Цель закона и рамки информационной безопасности
Грузинский закон об информационной безопасности принят, чтобы содействовать действенной и эффективной защите информационной безопасности, установить права и обязанности публичного и частного секторов в этой сфере и определить механизмы государственного контроля за реализацией политики информационной безопасности. В практическом плане это означает: государство определяет, кто считается субъектом критической информационной системы, какие обязанности налагает этот статус и как специализированные группы реагируют на компьютерные инциденты. Для компаний и ведомств, зависящих от цифровой инфраструктуры, знание этого закона — основа управления комплаенс-риском.
Закон распространяется на субъект критической информационной системы, а также на организации, связанные с ним отношениями найма, стажировки, договорными или иными отношениями, в рамках которых обеспечивается доступность информационного актива. Он не распространяется на средства массовой информации, редакции издательств, научные, образовательные, религиозные и общественные организации и политические партии независимо от значимости их деятельности и не затрагивает нормы, регулирующие свободу информации, обработку персональных данных и защиту государственных, коммерческих и личных тайн.
Категории критичности и перечень
Перечень субъектов критических информационных систем утверждается, а классификация критичности соответствующего субъекта устанавливается постановлением Правительства Грузии, проект которого представляет правительству Министерство юстиции по согласованию с Министерством обороны, Министерством внутренних дел и Службой государственной безопасности. При составлении перечня учитываются тяжесть и масштаб предполагаемых последствий сбоя или выхода системы из строя, предполагаемый экономический ущерб, необходимость услуги для нормального функционирования общества, число пользователей, а также материальное положение субъекта и ожидаемые расходы, связанные с возложением обязанностей.
Распределение по категориям имеет практическое значение: правила, привязанные к субъектам первой, второй и третьей категорий — от конфигурации сетевого сенсора до группы, принимающей уведомления об инцидентах, — различаются. Закон также фиксирует, что коммерческий банк, не являющийся субъектом, руководствуется правилами Национального банка, и что юридическое лицо или орган государственной власти, не являющийся субъектом, вправе добровольно принять обязанности, вытекающие из этого закона.
Идентификация инцидентов и уведомление
Субъект критической информационной системы осуществляет идентификацию компьютерного инцидента, включающую исследование, описание инцидента и реагирование на него; для этой цели субъект использует сетевой сенсор. Правила конфигурации сетевого сенсора устанавливаются в отношении субъекта первой или второй категории приказом руководителя Оперативно-технического агентства, в отношении субъекта третьей категории — приказом председателя Агентства цифрового управления, а в отношении субъекта оборонной сферы — приказом министра обороны. Правила конфигурации должны исключать доступ к содержательным данным коммуникаций субъекта.
Об идентификации инцидента у субъекта первой или второй категории незамедлительно уведомляется группа помощи при компьютерных инцидентах Оперативно-технического агентства, у субъекта третьей категории — группа Агентства цифрового управления, в оборонной сфере — группа Бюро кибербезопасности. Группа исследует и описывает инцидент, реагирует на него и представляет субъекту для исполнения обязательные указания, которые не могут предусматривать доступ к сенсору, информационному активу или системе субъекта второй или третьей категории; субъект в разумный срок отреагирует и представит сведения о принятых мерах. Происходящий инцидент в сети субъекта первой категории идентифицирует группа Оперативно-технического агентства либо специалист по компьютерной безопасности субъекта; та же группа вправе получать доступ к сенсору первой категории — кроме случая, когда идентифицирующие трафик данные содержат сведения о банковских переводах.