UzbekAI

ЎЗБЕКИСТОН РЕСПУБЛИКАСИ МАРКАЗИЙ БАНКИ БОШҚАРУВИНИНГ

ҚАРОРИ

НИЗОМ

Кредит ва тўлов ташкилотлари, тўлов тизими операторлари томонидан жисмоний шахсларга масофадан молиявий хизматлар кўрсатишда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш ҳамда фрод ҳолатларининг олдини олиш бўйича минимал талаблар тўғрисидаги низомни тасдиқлаш ҳақида

Ўзбекистон Республикасининг «Ўзбекистон Республикасининг Марказий банки тўғрисида»ги Қонунига мувофиқ Ўзбекистон Республикаси Марказий банки бошқаруви қарор қилади:

1. Кредит ва тўлов ташкилотлари, тўлов тизими операторлари томонидан жисмоний шахсларга масофадан молиявий хизматлар кўрсатишда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш ҳамда фрод ҳолатларининг олдини олиш бўйича минимал талаблар тўғрисидаги низом иловага мувофиқ тасдиқлансин.

2. Мазкур қарор Ўзбекистон Республикаси Бош прокуратураси, Давлат хавфсизлик хизмати, Рақамли технологиялар вазирлиги ва Ички ишлар вазирлиги билан келишилган.

3. Мазкур қарор расмий эълон қилинган кундан эътиборан уч ойдан кейин кучга киради.

Келишилди:

Ўзбекистон Республикаси Марказий банки бошқарувининг 2025 йил 23 декабрдаги 35/14-сон қарорига ИЛОВА

Кредит ва тўлов ташкилотлари, тўлов тизими операторлари томонидан жисмоний шахсларга масофадан молиявий хизматлар кўрсатишда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш ҳамда фрод ҳолатларининг олдини олиш бўйича минимал талаблар тўғрисидаги

Мазкур Низом кредит ва тўлов ташкилотлари, тўлов тизими операторлари томонидан жисмоний шахсларга масофадан молиявий хизматлар кўрсатишда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш ҳамда фрод ҳолатларининг олдини олиш бўйича минимал талабларни белгилайди.

1-боб. Умумий қоидалар

1. Мазкур Низомда белгиланган талаблар минимал ҳисобланиб, кредит ва тўлов ташкилотлари, тўлов тизими операторлари ўзининг ички қоидаларига асосан ўз мижозларини фрод ҳолатларидан ҳимоя қилиш бўйича қўшимча ташкилий ва техник чора-тадбирларни амалга ошириши мумкин.

2. Ушбу Низомда қуйидаги асосий тушунчалар қўлланилади:

ахборот хавфсизлиги — ахборот соҳасида шахс, жамият ва давлат манфаатларининг ҳимояланганлик ҳолати;

аутентификация — фойдаланувчи, дастур, қурилма ёки маълумотларнинг ҳақиқийлигини тасдиқлаш тартиб-таомили;

биометрик идентификация — битта жисмоний шахс билан боғланган биометрик идентификатор(лар)ни топиш ва қайтариш учун биометрик рўйхатга олишлар маълумотлар базасидан қидириш жараёни;

фрод ҳолатлари — ахборот технологияларидан фойдаланиб содир этилган фирибгарлик ва (ёки) ўғрилик ҳолатлари;

ҳисобга олиш ёзуви (аккаунт) — фойдаланувчининг ахборот тизимидаги шахсий қайдномаси. У фойдаланувчига тизимдаги маълум ресурслар ва хизматлардан фойдаланиш имкониятини беради;

идентификатор — объектни тавсифловчи ва уни бошқа кўплаб объектлар орасида ажратиб кўрсатиш имконини берувчи код ёки рамзий ном;

идентификация — фойдаланувчиларнинг шахсини аниқлаш мақсадида уларга идентификатор (ноёб номлар) тайинлаш ёки тайинланган идентификаторларни (ноёб номлар) идентификаторлар рўйхати билан солиштириш;

киберхавфсизлик — кибермаконда шахс, жамият ва давлат манфаатларининг ташқи ва ички таҳдидлардан ҳимояланганлик ҳолати;

онлайн кредит (микроқарз) — кредит ташкилотлари томонидан жисмоний шахс бўлган қарз олувчига тўловлилик, муддатлилик ва қайтариш шартлари асосида масофадан молиявий хизматларни кўрсатувчи ахборот тизимлари орқали бериладиган пул маблағлари;

OTP kod (One-Time Password) — бу фойдаланувчининг шахсини идентификация қилиш ёки аутентификациядан ўтказиш жараёнида қўлланиладиган, фақат битта аутентификация сессияси ёки амалий операция учун мўлжалланган, автоматик тарзда яратиладиган бир марталик тасдиқлаш коди;

PUSH -хабар — фойдаланувчининг мобил иловасига автоматик равишда тўғридан тўғри юбориладиган хабар;

сессия — фойдаланувчининг тизим, дастур ёки веб-сайт билан ўзаро алоқада бўлган вақт оралиғи;

SDK (Software Development Kit) — бу муайян операцион тизим, дастурий муҳит ёки хизмат билан интеграциялашган ҳолда янги дастурий маҳсулотлар (иловалар, функциялар ёки модуллар)ни ишлаб чиқиш, тест қилиш ва интеграциялаш имконини берувчи дастурий воситалар, кутубхоналар, интерфейслар ( API ), ҳужжатлар, намунавий кодлар ва бошқа ёрдамчи ресурслар мажмуасидан иборат тўплам;

масофадан молиявий хизматлар кўрсатиш — кредит ва тўлов ташкилотлари томонидан жисмоний шахсларга масофадан молиявий хизматларни кўрсатувчи ахборот тизимлари (мобил иловалар, веб-ресурс ва бошқалар) орқали нақд пулсиз шаклда молиявий хизматларни тақдим этиш жараёни;

3. Кредит ва тўлов ташкилотлари масофадан молиявий хизматлар кўрсатишда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш ҳамда фрод ҳолатларининг олдини олиш бўйича қонунчиликда белгиланган талабларнинг бузилиш ҳолатлари тўғрисида Ўзбекистон Республикаси Марказий банкига (бундан буён матнда Марказий банк деб юритилади) зудлик билан ёзма ёки электрон шаклда маълумот бериши лозим.

4. Кредит ва тўлов ташкилотлари янги масофадан молиявий хизматларни кўрсатувчи ахборот тизимини киберхавфсизлик талабларига мувофиқлиги юзасидан қонунчиликда белгиланган тартибда экспертизадан ўтказиши лозим.

Кредит ва тўлов ташкилотларининг ахборот хавфсизлиги ва киберхавфсизликни таъминлаш хизмати олинган экспертиза хулосаси асосида масофадан молиявий хизматларни кўрсатувчи ахборот тизимининг киберхавфсизликни таъминлашга доир таваккалчиликларни баҳолаши ҳамда ижобий натижага эришганидан кейин амалиётга жорий этиши шарт.

2-боб. Фойдаланувчини идентификация ва аутентификация қилиш

5. Кредит ва тўлов ташкилотлари масофадан молиявий хизматларни кўрсатувчи ахборот тизимлари, веб-ресурслар ва мобил иловаларида фойдаланувчиларни рўйхатдан ўтказиш жараёнида қуйидаги талабларга риоя этишлари шарт:

фойдаланувчини рўйхатдан ўтказиш ва банк картасини мобил иловага бириктириш жараёнларини алоҳида аутентификация орқали амалга ошириш;

фойдаланувчининг телефон рақами ва жисмоний шахснинг шахсий идентификация рақами (бундан буён матнда ЖШШИР деб юритилади) мос келишини текшириш, мослик аниқланмаган тақдирда мобил иловада рўйхатдан ўтказиш ва (ёки) банк картасини бириктиришга йўл қўймаслик ҳамда бу ҳақда фойдаланувчига СМС-хабарнома орқали хабар юбориш;

фойдаланувчи тизимда рўйхатдан ўтгандан сўнг мобил иловадаги ҳисобга олиш ёзувига (аккаунтга) логин ва паролни қайтадан териб, телефон рақамига юборилган OTP кодни киритган ҳолда аутентификациядан ўтишини таъминлаш;

фойдаланувчининг ҳисобга олиш ёзуви (аккаунти) тизимда рўйхатдан ўтгандан сўнг, фойдаланувчининг фаол сессияси ҳисобга олиш ёзувидан (аккаунтдан) чиқариб юборилиши ва фойдаланувчи мобил иловага банк картасини алоҳида ОТП-кодни киритиб, биометрик идентификациядан ўтган ҳолда бириктиришини таъминлаш;

фойдаланувчининг телефон рақами ва у бириктирмоқчи бўлган банк картасининг СМС-хабарнома хизматига уланган телефон рақами бир-биридан фарқ қилганда банк картасини бириктириш жараёнини тўхтатиш ва мобил иловада фойдаланувчига мазкур ҳолат тўғрисида PUSH -хабар юбориш;

ОТП кодининг белгилари сони 6 тадан кам бўлмаслиги, рақамлар ва лотин алифбосидаги харфлар бирикмасидан иборат бўлиши (А — З, а — з, 0 — 9), амал қилиш муддати 59 сониядан ошмаслиги ҳамда у 3 маротаба нотўғри киритилганда автоматик тарзда ўз кучини йўқотишини таъминлаш;

ОТП кодни 3 маротаба нотўғри киритган фойдаланувчининг тизимдаги ҳаракатларини 15 дақиқа давомида вақтинча чеклаш, кейинги чекловларни ички қоидалардан келиб чиқиб белгилаш ҳамда ҳолат ҳақида фойдаланувчига СМС-хабарнома орқали хабар бериш.

6. Кредит ва тўлов ташкилотлари фойдаланувчиларни масофадан биометрик идентификациядан ўтказишда ҳаётийлик факторларини ( liveness detection ) аниқлаш функциясига эга ҳамда ушбу функцияси реал вақт режимида фаол ишлайдиган биометрик идентификация тизимидан фойдаланишлари шарт.

Кредит ва тўлов ташкилотлари масофадан молиявий хизматларни кўрсатувчи ахборот тизимларига кириш учун фойдаланувчиларни масофадан биометрик идентификациядан ўтказиш вазифасини мазкур фаолият билан шуғулланувчи ташкилотларга топширган тақдирда улар билан тузиладиган шартномаларга ушбу ташкилотларнинг ахборот тизимида юзага келган заифлик ёки носозликлар оқибатида фойдаланувчиларга етказилган моддий зарарлар уларнинг ҳисобидан қопланишига доир талабларни киритиши лозим.

7. Мобил иловада рўйхатдан ўтган фойдаланувчи ҳисобга олиш ёзувига (аккаунтга) фақат ушбу шахсга (яқин қариндошларни истисно қилган ҳолда) тегишли бўлган банк ҳисобварағи, банк картаси ва электрон ҳамёнларни бириктиришга ҳамда ушбу ҳисобга олиш ёзуви (аккаунт) орқали жисмоний шахслар ўртасида нақд пулсиз ўтказмаларни (бундан буён матнда П2П ўтказмалар деб юритилади) амалга оширишга рухсат берилади.

Бунда, яқин қариндошларга қариндош ёки қуда томондан қариндош бўлган шахслар, яъни ота-она, туғишган ва ўгай ака-ука ва опа-сингиллар, эр-хотин, фарзанд, шу жумладан фарзандликка олинганлар, бобо, буви, неваралар, шунингдек эр-хотиннинг ота-онаси, туғишган ва ўгай ака-ука ва опа-сингиллари киради.

8. Барча П2П ўтказмалари OTP код билан тасдиқланган ҳолда амалга оширилиши лозим. Веб-сайтлар орқали П2П ўтказмаларни амалга ошириш мумкин эмас.

9. Онлайн кредит (микроқарз) ва омонатлар билан боғлиқ операциялар ҳамда П2П ўтказмаларини тасдиқлаш учун юбориладиган OTP кодлар фойдаланувчининг рўйхатдан (аутенфикациядан) ўтган, OTP код келиб тушган қурилмасида амал қилиши ва бошқа қурилмаларда қўлланишининг олди олиниши лозим.

10. Мавжуд ҳисобга олиш ёзувига (аккаунтга) кириш, паролини тиклаш ёки бошқа қурилмадан кириш, рўйхатдан ўтиш ва банк картасини бириктириш жараёнлари фақатгина биометрик идентификациядан ўтган ҳолда амалга оширилиши лозим.

11. Мавжуд ҳисобга олиш ёзувига (аккаунтга) бошқа қурилмадан кириш ёки унинг паролини қайта тиклаш жараёнида ушбу аккаунтга боғланган барча банк карталари мобил иловадан автоматик тарзда чиқариб юборилиши ҳамда ушбу қурилмада банк карталари бўйича молиявий операциялар тарихи ўчириб юборилиши лозим.

Бунда мавжуд ҳисобга олиш ёзувига (аккаунтга) бошқа қурилмадан кирган фойдаланувчи мазкур Низомнинг 10-бандида белгиланган тартибда банк карталарини бириктириши мумкин.

3-боб. Қурилмалар ва сессияларни бошқариш

12. Кредит ва тўлов ташкилотлари масофадан молиявий хизматларни кўрсатувчи ахборот тизимлари, мобил иловалар ва уларнинг веб-талқинидан фойдаланувчиларнинг қурилмаларини рўйхатдан ўтказиш ва мониторинг қилишда қуйидаги талабларга риоя этишлари шарт:

мобил қурилманинг техник идентификация ва дастурий параметрлари автоматик тарзда аниқланиши ва маълумотлар базасида сақланишини таъминлаш;

фойдаланувчининг ҳисобга олиш ёзувига (аккаунтга) рўйхатдан ўтмаган қурилмадан киришга уриниш ҳолати аниқланганда у тўғрисида аккаунт эгасига қурилманинг техник параметрларини (қурилма номи, модели, операцион тизими, IP -манзили) кўрсатган ҳолда СМС-хабарнома орқали огоҳлантириш юбориш;

СМС-хабарномада ушбу ҳаракатлар ҳисобга олиш ёзуви (аккаунт) эгаси томонидан бажарилмаган бўлса зудлик билан аккаунтга кириш паролини ўзгартириш лозимлиги ҳақида маълумот мавжуд бўлиши;

янги қурилмадан мавжуд аккаунтга киришга фақатгина аутентификация жараёни якунланиб, фойдаланувчи биометрик идентификациядан ўтганидан сўнг рухсат бериш.

13. Фойдаланувчи мобил илова ёки унинг веб-талқинида ҳеч қандай ҳаракатни амалга оширмаганда ушбу сессиянинг амал қилиш вақти 3 дақиқадан ошмаслиги керак. Бунда белгиланган вақт тугаганидан кейин сессия автоматик тарзда тугатилиши ва қайта аутентификация талаб қилиниши лозим.

14. Фойдаланувчининг ҳисобга олиш ёзувига (аккаунтга) рухсатсиз киришга уриниш ёки унинг аутентификация маълумотлари учинчи шахсларга ошкор бўлган ҳолатлар аниқланганда кредит ва тўлов ташкилотлари тизимга кириш имкониятини тўхтатиши ва ушбу ҳисобга олиш ёзувига (аккаунтга) фақат биометрик идентификациядан ўтган ҳолда қайта киришга рухсат бериши лозим. Бунда фойдаланувчига мазкур ҳолат ҳақида СМС-хабарнома орқали дарҳол хабар берилиши лозим.

Фойдаланувчининг мобил қурилмасида зарарли дастурлар борлиги ёки масофадан бошқарилаётганлиги аниқланганда кредит ва тўлов ташкилотлари мижозга ушбу ҳолат ҳақида зудлик билан СМС-хабарнома орқали хабар бериши лозим. СМС-хабарномада фойдаланувчига ҳолатни аниқлаштириш мақсадида кредит ва тўлов ташкилоти билан боғланиши зарурлиги қайд этилиши шарт.

15. Кредит ва тўлов ташкилотлари мобил иловаси ўрнатилган қурилмада аудио/видео қўнғироқлар (шу жумладан, мессенжерлар орқали аудио/видео қўнғироқлар) амалга оширилаётган вақтда ҳамда масофадан бошқариш ҳолатида мобил иловадан фойдаланиш имкониятини чеклашлари шарт.

16. Мобил илова ва унинг веб-талқинида фойдаланувчининг ҳисобга олиш ёзуви (аккаунти) доирасида «Актив сессиялар» ( Active Sessions ) номли алоҳида бўлим жорий этилиши ва у қуйидаги функционал имкониятларга эга бўлиши лозим:

қандай қурилма(лар), браузер(лар) ва IP манзил(лар) орқали фаол сессия(лар) мавжуд эканлиги тўлиқ кўрсатилган бўлиши;

ҳар бир сессия учун қурилма номи ва операцион тизим, браузер номи ва версияси, IP манзили, сессия бошланган вақти, жорий фаол сессия белгиси (агар ушбу сессия фойдаланувчининг ҳозирги фаол браузерида очилган бўлса) тўғрисидаги маълумотларни ўз ичига олган бўлиши;

ҳар бир сессия ёнида «Сессияни тугатиш» ( Log out/Terminate ) тугмаси мавжуд бўлиши ва фойдаланувчи исталган вақтда сессияни тугата олиши.

17. Кредит ва тўлов ташкилотлари мобил илова орқали амалга ошириладиган ҳар бир молиявий амалиёт (банк ҳисобварақлари бўйича пул ўтказмалари, П2П ўтказмалари, хизматлар учун тўловлар ва бошқа операциялар) фойдаланувчи томонидан тасдиқланишидан олдин, фойдаланувчига ушбу амалиёт айнан мижознинг ўзи томонидан, фирибгарлар аралашувисиз бажарилаётганлигини мустақил равишда тасдиқловчи огоҳлантириш хабарини кўрсатиши шарт.

Огоҳлантириш хабари фойдаланувчи томонидан тасдиқлангандан сўнг молиявий амалиётнинг бажарилиши давом эттирилиши лозим.

4-боб. Онлайн кредит (микроқарз) ажратишда фрод ҳолатларининг олдини олиш бўйича талаблар

18. Онлайн кредит (микроқарз) олиш бўйича ариза келиб тушгандан сўнг, кредит ташкилоти дастлаб фойдаланувчи тўғрисидаги маълумотларни кредит бюролари томонидан юритиладиган Кредит битимини тузиш тақиқланган шахслар реестридан (бундан буён матнда реестр деб юритилади) текшириши шарт.

Фойдаланувчи тўғрисидаги маълумотлар реестрда мавжудлиги аниқланса, онлайн кредит (микроқарз) расмийлаштириш жараёни тўхтатилади ва фойдаланувчининг телефон рақамига аризанинг рад этиш сабаби кўрсатилган ҳолда СМС-хабарнома юборилади.

Фойдаланувчи тўғрисидаги маълумотлар реестрда мавжудлиги аниқланмаса, онлайн кредит (микроқарз) ажратиш жараёни давом эттирилади.

19. Кредит ташкилоти онлайн кредит (микроқарз) ажратишда фойдаланувчининг қарз юки кўрсаткичи ва тўлов қобилиятини баҳолаш мақсадида кредит бюроларига қуйидаги маълумотларни ўз ичига олган сўров юборади:

ариза берилган вақт;

аризачининг розилик берган вақти;

аризачининг ЖШШИРи;

кредитнинг фоиз ставкаси;

кредит муддати;

кредит суммаси;

кредит тури;

валюта тури;

кредит тарихини ўрганиш мақсади.

20. Кредит бюролари бир ЖШШИР бўйича бир вақтнинг ўзида бир нечта кредит ташкилотларидан сўров келиб тушганда фақат биринчи сўров юборган кредит ташкилотининг сўровига жавоб бериши шарт.

Биринчи бўлиб сўров юборган кредит ташкилоти ушбу ЖШШИР бўйича онлайн кредит (микроқарз) ажратмаслик тўғрисида кредит бюроларига маълум қилган тақдирда кредит бюролари ушбу ЖШШИР бўйича кейинги сўров юборган кредит ташкилотининг сўровига жавоб бериши керак.

Агар биринчи сўров юборган кредит ташкилоти ушбу ЖШШИР бўйича онлайн кредит (микроқарз) расмийлаштирилганлигини маълум қилса, кредит бюролари мазкур ЖШШИР бўйича бошқа кредит ташкилотларига 24 соат давомида сўров қабул қилинмаслиги тўғрисида маълумот беради.

21. Кредит ташкилоти олинган маълумотлар асосида ўзининг ички қоидаларидан келиб чиқиб, онлайн кредит (микроқарз) ажратиш ёки ажратмаслик тўғрисида қарор қабул қилади.

22. Кредит ташкилоти онлайн кредит (микроқарз) ажратиш тўғрисида қарор қабул қилса, ариза юборган фойдаланувчига унинг мавжуд қарздорликларининг умумий миқдори (агар мавжуд бўлса) ҳамда тақдим этиладиган онлайн кредит (микроқарз)нинг тўлиқ қийматини кўрсатган ҳолда мобил иловада PUSH -хабар ва телефон рақамига СМС-хабарнома юбориш орқали хабар беради.

Бунда фойдаланувчига унга юборилган хабардан келиб чиқиб, онлайн кредит (микроқарз) расмийлаштириш жараёнини давом эттириш ёки берган аризасини бекор қилиш имконияти тақдим этилиши, шунингдек фойдаланувчи аризани бекор қилган тақдирда унга қисқа вақт ичида онлайн кредит (микроқарз) олиш бўйича қайта ариза юбориш имконияти берилиши лозим.

23. Кредит ташкилотлари онлайн кредит (микроқарз) ажратиш бўйича шартнома расмийлаштирилганидан сўнг, пул маблағларини фойдаланувчига ўтказиб беришдан олдин фойдаланувчини масофавий биометрик идентификациядан ўтказиши шарт.

24. Кредит ташкилотлари томонидан онлайн кредит (микроқарз) ажратиш натижалари (онлайн кредит (микроқарз) расмийлаштирилган ёки рад этилганлиги тўғрисидаги маълумотлар реал вақт режимида кредит бюроларига тақдим этилиши шарт.

25. Онлайн кредит (микроқарз) расмийлаштириш жараёнида қарз юки кўрсаткичи ва кредит қобилиятини баҳолаш (скоринг) учун юбориладиган сўровлар мониторинг қилиш учун юбориладиган сўровлардан алоҳида белгилар (идентификаторлар) билан фарқ қилиши лозим.

26. Кредит ташкилотлари ўзининг ички қоидаларидан келиб чиқиб, онлайн кредит (микроқарз) ажратиш жараёнида содир этиладиган фрод ҳолатларининг олдини олиш бўйича қўшимча чораларни кўради.

27. Кредит ва тўлов ташкилотлари ўз мобил иловасида фойдаланувчининг ҳисобга олиш ёзуви (аккаунти) доирасида «Фирибгарлик ҳақида хабар бериш» номли алоҳида бўлимни жорий этиши шарт. Мазкур бўлим босилганда алоҳида ойна (форма) очилиши ва унда қуйидаги маълумотларни киритиш учун майдонлар тақдим этилиши лозим:

фойдаланувчининг Ф.И.О.;

паспорт ёки идентификация ID -карта рақами ва серияси;

туғилган куни;

ҳисобга олиш ёзувида (аккаунтда) рўйхатдан ўтган телефон рақами;

фирибгарлик ҳолатининг қисқача тавсифи;

йўқотилган пул маблағининг миқдори;

ҳолат содир этилган вақт.

5-боб. Онлайн кредит (микроқарз) ажратишда содир этилган фрод ҳолатлари натижасида фойдаланувчиларга етказилган моддий зарарни қоплаш тартиби

28. Масофадан туриб онлайн кредит (микроқарз) ажратиш жараёнида содир этилган фрод ҳолати натижасида фойдаланувчи номига онлайн кредит (микроқарз) расмийлаштирилган тақдирда фойдаланувчи мазкур ҳолат бўйича ички ишлар органларига ариза билан мурожаат қилади.

29. Ички ишлар органлари фуқаро (фойдаланувчи) томонидан берилган ариза асосида содир этилган фрод ҳолати юзасидан терговга қадар текширув, суриштирув, дастлабки тергов ҳаракатларини амалга оширади.

Терговга қадар текширув, суриштирув, дастлабки тергов ҳаракатларида онлайн кредит (микроқарз) фрод ҳолати натижасида расмийлаштирилганлиги аниқланганда фуқаронинг жабрланувчи деб эътироф этилганлиги тўғрисидаги суриштирувчи, терговчи, прокурор қарори ёки суднинг ажрими онлайн кредит (микроқарз)ни расмийлаштирган ахборот тизими (мобил илова, веб-талқин ва бошқалар) эгаси бўлган кредит ташкилотига юборилади.

30. Кредит ташкилоти фрод ҳолати натижасида номига онлайн кредит (микроқарз) расмийлаштирилган фуқаронинг жабрланувчи деб эътироф этилганлиги тўғрисидаги суриштирувчи, терговчи, прокурорнинг қарори ёки суднинг ажрими келиб тушган кундан бошлаб мазкур онлайн кредит (микроқарз) ва у билан боғлиқ фоизлар, неустойка, жарималарни ҳисоблашни ҳамда жабрланувчи деб эътироф этилган шахсдан ундиришни тўхтатади.

31. Кредит ташкилоти томонидан онлайн кредит (микроқарз) расмийлаштирилиши ва у билан боғлиқ бошқа тўловлар жабрланувчидан ундирилган ҳолатларда ушбу тўловлар кредит ташкилоти томонидан жабрланувчининг банк картасига ёки у кўрсатган ҳисобварағига суднинг қарори ёки ажрими асосида қайтарилади.

Мазкур тўловлар суднинг қарори ёки ажрими қонуний кучга кирган кундан бошлаб ўн беш кун муддатда амалга оширилади.

32. Кредит ташкилоти онлайн кредит (микроқарз) ажратиш билан боғлиқ фрод ҳолатини содир этган шахсдан етказилган моддий зарарни регресс тартибида ундириш мақсадида:

дастлабки тергов ва судда фуқаровий даъвогар сифатида иштирок этади;

ишда айбланувчи тариқасида жалб этилиши лозим бўлган шахс аниқланганда моддий зарарни ундан ўз ҳисобига ундириш бўйича талабларни киритади;

қонунчиликда белгиланган тартибда бошқа ҳаракатларни амалга оширади.

33. Кредит ташкилоти фрод ҳолатига шубҳа қилганда ҳолат ва далилларни қайта текшириш бўйича терговга қадар текширув, суриштирув, дастлабки тергов ҳаракатлари ёки суднинг қарори устидан қонунчиликда белгиланган тартибда шикоят қилиши мумкин.

34. Суриштирув, дастлабки тергов натижалари ёки суднинг қарорига асосан фрод ҳолати юз бермаганлиги аниқланганда кредит ташкилоти онлайн кредит (микроқарз) ва у билан боғлиқ фоизлар, неустойка, жарималарни ҳисоблашни ҳамда жабрланувчи деб эътироф этилган шахсдан ундиришни давом эттиради.

35. Кредит ташкилоти онлайн кредит (микроқарз) расмийлаштириш билан боғлиқ фрод ҳолатлари бўйича келиб тушган мурожаатлар, ўтказилган текширув натижалари ҳамда қопланган зарарлар тўғрисидаги маълумотларни ҳар чоракда Марказий банкка электрон шаклда тақдим этади.

6-боб. Фрод ҳолатларини аниқлаш ва олдини олиш бўйича талаблар

36. Кредит ва тўлов ташкилотлари, тўлов тизими операторлари банк карталари, ҳисобварақлар, мобил иловадаги ҳисобга олиш ёзувлари (аккаунтлар) ҳамда электрон ҳамёнлар билан боғлиқ фрод ҳолатларни аниқлаш ва олдини олиш мақсадида сессион, транзакцион антифрод ва уяли алоқа даражасида ахборот хавфсизлигини таъминлаш тизимларини жорий этишлари лозим.

37. Шубҳали фаолият ва фрод ҳолатларини аниқлаш ҳамда олдини олиш бўйича кредит ва тўлов ташкилотларида жорий қилинган транзакцион антифрод тизимлари қуйидаги умумий талабларга жавоб бериши керак:

фойдаланувчиларнинг тўловларини (банк ҳисобварақлари бўйича пул ўтказмалари, П2П ўтказмалар, хизматлар учун тўловлар) амалга оширишдан олдин таҳлил қилиши ва фрод ҳолатларининг белгиларини аниқлаши;

фрод ҳолати белгиларига эга бўлган тўлов амалиётлари аниқланган тақдирда уларни тўхтатиш тўғрисида қарор қабул қилиши;

тўловни амалга ошириш бўйича қарор қабул қилишдан олдин нафақат тўлов маълумотларини балки ушбу тўловни амалга оширувчи ва қабул қилувчига оид маълумотларни (мобил илованинг иш фаолияти журналлари ҳамда сессион антифрод тизимларидан олинган маълумотлар) таҳлил қила олиши;

мобил илова, интернет-банкинг, автоматлаштирилган банк тизими ва карта процессинги (мавжуд бўлса) билан интеграция қилиш имкониятига эга бўлиши;

фойдаланувчининг ҳаракатларини қайд этиш имкониятига эга бўлиши;

антифрод тизими ва унда белгиланган қоидаларнинг самарадорлигини кўрсатувчи ҳисоботларни созлаш имкониятига эга бўлиши;

амалдаги ахборот тизимлари ва хизматларнинг узлуксиз фаолиятига салбий таъсир кўрсатмаслиги;

маълумотлар яхлитлиги назорат қилинган ва шифрланган ҳолда узатилиши;

ташқи ахборот тизимларига (шу жумладан, транзакцион таҳлил платформаларига) қўшимча таҳлилий маълумотларни тақдим этиши;

белгиланган ички қоидалар асосида шубҳали ёки зарарли фаолиятни аниқлаш ва уни автоматик блоклаш имкониятини таъминлаши;

прокси-сервер, TOR -тармоғи, VPN тармоғи ва бошқа анонимлаштирувчи воситалар орқали тизимга киришга уриниш ҳолатларини аниқлаши;

хостинг ва колокация хизматларини тақдим этувчи ташкилотларнинг хавф остидаги серверлари ва қурилмаларидан кириш ҳолатларини аниқлаши;

фойдаланувчининг қурилмасига ҳар қандай усуллардан фойдаланиб масофадан рухсатсиз уланиш ва бошқариш ҳолатларини аниқлаши.

38. Сессион антифрод тизимлари қуйидаги талабларга жавоб бериши керак:

фойдаланувчининг қурилмаси ва ундаги хатти-ҳаракатлари ҳақидаги маълумотларни йиғиш учун мобил илова ўрнатиладиган iOS ва Android mobil operatsion тизимлари учун SDK (Software Development Kit) , шунингдек, internet banking саҳифасида жойлаштириладиган Java skripti га эга бўлиши;

қурилмалар ёки SIM -карталарнинг алмаштирилишини аниқлаши ва таҳлил қилиши;

фойдаланувчи қурилмасининг техник хусусиятлари ҳақида маълумотларни тўплаш ва улар асосида қурилманинг ноёб идентификаторини (қурилма бармоқ изи) шакллантириши;

мобил иловадан фойдаланиш вақтида қўнғироқларни ( GSM/ мессенжерлар орқали) аниқлаши;

фойдаланувчининг қурилмасини масофадан бошқариш белгиларини аниқлаши;

мобил қурилма эмуляторига хос бўлган белгиларни аниқлаши;

root/jailbreak белгилари ва носозликларни тузатиш режими ( debugger ) ёқилганлигини аниқлаши;

VPN тармоғидан фойдаланиш белгиларини аниқлаши;

сессия маълумотларини таҳлил қилиши ва шубҳали фаолият белгиларини аниқлаши;

транзакцион антифрод тизимига сессия маълумотларини юбориши;

фойдаланувчи қурилмасини унинг техник хусусиятлари ( device fingerprinting ) асосида идентификация қилиши;

фойдаланувчи қурилмасини глобал ( cross-client ) даражасида идентификация қилиши;

фойдаланувчининг ҳисобга олиш ёзуви (аккаунти)дан рухсатсиз фойдаланиш ҳолатларини аниқлаши;

ҳимояланган веб-иловага учинчи томон коди киритилган (инексия) ҳолатларни аниқлаши;

сервер томондаги веб қисмга фрод йўли билан киритилган (веб-инексия) кодларни аниқлаши;

фишинг ҳолатларини аниқлаши;

хавф даражасини баҳолаш мақсадида ҳар бир фойдаланувчи ишлатаётган браузерларни мониторинг қилиши;

қурилма идентификаторларини ўзгартириш ёки яшириш имконини берувчи махсус браузерлар ( antidetect ) орқали кириш ҳолатларини аниқлаши;

фойдаланувчи хатти-ҳаракатлари (навигация, курсор ҳаракати, тугмаларни босиш тезлиги, танаффуслар ва форма билан ўзаро таъсир) асосида асл фойдаланувчи ва фирибгарлик фаолиятини фарқлаш механизмларини жорий этиши;

автоматик киришга уринишлар ( bruteforce ) ва бошқа манбалардан олинган бузилган аутентификация маълумотларини қўллаб ( credential stuffin г) тизимга киришга уриниш ҳолатларини аниқлаши ва блоклаши;

ташқи тизимларга киришга уриниш ҳолатлари бўйича маълумот тақдим этиши;

мобил иловадан фойдаланиш вақтида фойдаланувчининг ҳаракатлари ҳақида маълумот юбориши;

браузерлардан маълумот олиши (шунингдек, Chromium 26, Microsoft Edge 13, Mozilla Firefox 4, Safari 8 ва ундан паст бўлган версиялар ишлатилганда блоклаши);

фойдаланувчи томонидан бир нечта қурилма ёки СИМ-карта алмашинувини аниқлаши ва таҳлил қилиши;

мобил иловадаги хатти-ҳаракатлар (тегинишлар, суришлар, матн териш тезлиги, сенсор маълумотлари) асосида фойдаланувчи ёки фирибгар фаолиятини аниқлаши;

GPS ва Wi-Fi тармоғи маълумотлари орқали жойлашувга оид шубҳали фаолиятни аниқлаши;

фойдаланувчи ва дастурий таъминотнинг зарарли фаолиятини ташкилот томонидан танланган қоидалар асосида блоклаши;

фойдаланувчи сессиясида мобил илованинг носозликларини топиш воситаси ( debugger) ёқилган ҳолатларни аниқлаши ва фойдаланувчи ҳаракатларини таҳлил қилишда инобатга олиши;

мобил илова ва сервер (ёки бошқа хизматлар) ўртасида маълумот алмашиш учун мўлжалланган дастурий интерфейс ( Application Programming Interface) ни ботлар ёки ташқи тизимлар фойдаланишидан ҳимоялаши.

39. Кредит ва тўлов ташкилотлари шубҳали ва блокланган операциялар юзасидан қуйидаги маълумотларни тўплаб, электрон тарзда ҳужжатлаштириши лозим:

операция санаси ва вақти;

фойдаланувчининг идентификатори ва қурилма маълумотлари;

операция тури ва миқдори;

хавфни аниқлаш сабаблари;

кўрилган чоралар (блоклаш, хабар юбориш, алоқага чиқиш, таҳлил қилиш ва ҳ.к.);

якуний қарор.

Ушбу маълумотлар кредит ташкилотларида камида 3 йил давомида сақланиши шарт.

40. Мобил иловалар ёки веб-ресурслар орқали банк картасининг СМС-хабарнома хизматини ёқиш, ўчириш ёки ўзгартириш тақиқланади.

41. Мобил иловада банк картаси эгасининг исми тўлиқ шаклда, фамилиясининг эса фақат биринчи ҳарфи акс эттирилиши, пул ўтказмалари амалга оширилганда мазкур телефон рақамга уланган банк карталари эгасининг маълумотлари қисман беркитилган тарзда акс эттирилиши лозим.

42. Ташқи тизимлар ёки хорижий ташкилотларнинг мобил иловаларидан халқаро ўтказмалар телефон рақами орқали амалга оширилганда банк картаси эгасининг исми тўлиқ шаклда, фамилиясининг биринчи ҳарфи акс эттирилиши ҳамда банк картасининг биринчи ва охирги тўртта рақамлари жўнатувчи интерфейсида акс эттирилиши лозим.

43. Кредит ташкилотида онлайн кредит (микроқарз) ажратиш ва омонат операцияларини реал вақт режимида кузатиб бориш имконини берадиган транзакцион мониторинг тизими жорий этилиши лозим.

Электрон ҳамёнлар билан ишловчи кредит ва тўлов ташкилотларида шубҳали транзакцияларни аниқлаш ва олдини олиш бўйича транзакцион антифрод тизими жорий этилиши лозим.

44. Кредит ташкилотлари ахборот хавфсизлиги ва киберхавфсизликни таъминлаш ва фрод ҳолатларига тезкор жавоб қайтариш мақсадида фойдаланувчиларни қуйидаги ҳолатлар юз берганда СМС-хабарнома ва мобил иловада PUSH -хабар орқали зудлик билан хабардор қилиши ҳамда жараённи тўхтатиши ва фойдаланувчининг қўшимча тасдиқдан ўтишини таъминлаши шарт:

фойдаланувчи номидан янги қурилма орқали тизимга киришга уринишда;

фойдаланувчи номидан онлайн кредит (микроқарз) расмийлаштириш, омонат жойлаштириш ҳамда омонатдан пул маблағларини ечиб олиш бўйича сўров юборилганда;

тизимда фрод аломатлари қайд этилганда (қисқа вақт ичида бир нечта операцияларнинг амалга оширилиши, шубҳали IP -манзиллардан кириш, ноодатий геолокациядан ҳаракатлар ва бошқалар).

45. Масофадан молиявий хизматларни тақдим этувчи ахборот тизимлари, шунингдек, мобил иловаларга нисбатан амалга ошириладиган кибертаҳдидлар махсус платформалар орқали мониторинг ва таҳлил ( threat intelligence ) қилиш жараёнида аниқланган вақтда тизим орқали зудлик билан Марказий банкка хабар берилиши лозим.

7-боб. Маълумотларни сақлаш ва муҳофаза қилиш

46. Кредит ва тўлов ташкилотлари жисмоний шахсларнинг шахсига доир, идентификация ва тўлов билан боғлиқ барча турдаги маълумотларнинг хавфсизлигини таъминлаш мақсадида уларни ўз ахборот тизимларида шифрланган ҳолда сақлаши шарт.

Ахборот тизимларидаги маълумотларнинг рухсатсиз тарқалишининг олдини олиш мақсадида маълумотларни рухсатсиз тарқалишидан ҳимоялаш тизими DLP (Data Loss Prevention) жорий этилиши лозим.

47. Ахборот тизимида фойдаланувчи ва тизимнинг ўзи томонидан амалга оширилган барча ҳаракатлар автоматик тарзда журналлаштирилиши шарт. Журналлар сохталаштириш ва ўзгартиришдан ҳимояланган форматда сақланиши лозим. Журнал маълумотларининг яхлитлигини таъминлаш мақсадида WORM (Write Once Read Many) технологиясидан фойдаланиш тавсия этилади.

48. Имтиёзли функциялар ва юқори даражадаги тизим ҳуқуқлари орқали амалга оширилган барча ҳаракатларга фақат чекланган доирадаги ходимлар томонидан киришга рухсат берилиши шарт. Бундай ҳуқуқлардан фойдаланиш жараёнлари мажбурий тарзда кўп омилли аутентификация MFA (Multi-Factor Authentication) орқали ҳимояланиши лозим.

Имтиёзли функциялар ва юқори даражадаги тизим ҳуқуқлари доирасида амалга ошириладиган фаолиятнинг тўлиқ назорати ва журналлаштирилиши PAM (Privileged Access Management) тизими орқали амалга оширилиши керак.

49. Кредит ва тўлов ташкилотлари ахборот тизимларидаги маълумотларни ҳимоя қилиш учун криптографик ҳимоя воситаларидан фойдаланишда қуйидаги талабларни бажаришлари шарт:

алоқа каналлари орқали ахборот алмашинувини фақат ҳимояланган Transport Layer Security (TLS) протоколидан (1.3 ёки ундан юқори версия) фойдаланган ҳолда амалга ошириш;

маълумотларни шифрлашда AES-256/GCM алгоритмидан фойдаланиш;

криптографик калитларнинг айланиш (ротация) сиёсатини киберхавфсизлик соҳасидаги ваколатли давлат органи томонидан белгиланган талаблар доирасида амалга ошириш;

криптографик калитлар камида йилда бир маротаба янгиланиб борилишини таъминлаш;

криптографик калитлар билан боғлиқ барча ёзувлар (логлар), шу жумладан калит яратиш, айлантириш, бекор қилиш ва фойдаланиш ҳолатлари тўғрисидаги маълумотларни камида 3 йил давомида сақлаш;

криптографик калитларнинг муддати ўтганидан кейин уларни белгиланган тартибда йўқ қилиш ёки архив ҳолатига ўтказиш ҳамда бу жараённи тегишли далолатнома билан расмийлаштириш.

50. Кредит ва тўлов ташкилотлари криптографик калитларни бошқаришда калитларни бошқариш тизими ( KMS ) ёки аппарат хавфсизлик модули ( HSM )дан фойдаланишлари мумкин.

51. Мазкур Низомда қайд этилган криптографик алгоритмлар ёки протоколларнинг версиялари (жумладан, TLS, AES ва бошқалар) эскирган ёки заиф деб топилса, кредит ва тўлов ташкилотлари маълумотларни ҳимоя қилишда янгиланган, эквивалент ёки ундан юқори даражадаги хавфсизликни таъминлайдиган криптографик алгоритмлар ва протоколлардан фойдаланишлари лозим.

52. Кредит ва тўлов ташкилотлари ахборот тизимлари доирасида амалга оширилган барча техник жараёнлар, фойдаланувчи фаолияти, хавфсизлик билан боғлиқ ҳолатлар, операция журналлари ва тегишли дастурий ёзувларни камида 3 йил мобайнида хавфсиз ва ишончли шаклда сақлаши лозим.

8-боб. Мобил иловалар ва уларнинг веб-талқинида хавфсизликни таъминлаш

53. Кредит ва тўлов ташкилотлари томонидан жорий этилган мобил иловалар ва уларнинг веб-талқини ахборот хавфсизлиги ва киберхавфсизликни таъминлаш талабларига тўлиқ жавоб бериши лозим.

54. Мобил иловага техник хавф туғдирувчи қурилмаларда ишлашини автоматик тарзда аниқлаш ва блоклаш механизмлари жорий этилиши лозим.

55. Кредит ва тўлов ташкилотлари қуйидаги ҳолатларда мобил илованинг ишлашини чеклаши лозим:

андроид операцион тизимида ишловчи қурилманинг тизим ҳуқуқларига ноқонуний кириш орқали хавфсизлик сиёсати бузилганда ( root );

iOS операцион тизимида ишловчи қурилмада ишлаб чиқарувчи томонидан ўрнатилган хавфсизлик чекловлари ўчирилиб, тизимга чуқур кириш имконияти яратилганда ( jailbreak ).

56. Мобил илова ишга туширилганда қурилманинг хавфсизлик ҳолати таҳлил қилиниши ( SafetyNet Attestation, Play Integrity API, Jailbreak detection каби воситалар) ва салбий ҳолат аниқланганда мобил илованинг иш фаолияти тўхтатилиб, фойдаланувчига СМС-хабарнома юборилиши шарт. Ушбу ҳолат баённома ( loglar ) базасига автоматик тарзда қайд этилиши лозим.

57. Мобил илова дастур кодига рухсатсиз кириш, таҳрирлаш, тескари муҳандислик ( reverse engineering ) ва декомпиляция орқали таҳлил қилиш имкониятини чекловчи махсус технологиялар билан ҳимоя қилиниши шарт.

58. Кредит ва тўлов ташкилотлари мобил илова орқали тарқалиши мумкин бўлган зарарли кодлар, дастурлар ва фродга оид таҳдидларни аниқлаш ва уларнинг олдини олиш мақсадида мобил SDK (Software Development Kit ) орқали антивирус ва антифрод функциялари билан таъминланган хавфсизлик модулларини интеграция қилиши керак.

59. Кредит ва тўлов ташкилотлари мобил иловани реал вақт режимида таҳдидлардан ҳимоя қилиш учун RASP (Runtime Application Self-Protection ) технологияларини жорий қилиши лозим.

60. Кредит ва тўлов ташкилотлари ўз веб-талқинларида қуйидаги ахборот хавфсизлиги ва киберхавфсизликни таъминлаш чораларини кўришлари шарт:

маълумот алмашинуви HTTPS протоколи орқали амалга оширилиши ва HSTS (Strict Transport Security) сиёсати фаоллаштирилиши;

веб-талқинга юкланадиган JavaScript кодларининг яхлитлигини таъминлаш учун SRI (Subresource Integrity) ёки шунга мос механизмлар қўлланиши;

браузер муҳитида аномал фаолликни (бот фаоллиги, автокликер, виртуал муҳит) аниқлаш учун тегишли киберхавфсизлик воситаларини жорий қилиши.

61. Кредит ва тўлов ташкилотлари мобил иловалар ва уларнинг веб-талқинида сессия бошқаруви ҳамда аутентификация хавфсизлигини ўзининг антифрод тизимларида белгиланган талаб ва қоидаларга асосан таъминлайди.

62. Фойдаланувчининг фаолияти, сессиялари, аномал ҳаракат ва таҳдидлар билан боғлиқ барча маълумотлар баённомалаштирилиши (логлаш) ҳамда марказлашган мониторинг ( SIEM ) тизимига интеграция қилинган ҳолда реал вақт режимида кузатилиши ва қайд этилиши шарт.

63. Кредит ва тўлов ташкилотларининг мобил иловаларига қисқа вақт оралиғида ноодатий даражада кўп сўровлар келиб тушганда ахборот тизимининг барқарорлиги ва хавфсизлигини таъминлаш мақсадида бундай сўровларга нисбатан чекловлар жорий этиши, вақтинчалик блоклаш ёки бошқа ҳимоя чораларини мустақил равишда қўллашлари лозим.

64. Мобил иловадаги аккаунтга 1 дақиқа мобайнида 1 та IP манзилдан 2 ва ундан ортиқ қурилмадан уриниш ҳолатлари кузатилса, ушбу аккаунт 10 дақиқага блокланиши лозим.

9-боб. Фойдаланувчиларни ўқитиш ва маълумот бериш

65. Кредит ва тўлов ташкилотлари ўз ахборот тизимлари, мобил иловалари ва веб-ресурсларида рўйхатдан ўтган фойдаланувчиларини ахборот хавфсизлиги ва киберхавфсизликни таъминлаш ҳамда фрод ҳолатларининг олдини олиш бўйича асосий қоидалар билан таништириши шарт.

66. Ахборот тизимлари, мобил иловалар ва веб-ресурсларда фойдаланувчига фроднинг турлари, энг кўп учрайдиган схема ва усуллари ҳамда улардан ҳимояланиш бўйича амалий тавсиялар бериб борилиши лозим.

67. Кредит ташкилотлари фрод ҳолатлари тўғрисида фойдаланувчилар тезкор мурожаат қилишлари учун банк картасининг орқа томонида 24/7 режимда ишловчи алоқа рақамини кўриниб турадиган ва ўқиш учун осон шаклда жойлаштириши шарт.

68. Кредит ва тўлов ташкилотлари банк картасини расмийлаштириш ёки бошқа турдаги хизматларни тақдим этиш жараёнида тузиладиган шартномалар ва оммавий оферталарда қуйидаги талабларни белгилаши шарт:

фойдаланувчига кредит ва тўлов ташкилотлари томонидан юбориладиган хабарлар, жумладан мобил иловадаги билдиришномалар, СМС ва PUSH -хабарларни диққат билан ўрганиб чиқиши шартлиги;

кредит ва тўлов ташкилотлари томонидан фойдаланувчига фирибгарлик белгилари аниқланганлиги тўғрисида маълумот берилиши;

фойдаланувчи кредит ёки тўлов ташкилотидан шу каби хабарларни олганидан кейин ҳар қандай тўлов амалиётларини тасдиқлашда эҳтиёткор бўлиши;

фойдаланувчининг қурилмаси йўқолганлиги ёки учинчи шахслар томонидан қурилмани бошқаришга назорат ўрнатилганлигини аниқлаган пайтдан бошлаб зудлик билан бироқ 1 кундан кечиктирмай кредит ёки тўлов ташкилотини хабардор қилиши;

фойдаланувчи ўз розилигисиз амалга оширилган операция фактини аниқлаган пайтдан бошлаб 1 кун ичида бу ҳақда кредит ва тўлов ташкилотини хабардор қилиши;

фойдаланувчи кредит ва тўлов ташкилотига ўзининг алоқа маълумотларини тақдим этиши шартлиги, ушбу маълумотлар кредит ва тўлов ташкилотининг фойдаланувчи билан боғланиши учун зарурлиги, агар ушбу маълумотлар ўзгарса, фойдаланувчи ўзгаришлар содир бўлган кундан бошлаб 3 кун ичида бу ҳақда кредит ёки тўлов ташкилотига хабар бериши.

Кредит ва тўлов ташкилотининг сўровига кўра фойдаланувчи операцияни ўзи мустақил равишда амалга оширганлиги ёки уни фойдаланувчининг топшириғи ёхуд ихтиёрий розилиги билан учинчи шахс бажарганлиги ҳақидаги маълумотларни тақдим этиши шарт. Шунингдек, фойдаланувчи фирибгарлик ҳолатлари тўғрисидаги маълумотларни ҳам тақдим этиши лозим.

69. Банк картасини расмийлаштириш жараёнида фойдаланувчиларга банк картасининг амал қилиш муддати, ҳимоя пароллари ва телефон рақамига СМС орқали юбориладиган бир марталик тасдиқловчи кодларни бегона шахсларга тақдим этмаслик тўғрисида тушунтириш ҳамда ёзма равишда маълумот берилиши лозим.

70. Фойдаланувчи СМС-хабарнома хизматига уланган телефон рақамини ўзгартирган тақдирда кредит ва тўлов ташкилоти унинг аввалги телефон рақамига хизматнинг ўчирилганлиги ва янги телефон рақамига хизматнинг уланганлиги ҳақида СМС-хабарнома орқали хабар бериши шарт.

10-боб. Якуний қоидалар

71. Мазкур Низом талабларининг бузилишида айбдор бўлган шахслар қонунчилик ҳужжатларида белгиланган тартибда жавобгар бўладилар.

72. Мазкур Низомнинг 5-бобида белгиланган талаблар Низом кучга киргандан кейин содир этилган онлайн кредит (микроқарз) ажратиш билан боғлиқ фрод ҳолатларига нисбатан қўлланилади.

73. Мазкур Низомда белгиланган талабларнинг агент ва субагентлар томонидан бажарилиши уларга тегишли асосий ташкилот (кредит ёки тўлов ташкилоти) томонидан назорат қилинади.

Раис Т. ИШМЕТОВ

Бош прокурор Н. ЙЎЛДОШЕВ

Рақамли технологиялар вазири Ш. ШЕРМАТОВ

Ички ишлар вазири А. ТАШПУЛАТОВ

Давлат хавфсизлик хизмати раиси Б. КУРБАНОВ

Тошкент ш.,

2025 йил 23 декабрь,

2025 йил 1 декабрь

2025 йил 29 ноябрь

2025 йил 27 ноябрь

2025 йил 20 ноябрь

35/14-сон

(Қонунчилик маълумотлари миллий базаси, 21.01.2026 й., 10/26/3759/0064-сон; 15.08.2026 й., 10/26/3759-1/0847-сон)

lex.uz

OʻZBEKISTON RESPUBLIKASI MARKAZIY BANKI BOSHQARUVINING

QARORI

NIZOM

Kredit va toʻlov tashkilotlari, toʻlov tizimi operatorlari tomonidan jismoniy shaxslarga masofadan moliyaviy xizmatlar koʻrsatishda axborot xavfsizligi va kiberxavfsizlikni taʼminlash hamda frod holatlarining oldini olish boʻyicha minimal talablar toʻgʻrisidagi nizomni tasdiqlash haqida

Oʻzbekiston Respublikasining “Oʻzbekiston Respublikasining Markaziy banki toʻgʻrisida”gi Qonuniga muvofiq Oʻzbekiston Respublikasi Markaziy banki boshqaruvi qaror qiladi:

1. Kredit va toʻlov tashkilotlari, toʻlov tizimi operatorlari tomonidan jismoniy shaxslarga masofadan moliyaviy xizmatlar koʻrsatishda axborot xavfsizligi va kiberxavfsizlikni taʼminlash hamda frod holatlarining oldini olish boʻyicha minimal talablar toʻgʻrisidagi nizom ilovaga muvofiq tasdiqlansin.

2. Mazkur qaror Oʻzbekiston Respublikasi Bosh prokuraturasi, Davlat xavfsizlik xizmati, Raqamli texnologiyalar vazirligi va Ichki ishlar vazirligi bilan kelishilgan.

3. Mazkur qaror rasmiy eʼlon qilingan kundan eʼtiboran uch oydan keyin kuchga kiradi.

Kelishildi:

Oʻzbekiston Respublikasi Markaziy banki boshqaruvining 2025-yil 23-dekabrdagi 35/14-son qaroriga ILOVA

Kredit va toʻlov tashkilotlari, toʻlov tizimi operatorlari tomonidan jismoniy shaxslarga masofadan moliyaviy xizmatlar koʻrsatishda axborot xavfsizligi va kiberxavfsizlikni taʼminlash hamda frod holatlarining oldini olish boʻyicha minimal talablar toʻgʻrisidagi

Mazkur Nizom kredit va toʻlov tashkilotlari, toʻlov tizimi operatorlari tomonidan jismoniy shaxslarga masofadan moliyaviy xizmatlar koʻrsatishda axborot xavfsizligi va kiberxavfsizlikni taʼminlash hamda frod holatlarining oldini olish boʻyicha minimal talablarni belgilaydi.

1-bob. Umumiy qoidalar

1. Mazkur Nizomda belgilangan talablar minimal hisoblanib, kredit va toʻlov tashkilotlari, toʻlov tizimi operatorlari oʻzining ichki qoidalariga asosan oʻz mijozlarini frod holatlaridan himoya qilish boʻyicha qoʻshimcha tashkiliy va texnik chora-tadbirlarni amalga oshirishi mumkin.

2. Ushbu Nizomda quyidagi asosiy tushunchalar qoʻllaniladi:

axborot xavfsizligi — axborot sohasida shaxs, jamiyat va davlat manfaatlarining himoyalanganlik holati;

autentifikatsiya — foydalanuvchi, dastur, qurilma yoki maʼlumotlarning haqiqiyligini tasdiqlash tartib-taomili;

biometrik identifikatsiya — bitta jismoniy shaxs bilan bogʻlangan biometrik identifikator(lar)ni topish va qaytarish uchun biometrik roʻyxatga olishlar maʼlumotlar bazasidan qidirish jarayoni;

frod holatlari — axborot texnologiyalaridan foydalanib sodir etilgan firibgarlik va (yoki) oʻgʻrilik holatlari;

hisobga olish yozuvi (akkaunt) — foydalanuvchining axborot tizimidagi shaxsiy qaydnomasi. U foydalanuvchiga tizimdagi maʼlum resurslar va xizmatlardan foydalanish imkoniyatini beradi;

identifikator — obyektni tavsiflovchi va uni boshqa koʻplab obyektlar orasida ajratib koʻrsatish imkonini beruvchi kod yoki ramziy nom;

identifikatsiya — foydalanuvchilarning shaxsini aniqlash maqsadida ularga identifikator (noyob nomlar) tayinlash yoki tayinlangan identifikatorlarni (noyob nomlar) identifikatorlar roʻyxati bilan solishtirish;

kiberxavfsizlik — kibermakonda shaxs, jamiyat va davlat manfaatlarining tashqi va ichki tahdidlardan himoyalanganlik holati;

onlayn kredit (mikroqarz) — kredit tashkilotlari tomonidan jismoniy shaxs boʻlgan qarz oluvchiga toʻlovlilik, muddatlilik va qaytarish shartlari asosida masofadan moliyaviy xizmatlarni koʻrsatuvchi axborot tizimlari orqali beriladigan pul mablagʻlari;

OTP kod (One-Time Password) — bu foydalanuvchining shaxsini identifikatsiya qilish yoki autentifikatsiyadan oʻtkazish jarayonida qoʻllaniladigan, faqat bitta autentifikatsiya sessiyasi yoki amaliy operatsiya uchun moʻljallangan, avtomatik tarzda yaratiladigan bir martalik tasdiqlash kodi;

PUSH -xabar — foydalanuvchining mobil ilovasiga avtomatik ravishda toʻgʻridan toʻgʻri yuboriladigan xabar;

sessiya — foydalanuvchining tizim, dastur yoki veb-sayt bilan oʻzaro aloqada boʻlgan vaqt oraligʻi;

SDK (Software Development Kit) — bu muayyan operatsion tizim, dasturiy muhit yoki xizmat bilan integratsiyalashgan holda yangi dasturiy mahsulotlar (ilovalar, funksiyalar yoki modullar)ni ishlab chiqish, test qilish va integratsiyalash imkonini beruvchi dasturiy vositalar, kutubxonalar, interfeyslar ( API ), hujjatlar, namunaviy kodlar va boshqa yordamchi resurslar majmuasidan iborat toʻplam;

masofadan moliyaviy xizmatlar koʻrsatish — kredit va toʻlov tashkilotlari tomonidan jismoniy shaxslarga masofadan moliyaviy xizmatlarni koʻrsatuvchi axborot tizimlari (mobil ilovalar, veb-resurs va boshqalar) orqali naqd pulsiz shaklda moliyaviy xizmatlarni taqdim etish jarayoni;

3. Kredit va toʻlov tashkilotlari masofadan moliyaviy xizmatlar koʻrsatishda axborot xavfsizligi va kiberxavfsizlikni taʼminlash hamda frod holatlarining oldini olish boʻyicha qonunchilikda belgilangan talablarning buzilish holatlari toʻgʻrisida Oʻzbekiston Respublikasi Markaziy bankiga (bundan buyon matnda Markaziy bank deb yuritiladi) zudlik bilan yozma yoki elektron shaklda maʼlumot berishi lozim.

4. Kredit va toʻlov tashkilotlari yangi masofadan moliyaviy xizmatlarni koʻrsatuvchi axborot tizimini kiberxavfsizlik talablariga muvofiqligi yuzasidan qonunchilikda belgilangan tartibda ekspertizadan oʻtkazishi lozim.

Kredit va toʻlov tashkilotlarining axborot xavfsizligi va kiberxavfsizlikni taʼminlash xizmati olingan ekspertiza xulosasi asosida masofadan moliyaviy xizmatlarni koʻrsatuvchi axborot tizimining kiberxavfsizlikni taʼminlashga doir tavakkalchiliklarni baholashi hamda ijobiy natijaga erishganidan keyin amaliyotga joriy etishi shart.

2-bob. Foydalanuvchini identifikatsiya va autentifikatsiya qilish

5. Kredit va toʻlov tashkilotlari masofadan moliyaviy xizmatlarni koʻrsatuvchi axborot tizimlari, veb-resurslar va mobil ilovalarida foydalanuvchilarni roʻyxatdan oʻtkazish jarayonida quyidagi talablarga rioya etishlari shart:

foydalanuvchini roʻyxatdan oʻtkazish va bank kartasini mobil ilovaga biriktirish jarayonlarini alohida autentifikatsiya orqali amalga oshirish;

foydalanuvchining telefon raqami va jismoniy shaxsning shaxsiy identifikatsiya raqami (bundan buyon matnda JSHSHIR deb yuritiladi) mos kelishini tekshirish, moslik aniqlanmagan taqdirda mobil ilovada roʻyxatdan oʻtkazish va (yoki) bank kartasini biriktirishga yoʻl qoʻymaslik hamda bu haqda foydalanuvchiga SMS-xabarnoma orqali xabar yuborish;

foydalanuvchi tizimda roʻyxatdan oʻtgandan soʻng mobil ilovadagi hisobga olish yozuviga (akkauntga) login va parolni qaytadan terib, telefon raqamiga yuborilgan OTP kodni kiritgan holda autentifikatsiyadan oʻtishini taʼminlash;

foydalanuvchining hisobga olish yozuvi (akkaunti) tizimda roʻyxatdan oʻtgandan soʻng, foydalanuvchining faol sessiyasi hisobga olish yozuvidan (akkauntdan) chiqarib yuborilishi va foydalanuvchi mobil ilovaga bank kartasini alohida OTP-kodni kiritib, biometrik identifikatsiyadan oʻtgan holda biriktirishini taʼminlash;

foydalanuvchining telefon raqami va u biriktirmoqchi boʻlgan bank kartasining SMS-xabarnoma xizmatiga ulangan telefon raqami bir-biridan farq qilganda bank kartasini biriktirish jarayonini toʻxtatish va mobil ilovada foydalanuvchiga mazkur holat toʻgʻrisida PUSH -xabar yuborish;

OTP kodining belgilari soni 6 tadan kam boʻlmasligi, raqamlar va lotin alifbosidagi xarflar birikmasidan iborat boʻlishi (A — Z, a — z, 0 — 9), amal qilish muddati 59 soniyadan oshmasligi hamda u 3 marotaba notoʻgʻri kiritilganda avtomatik tarzda oʻz kuchini yoʻqotishini taʼminlash;

OTP kodni 3 marotaba notoʻgʻri kiritgan foydalanuvchining tizimdagi harakatlarini 15 daqiqa davomida vaqtincha cheklash, keyingi cheklovlarni ichki qoidalardan kelib chiqib belgilash hamda holat haqida foydalanuvchiga SMS-xabarnoma orqali xabar berish.

6. Kredit va toʻlov tashkilotlari foydalanuvchilarni masofadan biometrik identifikatsiyadan oʻtkazishda hayotiylik faktorlarini ( liveness detection ) aniqlash funksiyasiga ega hamda ushbu funksiyasi real vaqt rejimida faol ishlaydigan biometrik identifikatsiya tizimidan foydalanishlari shart.

Kredit va toʻlov tashkilotlari masofadan moliyaviy xizmatlarni koʻrsatuvchi axborot tizimlariga kirish uchun foydalanuvchilarni masofadan biometrik identifikatsiyadan oʻtkazish vazifasini mazkur faoliyat bilan shugʻullanuvchi tashkilotlarga topshirgan taqdirda ular bilan tuziladigan shartnomalarga ushbu tashkilotlarning axborot tizimida yuzaga kelgan zaiflik yoki nosozliklar oqibatida foydalanuvchilarga yetkazilgan moddiy zararlar ularning hisobidan qoplanishiga doir talablarni kiritishi lozim.

7. Mobil ilovada roʻyxatdan oʻtgan foydalanuvchi hisobga olish yozuviga (akkauntga) faqat ushbu shaxsga (yaqin qarindoshlarni istisno qilgan holda) tegishli boʻlgan bank hisobvaragʻi, bank kartasi va elektron hamyonlarni biriktirishga hamda ushbu hisobga olish yozuvi (akkaunt) orqali jismoniy shaxslar oʻrtasida naqd pulsiz oʻtkazmalarni (bundan buyon matnda P2P oʻtkazmalar deb yuritiladi) amalga oshirishga ruxsat beriladi.

Bunda, yaqin qarindoshlarga qarindosh yoki quda tomondan qarindosh boʻlgan shaxslar, yaʼni ota-ona, tugʻishgan va oʻgay aka-uka va opa-singillar, er-xotin, farzand, shu jumladan farzandlikka olinganlar, bobo, buvi, nevaralar, shuningdek er-xotinning ota-onasi, tugʻishgan va oʻgay aka-uka va opa-singillari kiradi.

8. Barcha P2P oʻtkazmalari OTP kod bilan tasdiqlangan holda amalga oshirilishi lozim. Veb-saytlar orqali P2P oʻtkazmalarni amalga oshirish mumkin emas.

9. Onlayn kredit (mikroqarz) va omonatlar bilan bogʻliq operatsiyalar hamda P2P oʻtkazmalarini tasdiqlash uchun yuboriladigan OTP kodlar foydalanuvchining roʻyxatdan (autenfikatsiyadan) oʻtgan, OTP kod kelib tushgan qurilmasida amal qilishi va boshqa qurilmalarda qoʻllanishining oldi olinishi lozim.

10. Mavjud hisobga olish yozuviga (akkauntga) kirish, parolini tiklash yoki boshqa qurilmadan kirish, roʻyxatdan oʻtish va bank kartasini biriktirish jarayonlari faqatgina biometrik identifikatsiyadan oʻtgan holda amalga oshirilishi lozim.

11. Mavjud hisobga olish yozuviga (akkauntga) boshqa qurilmadan kirish yoki uning parolini qayta tiklash jarayonida ushbu akkauntga bogʻlangan barcha bank kartalari mobil ilovadan avtomatik tarzda chiqarib yuborilishi hamda ushbu qurilmada bank kartalari boʻyicha moliyaviy operatsiyalar tarixi oʻchirib yuborilishi lozim.

Bunda mavjud hisobga olish yozuviga (akkauntga) boshqa qurilmadan kirgan foydalanuvchi mazkur Nizomning 10-bandida belgilangan tartibda bank kartalarini biriktirishi mumkin.

3-bob. Qurilmalar va sessiyalarni boshqarish

12. Kredit va toʻlov tashkilotlari masofadan moliyaviy xizmatlarni koʻrsatuvchi axborot tizimlari, mobil ilovalar va ularning veb-talqinidan foydalanuvchilarning qurilmalarini roʻyxatdan oʻtkazish va monitoring qilishda quyidagi talablarga rioya etishlari shart:

mobil qurilmaning texnik identifikatsiya va dasturiy parametrlari avtomatik tarzda aniqlanishi va maʼlumotlar bazasida saqlanishini taʼminlash;

foydalanuvchining hisobga olish yozuviga (akkauntga) roʻyxatdan oʻtmagan qurilmadan kirishga urinish holati aniqlanganda u toʻgʻrisida akkaunt egasiga qurilmaning texnik parametrlarini (qurilma nomi, modeli, operatsion tizimi, IP -manzili) koʻrsatgan holda SMS-xabarnoma orqali ogohlantirish yuborish;

SMS-xabarnomada ushbu harakatlar hisobga olish yozuvi (akkaunt) egasi tomonidan bajarilmagan boʻlsa zudlik bilan akkauntga kirish parolini oʻzgartirish lozimligi haqida maʼlumot mavjud boʻlishi;

yangi qurilmadan mavjud akkauntga kirishga faqatgina autentifikatsiya jarayoni yakunlanib, foydalanuvchi biometrik identifikatsiyadan oʻtganidan soʻng ruxsat berish.

13. Foydalanuvchi mobil ilova yoki uning veb-talqinida hech qanday harakatni amalga oshirmaganda ushbu sessiyaning amal qilish vaqti 3 daqiqadan oshmasligi kerak. Bunda belgilangan vaqt tugaganidan keyin sessiya avtomatik tarzda tugatilishi va qayta autentifikatsiya talab qilinishi lozim.

14. Foydalanuvchining hisobga olish yozuviga (akkauntga) ruxsatsiz kirishga urinish yoki uning autentifikatsiya maʼlumotlari uchinchi shaxslarga oshkor boʻlgan holatlar aniqlanganda kredit va toʻlov tashkilotlari tizimga kirish imkoniyatini toʻxtatishi va ushbu hisobga olish yozuviga (akkauntga) faqat biometrik identifikatsiyadan oʻtgan holda qayta kirishga ruxsat berishi lozim. Bunda foydalanuvchiga mazkur holat haqida SMS-xabarnoma orqali darhol xabar berilishi lozim.

Foydalanuvchining mobil qurilmasida zararli dasturlar borligi yoki masofadan boshqarilayotganligi aniqlanganda kredit va toʻlov tashkilotlari mijozga ushbu holat haqida zudlik bilan SMS-xabarnoma orqali xabar berishi lozim. SMS-xabarnomada foydalanuvchiga holatni aniqlashtirish maqsadida kredit va toʻlov tashkiloti bilan bogʻlanishi zarurligi qayd etilishi shart.

15. Kredit va toʻlov tashkilotlari mobil ilovasi oʻrnatilgan qurilmada audio/video qoʻngʻiroqlar (shu jumladan, messenjerlar orqali audio/video qoʻngʻiroqlar) amalga oshirilayotgan vaqtda hamda masofadan boshqarish holatida mobil ilovadan foydalanish imkoniyatini cheklashlari shart.

16. Mobil ilova va uning veb-talqinida foydalanuvchining hisobga olish yozuvi (akkaunti) doirasida “Aktiv sessiyalar” ( Active Sessions ) nomli alohida boʻlim joriy etilishi va u quyidagi funksional imkoniyatlarga ega boʻlishi lozim:

qanday qurilma(lar), brauzer(lar) va IP manzil(lar) orqali faol sessiya(lar) mavjud ekanligi toʻliq koʻrsatilgan boʻlishi;

har bir sessiya uchun qurilma nomi va operatsion tizim, brauzer nomi va versiyasi, IP manzili, sessiya boshlangan vaqti, joriy faol sessiya belgisi (agar ushbu sessiya foydalanuvchining hozirgi faol brauzerida ochilgan boʻlsa) toʻgʻrisidagi maʼlumotlarni oʻz ichiga olgan boʻlishi;

har bir sessiya yonida “Sessiyani tugatish” ( Log out/Terminate ) tugmasi mavjud boʻlishi va foydalanuvchi istalgan vaqtda sessiyani tugata olishi.

17. Kredit va toʻlov tashkilotlari mobil ilova orqali amalga oshiriladigan har bir moliyaviy amaliyot (bank hisobvaraqlari boʻyicha pul oʻtkazmalari, P2P oʻtkazmalari, xizmatlar uchun toʻlovlar va boshqa operatsiyalar) foydalanuvchi tomonidan tasdiqlanishidan oldin, foydalanuvchiga ushbu amaliyot aynan mijozning oʻzi tomonidan, firibgarlar aralashuvisiz bajarilayotganligini mustaqil ravishda tasdiqlovchi ogohlantirish xabarini koʻrsatishi shart.

Ogohlantirish xabari foydalanuvchi tomonidan tasdiqlangandan soʻng moliyaviy amaliyotning bajarilishi davom ettirilishi lozim.

4-bob. Onlayn kredit (mikroqarz) ajratishda frod holatlarining oldini olish boʻyicha talablar

18. Onlayn kredit (mikroqarz) olish boʻyicha ariza kelib tushgandan soʻng, kredit tashkiloti dastlab foydalanuvchi toʻgʻrisidagi maʼlumotlarni kredit byurolari tomonidan yuritiladigan Kredit bitimini tuzish taqiqlangan shaxslar reyestridan (bundan buyon matnda reyestr deb yuritiladi) tekshirishi shart.

Foydalanuvchi toʻgʻrisidagi maʼlumotlar reyestrda mavjudligi aniqlansa, onlayn kredit (mikroqarz) rasmiylashtirish jarayoni toʻxtatiladi va foydalanuvchining telefon raqamiga arizaning rad etish sababi koʻrsatilgan holda SMS-xabarnoma yuboriladi.

Foydalanuvchi toʻgʻrisidagi maʼlumotlar reyestrda mavjudligi aniqlanmasa, onlayn kredit (mikroqarz) ajratish jarayoni davom ettiriladi.

19. Kredit tashkiloti onlayn kredit (mikroqarz) ajratishda foydalanuvchining qarz yuki koʻrsatkichi va toʻlov qobiliyatini baholash maqsadida kredit byurolariga quyidagi maʼlumotlarni oʻz ichiga olgan soʻrov yuboradi:

ariza berilgan vaqt;

arizachining rozilik bergan vaqti;

arizachining JSHSHIRi;

kreditning foiz stavkasi;

kredit muddati;

kredit summasi;

kredit turi;

valyuta turi;

kredit tarixini oʻrganish maqsadi.

20. Kredit byurolari bir JSHSHIR boʻyicha bir vaqtning oʻzida bir nechta kredit tashkilotlaridan soʻrov kelib tushganda faqat birinchi soʻrov yuborgan kredit tashkilotining soʻroviga javob berishi shart.

Birinchi boʻlib soʻrov yuborgan kredit tashkiloti ushbu JSHSHIR boʻyicha onlayn kredit (mikroqarz) ajratmaslik toʻgʻrisida kredit byurolariga maʼlum qilgan taqdirda kredit byurolari ushbu JSHSHIR boʻyicha keyingi soʻrov yuborgan kredit tashkilotining soʻroviga javob berishi kerak.

Agar birinchi soʻrov yuborgan kredit tashkiloti ushbu JSHSHIR boʻyicha onlayn kredit (mikroqarz) rasmiylashtirilganligini maʼlum qilsa, kredit byurolari mazkur JSHSHIR boʻyicha boshqa kredit tashkilotlariga 24 soat davomida soʻrov qabul qilinmasligi toʻgʻrisida maʼlumot beradi.

21. Kredit tashkiloti olingan maʼlumotlar asosida oʻzining ichki qoidalaridan kelib chiqib, onlayn kredit (mikroqarz) ajratish yoki ajratmaslik toʻgʻrisida qaror qabul qiladi.

22. Kredit tashkiloti onlayn kredit (mikroqarz) ajratish toʻgʻrisida qaror qabul qilsa, ariza yuborgan foydalanuvchiga uning mavjud qarzdorliklarining umumiy miqdori (agar mavjud boʻlsa) hamda taqdim etiladigan onlayn kredit (mikroqarz)ning toʻliq qiymatini koʻrsatgan holda mobil ilovada PUSH -xabar va telefon raqamiga SMS-xabarnoma yuborish orqali xabar beradi.

Bunda foydalanuvchiga unga yuborilgan xabardan kelib chiqib, onlayn kredit (mikroqarz) rasmiylashtirish jarayonini davom ettirish yoki bergan arizasini bekor qilish imkoniyati taqdim etilishi, shuningdek foydalanuvchi arizani bekor qilgan taqdirda unga qisqa vaqt ichida onlayn kredit (mikroqarz) olish boʻyicha qayta ariza yuborish imkoniyati berilishi lozim.

23. Kredit tashkilotlari onlayn kredit (mikroqarz) ajratish boʻyicha shartnoma rasmiylashtirilganidan soʻng, pul mablagʻlarini foydalanuvchiga oʻtkazib berishdan oldin foydalanuvchini masofaviy biometrik identifikatsiyadan oʻtkazishi shart.

24. Kredit tashkilotlari tomonidan onlayn kredit (mikroqarz) ajratish natijalari (onlayn kredit (mikroqarz) rasmiylashtirilgan yoki rad etilganligi toʻgʻrisidagi maʼlumotlar real vaqt rejimida kredit byurolariga taqdim etilishi shart.

25. Onlayn kredit (mikroqarz) rasmiylashtirish jarayonida qarz yuki koʻrsatkichi va kredit qobiliyatini baholash (skoring) uchun yuboriladigan soʻrovlar monitoring qilish uchun yuboriladigan soʻrovlardan alohida belgilar (identifikatorlar) bilan farq qilishi lozim.

26. Kredit tashkilotlari oʻzining ichki qoidalaridan kelib chiqib, onlayn kredit (mikroqarz) ajratish jarayonida sodir etiladigan frod holatlarining oldini olish boʻyicha qoʻshimcha choralarni koʻradi.

27. Kredit va toʻlov tashkilotlari oʻz mobil ilovasida foydalanuvchining hisobga olish yozuvi (akkaunti) doirasida “Firibgarlik haqida xabar berish” nomli alohida boʻlimni joriy etishi shart. Mazkur boʻlim bosilganda alohida oyna (forma) ochilishi va unda quyidagi maʼlumotlarni kiritish uchun maydonlar taqdim etilishi lozim:

foydalanuvchining F.I.O.;

pasport yoki identifikatsiya ID -karta raqami va seriyasi;

tugʻilgan kuni;

hisobga olish yozuvida (akkauntda) roʻyxatdan oʻtgan telefon raqami;

firibgarlik holatining qisqacha tavsifi;

yoʻqotilgan pul mablagʻining miqdori;

holat sodir etilgan vaqt.

5-bob. Onlayn kredit (mikroqarz) ajratishda sodir etilgan frod holatlari natijasida foydalanuvchilarga yetkazilgan moddiy zararni qoplash tartibi

28. Masofadan turib onlayn kredit (mikroqarz) ajratish jarayonida sodir etilgan frod holati natijasida foydalanuvchi nomiga onlayn kredit (mikroqarz) rasmiylashtirilgan taqdirda foydalanuvchi mazkur holat boʻyicha ichki ishlar organlariga ariza bilan murojaat qiladi.

29. Ichki ishlar organlari fuqaro (foydalanuvchi) tomonidan berilgan ariza asosida sodir etilgan frod holati yuzasidan tergovga qadar tekshiruv, surishtiruv, dastlabki tergov harakatlarini amalga oshiradi.

Tergovga qadar tekshiruv, surishtiruv, dastlabki tergov harakatlarida onlayn kredit (mikroqarz) frod holati natijasida rasmiylashtirilganligi aniqlanganda fuqaroning jabrlanuvchi deb eʼtirof etilganligi toʻgʻrisidagi surishtiruvchi, tergovchi, prokuror qarori yoki sudning ajrimi onlayn kredit (mikroqarz)ni rasmiylashtirgan axborot tizimi (mobil ilova, veb-talqin va boshqalar) egasi boʻlgan kredit tashkilotiga yuboriladi.

30. Kredit tashkiloti frod holati natijasida nomiga onlayn kredit (mikroqarz) rasmiylashtirilgan fuqaroning jabrlanuvchi deb eʼtirof etilganligi toʻgʻrisidagi surishtiruvchi, tergovchi, prokurorning qarori yoki sudning ajrimi kelib tushgan kundan boshlab mazkur onlayn kredit (mikroqarz) va u bilan bogʻliq foizlar, neustoyka, jarimalarni hisoblashni hamda jabrlanuvchi deb eʼtirof etilgan shaxsdan undirishni toʻxtatadi.

31. Kredit tashkiloti tomonidan onlayn kredit (mikroqarz) rasmiylashtirilishi va u bilan bogʻliq boshqa toʻlovlar jabrlanuvchidan undirilgan holatlarda ushbu toʻlovlar kredit tashkiloti tomonidan jabrlanuvchining bank kartasiga yoki u koʻrsatgan hisobvaragʻiga sudning qarori yoki ajrimi asosida qaytariladi.

Mazkur toʻlovlar sudning qarori yoki ajrimi qonuniy kuchga kirgan kundan boshlab oʻn besh kun muddatda amalga oshiriladi.

32. Kredit tashkiloti onlayn kredit (mikroqarz) ajratish bilan bogʻliq frod holatini sodir etgan shaxsdan yetkazilgan moddiy zararni regress tartibida undirish maqsadida:

dastlabki tergov va sudda fuqaroviy daʼvogar sifatida ishtirok etadi;

ishda ayblanuvchi tariqasida jalb etilishi lozim boʻlgan shaxs aniqlanganda moddiy zararni undan oʻz hisobiga undirish boʻyicha talablarni kiritadi;

qonunchilikda belgilangan tartibda boshqa harakatlarni amalga oshiradi.

33. Kredit tashkiloti frod holatiga shubha qilganda holat va dalillarni qayta tekshirish boʻyicha tergovga qadar tekshiruv, surishtiruv, dastlabki tergov harakatlari yoki sudning qarori ustidan qonunchilikda belgilangan tartibda shikoyat qilishi mumkin.

34. Surishtiruv, dastlabki tergov natijalari yoki sudning qaroriga asosan frod holati yuz bermaganligi aniqlanganda kredit tashkiloti onlayn kredit (mikroqarz) va u bilan bogʻliq foizlar, neustoyka, jarimalarni hisoblashni hamda jabrlanuvchi deb eʼtirof etilgan shaxsdan undirishni davom ettiradi.

35. Kredit tashkiloti onlayn kredit (mikroqarz) rasmiylashtirish bilan bogʻliq frod holatlari boʻyicha kelib tushgan murojaatlar, oʻtkazilgan tekshiruv natijalari hamda qoplangan zararlar toʻgʻrisidagi maʼlumotlarni har chorakda Markaziy bankka elektron shaklda taqdim etadi.

6-bob. Frod holatlarini aniqlash va oldini olish boʻyicha talablar

36. Kredit va toʻlov tashkilotlari, toʻlov tizimi operatorlari bank kartalari, hisobvaraqlar, mobil ilovadagi hisobga olish yozuvlari (akkauntlar) hamda elektron hamyonlar bilan bogʻliq frod holatlarni aniqlash va oldini olish maqsadida session, tranzaksion antifrod va uyali aloqa darajasida axborot xavfsizligini taʼminlash tizimlarini joriy etishlari lozim.

37. Shubhali faoliyat va frod holatlarini aniqlash hamda oldini olish boʻyicha kredit va toʻlov tashkilotlarida joriy qilingan tranzaksion antifrod tizimlari quyidagi umumiy talablarga javob berishi kerak:

foydalanuvchilarning toʻlovlarini (bank hisobvaraqlari boʻyicha pul oʻtkazmalari, P2P oʻtkazmalar, xizmatlar uchun toʻlovlar) amalga oshirishdan oldin tahlil qilishi va frod holatlarining belgilarini aniqlashi;

frod holati belgilariga ega boʻlgan toʻlov amaliyotlari aniqlangan taqdirda ularni toʻxtatish toʻgʻrisida qaror qabul qilishi;

toʻlovni amalga oshirish boʻyicha qaror qabul qilishdan oldin nafaqat toʻlov maʼlumotlarini balki ushbu toʻlovni amalga oshiruvchi va qabul qiluvchiga oid maʼlumotlarni (mobil ilovaning ish faoliyati jurnallari hamda session antifrod tizimlaridan olingan maʼlumotlar) tahlil qila olishi;

mobil ilova, internet-banking, avtomatlashtirilgan bank tizimi va karta protsessingi (mavjud boʻlsa) bilan integratsiya qilish imkoniyatiga ega boʻlishi;

foydalanuvchining harakatlarini qayd etish imkoniyatiga ega boʻlishi;

antifrod tizimi va unda belgilangan qoidalarning samaradorligini koʻrsatuvchi hisobotlarni sozlash imkoniyatiga ega boʻlishi;

amaldagi axborot tizimlari va xizmatlarning uzluksiz faoliyatiga salbiy taʼsir koʻrsatmasligi;

maʼlumotlar yaxlitligi nazorat qilingan va shifrlangan holda uzatilishi;

tashqi axborot tizimlariga (shu jumladan, tranzaksion tahlil platformalariga) qoʻshimcha tahliliy maʼlumotlarni taqdim etishi;

belgilangan ichki qoidalar asosida shubhali yoki zararli faoliyatni aniqlash va uni avtomatik bloklash imkoniyatini taʼminlashi;

proksi-server, TOR -tarmogʻi, VPN tarmogʻi va boshqa anonimlashtiruvchi vositalar orqali tizimga kirishga urinish holatlarini aniqlashi;

xosting va kolokatsiya xizmatlarini taqdim etuvchi tashkilotlarning xavf ostidagi serverlari va qurilmalaridan kirish holatlarini aniqlashi;

foydalanuvchining qurilmasiga har qanday usullardan foydalanib masofadan ruxsatsiz ulanish va boshqarish holatlarini aniqlashi.

38. Session antifrod tizimlari quyidagi talablarga javob berishi kerak:

foydalanuvchining qurilmasi va undagi xatti-harakatlari haqidagi maʼlumotlarni yigʻish uchun mobil ilova oʻrnatiladigan iOS va Android mobil operatsion tizimlari uchun SDK (Software Development Kit) , shuningdek, internet banking sahifasida joylashtiriladigan Java skripti ga ega boʻlishi;

qurilmalar yoki SIM -kartalarning almashtirilishini aniqlashi va tahlil qilishi;

foydalanuvchi qurilmasining texnik xususiyatlari haqida maʼlumotlarni toʻplash va ular asosida qurilmaning noyob identifikatorini (qurilma barmoq izi) shakllantirishi;

mobil ilovadan foydalanish vaqtida qoʻngʻiroqlarni ( GSM/ messenjerlar orqali) aniqlashi;

foydalanuvchining qurilmasini masofadan boshqarish belgilarini aniqlashi;

mobil qurilma emulyatoriga xos boʻlgan belgilarni aniqlashi;

root/jailbreak belgilari va nosozliklarni tuzatish rejimi ( debugger ) yoqilganligini aniqlashi;

VPN tarmogʻidan foydalanish belgilarini aniqlashi;

sessiya maʼlumotlarini tahlil qilishi va shubhali faoliyat belgilarini aniqlashi;

tranzaksion antifrod tizimiga sessiya maʼlumotlarini yuborishi;

foydalanuvchi qurilmasini uning texnik xususiyatlari ( device fingerprinting ) asosida identifikatsiya qilishi;

foydalanuvchi qurilmasini global ( cross-client ) darajasida identifikatsiya qilishi;

foydalanuvchining hisobga olish yozuvi (akkaunti)dan ruxsatsiz foydalanish holatlarini aniqlashi;

himoyalangan veb-ilovaga uchinchi tomon kodi kiritilgan (ineksiya) holatlarni aniqlashi;

server tomondagi veb qismga frod yoʻli bilan kiritilgan (veb-ineksiya) kodlarni aniqlashi;

fishing holatlarini aniqlashi;

xavf darajasini baholash maqsadida har bir foydalanuvchi ishlatayotgan brauzerlarni monitoring qilishi;

qurilma identifikatorlarini oʻzgartirish yoki yashirish imkonini beruvchi maxsus brauzerlar ( antidetect ) orqali kirish holatlarini aniqlashi;

foydalanuvchi xatti-harakatlari (navigatsiya, kursor harakati, tugmalarni bosish tezligi, tanaffuslar va forma bilan oʻzaro taʼsir) asosida asl foydalanuvchi va firibgarlik faoliyatini farqlash mexanizmlarini joriy etishi;

avtomatik kirishga urinishlar ( bruteforce ) va boshqa manbalardan olingan buzilgan autentifikatsiya maʼlumotlarini qoʻllab ( credential stuffin g) tizimga kirishga urinish holatlarini aniqlashi va bloklashi;

tashqi tizimlarga kirishga urinish holatlari boʻyicha maʼlumot taqdim etishi;

mobil ilovadan foydalanish vaqtida foydalanuvchining harakatlari haqida maʼlumot yuborishi;

brauzerlardan maʼlumot olishi (shuningdek, Chromium 26, Microsoft Edge 13, Mozilla Firefox 4, Safari 8 va undan past boʻlgan versiyalar ishlatilganda bloklashi);

foydalanuvchi tomonidan bir nechta qurilma yoki SIM-karta almashinuvini aniqlashi va tahlil qilishi;

mobil ilovadagi xatti-harakatlar (teginishlar, surishlar, matn terish tezligi, sensor maʼlumotlari) asosida foydalanuvchi yoki firibgar faoliyatini aniqlashi;

GPS va Wi-Fi tarmogʻi maʼlumotlari orqali joylashuvga oid shubhali faoliyatni aniqlashi;

foydalanuvchi va dasturiy taʼminotning zararli faoliyatini tashkilot tomonidan tanlangan qoidalar asosida bloklashi;

foydalanuvchi sessiyasida mobil ilovaning nosozliklarini topish vositasi ( debugger) yoqilgan holatlarni aniqlashi va foydalanuvchi harakatlarini tahlil qilishda inobatga olishi;

mobil ilova va server (yoki boshqa xizmatlar) oʻrtasida maʼlumot almashish uchun moʻljallangan dasturiy interfeys ( Application Programming Interface) ni botlar yoki tashqi tizimlar foydalanishidan himoyalashi.

39. Kredit va toʻlov tashkilotlari shubhali va bloklangan operatsiyalar yuzasidan quyidagi maʼlumotlarni toʻplab, elektron tarzda hujjatlashtirishi lozim:

operatsiya sanasi va vaqti;

foydalanuvchining identifikatori va qurilma maʼlumotlari;

operatsiya turi va miqdori;

xavfni aniqlash sabablari;

koʻrilgan choralar (bloklash, xabar yuborish, aloqaga chiqish, tahlil qilish va h.k.);

yakuniy qaror.

Ushbu maʼlumotlar kredit tashkilotlarida kamida 3 yil davomida saqlanishi shart.

40. Mobil ilovalar yoki veb-resurslar orqali bank kartasining SMS-xabarnoma xizmatini yoqish, oʻchirish yoki oʻzgartirish taqiqlanadi.

41. Mobil ilovada bank kartasi egasining ismi toʻliq shaklda, familiyasining esa faqat birinchi harfi aks ettirilishi, pul oʻtkazmalari amalga oshirilganda mazkur telefon raqamga ulangan bank kartalari egasining maʼlumotlari qisman berkitilgan tarzda aks ettirilishi lozim.

42. Tashqi tizimlar yoki xorijiy tashkilotlarning mobil ilovalaridan xalqaro oʻtkazmalar telefon raqami orqali amalga oshirilganda bank kartasi egasining ismi toʻliq shaklda, familiyasining birinchi harfi aks ettirilishi hamda bank kartasining birinchi va oxirgi toʻrtta raqamlari joʻnatuvchi interfeysida aks ettirilishi lozim.

43. Kredit tashkilotida onlayn kredit (mikroqarz) ajratish va omonat operatsiyalarini real vaqt rejimida kuzatib borish imkonini beradigan tranzaksion monitoring tizimi joriy etilishi lozim.

Elektron hamyonlar bilan ishlovchi kredit va toʻlov tashkilotlarida shubhali tranzaksiyalarni aniqlash va oldini olish boʻyicha tranzaksion antifrod tizimi joriy etilishi lozim.

44. Kredit tashkilotlari axborot xavfsizligi va kiberxavfsizlikni taʼminlash va frod holatlariga tezkor javob qaytarish maqsadida foydalanuvchilarni quyidagi holatlar yuz berganda SMS-xabarnoma va mobil ilovada PUSH -xabar orqali zudlik bilan xabardor qilishi hamda jarayonni toʻxtatishi va foydalanuvchining qoʻshimcha tasdiqdan oʻtishini taʼminlashi shart:

foydalanuvchi nomidan yangi qurilma orqali tizimga kirishga urinishda;

foydalanuvchi nomidan onlayn kredit (mikroqarz) rasmiylashtirish, omonat joylashtirish hamda omonatdan pul mablagʻlarini yechib olish boʻyicha soʻrov yuborilganda;

tizimda frod alomatlari qayd etilganda (qisqa vaqt ichida bir nechta operatsiyalarning amalga oshirilishi, shubhali IP -manzillardan kirish, noodatiy geolokatsiyadan harakatlar va boshqalar).

45. Masofadan moliyaviy xizmatlarni taqdim etuvchi axborot tizimlari, shuningdek, mobil ilovalarga nisbatan amalga oshiriladigan kibertahdidlar maxsus platformalar orqali monitoring va tahlil ( threat intelligence ) qilish jarayonida aniqlangan vaqtda tizim orqali zudlik bilan Markaziy bankka xabar berilishi lozim.

7-bob. Maʼlumotlarni saqlash va muhofaza qilish

46. Kredit va toʻlov tashkilotlari jismoniy shaxslarning shaxsiga doir, identifikatsiya va toʻlov bilan bogʻliq barcha turdagi maʼlumotlarning xavfsizligini taʼminlash maqsadida ularni oʻz axborot tizimlarida shifrlangan holda saqlashi shart.

Axborot tizimlaridagi maʼlumotlarning ruxsatsiz tarqalishining oldini olish maqsadida maʼlumotlarni ruxsatsiz tarqalishidan himoyalash tizimi DLP (Data Loss Prevention) joriy etilishi lozim.

47. Axborot tizimida foydalanuvchi va tizimning oʻzi tomonidan amalga oshirilgan barcha harakatlar avtomatik tarzda jurnallashtirilishi shart. Jurnallar soxtalashtirish va oʻzgartirishdan himoyalangan formatda saqlanishi lozim. Jurnal maʼlumotlarining yaxlitligini taʼminlash maqsadida WORM (Write Once Read Many) texnologiyasidan foydalanish tavsiya etiladi.

48. Imtiyozli funksiyalar va yuqori darajadagi tizim huquqlari orqali amalga oshirilgan barcha harakatlarga faqat cheklangan doiradagi xodimlar tomonidan kirishga ruxsat berilishi shart. Bunday huquqlardan foydalanish jarayonlari majburiy tarzda koʻp omilli autentifikatsiya MFA (Multi-Factor Authentication) orqali himoyalanishi lozim.

Imtiyozli funksiyalar va yuqori darajadagi tizim huquqlari doirasida amalga oshiriladigan faoliyatning toʻliq nazorati va jurnallashtirilishi PAM (Privileged Access Management) tizimi orqali amalga oshirilishi kerak.

49. Kredit va toʻlov tashkilotlari axborot tizimlaridagi maʼlumotlarni himoya qilish uchun kriptografik himoya vositalaridan foydalanishda quyidagi talablarni bajarishlari shart:

aloqa kanallari orqali axborot almashinuvini faqat himoyalangan Transport Layer Security (TLS) protokolidan (1.3 yoki undan yuqori versiya) foydalangan holda amalga oshirish;

maʼlumotlarni shifrlashda AES-256/GCM algoritmidan foydalanish;

kriptografik kalitlarning aylanish (rotatsiya) siyosatini kiberxavfsizlik sohasidagi vakolatli davlat organi tomonidan belgilangan talablar doirasida amalga oshirish;

kriptografik kalitlar kamida yilda bir marotaba yangilanib borilishini taʼminlash;

kriptografik kalitlar bilan bogʻliq barcha yozuvlar (loglar), shu jumladan kalit yaratish, aylantirish, bekor qilish va foydalanish holatlari toʻgʻrisidagi maʼlumotlarni kamida 3 yil davomida saqlash;

kriptografik kalitlarning muddati oʻtganidan keyin ularni belgilangan tartibda yoʻq qilish yoki arxiv holatiga oʻtkazish hamda bu jarayonni tegishli dalolatnoma bilan rasmiylashtirish.

50. Kredit va toʻlov tashkilotlari kriptografik kalitlarni boshqarishda kalitlarni boshqarish tizimi ( KMS ) yoki apparat xavfsizlik moduli ( HSM )dan foydalanishlari mumkin.

51. Mazkur Nizomda qayd etilgan kriptografik algoritmlar yoki protokollarning versiyalari (jumladan, TLS, AES va boshqalar) eskirgan yoki zaif deb topilsa, kredit va toʻlov tashkilotlari maʼlumotlarni himoya qilishda yangilangan, ekvivalent yoki undan yuqori darajadagi xavfsizlikni taʼminlaydigan kriptografik algoritmlar va protokollardan foydalanishlari lozim.

52. Kredit va toʻlov tashkilotlari axborot tizimlari doirasida amalga oshirilgan barcha texnik jarayonlar, foydalanuvchi faoliyati, xavfsizlik bilan bogʻliq holatlar, operatsiya jurnallari va tegishli dasturiy yozuvlarni kamida 3 yil mobaynida xavfsiz va ishonchli shaklda saqlashi lozim.

8-bob. Mobil ilovalar va ularning veb-talqinida xavfsizlikni taʼminlash

53. Kredit va toʻlov tashkilotlari tomonidan joriy etilgan mobil ilovalar va ularning veb-talqini axborot xavfsizligi va kiberxavfsizlikni taʼminlash talablariga toʻliq javob berishi lozim.

54. Mobil ilovaga texnik xavf tugʻdiruvchi qurilmalarda ishlashini avtomatik tarzda aniqlash va bloklash mexanizmlari joriy etilishi lozim.

55. Kredit va toʻlov tashkilotlari quyidagi holatlarda mobil ilovaning ishlashini cheklashi lozim:

android operatsion tizimida ishlovchi qurilmaning tizim huquqlariga noqonuniy kirish orqali xavfsizlik siyosati buzilganda ( root );

iOS operatsion tizimida ishlovchi qurilmada ishlab chiqaruvchi tomonidan oʻrnatilgan xavfsizlik cheklovlari oʻchirilib, tizimga chuqur kirish imkoniyati yaratilganda ( jailbreak ).

56. Mobil ilova ishga tushirilganda qurilmaning xavfsizlik holati tahlil qilinishi ( SafetyNet Attestation, Play Integrity API, Jailbreak detection kabi vositalar) va salbiy holat aniqlanganda mobil ilovaning ish faoliyati toʻxtatilib, foydalanuvchiga SMS-xabarnoma yuborilishi shart. Ushbu holat bayonnoma ( loglar ) bazasiga avtomatik tarzda qayd etilishi lozim.

57. Mobil ilova dastur kodiga ruxsatsiz kirish, tahrirlash, teskari muhandislik ( reverse engineering ) va dekompilyatsiya orqali tahlil qilish imkoniyatini cheklovchi maxsus texnologiyalar bilan himoya qilinishi shart.

58. Kredit va toʻlov tashkilotlari mobil ilova orqali tarqalishi mumkin boʻlgan zararli kodlar, dasturlar va frodga oid tahdidlarni aniqlash va ularning oldini olish maqsadida mobil SDK (Software Development Kit ) orqali antivirus va antifrod funksiyalari bilan taʼminlangan xavfsizlik modullarini integratsiya qilishi kerak.

59. Kredit va toʻlov tashkilotlari mobil ilovani real vaqt rejimida tahdidlardan himoya qilish uchun RASP (Runtime Application Self-Protection ) texnologiyalarini joriy qilishi lozim.

60. Kredit va toʻlov tashkilotlari oʻz veb-talqinlarida quyidagi axborot xavfsizligi va kiberxavfsizlikni taʼminlash choralarini koʻrishlari shart:

maʼlumot almashinuvi HTTPS protokoli orqali amalga oshirilishi va HSTS (Strict Transport Security) siyosati faollashtirilishi;

veb-talqinga yuklanadigan JavaScript kodlarining yaxlitligini taʼminlash uchun SRI (Subresource Integrity) yoki shunga mos mexanizmlar qoʻllanishi;

brauzer muhitida anomal faollikni (bot faolligi, avtokliker, virtual muhit) aniqlash uchun tegishli kiberxavfsizlik vositalarini joriy qilishi.

61. Kredit va toʻlov tashkilotlari mobil ilovalar va ularning veb-talqinida sessiya boshqaruvi hamda autentifikatsiya xavfsizligini oʻzining antifrod tizimlarida belgilangan talab va qoidalarga asosan taʼminlaydi.

62. Foydalanuvchining faoliyati, sessiyalari, anomal harakat va tahdidlar bilan bogʻliq barcha maʼlumotlar bayonnomalashtirilishi (loglash) hamda markazlashgan monitoring ( SIEM ) tizimiga integratsiya qilingan holda real vaqt rejimida kuzatilishi va qayd etilishi shart.

63. Kredit va toʻlov tashkilotlarining mobil ilovalariga qisqa vaqt oraligʻida noodatiy darajada koʻp soʻrovlar kelib tushganda axborot tizimining barqarorligi va xavfsizligini taʼminlash maqsadida bunday soʻrovlarga nisbatan cheklovlar joriy etishi, vaqtinchalik bloklash yoki boshqa himoya choralarini mustaqil ravishda qoʻllashlari lozim.

64. Mobil ilovadagi akkauntga 1 daqiqa mobaynida 1 ta IP manzildan 2 va undan ortiq qurilmadan urinish holatlari kuzatilsa, ushbu akkaunt 10 daqiqaga bloklanishi lozim.

9-bob. Foydalanuvchilarni oʻqitish va maʼlumot berish

65. Kredit va toʻlov tashkilotlari oʻz axborot tizimlari, mobil ilovalari va veb-resurslarida roʻyxatdan oʻtgan foydalanuvchilarini axborot xavfsizligi va kiberxavfsizlikni taʼminlash hamda frod holatlarining oldini olish boʻyicha asosiy qoidalar bilan tanishtirishi shart.

66. Axborot tizimlari, mobil ilovalar va veb-resurslarda foydalanuvchiga frodning turlari, eng koʻp uchraydigan sxema va usullari hamda ulardan himoyalanish boʻyicha amaliy tavsiyalar berib borilishi lozim.

67. Kredit tashkilotlari frod holatlari toʻgʻrisida foydalanuvchilar tezkor murojaat qilishlari uchun bank kartasining orqa tomonida 24/7 rejimda ishlovchi aloqa raqamini koʻrinib turadigan va oʻqish uchun oson shaklda joylashtirishi shart.

68. Kredit va toʻlov tashkilotlari bank kartasini rasmiylashtirish yoki boshqa turdagi xizmatlarni taqdim etish jarayonida tuziladigan shartnomalar va ommaviy ofertalarda quyidagi talablarni belgilashi shart:

foydalanuvchiga kredit va toʻlov tashkilotlari tomonidan yuboriladigan xabarlar, jumladan mobil ilovadagi bildirishnomalar, SMS va PUSH -xabarlarni diqqat bilan oʻrganib chiqishi shartligi;

kredit va toʻlov tashkilotlari tomonidan foydalanuvchiga firibgarlik belgilari aniqlanganligi toʻgʻrisida maʼlumot berilishi;

foydalanuvchi kredit yoki toʻlov tashkilotidan shu kabi xabarlarni olganidan keyin har qanday toʻlov amaliyotlarini tasdiqlashda ehtiyotkor boʻlishi;

foydalanuvchining qurilmasi yoʻqolganligi yoki uchinchi shaxslar tomonidan qurilmani boshqarishga nazorat oʻrnatilganligini aniqlagan paytdan boshlab zudlik bilan biroq 1 kundan kechiktirmay kredit yoki toʻlov tashkilotini xabardor qilishi;

foydalanuvchi oʻz roziligisiz amalga oshirilgan operatsiya faktini aniqlagan paytdan boshlab 1 kun ichida bu haqda kredit va toʻlov tashkilotini xabardor qilishi;

foydalanuvchi kredit va toʻlov tashkilotiga oʻzining aloqa maʼlumotlarini taqdim etishi shartligi, ushbu maʼlumotlar kredit va toʻlov tashkilotining foydalanuvchi bilan bogʻlanishi uchun zarurligi, agar ushbu maʼlumotlar oʻzgarsa, foydalanuvchi oʻzgarishlar sodir boʻlgan kundan boshlab 3 kun ichida bu haqda kredit yoki toʻlov tashkilotiga xabar berishi.

Kredit va toʻlov tashkilotining soʻroviga koʻra foydalanuvchi operatsiyani oʻzi mustaqil ravishda amalga oshirganligi yoki uni foydalanuvchining topshirigʻi yoxud ixtiyoriy roziligi bilan uchinchi shaxs bajarganligi haqidagi maʼlumotlarni taqdim etishi shart. Shuningdek, foydalanuvchi firibgarlik holatlari toʻgʻrisidagi maʼlumotlarni ham taqdim etishi lozim.

69. Bank kartasini rasmiylashtirish jarayonida foydalanuvchilarga bank kartasining amal qilish muddati, himoya parollari va telefon raqamiga SMS orqali yuboriladigan bir martalik tasdiqlovchi kodlarni begona shaxslarga taqdim etmaslik toʻgʻrisida tushuntirish hamda yozma ravishda maʼlumot berilishi lozim.

70. Foydalanuvchi SMS-xabarnoma xizmatiga ulangan telefon raqamini oʻzgartirgan taqdirda kredit va toʻlov tashkiloti uning avvalgi telefon raqamiga xizmatning oʻchirilganligi va yangi telefon raqamiga xizmatning ulanganligi haqida SMS-xabarnoma orqali xabar berishi shart.

10-bob. Yakuniy qoidalar

71. Mazkur Nizom talablarining buzilishida aybdor boʻlgan shaxslar qonunchilik hujjatlarida belgilangan tartibda javobgar boʻladilar.

72. Mazkur Nizomning 5-bobida belgilangan talablar Nizom kuchga kirgandan keyin sodir etilgan onlayn kredit (mikroqarz) ajratish bilan bogʻliq frod holatlariga nisbatan qoʻllaniladi.

73. Mazkur Nizomda belgilangan talablarning agent va subagentlar tomonidan bajarilishi ularga tegishli asosiy tashkilot (kredit yoki toʻlov tashkiloti) tomonidan nazorat qilinadi.

Rais T. ISHMETOV

Bosh prokuror N. YOʻLDOSHEV

Raqamli texnologiyalar vaziri SH. SHERMATOV

Ichki ishlar vaziri A. TASHPULATOV

Davlat xavfsizlik xizmati raisi B. KURBANOV

Toshkent sh.,

2025-yil 23-dekabr,

2025-yil 1-dekabr

2025-yil 29-noyabr

2025-yil 27-noyabr

2025-yil 20-noyabr

35/14-son

(Qonunchilik maʼlumotlari milliy bazasi, 21.01.2026 y., 10/26/3759/0064-son; 15.08.2026 y., 10/26/3759-1/0847-son)

lex.uz