Markaziy bank jismoniy shaxslarga masofadan moliyaviy xizmatlar ko‘rsatishda axborot xavfsizligi, kiberxavfsizlik va frod holatlarining oldini olish bo‘yicha minimal talablar to‘g‘risidagi nizomga o‘zgartirishlar loyihasini jamoatchilik muhokamasiga qo‘ydi. Amaldagi hujjat 2025-yil 23-dekabrda tasdiqlanib, 2026-yil 21-yanvarda Adliya vazirligida ro‘yxatdan o‘tgan.
Loyiha hozircha Normativ-huquqiy hujjatlar loyihalari muhokamasi portalida jamoatchilik muhokamasi bosqichida bo‘lib, muhokama yakunlariga ko‘ra o‘zgartirilishi mumkin. Taklif va mulohazalar 1-avgustgacha qabul qilinadi.
Spot loyiha bilan tanishib chiqib, unda qanday o‘zgarishlar taklif qilinayotganini tahlil qildi.
Biometriya
Loyihada eng ko‘p o‘zgarishlar aynan biometrik identifikatsiya bilan bog‘liq.
Hozir Nizomning 5-bandi foydalanuvchini ro‘yxatdan o‘tish bosqichida bevosita biometriyadan o‘tishga majbur qilmaydi — loyiha bunday talabni to‘g‘ridan-to‘g‘ri kiritadi: ilovada ro‘yxatdan o‘tishda masofadan biometrik identifikatsiyadan o‘tish kerak bo‘ladi.
Shu bilan birga, telefon raqamini JSHSHIR bilan solishtirish qoidasi ham aniqlashtirilmoqda. Endi, agar foydalanuvchining raqami uning shaxsiy JSHSHIRiga mos kelmasa, kartani ro‘yxatdan o‘tkazish va bog‘lash bloklanadi.
Loyiha yengillik kiritmoqda: agar telefon yaqin qarindosh — ota-ona, aka-uka, opa-singil, turmush o‘rtoq yoki farzand nomiga rasmiylashtirilgan va qarindoshlik belgilangan tartibda tasdiqlangan bo‘lsa, ro‘yxatdan o‘tkazishga ruxsat beriladi. Bunda mazkur qoida yuridik shaxslar nomiga rasmiylashtirilgan korporativ telefon raqamlariga tatbiq etilmaydi.
Ayni paytda, bank kartasini akkauntga biriktirish bo‘yicha talablar yumshatilmoqda. Hozir foydalanuvchi karta biriktirish uchun alohida OTP-kodni kiritishi va biometrik identifikatsiyadan o‘tishi kerak. Loyiha qabul qilinsa, biometrik tekshiruv talab qilinmaydi, faqat OTP-kodni kiritish kifoya bo‘ladi.
Xuddi shunday yondashuv nizomning 10-bandiga ham tatbiq etilmoqda. Hozir biometrik identifikatsiya akkauntga kirish, parolni tiklash, yangi qurilmadan kirish, ro‘yxatdan o‘tish va karta biriktirish kabi bir nechta amal uchun majburiy hisoblanadi. Yangi tahrirga ko‘ra, biometrik tekshiruv faqat parolni tiklash va yangi qurilmadan kirish holatlarida saqlab qolinadi. Akkauntga oddiy kirish, ro‘yxatdan o‘tish va bank kartasini biriktirishda esa bu talab olib tashlanadi.
Shuningdek, yangi qurilmadan akkauntga kirilganda yoki parol tiklanganda bank kartalari bilan bog‘liq tartib ham o‘zgaradi. Hozir bunday holatda ilovaga ulangan barcha kartalar avtomatik ravishda uzib qo‘yiladi va qurilmadagi operatsiyalar tarixi o‘chirib tashlanadi. Loyiha esa kartalarni to‘liq uzishni bekor qilmoqda — ular faqat vaqtincha nofaol holatga o‘tkaziladi va qayta faollashtirish uchun OTP-kodni kiritish kifoya bo‘ladi. Operatsiyalar tarixini o‘chirish haqidagi norma esa yangi tahrirdan chiqarib tashlangan.
Xabarnomalar
O‘zgartirishlarning ikkinchi yirik qismi mijozlarni xatarlar haqida qachon va qanday ogohlantirish tartibiga taalluqli.
Shunday holatlardan biri — foydalanuvchi qurilmasida zararli dasturlar borligi yoki masofadan boshqarilayotgani aniqlanganidir. Hozir amaldagi tartibga ko‘ra, bunday vaziyatda bank yoki to‘lov tashkiloti mijozni faqat SMS orqali xabardor qilishi shart.
Loyihaga ko‘ra, endi bunga muqobil usul ham joriy etiladi — mijozni mobil ilovadagi PUSH-xabarnoma orqali ham ogohlantirish mumkin bo‘ladi. Qaysi aloqa kanalidan foydalanishni bank yoki to‘lov tashkiloti o‘zi belgilaydi.
Moliyaviy operatsiyalar oldidan chiqariladigan ogohlantiruvchi xabarlarga nisbatan ham shunga o‘xshash yondashuv taklif etilmoqda. Hozir hisobvaraqlar o‘rtasidagi o‘tkazmalar, P2P o‘tkazmalari yoki xizmatlar uchun to‘lovni tasdiqlashdan oldin foydalanuvchiga operatsiyani aynan o‘zi, firibgarlar aralashuvisiz amalga oshirayotganini tasdiqlashni so‘rovchi ogohlantirish barcha operatsiyalar uchun majburiy hisoblanadi.
Loyihaga ko‘ra, bu talab yumshatiladi. Banklar va to‘lov tashkilotlari o‘zlarining xatarlarni boshqarish siyosatidan kelib chiqib, qaysi moliyaviy operatsiyalar oldidan bunday ogohlantirishni ko‘rsatishni mustaqil belgilaydi. Natijada ushbu norma barcha operatsiyalar uchun majburiy bo‘lmaydi, matndan esa aniq operatsiyalar ro‘yxati chiqarib tashlanadi.
Kartalarni bloklash o‘rniga vaqtincha nofaol qilish
Hozirgi tartibga ko‘ra, foydalanuvchi akkauntiga yangi qurilmadan kirsa yoki parolini tiklasa, akkauntga ulangan barcha bank kartalari mobil ilovadan avtomatik ravishda uziladi, shuningdek, ushbu qurilmadagi kartalar bo‘yicha operatsiyalar tarixi o‘chirib tashlanadi.
Loyihaga ko‘ra, kartalar endi to‘liq uzib qo‘yilmaydi. Ular faqat vaqtincha nofaol holatga o‘tkaziladi. Kartadan yana foydalanish uchun uni OTP-kod yordamida qayta faollashtirish kifoya qiladi. Operatsiyalar tarixini o‘chirish haqidagi norma esa yangi tahrirda olib tashlanmoqda.
P2P o‘tkazmalari
Bugungi kunda barcha P2P o‘tkazmalari albatta OTP-kod bilan tasdiqlanadi. Veb-saytlar orqali (mobil ilova orqali emas) pul o‘tkazmalarini amalga oshirish taqiqlangan.
Banklar va to‘lov tashkilotlari o‘zlarining firibgarlik xavfini boshqarish siyosatidan kelib chiqib, quyidagilarni mustaqil ravishda belgilashlari taklif etiladi:
- P2P o‘tkazmalarini OTP-kod bilan tasdiqlash me’zonlari;
- antifrod tizimining tasdig‘i talab etilmaydigan P2P o‘tkazmalarning maksimal miqdori.
Bundan tashqari, o‘tkazmani tasdiqlashda OTP-kod o‘rniga antifrod SMS-kodlar yoki boshqa muqobil autentifikatsiya usullaridan foydalanishga ruxsat beriladi. Veb-saytlar orqali P2P o‘tkazmalarini amalga oshirishga qo‘yilgan taqiq esa o‘zgarishsiz saqlanib qoladi.
Karta egasi ma’lumotlarini ko‘rsatish
Hozirgi tahrirga ko‘ra, ilovada karta egasining ismi to‘liq, familiyasidan esa faqat birinchi harfi ko‘rsatiladi. Pul o‘tkazmalari paytida oluvchining telefon raqami biriktirilgan karta egasining ma’lumotlari qisman yashiriladi.
Loyiha bilan karta egasining ismi va familiyasini qisman berkitish taklif etilmoqda, ya’ni shaxsiy ma’lumotlarni himoya qilish talablari kuchaytiriladi. Shuningdek, qisman yashiriladigan ma’lumotlar aynan pulni qabul qiluvchi karta egasiga tegishli ekani aniqlashtirilmoqda.
TLS talablari
Hozirda qoida ma’lumotlarni uzatish uchun 1.3 yoki undan yuqori versiyali Transport Layer Security (TLS) xavfsizlik protokolidan foydalanishni bevosita talab qiladi.
Muayyan versiya raqami o‘rniga raqamga qat’iy bog‘lanmagan holda TLS protokolining “qo‘llab-quvvatlanadigan (supported) “talqinidan foydalanish talabini kiritish taklif etilmoqda.
Avvalroq Spot Markaziy bank iyun oyida 21 ta bankni jarimaga tortgani haqida yozgan edi.
