Правовой след кибератаки
Кибератака приносит не только операционный сбой, но и правовые обязанности: грузинское законодательство обязывает субъектов критических информационных систем идентифицировать компьютерные инциденты, уведомлять соответствующие группы реагирования и исполнять выданные указания. Статья 10 грузинского закона «О критических информационных системах и кибербезопасности» регулирует именно эти три опоры: изучение, описание и реагирование на инцидент; уведомление; исполнение обязательных указаний. Норма административной ответственности того же закона связывает с нарушением этих обязанностей штрафы. Ниже рассматривается, что требуется от субъекта каждой категории, кому уведомляется инцидент и какие санкции ждут нарушителя.
Идентификация инцидента и сетевой сенсор
По пункту 1 статьи 10 субъект критической информационной системы осуществляет идентификацию компьютерного инцидента, что включает его изучение, описание и реагирование. Для этого субъект использует сетевой сенсор, правила конфигурирования которого для субъектов первой и второй категорий устанавливаются приказом начальника Оперативно-технического агентства, для третьей категории — приказом председателя Агентства цифрового управления, а для субъектов сферы обороны — приказом министра обороны Грузии. Правила конфигурации должны исключать доступ к содержательным данным коммуникаций субъекта. Идентификацию инцидента в сети субъекта первой категории осуществляет группа реагирования Оперативно-технического агентства и/или компьютерный специалист по безопасности субъекта — государство и субъект действуют на этом этапе параллельно.
Уведомление — кому, когда и как
Об идентификации инцидента немедленно уведомляется: субъектами первой и второй категорий — группа реагирования Оперативно-технического агентства, третьей категории — группа Агентства цифрового управления, субъектами сферы обороны — группа Бюро кибербезопасности. Для хранения и защиты информации об инциденте субъект при необходимости принимает неотложные меры. Группа реагирования изучает, описывает инцидент и реагирует на него, а после изучения представляет субъекту обязательные для исполнения указания. Указание не может предусматривать обязанность доступа к сетевому сенсору, информационному активу, системе или объекту инфраструктуры субъекта второй или третьей категории — имущество субъекта этим путём не оголяется. Субъект обязан в разумный срок отреагировать на указания и представить сведения о принятых мерах соответствующей группе.