კიბერრისკების მართვა საქართველოში აღარ არის მხოლოდ კერძო სექტორის საკუთარი გადაწყვეტილება: ინფორმაციული უსაფრთხოების შესახებ კანონი განსაზღვრულ სუბიექტებს უწესრიგებს სავალდებულო საორგანიზაციო ზომებს — პოლიტიკიდან და აქტივების კლასიფიკაციიდან აუდიტამდე, პენეტრაციის ტესტამდე და ინციდენტებზე რეაგირებამდე. პირველი და ყველაზე მნიშვნელოვანი კითხვა, რომელიც თითოეულმა კომპანიამ უნდა დაისვას, არის გადამოწმებითი: არის თუ არა ის ამ კანონის მოქმედების სფეროში მოქცეული სუბიექტი. ეს გვერდი სწორედ ამ ლოგიკით არის აგებული: ჯერ სფერო, შემდეგ ვალდებულებები, ბოლოს — პასუხისმგებლობის არქიტექტურა.
ვის ვრცელდება კანონი — გადამოწმებითი კითხვა
მე-3 მუხლით კანონის მოქმედება ვრცელდება კრიტიკული ინფორმაციული სისტემის სუბიექტზე, აგრეთვე იმ ორგანიზაციაზე ან უწყებაზე, რომელიც ასეთ სუბიექტს ექვემდებარება ან მასთან არის დაკავშირებული დასაქმების, სტაჟირების, სახელშეკრულებო ან სხვა ურთიერთობით და ამ ურთიერთობის ფარგლებში უზრუნველყოფს ინფორმაციული აქტივის ხელმისაწვდომობას.
კრიტიკული ინფორმაციული სისტემის სუბიექტთა ნუსხა და კრიტიკულობის კლასიფიკაცია მტკიცდება მთავრობის დადგენილებით, კრიტერიუმებით: სისტემის შეფერხების შედეგების სიმძიმე და მასშტაბი, სავარაუდო ეკონომიკური ზარალი, საზოგადოების ნორმალური ფუნქციონირებისთვის სისტემით გაწეული მომსახურების აუცილებლობა და მომხმარებელთა რაოდენობა. კანონი არ ვრცელდება მასმედიაზე, გამომცემლობათა რედაქციებზე, სამეცნიერო, საგანმანათლებლო, რელიგიურ და საზოგადოებრივ ორგანიზაციებზე და პოლიტიკურ პარტიებზე. ამავდროულად, იურიდიულ პირს, რომელიც სუბიექტი არ არის, უფლება აქვს კანონიდან გამომდინარე ვალდებულებები ნებაყოფლობით აიღოს — და მრავალი კომპანიისთვის ეს სწორედ საუკეთესო პრაქტიკის კონკურენტულ სტანდარტად ქცევის გზაა.
პოლიტიკა და მინიმალური მოთხოვნები
მე-4 მუხლი სუბიექტს ავალდებულებს მიიღოს ინფორმაციული უსაფრთხოების შინასამსახურებრივი გამოყენების წესები, რომლებიც განსაზღვრავს ორგანიზაციის ინფორმაციული უსაფრთხოების პოლიტიკას. პოლიტიკა უნდა აკმაყოფილებდეს მინიმალურ მოთხოვნებს, რომლებიც დგინდება საერთაშორისო ორგანიზაციების სტანდარტების საფუძველზე, კატეგორიების მიხედვით — შესაბამისი უწყებების ბრძანებებით. მიღებული წესები განსახილველად წარედგინება კომპეტენტურ უწყებას, რომელიც აანალიზებს დოკუმენტებს და ხარვეზების გამოსასწორებლად სავალდებულო მითითებებს ან რეკომენდაციებს წარადგენს.
აქტივების ინვენტარიზაცია და კლასიფიკაცია
მე-5 მუხლი რისკზე დაფუძნებული მართვის პირველ ნაბიჯს აწესრიგებს: სუბიექტი ატარებს ინფორმაციული სისტემების ინვენტარიზაციას ყველა ინფორმაციული აქტივის აღრიცხვის მიზნით, რის შედეგადაც ყველა აქტივს მიენიჭება კრიტიკულობის კლასი — კონფიდენციალური ან შინასამსახურებრივი გამოყენების; დანარჩენი ღია ინფორმაციად ითვლება. აღრიცხვისას აღიწერება ყველა აქტივის მნიშვნელობა, ფასეულობა და დაცვის არსებული დონე, ხოლო აქტივის შექმნისას კლასს ადგენს ავტორი ან პასუხისმგებელი პირი.