ინფორმაციული უსაფრთხოების პოლიტიკა: რას მოითხოვს კანონი
კიბერუსაფრთხოების პოლიტიკის შემუშავება საქართველოში არ არის მხოლოდ კერძო საკომპანიო საკითხი: ინფორმაციული უსაფრთხოების შესახებ საქართველოს კანონი კრიტიკული ინფორმაციული სისტემის სუბიექტებს ავალდებულებს, მიიღონ შინასამსახურებრივი გამოყენების წესები, რომლებიც განსაზღვრავს ორგანიზაციის ინფორმაციული უსაფრთხოების პოლიტიკას. პოლიტიკა უნდა აკმაყოფილებდეს კანონით დადგენილ მინიმალურ მოთხოვნებს, ხოლო მისი ელემენტები — აქტივების მართვა, პასუხისმგებელი პირები და მათი ფუნქციები — კანონითვე არის დარეგულირებული. ამ გვერდზე განვმარტავთ, რა უნდა შეიცავდეს კანონიერი პოლიტიკა, ვის ეწოდება ინფორმაციული უსაფრთხოების მენეჯერი და კომპიუტერული უსაფრთხოების სპეციალისტი და როგორ უკავშირდება ეს დოკუმენტი სახელმწიფო უწყებების ზედამხედველობას.
პოლიტიკის აუცილებელი შინაარსი და მინიმალური მოთხოვნები
კანონის თანახმად, კრიტიკული ინფორმაციული სისტემის სუბიექტი ვალდებულია მიიღოს ინფორმაციული უსაფრთხოების შინასამსახურებრივი გამოყენების წესები, რომლებიც ემსახურება კანონის დებულებათა აღსრულებას და განსაზღვრავს ორგანიზაციის ინფორმაციული უსაფრთხოების პოლიტიკას. ამასთან, პოლიტიკა უნდა აკმაყოფილებდეს ინფორმაციული უსაფრთხოების მინიმალურ მოთხოვნებს. ეს მოთხოვნები დგინდება სტანდარტიზაციის საერთაშორისო ორგანიზაციის, აშშ-ის სტანდარტებისა და ტექნოლოგიების ეროვნული ინსტიტუტის და ინფორმაციული სისტემების აუდიტისა და კონტროლის ასოციაციის მიერ დადგენილი სტანდარტებისა და მოთხოვნების მხედველობაში მიღებით — პირველი და მეორე კატეგორიების სუბიექტებისთვის ოპერატიულ-ტექნიკური სააგენტოს უფროსის ბრძანებით, მესამე კატეგორიის სუბიექტისთვის ციფრული მმართველობის სააგენტოს თავმჯდომარის ბრძანებით. ანუ პოლიტიკის შემუშავება იწყება ამ ბრძანებების შესწავლით: დოკუმენტი, რომელიც მათ არ ასახავს, ზედამხედველობის ორგანოსთან წარდგენისას ხარვეზიანად ჩაითვლება.
მიღებული წესები სუბიექტებმა განსახილველად უნდა წარუდგინონ შესაბამის უწყებას: პირველი და მეორე კატეგორიების სუბიექტები — ოპერატიულ-ტექნიკურ სააგენტოს, მესამე კატეგორიის სუბიექტები — ციფრული მმართველობის სააგენტოს, თავდაცვის სფეროში შემავალი სუბიექტები — კიბერუსაფრთხოების ბიუროს. უწყებებს ეცნობებათ აგრეთვე წესებში შეტანილი ნებისმიერი ცვლილება. ისინი ატარებენ წარდგენილი დოკუმენტების ზოგად ანალიზს და აღმოჩენილი ხარვეზების გამოსასწორებლად წარადგენენ შესასრულებლად სავალდებულო მითითებებს ან რეკომენდაციებს. გარდა ამისა, უწყებები უფლებამოსილი არიან სუბიექტისგან გამოითხოვონ ინფორმაცია პოლიტიკის შემუშავებასთან, დანერგვასთან, მონიტორინგსა და გაუმჯობესებასთან დაკავშირებულ სხვა საკითხებზე. ცალკე რეჟიმია კომერციული ბანკებისთვის: ეროვნული ბანკი უფლებამოსილია მათთვის მოსთხოვოს წესების წარდგენა და მის მიერ დადგენილი დამატებითი სტანდარტებისა და მოთხოვნების მიმართ გასცეს სავალდებულო მითითებები ან რეკომენდაციები.
ინფორმაციული აქტივების მართვა — პოლიტიკის საფუძველი
პოლიტიკა აგებული უნდა იყოს აქტივების რეალურ რეესტრზე. კანონი სუბიექტს ავალდებულებს ატაროს ინფორმაციული სისტემების ინვენტარიზაცია ყველა ინფორმაციული აქტივის აღრიცხვის მიზნით, რის შედეგადაც ყოველ აქტივს მიენიჭება კრიტიკულობის შესაბამისი კლასი — კონფიდენციალური ან შინასამსახურებრივი გამოყენების; ყველა სხვა აქტივი, რომლის კლასიფიცირება საჭირო არ არის, ღია ინფორმაციად ითვლება. აღრიცხვის შედეგად აღიწერება ყოველი აქტივის მნიშვნელობა, ფასეულობა, უსაფრთხოებისა და დაცვის არსებული დონე. ინფორმაციული აქტივის შექმნის დროს კრიტიკულობის კლასს ადგენს აქტივის ავტორი ან პასუხისმგებელი პირი. აქტივების აღწერის, კლასიფიკაციის, ხელმისაწვდომობის, გაცემის, შეცვლისა და განადგურების წესები კატეგორიების მიხედვით შესაბამისი უწყებების ბრძანებებით დგინდება — პოლიტიკა ამ წესებს უნდა იმეორებდეს შიდა დონეზე.
ინფორმაციული უსაფრთხოების მენეჯერი
პოლიტიკას სჭირდება მფლობელი: სუბიექტი ვალდებულია განსაზღვროს კონკრეტული პირი ან თანამშრომელი, რომელიც პასუხისმგებელია ინფორმაციული უსაფრთხოების მოთხოვნების შესრულებისთვის — ინფორმაციული უსაფრთხოების მენეჯერი. მისი ძირითადი მოვალეობები კანონითვე არის ჩამოყალიბებული: პოლიტიკის მოთხოვნების შესრულების ყოველდღიური მონიტორინგი; აქტივებისა და მათზე წვდომის აღწერა; შინაუწყებრივი დოკუმენტაციის მომზადება; ინციდენტების შესახებ ინფორმაციის შეგროვება და რეაგირების მონიტორინგი; ანგარიშგება და ადმინისტრაციული საქმიანობა; ზოგადი და დარგობრივი ტრენინგების ორგანიზება. მენეჯერი ანგარიშვალდებულია ხელმძღვანელის ან მის მიერ უფლებამოსილი თანამშრომლის, ანდა პოლიტიკის განხორციელების უფლებამოსილების მქონე პირთა ჯგუფის წინაშე, და ყველა მნიშვნელოვანი გადაწყვეტილება პოლიტიკის განხორციელებასთან დაკავშირებით მიიღება ამ პირის მიერ ან მასთან წინასწარი შეთანხმებით. ის ადგენს სამოქმედო გეგმას და მის შესრულებაზე ყოველწლიურ ანგარიშს წარუდგენს ხელმძღვანელობას; კატეგორიების მიხედვით ანგარიში დამატებით ეგზავნება ოპერატიულ-ტექნიკურ სააგენტოს, ციფრული მმართველობის სააგენტოს ან კიბერუსაფრთხოების ბიუროს.
კომპიუტერული უსაფრთხოების სპეციალისტი
მეორე საყრდენი როლი ოპერაციულ დონეზეა: სუბიექტი ვალდებულია განსაზღვროს პირი, რომელიც პასუხისმგებელია კომპიუტერული სისტემების უსაფრთხოების პრაქტიკული უზრუნველყოფისთვის — კომპიუტერული უსაფრთხოების სპეციალისტი. მისი მოვალეობებია სისტემების ყოველდღიური მონიტორინგი და შეფასება; ინციდენტის იდენტიფიცირება, რეაგირება და ინციდენტის შესახებ ინფორმაციის დაუყოვნებლივ მიწოდება შესაბამისი უწყების კომპიუტერულ ინციდენტებზე დახმარების ჯგუფისთვის; ინციდენტებისა და ზომების ანალიზი და ანგარიშგება; დახმარების ჯგუფთან კოორდინაცია. სპეციალისტი ანგარიშვალდებულია ინფორმაციული ტექნოლოგიების სამსახურის ხელმძღვანელის წინაშე, ხელმისაწვდომი უნდა იყოს ნებისმიერ დროს, მათ შორის სამუშაო საათების შემდეგ, და კიბერშეტევის აღმოფხვრის პროცესში უზრუნველყოფს მუდმივ კოორდინაციას შესაბამის დახმარების ჯგუფთან. თუ შეტევა განსაკუთრებულ საფრთხეს უქმნის სახელმწიფოს თავდაცვისუნარიანობას, ეკონომიკურ უსაფრთხოებას ან ხელისუფლების ფუნქციონირებას, ოპერატიულ-ტექნიკური სააგენტო უფლებამოსილია სპეციალისტებისა და სხვა ჯგუფების დროებითი კოორდინაცია განახორციელოს.
როგორ დაგეხმარებით
ჩვენ ვეხმარებით კრიტიკული ინფორმაციული სისტემის სუბიექტებს პოლიტიკის და შინასამსახურებრივი წესების შედგენაში: შევადგენთ დოკუმენტს, რომელიც აკმაყოფილებს მინიმალურ მოთხოვნებს და ასახავს აქტივების მართვის, მენეჯერისა და სპეციალისტის ფუნქციების კანონით დადგენილ ჩარჩოს; განვმარტავთ, რომელ უწყებას და რომელ ვადაში უნდა წარედგინოს დოკუმენტი; და მოვამზადებთ ორგანიზაციას ზედამხედველობის ორგანოს მითითებებზე რეაგირებისთვის. მიმართეთ — შევაფასებთ თქვენს სუბიექტის კატეგორიას და შევთავაზებთ პრაქტიკულ გადაწყვეტილებას.