ინფორმაციული აქტივების ინვენტარიზაცია და კლასიფიკაცია
ინფორმაციული უსაფრთხოების შესახებ კანონის მე-5 მუხლით კრიტიკული ინფორმაციული სისტემის სუბიექტი ვალდებულია ჩაატაროს ინფორმაციული სისტემების ინვენტარიზაცია ყველა ინფორმაციული აქტივის აღრიცხვის მიზნით. აღრიცხვის შედეგად თითოეულ აქტივს მიენიჭება კრიტიკულობის კლასი — კონფიდენციალური ან შინასამსახურებრივი გამოყენების; ყველა სხვა აქტივი ღია ინფორმაციად ითვლება. ინვენტარიზაცია აღწერს თითოეული აქტივის მნიშვნელობას, ფასეულობას და დაცვის არსებულ დონეს. აქტივის შექმნისას კლასს ადგენს აქტივის ავტორი ან პასუხისმგებელი პირი. აქტივების მართვის წესებს პირველი და მეორე კატეგორიის სუბიექტებისთვის ადგენს ოპერატიულ-ტექნიკური სააგენტოს უფროსის ბრძანებით, მესამე კატეგორიისთვის — ციფრული მმართველობის სააგენტო, თავდაცვის სფეროში კი — თავდაცვის მინისტრი. მესამე კატეგორიის სუბიექტ კომერციული ბანკებისთვის დამატებით სტანდარტებს ადგენს ეროვნული ბანკი.
ინფორმაციული უსაფრთხოების აუდიტი და პენეტრაციის ტესტი
კანონის მე-6 მუხლით სუბიექტი ვალდებულია ჩაატაროს ინფორმაციული უსაფრთხოების პირველადი და პერიოდული აუდიტი — მართვის სისტემის მინიმალურ სტანდარტებთან შესაბამისობის შეფასება. აუდიტი სრულდება დასკვნით, რომლის მოთხოვნების შესრულება სავალდებულოა. პირველი კატეგორიის სუბიექტის პირველად აუდიტს უსასყიდლოდ ატარებს ოპერატიულ-ტექნიკური სააგენტო, პერიოდულს კი — სააგენტო ან ციფრული მმართველობის სააგენტოს მიერ ავტორიზებული ორგანიზაცია; მეორე კატეგორიაზე აუდიტს ასევე ეს უკანასკნელი ორგანიზაციები ატარებენ, მესამეზე — ციფრული მმართველობის სააგენტო ან ავტორიზებული ორგანიზაცია, თავდაცვის სფეროში კი — კიბერუსაფრთხოების ბიურო. აუდიტის მოთხოვნა არ ვრცელდება საგადახდო, ფასიანი ქაღალდების ანგარიშსწორებისა და რეზერვების მართვის სისტემებზე, აგრეთვე მონეტარული და სავალუტო ოპერაციებისთვის გამოყენებულ კრიტიკულ სისტემებზე. იმავე წესით ტარდება პენეტრაციის ტესტი — წინასწარ დაგეგმილი და დოკუმენტირებული ამოცანის მიხედვით, დასკვნით, რომლის შესრულებაც სავალდებულოა. შეუსაბამობის ან სისუსტეების გამოვლენისას სუბიექტი ადგენს სამოქმედო გეგმას გრაფიკით და მას აუდიტის ან ტესტის დასრულებიდან 1 თვის ვადაში შესათანხმებლად წარუდგენს შესაბამის ორგანოს; კომერციული ბანკების შემთხვევაში ეს ეროვნული ბანკია. აუდიტი ტარდება ინფორმაციული უსაფრთხოების მენეჯერთან და კომპიუტერული უსაფრთხოების სპეციალისტთან თანამშრომლობით.
აუდიტორის ავტორიზაცია
კანონის მუხლი 6-1 განსაზღვრავს, თუ ვის შეუძლია აუდიტისა და პენეტრაციის ტესტის ჩატარება: ორგანიზაციას, რომელსაც ციფრული მმართველობის სააგენტოში გავლილი აქვს ავტორიზაცია დადგენილი წესის შესაბამისად. აუდიტის ჩამტარებელ პირს უნდა ჰქონდეს გავლილი უსაფრთხოებაზე შემოწმება სახელმწიფო უსაფრთხოების სამსახურის უფროსის ნორმატიული აქტით დადგენილი წესით. კომერციულ ბანკებში აუდიტის ჩასატარებლად შეიძლება ჩართონ დამატებით სიაში რეგისტრირებული ავტორიზებული ორგანიზაციებიც, რომელთა სიას ციფრული მმართველობის სააგენტოს წარუდგენს ეროვნული ბანკი.