სერთიფიკაცია თუ კანონით დადგენილი აუდიტი
ინფორმაციული უსაფრთხოების მართვის სისტემების საერთაშორისო სერთიფიკაციის სტანდარტები საქართველოში კერძო, ნებაყოფლობით ინსტრუმენტია: მათი სერთიფიკატი ქვეყნის კანონმდებლობით არავითარ ძალას არ იძენს. კრიტიკული ინფორმაციული სისტემის სუბიექტისთვის აუდიტი სავალდებულოა არა სერთიფიკატის, არამედ კანონის გამო — ინფორმაციული უსაფრთხოების შესახებ საქართველოს კანონი დგენს ინფორმაციული უსაფრთხოების პირველადი და პერიოდული აუდიტისა და ინფორმაციულ სისტემაში შეღწევადობის ტესტის ჩატარების ვალდებულებას, ამ აუდიტების ჩამტარებლების ავტორიზაციის წესს და დასკვნებზე რეაგირების მექანიზმს. ამ გვერდზე განვმარტავთ, რომ არის კანონიერად აუცილებელი და რა როლი შეიძლება ჰქონდეს ნებაყოფლობით სერთიფიკაციას.
ძირითადი ცნებები, რომლებზეც აუდიტი აგებულია
კანონი თავად განსაზღვრავს იმ ცნებებს, რომლებითაც აუდიტის დასკვნა ფასდება. ინფორმაციული უსაფრთხოება არის საქმიანობა, რომელიც უზრუნველყოფს ინფორმაციისა და ინფორმაციული სისტემების წვდომის, ერთიანობის, ავთენტიფიკაციის, კონფიდენციალურობისა და განგრძობადი მუშაობის დაცვას. ინფორმაციული უსაფრთხოების პოლიტიკა არის კანონით, სხვა ნორმატიული აქტებითა და საერთაშორისო შეთანხმებებით გათვალისწინებული ნორმებისა და პრინციპების ერთობლიობა, რომელიც შეესაბამება დაცვის სფეროში დადგენილ საერთაშორისო სტანდარტებს. კიბერშეტევა არის ქმედება, როდესაც ელექტრონული მოწყობილობა ან მასთან დაკავშირებული ქსელი გამოიყენება კრიტიკულ ინფორმაციულ სისტემაში შემავალი სისტემების, ქონების ან ფუნქციების მთლიანობის დარღვევის, შეფერხების, განადგურების ან ინფორმაციის უკანონოდ მოპოვების გზით. კომპიუტერული ინციდენტი არის ინფორმაციული ტექნოლოგიის გამოყენებით ჩადენილი ქმედება, რომელიც იწვევს ან მიზნად ისახავს ინფორმაციის კონფიდენციალურობის, მთლიანობის ან ხელმისაწვდომობის დარღვევას. კრიტიკული ინფორმაციული სისტემა კი არის ინფორმაციული სისტემა, რომლის უწყვეტი ფუნქციონირება მნიშვნელოვანია ქვეყნის თავდაცვისთვის, ეკონომიკური უსაფრთხოებისთვის, სახელმწიფო ხელისუფლების ან საზოგადოების ნორმალური ფუნქციონირებისთვის.
ვის ევალდება აუდიტი: კანონის მოქმედების სფერო
კანონი ვრცელდება კრიტიკული ინფორმაციული სისტემის სუბიექტზე, აგრეთვე იმ ორგანიზაციაზე, რომელიც სუბიექტს ექვემდებარება ან მასთან არის დაკავშირებული დასაქმების, სტაჟირების, სახელშეკრულებო ან სხვა ურთიერთობით და ამ ურთიერთობის ფარგლებში უზრუნველყოფს ინფორმაციული აქტივის ხელმისაწვდომობას. სუბიექტთა ნუსხა მტკიცდება მთავრობის დადგენილებით, რომელიც კლასიფიკაციას ადგენს განსაზღვრული კრიტერიუმებით: სისტემის შეფერხების სავარაუდო შედეგების სიმძიმე და მასშტაბი, სავარაუდო ეკონომიკური ზარალი, მომსახურების აუცილებლობა საზოგადოების ნორმალური ფუნქციონირებისთვის, მომხმარებელთა რაოდენობა და სუბიექტის მატერიალური მდგომარეობა. კანონი არ ვრცელდება მასმედიაზე, გამომცემლობათა რედაქციებზე, სამეცნიერო, საგანმანათლებლო, რელიგიურ და საზოგადოებრივ ორგანიზაციებსა და პოლიტიკურ პარტიებზე. ნებისმიერ იურიდიულ პირს, რომელიც სუბიექტი არ არის, უფლება აქვს ნებაყოფლობით აიღოს კანონიდან გამომდინარე ვალდებულებები — სწორედ ეს გზა ხდის ნებაყოფლობით სერთიფიკაციასთან შედარებით უფრო მკაცრ სამართლებრივ რეჟიმს: კომერციული ბანკი, რომელიც სუბიექტი არ არის, ხელმძღვანელობს ეროვნული ბანკის მიერ დადგენილი წესებით.
აუდიტი და შეღწევადობის ტესტი: ვინ, როგორ და რის შემდეგ
სუბიექტი ვალდებულია ჩაატაროს ინფორმაციული უსაფრთხოების პირველადი და პერიოდული აუდიტი — მართვის სისტემის მინიმალურ სტანდარტებთან შესაბამისობის შეფასება. აუდიტის შემდეგ დგება დასკვნა, რომლის მოთხოვნების შესრულება სავალდებულოა. ჩატარების წესი კატეგორიების მიხედვითაა განაწილებული: პირველი კატეგორიის სუბიექტის პირველად აუდიტს უსასყიდლოდ ატარებს ოპერატიულ-ტექნიკური სააგენტო, ხოლო პერიოდულს — შერჩევით იგივე სააგენტო ან ციფრული მმართველობის სააგენტოს მიერ ავტორიზებული ორგანიზაცია (ამ მოთხოვნის გარდა არიან საგადახდო, ფასიანი ქაღალდების ანგარიშსწორებისა და რეზერვების მართვის სისტემები და მონეტარული ოპერაციებისთვის გამოყენებული კრიტიკული სისტემები); მეორე კატეგორიის სუბიექტზე აუდიტს ატარებს ოპერატიულ-ტექნიკური სააგენტო ან ავტორიზებული ორგანიზაცია; მესამეზე — ციფრული მმართველობის სააგენტო ან ავტორიზებული ორგანიზაცია; თავდაცვის სფეროში — კიბერუსაფრთხოების ბიურო. აუდიტის წესი და პერიოდულობა შესაბამისი უწყებების ბრძანებით დგინდება, საფასური — ხელშეკრულებით.
პარალელურად, სუბიექტი ვალდებულია უზრუნველყოს შეღწევადობის (პენეტრაციის) ტესტის ჩატარება წინასწარ დაგეგმილი და დოკუმენტირებული ამოცანის მიხედვით; ტესტის შემდეგ დგება დასკვნა, რომლის მოთხოვნებიც ასევე სავალდებულოა. თუ აუდიტმა გამოავლინა შეუსაბამობა ან ტესტმა — სისუსტეები, სუბიექტი ატარებს ანალიზს და განსაზღვრავს სამოქმედო გეგმას გრაფიკით, რომელსაც ტესტის ან აუდიტის დასრულებიდან 1 თვის ვადაში წარუდგენს შესათანხმებლად შესაბამის უწყებას; კომერციული ბანკები გეგმას ეროვნულ ბანკს უდგენენ. უწყებები უზრუნველყოფენ გეგმის შეფასებას, რეკომენდაციების ან სავალდებულო მითითებების შემუშავებას და შესრულების მონიტორინგს.
აუდიტორების ავტორიზაციის რეჟიმი
კერძო ორგანიზაციას აუდიტის ან პენეტრაციის ტესტის ჩატარების უფლება მხოლოდ მაშინ აქვს, თუ ციფრული მმართველობის სააგენტოში გავლილი აქვს ავტორიზაცია ამ სააგენტოს თავმჯდომარის ბრძანებით დადგენილი წესის შესაბამისად; ავტორიზაციის გავლის საფასური ცალკე კანონით დგინდება. თანამშრომელმა, რომელიც პირადად ატარებს აუდიტს ან ტესტს, უნდა ჰქონდეს გავლილი უსაფრთხოებაზე შემოწმება სახელმწიფო უსაფრთხოების სამსახურის უფროსის ნორმატიული აქტით დადგენილი წესის შესაბამისად. ავტორიზაციის კანდიდატი ორგანიზაცია უნდააკმაყოფილებდეს უსაფრთხოების მოთხოვნებს და მას უნდა ჰყავდეს შესაბამარი უფლებამოსილების მქონე თანამშრომელი. კომერციულ ბანკებში აუდიტის ჩასატარებლად შეიძლება ავტორიზებული ორგანიზაციების დამატებითი სიაც, რომელსაც ციფრული მმართველობის სააგენტოს ეროვნული ბანკი წარუდგენს.
ჩვენი მომსახურება
თუ თქვენი ორგანიზაცია კრიტიკული ინფორმაციული სისტემის სუბიექტია ან აპირებს ნებაყოფლობით ვალდებულებების აღებას, ჩვენ დაგეხმარებით სწორი რეჟიმის შერჩევაში: განვსაზღვრავთ, რომელი აუდიტია სავალდებულო და ვის უფლება აქვს მისი ჩატარება, შევამოწმებთ აუდიტორის ავტორიზაციას, დავეხმარებით დასკვნებზე და სამოქმედო გეგმაზე რეაგირებაში დადგენილ ვადებში. ნებაყოფლობითი სერთიფიკაციის გადაწყვეტილებას ჩვენ შევაფასებთ კანონიერი მოთხოვნების პარალელურად — რომ ის რესურსი არ იყოს ზედმეტი, არამედ დამატებითი.