ციფრული ნდობის არქიტექტორები.
მოითხოვეთ კონსულტაციაEN

კრიტიკული ინფრასტრუქტურა და რეგულაციური შესაბამისობა

კრიტიკული ინფორმაციული სისტემების უსაფრთხოება და შესაბამისობა

საქართველოს კანონმდებლობის მოთხოვნების დანერგვა და ინფორმაციული უსაფრთხოების დამოუკიდებელი გარე აუდიტი.

მოითხოვეთ ინფორმაციული უსაფრთხოების აუდიტიმიიღეთ შესაბამისობის კონსულტაცია

კრიტიკული ინფორმაციული სისტემების უსაფრთხოება სახელმწიფოს, ეკონომიკისა და საზოგადოებისთვის მნიშვნელოვანი მომსახურებების საიმედო ფუნქციონირების ერთ-ერთი საფუძველია.

საქართველოს კანონი „ინფორმაციული უსაფრთხოების შესახებ“ კრიტიკული ინფორმაციული სისტემის სუბიექტებისთვის განსაზღვრავს ინფორმაციული უსაფრთხოების მართვის, ინფორმაციული აქტივების დაცვის, კიბერუსაფრთხოებისა და შესაბამისობის შეფასების მოთხოვნებს.

IO Consulting ეხმარება ორგანიზაციებს მოთხოვნების დანერგვასა და შესაბამისობის გაუმჯობესებაში და ახორციელებს ციფრული მმართველობის სააგენტოს მიერ ავტორიზებულ ინფორმაციული უსაფრთხოების აუდიტს, სუბიექტის კატეგორიის, მოქმედი აუდიტის წესებისა და დამოუკიდებლობის მოთხოვნების დაცვით.

ციფრული ნდობა

  • სახელმწიფო სისტემები
  • ფინანსური ინფრასტრუქტურა
  • ენერგეტიკული ქსელები
  • ტელეკომუნიკაციები
  • მონაცემთა ცენტრები
ურთიერთდაკავშირებული მომსახურებები, სისტემები და დამოკიდებულებები. სუბიექტის ოფიციალური სტატუსი და კატეგორია განისაზღვრება შესაბამისი სამართლებრივი აქტებით.

სტატუსი და მოქმედი მოთხოვნები

ვისზე ვრცელდება კანონი?

კანონი ვრცელდება კრიტიკული ინფორმაციული სისტემის სუბიექტებზე და კანონით განსაზღვრულ შემთხვევებში მათთან დაკავშირებულ ორგანიზაციებსა და პირებზე. სუბიექტის ოფიციალური სტატუსი და კატეგორია განისაზღვრება მთავრობის დადგენილებითა და მისი ცვლილებებით.

სუბიექტის განსაზღვრისას გაითვალისწინება სისტემის შეფერხების შესაძლო შედეგები, ეკონომიკური ზეგავლენა, საზოგადოებისთვის მომსახურების მნიშვნელობა და სხვა კანონით დადგენილი კრიტერიუმები. აირჩიეთ კატეგორია შესაბამისი ზედამხედველობისა და აუდიტის წესის სანახავად.

გაეცანით ოფიციალურად განსაზღვრულ კატეგორიას

I კატეგორია

მთავრობის მიერ განსაზღვრული სახელმწიფო და მუნიციპალიტეტის ორგანოები, შესაბამისი საჯარო სამართლის იურიდიული პირები და სახელმწიფო საწარმოები, კანონით დადგენილი განმარტებებისა და მოქმედი ნუსხის ფარგლებში.

უფლებამოსილი ორგანო
სსიპ საქართველოს ოპერატიულ-ტექნიკური სააგენტო
სავალდებულო აუდიტის წესი
პირველადი აუდიტი ოპერატიულ-ტექნიკური სააგენტოს კანონით განსაზღვრულ კომპეტენციას განეკუთვნება; პერიოდული აუდიტი შეიძლება ჩაატაროს სააგენტომ ან ციფრული მმართველობის სააგენტოს მიერ ავტორიზებულმა ორგანიზაციამ. ცალკე მოწმდება ფინანსურ სისტემებთან დაკავშირებული გამონაკლისები და მომსახურების პირობები. ავტორიზებული ორგანიზაცია სააგენტოს აუდიტში შეიძლება ჩაერთოს სააგენტოს სახელით, მისი ხელშეკრულებისა და აუდიტის ჯგუფის წესის ფარგლებში.

ეს შეჯამებები განმარტავს რეგულირების ჩარჩოს. აუდიტის ან დანერგვის ფარგლების განსაზღვრამდე ორგანიზაციის ზუსტი იურიდიული ვინაობა, მოქმედი სტატუსი და კატეგორია გადაამოწმეთ მთავრობის №646 დადგენილებასა და შესაბამის ცვლილებებში.

მართვა, კონტროლები და მტკიცებულებები

რა ვალდებულებები აქვს კრიტიკული ინფორმაციული სისტემის სუბიექტს?

მოქმედი მოთხოვნების შესრულება მოითხოვს ინფორმაციული უსაფრთხოების მართვის სისტემას, პასუხისმგებლობების მკაფიო განაწილებას, რისკების მართვასა და კონტროლების რეგულარულ შეფასებას. დანერგვის ფარგლები შეესაბამება სუბიექტის ოფიციალურ კატეგორიასა და საქმიანობის გარემოს.

  • ინფორმაციული უსაფრთხოების პოლიტიკა

    მოქმედ მოთხოვნებთან შესაბამისი უსაფრთხოების პოლიტიკებისა და ორგანიზაციული წესების შემუშავება, დამტკიცება, დანერგვა და განახლება.

  • ინფორმაციული აქტივების მართვა

    ინფორმაციული აქტივების იდენტიფიცირება, აღრიცხვა, კლასიფიკაცია, პასუხისმგებლობებისა და დაცვის შესაბამისი ღონისძიებების განსაზღვრა.

  • რისკების შეფასება და მართვა

    ინფორმაციული უსაფრთხოების რისკების იდენტიფიცირება და შეფასება, დამუშავების გადაწყვეტილებების მიღება და შერჩეული ღონისძიებების დოკუმენტირება.

  • უსაფრთხოების პასუხისმგებლობები

    ინფორმაციული უსაფრთხოების მენეჯერისა და სხვა პასუხისმგებელი პირების ფუნქციების, ანგარიშვალდებულების, ურთიერთქმედებისა და კომპეტენციების განსაზღვრა.

  • უსაფრთხოების კონტროლები

    შესაბამისი მინიმალური ტექნიკური და ორგანიზაციული კონტროლების დანერგვა, მტკიცებულებების წარმოება და მათი დიზაინისა და ეფექტიანობის შეფასება.

  • ინციდენტების მართვა

    გამოვლენის, ესკალაციის, რეაგირებისა და შეტყობინების პროცესების ჩამოყალიბება სუბიექტის კატეგორიისთვის დადგენილი პასუხისმგებლობებისა და ანგარიშგების არხების შესაბამისად.

  • ინფორმაციული უსაფრთხოების აუდიტი

    პირველადი და პერიოდული ინფორმაციული უსაფრთხოების აუდიტების დაგეგმვა უფლებამოსილი ორგანოს წესის, შესაბამისი აუდიტორისა და საჭირო შეფასების ფარგლების გათვალისწინებით.

  • მაკორექტირებელი ღონისძიებები

    საჭირო მაკორექტირებელი ღონისძიებების გეგმის მომზადება, შესრულების პასუხისმგებლობების განსაზღვრა და წარდგენისა და შემდგომი მონიტორინგის მოთხოვნების შესრულება.

ეს არის ვალდებულებების ძირითადი მიმართულებების მიმოხილვა. მინიმალური მოთხოვნები, ინციდენტების შეტყობინება, აუდიტის ვადები და მაკორექტირებელი გეგმების ანგარიშგება მოწმდება შესაბამისი კატეგორიისა და კანონქვემდებარე აქტების მიხედვით. კომერციული ბანკებისთვის ცალკე გაითვალისწინება საქართველოს ეროვნულ ბანკთან დაკავშირებული მოქმედი დებულებები.

ორი დამოუკიდებელი მომსახურება

მოთხოვნების დანერგვა და დამოუკიდებელი გარე აუდიტი

ინფორმაციული უსაფრთხოების მოთხოვნების დანერგვა და შესაბამისობის უზრუნველყოფა

IO Consulting ეხმარება ორგანიზაციებს საქართველოს კანონმდებლობით განსაზღვრული ინფორმაციული უსაფრთხოების მოთხოვნების პრაქტიკულ დანერგვაში, მართვის სისტემის განვითარებასა და პასუხისმგებლობების ჩამოყალიბებაში.

სამუშაო იწყება არსებული მდგომარეობის შეფასებითა და პრიორიტეტების განსაზღვრით და მოიცავს პოლიტიკების, რისკებისა და აქტივების მართვის, კონტროლებისა და დამოუკიდებელი აუდიტისთვის საჭირო მტკიცებულებების განვითარებას.

დანერგვის მხარდაჭერა იგეგმება კანონით მოთხოვნილი დამოუკიდებელი აუდიტისგან განცალკევებით. თუ სუბიექტის იუმს-ს ჩვენ ვნერგავთ, დამოუკიდებელი აუდიტი უნდა დაიგეგმოს სხვა უფლებამოსილ აუდიტორთან ან შესაბამის სახელმწიფო ორგანოსთან.

მომსახურება შეიძლება მოიცავდეს

  • რეგულაციური შესაბამისობის ხარვეზების შეფასება და პრიორიტეტული გეგმა
  • იუმს-ის შემუშავება, მართვის მოდელი და დანერგვა
  • ინფორმაციული აქტივების აღრიცხვა და კლასიფიკაცია
  • რისკების შეფასებისა და დამუშავების მექანიზმები
  • უსაფრთხოების პოლიტიკები და პროცედურები
  • ინციდენტების მართვა და რეაგირების დაგეგმვა
  • უსაფრთხოების ცნობიერება და როლებზე მორგებული სწავლება
  • აუდიტისთვის მომზადება და ხარვეზების აღმოფხვრის მხარდაჭერა
დაგეგმეთ მოთხოვნების დანერგვა

ინფორმაციული უსაფრთხოების ავტორიზებული გარე აუდიტი

ინფორმაციული უსაფრთხოების აუდიტს ვატარებთ ციფრული მმართველობის სააგენტოს მიერ მინიჭებული დოკუმენტირებული ავტორიზაციის, მოქმედი აუდიტის წესებისა და დამოუკიდებლობის მოთხოვნების ფარგლებში. მომსახურების მიღებამდე მოწმდება კონკრეტული სუბიექტისა და აუდიტის ჩატარების უფლებამოსილება.

აუდიტის ფარგლებში ფასდება ინფორმაციული უსაფრთხოების მოქმედ მოთხოვნებთან შესაბამისობა, ორგანიზაციული და ტექნიკური კონტროლების დანერგვა და ფუნქციონირება, შესაბამისი პროცესები და წარმოდგენილი მტკიცებულებები.

შეთანხმებული შედეგები მოიცავს დოკუმენტირებულ აუდიტის დასკვნას, მიგნებებს, შეუსაბამობებსა და რეკომენდაციებს შესაბამისი წესის მიხედვით. პირველი კატეგორიის პირველადი აუდიტი და თავდაცვის სფეროს სავალდებულო აუდიტი შესაბამისი სახელმწიფო უწყებების კანონით განსაზღვრულ კომპეტენციას განეკუთვნება.

მომსახურება შეიძლება მოიცავდეს

  • კატეგორიის, ავტორიზაციის, დამოუკიდებლობისა და აუდიტის ფარგლების დადგენა
  • დოკუმენტაციისა და საჭირო ინფორმაციის შესწავლა
  • ინფორმაციული უსაფრთხოების მართვის შეფასება
  • რისკების მართვის შეფასება
  • ტექნიკური და ორგანიზაციული კონტროლების შეფასება
  • მტკიცებულებების შეფასება და დასკვნების დოკუმენტირება
  • მიგნებებისა და შეუსაბამობების განსაზღვრა
  • აუდიტის ოფიციალური ანგარიშგება და საჭირო წარდგენები
შეათანხმეთ აუდიტის უფლებამოსილება და ფარგლები

დოკუმენტირებული აუდიტორული უფლებამოსილება

ინფორმაციული უსაფრთხოების აუდიტის ავტორიზაცია

ციფრული მმართველობის სააგენტოს სერტიფიკატით ISA24022026 სერტიფიკატის მფლობელს მინიჭებული აქვს კრიტიკული ინფორმაციული სისტემის სუბიექტის ინფორმაციული უსაფრთხოების აუდიტის ჩატარების უფლებამოსილება. სერტიფიკატის მოქმედების ვადაა 2027 წლის 31 იანვარი.

სერტიფიკატის მფლობელი
შპს „იო კონსალტინგი“
კომპანიის საიდენტიფიკაციო ნომერი
400454021
სერტიფიკატის ნომერი
ISA24022026
გაცემის თარიღი
მოქმედების ვადა
უფლებამოსილი საქმიანობა
კრიტიკული ინფორმაციული სისტემის სუბიექტების ინფორმაციული უსაფრთხოების აუდიტი, სერტიფიკატის პირობებისა და საქართველოს მოქმედი კანონმდებლობის ფარგლებში.

სტრუქტურირებული შეფასება მტკიცებულებებზე დაყრდნობით

როგორ ვახორციელებთ ინფორმაციული უსაფრთხოების აუდიტს?

აუდიტი იგეგმება შესაბამისი კატეგორიის, სამართლებრივი კრიტერიუმებისა და შეთანხმებული ფარგლების მიხედვით. თითოეულ ეტაპზე მოთხოვნები უკავშირდება მტკიცებულებებს, დოკუმენტირებულ მიგნებებსა და სუბიექტის პასუხისმგებლობებს.

გაეცანით აუდიტის ეტაპებს

  1. აუდიტის დაგეგმვა

    ოფიციალური სტატუსის, კატეგორიის, აუდიტის სამართლებრივი წესის, ავტორიზაციისა და დამოუკიდებლობის გადამოწმება. ფარგლების, კრიტერიუმების, პასუხისმგებლობებისა და მტკიცებულებების გეგმის შეთანხმება.

  2. დოკუმენტაციის შესწავლა

    ინფორმაციული უსაფრთხოების პოლიტიკების, პროცედურების, აქტივების რეესტრების, კლასიფიკაციის, რისკების შეფასებებისა და სხვა საჭირო დოკუმენტირებული ინფორმაციის შესწავლა.

  3. კონტროლების შეფასება

    შესაბამისი ტექნიკური და ორგანიზაციული კონტროლების დიზაინის, დანერგვისა და ფუნქციონირების შეფასება შეთანხმებული აუდიტორული ღონისძიებებითა და მტკიცებულებებით.

  4. შეუსაბამობების იდენტიფიცირება

    მტკიცებულებების, მოთხოვნებთან შეუსაბამობების, კონტროლის სისუსტეებისა და შესაბამისი რისკების დოკუმენტირება აუდიტის კრიტერიუმებთან მკაფიო კავშირის დაცვით.

  5. აუდიტის დასკვნა

    აუდიტის დასკვნის, მიგნებებისა და რეკომენდაციების მომზადება საჭირო ფორმით და შესაბამისი ანგარიშგებისა და წარდგენის წესის განსაზღვრა.

  6. მაკორექტირებელი ღონისძიებები

    სუბიექტი ამზადებს და ახორციელებს მაკორექტირებელი ღონისძიებების გეგმას და იცავს ანგარიშგების შესაბამის ვადებს. აუდიტის შემდგომი შეფასება და მიგნებების განმარტება ხორციელდება დამოუკიდებელი აუდიტორის უფლებამოსილების ფარგლებში.

ეტაპები ზუსტდება აუდიტის მოქმედი წესისა და ფარგლების მიხედვით. ანგარიშგების არხები, ვადები და დასაშვები შემდგომი შეფასება განისაზღვრება კონკრეტული კატეგორიისთვის. მართვის სისტემაზე, კონტროლებსა და ხარვეზების აღმოფხვრაზე პასუხისმგებლობა ეკისრება სუბიექტს.

ხშირად დასმული კითხვები

განსაზღვრეთ მოთხოვნები მომსახურების დაგეგმვამდე

ვისზე ვრცელდება „ინფორმაციული უსაფრთხოების შესახებ“ საქართველოს კანონი?

კანონი ვრცელდება კრიტიკული ინფორმაციული სისტემის სუბიექტებზე და მის მიერ განსაზღვრულ შემთხვევებში დაკავშირებულ ორგანიზაციებსა და პირებზე. ორგანიზაციის ოფიციალური სტატუსი და კატეგორია მოწმდება მთავრობის შესაბამის დადგენილებასა და ცვლილებებში; თავდაცვის სფეროს სუბიექტებისთვის მოქმედებს ცალკე სამართლებრივი რეჟიმი.

როგორ გავიგოთ, არის თუ არა ჩვენი ორგანიზაცია კრიტიკული ინფორმაციული სისტემის სუბიექტი?

ორგანიზაციის ზუსტი იურიდიული ვინაობა გადაამოწმეთ მთავრობის №646 დადგენილებით განსაზღვრულ მოქმედ ნუსხებსა და შესაბამის ცვლილებებში. შესაბამისობის ან აუდიტის ფარგლების დადგენამდე განსაზღვრეთ კატეგორია და სპეციალური დებულებები. გვერდზე წარმოდგენილი სექტორების მაგალითები იურიდიულ სტატუსს არ განსაზღვრავს.

რა განსხვავებაა მოთხოვნების დანერგვასა და გარე აუდიტს შორის?

დანერგვა გულისხმობს მოთხოვნების შესასრულებლად საჭირო მართვის სისტემის, პროცესებისა და კონტროლების შექმნასა და გაუმჯობესებას. დამოუკიდებელი აუდიტი აფასებს შესაბამისობას განსაზღვრული კრიტერიუმებისა და მტკიცებულებების საფუძველზე. მომსახურებებს განსხვავებული პასუხისმგებლობები, უფლებამოსილებისა და დამოუკიდებლობის პირობები აქვს და ისინი განცალკევებით იგეგმება.

აქვს თუ არა IO Consulting-ს ინფორმაციული უსაფრთხოების აუდიტის ჩატარების უფლებამოსილება?

ციფრული მმართველობის სააგენტოს 2026 წლის 24 თებერვლის სერტიფიკატით ISA24022026 შპს „იო კონსალტინგს“ მინიჭებული აქვს კრიტიკული ინფორმაციული სისტემის სუბიექტის ინფორმაციული უსაფრთხოების აუდიტის ჩატარების უფლებამოსილება; მოქმედების ვადაა 2027 წლის 31 იანვარი. ყოველი მომსახურება დამატებით უნდა შეესაბამებოდეს შესაბამისი კატეგორიის აუდიტის წესს, ავტორიზაციის პირობებსა და დამოუკიდებლობის მოთხოვნებს. პირველი კატეგორიის პირველადი აუდიტი და თავდაცვის სფეროს აუდიტი შესაბამისი სახელმწიფო უწყებების კომპეტენციას განეკუთვნება.

აუცილებელია თუ არა პირველადი და პერიოდული აუდიტი?

კანონი ითვალისწინებს პირველადი და პერიოდული ინფორმაციული უსაფრთხოების აუდიტის ვალდებულებებს. ჩატარების წესი, ვადები, ფარგლები, ანგარიშგება და დასაშვები გადავადება დამოკიდებულია სუბიექტის ოფიციალურ კატეგორიასა და შესაბამის ნორმატიულ აქტებზე. მიგნებების შემდეგ მაკორექტირებელი ღონისძიებების დაგეგმვა და წარდგენაც კატეგორიის მოთხოვნებით ხორციელდება, კომერციული ბანკებისთვის საქართველოს ეროვნულ ბანკთან დაკავშირებული მოქმედი წესის ჩათვლით.

შეუძლია თუ არა ერთ კომპანიას იუმს-ის დანერგვა და იმავე სუბიექტის დამოუკიდებელი აუდიტი?

ავტორიზაციის წესი ორგანიზაციას ან/და აუდიტორს უკრძალავს იმ სუბიექტის აუდიტს, რომლის იუმს-იც ამ ორგანიზაციამ ან პირმა დანერგა. ცალკე გუნდი ან ხელშეკრულება ორგანიზაციის მიმართ მოქმედ აკრძალვას არ ხსნის. აუდიტის მიღებამდე ვაფასებთ დანერგვაში მონაწილეობასა და ინტერესთა კონფლიქტს. თუ თქვენს იუმს-ს IO Consulting ნერგავს, დამოუკიდებელი აუდიტი უნდა დაიგეგმოს სხვა უფლებამოსილ პროვაიდერთან ან შესაბამის სახელმწიფო ორგანოსთან.

დაგეგმეთ შემდეგი ნაბიჯი

განსაზღვრეთ შესაბამისობის უზრუნველყოფის სწორი გზა

გაგვიზიარეთ თქვენი ორგანიზაციის სტატუსი, კატეგორია, ინფორმაციული უსაფრთხოების არსებული მდგომარეობა და უახლოესი პრიორიტეტები.

დაგეხმარებით დანერგვის პრაქტიკული ფარგლების განსაზღვრაში ან დამოუკიდებელი აუდიტის უფლებამოსილებისა და ფარგლების დადგენაში, პასუხისმგებლობებისა და დამოუკიდებლობის პირობების წინასწარი შეთანხმებით.

განიხილეთ დამოუკიდებელი აუდიტიდაგეგმეთ შესაბამისობის მხარდაჭერა