კანონის მიზანი და ინფორმაციული უსაფრთხოების ჩარჩო
საქართველოს ინფორმაციული უსაფრთხოების შესახებ კანონი შეიქმნა ინფორმაციული უსაფრთხოების დაცვის ქმედით და ეფექტიან განხორციელებისთვის: ის აწესებს საჯარო და კერძო სექტორების უფლება-მოვალეობებს ამ სფეროში და განსაზღვრავს სახელმწიფო კონტროლის მექანიზმებს. პრაქტიკულ დონეზე სახელმწიფო განსაზღვრავს, ვინ მიიჩნევა კრიტიკული ინფორმაციული სისტემის სუბიექტად, რა ეკისრება მას და როგორ რეაგირებენ სპეციალიზებული ჯგუფები კომპიუტერულ ინციდენტებზე. ციფრულ ინფრასტრუქტურაზე დამოკიდებული კომპანიებისთვის ამ კანონის ცოდნა რისკების მართვის საფუძველია.
კანონის მოქმედება ვრცელდება კრიტიკული ინფორმაციული სისტემის სუბიექტზე, აგრეთვე იმ ორგანიზაციაზე ან უწყებაზე, რომელიც ამ სუბიექტს ექვემდებარება ან მასთანაა დაკავშირებული დასაქმების, სტაჟირების, სახელშეკრულებო ან სხვა ურთიერთობით და ამ ფარგლებში ინფორმაციული აქტივის ხელმისაწვდომობას უზრუნველყოფს. ამავდროულად, კანონი არ ვრცელდება მასმედიაზე, გამომცემლობათა რედაქციებზე, სამეცნიერო, საგანმანათლებლო, რელიგიურ და საზოგადოებრივ ორგანიზაციებსა და პოლიტიკურ პარტიებზე, და არ ეხება იმ ნორმებს, რომლებიც ინფორმაციის თავისუფლებას, პერსონალური მონაცემის დამუშავებას და საიდუმლოებების დაცვას არეგულირებს.
კრიტიკულობის კატეგორიები და ნუსხა
კრიტიკული ინფორმაციული სისტემის სუბიექტების ნუსხა მტკიცდება და შესაბამისი სუბიექტის კრიტიკულობის კლასიფიკაცია დგინდება საქართველოს მთავრობის დადგენილებით, რომლის პროექტს მთავრობას წარუდგენს იუსტიციის სამინისტრო თავდაცვის, შინაგან საქმეთა სამინისტროებსა და სახელმწიფო უსაფრთხოების სამსახურთან შეთანხმებით. ნუსხის შედგენისას გათვალისწინებულია ინფორმაციული სისტემის შეფერხების ან მწყობრიდან გამოსვლის სავარაუდო შედეგების სიმძიმე და მასშტაბი, სავარაუდო ეკონომიკური ზარალი, სისტემის მომსახურების აუცილებლობა საზოგადოების ნორმალური ფუნქციონირებისთვის, მომხმარებელთა რაოდენობა და სუბიექტის მატერიალური მდგომარეობა თანდართულ ხარჯებთან ერთად.
კატეგორიების განაწილებას პრაქტიკული მნიშვნელობა აქვს: პირველი, მეორე და მესამე კატეგორიის სუბიექტებთან დაკავშირებული წესები — სენსორის კონფიგურაციიდან შეტყობინების მიმღებ ჯგუფამდე — განსხვავდება. კანონი ასევე აფიქსირებს, რომ კომერციული ბანკი, რომელიც სუბიექტი არ არის, ხელმძღვანელობს ეროვნული ბანკის წესებით, და რომ არასუბიექტ პირს შეუძლია ნებაყოფლობით აიღოს ამ კანონიდან გამომდინარე ვალდებულებები.
კომპიუტერული ინციდენტის იდენტიფიცირება და შეტყობინება
კრიტიკული ინფორმაციული სისტემის სუბიექტი ახორციელებს კომპიუტერული ინციდენტის იდენტიფიცირებას, რაც მოიცავს ინციდენტის შესწავლას, აღწერას და მასზე რეაგირებას; ამ მიზნით სუბიექტი იყენებს ქსელურ სენსორს. ქსელური სენსორის კონფიგურირების წესები პირველი ან მეორე კატეგორიის სუბიექტის მიმართ დგინდება ოპერატიულ-ტექნიკური სააგენტოს უფროსის ბრძანებით, მესამე კატეგორიის სუბიექტის მიმართ — ციფრული მმართველობის სააგენტოს თავმჯდომარის ბრძანებით, ხოლო თავდაცვის სფეროში შემავალი სუბიექტის მიმართ — თავდაცვის მინისტრის ბრძანებით. კონფიგურირების წესები უნდა გამორიცხავდეს სუბიექტის კომუნიკაციის შინაარსობრივი მონაცემის ხელმისაწვდომობას — ეს ითვლება კონფიდენციალურობის მნიშვნელოვან გარანტიად.
ინციდენტის იდენტიფიცირების შესახებ პირველი ან მეორე კატეგორიის სუბიექტში დაუყოვნებლივ ეცნობება ოპერატიულ-ტექნიკური სააგენტოს კომპიუტერულ ინციდენტებზე დახმარების ჯგუფს, მესამე კატეგორიის სუბიექტში — ციფრული მმართველობის სააგენტოს ჯგუფს, თავდაცვის სფეროში — კიბერუსაფრთხოების ბიუროს ჯგუფს. ჯგუფი შეისწავლის და აღწერს ინციდენტს, რეაგირებს მასზე და შესწავლის შემდეგ სუბიექტს წარუდგენს შესასრულებლად სავალდებულო მითითებებს, რომელიც ვერ ითვალისწინებს მეორე ან მესამე კატეგორიის სუბიექტის სენსორზე, ინფორმაციულ აქტივზე ან სისტემაზე წვდომის ვალდებულებას; სუბიექტი გონივრულ ვადაში რეაგირებს და ღონისძიებების შესახებ ინფორმაციას ჯგუფს წარუდგინებს. პირველი კატეგორიის სუბიექტის ქსელში მიმდინარე ინციდენტს ოპერატიულ-ტექნიკური სააგენტოს ჯგუფი ანდა სუბიექტის სპეციალისტი აიდენტიფიცირებს; ამავე ჯგუფს აქვს ამ კატეგორიის სენსორზე წვდომის უფლება — გარდა შემთხვევისა, როცა ტრაფიკის მაიდენტიფიცირებელი მონაცემი საბანკო გადარიცხვებზე ინფორმაციას შეიცავს.