ПРИКАЗ И.О. МИНИСТРА ИСКУССТВЕННОГО ИНТЕЛЛЕКТА И ЦИФРОВОГО РАЗВИТИЯ РЕСПУБЛИКИ КАЗАХСТАН

от 22 июня 2026 года №345/НК

О внесении изменений в приказ Министра цифрового развития, оборонной и аэрокосмической промышленности Республики Казахстан от 3 июня 2019 года №111/НК "Об утверждении методики и правил проведения испытаний объектов информатизации "электронного правительства" и критически важных объектов информационно-коммуникационной инфраструктуры на соответствие требованиям информационной безопасности"

ПРИКАЗЫВАЮ:

1. Внести в приказ Министра цифрового развития, оборонной и аэрокосмической промышленности Республики Казахстан от 3 июня 2019 года №111/НК "Об утверждении методики и правил проведения испытаний объектов информатизации "электронного правительства" и критически важных объектов информационно-коммуникационной инфраструктуры на соответствие требованиям информационной безопасности" (зарегистрирован в Реестре государственной регистрации нормативных правовых актов за №18795) следующие изменения:

заголовок изложить в следующей редакции:

"Об утверждении методики и правил проведения испытаний цифровых объектов "цифрового правительства" и критически важных цифровых объектов на соответствие требованиям кибербезопасности";

преамбулу изложить в следующей редакции:

"В соответствии с подпунктом 5) статьи 7-1 Закона Республики Казахстан "О кибербезопасности" и подпунктом 52) пункта 15 Положения о Министерстве искусственного интеллекта и цифрового развития Республики Казахстан, утвержденного постановлением Правительства Республики Казахстан от 9 октября 2025 года №846, ПРИКАЗЫВАЮ:";

пункт 1 изложить в следующей редакции:

"1. Утвердить:

1) Методику проведения испытаний цифровых объектов "цифрового правительства" и критически важных цифровых объектов на соответствие требованиям кибербезопасности согласно приложению 1 к настоящему приказу;

2) Правила проведения испытаний цифровых объектов "цифрового правительства" и критически важных цифровых объектов на соответствие требованиям кибербезопасности согласно приложению 2 к настоящему приказу.";

Методику проведения испытаний цифровых объектов "цифрового правительства" и критически важных цифровых объектов на соответствие требованиям кибербезопасности, утвержденную указанным приказом, изложить в новой редакции согласно приложению 1 к настоящему приказу;

Правила проведения испытаний цифровых объектов "цифрового правительства" и критически важных цифровых объектов на соответствие требованиям кибербезопасности, утвержденные указанным приказом, изложить в новой редакции согласно приложению 2 к настоящему приказу.

2. Комитету по информационной безопасности Министерства искусственного интеллекта и цифрового развития Республики Казахстан в установленном законодательством Республики Казахстан порядке обеспечить:

1) государственную регистрацию настоящего приказа в Министерстве юстиции Республики Казахстан;

2) размещение настоящего приказа на интернет-ресурсе Министерства искусственного интеллекта и цифрового развития Республики Казахстан после его официального опубликования;

3) в течение десяти рабочих дней после государственной регистрации настоящего приказа в Министерстве юстиции Республики Казахстан представление в Юридический департамент Министерства искусственного интеллекта и цифрового развития Республики Казахстан сведений об исполнении мероприятий, предусмотренных подпунктами 1) и 2) настоящего пункта.

3. Контроль за исполнением настоящего приказа возложить на курирующего вице-министра искусственного интеллекта и цифрового развития Республики Казахстан.

4. Настоящий приказ вводится в действие с 12 июля 2026 года и подлежит официальному опубликованию.

Согласован Комитетом национальной безопасности Республики Казахстан

Приложение 1

к Приказу исполняющего обязанности министра искусственного интеллекта и цифрового развития Республики Казахстан от 22 июня 2026 года №345/НК

Приложение 1

к Приказу Министра цифрового развития, оборонной и аэрокосмической промышленности Республики Казахстан от 3 июня 2019 года №111/НК

Методика проведения испытаний цифровых объектов "цифрового правительства" и критически важных цифровых объектов на соответствие требованиям кибербезопасности

Глава 1. Общие положения

1. Настоящая Методика проведения испытаний цифровых объектов "цифрового правительства" и критически важных цифровых объектов на соответствие требованиям кибербезопасности (далее – Методика) разработана в соответствии с подпунктом 5) статьи 7-1 Закона Республики Казахстан "О кибербезопасности" и подпунктом 52) пункта 15 Положения о Министерстве искусственного интеллекта и цифрового развития Республики Казахстан, утвержденного постановлением Правительства Республики Казахстан от 9 октября 2025 года №846.

2. В настоящей Методике используются следующие понятия и сокращения:

1) программная закладка – скрытно внесенный в программное обеспечение (далее – ПО) функциональный объект, осуществляющий несанкционированный доступ и (или) воздействие на цифровой объект;

2) бэкдор – вредоносное ПО для получения несанкционированного доступа к программному обеспечению путем обхода аутентификации, а также других стандартных методов и технологий безопасности;

3) недекларированные возможности (далее – НДВ) – функциональные возможности ПО, не отраженные или не соответствующие описанным в нормативно-технической документации;

4) ручное тестирование на проникновение – легитимная оценка защищенности цифровых объектов с применением безопасных и контролируемых атак, выявлением уязвимостей и попытками их эксплуатации без реального ущерба деятельности заявителя;

5) прикладное программное обеспечение – комплекс программного обеспечения для решения прикладной задачи определенного класса предметной области;

6) поставщик – государственная техническая служба или аккредитованная испытательная лаборатория;

7) государственная техническая служба – государственное юридическое лицо, созданное по решению Правительства Республики Казахстан;

8) уязвимость – недостаток цифрового объекта, создающий угрозу кибербезопасности;

9) заявитель – собственник или владелец объекта испытаний, а также физическое или юридическое лицо, уполномоченное собственником или владельцем объекта испытаний, подавший(ее) заявку на проведение испытаний цифрового объекта на соответствие требованиям кибербезопасности;

10) доверенный канал – средство взаимодействия между функциями безопасности объектов испытаний (далее – ФБО) и удаленным доверенным продуктом цифровых технологий, обеспечивающее необходимую степень уверенности в поддержании политики безопасности объектов испытаний;

11) доверенный маршрут – средство взаимодействия между пользователем и ФБО, обеспечивающее уверенность в поддержании политики безопасности объектов испытаний;

12) интернет-портал SYNAQ – интернет-портал государственной технической службы, предназначенный для автоматизации процесса оказания услуги по испытаниям цифровых объектов на соответствие требованиям кибербезопасности;

13) объект испытаний – цифровой объект, в отношении которого проводятся работы по испытанию на соответствие требованиям кибербезопасности;

14) сегмент сети (подсеть) объекта испытаний – логически выделенный сегмент сети объекта испытаний;

15) функциональный объект – элемент (процедура, функция, ветвь или иная компонента) ПО, выполняющий действия по реализации законченного фрагмента алгоритма программы;

16) маршрут выполнения функциональных объектов – определенная алгоритмом последовательность выполняемых функциональных объектов;

17) среда штатной эксплуатации – целевой набор серверного оборудования, сетевой инфраструктуры, системного программного обеспечения, используемый на этапе опытной эксплуатации (пилотного проекта) и предназначенный для применения на этапе промышленной эксплуатации цифрового объекта.

3. Проведение испытаний включает:

1) анализ исходных кодов;

2) испытание функций кибербезопасности;

3) нагрузочное испытание;

4) обследование сетевой инфраструктуры;

5) обследование процессов обеспечения кибербезопасности.

Глава 2. Анализ исходных кодов

4. Анализ исходных кодов объектов испытаний проводится с целью выявления уязвимостей ПО в соответствии с международными классификациями уязвимостей (Common Weakness Enumeration, Open Web Application Security Project Top 10, Open Web Application Security Project Mobile Top 10, Open Web Application Security Project Application Programming Interface Top 10), международными базами данных уязвимостей (Common Vulnerabilities and Exposures, National Institute of Standards and Technology ) и стандартом Республики Казахстан 15408-3 "Информационные технологии. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования к обеспечению защиты".

Анализ исходных кодов объектов испытаний, отнесенных к цифровым объектам "цифрового правительства" проводится с целью выявления НДВ и уязвимостей ПО в соответствии с международными классификациями (Common Weakness Enumeration, Open Web Application Security Project Top 10, Open Web Application Security Project Mobile Top 10, Open Web Application Security Project Application Programming Interface Top 10), международными базами данных уязвимостей (Common Vulnerabilities and Exposures, National Institute of Standards and Technology) и стандартом Республики Казахстан 15408-3 "Информационные технологии. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования к обеспечению защиты".

5. Анализ исходных кодов проводится для ПО, перечисленного в таблицах подпункта 11) и подпункта 12) пункта 5 анкеты-вопросника о характеристиках объекта испытаний приложения 2 к Правилам проведения испытаний цифровых объектов "цифрового правительства" и критически важных цифровых объектов, на соответствие требованиям кибербезопасности (далее – Правила).

6. При выявлении необходимости проведения повторного анализа исходных кодов до окончания срока испытания, заявитель обращается с запросом к поставщику и заключает дополнительное соглашение о проведении повторного анализа исходных кодов в соответствии с пунктом 21 Правил.