📅 2025-yil 16-iyul · Markaziy bank hujjatlari
Rasmiy matn. Rasmiy hujjat. Tahririy izohlar kiritilmagan.
UzbekAI
📅 2025 йил 16 июль · Марказий банк ҳужжатлари
Расмий матн. Расмий ҳужжат. Таҳририй изоҳлар киритилмаган.
📅 16 июля 2025 г. · Документы Центрального банка
Официальный текст. Официальный документ. Редакционные примечания не включены.
📅 16 July 2025 · Central Bank documents
Official text. Official document. Editorial notes are not included.
Ўзбекистон Республикаси Марказий банки бошқарувининг
қарори
НИЗОМ
Факторинг электрон платформаларининг ахборот тизимларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича минимал талаблар тўғрисидаги низомни тасдиқлаш ҳақида
Ўзбекистон Республикасининг «Ўзбекистон Республикасининг Марказий банки тўғрисида»ги Қонуни ҳамда Ўзбекистон Республикаси Президентининг 2024 йил 12 августдаги ПФ-109-сон «Факторинг хизматлари бозорини жадал ривожлантириш чора-тадбирлари тўғрисида»ги Фармонига мувофиқ Ўзбекистон Республикаси Марказий банк бошқаруви қарор қилади:
1. Факторинг электрон платформаларининг ахборот тизимларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича минимал талаблар тўғрисидаги низом иловага мувофиқ тасдиқлансин.
2. Мазкур қарор Ўзбекистон Республикаси Давлат хавфсизлик хизмати ҳамда Рақамли технологиялар вазирлиги билан келишилган.
3. Мазкур қарор расмий эълон қилинган кундан эътиборан уч ойдан кейин кучга киради.
Келишилди:
Ўзбекистон Республикаси Марказий банки бошқарувининг 2025 йил 16 июлдаги 16/2-сон қарорига ИЛОВА
Факторинг электрон платформаларининг ахборот тизимларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича минимал талаблар тўғрисидаги
Мазкур Низом кредит ташкилоти бўлмаган юридик шахслар (бундан буён матнда ташкилот деб юритилади) томонидан ташкил этиладиган факторинг электрон платформаларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш ҳамда уларни IT-аудитдан ўтказиш бўйича минимал талабларни белгилайди.
1-боб. Умумий қоидалар
1. Мазкур Низомда қуйидаги асосий тушунчалардан фойдаланилади:
аутентификация — фойдаланувчи, дастур, қурилма ёки маълумотларнинг ҳақиқийлигини тасдиқлаш тартиб-таомили;
ахборот тизими — ахборотни тўплаш, сақлаш, излаш, унга ишлов бериш ҳамда ундан фойдаланиш имконини берадиган, ташкилий жиҳатдан тартибга солинган жами ахборот ресурслари, ахборот технологиялари ва алоқа воситалари;
ахборот хавфсизлиги — ахборот соҳасида шахс, жамият ва давлат манфаатларининг ҳимояланганлик ҳолати;
факторинг электрон платформаси (бундан буён матнда платформа деб юритилади) — Интернет бутунжаҳон ахборот тармоғида жойлаштирилган, факторинг (пул талабномасидан бошқа шахс фойдасига воз кечиш эвазига молиялаш) бозори иштирокчилари (молия агентлари, мижозлар ва дебиторлар) ўртасида юридик аҳамиятга эга бўлган муносабат ҳамда электрон ҳужжат алмашинувини ташкил этишга қаратилган ахборот тизими;
идентификация — фойдаланувчиларнинг шахсини аниқлаш мақсадида уларга идентификатор (ноёб номлар) тайинлаш ёки тайинланган идентификаторларни (ноёб номлар) идентификаторлар рўйхати билан солиштириш;
IT-аудит — ахборот технологиялари, автоматлаштирилган бошқарув тизимлари ҳамда маълумотларни қайта ишлаш инфратузилмасининг ишончлилиги, амалдаги қонунчилик ҳужжатлари ва стандартларга мувофиқлиги, шунингдек ахборот хавфсизлиги ва киберхавфсизликнинг таъминланганлик даражасини аниқлаш мақсадида амалга ошириладиган мустақил баҳолаш жараёнлари;
киберхавфсизлик — кибермаконда шахс, жамият ва давлат манфаатларининг ташқи ва ички таҳдидлардан ҳимояланганлик ҳолати;
шахсга доир маълумотлар — муайян жисмоний шахсга тааллуқли бўлган ёки уни идентификация қилиш имконини берадиган, электрон тарзда, қоғозда ва (ёки) бошқа моддий жисмда қайд этилган ахборот.
2-боб. Ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича амалга ошириладиган ташкилий чоралар
2. Ташкилотлар платформани таъминлайдиган ахборот тизимлари (бундан буён матнда ахборот тизимлари деб юритилади) ҳамда ресурсларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш мақсадида:
а) ахборот хавфсизлиги сиёсатини ишлаб чиқади ва тасдиқлайди. Бунда:
ахборот тизимлари ва ресурсларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича талаблар белгиланиши;
белгиланган талаблар ташкилотнинг ҳар бир ходимига таништирилиши ҳамда ушбу талабларга ходимларнинг қатъий риоя қилиши таъминланиши лозим;
б) ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича масъул ходимни (бундан буён матнда масъул ходим деб юритилади) тайинлайди;
c) конфиденциал, шу жумладан банк сирини ташкил этувчи ва шахсга доир маълумотларнинг дахлсизлигини таъминлайди ҳамда улардан фойдаланиш тартибини ишлаб чиқади. Бунда, ушбу тартибда:
конфиденциал, шу жумладан банк сирини ташкил этувчи ва шахсга доир маълумотлар билан ишлашда хавфсизлик, конфиденциаллик ва яхлитликни таъминлаш бўйича талаб ва қоидаларни ишлаб чиқиш;
ходимлар билан конфиденциал, шу жумладан банк сирини ташкил этувчи ва шахсга доир маълумотлар ошкор этилишининг олдини олиш бўйича мажбуриятномалар (шартномалар) тузиш ва ушбу маълумотлардан фойдаланиш ҳуқуқларини ходимларнинг лавозим мажбуриятларидан келиб чиқиб белгилаш;
конфиденциал маълумотлар рўйхатини шакллантириш ва тасдиқлаш;
конфиденциал маълумотлар билан ишлашга рухсат берилган ходимлар рўйхатини шакллантириш ва тасдиқлаш;
конфиденциал маълумотлар билан ишлаш тартибини ишлаб чиқиш ва тасдиқлаш;
ташқи сақловчи қурилмалар ва техник воситаларни назорат қилинадиган ҳудуддан ташқарига рухсатсиз олиб чиқилишини олдини олиш чоралари назарда тутилиши лозим;
д) ахборот тизимларида юзага келадиган хавфларни баҳолаш ҳамда бошқариш бўйича талабларни белгилайди;
э) ахборот тизимларида юзага келган ёки келиши мумкин бўлган тўхталишлар, узилишлар, ахборот хавфсизлиги ва киберхавфсизлик ҳодисаларини аниқлаш, олдини олиш, бартараф этиш ва улар тўғрисидаги маълумотларни сақлаш ҳамда рўйхатини юритиш тартибини ишлаб чиқади.
3. Масъул ходим ўз фаолиятида:
ахборот тизимлари ва ресурсларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича белгиланган талабларнинг ташкилот бўлинмалари ва ходимлар томонидан бажарилишини назорат қилиши;
ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизимини ташкил қилиши;
иш жараёнида ходимларга конфиденциал, шу жумладан банк сирини ташкил этувчи ва шахсга доир маълумотларни сир сақлаш мажбурияти ва ўз мажбуриятларини бузганлиги учун жавобгарлиги тўғрисида тушунтириш ишларини олиб бориши ҳамда ушбу маълумотлар сақланишини назорат қилиши;
ахборот тизимларига ўзгартиришлар киритилишини назорат қилиши;
фойдаланувчиларнинг ахборот ресурсларида ишлаш ҳуқуқлари ва чегараларини белгилашни ташкил этиши;
ахборот тизимларига киришни назорат қилиши;
ахборот тизимлари ва ахборот ресурсларидан рухсатсиз фойдаланишни чеклаши;
ахборот хавфсизлиги ва киберхавфсизликни таъминлаш юзасидан ички меъёрий ҳужжатларни ишлаб чиқиши;
ахборот хавфсизлиги ва киберхавфсизликни таъминлаш масалаларида раҳбариятга таклифлар бериши;
ахборотнинг сақланиши устидан умумий назоратни ташкил этишни таъминлаши керак.
4. Ташкилотлар тизимли равишда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш соҳасига ихтисослашган ўқув курсларида масъул ходимларни ўқитиш ишларини ташкил этиши лозим.
3-боб. Ахборот хавфсизлиги ва киберхавфсизликни таъминлаш ҳамда IT-аудит ўтказишга доир минимал талаблар
5. Ташкилотлар ўз фаолиятида ахборот хавфсизлиги ва киберхавфсизликни таъминлашда ахборот тизимлари ва ресурсларида юзага келиши мумкин бўлган ахборот хавфсизлиги ва киберхавфсизлик ҳодисаларини аниқлаш, олдини олиш ва бартараф этиш чораларини кўришлари лозим.
6. Фойдаланувчиларнинг платформага кириши ҳимояланган протоколлардан фойдаланган ҳолда Интернет бутунжаҳон ахборот тармоғи орқали амалга оширилади.
Фойдаланувчи ва сервер ўртасидаги барча ўзаро ахборот алмашинуви фақат ҳимояланган Transport Layer Security (TLS) протоколидан (1.3 ёки ундан юқори версия) фойдаланган ҳолда амалга оширилиши шарт.
7. Платформа фойдаланувчилари ўртасида алмашинадиган маълумотлар ва ҳужжатларнинг ҳаққонийлигини тасдиқлаш электрон рақамли имзо калитлари орқали амалга оширилади.
8. Платформа Ўзбекистон Республикасида жойлашган ва Tactically Integrated Emergency Response (TIER) талабларига жавоб берувчи маълумотларни қайта ишлаш марказлари ёки ташкилотнинг сервер хоналарида жойлаштирилади.
9. Ташкилотларнинг шахсга доир маълумотлар базаси Шахсга доир маълумотлар базаларининг давлат реестрида рўйхатдан ўтказилиши лозим.
10. Ташкилотлар ахборотни шакллантириш, узатиш, сақлаш ва унга ишлов беришнинг барча босқичларида конфиденциал, шу жумладан банк сирини ташкил этувчи ва шахсга доир маълумотларни узлуксиз ҳимоя қилиш учун қуйидаги чораларни кўришлари лозим:
идентификация, аутентификация ва авторизация қилиш тизимини жорий этиш;
тизимга рухсатсиз киришнинг олдини олиш усулларини (логин, парол, кўп факторли аутентификация (KFA) ва бошқалар) қўллаш;
маълумотлар базаси администраторининг пароли камида 12 та белгидан кам бўлмаслигини таъминлаш, бунда паролнинг белгилари сифатида пастки ва юқори регистр ҳарфлари, рақамлар ва махсус белгилардан (@, #, $, &, % ва бошқалар) фойдаланиш;
ҳужжатлар ва идентификация маълумотларини қалбакилаштириш, рухсатсиз кўчириш, ўзгартириш, ўчириш ҳамда учинчи шахсларга тақдим этишдан ҳимоялаш;
ахборот тизимларидаги дастурий таъминотларнинг назорати ва ҳисобини юритиш ҳамда дастурий таъминот версиялари, аппарат-дастурий қурилмалар ва дастурий воситаларнинг узлуксиз ишлашини таъминлаш;
ахборот тизимларини актуал ҳолатда (охирги версияда) бўлишини таъминлаш, бунда дастурий таъминотнинг янги версиясини текширувдан ўтказгандан сўнг ахборот тизимига жорий этиш;
корпоратив тармоқда илова серверлари ва фойдаланувчилар ўртасидаги барча ахборот алмашинувини Transport Layer Security (TLS) протоколи (1.3 ёки ундан юқори версия) орқали амалга ошириш;
ахборот тизимларини асосий ва захира алоқа каналлари билан таъминлаш;
серверларда иш фаолияти учун зарур бўлмаган портларни ёпиш ва хизматларни тўхтатиш;
ахборот тизимига рухсатсиз кириш ёки ахборот хавфсизлиги ва киберхавфсизлик ҳодисалари содир этилганда, уларни таҳлил қилиш асосида ҳимоя тизимларини мустаҳкамлаб бориш чораларини кўриш;
ахборот тизимига ташқи ахборот тизимларини интеграция қилишда яратиладиган веб-сервис (WebAPI) методларидан фойдаланиш жараёнида авторизациядан ўтказиш учун берилган токен орқали ишлашни йўлга қўйиш.
10 1 . Ташкилот томонидан мижозларни идентификация ва аутентификация қилиш жараёнида фойдаланилган жисмоний шахсларнинг биометрик маълумотлари Ўзбекистон Республикаси ҳудудида сақланиши шарт.
Мижозга тегишли биометрик бўлмаган бошқа турдаги шахсга доир маълумотлар Ўзбекистон Республикаси «Шахсга доир маълумотлар тўғрисида»ги Қонунининг 27 1 -моддаси учинчи қисмига мувофиқ Ўзбекистон Республикаси ҳудудидан ташқарида сақланиши ва уларга ишлов берилиши мумкин.
11. Веб-сервис (WebAPI) методлари орқали ахборот тизимларига мурожаат қилувчи ташқи ахборот тизимлари фақат олдиндан аутентификациядан ўтган ва ишончли деб топилган фойдаланувчилар номидан, амал қилиш муддати тугамаган JWT (JSON Web Token) воситасида идентификация ва авторизация қилиниши шарт.
Веб-сервис томонидан қабул қилинадиган JWT токен қуйидаги талабларга жавоб бериши шарт:
1.3 ёки ундан юқори версиядаги TLS протоколи орқали узатилган бўлиши;
амал қилиш муддати 30 дақиқадан ошмаслиги;
RS256 ёки ES256 рақамли имзо алгоритмларидан фойдаланилган бўлиши;
мажбурий атрибутлари (iss, sub, aud, iat, exp, jti) тўлиқ ва тўғри кўрсатилган бўлиши.
12. Веб-сервис томонидан тақдим этилган JWT токеннинг ҳақиқийлиги, амал қилиш муддати ҳамда фойдаланувчининг роллари ва ваколатлари мажбурий равишда текширилиши лозим.
Токен яроқсиз, муддати тугаган ёки нотўғри бўлган ҳолларда сўров рад этилиши ва мос хатолик коди билан жавоб қайтарилиши шарт.
13. Рефреш-токен орқали янгиланган JWT токенлар мазкур Низомнинг 10 ва 11-бандларида кўрсатилган хавфсизлик талабларига тўлиқ мувофиқ бўлиши лозим.
Рефреш-токеннинг амал қилиш муддати 12 соатдан ошмаслиги шарт.
14. Аутентификация ва авторизация жараёнида фойдаланувчи 3 дақиқа давомида фаол эмаслиги аниқланса, тизим уни автоматик тарзда тизимдан чиқаради ҳамда унга тегишли барча токенлар дарҳол бекор қилинади (деактивация қилинади).
15. Веб-сервислар орқали ахборотга кириш фақат олдиндан белгиланган роллар ва ваколатлар доирасида амалга оширилиши лозим. Ҳар бир кириш ҳолати мажбурий равишда қайд этилиши шарт.
16. Алоқа каналлари орқали назорат қилинадиган ҳудуддан ташқарига чиқувчи конфиденциал ахборотлар Ўзбекистон Республикасида сертификатланган ахборотни криптографик ҳимоя қилиш воситалари билан шифрланиши зарур (қўшимча тармоқ ҳимоясини таъминлашда қўлланиладиган IPSec ва бошқа шу каби воситалар бундан мустасно).
Ахборот тизимларидан имтиёзли (администраторлик) фойдаланиш ҳуқуқига эга ходимларнинг масофавий уланиши фақат Privileged Access Management (PAM) тизими орқали амалга оширилиши лозим.
17. Ташкилот ахборот тизимларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш учун янги авлод тармоқлараро экранлар қурилмаларининг (next generation firewall) аппарат-дастурий воситаларини ҳамда тармоқдаги ҳужумларни аниқлаш ва олдини олиш учун тажовузларни аниқлаш ва олдини олиш тизимларини (IDS/IPS) жорий этиши лозим.
18. Платформани ташқи ахборот тизимига интеграция қилишда ўзаро маълумот алмашиш учун Ўзбекистон Республикасида сертификатланган ахборотни криптографик ҳимоя қилиш воситалари ёки ҳимояланган IPSec туннел орқали уланиш ҳамда улар орқали маълумот алмашинувини йўлга қўйиш лозим.
19. Ташкилот ахборот тизимларида фақат лицензияланган антивирус дастуридан фойдаланиши, уларнинг русумлари ва базалари актуаллиги ҳамда янгиланиб борилишини таъминлаш учун қуйидаги чораларни амалга ошириши шарт:
антивирус дастурларининг автоматик тарзда ишлашини таъминлаш;
интернет ва корпоратив тармоқлар орқали келган ахборотларни антивирус дастури орқали текшириш.
20. Платформани амалиётга жорий этишдан олдин унинг ишлаб чиқилган (модернизация қилинган) барча функцияларини тест-синов ишлари учун мўлжалланган серверларда тўлиқ текширувдан ўтказиш шарт.
21. Ахборот тизимининг узлуксиз ва барқарор ишлашини таъминлаш мақсадида қуйидаги чоралар кўрилиши лозим:
ахборот тизими билан боғлиқ тармоқ ва бошқа қурилмалар носоз ҳолатга келганда, уларни иш жараёнига келтириш ва узлуксиз ишлашини таъминлаш;
техник носозликларда ва фавқулодда вазиятлар юз берганда маълумотларнинг захирага олинган (backup) нусхаларини қайта тиклаш режасини ишлаб чиқиш;
операцион тизимлар, дастурий таъминотлар, ахборот тизимларининг дастурлари, маълумотлар (маълумотлар базаси, созламалари, электрон баённомалар) нусхаларини захирага (backup) олиш ва электрон архивда сақлаш ҳамда уларни қайта тиклаш тартибини (механизмини) ишлаб чиқиш, амалга ошириш ва уларнинг ҳисобини юритиш ҳамда назоратини олиб бориш.
22. Ахборот тизими маълумотларига кириш, қайта ишлаш, уларни сақлаш, тақдим этиш жараёни ҳамда АКТ-инфратузилмаси, ахборот тизими администратори ва фойдаланувчиларининг ҳаракатлари (IP-манзил, MAC-манзил) тўғрисидаги маълумотлар электрон баённомаларда (log-fayl) автоматик тарзда шакллантирилиши ҳамда ушбу электрон баённомалар камида беш йил давомида сақланиши лозим.
23. Платформа фаолияти тугатилганда, унда мавжуд электрон архив маълумотлари давлат архивларига топширилади.
24. Платформа бошқа тадбиркорлик субъектига ўтказилганда, архив маълумотлар ўтказилаётган тадбиркорлик субъектининг электрон архивига топширилади.
25. Платформани ташқи ахборот тизимлари билан интеграция қилиш ахборот хавфсизлиги ва киберхавфсизликни таъминлаш талабларга мувофиқ ҳолда ташкил этилиши зарур.
26. Платформа ҳамда АКТ-инфратузилмасини техник қўллаб-қувватлаш Ўзбекистон Республикаси ҳудудидан ташқаридаги аутсорсинг ташкилотлари хизматига берилмайди.
27. Платформа ҳамда АКТ-инфратузилмасида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш ишлари аутсорсинг ташкилотлари хизматига берилмайди.
28. Ташкилотлар Ўзбекистон Республикаси Марказий банки (бундан буён матнда Марказий банк деб юритилади) билан ахборот алмашинувида ахборот хавфсизлиги ва киберхавфсизликни таъминлаши шарт.
29. Ташкилотлар ахборот тизимларида ахборот хавфсизлиги ва киберхавфсизликнинг таъминланганлик даражасини ҳар йили мустақил IT-аудит орқали баҳолашлари шарт. IT-аудит ўтган ҳисобот даври учун жорий йилнинг биринчи ярим йиллигида амалга оширилади.
IT-аудит натижалари ҳужжатлаштирилиши ва камида беш йил давомида ташкилотда сақланиши лозим.
30. Ташкилотлар ахборот тизимидаги ахборот хавфсизлиги ва киберхавфсизлик талабларининг бузилиши билан боғлиқ ҳодисалар тўғрисида Марказий банкка зудлик билан ёзма ёки электрон шаклда хабар бериши лозим.
31. Ташкилотлар платформа фойдаланувчилари томонидан фирибгарлик ҳолатлари юзага келишини олдини олиш бўйича ташкилий ва техник чораларни белгилаш ҳамда уларни назорат қилишга мажбурдир.
32. Ташкилотлар платформада фирибгарлик ҳолатлари аниқланган тақдирда, бир кун муддатда таҳлил қилинган тўлиқ маълумотларни Марказий банк «CERT-CBU» киберхавфсизлик марказига тақдим этиши лозим.
4-боб. Якуний қоида
33. Мазкур Низом талабларининг бузилишида айбдор бўлган шахслар қонунчилик ҳужжатларида белгиланган тартибда жавобгар бўладилар.
Раис Т. ИШМЕТОВ
Давлат хавфсизлик хизмати раиси Б. КУРБАНОВ
Рақамли технологиялар вазири Ш. ШЕРМАТОВ
Тошкент ш.,
2025 йил 16 июль,
2025 йил 4 июль
2025 йил 23 июнь
16/2-сон
Oʻzbekiston Respublikasi Markaziy banki boshqaruvining
qarori
NIZOM
Faktoring elektron platformalarining axborot tizimlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha minimal talablar toʻgʻrisidagi nizomni tasdiqlash haqida
Oʻzbekiston Respublikasining “Oʻzbekiston Respublikasining Markaziy banki toʻgʻrisida”gi Qonuni hamda Oʻzbekiston Respublikasi Prezidentining 2024-yil 12-avgustdagi PF-109-son “Faktoring xizmatlari bozorini jadal rivojlantirish chora-tadbirlari toʻgʻrisida”gi Farmoniga muvofiq Oʻzbekiston Respublikasi Markaziy bank boshqaruvi qaror qiladi:
1. Faktoring elektron platformalarining axborot tizimlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha minimal talablar toʻgʻrisidagi nizom ilovaga muvofiq tasdiqlansin.
2. Mazkur qaror Oʻzbekiston Respublikasi Davlat xavfsizlik xizmati hamda Raqamli texnologiyalar vazirligi bilan kelishilgan.
3. Mazkur qaror rasmiy eʼlon qilingan kundan eʼtiboran uch oydan keyin kuchga kiradi.
Kelishildi:
Oʻzbekiston Respublikasi Markaziy banki boshqaruvining 2025-yil 16-iyuldagi 16/2-son qaroriga ILOVA
Faktoring elektron platformalarining axborot tizimlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha minimal talablar toʻgʻrisidagi
Mazkur Nizom kredit tashkiloti boʻlmagan yuridik shaxslar (bundan buyon matnda tashkilot deb yuritiladi) tomonidan tashkil etiladigan faktoring elektron platformalarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash hamda ularni IT-auditdan oʻtkazish boʻyicha minimal talablarni belgilaydi.
1-bob. Umumiy qoidalar
1. Mazkur Nizomda quyidagi asosiy tushunchalardan foydalaniladi:
autentifikatsiya — foydalanuvchi, dastur, qurilma yoki maʼlumotlarning haqiqiyligini tasdiqlash tartib-taomili;
axborot tizimi — axborotni toʻplash, saqlash, izlash, unga ishlov berish hamda undan foydalanish imkonini beradigan, tashkiliy jihatdan tartibga solingan jami axborot resurslari, axborot texnologiyalari va aloqa vositalari;
axborot xavfsizligi — axborot sohasida shaxs, jamiyat va davlat manfaatlarining himoyalanganlik holati;
faktoring elektron platformasi (bundan buyon matnda platforma deb yuritiladi) — Internet butunjahon axborot tarmogʻida joylashtirilgan, faktoring (pul talabnomasidan boshqa shaxs foydasiga voz kechish evaziga moliyalash) bozori ishtirokchilari (moliya agentlari, mijozlar va debitorlar) oʻrtasida yuridik ahamiyatga ega boʻlgan munosabat hamda elektron hujjat almashinuvini tashkil etishga qaratilgan axborot tizimi;
identifikatsiya — foydalanuvchilarning shaxsini aniqlash maqsadida ularga identifikator (noyob nomlar) tayinlash yoki tayinlangan identifikatorlarni (noyob nomlar) identifikatorlar roʻyxati bilan solishtirish;
IT-audit — axborot texnologiyalari, avtomatlashtirilgan boshqaruv tizimlari hamda maʼlumotlarni qayta ishlash infratuzilmasining ishonchliligi, amaldagi qonunchilik hujjatlari va standartlarga muvofiqligi, shuningdek axborot xavfsizligi va kiberxavfsizlikning taʼminlanganlik darajasini aniqlash maqsadida amalga oshiriladigan mustaqil baholash jarayonlari;
kiberxavfsizlik — kibermakonda shaxs, jamiyat va davlat manfaatlarining tashqi va ichki tahdidlardan himoyalanganlik holati;
shaxsga doir maʼlumotlar — muayyan jismoniy shaxsga taalluqli boʻlgan yoki uni identifikatsiya qilish imkonini beradigan, elektron tarzda, qogʻozda va (yoki) boshqa moddiy jismda qayd etilgan axborot.
2-bob. Axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha amalga oshiriladigan tashkiliy choralar
2. Tashkilotlar platformani taʼminlaydigan axborot tizimlari (bundan buyon matnda axborot tizimlari deb yuritiladi) hamda resurslarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash maqsadida:
a) axborot xavfsizligi siyosatini ishlab chiqadi va tasdiqlaydi. Bunda:
axborot tizimlari va resurslarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha talablar belgilanishi;
belgilangan talablar tashkilotning har bir xodimiga tanishtirilishi hamda ushbu talablarga xodimlarning qatʼiy rioya qilishi taʼminlanishi lozim;
b) axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha masʼul xodimni (bundan buyon matnda masʼul xodim deb yuritiladi) tayinlaydi;
c) konfidensial, shu jumladan bank sirini tashkil etuvchi va shaxsga doir maʼlumotlarning daxlsizligini taʼminlaydi hamda ulardan foydalanish tartibini ishlab chiqadi. Bunda, ushbu tartibda:
konfidensial, shu jumladan bank sirini tashkil etuvchi va shaxsga doir maʼlumotlar bilan ishlashda xavfsizlik, konfidensiallik va yaxlitlikni taʼminlash boʻyicha talab va qoidalarni ishlab chiqish;
xodimlar bilan konfidensial, shu jumladan bank sirini tashkil etuvchi va shaxsga doir maʼlumotlar oshkor etilishining oldini olish boʻyicha majburiyatnomalar (shartnomalar) tuzish va ushbu maʼlumotlardan foydalanish huquqlarini xodimlarning lavozim majburiyatlaridan kelib chiqib belgilash;
konfidensial maʼlumotlar roʻyxatini shakllantirish va tasdiqlash;
konfidensial maʼlumotlar bilan ishlashga ruxsat berilgan xodimlar roʻyxatini shakllantirish va tasdiqlash;
konfidensial maʼlumotlar bilan ishlash tartibini ishlab chiqish va tasdiqlash;
tashqi saqlovchi qurilmalar va texnik vositalarni nazorat qilinadigan hududdan tashqariga ruxsatsiz olib chiqilishini oldini olish choralari nazarda tutilishi lozim;
d) axborot tizimlarida yuzaga keladigan xavflarni baholash hamda boshqarish boʻyicha talablarni belgilaydi;
e) axborot tizimlarida yuzaga kelgan yoki kelishi mumkin boʻlgan toʻxtalishlar, uzilishlar, axborot xavfsizligi va kiberxavfsizlik hodisalarini aniqlash, oldini olish, bartaraf etish va ular toʻgʻrisidagi maʼlumotlarni saqlash hamda roʻyxatini yuritish tartibini ishlab chiqadi.
3. Masʼul xodim oʻz faoliyatida:
axborot tizimlari va resurslarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha belgilangan talablarning tashkilot boʻlinmalari va xodimlar tomonidan bajarilishini nazorat qilishi;
axborot xavfsizligi va kiberxavfsizlikni taʼminlash tizimini tashkil qilishi;
ish jarayonida xodimlarga konfidensial, shu jumladan bank sirini tashkil etuvchi va shaxsga doir maʼlumotlarni sir saqlash majburiyati va oʻz majburiyatlarini buzganligi uchun javobgarligi toʻgʻrisida tushuntirish ishlarini olib borishi hamda ushbu maʼlumotlar saqlanishini nazorat qilishi;
axborot tizimlariga oʻzgartirishlar kiritilishini nazorat qilishi;
foydalanuvchilarning axborot resurslarida ishlash huquqlari va chegaralarini belgilashni tashkil etishi;
axborot tizimlariga kirishni nazorat qilishi;
axborot tizimlari va axborot resurslaridan ruxsatsiz foydalanishni cheklashi;
axborot xavfsizligi va kiberxavfsizlikni taʼminlash yuzasidan ichki meʼyoriy hujjatlarni ishlab chiqishi;
axborot xavfsizligi va kiberxavfsizlikni taʼminlash masalalarida rahbariyatga takliflar berishi;
axborotning saqlanishi ustidan umumiy nazoratni tashkil etishni taʼminlashi kerak.
4. Tashkilotlar tizimli ravishda axborot xavfsizligi va kiberxavfsizlikni taʼminlash sohasiga ixtisoslashgan oʻquv kurslarida masʼul xodimlarni oʻqitish ishlarini tashkil etishi lozim.
3-bob. Axborot xavfsizligi va kiberxavfsizlikni taʼminlash hamda IT-audit oʻtkazishga doir minimal talablar
5. Tashkilotlar oʻz faoliyatida axborot xavfsizligi va kiberxavfsizlikni taʼminlashda axborot tizimlari va resurslarida yuzaga kelishi mumkin boʻlgan axborot xavfsizligi va kiberxavfsizlik hodisalarini aniqlash, oldini olish va bartaraf etish choralarini koʻrishlari lozim.
6. Foydalanuvchilarning platformaga kirishi himoyalangan protokollardan foydalangan holda Internet butunjahon axborot tarmogʻi orqali amalga oshiriladi.
Foydalanuvchi va server oʻrtasidagi barcha oʻzaro axborot almashinuvi faqat himoyalangan Transport Layer Security (TLS) protokolidan (1.3 yoki undan yuqori versiya) foydalangan holda amalga oshirilishi shart.
7. Platforma foydalanuvchilari oʻrtasida almashinadigan maʼlumotlar va hujjatlarning haqqoniyligini tasdiqlash elektron raqamli imzo kalitlari orqali amalga oshiriladi.
8. Platforma Oʻzbekiston Respublikasida joylashgan va Tactically Integrated Emergency Response (TIER) talablariga javob beruvchi maʼlumotlarni qayta ishlash markazlari yoki tashkilotning server xonalarida joylashtiriladi.
9. Tashkilotlarning shaxsga doir maʼlumotlar bazasi Shaxsga doir maʼlumotlar bazalarining davlat reyestrida roʻyxatdan oʻtkazilishi lozim.
10. Tashkilotlar axborotni shakllantirish, uzatish, saqlash va unga ishlov berishning barcha bosqichlarida konfidensial, shu jumladan bank sirini tashkil etuvchi va shaxsga doir maʼlumotlarni uzluksiz himoya qilish uchun quyidagi choralarni koʻrishlari lozim:
identifikatsiya, autentifikatsiya va avtorizatsiya qilish tizimini joriy etish;
tizimga ruxsatsiz kirishning oldini olish usullarini (login, parol, koʻp faktorli autentifikatsiya (KFA) va boshqalar) qoʻllash;
maʼlumotlar bazasi administratorining paroli kamida 12 ta belgidan kam boʻlmasligini taʼminlash, bunda parolning belgilari sifatida pastki va yuqori registr harflari, raqamlar va maxsus belgilardan (@, #, $, &, % va boshqalar) foydalanish;
hujjatlar va identifikatsiya maʼlumotlarini qalbakilashtirish, ruxsatsiz koʻchirish, oʻzgartirish, oʻchirish hamda uchinchi shaxslarga taqdim etishdan himoyalash;
axborot tizimlaridagi dasturiy taʼminotlarning nazorati va hisobini yuritish hamda dasturiy taʼminot versiyalari, apparat-dasturiy qurilmalar va dasturiy vositalarning uzluksiz ishlashini taʼminlash;
axborot tizimlarini aktual holatda (oxirgi versiyada) boʻlishini taʼminlash, bunda dasturiy taʼminotning yangi versiyasini tekshiruvdan oʻtkazgandan soʻng axborot tizimiga joriy etish;
korporativ tarmoqda ilova serverlari va foydalanuvchilar oʻrtasidagi barcha axborot almashinuvini Transport Layer Security (TLS) protokoli (1.3 yoki undan yuqori versiya) orqali amalga oshirish;
axborot tizimlarini asosiy va zaxira aloqa kanallari bilan taʼminlash;
serverlarda ish faoliyati uchun zarur boʻlmagan portlarni yopish va xizmatlarni toʻxtatish;
axborot tizimiga ruxsatsiz kirish yoki axborot xavfsizligi va kiberxavfsizlik hodisalari sodir etilganda, ularni tahlil qilish asosida himoya tizimlarini mustahkamlab borish choralarini koʻrish;
axborot tizimiga tashqi axborot tizimlarini integratsiya qilishda yaratiladigan veb-servis (WebAPI) metodlaridan foydalanish jarayonida avtorizatsiyadan oʻtkazish uchun berilgan token orqali ishlashni yoʻlga qoʻyish.
10 1 . Tashkilot tomonidan mijozlarni identifikatsiya va autentifikatsiya qilish jarayonida foydalanilgan jismoniy shaxslarning biometrik maʼlumotlari Oʻzbekiston Respublikasi hududida saqlanishi shart.
Mijozga tegishli biometrik boʻlmagan boshqa turdagi shaxsga doir maʼlumotlar Oʻzbekiston Respublikasi “Shaxsga doir maʼlumotlar toʻgʻrisida”gi Qonunining 27 1 -moddasi uchinchi qismiga muvofiq Oʻzbekiston Respublikasi hududidan tashqarida saqlanishi va ularga ishlov berilishi mumkin.
11. Veb-servis (WebAPI) metodlari orqali axborot tizimlariga murojaat qiluvchi tashqi axborot tizimlari faqat oldindan autentifikatsiyadan oʻtgan va ishonchli deb topilgan foydalanuvchilar nomidan, amal qilish muddati tugamagan JWT (JSON Web Token) vositasida identifikatsiya va avtorizatsiya qilinishi shart.
Veb-servis tomonidan qabul qilinadigan JWT token quyidagi talablarga javob berishi shart:
1.3 yoki undan yuqori versiyadagi TLS protokoli orqali uzatilgan boʻlishi;
amal qilish muddati 30 daqiqadan oshmasligi;
RS256 yoki ES256 raqamli imzo algoritmlaridan foydalanilgan boʻlishi;
majburiy atributlari (iss, sub, aud, iat, exp, jti) toʻliq va toʻgʻri koʻrsatilgan boʻlishi.
12. Veb-servis tomonidan taqdim etilgan JWT tokenning haqiqiyligi, amal qilish muddati hamda foydalanuvchining rollari va vakolatlari majburiy ravishda tekshirilishi lozim.
Token yaroqsiz, muddati tugagan yoki notoʻgʻri boʻlgan hollarda soʻrov rad etilishi va mos xatolik kodi bilan javob qaytarilishi shart.
13. Refresh-token orqali yangilangan JWT tokenlar mazkur Nizomning 10 va 11-bandlarida koʻrsatilgan xavfsizlik talablariga toʻliq muvofiq boʻlishi lozim.
Refresh-tokenning amal qilish muddati 12 soatdan oshmasligi shart.
14. Autentifikatsiya va avtorizatsiya jarayonida foydalanuvchi 3 daqiqa davomida faol emasligi aniqlansa, tizim uni avtomatik tarzda tizimdan chiqaradi hamda unga tegishli barcha tokenlar darhol bekor qilinadi (deaktivatsiya qilinadi).
15. Veb-servislar orqali axborotga kirish faqat oldindan belgilangan rollar va vakolatlar doirasida amalga oshirilishi lozim. Har bir kirish holati majburiy ravishda qayd etilishi shart.
16. Aloqa kanallari orqali nazorat qilinadigan hududdan tashqariga chiquvchi konfidensial axborotlar Oʻzbekiston Respublikasida sertifikatlangan axborotni kriptografik himoya qilish vositalari bilan shifrlanishi zarur (qoʻshimcha tarmoq himoyasini taʼminlashda qoʻllaniladigan IPSec va boshqa shu kabi vositalar bundan mustasno).
Axborot tizimlaridan imtiyozli (administratorlik) foydalanish huquqiga ega xodimlarning masofaviy ulanishi faqat Privileged Access Management (PAM) tizimi orqali amalga oshirilishi lozim.
17. Tashkilot axborot tizimlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash uchun yangi avlod tarmoqlararo ekranlar qurilmalarining (next generation firewall) apparat-dasturiy vositalarini hamda tarmoqdagi hujumlarni aniqlash va oldini olish uchun tajovuzlarni aniqlash va oldini olish tizimlarini (IDS/IPS) joriy etishi lozim.
18. Platformani tashqi axborot tizimiga integratsiya qilishda oʻzaro maʼlumot almashish uchun Oʻzbekiston Respublikasida sertifikatlangan axborotni kriptografik himoya qilish vositalari yoki himoyalangan IPSec tunnel orqali ulanish hamda ular orqali maʼlumot almashinuvini yoʻlga qoʻyish lozim.
19. Tashkilot axborot tizimlarida faqat litsenziyalangan antivirus dasturidan foydalanishi, ularning rusumlari va bazalari aktualligi hamda yangilanib borilishini taʼminlash uchun quyidagi choralarni amalga oshirishi shart:
antivirus dasturlarining avtomatik tarzda ishlashini taʼminlash;
internet va korporativ tarmoqlar orqali kelgan axborotlarni antivirus dasturi orqali tekshirish.
20. Platformani amaliyotga joriy etishdan oldin uning ishlab chiqilgan (modernizatsiya qilingan) barcha funksiyalarini test-sinov ishlari uchun moʻljallangan serverlarda toʻliq tekshiruvdan oʻtkazish shart.
21. Axborot tizimining uzluksiz va barqaror ishlashini taʼminlash maqsadida quyidagi choralar koʻrilishi lozim:
axborot tizimi bilan bogʻliq tarmoq va boshqa qurilmalar nosoz holatga kelganda, ularni ish jarayoniga keltirish va uzluksiz ishlashini taʼminlash;
texnik nosozliklarda va favqulodda vaziyatlar yuz berganda maʼlumotlarning zaxiraga olingan (backup) nusxalarini qayta tiklash rejasini ishlab chiqish;
operatsion tizimlar, dasturiy taʼminotlar, axborot tizimlarining dasturlari, maʼlumotlar (maʼlumotlar bazasi, sozlamalari, elektron bayonnomalar) nusxalarini zaxiraga (backup) olish va elektron arxivda saqlash hamda ularni qayta tiklash tartibini (mexanizmini) ishlab chiqish, amalga oshirish va ularning hisobini yuritish hamda nazoratini olib borish.
22. Axborot tizimi maʼlumotlariga kirish, qayta ishlash, ularni saqlash, taqdim etish jarayoni hamda AKT-infratuzilmasi, axborot tizimi administratori va foydalanuvchilarining harakatlari (IP-manzil, MAC-manzil) toʻgʻrisidagi maʼlumotlar elektron bayonnomalarda (log-fayl) avtomatik tarzda shakllantirilishi hamda ushbu elektron bayonnomalar kamida besh yil davomida saqlanishi lozim.
23. Platforma faoliyati tugatilganda, unda mavjud elektron arxiv maʼlumotlari davlat arxivlariga topshiriladi.
24. Platforma boshqa tadbirkorlik subyektiga oʻtkazilganda, arxiv maʼlumotlar oʻtkazilayotgan tadbirkorlik subyektining elektron arxiviga topshiriladi.
25. Platformani tashqi axborot tizimlari bilan integratsiya qilish axborot xavfsizligi va kiberxavfsizlikni taʼminlash talablarga muvofiq holda tashkil etilishi zarur.
26. Platforma hamda AKT-infratuzilmasini texnik qoʻllab-quvvatlash Oʻzbekiston Respublikasi hududidan tashqaridagi autsorsing tashkilotlari xizmatiga berilmaydi.
27. Platforma hamda AKT-infratuzilmasida axborot xavfsizligi va kiberxavfsizlikni taʼminlash ishlari autsorsing tashkilotlari xizmatiga berilmaydi.
28. Tashkilotlar Oʻzbekiston Respublikasi Markaziy banki (bundan buyon matnda Markaziy bank deb yuritiladi) bilan axborot almashinuvida axborot xavfsizligi va kiberxavfsizlikni taʼminlashi shart.
29. Tashkilotlar axborot tizimlarida axborot xavfsizligi va kiberxavfsizlikning taʼminlanganlik darajasini har yili mustaqil IT-audit orqali baholashlari shart. IT-audit oʻtgan hisobot davri uchun joriy yilning birinchi yarim yilligida amalga oshiriladi.
IT-audit natijalari hujjatlashtirilishi va kamida besh yil davomida tashkilotda saqlanishi lozim.
30. Tashkilotlar axborot tizimidagi axborot xavfsizligi va kiberxavfsizlik talablarining buzilishi bilan bogʻliq hodisalar toʻgʻrisida Markaziy bankka zudlik bilan yozma yoki elektron shaklda xabar berishi lozim.
31. Tashkilotlar platforma foydalanuvchilari tomonidan firibgarlik holatlari yuzaga kelishini oldini olish boʻyicha tashkiliy va texnik choralarni belgilash hamda ularni nazorat qilishga majburdir.
32. Tashkilotlar platformada firibgarlik holatlari aniqlangan taqdirda, bir kun muddatda tahlil qilingan toʻliq maʼlumotlarni Markaziy bank “CERT-CBU” kiberxavfsizlik markaziga taqdim etishi lozim.
4-bob. Yakuniy qoida
33. Mazkur Nizom talablarining buzilishida aybdor boʻlgan shaxslar qonunchilik hujjatlarida belgilangan tartibda javobgar boʻladilar.
Rais T. ISHMETOV
Davlat xavfsizlik xizmati raisi B. KURBANOV
Raqamli texnologiyalar vaziri Sh. SHERMATOV
Toshkent sh.,
2025-yil 16-iyul,
2025-yil 4-iyul
2025-yil 23-iyun
16/2-son