ИПС "Әділет"

"Киберқауіпсіздік туралы" Қазақстан Республикасы Заңының 7-4-бабы 1-тармағының 6) тармақшасына сәйкес БҰЙЫРАМЫН:

1. Қоса беріліп отырған "Цифрлық үкімет" платформасының киберқауіпсіздігін қамтамасыз ету регламенті бекітілсін.

2. Қазақстан Республикасы Жасанды интеллект және цифрлық даму министрлігінің Ақпараттық қауіпсіздік комитеті Қазақстан Республикасының заңнамасында белгіленген тәртіппен:

1) осы бұйрықты ресми жарияланғаннан кейін оны Қазақстан Республикасы Жасанды интеллект және цифрлық даму министрлігінің интернет-ресурсында орналастыруды;

2) осы бұйрыққа қол қойылған күннен бастап күнтізбелік бес күн ішінде оның көшірмесін Қазақстан Республикасы нормативтік құқықтық актілерінің эталондық бақылау банкіне қосу үшін Қазақстан Республикасы Әділет министрлігінің "Қазақстан Республикасының Заңнама және құқықтық ақпарат институты" шаруашылық жүргізу құқығындағы республикалық мемлекеттік кәсіпорнына жіберуді қамтамасыз етсін.

3. Осы бұйрықтың орындалуын бақылау жетекшілік ететін Қазақстан Республикасының Жасанды интеллект және цифрлық даму вице-министріне жүктелсін.

4. Осы бұйрық алғашқы ресми жарияланған күнінен кейін он күнтізбелік күн өткен соң қолданысқа енгізіледі.

Қазақстан Республикасы Премьер-Министрінің орынбасары –
Жасанды интеллект және цифрлық даму министрі	Ж. Мәдиев

"КЕЛІСІЛДІ"

Қазақстан Республикасы

Ұлттық қауіпсіздік комитеті

Қазақстан Республикасы
Премьер-Министрінің
орынбасары – Жасанды
интеллект және цифрлық
даму министрінің
2026 жылғы 7 тамыздағы
№ 462/НҚ бұйрығымен
бекітілген

"Цифрлық үкімет" платформасының киберқауіпсіздікті қамтамасыз ету регламенті

1-тарау. Жалпы ережелер

1. Осы "Цифрлық үкімет" платформасының киберқауіпсіздігін қамтамасыз ету регламенті (бұдан әрі – Регламент) "Киберқауіпсіздік туралы" Қазақстан Республикасы Заңының 7-4-бабы 1-тармағының 6) тармақшасына сәйкес әзірленді және "Мемлекеттік техникалық қызмет" акционерлік қоғамы (бұдан әрі – "МТҚ" АҚ) "Ұлттық ақпараттық технологиялар" акционерлік қоғамымен (бұдан әрі – "ҰАТ" АҚ) бірлесіп "цифрлық үкімет" платформасының және онда орналастырылған цифрлық объектілердің киберқауіпсіздігін қамтамасыз ету жөніндегі іс-шараларды жүзеге асыру кезінде жұмыстардың реттілігін, орындалу мерзімдерін, жұмыс нәтижелерін ресімдеу тәртібін, сонымен қатар киберқауіпсіздікті қамтамасыз етуге қатысатын қызметкерлерге қойылатын ең төменгі біліктілік талаптарын айқындайды және оларды оқыту мен біліктілігін арттыру рәсімдерін сипаттайды.

2. Осы Регламентте келесі терминдер, анықтамалар және қысқартулар пайдаланылады:

1) АКҚҚ – ақпаратты криптографиялық қорғау құралы;

2) КҚБЖ – киберқауіпсіздікті басқару жүйесі (SIEM);

3) АҚҚ – ақпаратты қорғау құралы;

4) БКТ – бастапқы кодтарды талдау;

5) БҚ – бағдарламалық қамтылым;

6) БҚЖӘ – БҚ қауіпсіз әзірлеу;

7) ВО – виртуалдау ортасы;

8) ДББЖ – деректер базасын басқару жүйесі;

9) Жарияланбаған мүмкіндіктер (бұдан әрі - ЖМ) – техникалық құжаттамада көрсетілмеген немесе сипатталғанға сәйкес келмейтін БҚ функционалдық мүмкіндіктері;

10) ИҚБШ – Интернетке қолжетімділіктің бірыңғай шлюзі;

11) КҚ – киберқауіпсіздік;

12) КҚ ТҚ – киберқауіпсіздік бойынша техникалық құжаттама;

13) ҚБҚ – қолданбалы бағдарламалық қамтылым;

14) ҚРҮҚ БТ – "Киберқауіпсіздік туралы" Қазақстан Республикасының Заңына сәйкес Қазақстан Республикасының Үкіметі бекітетін Цифрландыру және киберқауіпсіздікті қамтамасыз ету салаларындағы бірыңғай талаптар;

15) НҚА – Қазақстан Республикасының нормативтiк құқықтық актілер;

16) ОЖ – операциялық жүйе;

17) ТТ – техникалық тапсырма;

18) уәкілетті орган – киберқауіпсіздікті қамтамасыз ету саласындағы басшылықты және салааралық үйлестіруді жүзеге асыратын орталық атқарушы орган;

19) фреймворктар – БҚ құрылымын белгілейтін және әзірлеудің типтік тетіктерін (маршруттауды, сұрауларды өңдеуді, деректерге қол жеткізуді) қамтамасыз ететін бағдарламалық кітапханалар мен инфрақұрылымдық компоненттердің жиынтығы;

20) ЦО – цифрлық объект;

21) ЦО меншік иесі – өз қалауы бойынша өзіне тиесілі ЦО иелену, пайдалану және басқару құқығына ие субъект;

22) ЦҮ ЦО – "цифрлық үкіметтің" цифрлық объектілері;

23) "цифрлық үкімет" платформасы (бұдан әрі - QazTech платформасы) – цифрлық объектілерді әзірлеуге, дамытуға, орналастыруға, интеграциялауға арналған "цифрлық үкімет" операторының цифрлық платформасы;

24) ЭҚАЖ– электрондық құжат айналымы жүйесі;

25) Anti-DDoS – цифрлық объектінің жұмыс істеу қабілетін бұзуға бағытталған қаскүнемдердің әрекеттерінен қорғау;

26) AV – зиянды бағдарламаларды анықтау және алдын алу жүйесі;

27) Container security – жиналған Docker-бейнелердің қауіпсіздігін талдау;

28) DAST – қосымшалар қауіпсіздігінің динамикалық талдауы (Dynamic Application Security Testing);

29) DLP – қолжетімділігі шектеулі цифрлық ресурстардың таралуын болдырмауға арналған АҚҚ;

30) EDR – соңғы нүктелердегі күрделі қауіптерді анықтау және оларға ден қою жүйесі (Endpoint Detection and Response);

31) Gitlab – бастапқы кодтың репозиторийлерін сақтау және басқару жүйесі;

32) IaC security – инфрақұрылым файлдарының қауіпсіздігін талдау (Kubernetes, Terraform);

33) IPS/IDS – басып кірулерді анықтау және алдын алу жүйесі;

34) MAST – мобильді қосымшалардың қауіпсіздігін тестілеу (Mobile Application Security Testing);

35) NGFW – жаңа буындағы желіаралық экран (Next-Generation Firewall);

36) PAM – артықшылық құқығы бар пайдаланушылардың қолжетімділігін басқару жүйесі (Privileged Access Management);

37) Pentest – осалдықтарды және ықтимал шабуылдар сценарийлерін анықтау және оларды жою және алдын алу бойынша ұсыныстар беру мақсатында қаскүнемнің әрекеттерін ұқсату техникалары мен құралдарды пайдалана отырып, цифрлық объектілердің қауіпсіздігін бағалау әдісі;

38) Pipeline CI/CD – БҚ үздіксіз интеграциялау және үздіксіз жайғастыру конвейері;

39) Sandbox – күмәнді файлдардың әрекетін талдауға арналған оқшауланған виртуалды орта;

40) SAST – қосымшалар қауіпсіздігінің статикалық талдауы (Static Application Security Testing);

41) SCA – бағдарламалық қамтылым құрамын талдау (Software Composition Analysis);

42) SIEM – КҚ және КҚ оқиғаларын бақылау және басқару жүйесі;

43) Unit-тест – жүйенің жекелеген функциялары мен компоненттерінің дұрыс жұмыс істеуін тексеру;

44) WAF – веб-қосымшаларды қорғау үшін желіаралық экран (web-application firewall).

2-тарау. Бастапқы кодтың сапасын тестілеу және талдау

Бастапқы кодтың сапасын тестілеу және талдау процедуралары GitLab CI/CD конвейерінде орындалады және автоматты модульдік тестілеуді, бастапқы кодтың сапасын тексеруді және қолмен функционалды тестілеуді қамтиды.

Автоматты модульдік тестілеу (Unit Testing) - жүйенің жеке функциялары мен компоненттерін жұмыстың дұрыстығына тексеру.

Бастапқы кодтың сапасын тексеру (Code Quality check) кодтау стандарттарының бұзылуын, ықтимал қателерді және кодты қолдау проблемаларын анықтауға бағытталған.

Функционалдық тестілеу іске асырылған функционалдықтың мәлімделген талаптар мен сипаттамаларға сәйкестігін растауға бағытталған БҚ тексеру кезеңі болып табылады.

Негізгі міндеттері:

іске асырылған функциялар жұмысының дұрыстығын және бизнес-логиканы тексеру;

іске асырылған функциялардың ТТ талаптарына сәйкестігін растау;

бастапқы кодтың сапасы мен оқылуын тексеру;

қабылданған кодтау және стиль стандарттарының сақталуын бақылау;

қателіктерді ерте кезеңдерде анықтау (unit-тесттер арқылы);

табылған осалдықтарды басқару, оның ішінде оларды жіктеу және жою;

интеграциялық және қабылдау тестілеу кезеңінде қателер санын азайту;

БҚ тұрақтылығы мен сүйемелдеуін арттыру.

Автоматты модульдік тестілеу (Unit Tests) GitLab CI/CD-де құрастыру кезеңінде орындалады және код сапасын қамтамасыз ету үшін негіз болып табылады.

Кодтың сапасын тексеру Gitlab CI/CD құрастыру кезеңінде автоматты түрде жүргізіледі, ол үшін автоматтандырылған құрал қолданылады.

Функционалдық тестілер unit-тесттерден сәтті өткеннен кейін және кодтың сапасы тексерілгеннен кейін автоматты түрде орындалады. Пайдаланушы сценарийлері деңгейінде жүйенің мінез-құлқын кешенді тексеруді қамтамасыз етумен.

Тестілеу және сапаны бағалау барлық тексерулерден сәтті өткенде, белгіленген сапа көрсеткіштеріне қол жеткізгенде, сыни қателіктерді жойғанда және жауапты қатысушылардың өзгерістерді келісуі кезінде аяқталды деп саналады.

Нәтижелер бойынша объект иесі негізгі көрсеткіштерді, анықталған ескертулерді, олардың мәртебесін және жақсарту бойынша ұсыныстары бар шығарылымға дайындықты бағалауды қамтитын есеп қалыптастырылады. Есепті рәсімдеу тәртібі және мерзімдерін объект иесі дербес айқындайды.

Жұмыстарды QazTech платформасы бөлігінде "ҰАТ" АҚ және компоненттер бөлігінде ЦО иелері орындайды.

3-тарау. Қауіпсіз бағдарламалық қамтылым әзірлеу процестері

Бастапқы кодты талдау БҚ жұмыс істеу барысында оның бастапқы кодын, тәуелділіктерін, контейнерлік бейнелерін, инфрақұрылымдық қалыптарын және орындау процестерін талдайтын кіріктірілген және (немесе) интеграцияланған DevSecOps құралдарының көмегімен жүзеге асырылады.

БҚ-дағы осалдықтарды анықтау мынадай тәртіппен жүзеге асырылады:

1) pipeline іске қосылған кезде GitLab қауіпсіздікті тексеру кезеңдерін автоматты түрде бастайды;

2) талдаудың әрбір түрі SAST, SCA, DAST, MAST, Container Security және IaC Security сканерлерімен орындалады;

3) тәуекел деңгейі жоғары және орташа осалдықтар анықталған жағдайда pipeline орындау тоқтатылады;

4) "МТС" АҚ орындаушысы талдау жүргізу үшін есепті алады;

5) бағдарламалық есептерде жалған іске қосылулардың (осалдықтардың нақты бар екендігін растамайтын автоматтандырылған талдаудың қате нәтижелерінің) бар-жоғына талдау жүргізіледі;

6) БҚ-да анықталған осалдықтардың тізбесін, олардың сипаттамасын, орналасу жолын (файлға дейінгі жолын) және тәуекел деңгейін (жоғары, орташа, төмен) қамтитын есеп қалыптастырылады;

7) анықталған осалдықтарды жою жөніндегі жоспар әзірленеді және іске асырылады, оның ішінде оларды басымдыққа қарай бөлу және орындау мерзімдерін айқындау жүзеге асырылады.

ЖМ-ді анықтау мынадай тәртіппен жүзеге асырылады:

1) қауіпсіздікті тексерудің автоматтандырылған кезеңдері бар GitLab pipeline іске қосылады;

2) QazTech платформасы мен ЦО техникалық құжаттамасына, оның ішінде цифрлық объектіні жасауға (дамытуға) арналған ТТ-ға оның мақсаты, қолданылу саласы, қолданылатын әдістері, шешілетін міндеттердің сыныбы, қолдану кезіндегі шектеулері, техникалық құралдардың ең төменгі конфигурациясы, жұмыс істеу ортасы және пайдалану тәртібі туралы мәліметтер бөлігінде талдау жүргізіледі;

3) QazTech платформасы мен ЦО бастапқы коды қолмен талдау әдісімен зерттеледі:

БҚ-ның модульдік және логикалық құрылымы, сонымен қатар функционалдық модульдері зерделеніп, олардың құрылымы техникалық құжаттамада келтірілген құрылыммен салыстырылады;

функционалдық объектілердің орындалу бағыты және өңделетін деректер тексеріледі;

кейіннен ЖМ анықтау нәтижелері туралы есепке енгізу үшін ЖМ тіркеледі;

4) ЖМ анықталған жағдайда БКТ жөніндегі қызмет мамандары жобаларды басқару жүйесінде жүргізілген талдау нәтижелері, анықталған ЖМ сипаттамасы, сондай-ақ талдау нәтижелері туралы есеп және оны жою жөніндегі ұсынымдар көрсетілетін Issue жасайды.

Осалдықтар мен ЖМ анықталмаған жағдайда орындаушы репозиторий тармағындағы өзгерістерді одан әрі ілгерілету үшін GitLab жүйесінде бекіту рәсімін жүзеге асырады.

Қауіпсіз әзірлеу процесінде қолданылатын қауіпсіздікті талдау құралдарын (SAST, SCA, DAST, MAST, Container Security, IaC Security) баптау пайдаланылатын талдау құралдарында жүзеге асырылады. Бастапқы кодты басқару жүйесімен талдау құралдарын интеграциялау, талдау бейіндерін, сындарлылық деңгейлерін, нәтижелерді өңдеу қағидаларын баптау, сонымен қатар қол жеткізу құқықтарын және пайдаланушылардың әрекеттерін журналдауды баптау жүзеге асырылады.

Талдау құралдары қолданылатын бағдарламалау тілдеріне, фреймворктерге және жобалар түрлеріне бейімделеді, талдау жүргізу аймақтары бапталады, қатысы жоқ файлдар алып тасталады және тексерулерді орындау уақыты оңтайландырылады.

Талдау құралдарының жаңа нұсқаларына тестілеу жүргізіледі және БҚ қауіпсіз әзірлеу процестерін жетілдіру жөніндегі ұсыныстар дайындалады.

Жұмыстардың негізгі орындаушысы "МТҚ" АҚ болып табылады, бұл ретте "ҰАТ" АҚ QazTech платформасының бастапқы кодын, ал ЦО меншік иесі ЦО бастапқы кодын және оған қатысты қажетті құжаттаманы ұсынады.

4-тарау. QazTech платформасының киберқауіпсіздігін қамтамасыз ету жөніндегі іс-шаралар

1. ҚРҮҚ БТ сәйкес КҚ саясатын және КҚ ТҚ әзірлеу.

"ҰАТ" АҚ КҚ ТҚ-ны әзірлеуге, оларға өзгерістер мен толықтырулар енгізуге жауапты болып табылады, бұл ретте "МТҚ" АҚ техникалық құжаттарды келісуге қатысады.

Кезеңділігі: қажеттілігіне қарай, бірақ екі жылда кемінде бір рет.

Аяқталу түрі: бекітілген КҚ ТҚ.

2. "Цифрлық үкімет" платформасында ЦО әзірлеу, дамыту, орналастыру және интеграциялау жөніндегі әдістемелік талаптарды (бұдан әрі – Әдістеме) әзірлеу (өзгерістер мен толықтырулар енгізу). Әдістеме "ҰАТ" АҚ мен "МТҚ" АҚ бірлесіп әзірлейді және оны уәкілетті орган бекітеді, кейіннен ЦО меншік иелері міндетті түрде қолданады.

Әдістемеде бастапқы кодты талдау құралдарын пайдалана отырып pipeline CI/CD ұйымдастырудың негізгі тәсілдері мен талаптары, есептердің нысандары, кодтың негізгі тармақтарындағы өзгерістерді келісу кезеңдері, жобалар мен топтардағы қол жеткізу құқықтары сипатталады. КҚ талаптарын сақтай отырып, бастапқы кодты өнімді ортаға орналастыру әдістері айқындалады.

Әдістемеде бастапқы кодты жүктеу, әзірлеу және орналастыру жөніндегі бизнес-процестердің сипаттамасы, сонымен қатар QazTech платформасының құралдарымен жұмыс істеу туралы ақпарат қамтылады.

Кезеңділігі: қажеттілігіне қарай.

Аяқталу түрі: Әдістеме.

3. QazTech платформасының БҚ мен техникалық құралдары орналастырылған негізгі және резервтік серверлік үй-жайларға (деректерді өңдеу орталықтарына) ҚРҮҚ БТ-на сәйкестігіне тексеру жүргізу. Тексеруді "МТҚ" АҚ жүзеге асырады, бұл ретте "ҰАТ" АҚ тексеруді жүргізетін "МТҚ" АҚ жұмыскерлеріне серверлік үй-жайларға (деректерді өңдеу орталықтарына) және қажетті құжаттамаға (журналдар, шарттар және т.б.) кедергісіз қол жеткізуді қамтамасыз етеді.

Серверлік үй-жайларды (деректерді өңдеу орталықтарын) тексеру кезінде "МТҚ" АҚ жұмыскерлері ҚРҮҚ БТ-ның 8-параграфында көзделген талаптарды басшылыққа алады.

Кезеңділігі: жылына 1 рет.

Аяқталу түрі: тексеру туралы есеп.

4. QazTech платформасының серверлік жабдығын КҚ талаптарына сәйкестігіне тексеруді жүзеге асыру (ВО, әзірлеу, тестілеу және өнеркәсіптік пайдалану орталарының бөлінуі, ОЖ, ДББЖ, ҚБҚ).

Жұмыстардың негізгі орындаушысы "МТҚ" АҚ болып табылады, бұл ретте "ҰАТ" АҚ оның жұмыскерлеріне ОЖ, ДББЖ, ҚБҚ және ВО қол жеткізуді қамтамасыз етеді, сонымен қатар қауіпсіздік саясаттарын көрсету үшін жауапты тұлғаларды (әкімшілерді) ұсынады.

QazTech платформасының серверлік жабдығын тексеру кезінде "МТҚ" АҚ жұмыскерлері Қазақстан Республикасының КҚ қамтамасыз ету саласындағы заңнамасы мен стандарттарының талаптарын басшылыққа алады.

Кезеңділігі: жылына 1 рет.

Аяқталу түрі: тексеру туралы есеп.

5. QazTech платформасының желілік жабдығын КҚ талаптарына сәйкестігіне тексеру (желіаралық экрандардың, бағдарлауыштар мен коммутаторлардың конфигурациясы, желілерді бөлу).

Жұмыстардың негізгі орындаушысы "МТҚ" АҚ болып табылады, бұл ретте "ҰАТ" АҚ оның жұмыскерлеріне кедергісіз қол жеткізуді қамтамасыз етеді және желілік жабдықтағы қауіпсіздік саясаттарын көрсетуге және (қажет болған жағдайда) пысықтауға жауапты желілік әкімшілерді айқындайды.

QazTech платформасының желілік жабдығын тексеру кезінде "МТҚ" АҚ жұмыскерлері Қазақстан Республикасының КҚ қамтамасыз ету саласындағы заңнамасы мен стандарттарының талаптарын басшылыққа алады.

Кезеңділігі: жылына 1 рет.

Аяқталу түрі: тексеру туралы есеп.

6. Осалдықтарды анықтау мақсатында QazTech платформасына аспаптық сканерлеу жүргізу. Жаңартулардың болуына, конфигурацияларды талдауға, жалпы осалдықтар мен тәуекелдер дерекқоры бойынша белгілі осалдықтардың болуына, сонымен қатар Қазақстан Республикасының КҚ қамтамасыз ету саласындағы заңнамасы мен стандарттарының талаптарына сәйкестігіне QazTech платформасының виртуалды серверлері, желілік жабдығы және ВО сканерлеуге жатады.

Жұмыстардың негізгі орындаушысы "МТҚ" АҚ болып табылады, бұл ретте "ҰАТ" АҚ оның жұмыскерлеріне серверлер мен желілік құрылғыларға артықшылықты құқықтармен ("root" түріндегі) қашықтан желілік қол жеткізуді қамтамасыз етеді.

Кезеңділігі: жарты жылда 1 рет.

Аяқталу түрі: сканерлеу туралы есеп.

7. QazTech платформасына жүктемелік тестілеу жүргізу.

QazTech платформасына жүктемелік тестілеуді қалыпты пайдалану ортасында қолжетімділіктің, тұтастықтың және құпиялылықтың сақталуын бағалау мақсатында "МТҚ" АҚ жүргізеді. Жүктемелік тестілеуді "МТҚ" АҚ жұмыскерлері автоматтандырылған сценарийлер негізінде, дербес деректер синтетикалық (жалған) деректермен алмастырылған қалыпты пайдалану ортасында мамандандырылған бағдарламалық құралды пайдалана отырып жүргізеді. Жүктемелік тестілеу пайдаланушылардың қосылу нүктелерінің саны және интеграциялық өзара іс-қимылдың қосылу нүктелерінің нұсқалары бойынша жүргізіледі. Бұл ретте "МТҚ" АҚ тестілеу сценарийін, тестілеудің уақытша және сандық сипаттамаларын айқындайды, сондай-ақ тестілеуді өткізу уақытын "ҰАТ" АҚ-мен келіседі.

Жұмыстардың негізгі орындаушысы "МТҚ" АҚ болып табылады, бұл ретте "ҰАТ" АҚ оның жұмыскерлерін жұмыстарды орындау үшін QazTech платформасына қажетті қол жеткізу құқықтарымен қамтамасыз етеді.

Кезеңділігі: жарты жылда 1 рет.

Аяқталу түрі: жүктемелік тестілеу туралы есеп.

8. БКТ-ны (SAST, DAST, SCA, ЖМ, Container Security, IaC Security) жүргізу.

Жұмыстардың негізгі орындаушысы "МТҚ" АҚ болып табылады, бұл ретте "ҰАТ" АҚ оның жұмыскерлеріне QazTech платформасының бастапқы кодын және қажетті құжаттаманы (журналдар, шарттар, техникалық тапсырма және т.б.) ұсынады.

Кезеңділігі: жылына 1 рет.

Аяқталу түрі: талдау туралы есеп.

9. КҚ ТҚ талаптарының сақталуына ішкі бақылауды қамтамасыз ету, оның ішінде олардың барлық мүдделі тұлғалар мен сыртқы контрагенттердің орындауын қамтамасыз ету.

Жұмыстардың негізгі орындаушысы "ҰАТ" АҚ болып табылады.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: КҚ ТҚ 4-деңгейдегі бекітілген құжаттары.

10. Киберқауіпсіздік жөніндегі техникалық құжаттардың талаптарының сақталуына сыртқы бақылауды қамтамасыз ету.

Жұмыстардың негізгі орындаушысы "МТҚ" АҚ болып табылады, бұл ретте "ҰАТ" АҚ оның жұмыскерлеріне қажетті құжаттаманы ұсынады, ОЖ, ДББЖ, ҚБҚ, ВО, АҚҚ (SIEM, PAM, AV және басқалары) қол жеткізуді қамтамасыз етеді, сонымен қатар қауіпсіздік саясаттарын көрсету үшін жауапты тұлғаларды (әкімшілерді) айқындайды.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: орындалуы.

11. Қол жеткізу құқықтары мен қолжетімділікті басқару: QazTech платформасының барлық жүйелерін/кіші жүйелерін және компоненттерін AD/LDAP жүйесіне қосу.

Жұмыстардың негізгі орындаушысы "ҰАТ" АҚ болып табылады, ал "МТҚ" АҚ есептік жазбаларды басқару (құру, жою, құқықтарды өзгерту) процестерін келісуге қатысады. Бұл ретте "ҰАТ" АҚ QazTech платформасының барлық компоненттерін (ОЖ, ДБ, ВО және басқаларын) AD/LDAP жүйесіне қосуды қамтамасыз етеді.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: SD жүйесіндегі өтінім.

12. Жүйелік және қолданбалы БҚ конфигурацияларын және эталондық бейнелерін басқару.

Жұмыстардың негізгі орындаушысы "ҰАТ" АҚ болып табылады, ал "МТҚ" АҚ жүйелік және ҚБҚ етудің конфигурацияларына және эталондық бейнелерге енгізілетін өзгерістерді келісуге қатысады, бұл ретте оларда АҚҚ алдын ала орнатылуы қамтамасыз етіледі.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: орындалуы.

13. QazTech платформасының барлық компоненттерінің резервтік көшірмесін жасау және резервтік көшірмелерді қалпына келтіруді тестілеу.

Жұмыстардың негізгі орындаушысы "ҰАТ" АҚ болып табылады, ал "МТҚ" АҚ олардың орындалуын бақылауды қамтамасыз етеді. Бұл ретте резервтік көшірме жасау және резервтік көшірмелерді қалпына келтіруді тестілеу рәсімдері КҚ ТҚ талаптарына сәйкес орындалады.

Кезеңділігі: Платформаның КҚ ТҚ белгіленген мерзімдерге сәйкес.

Аяқталу түрі: резервтік көшірмелер журналы және резервтік көшірмелерді қалпына келтіруді тестілеу журналы.

14. Шифрлау кілттері мен парольдердің қауіпсіздігін қамтамасыз ету (Vault).

"ҰАТ" АҚ Vault жүйесін іске қосу, қайта іске қосу және қалпына келтіру үшін қажетті төрт seal/unseal кілтін генерациялайды. Аталған кілттер бөлініп, бір-бірден QazTech платформасының әкімшілеріне, "ҰАТ" АҚ КҚ бөлімшесіне және екі кілт "МТҚ" АҚ-ға беріледі. Vault жүйесін іске қосу, қайта іске қосу және қалпына келтіру рәсімдерін орындау үшін кемінде үш кілт ұсынылуы қажет.

"ҰАТ" АҚ артықшылықты пайдаланушының (root token) паролін генерациялауды және оны үш бөлікке бөлуді жүзеге асырады, кейіннен парольдің бір бөлігі QazTech платформасының әкімшілеріне, бір бөлігі "ҰАТ" АҚ КҚ бөлімшесіне және бір бөлігі "МТҚ" АҚ-ға беріледі.

Цифрлық объектілердің меншік иелері үшін Vault токендерін жасау, рөлдер мен қол жеткізу түрлерін айқындау "ҰАТ" АҚ мен "МТҚ" АҚ бірлесіп жүзеге асырады.

Кезеңділігі: қажеттілігіне қарай.

Аяқталу түрі: seal/unseal кілттерінің бастапқы генерациясы актімен ресімделеді. Қалған процестер Vault оқиғалар журналында тіркеледі.

15. QazTech платформасының АҚҚ жұмысқа қабілеттілігіне мониторинг жүргізу.

Жұмыстардың негізгі орындаушысы "ҰАТ" АҚ болып табылады, бұл ретте "МТҚ" АҚ КҚ оқиғалары көздерінің жай-күйіне, олардың параметрлері мен қорғау режимдеріне бақылау жүргізуге, оның ішінде олардың жұмыс істеуіндегі кемшіліктер мен қателер туралы "ҰАТ" АҚ-ны хабардар етуге қатысады.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: орындалуы.

16. QazTech платформасының цифрлық инфрақұрылымына мониторинг жүргізу және оны басқару (серверлердің, желілік жабдықтың, ДБ, ҚБҚ және басқалардың жұмысын бақылау).

"ҰАТ" АҚ QazTech платформасының цифрлық инфрақұрылымына мониторинг жүргізуді және оны басқаруды қамтамасыз етеді, оның шеңберінде QazTech платформасының цифрлық инфрақұрылымының бағдарламалық қамтылым мен техникалық құралдарына мониторинг жүргізіледі, сондай-ақ оның әкімшілері мен пайдаланушыларының әрекеттері журналға жазылады.

"МТҚ" АҚ осы талаптың іске асырылуын бақылауды жүзеге асырады, QazTech платформасының цифрлық инфрақұрылымын мониторингтеу және басқару жүйелерінің жұмыс істеуіне тоқсан сайын талдау жүргізеді және анықталған сәйкессіздіктерді жою жөнінде ұсынымдар береді.

Кезеңділігі: тұрақты негізде, жүйелердің жұмыс істеуіне тоқсан сайын талдау жүргізу.

Аяқталу түрі: орындалуы.

17. AV, EDR, Sandbox, DLP сыныптарындағы КҚБЖ және АҚҚ орнату және конфигурациялау.

КҚБЖ және АҚҚ орнату және конфигурациялау процестерін "ҰАТ" АҚ жүзеге асырады, бұл ретте "МТҚ" АҚ қатысады және КҚБЖ (SIEM) бағдарламалық құралдарын және КҚ оқиғалары көздерін (AV, EDR, Sandbox, DLP) орнату, сонымен қатар КҚ оқиғалары көздерінің жұмыс істеуінің жекелеген тетіктері мен қауіпсіздік саясаттарын баптау бойынша консультациялық қолдау көрсетеді.

Кезеңділігі: қажеттілігіне қарай.

Аяқталу түрі: орнату актісі.

18. IDS/IPS/NGFW сыныптарындағы АҚҚ орнату және конфигурациялау.

"ҰАТ" АҚ IDS/IPS/NGFW техникалық құралдарын орнатуды және конфигурациялауды жүзеге асырады, ал "МТҚ" АҚ аталған жұмыстарға қатысады: IDS/IPS/NGFW сыныптарындағы АҚҚ монтаждау және баптау.

Кезеңділігі: қажеттілігіне қарай.

Аяқталу түрі: орнату актісі.

19. PAM сыныбындағы АҚҚ орнату және конфигурациялау.

"ҰАТ" АҚ (қажет болған жағдайда – "МТҚ" АҚ-мен бірлесіп) QazTech платформасының әкімшілерінің және QazTech платформасының өнімді ортасында ЦО серверлеріне сүйемелдеу көрсететін әкімшілердің әрекеттерін бақылау үшін PAM жүйесін өрістетуді және баптауды жүзеге асырады.

"МТҚ" АҚ PAM жүйесінің саясаттарын, рөлдерін, қол жеткізу құқықтарын баптау және журналдарды SIEM жүйесіне жіберу бойынша талаптарды айқындайды.

"ҰАТ" АҚ PAM жүйесінде пайдаланушыларды тіркеуді және есепке алуды жүзеге асырады, сондай-ақ "МТҚ" АҚ белгілеген талаптардың сақталуын қамтамасыз етеді.

Кезеңділігі: қажеттілігіне қарай.

Аяқталу түрі: орнату актісі.

20. Оқиғалар көздерін QazTech платформасына қосу.

Оқиғалар көздерін QazTech платформасының КҚБЖ (SIEM) қосу.

Оқиғалар көздерін QazTech платформасының цифрлық инфрақұрылымына қосу процестерін "ҰАТ" АҚ жүзеге асырады, бұл ретте "МТҚ" АҚ қатысады және КҚБЖ (SIEM) жұмыс істеуінің жекелеген тетіктері мен қауіпсіздік саясаттарын баптау, олардың дұрыс жұмыс істеуін тексеру, сонымен қатар оқиғаларды тіркеу журналдарынан мәліметтердің КҚБЖ (SIEM) орталықтандырылған жиналуын қамтамасыз ету бойынша консультациялық қолдау көрсетеді.

Кезеңділігі: қажеттілігіне қарай.

Аяқталу түрі: орындалуы.

21. КҚ оқиғалары көздерінің жай-күйін, олардың параметрлері мен қорғау режимдерін бақылау, оның ішінде олардың жұмыс істеуіндегі қателер мен кемшіліктерді жою.

КҚ оқиғалары көздерінің жай-күйін, олардың параметрлері мен қорғау режимдерін бақылауды, оның ішінде олардың жұмыс істеуіндегі қателер мен кемшіліктерді жоюды "ҰАТ" АҚ жүзеге асырады, бұл ретте "МТҚ" АҚ қатысады және "ҰАТ" АҚ жүгінген кезде серверлік жабдықтың, ОЖ, АҚҚ БҚ жұмысқа қабілеттілігін және QazTech платформасы мен киберқауіпсіздік оқиғалары көздері арасындағы байланыс арналарының қолжетімділігін бақылау мәселелері бойынша консультациялық қолдау көрсетеді.

Кезеңділігі: қажеттілігіне қарай.

Аяқталу түрі: орындалуы.

22. AV, EDR және Sandbox сыныптарындағы АҚҚ саясаттарын (қағидаларын) баптау.

"ҰАТ" АҚ техникалық құжаттамаға және АҚҚ өндірушінің ұсынымдарына сәйкес QazTech платформасы үшін AV, EDR және Sandbox сыныптарындағы АҚҚ конфигурация параметрлерін (саясаттарын) мерзімді түрде өзгертуді жүзеге асырады. "МТҚ" АҚ оқиғалар журналдарының негізінде АҚҚ дұрыс жұмыс істеуіне диагностика жүргізеді және қажет болған жағдайда конфигурация параметрлеріндегі (саясаттардағы) кемшіліктер туралы "ҰАТ" АҚ-ны хабардар етеді.

Конфигурация параметрлерін (саясаттарды) өзгерту, диагностика жүргізу және анықталған кемшіліктерді жою "ҰАТ" АҚ-ның өтінімдері (сұрау салуы) бойынша жүзеге асырылуы мүмкін.

Кезеңділігі: қажеттілігіне қарай.

Аяқталу түрі: өзгертілген саясаттар.

23. КҚ бөлігінде IDS/IPS/NGFW, PAM және DLP сыныптарындағы АҚҚ саясаттарын (қағидаларын) баптау.

"МТҚ" АҚ PAM жүйесінің саясаттарын, рөлдерін және қол жеткізу құқықтарын баптауға қойылатын талаптарды айқындайды.

"ҰАТ" АҚ саясаттарды баптауды және "МТҚ" АҚ талаптарының сақталуын қамтамасыз етеді.

Кезеңділігі: қажеттілігіне қарай.

Аяқталу түрі: орындалуы.

24. Өмірлік циклдің барлық кезеңдерінде QazTech платформасының интернет-трафигінің ИҚБШ арқылы өтуін қамтамасыз ету.

"ҰАТ" АҚ қамтамасыз етеді, ал "МТҚ" АҚ интернет-трафикті ИҚБШ арқылы қосуға, ҚРҮҚ БТ сәйкес қол жеткізу саясаттарын баптауға қатысады, сонымен қатар аномалиялар мен зиянды БҚ болуына мониторинг пен трафикті талдауды жүргізеді.

"ҰАТ" АҚ байланыс арнасын қамтамасыз етеді және QazTech платформасын ИҚБШ -ға қосады.

Кезеңділігі: қажеттілігіне қарай.

Аяқталу түрі: орындалуы.

25. КҚБЖ келіп түсетін деректерді КҚ қатерлері мен оқыс-оқиғаларын анықтау қағидалары мен алгоритмдерін әзірлеу мақсатында талдау.

Жұмыстардың негізгі орындаушысы "МТҚ" АҚ болып табылады. КҚ қатерлері мен оқыс-оқиғаларды анықтау қағидалары мен алгоритмдерін әзірлеу кезінде "ҰАТ" АҚ оның жұмыскерлеріне КҚБЖ артықшылықты құқықтармен (root құқықтары бар есептік жазба) қашықтан желілік қол жеткізуді қамтамасыз етеді.

QazTech платформасында AV, EDR және Sandbox сыныптарындағы АҚҚ арқылы нысаналы кибершабуылдар анықталған жағдайда "МТҚ" АҚ тиісті корреляция қағидаларын әзірлейді, оларда өзекті тактикалар, техникалар мен рәсімдер, соңғы нүктелердің артефактілері, желілік артефактілер және ымыралану индикаторлары ескеріледі.

Кезеңділігі: күн сайын.

Аяқталу түрі: КҚБЖ-дағы қағидалар.

26. КҚБЖ және ақпаратты қорғау құралдарында бұзушының іздерінің болуына оқиғалар мониторингін жүргізу (1-деңгей).

Жұмыстардың негізгі орындаушысы "ҰАТ" АҚ болып табылады.

"ҰАТ" АҚ КҚ оқыс-оқиғаларын анықтау мақсатында QazTech платформасының КҚБЖ мен АҚҚ арқылы тәулік бойы мониторингті және КҚ оқыс-оқиғаларына бастапқы ден қоюды жүзеге асырады.

Кезеңділігі: тәулік бойы.

Аяқталу түрі: тәулік бойғы мониторинг, орындалуы.

27. ИҚБШ-де желілік трафикті сүзгілеу (WAF, Anti-DDoS, IPS).

"МТҚ" АҚ қамтамасыз етеді, бұл ретте "ҰАТ" АҚ (қажет болған жағдайда) қол жеткізу саясаттарын, сигнатураларды және ИҚБШ жабдығындағы қажетті АҚҚ баптауға қатысады.

Кезеңділігі: қажеттілігіне қарай.

Аяқталу түрі: орындалуы.

28. "Қолмен" режимде енуге тестілеу (Pentest/Red Team) жүргізу.

Жұмыстардың негізгі орындаушысы "МТҚ" АҚ болып табылады, бұл ретте "ҰАТ" АҚ оның жұмыскерлеріне серверлер мен желілік құрылғыларға шектеулі құқықтармен ("user" түріндегі) қашықтан желілік қол жеткізуді қамтамасыз етеді.

"МТҚ" АҚ QazTech платформасында осалдықтардың болуына "қолмен" тестілеу режимінде Pentest жүргізеді.

Кезеңділігі: жарты жылда 1 рет.

Аяқталу түрі: Pentest жүргізу нәтижелері бойынша қорытынды.

29. Осалдықтарды анықтау мақсатында QazTech платформасына аспаптық сканерлеу жүргізу.

Осалдықтарды анықтау мақсатында аспаптық сканерлеу жүргізіледі. Жаңартулардың болуына сканерлеуге және конфигурацияларды талдауға, БҚ жалпы осалдықтар мен тәуекелдер дерекқоры бойынша белгілі осалдықтарының болуына, сонымен қатар Қазақстан Республикасының КҚ қамтамасыз ету саласындағы заңнамасы мен стандарттарының талаптарына сәйкестігіне QazTech платформасының виртуалды серверлер, желілік жабдығы және ВО жатады.

Жұмыстардың негізгі орындаушысы "МТҚ" АҚ болып табылады, бұл ретте "ҰАТ" АҚ оның жұмыскерлеріне серверлер мен желілік құрылғыларға артықшылықты құқықтармен (root құқықтары бар есептік жазба) қашықтан желілік қол жеткізуді қамтамасыз етеді.

Кезеңділігі: жарты жылда 1 рет.

Аяқталу түрі: сканерлеу туралы есеп.

30. КҚ мониторингі және КҚ оқыс-оқиғаларына бастапқы ден қою (1-деңгей).

Жұмыстардың негізгі орындаушысы "ҰАТ" АҚ болып табылады.

"ҰАТ" АҚ КҚ оқыс-оқиғаларын анықтау мақсатында QazTech платформасының КҚБЖ арқылы тәулік бойы мониторингті және КҚ оқыс-оқиғаларына бастапқы ден қоюды жүзеге асырады.

Кезеңділігі: тәулік бойы.

Аяқталу түрі: тәулік бойғы мониторинг, орындалуы.

31. КҚ оқыс-оқиғаларына ден қою (2-деңгей).

Екінші деңгейдегі ден қою шеңберінде "МТҚ" АҚ өтініш берушілерге КҚ оқыс-оқиғаларын тергеп-тексеруге, артефактілерді талдауға, қосымша ақпарат жинауға және КҚ қатерлерін/оқыс-оқиғаларын жою жөніндегі ұсынымдарды дайындауға жәрдем көрсетеді. Қажет болған жағдайда КҚ оқыс-оқиғаларына ден қоюдың үшінші/төртінші деңгейіне эскалацияланады.

Кезеңділігі: қажеттілігіне қарай (КҚ оқыс-оқиғаларын пысықтауға жәрдем көрсетуді "МТҚ" АҚ "ҰАТ" АҚ-мен бірлесіп жұмыс күні ішінде, не демалыс және мереке күндері аса маңызды КҚ оқыс-оқиғалары кезінде екінші деңгейдің пассивті кезекшілік кестесіне сәйкес жүзеге асырады).

Аяқталу түрі: "ҰАТ" АҚ-ға есепті/ұсынымдарды ұсыну немесе ден қоюдың үшінші/төртінші деңгейіне эскалациялау.

32. КҚ оқыс-оқиғаларына ден қою (3-деңгей).

"МТҚ" АҚ ден қоюдың үшінші деңгейінде қолдау көрсетеді, оған тергеп-тексеруге техникалық және сараптамалық қолдау көрсету, атап айтқанда КҚ оқыс-оқиғаларының туындау себептерін талдау, форензикалық зерттеу жүргізу, артефактілерді зерттеу, КҚ оқыс-оқиғасының қайталануын болдырмау жөніндегі шараларды әзірлеу және талдау нәтижелері бойынша есепті "ҰАТ" АҚ-ға ұсыну кіреді.

Кезеңділігі: екінші деңгейдегі ден қоюдан КҚ оқыс-оқиғаларының келіп түсуіне қарай (жұмыс күні ішінде не демалыс және мереке күндері аса маңызды КҚ оқыс-оқиғалары кезінде үшінші деңгейдің пассивті кезекшілік кестесіне сәйкес).

Аяқталу түрі: орындалуы, есеп дайындау немесе ден қоюдың төртінші деңгейіне беру.

33. КҚ оқыс-оқиғаларына ден қою (4-деңгей).

"МТҚ" АҚ нысаналы кибершабуылдарға ден қою мақсатында қажет болған жағдайда мынадай іс-шараларды жүзеге асырады:

негізгі статикалық және динамикалық талдау арқылы құралдар мен утилиталарды бастапқы зерттеу;

жедел жад дамптарын зерттеу, күмәнді процестер мен артефактілерді анықтау және бөліп алу;

серверлердің қатқыл дискілері дамптарын зерттеу.

"ҰАТ" АҚ зерттеу объектілерінің ұсынылуын қамтамасыз етеді. Жүргізілген зерттеу нәтижелері бойынша "МТҚ" АҚ-ның ішкі актілерінде айқындалған нысан бойынша есеп жасалады.

Аяқталу түрі: зерттеу нәтижелері бойынша есеп.

34. КҚ оқыс-оқиғаларына ден қою нәтижелері бойынша анықталған осалдықтар мен кемшіліктерді жою.

"ҰАТ" АҚ КҚ оқыс-оқиғаларына ден қою нәтижелері бойынша анықталған осалдықтар мен кемшіліктерді жою жөнінде тиісті шаралар қабылдайды, бұл ретте "МТҚ" АҚ жүргізілген жұмыстарға бақылауды жүзеге асырады.

"ҰАТ" АҚ осалдықтар мен кемшіліктерді жою шеңберінде бұрын тәжірибеде кездеспеген жаңа осалдықты жою жөніндегі іс-қимылдардың реттілігі бойынша ұсынымдары бар егжей-тегжейлі ақпаратты "МТҚ" АҚ-дан сұратуы мүмкін.

Кезеңділігі: осалдық анықталған сайын.

Аяқталу түрі: орындалуы.

35. Реактивті сервис шеңберінде (КҚ оқыс-оқиғаларына ден қою) анықталған КҚ оқыс-оқиғалары туралы ЦО меншік иелерін хабардар ету.

Жұмыстардың негізгі орындаушысы "ҰАТ" АҚ болып табылады. "ҰАТ" АҚ ЦО меншік иесімен бірлесіп тиісті шараларды қабылдайды.

Кезеңділігі: тұрақты негізде, КҚ оқыс-оқиғалары анықталған сайын.

Аяқталу түрі: хабарлама.

5-тарау. ЦО КҚ қамтамасыз ету жөніндегі іс-шаралар

(әзірлеу)

36. Қауіпсіз әзірлеу әдіснамасына сәйкес ЦО әзірлеу.

ЦО меншік иелері осы әдістемелік ұсынымдардың талаптарын сақтайды. Бұл ретте "ҰАТ" АҚ ЦО меншік иелеріне барлық қажетті есептеу ресурстары мен құралдарын ұсынады.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: орындалуы.

37. ЦО үшін КҚ қатерлерінің моделін әзірлеу.

Жұмыстардың негізгі орындаушысы ЦО меншік иесі болып табылады, ол КҚ қатерлерінің моделін бекітеді, ал "МТҚ" АҚ көрсетілген құжатты келіседі.

Кезеңділігі: қажеттілігіне қарай.

Аяқталу түрі: құжат.

38. ЦО арналған ТТ келісу.

Осы жұмыстың негізгі орындаушысы Заңның 7-1-бабының 23) тармақшасына сәйкес уәкілетті орган болып табылады. Бұл ретте "МТҚ" АҚ Заңның 14-бабы 1-тармағының 3) тармақшасына сәйкес "цифрлық үкіметтің" ЦО құруға немесе дамытуға арналған ТТ киберқауіпсіздік талаптарына сәйкестігі тұрғысынан сараптама жүргізеді.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: уәкілетті органмен келісілген техникалық тапсырма.

39. ЦО меншік иелеріне QazTech порталындағы БКТ құралдарына қол жеткізуді ұйымдастыру.

Жұмыстардың негізгі орындаушысы "ҰАТ" АҚ болып табылады, бұл ретте "МТҚ" АҚ көрсетілген қол жеткізу құқықтарын келісуді жүзеге асырады.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: орындалуы.

40. Unit-тестілеуді (функционалдылықты тексеруді) жүргізу және код сапасын тексеру.

Unit-тестілеуді (функционалдылықты тексеруді) жүргізуді және код сапасын тексеруді ЦО меншік иелері цифрлық объектіні ТТ қатаң сәйкестікте әзірлеу мақсатында жүзеге асырады.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: орындалуы.

41. Әзірлеу ортасында БКТ (SAST, DAST, MAST, SCA, Container Security, IaC Security) жүргізу.

Әзірлеу ортасында БКТ-ы ЦО меншік иелері QazTech платформасында іске асырылған құралдарды (талдағыштарды) пайдалана отырып жүзеге асырады.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: орындалуы.

42. Бастапқы кодты талдау (SAST, DAST, MAST, SCA, Container Security, IaC Security, Unit-тест).

ЦО меншік иелеріне ЦО пайдалану ортасына орналастырғанға дейін тестілеу кезеңінде бастапқы кодты талдау рәсімдерін өз бетінше жүргізу мүмкіндігі беріледі.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: бастапқы кодты талдау.

43. PROD ортасына орналастыруға өтінім беру (келісілген ТТ болған кезде).

ЦО меншік иелері ЦО-ы PROD ортасына (пайдалану ортасы) орналастырғанға дейін "ҰАТ" АҚ-ға тиісті өтінім береді. Бұл ретте "ҰАТ" АҚ өтінімді жұмысқа қабылдайды, ал "МТҚ" АҚ өтінімді келіседі не оны қабылдамау туралы шешім қабылдайды.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: орналастыру немесе цифрлық объектіні PROD ортасына орналастырудан дәлелді бас тарту.

44. Осалдықтарды анықтау үшін аспаптық сканерлеу жүргізу.

Осалдықтарды анықтау мақсатында PROD ортасында аспаптық сканерлеу жүргізіледі. Жаңартулардың болуына сканерлеу, конфигурацияларды талдау, БҚ жалпы осалдықтар мен тәуекелдер дерекқоры бойынша белгілі осалдықтарының болуын тексеру, сонымен қатар КҚ қамтамасыз ету саласындағы стандарттарға сәйкестігін бағалау жүзеге асырылады. Виртуалды серверлер сканерлеуге жатады.

Жұмыстардың негізгі орындаушысы "МТҚ" АҚ болып табылады, бұл ретте ЦО меншік иелері және (немесе) "ҰАТ" АҚ оның жұмыскерлеріне серверлер мен желілік құрылғыларға артықшылықты құқықтармен (root құқықтары бар есептік жазба) қашықтан желілік қол жеткізуді қамтамасыз етеді.

Кезеңділігі: жылына 1 рет.

Аяқталу түрі: сканерлеу туралы есеп.

45. ЦО Қазақстан Республикасы заңнамасының және КҚ қамтамасыз ету саласындағы стандарттардың талаптарына сәйкестігін тексеру.

Жұмыстардың негізгі орындаушысы "МТҚ" АҚ болып табылады, бұл ретте ЦО меншік иелері көрсетілген жұмыстарды орындау үшін тиісті қол жеткізу құқықтарын қамтамасыз етеді.

Кезеңділігі: әрбір өзгеріс енгізілген кезде.

Аяқталу түрі: тексеру туралы есеп.

46. ЦО бойынша КҚ саясаты және КҚ ТҚ.

ЦО меншік иелері "ҰАТ" АҚ-ның қатысуымен пайдаланушылар басшылыққа алатын құжатталған қағидалардың, рәсімдердің, практикалық тәсілдердің немесе басшылыққа алушы қағидаттардың төрт деңгейлі жүйесі түріндегі КҚ ТҚ әзірлейді. "МТҚ" АҚ құжаттаманы әзірлеу кезінде бақылауды қамтамасыз етеді.

Кезеңділігі: ЦО енгізу кезінде және кейіннен ҚРҮҚ БТ сәйкес қайта қарау арқылы.

Аяқталу түрі: цифрлық объектінің меншік иесі бекіткен КҚ ТҚ.

47. QazTech платформасында ЦО әзірлеу және орналастыру бөлігінде Pipeline CI/CD үшін конфигурацияны әзірлеу.

ЦО меншік иесі әзірленіп жатқан ЦО шеңберінде әдістемелік ұсынымдарға сәйкес Pipeline CI/CD конфигурациясын әзірлейді.

"МТҚ" АҚ ЦО меншік иесінің Pipeline CI/CD мазмұны мен конфигурациясын зерделейді, оның құжаттамаға сәйкестігіне талдау жүргізеді, содан кейін QazTech платформасындағы жобада одан әрі пайдалану үшін Pipeline CI/CD-ны келіседі. Өнімді ортада кодты өрістету үшін пайдаланылатын Pipeline CI/CD-ға енгізілетін өзгерістер "МТҚ" АҚ-мен келісу рәсімінен өтеді.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: QazTech платформасында ЦО әзірлеу және орналастыру бөлігіндегі Pipeline CI/CD конфигурациясы.

48. КҚ қамтамасыз ету бөлігінде Pipeline CI/CD үшін конфигурацияны әзірлеу.

ЦО меншік иесі қауіпсіз әзірлеу әдістемесіне сәйкес КҚ қамтамасыз ету бөлігінде Pipeline CI/CD конфигурациясын әзірлейді.

"МТҚ" АҚ ЦО меншік иесінің Pipeline CI/CD жүйесіне талдау жүргізеді және оны QazTech платформасындағы жобада одан әрі пайдалану үшін Pipeline CI/CD форматы мен мазмұнын келіседі.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: КҚ қамтамасыз ету бөлігіндегі Pipeline CI/CD конфигурациясы.

49. Цифрлық платформаның басқа ЦО интеграциялауды келісу.

ЦО басқа ЦП ЦО-мен өзара іс-қимылын қамтамасыз ету қажет болған жағдайда ЦО меншік иелері интеграциялауға өтінім жібереді, ал "ҰАТ" АҚ "МТС" АҚ-мен келісу бойынша интеграциялауды қамтамасыз етеді.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: келісу немесе дәлелді бас тарту.

50. ЦО КҚ ТҚ талаптарының сақталуына ішкі бақылау.

"ҰАТ" АҚ ЦО-дағы КҚ ТҚ талаптарының сақталуына ішкі бақылауды қамтамасыз етеді, бұл ретте ЦО меншік иесі бақылау жөніндегі жұмыстарды орындау кезінде өзінің жауапты тұлғасының қатысуын қамтамасыз етеді.

Кезеңділігі: жылына 1 рет.

Аяқталу түрі: есеп.

51. ЦО КҚ ТҚ талаптарының сақталуына сыртқы бақылау.

"МТҚ" АҚ ЦО-дағы КҚ ТҚ талаптарының сақталуына сыртқы бақылауды қамтамасыз етеді, бұл ретте "ҰАТ" АҚ және ЦО меншік иелері жұмыстарды орындау кезінде өздерінің жауапты тұлғаларының қатысуын қамтамасыз етеді.

Кезеңділігі: жылына 1 рет.

Аяқталу түрі: есеп.

52. ОЖ, ДББЖ және ҚБҚ етудің КҚ талаптарына сәйкестігін (әзірлеу, тестілеу және өнеркәсіптік пайдалану орталарына бөлінуін қоса алғанда) чек-парақ бойынша тексеру.

"МТҚ" АҚ ОЖ, ДББЖ және ҚБҚ ету деңгейінде КҚ талаптарына сәйкестігін тексеруді жүзеге асырады, бұл ретте "ҰАТ" АҚ және ЦО меншік иелері жауапты тұлғалардың (әкімшілердің, КҚ мамандарының) қатысуымен қауіпсіздік саясаттарын көрсетуді қамтамасыз етеді.

Кезеңділігі: жылына 1 рет.

Аяқталу түрі: есеп.

53. Қазақстан Республикасының КҚ қамтамасыз ету саласындағы заңнамасы мен стандарттарының талаптарына сәйкестігін тексеру.

Жұмыстардың негізгі орындаушысы "МТҚ" АҚ болып табылады, бұл ретте "ҰАТ" АҚ және ЦО меншік иелері көрсетілген жұмыстарды жүргізу үшін қажетті қол жеткізу құқықтарын қамтамасыз етеді.

Кезеңділігі: жылына 1 рет.

Аяқталу түрі: есеп.

54. Осалдықтарды анықтау үшін аспаптық сканерлеу жүргізу.

Жаңартулардың болуына сканерлеуге және конфигурацияларды талдауға, БҚ жалпы осалдықтар мен тәуекелдер дерекқорындағы белгілі осалдықтарының болуына, сонымен қатар КҚ қамтамасыз ету саласындағы стандарттарға сәйкестігіне ЦО шеңберіндегі виртуалды серверлер мен желілік жабдық жатады.

Жұмыстардың негізгі орындаушысы "МТҚ" АҚ болып табылады, бұл ретте "ҰАТ" АҚ және ЦО меншік иелері оның жұмыскерлеріне серверлер мен желілік құрылғыларға артықшылықты құқықтармен (root құқықтары бар есептік жазба) қашықтан желілік қол жеткізуді қамтамасыз етеді.

Кезеңділігі: жарты жылда 1 рет.

Аяқталу түрі: сканерлеу туралы есеп.

55. Жүктемелік тестілеу.

ЦО жүктемелік тестілеуі қалыпты пайдалану ортасында қолжетімділіктің, тұтастықтың және құпиялылықтың сақталуын бағалау мақсатында жүргізіледі. Жүктемелік тестілеу дербес деректер жалған деректермен алмастырылған қалыпты пайдалану ортасында автоматтандырылған сценарийлер негізінде мамандандырылған бағдарламалық құралды пайдалана отырып жүргізіледі. Жүктемелік тестілеу пайдаланушылардың қосылу нүктелерінің саны және интеграциялық өзара іс-қимылдың қосылу нүктелерінің нұсқалары бойынша жүргізіледі. Бұл ретте тестілеу сценарийі, тестілеудің уақытша және сандық сипаттамалары айқындалады, сонымен қатар тестілеуді өткізу уақыты ЦО меншік иелерімен келісіледі.

Жұмыстардың негізгі орындаушысы "МТҚ" АҚ болып табылады, бұл ретте ЦО меншік иелері оның жұмыскерлеріне жұмыстарды орындау үшін қажетті қол жеткізу құқықтарын қамтамасыз етеді.

Кезеңділігі: жарты жылда 1 рет немесе әрбір өзгеріс енгізілген кезде.

Аяқталу түрі: жүктемелік тестілеу туралы есеп.

56. "Қолмен" режимде енуге тестілеу (Pentest/Red Team) жүргізу.

Жұмыстардың негізгі орындаушысы "МТҚ" АҚ болып табылады, бұл ретте "ҰАТ" АҚ және ЦО меншік иелері оның жұмыскерлеріне серверлер мен желілік құрылғыларға шектеулі құқықтармен ("user" түріндегі) қашықтан желілік қол жеткізуді қамтамасыз етеді.

"МТҚ" АҚ Pentest-ті "қолмен" тестілеу режимінде жүргізеді.

Кезеңділігі: жарты жылда 1 рет.

Аяқталу түрі: Pentest жүргізу нәтижелері бойынша қорытынды.

57. Жүйелік және қолданбалы бағдарламалық қамтылымның конфигурациясын және Git кодын баптау.

ЦО меншік иесі "ҰАТ" АҚ-мен бірлесіп QazTech платформасының әдістемесіне және КҚ талаптарына сәйкес жүйелік және қолданбалы БҚ конфигурациясын, сондай-ақ Git-тегі кодты баптауды жүзеге асырады.

"МТҚ" АҚ әдістемеге және КҚ талаптарына сәйкестігін тексеруді жүргізеді және жүйелік әрі қолданбалы БҚ конфигурацияларын және Git-тегі кодты қолдануды келіседі. "МТҚ" АҚ ЦО өнімді серверлеріндегі жүйелік және ҚБҚ конфигурациясына бақылауды жүзеге асырады.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: орындалуы.

58. Резервтік көшірмелерді жасау және оларды қалпына келтіруді тестілеу.

"ҰАТ" АҚ және цифрлық объектілердің меншік иелері цифрлық объектінің барлық деңгейлерінде (ҚБҚ, ОЖ, деректер базалары) резервтік көшірмелерді жасауды және оларды қалпына келтіруді тестілеуді қамтамасыз етеді, ал "МТҚ" АҚ олардың орындалуына бақылауды қамтамасыз етеді.

Кезеңділігі: КҚ ТҚ сәйкес тұрақты негізде.

Аяқталу түрі: орындалуы.

59. Шифрлау кілттері мен парольдердің қауіпсіздігі (Vault).

ЦО меншік иесі өнімді ортада құпия деректерді (парольдер, токендер, шифрлау кілттері және т.б.) қауіпсіз сақтау және пайдалану мақсатында құпияларды басқару жүйесін (Vault) пайдаланады.

"ҰАТ" АҚ Vault жүйесінің журналдарын (оның ішінде кілттерді пайдалану оқиғаларын) SIEM жүйесіне жіберуді қамтамасыз етеді. "МТҚ" АҚ журналдардың жіберілуіне бақылауды және кілттерді пайдалану оқиғаларына мониторингті жүзеге асырады.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: орындалуы.

60. AV, EDR, Sandbox сыныптарындағы ақпаратты қорғау құралдарын орнату және конфигурациялау.

АҚҚ орнату және конфигурациялау процестерін "ҰАТ" АҚ жүзеге асырады, бұл ретте "МТҚ" АҚ КҚ оқиғалары көздерінің (AV, EDR, Sandbox) бағдарламалық құралдарын орнату, сонымен қатар КҚ оқиғалары көздерінің жекелеген жұмыс тетіктері мен қауіпсіздік саясаттарын баптау бойынша жүргізілген жұмыстарға бақылауды жүзеге асырады.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: орындалуы.

61. IDS/IPS/NGFW виртуалдандыру және PAM сыныптарындағы АҚҚ орнату және конфигурациялау.

"МТҚ" АҚ PAM жүйесінің саясаттарын, рөлдерін, қол жеткізу құқықтарын баптауды келіседі және олардың қолданылуына бақылауды жүзеге асырады. "ҰАТ" АҚ QazTech платформасының артықшылықты пайдаланушыларын бақылау жүйесін орнатуды және конфигурациялауды жүзеге асырады, сонымен қатар саясаттарды баптауды қамтамасыз етеді.

"ҰАТ" АҚ IDS/IPS/NGFW сыныптарындағы ақпаратты қорғау құралдарын монтаждауды және конфигурациялауды жүзеге асырады, бұл ретте "МТҚ" АҚ IDS/IPS/NGFW сыныптарындағы АҚҚ орнату мен баптауға бақылауды жүзеге асырады.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: орындалуы.

62. Оқиғалар көздерін QazTech платформасына қосу.

Оқиғалар көздерін QazTech платформасының цифрлық инфрақұрылымына қосу процестерін ЦО меншік иесі және "ҰАТ" АҚ жүзеге асырады, бұл ретте "МТҚ" АҚ КҚБЖ (SIEM) жекелеген жұмыс тетіктері мен қауіпсіздік саясаттарын баптау, жұмыстың дұрыстығын тексеру, сонымен қатар КҚБЖ (SIEM) оқиғаларды тіркеу журналдарынан мәліметтерді орталықтандырылған жинауды қамтамасыз ету бойынша жүргізілген жұмыстарды келісуді және бақылауды жүзеге асырады.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: орындалуы.

63. КҚ оқиғалары көздерінің жай-күйін, олардың параметрлері мен қорғау режимдерін бақылау, оның ішінде олардың жұмысындағы қателер мен кемшіліктерді жою.

КҚ оқиғалары көздерінің жай-күйін, олардың параметрлері мен қорғау режимдерін бақылауды, сонымен қатар олардың жұмысындағы қателер мен кемшіліктерді жоюды ЦО меншік иесі және "ҰАТ" АҚ жүзеге асырады, бұл ретте "МТҚ" АҚ серверлік жабдықтың, операциялық жүйелердің, АҚҚ БҚ жұмысқа қабілеттілігі және QazTech платформасы мен КҚ оқиғалары көздері арасындағы байланыс арналарының қолжетімділігі бөлігінде жүргізілген жұмыстарға бақылауды жүзеге асырады.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: орындалуы.

64. AV, EDR, Sandbox сыныптарындағы АҚҚ саясаттарын баптау.

"ҰАТ" АҚ техникалық құжаттамаға және ақпаратты қорғау құралдарын өндірушінің ұсынымдарына сәйкес цифрлық объект үшін AV, EDR және Sandbox сыныптарындағы ақпаратты қорғау құралдарының конфигурация параметрлерін (саясаттарын) мерзімді түрде өзгертуді жүзеге асырады. "МТҚ" АҚ оқиғалар журналдарының негізінде ақпаратты қорғау құралдарының дұрыс жұмыс істеуіне диагностика жүргізеді және қажет болған жағдайда конфигурация параметрлеріндегі (саясаттардағы) кемшіліктер туралы "ҰАТ" АҚ-ны хабардар етеді.

Конфигурация параметрлерін (саясаттарды) өзгерту, диагностикалау және олардағы кемшіліктерді жою ЦО меншік иелерінің өтінімдері (сұрау салуы) бойынша жүзеге асырылуы мүмкін.

Кезеңділігі: қажеттілігіне қарай.

Аяқталу түрі: өзгертілген саясаттар.

65. IDS/IPS/NGFW, PAM және DLP сыныптарындағы АҚҚ саясаттарын баптау.

"ҰАТ" АҚ QazTech платформасының артықшылықты пайдаланушыларын бақылау жүйесін орнатуды және конфигурациялауды жүзеге асырады. "МТҚ" АҚ PAM жүйесінің саясаттарын қолдануды келісуді және бақылауды жүзеге асырады. "ҰАТ" АҚ IDS/IPS/NGFW сыныптарындағы АҚҚ саясаттарын баптауды жүзеге асырады, ал "МТҚ" АҚ IDS/IPS/NGFW сыныптарындағы АҚҚ саясаттарының қолданылуына бақылауды қамтамасыз етеді.

Кезеңділігі: тұрақты негізде.

Аяқталу түрі: орындалуы.

66. Қауіптер мен КҚ оқыс-оқиғаларын анықтау алгоритмдері мен корреляция қағидаларын әзірлеу мақсатында КҚБЖ келіп түсетін деректерді талдау.

Жұмыстардың негізгі орындаушысы "ҰАТ" АҚ болып табылады. Қауіптер мен КҚ оқыс-оқиғаларын анықтау алгоритмдері мен корреляция қағидаларын әзірлеу кезінде "ҰАТ" АҚ "МТҚ" АҚ жұмыскерлеріне КҚБЖ артықшылықты құқықтармен ("root" құқықтары бар есептік жазбалар) қашықтан желілік қол жеткізуді қамтамасыз етеді.

ЦО-да AV, EDR және Sandbox сыныптарындағы АҚҚ арқылы нысаналы кибершабуылдар анықталған жағдайда, "МТҚ" АҚ тиісті тактикаларды, техникаларды және рәсімдерді, соңғы нүктелердің артефактілерін, желілік артефактілерді және ымыраға келу индикаторларын ескеретін тиісті корреляция қағидаларын әзірлейді.

Кезеңділігі: күн сайын.

Аяқталу түрі: КҚБЖ корреляция қағидалары.

67. QazTech платформасының КҚБЖ арқылы киберқауіпсіздік мониторингі және КҚ оқыс-оқиғаларына бастапқы ден қою (1-деңгей).

Жұмыстардың негізгі орындаушысы "ҰАТ" АҚ болып табылады.

Кезеңділігі: тәулік бойы.

Аяқталу түрі: тәулік бойғы мониторинг, орындалуы.

68. КҚ оқыс-оқиғаларына ден қою (2-деңгей).

Екінші деңгейдегі ден қою шеңберінде "МТҚ" АҚ өтініш берушілерге КҚ оқыс-оқиғаларын тергеп-тексеруге, артефактілерді талдауға, қосымша ақпарат жинауға және КҚ қатерлерін/оқыс-оқиғаларын жою жөніндегі ұсынымдарды дайындауға жәрдем көрсетеді. Қажет болған жағдайда киберқауіпсіздік оқыс-оқиғаларына ден қоюдың үшінші/төртінші деңгейіне эскалацияланады.

Кезеңділігі: қажеттілігіне қарай ("МТҚ" АҚ КҚ оқыс-оқиғаларын пысықтау кезінде "ҰАТ" АҚ-мен бірлесіп жұмыс күні ішінде немесе демалыс және мереке күндері аса маңызды КҚ оқыс-оқиғалары кезінде екінші деңгейдің пассивті кезекшілік кестесіне сәйкес жәрдем көрсетеді).

Аяқталу түрі: "ҰАТ" АҚ-ға есепті/ұсынымдарды ұсыну немесе ден қоюдың үшінші/төртінші деңгейіне эскалациялау.

69. КҚ оқыс-оқиғаларына ден қою (3-деңгей).

Кезеңділігі: екінші деңгейдегі ден қоюдан КҚ оқыс-оқиғаларының келіп түсуіне қарай (жұмыс күні ішінде немесе демалыс және мереке күндері аса маңызды КҚ оқыс-оқиғалары кезінде үшінші деңгейдің пассивті кезекшілік кестесіне сәйкес).

Аяқталу түрі: орындалуы, есеп дайындау немесе ден қоюдың төртінші деңгейіне беру.

70. КҚ оқыс-оқиғаларына ден қоюды қолдау (4-деңгей).

негізгі статикалық және динамикалық талдау арқылы құралдар мен утилиталарды бастапқы зерттеу;

жедел жад дамптарын зерттеу, күмәнді процестер мен артефактілерді анықтау және бөліп алу;

серверлердің қатқыл дискілері дамптарын зерттеу.

"ҰАТ" АҚ және ЦО меншік иесі көрсетілген зерттеу объектілерінің ұсынылуын қамтамасыз етеді.

Аяқталу түрі: жүргізілген зерттеу нәтижелері бойынша "МТҚ" АҚ-ның ішкі актілерінде айқындалған нысан бойынша есеп жасалады.

71. КҚ оқыс-оқиғаларына ден қою нәтижесінде анықталған осалдықтар мен кемшіліктерді жою.

ЦО меншік иесі КҚ оқыс-оқиғаларына ден қою нәтижесінде анықталған осалдықтар мен кемшіліктерді жою жөнінде тиісті шаралар қабылдайды, бұл ретте "МТҚ" АҚ жүргізілген жұмыстарға бақылауды жүзеге асырады.

Кезеңділігі: осалдық анықталған сайын.

Аяқталу түрі: орындалуы.

72. ЦП ЦО меншік иелерін, иеленушілерін және пайдаланушыларын өздеріне қатысты бөлігінде КҚ оқыс-оқиғалары туралы хабардар ету.

ЦО меншік иесі тапсырыс берушіні/клиенттерді өздеріне қатысты бөлігінде анықталған КҚ оқыс-оқиғалары туралы хабардар етеді, бұл ретте "МТҚ" АҚ жүргізілген жұмыстарға бақылауды жүзеге асырады.

Кезеңділігі: КҚ оқыс-оқиғасы анықталған сайын.

Аяқталу түрі: хабарлама.

В соответствии с подпунктом 6) пункта 1 статьи 7-4 Закона Республики Казахстан "О кибербезопасности" ПРИКАЗЫВАЮ:

1. Утвердить прилагаемый Регламент обеспечения кибербезопасности платформы "цифрового правительства".

2. Комитету по информационной безопасности Министерства искусственного интеллекта и цифрового развития Республики Казахстан в установленном законодательством Республики Казахстан порядке обеспечить:

1) размещение настоящего приказа на интернет-ресурсе Министерства искусственного интеллекта и цифрового развития Республики Казахстан после его официального опубликования;

2) направление копии настоящего приказа в Республиканское государственное предприятие на праве хозяйственного ведения "Институт законодательства и правовой информации Республики Казахстан" Министерства юстиции Республики Казахстан в течении пяти календарных дней со дня подписания приказа для включения в эталонный контрольный банк нормативных правовых актов Республики Казахстан.

3. Контроль за исполнением настоящего приказа возложить на курирующего вице-министра искусственного интеллекта и цифрового развития Республики Казахстан.

4. Настоящий приказ вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования.

Заместитель Премьер - Министра –
Министр искусственного интеллекта и цифрового развития
Республики Казахстан

Ж. Мадиев

"СОГЛАСОВАНО"
Комитет национальной безопасности
Республики Казахстан

Утверждены приказом
Заместителя – Премьер -
Министра – Министр
искусственного интеллекта
и цифрового развития
Республики Казахстан
от 7 августа 2026 года № 462/НҚ

Регламент обеспечения кибербезопасности платформы "цифрового правительства"

Глава 1. Общие положения

1. Настоящий Регламент обеспечения кибербезопасности платформы "цифрового правительства" (далее – Регламент) разработан в соответствии с подпунктом 6) пункта 1 статьи 7-4 Закона Республики Казахстан "О кибербезопасности" и определяет последовательность, сроки выполнения работ, порядок оформления результатов работы при осуществлении акционерным обществом "Государственная техническая служба" (далее – АО "ГТС") совместно с акционерным обществом "Национальные информационные технологии" (далее – АО "НИТ") мероприятий по обеспечению кибербезопасности платформы "цифрового правительства" и цифровых объектов размещенных на ней, а также минимальные квалификационные требования к сотрудникам, участвующим в обеспечении кибербезопасности, и описывает процедуры их обучения и повышения квалификации.

2. В настоящем Регламенте используются следующие термины, определения и сокращения:

1) СКЗИ – средство криптографической защиты информации;

2) СУКБ – система управления кибербезопасности (SIEM);

3) СЗИ – средство защиты информации;

4) АИК – анализ исходных кодов;

5) ПО – программное обеспечение;

6) БРПО – безопасная разработка ПО;

7) СВ – среда виртуализации;

8) СУБД – система управления базами данных;

9) Недекларированные возможности (далее – НДВ) – функциональные возможности ПО, не отраженные или не соответствующие описанным в технической документации;

10) ЕШДИ – единый шлюз доступа к Интернету;

11) КБ – кибербезопасность;

12) ТД КБ – техническая документация по кибербезопасности;

13) ППО – прикладное программное обеспечение;

14) ППРК ЕТ – Единые требования в сферах цифровизации и обеспечения кибербезопасности, утверждаемые Правительством Республики Казахстан в соответствии с Законом Республики Казахстан "О кибербезопасности";

15) НПА – нормативные правовые акты Республики Казахстан;

16) ОС – операционная система;

17) ТЗ – техническое задание;

18) уполномоченный орган – центральный исполнительный орган, осуществляющий руководство и межотраслевую координацию в сфере обеспечения кибербезопасности;

19) фреймворки – совокупность программных библиотек и инфраструктурных компонентов, задающих структуру ПО и обеспечивающих типовые механизмы разработки (маршрутизацию, обработку запросов, доступ к данным);

20) ЦО – цифровой объект;

21) собственник ЦО – субъект, обладающий правом по своему усмотрению владеть, пользоваться и распоряжаться принадлежащим ему ЦО;

22) ЦО ЦП – цифровые объекты "цифрового правительства";

23) платформа "цифрового правительства" (далее – Платформа QazTech) – цифровая платформа оператора "цифрового правительства", предназначенная для разработки, развития, размещения, интеграции цифровых объектов;

24) СЭД – система электронного документооборота;

25) Anti-DDoS – защита цифрового объекта от действий злоумышленников, направленных на нарушение его работоспособности;

26) AV – система обнаружения и предотвращения вредоносных программ;

27) Container security – анализ безопасности собранных Docker-образов;

28) DAST – динамический анализ безопасности приложений (Dynamic Application Security Testing);

29) DLP – СЗИ, предназначенное для предотвращения утечек цифровых ресурсов ограниченного доступа;

30) EDR – система обнаружения и реагирования на сложные угрозы на конечных точках (Endpoint Detection and Response);

31) Gitlab – система хранения и управления репозиториями исходного кода;

32) IaC security – анализ безопасности файлов инфраструктуры (Kubernetes, Terraform);

33) IPS/IDS – система обнаружения и предотвращения вторжений;

34) MAST – тестирование безопасности мобильных приложений (Mobile Application Security Testing);

35) NGFW – межсетевой экран нового поколения (Next-Generation Firewall);

36) PAM – система управления доступом пользователей с привилегированными правами (Privileged Access Management);

37) Pentest – метод оценки безопасности цифровых объектов, с использованием техник и инструментов, имитирующих действия злоумышленника, с целью выявления уязвимостей и возможных сценариев атак и предоставление рекомендаций по их устранению и предотвращению;

38) Pipeline CI/CD – конвейер непрерывной интеграции и непрерывного развертывания ПО;

39) Sandbox – изолированная виртуальная среда для анализа поведения подозрительных файлов;

40) SAST – статический анализ безопасности приложений (Static Application Security Testing);

41) SCA – анализ состава программного обеспечения (Software Composition Analysis);

42) SIEM – система мониторинга и управления инцидентами КБ и событиями КБ;

43) Unit-тест – проверка отдельных функций и компонентов системы на корректность работы;

44) WAF – межсетевой экран для защиты веб-приложений (web-application firewall).

Глава 2. Тестирование и анализ качества исходного кода

Процедуры тестирования и анализа качества исходного кода выполняются в конвейере GitLab CI/CD и включают автоматическое модульное тестирование, проверку качества исходного кода и ручное функциональное тестирование.

Автоматическое модульное тестирование (Unit Testing) — проверка отдельных функций и компонентов системы на корректность работы.

Проверка качества исходного кода (Code Quality check) направлена на выявление нарушений стандартов кодирования, потенциальных ошибок и проблем поддержки кода.

Функциональное тестирование является этапом проверки ПО, направленным на подтверждение реализованного функционала соответствию заявленным требованиям и спецификациям.

Основные задачи:

проверка корректности работы реализованных функций и бизнес-логики;

подтверждение соответствия реализованных функций требованиям ТЗ;

проверка качества и читаемости исходного кода;

контроль соблюдения принятых стандартов кодирования и стиля;

выявление ошибок на ранних этапах (через unit-тесты);

управление найденными уязвимостями, включая их классификацию и устранение;

снижение количества ошибок на этапе интеграционного и приемочного тестирования;

повышение стабильности и сопровождаемости ПО.

Автоматическое модульное тестирование (Unit Tests) выполняются на этапе сборки в GitLab CI/CD и служат основой для обеспечения качества кода.

Проверка качества кода проводится автоматически на этапе сборки в Gitlab CI/CD, для этого применяются автоматизированный инструмент.

Функциональные тесты выполняются автоматически после успешного прохождения unit-тестов и проверки качества кода. С обеспечением комплексной проверки поведения системы на уровне пользовательских сценариев.

Тестирование и оценка качества считаются завершенными при успешном прохождении всех проверок, достижении установленных показателей качества, устранении критичных ошибок и согласовании изменений ответственными участниками.

По результатам владельцем объекта формируется отчет, включающий ключевые метрики, выявленные замечания, их статусы и оценку готовности к релизу с рекомендациями по улучшению. Порядок и сроки оформления отчета определяются владельцем объекта.

Работы выполняются АО "НИТ" в части платформы QazTech и владельцами ЦО — в части компонентов.

Глава 3. Процессы безопасной разработки программного обеспечения

Анализ исходных кодов выполняются с помощью встроенных и (или) интегрированных инструментов DevSecOps, которые анализируют исходный код, зависимости, контейнерные образы, инфраструктурные шаблоны и процессы выполнения ПО во время его функционирования.

Выявление уязвимостей в ПО осуществляется в следующем порядке:

1) при запуске pipeline Gitlab автоматически инициирует этапы проверки безопасности;

2) каждый тип анализа выполняется сканером SAST, SCA, DAST, MAST, Container security, IaC security;

3) при обнаружении уязвимостей высокой и средней степени риска выполнение pipeline приостанавливается;

4) исполнитель АО "ГТС" получает отчет для анализа;

5) проводится анализ программных отчетов на наличие ложных срабатываний (ошибочных результатов автоматического анализа, не подтверждающих фактическое наличие уязвимостей);

6) формируется отчет, включающий в себя перечень выявленных уязвимостей ПО с указанием их описания, маршрута (пути к файлу) и степени риска (высокая, средняя, низкая).

7) разработка и реализация плана по устранению выявленных уязвимостей, включая приоритизацию и сроки выполнения.

Выявление НДВ осуществляется в следующем порядке:

1) запуск pipeline Gitlab с автоматическими этапами проверки безопасности;

2) анализ технической документации Платформы QazTech и ЦО, в том числе ТЗ на создание (развитие) цифрового объекта, в части сведений о его назначении, области применения, применяемых методах, классе решаемых задач, ограничениях при применении, минимальной конфигурации технических средств, среде функционирования и порядке работы;

3) проведение анализа исходного кода Платформы QazTech и ЦО ручным методом:

изучение модульной и логической структуры ПО, а также функциональных модулей и сравнения структур с приведенными в технической документации;

изучение маршрута выполнения функциональных объектов и проверка обрабатывающих данных;

фиксирование НДВ для последующего предоставления в отчете результатов выявления НДВ;

4) В случае выявления недекларированных возможностей специалистами АИК в системе управления проектом создается Issue, в котором фиксируются результаты проведенного анализа, описание выявленной НДВ, а также отчет по результатам анализа и рекомендации по ее устранению.

При отсутствии уязвимостей и НДВ исполнитель выполняет процедуру утверждения в GitLab для дальнейшего продвижения изменений в ветке репозитория.

Настройка инструментов анализа безопасности (SAST, SCA, DAST, MAST, Container security, IaC security), применяемых в процессе безопасной разработки, осуществляется в используемых средствах анализа. Выполняется интеграция средств анализа с системой управления исходным кодом, настройка профилей анализа, уровней критичности, правил обработки результатов, а также настройка прав доступа и журналирования действий пользователей.

Инструменты анализа адаптируются под используемые языки программирования, фреймворки и типы проектов, настраиваются области анализа, исключаются нерелевантные файлы и оптимизируется время выполнения проверок.

Проводится тестирование новых версий и инструментов анализа и подготовка предложений по совершенствованию процессов безопасной разработки ПО.

Основным исполнителем работ является АО "ГТС", при этом АО "НИТ" предоставляет исходный код Платформы QazTech, а собственник ЦО предоставляет исходный код ЦО и необходимую документацию к нему.

Глава 4. Мероприятия по обеспечению кибербезопасности Платформы QazTech

1. Разработка Политики кибербезопасности и ТД КБ в соответствии с требованиями ППРК ЕТ.

АО "НИТ" является ответственным за разработку, внесение изменений и дополнений в ТД КБ, при этом АО "ГТС" участвует в согласовании технических документов.

Периодичность: по необходимости, но не реже одного раза в два года.

Форма завершения: утвержденное ТД КБ.

2. Разработка (внесение изменений и дополнений) Методических требований по разработке, развитию, размещению, интеграции ЦО на платформе "цифрового правительства" (далее – Методика). Методика разрабатывается АО "НИТ" совместно с АО "ГТС" и утверждается уполномоченным органом для дальнейшего обязательного использования собственниками ЦО.

В Методике описываются основные подходы и требования к pipeline CI/CD с использованием инструментов по анализу исходного кода, формам отчетов, этапов согласования изменения в основных ветках кода, правам доступа в проектах и группах. Определяются методы развертывания исходного кода в продуктивную среду с соблюдением требований КБ.

Методика содержит описание бизнес-процессов по загрузке, разработке и развертыванию исходного кода, а также информацию по работе с инструментами Платформы QazTech.

Периодичность: при необходимости.

Форма завершения: Методика.

3. Проведение обследования основного и резервного серверных помещений (центры обработки данных), в которых размещены программное обеспечение и технические средства Платформы QazTech, на соответствие требованиям ППРК ЕТ осуществляется АО "ГТС", при этом АО "НИТ" обеспечивает работникам АО "ГТС", проводящих обследование, беспрепятственный доступ в серверное помещения (центры обработки данных) и к необходимой документации (журналы, договоры и т.п.).

При обследовании серверных помещений (центров обработки данных) работники АО "ГТС" требованиям, отраженных в Параграфе 8 ППРК ЕТ.

Периодичность: 1 раз в год.

Форма завершения: отчет по обследованию.

4. Осуществление обследования серверного оборудования Платформы QazTech на соответствие требованиям КБ (СВ, разделение сред для разработки, тестирования и промышленной эксплуатации, ОС, СУБД, ППО).

Основным исполнителем работ является АО "ГТС", при этом АО "НИТ" обеспечивает его работникам доступ к ОС, СУБД, ППО и СВ, а также предоставляют ответственных лиц (администраторов) для демонстрации политик безопасности.

При обследовании серверного оборудования Платформы QazTech работники АО "ГТС" руководствуются требованиям законодательства и стандартов Республики Казахстан в сфере обеспечения КБ.

Периодичность: 1 раз в год.

Форма завершения: отчет по обследованию.

5. Проведение обследования сетевого оборудования Платформы QazTech на соответствие требованиям КБ (конфигурация межсетевых экранов, маршрутизаторов и коммутаторов, разделение сетей).

Основным исполнителем работ является АО "ГТС", при этом АО "НИТ" обеспечивает беспрепятственный доступ его работникам и определяет ответственных сетевых администраторов за демонстрацию и отработку (в случае необходимости) политик безопасности на сетевом оборудовании.

При обследовании сетевого оборудования Платформы QazTech работники АО "ГТС" руководствуются требованиям законодательств и стандартов Республики Казахстан в сфере обеспечения КБ.

Периодичность: 1 раз в год.

Форма завершения: отчет по обследованию.

6. Проведение инструментального сканирования Платформы QazTech для выявления уязвимостей. Сканированию на наличие обновлений, анализ конфигураций, на наличие известных уязвимостей по базе общих уязвимостей и рисков, на соответствие законодательству и стандартам Республики Казахстан в сфере обеспечения КБ, подлежат виртуальные сервера, сетевое оборудование и СВ Платформы QazTech.

Основным исполнителем работ является АО "ГТС", при этом АО "НИТ" обеспечивает его работникам удаленный сетевой доступ к серверам и сетевым устройствам с привилегированными правами (типа "root").

Периодичность: 1 раз в полугодие.

Форма завершения: отчет по сканированию.

7. Нагрузочное тестирование Платформы QazTech проводится АО "ГТС" для оценки соблюдения доступности, целостности и конфиденциальности в среде штатной эксплуатации. Нагрузочное тестирование проводится работниками АО "ГТС" с использованием специализированного программного средства на основании автоматических сценариев, в среде штатной эксплуатации, в которой персональные данные заменены на синтетические (фиктивные). Нагрузочное тестирование проводится по количеству точек подключений пользователей и вариантов точек подключения интеграционного взаимодействия. При этом АО "ГТС" определяет сценарий тестирования, временные и количественные характеристики тестирования, согласовывает время проведения тестирования с АО "НИТ".

Основным исполнителем работ является АО "ГТС", при этом АО "НИТ" обеспечивает его работников необходимыми доступами к Платформе QazTech для выполнения работ.

Периодичность: 1 раз в полугодие.

Форма завершения: отчет по нагрузочному тестированию.

8. Проведение АИК (SAST, DAST, SCA, НДВ, Container security, IaC security).

Основным исполнителем работ является АО "ГТС", при этом АО "НИТ" предоставляет его работникам исходный код Платформы QazTech, и необходимую документацию (журналы, договоры, ТЗ и т.п.).

Периодичность: 1 раз в год.

Форма завершения: отчет по анализу.

9. Обеспечение внутреннего контроля за соблюдением требований ТД КБ, включая обеспечение их исполнения всеми заинтересованными лицами и внешними контрагентами.

Основным исполнителем работ является АО "НИТ".

Периодичность: на постоянной основе.

Форма завершения: утвержденные документы 4-го уровня ТД КБ.

10. Обеспечение внешнего контроля за соблюдением требований ТД КБ.

Основным исполнителем работ является АО "ГТС", при этом АО "НИТ" предоставляет его работникам необходимую документацию, обеспечивает доступ к ОС, СУБД, ППО, СВ, СЗИ (SIEM, PAM, AV и другие), а также определяет ответственных лиц (администраторов) для демонстрации политик безопасности.

Периодичность: на постоянной основе.

Форма завершения: исполнение.

11. Управление правами и доступами: подключение всех систем/подсистем и компонентов Платформы QazTech к AD/LDAP.

Основным исполнителем работ является АО "НИТ", а АО "ГТС" участвует в согласовании процессов управления учетными записями (создание, удаление, модификация прав), при этом АО "НИТ" обеспечивает подключение к AD/LDAP всех компонентов (ОС, БД, СВ и другие) Платформы QazTech.

Периодичность: на постоянной основе.

Форма завершения: Заявка в SD.

12. Управление конфигурациями системного и прикладного ПО и эталонных образов.

Основным исполнителем работ является АО "НИТ", а АО "ГТС" участвует в согласовании изменений конфигураций системного и прикладного ПО и эталонных образов, при этом обеспечивается предустановка в них СЗИ.

Периодичность: на постоянной основе.

Форма завершения: исполнение.

13. Резервное копирование и тестирования восстановления резервных копий всех компонентов Платформы QazTech.

Основным исполнителем работ является АО "НИТ", а АО "ГТС" обеспечивает контроль ее исполнения, при этом процедуры резервного копирования и тестирования восстановления резервных копий выполняются в соответствии с требованиями ТД КБ.

Периодичность: согласно срокам установленных в ТД ИБ Платформы.

Форма завершения: журнал резервных копий и тестирования восстановления резервных копий.

14. Безопасность ключей шифрования и паролей (Vault).

АО "НИТ" производит генерацию 4 seal/unseal ключей, необходимых для запуска, перезапуска и восстановления Vault, которые распределяются и передаются по одному ключу администраторам Платформы QazTech, подразделению КБ АО "НИТ" и два ключа АО "ГТС". Для проведения процедуры запуска, перезапуска и восстановления Vault требуется предоставление минимум трех ключей.

АО "НИТ" производят генерацию и разделения пароля привилегированного пользователя (root token) на три части и предоставляют на одной части пароля администраторам Платформы QazTech, подразделению КБ АО "НИТ" и АО "ГТС".

Создания токенов Vault для собственников ЦО, определение ролей и типов доступа проводится совместно АО "НИТ" и АО "ГТС".

Периодичность: по мере необходимости.

Форма завершения: Первичная генерация seal/unseal закрепляется актом. Остальные процессы фиксируются в журнале событий Vault.

15. Мониторинг работоспособности СЗИ Платформы QazTech.

Основным исполнителем работ является АО "НИТ", при этом АО "ГТС" принимает участие в исполнении контроля состояния источников событий КБ, их параметров и режимов защиты, в том числе оповещения АО "НИТ" о недостатках и ошибках в их функционировании.

Периодичность: на постоянной основе.

Форма завершения: исполнение.

16. Мониторинг и управление цифровой инфраструктурой Платформы QazTech (отслеживание работы серверов и сетевого оборудования, БД, ППО).

АО "НИТ" обеспечивает мониторинг и управление цифровой инфраструктурой Платформы QazTech, в рамках которого осуществляется мониторинг программного обеспечения и технических средств цифровой инфраструктуры Платформы QazTech и обеспечивается журналирование действий ее администраторов и пользователей.

АО "ГТС" осуществляет контроль за реализацией данного требования, проводит ежеквартальный анализ функционирования систем мониторинга и управления цифровой инфраструктурой Платформы QazTech, предоставляет рекомендации по устранению выявленных несоответствий.

Периодичность: на постоянной основе, ежеквартальный анализ функционирования систем.

Форма завершения: исполнение.

17. Установка и конфигурирование СУКБ и СЗИ классов AV, EDR, Sandbox, DLP.

Процессы по установке и конфигурированию СУКБ и СЗИ осуществляются АО "НИТ", при этом АО "ГТС" принимает участие и оказывает консультационную поддержку по установке программных средств СУКБ (SIEM) и источников событий КБ (AV, EDR, Sandbox, DLP), а также по настройке отдельных механизмов функционирования и политик безопасности источников событий КБ.

Периодичность: по мере необходимости.

Форма завершения: акт установки.

18. Установка и конфигурирование СЗИ классов IDS/IPS/NGFW.

АО "НИТ" осуществляет, а АО "ГТС" участвует в установке и конфигурации технических средств IDS/IPS/NGFW: монтаж, настройка СЗИ классов IDS/IPS/NGFW.

Периодичность: по мере необходимости.

Форма завершения: акт установки.

19. Установка и конфигурирование СЗИ классов PAM.

АО "НИТ" (при необходимости – совместно с АО "ГТС") осуществляет развертывание и настройку системы PAM для контроля действий администраторов Платформы QazTech и администраторов осуществляющих сопровождение серверов ЦО в продуктивной среде Платформы QazTech.

АО "ГТС" определяет требования по настройке политик системы PAM, ролей, прав доступа и отправки журналов в SIEM систему.

АО "НИТ" регистрирует и учет пользователей в PAM-системе, обеспечивает соблюдение требований АО "ГТС".

Периодичность: по мере необходимости.

Форма завершения: акт установки.

20. Подключение источников событий к Платформе QazTech.

Подключение источников событий к СУКБ (SIEM) Платформы QazTech.

Процессы по подключению источников событий к цифровой инфраструктуре Платформы QazTech осуществляются АО "НИТ", при этом АО "ГТС" принимает участие и оказывает консультационную поддержку по настройке отдельных механизмов функционирования и политик безопасности СУКБ (SIEM), проверку корректности работы, а также по обеспечению централизованного сбора сведений из журналов регистрации событий в СУКБ (SIEM).

Периодичность: по мере необходимости.

Форма завершения: исполнение.

21. Контроль состояния источников событий КБ, их параметров и режимов защиты, в том числе устранение ошибок и недостатков в их функционировании

Контроль состояния источников событий КБ, их параметров и режимов защиты, в том числе устранение ошибок и недостатков в их функционировании осуществляется АО "НИТ", при этом АО "ГТС" принимает участие и оказывает консультационную поддержку при обращении АО "НИТ" по контролю работоспособности серверного оборудования, ОС, ПО СЗИ и доступности каналов связи между Платформой QazTech и источниками событий КБ.

Периодичность: по мере необходимости.

Форма завершения: исполнение.

22. Настройка политики (правил) СЗИ классов AV, EDR, Sandbox.

АО "НИТ" осуществляет периодическое изменение параметров конфигурации (политики) СЗИ классов AV, EDR и Sandbox для Платформы QazTech в соответствии с технической документацией и рекомендациями производителя СЗИ. АО "ГТС" осуществляет диагностику корректного функционирования СЗИ на основе журналов событий, и, при необходимости, уведомляет АО "НИТ" о недостатках в параметрах конфигурации (политиках).

Изменение параметров конфигурации (политик), диагностика и устранение недостатков в них может осуществляться по заявкам (запросу) АО "НИТ".

Периодичность: при необходимости.

Форма завершения: измененные политики.

23. Настройка политик (правил) СЗИ классов IDS/IPS/NGFW и PAM, DLP в части КБ.

АО "ГТС" определяет требования по настройке политик системы PAM, ролей, прав доступа.

АО "НИТ" обеспечивает настройку политик и соблюдение требований АО "ГТС".

Периодичность: при необходимости.

Форма завершения: исполнение.

24. Обеспечение пропуска интернет-трафика Платформы QazTech через ЕШДИ на всех этапах жизненного цикла.

АО "НИТ" обеспечивает, а АО "ГТС" принимает участие в подключении интернет-трафика через ЕШДИ, настройке политик доступа в соответствии с ППРК ЕТ, а также проводит мониторинг и анализ трафика на предмет наличия аномалий, вредоносного ПО.

АО "НИТ" обеспечивает канал связи и подключает Платформу QazTech к ЕШДИ.

Периодичность: при необходимости.

Форма завершения: исполнение.

25. Анализ поступающих в СУКБ данных с целью создания правил корреляции и алгоритмов выявления угроз и инцидентов КБ.

Основным исполнителем работ является АО "ГТС". При проведении работ понаписанию правил корреляции и алгоритмов выявления угроз и инцидентов КБ, АО "НИТ" обеспечивает для его работников удаленный сетевой доступ к СУКБ с привилегированными правами (учетная запись с правами "root") .

В случае выявления посредством СЗИ класса AV, EDR и Sandbox на Платформе QazTech целевых кибератак, АО "ГТС" создает соответствующие правила корреляции, учитывающие релевантные тактики, техники и процедуры, артефакты конечных точек, сетевые артефакты и индикаторы компрометации.

Периодичность: ежедневно.

Форма завершения: правила на СУКБ.

26. Мониторинг событий на СУКБ и СЗИ на наличие следов злоумышленника (1-й уровень).

Основным исполнителем работ является АО "НИТ".

АО "НИТ" проводит круглосуточный мониторинг и первичное реагирование на инциденты КБ посредством СУКБ и СЗИ Платформы QazTech с целью обнаружения инцидентов КБ.

Периодичность: круглосуточно.

Форма завершения: круглосуточный мониторинг, исполнение.

27. Фильтрация сетевого трафика на ЕШДИ (WAF, Anti-DDoS, IPS).

АО "ГТС" обеспечивает, при этом АО "НИТ" (в случае необходимости) участвует в настройке политик доступа, настройке сигнатур и необходимых СЗИ на оборудованиях ЕШДИ.

Периодичность: по необходимости.

Форма завершения: исполнение.

28. Тестирование на проникновение (Pentest/Red Team) в "ручном" режиме.

Основным исполнителем работ является АО "ГТС", при этом АО "НИТ" обеспечивает его работникам удаленный сетевой доступ к серверам и сетевым устройствам с ограниченными правами (типа "user").

АО "ГТС" проводит Pentest Платформы QazTech на наличие уязвимостей в режиме "ручного" тестирования.

Периодичность: 1 раз в полугодие.

Форма завершения: заключение по результатам проведения Pentest.

29. Инструментальное сканирование Платформы QazTech для выявления уязвимостей.

Проведение инструментального сканирования для выявления уязвимостей. Сканирование на наличие обновлений и анализ конфигурации, на наличие известных уязвимостей ПО по базе общих уязвимостей и рисков, на соответствие законодательству и стандартам Республики Казахстан в сфере обеспечения КБ, подлежат СВ, сетевое оборудование и виртуальные серверы Платформы QazTech.

Периодичность: 1 раз в полугодие.

Форма завершения: отчет по сканированию.

30. Мониторинг КБ и первичное реагирование на инциденты КБ (1-я линия).

Основным исполнителем работ является АО "НИТ".

АО "НИТ" проводит круглосуточный мониторинг и первичное реагирование на инциденты КБ посредством СУКБ Платформы QazTech с целью обнаружения инцидентов КБ.

Периодичность: круглосуточно.

Форма завершения: круглосуточный мониторинг, исполнение.

31. Реагирование на инциденты КБ (2-я линия).

В рамках второй линии реагирования АО "ГТС" оказывает содействие заявителям в расследовании инцидентов КБ, анализе артефактов, сборе дополнительной информации и подготовке рекомендаций по устранению угроз/инцидентов КБ. При необходимости инциденты КБ эскалируются на третью/четвертую линию реагирования.

Периодичность: по необходимости (оказание содействия по отработке инцидентов КБ осуществляется АО "ГТС" совместно с АО "НИТ" в течение рабочего дня, либо по графику пассивного дежурства 2 линии в выходные/праздничные дни при критичных инцидентах).

Форма завершения: предоставление отчета/рекомендаций в адрес АО "НИТ" или эскалация на третью/четвертую линию реагирования.

32. Реагирование на инциденты КБ (3-я линия).

АО "ГТС" обеспечивает поддержку на третьей линии реагирования, которая включает техническую и экспертную поддержку расследования – проведение анализа причин возникновения инцидента КБ, форензики, исследования артефактов, выработки мер по предотвращению повторения инцидента КБ и передачи в АО "НИТ" отчета по результатам анализа.

Периодичность: по факту поступления инцидентов КБ от второй линии реагирования (в течение рабочего дня, либо по графику пассивного дежурства 3 линии в выходные/праздничные дни при критичных инцидентах КБ).

Форма завершения: исполнение, подготовка отчета или передача на четвертую линию реагирования.

33. Реагирование на инциденты КБ (4-я линия).

АО "ГТС" для реагирования на целевые кибератаки, при необходимости, производит следующие мероприятия:

первичное исследование инструментов и утилит посредством базового статического и динамического анализа;

исследование дампов оперативной памяти, выявление и извлечение подозрительных процессов и артефактов;

исследование дампов жестких дисков серверов.

АО "НИТ" обеспечивает получение объектов исследования. По результатам проведенного исследования составляется отчет по форме, определенной во внутренних актах АО "ГТС".

Форма завершения: отчет по результатам исследования.

34. Исправление уязвимостей и недостатков, выявленных по результатам реагирования на инциденты КБ.

АО "НИТ" принимает соответствующие меры по исправлению уязвимостей и недостатков, выявленных по результатам реагирования на инциденты, при этом АО "ГТС" осуществляет контроль проведенных работ.

АО "НИТ" в рамках исправления уязвимостей и недостатков может запросить у АО "ГТС" подробную информацию с рекомендациями о последовательности действий по устранению новой уязвимости, ранее не встречающейся в практике.

Периодичность: по мере выявления уязвимости.

Форма завершения: исполнение.

35. Информирование собственников ЦО о выявленных инцидентах КБ в рамках реактивного сервиса (реагирование на инциденты КБ).

Основным исполнителем работ является АО "НИТ". АО "НИТ" предпринимает соответствующие меры совместно с собственником ЦО.

Периодичность: на постоянной основе, по мере обнаружения инцидентов КБ.

Форма завершения: уведомление.

Глава 5. Мероприятия по обеспечению КБ ЦО (разработка)

36. Разработка ЦО в соответствии с методологии безопасной разработки. Собственники ЦО соблюдают требования настоящей методические рекомендации. Также АО "НИТ" предоставляют все необходимые вычислительные ресурсы и инструменты собственникам ЦО.

Периодичность: на постоянной основе.

Форма завершения: исполнение.

37. Разработка модели угроз КБ для ЦО

Основным исполнителем работ является собственник ЦО, который утверждает модель угроз КБ, а АО "ГТС" согласовывает документ.

Периодичность: по необходимости.

Форма завершения: документ.

38. Согласование ТЗ на ЦО

Основным исполнителем данной работы является уполномоченный орган, согласно подпункту 23) статьи 7-1 Закона. При этом АО "ГТС", в соответствии с подпунктом 3) пункта1 статьи 14 Закона, проводит экспертизу ТЗ на создание или развитие ЦО "цифрового правительства" на соответствие требованиям КБ.

Периодичность: на постоянной основе.

Форма завершения: ТЗ, согласованное с уполномоченным органом.

39. Организация доступа собственникам ЦО к АИК на Портале QazTech.

Основным исполнителем работ является АО "НИТ", при этом АО "ГТС" осуществляет согласование указанных доступов.

Периодичность: на постоянной основе.

Форма завершения: исполнение.

40. Проведение Unit-теста (проверки функционала) и проверка качества кода осуществляется собственниками ЦО с целью разработки ЦО строго в соответствии с ТЗ.

Периодичность: на постоянной основе.

Форма завершения: исполнение.

41. Проведение АИК (SAST, DAST, MAST, SCA, Container security, IaC security) в среде разработки осуществляется собственниками ЦО при использовании инструментов (анализаторов), реализованных на Платформе QazTech.

Периодичность: на постоянной основе.

Форма завершения: исполнение.

42. Анализ исходного кода (SAST, DAST, MAST, SCA, Container security, IaC security, Unit-тест). Собственникам ЦО предоставляется возможность самостоятельно провести процедуры анализа исходного на этапе тестирования перед размещением ЦО в среде эксплуатации.

Периодичность: на постоянной основе.

Форма завершения: анализ исходного кода.

43. Заявка на размещение в PROD (при наличии согласованного ТЗ). Собственники ЦО перед размещением его в среде PROD (среда эксплуатации) подают соответствующую заявку в АО "НИТ", при этом АО "НИТ" принимает заявку в работу, а АО "ГТС" согласовывает либо отклоняет заявку.

Периодичность: на постоянной основе.

Форма завершения: размещение либо мотивированный отказ в размещении ЦО в PROD.

44. Инструментальное сканирование для выявления уязвимостей.

Проведение инструментального сканирования (в среде PROD) для выявления уязвимостей. Сканирование на наличие обновлений и анализ конфигурации, на наличие известных уязвимостей ПО осуществляется по базе общих уязвимостей и рисков, на соответствие стандартам в сфере обеспечения КБ. Сканированию подлежат виртуальные сервера.

Основным исполнителем работ является АО "ГТС", при этом собственники ЦО и (или) АО "НИТ" обеспечивают его работникам удаленный сетевой доступ к серверам и сетевым устройствам с привилегированными правами (типа "root").

Периодичность: 1 раз в год.

Форма завершения: отчет по сканированию.

45. Проверка ЦО на соответствие требованиям законодательства и стандартов Республики Казахстан в сфере обеспечения КБ.

Основным исполнителем работ является АО "ГТС", при этом собственники ЦО обеспечивают предоставление соответствующих доступов для выполнения указанных работ.

Периодичность: при каждом изменении.

Форма завершения: отчет по проверке.

46. Политика кибербезопасности и ТД КБ на ЦО.

Собственники ЦО при участии АО "НИТ" разрабатывают ТД КБ в виде четырехуровневой системы документированных правил, процедур, практических приемов или руководящих принципов, которыми руководствуются пользователи. АО "ГТС" обеспечивает контроль при разработке документации.

Периодичность: при внедрении ЦО и с дальнейшим пересмотром в соответствии с ППРК ЕТ.

Форма завершения: утвержденная собственником ЦО ТД КБ.

47 Разработка конфигурации для Pipeline CI/CD в части разработки и размещения ЦО на Платформе QazTech.

Собственник ЦО производит разработку Pipeline CI/CD в рамках разрабатываемого ЦО согласно методической рекомендации.

АО "ГТС" изучает содержимое и конфигурацию Pipeline CI/CD собственника ЦО, проводит анализ на соответствие документации, после чего согласовывает Pipeline CI/CD для дальнейшего использования в проекте на Платформе QazTech. Изменения Pipeline CI/CD, который используется для развертывания кода в продуктивной среде проходят процедуру согласования с АО "ГТС".

Периодичность: на постоянной основе.

Форма завершения: конфигурация для Pipeline CI/CD в части разработки и размещения ЦО на Платформе QazTech.

48. Разработка конфигурации для Pipeline CI/CD в части обеспечения КБ

Собственник ЦО производит разработку Pipeline CI/CD в рамках разрабатываемого ЦО согласно Методики безопасной разработки по настройки конфигурации для Pipeline CI/CD в части обеспечения КБ.

АО "ГТС" проводит анализ Pipeline CI/CD собственника ЦО и согласовывает формат и содержание Pipeline CI/CD для дальнейшего использования в проекте на Платформе QazTech.

Периодичность: на постоянной основе.

Форма завершения: конфигурация для Pipeline CI/CD в части обеспечения КБ.

49. Согласование на интеграцию с другими ЦО ЦП.

При необходимости обеспечения взаимодействия ЦО с другими ЦО ЦП, собственники ЦО направляют заявку на интеграцию, АО "НИТ" обеспечивают интеграцию по согласованию с АО "ГТС".

Периодичность: на постоянной основе.

Форма завершения: согласование или мотивированный отказ.

50. Внутренний контроль за соблюдением требований ТД КБ на ЦО.

АО "НИТ" обеспечивает внутренний контроль за соблюдением требований ТД КБ на ЦО, при этом собственник ЦО обеспечивает участие своего ответственного лица при выполнении работ по контролю.

Периодичность: 1 раз в год.

Форма завершения: отчет.

51. Внешний контроль за соблюдением требований ТД КБ в ЦО.

АО "ГТС" обеспечивает внешний контроль за соблюдением требований ТД КБ в ЦО, при этом АО "НИТ" и собственники ЦО обеспечивают участие своих ответственных лиц при выполнении работ.

Периодичность: 1 раз в год.

Форма завершения: отчет.

52. Проверка ОС, СУБД и ППО на соответствие требованиям КБ, разделение на среды разработки, тестирования и промышленной эксплуатации) - по чек-листу.

АО "ГТС" осуществляет проверку на соответствие требованиям КБ на уровне ОС, СУБД и ППО, при этом АО "НИТ" и собственники ЦО обеспечивают демонстрацию политик безопасности при участии ответственных лиц (администраторов, КБ).

При обследовании серверного оборудования Платформы QazTech работники АО "ГТС" руководствуются требованиями законодательства и стандартов Республики Казахстан в сфере обеспечения КБ.

Периодичность: 1 раз в год.

Форма завершения: отчет.

53. Проверка на соответствие требованиям законодательства и стандартов Республики Казахстан в сфере обеспечения КБ.

Основным исполнителем работ является АО "ГТС", при этом АО "НИТ" и собственники ЦО предоставляет необходимые доступы для проведения указанных работ.

Периодичность: 1 в год.

Форма завершения: отчет.

54. Проведение инструментального сканирования для выявления уязвимостей.

Сканирование на наличие обновлений и анализ конфигурации, на наличие известных уязвимостей ПО из базы общих уязвимостей и рисков, на соответствие стандартам в сфере обеспечения КБ, подлежат виртуальные сервера, сетевое оборудование в рамках ЦО.

Основной исполнитель по видам работ является АО "ГТС", при этом АО "НИТ" и собственники ЦО обеспечивает его работникам удаленный сетевой доступ к серверам и сетевым устройствам с привилегированными правами (типа "root").

Периодичность: 1 раз в полугодие.

Форма завершения: отчет по сканированию.

55. Нагрузочное тестирование.

Нагрузочное тестирование ЦО проводится для оценки соблюдения доступности, целостности и конфиденциальности в среде штатной эксплуатации. Нагрузочное тестирование проводится с использованием специализированного программного средства на основании автоматических сценариев, в среде штатной эксплуатации, в которой персональные данные заменены на фиктивные. Нагрузочное тестирование проводится по количеству точек подключений пользователей и вариантов точек подключения интеграционного взаимодействия. При этом, определяется сценарий тестирования, временные и количественные характеристик тестирования, согласовывается время проведения тестирования с собственниками ЦО.

Основным исполнителем работ является АО "ГТС", при этом собственники ЦО обеспечивает его работников необходимыми доступами для выполнения работ.

Периодичность: 1 раз в полугодие или при каждом изменении.

Форма завершения: отчет по нагрузочному тестированию.

56. Тестирование на проникновение (Pentest/Red Team) в "ручном" режиме.

Основным исполнителем работ является АО "ГТС", при этом АО "НИТ" и собственники ЦО обеспечивает удаленный сетевой доступ к серверам и сетевым устройствам с ограниченными правами (типа "user").

АО "ГТС" проводит Pentest в режиме "ручного" тестирования.

Периодичность: 1 раз в полугодие.

Форма завершения: заключение по результатам проведенного Pentest.

57. Настройка конфигурации системного и прикладного ПО и кода Git.

Собственник ЦО совместно с АО "НИТ" производит настройку конфигурации системного и прикладного ПО, а также кода в Git в соответствии с Методикой на Платформе QazTech и требованиям КБ.

АО "ГТС" проводит проверку на соответствие методологии и требованиям КБ и согласовывает применение конфигураций системного и прикладного ПО и кода в Git. АО "ГТС" осуществляет контроль конфигурации системного и прикладного ПО на продуктивных серверах ЦО.

Периодичность: на постоянной основе.

Форма завершения: исполнение.

58. Резервное копирование и тестирования восстановления резервных копий.

АО "НИТ" и собственники ЦО обеспечивают резервное копирование и тестирования восстановления резервных копий ЦО на всех уровнях (ППО, ОС, БД), АО "ГТС" обеспечивает контроль за исполнением.

Периодичность: на постоянной основе в соответствии с ТД КБ.

Форма завершения: исполнение.

59. Безопасность ключей шифрования и паролей (Vault).

Собственник ЦО для обеспечения безопасного хранения и использования чувствительных данных (пароли, токены, ключи шифрования и т.п.) в продуктивной среде используют систему управления секретами (Vault).

АО "НИТ" обеспечивает отправку журналов (в том числе события по использованию ключей) системы Vault в SIEM. АО "ГТС" осуществляет контроль по отправке журналов и мониторинг событий по использованию ключей.

Периодичность: на постоянной основе.

Форма завершения: исполнение.

60. Установка и конфигурирование СЗИ классов AV, EDR, Sandbox.

Процессы по установке и конфигурированию СЗИ осуществляются АО "НИТ", при этом АО "ГТС" осуществляет контроль проведенных работ по установке программных средств источников событий КБ (AV, EDR, Sandbox), а также по настройке отдельных механизмов функционирования и политик безопасности источников событий КБ.

Периодичность: на постоянной основе.

Форма завершения: исполнение.

61. Установка и конфигурирование СЗИ классов IDS/IPS/NGFW виртуал. и PAM.

АО "ГТС" согласовывает настройки политик системы PAM, ролей, прав доступа и контролирует их применение. АО "НИТ" производит установку и конфигурирование системы контроля привилегированных пользователей Платформы QazTech, а также обеспечивает настройку политик.

АО "НИТ" производит монтаж и конфигурирование СЗИ классов IDS/IPS/NGFW, при этом АО "ГТС" осуществляет контроль установки и настройки СЗИ классов IDS/IPS/NGFW.

Периодичность: на постоянной основе.

Форма завершения: исполнение.

62. Подключение источников событий к Платформе QazTech.

Процессы по подключению источников событий к цифровой инфраструктуре Платформы QazTech осуществляются собственником ЦО и АО "НИТ", при этом АО "ГТС" осуществляет согласование и контроль проведенных работ по настройке отдельных механизмов функционирования и политик безопасности СУКБ (SIEM), проверку корректности работы, а также по обеспечению централизованного сбора сведений из журналов регистрации событий в СУКБ (SIEM).

Периодичность: на постоянной основе.

Форма завершения: исполнение.

63. Контроль состояния источников событий КБ, их параметров и режимов защиты, в том числе устранение ошибок и недостатков в их функционировании.

Контроль состояния источников событий КБ, их параметров и режимов защиты, в том числе устранение ошибок и недостатков в их функционировании осуществляется собственником ЦО и АО "НИТ", при этом АО "ГТС" осуществляет контроль проведенных работ в части работоспособности серверного оборудования, ОС, ПО СЗИ и доступности каналов связи между Платформой QazTech и источниками событий КБ.

Периодичность: на постоянной основе.

Форма завершения: исполнение.

64. Настройка политик СЗИ классов AV, EDR, Sandbox.

АО "НИТ" осуществляет периодическое изменение параметров конфигурации (политики) СЗИ классов AV, EDR и Sandbox для ЦО в соответствии с технической документацией и рекомендациями производителя СЗИ. АО "ГТС" осуществляет диагностику корректного функционирования СЗИ на основе журналов событий, и, при необходимости, уведомляет АО "НИТ" о недостатках в параметрах конфигурации (политиках).

Изменение параметров конфигурации (политик), диагностика и устранение недостатков в их может осуществляться по заявкам (запросу) собственников ЦО.

Периодичность: По мере необходимости.

Форма завершения: измененные политики.

65. Настройка политик СЗИ классов IDS/IPS/NGFW и PAM, DLP.

АО "НИТ" производит установку и конфигурирование системы контроля привилегированных пользователей Платформы QazTech. АО "ГТС" осуществляет согласование и контроль применения политик системы PAM. АО "НИТ" производит настройку политик СЗИ классов IDS/IPS/NGFW, АО "ГТС" обеспечивает контроль применения политик СЗИ классов IDS/IPS/NGFW.

Периодичность: на постоянной основе.

Форма завершения: исполнение.

66. Анализ поступающих в СУКБ данных с целью написания правил корреляции и алгоритмов выявления угроз и инцидентов КБ.

Основным исполнителем работ является АО "НИТ". При проведении работ по написанию правил корреляции и алгоритмов выявления угроз и инцидентов КБ, АО "НИТ" обеспечивает работникам АО "ГТС" удаленный сетевой доступ к СУКБ с привилегированными правами (учетные записи с правами "root").

В случае выявления посредством СЗИ класса AV, EDR и Sandbox на ЦО целевых кибератак, АО "ГТС" создает соответствующие правила корреляции, учитывающие релевантные тактики, техники и процедуры, артефакты конечных точек, сетевые артефакты и индикаторы компрометации.

Периодичность: ежедневно.

Форма завершения: правила на СУКБ.

67. Мониторинг КБ и первичное реагирование на инциденты КБ посредством СУКБ Платформы QazTech (1-я линия).

Основным исполнителем работ является АО "НИТ".

Периодичность: круглосуточно.

Форма завершения: круглосуточный мониторинг, исполнение.

68. Реагирование на инциденты КБ (2-я линия).

69. Реагирование на инциденты КБ (3-я линия).

Форма завершения: исполнение, подготовка отчета или передача на четвертую линию реагирования.

70. Поддержка реагирования на инциденты КБ (4-я линия).

АО "ГТС" для реагирования на целевые кибератаки, при необходимости, производит следующие мероприятия:

первичное исследование инструментов и утилит посредством базового статического и динамического анализа;

исследование дампов оперативной памяти, выявление и извлечение подозрительных процессов и артефактов;

исследование дампов жестких дисков серверов.

АО "НИТ" и собственник ЦО обеспечивают получение указанных объектов исследования. Форма завершения: по результатам проведенного исследования составляется отчет по форме, определенной внутренними актами АО "ГТС".

71. Исправление уязвимостей и недостатков, выявленных по результатам реагирования на инциденты КБ.

Собственник ЦО проводит соответствующие меры по устранению уязвимостей и недостатков, выявленных по результатам реагирования на инциденты КБ, при этом АО "ГТС" осуществляет контроль проведенных работ.

АО "НИТ" в рамках устранения уязвимостей и недостатков может запросить у АО "ГТС" подробную информацию с рекомендациями о последовательности действий по устранению новой уязвимости, ранее не встречающейся в практике.

Периодичность: по мере выявления уязвимости.

Форма завершения: исполнение.

72. Информирование собственников, владельцев и пользователей ЦО ЦП об инцидентах КБ в части их касающейся.

Собственник ЦО информирует заказчика/клиентов о выявленных инцидентах КБ в части их касающейся, при этом АО "ГТС" осуществляет контроль проведенных работ.

Периодичность: по мере выявления инцидента КБ.

Форма завершения: уведомление.

"Цифрлық үкімет" платформасының киберқауіпсіздігін қамтамасыз ету регламентін бекіту туралы

"Цифрлық үкімет" платформасының киберқауіпсіздікті қамтамасыз ету регламенті

1-тарау. Жалпы ережелер

2-тарау. Бастапқы кодтың сапасын тестілеу және талдау

3-тарау. Қауіпсіз бағдарламалық қамтылым әзірлеу процестері

4-тарау. QazTech платформасының киберқауіпсіздігін қамтамасыз ету жөніндегі іс-шаралар

5-тарау. ЦО КҚ қамтамасыз ету жөніндегі іс-шаралар

Об утверждении Регламента обеспечения кибербезопасности платформы "цифрового правительства"

Регламент обеспечения кибербезопасности платформы "цифрового правительства"

Глава 1. Общие положения

Глава 2. Тестирование и анализ качества исходного кода

Глава 3. Процессы безопасной разработки программного обеспечения

Глава 4. Мероприятия по обеспечению кибербезопасности Платформы QazTech

Глава 5. Мероприятия по обеспечению КБ ЦО (разработка)