პირველი და მეორე კატეგორიების კრიტიკული ინფორმაციული სისტემების სუბიექტებისთვის პენეტრაციის (შეღწევადობის) ტესტის ჩატარების წესისა და პერიოდულობის დადგენის შესახებ

1. პენეტრაციის (შეღწევადობის) ტესტი (შემდგომში – პენეტრაციის ტესტი) შედგება პირველი და მეორე კატეგორიის სუბიექტის (შემდგომში – ორგანიზაცია) საინფორმაციო-ტექნიკური ინფრასტრუქტურის კრიტიკულ მოწყვლადობებზე სკანირებისა და აღმოჩენილი მოწყვლადობის/მოწყვლადობების ვალიდაციის/ ექსპლუატაციის ნაწილებისგან.

2. კრიტიკულ მოწყვლადობებზე სკანირების პროცესი მოიცავს საინფორმაციო-ტექნოლოგიური ინფრასტრუქტურის არასწორი კონფიგურაციის, უსაფრთხოების პოლიტიკების გაუმართაობის, სისტემური ხარვეზების (bug), უსაფრთხოების განახლებების არარსებობის ფაქტების, სისტემურად მოწყვლადი (მხარდაჭერის არმქონე ან/და ექსპლუატაციის რესურსამოწურული) მოწყობილობების/პროგრამული უზრუნველყოფის საშუალებების აღმოჩენას და გამოვლენილი სისუსტეების შეფასებას, რა მიზნითაც გამოიყენება აშშ სტანდარტებისა და ტექნოლოგიების ეროვნული ინსტიტუტის (შემდგომში – NIST) მოწყვლადობების შეფასების სისტემა (CVSS).

3. კრიტიკულ მოწყვლადობებზე სკანირების პროცესი ორგანიზაციისა და სსიპ –საქართველოს ოპერატიულ-ტექნიკური სააგენტოს (შემდგომში – სააგენტო) შეთანხმებით შესაძლოა ასევე მოიცავდეს აღმოჩენილი სისუსტეების ექსპლუატირების ფაქტის დადგენას და მასზე პირველადი რეაგირების ღონისძიებებს.

4. ამ მუხლის მე-3 პუნქტით გათვალისწინებულ შემთხვევაში  სააგენტო ვალდებულია სისუსტეების ექსპლუატირების ფაქტზე დაუყოვნებლივ დაიწყოს ინციდენტის მართვის შესაბამისი პროცედურები.

5. მოწყვლადობის/მოწყვლადობების ვალიდაციის დროს ხორციელდება კრიტიკულ მოწყვლადობებზე სკანირებისას აღმოჩენილი სისუსტის ან/და სისუსტეების ექსპლუატირება, რომელსაც თან სდევს ორგანიზაციის საინფორმაციო-ტექნოლოგიურ ინფრასტრუქტურაზე წვდომა ან/და მათზე დამატებითი პრივილეგიების მოპოვება.

6. სისუსტის ან სისუსტეების ექსპლუატირება დასაშვებია მხოლოდ იმ შემთხვევაში, თუ ორგანიზაციამ აღმოფხვრა საინფორმაციო-ტექნოლოგიური ინფრასტრუქტურის სკანირების დროს აღმოჩენილი მოწყვლადობები.

1. პენეტრაციის ტესტის ჩატარება შესაძლოა განხორციელდეს ორგანიზაციის საინფორმაციო-ტექნოლოგიური ინფრასტრუქტურის შემდეგ ნაწილებზე:

ა) კომპიუტერული ქსელი და ქსელური მოწყობილობები;

ბ) სერვერული მოწყობილობები;

გ) ოპერაციული სისტემები;

დ) ინდუსტრიული კონტროლისა და ავტომატიზაციის სისტემები;

ე) საბოლოო მომხმარებლები;

ვ) აპლიკაციები, მათ შორის მობილური მოწყობილობებისთვის განკუთვნილი პროგრამული პლატფორმები;

ზ) მონაცემთა ბაზები;

თ) ორგანიზაციის ფიზიკური უსაფრთხოების უზრუნველმყოფი მოწყობილობები.

2. პენეტრაციის ტესტი შესაძლოა ჩატარდეს ორგანიზაციის როგორც გარე პერიმეტრზე, ისე შიდა ქსელში არსებულ რესურსებზე.

3. ორგანიზაციისა და სააგენტოს შეთანხმებით შესაძლებელია პენეტრაციის ტესტის ჩატარების საგნის ან/და პერიმეტრის შერჩევა.

1. პირველი კატეგორიის კრიტიკული ინფორმაციული სისტემის (გარდა საგადახდო, ფასიანი ქაღალდების ანგარიშსწორებისა და რეზერვების მართვის სისტემებისა, აგრეთვე მონეტარული და სავალუტო ოპერაციებისთვის გამოყენებული კრიტიკული სისტემებისა) სუბიექტის პენეტრაციის ტესტს ატარებს  სააგენტო, მეორე კატეგორიის კრიტიკული ინფორმაციული სისტემის სუბიექტის პენეტრაციის ტესტს − კრიტიკული ინფორმაციული სისტემის სუბიექტის შერჩევით − სააგენტო ან სსიპ ციფრული მმართველობის სააგენტოს მიერ ავტორიზებული ორგანიზაცია.

2. სააგენტოს შეუძლია შეუძლია დაიქირავოს კერძო კომპანია სამუშაოს კომპლექსურობის ან სექტორ სპეციფიკური სირთულეების გათვალისწინებით. ასეთ შემთხვევაში კერძო კომპანია ორგანიზაციასთან მიმართებით მოქმედებს სააგენტოს სახელით, მის ქმედებების კანონიერებასა და ეფექტურობაზე უშუალოდ პასუხისმგებელია სააგენტო.

1. პენეტრაციის ტესტი ტარდება NIST ინფორმაციული უსაფრთხოების ტესტირებისა და შეფასების სახელმძღვანელობის მიხედვით (NIST სპეციალური პუბლიკაციების სერია №800-115).

2. იმ შემთხვევაში, თუ პენეტრაციის ტესტირებასთან დაკავშირებული კონკრეტული საგნობრივი საკითხი არ არის რეგულირებული ამ მუხლის პირველი პუნქტით გათვალისწინებული დოკუმენტით, შესაძლოა დამატებით გამოყენებულ იქნეს OWASP აპლიკაციების უსაფრთხოების ვერიფიკაციის სტანდარტი (მინიმუმ 4.0.3 ვერსია), OWASP ტესტირების სახელმძღვანელო (მინიმუმ 4.0 ვერსია) და ასევე ISECOM-ის ღია კოდზე დაფუძნებული საშუალებებით უსაფრთხოების ტესტირების მეთოდოლოგიის სახელმძღვანელო.

1. პენეტრაციის ტესტის უშუალოდ ჩამტარებელი პირი (პენტესტერი) უნდა ფლობდეს შემდეგი მააკრედიტირებელი ორგანიზაციიების სერტიფიკატებიდან ერთ-ერთს თანადართული აღწერილობით (არასრული):

ა) მააკრედიტირებელი ორგანიზაცია − Offensive Security:

ა.ა) Offensive Security Certified Professional (OSCP);

ა.ბ) Offensive Security Certified Expert (OSCE);

ა.გ) Offensive Security Web Expert (OSWE);

ა.დ) Offensive Security Wireless Professional (OSWP);

ა.ე) Offensive Security Exploitation Expert (OSEE);

ბ) მააკრედიტირებელი ორგანიზაცია − EC-Council:

ბ.ა) Certified Ethical Hacker (CEH);

ბ.ბ) Certified Penetration Testing Professional (CPENT);

ბ.გ) Licensed Penetration Tester (LPT);

გ) მააკრედიტირებელი ორგანიზაცია − CompTIA:

გ.ა) PenTest+ (PT0-001 / PT0-002);

დ) მააკრედიტირებელი ორგანიზაცია − SANS / GIAC:

დ.ა) Penetration Tester (GPEN);

დ.ბ) Web Application Penetration Tester (GWAPT);

დ.გ) Exploit Researcher and Advanced Penetration Tester (GXPN);

დ.დ) Assessing and Auditing Wireless Networks (GAWN);

დ.ე) Cloud Penetration Tester (GCPN);

დ.ვ) Mobile Device Security Analyst (GMOB).

2. იმ შემთხვევაში, თუ ორგანიზაციას სურს ყოველმხრივ შეამოწმოს მისი საინფორმაციო-ტექნოლოგიური ინფრასტრუქტურის ცალკეული ნაწილი (ნაწილები), პენეტესტერს უნდა გააჩნდეს ამ მუხლის პირველ პუნქტში მითითებული შესაბამისი სექტორ სპეციფიკური სერტიფიკატი.

3. საჭიროების შემთხვევაში, ორგანიზაციისა და პენეტრაციის ტესტის ჩამტარებელი პირის (პირების) გადაწყვეტილებით, საინფორმაციო-ტექნოლოგიური ინფრასტრუქტურის კრიტიკულ მოწყვლადობებზე სკანირებისას ან/და პენეტრაციის ტესტის დასკვნის შემუშავებისას შესაძლოა მოწვეულ იქნენ სექტორ სპეციფიკური სპეციალიზაციის მქონე პირები, რომლებსაც შესაძლოა არ ჰქონდეთ ამ მუხლის პირველი პუნქტით გათვალისწინებული კვალიფიკაციის დამადასტურებელი სერტიფიკატი.

4. ამ მუხლის მე-3 პუნქტით გათვალისწინებული სექტორ სპეციფიკური სპეციალიზაციის მქონე პირები საკუთარ საქმიანობას ახორციელებენ ამ მუხლის პირველი პუნქტით გათვალისწინებული სერტიფიკატის (სერტიფიკატების) მქონე პირის (პირების) უშუალო ზედამხედველობით.

1. პენეტრაციის ტესტის ჩატარების საფუძველია ორგანიზაციის სააგენტოზე მომართვა ასეთი ტესტის ჩატარების მოთხოვნით. მომართვის საფუძველზე მხარეთა შორის იდება ხელშეკრულება, რომლითაც ამ წესის შესაბამისად განისაზღვრება პენეტრაციის ტესტის ჩატარების დამატებითი პირობები.

2. პენეტრაციის ტესტი ტარდება მინიმუმ 3 წელში ერთხელ, გარდა იმ შემთხვევისა, როდესაც უშუალოდ პენეტრაციის ჩატარების თარიღი ემთხვევა ორგანიზაციის უშუალოდ პენეტრაციის ტესტს დაქვემდებარებული  საინფორმაციო-ტექნოლოგიური ინფრასტრუქტურის, მათ შორის პროგრამული უზრუნველყოფის პროგრამების განახლების ან/და დამატებითი კონტროლების დანერგვის პერიოდს. ასეთ შემთხვევაში პენეტრაციის ტესტი ტარდება ინფრასტრუქტურის განახლების ან/და დამატებითი კონტროლების დანერგვიდან არაუგვიანეს 2 თვის ვადაში.

3. ორგანიზაცია ვალდებულია ამ მუხლის მე-2 პუნქტით გათვალისწინებულ ვადაში პენეტრაციის ტესტირება განახორციელოს მისი საინფორმაციო-ტექნოლოგიური ინფრასტრუქტურის მიმართ სრულად (გარდა იმ ნაწილისა, რომელზეც არ ვრცელდება ორგანიზაციის ინფორმაციული უსაფრთხოების მართვის სისტემა).

4. ინფორმაციული უსაფრთხოების მართვის სისტემით მოცული პროცესების რაოდენობის და კომპლექსურობის გათვალისწინებით ან/და ორგანიზაციის საინფორმაციო-ტექნოლოგიური ინფრასტრუქტურის ოპერაციული სპეციფიკის გათვალისწინებით, პენეტრაციის ტესტი შესაძლებელია დაიყოს ცალკეულ ნაწილებად და ჩატარდეს ეტაპობრივად.

1. პენეტრაციის ტესტი უნდა ჩატარდეს ორგანიზაციის საინფორმაციო-ტექნოლოგიური ინფრასტრუქტურის ძირითადი ინფორმაციული აქტივებისათვის ზიანის მიუყენებლად.

2. პენეტრაციის ტესტი ორგანიზაციისა და სააგენტოს მიერ ერთობლივად იდენტიფიცირებულ განსაკუთრებულად მოწყვლადი რესურსებზე ან/და მომეტებული საშიშროების მქონე ობიექტებზე დასაშვებია მხოლოდ სიმულირებულ სატესტო გარემოში.

3. ორგანიზაცია ვალდებულია სააგენტოს მიაწოდოს დეტალური ინფორმაცია რისკებზე, რომელიც შესაძლოა წარმოიშვას მის საინფორმაციო-ტექნოლოგიურ ინფრასტრუქტურაზე პენეტრაციის ტესტის ჩატარებისას. რისკების იდენტიფიცირების შემდგომ ორგანიზაცია და სააგენტო ერთობლივად შეიმუშავებენ მათი შემცირების გეგმას, რომელიც წარმოადგენს ამ მუხლის მე-4 პუნქტით გათვალისწინებული ხელშეკრულების განუყოფელ ნაწილს.

4. პასუხისმგებლობის საკითხი პენეტრაციის ტესტის ჩატარების შედეგად გამოწვეული ზიანის თაობაზე დამატებით რეგულირდება ორგანიზაციასა და სააგენტოს შორის პენეტრაციის ტესტის ჩატარების თაობაზე გაფორმებული ხელშეკრულებით.

5. პენეტრაციის ტესტის ჩატარებისას სააგენტოს ხელი არ მიუწვდება იმ ინფორმაციაზე, რომელიც სცილდება პენეტრაციის ტესტის ჩატარების მიზნებს.

1. პენეტრაციის ტესტი შესაძლოა გრძელდებოდეს არაუმეტეს 7 თვისა, ხოლო საჭირო კაც-საათების რაოდენობა არ შეიძლება აღემატებოდეს 125 სამუშაო დღეს და 20 შესაბამისი კვალიფიკაციის მქონე პენტესტერს/პროფესიონალს. პენეტრაციის ტესტის მომსახურების საფასურის განაკვეთები განისაზღვრება „საჯარო სამართლის იურიდიული პირის – საქართველოს ოპერატიულ-ტექნიკური სააგენტოს მიერ მომსახურების გაწევის საფასურის განაკვეთების, ასევე ამ საფასურის გადახდის, მისი გადახდისგან გათავისუფლების და გადახდილი საფასურის დაბრუნების წესის დამტკიცების შესახებ“ სსიპ საქართველოს ოპერატიულ-ტექნიკური სააგენტოს უფროსის 2019 წლის 20 თებერვლის №6 ბრძანებით.

2. პენეტრაციის ტესტის დასრულებისას დგება დასკვნა, რომელიც წარმოადგენს უშუალოდ პენეტრაციის ტესტირებისას განხორციელებული აქტივობებისა და მათ შედეგად აღმოჩენილი სისუსტეების საბოლოო შემაჯამებელ ანგარიშს.

3. დასკვნა მხარეთა შეთანხმებით შესაძლოა ასევე მოიცავდეს აღმოჩენილი მოწყვლადობების აღმოფხვრის ან/და შემსუბუქების დეტალურ სახელმძღვანელო მითითებებს.

სსიპ – საქართველოს ოპერატიულ-ტექნიკური სააგენტოს უფროსის 2022 წლის 07 დეკემბრის ბრძანება №34 - ვებგვერდი, 08.12.2022წ.

ამ წესის მოქმედება, გარდა ამ წესის მე-8 მუხლისა, ვრცელდება სსიპ – ციფრული მმართველობის სააგენტოს მიერ ავტორიზებული ორგანიზაციების მიერ მეორე კატეგორიის კრიტიკული ინფორმაციული სისტემების სუბიექტებში პენეტრაციის ტესტის ჩატარებაზე.

სსიპ – საქართველოს ოპერატიულ-ტექნიკური სააგენტოს უფროსის 2022 წლის 07 დეკემბრის ბრძანება №34 - ვებგვერდი, 08.12.2022წ.