Faktoring elektron platformalarining axborot tizimlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha minimal talablar toʻgʻrisidagi nizomni tasdiqlash haqida
(resolution, 2025-08-13)

Oʻzbekiston Respublikasining “Oʻzbekiston Respublikasining Markaziy banki toʻgʻrisida”gi Qonuni hamda Oʻzbekiston Respublikasi Prezidentining 2024-yil 12-avgustdagi PF-109-son “Faktoring xizmatlari bozorini jadal rivojlantirish chora-tadbirlari toʻgʻrisida”gi Farmoniga muvofiq Oʻzbekiston Respublikasi Markaziy bank boshqaruvi qaror qiladi: 1. Faktoring elektron platformalarining axborot tizimlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha minimal talablar toʻgʻrisidagi nizom ilovaga muvofiq tasdiqlansin. 2. Mazkur qaror Oʻzbekiston Respublikasi Davlat xavfsizlik xizmati hamda Raqamli texnologiyalar vazirligi bilan kelishilgan. 3. Mazkur qaror rasmiy eʼlon qilingan kundan eʼtiboran uch oydan keyin kuchga kiradi. Mazkur Nizom kredit tashkiloti boʻlmagan yuridik shaxslar (bundan buyon matnda tashkilot deb yuritiladi) tomonidan tashkil etiladigan faktoring elektron platformalarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash hamda ularni IT-auditdan oʻtkazish boʻyicha minimal talablarni belgilaydi. 1. Mazkur Nizomda quyidagi asosiy tushunchalardan foydalaniladi: autentifikatsiya — foydalanuvchi, dastur, qurilma yoki maʼlumotlarning haqiqiyligini tasdiqlash tartib-taomili; axborot tizimi — axborotni toʻplash, saqlash, izlash, unga ishlov berish hamda undan foydalanish imkonini beradigan, tashkiliy jihatdan tartibga solingan jami axborot resurslari, axborot texnologiyalari va aloqa vositalari; axborot xavfsizligi — axborot sohasida shaxs, jamiyat va davlat manfaatlarining himoyalanganlik holati; faktoring elektron platformasi (bundan buyon matnda platforma deb yuritiladi) — Internet butunjahon axborot tarmogʻida joylashtirilgan, faktoring (pul talabnomasidan boshqa shaxs foydasiga voz kechish evaziga moliyalash) bozori ishtirokchilari (moliya agentlari, mijozlar va debitorlar) oʻrtasida yuridik ahamiyatga ega boʻlgan munosabat hamda elektron hujjat almashinuvini tashkil etishga qaratilgan axborot tizimi; identifikatsiya — foydalanuvchilarning shaxsini aniqlash maqsadida ularga identifikator (noyob nomlar) tayinlash yoki tayinlangan identifikatorlarni (noyob nomlar) identifikatorlar roʻyxati bilan solishtirish; IT-audit — axborot texnologiyalari, avtomatlashtirilgan boshqaruv tizimlari hamda maʼlumotlarni qayta ishlash infratuzilmasining ishonchliligi, amaldagi qonunchilik hujjatlari va standartlarga muvofiqligi, shuningdek axborot xavfsizligi va kiberxavfsizlikning taʼminlanganlik darajasini aniqlash maqsadida amalga oshiriladigan mustaqil baholash jarayonlari; kiberxavfsizlik — kibermakonda shaxs, jamiyat va davlat manfaatlarining tashqi va ichki tahdidlardan himoyalanganlik holati; shaxsga doir maʼlumotlar — muayyan jismoniy shaxsga taalluqli boʻlgan yoki uni identifikatsiya qilish imkonini beradigan, elektron tarzda, qogʻozda va (yoki) boshqa moddiy jismda qayd etilgan axborot. 2. Tashkilotlar platformani taʼminlaydigan axborot tizimlari (bundan buyon matnda axborot tizimlari deb yuritiladi) hamda resurslarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash maqsadida: a) axborot xavfsizligi siyosatini ishlab chiqadi va tasdiqlaydi. Bunda: axborot tizimlari va resurslarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha talablar belgilanishi; belgilangan talablar tashkilotning har bir xodimiga tanishtirilishi hamda ushbu talablarga xodimlarning qatʼiy rioya qilishi taʼminlanishi lozim; b) axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha masʼul xodimni (bundan buyon matnda masʼul xodim deb yuritiladi) tayinlaydi; c) konfidensial, shu jumladan bank sirini tashkil etuvchi va shaxsga doir maʼlumotlarning daxlsizligini taʼminlaydi hamda ulardan foydalanish tartibini ishlab chiqadi. Bunda, ushbu tartibda: konfidensial, shu jumladan bank sirini tashkil etuvchi va shaxsga doir maʼlumotlar bilan ishlashda xavfsizlik, konfidensiallik va yaxlitlikni taʼminlash boʻyicha talab va qoidalarni ishlab chiqish; xodimlar bilan konfidensial, shu jumladan bank sirini tashkil etuvchi va shaxsga doir maʼlumotlar oshkor etilishining oldini olish boʻyicha majburiyatnomalar (shartnomalar) tuzish va ushbu maʼlumotlardan foydalanish huquqlarini xodimlarning lavozim majburiyatlaridan kelib chiqib belgilash; konfidensial maʼlumotlar roʻyxatini shakllantirish va tasdiqlash; konfidensial maʼlumotlar bilan ishlashga ruxsat berilgan xodimlar roʻyxatini shakllantirish va tasdiqlash; konfidensial maʼlumotlar bilan ishlash tartibini ishlab chiqish va tasdiqlash; tashqi saqlovchi qurilmalar va texnik vositalarni nazorat qilinadigan hududdan tashqariga ruxsatsiz olib chiqilishini oldini olish choralari nazarda tutilishi lozim; d) axborot tizimlarida yuzaga keladigan xavflarni baholash hamda boshqarish boʻyicha talablarni belgilaydi; e) axborot tizimlarida yuzaga kelgan yoki kelishi mumkin boʻlgan toʻxtalishlar, uzilishlar, axborot xavfsizligi va kiberxavfsizlik hodisalarini aniqlash, oldini olish, bartaraf etish va ular toʻgʻrisidagi maʼlumotlarni saqlash hamda roʻyxatini yuritish tartibini ishlab chiqadi. 3. Masʼul xodim oʻz faoliyatida: axborot tizimlari va resurslarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash boʻyicha belgilangan talablarning tashkilot boʻlinmalari va xodimlar tomonidan bajarilishini nazorat qilishi; axborot xavfsizligi va kiberxavfsizlikni taʼminlash tizimini tashkil qilishi; ish jarayonida xodimlarga konfidensial, shu jumladan bank sirini tashkil etuvchi va shaxsga doir maʼlumotlarni sir saqlash majburiyati va oʻz majburiyatlarini buzganligi uchun javobgarligi toʻgʻrisida tushuntirish ishlarini olib borishi hamda ushbu maʼlumotlar saqlanishini nazorat qilishi; axborot tizimlariga oʻzgartirishlar kiritilishini nazorat qilishi; foydalanuvchilarning axborot resurslarida ishlash huquqlari va chegaralarini belgilashni tashkil etishi; axborot tizimlariga kirishni nazorat qilishi; axborot tizimlari va axborot resurslaridan ruxsatsiz foydalanishni cheklashi; axborot xavfsizligi va kiberxavfsizlikni taʼminlash yuzasidan ichki meʼyoriy hujjatlarni ishlab chiqishi; axborot xavfsizligi va kiberxavfsizlikni taʼminlash masalalarida rahbariyatga takliflar berishi; axborotning saqlanishi ustidan umumiy nazoratni tashkil etishni taʼminlashi kerak. 4. Tashkilotlar tizimli ravishda axborot xavfsizligi va kiberxavfsizlikni taʼminlash sohasiga ixtisoslashgan oʻquv kurslarida masʼul xodimlarni oʻqitish ishlarini tashkil etishi lozim. 5. Tashkilotlar oʻz faoliyatida axborot xavfsizligi va kiberxavfsizlikni taʼminlashda axborot tizimlari va resurslarida yuzaga kelishi mumkin boʻlgan axborot xavfsizligi va kiberxavfsizlik hodisalarini aniqlash, oldini olish va bartaraf etish choralarini koʻrishlari lozim. 6. Foydalanuvchilarning platformaga kirishi himoyalangan protokollardan foydalangan holda Internet butunjahon axborot tarmogʻi orqali amalga oshiriladi. Foydalanuvchi va server oʻrtasidagi barcha oʻzaro axborot almashinuvi faqat himoyalangan Transport Layer Security (TLS) protokolidan (1.3 yoki undan yuqori versiya) foydalangan holda amalga oshirilishi shart. 7. Platforma foydalanuvchilari oʻrtasida almashinadigan maʼlumotlar va hujjatlarning haqqoniyligini tasdiqlash elektron raqamli imzo kalitlari orqali amalga oshiriladi. 8. Platforma Oʻzbekiston Respublikasida joylashgan va Tactically Integrated Emergency Response (TIER) talablariga javob beruvchi maʼlumotlarni qayta ishlash markazlari yoki tashkilotning server xonalarida joylashtiriladi. 9. Tashkilotlarning shaxsga doir maʼlumotlar bazasi Shaxsga doir maʼlumotlar bazalarining davlat reyestrida roʻyxatdan oʻtkazilishi lozim. 10. Tashkilotlar axborotni shakllantirish, uzatish, saqlash va unga ishlov berishning barcha bosqichlarida konfidensial, shu jumladan bank sirini tashkil etuvchi va shaxsga doir maʼlumotlarni uzluksiz himoya qilish uchun quyidagi choralarni koʻrishlari lozim: identifikatsiya, autentifikatsiya va avtorizatsiya qilish tizimini joriy etish; tizimga ruxsatsiz kirishning oldini olish usullarini (login, parol, koʻp faktorli autentifikatsiya (KFA) va boshqalar) qoʻllash; maʼlumotlar bazasi administratorining paroli kamida 12 ta belgidan kam boʻlmasligini taʼminlash, bunda parolning belgilari sifatida pastki va yuqori registr harflari, raqamlar va maxsus belgilardan (@, #, $, &, % va boshqalar) foydalanish; hujjatlar va identifikatsiya maʼlumotlarini qalbakilashtirish, ruxsatsiz koʻchirish, oʻzgartirish, oʻchirish hamda uchinchi shaxslarga taqdim etishdan himoyalash; axborot tizimlaridagi dasturiy taʼminotlarning nazorati va hisobini yuritish hamda dasturiy taʼminot versiyalari, apparat-dasturiy qurilmalar va dasturiy vositalarning uzluksiz ishlashini taʼminlash; axborot tizimlarini aktual holatda (oxirgi versiyada) boʻlishini taʼminlash, bunda dasturiy taʼminotning yangi versiyasini tekshiruvdan oʻtkazgandan soʻng axborot tizimiga joriy etish; korporativ tarmoqda ilova serverlari va foydalanuvchilar oʻrtasidagi barcha axborot almashinuvini Transport Layer Security (TLS) protokoli (1.3 yoki undan yuqori versiya) orqali amalga oshirish; axborot tizimlarini asosiy va zaxira aloqa kanallari bilan taʼminlash; serverlarda ish faoliyati uchun zarur boʻlmagan portlarni yopish va xizmatlarni toʻxtatish; axborot tizimiga ruxsatsiz kirish yoki axborot xavfsizligi va kiberxavfsizlik hodisalari sodir etilganda, ularni tahlil qilish asosida himoya tizimlarini mustahkamlab borish choralarini koʻrish; axborot tizimiga tashqi axborot tizimlarini integratsiya qilishda yaratiladigan veb-servis (WebAPI) metodlaridan foydalanish jarayonida avtorizatsiyadan oʻtkazish uchun berilgan token orqali ishlashni yoʻlga qoʻyish. 11. Veb-servis (WebAPI) metodlari orqali axborot tizimlariga murojaat qiluvchi tashqi axborot tizimlari faqat oldindan autentifikatsiyadan oʻtgan va ishonchli deb topilgan foydalanuvchilar nomidan, amal qilish muddati tugamagan JWT (JSON Web Token) vositasida identifikatsiya va avtorizatsiya qilinishi shart. Veb-servis tomonidan qabul qilinadigan JWT token quyidagi talablarga javob berishi shart: 1.3 yoki undan yuqori versiyadagi TLS protokoli orqali uzatilgan boʻlishi; amal qilish muddati 30 daqiqadan oshmasligi; RS256 yoki ES256 raqamli imzo algoritmlaridan foydalanilgan boʻlishi; majburiy atributlari (iss, sub, aud, iat, exp, jti) toʻliq va toʻgʻri koʻrsatilgan boʻlishi. 12. Veb-servis tomonidan taqdim etilgan JWT tokenning haqiqiyligi, amal qilish muddati hamda foydalanuvchining rollari va vakolatlari majburiy ravishda tekshirilishi lozim. Token yaroqsiz, muddati tugagan yoki notoʻgʻri boʻlgan hollarda soʻrov rad etilishi va mos xatolik kodi bilan javob qaytarilishi shart. 13. Refresh-token orqali yangilangan JWT tokenlar mazkur Nizomning 10 va 11-bandlarida koʻrsatilgan xavfsizlik talablariga toʻliq muvofiq boʻlishi lozim. Refresh-tokenning amal qilish muddati 12 soatdan oshmasligi shart. 14. Autentifikatsiya va avtorizatsiya jarayonida foydalanuvchi 3 daqiqa davomida faol emasligi aniqlansa, tizim uni avtomatik tarzda tizimdan chiqaradi hamda unga tegishli barcha tokenlar darhol bekor qilinadi (deaktivatsiya qilinadi). 15. Veb-servislar orqali axborotga kirish faqat oldindan belgilangan rollar va vakolatlar doirasida amalga oshirilishi lozim. Har bir kirish holati majburiy ravishda qayd etilishi shart. 16. Aloqa kanallari orqali nazorat qilinadigan hududdan tashqariga chiquvchi konfidensial axborotlar Oʻzbekiston Respublikasida sertifikatlangan axborotni kriptografik himoya qilish vositalari bilan shifrlanishi zarur (qoʻshimcha tarmoq himoyasini taʼminlashda qoʻllaniladigan IPSec va boshqa shu kabi vositalar bundan mustasno). Axborot tizimlaridan imtiyozli (administratorlik) foydalanish huquqiga ega xodimlarning masofaviy ulanishi faqat Privileged Access Management (PAM) tizimi orqali amalga oshirilishi lozim. 17. Tashkilot axborot tizimlarida axborot xavfsizligi va kiberxavfsizlikni taʼminlash uchun yangi avlod tarmoqlararo ekranlar qurilmalarining (next generation firewall) apparat-dasturiy vositalarini hamda tarmoqdagi hujumlarni aniqlash va oldini olish uchun tajovuzlarni aniqlash va oldini olish tizimlarini (IDS/IPS) joriy etishi lozim. 18. Platformani tashqi axborot tizimiga integratsiya qilishda oʻzaro maʼlumot almashish uchun Oʻzbekiston Respublikasida sertifikatlangan axborotni kriptografik himoya qilish vositalari yoki himoyalangan IPSec tunnel orqali ulanish hamda ular orqali maʼlumot almashinuvini yoʻlga qoʻyish lozim. 19. Tashkilot axborot tizimlarida faqat litsenziyalangan antivirus dasturidan foydalanishi, ularning rusumlari va bazalari aktualligi hamda yangilanib borilishini taʼminlash uchun quyidagi choralarni amalga oshirishi shart: antivirus dasturlarining avtomatik tarzda ishlashini taʼminlash; internet va korporativ tarmoqlar orqali kelgan axborotlarni antivirus dasturi orqali tekshirish. 20. Platformani amaliyotga joriy etishdan oldin uning ishlab chiqilgan (modernizatsiya qilingan) barcha funksiyalarini test-sinov ishlari uchun moʻljallangan serverlarda toʻliq tekshiruvdan oʻtkazish shart. 21. Axborot tizimining uzluksiz va barqaror ishlashini taʼminlash maqsadida quyidagi choralar koʻrilishi lozim: axborot tizimi bilan bogʻliq tarmoq va boshqa qurilmalar nosoz holatga kelganda, ularni ish jarayoniga keltirish va uzluksiz ishlashini taʼminlash; texnik nosozliklarda va favqulodda vaziyatlar yuz berganda maʼlumotlarning zaxiraga olingan (backup) nusxalarini qayta tiklash rejasini ishlab chiqish; operatsion tizimlar, dasturiy taʼminotlar, axborot tizimlarining dasturlari, maʼlumotlar (maʼlumotlar bazasi, sozlamalari, elektron bayonnomalar) nusxalarini zaxiraga (backup) olish va elektron arxivda saqlash hamda ularni qayta tiklash tartibini (mexanizmini) ishlab chiqish, amalga oshirish va ularning hisobini yuritish hamda nazoratini olib borish. 22. Axborot tizimi maʼlumotlariga kirish, qayta ishlash, ularni saqlash, taqdim etish jarayoni hamda AKT-infratuzilmasi, axborot tizimi administratori va foydalanuvchilarining harakatlari (IP-manzil, MAC-manzil) toʻgʻrisidagi maʼlumotlar elektron bayonnomalarda (log-fayl) avtomatik tarzda shakllantirilishi hamda ushbu elektron bayonnomalar kamida besh yil davomida saqlanishi lozim. 23. Platforma faoliyati tugatilganda, unda mavjud elektron arxiv maʼlumotlari davlat arxivlariga topshiriladi. 24. Platforma boshqa tadbirkorlik subyektiga oʻtkazilganda, arxiv maʼlumotlar oʻtkazilayotgan tadbirkorlik subyektining elektron arxiviga topshiriladi. 25. Platformani tashqi axborot tizimlari bilan integratsiya qilish axborot xavfsizligi va kiberxavfsizlikni taʼminlash talablarga muvofiq holda tashkil etilishi zarur. 26. Platforma hamda AKT-infratuzilmasini texnik qoʻllab-quvvatlash Oʻzbekiston Respublikasi hududidan tashqaridagi autsorsing tashkilotlari xizmatiga berilmaydi. 27. Platforma hamda AKT-infratuzilmasida axborot xavfsizligi va kiberxavfsizlikni taʼminlash ishlari autsorsing tashkilotlari xizmatiga berilmaydi. 28. Tashkilotlar Oʻzbekiston Respublikasi Markaziy banki (bundan buyon matnda Markaziy bank deb yuritiladi) bilan axborot almashinuvida axborot xavfsizligi va kiberxavfsizlikni taʼminlashi shart. 29. Tashkilotlar axborot tizimlarida axborot xavfsizligi va kiberxavfsizlikning taʼminlanganlik darajasini har yili mustaqil IT-audit orqali baholashlari shart. IT-audit oʻtgan hisobot davri uchun joriy yilning birinchi yarim yilligida amalga oshiriladi. IT-audit natijalari hujjatlashtirilishi va kamida besh yil davomida tashkilotda saqlanishi lozim. 30. Tashkilotlar axborot tizimidagi axborot xavfsizligi va kiberxavfsizlik talablarining buzilishi bilan bogʻliq hodisalar toʻgʻrisida Markaziy bankka zudlik bilan yozma yoki elektron shaklda xabar berishi lozim. 31. Tashkilotlar platforma foydalanuvchilari tomonidan firibgarlik holatlari yuzaga kelishini oldini olish boʻyicha tashkiliy va texnik choralarni belgilash hamda ularni nazorat qilishga majburdir. 32. Tashkilotlar platformada firibgarlik holatlari aniqlangan taqdirda, bir kun muddatda tahlil qilingan toʻliq maʼlumotlarni Markaziy bank “CERT-CBU” kiberxavfsizlik markaziga taqdim etishi lozim. 33. Mazkur Nizom talablarining buzilishida aybdor boʻlgan shaxslar qonunchilik hujjatlarida belgilangan tartibda javobgar boʻladilar.