Управление киберрисками в Грузии больше не является исключительно частным решением компании: закон об информационной безопасности возлагает на определённых субъектов обязательные организационные меры — от политики и классификации активов до аудита, теста на проникновение и реагирования на инциденты. Первый и важнейший вопрос каждой компании — проверочный: подпадает ли она под действие закона вовсе? Эта страница построена именно вокруг этой логики: сначала сфера, затем обязанности и, наконец, архитектура ответственности.
На кого распространяется закон — проверочный вопрос
По статье 3 закон распространяется на субъект критической информационной системы, а также на организацию или ведомство, подчинённые или связанные с таким субъектом отношениями по найму, стажировке, договорным или иным отношениям, в рамках которых обеспечивается доступность информационного актива.
Перечень субъектов критических информационных систем и их классификация по критичности утверждаются постановлением правительства по критериям тяжести и масштаба последствий сбоя системы, ожидаемого экономического ущерба, необходимости услуг системы для нормального функционирования общества и числа пользователей. Закон не распространяется на СМИ, редакции издательств, научные, образовательные, религиозные и общественные организации и политические партии. При этом лицо, не являющееся субъектом, вправе принять обязательства добровольно — для многих компаний это путь превращения лучшей практики в конкурентный стандарт.
Политика и минимальные требования
Статья 4 обязывает субъект принять внутренние правила использования информационной безопасности, определяющие политику организации. Политика должна удовлетворять минимальным требованиям, установленным с учётом международных стандартов приказами компетентных ведомств по категориям. Правила представляются на рассмотрение компетентного ведомства, которое анализирует документы и выдаёт обязательные указания или рекомендации; об изменениях также уведомляется.
Инвентаризация и классификация активов
Статья 5 регулирует первый шаг риск-ориентированного управления: субъект проводит инвентаризацию информационных систем, учитывая каждый информационный актив и присваивая ему класс критичности — конфиденциальный или для внутреннего использования; остальное считается открытой информацией. В учёте описываются значимость, ценность и существующий уровень защиты каждого актива, а при создании актива класс определяет автор или ответственное лицо.