Кыргыз Республикасынын өзгөчө маанилүү маалыматтык инфраструктура объекттеринин киберкоопсуздук системаларын түзүүгө жана алардын иштөөсүн камсыз кылууга талаптар (Кыргыз Республикасынын Министрлер Кабинетинин токтомуна)

Тиркеме

(Кыргыз Республикасынын Министрлер Кабинетинин 2024-жылдын 9-декабрындагы № 746 токтомуна)

Кыргыз Республикасынын өзгөчө маанилүү маалыматтык инфраструктура объекттеринин киберкоопсуздук системаларын түзүүгө жана алардын иштөөсүн камсыз кылууга ТАЛАПТАР

1. Жалпы жоболор

1. Бул Талаптар Кыргыз Республикасынын өзгөчө маанилүү маалыматтык инфраструктура (мындан ары - ӨМИ) субъекттери ӨМИ объекттеринин киберкоопсуздук системаларын түзүү жана алардын Кыргыз Республикасынын мыйзамдарын эске алуу менен иштөөсүн камсыз кылуу тартибин белгилейт.

2. Киберкоопсуздук системаларын ӨМИ субъекттери түзөт жана ӨМИ объекттеринин киберкоопсуздугун камсыз кылууга багытталган укуктук, уюштуруу, техникалык жана башка чараларды өзүнө камтыйт.

3. Киберкоопсуздук системаларын түзүү жана иштөөсү ӨМИ объекттеринин туруктуу иштөөсүн камсыз кылууга багытталууга тийиш.

Киберкоопсуздук системалары бардык ӨМИ объекттерине, анын ичинде ӨМИ субъектинин обочолонгон бөлүкчөлөрүндө (филиалдарында, өкүлчүлүктөрүндө) эксплуатациялануучу объекттерге карата түзүлөт.

4. Киберкоопсуздук системалары ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу күчтөрүн жана каражаттарын камтыйт.

ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу күчтөрүнө төмөнкүлөр кирет:

- ӨМИ субъектинин жетекчиси;

- ӨМИ субъектинин киберкоопсуздук бөлүкчөлөрү жана/же киберкоопсуздук офицери;

- ӨМИ объекттерин эксплуатациялоочу бөлүкчөлөр жана/же кызматкерлер;

- ӨМИ объекттеринин иштөөсүн (коштоону, тейлөөнү, оңдоону) камсыз кылган бөлүкчөлөр жана/же кызматкерлер;

- ӨМИ объекттеринин киберкоопсуздугун камсыз кылууга катышкан башка бөлүкчөлөр жана/же кызматкерлер.

ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу каражаттарына ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу үчүн колдонулуучу программалык, программалык-аппараттык жана башка каражаттар.

5. Киберкоопсуздук системалары Кыргыз Республикасынын киберкоопсуздукту камсыз кылуу чөйрөсүндөгү мыйзамдарына жана Кыргыз Республикасынын киберкоопсуздукту камсыз кылуу чөйрөсүндөгү башка ченемдик документтерине ылайык ӨМИ субъекттери иштеп чыгуучу ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу боюнча уюштуруу-тескеме документтерине ылайык иштөөгө тийиш (мындан ары - киберкоопсуздук боюнча уюштуруу-тескеме документтери).

6. Киберкоопсуздук системалары төмөнкүлөрдү камсыз кылууга тийиш:

- ӨМИ объекттери иштетип чыгуучу маалыматка мыйзамсыз жетүүнү, мындай маалыматты жок кылууну, аны модификациялоону, бөгөт коюуну, көчүрүүнү, берүүнү жана жайылтууну, ошондой эле мындай маалыматка башка мыйзамсыз аракеттерди алдын алууну;

- ӨМИ объектинин киберкоопсуздугунун абалына үзгүлтүксүз мониторинг жүргүзүүнү;

- маалыматты иштеп чыгуунун техникалык каражаттарына жыйынтыгында ӨМИ объекттеринин иштөөсү бузулушу жана (же) токтотулушу мүмкүн болгон таасир этүүнү болтурбоону;

- ӨМИ объекттеринин иштөөсүн, анын ичинде резервдик көчүрмөлөрүн түзүүнүн жана сактоонун эсебинен калыбына келтирүүнү;

- киберкоопсуздукту камсыз кылуу чөйрөсүндөгү ыйгарым укуктуу мамлекеттик орган менен үзгүлтүксүз өз ара аракеттенүүнү.

7. Түзүлүүчү киберкоопсуздук системалары төмөнкүлөргө карата талаптарды өзүнө камтууга тийиш:

- ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу күчтөрүнө;

- ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу каражаттарына;

- киберкоопсуздук боюнча уюштуруу-тескеме документтерине;

- ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу боюнча иштерди уюштурууга.

2. ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу күчтөрүнө талаптар

8. ӨМИ субъектинин жетекчиси киберкоопсуздук системасын түзөт, уюштурат жана анын иштөөсүн контролдойт.

9. ӨМИ субъектинин жетекчиси киберкоопсуздук системасынын курамын жана түзүмүн, ӨМИ объекттеринин киберкоопсуздугун камсыз кылууда анын катышуучуларынын функцияларын бекитет, ошондой эле ӨМИ субъектинин ишинин өзгөчөлүктөрүн аныктайт.

Түзүлүүчү киберкоопсуздук системасы ӨМИ объекттеринин, анын ичинде ӨМИ субъекттеринин ӨМИ объекттери эксплуатациялануучу обочолонгон бөлүкчөлөрүндө (филиалдарында, өкүлчүлүктөрүндө) киберкоопсуздук бөлүкчөлөрүн жана/же киберкоопсуздук офицерлерин камтууга тийиш.

10. ӨМИ субъектинин жетекчиси ӨМИ объекттеринин киберкоопсуздугун камсыз кылууга жооптуу түзүмдүк бөлүкчөнү (мындан ары - киберкоопсуздук боюнча түзүмдүк бөлүкчө) түзөт же аныктайт жана ӨМИ объекттеринин киберкоопсуздук офицерин дайындайт.

Киберкоопсуздук боюнча түзүмдүк бөлүкчө жана/же киберкоопсуздук офицери төмөнкүдөй функцияларды жүзөгө ашырууга тийиш:

- киберкоопсуздук камсыз кылуу боюнча уюштуруу-тескеме документтерин иштеп чыгуу жана аларды өркүндөтүү боюнча сунуштарды киргизүү;

- ӨМИ объекттерине карата киберкоркунучтарга талдоо жүргүзүү жана алардын аялуулугун аныктоо;

- ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу боюнча талаптарды ишке ашыруу;

- киберкоопсуздук боюнча талаптарга ылайык уюштуруу чараларын жана маалыматты коргоо каражаттарын эксплуатациялоону камсыз кылуу;

- киберинциденттерге жооп берүү;

- ӨМИ объекттеринин киберкоопсуздугуна ички аудит жүргүзүүнү уюштуруу;

- ӨМИ объекттеринин киберкоопсуздук системаларынын иштөөсүн өркүндөтүү боюнча сунуштарды даярдоо.

11. ӨМИ субъектинин жетекчисинин чечими боюнча ӨМИ объекттери эксплуатациялануучу ӨМИ субъектинин обочолонгон бөлүкчөлөрүндө (филиалдарында, өкүлчүлүктөрүндө) киберкоопсуздук боюнча түзүмдүк бөлүкчөлөр түзүлөт (аныкталат) жана/же киберкоопсуздук офицери дайындалат.

Обочолонгон бөлүкчөлөрдүн (филиалдардын, өкүлчүлүктөрдүн) киберкоопсуздугун камсыз кылуу боюнча функциялардын аткарылышын координациялоону жана контролдоону ӨМИ субъектинин киберкоопсуздук боюнча түзүмдүк бөлүкчөлөрү же киберкоопсуздук офицери жүзөгө ашырат.

12. Киберкоопсуздук боюнча түзүмдүк бөлүкчөнүн кызматкерлери же киберкоопсуздук офицери төмөнкүдөй талаптарга ылайык келүүгө тийиш:

- киберкоопсуздук боюнча түзүмдүк бөлүкчөнүн жетекчисинде жогорку билимге жана киберкоопсуздук же маалымат коопсуздугу чөйрөсүндө окуудан өткөндүгүн ырастаган документтин, ошондой эле маалымат технологиялары жана/же киберкоопсуздук же маалыматтык коопсуздук жаатында үч жылдан кем эмес иш тажрыйбанын болушу;

- киберкоопсуздук боюнча түзүмдүк бөлүкчөнүн кызматкерлеринде жана/же киберкоопсуздук офицеринде маалымат технологиялары чөйрөсүндө жогорку билимдин жана киберкоопсуздук же маалымат коопсуздугу чөйрөсүндө окуудан өткөндүгүн ырастаган документтин болушу.

13. Киберкоопсуздук боюнча түзүмдүк бөлүкчөнүн кызматкерлерине жана/же киберкоопсуздук офицерине жүктөлгөн милдеттер киберкоопсуздукту камсыз кылуу боюнча иштин алкагында алардын кызматтык регламенттеринде (нускамаларында, милдеттеринде) аныкталууга тийиш.

14. ӨМИ объекттерин эксплуатациялоочу кызматкерлер (колдонуучулар), ошондой эле ӨМИ объекттеринин иштөөсүн камсыз кылган кызматкерлер киберкоопсуздук боюнча уюштуруу-тескеме документтеринде (нускамаларда, колдонмолордо) белгиленген киберкоопсуздук эрежелерине ылайык ӨМИ объекттеринде өз милдеттерин аткарууга тийиш.

Кызматкерлерге ӨМИ объекттеринин киберкоопсуздугу боюнча уюштуруу-тескеме документтеринин жоболору аларга тийиштүү бөлүгүндө жеткирилүүгө тийиш. ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу маселелери боюнча жогоруда көрсөтүлгөн кызматкерлердин ишин координациялоону жана контролдоону киберкоопсуздук боюнча түзүмдүк бөлүкчө жана/же киберкоопсуздук офицери жүзөгө ашырууга тийиш. ӨМИ субъекти жылына бир жолудан кем эмес киберкоопсуздук боюнча түзүмдүк бөлүкчөнүн кызматкерлерин жана/же киберкоопсуздук офицеринин киберкоопсуздукту камсыз кылуу маселелери боюнча деңгээлин жогорулатууга багытталган уюштуруу иш-чараларын өткөрүүгө тийиш.

15. ӨМИ субъекти киберкоопсуздукту камсыз кылуу чөйрөсүндөгү ыйгарым укуктуу мамлекеттик орган менен макулдашуу боюнча гана ӨМИ объекттерин иштеп чыгуу, киргизүү, модификациялоо, эксплуатациялоо жана иштешин камсыз кылуу үчүн уюмдарды тарта алат.

ӨМИ объекттерин эксплуатациялоого жана иштөөсүн камсыз кылууга ӨМИ субъекти тарабынан тартылган уюмдар киберкоопсуздук боюнча уюштуруу-тескеме документтеринин жана киберкоопсуздукту камсыз кылуу чөйрөсүндөгү мыйзамдардын талаптарын сактоого тийиш.

3. ӨМИ объекттеринин киберкоопсуздугун камсыз кылуучу каражаттарга талаптар

16. ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу үчүн колдонулуучу программалык жана программалык-аппараттык каражаттарга маалыматты коргоо каражаттары, анын ичинде санкциясыз кирүүдөн маалыматты коргоо каражаттары, тармактар аралык экрандар, кол салууларды (киберчабуулдарды) аныктоо каражаттары, вируска каршы коргоо каражаттары, коргонууну контролдоо (талдоо) каражаттары (системалары), киберкоопсуздук окуяларын башкаруу каражаттары, маалыматтарды берүү каналдарын коргоо каражаттары, максатка багытталган чабуулдардан коргонуу каражаттары жана башкалар.

17. ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу үчүн сертификацияланган маалымат коргоо каражаттары колдонулууга тийиш.

18. Маалыматты коргоо каражаттары бул каражаттарды өндүрүүчүлөр (иштеп чыгуучулар) тарабынан иштелип чыккан техникалык жана эксплуатациялык документтерге жана маалыматты коргоо каражаттарынын башка документтерине ылайык колдонулууга тийиш.

19. Колдонулуучу маалымат коргоо каражаттары кепилдик, техникалык колдоо менен камсыз болууга тийиш.

20. Маалыматты коргоо каражаттарын колдонуу тартиби ӨМИ субъекттеринин ишинин өзгөчөлүктөрүн эске алуу менен киберкоопсуздук боюнча уюштуруу-тескеме документтеринде ӨМИ субъекттери тарабынан аныкталат.

4. Киберкоопсуздук боюнча уюштуруу-тескеме документтерине талаптар

21.ӨМИ субъектинин жетекчиси тарабынан киберкоопсуздук боюнча, анын ичинде ӨМИ субъектинин бөлүкчөлөрүндө (филиалдарында, өкүлчүлүктөрүндө) эксплуатациялануучу ӨМИ объекттеринин уюштуруу-тескеме документтери бекитилүүгө тийиш.

22. Киберкоопсуздук боюнча уюштуруу-тескеме документтери төмөнкүлөрдү аныктоого тийиш:

а) ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу максаттары жана милдеттери, негизги киберкоркунучтар, ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу боюнча негизги уюштуруу жана техникалык иш-чаралар, киберкоопсуздук системасынын курамы жана түзүмү жана анын катышуучуларынын функциялары;

б) ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу боюнча иш-чаралар планы, ӨМИ объекттерине карата киберкоркунучтардын модели (анын ичинде бузуучунун жана аялуу моделдери), маалыматты коргоо каражаттарын колдонуу тартиби, киберинциденттерге жана башка штаттан тышкаркы кырдаалга жооп берүү тартиби, ошондой эле бөлүкчөлөрдүн кызматкерлерин үйрөтүү тартиби (ӨМИ объекттерин эксплуатациялоо жана иштешин камсыз кылуу), ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу милдеттерин чечүүдө ӨМИ субъектинин бөлүкчөлөрүнүн (кызматкерлеринин) өз ара аракеттенүү тартиби;

в) ӨМИ объекттеринде ӨМИ субъектинин кызматкерлеринин коопсуз иштөө эрежелери, киберинциденттер жана башка штаттан тышкаркы кырдаалдар келип чыккан учурда ӨМИ субъектинин кызматкерлеринин аракеттери.

Киберкоопсуздук боюнча уюштуруу-тескеме документтеринин курамы жана формалары ӨМИ субъекти тарабынан анын ишинин өзгөчөлүктөрүн эске алуу менен аныкталат.

5. ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу боюнча иштерди уюштуруу бөлүгүндө киберкоопсуздук системасынын иштөөсүнө талаптар

23. Киберкоопсуздук системасынын иштөөсүнүн алкагында ӨМИ субъекти төмөнкүдөй процесстерди киргизүүгө тийиш:

- ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу боюнча иш-чараларды пландоону, иштеп чыгууну жана ишке ашырууну;

- ӨМИ объекттеринин киберкоопсуздугуна ички аудитти;

- ӨМИ объекттеринин киберкоопсуздугун өркүндөтүүнү.

24. ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу боюнча иш-чараларды пландоонун алкагында ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу боюнча ар жылдык иш-чаралар планын (мындан ары - иш-чаралар планы) иштеп чыгуу жана бекитүү жүзөгө ашырылууда.

ӨМИ субъектинин чечими боюнча ӨМИ объекттерин модернизациялоо, жабдуу боюнча болгон программаларды (пландарды) эске алуу менен иш-чаралар планы кыйла узак мөөнөткө иштелип чыгышы мүмкүн. Иш-чаралар планына ӨМИ субъектинин обочолонгон бөлүкчөлөрүндө (филиалдарында, өкүлчүлүктөрүндө) иштеген ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу боюнча иш-чаралар кириши керек.

25. Иш-чаралар планы ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу боюнча иш-чаралардын аталышын, аларды аткаруу мөөнөттөрүн, ар бир иш-чараны ишке ашырууга жооптуу бөлүкчөлөрдүн (кызматкерлердин жана киберкоопсуздук офицерлеринин) аталышын камтууга тийиш.

Иш-чаралар планына киберкоопсуздук системасынын иштөөсүн камсыз кылуу боюнча иш-чаралар, ошондой эле ушул Талаптардын 6-пунктунда белгиленген милдеттерди чечүүгө багытталган ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу боюнча уюштуруу жана техникалык иш-чаралар кирет.

26. ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу боюнча иш-чараларды иштеп чыгуу ушул Талаптарга жана киберкоопсуздукту камсыз кылуу чөйрөсүндөгү мыйзамдарга, ошондой эле киберкоопсуздук боюнча уюштуруу-тескеме документтерине ылайык жүзөгө ашырылат.

Иш-чаралар планын ӨМИ субъектинин жетекчиси бекитет жана бөлүкчөлөргө (кызматкерлерге жана киберкоопсуздук офицерлерине) аларга тийиштүү бөлүгүндө жеткирилет.

27. ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу боюнча иш-чараларды ишке ашыруунун натыйжалары ӨМИ субъекти белгилеген тартипте документтештирилүүгө тийиш.

28. ӨМИ объекттеринин киберкоопсуздугуна ички аудиттин алкагында ӨМИ объекттеринин киберкоопсуздугун камсыз кылуу боюнча ишти уюштурууну жана көрүлүүчү уюштуруу жана техникалык чаралардын натыйжалуулугун текшерүү жүзөгө ашырылууга тийиш.

Ички аудитти жүргүзүүнүн жүрүшүндө ушул Талаптардын жана киберкоопсуздукту камсыз кылуу чөйрөсүндөгү мыйзамдардын талаптарынын, ошондой эле киберкоопсуздук боюнча уюштуруу-тескеме документтеринин аткарылышы текшерилет.

6. Ушул Талаптарды бузгандыгы үчүн жоопкерчилик

29. Ушул Талаптарды бузуу Кыргыз Республикасынын мыйзамдарына ылайык жоопкерчиликке алып келет.