UCSA-ს წევრთა ეთიკისა და პროფესიული ქცევის რეგლამენტი

1.1. წინამდებარე „UCSA-ს წევრთა ეთიკისა და პროფესიული ქცევის რეგლამენტი“ (შემდგომში — “რეგლამენტი”) განსაზღვრავს United Cybersecurity Association of Georgia (UCSA)-ს წევრთა პროფესიული, ეთიკური და ქცევის სტანდარტებს.

1.2. რეგლამენტის მიზანია:

• ა) ორგანიზაციაში მაღალი პროფესიული და ეთიკური სტანდარტების დამკვიდრება;
• ბ) კიბერუსაფრთხოების სფეროში პასუხისმგებლიანი საქმიანობის ხელშეწყობა;
• გ) ორგანიზაციის წევრებს, პარტნიორებსა და სხვა პირებს შორის ნდობის უზრუნველყოფა;
• დ) კიბერუსაფრთხოების ცოდნისა და ტექნიკური შესაძლებლობების მხოლოდ კანონიერ და ეთიკურ მიზნებში გამოყენების უზრუნველყოფა;
• ე) ორგანიზაციის რეპუტაციისა და ინტერესების დაცვა;
• ვ) ინტერესთა კონფლიქტის, დისკრიმინაციის, შევიწროების, ბულინგისა და სხვა არასათანადო ქცევის პრევენცია;
• ზ) ორგანიზაციის საგანმანათლებლო და ტექნიკური რესურსების პასუხისმგებლიანი გამოყენების უზრუნველყოფა.

1.3. რეგლამენტი ვრცელდება:

• ა) ორგანიზაციის ყველა წევრზე;
• ბ) ორგანიზაციის ხელმძღვანელობასა და წარმომადგენლობაზე უფლებამოსილ პირებზე, მათი შესაბამისი საქმიანობის ფარგლებში;
• გ) ორგანიზაციის ღონისძიებებში მონაწილე პირებზე, თუ ღონისძიების პირობებით სხვა რამ არ არის გათვალისწინებული;
• დ) ორგანიზაციის სახელით მოქმედ პირებზე, შესაბამისი საქმიანობის ფარგლებში.

1.4. რეგლამენტის მოთხოვნების დაცვა არ ცვლის საქართველოს კანონმდებლობით, ორგანიზაციის წესდებით ან სხვა სავალდებულო ნორმებით გათვალისწინებულ ვალდებულებებს.

2.1. კანონიერება. წევრი ვალდებულია დაიცვას საქართველოს კანონმდებლობა და შესაბამისი იურისდიქციის მოქმედი სამართლებრივი ნორმები.

2.2. პასუხისმგებლობა. წევრი პასუხისმგებელია საკუთარი გადაწყვეტილებებისა და მოქმედებების შედეგებზე და არ უნდა გამოიყენოს თავისი პროფესიული ცოდნა სხვათა უფლებების დასარღვევად.

2.3. კეთილსინდისიერება. წევრი მოქმედებს კეთილსინდისიერად, პატიოსნად და პროფესიული სტანდარტების შესაბამისად.

2.4. კონფიდენციალობა. წევრი იცავს მისთვის ცნობილი კონფიდენციალური ინფორმაციის უსაფრთხოებას და არ იყენებს მას პირადი ან მესამე პირის ინტერესებისთვის უფლებამოსილების გარეშე.

2.5. პროფესიონალიზმი. წევრი ცდილობს მუდმივად განავითაროს თავისი ცოდნა და უნარები და არ იღებს ისეთ დავალებას, რომლის სათანადოდ შესრულებისთვისაც არ გააჩნია შესაბამისი კომპეტენცია.

2.6. პატივისცემა. წევრი პატივს სცემს სხვა ადამიანების ღირსებას, უფლებებს, შეხედულებებსა და პროფესიულ საქმიანობას.

2.7. პასუხისმგებლიანი კიბერუსაფრთხოება. კიბერუსაფრთხოების ტექნიკური ცოდნა და ინსტრუმენტები გამოიყენება მხოლოდ კანონიერ, უფლებამოსილ, საგანმანათლებლო, კვლევით ან თავდაცვით გარემოში.

2.8. ცოდნის გაზიარება. ორგანიზაცია ხელს უწყობს ცოდნის გაზიარებას, თუმცა ცოდნის გაზიარება არ უნდა განხორციელდეს სხვა პირების უფლებების, უსაფრთხოების ან კანონიერი ინტერესების დარღვევის გზით.

3.1. წევრი ვალდებულია პროფესიული საქმიანობისას:

• ა) წარმოადგინოს ფაქტები ზუსტად და კეთილსინდისიერად;
• ბ) არ მიითვისოს სხვა პირის ნამუშევარი;
• გ) მიუთითოს შესაბამისი წყაროები და ავტორები;
• დ) არ გააყალბოს კვლევის, ტესტირების, აუდიტის ან სხვა საქმიანობის შედეგები;
• ე) არ დამალოს ისეთი მნიშვნელოვანი გარემოება, რომლის დამალვამაც შესაძლოა მესამე პირისთვის მნიშვნელოვანი ზიანი გამოიწვიოს;
• ვ) არ გაავრცელოს შეგნებულად მცდარი ინფორმაცია;
• ზ) პატივი სცეს პროფესიულ სტანდარტებსა და საუკეთესო პრაქტიკებს.

3.2. წევრმა თავი უნდა შეიკავოს ისეთი განცხადებებისგან, რომლებიც ქმნის მცდარ წარმოდგენას მისი კვალიფიკაციის, სერტიფიკაციის, გამოცდილების ან UCSA-სთან მისი სტატუსის შესახებ.

4.1. ნებისმიერი ტექნიკური საქმიანობა, მათ შორის:

• OSINT;
• penetration testing;
• vulnerability assessment;
• security assessment;
• red teaming;
• threat intelligence;
• digital forensics;
• malware analysis;
• exploit development;
• social engineering;
• network security testing;
• CTF;
• უსაფრთხოების კვლევა,

უნდა განხორციელდეს მხოლოდ შესაბამისი სამართლებრივი საფუძვლისა და უფლებამოსილების არსებობის შემთხვევაში.

4.2. მესამე პირის ინფორმაციულ სისტემაზე უსაფრთხოების ტესტირება დაუშვებელია შესაბამისი მესაკუთრის ან უფლებამოსილი პირის წინასწარი ნებართვის გარეშე.

4.3. წევრს ეკრძალება ორგანიზაციის სასწავლო გარემოში მიღებული წვდომის, ანგარიშის, კრედენციალების, ტექნიკური შესაძლებლობის ან სხვა რესურსის გამოყენება ორგანიზაციის მიერ განსაზღვრული მიზნის ფარგლებს გარეთ.

4.4. სასწავლო ლაბორატორია ან CTF გარემო არ უნდა იქნეს გამოყენებული რეალურ მესამე პირის სისტემებზე უნებართვო მოქმედებისთვის.

4.5. წევრმა არ უნდა გამოიყენოს UCSA-ს სახელი ან წევრობის სტატუსი ისეთი ტექნიკური მოქმედების გასამართლებლად, რომლის განხორციელების უფლებამოსილებაც მას არ გააჩნია.

5.1. UCSA მხარს უჭერს კიბერუსაფრთხოების მოწყვლადობების პასუხისმგებლიან გამჟღავნებას.

5.2. წევრი, რომელმაც აღმოაჩინა უსაფრთხოების მოწყვლადობა, შესაძლებლობის ფარგლებში უნდა შეეცადოს ინფორმაცია მიაწოდოს შესაბამის სისტემის მფლობელს ან უფლებამოსილ პირს პასუხისმგებლიანი და კანონიერად დასაშვები ფორმით.

5.3. წევრმა თავი უნდა შეიკავოს აღმოჩენილი მოწყვლადობის გამოყენებისგან ისეთი მიზნებისთვის, რომლებიც სცდება უსაფრთხოების კვლევის ან პასუხისმგებლიანი გამჟღავნების მიზნებს.

5.4. დაუშვებელია მოწყვლადობის შესახებ ინფორმაციის საჯარო გავრცელება იმგვარად, რომელიც ზრდის მესამე პირებისთვის ზიანის მიყენების რისკს, თუ არ არსებობს შესაბამისი სამართლებრივი ან ეთიკური საფუძველი.

6.1. წევრი ვალდებულია დაიცვას ორგანიზაციის, მისი წევრების, პარტნიორების, კლიენტების, ტრენინგების მონაწილეებისა და სხვა პირების კონფიდენციალური ინფორმაცია.

6.2. განსაკუთრებულად დაცვას ექვემდებარება:

• ა) პაროლები და ავტორიზაციის მონაცემები;
• ბ) API keys და სხვა საიდუმლო კრედენციალები;
• გ) უსაფრთხოების მოწყვლადობის შესახებ ინფორმაცია;
• დ) შიდა ქსელური ინფორმაცია;
• ე) პერსონალური მონაცემები;
• ვ) კვლევის არასაჯარო შედეგები;
• ზ) ორგანიზაციის შიდა დოკუმენტები;
• თ) პარტნიორებთან დაკავშირებული კონფიდენციალური ინფორმაცია.

6.3. კონფიდენციალური ინფორმაციის გამოყენება დასაშვებია მხოლოდ იმ მიზნის ფარგლებში, რომლისთვისაც წევრმა იგი კანონიერად მიიღო.

7.1. წევრი ვალდებულია პატივი სცეს სხვა პირთა პირადი ცხოვრების უფლებას და პერსონალური მონაცემების დაცვის პრინციპებს.

7.2. პერსონალური მონაცემების მოპოვება, დამუშავება, შენახვა ან გავრცელება უნდა განხორციელდეს შესაბამისი სამართლებრივი საფუძვლის არსებობის შემთხვევაში.

7.3. OSINT-ის განხორციელება არ წარმოადგენს პირის პერსონალური მონაცემების შეუზღუდავად მოპოვებისა და გამოყენების უფლებას.

7.4. საჯაროდ ხელმისაწვდომი ინფორმაცია ავტომატურად არ ნიშნავს, რომ მისი ნებისმიერი ფორმით მოპოვება, დამუშავება, გაერთიანება ან გავრცელება ეთიკურად ან კანონიერად დასაშვებია.

8.1. წევრი ვალდებულია ორგანიზაციას აცნობოს ისეთი გარემოების შესახებ, რომელმაც შესაძლოა წარმოშვას რეალური ან პოტენციური ინტერესთა კონფლიქტი.

8.2. ინტერესთა კონფლიქტის არსებობისას წევრმა თავი უნდა შეიკავოს შესაბამისი გადაწყვეტილების მიღებაში ან პროცესში მონაწილეობიდან, თუ ასეთი მონაწილეობა შეიძლება გავლენას ახდენდეს მის ობიექტურობაზე.

8.3. წევრმა არ უნდა გამოიყენოს UCSA-ს წევრობა ან მისთვის მინიჭებული უფლებამოსილება პირადი ფინანსური სარგებლის მისაღებად იმ შემთხვევაში, როდესაც ეს ეწინააღმდეგება ორგანიზაციის ინტერესებს.

9.1. UCSA არ არის ტოლერანტული დისკრიმინაციის, შევიწროების, ბულინგის, მუქარის ან დამამცირებელი მოპყრობის.

9.2. წევრი ვალდებულია პატივი სცეს ყველა სხვა წევრისა და ღონისძიების მონაწილის ღირსებას.

9.3. დაუშვებელია პირის დისკრიმინაცია, მათ შორის, მისი:

• სქესის;
• ასაკის;
• შეხედულებების;
• ეროვნების;
• ეთნიკური წარმომავლობის;
• შეზღუდული შესაძლებლობის;
• პროფესიული სტატუსის;
• გამოცდილების დონის;
• ან კანონით დაცული სხვა ნიშნის საფუძველზე.

9.4. განსაკუთრებით დაუშვებელია სექსუალური შევიწროება, მუქარა, დაშინება, ძალადობის წახალისება და მიზანმიმართული დამცირება.

10.1. UCSA-ს წევრს შეუძლია მიუთითოს თავისი წევრობის სტატუსი მხოლოდ წევრობის მოქმედი პერიოდის განმავლობაში.

10.2. წევრს არ აქვს უფლება საკუთარი განცხადება ან კომერციული შეთავაზება წარმოადგინოს როგორც UCSA-ს ოფიციალური პოზიცია, თუ მას ამის უფლებამოსილება არ გააჩნია.

10.3. UCSA-ს ლოგოს, სახელის, ბრენდისა და სხვა იდენტობის ელემენტების გამოყენება უნდა განხორციელდეს ორგანიზაციის მიერ დადგენილი ბრენდის წესების შესაბამისად.

10.4. წევრს ეკრძალება ისეთი ფორმით ორგანიზაციის სახელის გამოყენება, რომელმაც შეიძლება მესამე პირს შეუქმნას მცდარი წარმოდგენა ორგანიზაციის მიერ კონკრეტული პირის საქმიანობის მხარდაჭერის ან ავტორიზაციის შესახებ.

11.1. წევრი ვალდებულია პატივი სცეს სხვა პირების და ორგანიზაციის ინტელექტუალური საკუთრების უფლებებს.

11.2. დაუშვებელია:

• ა) პლაგიატი;
• ბ) სხვისი კოდის, კვლევის ან სასწავლო მასალის საკუთარი ნამუშევრის სახით წარმოდგენა;
• გ) ორგანიზაციის სასწავლო მასალების უნებართვო კომერციული გავრცელება;
• დ) სხვა პირის საავტორო უფლებების შეგნებული დარღვევა.

11.3. კვლევის, სასწავლო მასალის ან ტექნიკური ნაშრომის გამოქვეყნებისას წევრი ვალდებულია სათანადოდ მიუთითოს შესაბამისი ავტორები და წყაროები.

12.1. წევრი უფლებამოსილია პროფესიულ და საგანმანათლებლო საქმიანობაში გამოიყენოს ხელოვნური ინტელექტის ინსტრუმენტები, თუ მათი გამოყენება შეესაბამება კანონმდებლობას, პროფესიულ ეთიკასა და შესაბამისი ინფორმაციის კონფიდენციალურობის მოთხოვნებს.

12.2. წევრმა არ უნდა შეიტანოს საჯარო ან კომერციულ AI სისტემაში კონფიდენციალური ინფორმაცია შესაბამისი უფლებამოსილების გარეშე.

12.3. AI-ის მიერ გენერირებული ინფორმაციის პროფესიულ საქმიანობაში გამოყენებისას წევრი პასუხისმგებელია მისი სიზუსტისა და შესაბამისობის გადამოწმებაზე.

12.4. ხელოვნური ინტელექტის გამოყენება არ ათავისუფლებს წევრს პროფესიული პასუხისმგებლობისგან.

13.1. UCSA-ს ღონისძიებებზე წევრი ვალდებულია დაიცვას:

• ა) ღონისძიების ორგანიზატორის მითითებები;
• ბ) უსაფრთხოების წესები;
• გ) სხვა მონაწილეთა უფლებები;
• დ) კონფიდენციალურობის მოთხოვნები;
• ე) შესაბამისი ღონისძიების სპეციალური წესები.

13.2. ღონისძიების მონაწილეს ეკრძალება ღონისძიების ტექნიკური ინფრასტრუქტურის გამოყენება სხვა მონაწილეების ან მესამე პირების წინააღმდეგ.

13.3. CTF-ის, ჰაკათონის ან სხვა ტექნიკური ღონისძიების პირობები შეიძლება განსაზღვროს დამატებითმა სპეციალურმა წესებმა.

14.1. წევრმა არ უნდა შესთავაზოს ან მიიღოს ისეთი საჩუქარი, ფინანსური სარგებელი ან სხვა უპირატესობა, რომელმაც შეიძლება გავლენა მოახდინოს მის პროფესიულ გადაწყვეტილებაზე.

14.2. აკრძალულია ორგანიზაციის სახელით ქრთამის, უკანონო ანაზღაურების ან სხვა უკანონო სარგებლის შეთავაზება, მიღება ან მოთხოვნა.

15.1. ნებისმიერ წევრს ან სხვა დაინტერესებულ პირს უფლება აქვს ორგანიზაციას შეატყობინოს ამ რეგლამენტის შესაძლო დარღვევის შესახებ.

15.2. შეტყობინება შეიძლება წარდგენილ იქნეს:

• ა) წერილობით;
• ბ) ელექტრონული ფოსტით;
• გ) ორგანიზაციის ელექტრონული პლატფორმის საშუალებით;
• დ) სხვა ფორმით, რომელსაც ორგანიზაცია განსაზღვრავს.

15.3. შეტყობინება უნდა შეიცავდეს, შესაძლებლობის ფარგლებში:

• ა) დარღვევის აღწერას;
• ბ) დარღვევის სავარაუდო დროსა და ადგილს;
• გ) შესაბამისი პირების შესახებ ინფორმაციას;
• დ) მტკიცებულებებს, თუ ისინი არსებობს.

15.4. შეგნებულად ცრუ ბრალდების წარდგენა, რომლის მიზანია სხვა პირის დაზიანება ან დისკრედიტაცია, თავად შეიძლება წარმოადგენდეს ეთიკურ დარღვევას.

16.1. ეთიკური დარღვევების განხილვის მიზნით ორგანიზაციაში შეიძლება შეიქმნას ეთიკის კომისია.

16.2. ეთიკის კომისიას ქმნის ორგანიზაციის დირექტორი, თუ წესდებით ან სხვა შიდა დოკუმენტით სხვა წესი არ არის დადგენილი.

16.3. ეთიკის კომისიის წევრი არ შეიძლება მონაწილეობდეს საქმის განხილვაში, თუ მას გააჩნია პირდაპირი ან ირიბი პირადი ინტერესი.

16.4. ეთიკის კომისია ვალდებულია:

• ა) მიუკერძოებლად შეისწავლოს საკითხი;
• ბ) მისცეს შესაბამის პირს საკუთარი პოზიციის წარმოდგენის შესაძლებლობა;
• გ) შეაფასოს წარმოდგენილი ინფორმაცია და მტკიცებულებები;
• დ) შეადგინოს შესაბამისი დასკვნა ან რეკომენდაცია.

17.1. ეთიკურ დარღვევად შეიძლება ჩაითვალოს:

• ა) ამ რეგლამენტის მოთხოვნების დარღვევა;
• ბ) ორგანიზაციის წესდების დარღვევა;
• გ) ორგანიზაციის ტექნიკური რესურსების უნებართვო გამოყენება;
• დ) უკანონო კიბერუსაფრთხოების საქმიანობა;
• ე) კონფიდენციალური ინფორმაციის უნებართვო გამჟღავნება;
• ვ) ორგანიზაციის სახელის ბოროტად გამოყენება;
• ზ) დისკრიმინაცია ან შევიწროება;
• თ) ინტერესთა კონფლიქტის დამალვა;
• ი) პლაგიატი ან ინტელექტუალური საკუთრების დარღვევა;
• კ) ორგანიზაციის რეპუტაციისთვის მნიშვნელოვანი ზიანის მიყენება;
• ლ) რეგლამენტით გათვალისწინებული სხვა ვალდებულების დარღვევა.

17.2. დარღვევის ხასიათის, სიმძიმისა და შედეგების გათვალისწინებით შესაძლებელია გამოყენებულ იქნეს შემდეგი რეაგირების ზომები:

• ა) ზეპირი გაფრთხილება;
• ბ) წერილობითი გაფრთხილება;
• გ) შესაბამისი ღონისძიებიდან ან პროგრამიდან დროებითი ჩამოშორება;
• დ) ორგანიზაციის ტექნიკურ რესურსებზე წვდომის დროებითი შეზღუდვა;
• ე) წევრობის დროებითი შეჩერება;
• ვ) ორგანიზაციიდან გარიცხვის საკითხის დაყენება წესდებით დადგენილი წესით;
• ზ) კანონით გათვალისწინებულ შემთხვევაში შესაბამისი ინფორმაციის უფლებამოსილი ორგანოსთვის გადაცემა.

17.3. რეაგირების ზომა უნდა იყოს დარღვევის ხასიათისა და სიმძიმის შესაბამისი.

17.4. ამ მუხლით გათვალისწინებული ზომების გამოყენება არ გამორიცხავს საქართველოს კანონმდებლობით გათვალისწინებულ სხვა პასუხისმგებლობას.

18.1. ეთიკური დარღვევის განხილვისას პირს უნდა მიეცეს შესაძლებლობა, გაეცნოს მის წინააღმდეგ არსებულ არსებით პრეტენზიას და წარმოადგინოს საკუთარი განმარტება.

18.2. გადაწყვეტილების მიღებისას გათვალისწინებული უნდა იქნეს:

• ა) დარღვევის ხასიათი;
• ბ) დარღვევის სიმძიმე;
• გ) მიყენებული ზიანი;
• დ) დარღვევის განმეორებითობა;
• ე) პირის მიერ თანამშრომლობის ხარისხი;
• ვ) სხვა შესაბამისი გარემოებები.

18.3. ერთი და იგივე ფაქტზე რეაგირებისას დაუშვებელია დისკრიმინაციული მიდგომა.

19.1. UCSA უფლებამოსილია შექმნას სპეციალური არხი უსაფრთხოების მოწყვლადობების ან სხვა კიბერუსაფრთხოების ინციდენტების შესახებ ინფორმაციის მისაღებად.

19.2. წევრებსა და სხვა პირებს მოუწოდებენ უსაფრთხოების მნიშვნელოვანი მოწყვლადობები აცნობონ ორგანიზაციას ან შესაბამის სისტემის მფლობელს პასუხისმგებლიანი გამჟღავნების პრინციპების შესაბამისად.

19.3. ორგანიზაცია უფლებამოსილია განსაზღვროს პასუხისმგებლიანი გამჟღავნების ცალკე პროცედურა.

20.1. ორგანიზაციაში გაწევრიანებისას წევრს მიეწოდება ინფორმაცია წინამდებარე რეგლამენტის მოქმედების შესახებ.

20.2. წევრი წევრობის ხელშეკრულებაზე ხელმოწერით ან ორგანიზაციის ელექტრონული პლატფორმის საშუალებით წევრობის პირობების დადასტურებით ადასტურებს, რომ გაეცნო რეგლამენტს და იღებს ვალდებულებას, დაიცვას მისი მოთხოვნები.

20.3. რეგლამენტის ახალი რედაქციის დამტკიცების შემთხვევაში ორგანიზაცია უფლებამოსილია წევრებს ცვლილების შესახებ აცნობოს ელექტრონული ფოსტით ან ორგანიზაციის ელექტრონული პლატფორმის საშუალებით.

21.1. წინამდებარე რეგლამენტი წარმოადგენს ორგანიზაციის შიდა დოკუმენტს და მოქმედებს ორგანიზაციის წესდებასთან და საქართველოს კანონმდებლობასთან ერთად.

21.2. რეგლამენტის რომელიმე დებულების ბათილად ან ძალადაკარგულად ცნობა გავლენას არ ახდენს სხვა დებულებების მოქმედებაზე.

21.3. რეგლამენტის მოთხოვნები განიმარტება ორგანიზაციის წესდების, საქართველოს კანონმდებლობისა და კიბერუსაფრთხოების პროფესიული ეთიკის პრინციპების შესაბამისად.

21.4. რეგლამენტში ცვლილებებისა და დამატებების შეტანა ხდება ორგანიზაციის მიერ უფლებამოსილი ორგანოს/პირის გადაწყვეტილებით.