კიბერშეტევის სამართლებრივი კვალდაკვალი და რეაგირება
კიბერშეტევა ორგანიზაციასთან ერთად სამართლებრივ ვალდებულებებსაც ბადებს: ქართული კანონმდებლობა კრიტიკული ინფორმაციული სისტემის სუბიექტებს ავალდებულებს კომპიუტერული ინციდენტის იდენტიფიკაციას, შესაბამის ჯგუფებთან შეტყობინებას და გაცემული მითითებების შესრულებას. „კრიტიკული ინფორმაციული სისტემებისა და კიბერუსაფრთხოების შესახებ“ საქართველოს კანონის მე-10 მუხლი სწორედ ამ სამ სვეტს აწესრიგებს: ინციდენტის შესწავლა-აღწერა-რეაგირება, შეტყობინება და სავალდებულო მითითებების შესრულება. ამავე კანონის ადმინისტრაციული პასუხისმგებლობის ნორმა კი ამ ვალდებულებების დარღვევას ჯარიმას უკავშირებს. ქვემოთ განვხილავთ, რა მოეთხოვება თითოეულ კატეგორიის სუბიექტს, ვის ეცნობება ინციდენტი და რა ზომები ემუქრება დამრღვევს.
ინციდენტის იდენტიფიკაცია და ქსელური სენსორი
კანონის მე-10 მუხლის პირველი პუნქტით, კრიტიკული ინფორმაციული სისტემის სუბიექტი ახორციელებს კომპიუტერული ინციდენტის იდენტიფიკაციას, რაც მოიცავს ამ ინციდენტის შესწავლას, აღწერას და მასზე რეაგირებას. ამ მიზნით სუბიექტი იყენებს ქსელურ სენსორს, რომლის კონფიგურირების წესებიც პირველი ან მეორე კატეგორიის სუბიექტისთვის დგინდება ოპერატიულ-ტექნიკური სააგენტოს უფროსის ბრძანებით, მესამე კატეგორიის სუბიექტისთვის — ციფრული მმართველობის სააგენტოს თავმჯდომარის ბრძანებით, ხოლო თავდაცვის სფეროში შემავალი სუბიექტისთვის — საქართველოს თავდაცვის მინისტრის ბრძანებით. კონფიგურაციის წესები უნდა გამორიცხავდეს სუბიექტის კომუნიკაციის შინაარსობრივ მონაცემებზე ხელმისაწვდომობას. პირველი კატეგორიის სუბიექტის ქსელში მიმდინარე ინციდენტის იდენტიფიკაციას ახორციელებს ოპერატიულ-ტექნიკური სააგენტოს კომპიუტერულ ინციდენტებზე დახმარების ჯგუფი ან/და სუბიექტის კომპიუტერული უსაფრთხოების სპეციალისტი — ანუ სახელმწიფო და სუბიექტი ამ ეტაპზე პარალელურად მოქმედებენ.
შეტყობინება — ვის, როდის და როგორ
კომპიუტერული ინციდენტის იდენტიფიკაცის შესახებ დაუყოვნებლივ ეცნობება: პირველი ან მეორე კატეგორიის სუბიექტს — ოპერატიულ-ტექნიკური სააგენტოს კომპიუტერულ ინციდენტებზე დახმარების ჯგუფს, მესამე კატეგორიის სუბიექტს — ციფრული მმართველობის სააგენტოს კომპიუტერულ ინციდენტებზე დახმარების ჯგუფს, ხოლო თავდაცვის სფეროს სუბიექტს — კიბერუსაფრთხოების ბიუროს კომპიუტერულ ინციდენტებზე დახმარების ჯგუფს. ინციდენტის შესახებ ინფორმაციის შენახვისა და დაცვის მიზნით სუბიექტი აუცილებლობის შემთხვევაში ახორციელებს გადაუდებელ ღონისძიებებს. დახმარების ჯგუფი ინციდენტს შეისწავლის, აღწერს და მასზე რეაგირებს, ხოლო შესწავლის შემდეგ სუბიექტს წარუდგენს შესასრულებლად სავალდებულო მითითებებს. მითითება ვერ ითვალისწინებს მეორე ან მესამე კატეგორიის სუბიექტის ქსელურ სენსორზე, ინფორმაციულ აქტივზე, სისტემაზე ან ინფრასტრუქტურაში შემავალ საგანზე წვდომის ვალდებულებას — სუბიექტის ქონება ამ გზით დაუცველი არ რჩება. სუბიექტი ვალდებულია გონივრულ ვადაში უპასუხოს მითითებებს და განხორციელებული ღონისძიებების შესახებ ინფორმაცია შესაბამის ჯგუფს წარუდგინოს.
დახმარების ჯგუფების უფლებამოსილებანი და საზღვრები
ოპერატიულ-ტექნიკური სააგენტოს ჯგუფს პირველი კატეგორიის სუბიექტებთან მიმართებაში ფართო უფლებამოსილებები აქვს: წვდომა ქსელურ სენსორზე — გარდა იმ შემთხვევისა, როცა ტრაფიკის მაიდენტიფიცირებელი მონაცემი საბანკო გადარიცხვების შესახებ ინფორმაციას შეიცავს; სუბიექტის ინფორმაციულ აქტივზე, სისტემაზე ან ინფრასტრუქტურაზე წვდომის მოთხოვნა მიმდინარე ან მომხდარ ინციდენტზე რეაგირებისთვის — ასეთი წვდომა სუბიექტზე დაუყოვნებლივ, მოთხოვნისთანავე უნდა უზრუნველყოფილ იქნეს და იგი კომპიუტერული უსაფრთხოების სპეციალისტის მონაწილეობით ხორციელდება. მეორე კატეგორიის სუბიექტთან წვდომა მისი თანხმობით ხდება, ხოლო გადაწყვეტილებას ინფორმაციული უსაფრთხოების მენეჯერი გონივრულ ვადაში იღებს. ინციდენტის განმეორების საფრთხის თავიდან ასაცილებლად ჯგუფს შეუძლია ელექტრონული კომუნიკაციის კომპანიას მოსთხოვოს მსგავსი ინციდენტის ნეიტრალიზების ღონისძიებების განხორციელება — მოთხოვნა კომპანიის ტექნიკურ შესაძლებლობებს უნდა ითვალისწინებდეს. ცალკე აღწერილია, რომ ეს მოთხოვნები არ ვრცელდება საგადახდო, ფასიანი ქაღალდების ანგარიშსწორებისა და რეზერვების მართვის სისტემებზე, აგრეთვე მონეტარული და სავალუტო ოპერაციებისთვის გამოყენებულ კრიტიკულ სისტემებზე.
დახმარების ჯგუფების ფუნქციები და პრიორიტეტული საფრთხეები
კანონის მე-8 მუხლი ადგენს, რომ კიბერსივრცეში ინციდენტების მართვას ახორციელებენ ოპერატიულ-ტექნიკური სააგენტოს, ციფრული მმართველობის სააგენტოსა და კიბერუსაფრთხოების ბიუროს კომპიუტერულ ინციდენტებზე დახმარების ჯგუფები. პრიორიტეტულ საფრთხეებს მიეკუთვნება: კიბერშეტევა, რომელიც საფრთხეს უქმნის ადამიანთა სიცოცხლესა და ჯანმრთელობას, სახელმწიფო ინტერესებს ან ქვეყნის თავდაცვისუნარიანობას; კიბერშეტევა კრიტიკული ინფორმაციული სისტემის სუბიექტის ინფორმაციული სისტემების წინააღმდეგ; კიბერშეტევა, რომელიც საფრთხეს უქმნის სახელმწიფოს, ორგანიზაციის ან კერძო პირის ფინანსურ რესურსებს ან/და საკუთრების უფლებას; აგრეთვე სხვა ნებისმიერი ქმედება, რომელიც თავისი ხასიათიდან, მიზნიდან, წყაროდან, მოცულობიდან ან რაოდენობიდან გამომდინარე კრიტიკული სისტემის ნორმალური ფუნქციონირებისთვის საკმარის საფრთხეს შეიცავს. ჯგუფების მოვალეობებში შედის რეკომენდაციებისა და სახელმძღვანელო მითითებების გაცემა, ინციდენტების დროული გამოვლენა, რეაგირება და კოორდინაცია, აღრიცხვა და კატეგორიზაცია, ანალიზი, შედეგების გამოსწორებასა და ზიანის მინიმუმამდე შემცირებაში დახმარება და პრევენციულ ზომებში მონაწილეობა — ანუ დაზარალებული ორგანიზაცია მარტილი არ რჩება.
ჯარიმები ვალდებულებების შეუსრულებლობისთვის
კანონით დაწესებული ადმინისტრაციული პასუხისმგებლობა ზუსტად განსაზღვრავს ფასს, რომელსაც კიბერშეტევაზე არარეაგირება იწვევს. პირველი კატეგორიის სუბიექტის მიერ ინციდენტის იდენტიფიკაციის შესახებ შეუტყობინებლობა, ოპერატიულ-ტექნიკური სააგენტოს მიერ გაცემული შესასრულებლად სავალდებულო მითითებების შეუსრულებლობა ან განხორციელებული ღონისძიებების შესახებ ინფორმაციის წარუდგენლობა იწვევს გაფრთხილებას ან დაჯარიმებას 5 000 ლარის ოდენობით; იმავე დარღვევის განმეორება იმ სუბიექტის მიერ, რომელსაც ერთი წლის განმავლობაში ადმინისტრაციული სახდელი შეეფარდა, — დაჯარიმებას 10 000 ლარის ოდენობით. მესამე კატეგორიის სუბიექტისთვის იგივე წესია: შეუტყობინებლობა ან ციფრული მმართველობის სააგენტოს მითითებების შეუსრულებლობა — გაფრთხილება ან 5 000 ლარამდე ჯარიმა, ხოლო ერთი წლის განმავლობაში განმეორებისას — 10 000 ლარის ჯარიმა. ამდენად, სწრაფი და დოკუმენტირებული რეაგირება არა მხოლოდ უსაფრთხოების, არამედ ფინანსური რისკის საკითხიცაა. Legal.ge-ის გუნდი დაგეხმარებით ინციდენტზე რეაგირების სამართლებრივ მხარეში — შეტყობინებების ფორმალიზებიდან მითითებებზე პასუხის გაცემამდე.