O‘zbekiston Respublikasining “Kiberxavfsizlik to‘g‘risida”gi Qonuni, O‘zbekiston Respublikasi Prezidentining 2020-yil 15-iyundagi PF-6007-son “O‘zbekiston Respublikasi axborot tizimlari va resurslarini himoya qilish davlat tizimini joriy etish chora-tadbirlari to‘g‘risida”gi Farmoni, O‘zbekiston Respublikasi Prezidentining 2020-yil 15-iyundagi PQ-4751-son “O‘zbekiston Respublikasida kiberxavfsizlikni ta’minlash tizimini yanada takomillashtirish chora-tadbirlari to‘g‘risida”gi qaroriga muvofiq buyuraman:

1. O‘zbekiston Respublikasi kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini ta’minlash darajasini baholash tartibi to‘g‘risidagi nizom ilovaga muvofiq tasdiqlansin.

2. Mazkur buyruq O‘zbekiston Respublikasi Raqamli texnologiyalar vazirligi bilan kelishilgan.

3. Mazkur buyruq rasmiy e’lon qilingan kundan e’tiboran kuchga kiradi.

Mazkur Nizom O‘zbekiston Respublikasi kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini ta’minlash darajasini baholash (bundan buyon matnda baholash deb yuritiladi) tartibini belgilaydi.

1. Mazkur Nizomda quyidagi tushunchalar qo‘llaniladi:

kiberxavfsizlik — kibermakonda shaxs, jamiyat va davlat manfaatlarining tashqi va ichki tahdidlardan himoyalanganlik holati;

kiberxavfsizlik obyekti — axborotning kiberhimoya qilinishini hamda milliy axborot tizimlari va resurslarining kiberxavfsizligini ta’minlashga doir faoliyatda foydalaniladigan axborot tizimlari majmui, shu jumladan muhim axborot infratuzilmasi obyektlari;

kiberhimoya — kiberxavfsizlik hodisalarining oldini olishga, kiberhujumlarni aniqlashga va ulardan himoya qilishga, kiberhujumlarning oqibatlarini bartaraf etishga, telekommunikatsiya tarmoqlari, axborot tizimlari hamda resurslari faoliyatining barqarorligini va ishonchliligini tiklashga qaratilgan huquqiy, tashkiliy, moliyaviy-iqtisodiy, muhandislik-texnik chora-tadbirlar, shuningdek ma’lumotlarni kriptografik va texnik jihatdan himoya qilish chora-tadbirlari majmui;

kiberhujum — kibermakonda apparat, apparat-dasturiy va dasturiy vositalardan foydalangan holda qasddan amalga oshiriladigan, kiberxavfsizlikka tahdid soladigan harakat;

muhim axborot infratuzilmasi — muhim strategik va ijtimoiy-iqtisodiy ahamiyatga ega bo‘lgan avtomatlashtirilgan boshqaruv tizimlarining, axborot tizimlari hamda tarmoqlar va texnologik jarayonlar resurslarining majmui;

muhim axborot infratuzilmasi obyektlari — davlat boshqaruvi va davlat xizmatlari ko‘rsatish, mudofaa, davlat xavfsizligini, huquq-tartibotni ta’minlash, yoqilg‘i-energetika majmui (atom energetikasi), kimyo, neft-kimyo tarmoqlari, metallurgiya, suvdan foydalanish va suv ta’minoti, qishloq xo‘jaligi, sog‘liqni saqlash, uy-joy kommunal xizmatlar ko‘rsatish, bank-moliya tizimi, transport, axborot-kommunikatsiya texnologiyalari, ekologiya va atrof-muhitni muhofaza qilish, strategik ahamiyatiga ega bo‘lgan foydali qazilmalarni qazib olish va qayta ishlash sohasida, ishlab chiqarish sohasida, shuningdek iqtisodiyotning boshqa tarmoqlarida va ijtimoiy sohada qo‘llaniladigan axborotlashtirish tizimlari.

2. Baholash kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarini joriy qilish, ulardan foydalanish va/yoki rivojlantirish jarayonida tizimli ravishda amalga oshiriladi.

3. Baholash kiberxavfsizlik va muhim axborot infratuzilmasi obyektlari rahbarlarining O‘zbekiston Respublikasi Davlat xavfsizlik xizmatiga (bundan buyon matnda vakolatli davlat organi deb yuritiladi) taqdim qilgan murojaatiga muvofiq o‘tkaziladi. Bunda, murojaatga mazkur Nizomning 3-bobida belgilangan talablarning bajarilganligini ko‘rsatuvchi ma’lumotlar ilova qilinadi.

Baholash bevosita vakolatli davlat organi tashabbusiga ko‘ra yoki uning yozma topshirig‘i asosida vakolatli davlat organining ishchi organi — “Kiberxavfsizlik markazi” DUK (bundan buyon matnda ishchi organ deb yuritiladi) tomonidan amalga oshirilishi mumkin.

Bunda, baholash uch oygacha bo‘lgan muddatda amalga oshiriladi, shuningdek kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarini baholash jarayonining murakkablik darajasidan kelib chiqib, ushbu muddat vakolatli davlat organi yoki ishchi organ rahbari tomonidan keyingi uch oygacha uzaytirilishi mumkin.

4. Baholash jarayonida vakolatli davlat organi yoki ishchi organi tomonidan kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarining kiberxavfsizligiga salbiy ta’sir etuvchi tahdidlar mavjudligi o‘rganiladi.

5. Baholash jarayonida amalga oshiriladigan ishlar avtomatlashtirilgan dasturiy vositalardan foydalangan holda ham amalga oshirilishi mumkin.

6. Baholash jarayonida vakolatli davlat organi yoki ishchi organi tomonidan quyidagi kiberxavfsizlikni amalga oshirish holatlari o‘rganiladi:

kiberhimoyani ta’minlash tizimining samaradorligi;

ma’lumot va uni qayta ishlovchi obyektlardan ruxsatsiz foydalanishni oldini olish choralarining joriy etilganligi;

kiberhimoyani ta’minlash tizimi parametrlarining texnik reglamentlar talablariga muvofiqligi, kiberxavfsizlik va muhim axborot infratuzilmasi obyektining uzluksiz faoliyat yuritishini ta’minlovchi chora-tadbirlar joriy etilganligi;

kiberxavfsizlik hodisasi ro‘y berganda kiberhimoyani ta’minlash tizimining tezkor tiklash imkoniyati mavjudligi;

kiberhujumlarni monitoring, audit va tahlil qilish, aniqlash, chora ko‘rish hamda asoratlarini bartaraf etish tizimining yo‘lga qo‘yilganligi;

kiberxavfsizlik va muhim axborot infratuzilmasi obyektini kiberxavfsizligini va uning ekspluatatsiyasini ta’minlovchi hujjatlarning mavjudligi;

kiberxavfsizlikni ta’minlash bilan bog‘liq lavozimlarga mutaxassislarning tayinlanganligi;

konfidensial ma’lumotlar himoyasining ta’minlanganligi.

7. Kiberhimoyani ta’minlash tizimining samaradorligi quyidagi holatlar asosida baholanadi:

avtomatlashtirilgan boshqaruv tizimi arxitekturasi va konfiguratsiyasining kiberxavfsizlik talablariga muvofiqligi;

kiberxavfsizlikni ta’minlash vositalarining axborot va kiberxavfsizlik talablariga muvofiqlik sertifikatining mavjudligi;

axborot tizimi va resurslarining kiberxavfsizlik talablariga muvofiq kompleks ekspertizadan o‘tkazilganligi haqidagi xulosaning mavjudligi;

boshqariladigan (kuzatiladigan) obyekt yoki jarayonning parametrlari (holati) to‘g‘risidagi ma’lumotlar, shu jumladan kirish (chiqish) ma’lumotlari, boshqaruv va buyruq tusdagi ma’lumotlari, nazorat va o‘lchov ma’lumotlari hamda boshqa muhim (texnologik) ma’lumotlarda kiberxavfsizlikning ta’minlanganligi;

ma’lumotlarni qayta ishlovchi dasturiy ta’minot va apparat vositalari, shu jumladan ish stansiyalari, serverlar, telekommunikatsiya uskunalari, aloqa liniyalari, dasturlashtiriladigan mantiqiy tekshirgichlar, ishlab chiqarish va texnologik uskunalar kiberxavfsizligining ta’minlanganligi.

8. Ma’lumot va uni qayta ishlovchi obyektlardan ruxsatsiz foydalanishni oldini olish choralarining joriy etilganligi quyidagi holatlar asosida baholanadi:

sertifikatlangan tarmoqlararo ekran mavjudligi va uni tegishli texnik jihatdan tartibga solish sohasidagi normativ hujjatlarga muvofiq sozlanganligi;

tarmoq hujumlarini aniqlash va oldini oluvchi sertifikatlangan tizimlar mavjudligi va uni tegishli texnik jihatdan tartibga solish sohasidagi normativ hujjatlarga muvofiq sozlanganligi;

konfidensial ma’lumotlar chiqib ketishini oldini olishning sertifikatlangan tizimining mavjudligi va uni tegishli texnik jihatdan tartibga solish sohasidagi normativ hujjatlarga muvofiq sozlanganligi;

dasturiy, apparat-dasturiy va apparat vositalarini qo‘llash natijasida kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarining faoliyatini buzilishi va/yoki to‘xtashi mumkin bo‘lgan tahdidlarga qarshi chora ko‘rilganligi;

konfidensial ma’lumotlarning axborot va kiberxavfsizligini ta’minlashning sertifikatlangan tizimini tatbiq etilganligi.

9. Kiberhimoyani ta’minlash tizimi parametrlarining texnik reglamentlar talablariga muvofiqligi, kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarining uzluksiz faoliyat yuritishini ta’minlovchi chora-tadbirlar joriy etilganligi quyidagi holatlar bo‘yicha baholanadi:

kafolatlangan uzluksiz elektr ta’minoti va uning muqobil manbalarining mavjudligi, ularning sozligini o‘rganish bo‘yicha sinovlar o‘tkazilganligi;

ma’lumotlarni qayta ishlash tizimining uzluksiz ishlashini ta’minlovchi uskuna va dasturiy ta’minot zaxirasi mavjudligi;

ma’lumotlar bazasi va sozlanma ma’lumotlarining zaxira nusxalarini o‘rnatilgan tartibda olinishi va saqlanishining ta’minlanganligi.

10. Kiberxavfsizlik hodisasi ro‘y berganda kiberhimoyani ta’minlash tizimining tezkor tiklash imkoniyati mavjudligi quyidagi holatlar asosida baholanadi:

kiberhimoyani ta’minlash tizimining ishchi holatini tiklash bo‘yicha amalga oshiriladigan xatti-harakatlar va mas’ul shaxslarning vazifalarini belgilovchi yo‘riqnomaning mavjudligi va samaradorligi;

kiberhimoyani ta’minlash tizimining zaxira nusxalarini o‘rnatilgan tartibda olinishi va saqlanishining ta’minlanganligi;

kiberhimoyani ta’minlash tizimining to‘liq qayta tiklanishi, shu jumladan, zaxira nusxasi orqali ta’minlanganligi.

11. Kiberhujumlarni monitoring, audit va tahlil qilish, aniqlash, chora ko‘rish hamda asoratlarini bartaraf etish tizimining yo‘lga qo‘yilganligi quyidagi holatlar asosida baholanadi:

hodisalarni qayd etish elektron jurnalining yuritilganligi (kamida so‘nggi 3 oylik muddat);

kiberhujumlarni monitoring, audit va tahlil qiluvchi tizimning ishlashining ta’minlanganligi (test sinovi orqali o‘rganish o‘tkaziladi);

kiberhujumlarni aniqlovchi, chora ko‘ruvchi va asoratlarini bartaraf etuvchi tizimlarning ishlashining ta’minlanganligi (test sinovi orqali o‘rganish o‘tkaziladi).

12. Kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini va uning ekspluatatsiyasini ta’minlovchi hujjatlarning mavjudligi quyidagi holatlar asosida baholanadi:

kiberxavfsizlik va muhim axborot infratuzilmasi obyekti rahbari tomonidan obyektda kiberhimoya tizimining ishlashini ta’minlash uchun mas’ul mutaxassislar tayinlanganligi va/yoki tarkibiy bo‘linmaning mavjudligi;

kiberxavfsizlik va muhim axborot infratuzilmasi obyektining axborot xavfsizligi siyosati, nizomlari, ko‘rsatmalari, talablari hamda himoya vositalaridan foydalanish, kiberhimoya tizimining ishlashini tashkil etish va nazorat qilish tartibi tasdiqlanganligi va doimiy takomillashtirib borilganligi;

axborot tizimlarining kiberxavfsizlik holati va muhim ko‘rsatkichlarining monitoringini olib borish, shuningdek axborot xavfsizligiga tahdidlar, zaifliklar va ularni amalga oshirish (hosil qilish) mumkin bo‘lgan usullar (ssenariylar) va modellar tahlil qilinganligi hamda kiberxavfsizlik hodisalariga chora ko‘rilganligini tasdiqlovchi hujjatlar mavjudligi;

kiberhimoya tizimi va tizim osti qismlarining tajriba ekspluatatsiyasi, qabul qilish sinovlari hamda kiberhimoya tizimini sinovdan o‘tkazish amaliyotlarini tasdiqlovchi hujjatlar;

xodimlarning axborot va kiberxavfsizlikni ta’minlash bo‘yicha bilimi va amaliy tajribasini oshirib borishini tasdiqlovchi hujjatlarning mavjudligi;

kiberxavfsizlik va muhim axborot infratuzilmasi obyekti kiberxavfsizligini ta’minlash bo‘yicha tasdiqlangan ishchi yoki ekspluatatsiya hujjatlarining mavjudligi;

axborot va kiberxavfsizlik yo‘nalishidagi texnik jihatdan tartibga solish sohasidagi normativ hujjatlarga muvofiq himoya tizimining holatini rejali va rejadan tashqari o‘rganish amaliyotini joriy etilganligini tasdiqlovchi hujjatlarning mavjudligi;

barcha ma’lumot tashuvchilarni (shu jumladan obyekt hududiga olib kirish va olib chiqish) saqlash, uzatish va muomaladan chiqarish jarayonini tartibga soluvchi qoidalarga rioya qilinayotganligini tasdiqlovchi hujjatlarning mavjudligi;

yillik rejalarda belgilangan kiberxavfsizlikni ta’minlashga oid tadbirlarning ijro etilganligini tasdiqlovchi hujjatlarning mavjudligi.

13. Kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarida kiberxavfsizligini ta’minlash bilan bog‘liq lavozimlarga shu sohada kasbiy ko‘nikmaga ega va malaka oshirilganligini tasdiqlovchi sertifikatlari mavjud bo‘lgan xodimlar tayinlanishi o‘rganiladi.

14. Kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarining avtomatlashtirilgan (axborot) tizimlarida qayta ishlanayotgan konfidensial ma’lumotlar qonunchilik hamda texnik jihatdan tartibga solish sohasidagi normativ hujjatlarda belgilangan talablarga muvofiq himoyalanganligi o‘rganiladi.

15. Baholash jarayoni yakunlangandan so‘ng mazkur Nizomning 7 — 14-bandlaridagi talablarning bajarilish holati yuzasidan vakolatli davlat organi yoki ishchi organ tomonidan ikki nusxada dalolatnoma rasmiylashtiriladi. Bunda, dalolatnomaning bir nusxasi baholash o‘tkazilgan muhim axborot infratuzilmasi obyektining mas’ul xodimiga beriladi.

Dalolatnomada bartaraf etilishi lozim bo‘lgan kamchiliklar mavjud bo‘lsa, bunda baholash o‘tkazilgan muhim axborot infratuzilmasi obyektining xodimlari (mutaxassislari) tomonidan darhol ushbu kamchiliklarni bartaraf etish choralari ko‘riladi, bu haqida tegishli ma’lumotnoma tuziladi hamda vakolatli davlat organi va/yoki ishchi organga taqdim etiladi.

16. Vakolatli davlat organi va ishchi organi tomonidan doimiy ravishda kibertahdidlar bo‘yicha ma’lumotlar tahlil qilib boriladi.

Bunda, aniqlangan kibertahdidlar va zaifliklar bo‘yicha vakolatli davlat organi yoki ishchi organ tomonidan kiberxavfsizligini ta’minlash darajasi baholangan obyektlarni qayta baholash tadbirlari mazkur Nizomning 3-bandida belgilangan muddatlarda amalga oshirilishi mumkin.

17. Muhim axborot infratuzilmasi obyektlari, vakolatli davlat organi va/yoki ishchi organ baholash davomida olingan ma’lumotlarning qonunchilikda belgilangan tartibda maxfiyligini ta’minlash uchun javobgardir.

18. Mazkur Nizom talablari buzilishida aybdor bo‘lgan shaxslar qonunchilik hujjatlarida belgilangan tartibda javobgar bo‘ladilar.