የኢትዮጵያ አዲሱ የወሳኝ መሠረተ-ልማቶች የሳይበር ደህንነት አዋጅ፡ ለድርጅትዎ ምን ትርጉም አለው? አክሱም ሴክ (AXUM SEC) እንዴት ሊያግዝዎት ይችላል?

የሀገሪቱን ወሳኝ ዲጂታል ሀብቶች ከተራቀቁ የሳይበር አደጋዎች ለመጠበቅ፣ የኢትዮጵያ መንግሥት የወሳኝ መሠረተ-ልማቶች የሳይበር ደህንነት አዋጅ (አዋጅ ቁጥር 1426/2018) አጽድቋል።

በኢንፎርሜሽን መረብ ደህንነት አስተዳደር (ኢንሳ / INSA) ቁጥጥር እና አስፈፃሚነት የሚመራው ይህ አዋጅ አስገዳጅ የአሰራር መስፈርቶችን፣ ጥብቅ የሪፖርት ማቅረቢያ የጊዜ ገደቦችን እንዲሁም ህጉን ባላከበሩ ላይ ከባድ የገንዘብ ቅጣቶችን ይጥላል።

---

አዋጅ ቁጥር 1426/2018 ምን ይዟል?

አዋጁ በህዝብ ተወካዮች ምክር ቤት ጸድቆ በፌዴራል ነጋሪት ጋዜጣ የታወጀ ሲሆን፣ በመንግሥትም ሆነ በግሉ ዘርፍ ለሚገኙ ተቋማት ወጥ የሆነ የህግና የቴክኒክ ደህንነት ማዕቀፍ አስቀምጧል።

የ1 ዓመት የሽግግር (የዝግጅት) ጊዜ

አዋጁ በነጋሪት ጋዜጣ ከወጣበት ቀን ጀምሮ ለተቋማት የአንድ ዓመት የዝግጅት ጊዜ ይሰጣል። በዚህ ጊዜ ውስጥ ተቋማት ቅጣት ተግባራዊ ከመሆኑ በፊት አሰራራቸውን፣ የቴክኒክ ቁጥጥራቸውንና የደህንነት ስራዎቻቸውን ከህጉ ጋር እንዲያጣጥሙ ኢንሳ ዘርፈ-ብዙ መመሪያዎችንና ዝርዝር የቴክኒክ መስፈርቶችን ያወጣል።

12ቱ የተለዩ ወሳኝ የልማት ዘርፎች

"ወሳኝ መሠረተ-ልማት" የሚለው ጽንሰ-ሀሳብ እንደ ቴሌኮምና መብራት ኃይል ካሉ ባህላዊ ዘርፎች የሰፋ ነው። በስርዓትዎ ላይ የሚደርስ የሳይበር ጥቃት በብሔራዊ ደህንነት፣ በህዝብ ደህንነት ወይም በኢኮኖሚ መረጋጋት ላይ ጉዳት የሚያስከትል ከሆነ ድርጅትዎ በዚህ ህግ ይሸፈናል።

18ቱ አስገዳጅ ግዴታዎች

በአዲሱ አዋጅ መሰረት የወሳኝ መሠረተ-ልማት ባለቤቶችና አንቀሳቃሾች 18 መሰረታዊ የደህንነት ግዴታዎችን ማሟላት አለባቸው። ከእነዚህም መካከል ዋነኞቹ፡-

• የ48 ሰዓት የጥቃት ሪፖርት ማቅረብ ግዴታ: ድርጅቶች የተረጋገጠ የሳይበር ጥቃት ወይም ጥሰት ባጋጠማቸው በ48 ሰዓታት ውስጥ ለብሔራዊ የሳይበር አደጋዎች ምላሽ ሰጪ ማዕከል (National CERT) ሪፖርት ማድረግ አለባቸው።
• ከባድ የገንዘብ ቅጣቶች: ክስተቶችን በ48 ሰዓት ውስጥ አለማሳወቅ ወይም የታዘዙ የማስተካከያ እርምጃዎችን አለመውሰድ ከ1.5 ሚሊዮን እስከ 2.0 ሚሊዮን የኢትዮጵያ ብር አስተዳደራዊ ቅጣት እንዲሁም የተቋሙን የስራ ኃላፊዎች ተጠያቂነት ያስከትላል።
• ወቅታዊ የሳይበር ስጋት ግምገማና ኦዲት: ተቋማት ስርዓታቸውን በየጊዜው መገምገም እና በኢንሳ እውቅና የተሰጠው የሳይበር ደህንነት ኦዲትና ፍተሻ ማካሄድ አለባቸው።
• ቀጣይነት ያለው የተጋላጭነት ማረም ስራ: የቴክኒክ ክፍተቶች በጥቃት አድራሾች ጥቅም ላይ ከመዋላቸው በፊት በፍጥነት መለየትና ማስተካከል ግዴታ ነው።
• በኢንሳ እውቅና ያላቸው ባለሙያዎች: ወሳኝ የሳይበር ደህንነት ስራዎች በኢንሳ እውቅና ባላቸው ባለሙያዎች መመራት አለባቸው።
• የደህንነት ክትትል ማዕከል (SOC) ማቋቋም: ተቋማት የ24/7 የደህንነት ክትትልና የጥቃት መከላከያ ማዕከል ሊኖራቸው ወይም አገልግሎቱን ከውጭ መውሰድ አለባቸው።
• የአቅርቦት ሰንሰለትና ቅድመ-አገልግሎት ፍተሻ: አዳዲስ ሶፍትዌሮች፣ የዌብ መተግበሪያዎችና ሃርድዌሮች ወደ ስራ ከመግባታቸው በፊት የደህንነት ፍተሻ ማለፍ አለባቸው።

---

የኢንሳ ደህንነቱ የተጠበቀ የዌብሳይት አስተዳደር ስታንዳርድ

የድርጅቶች ድረ-ገጾች ለጥቃት የመጀመሪያ መግቢያ በር በመሆናቸው፣ በኢንሳ የወጣውን ደህንነቱ የተጠበቀ የዌብሳይት አስተዳደር ስታንዳርድ ማሟላት አለባቸው፡-

1. ደህንነቱ የተጠበቀ የሶፍትዌር ልማት (SDLC): ስርዓቱ ከተነደፈበት ጀምሮ እስከ ስራ መጀመሪያ ድረስ የደህንነት መስፈርቶችን የጠበቀ መሆን አለበት።
2. ከአገልግሎት በፊት የሚደረግ ኦዲትና እውቅና: የህዝብ አገልግሎት የሚሰጡ ድረ-ገጾች ወደ ስራ ከመግባታቸው በፊት ተፈትሸው ከኢንሳ እውቅና ማግኘት አለባቸው።
3. የመረጃ ሉዓላዊነትና ሀገር ውስጥ ማስተናገድ (Local Hosting): የመንግሥትና የወሳኝ መሠረተ-ልማት ድረ-ገጾች እና መረጃዎች በሀገር ውስጥ (ኢትዮጵያ ውስጥ) መስተናገድ አለባቸው።
4. የሩብ ዓመት የተጋላጭነት ፍተሻ: የደህንነት ክፍተቶችን ለመከላከል ቢያንስ በየሩብ ዓመቱ የተጋላጭነት ፍተሻዎች (Vulnerability Assessments) መደረግ አለባቸው።

---

አክሱም ሴክ (AXUM SEC) ተቋምዎ ህጉን እንዲያከብር እንዴት ያግዛል?

የህግ ተገዢነት ኦዲት ከመድረሱ ጥቂት ቀናት በፊት የሚሞላ ፎርም ሳይሆን ቀጣይነት ያለው የቴክኒክ ዝግጁነት ነው።

የአፍሪካ የመጀመሪያው ጥምር የሳይበር ደህንነት መድረክ የሆነው አክሱም ሴክ (AXUM SEC)፣ ድርጅትዎ በአዋጅ ቁጥር 1426/2018 የተቀመጡትን መስፈርቶች እንዲያሟላ ሙሉ ድጋፍ ይሰጣል።

1. ለኢንሳ ኦዲት ዝግጁ የሚያደርግ ቅድመ-ፍተሻና ማስተካከያ

ኦፊሴላዊው የኦዲት ማረጋገጫ በኢንሳ የሚሰጥ ቢሆንም፣ ኦዲቱን በተሳካ ሁኔታ ለማለፍ አስቀድሞ ክፍተቶችን መለየትና ማረም ወሳኝ ነው።

የእኛ Penetration Testing as a Service (PTaaS) አገልግሎት የሚከተሉትን ያካትታል፡-

• የጥቃት ተጋላጭነት ካርታ ማውጣት: በሲስተምዎ ላይ ያሉ ክፍት ፖርቶች፣ የተሳሳቱ አወቃቀሮችና የተጋለጡ ምስጢራዊ መረጃዎችን ማውጣት።
• ተጨባጭ የዘልቆ-መግባት ፍተሻ: በተመሰከረላቸው ባለሙያዎችና በAI የታገዘ ፍተሻ በማድረግ ትክክለኛ የደህንነት ክፍተቶችን ማሳየት።
• ለኦዲት ዝግጁ የሆኑ ሪፖርቶች: ከኢንሳ መመዘኛዎች ጋር የሚጣጣሙ እና የወሰዷቸውን ማስተካከያዎች የሚያሳዩ ዝርዝር የቴክኒክ ሪፖርቶች ማቅረብ።

2. ቀጣይነት ያለው የተጋላጭነት ክትትል በባግ ባውንቲ (Bug Bounty)

አዋጁ ያልተስተካከሉ የደህንነት ክፍተቶችን በጥብቅ ይከለክላል። የአክሱም ሴክ የባግ ባውንቲ መድረክ የድርጅትዎን ዌብሳይት፣ የሞባይል መተግበሪያና ኤፒአይ (API) ዓመቱን ሙሉ 24/7/365 ከተጨባጭ የጠላፊዎች ጥቃት እንዲጠበቅ ያደርጋል።

3. ለ48 ሰዓቱ የሪፖርት ግዴታ ፈጣን ዝግጁነት

ክስተት በተፈጠረ በ48 ሰዓት ውስጥ ለብሔራዊ CERT ሪፖርት ለማድረግ አደጋው እውነተኛ ጥቃት መሆኑን በፍጥነት መለየት ያስፈልጋል። የእኛ ፈጣን የማንቂያ ስርዓትና የቴክኒክ ድጋፍ ቡድንዎ አደጋዎችን በፍጥነት እንዲገታና እንዲመዘግብ ያግዛል።

4. ለኢትዮጵያ ነባራዊ ሁኔታ የተዘጋጀ

• ቀላል ክፍያ በኢትዮጵያ ብር (ETB): የውጭ ምንዛሬ ችግር ሳይኖርብዎ ክፍያዎችን በሀገር ውስጥ ገንዘብ በቀላሉ መፈጸም ይችላሉ።
• በአዲስ አበባ የሚገኝ ቢሮ: ዋና መስሪያ ቤታችን አዲስ አበባ የሚገኝና በኢትዮጵያ አርቴፊሻል ኢንተለጀንስ ኢንስቲትዩት የታቀፈ በመሆኑ የሀገሪቱን የህግ ማዕቀፎችና የፋይናንስ ቴክኖሎጂ አሰራሮችን ጠንቅቀን እናውቃለን።
• ከስራ በፊት የሚደረግ የሶፍትዌር ፍተሻ: አዳዲስ ሶፍትዌሮችን ለኢንሳ እውቅና ከማቅረብዎ በፊት ደህንነታቸውን በፍጥነት እንፈትሻለን።

---

በሽግግር ጊዜው ውስጥ መወሰድ ያለባቸው 3 እርምጃዎች

የአንድ ዓመቱ የዝግጅት ጊዜ እየቆጠረ ይገኛል። ተቋማት አሁኑኑ መጀመር ያለባቸው እርምጃዎች፡-

1. የድርጅትዎን ምድብ ይለዩ: ድርጅትዎ በ12ቱ ወሳኝ ዘርፎች ውስጥ መካተቱን ያረጋግጡ።
2. የውጭ ተጋላጭነት ፍተሻ ያካሂዱ: ለህዝብ ክፍት በሆኑ ሲስተሞችዎ ላይ ያሉ አጣዳፊ የደህንነት ክፍተቶችን ለይተው ይዝጉ።
3. የአደጋ ሪፖርት አሰራርን ያዘጋጁ: የሳይበር አደጋ ሲያጋጥም በ48 ሰዓት ውስጥ ሪፖርት የሚያደርግበትን የውስጥ አሰራር ይዘርጉ።

---

ዋቢ ሰነዶች

• የፌዴራል ነጋሪት ጋዜጣ: የወሳኝ መሠረተ-ልማቶች የሳይበር ደህንነት አዋጅ ቁጥር 1426/2018
• ኢንፎርሜሽን መረብ ደህንነት አስተዳደር (ኢንሳ): ደህንነቱ የተጠበቀ የዌብሳይት አስተዳደር ስታንዳርድ እና CMCSRS
• ብሔራዊ ፖሊሲ: ዲጂታል ኢትዮጵያ 2030 ስትራቴጂ

---

ማሳሰቢያ: ይህ ጽሑፍ ለግንዛቤና ለቴክኒክ መመሪያ እንዲረዳ የቀረበ እንጂ የህግ ምክር አይደለም። ተቋማት በአዋጅ ቁጥር 1426/2018 ላይ የተቀመጡትን ዝርዝር ጉዳዮች በነጋሪት ጋዜጣ በመመልከትና በኢንሳ የሚወጡ ዝርዝር መመሪያዎችን በመከታተል ተግባራዊ እንዲያደርጉ ይመከራል።