Oʻzbekistonda biznes uchun kiberxavfsizlik: bazaviy tekshiruv roʻyxati

Oʻzbekistonda biznesning raqamlashuvi jadal kechmoqda: Uzcard va Humo kartalari bilan toʻlovlar, my.gov.uz va soliq.uz kabi portallar bilan integratsiyalar, CRM tizimlari, Telegram-botlar, mobil ilovalar. Raqamli aloqa nuqtalari qancha koʻp boʻlsa, hujum yuzasi shuncha keng boʻladi. Shu bilan birga, kichik va oʻrta biznes vakillarining koʻpchiligi kiberxavfsizlikni hanuz «banklar uchun qimmat hodisa» deb biladi. Bu xavfli tushunchadir: hujumchilar eng yiriklarni emas, eng himoyasizlarni tanlaydi.

Quyida — suvsiz amaliy tekshiruv roʻyxati. Nazariya emas, balki agar siz biznes, IT yoki mijoz maʼlumotlari uchun masʼul boʻlsangiz, yaqin haftalarda haqiqatan qilish kerak boʻlgan ishlar.

Hozir qanday tahdidlar dolzarb

Mintaqamizdagi koʻpchilik hodisalar dahshatli xakerning ishi emas, balki bazaviy eʼtiborsizlik natijasidir. Tipik stsenariylar quyidagicha:

• Fishing va ijtimoiy injeneriya. «Bankdan» kelgan soxta xatlar, rahbar nomidan Telegramda hisobni shoshilinch toʻlash haqidagi soxta xabarlar, korporativ pochtaga kirishning qalbaki sahifalari.
• Toʻlov talab qiluvchi dasturlar (ransomware). Kompyuter va serverlardagi fayllarni shifrlab, soʻngra tovon talab qiladi. Zaxira nusxasi yoʻq kompaniya uchun bu ishning toʻliq toʻxtashini anglatadi.
• Maʼlumotlar sizib chiqishi. Mijozlar bazasi, telefonlar, pasport maʼlumotlari himoyasiz admin panellari, ochiq maʼlumotlar bazalari va kirish huquqi saqlanib qolgan sobiq xodimlar orqali sizib chiqadi.
• Zaif va takror ishlatilgan parollar. Pochta, CRM va bank kabinetida bir xil parol — bitta xizmatning buzilishi hammasini ochib beradi.
• Saytlar va ilovalardagi zaifliklar. Eskirgan CMS, WordPress plaginlari, ochiq portlar, yopilmagan fayl yuklash formalari.

Bazaviy himoya: poydevorsiz qolgani maʼnosiz

Qimmat yechimlar sotib olishdan oldin asosni yoping. Bu choralar minimal xarajatda natijaning 80 foizini beradi:

• Ikki bosqichli autentifikatsiya (2FA) barcha muhim xizmatlarda: korporativ pochta, bank-klient, CRM, xosting, domen, ijtimoiy tarmoq va Telegram akkauntlari. Bu eng arzon va eng samarali toʻsiq.
• Parol menejeri jamoa uchun — stiker va Excel jadvallari oʻrniga. Har bir xizmatga noyob va murakkab parol.
• Muntazam yangilanishlar. OT, CMS, plaginlar, server dasturlari. Koʻpchilik hujumlar allaqachon maʼlum boʻlgan, patchi chiqqan zaifliklardan foydalanadi.
• 3-2-1 qoidasi boʻyicha zaxira nusxalash: maʼlumotning uch nusxasi, ikki xil tashuvchida, biri — ofisdan tashqarida (bulut yoki boshqa data-markaz). Eng muhimi — zaxira haqiqatan tiklanishini muntazam tekshiring.
• Kirish segmentatsiyasi. Xodim faqat ishi uchun zarur narsaga kirish huquqiga ega boʻlishi kerak. Buxgalterga serverda root, sotuv menejeriga butun baza kerak emas.

Mijoz maʼlumotlari himoyasi va qonun

2021-yildan Oʻzbekistonda fuqarolarning shaxsiy maʼlumotlarini lokalizatsiya qilish talablari amal qiladi: oʻzbekistonliklarning maʼlumotlari mamlakat hududida joylashgan serverlarda saqlanishi va Personalizatsiya davlat markazi reyestrida roʻyxatdan oʻtishi shart. Bu faqat huquqiy masala emas — bu obroʻ va mijozlar ishonchi.

Maʼlumotlar bilan ishlashning amaliy minimumi:

• Maʼlumotni uzatishda (barcha saytlar va API uchun HTTPS/TLS) hamda muhim maʼlumotlarni saqlashda shifrlang.
• Yigʻishni kamaytiring: sizga haqiqatan kerak boʻlmagan narsani saqlamang. Maʼlumot kam — xavf kam.
• Qaysi shaxsiy maʼlumotlar qayerda yotganini hisobga oling. Koʻp kompaniyalar buni ham bilmaydi.
• Bazalarga kirishni jurnalga yozishni sozlang, kim va qachon muhim maʼlumotga murojaat qilganini bilish uchun.

Xodimlar — eng zaif va eng boshqariladigan boʻgʻin

Statistikaga koʻra muvaffaqiyatli hujumlarning koʻpchiligi insondan boshlanadi: kimdir havolaga bosdi, ilova ochdi, «bank xavfsizlik xizmatiga» SMS koddan aytib berdi. Texnikani bir marta sozlash mumkin, odamlarni esa tizimli oʻqitish kerak.

• Fishing boʻyicha qisqa muntazam treninglar oʻtkazing — uch yilda bir katta seminardan koʻra, chorakda bir marta 30 daqiqalik yaxshiroq.
• Oddiy qoida joriy eting: pulni shoshilinch oʻtkazish yoki rekvizitlarni oʻzgartirish boʻyicha har qanday soʻrov ikkinchi aloqa kanali orqali tekshiriladi (yozishma emas, qoʻngʻiroq).
• Offboarding jarayonini sozlang: xodim ishdan boʻshatilganda kirish huquqlari oʻsha kuni bekor qilinadi, umumiy xizmatlar parollari oʻzgartiriladi.
• Ish maʼlumotlarini nazoratsiz shaxsiy messenjerlar va shaxsiy qurilmalarda ishlatishni taqiqlang.

Birinchi navbatda nimani joriy qilish

Agar resurs kam, lekin hammasini qilish kerak boʻlsa — ustuvorlik boʻyicha harakat qiling. Mana biz biznesga tavsiya qiladigan ketma-ketlik:

• 1-qadam. Pul va maʼlumot bor joyda 2FA ni yoqish. Bir kunlik ish — xavfni necha barobar kamaytiradi.
• 2-qadam. Avtomatik zaxira nusxalashni sozlash va tiklanishni tekshirish. Bu sizning ransomware'dan sugʻurtangiz.
• 3-qadam. Kirish huquqlari inventarizatsiyasini oʻtkazish va ortiqchasini, ayniqsa sobiq xodimlar va pudratchilarnikini olib tashlash.
• 4-qadam. Barcha dasturlarni yangilash va saytlar hamda serverlardagi ochiq zaifliklarni yopish.
• 5-qadam. Jamoaga bazaviy gigiyenani oʻrgatish va moliyaviy soʻrovlarni tekshirish qoidasini joriy etish.
• 6-qadam. Mutaxassislardan xavfsizlik auditi buyurtma qilish — tashqi nigoh ichkaridan koʻrinmay qolgan narsani topadi.