კიბერუსაფრთხოების მოთხოვნები ბანკებისა და საფინანსო კომპანიებისთვის საქართველოში და ISO 27001-ის როლი

ქართული ბანკები ერთმანეთზე გადაფარული რამდენიმე წესების ნაკრების ფარგლებში მუშაობენ. ISO/IEC 27001 არცერთ მათგანს არ ცვლის, მაგრამ კარგად აგებულ ინფორმაციული უსაფრთხოების მართვის სისტემას შეუძლია მათთვის საჭირო მტკიცებულებების უმეტესობის თავმოყრა.

საქართველოს ეროვნული ბანკის ჩარჩო

სექტორის მთავარი წესია კომერციული ბანკების კიბერუსაფრთხოების მართვის ჩარჩოს შესახებ დებულება, რომელიც დამტკიცებულია საქართველოს ეროვნული ბანკის (სებ) 2019 წლის 22 მარტის №56/04 ბრძანებით. ის აგებულია NIST-ის კიბერუსაფრთხოების ჩარჩოს სტრუქტურაზე: იდენტიფიცირება, დაცვა, აღმოჩენა, რეაგირება და აღდგენა. საერთაშორისო სავალუტო ფონდის (სსფ) მიერ 2024 წლის დეკემბერში გამოქვეყნებული საქართველოს ტექნიკური დახმარების ანგარიშის თანახმად, ჩარჩო მოიცავს:

• ყოველწლიურ თვითშეფასებას და ყოველწლიურ დამოუკიდებელ აუდიტს, რომელიც ჩარჩოს ყველა კომპონენტს მოიცავს, სებ-ის მითითებებით იმის შესახებ, როგორ ხდება ამ აუდიტების შეტყობინება და აუდიტორების როტაცია;
• წელიწადში სულ მცირე ერთ შეღწევადობის ტესტს, რომელიც ქსელთან დაკავშირებულ სისტემებს მოიცავს;
• 2023 წელს მიღებულ ინციდენტების შესახებ ინფორმაციის გაზიარების წესებს, რომელთა თანახმადაც მნიშვნელოვანი ინციდენტების შესახებ სებ-ს 24 საათში ეცნობება, რასაც დეტალური ანგარიში მოსდევს;
• 2023 წელს გამოცემულ ცალკე კიბერუსაფრთხოების ჩარჩოს მიკრობანკებისთვის და 2023 წლის სახელმძღვანელო მითითებას კრიტიკული ან მნიშვნელოვანი ფუნქციების ღრუბლოვანი აუთსორსინგის შესახებ.

იმავე ანგარიშში სებ-ს ურჩიეს, გადავიდეს საინფორმაციო და საკომუნიკაციო ტექნოლოგიებისა (ICT) და კიბერრისკების უფრო ფართო სახელმძღვანელო მითითებაზე, რომელიც ასახავს ISO/IEC 27001:2022-ს, NIST-ის მიმდინარე რეკომენდაციებს და ევროკავშირის DORA რეგულაციას. ბანკებმა განახლებებს სებ-ის ოფიციალური კომუნიკაციებით უნდა ადევნონ თვალი და არ ჩათვალონ, რომ 2019 წლის ტექსტი საბოლოოა.

ინფორმაციული უსაფრთხოების შესახებ კანონი

საქართველოს კანონი „ინფორმაციული უსაფრთხოების შესახებ“, რომელშიც ცვლილებები 2021 წელს შევიდა, კრიტიკული ინფორმაციული სისტემის სუბიექტებს სამ კატეგორიად ყოფს. სახელმწიფო ორგანოები ოპერატიულ-ტექნიკური სააგენტოს ზედამხედველობის ქვეშ არიან. კერძო ორგანიზაციები, მაგალითად ბანკები, მესამე კატეგორიას ქმნიან, რომელსაც იუსტიციის სამინისტროს ციფრული მმართველობის სააგენტო ზედამხედველობს. სსფ-ის ცნობით, სამი სისტემურად მნიშვნელოვანი ბანკი ამ კატეგორიაში იყო განსაზღვრული და სააგენტოს მოლოდინები მათ მიმართ ISO/IEC 27000 სერიას ეფუძნება. ასეთ მდგომარეობაში მყოფმა ბანკმა ერთდროულად უნდა დააკმაყოფილოს NIST-ზე დაფუძნებული მარეგულირებელიც და ISO-ზე დაფუძნებული სააგენტოც.

პერსონალური მონაცემები

კომერციულ ბანკებს, სადაზღვევო კომპანიებს, მიკროსაფინანსო ორგანიზაციებსა და საკრედიტო ბიუროებს საქართველოს კანონის „პერსონალურ მონაცემთა დაცვის შესახებ“ თანახმად პერსონალურ მონაცემთა დაცვის ოფიცრის დანიშვნა ევალებათ. პერსონალური მონაცემების ინციდენტები უნდა აღირიცხოს და, საჭიროების შემთხვევაში, 72 საათში ეცნობოს სახელმწიფო აუდიტის სამსახურს, რომელმაც ზედამხედველობა 2026 წლის მარტში პერსონალურ მონაცემთა დაცვის სამსახურისგან გადაიბარა. შესაბამისად, თქვენს ინციდენტების პროცესს ორი მარეგულირებელი ვადა აქვს: სებ-ის და მონაცემთა დაცვის.

როგორ ეხმარება ISO 27001 ქართულ ბანკს

ინფორმაციული უსაფრთხოების მართვის სისტემა (ISMS) გაძლევთ ერთ რისკების შეფასებას, კონტროლის ზომების ერთ ნაკრებს და გაუმჯობესების ერთ ციკლს, რომელთა დაკავშირებაც ზემოთ ჩამოთვლილ ყველა მოთხოვნასთან შეიძლება.

1. ერთჯერადი დაკავშირება. ISO/IEC 27001:2022-ის A დანართი 93 კონტროლის ზომას შეიცავს. დაუკავშირეთ ისინი სებ-ის რეგულაციაში გამოყენებულ NIST CSF-ის ფუნქციებს და სააგენტოს მოთხოვნებს. ამის შემდეგ თითოეულ კონტროლის ზომას ერთი მფლობელი და მტკიცებულებების ერთი ნაკრები ექნება.
2. რისკების შეფასების გამოყენება სებ-ის თვითშეფასებისთვის. ISMS-ის რისკების რეესტრი და გამოყენებადობის დეკლარაცია ყოველწლიური თვითშეფასებისთვის საჭირო მონაცემების უმეტესობას იძლევა.
3. ინციდენტების მართვის შეთანხმება. ერთი პროცედურა კლასიფიკაციის კრიტერიუმებით, სებ-ის 24-საათიანი ნაბიჯით და მონაცემთა დაცვის 72-საათიანი ნაბიჯით.
4. მომწოდებლებისა და ღრუბლის კონტროლი. ISO 27001-ის მომწოდებლებთან დაკავშირებული კონტროლის ზომები და ISO/IEC 27017-ის ღრუბლოვანი კონტროლის ზომები ხელს უწყობს სებ-ის ღრუბლოვანი სახელმძღვანელო მითითების შესრულებას.
5. ტესტირება. ყოველწლიური შეღწევადობის ტესტი ხდება ISMS-ის რისკების დამუშავების შემავალი მონაცემი და არა ცალკე დოკუმენტი.
6. უწყვეტობა. აღდგენის მოთხოვნების ჩვენება უფრო ადვილია ბიზნესის უწყვეტობის მართვის სისტემით, ISO 22301-ის მიხედვით.

ერთი გაფრთხილება: სებ-ის დამოუკიდებელი აუდიტი და ISO 27001-ის სასერტიფიკაციო აუდიტი ერთი და იგივე არ არის. აკრედიტებული ISO სერტიფიკატი თავისთავად სებ-ის აუდიტის მოთხოვნას არ აკმაყოფილებს. სარგებელი ისაა, რომ ორივე აუდიტი ერთსა და იმავე, კარგად ორგანიზებულ მტკიცებულებებს ამოწმებს.

საფინანსო კომპანიები, რომლებზეც სებ-ის კიბერწესები არ ვრცელდება

სსფ-მა აღნიშნა, რომ მისი მიმოხილვის დროს სებ-ის კიბერუსაფრთხოების წესები მხოლოდ კომერციულ ბანკებსა და მიკრობანკებზე ვრცელდებოდა. გადახდის მომსახურების პროვაიდერებს, სადაზღვევო კომპანიებს, მიკროსაფინანსო ორგანიზაციებსა და ფინტექ კომპანიებს მაინც აქვთ პერსონალურ მონაცემებთან დაკავშირებული ვალდებულებები, პარტნიორი ბანკებისა და საგადახდო ბარათების სისტემების სახელშეკრულებო მოთხოვნები და უცხოელი ინვესტორების მხრიდან სათანადო შემოწმება. მათთვის ISO 27001 ხშირად ყველაზე პრაქტიკული გზაა, რომ ყველა ამ მოთხოვნას ერთი სერტიფიკატით უპასუხონ. კომპანიებს, რომლებიც ბარათის მონაცემებს ინახავენ, ამუშავებენ ან გადასცემენ, PCI DSS შესაბამისობის დადასტურებაც სჭირდებათ, რაც დასტურდება თვითშეფასების კითხვარითა და შესაბამისობის ატესტაციით ან QSA-ს მიერ მომზადებული შესაბამისობის ანგარიშით, ASV სკანირებასთან ერთად. PCI DSS სერტიფიკატი არ არსებობს; იხილეთ ჩვენი PCI DSS გვერდი.

რას აკეთებს BALTUM-ი საფინანსო ორგანიზაციებისთვის

თქვენს არსებულ კონტროლის ზომებს ვადარებთ სებ-ის ჩარჩოს, სააგენტოს მოთხოვნებს (სადაც ისინი ვრცელდება), პერსონალურ მონაცემთა დაცვის კანონს და ISO/IEC 27001:2022-ს და გიჩვენებთ ხარვეზების ერთ კონსოლიდირებულ სიას. შემდეგ გეხმარებით ISMS-ის აგებაში, დოკუმენტებისა და მტკიცებულებების მომზადებაში, ვატარებთ ტრენინგს პერსონალისთვის, ვატარებთ შიდა აუდიტს და გეხმარებით სასერტიფიკაციო აუდიტისას აკრედიტებულ სასერტიფიკაციო ორგანოსთან. სფერო და გეგმა პირველი შეფასების შემდეგ განისაზღვრება. მეტი სტანდარტის შესახებ: ISO 27001.

ეს სტატია ორიენტაციისთვის განკუთვნილი მიმოხილვაა და არა იურიდიული რჩევა. თქვენი ბანკის ან საფინანსო კომპანიის საკითხების განსახილველად გამოიყენეთ ამ საიტის ფორმა ან მოგვწერეთ მისამართზე info@baltum.org.

ხშირად დასმული კითხვები

მოითხოვს თუ არა საქართველოს ეროვნული ბანკი ISO 27001 სერტიფიცირებას?

სებ-ის კიბერუსაფრთხოების რეგულაცია კომერციული ბანკებისთვის NIST-ის კიბერუსაფრთხოების ჩარჩოს ეფუძნება და ISO 27001 სერტიფიცირებას არ მოითხოვს. მიუხედავად ამისა, ბევრი ბანკი ISO 27001-ზე დაფუძნებულ ინფორმაციული უსაფრთხოების მართვის სისტემას იყენებს იმ მტკიცებულებების ორგანიზებისთვის, რომლებსაც სებ და სხვა უწყებები ითხოვენ.

შეუძლია თუ არა ერთ ISMS-ს მოიცვას სებ-ის წესებიც და პერსონალურ მონაცემთა დაცვის კანონიც?

დიახ. სამართლებრივი რეესტრი, რისკების შეფასება და ინციდენტების პროცედურა შეიძლება ორივეს მოიცავდეს, ცალკე ანგარიშგების ნაბიჯებით სებ-ისა და სახელმწიფო აუდიტის სამსახურისთვის.

სხვა სტატიები BALTUM-ის ბლოგში