Azərbaycan Respublikasının Mərkəzi Bankı bankları, bank olmayan kredit təşkilatlarını, sığortaçıları və ödəniş qurumlarını tənzimləyir və onun informasiya texnologiyaları üzrə gözləntiləri dörd praktiki tələbə yığılır: datanı təsnifləndirin, ona girişi idarə edin və bu idarəni sübutla göstərin, hesabatdakı göstəricinin necə alındığını izah edə bilin və autsorsinqə verdiyiniz hər şeyə görə qurum kimi cavabdeh qalın.
Aşağıdakıların hamısı bu dördün açılışıdır. Çərçivə vacibdir, çünki nəzarət altındakı qurumlar Mərkəzi Bank tələblərini tez-tez təhlükəsizlik layihəsi kimi görür, halbuki işin böyük hissəsi data governance işidir.
VERIFY: Bu məqalə tələblərin formasını və onların mühəndislik nəticələrini təsvir edir. Hüquqi məsləhət deyil; konkret öhdəliklər, son tarixlər və hədlər istifadə edilməzdən əvvəl qüvvədə olan qaydaların mətni ilə və hüquq məsləhətçisi ilə dəqiqləşdirilməlidir. Bu sahədəki normativ sənədlərə 2022-ci ildən bəri dəfələrlə dəyişiklik edilib.
Hansı qurumlar əhatədədir və nə üzrə?
Mərkəzi Bankın nəzarət perimetri bankları və bank filiallarını, bank olmayan kredit təşkilatlarını, sığorta və təkrarsığorta şirkətlərini, ödəniş xidməti təchizatçılarını və onların ətrafındakı bazar infrastrukturunu əhatə edir. İT gözləntilərinin sıxlığı sistem əhəmiyyətinə görə dəyişir, tələb kateqoriyaları isə ümumən eynidir.
İnformasiya təhlükəsizliyi üzrə dayaq sənəd Mərkəzi Bankın İdarə Heyəti tərəfindən təsdiqlənmiş və 2022-ci il aprelin 1-dən qüvvədə olan Banklarda informasiya təhlükəsizliyinin idarə edilməsi haqqında Qaydalardır. Onun səciyyəvi cəhəti odur ki, yerli nəzarət çərçivəsi uydurmaq əvəzinə ISO/IEC 27000 seriyası üzərində qurulub — bu isə onun haqqında ən faydalı tək faktdır, çünki real ISO 27001-uyğun ISMS işlədən qurum işin böyük hissəsini onsuz da görüb.
Mərkəzi Bank sonradan informasiya təhlükəsizliyi tələblərini maliyyə bazarlarındakı nəzarət olunan qurumlara genişləndirib və sahə üzrə kibertəhlükəsizlik strategiyası, həmçinin daha geniş maliyyə sektoru üzrə strateji proqram dərc edib.
VERIFY: Bank olmayan nəzarət subyektləri üçün informasiya təhlükəsizliyi tələblərinin cari əhatəsini və hər hansı əvəzedici və ya dəyişiklik edən sənədin statusunu nəzarətləri xəritələməzdən əvvəl dəqiqləşdirin.
ISO 27000 əsaslı qayda əslində nə tələb edir?
Qayda idarəetmə sistemi standartı üzərində qurulduğu üçün tələbləri resept şəklində yox, struktur şəklindədir. Mühəndislik yükünün böyük hissəsini beş qrup daşıyır.
İdarəetməsi olan informasiya təhlükəsizliyi sistemi. Müəyyən edilmiş əhatə, risk qiymətləndirmə metodikası, siyasətlər dəsti, təyin olunmuş məsuliyyətlər və rəhbərliyin baxış dövrü. İdarəetmə sisteminin mənası ondadır ki, təhlükəsizlik bir dəfə qurulmur — işlədilir və nəzərdən keçirilir.
Aktivlərin inventarı və təsnifatı. Sadalamadığınızı qoruya bilməzsiniz və nəzarət dəsti təsnifatın mövcudluğunu güman edir. Bu, kağız üzərində ən çox ödənilən və praktikada ən az yerinə yetirilən tələbdir, çünki təsnifatı siyasətə yazmaq asan, real mühitə tətbiq etmək isə bahalıdır.
Təsnifata bağlanmış giriş nəzarəti. Ən az imtiyaz, dövri baxış, vəzifə bölgüsü və aktivin həssaslığına mütənasib nəzarətlər — bu isə yalnız hər aktivin həssaslığı həm maşının, həm baxıcının oxuya bildiyi yerdə qeyd olunanda məna kəsb edir.
İnsidentlərin idarə olunması və fasiləsizlik. Aşkarlama, cavab, bildiriş və sınaqdan keçmiş bərpa. Yoxlama zamanı ən çox diqqət çəkənlər tarixli sübut istehsal edənlərdir: insident jurnalları, sınaq nəticələri, bildiriş qeydləri.
Üçüncü tərəf və autsorsinq riski. Qurum autsorsinqə verdiyi funksiyalara görə cavabdeh qalır; bunun bulud xidmətləri üçün konkret nəticələri aşağıda müzakirə olunur.
Ortadakı üçünün praktiki tərcüməsi budur: quruma təsnifat, sahiblik və giriş qeydlərini daşıyan data aktivləri inventarı lazımdır — data catalog-un məqsədi də məhz budur. Buna təhlükəsizlik aləti problemi kimi yanaşan qurumlar heç kimin sadalamadığı mühitin üzərində güclü perimetr nəzarətləri ilə qalır.
Hesabatlıq öhdəliyi data baxımından nə tələb edir?
Data governance-ın könüllü olmaqdan çıxdığı yer nəzarət hesabatlığıdır və arxasındakı tələbi demək asan, ödəmək isə tələbkardır: qurum hesabatdakı istənilən göstəricinin necə alındığını izah edə bilməlidir.
Hesabatdakı hər göstərici üçün bu, aşağıdakılar deməkdir:
Tərif. Göstərici nəyi, hansı an üçün, hansı daxiletmə və istisnalarla sayır. Şifahi bilik kimi yox, təsdiqlənmiş termin kimi saxlanılır.
Alınma yolu. Hansı mənbə sistemləri, hansı sütunlar, hansı çevrilmələr, hansı ardıcıllıqla. Bu, sütun səviyyəli lineage-dir və müfəttişə bir günortada cavab verməklə hesablamanı yaddaşdan bərpa etmək arasındakı fərqdir.
Nəzarət tarixçəsi. Girişlərə hansı keyfiyyət qaydaları tətbiq olunur, nə pozulub, nə qərara alınıb və kim tərəfindən.
Sahib. Göstəriciyə görə cavabdeh adlı şəxs — komanda yox, «Maliyyə» də yox.
Qurumların çoxunda boşluq ikincidədir. Təriflər var, nəzarətlər hansısa formada var, sahibliyi tez müəyyən etmək olar. Alınma yolunda isə cavab çoxdan burada işləyən bir adamdır və bu cavab məhz nəzarətin aşkarlamaq üçün qurulduğu şəkildə kövrəkdir. Konkret olaraq hesabat göstəriciləri üzrə — bütün mühit üzrə yox — avtomatik sütun səviyyəli lineage nəzarət altındakı qurumun edə biləcəyi ən yüksək gəlirli governance investisiyasıdır və nəzarət altında dayanıqlı governance təcrübələrinin özəyidir.
Autsorsinq və bulud necə idarə olunmalıdır?
Nəzarət çərçivələrində ümumi prinsip budur və Mərkəzi Bank istisna deyil: autsorsinq icranı ötürür, cavabdehliyi yox. Qurum onun adından emal olunan datanın məxfiliyinə, tamlığına və əlçatanlığına görə cavabdeh qalır və təchizatçıya nəzarət edə bildiyini nümayiş etdirməlidir.
Arxitektura baxışlarında qalxan praktiki nəticələr:
Təchizatçının nəzarətləri sizə görünməlidir. Zəmanət hesabatları, audit hüquqları və müfəttişin təchizatçının işlətdiyi nəzarət haqqında sualına cavab verməyə kifayət edən şəffaflıq.
Çıxış planlaşdırılmalıdır. Konsentrasiya riski və funksiyanı geri qaytarmaq və ya köçürmək imkanı standart nəzarət narahatlıqlarıdır və bunlar dizayn mərhələsində verilən arxitektura qərarlarıdır.
Datanın yeri nəzarətdən ayrı sualdır. Şəxsi məlumatı Azərbaycandan kənarda saxlayan, əla nəzarətləri olan təchizatçı Şəxsi məlumatlar haqqında Qanun baxımından sərhədlərarası ötürmə sualını doğurur — təchizatçının nə qədər yaxşı işləməsindən asılı olmayaraq. Ötürmə qaydaları və mühəndis komandaları üçün konkret tələlər Azərbaycanda data rezidentliyi və şəxsi məlumat qanunu məqaləsindədir.
VERIFY: Əhəmiyyətli autsorsinq və bulud razılaşmaları üzrə cari bildiriş, təsdiq və hesabat öhdəliklərini — o cümlədən hər hansı ilkin razılıq tələbini və core banking funksiyalarına xas məhdudiyyətləri — hüquq məsləhətçisi ilə və birbaşa Mərkəzi Bankın müvafiq qaydası ilə dəqiqləşdirin.
Praktikada şablon belədir: buradakı nəzarət altındakı qurumlar analitik və AI infrastrukturunu ilk növbədə üstünlük məsələsi kimi yox, ötürmə qaydaları, autsorsinq nəzarəti və çıxış planlaşdırmasının birləşməsi daxili variantı əsaslandırmağı əhəmiyyətli dərəcədə asanlaşdırdığı üçün on-premise qurur. Bu mühakimə suveren AI məqaləsində geniş açılıb.
Bu, konkret olaraq AI sistemləri üçün nə deməkdir?
Nəzarət altındakı qurumlar AI tətbiq edir və onunla birlikdə gələn nəzarət sualları mövcud sualların tanış variantlarıdır.
Sistem hansı datanı görür? Daxili sənədlərə retrieval girişi olan assistent mövcud dataya yeni giriş yoludur. Altdakı aktivlər təsniflənib və girişə nəzarət olunursa, cavab sadədir. Yoxdursa, AI layihəsi indicə nəzarətsiz giriş yolu yaradıb — məhz buna görə pilot təklif olunan anda AI-a bitişik mühitin təsnifatı təcili məsələyə çevrilir.
İnferens harada baş verir? Müştəri məlumatı olan prompt xarici API-yə çatırsa, bu, saxlanma vədlərindən asılı olmayaraq şəxsi məlumatın sərhədlərarası ötürülməsidir. Deployment mövqeyi sualı ona görə miqyaslama anında yox, pilotdan əvvəl həll olunmalıdır.
Nəticəni izah edə bilirsinizmi? Müştəriyə təsir edən qərarlar üçün quruma sistemə nəyin verildiyinin, nə istehsal etdiyinin və kimin əsasında hərəkət etdiyinin qeydi lazımdır. Bu, audit izi tələbidir və eyni tələbi ISO/IEC 42001 auditi də qoyur; həmin standartın doqquz məqsəd altındakı 38 Annex A nəzarəti ISO 27000-uyğun qurumun onsuz da işlətdiyi ISO 27001 mexanizminə səliqəylə oturur.
Kim cavabdehdir? Model sahibliyi, prompt və model versiyaları üzərində change control və sistemi istismardan çıxarmaq üçün müəyyən edilmiş proses.
Bunların heç biri ekzotik deyil. Bunlar mövcud nəzarət ailələridir — inventar, təsnifat, giriş, change control, jurnal, üçüncü tərəf riski — yeni aktiv sinfinə tətbiq olunur. AI governance-ı ayrıca proqram kimi görən qurumlar işi ikiqat edir; mövcud nəzarət dəstini genişləndirənlər isə onu udur.
VERIFY: Mərkəzi Bankın nəzarət altındakı qurumlara tətbiq olunan AI üzrə xüsusi təlimat, gözlənti və ya hesabat tələbi dərc edib-etmədiyini dəqiqləşdirin və dərcdən əvvəl məzmununu burada əks etdirin.
Hansı nəzarətlər hansı ardıcıllıqla qurulmalıdır?
Hər mərhələdə ən çox nəyin qarşısını açdığına əsaslanan işlək ardıcıllıq.
Birinci — kritik datanın inventarı və təsnifatı. Bütün mühit yox. Nəzarət hesabatlarında görünən data, şəxsi məlumat ehtiyatları və analitika ya da AI layihələrinin əl atdığı aktivlər. Bu olmadan sonrakı hər nəzarət kor tətbiq olunur.
İkinci — sahiblik. Hər data domeni üzrə adlı şəxs, onun altında steward-lar və səlahiyyəti olan qərar forumu. Bu, təşkilati işdir və mümkün etdiyi texniki işdən uzun çəkir, ona görə erkən başlayır. Rol tərifləri data stewardship rolları və işlək RACI məqaləsindədir.
Üçüncü — sübut istehsal edən dövr kimi giriş baxışı. Biznes sahibinin baxışı, defolt olaraq ləğv, tarixli artefaktlar, həssaslığa uyğun dövr.
Dördüncü — hesabat göstəriciləri üzrə lineage. Əl ilə bəyan yox, SQL-dən, ETL təriflərindən və sorğu jurnallarından avtomatik — çünki əl ilə yazılan lineage yalnız yazıldığı gün dəqiqdir.
Beşinci — hesabat göstəricilərinin girişlərinə keyfiyyət qaydaları. Əvvəlcə tamlıq və etibarlılıq, pozulmuş qaydadan mənasını qərara alan adama qədər müəyyən edilmiş yolla. İqtisadiyyatı və uğursuzluq formaları data quality governance proqramında harada dayanır məqaləsindədir.
Altıncı — həqiqətən icra olunan saxlama və silmə. Heç kimin tətbiq etmədiyi siyasət yox, jurnalı olan qrafikli işlər.
Yeddinci — nəzarət xəritəsi. Bir nəzarət dəsti, Mərkəzi Bank tələblərinə, şəxsi məlumat qanununa və qurumun məruz qaldığı istənilən xarici rejimə xəritələnmiş. Hər növbəti yoxlamanı əvvəlkindən ucuz edən artefakt məhz budur.
Ardıcıllıq vacibdir, çünki hər addım növbətinin ilkin şərtidir. Təsnifatsız giriş baxışı səhv şeylərə baxır. Sahibliyi olmayan keyfiyyət qaydaları heç kimin həll etmədiyi bildirişlər doğurur.
Yoxlama əslində necə keçir?
Beş sual təkrarlanır və qurumun hazırlığı hər birinə cavabın nə qədər vaxt aparması ilə ölçülür.
Bu dataya kimin girişi var və sonuncu dəfə nə vaxt baxılıb? Cavab ya artefaktdır, ya da heç nə.
Bu hesabat göstəricisi necə hesablanıb? Lineage, ya da bir adamın yaddaşı.
Təsnifat sxeminiz nədir və bu aktiv orada haradadır? Siyasət sənədi yox, catalog atributu — və ikisi uyğun gəlmirsə, müfəttiş bunu görəcək.
Bu dataya ehtiyac qalmayanda nə baş verir? Saxlama işi və onun jurnalı.
Bu dataya görə kim cavabdehdir? Sahiblik qeydi. Ən tez-tez yaxşı cavabı olmayan sual budur, çünki sahiblik departamentə verilib.
Bunlara bir günortada cavab verə bilən qurumlar mahiyyət üzrə keçir. Sual başına bir həftə hazırlıq tələb edən qurumlarda isə adətən nəzarətlər adekvat, sübutlar qeyri-adekvatdır — bunu düzəltmək göründüyündən ucuzdur: nəzarətlər var, sadəcə artefakt buraxmır. Çarə dizayn mərhələsindədir: hər nəzarətin nə istehsal etdiyinə, harada saxlandığına və nə qədər qaldığına əvvəlcədən qərar verin.
Tələblər şəxsi məlumat qanunu ilə necə kəsişir?
İki rejim üst-üstə düşür və tez-tez qarışdırılır.
Mərkəzi Bankın tələbləri nəzarət altındakı qurumun informasiya təhlükəsizliyini və əməliyyat riskini necə idarə etdiyini tənzimləyir. Şəxsi məlumatlar haqqında Qanun isə şəxsi məlumatın istənilən şəxs tərəfindən emalını tənzimləyir — qanuni əsas tələbi, şəxsi məlumatı emal edən informasiya sistemləri üçün dövlət qeydiyyatı rejimi və sərhədlərarası ötürmə şərtləri daxil olmaqla.
Arxitektura baxımından vacib kəsişmə budur: bank informasiya təhlükəsizliyi tələblərinə tam uyğun ola və eyni zamanda ötürmə üzrə pozuntuda ola bilər, çünki şifrələmə və giriş nəzarəti emalın harada baş verdiyi barədə heç nə demir. Əksinə, ölkədən heç vaxt çıxmayan data da lazımınca nəzarətdə olmaya bilər.
Aİ müştərilərinə xidmət edən qurumlar üçüncü qat əlavə edir, çünki GDPR-ın ekstraterritorial əhatəsi Aİ-dən kənarda aparılan emala da tətbiq oluna bilər. İki şəxsi məlumat rejimi arasında nəyin uzlaşdırılmalı olduğu GDPR və Azərbaycan data qorunması məqaləsindədir.
Düzgün struktur cavab üç paralel proqram yox, xəritəsi olan vahid nəzarət dəstidir. Bir giriş baxışı eyni anda həm Mərkəzi Bank gözləntisini ödəyir, həm də şəxsi məlumat nəzarətini sübut edir — bir şərtlə ki, hər ikisinin oxuya biləcəyi artefakt istehsal edəcək şəkildə dizayn olunsun.
Uyğun data arxitekturası necə görünür?
Orta ölçülü qurumda komponentlər konkret olaraq bunlardır:
Təsnifat, sahiblik və lineage saxlayan catalog — on-premise quraşdırılmış, core banking sistemini, warehouse-u, departament bazalarını və obyekt anbarını qrafiklə crawl edən. Yukon Labs nəzarət altındakı qurumlarda bunun üçün OvalEdge tətbiq edir; arxitektura, konnektor modeli və air-gapped quraşdırma yolu OvalEdge necə işləyir məqaləsində təsvir olunub.
Federativ sorğu qatı — analitiklərin hər sual üçün pipeline qurmadan və tənzimlənən datanın yeni kopyalarını yaratmadan sistemlər üzərində birləşdirmə etməli olduğu yerdə. Federasiyanı ötürmə qaydaları baxımından mərkəzləşdirmədən asan əsaslandırmaq olur, çünki heç nə yerini dəyişmir — arqument Starburst və Trino Azərbaycanda məqaləsində açılıb.
Giriş sorğusu iş axını — biznes sahibinə yönlənən, qərarı qeyd edən və girişi ikinci avtorizasiya orqanına çevrilmək əvəzinə mənbə sistemində icra edən.
Jurnalı olan saxlama işləri — təsnifatla idarə olunan.
Əvvəlcədən qərara alınmış AI deployment mövqeyi — inferensin harada işlədiyi, retrieval əhatəsinin nə olduğu, nəyin jurnala yazıldığı. Buradakı nəzarət altındakı qurumların çoxu üçün bu, şüurlu ölçülmüş on-premise və ya private cloud inferens deməkdir; xərc və tutum mühakiməsi LLM-lərin on-premise tətbiqi məqaləsindədir.
Bunların heç biri ekzotik arxitektura deyil. İşlək edən şey təsnifatın sənəd yox, maşın oxuya bilən atribut olması və hər nəzarətin dizayna görə artefakt buraxmasıdır.
Qurumlarda boşluqlar adətən haradadır?
Dörd şablon təkrarlanır və heç biri texnologiya boşluğu deyil.
Hesabat perimetrinin içində güclü, kənarında yox. Tənzimləyici hesabatlıq yetkindir, çünki nəzarət onu ora məcbur edib; departament bazalarının və analitika mühitinin isə ümumiyyətlə sahibi yoxdur. AI layihələri datanı məhz ikinci kateqoriyadan götürür.
Təsnifat atribut yox, siyasətdir. Sxem var, aktivlər işarələnməyib, tətbiq isə hər platformada ayrıca qurulub və orada bir-birindən uzaqlaşır.
Sahiblik komandalara verilib. Kağız üzərində hər aktivin sahibi var, zəng edəcək adam isə yoxdur. Bu, yoxlamada dərhal üzə çıxır.
Artefaktı olmayan nəzarətlər. Baxış keçirilir; keçirildiyini heç nə qeyd etmir. Bağlanması ən ucuz olan boşluq budur və real nəzarət keyfiyyətinə nisbətdə zəif yoxlama nəticəsinin ən çox rast gəlinən səbəbi də elə budur.
Bunları müfəttişdən əvvəl yoxlamağın strukturlu yolu data governance yetkinlik modelində, proqramların bunlarda niyə dayandığının təşkilati səbəbləri isə ən çox rast gəlinən data governance çətinlikləri məqaləsindədir.
Əsas məqamlar
- Mərkəzi Bankın informasiya təhlükəsizliyi qaydası ISO/IEC 27000 seriyası üzərində qurulub, ona görə real ISMS işlədən qurum yolun böyük hissəsini keçib.
- Dörd praktiki tələb üstünlük təşkil edir: datanı təsnifləndirmək, girişi idarə edib sübutlamaq, hesabat göstəricilərinin necə alındığını izah etmək, autsorsinqə verilən funksiyalara görə cavabdeh qalmaq.
- Bütün mühit üzrə yox, hesabat göstəriciləri üzrə sütun səviyyəli lineage nəzarət altındakı qurum üçün ən yüksək gəlirli governance investisiyasıdır.
- Autsorsinq icranı ötürür, cavabdehliyi heç vaxt. Təchizatçının şəffaflığı, çıxış planı və datanın yeri ayrı-ayrı suallardır.
- AI yeni nəzarət ailəsi gətirmir. İnventarı, təsnifatı, girişi, change control-u və jurnalı yeni aktiv sinfinə tətbiq edir.
- Ardıcıllıqla qurun: təsnifat, sahiblik, giriş baxışı, lineage, keyfiyyət, saxlama, nəzarət xəritəsi. Hər addım növbətinin ilkin şərtidir.
- Ən çox rast gəlinən boşluq zəif nəzarətlər yox, artefakt buraxmayan nəzarətlərdir. Hər birinin nə istehsal etdiyinə dizayn mərhələsində qərar verin.
Yukon Labs Azərbaycanda nəzarət altındakı qurumlar üçün OvalEdge və on-premise analitika və AI infrastrukturu tətbiq edir. Hazırlıq qiymətləndirməsi yuxarıdakı beş yoxlama sualını birbaşa sınayır və boşluq siyahısı verir. Geniş regional mənzərə üçün Azərbaycanda data governance məqaləsindən başlayın.