Требования к облачным вычислениям, предоставляемым на инфраструктуре центров обработки данных (Приложение 2 к постановлению Кабинета Министров Кыргызской Республики)

Приложение 2

(к постановлению Кабинета Министров Кыргызской Республики от 29 декабря 2025 года № 846)

Требования к облачным вычислениям, предоставляемым на инфраструктуре центров обработки данных

1. Настоящие Требования к облачным вычислениям, предоставляемым на инфраструктуре центров обработки данных (далее – ЦОД) как видов цифровых технологических систем (далее – Требования) регулируют принципы создания и предоставления доступа к облачным вычислениям, облачным сервисам, облачной инфраструктуре независимо от модели ее развертывания.

2. Положения настоящих Требований обязательны для органов государственной власти, местного самоуправления и их подведомственных органов, организаций, учреждений, финансируемых из государственного бюджета, включая предоставление облачных вычислений на инфраструктуре Правительственного облака «G-Cloud» (далее – Правительственное облако).

3. Настоящие Требования не распространяются на облачные вычисления, предоставляемые на инфраструктуре государственных и муниципальных ЦОДов, обрабатывающих цифровые данные, содержащие информацию, отнесенную к государственным секретам в соответствии с законодательством Кыргызской Республики о защите государственных секретов.

4. В настоящих Требованиях используются следующие термины и их определения:

переносимость – возможность миграции цифровых ресурсов в облачную инфраструктуру или из одной облачной инфраструктуры в другую; переносимость данных – способность передавать данные от одной системы к другой без необходимости их повторного ввода; тип возможностей облака – функционал, предоставляемый пользователю, исходя из имеющихся и используемых ресурсов облачных вычислений; облачные вычисления – использование масштабируемого и гибко конфигурируемого пространства общих физических или виртуальных ресурсов (облачных сервисов) посредством сетевого доступа;

модель развертывания облачных вычислений – способ организации облачных вычислений, основанный на управлении и совместном использовании физических или виртуальных ресурсов; вычислительные ресурсы – совокупность физических и виртуальных компонентов, таких как оборудование, системное программное обеспечение, вычислительные мощности, системы временного и постоянного хранения данных, которые используются для выполнения вычислительных задач и поддержки работы компьютерных систем; облачный сервис – возможности цифровой технологической системы (центра обработки данных) по предоставлению вычислительных ресурсов и сопутствующих сервисов в удаленном режиме; контейнер – единый программный пакет, среда для выполнения изолированных процессов, файлы для запуска которых находятся в одном образе; репозиторий образов – это функциональный компонент платформы контейнеризации сервисов, представляющий собой централизованное хранилище неизменяемых шаблонов (образов) контейнеров, необходимых для развертывания микросервисов, и обеспечивающий централизованное хранение, версионирование и управление доступом к таким образам, который служит доверенным источником для подсистемы оркестрации, а также является контрольной точкой для проверки безопасности поставляемых программных компонентов перед их запуском; микросервис — это автономный, независимо развертываемый программный компонент (модуль) в составе распределенной архитектуры, предназначенный для выполнения одной конкретной функции или технической задачи и взаимодействующий с другими компонентами посредством стандартизированных сетевых интерфейсов (API); иные термины и их определения используются в значениях, установленных Цифровым кодексом Кыргызской Республики (далее – Цифровой кодекс), а также в нормативных правовых актах Кабинета Министров Кыргызской Республики, принятых в его реализацию.

5. Объектами в сфере облачных вычислений являются:

1) цифровые ресурсы как источники цифровых данных;

2) цифровые сервисы, включая госсервисы;

3) цифровые технологические системы (в том числе центры обработки данных);

4) облачные сервисы.

6. Субъектами (участниками) отношений в сфере облачных вычислений являются:

1) владельцы цифрового ресурса, цифровой технологической системы, являющиеся пользователями облачных вычислений и облачных сервисов;

2) владелец (поставщик, обработчик) облачных вычислений и облачных сервисов.

7. Облачные вычисления должны обеспечивать непрерывность деятельности размещенных на их инфраструктуре объектов и субъектов – пользователей предоставляемых облачных сервисов, их восстановление после инцидентов за счет реализации комплекса мер по цифровой устойчивости, включающих:

1) обеспечение целостности и доступности объектов правоотношений в цифровой среде, конфиденциальности обрабатываемых цифровых данных;

2) осуществление мониторинга и предупреждение инцидентов в цифровой среде и обмен данными о них;

3) управление рисками в цифровой среде на основе системы управления рисками;

4) управление ресурсами, необходимыми для обеспечения непрерывности деятельности субъектов правоотношений в цифровой среде.

8. Реализация принципа цифровой устойчивости достигается владельцем (поставщиком, обработчиком) облачных вычислений за счет:

1) защиты цифровых данных, ресурсов и сервисов от неправомерного доступа и иных неправомерных действий;

2) защиты цифровых технологических систем от неправомерного доступа к ним и нарушения их эксплуатации;

3) своевременного обнаружения неправомерных действий в отношении объектов;

4) предупреждения наступления неблагоприятных последствий для объектов и субъектов;

5) контроля за обеспечением защищенности в отношении объектов и субъектов;

6) сохранения, защиты от изменений и регулярного анализа информации о значимых действиях всех пользователей, записью лог – файлов(логирования) о событиях в системах;

7) планирования ресурсов, необходимых для недопущения инцидентов в цифровой среде и принятия мер по восстановлению объектов после таких инцидентов;

8) обеспечения возможности продолжения деятельности субъекта в неблагоприятных условиях, в том числе в случае временной или постоянной невозможности пользования отдельными объектами, а также в случае высокой нагрузки;

9) принятия правил/процедур, определяющих порядок действий в случае инцидента, в том числе в целях защиты прав других субъектов, уведомления об инцидентах;

10) регулярного тестирования и подтверждения эффективности выработанных мер;

11) иных мер по управлению рисками, ресурсами, кибербезопасности, защите персональных данных, установленных Цифровым кодексом и законодательством в сфере обеспечения кибербезопасности.

9. Исходя из используемых ресурсов, владелец (поставщик, обработчик) облачных вычислений вправе предоставлять следующие возможности облачных вычислений:

1) тип приложений, в котором потребитель может использовать приложения, предоставляемые облачной инфраструктурой;

2) тип инфраструктуры, в котором пользователь облачных вычислений получает и использует вычислительные ресурсы, ресурсы для хранения данных или сетевые ресурсы;

3) тип платформы, в котором пользователь облачных вычислений устанавливает, управляет и запускает приложения, созданные или приобретенные потребителем, используя один или несколько языков программирования и одну или более сред выполнения, поддерживаемых оператором облачных сервисов.

10. Категории облачных вычислений включают в себя:

1) обмен информацией как сервис (CaaS) [Communications as a Service (CaaS)] – категория облачных вычислений, в которой пользователю в качестве облачных вычислений предоставляется возможность взаимодействия в реальном времени и совместная работа;

2) инфраструктура как сервис (laaS) [Infrastructure as a Service (laaS)] - категория облачных вычислений, в которой пользователю в качестве облачных вычислений предоставляются возможности облачной инфраструктуры;

3) сеть как сервис (NaaS) [Network as a Service (NaaS)] – категория облачных вычислений, в которой пользователю в качестве облачных вычислений предоставляются транспортная связность и связанные с ней сетевые возможности;

4) платформа как сервис (PaaS) [Platform as a Service (PaaS)] – категория облачных вычислений, в которой пользователю в качестве облачных вычислений предоставляются возможности платформы и ее инфраструктуры;

5) программное обеспечение как сервис (SaaS) [Software as a Service (SaaS)] – категория облачных вычислений, в которой

пользователю в качестве облачных вычислений предоставляются возможности приложений, используемых в облаке;

6) вычисления как сервис (CompaaS) [Compute as a Service (CompaaS)] – категория облачных вычислений, в которой пользователю в качестве облачных вычислений предоставляются возможности получения и использования вычислительных ресурсов, необходимых для развертывания и функционирования программных продуктов;

7) хранение данных как сервис (DSaaS) [Data Storage as a Service (DSaaS)] – категория облачных вычислений, в которой пользователю в качестве облачных вычислений предоставляются возможности предоставления и использования систем для хранения данных и связанные с этим возможности.

11. Владельцы (поставщики, обработчики) частных облачных вычислений вправе предлагать иные категории облачных вычислений и облачные сервисы, не предусмотренные настоящими Требованиями.

12. Обязательные технические и организационно-правовые требования, обеспечивающие корректное развертывание, эксплуатацию и сопровождение облачных вычислений, установленные настоящим разделом, включают обеспечение возможности проведения аудита, соответствие требованиям кибербезопасности, доступности, управляемости, надежности, переносимости и соответствия оказываемых сервисов Цифровому кодексу, законодательству Кыргызской Республики сфере обеспечения кибербезопасности.

13. Выполнение настоящих требований является обязательным для владельцев (поставщиков, обработчиков) облачных вычислений, предоставляющих облачные сервисы на инфраструктуре Правительственного облака, а также для владельцев (поставщиков, обработчиков) государственных облачных сервисов.

14. При развертывании облачных вычислений должна быть предусмотрена техническая возможность проведения аудита, для чего облачные вычисления должны обеспечивать мониторинг и предоставление последующего доступа к необходимым данным, лог- файлам и журналам, связанным с функционированием и использованием облачных вычислений и цифровых технологических систем, обеспечивающих управление облачными вычислениями. Журналы событий, включая журналы доступа, должны храниться не менее 1 года, а для цифровых ресурсов и цифровых технологических систем, относящихся к критической информационной инфраструктуре, – не менее 3 лет. Лог-файлы подлежат централизованному сбору и передаче в систему мониторинга.

15. Облачные вычисления должны обладать свойствами высокой доступности и масштабирования по запросу пользователей.

16. При развертывании облачных вычислений владельцем (поставщиком, обработчиком) должна быть предусмотрена техническая и организационная возможность для восстановления сервисов, способность обеспечивать и поддерживать необходимый уровень обслуживания.

17. Владелец (поставщик, обработчик) облачных вычислений должен обеспечивать управление идентификацией/аутентификацией и доступом (предоставлением соответствующих прав), а также целостность цифровых данных, размещаемых на его инфраструктуре, отказоустойчивость предоставляемых сервисов, непрерывность облачных вычислений, проведение аудита с установленной периодичностью, мониторинг выполнения требований по кибербезопасности, включая применимые требования к критической информационной инфраструктуре, реагирование на инциденты и уведомление пользователя (владельца цифровых ресурсов/сервисов/технологических систем).

18. Предоставление соответствующих облачных сервисов осуществляется на основе соглашения (соглашения об уровне сервиса или пользовательского соглашения), которое определяет взаимоотношения между пользователем и владельцем (поставщиком, обработчиком) облачных вычислений, условия предоставления сервисов, правила владельца (поставщика, обработчика), ответственность сторон и другие условия.

Соглашение (пользовательское соглашение) может быть заключено в любой форме, позволяющей идентифицировать пользователя, а также подтвердить факт заключения соглашения и условия, на которых оно было заключено.

«G-Cloud»

19. Технический оператор (далее – поставщик облачных вычислений) Правительственного облака определяется Кабинетом Министров Кыргызской Республики.

20. Поставщиком облачных вычислений Правительственного облака обеспечивается широкополосный продублированный доступ к инфраструктуре центра обработки данных через стандартные протоколы передачи данных, интерфейсы или платформенные решения.

21. Облачные сервисы должны разрабатываться с учетом обеспечения доступности облачных вычислений и доступа к физическим и виртуальным ресурсам из любого места направления

запроса на доступ с использованием множества различных цифровых устройств.

22. При предоставлении облачных сервисов и облачных вычислений должна быть обеспечена автоматическая регистрация (запись) всех событий, связанных с аутентификацией субъектов доступа, операциями по обработке данных (чтение, модификация, удаление) и изменением конфигурации системы, включая техническую возможность по формированию и выгрузке детализированных отчетов с цифровыми записями о зафиксированных событиях по запросу пользователей, а также правоохранительных органов, отраслевого регулятора в сфере персональных данных или судов в рамках полномочий, установленных законодательством Кыргызской Республики.

23. Поставщик облачных вычислений Правительственного облака по мере необходимости, но не реже одного раза в 6 месяцев, проводит анализ всех процессов, запросов и иных действий, осуществляемых субъектами при использовании облачных вычислений, оценку качества и доступности облачных сервисов, которые служат основанием для оптимизации облачных вычислений.

Методика проведения анализа и оценки качества и нагруженности (востребованности) сервисов определяется поставщиком Правительственного облака самостоятельно и должна предусматривать следующие минимальные требования:

1) измерение показателей производительности и доступности, включая среднее и максимальное время отклика сервисов, процент доступности за отчетный период, количество отказов и критических инцидентов, время восстановления после инцидентов;

2) оценку качества обслуживания пользователей, включая количество и характер обращений, среднее время обработки заявок и долю запросов, выполненных в установленные сроки;

3) анализ нагрузки и востребованности сервисов, включая количество активных пользователей, объемы используемых вычислительных ресурсов (центральный процессор, оперативная память, хранилище данных, сетевой трафик), динамику изменения нагрузки и эффективность использования ресурсов;

4) оценку эффективности и оптимальности архитектуры облачных вычислений, в том числе использование механизмов масштабирования и балансировки нагрузки, степень резервирования и отказоустойчивости, уровень избыточности и соответствие параметров эксплуатации требованиям соглашений об уровне сервиса и внутренним стандартам;

5) подготовку отчета с выводами по результатам анализа, включающего предложения по оптимизации архитектуры, перераспределению ресурсов и повышению эффективности

функционирования облачных вычислений, развитию и модернизации инфраструктуры Правительственного облака.

24. Правительственное облако должно обеспечивать для пользователя возможность получения необходимого облачного сервиса в автоматическом (без участия человека) режиме или путем минимального взаимодействия с поставщиком облачных вычислений Правительственного облака.

25. Правительственное облако должно обеспечивать возможность быстрой и гибкой настройки требуемых изменений в предоставляемых облачных сервисах как на технологическом, так и на организационно-правовом уровнях, должно быть обеспечено функционалом, наделяющим его эластичностью, масштабируемостью и бесперебойностью.

26. Максимальная масштабируемость и эластичность облачных вычислений устанавливается поставщиком облачных вычислений Правительственного облака с учетом технической возможности облачной инфраструктуры при учете необходимости увеличения облачного пространства с требуемой регулярностью.

27. Все государственные цифровые ресурсы и цифровые технологические системы, задействованные в предоставлении госсервисов, подлежат размещению в Правительственном облаке по мере их готовности к переносу (миграции).

28. Поставщик облачных вычислений Правительственного облака при развертывании его инфраструктуры обязан реализовать следующие облачные сервисы (но не ограничиваясь ими):

1) инфраструктура как сервис (IaaS);

2) платформа как сервис (PaaS);

3) программное обеспечение как сервис (SaaS);

4) хранение данных как сервиса (DSaaS).

29. В процессе переноса (миграции) государственных цифровых ресурсов и цифровых технологических систем в Правительственное облако поставщик обязан оказывать необходимую консультационную и практическую помощь субъектам в подготовке к размещению цифровых ресурсов и технологических систем в Правительственном облаке.

30. Критерии, условия и порядок перемещения цифрового ресурса или цифровой технологической системы в Правительственное облако определяется поставщиком.

31. Условия и порядок переноса (миграции) государственных цифровых ресурсов и цифровых технологических систем, относящихся к базовым (уникальным) цифровым ресурсам и имеющих риски утраты работоспособности или цифровых данных, подлежат обязательному резервному копированию (обязательному созданию резервных копий, содержащихся в них цифровых данных) на момент начала перемещения (миграции) в Правительственное облако.

32. Владельцы (поставщики, обработчики) государственных цифровых ресурсов и цифровых технологических систем, участвующих в процессах предоставления госсервисов, не соответствующих условиям и критериям для переноса (миграции) в Правительственное облако, обязаны осуществить поэтапную разработку и введение в эксплуатацию цифровых ресурсов и цифровых технологических систем, совместимых с облачными вычислениями и на основе микросервисной архитектуры.

33. Владельцы (поставщики, обработчики) государственных цифровых ресурсов и цифровых технологических систем, не соответствующих условиям и критериям для переноса (миграции) в Правительственное облако, обязаны поддерживать их функционирование и обеспечивать безопасность до внедрения новых ресурсов и систем, совместимых с облачными вычислениями.

По истечении 3 (трех) лет с момента отказа в переносе в Правительственное облако государственных цифровых ресурсов и цифровых технологических систем как несовместимых с облачными вычислениями, владельцы (поставщики, обработчики) таких ресурсов и систем не вправе осуществлять их модернизацию и дальнейшее развитие за счет средств государственного бюджета.

34. Общий срок переноса (миграции) государственных цифровых ресурсов и цифровых технологических систем в Правительственное облако составляет не более 3 (трех) лет с момента определения поставщиком Правительственного облака их готовности для использования облачных вычислений.

35. После завершения развертывания и переноса (миграции) государственных цифровых ресурсов и технологических систем Правительственное облако должно соответствовать эталонной архитектуре облачной среды и ее компонентам, в том числе на основе общепризнанной международной практики, соответствующей Цифровому кодексу.

36. Эталонная архитектура облачной среды должна предусматривать ряд функциональных сегментов, в том числе:

1) систему управления облачной средой по принципам DevOps, которая включает в себя, но не ограничивается следующими инструментами:

− управление сервисами облачной среды; − мониторинг и загруженность систем; − непрерывный запуск новых сервисов облачной среды; − инструменты тестирования сервисов облачной среды;

− управление зависимостями (сервисов облачной среды, данных, приложений); − непрерывность разработки облачной среды; − непрерывность обеспечения ресурсов облачной среды;

2) инфраструктурные элементы облачной среды, к которым относятся:

– физическая инфраструктура;

– системы хранения;

– сетевая инфраструктура;

– элементы безопасности инфраструктуры;

– управление производительностью инфраструктурных элементов;

3) платформу контейнеризации сервисов:

– управление контейнерами;

– оркестрация контейнеров;

– репозиторий образов;

– безопасность контейнерных сервисов;

– балансировщик нагрузки;

4) дополнительные сервисы, которые могут быть неотъемлемой частью облака и предоставляться для функционала конкретного сервиса.

37. Контейнерная среда должна обеспечивать возможность одновременного запуска множества микросервисов с инструментами по их наиболее оптимальному управлению.

38. Правительственное облако должно иметь не менее 3 (трех) облачных сервисов различного уровня обслуживания, используемых для разработки, тестирования, управления и запуска госсервисов.

39. Развитие Правительственного облака в соответствии с эталонной архитектурой осуществляется во взаимодействии с государственными органами, являющимися владельцами (поставщиками, обработчиками) цифровых данных, ресурсов, технологических систем, госсервисов.

40. Нарушение мер по обеспечению цифровой устойчивости облачных вычислений влечет ответственность в соответствии с законодательством Кыргызской Республики.

41. Ущерб, причиненный в результате несанкционированного подсоединения к цифровым технологическим системам облачных вычислений, вмешательства в их работу либо их повреждения, возмещается владельцу (поставщику, обработчику) такой системы лицом, причинившим вред, в полном объеме.

42. Правоотношения субъектов облачных вычислений, не указанные в настоящих Требованиях, регулируются в соответствии с Цифровым кодексом.