UzbekAI

Ўзбекистон Республикаси Марказий банки бошқарувининг

Қарори

НИЗОМ

РЎЙХАТИ

Ўзбекистон Республикаси тижорат банкларининг ахборот хавфсизлиги ва киберхавфсизлигига доир минимал талаблар тўғрисидаги низомни тасдиқлаш ҳақида

Ўзбекистон Республикасининг «Ўзбекистон Республикасининг Марказий банки тўғрисида»ги Қонунига мувофиқ Ўзбекистон Республикаси Марказий банки бошқаруви қарор қилади:

1. Ўзбекистон Республикаси тижорат банкларининг ахборот хавфсизлиги ва киберхавфсизлигига доир минимал талаблар тўғрисидаги низом 1-иловага мувофиқ тасдиқлансин.

2. Айрим идоравий норматив-ҳуқуқий ҳужжатлар 2-иловага мувофиқ ўз кучини йўқотган деб топилсин.

3. Мазкур қарор Ўзбекистон Республикаси Давлат хавфсизлик хизмати, Рақамли технологиялар вазирлиги ва Адлия вазирлиги билан келишилган.

4. Мазкур қарор расмий эълон қилинган кундан эътиборан уч ойдан кейин кучга киради.

Келишилди:

Ўзбекистон Республикаси Марказий банки бошқарувининг 2025 йил 1 августдаги 19/1-сон қарорига 1-ИЛОВА

Ўзбекистон Республикаси тижорат банкларининг ахборот хавфсизлиги ва киберхавфсизлигига доир минимал талаблар тўғрисидаги

Мазкур Низом Ўзбекистон Республикаси тижорат банкларининг, шу жумладан микромолия банкларининг (бундан буён матнда банк деб юритилади) ахборот хавфсизлиги ва киберхавфсизлигига доир минимал талабларни белгилайди.

1-боб. Умумий қоидалар

1. Ушбу Низомда қуйидаги асосий тушунчалар ва қисқартмалардан фойдаланилади:

автоматлаштирилган банк тизими — банк фаолияти соҳасида ахборотни тўплаш, сақлаш, излаш, унга ишлов бериш ва ундан фойдаланишни амалга ошириш учун мўлжалланган ахборот тизими;

антивирус дастури — компьютер вирусига қарши дастур, вирусларни аниқлаш учун мўлжалланган ва уларни йўқ қилиш таклифини бериши мумкин бўлган ёки йўқ қилувчи дастур;

антивирус ҳимояси — антивирус дастурлари ёрдамида компьютер вируслари таъсирининг олдини олиш, вирусларни топиш ва зарарсизлантиришга қаратилган чора-тадбирлар мажмуи;

аутентификация қилиш — фойдаланувчи, дастур, қурилма ёки маълумотларнинг ҳақиқийлигини тасдиқлаш тартиб-таомили;

ахборот активлари — банк фаолияти учун муҳим бўлган ахборотлар (мижоз маълумотлари, операцион маълумотлар, дастурий таъминот, маълумотлар базалари, ҳодисалар журналлари ва бошқалар) ҳамда уларни сақлаш, узатиш, қайта ишлаш ва муҳофаза қилишга хизмат қилувчи барча ресурслар (ахборот тизимлари ва ресурслари, серверлар, маълумотлар омборлари, алоқа каналлари ва дастурий иловалар);

ахборот ресурси — ахборот тизими таркибидаги электрон шаклдаги ахборот, маълумотлар банки, маълумотлар базаси, шу жумладан ахборот тизимларида очиқ шаклда жойлаштириладиган ёхуд эълон қилинадиган аудио, видео, график ва матнли ахборот;

ахборот тизими — ахборотни тўплаш, сақлаш, излаш, унга ишлов бериш ҳамда ундан фойдаланиш имконини берадиган, ташкилий жиҳатдан тартибга солинган жами ахборот ресурслари, ахборот технологиялари ва алоқа воситалари;

ахборот хавфсизлиги — ахборот соҳасида шахс, жамият ва давлат манфаатларининг ҳимояланганлик ҳолати;

ахборот хавфсизлиги нохуш ҳодисаси — ахборот хавфсизлигининг ягона воқеаси ёки бир қатор нохуш ёхуд кутилмаган воқеалари бўлиб, ушбу воқеалар туфайли ахборотнинг ошкор бўлиши ва ахборот хавфсизлигига таҳдидлар эҳтимоли;

ҳужум — ахборот активларини йўқ қилиш, очиш, ўзгартириш, блокировкалаш, тутиб олиш, рухсат этилмаган фойдаланиш ҳуқуқини олиш ёки ахборот активларидан рухсатсиз фойдаланишга уриниш;

компьютер вируси — деструктив хусусиятга, ўз нусхасини кўпайтира олиш (асл нусха билан тўлиқ мос бўлмаслиги ҳам мумкин) ва фойдаланувчи билмаган ҳолда уларни компьютер тизимлари, тармоқлари турли ресурслари ва шу борада жорий этиш қобилиятига эга бўлган дастурдир (бажариладиган кодлар тўплами);

мониторинг — автоматлаштирилган банк тизими ва ахборот тизимлари ҳолатини кузатиш;

сервер хонаси — банк серверлари, телекоммуникация қурилмалари, узлуксиз қувват манбалари ва бошқа ҳисоблаш техникалари жойлашган хона;

тармоқлараро экран — тизимга келиб тушадиган ва (ёки) тизимдан чиқиб кетадиган ахборотнинг назорат қилинишини амалга оширадиган дастур ва (ёки) дастурий восита;

хеш суммаси — криптографик алгоритм ёрдамида ҳисобланган, файл бутлигини текшириш суммаси;

шахсга доир маълумотлар — муайян жисмоний шахсга тааллуқли бўлган ёки уни идентификация қилиш имконини берадиган, электрон тарзда, қоғозда ва (ёки) бошқа моддий жисмда қайд этилган ахборот;

электрон архив — архив мақомига эга бўлган, банк электрон ҳужжатларини жамловчи, ҳисобга олувчи, сақловчи ва фойдаланишни амалга оширувчи банкнинг таркибий бўлими;

электрон ҳужжат — электрон шаклда қайд этилган, электрон рақамли имзо билан тасдиқланган ва электрон ҳужжатнинг уни идентификация қилиш имкониятини берадиган бошқа реквизитларига эга бўлган ахборот;

охирги нуқталар (Endpoint) — тармоқ тизимига уланадиган физик ускуналардир. Бунда, мобил қурилмалар, компьютерлар, виртуал машиналар, ўрнатилган ускуналар ёки серверлар охирги нуқталар бўлиши мумкин;

киберхавфсизлик таваккалчилиги — ахборот тизимлари, ахборот-коммуникация технологиялари инфратузилмаси ёки рақамли хизматларига қарши йўналтирилган таҳдидлар натижасида юзага келиши мумкин бўлган молиявий зарар, операцион фаолиятнинг издан чиқиши ёки ташкилот обрўсига путур етиши эҳтимоли;

DLP (Data Loss Prevention) — маълумотларни рухсатсиз тарқалишидан ҳимоялаш тизими;

PAM (Privileged Access Management) — ахборот тизимларига имтиёзли кириш ҳуқуқларига эга бўлган фойдаланувчиларни тизимга киришини бошқариш, назорат қилиш ва ҳимоя қилиш тизими;

IDS/IPS (Intrusion Detection/Prevention System) — тажовузларни аниқлаш ва олдини олиш тизимлари;

Wi-Fi (Wireless Fidelity) — маълумотларни симсиз узатиш технологияси;

VP N (Virtual Private N etwork) — виртуал шахсий тармоқ.

2. Банклар ахборот тизимлари ва ахборот ресурсларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаши ҳамда бутун иш фаолияти давомида сақлаб туриши лозим.

2-боб. Ахборот хавфсизлиги ва киберхавфсизликни таъминлаш хизмати

3. Банклар ва уларнинг филиалларида (филиаллар, амалиёт бошқармалари, банк хизматлари офислари (марказлари) ва бошқа алоҳида бўлинмалар) ахборот хавфсизлиги ва киберхавфсизликни таъминлаш мақсадида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш хизмати (бундан буён матнда Хизмат деб юритилади) ташкил этилади.

4. Хизмат банкнинг ахборот активларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш, шунингдек тизимнинг вақтинча тўхташи, тўлов маълумотларининг ноқонуний ўзгариши, банк ёки унинг мижозига зарар етказиш ҳолатларини олдини олиш ва бартараф этиш бўйича масъул ҳисобланади.

5. Хизмат ўз фаолиятида:

ахборот хавфсизлиги ва киберхавфсизликни бошқариш тизимини ташкил қилиши, ахборот хавфсизлиги ва киберхавфсизликни таъминлаш талабларининг банк бўлинмалари ҳамда ходимлари томонидан бажарилишини ташкиллаштириши ва назорат қилиши;

ахборотнинг сақланишини таъминлаш устидан назоратни ташкил этиши;

ахборотни муҳофаза қилиш масалаларида банк бўлинмалари ва ходимларига услубий ва амалий ёрдам кўрсатиши;

ахборот активларида ахборотни муҳофаза қилиш тизимини лойиҳалаш, синовдан ўтказиш, қабул қилиш ва амалиётда қўллаш жараёнларида иштирок этиши, ушбу жараёнларда банк сирига оид ва бошқа конфиденциал маълумотлар четга чиқишининг олдини олиш чораларини кўриши;

ўз ваколати доирасида банкнинг ахборот хавфсизлиги ва киберхавфсизлигини бошқариш, таъминлаш ва назорат қилиш усуллари, воситалари ва механизмларини танлаш, жорий этиш ва қўллашни амалга ошириши;

ахборот активларида ахборотдан рухсатсиз фойдаланишга уринишлар бўлганлиги, унга бошқача шаклда аралашилганлиги аниқланганда ҳамда тизимнинг ишлаш қоидалари бузилганда мазкур тизимдаги ахборотни муҳофаза қилиш чора-тадбирларини кўриши;

ахборот активларига нисбатан амалга ошириладиган кибертаҳдидлар ва ҳужумларни аниқлаши, таҳлил қилиши ҳамда уларни бартараф этиш чораларини кўриши;

ахборот хавфсизлиги нохуш ҳодисаси (бундан буён матнда нохуш ҳодиса деб юритилади) тўғрисидаги маълумотларни йиғиши, қайта ишлаши, таҳлил қилиши ва сақлаши;

нохуш ҳодисаларни текшириш бўйича ишларни амалга ошириши;

ахборотни муҳофаза қилиш чора-тадбирларининг ҳолати ва самарадорлигини таҳлил қилиши;

ахборот хавфсизлиги ва киберхавфсизликни таъминлаш дастурий таъминотлари ва аппарат-дастурий қурилмаларининг тўғри ишлашини назорат қилиши ва таъминлаши;

ахборот хавфсизлиги ва киберхавфсизликни таъминлаш билан боғлиқ мониторингни олиб бориши;

ахборот хавфсизлиги ва киберхавфсизликни таъминлаш масалалари бўйича таклифлар тайёрлаши;

ахборот активларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш чораларини кўриш учун талабларни белгилаши;

банкнинг ахборот активларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш ҳамда назорат қилиш бўйича режаларни тузиши;

конфиденциал, шу жумладан банк сирини ташкил этувчи ва шахсга доир маълумотларнинг сақланишини назорат қилиши;

ахборот тизимларида тўхташ, авария ҳолатлари, киберхавфсизлик ҳодисаси ҳамда нохуш ҳодиса содир бўлганда тизимларни қайта тиклаш жараёнида иштирок этиши ва ахборот тизимларининг тўлиқ ишчи ҳолатига келишини назорат қилиши;

банк ҳужжатларига мувофиқ бошқа функцияларни амалга ошириши керак.

6. Хизматнинг вазифалари, ваколатлари ва мажбуриятлари банкнинг ички ҳужжатлари билан белгиланиши мумкин, бунда мазкур Низом талаблари инобатга олинади. Хизмат ўзининг вазифа ва мажбуриятларини бажаришга зарур бўлган техник ресурслар билан таъминланиши лозим.

7. Хизмат ходимларининг сони уларга юклатилган вазифалар, ахборот ресурслари ва ахборот тизимлари сони ҳамда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизимларининг автоматлаштирилганлик даражасидан келиб чиқиб белгиланади.

8. Хизмат ҳамда ахборот технологиялари бўлинмалари банк бошқаруви органининг турли аъзоларига бўйсуниши лозим, бунда Хизмат тўғридан тўғри банк бошқаруви раисига бўйсунади.

Хизмат ходимларини уларнинг асосий фаолияти билан боғлиқ бўлмаган ишларга жалб этиш тақиқланади.

9. Банклар тизимли равишда ҳар йили камида икки маротаба ахборот хавфсизлиги ва киберхавфсизликни таъминлаш соҳасига ихтисослаштирилган ўқув курсларида Хизмат ходимларининг малакасини оширишни таъминлаши керак. Бунда Хизматнинг барча масъул ходимларини йўналиши бўйича ўқитиш ва малакасини ошириш инобатга олиниши лозим.

10. Ахборот хавфсизлиги ва киберхавфсизликни таъминлаш қонунчилик ҳужжатларида белгиланган талаблар ҳамда банкнинг ахборот хавфсизлиги ва киберхавфсизликни таъминлашга оид ички ҳужжатлари билан тартибга солинади.

11. Банк ахборот хавфсизлигига оид ички сиёсатни ишлаб чиқиши ва қабул қилиши лозим.

Ахборот хавфсизлиги сиёсатида банкда мавжуд бўлган барча ахборот тизимлари ва ахборот ресурсларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича талаблар белгиланади.

12. Ахборот хавфсизлиги ва киберхавфсизликни таъминлашга оид ички ҳужжатлар ва уларда белгиланган талаблар банкнинг ҳар бир ходимига таништирилиши шарт. Банк ходимлари ушбу ҳужжатларда белгиланган талабларга қатъий риоя қилишлари керак.

13. Ахборот тизимлари ва ахборот ресурсларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш билан боғлиқ мазкур Низомда белгиланган барча чора-тадбирлар амалга оширилганлиги ёзма ёки электрон шаклда ўз тасдиғига эга бўлиши лозим.

14. Агар банк филиаллар тармоғига эга бўлса, ҳар бир филиалда банкнинг тасдиқланган ахборот хавфсизлиги ва киберхавфсизликни таъминлашга оид ҳужжатлари тўплами мавжуд бўлиши керак. Муайян филиалларнинг хусусиятларини ҳисобга олиш зарур бўлса, банк ушбу хусусиятларни инобатга олган ҳолда ўз ички ҳужжатларини ишлаб чиқилишини таъминлайди.

15. Банкнинг ахборот активларига дастурий ўзгартириш киритиш ёки янги ахборот ресурслари ва тизимларини жорий этиш Хизмат билан келишилган ҳолда амалга оширилиши лозим.

16. Банкларга ўзларининг ахборот-коммуникация технологиялари инфратузилмалари ҳамда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизимларини бошқариш, назорат қилиш ва узлуксиз ишлашини таъминлаш вазифаларини шартнома асосида хизмат кўрсатувчи тадбиркорлик субъектларига (аутсорсинг) бериш тақиқланади.

3-боб. Конфиденциал маълумотларнинг ошкор этилишидан ҳимоялаш

17. Банк қонунчилик ҳужжатлари ва ўзининг ички ҳужжатлари билан белгиланган конфиденциал маълумотларнинг ошкор этилмаслигини таъминлайди. Бунда, банк томонидан қуйидагилар бажарилиши лозим:

банкка ёки унинг бўлинмасига тааллуқли бўлган конфиденциал маълумотлар, шу жумладан банк сирини ташкил этувчи ва шахсга доир маълумотлар рўйхатини белгилаш ва унинг актуаллигини таъминлаш;

етказилган зарарни қоплаш мақсадида ҳар бир ходим билан конфиденциал маълумотларни сир сақлаш бўйича мажбуриятномани имзолаш;

конфиденциал маълумотлардан фойдаланишга рухсати мавжуд бўлмаган ходимларнинг ушбу маълумотдан фойдаланмаслигини таъминлаш;

конфиденциал маълумотларни ўзида сақловчи компьютерлар ва улардаги ҳужжатларнинг ишончли сақланишини таъминлаш;

Ўзбекистон Республикасининг « Банк сири тўғрисида »ги ва « Шахсга доир маълумотлар тўғрисида »ги қонунларида кўрсатилган талаблар бажарилишини таъминлаш;

конфиденциал маълумотлардан рухсатсиз фойдаланишнинг олдини олиш бўйича чоралар кўриш.

18. Телекоммуникация тармоғи орқали давлат сирларини ташкил этувчи маълумотларнинг узатилиши тақиқланади.

4-боб. Ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизимини ташкил этиш ҳамда ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликларини бошқариш

19. Банкда ҳуқуқий, ташкилий, техник чоралар ва ахборот муҳофазаси тизимлари (қурилмалари) йиғиндиларидан иборат бўлган ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизими ташкил этилади.

20. Ахборот хавфсизлиги ва киберхавфсизликни таъминлашда фойдаланиладиган дастурий-техник воситалар ахборот хавфсизлиги ва киберхавфсизлик талабларига мувофиқ лицензияланган ва сертификатланган бўлиши лозим. Бунда барча дастурий таъминотларни техник қўллаб-қувватлаш бўйича амалга ошириладиган ишлар дастурий таъминотнинг эгаси ёки етказиб берувчи томонидан таъминланиши шарт.

21. Ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизими қуйидагиларни:

ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликларини аниқлаш, олдини олиш ва бартараф этишни;

барча ахборот тизимлари ва ахборот ресурсларининг ахборот муҳофазасини таъминлашни;

халқаро стандартлар асосида тажрибадан ўтган энг илғор ечимларни қўллашни;

юқори ишончга эга бўлган, хизмат кўрсатилиши осон бўлган тизим, қурилма ва ускуналарни қўллашни;

барча жараён ва қурилмалардаги ахборотлар бўйича маълумотларни қайд этиб боришни, ахборот хавфсизлигининг бузилиши, дастур, қурилма ва фойдаланувчиларнинг ишларидаги ўзгаришларни аниқлашни;

иш жараёнининг соддалигини таъминлашни ва максимал даражада ҳаракатларни автоматлаштиришни;

муҳофаза тўсиқларини бир неча поғоналарда ташкил этишни;

ахборот хавфсизлиги ва киберхавфсизликнинг узлуксизлигини таъминлашни;

нохуш ҳодисаларни олдини олиш ва юзага келганда уларни бартараф этиш ҳамда ахборот тизимларнинг иш фаолиятини қайта тиклашни;

ахборот хавфсизлиги ва киберхавфсизликни доимий мукаммаллаштириб боришни таъминлайди.

22. Ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизими қуйидагиларни амалга оширади:

ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизимларига киришни назорат қилиш;

тармоқ хавфсизлигини таъминлаш;

ахборот тизимларига киришни бошқариш ва назорат қилиш;

зарар келтирувчи дастурлардан (компьютер вируслари ва бошқалардан) муҳофаза қилиш;

муҳофаза қилинаётган маълумотлар ва дастурларни назорат қилиш, қайта тиклаш, бутлигини аниқлаш ва мониторингини юритиш;

маълумотларни қайта ишлаш, сақлаш ва узатилишида муҳофазасини таъминлаш;

веб-ресурслар, маълумотлар базаси, маълумотларни сақлаш омборлари ва бошқа ахборот ресурсларини турли ахборот хавфсизлиги хатарларидан сақлаш;

ахборот муҳофазасининг таъминланганлик даражасини текшириш, таҳлил қилиш ва баҳолаш;

электрон рақамли имзо калитлари ва сертификатларини тақсимлаш, ҳисобини юритиш ва бошқариш;

маълумотларнинг учинчи шахсларга ошкор бўлишини олдини олиш;

ахборот тизимида ахборот хавфсизлиги ва киберхавфсизлик созламалари ҳамда ахборот тизимининг бутлиги билан боғлиқ барча ўзгаришларни назорат қилиш ва электрон қайд ёзувларини юритиш.

23. Банклар тизимлардаги хатоликлар ва ташқи салбий таъсирлар натижасида юзага келиши мумкин бўлган ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликларини бошқариш тизимини яратиши керак.

24. Ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликларини бошқариш тизими қуйидаги функцияларни ўз ичига олиши керак:

ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликларини аниқлаш, йиғиш, рўйхатга олиш, баҳолаш, камайтириш чораларини кўриш, мониторинг ва назорат қилиш;

ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликларини бартараф этиш ишларини режалаштириш ва бошқариш;

ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликларини бошқариш бўйича ҳисоботни шакллантириш;

ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликларини қайта кўриб чиқиш.

25. Хизмат ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизимининг назоратини олиб боради ва узлуксиз ишлашини таъминлайди.

Хизмат томонидан банкда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш юзасидан маълум бўлган таваккалчилик ва қўлланиладиган бошқариш воситалари ва усулларининг рўйхати тузилиши ҳамда банк бошқаруви раиси томонидан тасдиқланиши лозим.

Банк ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликлари рўйхатининг долзарблигини таъминлаши керак.

26. Ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликларини доимий равишда баҳолаш ва таҳлил қилиб бориш Хизмат томонидан амалга оширилади.

Хизмат банк бошқаруви раисига таваккалчиликларни ортиши бўйича тегишли маълумотларни тақдим этиб бориши лозим.

27. Ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликларини бошқариш бўйича амалга оширилган чора-тадбирлар ҳужжатлаштирилиши ва йилига камида бир маротаба банк бошқаруви раиси томонидан кўриб чиқилиб, таваккалчиликларни камайтириш юзасидан тегишли чора-тадбирлар ўтказилиши керак.

28. Банклар фаолиятида ахборот хавфсизлиги ва киберхавфсизликнинг таъминланганлик даражасини баҳолаш бўйича рейтинг ахборот тизими Ўзбекистон Республикаси Марказий банки (бундан буён матнда Марказий банк деб юритилади) томонидан юритилади.

Рейтинг ахборот тизимига банклар томонидан ўз вақтида ва тўғри (ҳаққоний) маълумотлар киритилиши лозим.

5-боб. Нохуш ҳодисалар ва киберхавфсизлик ҳодисаларини олдини олиш ҳамда бартараф этиш

29. Банкларда ахборот хавфсизлиги сиёсатининг бузилиши қуйидагиларга олиб келади:

ахборот конфиденциаллигининг бузилиши;

ахборот бутлигининг бузилиши;

технологик жараённинг бузилиши;

ахборотдан эркин фойдаланиш ҳуқуқининг бузилиши.

30. Банкда нохуш ҳодисалар тўғрисидаги маълумотларни олиш учун мониторинг тизимлари жорий этилади. Бунда ушбу тизимларнинг ишлашини мониторинг қилиш ва юзага келган нохуш ҳодисаларни бартараф этиш бўйича доимий равишда ишлайдиган ишчи гуруҳ тузилади.

31. Нохуш ҳодисаларни бартараф этиш учун ташқи экспертлар ёки техник хизмат кўрсатувчи ташкилот мутахассислари жалб қилиниши мумкин. Нохуш ҳодисаларни бартараф қилиш учун ташқи экспертлар ёки техник хизмат кўрсатувчи ташкилот мутахассислари жалб қилинганда, банк улар билан конфиденциал маълумотларни ошкор қилмаслик тўғрисида шартнома тузиши лозим.

32. Аниқланган нохуш ҳодисалар тўғрисидаги маълумотлар Хизмат томонидан ҳужжатлаштириб борилиши лозим.

Хизмат нохуш ҳодиса аниқланган вазиятда ахборот хавфсизлиги мониторинги тизими маълумотларидан фойдаланиши ва нохуш ҳодиса рўй берган вақтдаги ахборот тизимларининг электрон журналлари ва нохуш ҳодиса содир бўлган тизим серверларининг шу вақтдаги захира нусхаларини (backup, snapshot ва бошқалар) сақлаши ва уларнинг бутлигини таъминлаши керак.

33. Банклар техник воситалардан фойдаланганда нохуш ҳодисаларни олдини олиш мақсадида қуйидагиларни таъминлашлари зарур:

техник воситалардан рухсатсиз фойдаланишни тақиқлаш;

техник воситаларни рухсатсиз ўчириб қўйилишидан ҳимоя қилиш;

мониторинг ва нохуш ҳодисаларнинг электрон баённомаларини электрон архивда сақлаш ва рухсатсиз ўзгартириш ёки йўқ қилишдан ҳимоялаш;

ахборот тизимлари ва ресурсларини қонунчиликда белгиланган тартибда киберхавфсизлик талабларига мувофиқлик юзасидан экспертизадан ўтказиш.

34. Иш жараёнида нохуш ҳодисалар аниқланганда, банк ходимлари зудлик билан бу ҳақда Хизматни хабардор қилишлари керак.

Нохуш ҳодисалар содир этилган вақтда Хизмат томонидан амалга ошириладиган ҳаракатлар банкнинг ички ҳужжатларида белгиланади.

35. Банк содир бўлган нохуш ҳодиса тўғрисида Марказий банк ва ваколатли давлат органига зудлик билан ёзма ёки электрон шаклда хабар бериши лозим.

6-боб. Ахборот тизимлари ва ресурсларини мониторинг қилиш

36. Банклар конфиденциал маълумотлар ва барча ахборот активларидан фойдаланиш мониторингини амалга оширади. Бунда мониторинг қилишда қуйидагилар белгиланади:

ахборот инфратузилмасининг ахборотга ишлов бериш, сақлаш ва тармоқда узатиш учун қўлланиладиган дастур ва қурилмалар ҳисобини юритиш;

ахборот хавфсизлиги ва киберхавфсизлик ҳодисаларини таҳлил қилиш, ахборот хавфсизлиги ва киберхавфсизлик ҳолатини мониторинг қилиш ҳамда огоҳлантириш имконини берувчи SIEM (Security Information and Event Management) ёки бошқа тизимларни жорий қилиш;

ахборот хавфсизлиги ва киберхавфсизлик ҳодисалари тўғрисидаги маълумотларни тўплаш, таҳлил қилиш ва уларга жавоб бериш жараёнларини автоматлаштириш имконини берувчи SOAR (Security Orchestration, Automation and Response) тизимларни жорий қилиш;

ахборот хавфсизлиги ва киберхавфсизликнинг таъминланганлик ҳолатини мониторинг қилиш тизими маълумотларини таҳлил қилиб бориш ва аниқланган ҳолатларни (ахборот тармоғига рухсатсиз кириш ва киришга уриниш, тизимдаги тўхталишлар, ахборот ресурсларининг етишмовчилиги, тармоқдаги узилишлар, ахборот хавфсизлиги ва киберхавфсизликни таъминлашдаги чекланишлар ва бошқа ҳодисалар) бартараф этиш ва (ёки) уларни олдини олиш бўйича чоралар кўриш;

ахборот хавфсизлиги ва киберхавфсизлик ҳолатини тун-у кун (24/7) режимида мониторинг қилиш ишларини ташкил этиш;

ахборот хавфсизлиги ва киберхавфсизлик ҳолатини мониторинг қилиш тизимини Марказий банк «CERT-CBU» киберхавфсизлик марказининг мониторинг тизимига боғланишини таъминлаш.

7-боб. Ахборот тизимлари ва ресурсларига киришни бошқариш

37. Банклар ахборот тизимлари ва ресурсларига кириш ва ушбу тизимларда фойдаланувчиларнинг ишлаш тартибини ишлаб чиқиши керак. Бунда янги фойдаланувчиларнинг ахборот тизимлари ва ресурсларига кириш ҳамда ушбу тизимларга кириш ҳуқуқи бекор бўлган фойдаланувчиларни ундан чиқариш қоидалари инобатга олиниши лозим.

38. Янги фойдаланувчилар ахборот тизимлари ва ресурсларига Хизмат томонидан керакли техник чоралар кўрилиб, рухсат берилганидан кейин киритилади.

39. Хизмат ахборот тизимлари ва ресурсларига киришга рухсат берилган фойдаланувчилар рўйхатини ҳамда уларнинг ушбу тизимлардан фойдаланиши банкда ўрнатилган тартибга мувофиқлигини назорат қилади.

40. Банклар марказлашган ҳолда қуйидагиларни таъминлаши зарур:

ахборот тизимларида ишга янги қабул қилинган ходимлар учун ҳисобга олиш ёзувларини автоматик тарзда яратиш;

ходимларга уларнинг лавозим мажбуриятларидан келиб чиқиб тегишли ахборот тизимларига кириш ҳуқуқларини бериш;

ходимлар ахборот тизимларига масофадан ҳимояланган алоқа каналлари орқали, ахборот хавфсизлиги ва киберхавфсизликни таъминлаш талабларига риоя қилган ҳолда, фақатгина Ўзбекистон Республикаси ҳудудида киришини таъминлаш;

ходим бошқа лавозимга ўтганида, меҳнат таътилига чиққанида ёки ишдан бўшаганида унинг ҳисобга олиш ёзувларини (аккаунтларини) ўзгартириш, блоклаш ва чеклаш.

41. Банк ходимларга ахборот тизимлари ва ресурсларидан фойдаланиш ҳуқуқини уларнинг функционал вазифаларига мувофиқ ҳолда беради. Бунда, Хизмат қуйидагиларни таъминлаши лозим:

банкнинг ахборот тизимлари ва ресурсларидаги ходимларнинг ҳисобга олиш ёзувининг (аккаунт) бутун ҳаёт даврини бошқариш, узлуксиз назорат қилиш, шунингдек кадрлар тизимидаги маълумотларга асосланиб, ходимларнинг лавозим мажбуриятлари ва ваколатларини доимий равишда текшириб туриш;

банкнинг ташкилий тузилмаси асосида ролларга асосланган кириш моделини бошқариш ва назорат қилиш, шунингдек ходимнинг атрибутлари ва ҳолатига асосланган ҳолда ахборот ресурсларини (улар билан боғлиқ ҳисоб ёзувлари, кириш ҳуқуқлари ва ахборот тизимларидаги ваколатлар) динамик тарзда тайинлашни таъминлаш;

ходимнинг бизнес роли ёки вазифаси ўзгарганда, марказлаштирилган тизим орқали янги ролга мос равишда кириш ҳуқуқлари ва ваколатларини автоматик тарзда бериш;

ҳар бир ахборот тизими фойдаланувчиларининг амалий кириш ҳуқуқлари ва ваколатларини назорат қилиш ҳамда келишилган кириш ҳуқуқлари ўртасидаги фарқларни аниқлаш;

банкнинг ҳар қандай ахборот тизимлари ва ресурсларига кириш ҳуқуқлари ва ваколатларни (тўғридан тўғри тайинлаш, рол модели бўйича тайинлаш, сўров орқали тайинлаш) пайдо бўлиш манбасини кузатиб бориш ҳамда ваколатнинг пайдо бўлиш манбаси ва занжири ҳақида тўлиқ маълумотга эга бўлиш.

42. Хизмат банк ходимларига берилган ортиқча ҳуқуқларни аниқлаш воситалари билан таъминланиши лозим.

43. Банк томонидан ахборот активларидан фойдаланишда фойдаланувчи амалга оширган операция тўғрисидаги қуйидаги маълумотлар:

бажарилган операция санаси (кун, ой, йил) ва вақти (соат, дақиқа, сония);

фойдаланувчига тизимларда ҳамда ахборот дастурларида берилган фойдаланувчи идентификатори;

фойдаланувчи қурилмасининг идентификация маълумотлари (IP-манзил, MAC-манзил, қурилманинг номи ва бошқа идентификаторлари);

фойдаланувчининг тизимдаги фаол сессияси даврида бажарган барча амалиётлари ва ҳаракатлари тегишли электрон баённомаларда қайд этиб борилиши лозим. Бунда, электрон баённомалардаги ёзувларни ўзгартириш ёки ўчириш имконияти фақатгина банк бошқарув раисининг буйруғи билан юклатилган Хизмат ходимларида бўлиши шарт.

44. Хизмат банк ходимларининг лавозим мажбуриятлари, ваколатлари ва ахборот активларига кириш ҳуқуқларини бир ойда камида бир маротаба текшириб туриши ҳамда текширув натижаларини ҳужжатлаштириб бориши лозим.

45. Хизмат банкнинг ахборот тизимлари ва ресурсларидан рухсатсиз фойдаланишни олдини олиш мақсадида:

фойдаланувчиларни идентификация ва аутентификация қилиши ҳамда ушбу жараённи бошқариши;

муваффақиятсиз киришга уринишларни аниқлаши ва уларни чеклаши ҳамда ушбу фойдаланувчининг ахборот тизимлари ва ресурсларига кириш ҳуқуқини (аккаунтини) блоклаши;

фойдаланувчининг узоқ вақт оралиғида ҳаракатсизлиги аниқланганда иш сессиясини тўхтатиши;

ахборот активлари ҳамда ишчи станцияларда фойдаланувчининг ишлаш даврида фойдаланувчи аккаунтининг бир вақтнинг ўзида бир нечта қурилмаларда ишлашини (мультисессия) чеклаши;

фойдаланувчининг ахборот активларида шу ахборот активларининг фаолиятига таъсир этадиган созламаларини (параметрларини) ўзгартириш имкониятини чеклаши;

муҳим ахборот инфратузилмаси объекти сифатида, қонунчиликда белгиланган тартибда банкнинг ахборот тизимлари ҳамда ресурсларида ахборот хавфсизлиги ва киберхавфсизликнинг таъминланганлик ҳолати бўйича баҳолаш ишлари ўтказилишини таъминлаши;

ахборот тизимлари ва ресурсларини киберхавфсизлик талабларига мувофиқлик юзасидан экспертизадан ўтказиш ҳамда киберхавфсизликнинг таъминланганлик ҳолатини баҳолаш жараёнларида аниқланган камчилик ва заифликларни зудлик билан бартараф этиши лозим.

46. Ахборот тизимларида тўловларга оид маълумотларни киритиш, ўзгартириш, тасдиқлаш ва ўчириш ҳуқуқига эга бўлган фойдаланувчиларни аутентификация қилиш аппарат-дастурий қурилмалар орқали амалга оширилади.

Ҳар бир фойдаланувчи тизимга кириш учун унинг ўзига ажратилган аппарат-дастурий қурилмадан фойдаланиши лозим.

47. Масофадан туриб банк хизматларини кўрсатишнинг барча жараёнларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш чоралари банкнинг ички ҳужжатларида белгиланади.

Масофадан туриб банк хизматларини кўрсатиш тизимида фойдаланувчиларнинг тизимга кириши, ахборот алмашинуви ва уларнинг амаллари тўғрисидаги тўлиқ маълумотлар (IP ва (ёки) MAC манзили, мобил телефондан фойдаланганда — IMEI-код) электрон баённомаларда қайд этиб борилиши керак.

Банклар барча тизим фойдаланувчиларига рухсат берилган вақтдан ташқари ҳолатда банк тизимига уланишини тақиқлаши лозим. Бунда, банк тизими билан боғланувчи фаол сессиялар узилиши шарт.

48. Банкнинг ахборот-коммуникация технологиялари инфратузилмалари, ахборот тизимлари ва ресурслари ҳамда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизимлари администраторларининг барча ҳаракати PAM тизими орқали амалга оширилиши шарт. Бунда фойдаланувчиларнинг ҳаракатларини ушбу тизим орқали қайд этиш ва имтиёзли сессияларини аудит қилиш талаб этилади.

49. Банклар PAM тизимида фойдаланувчиларнинг ҳаракати қайд этилган маълумотларни камида олти ой давомида сақланишини таъминлаши лозим.

8-боб. Маълумотлар базасини бошқариш тизими

50. Банклар маълумотлар базаси созланишларида хатоликларни олдини олиши ва тажовузкорнинг қуйидаги ҳаракатларини чеклашлари керак:

маълумотлар базасига кириш;

маълумотлар базасининг махсус интерфейсини қўллаш, командалар киритиш ва дастурларни ишлатиш;

администратор ва фойдаланувчилар паролларини билиб олиш;

маълумотлар базасининг тизим файлларига кириш;

зарарли дастурлар ўрнатиш;

сервернинг илова дастурларига эгалик қилиш;

маълумотлар базаси ва серверга масофадан ҳужум қилиш.

51. Банклар маълумотлар базасига киритиладиган барча дастурий ўзгартиришларни ҳужжатлаштириши ва киритилган ўзгартиришларнинг ҳисобини юритиши лозим.

Ишчи станциялар ва бошқа ҳисоблаш техникаларининг операцион тизими, антивирус дастури ва бошқа дастурий ўзгартиришлар тест-синов ишлари якунига кўра ишга туширилади. Маълумотлар базасига киритиладиган барча дастурий ўзгартиришлар аввал тест-синов серверида текширилиши ҳамда ижобий натижага эришилганда ишчи серверга жорий этилиши лозим.

52. Маълумотлар базасида ўрнатилган сервернинг иш жараёни учун зарур бўлмаган хизматлар тўхтатилиши ва ахборот портлари ёпиб қўйилиши лозим. Ишлатиладиган ахборот портларининг рўйхати фойдаланиш мақсади кўрсатилган ҳолда банк бошқаруви раиси томонидан тасдиқланади.

53. Банкда реал вақт режимида шубҳали ҳаракатларни тезкор аниқлаш ва олдини олиш учун маълумотлар базаси фаолиятини мониторинг қилиш тизими DAM (Database Activity Monitoring) жорий этилиши лозим.

54. Маълумотлар базасининг администратори ва маълумотлар базасида ахборот хавфсизлигини таъминловчи ходимларнинг вазифалари, ваколатлари ва жавобгарликлари банкнинг ички ҳужжатлари билан белгиланади.

55. Маълумотлар базаси администраторининг пароли 12 та белгидан кам бўлмаслиги лозим, бунда паролнинг белгилари сифатида пастки ва юқори регистр ҳарфлари, рақамлар ва махсус белгилар (@,#, $, &, % ва ҳ.к.) қўлланилади. Пароллар ва токенлар маълумотлар базасида шифрланган ҳолда сақланиши лозим.

56. Банк маълумотлар базасига бошқа ташкилотларни фақатгина веб-сервис (API) орқали уланишини таъминлаши шарт. Бошқа ташкилотларни тўғридан тўғри улаш (DB Link) taqiqlanadi.

9-боб. Тармоқ хавфсизлиги

57. Тармоқ хавфсизлигини лойиҳалаштириш, жорий этиш ва бошқариш қуйидаги стандартлар асосида амалга оширилади:

Ўз ДСт ISO/IEC 27033-1:2016 «Ахборот технологияси. Хавфсизликни таъминлаш усуллари. Тармоқ хавфсизлиги. 1-қисм. Шарҳ ва концепциялар»;

Ўз ДСт ISO/IEC 27033-2:2016 «Ахборот технологияси. Хавфсизликни таъминлаш усуллари. Тармоқ хавфсизлиги. 2-қисм. Тармоқ хавфсизлигини лойиҳалаштириш ва жорий этиш бўйича раҳбарий кўрсатмалар»;

Ўз ДСт ISO/IEC 27033-4:2016 «Ахборот технологияси. Хавфсизликни таъминлаш усуллари. Тармоқ хавфсизлиги. 4-қисм. Хавфсизлик шлюзларини қўллаган ҳолда тармоқлараро хавфсизлигини таъминлаш учун коммуникациялар»;

Ўз ДСт ISO/IEC 27033-5:2016 «Ахборот технологияси. Хавфсизликни таъминлаш усуллари. Тармоқ хавфсизлиги. 5-қисм. Виртуал хусусий тармоқларни қўллаган ҳолда тармоқлараро хавфсизлигини таъминлаш учун коммуникациялар».

58. Банклар тармоқ хавфсизлигини таъминлаш учун қуйидаги шартларни бажариши керак:

корпоратив тармоқ ва ахборот тизимларининг ўзаро боғланишида телекоммуникация ҳамда тармоқ сервислари узлуксиз ишлаши ва хавфсизлигини таъминлаш;

тармоқ қурилмалари ва дастурий таъминотнинг созламалари ва унинг компонентларини рухсатсиз кўриш ёки ўзгартиришни чеклаш;

тармоқларни алоҳида сегментларга бўлиш;

кибертаҳдидларни реал вақт режимида мониторинг ва таҳлил қилиш ҳамда блоклаш имкониятини таъминлаш;

тармоқдаги фаоллик тўғрисидаги батафсил маълумотларни йиғиш ва сақлаш;

тузоқлар (honeypot) яратиш ва уларни эмуляция қилиш имкониятини таъминлаш;

тармоқ трафигини турли протокол ва дастурлар даражасида таҳлил қилиш имкониятини таъминлаш;

тармоқлараро ахборот алмашинувида маълумотларнинг конфиденциаллигини таъминлаш ва тармоқда рухсатсиз ҳаракатларни олдини олиш.

59. Корпоратив тармоққа фақат рухсат берилган қурилмалар (ҳисоблаш техникаси) уланишига рухсат берилиши лозим.

Банкка тегишли бўлмаган компьютер қурилмаларини банкнинг корпоратив тармоғига уланишига рухсат беришда қуйидагилар таъминланиши шарт:

корпоратив тармоққа Хизмат билан келишган ҳолда банк раҳбарияти рухсати билан улаш;

уланадиган қурилманинг техник параметрлари ва идентификаторларини қайд этиш;

уланадиган қурилмада лицензияланган антивирус дастурининг мавжудлигига ишонч ҳосил қилиш;

уланадиган қурилмага маълумотларни рухсатсиз тарқалишидан ҳимоялаш тизимини (DLP) ўрнатиш;

уланадиган қурилмага ахборот-коммуникация технологиялари инфратузилмалари ҳамда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизимларида ишлашга рухсат берилиши кўзда тутилган бўлса, уни PAM тизими орқали улаш;

конфиденциал маълумотлар билан ишлаш тартиби билан таништириш ва мажбуриятнома имзолатиш;

корпоратив тармоққа уланувчи қурилмаларда интернет тармоғига уланишни олдини олиш;

банкда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича белгиланган қўшимча чораларни кўриш.

60. Корпоратив тармоқда ахборот алмашинувининг электрон баённомаси юритилиши ва электрон баённомада тизимга кирган фойдаланувчининг номи (user name), вақти, IP ва (ёки) қурилманинг MAC манзили қайд этиб борилиши керак.

61. Банклар томонидан ташкил этилган корпоратив тармоқнинг (Марказий банк тармоғига, Интернет жаҳон ахборот тармоғига, телекоммуникация провайдерларига, филиалларга ва бошқа тармоқларга боғланиш) чизмаси Марказий банк билан келишилади.

62. Корпоратив тармоқ хавфсизлигининг тўлиқ назорати ва мониторинги доимий равишда Хизмат томонидан амалга оширилади.

63. Банкнинг тармоқлараро ахборот алмашинуви хусусий виртуал тармоқларни (VPN) ташкил этиш йўли билан муҳофазаланади.

Корпоратив тармоқда илова серверлари билан фойдаланувчилар ўртасидаги ўзаро ахборот алмашинувида ҳимояланган протокол қўлланилиши лозим.

64. Банкнинг локал ҳисоблаш тармоғига бошқа тармоқлардан ва (ёки) ташқи алоқа каналлари орқали боғланиш нуқталари тармоқлараро экран қурилмалари билан муҳофазаланади.

65. Телекоммуникация шкафлари қулфланиши ва видеокузатув тизимлари орқали назоратга олинган бўлиши лозим.

Локал ҳисоблаш тармоқлари кабелларини телекоммуникация шкафлари билан ҳисоблаш техникалари, банкомат ва бошқа қурилмаларнинг боғланиш нуқталаригача муҳофазаланмаган тарзда ўтказилиши тақиқланади.

66. Банкнинг барча бўлинмалари локал ҳисоблаш тармоғида виртуал маҳаллий тармоқлар (VLAN) ҳосил қилиш йўли билан бир-биридан ажратилиши лозим.

67. Банкда тармоқ хавфсизлигини таъминлашда қўлланиладиган дастурий таъминот ва техник воситаларнинг ҳолатларини мониторинг қилиб борилиши, статистик маълумотлар йиғилиши ва таҳлил қилиниши, юзага келаётган муаммолар илк босқичда аниқланиши ва улар асосида фавқулодда вазиятлар пайдо бўлишининг олди олиниши лозим.

68. Банклар тармоқдаги таҳдидларни аниқлаш ва уларга қарши жавоб берувчи тизимларни NDR (Network Detection and Response) жорий қилиши лозим.

69. Банклар тажовузларни аниқлаш ва олдини олиш тизимини (IDS/IPS) қўллаши лозим, яъни банк тармоқ ичида ноодатий ҳаракатларни ва локал ҳисоблаш тармоқларидаги ҳужумларни аниқлаш, олдини олиш ва тўсиш учун мўлжалланган дастурий ёки дастурий-аппарат воситаларни жорий этишлари лозим.

Банклар реал вақт режимида тармоқ дастурлари ишлашидаги оғишлар, шунингдек компьютер тизими ёки тармоқда рухсат этилмаган фойдаланиш (рухсатсиз кириш ёки тармоққа ҳужумлар) ҳолатларини аниқлаш имкониятига эга бўлиши керак. Банк IDS/IPS тизимларининг базасини актуал ҳолатда бўлишини таъминлайди.

IPS/IDS тизимлари тармоқ инфратузилмасининг миқёси серверлар ва коммутация ускуналари (маршрутизаторлар, коммутаторлар, алоқа линиялари) интерфейсларининг ўтказиш қобилиятидан келиб чиқиб танланади ва жорий этилади. Агар телекоммуникация қурилмалари маънан эскирган бўлса ва IPS/IDS тизимларига ишлаш имкониятини бермаса, ушбу қурилмалар янгиланиши лозим.

70. Банкларда қўлланиладиган тармоқлараро экран қурилмалари Ўз ДСт 2815:2014 «Ахборот технологиялари. Тармоқлараро экран.» стандарти талабларининг камида иккинчи тоифасига мос бўлиши керак.

Тармоқлараро экран қурилмаларининг созланишлари тасдиқланиши ва рухсат берилган ахборот алмашинуви протоколлари асосланган бўлиши лозим. Созланишларга киритиладиган ўзгартиришлар банк томонидан амалга оширилади.

71. Асосий ва захира тармоқлараро экран қурилмаларининг созламалари бир хил бўлиши ҳамда актуал ҳолда электрон архивда сақланиши керак.

72. Тармоқлараро экран қурилмалари ва прокси-серверларнинг электрон баённомалари Хизмат томонидан таҳлил қилиб борилади ва ташқи ҳужумлар аниқланганда зудлик билан Марказий банкка хабар берилади.

10-боб. Электрон почта ва интернет тармоғидан фойдаланиш

73. Банк ўзининг ички электрон почта тизими серверини банкнинг локал ҳисоблаш тармоғида яратади.

Тезкор хабарлар алмашиш тизимлари (messenger) ёки дастурларидан фойдаланиш, банк томонидан интернет тармоғидан ва электрон почта тизимларидан фойдаланишда ахборот муҳофазасини таъминлаш, ходимларни тизимга киритиш, уларга чекловлар қўйиш, жавобгарлик, ходимлар ҳаракати ва тизимнинг ахборот хавфсизлиги устидан назорат қилиш банкнинг ички ҳужжатларида белгиланади.

74. Банк ходимларига банк фаолиятига тегишли бўлмаган маълумотларни банкнинг электрон почтаси орқали узатиш тақиқланади.

75. Банк бўлимлари ва филиаллари ўртасида ахборот алмашинуви электрон ҳужжат айланиши дастурлари ёки банкнинг ички электрон почта тизими орқали амалга оширилади.

76. Файлларни узатиш протоколидан (FTP) фойдаланиб ташкил қилинган умумий каталог (FTP Server) орқали файл алмашинувини амалга ошириш ва банк сири маълумотларини тармоқда эркин ўқиш учун жойлаштириш тақиқланади.

Электрон почта орқали қабул қилинадиган ва юбориладиган маълумотларда зарарли кодларнинг мавжудлигини текшириш тизими (Sandbox) жорий этилиши лозим. Хизмат ушбу тизимни назорат қилиб боради.

77. Банк ўзининг электрон почта тизими ҳамда интернет тармоғидан фойдаланиш тартибини ички ҳужжатлари билан белгилайди ҳамда электрон почта орқали юборилган ва қабул қилинган маълумотларни Хизмат томонидан назорат қилинишини таъминлайди. Бунда, фақат рухсат берилган фойдаланувчилар интернет тармоғидан фойдаланиши мумкин.

78. Банкда интернет тармоғидан фойдаланишда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш чоралари кўрилиши керак.

Конфиденциал, жумладан банк сирини ташкил этувчи ва шахсга доир маълумотлар билан ишлайдиган фойдаланувчиларнинг компьютерларини интернет тармоғига прокси сервер орқали улашга рухсат этилади. Бунда фақат иш фаолиятига оид ахборот ресурсларининг рўйхати асосида интернет тармоғига уланиши ташкил этилиши лозим.

79. Автоматлаштирилган банк тизими маълумотлар базаси серверлари, дастур серверлари, тўлов тизими маълумотларини қайта ишловчи барча серверлар ҳамда банкнинг иш фаолиятида қатнашувчи бошқа муҳим серверлари банкда ташкил этилган алоҳида ажратилган ва муҳофаза қилинган тармоқ сегментида жойлаштирилиши лозим.

Банкнинг интернет тармоғи орқали уланадиган ахборот тизимлари ва ресурслари ҳужумни аниқлаш ва уни олдини олиш бўйича IDS/IPS, WAF (Web Application Firewall) ҳамда Anti-DDoS тизимлари билан муҳофазаланган бўлиши керак.

80. Ахборот муҳофазасини кучайтириш мақсадида тармоқ протоколида тармоқ транзит пакетларининг IP манзилларини ўзгартириш имконини берувчи тармоқ манзилларини ўзгартириш протоколи (NAT) қўлланилганда, барча уланишларнинг электрон журналлари асл IP манзиллар кўрсатилган ҳолда юритилиши ва белгиланган тартибда электрон архивга олиниши лозим.

Интернет тармоғидан фойдаланиш тартиби назоратга олинган бўлиши ва банк ходимларининг интернет тармоғидан фойдаланишлари уларнинг лавозим йўриқномасига кўра белгиланиши лозим.

81. Интернет тармоғидан фойдаланган ходимнинг логини, фойдаланиш вақти, ресурс номи ва бошқа маълумотлар акс эттирилган электрон баённомалар юритилиши керак. Хизмат ушбу электрон баённомаларни таҳлил қилиб боради.

82. Интернет тармоғидан фойдаланишда ахборот муҳофазасини таъминлаш тармоқлараро экран қурилмалари, прокси-серверлар, антивирус воситалари, рухсатсиз киришни аниқлаш ва олдини олиш (IDS/IPS) ҳамда бошқа ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизимларини қўллаш йўли билан амалга оширилади.

83. Банк тармоғи ва компьютерларга модемлар ёки уяли телефонларни улаш, шунингдек интернет тармоғида ишлашда ташқи прокси-серверлардан фойдаланиш ва банкнинг ички локал тармоғини симсиз ташкил этиш ва банк компьютерларида симсиз ахборот алмашинуви тизимларидан фойдаланишга йўл қўйилмаслиги таъминланиши керак.

84. Мижозлар ва банк истеъмолчилари учун қулайликлар яратиш мақсадида банк биносида Wi-Fi зоналари ташкил этилиши мумкин.

Бунда, Wi-Fi технологияси банк ички локал тармоғидан жисмонан ажратилган бўлиши ҳамда унда қуйидаги ахборот хавфсизлиги ва киберхавфсизликни таъминлаш чоралари кўрилган бўлиши керак:

Wi-Fi тармоғи орқали фақатгина интернет тармоғига киришга рухсат бериш;

мижозни идентификациядан ўтказиш;

мижозлараро уланишни тақиқлаш (client isolation);

IPS/IDS ёки прокси фильтрлаш орқали шубҳали ва зарарли трафикни блоклаш;

DoS ҳужумларини олдини олишда тезлик (QoS) ва сессияларни чеклаш;

Wi-Fi тармоғига уланиш тўғрисидаги баённомаларни (MAC, IP, сана/вақт, меҳмон идентификатори) камида олти ой давомида сақлаш;

WPA2/WPA3-PSK ёки WPA2-Enterprisedan фойдаланиш ва трафикни мажбурий шифрлаш;

ҳимоясиз очиқ паролли (шифрланмаган) Wi-Fi тармоғидан фойдаланишни тақиқлаш;

реал вақт режимида аномал фаоллик, сканерлаш ва ҳужумга уринишлар ҳамда тақиқланган ресурсларга уланишни кузатиш;

Rogue AP, Spoofing ва бошқа ҳужумларни аниқлаш ва олдини олиш тизимини (WIDS/WIPS) ишлатиш.

85. Банк интернет тармоғидаги ташқи ахборот ресурсларини мунтазам равишда кузатиб бориши шарт. Бундан кўзланган асосий мақсад банкнинг рамзий белгиси, ишбилармонлик обрўси ва бошқа элементларидан ноқонуний фойдаланган ҳолда мижозлар ва ҳамкорларни чалғитишнинг олдини олиш ҳисобланади. Бунда, банк билан боғлиқ қуйидаги ҳолатлар аниқланиши лозим:

банкнинг расмий веб-сайтига ўхшатиб яратилган сохта веб-сайтлар (фишинг нусхалар, сохта доменлар, саҳифа нусхалари);

ижтимоий тармоқлар, мессенжерлар, онлайн савдо майдончалари, реклама платформалари ва форумлардаги сохта аккаунтлар;

расмий мобил иловалар дўконларидаги (Google Play, App Store ва бошқалар) сохта иловалар;

банк номидан юборилган фишинг ёки фирибгарлик характеридаги электрон почта ва SMS-хабарлар;

банкнинг товар белгиси, рамзий белгиси (лого) ёки домени номидан ноқонуний фойдаланиш ҳолатлари;

мижознинг ишончини йўқотиш ёки уларни чалғитишга қаратилган салбий ахборотлар (сохта маълумотлар, қалбакилаштирилган янгиликлар, банк номидан ёзилган шарҳлар ва ҳоказо);

банк номидан ноқонуний фойдаланиш билан боғлиқ бошқа ҳолатлар.

Банк интернет тармоғидаги ташқи ахборот ресурсларида юқоридаги ҳолатларни аниқлаган тақдирда, бу ҳақда бир кун ичида Марказий банк ва Ўзбекистон Республикаси Рақамли технологиялар вазирлиги ҳузуридаги Ахборотлаштириш ва телекоммуникациялар соҳасида назорат инспекциясига хабар бериши ҳамда ўзининг расмий ахборот манбаларида эълон қилиши лозим.

11-боб. Техник воситаларни бошқариш тизими

86. Банклар ахборот активларида тармоқ объектлари бўлган фойдаланувчилар, компьютерлар, серверлар ва бошқа техник воситаларни бошқариш (Active Directory ёки бошқа муқобил) тизимини жорий этади.

Бунда ушбу тизим ёрдамида компьютерларда фойдаланувчилар томонидан фақат ўзларининг иш фаолиятига тегишли бўлган дастурлар ишлатилиши ва компьютерларга кириш ҳимояланиши (пароллар) таъминланади.

Фойдаланишга йўл қўйиладиган дастурлар рўйхати банк томонидан белгиланади. Рўйхатда бўлмаган барча дастурларни ишлатиш ва қўшимча дастурлар ўрнатиш каби ҳаракатлар тақиқланади.

87. Техник воситаларни бошқариш тизими администратор томонидан амалга оширилади, бунда Хизмат администраторнинг тизимдаги барча ҳаракатларини назорат қилиши керак.

88. Хизмат камида бир ойда бир маротаба техник воситаларни бошқариш тизимининг созламалари ва электрон баённомаларини таҳлил қилиши, техник воситалардан фойдаланишда банкнинг ахборот хавфсизлигига оид сиёсатида белгиланган талабларнинг бажарилишини назорат қилиши керак.

12-боб. Охирги нуқталарда хавфсизликни таъминлаш

89. Банклар ахборот тизимларидан рухсатсиз маълумотлар узатилишининг олдини олиш мақсадида маълумотларни рухсатсиз тарқалишидан ҳимоялаш тизимини (DLP) жорий этишлари лозим.

Конфиденциал маълумотлар билан ишлаш ҳуқуқи берилган барча охирги нуқталар DLP тизимига уланган бўлиши лозим.

90. Маълумотларни ҳимоя қилишда банклар томонидан:

муҳофазаланадиган маълумотларни рухсатсиз турли тармоқ каналлари орқали узатилиши, рухсатсиз ҳисобга олинмаган ташқи ташувчига кўчирилиши, рухсатсиз чоп этилиши аниқланиши ҳамда бу ҳақда банк раҳбариятига маълумот бериш ва келгусида шу каби салбий ҳолатлар бўлмаслигининг олдини олиш чоралари кўрилиши;

муҳофазаланадиган маълумотларни сервер ва компьютерларда сақланиши назорат қилиниши лозим.

91. Назорат қилиш тартиб-қоидалари банкнинг ички ҳужжатлари билан белгиланади ва маълумотларни рухсатсиз тарқалишидан ҳимоялаш Хизмат томонидан амалга оширилади.

92. Банкларда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш учун антивирус ҳимояси ташкил этилиши лозим.

93. Банкда антивирус дастурларининг ўрнатилиши ҳамда ишлаши Хизмат томонидан назорат қилинади.

94. Банклар компьютер вируси аниқланганда, уларнинг тармоқ орқали тарқалишини олдини олиш мақсадида амалга ошириладиган чораларни белгилаши керак.

Банкнинг ахборот инфратузилмасига компьютер вируси зарар келтирганлиги аниқланганда, банклар шу вируснинг келиб чиқиши ва унинг тури ҳақида Марказий банкка маълумот бериши лозим.

95. Хизмат Банк ходимлари томонидан уларнинг компьютеридаги антивирус дастурининг созламаларини ўзгартириш имкониятини чеклаши керак. Компьютер вируси аниқланганда, ходимлар томонидан амалга ошириладиган ҳаракатлар банклар томонидан белгиланиши ҳамда барча ходимларга таништирилиши лозим.

96. Банклар антивирус ҳимоясини ташкил этишда қуйидагиларни таъминлаши шарт:

лицензияга эга антивирус дастурларидан фойдаланиш ва уларнинг лицензиясининг амал қилиш муддати актуаллигини таъминлаш;

антивирус дастурларини марказлашган ҳолда бошқариш;

антивирус дастурлари базаларини ҳар куни янгилаб борилишини йўлга қўйиш;

антивирус дастурининг русуми актуал (маънан эскирмаган) бўлишини таъминлаш;

барча серверлар, компьютерлар, банкоматлар, инфокиосклар ва бошқа антивирус дастурлари ўрнатилиши мумкин бўлган ҳисоблаш воситаларига антивирус дастурларини ўрнатиш.

97. Банклар ахборот тизимларидаги янгиланишлар ва тузатмаларни бошқариш тизимини жорий этиши лозим.

Зарарли дастурлар ва эксплоитлардан ҳимояланиш мақсадида аномал фаолиятни кузатиш имконини берувчи EDR (Endpoint Detection and Response) технологиясидан фойдаланилиши лозим.

Охирги нуқталарда хавфсизликни таъминлаш учун Wi-Fi тармоқларига уланишни тақиқлаш лозим.

98. Банк томонидан конфиденциал маълумотлар билан ишлаш учун берилган мобил қурилмалар марказлаштирилган ҳолда бошқарилади ва уларда хавфсизлик сиёсатидан фойдаланилади (қурилмани масофадан блоклаш, маълумотларни масофадан ўчириш ва бошқалар).

99. Банк ўзининг ахборот активларида рухсат этилмаган ўзгаришлар ҳақида дарҳол огоҳлантирувчи ва конфигурация файлларининг яхлитлигини назорат қилиш тизимларидан FIM (File Integrity Monitoring) фойдаланиши шарт.

13-боб. Электрон рақамли имзо ва шифрлаш калитларидан фойдаланиш

100. Банкларда электрон ҳужжатларнинг аслига тўғрилигини тасдиқлаш ва ташқи муҳит таъсиридан муҳофазалаш учун банкнинг электрон рақамли имзо калитларини рўйхатга олиш маркази томонидан яратилган электрон рақамли имзо ва шифрлаш калитлари қўлланилади.

101. Банклар ташқи тизимлар билан ўзаро ишлашда банк таваккалчиликларидан келиб чиққан ҳолда электрон рақамли имзо ва шифрлаш калитларини қўллаш бўйича талабларни ўзаро келишган ҳолда амалга оширади.

102. Ахборот активлари фойдаланувчиларининг электрон рақамли имзо калитлари махсус ёки мобил қурилмаларга ёзилган бўлиши ҳамда ҳар қандай усул билан рухсатсиз нусха олишдан ҳимояланган бўлиши лозим.

103. Электрон тўлов ҳужжатларини киритувчи, тасдиқловчи ва электрон тўловлар билан тегишли амалларни (бош бухгалтер, сўнгги назорат) бажарувчи барча масъул ходимлар электрон рақамли имзо билан таъминланган бўлишлари ва автоматлаштирилган банк тизимларида ушбу электрон рақамли имзодан фойдаланишлари зарур.

Банк томонидан масофавий хизмат кўрсатилганда, электрон тўлов ҳужжатларини киритувчи, тасдиқловчи ва электрон тўловлар билан тегишли амалларни бажарувчи барча ходимлар электрон рақамли имзо билан электрон тўлов ҳужжатларини тасдиқлаши лозим.

104. Банклар тармоқ орқали узатилаётган тўлов маълумотларини электрон рақамли имзо ва шифрлаш калитлари қўлланилган ҳолда ҳимоя қилинишини таъминлайди.

105. Электрон рақамли имзо калити сертификатининг амал қилиш муддати электрон рақамли имзо рўйхатга олинган пайтдан эътиборан йигирма тўрт ойдан ошмаслиги керак. Бунда электрон рақамли имзо калити сертификатининг амал қилиш муддати икки мартадан кўп бўлмаган муддатга узайтирилиши мумкин .

Фойдаланувчиларнинг электрон рақамли имзо очиқ калитлари автоматлаштирилган банк тизимида рўйхатга олиниши ва ҳисоби юритилиши керак.

106. Электрон рақамли имзо калитининг сертификати рўйхатга олиш маркази орқали яратилади. Бунда, сертификатга қуйидаги маълумотлар киритилади:

электрон рақамли имзо ёпиқ калитининг эгаси бўлган жисмоний шахснинг фамилияси, исми ва отасининг исми;

ходимнинг лавозими ва шахсини тасдиқловчи ҳужжат маълумотлари;

жисмоний шахснинг шахсий идентификация рақами;

электрон рақамли имзонинг очиқ калити;

мазкур сертификатни берган рўйхатга олиш марказининг номи ва жойлашган манзили;

электрон рақамли имзодан фойдаланиш мақсадлари тўғрисидаги маълумотлар;

электрон рақамли имзолар калитлари сертификатлари реестрининг электрон манзили.

107. Электрон рақамли имзо ва шифрлаш калитларининг яратилиш жараёнлари муҳофазаланиши лозим.

108. Электрон рақамли имзонинг ёпиқ калитидан фақат унинг эгаси фойдаланиши лозим.

Банк тизимидаги электрон рақамли имзо калитлари қўлланилиши Хизмат томонидан назорат қилинади.

Электрон рақамли имзонинг ёпиқ калитини иш компьютер хотирасида ёки иш компьютерига доимий уланган ҳолатда турувчи ташқи хотирада сақлаш тақиқланади.

109. Электрон рақамли имзо билан тасдиқланмаган ва шифрлаш жараёнидан ўтмаган электрон тўловлар қайта ишлаш учун қабул қилиниши тақиқланади.

110. Марказий банк томонидан берилган электрон рақамли имзо калитлари бузилганда, йўқотилганда ва бошқа шунга ўхшаш ҳолатларда банклар электрон рақамли имзонинг янгиланиш сабабларини кўрсатган ҳолда Марказий банкка мурожаат қилади. Марказий банк мурожаат асосида бир кун ичида электрон рақамли имзони янгилаб беради.

14-боб. Электрон архивни ташкил қилиш ва электрон архив ҳужжатларининг таркиби

111. Электрон архив банк архивининг таркибий бўлинмаси сифатида ташкил қилинади.

112. Электрон архив ўзининг электрон архив ахборот тизимига эга бўлиши ва унинг ахборот ресурслари шакллантирилиши лозим.

113. Электрон архивнинг асосий вазифалари қуйидагилардан иборат бўлиши керак:

электрон ҳужжатларни жамлаш, ҳисобга олиш, уларни сақлаш, шунингдек улардан фойдаланишни таъминлаш;

ахборот ресурсларининг архив нусхаларини тайёрлаш ва уларни қонунчилик ҳужжатларида белгиланган муддатларда давлат сақловига топшириш;

электрон ҳужжатларни расмийлаштириш бўйича банкнинг таркибий бўлинмаларига услубий ёрдам кўрсатиш;

электрон архив ахборот ресурсининг ахборот хавфсизлиги ва киберхавфсизлигини таъминлаш.

114. Электрон архив ҳужжатлари таркибига қуйидаги ахборот ресурслари кириши лозим:

банк амалиёт кунидаги электрон маълумотларнинг тўлиқ базаси;

муддати тугаган шифрлаш ва электрон рақамли имзо калитларининг очиқ калитлари;

банк амалиёт куни дастурлари ва бошқа алоҳида фойдаланилаётган дастурлар мажмуаси;

банк ахборот тизимлари ва ресурслари билан боғлиқ барча дастурларнинг, дастурий ва аппарат-дастурий қурилмаларнинг электрон баённомалари ҳамда нохуш ҳодисалар билан боғлиқ электрон баённомалар;

электрон почта орқали қабул қилинган ва узатилган тўловларга тегишли (фармойиш, қарор ва бошқа) ҳужжатлар;

шифрланган ва шифрланмаган кўринишдаги барча кирувчи ва чиқувчи электрон тўлов ҳужжатлари;

тижорат банкларининг кредит ва бошқа банк операцияларига тааллуқли маълумотлари;

банкларнинг бошқарув, шахсий таркиб ҳужжатлари ва бошқа маълумотлар.

115. Банкда электрон архивда сақланувчи маълумотлар рўйхати шакллантирилиши ва бир йилда бир марта янгилаб турилиши лозим.

Банклар ўзининг сиёсати, мавжуд бўлган ахборот тизимлари ва банк олдига қўйилган талаблардан келиб чиқиб, электрон архивда сақланувчи маълумотлар рўйхатини белгилаши мумкин.

116. Электрон архив белгиланган вазифаларни бажариш учун тегишли техник қурилма-воситалар ва дастурлар билан таъминланган бўлиши керак.

Электрон архивнинг ахборот ресурси ташқи сақловчиларга кўчирилиб, сейфда ёки темир шкафда сақланиши лозим.

117. Асосий иш жараёнидаги маълумотлар ва уларнинг хотирасида (сервер дискларида) сақланаётган маълумотлар электрон архивнинг ахборот ресурси ҳисобланмайди.

118. Банклар электрон архивнинг ахборот ресурси нусхаларини сақлаш учун камида иккита бир-бирига боғлиқ бўлмаган сақлаш жойларини ташкил этишлари лозим.

Электрон архив ҳар куни дастурий равишда ахборот ресурсини шакллантириши (архивлаши) ҳамда электрон ахборот ташувчи воситаларга ёзилиши жараёнини электрон журналда қайд этиб бориши лозим. Электрон журналда ахборот ресурсига кўчирилган ахборотлар тўғрисидаги (вақти, номи, ҳажми ва бошқа) маълумотлар ҳамда электрон архив бутлигини аниқлаш мақсадида ушбу ахборотларнинг хеш суммаси (назорат рақамлари) қайд этиб борилиши керак. Электрон архивнинг масъул ходими ушбу ишларни амалга оширганлиги тўғрисида махсус дафтарда қайд қилиб боради.

119. Банкнинг ички аудит хизмати ходими ҳар ойда камида бир марта электрон архивнинг ишларини текшириши ва текширув натижаларини архив ишларини қайд этиш махсус дафтарига киритиб бориши зарур. Камчиликлар аниқланган тақдирда банкнинг ички аудит хизмати томонидан далолатнома расмийлаштирилиши ва камчиликларни бартараф этиш чоралари кўрилиши ташкиллаштирилади.

120. Электрон архив томонидан электрон архивнинг ахборот ресурси маълумотлари ҳар олти ойда бир марта бутлиги юзасидан текшириб турилади ҳамда ушбу текшириш натижалари махсус дафтарда юритилади. Агар электрон архив ахборот ресурслари маълумотлари қисман ёки умуман бузилганлиги аниқланса, тегишли маълумотлар қайта тикланиши ва бу ҳақида далолатнома тузилиши лозим.

121. Электрон архивга топширилган электрон ҳужжатларнинг (электрон ресурсларнинг) сақланиш муддати қоғоз асосдаги ҳужжатлар учун ўрнатилган муддатлардан кам бўлмаслиги лозим.

Банк томонидан сақланиш муддати доимий бўлган электрон маълумотлар идоравий архивда ўн беш йил мобайнида сақлангандан сўнг уларнинг бир нусхаси ўрнатилган тартибда давлат архивларига топширилиши лозим.

122. Банкнинг филиаллари фаолияти тугатилганда, электрон архивнинг ахборот ресурси банкнинг ҳудудий филиалларига, ҳудудий филиаллари мавжуд бўлмаган банклар бош банкка белгиланган тартибда топширилади. Банк фаолияти тугатилиб бошқа банкка қўшиб юборилганда, электрон архив маълумотлари қўшиб юборилаётган банкнинг электрон архивига белгиланган тартибда топширилади.

123. Банк фаолияти тугатилганда электрон архивнинг ахборот ресурслари давлат архивига топширилади.

124. Электрон архив ходим(лар)и ахборот ресурсларининг тўлиқлиги, тўғри шаклланганлиги ҳамда ишончлилиги учун шахсан жавобгар ҳисобланади.

15-боб. Ахборот активлари иш жараёнларининг узлуксизлиги ва қайта тикланишини таъминлаш

125. Банклар ахборот активлари иш жараёнининг узлуксизлигини таъминлаши ҳамда бунинг учун ташкилий ва техникавий чораларни кўришлари керак.

Банклар ахборот активлари иш жараёнида тўхташлар, техник носозликлар, фавқулодда ҳолатлар ва катта зарар етказувчи ҳолатлар юзага келганда иш узлуксизлигини таъминлаши ва бунинг учун тегишли чораларни аввалдан кўрган бўлишлари лозим.

126. Банкда ахборот активлари иш жараёнлари узлуксизлигини таъминлаш бўйича талаблар ишлаб чиқилиши, шу жумладан узилишлар (тўхташлар) вақтида амалга ошириладиган ишлар (барча ҳолатлар учун) бўйича режа тасдиқланиши керак. Режада иштирок этувчи ходимлар ҳаракати ёритилиши ва бу ходимлар тегишли тайёргарлик кўриб қўйган бўлишлари керак.

127. Банклар ахборот активлари қуйи тизимларини қайта тиклаш тартибини ишлаб чиқиши, маълумотларни ва тегишли дастурларни захиралаши, йилда камида икки маротаба қайта тиклаш синов ишларини ўтказиши ҳамда амалга оширилган барча ишларни ҳужжатлаштириши лозим. Қайта тиклаш режаси барча мавжуд ахборот тизимлари, операцион тизимлар ва техник қурилмаларни инобатга олган ҳолда тузилиши лозим.

128. Банк ахборот тизимларини қисқа муддатларда қайта тиклаш мақсадида тегишли электрон маълумотларни шакллантириши керак. Бунда тўлов тизимига боғлиқ банкдаги барча ахборот тизимларининг қайта тикланувчи маълумотлари кечаги кун якунига нисбатан актуал тарзда сақланиши ташкил этилиши керак.

129. Қайта тикланувчи электрон маълумотлар рўйхати, уларни кўчириш (ҳосил қилиш) вақти ва бошқалар банк томонидан белгиланади.

Банклар қайта тикланувчи электрон маълумотларнинг ҳимоясини таъминлаши лозим.

130. Банкнинг ички аудит хизмати ҳар ойда камида бир марта маълумотларни қайта тиклаш тизимининг ҳолатини текшириши ва текширув натижаларини махсус дафтарида қайд қилиб бориши керак. Камчиликлар аниқланган тақдирда, бу ҳақида далолатнома расмийлаштирилиши лозим.

131. Ахборот активларининг техник воситалари ишдан чиқиши ҳолатлари юз берганда, тизимнинг бетўхтов ишлашини таъминлаш учун банклар захира тикланиш режаси, дастур ва ускуналарга эга бўлишлари шарт.

132. Ахборот активларидаги серверлар ва компьютерлар эксперт тасдиғидан ўтган ёки лицензияланган дастурларга эга бўлиши лозим.

133. Банкнинг ахборот активлари, ахборотни ҳимоялаш воситалари, маълумотлар базаси, веб-серверлари, тўлов тизими ва бошқа серверлари банкнинг маълумотларни қайта ишлаш асосий ва захира марказларида жойлаштирилади.

Мазкур марказлар ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича талабларга қатъий риоя этиши, шунингдек конфиденциал, жумладан банк сирини ташкил этувчи маълумотларнинг сизиб чиқишини олдини олишни ҳисобга олиб, банкнинг биносида, филиал(лар)ида, бошқа банкларда, Марказий банкнинг булутли технология асосида яратилган дата-марказида ёки давлат дата-марказларида ташкил этилиши мумкин.

Банклар ахборот активларини фавқулодда (ёнғин, зилзила, сув тошқини ва бошқа) ҳолатлардан ҳимоя қилиш учун 50 кмдан кам бўлмаган масофада жойлашган ҳудудлардаги шаҳар марказларида захира маълумотларни қайта ишлаш марказини ташкил этиши лозим.

134. Асосий ахборот тизимларида ишлатилаётган дастур ва маълумотларнинг захира нусхалари банкнинг захира марказида сақланади. Захира марказидаги маълумотларнинг қайта тикланиши (синхронизация) даврийлиги кунига бир мартадан кам бўлмаслиги керак.

16-боб. Банкда ташкил этилган маълумотларни қайта ишлаш марказлари ва сервер хоналарининг хавфсизлик талаблари

135. Банкларда ташкил этилган маълумотларни қайта ишлаш марказлари қуйидаги талабларга жавоб бериши лозим:

маълумотларни қайта ишлаш марказининг провайдери тегишли лицензия ва сертификатларга эга бўлиши (PCI DSS, ISO 27001);

Tier III ёки Tier IV халқаро стандартларига мос келиши;

хизмат кўрсатиш даражасини SLA (Service Level Agreement) белгиловчи ҳужжатнинг мавжудлиги.

136. Банк сервер хонасининг кафолатли электр таъминоти тизимини жорий этиши лозим. Бунда, турли электр подстанциялардан электр таъминотининг иккита киришлари ва битта автоматик тарзда ишга тушувчи дизел электр станцияси мавжуд бўлиши керак. Электр энергиясининг барча учта манбаи электр таъминотининг асосий (захира) фидерига автоматик тарзда қайта уланиши таъминланиши керак.

137. Электр таъминоти линияларининг, автоматик дизел электр станцияси ва унинг захираси автоматик киришининг параметрлари ускуна ва сервер хонаси тизимларининг истеъмол қилинадиган умумий қувватидан келиб чиқиб аниқланиши ва қувват бўйича захиранинг камида 10 фоизини таъминлаши керак.

138. Банк узлуксиз ишлаши учун камида бир суткага етадиган ёқилғи захирасига эга бўлган дизел электр станцияси билан таъминланиши лозим, бунда банкда электр қуввати бўлмаганда дизел электр станцияси автоматик равишда ишга тушиши керак.

139. Банклар сервер хонасини узлуксиз электр таъминоти манбаи (UPS) билан жиҳозлашлари лозим.

Бунда электр таъминоти манбаи (UPS) қуввати барча таъминланадиган ускуна ва келажакдаги эҳтиёж учун захира ҳисобга олинган ҳолда жорий қилинган бўлиши керак. Электр таъминоти манбаи (UPS) орқали автоном ишлашда эҳтиёжлар, шунингдек захира линияларига ва автоматик дизел электр станциясига ўтиш ҳамда қайта ўтиш учун керак бўладиган вақт ҳисобга олинади.

140. Сервер хонасига кириш фақат тасдиқланган рўйхатга мувофиқ амалга оширилади.

141. Сервер хонасига киришга рухсат берилган ходимлар рўйхатида бўлмаган шахслар сервер хонасига кириш зарурати пайдо бўлган ҳолларда уларнинг кириши асосланган ҳолда талабнома билан расмийлаштирилиши лозим. Ушбу талабнома ахборот технологиялари бўлинмаси раҳбари томонидан кўриб чиқилиши ва имзоланиши, шунингдек Хизмат раҳбари билан келишилиши зарур. Сервер хонасига кириш сервер администратори кузатуви остида амалга оширилади.

142. Ходимлар сервер хонасига назорат қилиш тизими орқали назоратдан ўтган ҳолда (биометрик ёки бошқа усуллардан) кириши керак.

143. Сервер хонасига ахборот активларига хизмат кўрсатувчи ташкилотлар ходимлари киритилганда, бу ҳақда рўйхатга олиш журналига кириш ва чиқиш санаси, вақти, амалга оширилган ишлар номи, бажарувчининг фамилияси, исми, лавозими, ташкилот номи ёзилиши ҳамда ушбу ходимнинг имзоси қўйилиши керак.

144. Сервер хонаси қуйидаги жиҳозланиш талабларига жавоб бериши шарт:

мустаҳкам деворлар ва ишончли тўсиқларга эга бўлиши;

ишончли (кодли) қулфлар ўрнатилган мустаҳкам эшиклар билан жиҳозланиши;

деразалар хонага киришдан ҳимоя қилиш воситаларига эга бўлиши, шунингдек бегона шахсларнинг кўз ёки махсус қурилмалар билан кузатишидан ҳимоя қилувчи дераза пардалари, қўриқлаш ва огоҳлантириш қурилмалари билан жиҳозланиши;

ёнғинга қарши ҳимоя тизими ва воситалари билан жиҳозланиши.

145. Сервер хонасига ўрнатилган видеокузатув тизими қуйидаги талабларга жавоб бериши керак:

серверлар билан бевосита жисмоний контактлар ёзиб борилиши;

узлуксиз видеокузатув амалга оширилиши;

серверларнинг (сервер шкафларининг) олди ва орқа тарафини кечаю-кундуз назорат қилиш имконияти бўлиши;

видеокамераларнинг тасвирга олиш имкониятлари технологик қурилмаларга хизмат кўрсатаётган ходимларнинг юзларини ишонч билан фарқлашига етарли бўлиши.

146. Видеокузатув қурилмалари ва бинога (йўлакларга, хоналарга) киришни назорат қилиш тизимлари маълумотлари банк тўлов тизими локал тармоқларидан ажратилган ва ташқи таъсирлардан ҳимоя қилинган бўлиши ҳамда электр таъминоти узилган вақтдан бошлаб 12 соат ичида энергияга боғлиқ бўлмаган ҳолда автоном равишда ишлаш имкониятига эга бўлиши, шунингдек видеоархив 2 ойдан кам бўлмаслиги лозим.

147. Видеоархив маълумотларини юритиш ва фойдаланиш банкнинг хавфсизлик бўйича масъул бўлинмаси томонидан амалга оширилади.

148. Сервер хонаси бинонинг ўт ўчириш тизимига боғлиқ бўлмаган автоматик газли ўт ўчириш қурилмаси билан жиҳозланган бўлиши лозим.

Газли ўт ўчириш тизими бевосита банкнинг сервер хонасидаги махсус жиҳозланган шкафда ёки бунинг учун ажратилган махсус хонада жойлаштирилиши керак.

Газли ўт ўчириш тизимини ишга тушириш ёнғиндан хабар берувчи тутун хабаргоҳларидан, шунингдек хона ташқарисида, деворга пол сатҳидан 1,5 м баландликда ўрнатилган қўлда ишга тушириладиган хабаргоҳлардан амалга оширилиши керак.

149. Газли ўт ўчириш тизими хонанинг ичкарисида ва ташқарисида жойлашган автоматик газли ўт ўчириш қурилмаси ишга тушганлиги тўғрисида ходимларга хабар берувчи таблога ва хонанинг ташқарисида ўрнатилган товушли хабар берувчи мосламага эга бўлиши керак.

150. Газ ва тутунни чиқариб юбориш тизими ёнғинни ўчириш тизими ишга тушганидан сўнг сервер хонасидан газ ва тутуннинг чиқиб кетишини таъминлаши керак. Ушбу тизим бинонинг вентиляция тизимидан алоҳида бино томига ҳаво қувури чиқарилган ҳолда бажарилади. Тизим сервер хонасидаги ҳаво ҳажмидан уч ҳисса ошадиган ҳажмдаги газ ҳаво аралашмасини чиқариб ташлаш имкониятига эга бўлиши керак.

151. Совитиш ва вентиляция қуйи тизимига қўйиладиган асосий талаблар қуйидагилардан иборат:

а) сервер хонасида қуйидаги иқлим шароитларига риоя қилиниши керак:

хонадаги ҳаво ҳарорати 18 — 24°C;

ҳароратнинг йўл қўйиладиган оғишлари ± 2°C;

ҳавонинг нисбий намлиги 40 — 50 фоиз;

ҳавони совитиш тизимининг ҳақиқий совитиш қуввати сервер хонасида жойлашган барча ускуналар ва тизимларнинг умумий иссиқлик чиқаришидан ортиқ бўлиши керак;

б) сервер хонасининг ҳавосини совитиш тизими 100 фоиз захиралашдан фойдаланган ҳолда бажарилади (камида, ҳар бири мустақил равишда хонанинг ҳаво режимини таъминлай оладиган иккита мустақил кондиционер);

в) совитиш тизими масофадан мониторингни амалга ошириш имкониятини таъминлаши керак.

17-боб. Банкнинг ташқи ахборот тизимлари билан ахборот алмашинувида ахборот хавфсизлиги ва киберхавфсизликни таъминлашга қўйилган талаблар

152. Банк бошқа юридик шахснинг ахборот тизими (бундан буён матнда ташқи ахборот тизими деб юритилади) билан ахборот алмашинувини шартнома асосида амалга оширади.

153. Банк ва ташқи ахборот тизими ўртасида ахборот алмашинуви амалга оширилиши учун қуйидаги ахборот хавфсизлиги ва киберхавфсизликни таъминлаш талаблари белгилаб олиниши керак:

банк томонидан бериладиган маълумотлар рўйхати ва шакли;

банкнинг ахборот тизимига кириш имкониятларини чегаралаш чора-тадбирлари;

ахборот алмашинувида аутентификация ва идентификация жараёнлари;

электрон рақамли имзо, шифрлаш ва бошқа ахборот муҳофазаси қурилмалари, дастурлари ва ускуналари;

банк сири маълумотларини ташқарига чиқишининг олдини олиш;

мазкур Низомда кўрсатилган тармоқ хавфсизлиги талаблари ва бошқа ахборот муҳофазаси талаблари бажарилиши;

ахборот алмашинувида қатнашувчи ходимларни тайинлаш, уларнинг вазифалари, мажбуриятлари ва жавобгарликлари.

Банк ташқи ахборот тизими билан ахборот алмашинувини бошлашдан олдин Марказий банкни хабардор қилиши ва ахборот алмашинувини Марказий банкнинг ахборот муҳофазаси бўйича талабларига риоя қилган ҳолда амалга ошириши шарт.

18-боб. Учинчи шахслар билан ишлашда хавфсизликни таъминлаш

154. Банклар учинчи шахслар билан ишлашда хавфсизликни таъминлаш мақсадида қуйидагиларни бажаришлари лозим:

учинчи шахсларга маълумотлардан фойдаланиш ҳуқуқини беришдан олдин хавф даражасини таҳлил қилган ҳолда баҳолаш;

конфиденциал маълумотлардан фойдаланиш ҳуқуқи берилган учинчи шахслар билан маълумотларни ошкор қилмаслик тўғрисидаги NDA (Non-Disclosure Agreement) келишувларини имзолаш;

учинчи шахсларга фақатгина ўз мажбуриятларини бажариши учун зарур бўладиган маълумотлар ва ахборот активларига киришга рухсат бериш;

учинчи шахсларнинг ҳар бир ходими учун алоҳида фойдаланувчи аккаунтини яратиш ва мажбурий тартибда кўп факторли аутентификациядан ўтказиш;

учинчи шахслар билан ҳамкорлик қилиш тугатилганидан кейин уларда мавжуд барча конфиденциал маълумотларни қайтариш, йўқ қилиш ҳамда ахборот активларига кириш учун берилган рухсатлар ва фойдаланиш аккаунтларини бекор қилиш.

19-боб. Банкнинг ахборот активларига масофадан уланишда хавфсизликни таъминлаш

155. Банклар ўз ахборот активларига масофадан уланишда қуйидаги хавфсизлик чораларини кўришлари лозим:

банк ходимларига ахборот активларига ўзининг шахсий қурилмаларидан фойдаланган ҳолда масофадан туриб уланишига рухсат бермаслик;

ходимларни корпоратив тармоққа масофадан туриб улашда виртуал хусусий тармоқлардан фойдаланиш ва кўп факторли аутентификациядан ўтказиш;

масофадан туриб ишлашда фойдаланувчиларнинг барча ҳаракати PAM тизими орқали амалга оширилишини таъминлаш;

ходимларга масофадан туриб ишлашда фақатгина ўз вазифаларини бажаришлари учун зарур бўладиган ахборот ресурсларидан фойдаланишига рухсат бериш.

20-боб. Заифликлар ва конфигурацияларни бошқариш

156. Банклар ахборот инфратузилмаларида мавжуд заифликларни аниқлаш ва бартараф этишда қуйидагиларни бажаришлари лозим:

заифликларни аниқлаш учун ахборот активларини мунтазам равишда сканерлаш ишларини олиб бориш;

заифликларни таснифлаш ва тавсифлашда халқаро CVE (Common Vulnerabilities and Exposures) каби маълумотлар базаларидан фойдаланиш;

заифликларнинг муҳимлик даражасини аниқлашда халқаро CVSS (Common Vulnerability Scoring System) каби баҳолаш тизимларидан фойдаланиш;

заифликларни бартараф этишда керак бўладиган янгиланиш ва тузатишларни (patch) ўрнатиш;

заифликлар ҳолатини доимий равишда мониторинг қилиш ва банк раҳбариятига ҳисобот бериш жараёнларини йўлга қўйиш.

157. Банклар ахборот активлари конфигурацияларинг хавфсизлигини таъминлашда қуйидагиларни бажариши лозим:

ахборот активларининг барча таркибий қисмлари, жумладан серверлар, ишчи станциялар, тармоқ қурилмалари ва иловалар учун хавфсиз конфигурацияларнинг асосий линияларини SCB (Security Configuration Baselines) яратиш;

конфигурация тавсифини унификациялашда халқаро CCE (Common Configuration Enumeration) каби рўйхатлардан фойдаланиш;

барча конфигурация ўзгаришларини тегишли текширув, тасдиқлаш ва ҳужжатлаштиришдан ўтишини таъминлаш учун ўзгаришларни бошқаришнинг расмийлаштирилган жараёнларини жорий этиш;

жорий қилинган конфигурацияларнинг белгиланган стандартлар ва хавфсизлик сиёсатларига мувофиқлигини мунтазам равишда текшириб бориш ва баҳолаш;

конфигурацияларни бошқариш жараёнларини автоматлаштириш ва уларнинг белгиланган стандартларга мувофиқлигини таъминлаш учун махсус дастурий воситалар ва платформалардан фойдаланиш.

21-боб. Банкнинг ахборот тизимлари ва ресурсларининг ҳаёт даври босқичларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш

158. Банкнинг ахборот тизимлари ва ресурсларининг ҳаёт даври модели қуйидаги босқичлардан иборат бўлиши лозим:

техник топшириқларни ишлаб чиқиш;

лойиҳалаш;

яратиш ва синовдан ўтказиш;

қабул қилиш ва ишга тушириш;

фойдаланиш;

техник хизмат кўрсатиш ва такомиллаштириш;

фойдаланишдан чиқариш.

159. Ахборот тизими мустақил равишда ишлаб чиқилганда, ҳаёт даври моделининг барча босқичларида ахборот тизимининг ахборот хавфсизлиги ва киберхавфсизлик талабларига мувофиқлиги кўриб чиқиши керак.

160. Тайёр ахборот тизими харид қилинганда, ахборот тизимининг ҳаёт даври моделининг қуйидаги:

қабул қилиш ва ишга тушириш;

фойдаланиш;

техник хизмат кўрсатиш ва такомиллаштириш;

фойдаланишдан чиқариш босқичларида ахборот хавфсизлиги ва киберхавфсизлик талабларига мувофиқлиги таъминланиши лозим.

161. Ахборот тизимлари киберхавфсизлик хатарларини инобатга олинган ҳолда лойиҳаланиши ва ишлаб чиқилиши лозим.

162. Ахборот тизими ҳаёт даврининг барча босқичларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш масалаларига оид ишлар Хизмат билан келишган ҳолда ва унинг назорати остида амалга оширилади.

163. Ахборот тизимини ишлаб чиқиш ёки модернизация қилиш бўйича техник топшириқларда ва банкнинг технологик жараёнларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича талаблар киритилиши лозим.

Ахборот тизими ва (ёки) унинг таркибий қисмларини яратиш ҳамда синовдан ўтказиш босқичларида конфиденциал, жумладан банк сирига оид маълумотлардан фойдаланиш тақиқланади.

Банкда дастурий таъминотни ҳаёт даври босқичларида бошқариш платформаларининг фақат локал (on-premise) талқинларидан (Gitlab va hokazo) фойдаланишга рухсат берилади. Бунда, платформадаги дастур коди автоматик равишда таҳлил қилиниши лозим (SAST/DAST).

Банкнинг дастурий таъминотини ҳаёт даври босқичларида бошқариш платформаларини интернет тармоғига улаш тақиқланади.

Банкнинг дастурий таъминотни ҳаёт даврини бошқариш платформаларига масофадан уланишни фақат ҳимояланган VPN тармоқ орқали амалга оширишга рухсат берилади.

164. Ахборот тизимини ишга туширишдан олдин уларда мавжуд заифликлар текширилиши шарт. Барча заифликлар бартараф этилганидан кейин ахборот тизимини ишга тушириш мумкин.

Банкда фойдаланишда бўлган ахборот тизими ва (ёки) унинг таркибий қисмларида жорий этилган ҳимоя чораларининг тавсифини ўз ичига олган ҳужжатлар бўлиши шарт.

165. Банкда дастур ишлаб чиқарувчилар томонидан ахборот тизимини ишлаб чиқиш ва етказиб бериш босқичларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш талаблари қайд этилиши лозим.

Банклар дастур ишлаб чиқарувчилар томонидан ишлаб чиқилган ахборот тизимларида амалга оширилган ҳимоя чораларини таҳлил қилиши ва зарур ҳолларда қўшимча талабларни белгилашлари мумкин.

Банклар ахборот тизимларини ишлаб чиқувчи ёки тайёр ахборот тизимларини етказиб берувчи ташкилотлар билан тузган шартномаларида ахборот тизимининг бутун хизмат муддати давомида техник қўллаб-қувватлаш бўйича шартларни киритиши лозим. Агарда шартномада мазкур шартлар кўрсатиб ўтилмаса, банк етказиб берувчидан унинг иштирокисиз ахборот тизими ва унинг таркибий қисмларини қўллаб-қувватлаш имкониятини берувчи ҳужжатлар тўпламини олиши шарт.

166. Ахборот тизимидан фойдаланиш даврида қуйидаги тартиб-таомиллар белгиланиши, бажарилиши ва рўйхатдан ўтказилиши лозим:

жорий этилган ҳимоя чораларининг ишлаши (фаолияти, самарадорлиги)ни назорат қилиш, шу жумладан ташкилий ҳимоя чораларининг амалга оширилишини текшириш, қўлланилаётган техник ҳимоя чораларининг таркиби ва созлаш параметрларини кузатиб бориш;

ускуналар ва дастурий таъминотда заиф томонлар мавжуд эмаслигини текшириш;

созлаш параметрлари ва қўлланилаётган техник ҳимоя чораларига ўзгартиришлар киритилишини назорат қилиш;

дастурий таъминотнинг, шу жумладан техник ҳимоя чораларнинг зарурий янгиланишларини назорат қилиш.

167. Ахборот тизимидан фойдаланиш даврида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича амалга оширилган барча функцияларни тиклаш учун зарур бўлган тартиб-қоидалар аниқланиши, бажарилиши, қайд этилиши ва назорат қилиниши лозим.

Ахборот тизимидан фойдаланиш даврида ўрнатиладиган ва (ёки) фойдаланиладиган дастурий таъминотнинг таркибини назорат қилиш тартиблари белгиланиши, бажарилиши ва қайд этилиши шарт.

Ахборот тизимидан фойдаланиш даврида конфиденциал, жумладан банк сирига оид маълумотлар сақланаётган воситаларнинг хавфсизлигини таъминлаш учун зарур бўлган тартиб-қоидалар аниқланиши, амалга оширилиши ва назорат қилиниши керак.

Ахборот тизимини фойдаланишдан чиқариш жараёнида банк фаолиятига зарар етказиши мумкин бўлган маълумотлар техник ҳимоя чоралари билан қўлланиладиган ахборотни тиклаш имкониятини истисно қилувчи алгоритмлар ва (ёки) усуллар ёрдамида ахборот тизимларининг доимий хотирасидан ҳамда ташқи ташувчилардан ўчирилади, бундан қонунчиликда белгиланган ва шартномавий ҳужжатларда қайд этилган муддатлар давомида сақланиши кўзда тутилган электрон ҳужжат архивлари ва баённомалар (логлар) мустасно.

22-боб. Дата-марказлар хизматларидан фойдаланишда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича талаблар

168. Банклар ўзининг маълумотларни қайта ишлаш бўйича асосий ва захира марказларини қуйидаги талабларга мувофиқ бўлган дата-марказларга жойлаштиришлари мумкин:

ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича халқаро ISO/IEC 27001, PCI DSS сертификатлари ва (ёки) ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича бошқа халқаро сертификатларнинг мавжуд бўлган;

SOC 2 стандартига мувофиқ бўлган;

Tier III ёки Tier IV халқаро стандартларига мос келадиган;

хизмат кўрсатиш даражасини белгиловчи SLA ҳужжати мавжуд бўлган;

узлуксиз ишлаш вақтида (uptime) ва носозликлар рўй берганда, қайта тиклаш муддатлари кафолатланган;

кириш назорати, видеокузатув, қўриқлаш хизмати ва табиий офатлардан ҳимояланиш каби хавфсизлик чоралари мавжуд бўлган;

турли алоқа каналлари (телефон, электрон почта, чат) орқали кун-у тун (24/7) фаолият юритувчи техник ёрдам хизматига эга бўлган;

дата-марказ администраторлари томонидан кўп омилли аутентификация ва минимал имтиёзлар тамойилига асосланган кириш бошқарув тизими мавжуд бўлган;

банкларга ўз маълумотларига кириш ва сўров бўйича маълумотларни ўчириш имконияти яратилган;

мунтазам равишда ахборот хавфсизлиги ва киберхавфсизлик аудитлари ўтказиладиган ҳамда натижалари банкларга тақдим этиладиган;

янги таҳдидлардан ҳимояланиш учун дастурий таъминот ва технологияларни ўз вақтида янгилаб борадиган;

Марказий банкка текширувлар ўтказиш имконияти яратилган;

кириш қайдномалари (логлар) ва ўзгаришларни камида 5 йил давомида сақлаш имконияти яратилган;

заифликларни таҳлил қилиш ва хавфсизлик синовлари (пентестинглар) йилига камида бир маротаба ўтказиладиган;

бизнеснинг узлуксизлигини таъминлайдиган ва қайта тикланиш режаларининг самарадорлигини текшириш учун мунтазам равишда синовдан ўтказиб туриш ишлари йўлга қўйилган.

169. Дата-марказлар ўз ходимларига мунтазам равишда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича машғулотлар ўтказиб туриши лозим.

170. Дата-марказ администраторлари барча ўзгартиришларни банк билан келишилган ҳолда PAM тизими орқали амалга ошириши лозим.

Дата-марказ замонавий кейинги авлод тармоқлараро экранларнинг аппарат-дастурий воситалари билан муҳофазаланган бўлиши керак.

171. Дата-марказлар банкларнинг маълумотларини қайта ишлаш марказларининг ахборот хавфсизлиги ва киберхавфсизлигини таъминлаш тизимларини Марказий банк «CERT-CBU» киберхавфсизлик маркази мониторинг тизимига улаши шарт.

172. Банклар ўзининг маълумотларни қайта ишлаш бўйича захира марказларини дата-марказларга жойлаштиришда уларда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш мажбуриятини кўзда тутиши лозим.

173. Банклар ўзининг маълумотларни қайта ишлаш марказларининг жойлашув манзили ўзгарганлиги тўғрисида зудлик билан Марказий банкка хабар бериши лозим.

23-боб. Ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича талаблар устидан назорат

174. Банк ахборот хавфсизлиги ва киберхавфсизликнинг таъминланганлик даражасини аниқлаш мақсадида ташқи ташкилотлар хизматидан фойдаланиши ва ички аудитини амалга ошириши мумкин.

175. Ташқи ташкилот хизматлари аудит ёки экспертиза кўринишида амалга оширилиши мумкин. Банк аудит ёки экспертиза ишларини ўтказувчи ташкилотларга конфиденциал, шу жумладан банк сири маълумотларини тақдим этиш юзасидан ички ҳужжат ишлаб чиқиши лозим. Бунда, ушбу маълумотлар тегишли шартнома асосида берилиши керак.

176. Бош банкнинг Хизмати банк ва унинг филиалларида мазкур Низом талабларининг бажарилиши устидан доимий назорат олиб бориши лозим.

24-боб. Якуний қоида

177. Мазкур Низом талабларининг бузилишида айбдор бўлган шахслар қонунчилик ҳужжатларида белгиланган тартибда жавобгар бўлади.

Ўзбекистон Республикаси Марказий банки бошқарувининг 2025 йил 1 августдаги 19/1-сон қарорига 2-ИЛОВА

Ўз кучини йўқотган деб топилаётган идоравий норматив-ҳуқуқий ҳужжатлар

1. Ўзбекистон Республикаси Марказий банки бошқарувининг 2020 йил 25 январдаги 2/4-сон «Ўзбекистон Республикаси тижорат банклари автоматлаштирилган банк тизимларида ахборотни муҳофаза қилиш тўғрисидаги низомни тасдиқлаш ҳақида»ги қарори (рўйхат рақами 3224, 2020 йил 10 март) (Қонун ҳужжатлари маълумотлари миллий базаси, 10.03.2020 й., 10/20/3224/0312-сон).

2. Ўзбекистон Республикаси Марказий банки бошқарувининг 2021 йил 28 майдаги 12/3-сон «Ўзбекистон Республикаси тижорат банклари автоматлаштирилган банк тизимларида ахборотни муҳофаза қилиш тўғрисидаги низомнинг 1-бандига ўзгартириш киритиш ҳақида»ги қарори (рўйхат рақами 3224-1, 2021 йил 17 июнь) (Қонунчилик маълумотлари миллий базаси, 17.06.2021 й., 10/21/3224-1/0567-сон).

3. Ўзбекистон Республикаси Марказий банки бошқарувининг 2023 йил 21 январдаги 1/13-сон «Ўзбекистон Республикаси тижорат банклари автоматлаштирилган банк тизимларида ахборотни муҳофаза қилиш тўғрисидаги низомга ўзгартиришлар киритиш ҳақида»ги қарори (рўйхат рақами 3224-2, 2023 йил 31 январь) (Қонунчилик маълумотлари миллий базаси, 01.02.2023 й., 10/23/3224-2/0064-сон).

Раис Т. ИШМЕТОВ

Давлат хавфсизлик хизмати раиси Б. КУРБАНОВ

Рақамли технологиялар вазири Ш. ШЕРМАТОВ

Адлия вазири А. ТАШКУЛОВ

Тошкент ш.,

2025 йил 1 август,

2025 йил 18 июль

2025 йил 11 июль

2025 йил 5 июль

19/1-сон

(Қонунчилик маълумотлари миллий базаси, 19.08.2025 й., 10/25/3669/0747-сон)

lex.uz

Oʻzbekiston Respublikasi Markaziy banki boshqaruvining

Qarori

NIZOM

ROʻYXATI

Oʻzbekiston Respublikasi tijorat banklarining axborot xavfsizligi va kiberxavfsizligiga doir minimal talablar toʻgʻrisidagi nizomni tasdiqlash haqida

Oʻzbekiston Respublikasining “Oʻzbekiston Respublikasining Markaziy banki toʻgʻrisida”gi Qonuniga muvofiq Oʻzbekiston Respublikasi Markaziy banki boshqaruvi qaror qiladi:

1. Oʻzbekiston Respublikasi tijorat banklarining axborot xavfsizligi va kiberxavfsizligiga doir minimal talablar toʻgʻrisidagi nizom 1-ilovaga muvofiq tasdiqlansin.

2. Ayrim idoraviy normativ-huquqiy hujjatlar 2-ilovaga muvofiq oʻz kuchini yoʻqotgan deb topilsin.

3. Mazkur qaror Oʻzbekiston Respublikasi Davlat xavfsizlik xizmati, Raqamli texnologiyalar vazirligi va Adliya vazirligi bilan kelishilgan.

4. Mazkur qaror rasmiy eʼlon qilingan kundan eʼtiboran uch oydan keyin kuchga kiradi.

Kelishildi:

Oʻzbekiston Respublikasi Markaziy banki boshqaruvining 2025-yil 1-avgustdagi 19/1-son qaroriga 1-ILOVA

Oʻzbekiston Respublikasi tijorat banklarining axborot xavfsizligi va kiberxavfsizligiga doir minimal talablar toʻgʻrisidagi

Mazkur Nizom Oʻzbekiston Respublikasi tijorat banklarining, shu jumladan mikromoliya banklarining (bundan buyon matnda bank deb yuritiladi) axborot xavfsizligi va kiberxavfsizligiga doir minimal talablarni belgilaydi.

1-bob. Umumiy qoidalar

1. Ushbu Nizomda quyidagi asosiy tushunchalar va qisqartmalardan foydalaniladi:

avtomatlashtirilgan bank tizimi — bank faoliyati sohasida axborotni toʻplash, saqlash, izlash, unga ishlov berish va undan foydalanishni amalga oshirish uchun moʻljallangan axborot tizimi;

antivirus dasturi — kompyuter virusiga qarshi dastur, viruslarni aniqlash uchun moʻljallangan va ularni yoʻq qilish taklifini berishi mumkin boʻlgan yoki yoʻq qiluvchi dastur;

antivirus himoyasi — antivirus dasturlari yordamida kompyuter viruslari taʼsirining oldini olish, viruslarni topish va zararsizlantirishga qaratilgan chora-tadbirlar majmui;

autentifikatsiya qilish — foydalanuvchi, dastur, qurilma yoki maʼlumotlarning haqiqiyligini tasdiqlash tartib-taomili;

axborot aktivlari — bank faoliyati uchun muhim boʻlgan axborotlar (mijoz maʼlumotlari, operatsion maʼlumotlar, dasturiy taʼminot, maʼlumotlar bazalari, hodisalar jurnallari va boshqalar) hamda ularni saqlash, uzatish, qayta ishlash va muhofaza qilishga xizmat qiluvchi barcha resurslar (axborot tizimlari va resurslari, serverlar, maʼlumotlar omborlari, aloqa kanallari va dasturiy ilovalar);

axborot resursi — axborot tizimi tarkibidagi elektron shakldagi axborot, maʼlumotlar banki, maʼlumotlar bazasi, shu jumladan axborot tizimlarida ochiq shaklda joylashtiriladigan yoxud eʼlon qilinadigan audio, video, grafik va matnli axborot;

axborot tizimi — axborotni toʻplash, saqlash, izlash, unga ishlov berish hamda undan foydalanish imkonini beradigan, tashkiliy jihatdan tartibga solingan jami axborot resurslari, axborot texnologiyalari va aloqa vositalari;

axborot xavfsizligi — axborot sohasida shaxs, jamiyat va davlat manfaatlarining himoyalanganlik holati;

axborot xavfsizligi noxush hodisasi — axborot xavfsizligining yagona voqeasi yoki bir qator noxush yoxud kutilmagan voqealari boʻlib, ushbu voqealar tufayli axborotning oshkor boʻlishi va axborot xavfsizligiga tahdidlar ehtimoli;

hujum — axborot aktivlarini yoʻq qilish, ochish, oʻzgartirish, blokirovkalash, tutib olish, ruxsat etilmagan foydalanish huquqini olish yoki axborot aktivlaridan ruxsatsiz foydalanishga urinish;

kompyuter virusi — destruktiv xususiyatga, oʻz nusxasini koʻpaytira olish (asl nusxa bilan toʻliq mos boʻlmasligi ham mumkin) va foydalanuvchi bilmagan holda ularni kompyuter tizimlari, tarmoqlari turli resurslari va shu borada joriy etish qobiliyatiga ega boʻlgan dasturdir (bajariladigan kodlar toʻplami);

monitoring — avtomatlashtirilgan bank tizimi va axborot tizimlari holatini kuzatish;

server xonasi — bank serverlari, telekommunikatsiya qurilmalari, uzluksiz quvvat manbalari va boshqa hisoblash texnikalari joylashgan xona;

tarmoqlararo ekran — tizimga kelib tushadigan va (yoki) tizimdan chiqib ketadigan axborotning nazorat qilinishini amalga oshiradigan dastur va (yoki) dasturiy vosita;

xesh summasi — kriptografik algoritm yordamida hisoblangan, fayl butligini tekshirish summasi;

shaxsga doir maʼlumotlar — muayyan jismoniy shaxsga taalluqli boʻlgan yoki uni identifikatsiya qilish imkonini beradigan, elektron tarzda, qogʻozda va (yoki) boshqa moddiy jismda qayd etilgan axborot;

elektron arxiv — arxiv maqomiga ega boʻlgan, bank elektron hujjatlarini jamlovchi, hisobga oluvchi, saqlovchi va foydalanishni amalga oshiruvchi bankning tarkibiy boʻlimi;

elektron hujjat — elektron shaklda qayd etilgan, elektron raqamli imzo bilan tasdiqlangan va elektron hujjatning uni identifikatsiya qilish imkoniyatini beradigan boshqa rekvizitlariga ega boʻlgan axborot;

oxirgi nuqtalar (Endpoint) — tarmoq tizimiga ulanadigan fizik uskunalardir. Bunda, mobil qurilmalar, kompyuterlar, virtual mashinalar, oʻrnatilgan uskunalar yoki serverlar oxirgi nuqtalar boʻlishi mumkin;

kiberxavfsizlik tavakkalchiligi — axborot tizimlari, axborot-kommunikatsiya texnologiyalari infratuzilmasi yoki raqamli xizmatlariga qarshi yoʻnaltirilgan tahdidlar natijasida yuzaga kelishi mumkin boʻlgan moliyaviy zarar, operatsion faoliyatning izdan chiqishi yoki tashkilot obroʻsiga putur yetishi ehtimoli;

DLP (Data Loss Prevention) — maʼlumotlarni ruxsatsiz tarqalishidan himoyalash tizimi;

PAM (Privileged Access Management) — axborot tizimlariga imtiyozli kirish huquqlariga ega boʻlgan foydalanuvchilarni tizimga kirishini boshqarish, nazorat qilish va himoya qilish tizimi;

IDS/IPS (Intrusion Detection/Prevention System) — tajovuzlarni aniqlash va oldini olish tizimlari;

Wi-Fi (Wireless Fidelity) — maʼlumotlarni simsiz uzatish texnologiyasi;

VP N (Virtual Private N etwork) — virtual shaxsiy tarmoq.

2. Banklar axborot tizimlari va axborot resurslarida axborot xavfsizligi va kiberxavfsizlikni taʼminlashi hamda butun ish faoliyati davomida saqlab turishi lozim.

2-bob. Axborot xavfsizligi va kiberxavfsizlikni taʼminlash xizmati

3. Banklar va ularning filiallarida (filiallar, amaliyot boshqarmalari, bank xizmatlari ofislari (markazlari) va boshqa alohida boʻlinmalar) axborot xavfsizligi va kiberxavfsizlikni taʼminlash maqsadida axborot xavfsizligi va kiberxavfsizlikni taʼminlash xizmati (bundan buyon matnda Xizmat deb yuritiladi) tashkil etiladi.

4. Xizmat bankning axborot aktivlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash, shuningdek tizimning vaqtincha toʻxtashi, toʻlov maʼlumotlarining noqonuniy oʻzgarishi, bank yoki uning mijoziga zarar yetkazish holatlarini oldini olish va bartaraf etish boʻyicha masʼul hisoblanadi.

5. Xizmat oʻz faoliyatida:

axborot xavfsizligi va kiberxavfsizlikni boshqarish tizimini tashkil qilishi, axborot xavfsizligi va kiberxavfsizlikni taʼminlash talablarining bank boʻlinmalari hamda xodimlari tomonidan bajarilishini tashkillashtirishi va nazorat qilishi;

axborotning saqlanishini taʼminlash ustidan nazoratni tashkil etishi;

axborotni muhofaza qilish masalalarida bank boʻlinmalari va xodimlariga uslubiy va amaliy yordam koʻrsatishi;

axborot aktivlarida axborotni muhofaza qilish tizimini loyihalash, sinovdan oʻtkazish, qabul qilish va amaliyotda qoʻllash jarayonlarida ishtirok etishi, ushbu jarayonlarda bank siriga oid va boshqa konfidensial maʼlumotlar chetga chiqishining oldini olish choralarini koʻrishi;

oʻz vakolati doirasida bankning axborot xavfsizligi va kiberxavfsizligini boshqarish, taʼminlash va nazorat qilish usullari, vositalari va mexanizmlarini tanlash, joriy etish va qoʻllashni amalga oshirishi;

axborot aktivlarida axborotdan ruxsatsiz foydalanishga urinishlar boʻlganligi, unga boshqacha shaklda aralashilganligi aniqlanganda hamda tizimning ishlash qoidalari buzilganda mazkur tizimdagi axborotni muhofaza qilish chora-tadbirlarini koʻrishi;

axborot aktivlariga nisbatan amalga oshiriladigan kibertahdidlar va hujumlarni aniqlashi, tahlil qilishi hamda ularni bartaraf etish choralarini koʻrishi;

axborot xavfsizligi noxush hodisasi (bundan buyon matnda noxush hodisa deb yuritiladi) toʻgʻrisidagi maʼlumotlarni yigʻishi, qayta ishlashi, tahlil qilishi va saqlashi;

noxush hodisalarni tekshirish boʻyicha ishlarni amalga oshirishi;

axborotni muhofaza qilish chora-tadbirlarining holati va samaradorligini tahlil qilishi;

axborot xavfsizligi va kiberxavfsizlikni taʼminlash dasturiy taʼminotlari va apparat-dasturiy qurilmalarining toʻgʻri ishlashini nazorat qilishi va taʼminlashi;

axborot xavfsizligi va kiberxavfsizlikni taʼminlash bilan bogʻliq monitoringni olib borishi;

axborot xavfsizligi va kiberxavfsizlikni taʼminlash masalalari boʻyicha takliflar tayyorlashi;

axborot aktivlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash choralarini koʻrish uchun talablarni belgilashi;

bankning axborot aktivlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash hamda nazorat qilish boʻyicha rejalarni tuzishi;

konfidensial, shu jumladan bank sirini tashkil etuvchi va shaxsga doir maʼlumotlarning saqlanishini nazorat qilishi;

axborot tizimlarida toʻxtash, avariya holatlari, kiberxavfsizlik hodisasi hamda noxush hodisa sodir boʻlganda tizimlarni qayta tiklash jarayonida ishtirok etishi va axborot tizimlarining toʻliq ishchi holatiga kelishini nazorat qilishi;

bank hujjatlariga muvofiq boshqa funksiyalarni amalga oshirishi kerak.

6. Xizmatning vazifalari, vakolatlari va majburiyatlari bankning ichki hujjatlari bilan belgilanishi mumkin, bunda mazkur Nizom talablari inobatga olinadi. Xizmat oʻzining vazifa va majburiyatlarini bajarishga zarur boʻlgan texnik resurslar bilan taʼminlanishi lozim.

7. Xizmat xodimlarining soni ularga yuklatilgan vazifalar, axborot resurslari va axborot tizimlari soni hamda axborot xavfsizligi va kiberxavfsizlikni taʼminlash tizimlarining avtomatlashtirilganlik darajasidan kelib chiqib belgilanadi.

8. Xizmat hamda axborot texnologiyalari boʻlinmalari bank boshqaruvi organining turli aʼzolariga boʻysunishi lozim, bunda Xizmat toʻgʻridan toʻgʻri bank boshqaruvi raisiga boʻysunadi.

Xizmat xodimlarini ularning asosiy faoliyati bilan bogʻliq boʻlmagan ishlarga jalb etish taqiqlanadi.

9. Banklar tizimli ravishda har yili kamida ikki marotaba axborot xavfsizligi va kiberxavfsizlikni taʼminlash sohasiga ixtisoslashtirilgan oʻquv kurslarida Xizmat xodimlarining malakasini oshirishni taʼminlashi kerak. Bunda Xizmatning barcha masʼul xodimlarini yoʻnalishi boʻyicha oʻqitish va malakasini oshirish inobatga olinishi lozim.

10. Axborot xavfsizligi va kiberxavfsizlikni taʼminlash qonunchilik hujjatlarida belgilangan talablar hamda bankning axborot xavfsizligi va kiberxavfsizlikni taʼminlashga oid ichki hujjatlari bilan tartibga solinadi.

11. Bank axborot xavfsizligiga oid ichki siyosatni ishlab chiqishi va qabul qilishi lozim.

Axborot xavfsizligi siyosatida bankda mavjud boʻlgan barcha axborot tizimlari va axborot resurslarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha talablar belgilanadi.

12. Axborot xavfsizligi va kiberxavfsizlikni taʼminlashga oid ichki hujjatlar va ularda belgilangan talablar bankning har bir xodimiga tanishtirilishi shart. Bank xodimlari ushbu hujjatlarda belgilangan talablarga qatʼiy rioya qilishlari kerak.

13. Axborot tizimlari va axborot resurslarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash bilan bogʻliq mazkur Nizomda belgilangan barcha chora-tadbirlar amalga oshirilganligi yozma yoki elektron shaklda oʻz tasdigʻiga ega boʻlishi lozim.

14. Agar bank filiallar tarmogʻiga ega boʻlsa, har bir filialda bankning tasdiqlangan axborot xavfsizligi va kiberxavfsizlikni taʼminlashga oid hujjatlari toʻplami mavjud boʻlishi kerak. Muayyan filiallarning xususiyatlarini hisobga olish zarur boʻlsa, bank ushbu xususiyatlarni inobatga olgan holda oʻz ichki hujjatlarini ishlab chiqilishini taʼminlaydi.

15. Bankning axborot aktivlariga dasturiy oʻzgartirish kiritish yoki yangi axborot resurslari va tizimlarini joriy etish Xizmat bilan kelishilgan holda amalga oshirilishi lozim.

16. Banklarga oʻzlarining axborot-kommunikatsiya texnologiyalari infratuzilmalari hamda axborot xavfsizligi va kiberxavfsizlikni taʼminlash tizimlarini boshqarish, nazorat qilish va uzluksiz ishlashini taʼminlash vazifalarini shartnoma asosida xizmat koʻrsatuvchi tadbirkorlik subyektlariga (autsorsing) berish taqiqlanadi.

3-bob. Konfidensial maʼlumotlarning oshkor etilishidan himoyalash

17. Bank qonunchilik hujjatlari va oʻzining ichki hujjatlari bilan belgilangan konfidensial maʼlumotlarning oshkor etilmasligini taʼminlaydi. Bunda, bank tomonidan quyidagilar bajarilishi lozim:

bankka yoki uning boʻlinmasiga taalluqli boʻlgan konfidensial maʼlumotlar, shu jumladan bank sirini tashkil etuvchi va shaxsga doir maʼlumotlar roʻyxatini belgilash va uning aktualligini taʼminlash;

yetkazilgan zararni qoplash maqsadida har bir xodim bilan konfidensial maʼlumotlarni sir saqlash boʻyicha majburiyatnomani imzolash;

konfidensial maʼlumotlardan foydalanishga ruxsati mavjud boʻlmagan xodimlarning ushbu maʼlumotdan foydalanmasligini taʼminlash;

konfidensial maʼlumotlarni oʻzida saqlovchi kompyuterlar va ulardagi hujjatlarning ishonchli saqlanishini taʼminlash;

Oʻzbekiston Respublikasining “ Bank siri toʻgʻrisida ”gi va “ Shaxsga doir maʼlumotlar toʻgʻrisida ”gi qonunlarida koʻrsatilgan talablar bajarilishini taʼminlash;

konfidensial maʼlumotlardan ruxsatsiz foydalanishning oldini olish boʻyicha choralar koʻrish.

18. Telekommunikatsiya tarmogʻi orqali davlat sirlarini tashkil etuvchi maʼlumotlarning uzatilishi taqiqlanadi.

4-bob. Axborot xavfsizligi va kiberxavfsizlikni taʼminlash tizimini tashkil etish hamda axborot xavfsizligi va kiberxavfsizlik tavakkalchiliklarini boshqarish

19. Bankda huquqiy, tashkiliy, texnik choralar va axborot muhofazasi tizimlari (qurilmalari) yigʻindilaridan iborat boʻlgan axborot xavfsizligi va kiberxavfsizlikni taʼminlash tizimi tashkil etiladi.

20. Axborot xavfsizligi va kiberxavfsizlikni taʼminlashda foydalaniladigan dasturiy-texnik vositalar axborot xavfsizligi va kiberxavfsizlik talablariga muvofiq litsenziyalangan va sertifikatlangan boʻlishi lozim. Bunda barcha dasturiy taʼminotlarni texnik qoʻllab-quvvatlash boʻyicha amalga oshiriladigan ishlar dasturiy taʼminotning egasi yoki yetkazib beruvchi tomonidan taʼminlanishi shart.

21. Axborot xavfsizligi va kiberxavfsizlikni taʼminlash tizimi quyidagilarni:

axborot xavfsizligi va kiberxavfsizlik tavakkalchiliklarini aniqlash, oldini olish va bartaraf etishni;

barcha axborot tizimlari va axborot resurslarining axborot muhofazasini taʼminlashni;

xalqaro standartlar asosida tajribadan oʻtgan eng ilgʻor yechimlarni qoʻllashni;

yuqori ishonchga ega boʻlgan, xizmat koʻrsatilishi oson boʻlgan tizim, qurilma va uskunalarni qoʻllashni;

barcha jarayon va qurilmalardagi axborotlar boʻyicha maʼlumotlarni qayd etib borishni, axborot xavfsizligining buzilishi, dastur, qurilma va foydalanuvchilarning ishlaridagi oʻzgarishlarni aniqlashni;

ish jarayonining soddaligini taʼminlashni va maksimal darajada harakatlarni avtomatlashtirishni;

muhofaza toʻsiqlarini bir necha pogʻonalarda tashkil etishni;

axborot xavfsizligi va kiberxavfsizlikning uzluksizligini taʼminlashni;

noxush hodisalarni oldini olish va yuzaga kelganda ularni bartaraf etish hamda axborot tizimlarning ish faoliyatini qayta tiklashni;

axborot xavfsizligi va kiberxavfsizlikni doimiy mukammallashtirib borishni taʼminlaydi.

22. Axborot xavfsizligi va kiberxavfsizlikni taʼminlash tizimi quyidagilarni amalga oshiradi:

axborot xavfsizligi va kiberxavfsizlikni taʼminlash tizimlariga kirishni nazorat qilish;

tarmoq xavfsizligini taʼminlash;

axborot tizimlariga kirishni boshqarish va nazorat qilish;

zarar keltiruvchi dasturlardan (kompyuter viruslari va boshqalardan) muhofaza qilish;

muhofaza qilinayotgan maʼlumotlar va dasturlarni nazorat qilish, qayta tiklash, butligini aniqlash va monitoringini yuritish;

maʼlumotlarni qayta ishlash, saqlash va uzatilishida muhofazasini taʼminlash;

veb-resurslar, maʼlumotlar bazasi, maʼlumotlarni saqlash omborlari va boshqa axborot resurslarini turli axborot xavfsizligi xatarlaridan saqlash;

axborot muhofazasining taʼminlanganlik darajasini tekshirish, tahlil qilish va baholash;

elektron raqamli imzo kalitlari va sertifikatlarini taqsimlash, hisobini yuritish va boshqarish;

maʼlumotlarning uchinchi shaxslarga oshkor boʻlishini oldini olish;

axborot tizimida axborot xavfsizligi va kiberxavfsizlik sozlamalari hamda axborot tizimining butligi bilan bogʻliq barcha oʻzgarishlarni nazorat qilish va elektron qayd yozuvlarini yuritish.

23. Banklar tizimlardagi xatoliklar va tashqi salbiy taʼsirlar natijasida yuzaga kelishi mumkin boʻlgan axborot xavfsizligi va kiberxavfsizlik tavakkalchiliklarini boshqarish tizimini yaratishi kerak.

24. Axborot xavfsizligi va kiberxavfsizlik tavakkalchiliklarini boshqarish tizimi quyidagi funksiyalarni oʻz ichiga olishi kerak:

axborot xavfsizligi va kiberxavfsizlik tavakkalchiliklarini aniqlash, yigʻish, roʻyxatga olish, baholash, kamaytirish choralarini koʻrish, monitoring va nazorat qilish;

axborot xavfsizligi va kiberxavfsizlik tavakkalchiliklarini bartaraf etish ishlarini rejalashtirish va boshqarish;

axborot xavfsizligi va kiberxavfsizlik tavakkalchiliklarini boshqarish boʻyicha hisobotni shakllantirish;

axborot xavfsizligi va kiberxavfsizlik tavakkalchiliklarini qayta koʻrib chiqish.

25. Xizmat axborot xavfsizligi va kiberxavfsizlikni taʼminlash tizimining nazoratini olib boradi va uzluksiz ishlashini taʼminlaydi.

Xizmat tomonidan bankda axborot xavfsizligi va kiberxavfsizlikni taʼminlash yuzasidan maʼlum boʻlgan tavakkalchilik va qoʻllaniladigan boshqarish vositalari va usullarining roʻyxati tuzilishi hamda bank boshqaruvi raisi tomonidan tasdiqlanishi lozim.

Bank axborot xavfsizligi va kiberxavfsizlik tavakkalchiliklari roʻyxatining dolzarbligini taʼminlashi kerak.

26. Axborot xavfsizligi va kiberxavfsizlik tavakkalchiliklarini doimiy ravishda baholash va tahlil qilib borish Xizmat tomonidan amalga oshiriladi.

Xizmat bank boshqaruvi raisiga tavakkalchiliklarni ortishi boʻyicha tegishli maʼlumotlarni taqdim etib borishi lozim.

27. Axborot xavfsizligi va kiberxavfsizlik tavakkalchiliklarini boshqarish boʻyicha amalga oshirilgan chora-tadbirlar hujjatlashtirilishi va yiliga kamida bir marotaba bank boshqaruvi raisi tomonidan koʻrib chiqilib, tavakkalchiliklarni kamaytirish yuzasidan tegishli chora-tadbirlar oʻtkazilishi kerak.

28. Banklar faoliyatida axborot xavfsizligi va kiberxavfsizlikning taʼminlanganlik darajasini baholash boʻyicha reyting axborot tizimi Oʻzbekiston Respublikasi Markaziy banki (bundan buyon matnda Markaziy bank deb yuritiladi) tomonidan yuritiladi.

Reyting axborot tizimiga banklar tomonidan oʻz vaqtida va toʻgʻri (haqqoniy) maʼlumotlar kiritilishi lozim.

5-bob. Noxush hodisalar va kiberxavfsizlik hodisalarini oldini olish hamda bartaraf etish

29. Banklarda axborot xavfsizligi siyosatining buzilishi quyidagilarga olib keladi:

axborot konfidensialligining buzilishi;

axborot butligining buzilishi;

texnologik jarayonning buzilishi;

axborotdan erkin foydalanish huquqining buzilishi.

30. Bankda noxush hodisalar toʻgʻrisidagi maʼlumotlarni olish uchun monitoring tizimlari joriy etiladi. Bunda ushbu tizimlarning ishlashini monitoring qilish va yuzaga kelgan noxush hodisalarni bartaraf etish boʻyicha doimiy ravishda ishlaydigan ishchi guruh tuziladi.

31. Noxush hodisalarni bartaraf etish uchun tashqi ekspertlar yoki texnik xizmat koʻrsatuvchi tashkilot mutaxassislari jalb qilinishi mumkin. Noxush hodisalarni bartaraf qilish uchun tashqi ekspertlar yoki texnik xizmat koʻrsatuvchi tashkilot mutaxassislari jalb qilinganda, bank ular bilan konfidensial maʼlumotlarni oshkor qilmaslik toʻgʻrisida shartnoma tuzishi lozim.

32. Aniqlangan noxush hodisalar toʻgʻrisidagi maʼlumotlar Xizmat tomonidan hujjatlashtirib borilishi lozim.

Xizmat noxush hodisa aniqlangan vaziyatda axborot xavfsizligi monitoringi tizimi maʼlumotlaridan foydalanishi va noxush hodisa roʻy bergan vaqtdagi axborot tizimlarining elektron jurnallari va noxush hodisa sodir boʻlgan tizim serverlarining shu vaqtdagi zaxira nusxalarini (backup, snapshot va boshqalar) saqlashi va ularning butligini taʼminlashi kerak.

33. Banklar texnik vositalardan foydalanganda noxush hodisalarni oldini olish maqsadida quyidagilarni taʼminlashlari zarur:

texnik vositalardan ruxsatsiz foydalanishni taqiqlash;

texnik vositalarni ruxsatsiz oʻchirib qoʻyilishidan himoya qilish;

monitoring va noxush hodisalarning elektron bayonnomalarini elektron arxivda saqlash va ruxsatsiz oʻzgartirish yoki yoʻq qilishdan himoyalash;

axborot tizimlari va resurslarini qonunchilikda belgilangan tartibda kiberxavfsizlik talablariga muvofiqlik yuzasidan ekspertizadan oʻtkazish.

34. Ish jarayonida noxush hodisalar aniqlanganda, bank xodimlari zudlik bilan bu haqda Xizmatni xabardor qilishlari kerak.

Noxush hodisalar sodir etilgan vaqtda Xizmat tomonidan amalga oshiriladigan harakatlar bankning ichki hujjatlarida belgilanadi.

35. Bank sodir boʻlgan noxush hodisa toʻgʻrisida Markaziy bank va vakolatli davlat organiga zudlik bilan yozma yoki elektron shaklda xabar berishi lozim.

6-bob. Axborot tizimlari va resurslarini monitoring qilish

36. Banklar konfidensial maʼlumotlar va barcha axborot aktivlaridan foydalanish monitoringini amalga oshiradi. Bunda monitoring qilishda quyidagilar belgilanadi:

axborot infratuzilmasining axborotga ishlov berish, saqlash va tarmoqda uzatish uchun qoʻllaniladigan dastur va qurilmalar hisobini yuritish;

axborot xavfsizligi va kiberxavfsizlik hodisalarini tahlil qilish, axborot xavfsizligi va kiberxavfsizlik holatini monitoring qilish hamda ogohlantirish imkonini beruvchi SIEM (Security Information and Event Management) yoki boshqa tizimlarni joriy qilish;

axborot xavfsizligi va kiberxavfsizlik hodisalari toʻgʻrisidagi maʼlumotlarni toʻplash, tahlil qilish va ularga javob berish jarayonlarini avtomatlashtirish imkonini beruvchi SOAR (Security Orchestration, Automation and Response) tizimlarni joriy qilish;

axborot xavfsizligi va kiberxavfsizlikning taʼminlanganlik holatini monitoring qilish tizimi maʼlumotlarini tahlil qilib borish va aniqlangan holatlarni (axborot tarmogʻiga ruxsatsiz kirish va kirishga urinish, tizimdagi toʻxtalishlar, axborot resurslarining yetishmovchiligi, tarmoqdagi uzilishlar, axborot xavfsizligi va kiberxavfsizlikni taʼminlashdagi cheklanishlar va boshqa hodisalar) bartaraf etish va (yoki) ularni oldini olish boʻyicha choralar koʻrish;

axborot xavfsizligi va kiberxavfsizlik holatini tun-u kun (24/7) rejimida monitoring qilish ishlarini tashkil etish;

axborot xavfsizligi va kiberxavfsizlik holatini monitoring qilish tizimini Markaziy bank “CERT-CBU” kiberxavfsizlik markazining monitoring tizimiga bogʻlanishini taʼminlash.

7-bob. Axborot tizimlari va resurslariga kirishni boshqarish

37. Banklar axborot tizimlari va resurslariga kirish va ushbu tizimlarda foydalanuvchilarning ishlash tartibini ishlab chiqishi kerak. Bunda yangi foydalanuvchilarning axborot tizimlari va resurslariga kirish hamda ushbu tizimlarga kirish huquqi bekor boʻlgan foydalanuvchilarni undan chiqarish qoidalari inobatga olinishi lozim.

38. Yangi foydalanuvchilar axborot tizimlari va resurslariga Xizmat tomonidan kerakli texnik choralar koʻrilib, ruxsat berilganidan keyin kiritiladi.

39. Xizmat axborot tizimlari va resurslariga kirishga ruxsat berilgan foydalanuvchilar roʻyxatini hamda ularning ushbu tizimlardan foydalanishi bankda oʻrnatilgan tartibga muvofiqligini nazorat qiladi.

40. Banklar markazlashgan holda quyidagilarni taʼminlashi zarur:

axborot tizimlarida ishga yangi qabul qilingan xodimlar uchun hisobga olish yozuvlarini avtomatik tarzda yaratish;

xodimlarga ularning lavozim majburiyatlaridan kelib chiqib tegishli axborot tizimlariga kirish huquqlarini berish;

xodimlar axborot tizimlariga masofadan himoyalangan aloqa kanallari orqali, axborot xavfsizligi va kiberxavfsizlikni taʼminlash talablariga rioya qilgan holda, faqatgina Oʻzbekiston Respublikasi hududida kirishini taʼminlash;

xodim boshqa lavozimga oʻtganida, mehnat taʼtiliga chiqqanida yoki ishdan boʻshaganida uning hisobga olish yozuvlarini (akkauntlarini) oʻzgartirish, bloklash va cheklash.

41. Bank xodimlarga axborot tizimlari va resurslaridan foydalanish huquqini ularning funksional vazifalariga muvofiq holda beradi. Bunda, Xizmat quyidagilarni taʼminlashi lozim:

bankning axborot tizimlari va resurslaridagi xodimlarning hisobga olish yozuvining (akkaunt) butun hayot davrini boshqarish, uzluksiz nazorat qilish, shuningdek kadrlar tizimidagi maʼlumotlarga asoslanib, xodimlarning lavozim majburiyatlari va vakolatlarini doimiy ravishda tekshirib turish;

bankning tashkiliy tuzilmasi asosida rollarga asoslangan kirish modelini boshqarish va nazorat qilish, shuningdek xodimning atributlari va holatiga asoslangan holda axborot resurslarini (ular bilan bogʻliq hisob yozuvlari, kirish huquqlari va axborot tizimlaridagi vakolatlar) dinamik tarzda tayinlashni taʼminlash;

xodimning biznes roli yoki vazifasi oʻzgarganda, markazlashtirilgan tizim orqali yangi rolga mos ravishda kirish huquqlari va vakolatlarini avtomatik tarzda berish;

har bir axborot tizimi foydalanuvchilarining amaliy kirish huquqlari va vakolatlarini nazorat qilish hamda kelishilgan kirish huquqlari oʻrtasidagi farqlarni aniqlash;

bankning har qanday axborot tizimlari va resurslariga kirish huquqlari va vakolatlarni (toʻgʻridan toʻgʻri tayinlash, rol modeli boʻyicha tayinlash, soʻrov orqali tayinlash) paydo boʻlish manbasini kuzatib borish hamda vakolatning paydo boʻlish manbasi va zanjiri haqida toʻliq maʼlumotga ega boʻlish.

42. Xizmat bank xodimlariga berilgan ortiqcha huquqlarni aniqlash vositalari bilan taʼminlanishi lozim.

43. Bank tomonidan axborot aktivlaridan foydalanishda foydalanuvchi amalga oshirgan operatsiya toʻgʻrisidagi quyidagi maʼlumotlar:

bajarilgan operatsiya sanasi (kun, oy, yil) va vaqti (soat, daqiqa, soniya);

foydalanuvchiga tizimlarda hamda axborot dasturlarida berilgan foydalanuvchi identifikatori;

foydalanuvchi qurilmasining identifikatsiya maʼlumotlari (IP-manzil, MAC-manzil, qurilmaning nomi va boshqa identifikatorlari);

foydalanuvchining tizimdagi faol sessiyasi davrida bajargan barcha amaliyotlari va harakatlari tegishli elektron bayonnomalarda qayd etib borilishi lozim. Bunda, elektron bayonnomalardagi yozuvlarni oʻzgartirish yoki oʻchirish imkoniyati faqatgina bank boshqaruv raisining buyrugʻi bilan yuklatilgan Xizmat xodimlarida boʻlishi shart.

44. Xizmat bank xodimlarining lavozim majburiyatlari, vakolatlari va axborot aktivlariga kirish huquqlarini bir oyda kamida bir marotaba tekshirib turishi hamda tekshiruv natijalarini hujjatlashtirib borishi lozim.

45. Xizmat bankning axborot tizimlari va resurslaridan ruxsatsiz foydalanishni oldini olish maqsadida:

foydalanuvchilarni identifikatsiya va autentifikatsiya qilishi hamda ushbu jarayonni boshqarishi;

muvaffaqiyatsiz kirishga urinishlarni aniqlashi va ularni cheklashi hamda ushbu foydalanuvchining axborot tizimlari va resurslariga kirish huquqini (akkauntini) bloklashi;

foydalanuvchining uzoq vaqt oraligʻida harakatsizligi aniqlanganda ish sessiyasini toʻxtatishi;

axborot aktivlari hamda ishchi stansiyalarda foydalanuvchining ishlash davrida foydalanuvchi akkauntining bir vaqtning oʻzida bir nechta qurilmalarda ishlashini (multisessiya) cheklashi;

foydalanuvchining axborot aktivlarida shu axborot aktivlarining faoliyatiga taʼsir etadigan sozlamalarini (parametrlarini) oʻzgartirish imkoniyatini cheklashi;

muhim axborot infratuzilmasi obyekti sifatida, qonunchilikda belgilangan tartibda bankning axborot tizimlari hamda resurslarida axborot xavfsizligi va kiberxavfsizlikning taʼminlanganlik holati boʻyicha baholash ishlari oʻtkazilishini taʼminlashi;

axborot tizimlari va resurslarini kiberxavfsizlik talablariga muvofiqlik yuzasidan ekspertizadan oʻtkazish hamda kiberxavfsizlikning taʼminlanganlik holatini baholash jarayonlarida aniqlangan kamchilik va zaifliklarni zudlik bilan bartaraf etishi lozim.

46. Axborot tizimlarida toʻlovlarga oid maʼlumotlarni kiritish, oʻzgartirish, tasdiqlash va oʻchirish huquqiga ega boʻlgan foydalanuvchilarni autentifikatsiya qilish apparat-dasturiy qurilmalar orqali amalga oshiriladi.

Har bir foydalanuvchi tizimga kirish uchun uning oʻziga ajratilgan apparat-dasturiy qurilmadan foydalanishi lozim.

47. Masofadan turib bank xizmatlarini koʻrsatishning barcha jarayonlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash choralari bankning ichki hujjatlarida belgilanadi.

Masofadan turib bank xizmatlarini koʻrsatish tizimida foydalanuvchilarning tizimga kirishi, axborot almashinuvi va ularning amallari toʻgʻrisidagi toʻliq maʼlumotlar (IP va (yoki) MAC manzili, mobil telefondan foydalanganda — IMEI-kod) elektron bayonnomalarda qayd etib borilishi kerak.

Banklar barcha tizim foydalanuvchilariga ruxsat berilgan vaqtdan tashqari holatda bank tizimiga ulanishini taqiqlashi lozim. Bunda, bank tizimi bilan bogʻlanuvchi faol sessiyalar uzilishi shart.

48. Bankning axborot-kommunikatsiya texnologiyalari infratuzilmalari, axborot tizimlari va resurslari hamda axborot xavfsizligi va kiberxavfsizlikni taʼminlash tizimlari administratorlarining barcha harakati PAM tizimi orqali amalga oshirilishi shart. Bunda foydalanuvchilarning harakatlarini ushbu tizim orqali qayd etish va imtiyozli sessiyalarini audit qilish talab etiladi.

49. Banklar PAM tizimida foydalanuvchilarning harakati qayd etilgan maʼlumotlarni kamida olti oy davomida saqlanishini taʼminlashi lozim.

8-bob. Maʼlumotlar bazasini boshqarish tizimi

50. Banklar maʼlumotlar bazasi sozlanishlarida xatoliklarni oldini olishi va tajovuzkorning quyidagi harakatlarini cheklashlari kerak:

maʼlumotlar bazasiga kirish;

maʼlumotlar bazasining maxsus interfeysini qoʻllash, komandalar kiritish va dasturlarni ishlatish;

administrator va foydalanuvchilar parollarini bilib olish;

maʼlumotlar bazasining tizim fayllariga kirish;

zararli dasturlar oʻrnatish;

serverning ilova dasturlariga egalik qilish;

maʼlumotlar bazasi va serverga masofadan hujum qilish.

51. Banklar maʼlumotlar bazasiga kiritiladigan barcha dasturiy oʻzgartirishlarni hujjatlashtirishi va kiritilgan oʻzgartirishlarning hisobini yuritishi lozim.

Ishchi stansiyalar va boshqa hisoblash texnikalarining operatsion tizimi, antivirus dasturi va boshqa dasturiy oʻzgartirishlar test-sinov ishlari yakuniga koʻra ishga tushiriladi. Maʼlumotlar bazasiga kiritiladigan barcha dasturiy oʻzgartirishlar avval test-sinov serverida tekshirilishi hamda ijobiy natijaga erishilganda ishchi serverga joriy etilishi lozim.

52. Maʼlumotlar bazasida oʻrnatilgan serverning ish jarayoni uchun zarur boʻlmagan xizmatlar toʻxtatilishi va axborot portlari yopib qoʻyilishi lozim. Ishlatiladigan axborot portlarining roʻyxati foydalanish maqsadi koʻrsatilgan holda bank boshqaruvi raisi tomonidan tasdiqlanadi.

53. Bankda real vaqt rejimida shubhali harakatlarni tezkor aniqlash va oldini olish uchun maʼlumotlar bazasi faoliyatini monitoring qilish tizimi DAM (Database Activity Monitoring) joriy etilishi lozim.

54. Maʼlumotlar bazasining administratori va maʼlumotlar bazasida axborot xavfsizligini taʼminlovchi xodimlarning vazifalari, vakolatlari va javobgarliklari bankning ichki hujjatlari bilan belgilanadi.

55. Maʼlumotlar bazasi administratorining paroli 12 ta belgidan kam boʻlmasligi lozim, bunda parolning belgilari sifatida pastki va yuqori registr harflari, raqamlar va maxsus belgilar (@,#, $, &, % va h.k.) qoʻllaniladi. Parollar va tokenlar maʼlumotlar bazasida shifrlangan holda saqlanishi lozim.

56. Bank maʼlumotlar bazasiga boshqa tashkilotlarni faqatgina veb-servis (API) orqali ulanishini taʼminlashi shart. Boshqa tashkilotlarni toʻgʻridan toʻgʻri ulash (DB Link) taqiqlanadi.

9-bob. Tarmoq xavfsizligi

57. Tarmoq xavfsizligini loyihalashtirish, joriy etish va boshqarish quyidagi standartlar asosida amalga oshiriladi:

Oʻz DSt ISO/IEC 27033-1:2016 “Axborot texnologiyasi. Xavfsizlikni taʼminlash usullari. Tarmoq xavfsizligi. 1-qism. Sharh va konsepsiyalar”;

Oʻz DSt ISO/IEC 27033-2:2016 “Axborot texnologiyasi. Xavfsizlikni taʼminlash usullari. Tarmoq xavfsizligi. 2-qism. Tarmoq xavfsizligini loyihalashtirish va joriy etish boʻyicha rahbariy koʻrsatmalar”;

Oʻz DSt ISO/IEC 27033-4:2016 “Axborot texnologiyasi. Xavfsizlikni taʼminlash usullari. Tarmoq xavfsizligi. 4-qism. Xavfsizlik shlyuzlarini qoʻllagan holda tarmoqlararo xavfsizligini taʼminlash uchun kommunikatsiyalar”;

Oʻz DSt ISO/IEC 27033-5:2016 “Axborot texnologiyasi. Xavfsizlikni taʼminlash usullari. Tarmoq xavfsizligi. 5-qism. Virtual xususiy tarmoqlarni qoʻllagan holda tarmoqlararo xavfsizligini taʼminlash uchun kommunikatsiyalar”.

58. Banklar tarmoq xavfsizligini taʼminlash uchun quyidagi shartlarni bajarishi kerak:

korporativ tarmoq va axborot tizimlarining oʻzaro bogʻlanishida telekommunikatsiya hamda tarmoq servislari uzluksiz ishlashi va xavfsizligini taʼminlash;

tarmoq qurilmalari va dasturiy taʼminotning sozlamalari va uning komponentlarini ruxsatsiz koʻrish yoki oʻzgartirishni cheklash;

tarmoqlarni alohida segmentlarga boʻlish;

kibertahdidlarni real vaqt rejimida monitoring va tahlil qilish hamda bloklash imkoniyatini taʼminlash;

tarmoqdagi faollik toʻgʻrisidagi batafsil maʼlumotlarni yigʻish va saqlash;

tuzoqlar (honeypot) yaratish va ularni emulyatsiya qilish imkoniyatini taʼminlash;

tarmoq trafigini turli protokol va dasturlar darajasida tahlil qilish imkoniyatini taʼminlash;

tarmoqlararo axborot almashinuvida maʼlumotlarning konfidensialligini taʼminlash va tarmoqda ruxsatsiz harakatlarni oldini olish.

59. Korporativ tarmoqqa faqat ruxsat berilgan qurilmalar (hisoblash texnikasi) ulanishiga ruxsat berilishi lozim.

Bankka tegishli boʻlmagan kompyuter qurilmalarini bankning korporativ tarmogʻiga ulanishiga ruxsat berishda quyidagilar taʼminlanishi shart:

korporativ tarmoqqa Xizmat bilan kelishgan holda bank rahbariyati ruxsati bilan ulash;

ulanadigan qurilmaning texnik parametrlari va identifikatorlarini qayd etish;

ulanadigan qurilmada litsenziyalangan antivirus dasturining mavjudligiga ishonch hosil qilish;

ulanadigan qurilmaga maʼlumotlarni ruxsatsiz tarqalishidan himoyalash tizimini (DLP) oʻrnatish;

ulanadigan qurilmaga axborot-kommunikatsiya texnologiyalari infratuzilmalari hamda axborot xavfsizligi va kiberxavfsizlikni taʼminlash tizimlarida ishlashga ruxsat berilishi koʻzda tutilgan boʻlsa, uni PAM tizimi orqali ulash;

konfidensial maʼlumotlar bilan ishlash tartibi bilan tanishtirish va majburiyatnoma imzolatish;

korporativ tarmoqqa ulanuvchi qurilmalarda internet tarmogʻiga ulanishni oldini olish;

bankda axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha belgilangan qoʻshimcha choralarni koʻrish.

60. Korporativ tarmoqda axborot almashinuvining elektron bayonnomasi yuritilishi va elektron bayonnomada tizimga kirgan foydalanuvchining nomi (user name), vaqti, IP va (yoki) qurilmaning MAC manzili qayd etib borilishi kerak.

61. Banklar tomonidan tashkil etilgan korporativ tarmoqning (Markaziy bank tarmogʻiga, Internet jahon axborot tarmogʻiga, telekommunikatsiya provayderlariga, filiallarga va boshqa tarmoqlarga bogʻlanish) chizmasi Markaziy bank bilan kelishiladi.

62. Korporativ tarmoq xavfsizligining toʻliq nazorati va monitoringi doimiy ravishda Xizmat tomonidan amalga oshiriladi.

63. Bankning tarmoqlararo axborot almashinuvi xususiy virtual tarmoqlarni (VPN) tashkil etish yoʻli bilan muhofazalanadi.

Korporativ tarmoqda ilova serverlari bilan foydalanuvchilar oʻrtasidagi oʻzaro axborot almashinuvida himoyalangan protokol qoʻllanilishi lozim.

64. Bankning lokal hisoblash tarmogʻiga boshqa tarmoqlardan va (yoki) tashqi aloqa kanallari orqali bogʻlanish nuqtalari tarmoqlararo ekran qurilmalari bilan muhofazalanadi.

65. Telekommunikatsiya shkaflari qulflanishi va videokuzatuv tizimlari orqali nazoratga olingan boʻlishi lozim.

Lokal hisoblash tarmoqlari kabellarini telekommunikatsiya shkaflari bilan hisoblash texnikalari, bankomat va boshqa qurilmalarning bogʻlanish nuqtalarigacha muhofazalanmagan tarzda oʻtkazilishi taqiqlanadi.

66. Bankning barcha boʻlinmalari lokal hisoblash tarmogʻida virtual mahalliy tarmoqlar (VLAN) hosil qilish yoʻli bilan bir-biridan ajratilishi lozim.

67. Bankda tarmoq xavfsizligini taʼminlashda qoʻllaniladigan dasturiy taʼminot va texnik vositalarning holatlarini monitoring qilib borilishi, statistik maʼlumotlar yigʻilishi va tahlil qilinishi, yuzaga kelayotgan muammolar ilk bosqichda aniqlanishi va ular asosida favqulodda vaziyatlar paydo boʻlishining oldi olinishi lozim.

68. Banklar tarmoqdagi tahdidlarni aniqlash va ularga qarshi javob beruvchi tizimlarni NDR (Network Detection and Response) joriy qilishi lozim.

69. Banklar tajovuzlarni aniqlash va oldini olish tizimini (IDS/IPS) qoʻllashi lozim, yaʼni bank tarmoq ichida noodatiy harakatlarni va lokal hisoblash tarmoqlaridagi hujumlarni aniqlash, oldini olish va toʻsish uchun moʻljallangan dasturiy yoki dasturiy-apparat vositalarni joriy etishlari lozim.

Banklar real vaqt rejimida tarmoq dasturlari ishlashidagi ogʻishlar, shuningdek kompyuter tizimi yoki tarmoqda ruxsat etilmagan foydalanish (ruxsatsiz kirish yoki tarmoqqa hujumlar) holatlarini aniqlash imkoniyatiga ega boʻlishi kerak. Bank IDS/IPS tizimlarining bazasini aktual holatda boʻlishini taʼminlaydi.

IPS/IDS tizimlari tarmoq infratuzilmasining miqyosi serverlar va kommutatsiya uskunalari (marshrutizatorlar, kommutatorlar, aloqa liniyalari) interfeyslarining oʻtkazish qobiliyatidan kelib chiqib tanlanadi va joriy etiladi. Agar telekommunikatsiya qurilmalari maʼnan eskirgan boʻlsa va IPS/IDS tizimlariga ishlash imkoniyatini bermasa, ushbu qurilmalar yangilanishi lozim.

70. Banklarda qoʻllaniladigan tarmoqlararo ekran qurilmalari Oʻz DSt 2815:2014 “Axborot texnologiyalari. Tarmoqlararo ekran.” standarti talablarining kamida ikkinchi toifasiga mos boʻlishi kerak.

Tarmoqlararo ekran qurilmalarining sozlanishlari tasdiqlanishi va ruxsat berilgan axborot almashinuvi protokollari asoslangan boʻlishi lozim. Sozlanishlarga kiritiladigan oʻzgartirishlar bank tomonidan amalga oshiriladi.

71. Asosiy va zaxira tarmoqlararo ekran qurilmalarining sozlamalari bir xil boʻlishi hamda aktual holda elektron arxivda saqlanishi kerak.

72. Tarmoqlararo ekran qurilmalari va proksi-serverlarning elektron bayonnomalari Xizmat tomonidan tahlil qilib boriladi va tashqi hujumlar aniqlanganda zudlik bilan Markaziy bankka xabar beriladi.

10-bob. Elektron pochta va internet tarmogʻidan foydalanish

73. Bank oʻzining ichki elektron pochta tizimi serverini bankning lokal hisoblash tarmogʻida yaratadi.

Tezkor xabarlar almashish tizimlari (messenger) yoki dasturlaridan foydalanish, bank tomonidan internet tarmogʻidan va elektron pochta tizimlaridan foydalanishda axborot muhofazasini taʼminlash, xodimlarni tizimga kiritish, ularga cheklovlar qoʻyish, javobgarlik, xodimlar harakati va tizimning axborot xavfsizligi ustidan nazorat qilish bankning ichki hujjatlarida belgilanadi.

74. Bank xodimlariga bank faoliyatiga tegishli boʻlmagan maʼlumotlarni bankning elektron pochtasi orqali uzatish taqiqlanadi.

75. Bank boʻlimlari va filiallari oʻrtasida axborot almashinuvi elektron hujjat aylanishi dasturlari yoki bankning ichki elektron pochta tizimi orqali amalga oshiriladi.

76. Fayllarni uzatish protokolidan (FTP) foydalanib tashkil qilingan umumiy katalog (FTP Server) orqali fayl almashinuvini amalga oshirish va bank siri maʼlumotlarini tarmoqda erkin oʻqish uchun joylashtirish taqiqlanadi.

Elektron pochta orqali qabul qilinadigan va yuboriladigan maʼlumotlarda zararli kodlarning mavjudligini tekshirish tizimi (Sandbox) joriy etilishi lozim. Xizmat ushbu tizimni nazorat qilib boradi.

77. Bank oʻzining elektron pochta tizimi hamda internet tarmogʻidan foydalanish tartibini ichki hujjatlari bilan belgilaydi hamda elektron pochta orqali yuborilgan va qabul qilingan maʼlumotlarni Xizmat tomonidan nazorat qilinishini taʼminlaydi. Bunda, faqat ruxsat berilgan foydalanuvchilar internet tarmogʻidan foydalanishi mumkin.

78. Bankda internet tarmogʻidan foydalanishda axborot xavfsizligi va kiberxavfsizlikni taʼminlash choralari koʻrilishi kerak.

Konfidensial, jumladan bank sirini tashkil etuvchi va shaxsga doir maʼlumotlar bilan ishlaydigan foydalanuvchilarning kompyuterlarini internet tarmogʻiga proksi server orqali ulashga ruxsat etiladi. Bunda faqat ish faoliyatiga oid axborot resurslarining roʻyxati asosida internet tarmogʻiga ulanishi tashkil etilishi lozim.

79. Avtomatlashtirilgan bank tizimi maʼlumotlar bazasi serverlari, dastur serverlari, toʻlov tizimi maʼlumotlarini qayta ishlovchi barcha serverlar hamda bankning ish faoliyatida qatnashuvchi boshqa muhim serverlari bankda tashkil etilgan alohida ajratilgan va muhofaza qilingan tarmoq segmentida joylashtirilishi lozim.

Bankning internet tarmogʻi orqali ulanadigan axborot tizimlari va resurslari hujumni aniqlash va uni oldini olish boʻyicha IDS/IPS, WAF (Web Application Firewall) hamda Anti-DDoS tizimlari bilan muhofazalangan boʻlishi kerak.

80. Axborot muhofazasini kuchaytirish maqsadida tarmoq protokolida tarmoq tranzit paketlarining IP manzillarini oʻzgartirish imkonini beruvchi tarmoq manzillarini oʻzgartirish protokoli (NAT) qoʻllanilganda, barcha ulanishlarning elektron jurnallari asl IP manzillar koʻrsatilgan holda yuritilishi va belgilangan tartibda elektron arxivga olinishi lozim.

Internet tarmogʻidan foydalanish tartibi nazoratga olingan boʻlishi va bank xodimlarining internet tarmogʻidan foydalanishlari ularning lavozim yoʻriqnomasiga koʻra belgilanishi lozim.

81. Internet tarmogʻidan foydalangan xodimning logini, foydalanish vaqti, resurs nomi va boshqa maʼlumotlar aks ettirilgan elektron bayonnomalar yuritilishi kerak. Xizmat ushbu elektron bayonnomalarni tahlil qilib boradi.

82. Internet tarmogʻidan foydalanishda axborot muhofazasini taʼminlash tarmoqlararo ekran qurilmalari, proksi-serverlar, antivirus vositalari, ruxsatsiz kirishni aniqlash va oldini olish (IDS/IPS) hamda boshqa axborot xavfsizligi va kiberxavfsizlikni taʼminlash tizimlarini qoʻllash yoʻli bilan amalga oshiriladi.

83. Bank tarmogʻi va kompyuterlarga modemlar yoki uyali telefonlarni ulash, shuningdek internet tarmogʻida ishlashda tashqi proksi-serverlardan foydalanish va bankning ichki lokal tarmogʻini simsiz tashkil etish va bank kompyuterlarida simsiz axborot almashinuvi tizimlaridan foydalanishga yoʻl qoʻyilmasligi taʼminlanishi kerak.

84. Mijozlar va bank isteʼmolchilari uchun qulayliklar yaratish maqsadida bank binosida Wi-Fi zonalari tashkil etilishi mumkin.

Bunda, Wi-Fi texnologiyasi bank ichki lokal tarmogʻidan jismonan ajratilgan boʻlishi hamda unda quyidagi axborot xavfsizligi va kiberxavfsizlikni taʼminlash choralari koʻrilgan boʻlishi kerak:

Wi-Fi tarmogʻi orqali faqatgina internet tarmogʻiga kirishga ruxsat berish;

mijozni identifikatsiyadan oʻtkazish;

mijozlararo ulanishni taqiqlash (client isolation);

IPS/IDS yoki proksi filtrlash orqali shubhali va zararli trafikni bloklash;

DoS hujumlarini oldini olishda tezlik (QoS) va sessiyalarni cheklash;

Wi-Fi tarmogʻiga ulanish toʻgʻrisidagi bayonnomalarni (MAC, IP, sana/vaqt, mehmon identifikatori) kamida olti oy davomida saqlash;

WPA2/WPA3-PSK yoki WPA2-Enterprisedan foydalanish va trafikni majburiy shifrlash;

himoyasiz ochiq parolli (shifrlanmagan) Wi-Fi tarmogʻidan foydalanishni taqiqlash;

real vaqt rejimida anomal faollik, skanerlash va hujumga urinishlar hamda taqiqlangan resurslarga ulanishni kuzatish;

Rogue AP, Spoofing va boshqa hujumlarni aniqlash va oldini olish tizimini (WIDS/WIPS) ishlatish.

85. Bank internet tarmogʻidagi tashqi axborot resurslarini muntazam ravishda kuzatib borishi shart. Bundan koʻzlangan asosiy maqsad bankning ramziy belgisi, ishbilarmonlik obroʻsi va boshqa elementlaridan noqonuniy foydalangan holda mijozlar va hamkorlarni chalgʻitishning oldini olish hisoblanadi. Bunda, bank bilan bogʻliq quyidagi holatlar aniqlanishi lozim:

bankning rasmiy veb-saytiga oʻxshatib yaratilgan soxta veb-saytlar (fishing nusxalar, soxta domenlar, sahifa nusxalari);

ijtimoiy tarmoqlar, messenjerlar, onlayn savdo maydonchalari, reklama platformalari va forumlardagi soxta akkauntlar;

rasmiy mobil ilovalar doʻkonlaridagi (Google Play, App Store va boshqalar) soxta ilovalar;

bank nomidan yuborilgan fishing yoki firibgarlik xarakteridagi elektron pochta va SMS-xabarlar;

bankning tovar belgisi, ramziy belgisi (logo) yoki domeni nomidan noqonuniy foydalanish holatlari;

mijozning ishonchini yoʻqotish yoki ularni chalgʻitishga qaratilgan salbiy axborotlar (soxta maʼlumotlar, qalbakilashtirilgan yangiliklar, bank nomidan yozilgan sharhlar va hokazo);

bank nomidan noqonuniy foydalanish bilan bogʻliq boshqa holatlar.

Bank internet tarmogʻidagi tashqi axborot resurslarida yuqoridagi holatlarni aniqlagan taqdirda, bu haqda bir kun ichida Markaziy bank va Oʻzbekiston Respublikasi Raqamli texnologiyalar vazirligi huzuridagi Axborotlashtirish va telekommunikatsiyalar sohasida nazorat inspeksiyasiga xabar berishi hamda oʻzining rasmiy axborot manbalarida eʼlon qilishi lozim.

11-bob. Texnik vositalarni boshqarish tizimi

86. Banklar axborot aktivlarida tarmoq obyektlari boʻlgan foydalanuvchilar, kompyuterlar, serverlar va boshqa texnik vositalarni boshqarish (Active Directory yoki boshqa muqobil) tizimini joriy etadi.

Bunda ushbu tizim yordamida kompyuterlarda foydalanuvchilar tomonidan faqat oʻzlarining ish faoliyatiga tegishli boʻlgan dasturlar ishlatilishi va kompyuterlarga kirish himoyalanishi (parollar) taʼminlanadi.

Foydalanishga yoʻl qoʻyiladigan dasturlar roʻyxati bank tomonidan belgilanadi. Roʻyxatda boʻlmagan barcha dasturlarni ishlatish va qoʻshimcha dasturlar oʻrnatish kabi harakatlar taqiqlanadi.

87. Texnik vositalarni boshqarish tizimi administrator tomonidan amalga oshiriladi, bunda Xizmat administratorning tizimdagi barcha harakatlarini nazorat qilishi kerak.

88. Xizmat kamida bir oyda bir marotaba texnik vositalarni boshqarish tizimining sozlamalari va elektron bayonnomalarini tahlil qilishi, texnik vositalardan foydalanishda bankning axborot xavfsizligiga oid siyosatida belgilangan talablarning bajarilishini nazorat qilishi kerak.

12-bob. Oxirgi nuqtalarda xavfsizlikni taʼminlash

89. Banklar axborot tizimlaridan ruxsatsiz maʼlumotlar uzatilishining oldini olish maqsadida maʼlumotlarni ruxsatsiz tarqalishidan himoyalash tizimini (DLP) joriy etishlari lozim.

Konfidensial maʼlumotlar bilan ishlash huquqi berilgan barcha oxirgi nuqtalar DLP tizimiga ulangan boʻlishi lozim.

90. Maʼlumotlarni himoya qilishda banklar tomonidan:

muhofazalanadigan maʼlumotlarni ruxsatsiz turli tarmoq kanallari orqali uzatilishi, ruxsatsiz hisobga olinmagan tashqi tashuvchiga koʻchirilishi, ruxsatsiz chop etilishi aniqlanishi hamda bu haqda bank rahbariyatiga maʼlumot berish va kelgusida shu kabi salbiy holatlar boʻlmasligining oldini olish choralari koʻrilishi;

muhofazalanadigan maʼlumotlarni server va kompyuterlarda saqlanishi nazorat qilinishi lozim.

91. Nazorat qilish tartib-qoidalari bankning ichki hujjatlari bilan belgilanadi va maʼlumotlarni ruxsatsiz tarqalishidan himoyalash Xizmat tomonidan amalga oshiriladi.

92. Banklarda axborot xavfsizligi va kiberxavfsizlikni taʼminlash uchun antivirus himoyasi tashkil etilishi lozim.

93. Bankda antivirus dasturlarining oʻrnatilishi hamda ishlashi Xizmat tomonidan nazorat qilinadi.

94. Banklar kompyuter virusi aniqlanganda, ularning tarmoq orqali tarqalishini oldini olish maqsadida amalga oshiriladigan choralarni belgilashi kerak.

Bankning axborot infratuzilmasiga kompyuter virusi zarar keltirganligi aniqlanganda, banklar shu virusning kelib chiqishi va uning turi haqida Markaziy bankka maʼlumot berishi lozim.

95. Xizmat Bank xodimlari tomonidan ularning kompyuteridagi antivirus dasturining sozlamalarini oʻzgartirish imkoniyatini cheklashi kerak. Kompyuter virusi aniqlanganda, xodimlar tomonidan amalga oshiriladigan harakatlar banklar tomonidan belgilanishi hamda barcha xodimlarga tanishtirilishi lozim.

96. Banklar antivirus himoyasini tashkil etishda quyidagilarni taʼminlashi shart:

litsenziyaga ega antivirus dasturlaridan foydalanish va ularning litsenziyasining amal qilish muddati aktualligini taʼminlash;

antivirus dasturlarini markazlashgan holda boshqarish;

antivirus dasturlari bazalarini har kuni yangilab borilishini yoʻlga qoʻyish;

antivirus dasturining rusumi aktual (maʼnan eskirmagan) boʻlishini taʼminlash;

barcha serverlar, kompyuterlar, bankomatlar, infokiosklar va boshqa antivirus dasturlari oʻrnatilishi mumkin boʻlgan hisoblash vositalariga antivirus dasturlarini oʻrnatish.

97. Banklar axborot tizimlaridagi yangilanishlar va tuzatmalarni boshqarish tizimini joriy etishi lozim.

Zararli dasturlar va eksploitlardan himoyalanish maqsadida anomal faoliyatni kuzatish imkonini beruvchi EDR (Endpoint Detection and Response) texnologiyasidan foydalanilishi lozim.

Oxirgi nuqtalarda xavfsizlikni taʼminlash uchun Wi-Fi tarmoqlariga ulanishni taqiqlash lozim.

98. Bank tomonidan konfidensial maʼlumotlar bilan ishlash uchun berilgan mobil qurilmalar markazlashtirilgan holda boshqariladi va ularda xavfsizlik siyosatidan foydalaniladi (qurilmani masofadan bloklash, maʼlumotlarni masofadan oʻchirish va boshqalar).

99. Bank oʻzining axborot aktivlarida ruxsat etilmagan oʻzgarishlar haqida darhol ogohlantiruvchi va konfiguratsiya fayllarining yaxlitligini nazorat qilish tizimlaridan FIM (File Integrity Monitoring) foydalanishi shart.

13-bob. Elektron raqamli imzo va shifrlash kalitlaridan foydalanish

100. Banklarda elektron hujjatlarning asliga toʻgʻriligini tasdiqlash va tashqi muhit taʼsiridan muhofazalash uchun bankning elektron raqamli imzo kalitlarini roʻyxatga olish markazi tomonidan yaratilgan elektron raqamli imzo va shifrlash kalitlari qoʻllaniladi.

101. Banklar tashqi tizimlar bilan oʻzaro ishlashda bank tavakkalchiliklaridan kelib chiqqan holda elektron raqamli imzo va shifrlash kalitlarini qoʻllash boʻyicha talablarni oʻzaro kelishgan holda amalga oshiradi.

102. Axborot aktivlari foydalanuvchilarining elektron raqamli imzo kalitlari maxsus yoki mobil qurilmalarga yozilgan boʻlishi hamda har qanday usul bilan ruxsatsiz nusxa olishdan himoyalangan boʻlishi lozim.

103. Elektron toʻlov hujjatlarini kirituvchi, tasdiqlovchi va elektron toʻlovlar bilan tegishli amallarni (bosh buxgalter, soʻnggi nazorat) bajaruvchi barcha masʼul xodimlar elektron raqamli imzo bilan taʼminlangan boʻlishlari va avtomatlashtirilgan bank tizimlarida ushbu elektron raqamli imzodan foydalanishlari zarur.

Bank tomonidan masofaviy xizmat koʻrsatilganda, elektron toʻlov hujjatlarini kirituvchi, tasdiqlovchi va elektron toʻlovlar bilan tegishli amallarni bajaruvchi barcha xodimlar elektron raqamli imzo bilan elektron toʻlov hujjatlarini tasdiqlashi lozim.

104. Banklar tarmoq orqali uzatilayotgan toʻlov maʼlumotlarini elektron raqamli imzo va shifrlash kalitlari qoʻllanilgan holda himoya qilinishini taʼminlaydi.

105. Elektron raqamli imzo kaliti sertifikatining amal qilish muddati elektron raqamli imzo roʻyxatga olingan paytdan eʼtiboran yigirma toʻrt oydan oshmasligi kerak. Bunda elektron raqamli imzo kaliti sertifikatining amal qilish muddati ikki martadan koʻp boʻlmagan muddatga uzaytirilishi mumkin .

Foydalanuvchilarning elektron raqamli imzo ochiq kalitlari avtomatlashtirilgan bank tizimida roʻyxatga olinishi va hisobi yuritilishi kerak.

106. Elektron raqamli imzo kalitining sertifikati roʻyxatga olish markazi orqali yaratiladi. Bunda, sertifikatga quyidagi maʼlumotlar kiritiladi:

elektron raqamli imzo yopiq kalitining egasi boʻlgan jismoniy shaxsning familiyasi, ismi va otasining ismi;

xodimning lavozimi va shaxsini tasdiqlovchi hujjat maʼlumotlari;

jismoniy shaxsning shaxsiy identifikatsiya raqami;

elektron raqamli imzoning ochiq kaliti;

mazkur sertifikatni bergan roʻyxatga olish markazining nomi va joylashgan manzili;

elektron raqamli imzodan foydalanish maqsadlari toʻgʻrisidagi maʼlumotlar;

elektron raqamli imzolar kalitlari sertifikatlari reyestrining elektron manzili.

107. Elektron raqamli imzo va shifrlash kalitlarining yaratilish jarayonlari muhofazalanishi lozim.

108. Elektron raqamli imzoning yopiq kalitidan faqat uning egasi foydalanishi lozim.

Bank tizimidagi elektron raqamli imzo kalitlari qoʻllanilishi Xizmat tomonidan nazorat qilinadi.

Elektron raqamli imzoning yopiq kalitini ish kompyuter xotirasida yoki ish kompyuteriga doimiy ulangan holatda turuvchi tashqi xotirada saqlash taqiqlanadi.

109. Elektron raqamli imzo bilan tasdiqlanmagan va shifrlash jarayonidan oʻtmagan elektron toʻlovlar qayta ishlash uchun qabul qilinishi taqiqlanadi.

110. Markaziy bank tomonidan berilgan elektron raqamli imzo kalitlari buzilganda, yoʻqotilganda va boshqa shunga oʻxshash holatlarda banklar elektron raqamli imzoning yangilanish sabablarini koʻrsatgan holda Markaziy bankka murojaat qiladi. Markaziy bank murojaat asosida bir kun ichida elektron raqamli imzoni yangilab beradi.

14-bob. Elektron arxivni tashkil qilish va elektron arxiv hujjatlarining tarkibi

111. Elektron arxiv bank arxivining tarkibiy boʻlinmasi sifatida tashkil qilinadi.

112. Elektron arxiv oʻzining elektron arxiv axborot tizimiga ega boʻlishi va uning axborot resurslari shakllantirilishi lozim.

113. Elektron arxivning asosiy vazifalari quyidagilardan iborat boʻlishi kerak:

elektron hujjatlarni jamlash, hisobga olish, ularni saqlash, shuningdek ulardan foydalanishni taʼminlash;

axborot resurslarining arxiv nusxalarini tayyorlash va ularni qonunchilik hujjatlarida belgilangan muddatlarda davlat saqloviga topshirish;

elektron hujjatlarni rasmiylashtirish boʻyicha bankning tarkibiy boʻlinmalariga uslubiy yordam koʻrsatish;

elektron arxiv axborot resursining axborot xavfsizligi va kiberxavfsizligini taʼminlash.

114. Elektron arxiv hujjatlari tarkibiga quyidagi axborot resurslari kirishi lozim:

bank amaliyot kunidagi elektron maʼlumotlarning toʻliq bazasi;

muddati tugagan shifrlash va elektron raqamli imzo kalitlarining ochiq kalitlari;

bank amaliyot kuni dasturlari va boshqa alohida foydalanilayotgan dasturlar majmuasi;

bank axborot tizimlari va resurslari bilan bogʻliq barcha dasturlarning, dasturiy va apparat-dasturiy qurilmalarning elektron bayonnomalari hamda noxush hodisalar bilan bogʻliq elektron bayonnomalar;

elektron pochta orqali qabul qilingan va uzatilgan toʻlovlarga tegishli (farmoyish, qaror va boshqa) hujjatlar;

shifrlangan va shifrlanmagan koʻrinishdagi barcha kiruvchi va chiquvchi elektron toʻlov hujjatlari;

tijorat banklarining kredit va boshqa bank operatsiyalariga taalluqli maʼlumotlari;

banklarning boshqaruv, shaxsiy tarkib hujjatlari va boshqa maʼlumotlar.

115. Bankda elektron arxivda saqlanuvchi maʼlumotlar roʻyxati shakllantirilishi va bir yilda bir marta yangilab turilishi lozim.

Banklar oʻzining siyosati, mavjud boʻlgan axborot tizimlari va bank oldiga qoʻyilgan talablardan kelib chiqib, elektron arxivda saqlanuvchi maʼlumotlar roʻyxatini belgilashi mumkin.

116. Elektron arxiv belgilangan vazifalarni bajarish uchun tegishli texnik qurilma-vositalar va dasturlar bilan taʼminlangan boʻlishi kerak.

Elektron arxivning axborot resursi tashqi saqlovchilarga koʻchirilib, seyfda yoki temir shkafda saqlanishi lozim.

117. Asosiy ish jarayonidagi maʼlumotlar va ularning xotirasida (server disklarida) saqlanayotgan maʼlumotlar elektron arxivning axborot resursi hisoblanmaydi.

118. Banklar elektron arxivning axborot resursi nusxalarini saqlash uchun kamida ikkita bir-biriga bogʻliq boʻlmagan saqlash joylarini tashkil etishlari lozim.

Elektron arxiv har kuni dasturiy ravishda axborot resursini shakllantirishi (arxivlashi) hamda elektron axborot tashuvchi vositalarga yozilishi jarayonini elektron jurnalda qayd etib borishi lozim. Elektron jurnalda axborot resursiga koʻchirilgan axborotlar toʻgʻrisidagi (vaqti, nomi, hajmi va boshqa) maʼlumotlar hamda elektron arxiv butligini aniqlash maqsadida ushbu axborotlarning xesh summasi (nazorat raqamlari) qayd etib borilishi kerak. Elektron arxivning masʼul xodimi ushbu ishlarni amalga oshirganligi toʻgʻrisida maxsus daftarda qayd qilib boradi.

119. Bankning ichki audit xizmati xodimi har oyda kamida bir marta elektron arxivning ishlarini tekshirishi va tekshiruv natijalarini arxiv ishlarini qayd etish maxsus daftariga kiritib borishi zarur. Kamchiliklar aniqlangan taqdirda bankning ichki audit xizmati tomonidan dalolatnoma rasmiylashtirilishi va kamchiliklarni bartaraf etish choralari koʻrilishi tashkillashtiriladi.

120. Elektron arxiv tomonidan elektron arxivning axborot resursi maʼlumotlari har olti oyda bir marta butligi yuzasidan tekshirib turiladi hamda ushbu tekshirish natijalari maxsus daftarda yuritiladi. Agar elektron arxiv axborot resurslari maʼlumotlari qisman yoki umuman buzilganligi aniqlansa, tegishli maʼlumotlar qayta tiklanishi va bu haqida dalolatnoma tuzilishi lozim.

121. Elektron arxivga topshirilgan elektron hujjatlarning (elektron resurslarning) saqlanish muddati qogʻoz asosdagi hujjatlar uchun oʻrnatilgan muddatlardan kam boʻlmasligi lozim.

Bank tomonidan saqlanish muddati doimiy boʻlgan elektron maʼlumotlar idoraviy arxivda oʻn besh yil mobaynida saqlangandan soʻng ularning bir nusxasi oʻrnatilgan tartibda davlat arxivlariga topshirilishi lozim.

122. Bankning filiallari faoliyati tugatilganda, elektron arxivning axborot resursi bankning hududiy filiallariga, hududiy filiallari mavjud boʻlmagan banklar bosh bankka belgilangan tartibda topshiriladi. Bank faoliyati tugatilib boshqa bankka qoʻshib yuborilganda, elektron arxiv maʼlumotlari qoʻshib yuborilayotgan bankning elektron arxiviga belgilangan tartibda topshiriladi.

123. Bank faoliyati tugatilganda elektron arxivning axborot resurslari davlat arxiviga topshiriladi.

124. Elektron arxiv xodim(lar)i axborot resurslarining toʻliqligi, toʻgʻri shakllanganligi hamda ishonchliligi uchun shaxsan javobgar hisoblanadi.

15-bob. Axborot aktivlari ish jarayonlarining uzluksizligi va qayta tiklanishini taʼminlash

125. Banklar axborot aktivlari ish jarayonining uzluksizligini taʼminlashi hamda buning uchun tashkiliy va texnikaviy choralarni koʻrishlari kerak.

Banklar axborot aktivlari ish jarayonida toʻxtashlar, texnik nosozliklar, favqulodda holatlar va katta zarar yetkazuvchi holatlar yuzaga kelganda ish uzluksizligini taʼminlashi va buning uchun tegishli choralarni avvaldan koʻrgan boʻlishlari lozim.

126. Bankda axborot aktivlari ish jarayonlari uzluksizligini taʼminlash boʻyicha talablar ishlab chiqilishi, shu jumladan uzilishlar (toʻxtashlar) vaqtida amalga oshiriladigan ishlar (barcha holatlar uchun) boʻyicha reja tasdiqlanishi kerak. Rejada ishtirok etuvchi xodimlar harakati yoritilishi va bu xodimlar tegishli tayyorgarlik koʻrib qoʻygan boʻlishlari kerak.

127. Banklar axborot aktivlari quyi tizimlarini qayta tiklash tartibini ishlab chiqishi, maʼlumotlarni va tegishli dasturlarni zaxiralashi, yilda kamida ikki marotaba qayta tiklash sinov ishlarini oʻtkazishi hamda amalga oshirilgan barcha ishlarni hujjatlashtirishi lozim. Qayta tiklash rejasi barcha mavjud axborot tizimlari, operatsion tizimlar va texnik qurilmalarni inobatga olgan holda tuzilishi lozim.

128. Bank axborot tizimlarini qisqa muddatlarda qayta tiklash maqsadida tegishli elektron maʼlumotlarni shakllantirishi kerak. Bunda toʻlov tizimiga bogʻliq bankdagi barcha axborot tizimlarining qayta tiklanuvchi maʼlumotlari kechagi kun yakuniga nisbatan aktual tarzda saqlanishi tashkil etilishi kerak.

129. Qayta tiklanuvchi elektron maʼlumotlar roʻyxati, ularni koʻchirish (hosil qilish) vaqti va boshqalar bank tomonidan belgilanadi.

Banklar qayta tiklanuvchi elektron maʼlumotlarning himoyasini taʼminlashi lozim.

130. Bankning ichki audit xizmati har oyda kamida bir marta maʼlumotlarni qayta tiklash tizimining holatini tekshirishi va tekshiruv natijalarini maxsus daftarida qayd qilib borishi kerak. Kamchiliklar aniqlangan taqdirda, bu haqida dalolatnoma rasmiylashtirilishi lozim.

131. Axborot aktivlarining texnik vositalari ishdan chiqishi holatlari yuz berganda, tizimning betoʻxtov ishlashini taʼminlash uchun banklar zaxira tiklanish rejasi, dastur va uskunalarga ega boʻlishlari shart.

132. Axborot aktivlaridagi serverlar va kompyuterlar ekspert tasdigʻidan oʻtgan yoki litsenziyalangan dasturlarga ega boʻlishi lozim.

133. Bankning axborot aktivlari, axborotni himoyalash vositalari, maʼlumotlar bazasi, veb-serverlari, toʻlov tizimi va boshqa serverlari bankning maʼlumotlarni qayta ishlash asosiy va zaxira markazlarida joylashtiriladi.

Mazkur markazlar axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha talablarga qatʼiy rioya etishi, shuningdek konfidensial, jumladan bank sirini tashkil etuvchi maʼlumotlarning sizib chiqishini oldini olishni hisobga olib, bankning binosida, filial(lar)ida, boshqa banklarda, Markaziy bankning bulutli texnologiya asosida yaratilgan data-markazida yoki davlat data-markazlarida tashkil etilishi mumkin.

Banklar axborot aktivlarini favqulodda (yongʻin, zilzila, suv toshqini va boshqa) holatlardan himoya qilish uchun 50 kmdan kam boʻlmagan masofada joylashgan hududlardagi shahar markazlarida zaxira maʼlumotlarni qayta ishlash markazini tashkil etishi lozim.

134. Asosiy axborot tizimlarida ishlatilayotgan dastur va maʼlumotlarning zaxira nusxalari bankning zaxira markazida saqlanadi. Zaxira markazidagi maʼlumotlarning qayta tiklanishi (sinxronizatsiya) davriyligi kuniga bir martadan kam boʻlmasligi kerak.

16-bob. Bankda tashkil etilgan maʼlumotlarni qayta ishlash markazlari va server xonalarining xavfsizlik talablari

135. Banklarda tashkil etilgan maʼlumotlarni qayta ishlash markazlari quyidagi talablarga javob berishi lozim:

maʼlumotlarni qayta ishlash markazining provayderi tegishli litsenziya va sertifikatlarga ega boʻlishi (PCI DSS, ISO 27001);

Tier III yoki Tier IV xalqaro standartlariga mos kelishi;

xizmat koʻrsatish darajasini SLA (Service Level Agreement) belgilovchi hujjatning mavjudligi.

136. Bank server xonasining kafolatli elektr taʼminoti tizimini joriy etishi lozim. Bunda, turli elektr podstansiyalardan elektr taʼminotining ikkita kirishlari va bitta avtomatik tarzda ishga tushuvchi dizel elektr stansiyasi mavjud boʻlishi kerak. Elektr energiyasining barcha uchta manbai elektr taʼminotining asosiy (zaxira) fideriga avtomatik tarzda qayta ulanishi taʼminlanishi kerak.

137. Elektr taʼminoti liniyalarining, avtomatik dizel elektr stansiyasi va uning zaxirasi avtomatik kirishining parametrlari uskuna va server xonasi tizimlarining isteʼmol qilinadigan umumiy quvvatidan kelib chiqib aniqlanishi va quvvat boʻyicha zaxiraning kamida 10 foizini taʼminlashi kerak.

138. Bank uzluksiz ishlashi uchun kamida bir sutkaga yetadigan yoqilgʻi zaxirasiga ega boʻlgan dizel elektr stansiyasi bilan taʼminlanishi lozim, bunda bankda elektr quvvati boʻlmaganda dizel elektr stansiyasi avtomatik ravishda ishga tushishi kerak.

139. Banklar server xonasini uzluksiz elektr taʼminoti manbai (UPS) bilan jihozlashlari lozim.

Bunda elektr taʼminoti manbai (UPS) quvvati barcha taʼminlanadigan uskuna va kelajakdagi ehtiyoj uchun zaxira hisobga olingan holda joriy qilingan boʻlishi kerak. Elektr taʼminoti manbai (UPS) orqali avtonom ishlashda ehtiyojlar, shuningdek zaxira liniyalariga va avtomatik dizel elektr stansiyasiga oʻtish hamda qayta oʻtish uchun kerak boʻladigan vaqt hisobga olinadi.

140. Server xonasiga kirish faqat tasdiqlangan roʻyxatga muvofiq amalga oshiriladi.

141. Server xonasiga kirishga ruxsat berilgan xodimlar roʻyxatida boʻlmagan shaxslar server xonasiga kirish zarurati paydo boʻlgan hollarda ularning kirishi asoslangan holda talabnoma bilan rasmiylashtirilishi lozim. Ushbu talabnoma axborot texnologiyalari boʻlinmasi rahbari tomonidan koʻrib chiqilishi va imzolanishi, shuningdek Xizmat rahbari bilan kelishilishi zarur. Server xonasiga kirish server administratori kuzatuvi ostida amalga oshiriladi.

142. Xodimlar server xonasiga nazorat qilish tizimi orqali nazoratdan oʻtgan holda (biometrik yoki boshqa usullardan) kirishi kerak.

143. Server xonasiga axborot aktivlariga xizmat koʻrsatuvchi tashkilotlar xodimlari kiritilganda, bu haqda roʻyxatga olish jurnaliga kirish va chiqish sanasi, vaqti, amalga oshirilgan ishlar nomi, bajaruvchining familiyasi, ismi, lavozimi, tashkilot nomi yozilishi hamda ushbu xodimning imzosi qoʻyilishi kerak.

144. Server xonasi quyidagi jihozlanish talablariga javob berishi shart:

mustahkam devorlar va ishonchli toʻsiqlarga ega boʻlishi;

ishonchli (kodli) qulflar oʻrnatilgan mustahkam eshiklar bilan jihozlanishi;

derazalar xonaga kirishdan himoya qilish vositalariga ega boʻlishi, shuningdek begona shaxslarning koʻz yoki maxsus qurilmalar bilan kuzatishidan himoya qiluvchi deraza pardalari, qoʻriqlash va ogohlantirish qurilmalari bilan jihozlanishi;

yongʻinga qarshi himoya tizimi va vositalari bilan jihozlanishi.

145. Server xonasiga oʻrnatilgan videokuzatuv tizimi quyidagi talablarga javob berishi kerak:

serverlar bilan bevosita jismoniy kontaktlar yozib borilishi;

uzluksiz videokuzatuv amalga oshirilishi;

serverlarning (server shkaflarining) oldi va orqa tarafini kechayu-kunduz nazorat qilish imkoniyati boʻlishi;

videokameralarning tasvirga olish imkoniyatlari texnologik qurilmalarga xizmat koʻrsatayotgan xodimlarning yuzlarini ishonch bilan farqlashiga yetarli boʻlishi.

146. Videokuzatuv qurilmalari va binoga (yoʻlaklarga, xonalarga) kirishni nazorat qilish tizimlari maʼlumotlari bank toʻlov tizimi lokal tarmoqlaridan ajratilgan va tashqi taʼsirlardan himoya qilingan boʻlishi hamda elektr taʼminoti uzilgan vaqtdan boshlab 12 soat ichida energiyaga bogʻliq boʻlmagan holda avtonom ravishda ishlash imkoniyatiga ega boʻlishi, shuningdek videoarxiv 2 oydan kam boʻlmasligi lozim.

147. Videoarxiv maʼlumotlarini yuritish va foydalanish bankning xavfsizlik boʻyicha masʼul boʻlinmasi tomonidan amalga oshiriladi.

148. Server xonasi binoning oʻt oʻchirish tizimiga bogʻliq boʻlmagan avtomatik gazli oʻt oʻchirish qurilmasi bilan jihozlangan boʻlishi lozim.

Gazli oʻt oʻchirish tizimi bevosita bankning server xonasidagi maxsus jihozlangan shkafda yoki buning uchun ajratilgan maxsus xonada joylashtirilishi kerak.

Gazli oʻt oʻchirish tizimini ishga tushirish yongʻindan xabar beruvchi tutun xabargohlaridan, shuningdek xona tashqarisida, devorga pol sathidan 1,5 m balandlikda oʻrnatilgan qoʻlda ishga tushiriladigan xabargohlardan amalga oshirilishi kerak.

149. Gazli oʻt oʻchirish tizimi xonaning ichkarisida va tashqarisida joylashgan avtomatik gazli oʻt oʻchirish qurilmasi ishga tushganligi toʻgʻrisida xodimlarga xabar beruvchi tabloga va xonaning tashqarisida oʻrnatilgan tovushli xabar beruvchi moslamaga ega boʻlishi kerak.

150. Gaz va tutunni chiqarib yuborish tizimi yongʻinni oʻchirish tizimi ishga tushganidan soʻng server xonasidan gaz va tutunning chiqib ketishini taʼminlashi kerak. Ushbu tizim binoning ventilyatsiya tizimidan alohida bino tomiga havo quvuri chiqarilgan holda bajariladi. Tizim server xonasidagi havo hajmidan uch hissa oshadigan hajmdagi gaz havo aralashmasini chiqarib tashlash imkoniyatiga ega boʻlishi kerak.

151. Sovitish va ventilyatsiya quyi tizimiga qoʻyiladigan asosiy talablar quyidagilardan iborat:

a) server xonasida quyidagi iqlim sharoitlariga rioya qilinishi kerak:

xonadagi havo harorati 18 — 24°C;

haroratning yoʻl qoʻyiladigan ogʻishlari ± 2°C;

havoning nisbiy namligi 40 — 50 foiz;

havoni sovitish tizimining haqiqiy sovitish quvvati server xonasida joylashgan barcha uskunalar va tizimlarning umumiy issiqlik chiqarishidan ortiq boʻlishi kerak;

b) server xonasining havosini sovitish tizimi 100 foiz zaxiralashdan foydalangan holda bajariladi (kamida, har biri mustaqil ravishda xonaning havo rejimini taʼminlay oladigan ikkita mustaqil konditsioner);

v) sovitish tizimi masofadan monitoringni amalga oshirish imkoniyatini taʼminlashi kerak.

17-bob. Bankning tashqi axborot tizimlari bilan axborot almashinuvida axborot xavfsizligi va kiberxavfsizlikni taʼminlashga qoʻyilgan talablar

152. Bank boshqa yuridik shaxsning axborot tizimi (bundan buyon matnda tashqi axborot tizimi deb yuritiladi) bilan axborot almashinuvini shartnoma asosida amalga oshiradi.

153. Bank va tashqi axborot tizimi oʻrtasida axborot almashinuvi amalga oshirilishi uchun quyidagi axborot xavfsizligi va kiberxavfsizlikni taʼminlash talablari belgilab olinishi kerak:

bank tomonidan beriladigan maʼlumotlar roʻyxati va shakli;

bankning axborot tizimiga kirish imkoniyatlarini chegaralash chora-tadbirlari;

axborot almashinuvida autentifikatsiya va identifikatsiya jarayonlari;

elektron raqamli imzo, shifrlash va boshqa axborot muhofazasi qurilmalari, dasturlari va uskunalari;

bank siri maʼlumotlarini tashqariga chiqishining oldini olish;

mazkur Nizomda koʻrsatilgan tarmoq xavfsizligi talablari va boshqa axborot muhofazasi talablari bajarilishi;

axborot almashinuvida qatnashuvchi xodimlarni tayinlash, ularning vazifalari, majburiyatlari va javobgarliklari.

Bank tashqi axborot tizimi bilan axborot almashinuvini boshlashdan oldin Markaziy bankni xabardor qilishi va axborot almashinuvini Markaziy bankning axborot muhofazasi boʻyicha talablariga rioya qilgan holda amalga oshirishi shart.

18-bob. Uchinchi shaxslar bilan ishlashda xavfsizlikni taʼminlash

154. Banklar uchinchi shaxslar bilan ishlashda xavfsizlikni taʼminlash maqsadida quyidagilarni bajarishlari lozim:

uchinchi shaxslarga maʼlumotlardan foydalanish huquqini berishdan oldin xavf darajasini tahlil qilgan holda baholash;

konfidensial maʼlumotlardan foydalanish huquqi berilgan uchinchi shaxslar bilan maʼlumotlarni oshkor qilmaslik toʻgʻrisidagi NDA (Non-Disclosure Agreement) kelishuvlarini imzolash;

uchinchi shaxslarga faqatgina oʻz majburiyatlarini bajarishi uchun zarur boʻladigan maʼlumotlar va axborot aktivlariga kirishga ruxsat berish;

uchinchi shaxslarning har bir xodimi uchun alohida foydalanuvchi akkauntini yaratish va majburiy tartibda koʻp faktorli autentifikatsiyadan oʻtkazish;

uchinchi shaxslar bilan hamkorlik qilish tugatilganidan keyin ularda mavjud barcha konfidensial maʼlumotlarni qaytarish, yoʻq qilish hamda axborot aktivlariga kirish uchun berilgan ruxsatlar va foydalanish akkauntlarini bekor qilish.

19-bob. Bankning axborot aktivlariga masofadan ulanishda xavfsizlikni taʼminlash

155. Banklar oʻz axborot aktivlariga masofadan ulanishda quyidagi xavfsizlik choralarini koʻrishlari lozim:

bank xodimlariga axborot aktivlariga oʻzining shaxsiy qurilmalaridan foydalangan holda masofadan turib ulanishiga ruxsat bermaslik;

xodimlarni korporativ tarmoqqa masofadan turib ulashda virtual xususiy tarmoqlardan foydalanish va koʻp faktorli autentifikatsiyadan oʻtkazish;

masofadan turib ishlashda foydalanuvchilarning barcha harakati PAM tizimi orqali amalga oshirilishini taʼminlash;

xodimlarga masofadan turib ishlashda faqatgina oʻz vazifalarini bajarishlari uchun zarur boʻladigan axborot resurslaridan foydalanishiga ruxsat berish.

20-bob. Zaifliklar va konfiguratsiyalarni boshqarish

156. Banklar axborot infratuzilmalarida mavjud zaifliklarni aniqlash va bartaraf etishda quyidagilarni bajarishlari lozim:

zaifliklarni aniqlash uchun axborot aktivlarini muntazam ravishda skanerlash ishlarini olib borish;

zaifliklarni tasniflash va tavsiflashda xalqaro CVE (Common Vulnerabilities and Exposures) kabi maʼlumotlar bazalaridan foydalanish;

zaifliklarning muhimlik darajasini aniqlashda xalqaro CVSS (Common Vulnerability Scoring System) kabi baholash tizimlaridan foydalanish;

zaifliklarni bartaraf etishda kerak boʻladigan yangilanish va tuzatishlarni (patch) oʻrnatish;

zaifliklar holatini doimiy ravishda monitoring qilish va bank rahbariyatiga hisobot berish jarayonlarini yoʻlga qoʻyish.

157. Banklar axborot aktivlari konfiguratsiyalaring xavfsizligini taʼminlashda quyidagilarni bajarishi lozim:

axborot aktivlarining barcha tarkibiy qismlari, jumladan serverlar, ishchi stansiyalar, tarmoq qurilmalari va ilovalar uchun xavfsiz konfiguratsiyalarning asosiy liniyalarini SCB (Security Configuration Baselines) yaratish;

konfiguratsiya tavsifini unifikatsiyalashda xalqaro CCE (Common Configuration Enumeration) kabi roʻyxatlardan foydalanish;

barcha konfiguratsiya oʻzgarishlarini tegishli tekshiruv, tasdiqlash va hujjatlashtirishdan oʻtishini taʼminlash uchun oʻzgarishlarni boshqarishning rasmiylashtirilgan jarayonlarini joriy etish;

joriy qilingan konfiguratsiyalarning belgilangan standartlar va xavfsizlik siyosatlariga muvofiqligini muntazam ravishda tekshirib borish va baholash;

konfiguratsiyalarni boshqarish jarayonlarini avtomatlashtirish va ularning belgilangan standartlarga muvofiqligini taʼminlash uchun maxsus dasturiy vositalar va platformalardan foydalanish.

21-bob. Bankning axborot tizimlari va resurslarining hayot davri bosqichlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash

158. Bankning axborot tizimlari va resurslarining hayot davri modeli quyidagi bosqichlardan iborat boʻlishi lozim:

texnik topshiriqlarni ishlab chiqish;

loyihalash;

yaratish va sinovdan oʻtkazish;

qabul qilish va ishga tushirish;

foydalanish;

texnik xizmat koʻrsatish va takomillashtirish;

foydalanishdan chiqarish.

159. Axborot tizimi mustaqil ravishda ishlab chiqilganda, hayot davri modelining barcha bosqichlarida axborot tizimining axborot xavfsizligi va kiberxavfsizlik talablariga muvofiqligi koʻrib chiqishi kerak.

160. Tayyor axborot tizimi xarid qilinganda, axborot tizimining hayot davri modelining quyidagi:

qabul qilish va ishga tushirish;

foydalanish;

texnik xizmat koʻrsatish va takomillashtirish;

foydalanishdan chiqarish bosqichlarida axborot xavfsizligi va kiberxavfsizlik talablariga muvofiqligi taʼminlanishi lozim.

161. Axborot tizimlari kiberxavfsizlik xatarlarini inobatga olingan holda loyihalanishi va ishlab chiqilishi lozim.

162. Axborot tizimi hayot davrining barcha bosqichlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash masalalariga oid ishlar Xizmat bilan kelishgan holda va uning nazorati ostida amalga oshiriladi.

163. Axborot tizimini ishlab chiqish yoki modernizatsiya qilish boʻyicha texnik topshiriqlarda va bankning texnologik jarayonlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha talablar kiritilishi lozim.

Axborot tizimi va (yoki) uning tarkibiy qismlarini yaratish hamda sinovdan oʻtkazish bosqichlarida konfidensial, jumladan bank siriga oid maʼlumotlardan foydalanish taqiqlanadi.

Bankda dasturiy taʼminotni hayot davri bosqichlarida boshqarish platformalarining faqat lokal (on-premise) talqinlaridan (Gitlab va hokazo) foydalanishga ruxsat beriladi. Bunda, platformadagi dastur kodi avtomatik ravishda tahlil qilinishi lozim (SAST/DAST).

Bankning dasturiy taʼminotini hayot davri bosqichlarida boshqarish platformalarini internet tarmogʻiga ulash taqiqlanadi.

Bankning dasturiy taʼminotni hayot davrini boshqarish platformalariga masofadan ulanishni faqat himoyalangan VPN tarmoq orqali amalga oshirishga ruxsat beriladi.

164. Axborot tizimini ishga tushirishdan oldin ularda mavjud zaifliklar tekshirilishi shart. Barcha zaifliklar bartaraf etilganidan keyin axborot tizimini ishga tushirish mumkin.

Bankda foydalanishda boʻlgan axborot tizimi va (yoki) uning tarkibiy qismlarida joriy etilgan himoya choralarining tavsifini oʻz ichiga olgan hujjatlar boʻlishi shart.

165. Bankda dastur ishlab chiqaruvchilar tomonidan axborot tizimini ishlab chiqish va yetkazib berish bosqichlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash talablari qayd etilishi lozim.

Banklar dastur ishlab chiqaruvchilar tomonidan ishlab chiqilgan axborot tizimlarida amalga oshirilgan himoya choralarini tahlil qilishi va zarur hollarda qoʻshimcha talablarni belgilashlari mumkin.

Banklar axborot tizimlarini ishlab chiquvchi yoki tayyor axborot tizimlarini yetkazib beruvchi tashkilotlar bilan tuzgan shartnomalarida axborot tizimining butun xizmat muddati davomida texnik qoʻllab-quvvatlash boʻyicha shartlarni kiritishi lozim. Agarda shartnomada mazkur shartlar koʻrsatib oʻtilmasa, bank yetkazib beruvchidan uning ishtirokisiz axborot tizimi va uning tarkibiy qismlarini qoʻllab-quvvatlash imkoniyatini beruvchi hujjatlar toʻplamini olishi shart.

166. Axborot tizimidan foydalanish davrida quyidagi tartib-taomillar belgilanishi, bajarilishi va roʻyxatdan oʻtkazilishi lozim:

joriy etilgan himoya choralarining ishlashi (faoliyati, samaradorligi)ni nazorat qilish, shu jumladan tashkiliy himoya choralarining amalga oshirilishini tekshirish, qoʻllanilayotgan texnik himoya choralarining tarkibi va sozlash parametrlarini kuzatib borish;

uskunalar va dasturiy taʼminotda zaif tomonlar mavjud emasligini tekshirish;

sozlash parametrlari va qoʻllanilayotgan texnik himoya choralariga oʻzgartirishlar kiritilishini nazorat qilish;

dasturiy taʼminotning, shu jumladan texnik himoya choralarning zaruriy yangilanishlarini nazorat qilish.

167. Axborot tizimidan foydalanish davrida axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha amalga oshirilgan barcha funksiyalarni tiklash uchun zarur boʻlgan tartib-qoidalar aniqlanishi, bajarilishi, qayd etilishi va nazorat qilinishi lozim.

Axborot tizimidan foydalanish davrida oʻrnatiladigan va (yoki) foydalaniladigan dasturiy taʼminotning tarkibini nazorat qilish tartiblari belgilanishi, bajarilishi va qayd etilishi shart.

Axborot tizimidan foydalanish davrida konfidensial, jumladan bank siriga oid maʼlumotlar saqlanayotgan vositalarning xavfsizligini taʼminlash uchun zarur boʻlgan tartib-qoidalar aniqlanishi, amalga oshirilishi va nazorat qilinishi kerak.

Axborot tizimini foydalanishdan chiqarish jarayonida bank faoliyatiga zarar yetkazishi mumkin boʻlgan maʼlumotlar texnik himoya choralari bilan qoʻllaniladigan axborotni tiklash imkoniyatini istisno qiluvchi algoritmlar va (yoki) usullar yordamida axborot tizimlarining doimiy xotirasidan hamda tashqi tashuvchilardan oʻchiriladi, bundan qonunchilikda belgilangan va shartnomaviy hujjatlarda qayd etilgan muddatlar davomida saqlanishi koʻzda tutilgan elektron hujjat arxivlari va bayonnomalar (loglar) mustasno.

22-bob. Data-markazlar xizmatlaridan foydalanishda axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha talablar

168. Banklar oʻzining maʼlumotlarni qayta ishlash boʻyicha asosiy va zaxira markazlarini quyidagi talablarga muvofiq boʻlgan data-markazlarga joylashtirishlari mumkin:

axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha xalqaro ISO/IEC 27001, PCI DSS sertifikatlari va (yoki) axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha boshqa xalqaro sertifikatlarning mavjud boʻlgan;

SOC 2 standartiga muvofiq boʻlgan;

Tier III yoki Tier IV xalqaro standartlariga mos keladigan;

xizmat koʻrsatish darajasini belgilovchi SLA hujjati mavjud boʻlgan;

uzluksiz ishlash vaqtida (uptime) va nosozliklar roʻy berganda, qayta tiklash muddatlari kafolatlangan;

kirish nazorati, videokuzatuv, qoʻriqlash xizmati va tabiiy ofatlardan himoyalanish kabi xavfsizlik choralari mavjud boʻlgan;

turli aloqa kanallari (telefon, elektron pochta, chat) orqali kun-u tun (24/7) faoliyat yurituvchi texnik yordam xizmatiga ega boʻlgan;

data-markaz administratorlari tomonidan koʻp omilli autentifikatsiya va minimal imtiyozlar tamoyiliga asoslangan kirish boshqaruv tizimi mavjud boʻlgan;

banklarga oʻz maʼlumotlariga kirish va soʻrov boʻyicha maʼlumotlarni oʻchirish imkoniyati yaratilgan;

muntazam ravishda axborot xavfsizligi va kiberxavfsizlik auditlari oʻtkaziladigan hamda natijalari banklarga taqdim etiladigan;

yangi tahdidlardan himoyalanish uchun dasturiy taʼminot va texnologiyalarni oʻz vaqtida yangilab boradigan;

Markaziy bankka tekshiruvlar oʻtkazish imkoniyati yaratilgan;

kirish qaydnomalari (loglar) va oʻzgarishlarni kamida 5 yil davomida saqlash imkoniyati yaratilgan;

zaifliklarni tahlil qilish va xavfsizlik sinovlari (pentestinglar) yiliga kamida bir marotaba oʻtkaziladigan;

biznesning uzluksizligini taʼminlaydigan va qayta tiklanish rejalarining samaradorligini tekshirish uchun muntazam ravishda sinovdan oʻtkazib turish ishlari yoʻlga qoʻyilgan.

169. Data-markazlar oʻz xodimlariga muntazam ravishda axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha mashgʻulotlar oʻtkazib turishi lozim.

170. Data-markaz administratorlari barcha oʻzgartirishlarni bank bilan kelishilgan holda PAM tizimi orqali amalga oshirishi lozim.

Data-markaz zamonaviy keyingi avlod tarmoqlararo ekranlarning apparat-dasturiy vositalari bilan muhofazalangan boʻlishi kerak.

171. Data-markazlar banklarning maʼlumotlarini qayta ishlash markazlarining axborot xavfsizligi va kiberxavfsizligini taʼminlash tizimlarini Markaziy bank “CERT-CBU” kiberxavfsizlik markazi monitoring tizimiga ulashi shart.

172. Banklar oʻzining maʼlumotlarni qayta ishlash boʻyicha zaxira markazlarini data-markazlarga joylashtirishda ularda axborot xavfsizligi va kiberxavfsizlikni taʼminlash majburiyatini koʻzda tutishi lozim.

173. Banklar oʻzining maʼlumotlarni qayta ishlash markazlarining joylashuv manzili oʻzgarganligi toʻgʻrisida zudlik bilan Markaziy bankka xabar berishi lozim.

23-bob. Axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha talablar ustidan nazorat

174. Bank axborot xavfsizligi va kiberxavfsizlikning taʼminlanganlik darajasini aniqlash maqsadida tashqi tashkilotlar xizmatidan foydalanishi va ichki auditini amalga oshirishi mumkin.

175. Tashqi tashkilot xizmatlari audit yoki ekspertiza koʻrinishida amalga oshirilishi mumkin. Bank audit yoki ekspertiza ishlarini oʻtkazuvchi tashkilotlarga konfidensial, shu jumladan bank siri maʼlumotlarini taqdim etish yuzasidan ichki hujjat ishlab chiqishi lozim. Bunda, ushbu maʼlumotlar tegishli shartnoma asosida berilishi kerak.

176. Bosh bankning Xizmati bank va uning filiallarida mazkur Nizom talablarining bajarilishi ustidan doimiy nazorat olib borishi lozim.

24-bob. Yakuniy qoida

177. Mazkur Nizom talablarining buzilishida aybdor boʻlgan shaxslar qonunchilik hujjatlarida belgilangan tartibda javobgar boʻladi.

Oʻzbekiston Respublikasi Markaziy banki boshqaruvining 2025-yil 1-avgustdagi 19/1-son qaroriga 2-ILOVA

Oʻz kuchini yoʻqotgan deb topilayotgan idoraviy normativ-huquqiy hujjatlar

1. Oʻzbekiston Respublikasi Markaziy banki boshqaruvining 2020-yil 25-yanvardagi 2/4-son “Oʻzbekiston Respublikasi tijorat banklari avtomatlashtirilgan bank tizimlarida axborotni muhofaza qilish toʻgʻrisidagi nizomni tasdiqlash haqida”gi qarori (roʻyxat raqami 3224, 2020-yil 10-mart) (Qonun hujjatlari maʼlumotlari milliy bazasi, 10.03.2020-y., 10/20/3224/0312-son).

2. Oʻzbekiston Respublikasi Markaziy banki boshqaruvining 2021-yil 28-maydagi 12/3-son “Oʻzbekiston Respublikasi tijorat banklari avtomatlashtirilgan bank tizimlarida axborotni muhofaza qilish toʻgʻrisidagi nizomning 1-bandiga oʻzgartirish kiritish haqida”gi qarori (roʻyxat raqami 3224-1, 2021-yil 17-iyun) (Qonunchilik maʼlumotlari milliy bazasi, 17.06.2021-y., 10/21/3224-1/0567-son).

3. Oʻzbekiston Respublikasi Markaziy banki boshqaruvining 2023-yil 21-yanvardagi 1/13-son “Oʻzbekiston Respublikasi tijorat banklari avtomatlashtirilgan bank tizimlarida axborotni muhofaza qilish toʻgʻrisidagi nizomga oʻzgartirishlar kiritish haqida”gi qarori (roʻyxat raqami 3224-2, 2023-yil 31-yanvar) (Qonunchilik maʼlumotlari milliy bazasi, 01.02.2023-y., 10/23/3224-2/0064-son).

Rais T. ISHMETOV

Davlat xavfsizlik xizmati raisi B. KURBANOV

Raqamli texnologiyalar vaziri Sh. SHERMATOV

Adliya vaziri A. TASHKULOV

Toshkent sh.,

2025-yil 1-avgust,

2025-yil 18-iyul

2025-yil 11-iyul

2025-yil 5-iyul

19/1-son

(Qonunchilik maʼlumotlari milliy bazasi, 19.08.2025-y., 10/25/3669/0747-son)

lex.uz