1. Data residency — сатып алу тосқауылы
Қазақстан мен Өзбекстандағы enterprise «Деректер қайда сақталады?» деген сұраққа жауап алмай, аналитикалық платформа сатып алмайды.
Реттеушілер бақылауды күшейтуде: дербес деректер, банк құпиясы, телекоммуникация деректері — барлығы локализация талаптарына бағынады.
VeloDB/Apache Doris — BYOC (Bring Your Own Cloud) және air-gapped deployment-і бар жалғыз OLAP-платформа, жергілікті реттеушілер талаптарына сай келеді.
Бұл бет — банктер, телеком және мемлекеттік секторда шешім қабылдаушылардың басты сұрағына жауап: платформаны заңды бұзбай қолдануға бола ма.
2. Қазақстан: Дербес деректер туралы заң (94-V Заңы)
Қазақстан Республикасының «Дербес деректер және оларды қорғау туралы» Заңы (2013 жылғы 21 мамырдағы № 94-V) дербес деректерді өңдеу мен сақтаудың міндетті талаптарын белгілейді.
ҚР азаматтарының дербес деректерін қамтитын дерекқорлар Қазақстан Республикасы аумағында физикалық түрде орналасқан серверлерде орналасуға тиіс.
Оператор трансшекаралық тасымалдау кезінде дербес деректердің қорғалуын қамтамасыз етуге міндетті. Тасымалдау жеткілікті қорғау деңгейі бар елдерге немесе субъектінің келісімімен рұқсат етіледі.
Ерекшеліктер: ҚР халықаралық шарттары, дербес деректер субъектісінің келісімі, өмір мен денсаулықты қорғау.
Талаптарды бұзғаны үшін әкімшілік және қылмыстық жауапкершілік көзделген. Заңды тұлғалар үшін айыппұлдар — 200-ден 1000 АЕК-ке дейін.
Тәжірибелік қорытынды: бұлттық OLAP-жүйелер (Snowflake, Databricks, ClickHouse Cloud) Қазақстанда ДО жоқ. ҚР азаматтарының ДДн-мен жұмыс істеу үшін — тек on-premise немесе жергілікті бұлттағы BYOC.
3. Өзбекстан: Дербес деректер туралы заң
Өзбекстан Республикасының «Дербес деректер туралы» Заңы (2019, 2026 жылғы түзетулермен) ДДн-ды жинау, өңдеу және сақтауды реттейді.
2026 жылғы түзетулер икемдірек модельді енгізді: трансшекаралық өңдеуге белгілі бір жағдайларда рұқсат етілді.
Алайда: биометриялық, генетикалық және телекоммуникациялық деректер Өзбекстан аумағында сақталуға тиіс. Ерекшелік жоқ.
Банк секторы: Өзбекстан Республикасы Орталық банкі қаржы деректерін республика шегінде сақтауды қосымша талап етеді.
Тәжірибелік қорытынды: Өзбекстанның банктері, телекомы, мемлекеттік секторы үшін — тек on-premise орнату. BYOC өзбек деректер орталығында VPC болған жағдайда рұқсат етіледі.
4. VeloDB/Apache Doris орнату модельдері
Data residency талаптарының әр деңгейіне арналған төрт орнату моделі:
| Модель | Сипаттама | Compliance ҚР | Compliance ӨР | Кімге арналған |
|---|---|---|---|---|
| BYOC | Сіздің VPC-де орнату. Деректер сіздің бақылауда. Басқару — VeloDB. | ✅ VPC ҚР-да болса | ✅ VPC ӨР-да болса | Бұлттық инфрасы бар Enterprise |
| On-Premise | Жеке ДО-дағы серверлерге орнату. Толық оқшаулау. | ✅ Толық сәйкестік | ✅ Толық сәйкестік | Банктер, телеком, мемлекеттік сектор |
| Air-Gapped | Kubernetes-native, интернетсіз. Маңызды инфрақұрылым. | ✅ Максималды қорғау | ✅ Максималды қорғау | Қорғаныс, маңызды инфра |
| Public Cloud (SaaS) | VeloDB Cloud — ҚР/ӨР-да ДО жоқ. | ⚠️ Сәйкес келмейді | ⚠️ Сәйкес келмейді | ҚР/ӨР ДДн үшін емес |
5. Қазақстан үшін BYOC архитектурасы
Қазақстандағы типтік BYOC-орнату архитектурасы:
- Жергілікті бұлттағы Kubernetes-кластер (PS Cloud, Beeline Cloud немесе bare metal-дегі жеке k8s).
- VeloDB Control Plane: кластерді басқару, метрикаларды жинау және жаңартуларды жеткізу үшін encrypted tunnel. Деректер берілмейді.
- Data Plane: FE-нодтар (Frontend) мен BE-нодтар (Backend) клиенттің VPC-де орналасады. Деректер периметрден шықпайды.
- S3-compatible storage (MinIO немесе Ceph) lakehouse-деректер үшін — клиент инфрақұрылымынан тыс шықпай hot/cold tiering.
Негізгі артықшылық: compliance + managed service. DBA-команда ұстау қажет емес — VeloDB encrypted tunnel арқылы кластерді қашықтан басқарады.
6. Қауіпсіздік және қатынасты басқару
Реттелетін салалар үшін маңызды VeloDB/Apache Doris қауіпсіздік функциялары:
- RBAC (Role-Based Access Control) — деректер қоры, кесте, бағана деңгейінде құқықтарды басқару.
- Row-Level Security — жолдар бойынша қатынасты шектеу. Банк бөлімшесі тек өз филиалының деректерін көреді.
- Column-Level Security — артықшылықтары жоқ пайдаланушылар үшін PII-өрістерді (АТА, ЖИН, карта нөмірі) маскалау.
- Audit Log — барлық SQL-сұраныстардың толық аудиті: кім, қашан, қандай сұраныс, қанша жол қайтарылды.
- TLS/SSL — клиент, FE және BE нодтар арасында деректерді шифрлау (in transit).
- Encryption at Rest — дискідегі деректерді шифрлау (AES-256).
- LDAP/Kerberos интеграциясы — enterprise үшін Single Sign-On, Active Directory интеграциясы.
VeloDB сертификаттары: SOC2 Type 2, ISO 27001:2022, PCI DSS, GDPR.
7. Енгізудің практикалық чек-листі
Шешімнен production-эксплуатацияға дейінгі сегіз қадам:
- Өңделетін деректер санаттарын анықтау (ДДн, банк құпиясы, телекоммуникация деректері).
- Реттеуші талаптарына негізделіп орнату моделін таңдау (BYOC vs On-Premise vs Air-Gapped).
- Инфрақұрылымды дайындау: Kubernetes-кластер, S3-сыйысымды сақтау, желі саясаттары.
- RBAC және Row-Level Security-ді ұйымдық құрылымға сай баптау.
- Барлық SQL-сұраныстар үшін audit logging қосу.
- Нақты деректермен пилот жүргізу (2–4 апта).
- Ақпараттық қауіпсіздік қызметінің қорытындысын алу.
- Реттеуші үшін құжаттама дайындау (сертификация қажет болса).