Oʻzbekiston Respublikasining “Oʻzbekiston Respublikasining Markaziy banki toʻgʻrisida”gi Qonuniga muvofiq Oʻzbekiston Respublikasi Markaziy banki boshqaruvi qaror qiladi:

1. Kredit byurolarining axborot xavfsizligi va kiberxavfsizligiga doir minimal talablar toʻgʻrisidagi nizom ilovaga muvofiq tasdiqlansin.

2. Mazkur qaror Oʻzbekiston Respublikasi Davlat xavfsizlik xizmati, Raqamli texnologiyalar vazirligi va Savdo-sanoat palatasi bilan kelishilgan.

3. Mazkur qaror rasmiy eʼlon qilingan kundan eʼtiboran uch oy keyin kuchga kiradi.

Mazkur Nizom kredit byurolarining axborot tizimlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlashga doir minimal talablarni belgilaydi.

1. Mazkur Nizomda quyidagi asosiy tushunchalardan foydalaniladi:

avtorizatsiya — maʼlum shaxsga yoki shaxslar guruhiga muayyan harakatlarni amalga oshirish huquqini berish;

autentifikatsiya — foydalanuvchi, dastur, qurilma yoki maʼlumotlarning haqiqiyligini tasdiqlash tartib-taomili;

identifikatsiya — foydalanuvchilarning shaxsini aniqlash maqsadida ularga identifikator (noyob nomlar) tayinlash yoki tayinlangan identifikatorlarni (noyob nomlar) identifikatorlar roʻyxati bilan solishtirish;

kriptografik kalit — elektron raqamli imzoni hisoblash yoki tekshirish, shuningdek shifrlash va dastlabki matnga oʻgirish uchun qoʻllaniladigan simvollar ketma-ketligi;

axborot xavfsizligi — axborot sohasida shaxs, jamiyat va davlat manfaatlarining himoyalanganlik holati;

kiberxavfsizlik — kibermakonda shaxs, jamiyat va davlat manfaatlarining tashqi va ichki tahdidlardan himoyalanganlik holati;

kredit axborotidan foydalanuvchi — kredit bitimi boʻyicha tegishincha kreditor, lizing beruvchi, garovga oluvchi va sugʻurtalovchi sifatida ishtirok etuvchi yuridik yoki jismoniy shaxs, shuningdek qonunchilikka muvofiq kredit axborotidan foydalanish vakolatiga ega boʻlgan yuridik shaxs.

2. Kredit byurolarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash maqsadida asosiy vazifalari quyidagilardan iborat boʻlgan axborot xavfsizligi va kiberxavfsizlikni taʼminlash xizmati (bundan buyon matnda Xizmat deb yuritiladi) tashkil etiladi:

axborot xavfsizligi va kiberxavfsizlikning taʼminlanganlik darajasini oshirish, uni baholash, shuningdek avariyalar va xodimlar yoʻl qoʻygan xatolar natijasida kelib chiqadigan yoʻqotishlarni kamaytirish va sodir etilishini oldini olish;

axborot infratuzilmasining yaxlitligi va xavfsizligini nazorat qilish;

serverlarda va tarmoq qurilmalardagi dasturiy taʼminotlarni muhofaza qilish;

barcha texnologik jarayonlarda xodimlar harakati, shuningdek axborot tizimlarida amalga oshirilgan harakatlar boʻyicha elektron bayonnomalar roʻyxatini yuritish;

axborot tizimlarida axborot xavfsizligi va kiberxavfsizlik talablarini buzish holatlarini oldini olish choralarini koʻrish;

maʼlumotlarning uchinchi shaxslarga oshkor etilishini oldini olish;

axborot-kommunikatsiya texnologiyalari infratuzilmasida yuzaga kelgan axborot xavfsizligi va kiberxavfsizlik hodisalari, kibertahdidlar, kiberhujumlar aniqlangan vaqtda bu haqidagi maʼlumotlarni zudlik bilan Oʻzbekiston Respublikasi Markaziy bankiga (bundan buyon matnda Markaziy bank deb yuritiladi) taqdim etish;

axborot-kommunikatsiya texnologiyalari infratuzilmasi, axborot tizimlari va resurslarida axborot xavfsizligi va kiberxavfsizlikning taʼminlanganlik holatini mazkur Nizom talablari, ichki qoida va tartiblarga muvofiqligini bir yilda kamida ikki marotaba axborot xavfsizligi va kiberxavfsizlik tavakkalchiliklarini hisobga olgan holda oʻrganish va oʻrganish natijalarini dalolatnoma bilan rasmiylashtirish.

3. Xizmatning vazifalari, vakolatlari va majburiyatlari kredit byurosining ichki hujjatlari bilan belgilanadi.

Kredit byurolari Xizmatning vazifa va majburiyatlarini toʻlaqonli bajarishi uchun zarur boʻlgan texnik resurslar bilan taʼminlanishi lozim.

4. Xizmat xodimlarining soni yuklatilgan vazifalar, axborot tizimlari va resurslari soni hamda axborot xavfsizligi tizimlarining avtomatlashtirilganlik darajasidan kelib chiqib belgilanadi.

5. Xizmat va axborot texnologiyalari boʻlinmalari kredit byurosi boshqaruvining turli aʼzolariga boʻysunishi lozim, bunda Xizmat kredit byurosining ijro etuvchi organi rahbariga (yoki bosh direktorga), axborot texnologiyalari boʻlinmasi esa bosh direktor oʻrinbosariga boʻysunadi.

6. Kredit byurolari tizimli ravishda har yili kamida ikki marotaba axborot xavfsizligi va kiberxavfsizlikni taʼminlash sohasiga ixtisoslashtirilgan oʻquv kurslarida Xizmat xodimlarining malakasini oshirishni taʼminlashi kerak.

7. Axborot xavfsizligi va kiberxavfsizlikni taʼminlash qonunchilikda belgilangan talablar hamda kredit byurolarining axborot xavfsizligi va kiberxavfsizlikni taʼminlashga oid ichki hujjatlari asosida taʼminlanadi.

8. Kredit byurolari axborot xavfsizligiga oid ichki siyosatni ishlab chiqishi va Markaziy bank bilan kelishishi lozim.

Axborot xavfsizligi siyosatida kredit byurosida mavjud boʻlgan barcha axborot tizimlari va resurslarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha talablar belgilanadi.

9. Axborot xavfsizligi va kiberxavfsizlikni taʼminlashga oid ichki hujjatlar hamda ularda belgilangan talablar kredit byurosining har bir xodimiga tanishtirilishi va ushbu talablarga xodimlar qatʼiy rioya qilishlari kerak.

10. Axborot tizimlari va resurslarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash bilan bogʻliq mazkur Nizomda belgilangan barcha chora-tadbirlar amalga oshirilganligi yozma yoki elektron shaklda oʻz tasdigʻiga ega boʻlishi shart.

11. Kredit byurolari faoliyatida axborot xavfsizligi va kiberxavfsizlikning taʼminlanganlik darajasini baholash boʻyicha reyting axborot tizimi Markaziy bank tomonidan yuritiladi.

Reyting axborot tizimiga kredit byurolari tomonidan oʻz vaqtida va toʻgʻri (haqqoniy) maʼlumotlar kiritilishi lozim.

12. Kredit byurolari tarmoq hamda aloqa kanallarini ehtimoli mavjud boʻlgan kibertahdidlar va kiberhujumlardan himoya qilish uchun quyidagi choralarni koʻrishi lozim:

kompyuter tarmoqlarini segmentlash hamda yangi avlod tarmoqlararo ekran qurilmalaridan foydalanish;

tarmoq orqali qabul qilingan va uzatiladigan maʼlumotlarga ruxsatsiz kirishni oldini olish boʻyicha texnik (kriptografik va boshqa) va (yoki) tashkiliy choralar koʻrish hamda tarmoq maʼlumotlarini filtrlashni taʼminlash (yangi avlod tarmoqlararo ekran qurilmalarini qoʻllash);

tarmoq qurilmalaridagi ARP (Address Resolution Protocol) jadvallarini elektron arxivlash;

Internet jahon axborot tarmogʻi resurslaridan xodimlarning foydalanishini proksi-server orqali amalga oshirish, ish faoliyati uchun zarur boʻlmagan veb-saytlarga kirishni chegaralash va kirilgan veb-saytlarni qayd etib borish;

axborot tizimlarini asosiy va zaxira aloqa kanallari bilan taʼminlash;

serverlarda ish faoliyati uchun zarur boʻlmagan portlarni yopish va xizmatlarni toʻxtatish;

axborot tizimiga kirish obyektlari va resurslarining hisobini yuritish;

masofaviy xizmat koʻrsatish va boshqa axborot tizimlarida mijozni identifikatsiya va autentifikatsiya qilish maqsadida qoʻllaniladigan (bir martalik yoki koʻp martalik) parollarni ishlatish tartibini belgilash, tasdiqlash kodlarini qoʻllash, bir martalik tasdiqlash kodlarini tizimga shifrlangan holda yuborish, kodning faol boʻlish vaqti va boshqalarni yoritish;

axborot tizimiga kirishda qoʻllanilgan qurilmaning identifikatsiya maʼlumotlarini (IP-manzil, MAC-manzil va boshqa identifikatorlar) qayd etish;

tajovuzlarni aniqlash va oldini olish tizimlarini (IDS/IPS) qoʻllash hamda bazasini aktual holatda boʻlishini taʼminlash.

13. Tarmoqlararo ekran qurilmalarining sozlanishlari tasdiqlanishi va ruxsat berilgan axborot almashinuvi protokollari asoslangan boʻlishi lozim. Sozlanishlarga kiritiladigan oʻzgartirishlar kredit byurosi tomonidan belgilangan tartibda amalga oshiriladi.

14. Asosiy va zaxira tarmoqlararo ekran qurilmalarining sozlamalari bir xil boʻlishi lozim. Kredit byurosida tarmoqlararo ekran qurilmalarining har bir sozlanishlari aktual holda elektron arxivda kamida 1 yil mobaynida saqlanishi kerak.

15. Tarmoqlararo ekran qurilmalari va proksi-serverning elektron bayonnomalari Xizmat tomonidan tahlil qilinadi va tashqi hujumlar aniqlanganida shu kunning oʻzida Markaziy bankka xabar beriladi.

16. Axborot xavfsizligi va kiberxavfsizlikni taʼminlash choralarini kuchaytirish maqsadida tarmoq protokolida (TCP/IP) tarmoq tranzit paketlarining IP manzillarini oʻzgartirish imkonini beruvchi (NAT) protokoli qoʻllanilishi mumkin. Bunda tarmoq orqali barcha ulanishlarning elektron jurnallari asl IP manzillar koʻrsatilgan holda yuritilishi va belgilangan tartibda elektron arxivga olinishi lozim.

17. Kredit byurolari axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha ichki hujjatlarida quyidagilarni belgilashlari lozim:

tarmoqni xavfsiz va ishonchli aloqa kanallari bilan taʼminlash tartibi;

tizim ishtirokchilari boʻlgan kredit tashkilotlari va boshqa tashkilotlar hamda ularning xodimlarini identifikatsiya va autentifikatsiya qilish tartibi;

axborot tizimiga kirish va undan chiqish jarayoni tartibi;

foydalanuvchini axborot tizimiga ulashda axborot xavfsizligi va kiberxavfsizlikni taʼminlash tartibi;

axborot xavfsizligi va kiberxavfsizlik hodisalari, kibertahdidlar hamda kiberhujumlar bilan bogʻliq tavakkalchiliklarni baholash va boshqarish tartibi;

tavakkalchiliklarni boshqarish choralari va usullari;

axborot tizimlarida foydalanuvchilarning yagona identifikatorini hosil qilish tartibi;

qayd etiladigan harakatlar roʻyxati;

maʼlumotlarni roʻyxatga olish va saqlash tartibi;

elektron arxivni yuritish (hajmi, saqlash muddati, yoʻq qilish) tartibi.

Kredit byurolari axborot tizimlari va resurslarini yilda kamida bir marotaba inventarizatsiyadan oʻtkazishi lozim.

18. Kredit byurolarida barcha imtiyozli foydalanuvchilarning harakatlarini nazorat qilish va tekshirish imkonini beruvchi PAM (Priviliged Account Management) tizimi joriy etilishi lozim. Bunda foydalanuvchilarning harakatlarini nazorat qilish Xizmat tomonidan amalga oshiriladi. Ushbu harakatlar faol tizimda kamida uch oy, elektron arxivda esa bir yilgacha saqlanishi lozim.

19. Kredit byurolari kredit axborotini shakllantirish, uzatish, saqlash va unga ishlov berishning barcha bosqichlarida uzluksiz himoyani taʼminlash uchun quyidagi choralarni koʻrishlari shart:

identifikatsiya, autentifikatsiya va avtorizatsiya qilish tizimini joriy etish;

tizimga ruxsatsiz kirishning oldini olish usullarini (login, parol, koʻp faktorli autentifikatsiya va boshqa) qoʻllash;

identifikatsiya maʼlumotlarini qalbakilashtirish, ularni ruxsatsiz oʻzgartirish hamda uchinchi shaxslarga taqdim etishdan himoyalash;

kredit axborotini uzatishda uning asl egasiga yetkazilishini taʼminlash hamda boshqa shaxslarga joʻnatilishining oldini olish;

kredit axborotini saqlashda ularni ruxsatsiz koʻchirish, oʻzgartirish, oʻchirish hamda uchinchi shaxslarga joʻnatilishining oldini olish choralarini koʻrish;

tashqi saqlovchiga koʻchirilgan maʼlumotlarni seyfda (temir shkafda) saqlanishini taʼminlash hamda maʼlumotlarni saqlash uchun masʼul xodim (xodimlar) tayinlash;

axborot tizimlaridagi dasturiy taʼminotlarning nazoratini va hisobini yuritish hamda dasturiy taʼminot talqinlarining, apparat-dasturiy qurilmalarining va dasturiy vositalarining uzluksiz ishlashini taʼminlash;

axborot tizimlarining aktual holatda (oxirgi versiyada) boʻlishini taʼminlash, bunda dasturiy taʼminotning yangi talqinini amaliyotda ishlab turgan axborot tizimining ish faoliyatiga salbiy taʼsir koʻrsatmasdan test-sinov maydonlarida tekshiruvdan oʻtkazish va ijobiy natijaga erishilganidan soʻng amaliyotga joriy etish;

kredit axborotini uzatish, saqlash jarayonlarini elektron bayonnomalarda (log) avtomatik tarzda shakllantirib borish va saqlanishini taʼminlash;

Xizmatni tashkil etish hamda axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha amalga oshiriladigan ishlarni nazorat qilish;

hisoblash tarmogʻining xavfsizligi va kriptografik muhofazasini taʼminlash, kompyuter viruslaridan himoyalash, axborot tizimlariga kirishni boshqarish, texnik vositalarini sozlash va boshqa choralarni qoʻllash;

axborot xavfsizligi va kiberxavfsizlikni taʼminlashda uskuna, qurilma, apparat-dasturiy va dasturiy texnik vositalar qoʻllanishini taʼminlash hamda ularni muntazam takomillashtirib borish, foydalanish tartiblarini belgilash, texnik xizmat koʻrsatish, taʼmirlash va boshqa holatlarda ulardan ruxsatsiz foydalanishning oldini olish;

qoʻllanilayotgan texnik vositalarga barcha telekommunikatsiya tarmoqlaridan ruxsatsiz kirish, maʼlumotlarni oʻzgartirish, oʻchirish va koʻchirib olishdan himoyalash;

axborotlarni chiqib ketishini (yoʻqolishini) oldini olish;

axborot tizimiga ruxsatsiz kirish yoki kiberxavfsizlik hodisalari sodir boʻlganda, tahlil qilish asosida himoya tizimlarini mustahkamlab borish choralarini koʻrish.

20. Kredit byurolari axborot tizimlaridan maʼlumotlarning ruxsatsiz uzatilishi va tarqalishidan himoyalash boʻyicha DLP (Data Loss Prevention) tizimi joriy etilishi shart. Maʼlumotlarni himoya qilishda:

muhofazalanadigan maʼlumotlarni ruxsatsiz turli tarmoq kanallari orqali uzatilishi, hisobga olinmagan tashqi tashuvchiga koʻchirilishi, ruxsatsiz chop etilishi aniqlanishi va bu haqida kredit byuro rahbariyatiga maʼlumot berish va kelgusida shu kabi salbiy holatlar boʻlmasligini oldini olish choralari koʻrilishi;

muhofazalanadigan maʼlumotlarni server va kompyuterlarda saqlanishi nazorat qilinishi lozim.

21. Kredit byurolari dasturlar va operatsion tizimlarga zarar keltiruvchi zararli kodlar (kompyuter viruslari) va ularning salbiy taʼsirini oldini olish uchun quyidagi choralarni koʻrishi shart:

hisoblash texnikasi qurilmalari (serverlar, kompyuterlar va boshqalar), ish faoliyatiga zarar yetkazuvchi kodlarni (kompyuter viruslarini) aniqlash va ularning salbiy taʼsirini oldini olish choralarini koʻrishi;

axborot tizimlarida faqat litsenziyalangan antivirus dasturidan foydalanish, ularning rusumlari va bazalari aktualligi hamda yangilanib borilishini taʼminlashi;

antivirus dasturlarining oʻrnatilishi hamda uning ishlashi Xizmat tomonidan nazorat qilinishi;

antivirus dasturlarining avtomatik tarzda ishlashini taʼminlashi;

tarmoq orqali kelgan barcha axborotlarni antivirus dasturi orqali tekshirishi;

antivirus dasturining sozlamalari bunga masʼul boʻlmagan kredit byurosi xodimlari tomonidan oʻzgartirish imkoniyati boʻlmasligini taʼminlashi;

kompyuter virusi aniqlanganda, xodimlar tomonidan amalga oshiriladigan harakatlar tartibi belgilanishi.

22. Kredit byurolarida antivirus dasturlarini markazlashgan holda boshqarish tizimi joriy etilishi, antivirus dasturining bazasi har kuni yangilanib borilishi va versiyasi aktual (maʼnan eskirmagan) boʻlishi taʼminlanishi lozim.

23. Antivirus dasturlari serverlar, kompyuterlar va boshqa barcha antivirus dasturlari oʻrnatilishi mumkin boʻlgan hisoblash vositalariga hamda qurilmalarga oʻrnatilgan boʻlishi lozim.

Antivirus dasturlari Markaziy bankning monitoring tizimiga ulanishi shart.

24. Axborot tizimlarida axborotni muhofaza qilishning kriptografik usullari qoʻllanilishida quyidagilar belgilab olinishi lozim:

kriptografik muhofaza vositalarini avtomatlashtirilgan tizimlarga bogʻlash, ishga tushirish, ishlatish va foydalanishdan chiqarish tartibi;

kriptografik muhofaza vositalarining toʻxtab qolishi, ishdan chiqishi va boshqa favqulodda holatlarda ularni qayta tiklash tartibi;

kriptografik muhofaza dasturlariga va texnik hujjatlariga oʻzgartirishlar kiritish tartibi;

kriptografik kalitlarni boshqarish tartibi;

kriptografik kalitlarni tashuvchi qurilmalarni qoʻllash, saqlash, oʻzgartirish va boshqalar boʻyicha tashkiliy hamda texnikaviy usullarni qoʻllash tartibi.

25. Kredit byurolari Markaziy bank va kredit tashkilotlari bilan elektron axborot almashinuvini Markaziy bankning “Axborotlashtirish bosh markazi” davlat unitar korxonasi bilan tuzilgan shartnoma asosida bank telekommunikatsiya tarmogʻi orqali amalga oshiradi. Bunda, quyidagi xavfsizlik choralari koʻrilishi kerak:

a) kredit axboroti bilan ishlash uchun faqat tegishli ruxsatga ega boʻlgan xodimlar qoʻyilishi;

b) foydalanuvchilarning tizimga kirishi uchun autentifikatsiya qilish login va parol hamda apparat-dasturiy vositalar (token-maxsus qurilma) yordamida amalga oshirilishi. Bunda, parol 12 ta belgidan kam boʻlmagan raqam va simvollar kombinatsiyasidan iborat boʻlishi hamda parol va loginlarni muddati tugashiga qarab oʻzgartirish imkoniyati boʻlishi lozim. Parolning amal qilish muddati bir oydan oshmasligi lozim;

v) kredit axboroti almashinuvida qatnashuvchi xodimlarning server va kompyuterlari telekommunikatsiya tarmoqlari orqali ishlashi uchun apparat-dasturiy vositalar bilan jihozlanishi;

g) axborotlarni qayta ishlash, uzatish va qabul qilish uchun ajratilgan serverlar va kompyuterlarga umumiy lokal tarmoqqa ulangan boshqa kompyuterlardan kirish imkoniyati boʻlmasligi;

d) kredit byurosi tomonidan uzatiladigan va qabul qilinadigan har qanday axborot elektron raqamli imzo bilan tasdiqlanishi hamda bajarilgan ishlar boʻyicha maʼlumot avtomatik ravishda elektron jurnalga kiritilishi. Bunda, elektron raqamli imzo yopiq kalitining egasi quyidagilarni amalga oshirishi shart:

elektron raqamli imzoning yopiq kalitidan foydalanish ustidan nazoratni taʼminlashi;

elektron raqamli imzo kaliti sertifikatini bergan elektron raqamli imzolar kalitlarini roʻyxatga olish markaziga elektron raqamli imzoning yopiq kalitidan foydalanish rejimi buzilganligi yoki buzilishi ehtimoli borligi toʻgʻrisida xabar qilishi va elektron raqamli imzo kaliti sertifikatining amal qilishini toʻxtatib turishni yoxud mazkur sertifikatni bekor qilishni talab qilishi;

oʻzi vakil boʻlgan yuridik shaxs qayta tashkil etilganda va tugatilganda, bu haqda elektron raqamli imzo kaliti sertifikatini bergan elektron raqamli imzolar kalitlarini roʻyxatga olish markaziga xabar qilishi;

e) elektron raqamli imzo ochiq kalitining foydalanuvchisi elektron raqamli imzoning haqiqiyligi tasdiqlanmagan hollarda elektron raqamli imzoning yopiq kaliti egasiga xabar berishi;

j) kredit byurolarining tizimlarida kredit axborotiga tegishli boʻlmagan axborotlarning uzatilishi taqiqlanishi;

z) elektron axborot almashinuvida virtual tarmoqlar (VPN) asosida tashkil etilgan va himoyalangan aloqa kanallari qoʻllanilishi.

Axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha qoʻshimcha axborotni muhofaza qilish vositalari qoʻllanilishi mumkin.

26. Mazkur Nizomning 25-bandida koʻrsatilganlardan tashqari tizim ishtirokchilari kredit axboroti almashinuvi uchun umumiy foydalanishdagi telekommunikatsiya tarmoqlaridan tegishli shartnomalar asosida foydalanishlari mumkin. Bunda:

foydalanuvchilarni tizimga kirishida autentifikatsiya qilish login va parol (12 ta belgidan kam boʻlmagan raqam va simvollar kombinatsiyasi) yoki apparat-dasturiy vositalar yordamida amalga oshirilishi. Autentifikatsiya natijasi uch marta notoʻgʻri boʻlgan holda, tizim berkitilishi lozim;

kredit byurolarining foydalanuvchilar, axborotni yetkazib beruvchilar va boshqa kredit byurolari bilan elektron axborot almashinuvi kriptografik himoyalash va xavfsiz uzatishni koʻzda tutadigan protokol (SSL protokol) orqali amalga oshirilishi. Bunda, virtual xususiy tarmoqlar (VPN) asosida tashkil etilgan va himoyalangan aloqa kanallari qoʻllanilishi kerak;

serverlar orqali uzatiladigan va qabul qilinadigan maʼlumotlar yangilangan bazali antivirus dasturi bilan tekshirilishi zarur.

27. Kredit byurolari tizim ishtirokchilari bilan tuzilgan shartnomalarda axborot xavfsizligi va kiberxavfsizlikni taʼminlash hamda konfidensial, jumladan bank sirini tashkil etuvchi va shaxsga doir maʼlumotlarning xavfsizligini taʼminlash boʻyicha talablarni belgilashi shart.

28. Kredit byurolari axborotlashtirish obyektlariga ruxsatsiz kirish hamda foydalanishni chegaralash maqsadida quyidagi choralarni koʻrishi kerak:

axborotlashtirish obyektlariga jismonan taʼsir etishni hamda texnik jihozlar mavjud boʻlgan bino va xonalarga kirishni nazorat qilish;

xodimlarning axborotlashtirish obyektlariga kirishini nazorat qilish va maʼlumotlarning ruxsatsiz tarqalishidan himoyalash tizimlarini joriy qilish;

serverlar va telekommunikatsiya qurilmalari joylashgan xonalarda ishlash jarayonlarini videokuzatuv tizimlari yordamida nazorat qilish.

29. Kredit byurolari barcha turdagi maʼlumotlarni (shu jumladan, bank sirini tashkil etuvchi, shaxsga doir va boshqa qonun bilan muhofaza qilinadigan maʼlumotlarni) saqlovchi axborot tizimlarining axborot xavfsizligi va kiberxavfsizligini taʼminlashlari shart.

30. Kredit byurolari masofadan xizmat koʻrsatuvchi axborot tizimlarini amaliyotga joriy etish hamda ularga oʻzgartirish kiritishdan avval quyidagilarni taʼminlashlari shart:

masofaviy axborot tizimlarining barcha funksiyalarini sinov (test) tarzida toʻliq tekshiruvdan oʻtkazish;

masofaviy axborot tizimlarini texnik topshiriqlar, ularning texnik topshiriqqa va kiberxavfsizlik talablariga muvofiqligi yuzasidan ekspertizadan oʻtkazish hamda ularning natijalari boʻyicha olingan ekspertiza xulosalarini Markaziy bankka taqdim etish;

dasturlarni ishlatish boʻyicha yoʻriqnomalarni ishlab chiqish va ularning aktualligini taʼminlagan holda mijozlarga taqdim etish;

aniqlangan zaifliklarni bartaraf etish uchun oʻzgarishlar kiritilishini taʼminlash;

mijozlar qoʻllayotgan dasturlarning aktualligini nazorat qilish.

Kredit byurolari masofaviy axborot tizimlarining yangi talqinini (versiyasini) joriy etganidan soʻng eski talqindan (versiyadan) foydalanishni cheklashi va yangi talqinga (versiyaga) oʻtishi (yangilashi) lozim.

31. Kredit byurolari kredit axborotidan foydalanuvchilar bilan tuzilgan shartnomalarda axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha tomonlarning majburiyatlarini belgilagan boʻlishi kerak.

32. Kredit byurolari axborotning konfidensialligi va yaxlitligini, shu jumladan shaxsga doir maʼlumotlarni muhofaza qilishda hamda xavfsizlikni taʼminlashda quyidagi choralarni koʻrishlari lozim:

axborot tizimlari orqali ishlov beriladigan konfidensial va shaxsga doir maʼlumotlarning yaxlitligi va daxlsizligini taʼminlash hamda ulardan foydalanish tartibini ishlab chiqish va tasdiqlash;

ichki hujjatlar bilan tartibga solinadigan himoyalanadigan maʼlumotlar bilan ishlashda xavfsizlik va konfidensiallikni taʼminlash qoidalari va talablarini ishlab chiqish;

konfidensial va shaxsga doir maʼlumotlar bilan ishlovchi xodimlar sonini imkon darajasida kamaytirish, xodimlar bilan konfidensial va shaxsga doir maʼlumotlar oshkor etilishining oldini olish boʻyicha majburiyatnomalar (shartnoma) tuzish va ushbu maʼlumotlardan foydalanish huquqlarini xodimlarning lavozim majburiyatlaridan kelib chiqib belgilash;

konfidensial maʼlumotlar roʻyxatini yuritish boʻyicha komissiya tarkibini shakllantirish va tasdiqlash;

konfidensial maʼlumotlar roʻyxati va hajmini aniqlash hamda tasdiqlash;

konfidensial maʼlumotlar bilan ishlashga ruxsat berilgan xodimlar roʻyxatini shakllantirish va tasdiqlash;

axborotlashtirish obyektining texnik pasportini ishlab chiqish va tasdiqlash;

konfidensial maʼlumotlarni tashuvchi vositalarni roʻyxatga olish, yoʻq qilish hamda tashqariga olib chiqish va kirish jurnallarini yuritish;

maʼlumotlar yaxlitligi va xavfsizligini taʼminlash maqsadida elektron raqamli imzo kalitlaridan foydalanish hamda shifrlangan maʼlumotlarni saqlash tartibini belgilash;

konfidensial va shaxsga doir maʼlumotlar mavjud boʻlgan axborot resurslariga kirishda identifikatsiya, autentifikatsiya va avtorizatsiya qilinishini taʼminlash;

konfidensial va shaxsga doir maʼlumotlar bilan ishlash huquqlarining ruxsatsiz berilishini oldini olish;

axborot tizimlari foydalanuvchilarining muhofazalangan maʼlumotlariga kirish, ishlov berish, ularni saqlash hamda taqdim etish jarayonidagi amalga oshirilgan harakatlarni elektron bayonnomalarda qayd etib borish;

tashqi saqlovchi qurilmalar va texnik vositalarning binodan tashqariga olib chiqilishini nazorat qilish;

maʼlumotlarni uzatish, saqlash, ishlov berish, oʻchirish hamda ruxsatsiz chetga chiqib ketishini oldini olish choralari taʼminlash.

33. Axborot tizimlari va resurslari hamda mobil ilovalarning dastur kodida mavjud zaifliklar dasturchilar yordamida va (yoki) maxsus dasturiy taʼminotda tekshirilishi, aniqlangan zaifliklar bartaraf etilishi hamda har bir tekshiruv natijalari boʻyicha dalolatnoma rasmiylashtirilishi lozim.

34. Kredit byurolari axborot tizimining maʼlumotlar bazasi sozlanishlarida xatoliklarning oldini olishi va tajovuzkorning quyidagi harakatlarini cheklashlari shart:

maʼlumotlar bazasiga kirish;

maʼlumotlar bazasining maxsus interfeysini qoʻllash, buyruqlar kiritish va dasturlarni ishlatish;

administrator va foydalanuvchilar parollarini bilib olish;

maʼlumotlar bazasining tizim fayllariga kirish;

zararli dasturlar oʻrnatish;

serverning ilova dasturlariga egalik qilish;

maʼlumotlar bazasi va serverga masofadan hujum qilish.

Kredit byurolari axborot tizimining maʼlumotlar bazasiga kiritiladigan barcha dasturiy oʻzgartirishlarni hujjatlashtirishi va oʻzgartirishlarning hisobini yuritishi shart.

35. Kredit byurolari axborot tizimining maʼlumotlar bazasiga kiritilgan dasturiy oʻzgartirishlarni testdan (sinovdan) oʻtkazish, ijobiy natijaga erishilganidan keyin bazaga kiritish hamda kiritilgan oʻzgartirishlarni hujjatlashtirish va hisobini yuritish Xizmat tomonidan axborotlashtirish boʻyicha masʼul xodim bilan birgalikda amalga oshiriladi.

36. Maʼlumotlar bazasida oʻrnatilgan serverning ish jarayoni uchun zarur boʻlmagan xizmatlar toʻxtatilishi va axborot portlari yopib qoʻyilishi lozim. Ishlatiladigan axborot portlarining roʻyxati va foydalanish maqsadi koʻrsatilgan holda kredit byurosi direktori tomonidan tasdiqlanadi.

37. Maʼlumotlar bazasining administratori va maʼlumotlar bazasida axborot xavfsizligini taʼminlovchi xodimlarning vazifa va vakolatlari kredit byurosining ichki hujjatlari bilan belgilanadi.

38. Maʼlumotlar bazasi administratorining paroli 12 ta belgidan kam boʻlmasligi lozim, bunda parolning belgilari sifatida pastki va yuqori registr harflari, raqamlar va maxsus belgilardan (@,#, $, &, % va h.k.) qoʻllaniladi.

39. Kredit byurolari axborot tizimlarida ishlash jarayonida, shu jumladan ishlab chiqish va sinovdan oʻtkazish jarayonida vakolatlarni chegaralash uchun quyidagi choralarni koʻrishlari lozim:

axborot tizimlarida ishlash huquqlarini belgilovchi tartib va qoidalarni ishlab chiqish va ularni lavozim yoʻriqnomalarida aks ettirish hamda tegishli hujjatga (ariza, talabnoma yoki boshqa shaklga) asosan tizimdan foydalanish tartibini taʼminlash;

axborot tizimlarida ishlash huquqi berilgan masʼul xodimlar roʻyxatini shakllantirish;

axborot tizimlarida ishlash huquqlarini belgilash va taqsimlash bilan bogʻliq harakatlarni roʻyxatga olish;

axborot tizimlarida ishlash huquqlari mantiqan va ish vazifasidan kelib chiqib toʻgʻri belgilanganligini davriy (har chorakda bir marotaba) tekshirib turish;

axborot tizimlarining ishlashi va sinovdan oʻtkazilish davrida axborot xavfsizligi va kiberxavfsizlikni taʼminlash hamda berilgan axborot tizimlarida ishlash huquqlari toʻgʻriligini nazorat qilish;

axborot tizimi foydalanuvchilari axborot tizimi tomonidan berilgan huquqlarni oʻzgartirish imkoniyatiga ega boʻlmasligini taʼminlash hamda bu huquqlarni begona shaxslarga berishni cheklash choralarini koʻrish.

40. Kredit byurolari oʻzlarining axborot tizimlariga oʻzgartirish kiritish uchun boshqa tashkilotlarni jalb qilganda quyidagilarni amalga oshirishlari zarur:

konfidensial va shaxsga doir maʼlumotlarni oshkor etmaslik boʻyicha bitim tuzish;

axborot tizimlarida muhofaza qilinadigan maʼlumotlar bilan ishlashni belgilangan tartibda ruxsat berish asosida amalga oshirish;

tegishli litsenziya va (yoki) boshqa ruxsatnomaga ega boʻlgan (agar ushbu faoliyat litsenziya yoki tegishli ruxsatnoma asosida amalga oshirilsa) tashkilotlarni jalb qilish;

axborot tizimlarini loyihalash bosqichida maʼlumotlarning konfidensialligini taʼminlash choralarini ishlab chiqish;

koʻriladigan axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha choralar (amalga oshiriladigan ishlar, oʻrnatiladigan dasturlar, qurilmalar va boshqalar) va aniq koʻrsatilgan texnik topshiriqni qabul qilish (test sinovlarini amalga oshirish rejasi) hamda boshqa tegishli hujjatlarni rasmiylashtirish;

dasturiy taʼminotni ishlab chiqqan va unga oʻzgartirish kiritgan (kiritadigan) tashkilotlar roʻyxatini tuzish;

axborot tizimlarini ishlab chiqish va joriy etishning taxminiy muddatlarini hamda shartlarini belgilab olish;

jalb qilingan tashkilot xodimlari tomonidan axborot tizimlariga kiritiladigan oʻzgartirishlarning asosliligini, mavjud texnik topshiriqlarga mosligini, axborot tizimiga aloqador boʻlmagan dasturlar (tizim funksiyalari) kiritilmasligi va test sinovlari natijalarining ijobiyligini Xizmat hamda axborotlashtirish boʻyicha masʼul xodim tomonidan nazoratga olish.

41. Axborot tizimlariga oʻzgartirish kiritgan tashkilot oʻz vazifasini amalga oshirganidan soʻng yoki u bilan tuzilgan shartnoma muddati tugaganida, unga maʼlum boʻlgan barcha konfidensial maʼlumotlar (identifikator, parollar va boshqalar) hamda tizimga kirish imkoniyatlari Xizmat tomonidan oʻzgartirilishi lozim.

42. Axborot tizimlariga kirish huquqi mavjud boʻlgan foydalanuvchilarni har yili kamida bir marotaba xatlovdan (inventarizatsiyadan) oʻtkazish va huquqlarini qayta koʻrib chiqish lozim.

43. Axborot tizimidan bank sirini tashkil etuvchi va shaxsga doir maʼlumotlarni olish jarayonida anomal (frod) holatlarni aniqlash mexanizmi joriy etilishi lozim.

44. Kredit byurolari elektron pochta tizimi serverini oʻzining lokal hisoblash tarmogʻida yaratadi.

Kredit byurolari internet tarmogʻi va elektron pochta tizimlaridan foydalanishda axborot muhofazasini taʼminlash, xodimlarni tizimga kiritish, ularga cheklovlar qoʻyish, xodimlar harakati va tizim axborot xavfsizligi ustidan nazorat qilishni oʻzining ichki hujjatlarida belgilaydi.

45. Kredit byurolari tomonidan konfidensial va shaxsga doir maʼlumotlar ruxsat berilgan axborot tizimlari orqali yuborilishi shart.

46. Fayllarni uzatish protokoli (FTP) serverida tashkil qilingan umumiy katalog orqali fayl almashinuvini amalga oshirish va bank siri maʼlumotlarini tarmoqda erkin oʻqish uchun joylashtirish taqiqlanadi.

47. Kredit byurolari tomonidan internet va elektron pochta orqali yuborishga tayyorlangan yoki qabul qilingan har bir elektron maʼlumot antivirus dasturi yordamida tekshirilishi shart. Elektron pochta orqali qabul qilingan maʼlumotlar zarar keltirmasligi uchun qumdonda (Sandbox tizimi) tekshirilishi lozim.

48. Kredit byurolari oʻzining elektron pochta tizimi hamda internet tarmogʻidan foydalanish tartibini ichki hujjatlari bilan belgilaydi hamda elektron pochta orqali yuborilgan va qabul qilingan maʼlumotlarni Xizmat tomonidan nazorat qilinishini taʼminlaydi. Bunda faqat ruxsat berilgan foydalanuvchilar internet tarmogʻidan foydalanishi va internet tarmogʻidan foydalanishda axborot xavfsizligi va kiberxavfsizlikni taʼminlash choralari koʻrilishi kerak.

49. Internet tarmogʻi va bank telekommunikatsiya tarmogʻi alohida marshrutizator (router) va alohida tarmoqlararo ekran (firewall) qurilmalari orqali jismonan ulanishi shart.

50. Axborot muhofazasini kuchaytirish maqsadida tarmoq protokolida (TCP/IP) tarmoq tranzit paketlarining IP manzillarini oʻzgartirish imkonini beruvchi tarmoq adreslarini oʻzgartirish protokoli (NAT) qoʻllanilishi mumkin. Bunda tarmoq orqali barcha ulanishlarning elektron jurnallari asl IP manzillar koʻrsatilgan holda yuritilishi va belgilangan tartibda elektron arxivga olinishi shart.

51. Internet tarmogʻidan foydalanish tartibi nazoratga olingan boʻlishi va kredit byurosi xodimlarining internet tarmogʻidan foydalanishlari ularning lavozim yoʻriqnomasiga asosan belgilanadi.

Internet tarmogʻidan foydalangan xodimning logini, foydalanish vaqti, resurs nomi va boshqa maʼlumotlar aks ettirilgan elektron bayonnomalar yuritilishi kerak. Xizmat ushbu elektron bayonnomalarni tahlil qilib boradi.

52. Internet tarmogʻidan foydalanishda axborot muhofazasini taʼminlash yangi avlod tarmoqlararo ekran qurilmalari, proksi-server, antivirus, tajovuzlarni aniqlash va oldini olish (IDS/IPS), anti-spam, anti-bot va boshqa axborot xavfsizligi tizimlarini qoʻllash yoʻli bilan amalga oshiriladi.

53. Kredit byurolari konfidensial maʼlumotlardan va oʻta muhim mantiqiy hamda jismoniy resurslardan (axborot tizimlari, maʼlumotlar bazalaridan, axborotni himoya qilish modullaridan) foydalanish monitoringini amalga oshiradi. Bunda monitoring qilishda quyidagilar belgilanadi:

axborot infratuzilmasining axborotga ishlov berish, ularni saqlash va tarmoqda uzatish uchun qoʻllaniladigan dastur va qurilmalar hisobini yuritish;

axborot xavfsizligi va kiberxavfsizlik hodisalarini tahlil qilish, axborot xavfsizligi va kiberxavfsizlik holatini monitoring qilish hamda ogohlantirish imkonini beruvchi SIEM (Security Information and Event Management) yoki boshqa tizimlarni joriy qilish;

axborot xavfsizligi va kiberxavfsizligi holatini monitoring qilishni amalga oshiruvchi tizim maʼlumotlarini tahlil qilib borish va aniqlangan holatlarni (tarmoqqa ruxsatsiz kirish va kirishga urinish, tizimdagi toʻxtalishlar, axborot resurslarining yetishmovchiligi, tarmoqdagi uzilishlar, axborot xavfsizligi va kiberxavfsizligini taʼminlashdagi cheklanishlar va boshqa hodisalar) bartaraf etish va (yoki) ularning oldini olish boʻyicha choralar koʻrish;

konfidensial maʼlumotlardan va oʻta muhim mantiqiy hamda jismoniy resurslardan (tarmoqlar, axborot tizimlari, maʼlumotlar bazalari va axborotni himoya qilish modullaridan) ruxsatsiz foydalanishning oldini olish boʻyicha choralar koʻrish;

foydalanuvchi operatsiyani amalga oshirgan sana (kun, oy, yil) va vaqt (soat, daqiqa, soniya), uning amalga oshirgan operatsiyasi foydalanuvchiga avtomatlashtirilgan tizimlarda hamda axborot dasturlarida berilgan identifikatsiya raqami, tizimlarga kirishda mavjud boʻlgan identifikatsiya maʼlumotlari (IP-manzil, MAC-manzil va boshqa), avtomatlashtirilgan tizimlar tomonidan foydalanuvchiga huquq berilishi bilan bogʻliq harakatlarni qayd etish;

axborot xavfsizligi va kiberxavfsizlik holatini monitoring qilish tizimlarini Markaziy bank “CERT-CBU” kiberxavfsizlik markazining monitoring tizimiga bogʻlanishini taʼminlash;

axborot dasturlari va avtomatlashtirilgan tizimlar ishlatilishi bilan bogʻliq foydalanuvchilarning harakatini (operatsiya) qayd etish.

54. Kredit byurolari axborot xavfsizligi va kiberxavfsizlikni taʼminlashga doir talablarning buzilishi bilan bogʻliq boʻlgan hodisalarni aniqlash maqsadida quyidagi ishlarni tashkil etishi shart:

qoʻllanilishi zarur boʻlgan axborot xavfsizligi va kiberxavfsizlik boʻyicha tashkiliy choralarni aniqlash;

mavjud texnik qurilmalarni ishlatish, sozlash hamda ulardagi maʼlumotlarni qayd etish;

axborot xavfsizligi va kiberxavfsizlik talablarining buzilishi bilan bogʻliq hodisalarni aniqlash choralarini koʻrish hamda ushbu holatlar kredit byurosi xodimlari tomonidan aniqlanganda Xizmatni xabardor qilish;

axborot xavfsizligi va kiberxavfsizlik talablarining buzilishi bilan bogʻliq hodisalar yuzaga kelganda, ularni bartaraf etish, yuzaga kelish sabablarini aniqlash, tahlil qilish hamda aniqlangan hodisalar yuzaga kelmasligi boʻyicha tegishli choralar koʻrish;

aniqlangan hodisalarni roʻyxatga olib borish (reyestrini yuritish);

aniqlangan hodisalar toʻgʻrisidagi maʼlumotlarni saqlash tartibini belgilash;

axborot xavfsizligi va kiberxavfsizlikni taʼminlashning boshqa choralarini koʻrish.

Kredit byurolari axborot xavfsizligi va kiberxavfsizlik talablarining buzilishi bilan bogʻliq hodisalar toʻgʻrisida Markaziy bankka zudlik bilan yozma yoki elektron shaklda xabar berishi shart.

55. Kredit byurolari axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha talablarning buzilishi bilan bogʻliq hodisalarning oldini olish maqsadida quyidagilarni belgilashi shart:

axborot tizimlarida axborot xavfsizligi va kiberxavfsizlik tavakkalchiliklarini boshqarish tartibi va ularni baholash mezonlari;

axborot tizimida noxush hodisalar yuzaga kelganda oʻzaro harakatlanish tartibi;

sodir boʻlgan noxush hodisalarga nisbatan taʼsir choralarini koʻrish boʻyicha amalga oshiriladigan harakatlar roʻyxati;

ishning uzluksizligini taʼminlash, axborotni qayta tiklash hamda boshqa salbiy holatlarni bartaraf etish choralari;

xodimlar tomonidan mavjud axborot tizimlarida ishlashda axborot xavfsizligi va kiberxavfsizlik talablari;

yuzaga kelgan hodisalarning kelib chiqish omillarini aniqlash maqsadida tarmoq qurilmalari va axborot tizimlarining elektron bayonnomalarini rasmiylashtirish, yigʻish, tahlil qilish hamda ularga asosan tegishli koʻrsatmalar.

56. Axborot xavfsizligi va kiberxavfsizlikni taʼminlashga doir talablarning buzilishi bilan bogʻliq aniqlangan hodisalar sabablarini tahlil qilish hamda ularga taʼsir koʻrsatish natijalarini baholash lozim. Bunda aniqlangan hodisalar sabablarini tahlil qilish hamda ularga taʼsir koʻrsatish natijalarini baholash tizimi quyidagilarni oʻz ichiga olishi shart:

aniqlangan hodisalarga nisbatan taʼsir choralari koʻrilgandan keyin ushbu hodisalarning kelib chiqish sabablarini Xizmat tomonidan tegishli boʻlinmalar bilan birgalikda tahlil qilish tartibi;

axborot tizimlarining tegishli elektron bayonnomalarini oʻrganish hamda aniqlangan hodisaning yuzaga kelishiga sababchi boʻlgan xodimlardan tushuntirishlar olish;

hodisalarning kelib chiqish sabablariga oydinlik kiritib, bunday holatlar yuzaga kelmasligi yoki yuzaga kelganda uning zarar keltirish imkoniyatlarini kamaytirish choralarini koʻrish (shu jumladan, tegishli mutaxassislarni jalb qilgan holda);

hodisalarning salbiy taʼsir koʻrsatish darajasiga qarab tasniflash va baholash mezoniga asosan ularni baholash.

Axborot xavfsizligi va kiberxavfsizlikni taʼminlashga doir talablarning buzilishi bilan bogʻliq aniqlangan hodisalarga nisbatan koʻrilgan taʼsir choralari, ularni baholash natijalari va boshqa qoʻshimcha maʼlumotlar chop etilishi hamda alohida yigʻmajildda saqlanishi zarur.

57. Axborot tizimlarining uzluksiz ishlashi va barqarorligini taʼminlash maqsadida quyidagi choralar koʻrilishi shart:

asosiy axborot tizimlari ishdan chiqqan holatlarda xizmatlardan foydalanishni kamida 99,9 foiz darajada taʼminlay olish imkoniyatiga ega zaxira server quvvatlariga ega boʻlishi;

real vaqt rejimida maʼlumotlarni qayta ishlovchi axborot infratuzilmasida kamida 30 foizgacha zaxira joy boʻlishi;

axborot tizimi bilan bogʻliq tarmoq va boshqa qurilmalar nosoz holatga kelganda, uni ish jarayoniga keltirish va uzluksiz ishlashini taʼminlash;

operatsion tizim, dasturiy taʼminotlar, axborot tizimlarining dasturlari, maʼlumotlar (maʼlumotlar bazasi, sozlamalari, elektron bayonnomalar) nusxalarini zaxiraga (backup) olish va elektron arxivda saqlash hamda ularni qayta tiklash tartibini (mexanizmini) ishlab chiqish, ularning hisobini yuritish va nazoratini olib borish;

zaxira tiklanish rejasi, texnik qurilma va uskunalarga ega boʻlish;

maʼlumotlarning zaxiraga olingan (backup) nusxalarini texnik nosozliklarda va favqulodda vaziyatlarda qayta tiklash rejasini ishlab chiqish va davriy (bir yilda bir marotaba) ravishda axborot tizimini qayta tiklab tekshirish;

zaxira nusxalarini saqlash muddati, tartibi va zaxiradan yechish qoidalariga rioya qilish;

dasturlarga oʻzgartirish kiritishni sinov (test) uchun moʻljallangan serverlarda tekshirish;

tizimdagi qurilma va uskunalarning ishlashini nazorat qilish;

axborot tizimining uzluksizligiga salbiy taʼsir etishi mumkin boʻlgan holatlarni oldini olish va axborot muhofazasini taʼminlash;

dizel elektr stansiyasi va (yoki) boshqa elektr taʼminoti uzluksizligini taʼminlash vositalaridan (UPS va boshqalar) foydalanish;

ishlov berilgan maʼlumotlarni saqlash va ularning elektron arxivda yuritilishini taʼminlash;

mijozlarning harakatiga tegishli boʻlgan maʼlumotlarni kamida besh yil saqlanishini taʼminlash;

elektron arxiv yuritishda axborot xavfsizligi va kiberxavfsizlikni taʼminlashga doir talablarga rioya etilishi boʻyicha ishchi guruh tuzgan holda bir yilda kamida ikki marotaba tekshirish va natijalari toʻgʻrisida Markaziy bankka maʼlumot berish;

axborot uzatish zaxira tarmoqlariga ega boʻlish.

58. Kredit byurolari asosiy axborot tizimlari joylashgan joydan 50 kilometrdan kam boʻlmagan masofada joylashgan hududlardagi shahar markazlarida zaxira axborot tizimlarini tashkil etishi lozim. Bunda asosiy va zaxira axborot tizimlari Oʻzbekiston Respublikasi hududida tashkil etiladi.

Axborot tizimlaridagi maʼlumotlar (elektron bayonnomalar va h.k) elektron arxivlarda kamida ikki nusxada (xususan, asosiy va zaxira axborot tizimlarining har birida bitta nusxadan) saqlanishi mumkin.

59. Kredit byurosi oʻz faoliyati davomida shakllanadigan barcha axborot va hujjatlarni raqamli shaklda tartibli ravishda saqlash maqsadida elektron arxiv tizimini tashkil etishi va yuritishi shart.

Elektron arxivda quyidagi maʼlumotlar majburiy ravishda saqlanishi lozim:

foydalanuvchilarning tizimga kirish va chiqish jurnallari (bayonnomalari);

yozuvlar ustida amalga oshirilgan harakatlar (yaratish, oʻzgartirish, oʻchirish) boʻyicha bayonnomalar (loglar);

kredit tarixiga oid barcha kiruvchi va chiquvchi soʻrovlar;

kredit tarixini tuzatish yoki rad etish boʻyicha ariza va qarorlar;

elektron pochta orqali qabul qilingan va yuborilgan hujjatlar;

ARP (Address Resolution Protocol) jadvallari, tizim xatoliklari va ruxsatsiz kirish urinishlari haqida texnik bayonnomalar (loglar);

zaxiralash va tiklash boʻyicha amaliyotlar jurnali.

60. Zaxira nusxalarni saqlash, yuritish va ulardan foydalanish bilan bogʻliq talablar quyidagilarni oʻz ichiga oladi:

a) zaxira nusxalarni saqlash muddati:

tizim konfiguratsiyasi, elektron bayonnomalar va log fayllar — bir yil;

moliyaviy va mijozlarga oid operatsion maʼlumotlar — besh yil;

ichki xizmatlar faoliyatiga tegishli joriy maʼlumotlar — olti oyni tashkil etadi;

b) zaxira nusxalarini tiklash va oʻchirish faqat vakolatga ega boʻlgan masʼul xodimlar tomonidan amalga oshirilishi lozim. Bunda, barcha harakatlar rasmiylashtirilishi va elektron bayonnomalar (log)da qayd etilishi kerak;

s) saqlash muddati yakuniga yetgan zaxira nusxalar ularning maxfiylik darajasi va axborot xavfsizligi talablari inobatga olingan holda qayta tiklab boʻlmaydigan qilib yoʻq qilinadi. Bunda, barcha jarayonlar elektron bayonnomalar (log)da qayd etiladi.

61. Kredit byurolarining faoliyati tugatilganda, ulardagi mavjud elektron arxivning axborot resurslari qonunchilikda belgilangan tartibda tegishli davlat yoki nodavlat arxivlariga topshiriladi.

Kredit byurolari qayta tashkil etilganda, ularning elektron arxiv maʼlumotlari tegishli davlat arxivlari bilan kelishilgan holda mazkur tashkilotning huquqiy vorislari elektron arxiviga topshiriladi.

62. Kredit byurolari hududidagi server xonasida byuroning axborot tizimlari, maʼlumotlar bazasi, veb-serverlari va boshqa serverlar joylashtiriladi.

Agar serverlar Oʻzbekiston hududida joylashgan hamda bank telekommunikatsiya tarmogʻiga ulangan maʼlumotlarni qayta ishlash markazlarida joylashtirilsa, maʼlumotlarni qayta ishlash markazlari server joylashgan xonalarning xavfsizligini xalqaro talablar doirasida taʼminlashi lozim.

63. Kredit byurolari server xonaning kafolatli elektr taʼminoti tizimini joriy etishi lozim, bunda turli elektr podstansiyalardan elektr taʼminotining ikkita kirishlari va bitta avtomatik tarzda ishga tushuvchi dizel elektr stansiyasi mavjud boʻlishi kerak. Elektr energiyasining barcha uchta manbai elektr taʼminotining asosiy (zaxira) fideriga avtomatik tarzda qayta ulanishi taʼminlanishi kerak.

64. Elektr taʼminoti liniyalarining, avtomatik dizel elektr stansiyasi va uning zaxirasi avtomatik kirishining parametrlari uskuna va server xonasi tizimlarining isteʼmol qilinadigan umumiy quvvatidan kelib chiqib aniqlanishi va quvvat boʻyicha zaxiraning kamida 10 foizini taʼminlashi kerak.

65. Kredit byurolari uzluksiz ishlashi uchun kamida bir sutkaga yetadigan yoqilgʻi zaxirasiga ega boʻlgan dizel elektr stansiyasi bilan taʼminlanishi lozim, bunda kredit byurosida elektr quvvati boʻlmaganda dizel elektr stansiyasi avtomatik ravishda ishga tushishi kerak.

66. Kredit byurolari server xonasini uzluksiz elektr taʼminoti manbai (UPS) bilan jihozlashlari lozim.

Bunda elektr taʼminoti manbai (UPS) quvvati barcha taʼminlanadigan uskuna va kelajakdagi ehtiyoj uchun zaxira hisobga olingan holda joriy qilingan boʻlishi kerak. Elektr taʼminoti manbai (UPS) orqali avtonom ishlash vaqtini aniqlashda ehtiyojlar, shuningdek zaxira liniyalarga yoki avtomatik dizel elektr stansiyasiga oʻtish va qayta oʻtish uchun kerak boʻladigan vaqt hisobga olinadi.

67. Server xonasiga kirish faqat tasdiqlangan roʻyxatga muvofiq amalga oshiriladi.

Server xonasiga kirishga ruxsat berilgan xodimlar roʻyxatida boʻlmagan shaxslar server xonasiga kirish zarurati paydo boʻlgan hollarda ularning kirishi asoslangan holda talabnoma bilan rasmiylashtirilishi lozim. Ushbu talabnoma axborot texnologiyalari boʻlinmasi rahbari tomonidan koʻrib chiqilishi va imzolanishi, shuningdek Xizmat rahbari bilan kelishilishi zarur. Server xonasiga kirish server administratori kuzatuvi ostida amalga oshiriladi.

68. Server xonasiga xodimlar kirishni nazorat qilish tizimi orqali nazoratdan oʻtgan holda (biometrik yoki boshqa usullardan) kirishi kerak.

69. Server xonasiga axborot tizimlariga xizmat koʻrsatuvchi tashkilotlar xodimlari kiritilganda, bu haqda roʻyxatga olish jurnaliga server xonalariga kirish va chiqish sanasi, vaqti, amalga oshirilgan ishlar nomi, bajaruvchining familiyasi, ismi, lavozimi, tashkilot nomi yozilishi hamda ushbu xodimning imzosi qoʻyilishi kerak.

70. Server xonasi quyidagi jihozlanish talablariga javob berishi shart:

mustahkam devorlar va ishonchli toʻsiqlarga ega boʻlishi;

ishonchli (kodli) qulflar oʻrnatilgan mustahkam eshiklar bilan jihozlanishi;

derazalar xonaga kirishdan himoya qilish vositalariga ega boʻlishi, shuningdek begona shaxslarning koʻz yoki maxsus qurilmalar bilan kuzatishidan himoya qiluvchi deraza pardalari, qoʻriqlash va ogohlantirish qurilmalari bilan jihozlanishi;

yongʻin xavfsizligi talablariga muvofiq boʻlishi.

71. Server xonasiga oʻrnatilgan videokuzatuv tizimi quyidagi talablarga javob berishi kerak:

serverlar bilan bevosita jismoniy kontaktlar yozib borilishi;

uzluksiz videokuzatuv amalga oshirilishi;

serverlarning (server shkaflarining) oldi va orqa tarafini kecha-yu kunduz nazorat qilish imkoniyati boʻlishi;

videokameralarning tasvirga olish imkoniyatlari texnologik qurilmalarga xizmat koʻrsatayotgan xodimlarning yuzlarini ishonch bilan farqlashiga yetarli boʻlishi.

72. Server xonasining videokuzatuv qurilmalari maʼlumotlari axborot tizimi lokal tarmoqlardan ajratilgan va tashqi taʼsirlardan himoya qilingan boʻlishi hamda elektr taʼminoti uzilgan vaqtdan boshlab 12 soat ichida energiyaga bogʻliq boʻlmagan holda avtonom ravishda ishlash imkoniyatiga ega boʻlishi, shuningdek videoarxiv 2 oydan kam boʻlmasligi lozim.

73. Server xonasining videoarxiv maʼlumotlarini yuritish va undan foydalanish Xizmat tomonidan amalga oshiriladi.

74. Server xonasi yongʻinga qarshi qurilmalar bilan jihozlangan boʻlishi lozim.

75. Sovitish va ventilyatsiya quyi tizimiga qoʻyiladigan asosiy talablar quyidagilardan iborat:

a) server xonasida quyidagi iqlim sharoitlariga rioya qilinishi kerak:

xonadagi havo harorati: 18 — 24°C;

haroratning yoʻl qoʻyiladigan ogʻishlari: ± 2°C;

havoning nisbiy namligi 40 — 50 foiz.

Havoni sovitish tizimining haqiqiy sovitish quvvati server xonasida joylashgan barcha uskunalar va tizimlarning umumiy issiqlik chiqarishidan ortiq boʻlishi kerak;

b) server xonasining havosini sovitish tizimi 100 foiz zaxiralashdan foydalangan holda bajariladi (har biri mustaqil ravishda xonaning havo rejimini taʼminlay oladigan ikkita mustaqil konditsioner).

76. Kredit byurolarining binolari himoya qilinishida ular zaruriy uskunalar, tashkiliy-texnik vositalar bilan jihozlanishi va tegishli dasturiy taʼminotlardan foydalanilishi lozim.

77. Kredit axborotidan foydalanuvchilar kredit byurolarining axborot tizimlariga ruxsat etilmagan holda kirish, kredit axborotini yoʻq qilib yuborish, oʻzgartirish, undan boshqa shaxslar foydalanishi yoki uni oshkor etilishini oldini olish uchun tashkiliy va texnik choralar koʻrishi lozim.

78. Kredit byurolari kredit axborotidan foydalanuvchilar uchun axborot tizimida axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha talablarni belgilashi hamda ijrosini nazorat va monitoring qilishi lozim.

Monitoring natijasida salbiy holatlar aniqlanganda, ushbu foydalanuvchiga nisbatan choralar koʻradi, jumladan uni axborot tizimiga kirishini cheklaydi.

79. Mazkur Nizom talablarining buzilishida aybdor boʻlgan shaxslar qonunchilik hujjatlarida belgilangan tartibda javobgar boʻladi.