კიბერრისკების მართვა საქართველოში აღარ არის მხოლოდ კერძო სექტორის საკუთარი გადაწყვეტილება: ინფორმაციული უსაფრთხოების შესახებ კანონი განსაზღვრულ სუბიექტებს უწესრიგებს სავალდებულო საორგანიზაციო ზომებს — პოლიტიკიდან და აქტივების კლასიფიკაციიდან აუდიტამდე, პენეტრაციის ტესტამდე და ინციდენტებზე რეაგირებამდე. პირველი და ყველაზე მნიშვნელოვანი კითხვა, რომელიც თითოეულმა კომპანიამ უნდა დაისვას, არის გადამოწმებითი: არის თუ არა ის ამ კანონის მოქმედების სფეროში მოქცეული სუბიექტი. ეს გვერდი სწორედ ამ ლოგიკით არის აგებული: ჯერ სფერო, შემდეგ ვალდებულებები, ბოლოს — პასუხისმგებლობის არქიტექტურა.
ვის ვრცელდება კანონი — გადამოწმებითი კითხვა
მე-3 მუხლით კანონის მოქმედება ვრცელდება კრიტიკული ინფორმაციული სისტემის სუბიექტზე, აგრეთვე იმ ორგანიზაციაზე ან უწყებაზე, რომელიც ასეთ სუბიექტს ექვემდებარება ან მასთან არის დაკავშირებული დასაქმების, სტაჟირების, სახელშეკრულებო ან სხვა ურთიერთობით და ამ ურთიერთობის ფარგლებში უზრუნველყოფს ინფორმაციული აქტივის ხელმისაწვდომობას.
კრიტიკული ინფორმაციული სისტემის სუბიექტთა ნუსხა და კრიტიკულობის კლასიფიკაცია მტკიცდება მთავრობის დადგენილებით, კრიტერიუმებით: სისტემის შეფერხების შედეგების სიმძიმე და მასშტაბი, სავარაუდო ეკონომიკური ზარალი, საზოგადოების ნორმალური ფუნქციონირებისთვის სისტემით გაწეული მომსახურების აუცილებლობა და მომხმარებელთა რაოდენობა. კანონი არ ვრცელდება მასმედიაზე, გამომცემლობათა რედაქციებზე, სამეცნიერო, საგანმანათლებლო, რელიგიურ და საზოგადოებრივ ორგანიზაციებზე და პოლიტიკურ პარტიებზე. ამავდროულად, იურიდიულ პირს, რომელიც სუბიექტი არ არის, უფლება აქვს კანონიდან გამომდინარე ვალდებულებები ნებაყოფლობით აიღოს — და მრავალი კომპანიისთვის ეს სწორედ საუკეთესო პრაქტიკის კონკურენტულ სტანდარტად ქცევის გზაა.
პოლიტიკა და მინიმალური მოთხოვნები
მე-4 მუხლი სუბიექტს ავალდებულებს მიიღოს ინფორმაციული უსაფრთხოების შინასამსახურებრივი გამოყენების წესები, რომლებიც განსაზღვრავს ორგანიზაციის ინფორმაციული უსაფრთხოების პოლიტიკას. პოლიტიკა უნდა აკმაყოფილებდეს მინიმალურ მოთხოვნებს, რომლებიც დგინდება საერთაშორისო ორგანიზაციების სტანდარტების საფუძველზე, კატეგორიების მიხედვით — შესაბამისი უწყებების ბრძანებებით. მიღებული წესები განსახილველად წარედგინება კომპეტენტურ უწყებას, რომელიც აანალიზებს დოკუმენტებს და ხარვეზების გამოსასწორებლად სავალდებულო მითითებებს ან რეკომენდაციებს წარადგენს.
აქტივების ინვენტარიზაცია და კლასიფიკაცია
მე-5 მუხლი რისკზე დაფუძნებული მართვის პირველ ნაბიჯს აწესრიგებს: სუბიექტი ატარებს ინფორმაციული სისტემების ინვენტარიზაციას ყველა ინფორმაციული აქტივის აღრიცხვის მიზნით, რის შედეგადაც ყველა აქტივს მიენიჭება კრიტიკულობის კლასი — კონფიდენციალური ან შინასამსახურებრივი გამოყენების; დანარჩენი ღია ინფორმაციად ითვლება. აღრიცხვისას აღიწერება ყველა აქტივის მნიშვნელობა, ფასეულობა და დაცვის არსებული დონე, ხოლო აქტივის შექმნისას კლასს ადგენს ავტორი ან პასუხისმგებელი პირი.
აუდიტი და პენეტრაციის ტესტი
მე-6 მუხლი სუბიექტს ავალდებულებს ჩაატაროს ინფორმაციული უსაფრთხოების პირველადი და პერიოდული აუდიტი — მართვის სისტემის მინიმალურ სტანდარტებთან შესაბამისობის შეფასება. აუდიტის შემდეგ დგინდება დასკვნა, რომლის მოთხოვნების შესრულება სავალდებულოა. იმავე მუხლით სუბიექტი ვალდებულია უზრუნველყოს ინფორმაციულ სისტემაში შეღწევადობის ტესტის ჩატარება წინასწარ დაგეგმილი და დოკუმენტირებული ამოცანის მიხედვით; ტესტის დასკვნაც სავალდებულოა.
თუ აუდიტმა ან ტესტმა გამოავლინა შეუსაბამობა ან სისუსტეები, სუბიექტი აანალიზებს მათ და ადგენს აღმოსაფხვრელ სამოქმედო გეგმას გრაფიკითურთ, რომელიც შესათანხმებლად წარედგინება კომპეტენტურ უწყებას აუდიტის ან ტესტის დასრულებიდან ერთი თვის ვადაში. აუდიტი და ტესტი ხორციელდება ინფორმაციული უსაფრთხოების მენეჯერთან და კომპიუტერული უსაფრთხოების სპეციალისტთან თანამშრომლობით.
ხალხი და ინციდენტები
მე-7 მუხლი სუბიექტს ავალდებულებს განსაზღვროს ინფორმაციული უსაფრთხოების მენეჯერი — პირი, რომელიც პასუხისმგებელია პოლიტიკის მოთხოვნების ყოველდღიურ მონიტორინგზე, აქტივების აღწერაზე, შიდა დოკუმენტაციაზე, ინციდენტების შესახებ ინფორმაციის შეგროვებასა და ტრენინგების ორგანიზებაზე. მენეჯერი ანგარიშვალდებულია ხელმძღვანელის ან უფლებამოსილი კოლეგიური ორგანოს წინაშე და ყოველწლიურ ანგარიშს წარუდგენს.
მე-9 მუხლი აწესრიგებს კომპიუტერული უსაფრთხოების სპეციალისტს — პირს, რომელიც კომპიუტერული სისტემების ყოველდღიურ მონიტორინგს ახორციელებს, ხელმისაწვდომია ნებისმიერ დროს და ინციდენტის შესახებ ინფორმაციას დაუყოვნებლივ აწვდის კომპიუტერულ ინციდენტებზე დახმარების ჯგუფს. მე-10 მუხლი კი თავად ინციდენტის იდენტიფიცირებას აწესრიგებს: სუბიექტი ინციდენტს სწავლობს, აღწერს და მასზე რეაგირებს, ამასთან, ქსელური სენსორის კონფიგურირება არ უნდა იძლეოდეს კომუნიკაციის შინაარსობრივ მონაცემებზე წვდომის შესაძლებლობას. დახმარების ჯგუფის სავალდებულო მითითებებზე სუბიექტი გონივრულ ვადაში რეაგირებს. ინციდენტების ზოგადი საკითხები ცალკე კანონმდებლობასთან ერთად განიხილება — მონაცემთა დაცვის ინციდენტური ვალდებულებები ცალკე გვერდის თემაა.
ხშირად დასმული კითხვები
კომპანიები კიბერუსაფრთხოების დაგეგმვისას ყველაზე ხშირად სწორედ ამას გვეკითხებიან. ქვემოთ პასუხები ინფორმაციული უსაფრთხოების შესახებ კანონის ნორმებით.
როგორ გადავამოწმო, არის თუ არა კომპანია კანონის სუბიექტი?
მე-3 მუხლით გადამწყვეტია კრიტიკული ინფორმაციული სისტემის სუბიექტთა ნუსხა, რომელსაც მთავრობის დადგენილება ადგენს, და დაკავშირებული ორგანიზაციების წრე. ამ ნუსხისა და ურთიერთობების შემოწმება პირველი ნაბიჯია.
შეიძლება თუ არა ვალდებულებების ნებაყოფლობით აღება?
დიახ — იურიდიულ პირს, რომელიც სუბიექტი არ არის, კანონი უფლებას აძლევს ვალდებულებები ნებაყოფლობით აიღოს, რაც მომხმარებლებსა და პარტნიორებს სერიოზულობის სიგნალს აძლევს.
რა არის პენეტრაციის ტესტი და რატომ არის სავალდებულო?
ინფორმაციულ სისტემაში შეღწევადობის გამოცდაა, რომელიც წინასწარ დაგეგმილი და დოკუმენტირებული ამოცანით ტარდება; ტესტის დასკვნის მოთხოვნების შესრულება სავალდებულოა.
ვინ პასუხისმგებელია კიბერუსაფრთხოებაზე ორგანიზაციაში?
ორი ფიგურა: ინფორმაციული უსაფრთხოების მენეჯერი — პოლიტიკის დონეზე, და კომპიუტერული უსაფრთხოების სპეციალისტი — ყოველდღიურ ტექნიკურ დონეზე, რომელიც ყოველთვის ხელმისაწვდომი უნდა იყოს.
როგორ დაგეხმარებით Legal.ge-ზე
Legal.ge-ის იურისტები კიბერრისკების მართვას სრულ ციკლში უძღვებიან: ვადგენთ, ხვდება თუ არა თქვენი კომპანია კანონის სფეროში, ვაწყობთ პოლიტიკისა და აქტივების კლასიფიკაციის სისტემას, ვამზადებთ აუდიტსა და პენეტრაციის ტესტს და ვქმნით ინციდენტებზე რეაგირების წესს. დაგვიკავშირდით — და თქვენი კიბერუსაფრთხოება გადამოწმებადი სისტემის ნაცვლად დღის წესრიგის ნაწილი გახდება.