Ўзбекистон Республикасининг «Ўзбекистон Республикасининг Марказий банки тўғрисида»ги Қонунига мувофиқ Ўзбекистон Республикаси Марказий банки бошқаруви қарор қилади:

1. Ўзбекистон Республикаси тижорат банкларининг ахборот хавфсизлиги ва киберхавфсизлигига доир минимал талаблар тўғрисидаги низом 1-иловага мувофиқ тасдиқлансин.

2. Айрим идоравий норматив-ҳуқуқий ҳужжатлар 2-иловага мувофиқ ўз кучини йўқотган деб топилсин.

3. Мазкур қарор Ўзбекистон Республикаси Давлат хавфсизлик хизмати, Рақамли технологиялар вазирлиги ва Адлия вазирлиги билан келишилган.

4. Мазкур қарор расмий эълон қилинган кундан эътиборан уч ойдан кейин кучга киради.

Мазкур Низом Ўзбекистон Республикаси тижорат банкларининг, шу жумладан микромолия банкларининг (бундан буён матнда банк деб юритилади) ахборот хавфсизлиги ва киберхавфсизлигига доир минимал талабларни белгилайди.

1. Ушбу Низомда қуйидаги асосий тушунчалар ва қисқартмалардан фойдаланилади:

автоматлаштирилган банк тизими — банк фаолияти соҳасида ахборотни тўплаш, сақлаш, излаш, унга ишлов бериш ва ундан фойдаланишни амалга ошириш учун мўлжалланган ахборот тизими;

антивирус дастури — компьютер вирусига қарши дастур, вирусларни аниқлаш учун мўлжалланган ва уларни йўқ қилиш таклифини бериши мумкин бўлган ёки йўқ қилувчи дастур;

антивирус ҳимояси — антивирус дастурлари ёрдамида компьютер вируслари таъсирининг олдини олиш, вирусларни топиш ва зарарсизлантиришга қаратилган чора-тадбирлар мажмуи;

аутентификация қилиш — фойдаланувчи, дастур, қурилма ёки маълумотларнинг ҳақиқийлигини тасдиқлаш тартиб-таомили;

ахборот активлари — банк фаолияти учун муҳим бўлган ахборотлар (мижоз маълумотлари, операцион маълумотлар, дастурий таъминот, маълумотлар базалари, ҳодисалар журналлари ва бошқалар) ҳамда уларни сақлаш, узатиш, қайта ишлаш ва муҳофаза қилишга хизмат қилувчи барча ресурслар (ахборот тизимлари ва ресурслари, серверлар, маълумотлар омборлари, алоқа каналлари ва дастурий иловалар);

ахборот ресурси— ахборот тизими таркибидаги электрон шаклдаги ахборот, маълумотлар банки, маълумотлар базаси, шу жумладан ахборот тизимларида очиқ шаклда жойлаштириладиган ёхуд эълон қилинадиган аудио, видео, график ва матнли ахборот;

ахборот тизими — ахборотни тўплаш, сақлаш, излаш, унга ишлов бериш ҳамда ундан фойдаланиш имконини берадиган, ташкилий жиҳатдан тартибга солинган жами ахборот ресурслари, ахборот технологиялари ва алоқа воситалари;

ахборот хавфсизлиги — ахборот соҳасида шахс, жамият ва давлат манфаатларининг ҳимояланганлик ҳолати;

ахборот хавфсизлиги нохуш ҳодисаси — ахборот хавфсизлигининг ягона воқеаси ёки бир қатор нохуш ёхуд кутилмаган воқеалари бўлиб, ушбу воқеалар туфайли ахборотнинг ошкор бўлиши ва ахборот хавфсизлигига таҳдидлар эҳтимоли;

ҳужум — ахборот активларини йўқ қилиш, очиш, ўзгартириш, блокировкалаш, тутиб олиш, рухсат этилмаган фойдаланиш ҳуқуқини олиш ёки ахборот активларидан рухсатсиз фойдаланишга уриниш;

компьютер вируси — деструктив хусусиятга, ўз нусхасини кўпайтира олиш (асл нусха билан тўлиқ мос бўлмаслиги ҳам мумкин) ва фойдаланувчи билмаган ҳолда уларни компьютер тизимлари, тармоқлари турли ресурслари ва шу борада жорий этиш қобилиятига эга бўлган дастурдир (бажариладиган кодлар тўплами);

мониторинг — автоматлаштирилган банк тизими ва ахборот тизимлари ҳолатини кузатиш;

сервер хонаси — банк серверлари, телекоммуникация қурилмалари, узлуксиз қувват манбалари ва бошқа ҳисоблаш техникалари жойлашган хона;

тармоқлараро экран — тизимга келиб тушадиган ва (ёки) тизимдан чиқиб кетадиган ахборотнинг назорат қилинишини амалга оширадиган дастур ва (ёки) дастурий восита;

хеш суммаси — криптографик алгоритм ёрдамида ҳисобланган, файл бутлигини текшириш суммаси;

шахсга доир маълумотлар — муайян жисмоний шахсга тааллуқли бўлган ёки уни идентификация қилиш имконини берадиган, электрон тарзда, қоғозда ва (ёки) бошқа моддий жисмда қайд этилган ахборот;

электрон архив — архив мақомига эга бўлган, банк электрон ҳужжатларини жамловчи, ҳисобга олувчи, сақловчи ва фойдаланишни амалга оширувчи банкнинг таркибий бўлими;

электрон ҳужжат — электрон шаклда қайд этилган, электрон рақамли имзо билан тасдиқланган ва электрон ҳужжатнинг уни идентификация қилиш имкониятини берадиган бошқа реквизитларига эга бўлган ахборот;

охирги нуқталар (Endpoint) — тармоқ тизимига уланадиган физик ускуналардир. Бунда, мобил қурилмалар, компьютерлар, виртуал машиналар, ўрнатилган ускуналар ёки серверлар охирги нуқталар бўлиши мумкин;

киберхавфсизлик таваккалчилиги — ахборот тизимлари, ахборот-коммуникация технологиялари инфратузилмаси ёки рақамли хизматларига қарши йўналтирилган таҳдидлар натижасида юзага келиши мумкин бўлган молиявий зарар, операцион фаолиятнинг издан чиқиши ёки ташкилот обрўсига путур етиши эҳтимоли;

DLP (Data Loss Prevention) — маълумотларни рухсатсиз тарқалишидан ҳимоялаш тизими;

PAM (Privileged Access Management) — ахборот тизимларига имтиёзли кириш ҳуқуқларига эга бўлган фойдаланувчиларни тизимга киришини бошқариш, назорат қилиш ва ҳимоя қилиш тизими;

IDS/IPS (Intrusion Detection/Prevention System) — тажовузларни аниқлаш ва олдини олиш тизимлари;

Wi-Fi (Wireless Fidelity) — маълумотларни симсиз узатиш технологияси;

VPN (Virtual Private Network) — виртуал шахсий тармоқ.

2. Банклар ахборот тизимлари ва ахборот ресурсларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаши ҳамда бутун иш фаолияти давомида сақлаб туриши лозим.

3. Банклар ва уларнинг филиалларида (филиаллар, амалиёт бошқармалари, банк хизматлари офислари (марказлари) ва бошқа алоҳида бўлинмалар) ахборот хавфсизлиги ва киберхавфсизликни таъминлаш мақсадида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш хизмати (бундан буён матнда Хизмат деб юритилади) ташкил этилади.

4. Хизмат банкнинг ахборот активларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш, шунингдек тизимнинг вақтинча тўхташи, тўлов маълумотларининг ноқонуний ўзгариши, банк ёки унинг мижозига зарар етказиш ҳолатларини олдини олиш ва бартараф этиш бўйича масъул ҳисобланади.

5. Хизмат ўз фаолиятида:

ахборот хавфсизлиги ва киберхавфсизликни бошқариш тизимини ташкил қилиши, ахборот хавфсизлиги ва киберхавфсизликни таъминлаш талабларининг банк бўлинмалари ҳамда ходимлари томонидан бажарилишини ташкиллаштириши ва назорат қилиши;

ахборотнинг сақланишини таъминлаш устидан назоратни ташкил этиши;

ахборотни муҳофаза қилиш масалаларида банк бўлинмалари ва ходимларига услубий ва амалий ёрдам кўрсатиши;

ахборот активларида ахборотни муҳофаза қилиш тизимини лойиҳалаш, синовдан ўтказиш, қабул қилиш ва амалиётда қўллаш жараёнларида иштирок этиши, ушбу жараёнларда банк сирига оид ва бошқа конфиденциал маълумотлар четга чиқишининг олдини олиш чораларини кўриши;

ўз ваколати доирасида банкнинг ахборот хавфсизлиги ва киберхавфсизлигини бошқариш, таъминлаш ва назорат қилиш усуллари, воситалари ва механизмларини танлаш, жорий этиш ва қўллашни амалга ошириши;

ахборот активларида ахборотдан рухсатсиз фойдаланишга уринишлар бўлганлиги, унга бошқача шаклда аралашилганлиги аниқланганда ҳамда тизимнинг ишлаш қоидалари бузилганда мазкур тизимдаги ахборотни муҳофаза қилиш чора-тадбирларини кўриши;

ахборот активларига нисбатан амалга ошириладиган кибертаҳдидлар ва ҳужумларни аниқлаши, таҳлил қилиши ҳамда уларни бартараф этиш чораларини кўриши;

ахборот хавфсизлиги нохуш ҳодисаси (бундан буён матнда нохуш ҳодиса деб юритилади) тўғрисидаги маълумотларни йиғиши, қайта ишлаши, таҳлил қилиши ва сақлаши;

нохуш ҳодисаларни текшириш бўйича ишларни амалга ошириши;

ахборотни муҳофаза қилиш чора-тадбирларининг ҳолати ва самарадорлигини таҳлил қилиши;

ахборот хавфсизлиги ва киберхавфсизликни таъминлаш дастурий таъминотлари ва аппарат-дастурий қурилмаларининг тўғри ишлашини назорат қилиши ва таъминлаши;

ахборот хавфсизлиги ва киберхавфсизликни таъминлаш билан боғлиқ мониторингни олиб бориши;

ахборот хавфсизлиги ва киберхавфсизликни таъминлаш масалалари бўйича таклифлар тайёрлаши;

ахборот активларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш чораларини кўриш учун талабларни белгилаши;

банкнинг ахборот активларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш ҳамда назорат қилиш бўйича режаларни тузиши;

конфиденциал, шу жумладан банк сирини ташкил этувчи ва шахсга доир маълумотларнинг сақланишини назорат қилиши;

ахборот тизимларида тўхташ, авария ҳолатлари, киберхавфсизлик ҳодисаси ҳамда нохуш ҳодиса содир бўлганда тизимларни қайта тиклаш жараёнида иштирок этиши ва ахборот тизимларининг тўлиқ ишчи ҳолатига келишини назорат қилиши;

банк ҳужжатларига мувофиқ бошқа функцияларни амалга ошириши керак.

6. Хизматнинг вазифалари, ваколатлари ва мажбуриятлари банкнинг ички ҳужжатлари билан белгиланиши мумкин, бунда мазкур Низом талаблари инобатга олинади. Хизмат ўзининг вазифа ва мажбуриятларини бажаришга зарур бўлган техник ресурслар билан таъминланиши лозим.

7. Хизмат ходимларининг сони уларга юклатилган вазифалар, ахборот ресурслари ва ахборот тизимлари сони ҳамда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизимларининг автоматлаштирилганлик даражасидан келиб чиқиб белгиланади.

8. Хизмат ҳамда ахборот технологиялари бўлинмалари банк бошқаруви органининг турли аъзоларига бўйсуниши лозим, бунда Хизмат тўғридан тўғри банк бошқаруви раисига бўйсунади.

Хизмат ходимларини уларнинг асосий фаолияти билан боғлиқ бўлмаган ишларга жалб этиш тақиқланади.

9. Банклар тизимли равишда ҳар йили камида икки маротаба ахборот хавфсизлиги ва киберхавфсизликни таъминлаш соҳасига ихтисослаштирилган ўқув курсларида Хизмат ходимларининг малакасини оширишни таъминлаши керак. Бунда Хизматнинг барча масъул ходимларини йўналиши бўйича ўқитиш ва малакасини ошириш инобатга олиниши лозим.

10. Ахборот хавфсизлиги ва киберхавфсизликни таъминлаш қонунчилик ҳужжатларида белгиланган талаблар ҳамда банкнинг ахборот хавфсизлиги ва киберхавфсизликни таъминлашга оид ички ҳужжатлари билан тартибга солинади.

11. Банк ахборот хавфсизлигига оид ички сиёсатни ишлаб чиқиши ва қабул қилиши лозим.

Ахборот хавфсизлиги сиёсатида банкда мавжуд бўлган барча ахборот тизимлари ва ахборот ресурсларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича талаблар белгиланади.

12. Ахборот хавфсизлиги ва киберхавфсизликни таъминлашга оид ички ҳужжатлар ва уларда белгиланган талаблар банкнинг ҳар бир ходимига таништирилиши шарт. Банк ходимлари ушбу ҳужжатларда белгиланган талабларга қатъий риоя қилишлари керак.

13. Ахборот тизимлари ва ахборот ресурсларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш билан боғлиқ мазкур Низомда белгиланган барча чора-тадбирлар амалга оширилганлиги ёзма ёки электрон шаклда ўз тасдиғига эга бўлиши лозим.

14. Агар банк филиаллар тармоғига эга бўлса, ҳар бир филиалда банкнинг тасдиқланган ахборот хавфсизлиги ва киберхавфсизликни таъминлашга оид ҳужжатлари тўплами мавжуд бўлиши керак. Муайян филиалларнинг хусусиятларини ҳисобга олиш зарур бўлса, банк ушбу хусусиятларни инобатга олган ҳолда ўз ички ҳужжатларини ишлаб чиқилишини таъминлайди.

15. Банкнинг ахборот активларига дастурий ўзгартириш киритиш ёки янги ахборот ресурслари ва тизимларини жорий этиш Хизмат билан келишилган ҳолда амалга оширилиши лозим.

16. Банкларга ўзларининг ахборот-коммуникация технологиялари инфратузилмалари ҳамда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизимларини бошқариш, назорат қилиш ва узлуксиз ишлашини таъминлаш вазифаларини шартнома асосида хизмат кўрсатувчи тадбиркорлик субъектларига (аутсорсинг) бериш тақиқланади.

17. Банк қонунчилик ҳужжатлари ва ўзининг ички ҳужжатлари билан белгиланган конфиденциал маълумотларнинг ошкор этилмаслигини таъминлайди. Бунда, банк томонидан қуйидагилар бажарилиши лозим:

банкка ёки унинг бўлинмасига тааллуқли бўлган конфиденциал маълумотлар, шу жумладан банк сирини ташкил этувчи ва шахсга доир маълумотлар рўйхатини белгилаш ва унинг актуаллигини таъминлаш;

етказилган зарарни қоплаш мақсадида ҳар бир ходим билан конфиденциал маълумотларни сир сақлаш бўйича мажбуриятномани имзолаш;

конфиденциал маълумотлардан фойдаланишга рухсати мавжуд бўлмаган ходимларнинг ушбу маълумотдан фойдаланмаслигини таъминлаш;

конфиденциал маълумотларни ўзида сақловчи компьютерлар ва улардаги ҳужжатларнинг ишончли сақланишини таъминлаш;

Ўзбекистон Республикасининг «Банк сири тўғрисида»ги ва «Шахсга доир маълумотлар тўғрисида»ги қонунларида кўрсатилган талаблар бажарилишини таъминлаш;

конфиденциал маълумотлардан рухсатсиз фойдаланишнинг олдини олиш бўйича чоралар кўриш.

18. Телекоммуникация тармоғи орқали давлат сирларини ташкил этувчи маълумотларнинг узатилиши тақиқланади.

19. Банкда ҳуқуқий, ташкилий, техник чоралар ва ахборот муҳофазаси тизимлари (қурилмалари) йиғиндиларидан иборат бўлган ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизими ташкил этилади.

20. Ахборот хавфсизлиги ва киберхавфсизликни таъминлашда фойдаланиладиган дастурий-техник воситалар ахборот хавфсизлиги ва киберхавфсизлик талабларига мувофиқ лицензияланган ва сертификатланган бўлиши лозим. Бунда барча дастурий таъминотларни техник қўллаб-қувватлаш бўйича амалга ошириладиган ишлар дастурий таъминотнинг эгаси ёки етказиб берувчи томонидан таъминланиши шарт.

21. Ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизими қуйидагиларни:

ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликларини аниқлаш, олдини олиш ва бартараф этишни;

барча ахборот тизимлари ва ахборот ресурсларининг ахборот муҳофазасини таъминлашни;

халқаро стандартлар асосида тажрибадан ўтган энг илғор ечимларни қўллашни;

юқори ишончга эга бўлган, хизмат кўрсатилиши осон бўлган тизим, қурилма ва ускуналарни қўллашни;

барча жараён ва қурилмалардаги ахборотлар бўйича маълумотларни қайд этиб боришни, ахборот хавфсизлигининг бузилиши, дастур, қурилма ва фойдаланувчиларнинг ишларидаги ўзгаришларни аниқлашни;

иш жараёнининг соддалигини таъминлашни ва максимал даражада ҳаракатларни автоматлаштиришни;

муҳофаза тўсиқларини бир неча поғоналарда ташкил этишни;

ахборот хавфсизлиги ва киберхавфсизликнинг узлуксизлигини таъминлашни;

нохуш ҳодисаларни олдини олиш ва юзага келганда уларни бартараф этиш ҳамда ахборот тизимларнинг иш фаолиятини қайта тиклашни;

ахборот хавфсизлиги ва киберхавфсизликни доимий мукаммаллаштириб боришни таъминлайди.

22. Ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизими қуйидагиларни амалга оширади:

ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизимларига киришни назорат қилиш;

тармоқ хавфсизлигини таъминлаш;

ахборот тизимларига киришни бошқариш ва назорат қилиш;

зарар келтирувчи дастурлардан (компьютер вируслари ва бошқалардан) муҳофаза қилиш;

муҳофаза қилинаётган маълумотлар ва дастурларни назорат қилиш, қайта тиклаш, бутлигини аниқлаш ва мониторингини юритиш;

маълумотларни қайта ишлаш, сақлаш ва узатилишида муҳофазасини таъминлаш;

веб-ресурслар, маълумотлар базаси, маълумотларни сақлаш омборлари ва бошқа ахборот ресурсларини турли ахборот хавфсизлиги хатарларидан сақлаш;

ахборот муҳофазасининг таъминланганлик даражасини текшириш, таҳлил қилиш ва баҳолаш;

электрон рақамли имзо калитлари ва сертификатларини тақсимлаш, ҳисобини юритиш ва бошқариш;

маълумотларнинг учинчи шахсларга ошкор бўлишини олдини олиш;

ахборот тизимида ахборот хавфсизлиги ва киберхавфсизлик созламалари ҳамда ахборот тизимининг бутлиги билан боғлиқ барча ўзгаришларни назорат қилиш ва электрон қайд ёзувларини юритиш.

23. Банклар тизимлардаги хатоликлар ва ташқи салбий таъсирлар натижасида юзага келиши мумкин бўлган ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликларини бошқариш тизимини яратиши керак.

24. Ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликларини бошқариш тизими қуйидаги функцияларни ўз ичига олиши керак:

ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликларини аниқлаш, йиғиш, рўйхатга олиш, баҳолаш, камайтириш чораларини кўриш, мониторинг ва назорат қилиш;

ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликларини бартараф этиш ишларини режалаштириш ва бошқариш;

ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликларини бошқариш бўйича ҳисоботни шакллантириш;

ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликларини қайта кўриб чиқиш.

25. Хизмат ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизимининг назоратини олиб боради ва узлуксиз ишлашини таъминлайди.

Хизмат томонидан банкда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш юзасидан маълум бўлган таваккалчилик ва қўлланиладиган бошқариш воситалари ва усулларининг рўйхати тузилиши ҳамда банк бошқаруви раиси томонидан тасдиқланиши лозим.

Банк ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликлари рўйхатининг долзарблигини таъминлаши керак.

26. Ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликларини доимий равишда баҳолаш ва таҳлил қилиб бориш Хизмат томонидан амалга оширилади.

Хизмат банк бошқаруви раисига таваккалчиликларни ортиши бўйича тегишли маълумотларни тақдим этиб бориши лозим.

27. Ахборот хавфсизлиги ва киберхавфсизлик таваккалчиликларини бошқариш бўйича амалга оширилган чора-тадбирлар ҳужжатлаштирилиши ва йилига камида бир маротаба банк бошқаруви раиси томонидан кўриб чиқилиб, таваккалчиликларни камайтириш юзасидан тегишли чора-тадбирлар ўтказилиши керак.

28. Банклар фаолиятида ахборот хавфсизлиги ва киберхавфсизликнинг таъминланганлик даражасини баҳолаш бўйича рейтинг ахборот тизими Ўзбекистон Республикаси Марказий банки (бундан буён матнда Марказий банк деб юритилади) томонидан юритилади.

Рейтинг ахборот тизимига банклар томонидан ўз вақтида ва тўғри (ҳаққоний) маълумотлар киритилиши лозим.

29. Банкларда ахборот хавфсизлиги сиёсатининг бузилиши қуйидагиларга олиб келади:

ахборот конфиденциаллигининг бузилиши;

ахборот бутлигининг бузилиши;

технологик жараённинг бузилиши;

ахборотдан эркин фойдаланиш ҳуқуқининг бузилиши.

30. Банкда нохуш ҳодисалар тўғрисидаги маълумотларни олиш учун мониторинг тизимлари жорий этилади. Бунда ушбу тизимларнинг ишлашини мониторинг қилиш ва юзага келган нохуш ҳодисаларни бартараф этиш бўйича доимий равишда ишлайдиган ишчи гуруҳ тузилади.

31. Нохуш ҳодисаларни бартараф этиш учун ташқи экспертлар ёки техник хизмат кўрсатувчи ташкилот мутахассислари жалб қилиниши мумкин. Нохуш ҳодисаларни бартараф қилиш учун ташқи экспертлар ёки техник хизмат кўрсатувчи ташкилот мутахассислари жалб қилинганда, банк улар билан конфиденциал маълумотларни ошкор қилмаслик тўғрисида шартнома тузиши лозим.

32. Аниқланган нохуш ҳодисалар тўғрисидаги маълумотлар Хизмат томонидан ҳужжатлаштириб борилиши лозим.

Хизмат нохуш ҳодиса аниқланган вазиятда ахборот хавфсизлиги мониторинги тизими маълумотларидан фойдаланиши ва нохуш ҳодиса рўй берган вақтдаги ахборот тизимларининг электрон журналлари ва нохуш ҳодиса содир бўлган тизим серверларининг шу вақтдаги захира нусхаларини (backup, snapshot ва бошқалар) сақлаши ва уларнинг бутлигини таъминлаши керак.

33. Банклар техник воситалардан фойдаланганда нохуш ҳодисаларни олдини олиш мақсадида қуйидагиларни таъминлашлари зарур:

техник воситалардан рухсатсиз фойдаланишни тақиқлаш;

техник воситаларни рухсатсиз ўчириб қўйилишидан ҳимоя қилиш;

мониторинг ва нохуш ҳодисаларнинг электрон баённомаларини электрон архивда сақлаш ва рухсатсиз ўзгартириш ёки йўқ қилишдан ҳимоялаш;

ахборот тизимлари ва ресурсларини қонунчиликда белгиланган тартибда киберхавфсизлик талабларига мувофиқлик юзасидан экспертизадан ўтказиш.

34. Иш жараёнида нохуш ҳодисалар аниқланганда, банк ходимлари зудлик билан бу ҳақда Хизматни хабардор қилишлари керак.

Нохуш ҳодисалар содир этилган вақтда Хизмат томонидан амалга ошириладиган ҳаракатлар банкнинг ички ҳужжатларида белгиланади.

35. Банк содир бўлган нохуш ҳодиса тўғрисида Марказий банк ва ваколатли давлат органига зудлик билан ёзма ёки электрон шаклда хабар бериши лозим.

36. Банклар конфиденциал маълумотлар ва барча ахборот активларидан фойдаланиш мониторингини амалга оширади. Бунда мониторинг қилишда қуйидагилар белгиланади:

ахборот инфратузилмасининг ахборотга ишлов бериш, сақлаш ва тармоқда узатиш учун қўлланиладиган дастур ва қурилмалар ҳисобини юритиш;

ахборот хавфсизлиги ва киберхавфсизлик ҳодисаларини таҳлил қилиш, ахборот хавфсизлиги ва киберхавфсизлик ҳолатини мониторинг қилиш ҳамда огоҳлантириш имконини берувчи SIEM (Security Information and Event Management) ёки бошқа тизимларни жорий қилиш;

ахборот хавфсизлиги ва киберхавфсизлик ҳодисалари тўғрисидаги маълумотларни тўплаш, таҳлил қилиш ва уларга жавоб бериш жараёнларини автоматлаштириш имконини берувчи SOAR (Security Orchestration, Automation and Response) тизимларни жорий қилиш;

ахборот хавфсизлиги ва киберхавфсизликнинг таъминланганлик ҳолатини мониторинг қилиш тизими маълумотларини таҳлил қилиб бориш ва аниқланган ҳолатларни (ахборот тармоғига рухсатсиз кириш ва киришга уриниш, тизимдаги тўхталишлар, ахборот ресурсларининг етишмовчилиги, тармоқдаги узилишлар, ахборот хавфсизлиги ва киберхавфсизликни таъминлашдаги чекланишлар ва бошқа ҳодисалар) бартараф этиш ва (ёки) уларни олдини олиш бўйича чоралар кўриш;

ахборот хавфсизлиги ва киберхавфсизлик ҳолатини тун-у кун (24/7) режимида мониторинг қилиш ишларини ташкил этиш;

ахборот хавфсизлиги ва киберхавфсизлик ҳолатини мониторинг қилиш тизимини Марказий банк «CERT-CBU» киберхавфсизлик марказининг мониторинг тизимига боғланишини таъминлаш.

37. Банклар ахборот тизимлари ва ресурсларига кириш ва ушбу тизимларда фойдаланувчиларнинг ишлаш тартибини ишлаб чиқиши керак. Бунда янги фойдаланувчиларнинг ахборот тизимлари ва ресурсларига кириш ҳамда ушбу тизимларга кириш ҳуқуқи бекор бўлган фойдаланувчиларни ундан чиқариш қоидалари инобатга олиниши лозим.

38. Янги фойдаланувчилар ахборот тизимлари ва ресурсларига Хизмат томонидан керакли техник чоралар кўрилиб, рухсат берилганидан кейин киритилади.

39. Хизмат ахборот тизимлари ва ресурсларига киришга рухсат берилган фойдаланувчилар рўйхатини ҳамда уларнинг ушбу тизимлардан фойдаланиши банкда ўрнатилган тартибга мувофиқлигини назорат қилади.

40. Банклар марказлашган ҳолда қуйидагиларни таъминлаши зарур:

ахборот тизимларида ишга янги қабул қилинган ходимлар учун ҳисобга олиш ёзувларини автоматик тарзда яратиш;

ходимларга уларнинг лавозим мажбуриятларидан келиб чиқиб тегишли ахборот тизимларига кириш ҳуқуқларини бериш;

ходимлар ахборот тизимларига масофадан ҳимояланган алоқа каналлари орқали, ахборот хавфсизлиги ва киберхавфсизликни таъминлаш талабларига риоя қилган ҳолда, фақатгина Ўзбекистон Республикаси ҳудудида киришини таъминлаш;

ходим бошқа лавозимга ўтганида, меҳнат таътилига чиққанида ёки ишдан бўшаганида унинг ҳисобга олиш ёзувларини (аккаунтларини) ўзгартириш, блоклаш ва чеклаш.

41. Банк ходимларга ахборот тизимлари ва ресурсларидан фойдаланиш ҳуқуқини уларнинг функционал вазифаларига мувофиқ ҳолда беради. Бунда, Хизмат қуйидагиларни таъминлаши лозим:

банкнинг ахборот тизимлари ва ресурсларидаги ходимларнинг ҳисобга олиш ёзувининг (аккаунт) бутун ҳаёт даврини бошқариш, узлуксиз назорат қилиш, шунингдек кадрлар тизимидаги маълумотларга асосланиб, ходимларнинг лавозим мажбуриятлари ва ваколатларини доимий равишда текшириб туриш;

банкнинг ташкилий тузилмаси асосида ролларга асосланган кириш моделини бошқариш ва назорат қилиш, шунингдек ходимнинг атрибутлари ва ҳолатига асосланган ҳолда ахборот ресурсларини (улар билан боғлиқ ҳисоб ёзувлари, кириш ҳуқуқлари ва ахборот тизимларидаги ваколатлар) динамик тарзда тайинлашни таъминлаш;

ходимнинг бизнес роли ёки вазифаси ўзгарганда, марказлаштирилган тизим орқали янги ролга мос равишда кириш ҳуқуқлари ва ваколатларини автоматик тарзда бериш;

ҳар бир ахборот тизими фойдаланувчиларининг амалий кириш ҳуқуқлари ва ваколатларини назорат қилиш ҳамда келишилган кириш ҳуқуқлари ўртасидаги фарқларни аниқлаш;

банкнинг ҳар қандай ахборот тизимлари ва ресурсларига кириш ҳуқуқлари ва ваколатларни (тўғридан тўғри тайинлаш, рол модели бўйича тайинлаш, сўров орқали тайинлаш) пайдо бўлиш манбасини кузатиб бориш ҳамда ваколатнинг пайдо бўлиш манбаси ва занжири ҳақида тўлиқ маълумотга эга бўлиш.

42. Хизмат банк ходимларига берилган ортиқча ҳуқуқларни аниқлаш воситалари билан таъминланиши лозим.

43. Банк томонидан ахборот активларидан фойдаланишда фойдаланувчи амалга оширган операция тўғрисидаги қуйидаги маълумотлар:

бажарилган операция санаси (кун, ой, йил) ва вақти (соат, дақиқа, сония);

фойдаланувчига тизимларда ҳамда ахборот дастурларида берилган фойдаланувчи идентификатори;

фойдаланувчи қурилмасининг идентификация маълумотлари (IP-манзил, MAC-манзил, қурилманинг номи ва бошқа идентификаторлари);

фойдаланувчининг тизимдаги фаол сессияси даврида бажарган барча амалиётлари ва ҳаракатлари тегишли электрон баённомаларда қайд этиб борилиши лозим. Бунда, электрон баённомалардаги ёзувларни ўзгартириш ёки ўчириш имконияти фақатгина банк бошқарув раисининг буйруғи билан юклатилган Хизмат ходимларида бўлиши шарт.

44. Хизмат банк ходимларининг лавозим мажбуриятлари, ваколатлари ва ахборот активларига кириш ҳуқуқларини бир ойда камида бир маротаба текшириб туриши ҳамда текширув натижаларини ҳужжатлаштириб бориши лозим.

45. Хизмат банкнинг ахборот тизимлари ва ресурсларидан рухсатсиз фойдаланишни олдини олиш мақсадида:

фойдаланувчиларни идентификация ва аутентификация қилиши ҳамда ушбу жараённи бошқариши;

муваффақиятсиз киришга уринишларни аниқлаши ва уларни чеклаши ҳамда ушбу фойдаланувчининг ахборот тизимлари ва ресурсларига кириш ҳуқуқини (аккаунтини) блоклаши;

фойдаланувчининг узоқ вақт оралиғида ҳаракатсизлиги аниқланганда иш сессиясини тўхтатиши;

ахборот активлари ҳамда ишчи станцияларда фойдаланувчининг ишлаш даврида фойдаланувчи аккаунтининг бир вақтнинг ўзида бир нечта қурилмаларда ишлашини (мультисессия) чеклаши;

фойдаланувчининг ахборот активларида шу ахборот активларининг фаолиятига таъсир этадиган созламаларини (параметрларини) ўзгартириш имкониятини чеклаши;

муҳим ахборот инфратузилмаси объекти сифатида, қонунчиликда белгиланган тартибда банкнинг ахборот тизимлари ҳамда ресурсларида ахборот хавфсизлиги ва киберхавфсизликнинг таъминланганлик ҳолати бўйича баҳолаш ишлари ўтказилишини таъминлаши;

ахборот тизимлари ва ресурсларини киберхавфсизлик талабларига мувофиқлик юзасидан экспертизадан ўтказиш ҳамда киберхавфсизликнинг таъминланганлик ҳолатини баҳолаш жараёнларида аниқланган камчилик ва заифликларни зудлик билан бартараф этиши лозим.

46. Ахборот тизимларида тўловларга оид маълумотларни киритиш, ўзгартириш, тасдиқлаш ва ўчириш ҳуқуқига эга бўлган фойдаланувчиларни аутентификация қилиш аппарат-дастурий қурилмалар орқали амалга оширилади.

Ҳар бир фойдаланувчи тизимга кириш учун унинг ўзига ажратилган аппарат-дастурий қурилмадан фойдаланиши лозим.

47. Масофадан туриб банк хизматларини кўрсатишнинг барча жараёнларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш чоралари банкнинг ички ҳужжатларида белгиланади.

Масофадан туриб банк хизматларини кўрсатиш тизимида фойдаланувчиларнинг тизимга кириши, ахборот алмашинуви ва уларнинг амаллари тўғрисидаги тўлиқ маълумотлар (IP ва (ёки) MAC манзили, мобил телефондан фойдаланганда — IMEI-код) электрон баённомаларда қайд этиб борилиши керак.

Банклар барча тизим фойдаланувчиларига рухсат берилган вақтдан ташқари ҳолатда банк тизимига уланишини тақиқлаши лозим. Бунда, банк тизими билан боғланувчи фаол сессиялар узилиши шарт.

48. Банкнинг ахборот-коммуникация технологиялари инфратузилмалари, ахборот тизимлари ва ресурслари ҳамда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизимлари администраторларининг барча ҳаракати PAM тизими орқали амалга оширилиши шарт. Бунда фойдаланувчиларнинг ҳаракатларини ушбу тизим орқали қайд этиш ва имтиёзли сессияларини аудит қилиш талаб этилади.

49. Банклар PAM тизимида фойдаланувчиларнинг ҳаракати қайд этилган маълумотларни камида олти ой давомида сақланишини таъминлаши лозим.

50. Банклар маълумотлар базаси созланишларида хатоликларни олдини олиши ва тажовузкорнинг қуйидаги ҳаракатларини чеклашлари керак:

маълумотлар базасига кириш;

маълумотлар базасининг махсус интерфейсини қўллаш, командалар киритиш ва дастурларни ишлатиш;

администратор ва фойдаланувчилар паролларини билиб олиш;

маълумотлар базасининг тизим файлларига кириш;

зарарли дастурлар ўрнатиш;

сервернинг илова дастурларига эгалик қилиш;

маълумотлар базаси ва серверга масофадан ҳужум қилиш.

51. Банклар маълумотлар базасига киритиладиган барча дастурий ўзгартиришларни ҳужжатлаштириши ва киритилган ўзгартиришларнинг ҳисобини юритиши лозим.

Ишчи станциялар ва бошқа ҳисоблаш техникаларининг операцион тизими, антивирус дастури ва бошқа дастурий ўзгартиришлар тест-синов ишлари якунига кўра ишга туширилади. Маълумотлар базасига киритиладиган барча дастурий ўзгартиришлар аввал тест-синов серверида текширилиши ҳамда ижобий натижага эришилганда ишчи серверга жорий этилиши лозим.

52. Маълумотлар базасида ўрнатилган сервернинг иш жараёни учун зарур бўлмаган хизматлар тўхтатилиши ва ахборот портлари ёпиб қўйилиши лозим. Ишлатиладиган ахборот портларининг рўйхати фойдаланиш мақсади кўрсатилган ҳолда банк бошқаруви раиси томонидан тасдиқланади.

53. Банкда реал вақт режимида шубҳали ҳаракатларни тезкор аниқлаш ва олдини олиш учун маълумотлар базаси фаолиятини мониторинг қилиш тизими DAM (Database Activity Monitoring) жорий этилиши лозим.

54. Маълумотлар базасининг администратори ва маълумотлар базасида ахборот хавфсизлигини таъминловчи ходимларнинг вазифалари, ваколатлари ва жавобгарликлари банкнинг ички ҳужжатлари билан белгиланади.

55. Маълумотлар базаси администраторининг пароли 12 та белгидан кам бўлмаслиги лозим, бунда паролнинг белгилари сифатида пастки ва юқори регистр ҳарфлари, рақамлар ва махсус белгилар (@,#, $, &, % ва ҳ.к.) қўлланилади. Пароллар ва токенлар маълумотлар базасида шифрланган ҳолда сақланиши лозим.

56. Банк маълумотлар базасига бошқа ташкилотларни фақатгина веб-сервис (API) орқали уланишини таъминлаши шарт. Бошқа ташкилотларни тўғридан тўғри улаш (DB Link) taqiqlanadi.

57. Тармоқ хавфсизлигини лойиҳалаштириш, жорий этиш ва бошқариш қуйидаги стандартлар асосида амалга оширилади:

Ўз ДСт ISO/IEC 27033-1:2016 «Ахборот технологияси. Хавфсизликни таъминлаш усуллари. Тармоқ хавфсизлиги. 1-қисм. Шарҳ ва концепциялар»;

Ўз ДСт ISO/IEC 27033-2:2016 «Ахборот технологияси. Хавфсизликни таъминлаш усуллари. Тармоқ хавфсизлиги. 2-қисм. Тармоқ хавфсизлигини лойиҳалаштириш ва жорий этиш бўйича раҳбарий кўрсатмалар»;

Ўз ДСт ISO/IEC 27033-4:2016 «Ахборот технологияси. Хавфсизликни таъминлаш усуллари. Тармоқ хавфсизлиги. 4-қисм. Хавфсизлик шлюзларини қўллаган ҳолда тармоқлараро хавфсизлигини таъминлаш учун коммуникациялар»;

Ўз ДСт ISO/IEC 27033-5:2016 «Ахборот технологияси. Хавфсизликни таъминлаш усуллари. Тармоқ хавфсизлиги. 5-қисм. Виртуал хусусий тармоқларни қўллаган ҳолда тармоқлараро хавфсизлигини таъминлаш учун коммуникациялар».

58. Банклар тармоқ хавфсизлигини таъминлаш учун қуйидаги шартларни бажариши керак:

корпоратив тармоқ ва ахборот тизимларининг ўзаро боғланишида телекоммуникация ҳамда тармоқ сервислари узлуксиз ишлаши ва хавфсизлигини таъминлаш;

тармоқ қурилмалари ва дастурий таъминотнинг созламалари ва унинг компонентларини рухсатсиз кўриш ёки ўзгартиришни чеклаш;

тармоқларни алоҳида сегментларга бўлиш;

кибертаҳдидларни реал вақт режимида мониторинг ва таҳлил қилиш ҳамда блоклаш имкониятини таъминлаш;

тармоқдаги фаоллик тўғрисидаги батафсил маълумотларни йиғиш ва сақлаш;

тузоқлар (honeypot) яратиш ва уларни эмуляция қилиш имкониятини таъминлаш;

тармоқ трафигини турли протокол ва дастурлар даражасида таҳлил қилиш имкониятини таъминлаш;

тармоқлараро ахборот алмашинувида маълумотларнинг конфиденциаллигини таъминлаш ва тармоқда рухсатсиз ҳаракатларни олдини олиш.

59. Корпоратив тармоққа фақат рухсат берилган қурилмалар (ҳисоблаш техникаси) уланишига рухсат берилиши лозим.

Банкка тегишли бўлмаган компьютер қурилмаларини банкнинг корпоратив тармоғига уланишига рухсат беришда қуйидагилар таъминланиши шарт:

корпоратив тармоққа Хизмат билан келишган ҳолда банк раҳбарияти рухсати билан улаш;

уланадиган қурилманинг техник параметрлари ва идентификаторларини қайд этиш;

уланадиган қурилмада лицензияланган антивирус дастурининг мавжудлигига ишонч ҳосил қилиш;

уланадиган қурилмага маълумотларни рухсатсиз тарқалишидан ҳимоялаш тизимини (DLP) ўрнатиш;

уланадиган қурилмага ахборот-коммуникация технологиялари инфратузилмалари ҳамда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизимларида ишлашга рухсат берилиши кўзда тутилган бўлса, уни PAM тизими орқали улаш;

конфиденциал маълумотлар билан ишлаш тартиби билан таништириш ва мажбуриятнома имзолатиш;

корпоратив тармоққа уланувчи қурилмаларда интернет тармоғига уланишни олдини олиш;

банкда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича белгиланган қўшимча чораларни кўриш.

60. Корпоратив тармоқда ахборот алмашинувининг электрон баённомаси юритилиши ва электрон баённомада тизимга кирган фойдаланувчининг номи (user name), вақти, IP ва (ёки) қурилманинг MAC манзили қайд этиб борилиши керак.

61. Банклар томонидан ташкил этилган корпоратив тармоқнинг (Марказий банк тармоғига, Интернет жаҳон ахборот тармоғига, телекоммуникация провайдерларига, филиалларга ва бошқа тармоқларга боғланиш) чизмаси Марказий банк билан келишилади.

62. Корпоратив тармоқ хавфсизлигининг тўлиқ назорати ва мониторинги доимий равишда Хизмат томонидан амалга оширилади.

63. Банкнинг тармоқлараро ахборот алмашинуви хусусий виртуал тармоқларни (VPN) ташкил этиш йўли билан муҳофазаланади.

Корпоратив тармоқда илова серверлари билан фойдаланувчилар ўртасидаги ўзаро ахборот алмашинувида ҳимояланган протокол қўлланилиши лозим.

64. Банкнинг локал ҳисоблаш тармоғига бошқа тармоқлардан ва (ёки) ташқи алоқа каналлари орқали боғланиш нуқталари тармоқлараро экран қурилмалари билан муҳофазаланади.

65. Телекоммуникация шкафлари қулфланиши ва видеокузатув тизимлари орқали назоратга олинган бўлиши лозим.

Локал ҳисоблаш тармоқлари кабелларини телекоммуникация шкафлари билан ҳисоблаш техникалари, банкомат ва бошқа қурилмаларнинг боғланиш нуқталаригача муҳофазаланмаган тарзда ўтказилиши тақиқланади.

66. Банкнинг барча бўлинмалари локал ҳисоблаш тармоғида виртуал маҳаллий тармоқлар (VLAN) ҳосил қилиш йўли билан бир-биридан ажратилиши лозим.

67. Банкда тармоқ хавфсизлигини таъминлашда қўлланиладиган дастурий таъминот ва техник воситаларнинг ҳолатларини мониторинг қилиб борилиши, статистик маълумотлар йиғилиши ва таҳлил қилиниши, юзага келаётган муаммолар илк босқичда аниқланиши ва улар асосида фавқулодда вазиятлар пайдо бўлишининг олди олиниши лозим.

68. Банклар тармоқдаги таҳдидларни аниқлаш ва уларга қарши жавоб берувчи тизимларни NDR (Network Detection and Response) жорий қилиши лозим.

69. Банклар тажовузларни аниқлаш ва олдини олиш тизимини (IDS/IPS) қўллаши лозим, яъни банк тармоқ ичида ноодатий ҳаракатларни ва локал ҳисоблаш тармоқларидаги ҳужумларни аниқлаш, олдини олиш ва тўсиш учун мўлжалланган дастурий ёки дастурий-аппарат воситаларни жорий этишлари лозим.

Банклар реал вақт режимида тармоқ дастурлари ишлашидаги оғишлар, шунингдек компьютер тизими ёки тармоқда рухсат этилмаган фойдаланиш (рухсатсиз кириш ёки тармоққа ҳужумлар) ҳолатларини аниқлаш имкониятига эга бўлиши керак. Банк IDS/IPS тизимларининг базасини актуал ҳолатда бўлишини таъминлайди.

IPS/IDS тизимлари тармоқ инфратузилмасининг миқёси серверлар ва коммутация ускуналари (маршрутизаторлар, коммутаторлар, алоқа линиялари) интерфейсларининг ўтказиш қобилиятидан келиб чиқиб танланади ва жорий этилади. Агар телекоммуникация қурилмалари маънан эскирган бўлса ва IPS/IDS тизимларига ишлаш имкониятини бермаса, ушбу қурилмалар янгиланиши лозим.

70. Банкларда қўлланиладиган тармоқлараро экран қурилмалари Ўз ДСт 2815:2014 «Ахборот технологиялари. Тармоқлараро экран.» стандарти талабларининг камида иккинчи тоифасига мос бўлиши керак.

Тармоқлараро экран қурилмаларининг созланишлари тасдиқланиши ва рухсат берилган ахборот алмашинуви протоколлари асосланган бўлиши лозим. Созланишларга киритиладиган ўзгартиришлар банк томонидан амалга оширилади.

71. Асосий ва захира тармоқлараро экран қурилмаларининг созламалари бир хил бўлиши ҳамда актуал ҳолда электрон архивда сақланиши керак.

72. Тармоқлараро экран қурилмалари ва прокси-серверларнинг электрон баённомалари Хизмат томонидан таҳлил қилиб борилади ва ташқи ҳужумлар аниқланганда зудлик билан Марказий банкка хабар берилади.

73. Банк ўзининг ички электрон почта тизими серверини банкнинг локал ҳисоблаш тармоғида яратади.

Тезкор хабарлар алмашиш тизимлари (messenger) ёки дастурларидан фойдаланиш, банк томонидан интернет тармоғидан ва электрон почта тизимларидан фойдаланишда ахборот муҳофазасини таъминлаш, ходимларни тизимга киритиш, уларга чекловлар қўйиш, жавобгарлик, ходимлар ҳаракати ва тизимнинг ахборот хавфсизлиги устидан назорат қилиш банкнинг ички ҳужжатларида белгиланади.

74. Банк ходимларига банк фаолиятига тегишли бўлмаган маълумотларни банкнинг электрон почтаси орқали узатиш тақиқланади.

75. Банк бўлимлари ва филиаллари ўртасида ахборот алмашинуви электрон ҳужжат айланиши дастурлари ёки банкнинг ички электрон почта тизими орқали амалга оширилади.

76. Файлларни узатиш протоколидан (FTP) фойдаланиб ташкил қилинган умумий каталог (FTP Server) орқали файл алмашинувини амалга ошириш ва банк сири маълумотларини тармоқда эркин ўқиш учун жойлаштириш тақиқланади.

Электрон почта орқали қабул қилинадиган ва юбориладиган маълумотларда зарарли кодларнинг мавжудлигини текшириш тизими (Sandbox) жорий этилиши лозим. Хизмат ушбу тизимни назорат қилиб боради.

77. Банк ўзининг электрон почта тизими ҳамда интернет тармоғидан фойдаланиш тартибини ички ҳужжатлари билан белгилайди ҳамда электрон почта орқали юборилган ва қабул қилинган маълумотларни Хизмат томонидан назорат қилинишини таъминлайди. Бунда, фақат рухсат берилган фойдаланувчилар интернет тармоғидан фойдаланиши мумкин.

78. Банкда интернет тармоғидан фойдаланишда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш чоралари кўрилиши керак.

Конфиденциал, жумладан банк сирини ташкил этувчи ва шахсга доир маълумотлар билан ишлайдиган фойдаланувчиларнинг компьютерларини интернет тармоғига прокси сервер орқали улашга рухсат этилади. Бунда фақат иш фаолиятига оид ахборот ресурсларининг рўйхати асосида интернет тармоғига уланиши ташкил этилиши лозим.

79. Автоматлаштирилган банк тизими маълумотлар базаси серверлари, дастур серверлари, тўлов тизими маълумотларини қайта ишловчи барча серверлар ҳамда банкнинг иш фаолиятида қатнашувчи бошқа муҳим серверлари банкда ташкил этилган алоҳида ажратилган ва муҳофаза қилинган тармоқ сегментида жойлаштирилиши лозим.

Банкнинг интернет тармоғи орқали уланадиган ахборот тизимлари ва ресурслари ҳужумни аниқлаш ва уни олдини олиш бўйича IDS/IPS, WAF (Web Application Firewall) ҳамда Anti-DDoS тизимлари билан муҳофазаланган бўлиши керак.

80. Ахборот муҳофазасини кучайтириш мақсадида тармоқ протоколида тармоқ транзит пакетларининг IP манзилларини ўзгартириш имконини берувчи тармоқ манзилларини ўзгартириш протоколи (NAT) қўлланилганда, барча уланишларнинг электрон журналлари асл IP манзиллар кўрсатилган ҳолда юритилиши ва белгиланган тартибда электрон архивга олиниши лозим.

Интернет тармоғидан фойдаланиш тартиби назоратга олинган бўлиши ва банк ходимларининг интернет тармоғидан фойдаланишлари уларнинг лавозим йўриқномасига кўра белгиланиши лозим.

81. Интернет тармоғидан фойдаланган ходимнинг логини, фойдаланиш вақти, ресурс номи ва бошқа маълумотлар акс эттирилган электрон баённомалар юритилиши керак. Хизмат ушбу электрон баённомаларни таҳлил қилиб боради.

82. Интернет тармоғидан фойдаланишда ахборот муҳофазасини таъминлаш тармоқлараро экран қурилмалари, прокси-серверлар, антивирус воситалари, рухсатсиз киришни аниқлаш ва олдини олиш (IDS/IPS) ҳамда бошқа ахборот хавфсизлиги ва киберхавфсизликни таъминлаш тизимларини қўллаш йўли билан амалга оширилади.

83. Банк тармоғи ва компьютерларга модемлар ёки уяли телефонларни улаш, шунингдек интернет тармоғида ишлашда ташқи прокси-серверлардан фойдаланиш ва банкнинг ички локал тармоғини симсиз ташкил этиш ва банк компьютерларида симсиз ахборот алмашинуви тизимларидан фойдаланишга йўл қўйилмаслиги таъминланиши керак.

84. Мижозлар ва банк истеъмолчилари учун қулайликлар яратиш мақсадида банк биносида Wi-Fi зоналари ташкил этилиши мумкин.

Бунда, Wi-Fi технологияси банк ички локал тармоғидан жисмонан ажратилган бўлиши ҳамда унда қуйидаги ахборот хавфсизлиги ва киберхавфсизликни таъминлаш чоралари кўрилган бўлиши керак:

Wi-Fi тармоғи орқали фақатгина интернет тармоғига киришга рухсат бериш;

мижозни идентификациядан ўтказиш;

мижозлараро уланишни тақиқлаш (client isolation);

IPS/IDS ёки прокси фильтрлаш орқали шубҳали ва зарарли трафикни блоклаш;

DoS ҳужумларини олдини олишда тезлик (QoS) ва сессияларни чеклаш;

Wi-Fi тармоғига уланиш тўғрисидаги баённомаларни (MAC, IP, сана/вақт, меҳмон идентификатори) камида олти ой давомида сақлаш;

WPA2/WPA3-PSK ёки WPA2-Enterprisedan фойдаланиш ва трафикни мажбурий шифрлаш;

ҳимоясиз очиқ паролли (шифрланмаган) Wi-Fi тармоғидан фойдаланишни тақиқлаш;

реал вақт режимида аномал фаоллик, сканерлаш ва ҳужумга уринишлар ҳамда тақиқланган ресурсларга уланишни кузатиш;

Rogue AP, Spoofing ва бошқа ҳужумларни аниқлаш ва олдини олиш тизимини (WIDS/WIPS) ишлатиш.

85. Банк интернет тармоғидаги ташқи ахборот ресурсларини мунтазам равишда кузатиб бориши шарт. Бундан кўзланган асосий мақсад банкнинг рамзий белгиси, ишбилармонлик обрўси ва бошқа элементларидан ноқонуний фойдаланган ҳолда мижозлар ва ҳамкорларни чалғитишнинг олдини олиш ҳисобланади. Бунда, банк билан боғлиқ қуйидаги ҳолатлар аниқланиши лозим:

банкнинг расмий веб-сайтига ўхшатиб яратилган сохта веб-сайтлар (фишинг нусхалар, сохта доменлар, саҳифа нусхалари);

ижтимоий тармоқлар, мессенжерлар, онлайн савдо майдончалари, реклама платформалари ва форумлардаги сохта аккаунтлар;

расмий мобил иловалар дўконларидаги (Google Play, App Store ва бошқалар) сохта иловалар;

банк номидан юборилган фишинг ёки фирибгарлик характеридаги электрон почта ва SMS-хабарлар;

банкнинг товар белгиси, рамзий белгиси (лого) ёки домени номидан ноқонуний фойдаланиш ҳолатлари;

мижознинг ишончини йўқотиш ёки уларни чалғитишга қаратилган салбий ахборотлар (сохта маълумотлар, қалбакилаштирилган янгиликлар, банк номидан ёзилган шарҳлар ва ҳоказо);

банк номидан ноқонуний фойдаланиш билан боғлиқ бошқа ҳолатлар.

Банк интернет тармоғидаги ташқи ахборот ресурсларида юқоридаги ҳолатларни аниқлаган тақдирда, бу ҳақда бир кун ичида Марказий банк ва Ўзбекистон Республикаси Рақамли технологиялар вазирлиги ҳузуридаги Ахборотлаштириш ва телекоммуникациялар соҳасида назорат инспекциясига хабар бериши ҳамда ўзининг расмий ахборот манбаларида эълон қилиши лозим.

86. Банклар ахборот активларида тармоқ объектлари бўлган фойдаланувчилар, компьютерлар, серверлар ва бошқа техник воситаларни бошқариш (Active Directory ёки бошқа муқобил) тизимини жорий этади.

Бунда ушбу тизим ёрдамида компьютерларда фойдаланувчилар томонидан фақат ўзларининг иш фаолиятига тегишли бўлган дастурлар ишлатилиши ва компьютерларга кириш ҳимояланиши (пароллар) таъминланади.

Фойдаланишга йўл қўйиладиган дастурлар рўйхати банк томонидан белгиланади. Рўйхатда бўлмаган барча дастурларни ишлатиш ва қўшимча дастурлар ўрнатиш каби ҳаракатлар тақиқланади.

87. Техник воситаларни бошқариш тизими администратор томонидан амалга оширилади, бунда Хизмат администраторнинг тизимдаги барча ҳаракатларини назорат қилиши керак.

88. Хизмат камида бир ойда бир маротаба техник воситаларни бошқариш тизимининг созламалари ва электрон баённомаларини таҳлил қилиши, техник воситалардан фойдаланишда банкнинг ахборот хавфсизлигига оид сиёсатида белгиланган талабларнинг бажарилишини назорат қилиши керак.

89. Банклар ахборот тизимларидан рухсатсиз маълумотлар узатилишининг олдини олиш мақсадида маълумотларни рухсатсиз тарқалишидан ҳимоялаш тизимини (DLP) жорий этишлари лозим.

Конфиденциал маълумотлар билан ишлаш ҳуқуқи берилган барча охирги нуқталар DLP тизимига уланган бўлиши лозим.

90. Маълумотларни ҳимоя қилишда банклар томонидан:

муҳофазаланадиган маълумотларни рухсатсиз турли тармоқ каналлари орқали узатилиши, рухсатсиз ҳисобга олинмаган ташқи ташувчига кўчирилиши, рухсатсиз чоп этилиши аниқланиши ҳамда бу ҳақда банк раҳбариятига маълумот бериш ва келгусида шу каби салбий ҳолатлар бўлмаслигининг олдини олиш чоралари кўрилиши;

муҳофазаланадиган маълумотларни сервер ва компьютерларда сақланиши назорат қилиниши лозим.

91. Назорат қилиш тартиб-қоидалари банкнинг ички ҳужжатлари билан белгиланади ва маълумотларни рухсатсиз тарқалишидан ҳимоялаш Хизмат томонидан амалга оширилади.

92. Банкларда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш учун антивирус ҳимояси ташкил этилиши лозим.

93. Банкда антивирус дастурларининг ўрнатилиши ҳамда ишлаши Хизмат томонидан назорат қилинади.

94. Банклар компьютер вируси аниқланганда, уларнинг тармоқ орқали тарқалишини олдини олиш мақсадида амалга ошириладиган чораларни белгилаши керак.

Банкнинг ахборот инфратузилмасига компьютер вируси зарар келтирганлиги аниқланганда, банклар шу вируснинг келиб чиқиши ва унинг тури ҳақида Марказий банкка маълумот бериши лозим.

95. Хизмат Банк ходимлари томонидан уларнинг компьютеридаги антивирус дастурининг созламаларини ўзгартириш имкониятини чеклаши керак. Компьютер вируси аниқланганда, ходимлар томонидан амалга ошириладиган ҳаракатлар банклар томонидан белгиланиши ҳамда барча ходимларга таништирилиши лозим.

96. Банклар антивирус ҳимоясини ташкил этишда қуйидагиларни таъминлаши шарт:

лицензияга эга антивирус дастурларидан фойдаланиш ва уларнинг лицензиясининг амал қилиш муддати актуаллигини таъминлаш;

антивирус дастурларини марказлашган ҳолда бошқариш;

антивирус дастурлари базаларини ҳар куни янгилаб борилишини йўлга қўйиш;

антивирус дастурининг русуми актуал (маънан эскирмаган) бўлишини таъминлаш;

барча серверлар, компьютерлар, банкоматлар, инфокиосклар ва бошқа антивирус дастурлари ўрнатилиши мумкин бўлган ҳисоблаш воситаларига антивирус дастурларини ўрнатиш.

97. Банклар ахборот тизимларидаги янгиланишлар ва тузатмаларни бошқариш тизимини жорий этиши лозим.

Зарарли дастурлар ва эксплоитлардан ҳимояланиш мақсадида аномал фаолиятни кузатиш имконини берувчи EDR (Endpoint Detection and Response) технологиясидан фойдаланилиши лозим.

Охирги нуқталарда хавфсизликни таъминлаш учун Wi-Fi тармоқларига уланишни тақиқлаш лозим.

98. Банк томонидан конфиденциал маълумотлар билан ишлаш учун берилган мобил қурилмалар марказлаштирилган ҳолда бошқарилади ва уларда хавфсизлик сиёсатидан фойдаланилади (қурилмани масофадан блоклаш, маълумотларни масофадан ўчириш ва бошқалар).

99. Банк ўзининг ахборот активларида рухсат этилмаган ўзгаришлар ҳақида дарҳол огоҳлантирувчи ва конфигурация файлларининг яхлитлигини назорат қилиш тизимларидан FIM (File Integrity Monitoring) фойдаланиши шарт.

100. Банкларда электрон ҳужжатларнинг аслига тўғрилигини тасдиқлаш ва ташқи муҳит таъсиридан муҳофазалаш учун банкнинг электрон рақамли имзо калитларини рўйхатга олиш маркази томонидан яратилган электрон рақамли имзо ва шифрлаш калитлари қўлланилади.

101. Банклар ташқи тизимлар билан ўзаро ишлашда банк таваккалчиликларидан келиб чиққан ҳолда электрон рақамли имзо ва шифрлаш калитларини қўллаш бўйича талабларни ўзаро келишган ҳолда амалга оширади.

102. Ахборот активлари фойдаланувчиларининг электрон рақамли имзо калитлари махсус ёки мобил қурилмаларга ёзилган бўлиши ҳамда ҳар қандай усул билан рухсатсиз нусха олишдан ҳимояланган бўлиши лозим.

103. Электрон тўлов ҳужжатларини киритувчи, тасдиқловчи ва электрон тўловлар билан тегишли амалларни (бош бухгалтер, сўнгги назорат) бажарувчи барча масъул ходимлар электрон рақамли имзо билан таъминланган бўлишлари ва автоматлаштирилган банк тизимларида ушбу электрон рақамли имзодан фойдаланишлари зарур.

Банк томонидан масофавий хизмат кўрсатилганда, электрон тўлов ҳужжатларини киритувчи, тасдиқловчи ва электрон тўловлар билан тегишли амалларни бажарувчи барча ходимлар электрон рақамли имзо билан электрон тўлов ҳужжатларини тасдиқлаши лозим.

104. Банклар тармоқ орқали узатилаётган тўлов маълумотларини электрон рақамли имзо ва шифрлаш калитлари қўлланилган ҳолда ҳимоя қилинишини таъминлайди.

105. Электрон рақамли имзо калити сертификатининг амал қилиш муддати электрон рақамли имзо рўйхатга олинган пайтдан эътиборан йигирма тўрт ойдан ошмаслиги керак. Бунда электрон рақамли имзо калити сертификатининг амал қилиш муддати икки мартадан кўп бўлмаган муддатга узайтирилиши мумкин.

Фойдаланувчиларнинг электрон рақамли имзо очиқ калитлари автоматлаштирилган банк тизимида рўйхатга олиниши ва ҳисоби юритилиши керак.

106. Электрон рақамли имзо калитининг сертификати рўйхатга олиш маркази орқали яратилади. Бунда, сертификатга қуйидаги маълумотлар киритилади:

электрон рақамли имзо ёпиқ калитининг эгаси бўлган жисмоний шахснинг фамилияси, исми ва отасининг исми;

ходимнинг лавозими ва шахсини тасдиқловчи ҳужжат маълумотлари;

жисмоний шахснинг шахсий идентификация рақами;

электрон рақамли имзонинг очиқ калити;

мазкур сертификатни берган рўйхатга олиш марказининг номи ва жойлашган манзили;

электрон рақамли имзодан фойдаланиш мақсадлари тўғрисидаги маълумотлар;

электрон рақамли имзолар калитлари сертификатлари реестрининг электрон манзили.

107. Электрон рақамли имзо ва шифрлаш калитларининг яратилиш жараёнлари муҳофазаланиши лозим.

108. Электрон рақамли имзонинг ёпиқ калитидан фақат унинг эгаси фойдаланиши лозим.

Банк тизимидаги электрон рақамли имзо калитлари қўлланилиши Хизмат томонидан назорат қилинади.

Электрон рақамли имзонинг ёпиқ калитини иш компьютер хотирасида ёки иш компьютерига доимий уланган ҳолатда турувчи ташқи хотирада сақлаш тақиқланади.

109. Электрон рақамли имзо билан тасдиқланмаган ва шифрлаш жараёнидан ўтмаган электрон тўловлар қайта ишлаш учун қабул қилиниши тақиқланади.

110. Марказий банк томонидан берилган электрон рақамли имзо калитлари бузилганда, йўқотилганда ва бошқа шунга ўхшаш ҳолатларда банклар электрон рақамли имзонинг янгиланиш сабабларини кўрсатган ҳолда Марказий банкка мурожаат қилади. Марказий банк мурожаат асосида бир кун ичида электрон рақамли имзони янгилаб беради.

111. Электрон архив банк архивининг таркибий бўлинмаси сифатида ташкил қилинади.

112. Электрон архив ўзининг электрон архив ахборот тизимига эга бўлиши ва унинг ахборот ресурслари шакллантирилиши лозим.

113. Электрон архивнинг асосий вазифалари қуйидагилардан иборат бўлиши керак:

электрон ҳужжатларни жамлаш, ҳисобга олиш, уларни сақлаш, шунингдек улардан фойдаланишни таъминлаш;

ахборот ресурсларининг архив нусхаларини тайёрлаш ва уларни қонунчилик ҳужжатларида белгиланган муддатларда давлат сақловига топшириш;

электрон ҳужжатларни расмийлаштириш бўйича банкнинг таркибий бўлинмаларига услубий ёрдам кўрсатиш;

электрон архив ахборот ресурсининг ахборот хавфсизлиги ва киберхавфсизлигини таъминлаш.

114. Электрон архив ҳужжатлари таркибига қуйидаги ахборот ресурслари кириши лозим:

банк амалиёт кунидаги электрон маълумотларнинг тўлиқ базаси;

муддати тугаган шифрлаш ва электрон рақамли имзо калитларининг очиқ калитлари;

банк амалиёт куни дастурлари ва бошқа алоҳида фойдаланилаётган дастурлар мажмуаси;

банк ахборот тизимлари ва ресурслари билан боғлиқ барча дастурларнинг, дастурий ва аппарат-дастурий қурилмаларнинг электрон баённомалари ҳамда нохуш ҳодисалар билан боғлиқ электрон баённомалар;

электрон почта орқали қабул қилинган ва узатилган тўловларга тегишли (фармойиш, қарор ва бошқа) ҳужжатлар;

шифрланган ва шифрланмаган кўринишдаги барча кирувчи ва чиқувчи электрон тўлов ҳужжатлари;

тижорат банкларининг кредит ва бошқа банк операцияларига тааллуқли маълумотлари;

банкларнинг бошқарув, шахсий таркиб ҳужжатлари ва бошқа маълумотлар.

115. Банкда электрон архивда сақланувчи маълумотлар рўйхати шакллантирилиши ва бир йилда бир марта янгилаб турилиши лозим.

Банклар ўзининг сиёсати, мавжуд бўлган ахборот тизимлари ва банк олдига қўйилган талаблардан келиб чиқиб, электрон архивда сақланувчи маълумотлар рўйхатини белгилаши мумкин.

116. Электрон архив белгиланган вазифаларни бажариш учун тегишли техник қурилма-воситалар ва дастурлар билан таъминланган бўлиши керак.

Электрон архивнинг ахборот ресурси ташқи сақловчиларга кўчирилиб, сейфда ёки темир шкафда сақланиши лозим.

117. Асосий иш жараёнидаги маълумотлар ва уларнинг хотирасида (сервер дискларида) сақланаётган маълумотлар электрон архивнинг ахборот ресурси ҳисобланмайди.

118. Банклар электрон архивнинг ахборот ресурси нусхаларини сақлаш учун камида иккита бир-бирига боғлиқ бўлмаган сақлаш жойларини ташкил этишлари лозим.

Электрон архив ҳар куни дастурий равишда ахборот ресурсини шакллантириши (архивлаши) ҳамда электрон ахборот ташувчи воситаларга ёзилиши жараёнини электрон журналда қайд этиб бориши лозим. Электрон журналда ахборот ресурсига кўчирилган ахборотлар тўғрисидаги (вақти, номи, ҳажми ва бошқа) маълумотлар ҳамда электрон архив бутлигини аниқлаш мақсадида ушбу ахборотларнинг хеш суммаси (назорат рақамлари) қайд этиб борилиши керак. Электрон архивнинг масъул ходими ушбу ишларни амалга оширганлиги тўғрисида махсус дафтарда қайд қилиб боради.

119. Банкнинг ички аудит хизмати ходими ҳар ойда камида бир марта электрон архивнинг ишларини текшириши ва текширув натижаларини архив ишларини қайд этиш махсус дафтарига киритиб бориши зарур. Камчиликлар аниқланган тақдирда банкнинг ички аудит хизмати томонидан далолатнома расмийлаштирилиши ва камчиликларни бартараф этиш чоралари кўрилиши ташкиллаштирилади.

120. Электрон архив томонидан электрон архивнинг ахборот ресурси маълумотлари ҳар олти ойда бир марта бутлиги юзасидан текшириб турилади ҳамда ушбу текшириш натижалари махсус дафтарда юритилади. Агар электрон архив ахборот ресурслари маълумотлари қисман ёки умуман бузилганлиги аниқланса, тегишли маълумотлар қайта тикланиши ва бу ҳақида далолатнома тузилиши лозим.

121. Электрон архивга топширилган электрон ҳужжатларнинг (электрон ресурсларнинг) сақланиш муддати қоғоз асосдаги ҳужжатлар учун ўрнатилган муддатлардан кам бўлмаслиги лозим.

Банк томонидан сақланиш муддати доимий бўлган электрон маълумотлар идоравий архивда ўн беш йил мобайнида сақлангандан сўнг уларнинг бир нусхаси ўрнатилган тартибда давлат архивларига топширилиши лозим.

122. Банкнинг филиаллари фаолияти тугатилганда, электрон архивнинг ахборот ресурси банкнинг ҳудудий филиалларига, ҳудудий филиаллари мавжуд бўлмаган банклар бош банкка белгиланган тартибда топширилади. Банк фаолияти тугатилиб бошқа банкка қўшиб юборилганда, электрон архив маълумотлари қўшиб юборилаётган банкнинг электрон архивига белгиланган тартибда топширилади.

123. Банк фаолияти тугатилганда электрон архивнинг ахборот ресурслари давлат архивига топширилади.

124. Электрон архив ходим(лар)и ахборот ресурсларининг тўлиқлиги, тўғри шаклланганлиги ҳамда ишончлилиги учун шахсан жавобгар ҳисобланади.

125. Банклар ахборот активлари иш жараёнининг узлуксизлигини таъминлаши ҳамда бунинг учун ташкилий ва техникавий чораларни кўришлари керак.

Банклар ахборот активлари иш жараёнида тўхташлар, техник носозликлар, фавқулодда ҳолатлар ва катта зарар етказувчи ҳолатлар юзага келганда иш узлуксизлигини таъминлаши ва бунинг учун тегишли чораларни аввалдан кўрган бўлишлари лозим.

126. Банкда ахборот активлари иш жараёнлари узлуксизлигини таъминлаш бўйича талаблар ишлаб чиқилиши, шу жумладан узилишлар (тўхташлар) вақтида амалга ошириладиган ишлар (барча ҳолатлар учун) бўйича режа тасдиқланиши керак. Режада иштирок этувчи ходимлар ҳаракати ёритилиши ва бу ходимлар тегишли тайёргарлик кўриб қўйган бўлишлари керак.

127. Банклар ахборот активлари қуйи тизимларини қайта тиклаш тартибини ишлаб чиқиши, маълумотларни ва тегишли дастурларни захиралаши, йилда камида икки маротаба қайта тиклаш синов ишларини ўтказиши ҳамда амалга оширилган барча ишларни ҳужжатлаштириши лозим. Қайта тиклаш режаси барча мавжуд ахборот тизимлари, операцион тизимлар ва техник қурилмаларни инобатга олган ҳолда тузилиши лозим.

128. Банк ахборот тизимларини қисқа муддатларда қайта тиклаш мақсадида тегишли электрон маълумотларни шакллантириши керак. Бунда тўлов тизимига боғлиқ банкдаги барча ахборот тизимларининг қайта тикланувчи маълумотлари кечаги кун якунига нисбатан актуал тарзда сақланиши ташкил этилиши керак.

129. Қайта тикланувчи электрон маълумотлар рўйхати, уларни кўчириш (ҳосил қилиш) вақти ва бошқалар банк томонидан белгиланади.

Банклар қайта тикланувчи электрон маълумотларнинг ҳимоясини таъминлаши лозим.

130. Банкнинг ички аудит хизмати ҳар ойда камида бир марта маълумотларни қайта тиклаш тизимининг ҳолатини текшириши ва текширув натижаларини махсус дафтарида қайд қилиб бориши керак. Камчиликлар аниқланган тақдирда, бу ҳақида далолатнома расмийлаштирилиши лозим.

131. Ахборот активларининг техник воситалари ишдан чиқиши ҳолатлари юз берганда, тизимнинг бетўхтов ишлашини таъминлаш учун банклар захира тикланиш режаси, дастур ва ускуналарга эга бўлишлари шарт.

132. Ахборот активларидаги серверлар ва компьютерлар эксперт тасдиғидан ўтган ёки лицензияланган дастурларга эга бўлиши лозим.

133. Банкнинг ахборот активлари, ахборотни ҳимоялаш воситалари, маълумотлар базаси, веб-серверлари, тўлов тизими ва бошқа серверлари банкнинг маълумотларни қайта ишлаш асосий ва захира марказларида жойлаштирилади.

Мазкур марказлар ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича талабларга қатъий риоя этиши, шунингдек конфиденциал, жумладан банк сирини ташкил этувчи маълумотларнинг сизиб чиқишини олдини олишни ҳисобга олиб, банкнинг биносида, филиал(лар)ида, бошқа банкларда, Марказий банкнинг булутли технология асосида яратилган дата-марказида ёки давлат дата-марказларида ташкил этилиши мумкин.

Банклар ахборот активларини фавқулодда (ёнғин, зилзила, сув тошқини ва бошқа) ҳолатлардан ҳимоя қилиш учун 50 кмдан кам бўлмаган масофада жойлашган ҳудудлардаги шаҳар марказларида захира маълумотларни қайта ишлаш марказини ташкил этиши лозим.

134. Асосий ахборот тизимларида ишлатилаётган дастур ва маълумотларнинг захира нусхалари банкнинг захира марказида сақланади. Захира марказидаги маълумотларнинг қайта тикланиши (синхронизация) даврийлиги кунига бир мартадан кам бўлмаслиги керак.

135. Банкларда ташкил этилган маълумотларни қайта ишлаш марказлари қуйидаги талабларга жавоб бериши лозим:

маълумотларни қайта ишлаш марказининг провайдери тегишли лицензия ва сертификатларга эга бўлиши (PCI DSS, ISO 27001);

Tier III ёки Tier IV халқаро стандартларига мос келиши;

хизмат кўрсатиш даражасини SLA (Service Level Agreement) белгиловчи ҳужжатнинг мавжудлиги.

136. Банк сервер хонасининг кафолатли электр таъминоти тизимини жорий этиши лозим. Бунда, турли электр подстанциялардан электр таъминотининг иккита киришлари ва битта автоматик тарзда ишга тушувчи дизел электр станцияси мавжуд бўлиши керак. Электр энергиясининг барча учта манбаи электр таъминотининг асосий (захира) фидерига автоматик тарзда қайта уланиши таъминланиши керак.

137. Электр таъминоти линияларининг, автоматик дизел электр станцияси ва унинг захираси автоматик киришининг параметрлари ускуна ва сервер хонаси тизимларининг истеъмол қилинадиган умумий қувватидан келиб чиқиб аниқланиши ва қувват бўйича захиранинг камида 10 фоизини таъминлаши керак.

138. Банк узлуксиз ишлаши учун камида бир суткага етадиган ёқилғи захирасига эга бўлган дизел электр станцияси билан таъминланиши лозим, бунда банкда электр қуввати бўлмаганда дизел электр станцияси автоматик равишда ишга тушиши керак.

139. Банклар сервер хонасини узлуксиз электр таъминоти манбаи (UPS) билан жиҳозлашлари лозим.

Бунда электр таъминоти манбаи (UPS) қуввати барча таъминланадиган ускуна ва келажакдаги эҳтиёж учун захира ҳисобга олинган ҳолда жорий қилинган бўлиши керак. Электр таъминоти манбаи (UPS) орқали автоном ишлашда эҳтиёжлар, шунингдек захира линияларига ва автоматик дизел электр станциясига ўтиш ҳамда қайта ўтиш учун керак бўладиган вақт ҳисобга олинади.

140. Сервер хонасига кириш фақат тасдиқланган рўйхатга мувофиқ амалга оширилади.

141. Сервер хонасига киришга рухсат берилган ходимлар рўйхатида бўлмаган шахслар сервер хонасига кириш зарурати пайдо бўлган ҳолларда уларнинг кириши асосланган ҳолда талабнома билан расмийлаштирилиши лозим. Ушбу талабнома ахборот технологиялари бўлинмаси раҳбари томонидан кўриб чиқилиши ва имзоланиши, шунингдек Хизмат раҳбари билан келишилиши зарур. Сервер хонасига кириш сервер администратори кузатуви остида амалга оширилади.

142. Ходимлар сервер хонасига назорат қилиш тизими орқали назоратдан ўтган ҳолда (биометрик ёки бошқа усуллардан) кириши керак.

143. Сервер хонасига ахборот активларига хизмат кўрсатувчи ташкилотлар ходимлари киритилганда, бу ҳақда рўйхатга олиш журналига кириш ва чиқиш санаси, вақти, амалга оширилган ишлар номи, бажарувчининг фамилияси, исми, лавозими, ташкилот номи ёзилиши ҳамда ушбу ходимнинг имзоси қўйилиши керак.

144. Сервер хонаси қуйидаги жиҳозланиш талабларига жавоб бериши шарт:

мустаҳкам деворлар ва ишончли тўсиқларга эга бўлиши;

ишончли (кодли) қулфлар ўрнатилган мустаҳкам эшиклар билан жиҳозланиши;

деразалар хонага киришдан ҳимоя қилиш воситаларига эга бўлиши, шунингдек бегона шахсларнинг кўз ёки махсус қурилмалар билан кузатишидан ҳимоя қилувчи дераза пардалари, қўриқлаш ва огоҳлантириш қурилмалари билан жиҳозланиши;

ёнғинга қарши ҳимоя тизими ва воситалари билан жиҳозланиши.

145. Сервер хонасига ўрнатилган видеокузатув тизими қуйидаги талабларга жавоб бериши керак:

серверлар билан бевосита жисмоний контактлар ёзиб борилиши;

узлуксиз видеокузатув амалга оширилиши;

серверларнинг (сервер шкафларининг) олди ва орқа тарафини кечаю-кундуз назорат қилиш имконияти бўлиши;

видеокамераларнинг тасвирга олиш имкониятлари технологик қурилмаларга хизмат кўрсатаётган ходимларнинг юзларини ишонч билан фарқлашига етарли бўлиши.

146. Видеокузатув қурилмалари ва бинога (йўлакларга, хоналарга) киришни назорат қилиш тизимлари маълумотлари банк тўлов тизими локал тармоқларидан ажратилган ва ташқи таъсирлардан ҳимоя қилинган бўлиши ҳамда электр таъминоти узилган вақтдан бошлаб 12 соат ичида энергияга боғлиқ бўлмаган ҳолда автоном равишда ишлаш имкониятига эга бўлиши, шунингдек видеоархив 2 ойдан кам бўлмаслиги лозим.

147. Видеоархив маълумотларини юритиш ва фойдаланиш банкнинг хавфсизлик бўйича масъул бўлинмаси томонидан амалга оширилади.

148. Сервер хонаси бинонинг ўт ўчириш тизимига боғлиқ бўлмаган автоматик газли ўт ўчириш қурилмаси билан жиҳозланган бўлиши лозим.

Газли ўт ўчириш тизими бевосита банкнинг сервер хонасидаги махсус жиҳозланган шкафда ёки бунинг учун ажратилган махсус хонада жойлаштирилиши керак.

Газли ўт ўчириш тизимини ишга тушириш ёнғиндан хабар берувчи тутун хабаргоҳларидан, шунингдек хона ташқарисида, деворга пол сатҳидан 1,5 м баландликда ўрнатилган қўлда ишга тушириладиган хабаргоҳлардан амалга оширилиши керак.

149. Газли ўт ўчириш тизими хонанинг ичкарисида ва ташқарисида жойлашган автоматик газли ўт ўчириш қурилмаси ишга тушганлиги тўғрисида ходимларга хабар берувчи таблога ва хонанинг ташқарисида ўрнатилган товушли хабар берувчи мосламага эга бўлиши керак.

150. Газ ва тутунни чиқариб юбориш тизими ёнғинни ўчириш тизими ишга тушганидан сўнг сервер хонасидан газ ва тутуннинг чиқиб кетишини таъминлаши керак. Ушбу тизим бинонинг вентиляция тизимидан алоҳида бино томига ҳаво қувури чиқарилган ҳолда бажарилади. Тизим сервер хонасидаги ҳаво ҳажмидан уч ҳисса ошадиган ҳажмдаги газ ҳаво аралашмасини чиқариб ташлаш имкониятига эга бўлиши керак.

151. Совитиш ва вентиляция қуйи тизимига қўйиладиган асосий талаблар қуйидагилардан иборат:

а) сервер хонасида қуйидаги иқлим шароитларига риоя қилиниши керак:

хонадаги ҳаво ҳарорати 18 — 24°C;

ҳароратнинг йўл қўйиладиган оғишлари ± 2°C;

ҳавонинг нисбий намлиги 40 — 50 фоиз;

ҳавони совитиш тизимининг ҳақиқий совитиш қуввати сервер хонасида жойлашган барча ускуналар ва тизимларнинг умумий иссиқлик чиқаришидан ортиқ бўлиши керак;

б) сервер хонасининг ҳавосини совитиш тизими 100 фоиз захиралашдан фойдаланган ҳолда бажарилади (камида, ҳар бири мустақил равишда хонанинг ҳаво режимини таъминлай оладиган иккита мустақил кондиционер);

в) совитиш тизими масофадан мониторингни амалга ошириш имкониятини таъминлаши керак.

152. Банк бошқа юридик шахснинг ахборот тизими (бундан буён матнда ташқи ахборот тизими деб юритилади) билан ахборот алмашинувини шартнома асосида амалга оширади.

153. Банк ва ташқи ахборот тизими ўртасида ахборот алмашинуви амалга оширилиши учун қуйидаги ахборот хавфсизлиги ва киберхавфсизликни таъминлаш талаблари белгилаб олиниши керак:

банк томонидан бериладиган маълумотлар рўйхати ва шакли;

банкнинг ахборот тизимига кириш имкониятларини чегаралаш чора-тадбирлари;

ахборот алмашинувида аутентификация ва идентификация жараёнлари;

электрон рақамли имзо, шифрлаш ва бошқа ахборот муҳофазаси қурилмалари, дастурлари ва ускуналари;

банк сири маълумотларини ташқарига чиқишининг олдини олиш;

мазкур Низомда кўрсатилган тармоқ хавфсизлиги талаблари ва бошқа ахборот муҳофазаси талаблари бажарилиши;

ахборот алмашинувида қатнашувчи ходимларни тайинлаш, уларнинг вазифалари, мажбуриятлари ва жавобгарликлари.

Банк ташқи ахборот тизими билан ахборот алмашинувини бошлашдан олдин Марказий банкни хабардор қилиши ва ахборот алмашинувини Марказий банкнинг ахборот муҳофазаси бўйича талабларига риоя қилган ҳолда амалга ошириши шарт.

154. Банклар учинчи шахслар билан ишлашда хавфсизликни таъминлаш мақсадида қуйидагиларни бажаришлари лозим:

учинчи шахсларга маълумотлардан фойдаланиш ҳуқуқини беришдан олдин хавф даражасини таҳлил қилган ҳолда баҳолаш;

конфиденциал маълумотлардан фойдаланиш ҳуқуқи берилган учинчи шахслар билан маълумотларни ошкор қилмаслик тўғрисидаги NDA (Non-Disclosure Agreement) келишувларини имзолаш;

учинчи шахсларга фақатгина ўз мажбуриятларини бажариши учун зарур бўладиган маълумотлар ва ахборот активларига киришга рухсат бериш;

учинчи шахсларнинг ҳар бир ходими учун алоҳида фойдаланувчи аккаунтини яратиш ва мажбурий тартибда кўп факторли аутентификациядан ўтказиш;

учинчи шахслар билан ҳамкорлик қилиш тугатилганидан кейин уларда мавжуд барча конфиденциал маълумотларни қайтариш, йўқ қилиш ҳамда ахборот активларига кириш учун берилган рухсатлар ва фойдаланиш аккаунтларини бекор қилиш.

155. Банклар ўз ахборот активларига масофадан уланишда қуйидаги хавфсизлик чораларини кўришлари лозим:

банк ходимларига ахборот активларига ўзининг шахсий қурилмаларидан фойдаланган ҳолда масофадан туриб уланишига рухсат бермаслик;

ходимларни корпоратив тармоққа масофадан туриб улашда виртуал хусусий тармоқлардан фойдаланиш ва кўп факторли аутентификациядан ўтказиш;

масофадан туриб ишлашда фойдаланувчиларнинг барча ҳаракати PAM тизими орқали амалга оширилишини таъминлаш;

ходимларга масофадан туриб ишлашда фақатгина ўз вазифаларини бажаришлари учун зарур бўладиган ахборот ресурсларидан фойдаланишига рухсат бериш.

156. Банклар ахборот инфратузилмаларида мавжуд заифликларни аниқлаш ва бартараф этишда қуйидагиларни бажаришлари лозим:

заифликларни аниқлаш учун ахборот активларини мунтазам равишда сканерлаш ишларини олиб бориш;

заифликларни таснифлаш ва тавсифлашда халқаро CVE (Common Vulnerabilities and Exposures) каби маълумотлар базаларидан фойдаланиш;

заифликларнинг муҳимлик даражасини аниқлашда халқаро CVSS (Common Vulnerability Scoring System) каби баҳолаш тизимларидан фойдаланиш;

заифликларни бартараф этишда керак бўладиган янгиланиш ва тузатишларни (patch) ўрнатиш;

заифликлар ҳолатини доимий равишда мониторинг қилиш ва банк раҳбариятига ҳисобот бериш жараёнларини йўлга қўйиш.

157. Банклар ахборот активлари конфигурацияларинг хавфсизлигини таъминлашда қуйидагиларни бажариши лозим:

ахборот активларининг барча таркибий қисмлари, жумладан серверлар, ишчи станциялар, тармоқ қурилмалари ва иловалар учун хавфсиз конфигурацияларнинг асосий линияларини SCB (Security Configuration Baselines) яратиш;

конфигурация тавсифини унификациялашда халқаро CCE (Common Configuration Enumeration) каби рўйхатлардан фойдаланиш;

барча конфигурация ўзгаришларини тегишли текширув, тасдиқлаш ва ҳужжатлаштиришдан ўтишини таъминлаш учун ўзгаришларни бошқаришнинг расмийлаштирилган жараёнларини жорий этиш;

жорий қилинган конфигурацияларнинг белгиланган стандартлар ва хавфсизлик сиёсатларига мувофиқлигини мунтазам равишда текшириб бориш ва баҳолаш;

конфигурацияларни бошқариш жараёнларини автоматлаштириш ва уларнинг белгиланган стандартларга мувофиқлигини таъминлаш учун махсус дастурий воситалар ва платформалардан фойдаланиш.

158. Банкнинг ахборот тизимлари ва ресурсларининг ҳаёт даври модели қуйидаги босқичлардан иборат бўлиши лозим:

техник топшириқларни ишлаб чиқиш;

лойиҳалаш;

яратиш ва синовдан ўтказиш;

қабул қилиш ва ишга тушириш;

фойдаланиш;

техник хизмат кўрсатиш ва такомиллаштириш;

фойдаланишдан чиқариш.

159. Ахборот тизими мустақил равишда ишлаб чиқилганда, ҳаёт даври моделининг барча босқичларида ахборот тизимининг ахборот хавфсизлиги ва киберхавфсизлик талабларига мувофиқлиги кўриб чиқиши керак.

160. Тайёр ахборот тизими харид қилинганда, ахборот тизимининг ҳаёт даври моделининг қуйидаги:

қабул қилиш ва ишга тушириш;

фойдаланиш;

техник хизмат кўрсатиш ва такомиллаштириш;

фойдаланишдан чиқариш босқичларида ахборот хавфсизлиги ва киберхавфсизлик талабларига мувофиқлиги таъминланиши лозим.

161. Ахборот тизимлари киберхавфсизлик хатарларини инобатга олинган ҳолда лойиҳаланиши ва ишлаб чиқилиши лозим.

162. Ахборот тизими ҳаёт даврининг барча босқичларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш масалаларига оид ишлар Хизмат билан келишган ҳолда ва унинг назорати остида амалга оширилади.

163. Ахборот тизимини ишлаб чиқиш ёки модернизация қилиш бўйича техник топшириқларда ва банкнинг технологик жараёнларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича талаблар киритилиши лозим.

Ахборот тизими ва (ёки) унинг таркибий қисмларини яратиш ҳамда синовдан ўтказиш босқичларида конфиденциал, жумладан банк сирига оид маълумотлардан фойдаланиш тақиқланади.

Банкда дастурий таъминотни ҳаёт даври босқичларида бошқариш платформаларининг фақат локал (on-premise) талқинларидан (Gitlab va hokazo) фойдаланишга рухсат берилади. Бунда, платформадаги дастур коди автоматик равишда таҳлил қилиниши лозим (SAST/DAST).

Банкнинг дастурий таъминотини ҳаёт даври босқичларида бошқариш платформаларини интернет тармоғига улаш тақиқланади.

Банкнинг дастурий таъминотни ҳаёт даврини бошқариш платформаларига масофадан уланишни фақат ҳимояланган VPN тармоқ орқали амалга оширишга рухсат берилади.

164. Ахборот тизимини ишга туширишдан олдин уларда мавжуд заифликлар текширилиши шарт. Барча заифликлар бартараф этилганидан кейин ахборот тизимини ишга тушириш мумкин.

Банкда фойдаланишда бўлган ахборот тизими ва (ёки) унинг таркибий қисмларида жорий этилган ҳимоя чораларининг тавсифини ўз ичига олган ҳужжатлар бўлиши шарт.

165. Банкда дастур ишлаб чиқарувчилар томонидан ахборот тизимини ишлаб чиқиш ва етказиб бериш босқичларида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш талаблари қайд этилиши лозим.

Банклар дастур ишлаб чиқарувчилар томонидан ишлаб чиқилган ахборот тизимларида амалга оширилган ҳимоя чораларини таҳлил қилиши ва зарур ҳолларда қўшимча талабларни белгилашлари мумкин.

Банклар ахборот тизимларини ишлаб чиқувчи ёки тайёр ахборот тизимларини етказиб берувчи ташкилотлар билан тузган шартномаларида ахборот тизимининг бутун хизмат муддати давомида техник қўллаб-қувватлаш бўйича шартларни киритиши лозим. Агарда шартномада мазкур шартлар кўрсатиб ўтилмаса, банк етказиб берувчидан унинг иштирокисиз ахборот тизими ва унинг таркибий қисмларини қўллаб-қувватлаш имкониятини берувчи ҳужжатлар тўпламини олиши шарт.

166. Ахборот тизимидан фойдаланиш даврида қуйидаги тартиб-таомиллар белгиланиши, бажарилиши ва рўйхатдан ўтказилиши лозим:

жорий этилган ҳимоя чораларининг ишлаши (фаолияти, самарадорлиги)ни назорат қилиш, шу жумладан ташкилий ҳимоя чораларининг амалга оширилишини текшириш, қўлланилаётган техник ҳимоя чораларининг таркиби ва созлаш параметрларини кузатиб бориш;

ускуналар ва дастурий таъминотда заиф томонлар мавжуд эмаслигини текшириш;

созлаш параметрлари ва қўлланилаётган техник ҳимоя чораларига ўзгартиришлар киритилишини назорат қилиш;

дастурий таъминотнинг, шу жумладан техник ҳимоя чораларнинг зарурий янгиланишларини назорат қилиш.

167. Ахборот тизимидан фойдаланиш даврида ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича амалга оширилган барча функцияларни тиклаш учун зарур бўлган тартиб-қоидалар аниқланиши, бажарилиши, қайд этилиши ва назорат қилиниши лозим.

Ахборот тизимидан фойдаланиш даврида ўрнатиладиган ва (ёки) фойдаланиладиган дастурий таъминотнинг таркибини назорат қилиш тартиблари белгиланиши, бажарилиши ва қайд этилиши шарт.

Ахборот тизимидан фойдаланиш даврида конфиденциал, жумладан банк сирига оид маълумотлар сақланаётган воситаларнинг хавфсизлигини таъминлаш учун зарур бўлган тартиб-қоидалар аниқланиши, амалга оширилиши ва назорат қилиниши керак.

Ахборот тизимини фойдаланишдан чиқариш жараёнида банк фаолиятига зарар етказиши мумкин бўлган маълумотлар техник ҳимоя чоралари билан қўлланиладиган ахборотни тиклаш имкониятини истисно қилувчи алгоритмлар ва (ёки) усуллар ёрдамида ахборот тизимларининг доимий хотирасидан ҳамда ташқи ташувчилардан ўчирилади, бундан қонунчиликда белгиланган ва шартномавий ҳужжатларда қайд этилган муддатлар давомида сақланиши кўзда тутилган электрон ҳужжат архивлари ва баённомалар (логлар) мустасно.

168. Банклар ўзининг маълумотларни қайта ишлаш бўйича асосий ва захира марказларини қуйидаги талабларга мувофиқ бўлган дата-марказларга жойлаштиришлари мумкин:

ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича халқаро ISO/IEC 27001, PCI DSS сертификатлари ва (ёки) ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича бошқа халқаро сертификатларнинг мавжуд бўлган;

SOC 2 стандартига мувофиқ бўлган;

Tier III ёки Tier IV халқаро стандартларига мос келадиган;

хизмат кўрсатиш даражасини белгиловчи SLA ҳужжати мавжуд бўлган;

узлуксиз ишлаш вақтида (uptime) ва носозликлар рўй берганда, қайта тиклаш муддатлари кафолатланган;

кириш назорати, видеокузатув, қўриқлаш хизмати ва табиий офатлардан ҳимояланиш каби хавфсизлик чоралари мавжуд бўлган;

турли алоқа каналлари (телефон, электрон почта, чат) орқали кун-у тун (24/7) фаолият юритувчи техник ёрдам хизматига эга бўлган;

дата-марказ администраторлари томонидан кўп омилли аутентификация ва минимал имтиёзлар тамойилига асосланган кириш бошқарув тизими мавжуд бўлган;

банкларга ўз маълумотларига кириш ва сўров бўйича маълумотларни ўчириш имконияти яратилган;

мунтазам равишда ахборот хавфсизлиги ва киберхавфсизлик аудитлари ўтказиладиган ҳамда натижалари банкларга тақдим этиладиган;

янги таҳдидлардан ҳимояланиш учун дастурий таъминот ва технологияларни ўз вақтида янгилаб борадиган;

Марказий банкка текширувлар ўтказиш имконияти яратилган;

кириш қайдномалари (логлар) ва ўзгаришларни камида 5 йил давомида сақлаш имконияти яратилган;

заифликларни таҳлил қилиш ва хавфсизлик синовлари (пентестинглар) йилига камида бир маротаба ўтказиладиган;

бизнеснинг узлуксизлигини таъминлайдиган ва қайта тикланиш режаларининг самарадорлигини текшириш учун мунтазам равишда синовдан ўтказиб туриш ишлари йўлга қўйилган.

169. Дата-марказлар ўз ходимларига мунтазам равишда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш бўйича машғулотлар ўтказиб туриши лозим.

170. Дата-марказ администраторлари барча ўзгартиришларни банк билан келишилган ҳолда PAM тизими орқали амалга ошириши лозим.

Дата-марказ замонавий кейинги авлод тармоқлараро экранларнинг аппарат-дастурий воситалари билан муҳофазаланган бўлиши керак.

171. Дата-марказлар банкларнинг маълумотларини қайта ишлаш марказларининг ахборот хавфсизлиги ва киберхавфсизлигини таъминлаш тизимларини Марказий банк «CERT-CBU» киберхавфсизлик маркази мониторинг тизимига улаши шарт.

172. Банклар ўзининг маълумотларни қайта ишлаш бўйича захира марказларини дата-марказларга жойлаштиришда уларда ахборот хавфсизлиги ва киберхавфсизликни таъминлаш мажбуриятини кўзда тутиши лозим.

173. Банклар ўзининг маълумотларни қайта ишлаш марказларининг жойлашув манзили ўзгарганлиги тўғрисида зудлик билан Марказий банкка хабар бериши лозим.

174. Банк ахборот хавфсизлиги ва киберхавфсизликнинг таъминланганлик даражасини аниқлаш мақсадида ташқи ташкилотлар хизматидан фойдаланиши ва ички аудитини амалга ошириши мумкин.

175. Ташқи ташкилот хизматлари аудит ёки экспертиза кўринишида амалга оширилиши мумкин. Банк аудит ёки экспертиза ишларини ўтказувчи ташкилотларга конфиденциал, шу жумладан банк сири маълумотларини тақдим этиш юзасидан ички ҳужжат ишлаб чиқиши лозим. Бунда, ушбу маълумотлар тегишли шартнома асосида берилиши керак.

176. Бош банкнинг Хизмати банк ва унинг филиалларида мазкур Низом талабларининг бажарилиши устидан доимий назорат олиб бориши лозим.

177. Мазкур Низом талабларининг бузилишида айбдор бўлган шахслар қонунчилик ҳужжатларида белгиланган тартибда жавобгар бўлади.

1. Ўзбекистон Республикаси Марказий банки бошқарувининг 2020 йил 25 январдаги 2/4-сон «Ўзбекистон Республикаси тижорат банклари автоматлаштирилган банк тизимларида ахборотни муҳофаза қилиш тўғрисидаги низомни тасдиқлаш ҳақида»ги қарори (рўйхат рақами 3224, 2020 йил 10 март) (Қонун ҳужжатлари маълумотлари миллий базаси, 10.03.2020 й., 10/20/3224/0312-сон).

2. Ўзбекистон Республикаси Марказий банки бошқарувининг 2021 йил 28 майдаги 12/3-сон «Ўзбекистон Республикаси тижорат банклари автоматлаштирилган банк тизимларида ахборотни муҳофаза қилиш тўғрисидаги низомнинг 1-бандига ўзгартириш киритиш ҳақида»ги қарори (рўйхат рақами 3224-1, 2021 йил 17 июнь) (Қонунчилик маълумотлари миллий базаси, 17.06.2021 й., 10/21/3224-1/0567-сон).

3. Ўзбекистон Республикаси Марказий банки бошқарувининг 2023 йил 21 январдаги 1/13-сон «Ўзбекистон Республикаси тижорат банклари автоматлаштирилган банк тизимларида ахборотни муҳофаза қилиш тўғрисидаги низомга ўзгартиришлар киритиш ҳақида»ги қарори (рўйхат рақами 3224-2, 2023 йил 31 январь) (Қонунчилик маълумотлари миллий базаси, 01.02.2023 й., 10/23/3224-2/0064-сон).