Кибербезопасность в Узбекистане: закон и требования к компаниям

Цифровизация в Узбекистане идёт быстро: онлайн-платежи через Payme и Click, электронный документооборот, государственные услуги онлайн, интернет-торговля. Вместе с этим растёт и внимание к кибербезопасности — как со стороны государства, так и со стороны злоумышленников. Компаниям полезно понимать правовую основу и практические шаги.

Эта статья носит обзорный характер. Конкретные обязанности вашей компании нужно уточнять по актуальным текстам законов и подзаконных актов, при необходимости — с юристом.

Правовая основа

Закон «О кибербезопасности» принят в 2022 году. Он определяет основные понятия, принципы государственного регулирования, полномочия уполномоченных органов, а также обязанности владельцев информационных систем и ресурсов. Особое внимание в законе уделено объектам критической информационной инфраструктуры.

Закон «О персональных данных» 2019 года регулирует сбор, обработку и защиту сведений о физических лицах. В нём есть требование о размещении баз персональных данных граждан Узбекистана на технических средствах внутри страны. Для многих компаний это самое практичное требование, которое влияет на выбор хостинга, CRM и облачных сервисов.

Кроме того, существуют отраслевые требования, например для банков и платёжных организаций со стороны Центрального банка.

Объекты критической информационной инфраструктуры

К ним относятся информационные системы и сети, нарушение работы которых может серьёзно повлиять на государство, экономику, безопасность или жизнь людей. Это прежде всего энергетика, транспорт, связь, финансы, здравоохранение, государственное управление. Для владельцев таких объектов законодательство предусматривает дополнительные обязанности по защите, взаимодействию с уполномоченными органами и сообщению об инцидентах.

Если ваша компания работает в одной из таких отраслей или обслуживает такие объекты, стоит отдельно проверить, распространяются ли на вас эти требования.

Что это значит для обычного бизнеса

Большинство компаний малого и среднего бизнеса не относятся к критической инфраструктуре. Но общие требования к защите информации и персональных данных касаются всех. Практически это означает:

• Понимать, какие персональные данные вы собираете: клиенты, сотрудники, кандидаты
• Получать согласие на обработку, где это требуется
• Обеспечивать защиту этих данных от утечки и несанкционированного доступа
• Учитывать требование о локализации при выборе сервисов, где хранятся данные граждан

Типичные угрозы для компаний в Узбекистане

• Фишинг в Telegram: поддельные сообщения от имени банков, служб доставки, руководителей
• Кража аккаунтов Telegram и Instagram, через которые компания общается с клиентами
• Шифровальщики на серверах с 1С и файлами
• Подмена реквизитов в переписке с поставщиками
• Взлом сайтов на устаревших версиях систем управления
• Мошенничество от имени компании с использованием её названия и логотипа

Базовые меры для любой компании

1. Двухфакторная аутентификация на всех рабочих аккаунтах: почта, Telegram, банк-клиент, CRM
2. Регулярные проверенные резервные копии, хранящиеся отдельно
3. Обновление операционных систем, 1С, CMS сайта
4. Разграничение доступов и их отзыв при увольнении
5. Обучение сотрудников распознаванию фишинга
6. Правило подтверждения смены реквизитов звонком по известному номеру
7. Инвентаризация мест, где хранятся персональные данные клиентов

Выбор поставщиков

При выборе хостинга, облачного хранилища, CRM и других сервисов задавайте вопросы:

• Где физически хранятся данные
• Как организовано резервное копирование
• Как защищён доступ к вашим данным
• Что будет с данными при прекращении договора

Ошибки

• Считать, что закон касается только государственных органов и крупных компаний
• Размещать базу клиентов в зарубежном сервисе без оценки требований о локализации
• Не иметь плана действий на случай взлома
• Использовать личные аккаунты сотрудников для работы с клиентами

Если вы хотите проверить свою компанию на соответствие базовым требованиям и закрыть основные риски, обратитесь к нам — поможем составить план.