მეტი უსაფრთხოება თუ ტოტალური კონტროლი?
ქვეყანაში ინფორმაციული უსაფრთხოების უზრუნველსაყოფად პარლამენტის თავდაცვისა და უშიშროების კომიტეტის თავმჯდომარემ ირაკლი სესიაშვილმა ახალი კანონპროექტი მოამზადა, რომლის მიხედვითაც, სხვადასხვა უწყების ინფორმაციაზე წვდომა სუს-ს ექნება, ის ჩაატარებს მათი ინფორმაციული სისტემების კონტროლსაც.
კანონპროექტით განისაზღვრება კრიტიკული ინფორმაციული ინფრასტრუქტურის 3 კატეგორიის სუბიექტი, ანუ ის ჯგუფები, რომელთა შეუფერხებელი მუშაობაც მნიშვნელოვანია სახელმწიფოს ფუნქციონირებისთვის და, შესაბამისად, საჭიროა მათი დაცვა კიბერშეტევებისგან.
ესენია:
სახელმწიფო სექტორი (სამინისტროები, სახელმწიფო საწარმოები...)
ელექტრონული კომუნიკაციების სექტორი ( „მაგთი“, „სილქნეტი“...)
კერძო სექტორი (ბანკი, სადაზღვევო კომპანიები, გაზმომარაგების კომპანია და ა.შ.)
სახელმწიფოსა და ელექტრონული კომუნიკაციების სექტორს გააკონტროლებს სუს-ის დაქვემდებარებაში მყოფი ოპერატიულ-ტექნიკური სააგენტო (OTA),
ხოლო კერძო სექტორს - მონაცემთა გაცვლის სააგენტო. ის იუსტიციის სამინისტროს დაქვემდებარებაშია და საჯარო სექტორის ინფორმაციული უსაფრთხოების მართვა ევალებოდა.
ოპონენტებისთვის გაუგებარია, რატომაა საჭირო სახელმწიფო უსაფრთხოების სამსახურის ხელში გადავიდეს სახელმწიფოს ინფორმაციულ სისტემაზე წვდომა. ასევე, ჩნდება კითხვები იმის თაობაზეც, თუ რა ინფორმაციას მოიპოვებს სუს-ი საკომუნიკაციო და კერძო სექტორიდან, იქნება თუ არა დაცული პერსონალური მონაცემები.
ჩანაწერის მიხედვით, ყველაზე მკაცრი რეგულაციები დაუწესდებათ პირველი კატეგორიის სუბიექტებს. ანუ ამ კატეგორიაში შემავალი სახელმწიფო უწყებები ვალდებული იქნებიან:
ა) ჰქონდეთ ქსელური სენსორები (მოწყობილობები, რომლებიც გამოიყენება კომპიუტერული ინციდენტების აღმოსაჩენად) და მისცენ მათზე წვდომა ოპერატიულ-ტექნიკურ სააგენტოს.
ბ) მოთხოვნისთანავე მისცენ წვდომა ოპერატიულ-ტექნიკურ სააგენტოს ინფორმაციულ აქტივზე, ინფორმაციულ სისტემაზე ან/და ინფორმაციულ ინფრასტრუქტურაში შემავალ საგანზე, თუ ამგვარი წვდომა აუცილებელია მიმდინარე ან მომხდარ კომპიუტერულ ინციდენტზე რეაგირებისთვის.
საინფორმაციო ტექნოლოგიური შემოწმება შესაძლებელია ოპერატიულ-ტექნიკური სააგენტოს მიერ ჩატარდეს ნებისმიერ დროს, გეგმიური ან არაგეგმიური სახით.
თავდაცვისა და უშიშროების კომიტეტის საპარლამენტო წევრი ირაკლი აბესაძე არ ემხრობა სუს-ის ხელში ინფორმაციის ნაკადის კონცენტრირებას:
„აშკარად დაუსაბუთებლად და შეუსაბამოდ იზრდება სახელმწიფო უსაფრთხოების სამსახურის ფუნქციები ამ მიმართულებით. თუ ადგილი აქვს კიბერტერორიზმს და საჭიროა გამოძიება, რა თქმა უნდა, სუს-ი ჩაერთვება, მაგრამ გაუგებარია პრევენციულ ღონისძიებებში რატომ უნდა ჩაერთოს ის.
საინტერესო დეტალი არის ის, რომ უსაფრთხოების სპეციალისტს, რომელიც უნდა ჰყავდეთ ჩამოთვლილ უწყებებს, ექნება სახელმწიფო საიდუმლოებაზე დაშვების უფლება, ამის ნებართვას კი გასცემს სუს-ი, ანუ, ფაქტობრივად, სახელმწიფო უწყებებსა და საკომუნიკაციო სექტორში გვეყოლება სუს-ის ე.წ. „ოდეერი“.
მისი თქმით, ეს კანონპროექტი კიბერუსაფრთხოების საფარქვეშ სუს-ს აძლევს საშუალებას მუდმივი წვდომა ჰქონდეს ამ კომპანიებში არსებულ ინფორმაციებზე, ეს კი ნებისმიერი ხელისუფლების პირობებში აჩენს ძალაუფლების ბოროტად გამოყენების შესაძლებლობას. იმის გათვალისწინებით, რომ 2020 წელი საარჩევნო პერიოდია, ინფორმაცია შეიძლება გამოიყენონ ოპონენტების დევნისთვის და ა.შ.
რას ამბობს კანონპროექტის ინიციატორი?
ირაკლი სესიაშვილი განმარტავს:
„სატელეკომუნიკაციო კომპანიების ინფრასტრუქტურაზე სავალდებულო წვდომა კანონპროექტით გათვალისწინებული არ არის. მსგავსი წვდომა შესაძლოა განხორციელდეს მხოლოდ სატელეკომუნიკაციო კომპანიის ნებართვით. ასე რომ, ოპონენტების მოსაზრება საფუძველს მოკლებულია“.
„კერძო სტრუქტურები, მათ შორის სატელეკომუნიკაციო კომპანიები, თავად არიან უფლებამოსილი შეარჩიონ ორგანიზაცია, რომელიც განახორციელებს მათი ინფორმაციული უსაფრთხოების აუდიტს. ასეთი შესაძლოა იყოს ასევე სააგენტოც“.
„სახელმწიფო უსაფრთხოების სამსახური პასუხისმგებელია ქვეყნის უსაფრთხოების უზრუნველყოფაზე, თუმცა არა ქვეყნის კიბერსივრცის უსაფრთხოებაზე. ამ უწყების უუფლებო სტატუსი მნიშვნელოვნად აბრკოლებს მის მიერ სახელმწიფო უსაფრთხოების უზრუნველყოფის პროცესის წარმართვას. ამასთან, იგი ფლობს შესაბამის მატერიალურ-ტექნიკურ და საკადრო ბაზას ამ ფუნქციის წარმატებით განსახორციელებლად, რაც მონაცემთა გაცვლის სააგენტოს არ გააჩნია“.
„სახელმწიფო უწყებაში თუ კიბერშეტევის მოგერიება ან ინციდენტის აღმოფხვრა მოითხოვს ამ კონკრეტულ ობიექტზე წვდომას, სააგენტო მიმართავს შესაბამისი უწყების კომპიუტერული უსაფრთხოების სპეციალისტს, რომელიც ვალდებული იქნება მისცეს მას ამგვარი წვდომა. თუმცა აქ ხაზის უნდა გაესვას იმას, რომ ამგვარი წვდომა ხორციელდება კონკრეტული, დასაბუთებული მიმართვის საფუძველზე (მოთხოვნაში მიეთითება, რა ინციდენტზეა საუბარი, რატომ არის საჭირო წვდომა და ა.შ.) და არა ავტომატურად.
ამ ყველაფრის გათვალისწინებით, გაუგებარია, რა ინფორმაციის თავმოყრაზეა საუბარი და ვის წინააღმდეგ შეიძლება იქნეს გამოყენებული ეს ინფორმაცია“.
გამართლდება თუ არა კანონპროექტის ოპონენტთა ვარაუდები, იქნება ეს ტოტალური კონტროლის მექანიზმი თუ რეალურად მეტი უსაფრთხოებისთვის წინგადადგმული ნაბიჯი, ეს მხოლოდ მას შემდეგ გამოჩნდება, რაც კანონპროექტს მიიღებენ. წამყვანმა კომიტეტმა კანონპროექტი 2019 წლის 12 ნოემბრიდან 2020 წლის 4 თებერვლამდე უნდა განიხილოს. მისი დამტკიცების შემთხვევაში, კანონი ძალაში 2020 წლის 1 იანვრიდან შევა.