Жалған дабыл мен шынайы дерт: қазақстандықтардың дерегі неге тәтті олжаға айналды?

Бірнеше сағаттың ішінде хабар жүздеген басылымға тарады. Бір күннен кейін Цифрлық даму министрлігі жауап берді: ведомство сатылымға шығарылған файлдарға қол жеткізіп, оның ішінде электрондық үкіметтің инфрақұрылымына еш қатысы жоқ, кездейсоқ файлдар мен суреттер жинағы жатқанын анықтады. Бұзу болмаған. Тексеруші сарапшылар да сол қорытындыға келді: хабарландыру авторы 2026 жылдың тамызында ғана тіркелген, дереккөзі көрсетілмеген, ал ең ықтимал түсіндірме — алаяқ ескі ағып кетулерден құрастырылған массивті дүрілдеген атаумен сатып, тез табыс табуға тырысқан. Бұл туралы Qazaqtoday порталы жазды.

Бір қарағанда, әңгіме осымен бітуі керек еді. Бірақ дәл осы жерде әлдеқайда маңызды сұрақ туады: неге қоғам бұл хабарға бірден сенді? Жауабы қарапайым — өйткені бір жыл бұрын дәл осындай ағып кету шынымен болған, оны министрліктің өзі растаған, ал жауап берген ешкім жоқ. Тамыздағы жалған дабыл — 2025 жылғы шынайы дерттің көлеңкесі. Бұл мақала сол екеуін ажыратып, түбірлі мәселені — Қазақстанда дербес деректің неге қорғалмай отырғанын — талдайды.

2025 жылғы шынайы ағып кету

2025 жылдың маусым айының ортасында интернетте 16,3 миллион жолдан тұратын CSV файлы табылды. Атауы — «Қазақстан тұрғындарының 2024 жылғы дерегі». Ішінде — аты-жөні, байланыс нөмірі, жеке сәйкестендіру нөмірі, жұмыс телефоны, кейбір жолдарда тіпті тұрғылықты жерге қоныстанған жылы. Жалпы ашық қолжетімділікке 15,8 миллион ЖСН мен 16 миллион телефон нөмірі шықты. Егер әр жол — бір адам десек, бұл елдің шамамен 70 пайызының дерегі деген сөз.

Оқиғаны алғаш жариялаған SecuriXy.kz Telegram арнасы да, кейін оны растаған Цифрлық даму министрлігі де дерек шынымен Қазақстан азаматтарына тиесілі екенін мойындады. Министрліктің Kazinform агенттігіне берген ресми жауабы: мемлекеттік ақпараттық жүйелердің бұзылу фактісі анықталмаған, дерек 2024 жылға жататын ескірген мәлімет, ал ағып кету жекеменшік сектордан немесе кәсіпкерлік ұйымдардан болған.

Міне, парадокс осында. Мемлекет өз жүйесі бұзылмағанын айтты — және бұл шындыққа ұқсайды. Бірақ мемлекеттің азаматтары туралы дерек бәрібір ағып кетті. Кімнен? Белгісіз. Кім жауап берді? Ешкім. Ал сол ағып кеткен массив, тексеруші сарапшылардың пікірінше, бір жылдан кейін «электрондық үкіметті бұзу» деген жаңа жапсырмамен қайта сатылымға шыққан болуы әбден мүмкін.

Негізгі талдау: жүйе неге осал?

1. Дерек кімнің қолында жатыр?

Киберқауіпсіздік сарапшысы Абылай Исиннің Kazinform-ға берген түсіндірмесі мәселенің түбірін ашады: жекеменшік сектордың — микроқаржы ұйымдарының, жеке клиникалардың, сауда компанияларының — азамат туралы дерек жинауға заңды құқығы бар. Микронесие рәсімдегенде, жеке дәрігерге барғанда адам деректі беруге міндетті. Алған ұйым оны қорғауға міндетті. Бірақ іс жүзінде бұл міндет орындала бермейді.

Исиннің дерегі бойынша, тек 2025 жылдың бірінші жартысында 43-тен астам ағып кету оқиғасы тіркелген, әрқайсысы шамамен 5-10 мың адамның дерегіне қатысты. Оның сөзімен айтқанда: «Ірі компаниялардағы кибергигиена деңгейі көңіл көншітпейді. Кейбіреулері өз дерегінің ұрланғанын да білмейді».

Цифрлық даму вице-министрі Ростислав Коняшкин де сол мәселені атады: ағып кетудің басым бөлігі жекеменшік ақпараттық жүйелердің осалдығынан болады, тіпті мемлекеттік бағдарламалар үшін жиналған дерек кейде жекеменшік құрылымдарда сақталады. Мемлекет тікелей бақыламайтын жүйелердегі деректің қорғанышы — әлдеқайда күрделі мәселе.

Бұл жерде алдыңғы талдауда көтерілген оператор-монополия тақырыбымен тікелей байланыс бар. Мобильді байланыс нарығын үш ойыншы бөлісіп отыр, әрқайсысында миллиондаған абоненттің дерегі жинақталған. Ал сол компаниялардың ақпараттық қауіпсіздікке қанша инвестиция салатыны — жабық сұрақ. Мемлекеттік бақылаудағы 570 нысанның ішінде байланыс пен ақпараттық технологиялар саласына тек 247-сі кіреді.

2. Айыппұл: 8 миллион теңге — қорқыныш па, шығын бабы ма?

Мәселенің екінші тамыры — жауапкершіліктің символдық деңгейі. 2023 жылдың қыркүйегінде депутаттар дербес деректі заңсыз жинағаны немесе өңдегені үшін айыппұл небәрі 10-нан 1 000 айлық есептік көрсеткішке дейін екенін атап, «біздің дерегіміз одан қымбат тұрады» деп ашық сынаған.

2025 жылдың қаңтарында Әкімшілік құқық бұзушылық кодексінің 79 және 641-баптары түзетіліп, шек 30-дан 2 000 АЕК-ке дейін көтерілді. Абылай Исин бұл өзгерісті оң бағалады: жоғарғы шек шамамен 8 миллион теңгеге жеткен. Бірақ сол сарапшының өзі бір қатал шындықты айтады: компанияларға ағып кету туралы жариялап, оны мойындағаннан гөрі, шағын айыппұл төлеген оңай. Ірі компания үшін 7-8 миллион теңге — қауіпсіздікті күшейтуге итермелейтін емес, шығын бабына жазылатын сома.

Ақпараттық қауіпсіздік сарапшысы Ерболат Тұрсынқожаның ұсынысы дәл осы жерден басталады: айыппұлды бекітілген сомамен емес, компанияның жылдық қаржы айналымының белгілі бір пайызы ретінде есептеу керек. Оның сөзінше, Еуропада бұл GDPR аясында жұмыс істейді, Ресейде «айналымдық айыппұл» ұғымы енгізілген, ал Қазақстанда әзірге жоқ.

Тұрсынқожаның екінші ұсынысы одан да маңызды: айыппұл мемлекетке төленеді, ал зардап шеккен азаматқа ештеңе тимейді. Компания зиянды тек мемлекетке емес, дерегі ағып кеткен нақты адамға да өтеуі тиіс. Бірақ мұнда құқықтық қиындық бар: біреу 100 мың, біреу миллион талап етеді, ал бірыңғай сома белгілесе — біреуге әділетсіз болып шығады.

Министрліктің өзі соңғы үш жылда дербес деректі қорғау бойынша 133 тексеру жүргізгенін хабарлады. Бірақ Kazinform-ның сұрауына берген ресми жауапта нақты жазаланғандар саны да, салынған айыппұлдың жалпы сомасы да көрсетілмеген. Бұл — ашықтықтың өзі мәселе екенінің белгісі.

3. Хабардар етпеу мәдениеті

Үшінші осалдық — компаниялардың зардап шеккендерге хабарламауы. Оңтүстік Корея заңы бойынша компания ағып кетуді 72 сағат ішінде хабарлауға міндетті, әйтпесе бөлек айыппұл төлейді. Қазақстанда мұндай қатаң норма тәжірибеде жұмыс істемейді. Ақпараттық қауіпсіздік комитетінің дербес деректі қорғау басқармасының басшысы Нұрбол Мұқашевтің айтуынша, электрондық үкімет порталында азаматтың қай ұйымға дерегін сақтауға келісім бергенін көріп, оны қайтарып алатын функция жоспарланған — өтініштен кейін компания деректі 15 жұмыс күні ішінде жоюға міндетті болмақ. Бұл — дұрыс бағыт, бірақ ол азамат өз дерегінің қайда жатқанын білгенде ғана жұмыс істейді.

4. Ағып кеткен дерек қайда барады?

Абстрактілі қауіп емес — нақты зиян. Ішкі істер министрлігінің дерегі бойынша, 2025 жылдың бірінші жарты жылында 11 мыңнан астам интернет-алаяқтық фактісі тіркелген, 74 sim-box құрылғысы мен 88 мыңнан астам тіркелмеген SIM-карта тәркіленген, 870 адам қылмыстық жауапкершілікке тартылған, жалған нөмірлерден жасалған 66,9 миллион қоңырау бұғатталған. Антифрод орталығы 2,6 миллиард теңгеден астам қаражатты ұрлаудан сақтап қалған.

Осының бәрі — ағып кеткен деректің нақты пайдалану аймағы. Алаяқ азаматқа қоңырау шалып, оның аты-жөнін, ЖСН-ін, тіпті мекенжайын айтқанда — сенім тудырады. Ал сол сенімнің көзі — бір жыл бұрын ағып кеткен 16 миллион жол.

Халықаралық тәжірибе: жауапкершілік қалай көрінеді?

Оңтүстік Корея, SK Telecom, 2025 жыл. Елдің ең ірі мобильді операторы сәуірде хакерлік шабуылға ұшырағанын хабарлады: 23,2 миллион абоненттің — ел халқының жартысына жуығының — SIM-картаға қатысты дерегі, соның ішінде шифрланбаған аутентификация кілттері ағып кетті. Тергеу шабуылшылардың жүйеге 2021 жылдың тамызында-ақ кіргенін, компанияның интрузия анықтау журналдарын оқымағанын, 2016 жылы шыққан қауіпсіздік патчын орнатпағанын, әкімшілік серверде мыңдаған тіркелгі дерегін ашық мәтінмен сақтағанын анықтады.

Жауап: Дербес ақпаратты қорғау комиссиясы компанияға 134,8 миллиард вон — шамамен 97 миллион доллар — айыппұл салды. Бұл — ел тарихындағы ең үлкен сома, 2022 жылы Google мен Meta-ға салынған айыппұлдардың қосындысынан асып түседі. Оған қоса 72 сағат ішінде хабарламағаны үшін бөлек айыппұл, барлық абонентке тегін SIM-карта ауыстыру, төлемге 50 пайыз жеңілдік, айыппұлсыз келісімшарт бұзу мүмкіндігі және бес жылға 500 миллион долларлық қауіпсіздік инвестициясы міндеттелді. Компанияның акциясы 2020 жылдан бергі ең үлкен бір күндік құлдырауға ұшырады.

Еуропалық Одақ, GDPR. 2018 жылдан бері күшінде. Айыппұлдың жоғарғы шегі — компанияның жаһандық жылдық айналымының 4 пайызына дейін немесе 20 миллион еуро, қайсысы көп болса. Meta 2023 жылы 1,2 миллиард еуро айыппұл алды. Дәл осы модельді Ерболат Тұрсынқожа Қазақстанға ұсынады.

АҚШ, Equifax, 2017 жыл. Несие бюросынан 147 миллион американдықтың дерегі ағып кетті. Компания 700 миллион долларға жуық сомаға келісімге барды, оның едәуір бөлігі — зардап шеккен азаматтарға тікелей өтемақы. Бұл — Тұрсынқожа айтқан екінші принциптің тәжірибесі: айыппұл мемлекетке емес, зиян адамға.

Салыстыру ауыр, бірақ қажет: Қазақстанда 16 миллион адамның дерегі ағып кеткенде жауапты табылмады. Оңтүстік Кореяда 23 миллион адамның дерегі ағып кеткенде — 97 миллион доллар айыппұл, толық қалпына келтіру бағдарламасы және компанияның бес жылдық міндеттемесі. Айырмашылық — деректің құнында емес, оны қорғауға деген институттық қатынаста.

Салдары мен ықтимал сценарийлер

Азаматқа:

• Дерек бір рет ағып кетсе, оны қайтару мүмкін емес: ЖСН мен телефон нөмірі өмір бойы сол күйінде қалады;
• Алаяқтық қоңыраулар, жалған несие рәсімдеу, әлеуметтік инженерия — бәрі ағып кеткен деректің тікелей салдары;
• Жалған дабылдар да зиян: әрбір «15 миллион» хабары шынайы қауіптің құнын түсіріп, қоғамды дабылға немқұрайлы етеді.

Жүйеге:

• Айыппұл символдық деңгейде қалса, компаниялар қауіпсіздікке инвестиция салмайды — Абылай Исин айтқандай, «айыппұл төлеген оңай»;
• Мемлекеттік жүйе қорғалғанымен, жекеменшік жүйеде жатқан дерек қорғалмаса — азаматқа айырмашылығы жоқ;
• BugBounty бағдарламасы 4 137 осалдық тапты, оның 57 пайызы жойылды — қалған 43 пайызы әлі ашық.

Жалған дабылға сенбеу үшін шынайы жүйе керек

Тамыздағы «15 миллион» — жалған дабыл болып шықты. Бірақ ол бір ауыр сабақ қалдырды: қоғам жалған хабарға сенуге дайын болғаны — институттарға сенімнің әлсіздігінің көрсеткіші. Егер шынайы ағып кету болғанда жауапты табылып, жазаланғанда, зардап шеккенге өтемақы төленгенде — келесі жалған дабылға ешкім сенбес еді.

Нақты қадамдар:

• Айналымдық айыппұл. Тұрсынқожа ұсынғандай, бекітілген сома емес, компанияның айналымына байланысты пайыз. GDPR-дегі 4 пайыз немесе Оңтүстік Кореядағы модель — дайын үлгі;
• Зардап шеккенге өтемақы. Айыппұл мемлекет қазынасына емес, дерегі ағып кеткен адамға. Equifax тәжірибесі — сот арқылы ұжымдық талап;
• 72 сағат ережесі. Ағып кетуді жасыру — бөлек құқық бұзушылық, бөлек жаза;
• Ашық статистика. Министрлік 133 тексеру жүргізгенін айтады, бірақ нәтижесін айтпайды. Кім, қашан, қанша айыппұл алды — бұл ашық болуы керек, әйтпесе жаза тәрбиелемейді;
• Дерек картасы. Мұқашев уәде еткен функция — азамат өз дерегінің қай ұйымда жатқанын көріп, келісімін қайтара алатын құрал — созылмай іске қосылуы тиіс;
• Жекеменшік базаға бақылау. Коняшкин айтқандай, мемлекеттік бағдарламалар үшін жиналған дерек мемлекеттік инфрақұрылымда сақталуы керек. Бұл — техникалық емес, саяси шешім.

Азаматқа берілетін кеңес қарапайым әрі ауыр: күдікті қоңырауды елемей қоймаңыз — ол дерегіңіздің ағып кеткенін білдіретін алғашқы белгі болуы мүмкін. Электрондық цифрлық қолтаңбаңызды ешкімге бермеңіз. Керегі жоқ қосымшаға тіркелмеңіз. Несие алудан бас тартсаңыз, банктен дерегіңізді жоюды талап етіңіз — бұл құқығыңыз бар, бірақ көпшілік оны білмейді.

Дербес дерек — ХХІ ғасырдың валютасы. Оны ұрлау оңай, қайтару мүмкін емес. Қазақстан осы валютаны қорғайтын институт құра ма, әлде әрбір жаңа «15 миллион» хабары шындық болып шыға ма — бұл жазда емес, алдағы жылдары шешіледі. Ал ол шешім Цифрлық даму министрлігінің жоққа шығарған хабарламасында емес, бір жыл бұрын жауапсыз қалған 16 миллион жолда жатыр.