Қазақстан банктері, микроқаржы ұйымдары (МҚҰ) және сақтандыру ұйымдары үшін ақпараттық қауіпсіздік

Қазақстанның қаржы ұйымдары — бұл екінші деңгейдегі банктер (ЕДБ), бейрезидент банктердің филиалдары, микроқаржы ұйымдары (МҚҰ), сақтандыру және қайта сақтандыру ұйымдары, төлем ұйымдары, брокерлер мен ломбардтар. Олардың барлығы Қаржы нарығын реттеу және дамыту агенттігінің (ҚНРДА) және ҚР Ұлттық Банкінің қадағалауымен жұмыс істейді, жүздеген мың клиенттің дербес және төлем деректерін өңдейді, сондықтан алаяқтар мен инсайдерлердің басты нысанасы болып қала береді. Genius Systems 2012 жылдан бері Қазақстанның банктеріне, МҚҰ-лары мен сақтандыру ұйымдарына ақпараттық қауіпсіздікті (АҚ) енгізеді — Өскемен, Астана, Алматы, Қарағанды, Павлодар, Семей. Kaspersky, Falcongaze, GTB Technologies, Palo Alto Networks, Check Point, Fortinet, Invicti, Tenable, Rapid7 және Veeam өнімдерімен жұмыс істейміз, пентест, аудит және қызметкерлерді оқыту жүргіземіз.

Реттеуші талаптары

Қаржы секторы — Қазақстандағы АҚ талаптарын салалық реттеуші жеке белгілейтін және оларды жоспарлы әрі жоспардан тыс тексерулерде тексеретін санаулы салалардың бірі.

• ҚР Ұлттық Банкі Басқармасының 27.03.2018 № 48 қаулысы «Банктердің, бейрезидент банктер филиалдарының және банк операцияларының жекелеген түрлерін жүзеге асыратын ұйымдардың ақпараттық қауіпсіздігін қамтамасыз етуге қойылатын талаптар» (өзгерістерімен). АҚ қызметін, саясат пен регламенттерді, қол жеткізуді басқаруды, оқиғаларды тіркеу мен мониторингтеуді, зиянды бағдарламалар мен деректердің жылыстауынан қорғауды, резервтік көшіруді, тұрақты аудитті және енуге тестілеуді талап етеді.
• Ақпараттық қауіпсіздік инциденттері туралы ақпарат беру қағидалары мен мерзімдері — сол қаулының бөлігі: банк инциденттерді, оның ішінде ақпараттық жүйелердегі іркілістерді тіркеуге және олар туралы мәліметтерді реттеушіге белгіленген мерзімде беруге міндетті.
• МҚҰ мен сақтандыру ұйымдарына қойылатын ҚНРДА талаптары — Агенттіктің құрамы жағынан банктерге қойылатын талаптарға жақын жеке қаулылары: АҚ-ны ұйымдастыру, клиенттер деректерін қорғау, инциденттерді басқару, қол жеткізуді бақылау.
• Салалық АҚ орталығына қосылу. Банктер үшін Ұлттық банктің ақпараттық қауіпсіздік орталығымен инциденттер мен қатерлер туралы ақпарат алмасу көзделген; ақпараттық-коммуникациялық инфрақұрылымның аса маңызды объектілері (АКИАМО, КВОИКИ) тізбесіне енген ұйымдарға күнтізбелік 90 күн ішінде АҚЖО-ға (ОЦИБ) қосылу міндеті жүктеледі.
• Төлемдер және төлем жүйелері туралы заң (26.07.2016 № 11-VI) — төлем ұйымдары мен төлем жүйелерінің операторларына қойылатын талаптар, оның ішінде үздіксіздік және төлем ақпаратын қорғау.
• PCI DSS — төлем карталарының деректерін сақтайтын, өңдейтін немесе беретін барлық ұйымдарға: эмитенттерге, эквайерлерге, төлем ұйымдарына, процессингке. Қолданыстағы нұсқасы — 4.x.
• Цифрландыру және дербес деректерді қорғау туралы заң (2026 жылғы 25 тамыздан бастап): деректердің жылыстауы туралы реттеушіге бір жұмыс күні ішінде хабарлау, бұзушылықтар тізілімі, 2000 АЕК-ке дейінгі айыппұлдар. ҚР Цифрлық кодексі 2026 жылғы 12 шілдеден бастап қолданыста, «Ақпараттандыру туралы» заң «Киберқауіпсіздік туралы» заң болып қайта аталды.

Жұмысты сәйкестік аудитінен бастаймыз: талаптардың әр тармағын нақты жағдаймен салыстырып, басымдықтары көрсетілген жоспарды тапсырамыз.

2026 жылы ҚР қаржы секторына төнетін қатерлер

• Банк брендін пайдаланатын фишинг. Клон-сайттар, «картаны бұғаттау туралы» SMS пен хаттар, WhatsApp пен Telegram-дағы таратылымдар. KZ-CERT деректері бойынша 2026 жылдың бірінші жартыжылдығында 353 фишингтік инцидент тіркелген, ал рұқсатсыз қол жеткізу жағдайларының саны 26 есе өскен. Қалай тануға болады — Фишинг 2026: хатты қалай тануға болады мақаласында.
• Дропперлер мен алаяқтық колл-орталықтар. «Қауіпсіз шот» схемалары, жалған тұлғалар арқылы аударым, егде жастағы клиенттерге қысым жасау — банктің жүйелері бұзылмаса да, ол беделдік және қаржылық шығынға ұшырайды.
• Мобильді банкинг API-іне шабуылдар. Есептік деректерді іріктеп табу, лимиттерді айналып өту, аударымдар мен бонустар логикасын теріс пайдалану. Verizon DBIR 2026 бойынша осалдықтарды пайдалану № 1 векторға айналды (31 %).
• Клиенттік базалардың инсайдерлік жылыстауы. Бөлімшенің немесе колл-орталықтың қызметкері қарыз алушылардың деректерін «тапсырыспен» жүктеп алады. F6 2026 жылдың жартыжылдығында қазақстандық компаниялардың 12 жарияланған жылыстауын санаған — бұл бүкіл 2025 жылғы көрсеткішпен бірдей.
• DDoS және бопсалаушы бағдарламалар. Check Point бір ұйымға аптасына 2 336 шабуыл жасалатынын (+16 %), ал Kaspersky Қазақстандағы бизнеске бағытталған бэкдорлардың 56 %-ға өскенін тіркейді.

Қазақстан мен әлем бойынша сандармен берілген қатерлердің толық көрінісі — біздің 2026 жылғы тамыздағы ақпараттық қауіпсіздік дайджестімізде.

Не енгіземіз

Міндет	Шешім	Вендорлар / өнімдер	Мерзімі
Клиенттік деректердің жылыстауын бақылау	DLP	Falcongaze SecureTower, GTB Technologies	Пилоттық жоба 2–4 апта, енгізу 1–2 ай
Оқиғалар мониторингі және инциденттер туралы есептілік	SIEM	Kaspersky Unified Monitoring and Analysis Platform (KUMA), Energy Logserver	1–2 ай
Периметр мен филиалдарды қорғау	NGFW	Palo Alto Networks, Check Point, Fortinet	3–6 апта
Веб-қосымшалар мен API-ді қорғау, осалдықтар	Осалдықтарды басқару	Invicti (ex-Acunetix), Tenable, Rapid7	3–5 апта, әрі қарай тұрақты
Енуге тестілеу	Пентест	Сыртқы, ішкі, веб және API, әлеуметтік инженерия	2–4 апта
Фишинг пен есептік деректердің жылыстауын ерте анықтау	Кибербарлау	Kaspersky Threat Intelligence, Check Point ThreatCloud, Palo Alto Networks Unit 42	2–3 апта
Бопсалаушы бағдарламалардан кейін қалпына келтіру	Резервтік көшіру	Өзгермейтін репозиторийлері бар Veeam	2–4 апта
ЖИ-көмекшілер мен чат-боттарды бақылау	ЖИ-ді қорғау	Деректерге қол жеткізу саясаттары, промпт-инъекциялардан қорғау	2–4 апта
Қызметкерлерді оқыту	АҚ бойынша тренингтер	Бөлімшелер мен колл-орталықтар персоналына арналған курстар, оқу фишингі	1–2 күн, әрі қарай тоқсан сайын

Барлық шешімді өзара интеграциялаймыз: DLP мен NGFW оқиғалары SIEM-ге, кибербарлау индикаторлары NGFW мен SIEM-ге, осалдықтарды сканерлеу нәтижелері мерзімдері бақыланатын жою жоспарына түседі. Қаржы секторының талаптарына сай DLP-ді қалай таңдау керегі — Қазақстанда DLP жүйесін қалай таңдау керек мақаласында.

Жоба қалай өтеді

1. Сәйкестік аудиті. 2–3 апта: Ұлттық банк пен ҚНРДА талаптарымен салыстыру, жүйелер мен деректерді түгендеу, IT және АҚ мамандарымен сұхбат, басымдықтары көрсетілген есеп.
2. Жол картасы. 1 апта: тексеруге дейін нені жабу керек, нені — жоспарлы тәртіппен, бюджет және сатып алуға арналған техникалық ерекшеліктер.
3. Пилоттық жобалар. Әрқайсысы 2–4 апта: 20–50 жұмыс орнында DLP, негізгі дереккөздерде SIEM, тестілік сегментте NGFW — сіздің деректеріңіз бен трафигіңізде.
4. Енгізу. Құрамына қарай 1–3 ай: өрістету, саясаттар мен корреляциялық ережелерді баптау, Active Directory-мен, автоматтандырылған банк жүйесімен (АБС) және процессингпен интеграция, SIEM-ге қосу.
5. Реттеушіге арналған құжаттар. Енгізумен қатар: саясаттар, регламенттер, инциденттер журналы, хабарлау тәртібі — тексеру күтетін тұжырымдарда.
6. Пентест және қабылдау. 2–4 апта: нәтижені сыртқы және ішкі тестілеумен тексереміз, табылған кемшіліктерді жоямыз, қайта тексереміз.
7. Сүйемелдеу. Ережелерді алаяқтықтың жаңа схемаларына қарай жаңарту, тоқсан сайынғы сканерлеу, оқу фишингі, инциденттер мен тексерулер кезінде көмек.

Неліктен Genius Systems

• Ақпараттық қауіпсіздікпен 2012 жылдан бері айналысамыз; Ұлттық банк пен ҚНРДА тексеруі нені сұрайтынын және қандай құжаттар қолда болуы керек екенін білеміз.
• Қаржы секторындағы тәжірибе — сақтандыру компаниясында DLP енгізу: бірнеше вендор бойынша пилоттық жобалар, реттеуші талаптарына сай саясаттар, қызметкерлерді бақылауды заң жүзінде ресімдеу.
• Kaspersky, Falcongaze, GTB Technologies, Palo Alto Networks, Check Point, Fortinet, Invicti, Rapid7, Tenable және Veeam-мен серіктестік — ресми жеткізу, лицензиялар және вендор қолдауы.
• Кешенділік: DLP, SIEM, NGFW, кибербарлау, резервтік көшіру және ЖИ-көмекшілерді қорғау міндеттерін бес жауапкершілік аймағы бар бес мердігер емес, бір команда жабады.
• Сатып алуға дейін пилоттық жоба: өз деректеріңізде тексерген шешім үшін төлейсіз. goszakup.gov.kz және «Самұрық-Қазына» порталы арқылы сатып алуға қатысамыз, техникалық ерекшелік дайындаймыз.

Жобаны немесе реттеуші тексеруін талқылау — байланыс бетінде.