Türkmenistanyň Aragatnaşyk ministrliginiň 2026-njy ýylyň 23-nji iýulynda çykaran 116-iş belgili
BU Ý RU GY
Türkmenistanyň Ministrler Kabinetiniň ýanyndaky Ulag we kommunikasiýalar agentliginiň Baş direktorynyň 2021-nji ýylyň 2-nji dekabrynda çykaran 39-iş belgili buýrugy bilen tassyklanan, Internet web-saýtynyň döredilmeginde we işe girizilmeginde berjaý edilmäge degişli bir bitewi tehniki talaplaryna üýtgetmeler we goşmaçalar girizmek barada
2017-nji ýylyň 26-njy awgustynda kabul edilen “Hukuk namalary hakynda” Türkmenistanyň Kanunynyň 30-njy maddasyna we 2019-njy ýylyň 6-njy sentýabrynda kabul edilen “Kiberhowpsuzlyk hakynda” Türkmenistanyň Kanunyna laýyklykda, Internet web-saýtynyň döredilmeginde we işe girizilmeginde berjaý edilmäge degişli bir bitewi tehniki talaplaryny kämilleşdirmek maksady bilen, buýurýaryn:
1. Türkmenistanyň Adalat ministrliginde 2021-nji ýylyň 20-nji dekabrynda 1540 bellige alyş belgisi bilen döwlet belligine alnan, «Internet web-saýtynyň döredilmeginde we işe girizilmeginde berjaý edilmäge degişli bir bitewi tehniki talaplary tassyklamak hakynda» Türkmenistanyň Ministrler Kabinetiniň ýanyndaky Ulag we kommunikasiýalar agentliginiň Baş direktorynyň 2021-nji ýylyň 2-nji dekabrynda çykaran 39-iş belgili buýrugy bilen tassyklanan, Internet web-saýtynyň döredilmeginde we işe girizilmeginde berjaý edilmäge degişli bir bitewi tehniki talaplarynda:
1) üçünji böleginde:
a) 6-njy bendinde “topary.” diýen sözi “topary;” diýen söz bilen çalşyrmaly;
b) şu mazmunly bentleri goşmaly:
“7) API (Application Programming Interface) - programmalaryň arabaglanşygy, programma üpjünçilikleriniň biri-biri bilen gatnaşygy üçin ulanylýar;
8) Brute force – hasaba alyş ýazgynyň (akkaundyň) açar sözüni tapmak üçin açar sözüniň mümkin bolan ähli kombinasiýalaryny ýeke-ýekeden barlap görmek kiberhüjümi;
9) CMS (Content Management Systems) - mazmun dolandyryş ulgamy, web-sahypalaryň mazmunyny aňsatlyk bilen dolandyrmak üçin ulanylýar;
10) CSRF (Cross-Site Request Forgery) – HTTP protokolynyň gowşaklygyny ulanmak arkaly ýerine ýetirilýän kiberhüjümi;
11) DDoS (Distributed Denial of Service) - köp sanly kompýuterleriň (ýa-da gurallaryň) bir wagtyň özünde bir serwere ýa-da tor enjamyna kiberhüjüm edip, ony işlemez ýagdaýa getirmekdir;
12) 2FA (Two-Factor Authentication, iki tapgyrly autentifikasiýa) – ulanyjy haýsydyr bir ulgama giriş amala aşyranda onuň şahsy hasabyny anyklamak we ony goramak üçin niýetlenen goşmaça gorag usuly;
13) SFTP (SSH File Transfer Protocol) protokoly - howpsuz faýl geçiriji protokol bolup, maglumatlary şifrlenen görnüşinde geçirmek üçin niýetlenen;
14) SQL (Structured Query Language) - maglumatlar binýady bilen işlemek üçin standart dili;
15) URL (Uniform Resource Locator) - internetdäki resursyň ýerleşýän salgysy;
16) WAF (Web Application Firewall) – web-sahypalaryny we sanly hyzmatlary SQL Injection, XSS, CSRF, DDoS ýaly kiberhüjümlerden goramak üçin niýetlenen howpsuzlyk guraly;
17) XSS (Cross-Site Scripting) – web-saýtyň sahypalarynda zyýanly kodlary işletmäge mümkinçilik berýän kiberhüjümi;
18) “RSS (Really Simple Syndication) – web saýtdaky täze maglumatlary awtomatik usulda alyp görkezýän hyzmat”.
2) bäşinji bölege şu mazmunly bendi goşmaly:
“10) web saýtlarda RSS hyzmatynyň bolmagy göz öňünde tutulmaly we onuň dogry işlemegi üpjün edilmeli”;
3) sekizinji böleginde:
a) 1-nji bendini şu görnüşde beýan etmeli:
“1) internet web-saýtyň serweriniň (ngnix, apache we ş.m.) wersiýasy wagtly-wagtynda täzelenmelidir;”;
b) 4-nji bendinde “ulanylmalydyr.” diýen sözi “ulanylmalydyr;” diýen söz bilen çalşyrmaly;
ç) şu mazmunly bentleri goşmaly:
“5) howpsuzlyk täzelenmeleri we patçlary yzygiderli ulanylmalydyr;
6) internet web-saýtyň serweriniň zerurlygy bolmadyk portlary ýapylmalydyr (netstat -tuln, iptables);
7) internet web-saýta degişli bolup durýan sazlama faýllary (.env, settings.py) we direktoriýalary elýetmez (ýapyk) bolmalydyr;
8) giriş we çykyş trafigi süzmek üçin firewall (meselem, iptables, ufw) ulanylmalydyr;
9) SQL, XSS, CSRF kiberhüjümlerine garşy has giň gorag üçin WAF ulanylmalydyr;
10) köne wersiýaly protokollar (meselem: TLS1.0/1.1) hökmany ýagdaýda öçürilmelidir;
11) Brute force kiberhüjümlerine garşy gorag serişdeleri ulanylmalydyr (meselem, Fail2Ban);
12) TLS-iň häzirki (durnukly) wersiýasy bilen HTTPS-i hökmany ulanmalydyr;
13) internet web-saýtynda ulanylýan kitaphanalar wagtly-wagtynda täzelenmelidir;
14) internet web-saýtynyň sazlama faýlynda howpsuzlyk sözbaşylary “Content Security Policy” (Security headers) dogry we doly sazlanmalydyr;
15) HTTP Strict-Transport-Security, X-Content-Type-Options, X-Frame-Options ýaly howpsuzlyk sözbaşlary ulanylmalydyr;
16) web-serweriň (nginx, apache) wersiýasy gizlenmelidir.”;
4) dokuzynjy böleginde:
a) 3-nji bendinde “internet web-saýtyň faýllarynyň we maglumatlar binýadynyň wagtly-wagtynda “backup” görnüşde ätiýaçlyk nusgalary alynmalydyr we zerur bolan ýagdaýynda gysga wagtyň içinde işe girizmäge taýýar görnüşde saklanylmalydyr;” diýen sözleri “internet web-saýtyň faýllarynyň we maglumatlar binýadynyň wagtly-wagtynda “Backup” 3-2-1 standarty boýunça alynmalydyr, şifrlenen görnüşde saklanmalydyr we rugsatsyz adamlar üçin çäklendirilen bolmalydyr hem-de gysga wagtyň içinde işe girizmäge taýýar görnüşde saklanylmalydyr;” diýen sözler bilen çalşyrmaly;
b) 7-nji bendini şu görnüşde beýan etmeli:
“7) internet web-saýt bilen ulanyjynyň arasynda geçýän maglumatlaryň goragyny üpjün etmek maksady bilen, goragly HTTPS protokoly we SSL/TLS şahadatnamalary ygtybarly edara-kärhanalardan alnyp, internet web-saýtyna birikdirmelidir;”;
5) dokuzynjy böleginden soň şu mazmunly onunjy bölegi goşmaly:
“10. Internet web-saýtynyň dolandyryjy sahypasyna (admin paneli) kiberhowpsuzlyk boýunça bildirilýän talaplar:
1) ähli giriş synanyşyklar we administratiw hereketler sene, IP we ulanyjynyň ady bilen hasaba alynmalydyr;
2) dolandyryş paneline girmek 2FA bilen goralmalydyr;
3) 5 şowsuz synanyşykdan soň, giriş wagtlaýyn petiklenmelidir;
4) uzakdan birikmek üçin SSH açar (key) ulanylmalydyr;
5) IP we geolokasiýa arkaly giriş çäklendirilmelidir;
6) dolandyryş paneliniň URL baglanyşyk ady deslapkydan üýtgedilmelidir.”.
7) internet web-saýtynyň ulgamynda ulanylýan JWT (JSON Web Token) sessiýalarynda giriş (access token) gysga möhletli bolmaly, adatça 5-15 minut aralygynda güýje eýe bolmalydyr. Bu çäre ulgamda howpsuzlygy güýçlendirmek we üçünji taraplaryň bikanun giriş mümkinçilikleriniň öňüni almak maksady bilen alnyp barylýar;
8) täzeleýji tokenler (refresh token) uzak möhletli bolup bilýär (meselem: 7-30 gün), emma olar diňe ygtybarly ýagdaýda – goragly “HttpOnly” we “Seсure” atributly kuki-faýllarda ýa-da şifrlenen maglumat ammarlarynda saklanmalydyr;
9) täzeleýji tokenler her gezek täze token döredilende awtomatiki ýagdaýda çalşyrylmalydyr (“token rotasiýasy”) we öňki tokeniň güýji ýatyrylmalydyr;
10) ulgamda her bir JWT tokeniň özboluşly şahsy identifikatory (JTI) bolmaly we onuň rugsatnamasynyň güýjüni ýitirmek (reokasiýa) mümkinçiligi göz öňünde tutulmalydyr. Bu çäre administratora ýa-da howpsuzlyk ulgamyna tokeni yzyna çagyrmaga mümkinçilik berýär;
11) JWT tokenleriň möhletiniň tamamlanmagyndan soňra täze giriş diňe degişli täzeleýji tokeniň üsti bilen amala aşyrylmalydyr;
12) web-saýtyň serwerinde JWT tokenleriň dogrulygyny barlamak üçin häzirki zaman kriptoalgoritmler (meselem, RS256 ýa-da HS256) ulanylmalydyr;
13) ulanyjynyň ulgamdan çykmagy (logout) ýa-da howpsuzlyk hadysasy ýüze çykan ýagdaýynda degişli tokenleriň hemmesi tiz wagtda güýjüni ýitirmelidir;
14) JWT bilen baglanyşykly ähli hereketler (token döredilmegi, täzelenmegi, ýatyrylmagy) ýörite “audit log” ýazgylarda saklanylmalydyr;
15) JWT tokenleriň mazmunynda diňe zerur maglumatlar ýerleşdirilmeli, şahsy maglumatlar ýa-da howpsuzlyk üçin ähmiýetli gizlin maglumatlar açyk görnüşinde ýerleşdirilmeli däldir;
16) ulanyjy tarapyndan döredilen ähli tokenler diňe HTTPS protokoly arkaly geçirilmelidir.”.
2. Şu buýrugyň ýerine ýetirilişine Türkmenistanyň Aragatnaşyk ministriniň orunbasary Ý.Gulmämmedow we Türkmenistanyň Aragatnaşyk ministrliginiň ýanyndaky Döwlet kiberhowpsuzlyk gullugynyň başlygy gözegçilik etmeli.
Ministr H.Ş.Hudaýgulyýew
Türkmenistanyň Adalat ministrligi tarapyndan
2026-njy ýylyň 01-nji sentýabrynda 1966 bellige alyş belgisi
bilen döwlet belligine alyndy