Ekspert: Yeni dəyişikliklər internet saytları və onlayn platformalar üçün kiberinsidentlərə sonradan reaksiya verməyi deyil, önləyici və proaktiv kibertəhlükəsizlik rejimini məcburi edir
Azərbaycanda rəqəmsal mühitdə fəaliyyət göstərən internet resurslarının sahibləri üçün qaydalar sərtləşdirilir. Yeni qanunvericilik dəyişiklikləri kibertəhlükəsizliyi yalnız dövlət qurumlarının və xüsusi təhlükəsizlik strukturlarının məsuliyyəti kimi deyil, informasiya resurslarını idarə edən subyektlərin də birbaşa öhdəliyi kimi müəyyənləşdirir.
Qanun internet platformalarından nə tələb edir?
Prezident İlham Əliyevin imzaladığı “İnformasiya, informasiyalaşdırma və informasiyanın mühafizəsi haqqında” qanuna dəyişikliklər kibertəhlükələrə qarşı mübarizənin hüquqi çərçivəsini genişləndirir. Qanuna ilk dəfə informasiya infrastrukturu, kiberməkan, kibergigiyena, rəqəmsal dəlil, rəqəmsal tədqiqat, kompüter insidentlərinə qarşı mübarizə mərkəzi (CERT- Computer Emergency Response Team) və Təhlükəsizlik əməliyyatları mərkəzi (SOC- Security Operations Center), Milli CERT, Dövlət CERT və digər yeni anlayışlar daxil edilir. Əsl dəyişiklik isə terminologiyanın genişlənməsində deyil. Yeni yanaşma kiberhücum baş verdikdən sonra onun nəticələrinin aradan qaldırılmasından daha çox, risklərin əvvəlcədən müəyyənləşdirilməsinə və qarşısının alınmasına yönəlir.
Bu məqsədlə informasiya infrastrukturlarının kibertəhlükəsizliyinin təmin olunması, monitorinq və auditlərin aparılması, kiberinsidentlər barədə məlumat mübadiləsi və rəqəmsal tədqiqatların həyata keçirilməsi ilə bağlı yeni mexanizmlər müəyyənləşdirilir. Xüsusilə internet informasiya ehtiyatlarının sahibləri, internet və host provayderlər üçün yeni öhdəliklərin müəyyən edilməsi diqqət çəkir. Bu, internet saytlarının və digər rəqəmsal platformaların təhlükəsizliyinə yanaşmanın dəyişməsi deməkdir. Başqa sözlə, informasiya resursunun fəaliyyətini təmin etmək artıq yalnız texniki məsələ deyil, həm də kibertəhlükəsizlik məsuliyyəti yaradan fəaliyyətə çevrilir. Məsələnin digər tərəfi isə istifadəçinin məlumatlarının təhlükəsizliyidir. Çünki bu gün dövlət xidmətlərindən bank əməliyyatlarına, alış-verişdən sosial platformalara qədər böyük həcmdə informasiya rəqəmsal sistemlər üzərindən ötürülür. Hər hansı zəiflik yalnız konkret internet resursunun fəaliyyətinə deyil, həmin sistemdə məlumatları saxlanılan vətəndaşların təhlükəsizliyinə də təsir göstərə bilər. Yeni qanunvericilikdə məhz bu risklərə qarşı daha sistemli yanaşma formalaşdırılır. Kibertəhdidlərin və kiberinsidentlərin aşkarlanması, qarşısının alınması, araşdırılması və nəticələrinin aradan qaldırılması üzrə mexanizmlər müəyyən edilir. Eyni zamanda, CERT və SOC-ların fəaliyyəti ayrıca hüquqi çərçivəyə salınır, Milli CERT-in səlahiyyətləri genişləndirilir. Dəyişikliklərin daha bir mühüm istiqaməti yeni rəqəmsal həllərin sınaqdan keçirilməsi üçün tənzimləyici test mühitinin yaradılmasıdır. Bununla innovativ texnologiyaların real mühitdə yoxlanılması üçün ayrıca mexanizmin formalaşdırılması nəzərdə tutulur. Dövlət başçısının qanunun icrasına dair imzaladığı müvafiq fərmana əsasən, Nazirlər Kabineti bu mühitin fəaliyyət qaydaları, iştirakçılara nəzarət və tətbiq müddəti ilə bağlı təkliflərini bir ay ərzində hazırlamalıdır. Bununla yanaşı, dövlət sektorunun informasiya təhlükəsizliyi ilə bağlı ayrıca qaydaların hazırlanması da nəzərdə tutulur. Dövlət qurumlarına, mühafizə olunan şəxslərə, qorunan və strateji obyektlərə məxsus informasiya infrastrukturunun təhlükəsizliyinin təmin edilməsi qaydaları ilə bağlı təkliflər üç ay müddətində hazırlanmalıdır. Digər tərəfdən, CERT və SOC-ların müvafiq reyestrə daxil edilməsi üçün də işlər görüləcək. Dövlət Təhlükəsizliyi Xidməti və Xüsusi Rabitə və İnformasiya Təhlükəsizliyi Dövlət Xidməti, eləcə də Mərkəzi Bank bu istiqamətdə tədbirlər görməlidirlər.
Beləliklə, yeni dəyişikliklərin əsas məğzi ondan ibarətdir ki, kibertəhlükəsizlik məsələsi yalnız kiberhücum baş verdikdən sonra gündəmə gələn problem olmaqdan çıxır. İnformasiya resurslarının sahibləri üçün təhlükəsizlik tədbirlərinin əvvəlcədən görülməsi, monitorinq və insidentlərə reaksiya mexanizmlərinin formalaşdırılması artıq hüquqi tələblər sisteminin bir hissəsinə çevrilir.
Burada isə əsas sual ortaya çıxır: yeni öhdəliklər internet informasiya ehtiyatlarının sahiblərinin fəaliyyətinə praktik olaraq necə təsir edəcək və onların kibertəhlükəsizliyə ayırdığı resursların artırılmasını nə dərəcədə zəruri edəcək?
Bu suallara cavab tapmaq üçün müraciət etdiyimiz “Azərbaycan İnformasiya və Kommunikasiya Texnologiyaları Sənayesi Assosiasiyası” İctimai Birliyinin sədri Elvin Abbasov “İki sahil”ə açıqlamasında bildirdi ki, “İnformasiya, informasiyalaşdırma və informasiyanın mühafizəsi haqqında” qanuna edilən yeni dəyişikliklər internet saytları, host provayderlər və onlayn platforma sahibləri üçün hüquqi çərçivəni sərtləşdirərək kiberinsidentlərə hadisədən sonra reaksiya vermək əvəzinə, önləyici və proaktiv kiberşərait rejimini məcburi edir: “Yeni normativlərə əsasən, platforma sahibləri baş verən kiberhücumlar, data sızmaları və sistem pozuntuları barədə dərhal Dövlət və ya Milli CERT və SOC mərkəzlərini məlumatlandırmağa borcludurlar. Eyni zamanda, sənəddə rəqəmsal dəlil və rəqəmsal tədqiqat anlayışlarının təsbit edilməsi ilə əlaqədar olaraq, sayt sahibləri kiberinsidentlərin araşdırılması üçün sistem giriş-çıxış loqlarını və istifadəçi aktivlik izlərini müəyyən olunmuş standartlara uyğun və dəyişdirilməz şəkildə saxlamaqla məsuldurlar.”
Kibertəhlükəsizlik artıq əsas biznes xərci olacaq
Elvin Abbasovun sözlərinə görə, bu hüquqi öhdəliklər internet resurslarının texniki infrastrukturu və maliyyə büdcəsi üzərində hiss olunacaq dərəcədə əlavə yük yaradır: “Təhlükəsizlik standartlarını qarşılamaq üçün platformalar WAF (Web Application Firewall), SIEM (Security Information and Event Management) və anti-DDoS müdafiə alətlərini tətbiq etməli, eləcə də log fayllarının uzunmüddətli saxlanılması üçün əlavə server və bulud tutumları ayırmalıdırlar. Bundan əlavə, iri ölçülü platformalar öz daxillərində SOC/CERT strukturları formalaşdırmalı və ya akkreditə olunmuş kənar mərkəzlərdən autsorsinq xidmətləri almalı, həmçinin müntəzəm kiber-auditlər keçirmək üçün kənar təhlükəsizlik şirkətlərinə maliyyə vəsaiti ayırmalıdırlar.
Nəticə etibarilə, yeni qaydalar ölkənin kiberşəbəkə təhlükəsizliyini etibarlı müstəviyə qaldırsa da, onlayn resursların əməliyyat və kadr xərclərini artıracaqdır. Öhdəliklərin pozulması və ya insidentlərin gizlədilməsi halında tətbiq olunacaq inzibati cərimə riskləri də nəzərə alındıqda, sayt və platforma sahibləri kibertəhlükəsizlik xərclərini artıq yardımçı İT büdcəsi kimi deyil, əsas biznes fəaliyyətinin ayrılmaz və məcburi tərkib hissəsi kimi planlaşdırmalı olacaqlar.
Şahnigar Əhmədova, “İki sahil”
