Сертификация или обязательный по закону аудит
Международные сертификационные стандарты систем управления информационной безопасностью в Грузии — частный добровольный инструмент: выданный по ним сертификат не приобретает никакой силы по законодательству страны. Для субъекта критической информационной системы аудит обязателен не из-за сертификата, а в силу закона: закон Грузии «Об информационной безопасности» устанавливает обязанность проведения первичного и периодического аудита информационной безопасности и теста на проникновение в информационную систему, порядок авторизации проводящих их лиц и механизм работы с их заключениями. На этой странице мы разъясняем, что требуется по закону и какую роль может играть добровольная сертификация.
Базовые понятия, на которых строится аудит
Закон сам определяет понятия, по которым оценивается заключение аудита. Информационная безопасность — деятельность, обеспечивающая защиту доступности, целостности, аутентификации, конфиденциальности и непрерывной работы информации и информационных систем. Политика информационной безопасности — совокупность норм и принципов, предусмотренных законом, иными нормативными актами и международными договорами, соответствующая установленным в сфере защиты международным стандартам. Кибератака — действие, при котором электронное устройство или связанная с ним сеть используются для нарушения целостности, функционирования или уничтожения систем, имущества или функций критической информационной системы либо незаконного получения информации. Компьютерный инцидент — действие с использованием информационных технологий, которое вызывает или имеет целью нарушение конфиденциальности, целостности или доступности информации. Критическая информационная система — система, непрерывное функционирование которой значимо для обороны или экономической безопасности страны, нормального функционирования государственной власти или общества.
Для кого аудит обязателен: сфера действия закона
Закон распространяется на субъект критической информационной системы, а также на организацию, подчинённую субъекту или связанную с ним отношениями найма, стажировки, договорными или иными отношениями, в рамках которых она обеспечивает доступ к информационному активу. Перечень субъектов утверждается постановлением правительства, классифицирующим их по определённым критериям: тяжесть и масштаб последствий сбоя или выхода системы из строя, вероятный экономический ущерб, необходимость услуги для нормального функционирования общества, число пользователей системы, материальное положение субъекта и ожидаемые расходы. Закон не распространяется на СМИ, редакции издательств, научные, образовательные, религиозные и общественные организации и политические партии. Любое юридическое лицо, не являющееся субъектом, вправе добровольно принять обязательства по закону — этот путь создаёт более строгий правовой режим, чем добровольная сертификация. Коммерческий банк, не являющийся субъектом, руководствуется правилами и требованиями Национального банка.