Орталық Азиядағы киберқауіптердің өсуі
Орталық Азия киберқылмыскерлер үшін тартымды нысанаға айналды. 2025 жылғы деректерге сәйкес, Қазақстандағы ransomware шабуылдарының саны 2023 жылмен салыстырғанда 67%-ға өсті. Өзбекстанда да ұқсас өсім байқалды — сол кезеңде 54%. Негізгі оқиғалар:
- Қазақстанның қаржы секторына шабуылдар — бірнеше банк пен төлем жүйелері мақсатты шабуылдарға ұшырап, онлайн қызметтердің уақытша тоқтатылуына және клиенттік деректердің ағуына әкелді
- Мемлекеттік жүйелердегі деректер ағуы — eGov, салық органдары және электрондық үкімет жүйелерінің деректер базаларындағы инциденттер қоғамда елеулі алаңдаушылық тудырды
- Өзбекстанның IT-компанияларына шабуылдар — IT Park Tashkent резиденттері мен басқа технологиялық компаниялар зияткерлік меншікті ұрлауға бағытталған APT-топтардың нысанасына айналды
- Жеткізу тізбектеріне шабуылдар — зиянкестер аймақтағы аз қорғалған жеткізушілерді ірі халықаралық компаниялардың жүйелеріне кіру нүктесі ретінде пайдаланады
Бұл оқиғалар шабуыл «болады ма» емес, «қашан болады» деген сұрақ екенін көрсетеді. ISO 27001 ақпараттық қауіпсіздікті басқарудың жүйелі тәсілін ұсынады, ол кибершабуылдардың тәуекелдері мен салдарын айтарлықтай азайтады.
Жаңа реттеу талаптары
Орталық Азияның киберқауіпсіздік саласындағы заңнамасы қарқынды дамуда, бұл ақпараттық қауіпсіздікті басқарудың формальданған жүйелеріне тікелей қажеттілік тудырады.
Қазақстан: 2025 жылғы Киберқауіпсіздік туралы Заңға түзетулер
2025 жылы қабылданған «Ақпараттандыру туралы» ҚР Заңына және байланысты нормативтік актілерге түзетулер талаптарды елеулі түрде қатайтады:
- Қауіпсіздік инциденттері туралы 72 сағат ішінде міндетті хабарлау — GDPR талаптарына ұқсас
- Сыни ақпараттық инфрақұрылым операторлары ақпараттық қауіпсіздікті басқару жүйесін (АҚБЖ) енгізуге міндетті
- Киберқауіпсіздік талаптарын бұзғаны үшін айыппұлдар 5 есе арттырылды
- Мемлекеттік ақпараттық жүйелермен жұмыс істейтін компаниялар халықаралық қауіпсіздік стандарттарына сәйкестігін растауы тиіс
Өзбекстан: Дербес деректер туралы Заңның қолданылуы
Өзбекстан Республикасының «Дербес деректер туралы» Заңы белсенді құқық қолдану кезеңіне кірді. Негізгі талаптар:
- Дербес деректерді қорғау жауапты тұлғасын міндетті тағайындау
- Халықаралық стандарттарға сәйкес деректерді техникалық және ұйымдастырушылық қорғау
- Дербес деректерді өңдеу жүйелерін тұрақты аудиттеу
- Деректер субъектілері мен реттеушіге ағулар туралы хабарлау
ISO 27001 бұл реттеу талаптарын толығымен қамтиды және екі елдің реттеушілері тарапынан ақпараттық қауіпсіздікті басқарудың эталондық жүйесі ретінде танылған.
Халықаралық клиенттердің талаптары
Орталық Азия компаниялары жаһандық жеткізу тізбектеріне барған сайын белсенді интеграцияланып жатыр. ЕО, Парсы шығанағы елдері мен АҚШ-тың халықаралық клиенттері өз жеткізушілерінен ISO 27001 сертификаттауды жиірек талап етеді:
- Еуропалық компаниялар — NIS2 Directive аясында бүкіл жеткізу тізбегінің қауіпсіздігін қамтамасыз етуге міндетті. ISO 27001 жоқ жеткізушілер тендерлерден автоматты түрде шығарылады
- Парсы шығанағы компаниялары (БАӘ, Сауд Арабиясы) — аймақтың ірі мемлекеттік және жартылай мемлекеттік ұйымдары IT-қызметтерін жеткізушілерге ISO 27001-ді міндетті талаптарға қосады
- Американдық технологиялық компаниялар — клиенттердің деректерімен жұмыс істейтін барлық қосалқы мердігерлерден SOC 2 немесе ISO 27001 талап етеді
- Халықаралық банктер мен қаржы институттары — Орталық Азия серіктестерімен жұмыс кезінде due diligence жүргізеді, онда ISO 27001 болуы — негізгі критерийлердің бірі
ISO 27001 болмаса, Қазақстан мен Өзбекстан компаниялары ең пайдалы халықаралық келісімшарттарға қолжетімділігін жоғалтады.
AIFC және Astana Hub талаптары
Астана — Орталық Азияның қаржы және технологиялық хабы. Екі негізгі институт та ақпараттық қауіпсіздікке жоғары талаптар қояды:
- AIFC (Астана халықаралық қаржы орталығы) — AIFC-те тіркелген финтех-компаниялар AFSA (Astana Financial Services Authority) талаптарын сақтауы керек, оның ішінде АҚБЖ енгізу бар. ISO 27001 — бұл талаптарды орындаудың ең танылған тәсілі
- Astana Hub — экспортқа бағытталған IT-стартаптардың халықаралық технопаркі резиденттері шетелдік клиенттер мен инвесторлардан ISO 27001 талабымен жиірек кездеседі. Сертификат болуы инвестициялық тартымдылықты елеулі арттырады
AIFC пен Astana Hub платформалары арқылы халықаралық қаржыландыру тарту немесе ЕО мен Таяу Шығыс нарықтарына шығу мақсатындағы компаниялар үшін ISO 27001 кіру билеті болып табылады.
IT Park Tashkent және экспортқа бағытталған компаниялар
Өзбекстан IT-экспортты белсенді дамытуда. IT Park Tashkent — халықаралық нарықтарға бағытталған технологиялық компаниялар үшін негізгі платформа:
- Аутсорсинг қызметтерін (BPO, бағдарламалық қамтамасыз ету әзірлеу, тестілеу) ұсынатын IT Park резиденттері ЕО мен АҚШ клиенттерінен ISO 27001-дің міндетті талабымен кездеседі
- Финтех және электрондық коммерция саласындағы компаниялар төлем жүйелерімен интеграция үшін халықаралық қауіпсіздік стандарттарына сәйкестігін көрсетуі керек
- Өзбекстанның «Digital Uzbekistan 2030» мемлекеттік бағдарламасы халықаралық стандарттарды енгізуді қолдайды және сертификаттауға субсидиялар береді
Экспорт нарықтарына шығуды мақсат еткен өзбекстандық IT-компаниялар үшін ISO 27001 — бұл шығын емес, бәсекеге қабілеттілікке инвестиция.
ISO 27001 болмаудың құны
Көптеген компаниялар сертификаттауды қымбат деп санап, кейінге қалдырады. Алайда ISO 27001 болмаудың құны әлдеқайда жоғары:
- Жоғалған келісімшарттар — біздің бағалауымыз бойынша, Қазақстан мен Өзбекстан компаниялары ISO 27001 болмағандықтан жыл сайын $500 млн-нан астам сомаға келісімшарттар жоғалтады. Самұрық-Қазына ірі тендерлері, еуропалық және таяушығыстық компаниялармен келісімшарттар — олардың барлығы сертификаттауды жиірек талап етеді
- Деректер ағуының құны — ТМД-да 2025 жылы деректер ағуының орташа құны $2,1 млн құрады. АҚБЖ жоқ компаниялар үшін залал инцидентке жауап беру рәсімдерінің болмауына байланысты әдетте 2-3 есе жоғары
- Сақтандыру сыйлықақылары — кибертәуекелдерді сақтандыру (cyber insurance) Қазақстан мен Өзбекстанда қолжетімді болды, бірақ ISO 27001 жоқ компаниялар ұқсас жабу үшін орташа 40-60% артық төлейді
- Реттеушілік айыппұлдар — заңнаманың қатайтылуымен қауіпсіздік инциденттері үшін айыппұлдар елеулі сомаларға жетуі мүмкін, әсіресе дербес деректермен жұмыс кезінде
- Беделге зиян — деректер ағуының жариялануынан кейін компаниялар бірінші жылда клиенттік базасының орташа 15-25%-ын жоғалтады
ISO 27001 сертификаттау құны — ықтимал шығындардың аз бөлігі. Бұл шығын емес, сақтандыру және бәсекелік артықшылық.
BALTUM-мен сертификаттау процесі
BALTUM Орталық Азия компанияларына ISO 27001-ге жетуге барынша тиімді көмектеседі. Біздің процесіміз:
- GAP-талдау (2-3 апта). Компанияның ақпараттық қауіпсіздігінің ағымдағы жағдайын бағалау, ISO 27001:2022 талаптарымен алшақтықтарды анықтау және енгізу жол картасын құру.
- АҚБЖ енгізу (6-10 апта). Саясаттарды, рәсімдерді, тәуекелдерді бағалауды, қолданылу туралы мәлімдемені (SoA) әзірлеу. BALTUM Орталық Азия компаниялары үшін бейімделген үлгілерді ұсынады және команданы оқытады.
- Ішкі аудит (1-2 апта). Сертификаттауға дайындықты тексеру үшін толық ішкі аудит жүргізу. Ішкі аудиторларды оқыту.
- Сертификаттау аудиті (2-4 апта). IAF MLA қатысушысы болып табылатын аккредиттелген орган тарапынан Stage 1 (құжаттаманы тексеру) және Stage 2 (енгізуді тексеру) аудиті.
- Сертификат алу. Сертификат 3 жылға беріледі, жыл сайынғы қадағалау аудиттерімен.
Орташа мерзімдер: басталуынан сертификат алуға дейін 3-тен 5 айға дейін. АҚБЖ элементтері бар компаниялар үшін мерзім 2,5 айға дейін қысқартылуы мүмкін.
BALTUM Алматы, Астана, Ташкент және Орталық Азияның басқа қалаларында аудиттерді жүргізеді — он-сайт та, қашықтан да.
Неліктен BALTUM?
- Орталық Азия, ЕО және Таяу Шығыста жұмыс тәжірибесі бар халықаралық команда
- IAF MLA аккредиттелген органдары арқылы сертификаттау — 100+ елде тану
- Жергілікті заңнаманы (ҚЗ, ӨЗ) және халықаралық талаптарды терең түсінетін кеңесшілер
- Қазақ, орыс және өзбек тілдерінде қолдау
- AIFC, Astana Hub, IT Park Tashkent компанияларымен жұмыс тәжірибесі
Деректерді қорғау — бұл тек техникалық мәселе емес, клиенттердің сенімі, заңнамаға сәйкестік және халықаралық нарықтарға қолжетімділік мәселесі. ISO 27001-ге жолыңызды бүгін бастау үшін BALTUM-мен хабарласыңыз.