Oʻzbekiston Markaziy banki tijorat banklarining kiberxavfsizligini nazorat qilishga yondashuvni oʻzgartirishga tayyorlanmoqda. Regulyator nafaqat majburiy talablarga rioya etilishini, balki xavflar darajasi va har bir tashkilotning hodisalarga amaldagi tayyorligini ham hisobga olmoqchi.
Bu haqda Markaziy bankning CERT-CBU kiberxavfsizlik markazi vakili Mirzabek Bobojonov Toshkentdagi Silk Road Finance & Technology Forum anjumanida ma’lum qildi.
Bobojonovning soʻzlariga koʻra, Markaziy bank bank sektorining kiberxavfsizlik strategiyasi va tijorat banklarining yetukligini hisobga olgan holda xavflarni baholash metodologiyasi ustidagi ishlarni yakunlagan. Yangi tizimni 2027-yilda joriy etish rejalashtirilmoqda.
Banklar uchun kiberyetuklikning toʻrt darajasi belgilanadi. Muhim ahamiyatga ega tashkilotlarga qat’iyroq talablar qoʻyiladi. Mijozlari kamroq va raqamli xizmatlari doirasi cheklangan banklar uchun talablar yengilroq boʻladi. Tekshiruvlarni birinchi navbatda past baho olgan tashkilotlarda oʻtkazish rejalashtirilmoqda.
Metodologiya hozircha jamoatchilikka taqdim etilmagan. Shu sababli toʻrt daraja qanday nomlanishi, baholashga qaysi koʻrsatkichlar kiritilishi va keyingi bosqichga oʻtish uchun bank nimalar qilishi kerakligi noma’lum.
Rasmiy talablardan — bardoshlilikni tekshirishga
Hozir nazorat koʻp jihatdan majburiy qoidalarning bajarilishiga qaratilgan: bank kiberxavfsizlik xizmatini tuzganmi, ichki siyosatini tasdiqlaganmi, ma’lumotlar bazalarini himoya qiladimi va hujumlar haqida regulyatorga xabar beradimi.
Bu majburiyatlar Adliya vazirligida 2025-yil avgust oyida roʻyxatdan oʻtkazilgan Tijorat banklarining axborot xavfsizligi va kiberxavfsizligiga qoʻyiladigan minimal talablar toʻgʻrisidagi nizomda belgilangan. Banklar ixtisoslashgan xizmatlar tuzishi, axborot aktivlarini himoya qilishi, ma’lumotlar bazalariga ruxsatsiz kirishning oldini olishi va tashqi hujum alomatlari haqida Markaziy bankni zudlik bilan xabardor qilishi kerak.
Xavfga asoslangan model bunga bankning amaldagi barqarorligini baholashni ham qoʻshishi kerak. Biroq Markaziy bank aynan qaysi imkoniyatlarni tekshirishini hozircha tushuntirmagan.
Xalqaro amaliyotda faqat hujjatlar va himoya dasturlari mavjudligi baholanmaydi. Bankning hujumni oʻz vaqtida aniqlashi, uning tarqalishini cheklashi, muhim operatsiyalarni davom ettirishi va uzilishdan keyin faoliyatini tiklay olishi muhim. Rahbariyatning harakatlari, xodimlarning tayyorgarligi hamda tashqi IT-xizmat yetkazib beruvchilarning xavfsizligi ham hisobga olinadi.
Xalqaro valyuta jamgʻarmasi mutanosib va natijaga yoʻnaltirilgan nazoratni kiberxavflarni tartibga solishning samarali amaliyotlari qatoriga kiritadi. Bank nazorati boʻyicha Bazel qoʻmitasi ham regulyatorlar tashkilotlarning standartlarga faqat rasmiy muvofiqligini emas, haqiqiy tahdidlarga bardoshliligini tobora koʻproq baholayotganini qayd etadi.
Bu kichik banklarga asosiy himoya choralaridan tejashga ruxsat berilishini anglatmaydi. Minimal talablar barcha uchun saqlanishi kerak. Tekshiruvlarning qamrovi va davriyligi, shuningdek, bank koʻlami hamda hujumning ehtimoliy oqibatlariga mos qoʻshimcha choralar farq qilishi mumkin.
Kontekst
Oʻzbekistonda bank kiberxavfsizligi tizimi noldan shakllantirilayotgani yoʻq. CERT-CBU markazi 2021-yildan buyon faoliyat yuritadi. Uning vazifalariga xavflarni kuzatish, hodisalar haqida axborot almashish, banklar, toʻlov tashkilotlari va toʻlov tizimlari operatorlaridagi tahdidlarning oldini olish kiradi, deb koʻrsatadi Markaziy bank.
2025-yil aprel oyida Prezidentning PQ-153-son qarori bilan mijozlarning moliyaviy xavfsizligi banklar va toʻlov tashkilotlarining ustuvor vazifalaridan biri etib belgilangan. Hujjatda kiberjinoyat moliya tashkiloti xavfsizlik talablariga rioya qilmagani sababli yuz bergan boʻlsa, zararni shu tashkilotdan undirish tartibini joriy etish topshirilgan. Shuningdek, Markaziy bankning markazlashgan antifrod tizimini yaratish va moliya tashkilotlarining tranzaksiya ma’lumotlarini regulyatorning yagona platformasiga integratsiya qilish nazarda tutilgan.
2026-yil mart oyida Oʻzbekistonning 2026–2030-yillarga moʻljallangan kiberxavfsizlik strategiyasi tasdiqlangan. Unda davlat organlari, banklar va aloqa operatorlari hamkorligini rivojlantirish, shuningdek, firibgarlarning harakatlarini tezkor aniqlash va bloklash tizimini yaratish nazarda tutilgan.
Kiberyetuklikning toʻrt darajasi ushbu tizimning navbatdagi bosqichiga aylanishi mumkin. Ammo baholar mijozlarga ochiq boʻladimi va past koʻrsatkichli banklarni qanday oqibatlar kutayotgani hozircha noma’lum.
Bu bank mijozlari uchun nimani anglatadi?
Mijoz uchun bankka qaysi raqam yoki rang berilishi muhim emas. Tashkilot shubhali operatsiyani qanchalik tez aniqlashi, pul oʻtkazmasini bloklashi, ma’lumotlar sizib chiqishi haqida xabar berishi va hujumdan keyin mobil ilova ishini tiklashi muhimroq.
Shu bilan birga, yangi tizim moliyaviy firibgarlik muammosini oʻz-oʻzidan hal qilmaydi. Koʻplab jinoyatlar bank tizimiga buzib kirish bilan emas, ijtimoiy muhandislik bilan bogʻliq — odam firibgarlar bosimi ostida kod, parol yoki karta ma’lumotlarini oʻzi aytib beradi. Bunda nafaqat texnik choralar, balki banklarning aloqa operatorlari bilan hamkorligi va mijozlar uchun tushunarli ogohlantirishlar ham zarur.
Zararni qoplash — alohida masala. PQ-153-son qarorda jinoyat moliya tashkiloti xavfsizlik qoidalariga rioya qilmagani oqibatida sodir boʻlsa, mablagʻni undan undirish mexanizmini joriy etish nazarda tutilgan. Ammo mijozga shaffof tartib kerak: bankning aybini kim aniqlaydi, ariza qayerga beriladi, u qancha muddatda koʻrib chiqiladi va pul qachon qaytariladi.
Yangi modelning foydasi kiberyetuklik darajalari haqiqiy tekshiruvlar, zaifliklarni bartaraf etishning majburiy muddatlari va qoidabuzarliklar uchun javobgarlik bilan bogʻlansa seziladi. Mijoz nafaqat ilova qulayligi va omonat foizlarini, balki bankning uning puli va ma’lumotlarini himoya qilish qobiliyatini ham baholashi uchun Markaziy bank natijalarning hech boʻlmasa bir qismini ochiqlashi ham muhim.
Agar toʻrt daraja aniq oqibatlarsiz ichki tasnif boʻlib qolsa, mijozlarning aksariyati oʻzgarishni shunchaki sezmaydi.