სერთიფიკაცია თუ კანონით დადგენილი აუდიტი
ინფორმაციული უსაფრთხოების მართვის სისტემების საერთაშორისო სერთიფიკაციის სტანდარტები საქართველოში კერძო, ნებაყოფლობით ინსტრუმენტია: მათი სერთიფიკატი ქვეყნის კანონმდებლობით არავითარ ძალას არ იძენს. კრიტიკული ინფორმაციული სისტემის სუბიექტისთვის აუდიტი სავალდებულოა არა სერთიფიკატის, არამედ კანონის გამო — ინფორმაციული უსაფრთხოების შესახებ საქართველოს კანონი დგენს ინფორმაციული უსაფრთხოების პირველადი და პერიოდული აუდიტისა და ინფორმაციულ სისტემაში შეღწევადობის ტესტის ჩატარების ვალდებულებას, ამ აუდიტების ჩამტარებლების ავტორიზაციის წესს და დასკვნებზე რეაგირების მექანიზმს. ამ გვერდზე განვმარტავთ, რომ არის კანონიერად აუცილებელი და რა როლი შეიძლება ჰქონდეს ნებაყოფლობით სერთიფიკაციას.
ძირითადი ცნებები, რომლებზეც აუდიტი აგებულია
კანონი თავად განსაზღვრავს იმ ცნებებს, რომლებითაც აუდიტის დასკვნა ფასდება. ინფორმაციული უსაფრთხოება არის საქმიანობა, რომელიც უზრუნველყოფს ინფორმაციისა და ინფორმაციული სისტემების წვდომის, ერთიანობის, ავთენტიფიკაციის, კონფიდენციალურობისა და განგრძობადი მუშაობის დაცვას. ინფორმაციული უსაფრთხოების პოლიტიკა არის კანონით, სხვა ნორმატიული აქტებითა და საერთაშორისო შეთანხმებებით გათვალისწინებული ნორმებისა და პრინციპების ერთობლიობა, რომელიც შეესაბამება დაცვის სფეროში დადგენილ საერთაშორისო სტანდარტებს. კიბერშეტევა არის ქმედება, როდესაც ელექტრონული მოწყობილობა ან მასთან დაკავშირებული ქსელი გამოიყენება კრიტიკულ ინფორმაციულ სისტემაში შემავალი სისტემების, ქონების ან ფუნქციების მთლიანობის დარღვევის, შეფერხების, განადგურების ან ინფორმაციის უკანონოდ მოპოვების გზით. კომპიუტერული ინციდენტი არის ინფორმაციული ტექნოლოგიის გამოყენებით ჩადენილი ქმედება, რომელიც იწვევს ან მიზნად ისახავს ინფორმაციის კონფიდენციალურობის, მთლიანობის ან ხელმისაწვდომობის დარღვევას. კრიტიკული ინფორმაციული სისტემა კი არის ინფორმაციული სისტემა, რომლის უწყვეტი ფუნქციონირება მნიშვნელოვანია ქვეყნის თავდაცვისთვის, ეკონომიკური უსაფრთხოებისთვის, სახელმწიფო ხელისუფლების ან საზოგადოების ნორმალური ფუნქციონირებისთვის.
ვის ევალდება აუდიტი: კანონის მოქმედების სფერო
კანონი ვრცელდება კრიტიკული ინფორმაციული სისტემის სუბიექტზე, აგრეთვე იმ ორგანიზაციაზე, რომელიც სუბიექტს ექვემდებარება ან მასთან არის დაკავშირებული დასაქმების, სტაჟირების, სახელშეკრულებო ან სხვა ურთიერთობით და ამ ურთიერთობის ფარგლებში უზრუნველყოფს ინფორმაციული აქტივის ხელმისაწვდომობას. სუბიექტთა ნუსხა მტკიცდება მთავრობის დადგენილებით, რომელიც კლასიფიკაციას ადგენს განსაზღვრული კრიტერიუმებით: სისტემის შეფერხების სავარაუდო შედეგების სიმძიმე და მასშტაბი, სავარაუდო ეკონომიკური ზარალი, მომსახურების აუცილებლობა საზოგადოების ნორმალური ფუნქციონირებისთვის, მომხმარებელთა რაოდენობა და სუბიექტის მატერიალური მდგომარეობა. კანონი არ ვრცელდება მასმედიაზე, გამომცემლობათა რედაქციებზე, სამეცნიერო, საგანმანათლებლო, რელიგიურ და საზოგადოებრივ ორგანიზაციებსა და პოლიტიკურ პარტიებზე. ნებისმიერ იურიდიულ პირს, რომელიც სუბიექტი არ არის, უფლება აქვს ნებაყოფლობით აიღოს კანონიდან გამომდინარე ვალდებულებები — სწორედ ეს გზა ხდის ნებაყოფლობით სერთიფიკაციასთან შედარებით უფრო მკაცრ სამართლებრივ რეჟიმს: კომერციული ბანკი, რომელიც სუბიექტი არ არის, ხელმძღვანელობს ეროვნული ბანკის მიერ დადგენილი წესებით.