Об утверждении требований к компетенциям руководителей и работников подразделений информационной безопасности, включая требования по повышению квалификации лиц, ответственных за обеспечение информационной безопасности

Действует Постановление ·№ 89 · по состоянию на 17.08.2026

Реквизиты и источник

Полное наименование: Об утверждении требований к компетенциям руководителей и работников подразделений информационной безопасности, включая требования по повышению квалификации лиц, ответственных за обеспечение информационной безопасности
Наименование (каз.): Ақпараттық қауіпсіздікті қамтамасыз етуге жауапты адамдардың біліктілігін арттыру жөніндегі талаптарды қоса алғанда, ақпараттық қауіпсіздік бөлімшелерінің басшылары мен жұмыскерлерінің құзыретіне қойылатын талаптарды бекіту туралы
Вид акта: Постановление
Юридическая сила: Действует
Код статуса в реестре: new
Номер: 89
Дата принятия: 21.09.2020
Показанная редакция: 20.03.2025 · действующая 146600_752183.rus
Последнее изменение: 20.03.2025
Язык текста: русский
НГР (номер госрегистрации): V2000021251
Идентификатор ЭКБ: 146600
Идентификатор редакции: 146600_752183
Первоисточник: ЭКБ zan.gov.kz (API)
Данные обновлены: 01.08.2026 12:43

0 Об утверждении требований к компетенциям руководителей и работников подразделений информационной безопасности, включая требования по повышению квалификации лиц, ответственных за обеспечение информационной безопасности

В соответствии с подпунктом 3) статьи 13-6 Закона Республики Казахстан от 4 июля 2003 года «О государственном регулировании, контроле и надзоре финансового рынка и финансовых организаций» Правление Агентства Республики Казахстан по регулированию и развитию финансового рынка ПОСТАНОВЛЯЕТ:

1 1. Утвердить прилагаемые Требования к компетенциям руководителей и работников подразделений информационной безопасности, включая требования по повышению квалификации лиц, ответственных за обеспечение информационной безопасности.

2 2. Управлению кибербезопасности в установленном законодательством Республики Казахстан порядке обеспечить:

1 1) совместно с Юридическим департаментом государственную регистрацию настоящего постановления в Министерстве юстиции Республики Казахстан;

2 2) размещение настоящего постановления на официальном

интернет-ресурсе Агентства Республики Казахстан по регулированию и развитию финансового рынка после его официального опубликования;

3 3) в течение десяти рабочих дней после государственной регистрации настоящего постановления представление в Юридический департамент сведений об исполнении мероприятия, предусмотренного подпунктом 2) настоящего пункта.

3 3. Контроль за исполнением настоящего постановления возложить на курирующего заместителя Председателя Агентства Республики Казахстан по регулированию и развитию финансового рынка.

4 4. Настоящее постановление вводится в действие с 1 января 2021 года и подлежит официальному опубликованию.

0 Требования к компетенциям руководителей и работников подразделений информационной безопасности, включая требования по повышению квалификации лиц, ответственных за обеспечение информационной безопасности

Приложение
к постановлению Правления
Агентства Республики Казахстан
по регулированию и развитию
финансового рынка
от 21 сентября 2020 года
№ 89
Требования
к компетенциям руководителей и работников
подразделений информационной безопасности, включая требования по повышению
квалификации лиц, ответственных за обеспечение информационной безопасности

1 Глава 1. Общие положения

1

1. Настоящие Требования к компетенциям руководителей и работников подразделений информационной безопасности, включая требования по повышению квалификации лиц, ответственных за обеспечение информационной безопасности (далее – Требования) разработаны в соответствии с Законом Республики Казахстан от 4 июля 2003 года «О государственном регулировании, контроле и надзоре финансового рынка и финансовых организаций» и устанавливают требования к компетенциям руководителей и работников подразделений информационной безопасности, включая требования по повышению квалификации лиц, ответственных за обеспечение информационной безопасности (далее – работники) финансовых организаций Республики Казахстан и филиалов банков-нерезидентов Республики Казахстан, филиалов страховых (перестраховочных) организаций-нерезидентов Республики Казахстан, филиалов страховых брокеров-нерезидентов Республики Казахстан (далее – организации) независимо от форм собственности.

2 2. В Требованиях используются следующие понятия:

1 1) информационная безопасность - состояние защищенности электронных информационных ресурсов, информационных систем и информационно-коммуникационной инфраструктуры от внешних и внутренних угроз;

2 2) домен - совокупность знаний в отдельной предметной области;

3 3) компетенция - результат усвоения информации, полученный в процессе обучения и личного опыта; совокупность знаний, теории и практики, относящихся к сфере обучения или работы; компонент квалификации, который подвергается оценке.

В Требованиях применяются термины и определения в соответствии с Межгосударственным стандартом ГОСТ ISO/IEC 17024-2014 «Оценка соответствия. Общие требования к органам, осуществляющим сертификацию персонала» (далее – Стандарт).

3 3. Требования основываются на принципах:

1 1) разграничения функциональных обязанностей по типовым должностям;

2 2) направленности на знания и навыки в области информационных технологий и информационной безопасности, включая кибербезопасность;

3 3) независимости от требований, предъявляемых производителями программного обеспечения и аппаратного оборудования к работникам;

4 4) баланса теоретических знаний и практических навыков, профессиональных компетенций, предъявляемых к типовым должностям;

5 5) использования типовых доменов.

4 4. Типовые должности в организации:

1 1) специалист - работник подразделения информационной безопасности, в функциональные обязанности которого входит обеспечение информационной безопасности организации;

2 2) руководитель - работник подразделения информационной безопасности, в функциональные обязанности которого входит организация деятельности подразделения информационной безопасности;

3 3) ответственный работник - работник, выполняющий одновременно функциональные обязанности специалиста и руководителя.

5 5. Разделение компетенций на домены предназначено для:

1 1) баланса возможностей и специфики организации по обеспечению информационной безопасности;

2 2) формирования требования с учетом квалификации, компетенции работников и особенностей бизнес-процессов организации;

3 3) расширения требований за счет создания новых доменов.

2 Глава 2. Состав доменов

6 6. Домены содержат минимально необходимый перечень компетенций, которые по усмотрению организации дополняются, расширяются при необходимости.

7 7. Состав типовых доменов:

1 1) базовый;

2 2) правовой;

3 3) организационный;

4 4) программно-аппаратный;

5 5) телекоммуникационный;

6 6) методы и средства обеспечения информационной безопасности;

7 7) управление рисками информационной безопасности;

8 8) управление инцидентами информационной безопасности.

8

8. Состав домена «базовый» - терминология и требования системы управления информационной безопасностью в соответствии с национальным стандартом Республики Казахстан СТ ISO/IEC 27001-2022 «Информационная безопасность, кибербезопасность и защита конфиденциальности. Системы менеджмента информационной безопасности. Требования» или международным стандартом ISO/IEC 27001:2022 «Information security, cybersecurity and privacy protection – Information security management systems - Requirements» (Информэйшн секьюрити, сайберсекьюрити энд прайвэси протекшн. Информэйшн секьюрити мэнэджмент системс - Реквайрментс) (Информационная безопасность, кибербезопасность и защита частной жизни - Системы менеджмента информационной безопасности - Требования).

9 9. Состав домена «правовой»:

1 1) национальные, международные стандарты в области информационной безопасности;

2 2) законодательные и нормативные правовые акты в области информационной безопасности;

3 3) методические документы уполномоченных органов по защите информации.

10 10. Состав домена «организационный»:

1 1) основы, цели, принципы управленческой деятельности;

2 2) основы информационно-аналитической деятельности;

3 3) основные организационные меры и мероприятия по защите информации.

11 11. Состав домена «программно-аппаратный»:

1 1) общие принципы функционирования программно-аппаратных средств;

2 2) принципы построения, работы программно-аппаратных комплексов защиты информации;

3 3) порядок устранения неисправностей программно-аппаратных средств защиты информации.

12 12. Состав домена «телекоммуникационный»:

1 1) принципы построения информационных систем и сетей телекоммуникаций;

2 2) источники угроз информационной безопасности в сетях телекоммуникаций и меры по их предотвращению;

3 3) назначение, цели, возможности эксплуатируемых средств защиты информации на объектах телекоммуникаций;

4 4) методы и средства защиты информации от несанкционированного доступа в сетях телекоммуникаций.

13 13. Состав домена «методы и средства информационной безопасности»:

1 1) организационные аспекты информационной безопасности;

2 2) управление информационными активами;

3 3) управление доступом.

14 14. Состав домена «управление рисками информационной безопасности»:

1 1) процесс управления рисками информационной безопасности:

2 2) основные критерии менеджмента рисков;

3 3) оценка рисков информационной безопасности;

4 4) обработка, принятие рисков информационной безопасности.

15 15. Состав домена «управление инцидентами информационной безопасности»:

1 1) цели и задачи группы реагирования на инциденты;

2 2) план управления инцидентами.

3 Глава 3. Требования к знаниям и опыту работы

16 16. Обязательным для всех должностей является домен «базовый».

17 17. К специалисту дополнительно к домену «базовому» предъявляются требования о наличии компетенций не менее, чем по одному из доменов.

18 18. К специалисту предъявляется требование о соответствии одному из критериев:

1 1) наличие среднего специального или высшего образования по одному из доменов;

2 2) прохождение обучения по одному или более доменам;

3 3) опыт работы по одному и более доменам не менее двух лет;

4

4) наличие сертификата, подтверждающего знания и опыт по одному или более доменам, выданного в соответствии с требованиями Стандарта или Международного стандарта ISO/IEC 17024:2012 «Conformity assessment - general requirements for bodies operating certification of persons» (Комфомити ассесмент – дженерал реквайрментс фор бодиес оператинг сертификэйшн оф персонс) (Оценка соответствия. Общие требования к органам, осуществляющим сертификацию персонала) (далее – Международный стандарт).

19 19. Требования к руководителю включают в себя минимально необходимый перечень компетенций в соответствии с возложенными на подразделение информационной безопасности задачами.

20 20. К руководителю предъявляются требования о наличии высшего образования и опыта работы не менее трех лет по одному из доменов.

21 21. Оценка компетенций руководителя осуществляется в соответствии с внутренними документами организации. Решение о его соответствии оформляется документально.

21-1 21-1. Не менее пяти процентов работников подразделения информационной безопасности в организации, указанных в пункте 4 Требований, подтверждают соответствие критериям подпункта 4) пункта 18 Требований.

4 Глава 4. Требования по повышению квалификации лиц, ответственных за обеспечение информационной безопасности

22 22. Специалисты и руководители не реже одного раза в 3 (три) года повышают квалификацию путем прохождения обучения или сертификации по темам, указанным в доменах.

23 23. Подтверждением повышения квалификации специалистов и руководителей, ответственных за обеспечение информационной безопасности, является наличие документов о прохождении обучения и (или) сертификата, выданного в соответствии со Стандартом или Международным стандартом.