisob-varaqlariga tegishli toʻlov operatsiyalarini toʻxtatish (blokirovka qilish) imkoniyatini yaratishi;

bank kartalari bilan bogʻliq shubhali (frod) operatsiyalarda ishtirok etgan bank kartalari va hisobvaraqlari, mobil ilovalari akkauntlari hamda elektron hamyonlar toʻgʻrisida oʻzlarining axborot tizimlarida mavjud boʻlgan maʼlumotlarni Markaziy bankning soʻroviga asosan oʻz vaqtida taqdim etishi;

axborot tizimlari va resurslarida aniqlangan, jismoniy va yuridik shaxslarning roziligisiz amalga oshirilgan pul oʻtkazmalarini oʻtkazish yoki oʻtkazishga urinish holatlari toʻgʻrisidagi maʼlumotlarni Markaziy bankka taqdim etib borishi.

47. Toʻlov tizimi operatorlari, toʻlov tizimining ishtirokchilari hamda toʻlov tashkilotlari tomonidan jismoniy va yuridik shaxslarning roziligisiz toʻlovlar sodir etilgan holatlarda ishtirok etgan bank kartalari va hisobvaraqlari, mobil ilovalari akkauntlari hamda elektron hamyonlardan foydalanishni vaqtincha cheklangan (bloklangan) muddat mobaynida qonun hujjatlarida ularni cheklash (bloklash) uchun boshqa asoslar boʻlmaganda, ulardan foydalanishga qoʻyilgan vaqtinchalik cheklov (bloklash) olib tashlanadi.

48. Jismoniy va yuridik shaxslarning roziligisiz amalga oshirilgan pul oʻtkazmalarining mezonlari Markaziy bank boshqaruvining qaroriga asosan belgilanadi.

18-bob. EPOS-terminallaridan foydalanishda axborot xavfsizligi va kiberxavfsizlikni taʼminlash

49. Toʻlov tizimi operatorlari, toʻlov tizimining ishtirokchilari hamda toʻlov tashkilotlari EPOS-terminallaridan foydalanishda axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha quyidagilarni amalga oshirishi lozim:

toʻlov agentlari va subagentlarining reyestrini yuritishi, shuningdek, toʻlov agentlari yoki subagentlarini roʻyxatdan oʻtkazish, oʻzgartirish va oʻchirishda 1 ish kuni ichida Markaziy bankka oʻzgartirilgan reyestrni taqdim etishi;

jismoniy shaxslar oʻrtasida pul mablagʻlarini oʻtkazishni (P2P) amalga oshirish uchun alohida EPOS-terminalidan foydalanishi, shuningdek ushbu EPOS-terminallaridan boshqa maqsadlarda foydalanishini taʼqiqlashi;

EPOS-terminallaridan shartnomada koʻrsatilgan maqsadlarda foydalanishni nazorat qilishi;

EPOS-terminallaridan, shuningdek foydalanuvchi parollari va kirish huquqlaridan foydalanishda axborot xavfsizligi va kiberxavfsizlikni taʼminlash tartibini ishlab chiqishi.

50. Toʻlov tizimi operatorlari va toʻlov tizimining ishtirokchilari Markaziy bankning majburiy koʻrsatmasiga koʻra, shubhali (frod) operatsiyalari amalga oshirilishini cheklash yoki toʻxtatish maqsadida EPOS-terminallardan foydalanishni toʻxtatish yoki ushbu terminallarni oʻchirish choralarini koʻrishi lozim.

19-bob. Yakuniy qoida

51. Mazkur Nizom talablarining buzilishida aybdor boʻlgan shaxslar qonunchilik hujjatlarida belgilangan tartibda javobgar boʻladi.

Rais M. NURMURATOV

Oʻzbekiston Respublikasi DXX Raisi A. AZIZOV

Elektron texnologiyalarni rivojlantirish markazi boshligʻi O. XODJAKBAROV

Istiqbolli loyihalar milliy agentligi direktori D. LI

Ichki ishlar vaziri P. BOBOJONOV

Raqamli texnologiyalar vaziri Sh. SHERMATOV

Toshkent sh.,

2024-yil 24-aprel,

2024-yil 19-aprel

2024-yil 23-aprel

2024-yil 23-aprel

2024-yil 1-aprel

2024-yil 29-mart

13/1-son

(Qonunchilik maʼlumotlari milliy bazasi, 22.05.2024-y., 10/24/3513/0359-son; 03.08.2026-y., 10/26/3914/0809-son)

lex.uz