ინფორმაციული აქტივების ინვენტარიზაცია და კლასიფიკაცია
ინფორმაციული უსაფრთხოების შესახებ კანონის მე-5 მუხლით კრიტიკული ინფორმაციული სისტემის სუბიექტი ვალდებულია ჩაატაროს ინფორმაციული სისტემების ინვენტარიზაცია ყველა ინფორმაციული აქტივის აღრიცხვის მიზნით. აღრიცხვის შედეგად თითოეულ აქტივს მიენიჭება კრიტიკულობის კლასი — კონფიდენციალური ან შინასამსახურებრივი გამოყენების; ყველა სხვა აქტივი ღია ინფორმაციად ითვლება. ინვენტარიზაცია აღწერს თითოეული აქტივის მნიშვნელობას, ფასეულობას და დაცვის არსებულ დონეს. აქტივის შექმნისას კლასს ადგენს აქტივის ავტორი ან პასუხისმგებელი პირი. აქტივების მართვის წესებს პირველი და მეორე კატეგორიის სუბიექტებისთვის ადგენს ოპერატიულ-ტექნიკური სააგენტოს უფროსის ბრძანებით, მესამე კატეგორიისთვის — ციფრული მმართველობის სააგენტო, თავდაცვის სფეროში კი — თავდაცვის მინისტრი. მესამე კატეგორიის სუბიექტ კომერციული ბანკებისთვის დამატებით სტანდარტებს ადგენს ეროვნული ბანკი.
ინფორმაციული უსაფრთხოების აუდიტი და პენეტრაციის ტესტი
კანონის მე-6 მუხლით სუბიექტი ვალდებულია ჩაატაროს ინფორმაციული უსაფრთხოების პირველადი და პერიოდული აუდიტი — მართვის სისტემის მინიმალურ სტანდარტებთან შესაბამისობის შეფასება. აუდიტი სრულდება დასკვნით, რომლის მოთხოვნების შესრულება სავალდებულოა. პირველი კატეგორიის სუბიექტის პირველად აუდიტს უსასყიდლოდ ატარებს ოპერატიულ-ტექნიკური სააგენტო, პერიოდულს კი — სააგენტო ან ციფრული მმართველობის სააგენტოს მიერ ავტორიზებული ორგანიზაცია; მეორე კატეგორიაზე აუდიტს ასევე ეს უკანასკნელი ორგანიზაციები ატარებენ, მესამეზე — ციფრული მმართველობის სააგენტო ან ავტორიზებული ორგანიზაცია, თავდაცვის სფეროში კი — კიბერუსაფრთხოების ბიურო. აუდიტის მოთხოვნა არ ვრცელდება საგადახდო, ფასიანი ქაღალდების ანგარიშსწორებისა და რეზერვების მართვის სისტემებზე, აგრეთვე მონეტარული და სავალუტო ოპერაციებისთვის გამოყენებულ კრიტიკულ სისტემებზე. იმავე წესით ტარდება პენეტრაციის ტესტი — წინასწარ დაგეგმილი და დოკუმენტირებული ამოცანის მიხედვით, დასკვნით, რომლის შესრულებაც სავალდებულოა. შეუსაბამობის ან სისუსტეების გამოვლენისას სუბიექტი ადგენს სამოქმედო გეგმას გრაფიკით და მას აუდიტის ან ტესტის დასრულებიდან 1 თვის ვადაში შესათანხმებლად წარუდგენს შესაბამის ორგანოს; კომერციული ბანკების შემთხვევაში ეს ეროვნული ბანკია. აუდიტი ტარდება ინფორმაციული უსაფრთხოების მენეჯერთან და კომპიუტერული უსაფრთხოების სპეციალისტთან თანამშრომლობით.
აუდიტორის ავტორიზაცია
კანონის მუხლი 6-1 განსაზღვრავს, თუ ვის შეუძლია აუდიტისა და პენეტრაციის ტესტის ჩატარება: ორგანიზაციას, რომელსაც ციფრული მმართველობის სააგენტოში გავლილი აქვს ავტორიზაცია დადგენილი წესის შესაბამისად. აუდიტის ჩამტარებელ პირს უნდა ჰქონდეს გავლილი უსაფრთხოებაზე შემოწმება სახელმწიფო უსაფრთხოების სამსახურის უფროსის ნორმატიული აქტით დადგენილი წესით. კომერციულ ბანკებში აუდიტის ჩასატარებლად შეიძლება ჩართონ დამატებით სიაში რეგისტრირებული ავტორიზებული ორგანიზაციებიც, რომელთა სიას ციფრული მმართველობის სააგენტოს წარუდგენს ეროვნული ბანკი.
ინფორმაციული უსაფრთხოების მენეჯერი და კომპიუტერული უსაფრთხოების სპეციალისტი
კანონის მე-7 მუხლით სუბიექტი ვალდებულია განსაზღვროს ინფორმაციული უსაფრთხოების მენეჯერი — პირი, რომელიც პასუხისმგებელია უსაფრთხოების მოთხოვნების შესრულებაზე. მისი მოვალეობებია პოლიტიკის შესრულების ყოველდღიური მონიტორინგი, აქტივების აღწერა, შინაუწყებრივი დოკუმენტაციის მომზადება, ინციდენტების შესახებ ინფორმაციის შეგროვება, ანგარიშგება და ტრენინგების ორგანიზება. მენეჯერი ადგენს სამოქმედო გეგმას და წარუდგენს ყოველწლიურ ანგარიშს ხელმძღვანელს, პირველი და მეორე კატეგორიის შემთხვევაში — აგრეთვე ოპერატიულ-ტექნიკურ სააგენტოს, მესამის შემთხვევაში — ციფრული მმართველობის სააგენტოს. მე-9 მუხლით სუბიექტი განსაზღვრავს კომპიუტერული უსაფრთხოების სპეციალისტს, რომელიც პასუხისმგებელია კომპიუტერული სისტემების პრაქტიკულ დაცვაზე. სპეციალისტი კომპიუტერულ ინციდენტს აიდენტიფიცირებს და ინფორმაციას დაუყოვნებლივ აწვდის შესაბამის დახმარების ჯგუფს — პირველი და მეორე კატეგორიისთვის ოპერატიულ-ტექნიკური სააგენტოს, მესამისთვის — ციფრული მმართველობის სააგენტოს, თავდაცვის სფეროში — კიბერუსაფრთხოების ბიუროს. ის ხელმისაწვდომი უნდა იყოს ნებისმიერ დროს, მათ შორის სამუშაო საათების შემდეგ, და უზრუნველყოფს კოორდინაციას კიბერშეტევის აღმოფხვრის პროცესში.
სახელმწიფო შემოწმება და დამატებითი მოთხოვნები
კანონის მუხლი 9-1 აძლევს ოპერატიულ-ტექნიკურ სააგენტოს უფლებას, პირველი კატეგორიის სუბიექტის საინფორმაციო-ტექნოლოგიური ინფრასტრუქტურის უსაფრთხოების მიზნით გადაწყვეტილება მიიღოს შემოწმების ჩატარების შესახებ. შემოწმება შეიძლება მოიცავდეს შიდა და გარე ქსელს, ქსელის კონფიგურაცია, მონაცემების მიღებისთვის და შენახვისთვის გამოყენებული აპარატურა და პროგრამული უზრუნველყოფა, აგრეთვე მათი ჩართვის წესები. შემოწმება ტარდება მენეჯერთან და სპეციალისტთან თანამშრომლობით და სრულდება დასკვნით, რომელსაც ხელს აწერენ შემომწმებელი და სუბიექტის წარმომადგენელი, ხელმოწერაზე უარის შემთხვევაში კი — სულ ცოტა 2 დამსწრე პირი. დანაშაულის ნიშნების გამოვლენისას მასალები დაუყოვნებლივ ეგზავნება საგამოძიებო ორგანოს. სუბიექტი ვალდებულია შეასრულოს სავალდებულო მითითებები და წინასწარ შეუთანხმოს სააგენტოს ინფრასტრუქტურაში დაგეგმილი ცვლილებები. მუხლი 8-2 კი დამატებით მოთხოვნებს აწესრიგებს: აპარატურისა და პროგრამული უზრუნველყოფის მწარმოებელ ქვეყნებთან დაკავშირებულ მოთხოვნებს განსაზღვრავს მთავრობა, ხოლო კლასიფიცირებული ინფორმაციის გაცვლისთვის ოპერატიულ-ტექნიკური სააგენტო ქმნის სპეციალურ სისტემას სპეციალური ოპტიკურ-ბოჭკოვანი ქსელით; ამ სისტემაში შექმნილ ელექტრონულ დოკუმენტს მატერიალურის თანაბარი იურიდიული ძალა აქვს.
ხშირად დასმული კითხვები
ვინ ატარებს აუდიტს?
პირველი კატეგორიის პირველად აუდიტს უსასყიდლოდ ატარებს ოპერატიულ-ტექნიკური სააგენტო; პერიოდულ აუდიტს — სააგენტო ან ციფრული მმართველობის სააგენტოს მიერ ავტორიზებული ორგანიზაცია, თავდაცვის სფეროში კი — კიბერუსაფრთხოების ბიურო.
რა ხდება აუდიტის დასკვნაში გამოვლენილ ხარვეზებთან?
სუბიექტი ატარებს ხარვეზების ანალიზს და ადგენს სამოქმედო გეგმას გრაფიკით, რომელსაც დასრულებიდან 1 თვის ვადაში წარუდგენს შესაბამის ორგანოს შესათანხმებლად.
ვინ არის ინფორმაციული უსაფრთხოების მენეჯერი?
სუბიექტის მიერ განსაზღვრული პირი, რომელიც პასუხისმგებელია უსაფრთხოების მოთხოვნების შესრულებაზე, ადგენს სამოქმედო გეგმას და წარუდგენს ყოველწლიურ ანგარიშს.
როგორ დაგეხმარებით Legal.ge-ზე
Legal.ge-ზე ვეხმარებით კრიტიკული ინფორმაციული სისტემის სუბიექტებს კანონით დაკისრებული ვალდებულებების დაგეგმვაში — ინვენტარიზაციიდან აუდიტამდე და სამოქმედო გეგმების შეთანხმებამდე. მიმართეთ ჩვენს გუნდს ინფორმაციული უსაფრთხოების კომპლაინსის ნებისმიერ საკითხზე.