Защита персональных данных в Казахстане: киберугрозы и уязвимости платформ

Параллельно МИИЦР вскрыло нарушения в защите персональных данных на платформе Daryn.online после сообщений об утечке. Связка двух новостей рисует рабочую схему: пока министерство рассказывает, как всё защищено, в инфраструктуре находят дыры.

Угрозы: человек как самое слабое звено

Фишинг, вредоносные программы, шифровальщики, перехват управления аккаунтом — ничего нового в этом списке нет, и в министерстве это понимают. Как уточнили в ведомстве, злоумышленники всё чаще атакуют не систему, а человека: торопят, запугивают, убеждают, что звонят из банка или госоргана. Технического взлома может и не быть — жертва сама отдаёт код из СМС или ставит приложение удалённого доступа. Самая дорогая IDS не спасёт, если пользователь решает «помочь» сотруднику «службы безопасности» и диктует пароль голосом по телефону.

Инфраструктура и реальный кейс

С 2018 года в Казахстане работает Национальный координационный центр кибербезопасности, с 2022-го — государственный оперативный центр G-SOC для защиты цифровых объектов госорганов. Для финансового рынка — отдельный отраслевой центр. Плюс 53 частных центра, десять испытательных лабораторий, пять служб реагирования на инциденты и частная Bug Bounty-платформа. Защита строится на мониторинге событий, анализе поведения и контроле доступа. ИИ заявлен как вспомогательный инструмент для поиска аномалий, а юридически значимые решения остаются за живыми людьми — правильно, потому что модель может нафантазировать, а подписывать акт придётся конкретному специалисту.

И тут же — практика. Zakon.kz и Azattyq Ruhy сообщают: после предполагаемой утечки данных пользователей Daryn.online (по данным источника, речь может идти о 4,2 млн записей) МИИЦР провёл проверку и нашёл нарушения требований законодательства в сфере защиты персональных данных. Ненадлежащее выполнение обязательных мер — формулировка вежливая; по сути это классика: где-то не настроили шифрование, где-то забыли про журналирование, где-то оператор базы не выполнил базовых требований.

Новые законы и практические последствия

В 2026 году в Казахстане заработали Цифровой кодекс и Закон «О кибербезопасности». Документы вводят обязательный аудит кибербезопасности, журналирование действий привилегированных пользователей в госсекторе и категорирование критически важных цифровых объектов. Сотрудники госорганов, акиматов и критической инфраструктуры обязаны ежегодно проходить обучение. Цифровой кодекс закрепляет понятия удаления, анонимизации, маскирования и хэширования; появятся реестр нарушений безопасности ПДн и реестр организаций, обрабатывающих такие данные. Владельцев баз классифицируют по объёму, а использующие открытые источники обязаны подтверждать законность сбора.

Для бизнеса и операторов — это жёсткий дедлайн на приведение процессов в соответствие: публичный реестр нарушений, обязательный аудит, привязка требований к масштабу. Рычаг давления, который рано или поздно прижмёт тех, кто годами держал базы на коленке. Принцип «знай, где твой актив и кто его трогает» универсален — работает и для данных в системе, и для товаров при хранении и перевозке. Контроль цепочки, верификация, журналирование — базовые правила, которые регулярно забывают.