Об утверждении Правил осуществления журналирования цифровых событий

В соответствии с пунктом 3 статьи 30-2 Закона Республики Казахстан "О кибербезопасности", ПРИКАЗЫВАЮ:

1 1. Утвердить прилагаемые Правила осуществления журналирования цифровых событий.

2 2. Комитету по информационной безопасности Министерства искусственного интеллекта и цифрового развития Республики Казахстан в установленном законодательством Республики Казахстан порядке обеспечить:

1 1) государственную регистрацию настоящего приказа в Министерстве юстиции Республики Казахстан;

2 2) размещение настоящего приказа на интернет-ресурсе Министерства искусственного интеллекта и цифрового развития Республики Казахстан после его официального опубликования;

3 3) в течение десяти рабочих дней после государственной регистрации настоящего приказа в Министерстве юстиции Республики Казахстан представление в Юридический департамент Министерства искусственного интеллекта и цифрового развития Республики Казахстан сведений об исполнении мероприятий, предусмотренных подпунктами 1) и 2) настоящего пункта.

3 3. Контроль за исполнением настоящего приказа возложить на курирующего вице-министра искусственного интеллекта и цифрового развития Республики Казахстан.

4 4. Настоящий приказ вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования.

| Исполняющий обязанности министра искусственного интеллекта и цифрового развития Республики Казахстан | М. Олжабеков |
|---|---|

"СОГЛАСОВАН" Комитет       национальной       безопасности Республики Казахстан

| | Утвержден приказом Исполняющий обязанности министра искусственного интеллекта и цифрового развития Республики Казахстан от 17 июля 2026 года № 420/НҚ |
|---|---|

Глава. Правила осуществления журналирования цифровых событий

Глава 1. Общие положения

1 1. Настоящие Правила осуществления журналирования цифровых событий (далее – Правила) разработаны в соответствии с пунктом 3 статьи 30-2 Закона Республики Казахстан "О кибербезопасности" и определяют порядок осуществления журналирования цифровых событий.

2 2. В настоящих Правилах используются следующие основные понятия:

1 1) пользователь с привилегированными правами – лицо, обладающее расширенными правами доступа к цифровым объектам, позволяющими изменять параметры функционирования систем, конфигурационные файлы, базы данных, а также управлять учетными записями и правами доступа других пользователей;

2 2) единый доверенный источник времени – это источник, обеспечивающий получение и распространение точных и согласованных данных о текущем времени, которые используются цифровыми объектами для синхронизации времени с международным стандартом UTC;

3 3) государственная техническая служба – государственное юридическое лицо, созданное по решению Правительства Республики Казахстан;

4 4) цифровое событие – зафиксированное в цифровой форме обстоятельство, возникшее в результате действий субъекта цифровой среды или функционирования цифрового объекта и отражающее параметры их взаимодействия в цифровой среде;

5 5) централизованная система сбора журналов цифровых событий – аппаратно-программный комплекс, обеспечивающий централизованный сбор журналов событий цифровых объектов, их хранение и дальнейшую передачу в систему управления событиями кибербезопасности;

6 6) журналирование цифровых событий – процесс систематической записи, сбора и хранения цифровых записей о событиях, происходящих в цифровых объектах, с целью последующего анализа, выявления отклонений и исследования инцидентов кибербезопасности;

7 7) единая платформа журналирования цифровых событий – цифровая платформа государственной технической службы, предназначенная для обеспечения сбора, мониторинга, анализа и хранения журналов цифровых событий, возникающих в результате действий пользователей с привилегированными правами в цифровых объектах "цифрового правительства".

Глава 2. Порядок осуществления журналирования цифровых событий

3 3. Собственники и (или) владельцы цифровых объектов государственных органов и цифровых объектов иных лиц, используемых государственными органами для цифровизации своей деятельности, осуществляют сбор цифровых событий в журналах цифровых событий.

4 4. В журналах цифровых событий осуществляется запись цифровых событий по следующим обязательным параметрам:
дата и время возникновения цифрового события (в формате ISO 8601, "2026-06-18T15:45:30+05:00");
идентификатор источника цифрового события;
тип цифрового события;
субъект цифровой среды, а также его действия, в результате которых наступило цифровое событие.
При наличии технической возможности у цифровых объектов дополнительно фиксируются:
IP-адрес источника;
IP-адрес назначения;
идентификатор сессии;
идентификатор процесса;
идентификатор корреляции транзакции.

5 5. Собственники и (или) владельцы цифровых объектов при записи цифровых событий используют единый доверенный источник времени для цифровых объектов. Отклонение в синхронизации времени между цифровыми объектами при журналировании цифровых событий не допускается.

6 6. Собственники и (или) владельцы цифровых объектов осуществляют учет цифровых событий в журналах цифровых событий по формату и типу записей журналов цифровых событий согласно приложению к настоящим Правилам .

7 7. Собственники и (или) владельцы цифровых объектов осуществляют сбор журналов цифровых событий, указанных в пункте 3 настоящих Правил, в централизованной системе сбора журналов цифровых событий.

8 8. В случае временного технического сбоя при передаче журналов цифровых событий в централизованную систему сбора журналов цифровых событий собственники и (или) владельцы цифровых объектов обеспечивают их локальное хранение до восстановления сетевого соединения.

9 9. Собственники и (или) владельцы цифровых объектов обеспечивают хранение журналов цифровых событий и их неизменность, осуществляя защиту журналов цифровых событий в цифровых объектах, указанных в пункте 3 настоящих Правил, от следующих действий:
удаления или редактирования (в том числе пользователями с привилегированными правами);
несанкционированного изменения;
подмены;
несанкционированного доступа.

10 10. Изменение параметров журналирования цифровых событий подлежит регистрации в журналах цифровых событий.

11 11. Собственники и (или) владельцы цифровых объектов обеспечивают хранение сведений в журналах цифровых событий не менее трех лет с момента их записи.

12 12. Для журналов цифровых событий за последние 90 (девяносто) календарных дней осуществляется хранение в оперативном доступе, а при превышении указанного срока – их перемещение в защищенное от несанкционированного доступа хранилище архивных журналов цифровых событий.

13 13. Собственники и (или) владельцы цифровых объектов осуществляют передачу журналов цифровых событий из своих централизованных систем сбора журналов цифровых событий в единую платформу журналирования цифровых событий.

14 14. Собственники и (или) владельцы цифровых объектов при передаче журналов цифровых событий из своих централизованных систем сбора журналов цифровых событий в единую платформу журналирования цифровых событий обеспечивают:
защиту передаваемой информации;
контроль целостности данных;
гарантированную доставку;
повторную передачу при возникновении сбоев на сетях связи.

15 15. Для архивных журналов цифровых событий собственниками и (или) владельцами цифровых объектов осуществляется периодический контроль их целостности.

16 16. Периодический контроль целостности архивных журналов цифровых событий осуществляется собственниками и (или) владельцами цифровых объектов с использованием криптографической защиты информации.

| | Приложение к Правилам осуществления журналирования цифровых событий |
|---|---|

Глава. Форматы и типы записей журналов цифровых событий

1 1. Форматы и типы записей журналов цифровых событий операционной системы

1 1. Типы цифровых событий операционной системы (далее – ОС), подлежащие журналированию:

1 1) запуск/остановка ОС;

2 2) работа с объектами ОС (открытие, сохранение, переименование, удаление, создание, копирование);

3 3) установка и удаление программного обеспечения (далее – ПО);

4 4) авторизация (вход и выход) пользователей в ОС, успешные и неуспешные попытки авторизации;

5 5) изменение системной конфигурации;

6 6) создание, удаление, модификация учетных записей;

7 7) активация/дезактивация систем защиты, таких как антивирусные системы и системы обнаружения вторжения, и средств ведения журнала цифровых событий;

8 8) изменение или попытки изменения настроек и средств управления защитой системы;

9 9) использование учетных записей пользователей с привилегированными правами;

10 10) подключение/отключение устройства ввода/вывода;

11 11) неудавшиеся или отвергнутые действия пользователя;

12 12) неудавшиеся или отвергнутые действия, затрагивающие данные и другие ресурсы;

13 13) запуск, остановка процессов в ОС.

2 2. Журнал цифровых событий ОС содержит следующие поля:

1 1) дата и время (формат даты: ДД: ММ: ГГГГ, формат времени: ЧЧ: ММ: СС);

2 2) наименование хоста;

3 3) описание цифровых события.

3 3. Для серверных ОС семейства Unix-подобных систем (Unix, Linux, AIX, HPUX и др.) дополнительно к цифровых событиям, указанных в пункте 1 настоящего Приложения к Правилам журналирования цифровых событий (далее – Приложение), фиксируются следующие цифровых события:

1 1) подключение идентичной учетной записи с разных IP-адресов на один и тот же сервер;

2 2) открытие новых портов в ОС;

3 3) всех цифровых событий в ключевых логах: /var/log/secure, /var/log/messages, /var/log/audit.

4 4. Для серверных ОС семейства Windows, дополнительно к цифровым событиям, указанным в пункте 1 настоящего Приложения, фиксируются следующие цифровые события:

1 1) присвоение специальных привилегированных прав новому сеансу (logon) – Windows EID 4672;

2 2) сетевой вход (Network logon) – Windows EID 4624;

3 3) доступ к сетевой папке администратора (administrative share access) и доступ к SMB каналам (pipes) – Windows EID 5140/5145;

4 4) доступ к объекту "Файл" с правами "Запись данных" или "Добавление файла–Windows" EID 4663;

5 5) запуск потенциально опасных процессов (WmiPrvSE.exe, WinrsHost.exe, wsmprovhost.exe, mmc.exe, psexe*.exe, paexe*.exe) – Sysmon EID 1;

6 6) установка и запуск службы (сервиса) – Windows EID 7045/7036/4697;

7 7) создание или изменение параметров заданий в планировщике задач (scheduled tasks) – Windows EID 4698/4702;

8 8) достигнут таймаут службы– Windows EID 7009;

9 9) ошибка при запуске службы – Windows EID 7000;

10 10) изменено значение реестра – Windows EID 4657;

11 11) запись в пространство имен WMI – Windows EID 4662.

5 5. Записи в журналах цифровых событий хранятся в текстовом формате.

6 6. Значения полей журналов цифровых событий разделяются символами-разделителями, в случае если поле имеет длинный формат и в содержании поля присутствует символ-разделитель, применяются символы-ограничители полей.

7 7. Для журналов цифровых событий используется кодировка UTF-8.

8 8. В один файл журнала цифровых событий не допускается включение записи цифровых событий, имеющих разные форматы данных.

2 2. Форматы и типы записей журналов цифровых событий системы управления базами данных

9 9. Типы цифровых событий системы управления базами данных, подлежащие журналированию:

1 1) контроль сессий (успешная/неуспешная авторизация, регистрация использования незарегистрированных учетных записей);

2 2) все действия пользователей системы управления базы данных (далее – СУБД) имеющих привилегированные права (включая команды select, create, alter, drop, truncate, rename, insert, update, delete, call (execute), lock);

3 3) все действия пользователей с привилегированными правами в СУБД (grant, revoke, deny).

10 10. Журнал цифровых событий СУБД содержит следующие поля:

1 1) дата и время (формат даты: ДД: ММ: ГГГГ, формат времени: ЧЧ: ММ: СС);

2 2) имя учетной записи/ID пользователя;

3 3) IP-адрес хоста или наименование хоста;

4 4) описание цифрового события;

5 5) наименование объекта (таблицы, процедуры, функции, при возможности реализации).

11 11. Записи в журналах цифровых событий хранятся в текстовом формате.

12 12. Значения полей журналов цифровых событий разделяются символами-разделителями, в случае если поле имеет длинный формат и в содержании поля присутствует символ-разделитель, применяются символы-ограничители полей.

13 13. Для журналов цифровых событий используется кодировка UTF-8.

14 14. В один файл журнала цифровых событий не допускается запись цифровых событий, имеющих разные форматы данных.

3 3. Форматы и типы записей журналов цифровых событий телекоммуникационного оборудования

15 15. Типы цифровых событий телекоммуникационного оборудования (далее – ТКО), подлежащие журналированию:

1 1) запуск/остановка ТКО;

2 2) изменение системной конфигурации;

3 3) создание, удаление, модификация локальных учетных записей;

4 4) использование учетных записей пользователей с привилегированными правами;

5 5) подключение/отключение устройства ввода/вывода;

6 6) неудавшиеся или отвергнутые действия пользователя;

7 7) запуск, падение, остановка сетевых линков (коннектов).

16 16. С межсетевых экранов (при наличии технической возможности) ведется запись логов всего трафика (входящего и исходящего), а также запись всех цифровых событий на ТКО.

17 17. Журнал цифровых событий ТКО содержит следующие поля:

1 1) дата и время (формат даты: ДД: ММ: ГГГГ, формат времени: ЧЧ: ММ: СС);

2 2) наименование ТКО;

3 3) имя учетной записи/ID пользователя;

4 4) IP-адрес хоста;

5 5) IP-адрес источника;

6 6) IP-адрес назначения;

7 7) описание цифрового события.

18 18. Записи в журналах цифровых событий хранятся в текстовом формате.

19 19. Значения полей журналов цифровых событий разделяются символами-разделителями, в случае если поле имеет длинный формат и в содержании поля присутствует символ-разделитель, применяются символы-ограничители полей.

20 20. Для журналов цифровых событий используется кодировка UTF-8.

21 21. В один файл журнала цифровых событий не допускается запись цифровых событий, имеющих разные форматы данных.

4 4. Форматы и типы записей журналов цифровых событий прикладного программного обеспечения

22 22. Типы цифровых событий прикладного программного обеспечения (далее – ППО), подлежащие журналированию:

1 1) авторизация (вход и выход) пользователей, успешные и неуспешные попытки авторизации;

2 2) создание, копирование, перемещение, удаление, модификация локальных учетных записей и конфигурационных файлов;

3 3) неудавшиеся или отвергнутые действия пользователя;

4 4) получение пользователем доступа к объектам доступа;

5 5) действия пользователей ППО (доступ к объекту (данным), изменения объекта (данных), удаления объекта (данных)).

23 23. Журнал цифровых событий ППО содержит следующие поля:

1 1) дата и время (формат даты: ДД: ММ: ГГГГ, формат времени: ЧЧ: ММ: СС);

2 2) наименование источника цифрового события (сервис/служба);

3 3) имя учетной записи/ID пользователя;

4 4) IP-адрес пользователя;

5 5) время начала операции;

6 6) время окончания операции;

7 7) описание цифрового события.

24 24. Записи в журналах цифровых событий хранятся в текстовом формате.

25 25. Значения полей журналов цифровых событий разделяются символами-разделителями, в случае если поле имеет длинный формат и в содержании поля присутствует символ-разделитель, применяются символы-ограничители полей.

26 26. Для журналов цифровых событий используется кодировка UTF-8.

27 27. В один файл журнала цифровых событий не допускается запись цифровых событий, имеющих разные форматы данных.

5 5. Форматы и типы записей журналов цифровых событий, выявляемые средствами защиты информации

28 28. Типы цифровых событий, выявляемые средствами защиты информации (далее – СЗИ), подлежащие журналированию:

1 1) создание, копирование, перемещение, удаление, модификация локальных учетных записей и конфигурационных файлов;

2 2) запуск/остановка СЗИ;

3 3) изменение системной конфигурации;

4 4) создание, удаление, модификация локальных учетных записей.

29 29. Журнал цифровых событий СЗИ содержит следующие поля:

1 1) дата и время (формат даты: ДД: ММ: ГГГГ, формат времени: ЧЧ: ММ: СС);

2 2) наименование источника цифрового события (компонент, сервис, служба);

3 3) имя учетной записи/ID пользователя;

4 4) IP-адрес клиента;

5 5) время начала операции;

6 6) время окончания операции;

7 7) описание цифрового события.

30 30. Записи в журналах цифровых событий хранятся в текстовом формате.

31 31. Значения полей журналов цифровых событий разделяются символами-разделителями, в случае если поле имеет длинный формат и в содержании поля присутствует символ-разделитель, применяются символы-ограничители полей.

32 32. Для журналов цифровых событий используется кодировка UTF-8.

33 33. В один файл журнала цифровых событий не допускается запись цифровых событий, имеющих разные форматы данных.

6 6. Форматы и типы записей журналов цифровых событий систем управления привилегированным доступом

34 34. Типы цифровых событий систем управления привилегированным доступом (далее – СУПД), подлежащие журналированию:

1 1) авторизация (вход и выход) пользователей в интерфейсе управления СУПД, успешные и неуспешные попытки авторизации, использование факторов усиленной аутентификации;

2 2) операции с паролями, сертификатами и ключами доступа в защищенном хранилище, включая их просмотр, копирование, выдачу и возврат;

3 3) автоматическая и принудительная смена (ротация) паролей или ключей на целевых цифровых объектах;

4 4) создание, удаление, модификация учетных записей, групп и политик доступа внутри СУПД;

5 5) начало, приостановка, возобновление и завершение сессий пользователей с привилегированными правами;

6 6) установление и завершение сессий доступа к целевым цифровым объектам (ОС, СУБД, ТКО) через СУПД;

7 7) фиксация соответствия реальной учетной записи пользователя и используемой им учетной записи пользователя с привилегированными правами на целевом цифровом объекте;

8 8) запись действий пользователя в видеоформате или в виде последовательности снимков экрана (скриншотов);

9 9) ввод команд, запуск процессов, скриптов и программных интерфейсов в рамках установленных сессий;

10 10) операции по передаче файлов через шлюз доступа (загрузка, выгрузка) с фиксацией наименований цифровых объектов;

11 11) создание запросов на предоставление временного или экстренного доступа, факты их одобрения или отклонения;

12 12) обнаружение нарушений установленных политик безопасности и автоматические действия по блокировке сессий или пользователей;

13 13) изменение системной конфигурации СУПД и параметров ведения журналов цифровых событий.

35 35. Журнал цифровых событий СУПД содержит следующие поля:

1 1) дата и время (формат даты: ДД: ММ: ГГГГ, формат времени: ЧЧ: ММ: СС);

2 2) имя персональной учетной записи пользователя (субъекта);

3 3) имя целевой учетной записи пользователя с привилегированными правами;

4 4) IP-адрес хоста источника;

5 5) IP-адрес или наименование целевого цифрового объекта;

6 6) тип используемого протокола или службы доступа;

7 7) описание цифрового события (содержание команды, заголовок окна, наименование файла или результат выполнения операции);

8 8) уникальный идентификатор сессии для сопоставления цифрового события с записью экрана (видеоархивом).

36 36. Записи в журналах цифровых событий хранятся в текстовом формате.

37 37. Значения полей журналов цифровых событий разделяются символами-разделителями, в случае если поле имеет длинный формат и в содержании поля присутствует символ-разделитель, применяются символы-ограничители полей.

38 38. Для журналов цифровых событий используется кодировка UTF-8.

39 39. В один файл журнала цифровых событий не допускается запись цифровых событий, имеющих разные форматы данных.