Политика информационной безопасности: что требует закон
Разработка политики кибербезопасности в Грузии — не только частный корпоративный вопрос. Закон Грузии «Об информационной безопасности» обязывает субъектов критических информационных систем принять правила внутреннего пользования, определяющие политику информационной безопасности организации. Эта политика должна удовлетворять минимальным требованиям, установленным законом, а её составные части — управление активами, ответственные лица и их функции — также урегулированы законом. На этой странице мы разъясняем, что должна содержать законная политика, кого закон называет менеджером информационной безопасности и специалистом компьютерной безопасности и как этот документ связан с надзором государственных ведомств.
Обязательное содержание политики и минимальные требования
По закону субъект критической информационной системы обязан принять правила внутреннего пользования в сфере информационной безопасности, служащие выполнению положений закона и определяющие политику организации. Политика, в свою очередь, должна удовлетворять минимальным требованиям информационной безопасности. Эти требования устанавливаются с учётом стандартов и требований Международной организации по стандартизации (ИСО), Национального института стандартов и технологий США (НИСТ) и Ассоциации аудита и контроля информационных систем (ИСАКА): для субъектов первой и второй категорий — приказом начальника Оперативно-технического агентства, для субъектов третьей категории — приказом председателя Агентства электронного управления. Поэтому разработка политики начинается с изучения этих приказов: документ, который их не отражает, будет признан дефектным при представлении надзорному ведомству.
Принятые правила представляются на рассмотрение соответствующему ведомству: субъекты первой и второй категорий — Оперативно-техническому агентству, субъекты третьей категории — Агентству электронного управления, субъекты сферы обороны — Бюро кибербезопасности. Ведомствам сообщается также о любом изменении правил. Они проводят общий анализ представленных документов и для устранения выявленных недостатков представляют к исполнению обязательные указания либо рекомендации. Кроме того, ведомства вправе потребовать от субъекта иную информацию, связанную с разработкой, внедрением, мониторингом и улучшением политики. Особый режим действует для коммерческих банков: Национальный банк Грузии вправе потребовать представления их правил и выдать обязательные указания или рекомендации относительно установленных им для банков дополнительных стандартов и требований.