Suvestinė redakcija nuo 2024-09-19
Įsakymas paskelbtas: Žin. 2008, Nr. 45-1715, i. k. 10822LKISAK0001K-50
Nauja redakcija nuo 2016-09-13:
Nr. 1K-262, 2016-09-12, paskelbta TAR 2016-09-12, i. k. 2016-23513
VALSTYBINĖS LIGONIŲ KASOS
PRIE SVEIKATOS APSAUGOS MINISTERIJOS
DIREKTORIUS
ĮSAKYMAS
DĖL LIETUVOS RESPUBLIKOS DRAUDŽIAMŲJŲ PRIVALOMUOJU SVEIKATOS DRAUDIMU REGISTRO DUOMENŲ SAUGOS NUOSTATŲ PATVIRTINIMO
2008 m. balandžio 1 d. Nr. 1K-50
Vilnius
Vadovaudamasis Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo patvirtinimo“, 7, 11 ir 19 punktais:
1. Tvirtinu Lietuvos Respublikos draudžiamųjų privalomuoju sveikatos draudimu registro duomenų saugos nuostatus (pridedama).
2. Skiriu Valstybinės ligonių kasos prie Sveikatos apsaugos ministerijos Informacinių technologijų departamento Draudžiamųjų privalomuoju sveikatos draudimu registro skyriaus vedėją Nataliją Jelenskienę Lietuvos Respublikos draudžiamųjų privalomuoju sveikatos draudimu registro saugos įgaliotine.
3. Pavedu Lietuvos Respublikos draudžiamųjų privalomuoju sveikatos draudimu registro saugos įgaliotiniui per 6 mėnesius nuo šio įsakymo įsigaliojimo teisės aktų nustatyta tvarka parengti Lietuvos Respublikos draudžiamųjų privalomuoju sveikatos draudimu registro saugaus elektroninės informacijos tvarkymo taisykles, Lietuvos Respublikos draudžiamųjų privalomuoju sveikatos draudimu registro naudotojų administravimo taisykles ir Lietuvos Respublikos draudžiamųjų privalomuoju sveikatos draudimu registro veiklos tęstinumo valdymo planą.
PATVIRTINTA
Valstybinės ligonių kasos prie Sveikatos apsaugos ministerijos direktoriaus 2008 m. balandžio 1 d. įsakymu Nr. 1K-50
(Valstybinės ligonių kasos prie Sveikatos apsaugos ministerijos direktoriaus 2016 m. rugsėjo 12 d. įsakymo Nr. 1K-262 redakcija)
LIETUVOS RESPUBLIKOS DRAUDŽIAMŲJŲ PRIVALOMUOJU SVEIKATOS DRAUDIMU REGISTRO DUOMENŲ SAUGOS NUOSTATAI
I SKYRIUS
Bendrosios nuostatos
1. Lietuvos Respublikos draudžiamųjų privalomuoju sveikatos draudimu registro duomenų saugos nuostatai (toliau – Saugos nuostatai) reglamentuoja Lietuvos Respublikos draudžiamųjų privalomuoju sveikatos draudimu registro (toliau – Draudžiamųjų registras) duomenų saugos politiką, nustato organizacines, technines, programines, teisines ir kitas priemones, užtikrinančias saugų šio registro duomenų tvarkymą.
2. Saugos nuostatuose vartojamos sąvokos atitinka sąvokas, apibrėžtas 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamente (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas; toliau – BDAR), Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme ir Bendrųjų elektroninės informacijos saugos reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo ir Saugos dokumentų turinio gairių aprašo patvirtinimo“ (toliau – Bendrieji elektroninės informacijos saugos reikalavimai), bei kituose teisės aktuose vartojamas sąvokas.
Punkto pakeitimai:
Nr. 1K-274, 2024-09-18, paskelbta TAR 2024-09-18, i. k. 2024-16344
3. Draudžiamųjų registro elektroninės informacijos saugos tikslas – užtikrinti Draudžiamųjų registro duomenų konfidencialumą, prieinamumą bei vientisumą ir sudaryti sąlygas saugiai automatiniu būdu tvarkyti šio registro duomenis.
4. Draudžiamųjų registro elektroninės informacijos saugumo užtikrinimo prioritetinės kryptys:
4.1. organizacinių, techninių, programinių, teisinių ir kitų priemonių, skirtų Draudžiamųjų registro duomenų saugai užtikrinti, įgyvendinimas ir kontrolė;
4.2. duomenų, kaupiamų Draudžiamųjų registre, konfidencialumo, vientisumo ir prieinamumo užtikrinimas;
4.3. duomenų, kaupiamų Draudžiamųjų registre, integralumo su valstybės registrais ir informacinėmis sistemomis užtikrinimas;
5. Saugos nuostatų reikalavimai taikomi Draudžiamųjų registro valdytojui, Draudžiamųjų registro tvarkytojams, asmeniui, atsakingam už kibernetinio saugumo Valstybinėje ligonių kasoje prie Sveikatos apsaugos ministerijos (toliau – VLK) organizavimą ir užtikrinimą (toliau – kibernetinio saugumo vadovas), Draudžiamųjų registro saugos įgaliotiniui, administratoriams ir naudotojams.
Punkto pakeitimai:
Nr. 1K-274, 2024-09-18, paskelbta TAR 2024-09-18, i. k. 2024-16344
6. Draudžiamųjų registro valdytojas yra VLK, buveinės adresas ‒ Europos aikštė 1, LT-03505 Vilnius.
Punkto pakeitimai:
Nr. 1K-274, 2024-09-18, paskelbta TAR 2024-09-18, i. k. 2024-16344
7. Draudžiamųjų registro tvarkytojai yra VLK ir teritorinės ligonių kasos (toliau – TLK):
8. Draudžiamųjų registro valdytojas pagal kompetenciją atsako už saugos politikos formavimą, jos įgyvendinimo organizavimą, priežiūrą ir Draudžiamųjų registro elektroninės informacijos tvarkymo teisėtumą.
9. VLK, kaip Draudžiamųjų registro valdytojas:
9.3. kontroliuoja, kaip laikomasi Draudžiamųjų registro duomenų saugos politiką įgyvendinančių dokumentų ir kitų teisės aktų, reglamentuojančių Draudžiamųjų registro duomenų tvarkymo teisėtumą ir saugos valdymą;
9.4. koordinuoja Draudžiamųjų registro tvarkytojų funkcijų vykdymą ir metodiškai vadovauja Draudžiamųjų registro tvarkytojų veiklai, užtikrindamas šio registro veikimą, tobulinimą ir elektroninės informacijos saugą;
9.5. prižiūri, kaip laikomasi Draudžiamųjų registro duomenų ir elektroninės informacijos saugos reikalavimų;
9.6. nagrinėja Draudžiamųjų registro tvarkytojų pasiūlymus dėl šio registro veiklos ir elektroninės informacijos saugos užtikrinimo, juos apibendrina ir priima sprendimus dėl Draudžiamųjų registro tobulinimo;
9.7. priima sprendimus dėl Draudžiamųjų registro techninių ir programinių priemonių, būtinų šio registro duomenų saugai užtikrinti, įsigijimo, įdiegimo ir vystymo;
10. Draudžiamųjų registro tvarkytojai atsako už reikiamų administracinių, techninių ir organizacinių saugos priemonių įgyvendinimą, užtikrinimą ir laikymąsi Saugos nuostatuose ir Draudžiamųjų registro duomenų saugos politiką įgyvendinančiuose dokumentuose nustatyta tvarka.
11. VLK, kaip Draudžiamųjų registro tvarkytojas:
11.2. užtikrina saugią Draudžiamųjų registro sąveiką su kitais registrais ir informacinėmis sistemomis;
12. TLK, kaip Draudžiamųjų registro tvarkytojai:
12.1. užtikrina tinkamą Draudžiamųjų registro valdytojo priimtų teisės aktų ir rekomendacijų įgyvendinimą;
12.2. užtikrina, kad Draudžiamųjų registras būtų tvarkomas vadovaujantis Draudžiamųjų registro nuostatais, Saugos nuostatais ir kitais Draudžiamųjų registro duomenų saugos politiką įgyvendinančiais dokumentais;
12.3. teikia pasiūlymus Draudžiamųjų registro valdytojui dėl Draudžiamųjų registro veiklos ir elektroninės informacijos saugos užtikrinimo;
13. Draudžiamųjų registro saugos įgaliotinis, koordinuodamas ir prižiūrėdamas saugos politikos įgyvendinimą Draudžiamųjų registre, atlieka šias funkcijas:
13.2. teikia Draudžiamųjų registro valdytojo vadovui pasiūlymus dėl:
13.2.2. Draudžiamųjų registro duomenų saugos politiką įgyvendinančių dokumentų priėmimo, keitimo ar panaikinimo;
13.3. koordinuoja Draudžiamųjų registro elektroninės informacijos saugos incidentų tyrimą ir bendradarbiauja su kompetentingomis institucijomis, tiriančiomis elektroninių ryšių tinklų, informacijos saugumo incidentus, neteisėtas veikas, susijusias su elektroninės informacijos saugos incidentais, išskyrus tuos atvejus, kai šią funkciją atlieka elektroninės informacijos saugos darbo grupės;
13.4. teikia Draudžiamųjų registro administratoriams ir naudotojams privalomus vykdyti nurodymus ir pavedimus, susijusius su šio registro saugos politikos įgyvendinimu;
14. Draudžiamųjų registro saugos įgaliotinis, atlikdamas savo funkcijas, turi teisę pagal savo įgaliojimus duoti privalomus vykdyti nurodymus ir pavedimus kitiems Draudžiamųjų registro valdytojo ir tvarkytojo darbuotojams, jeigu tai būtina saugos politikai įgyvendinti. Draudžiamųjų registro saugos įgaliotinis negali vykdyti administratoriaus funkcijų.
Punkto pakeitimai:
Nr. 1K-274, 2024-09-18, paskelbta TAR 2024-09-18, i. k. 2024-16344
15. Kibernetinio saugumo vadovas vykdo šias funkcijas:
15.1. koordinuoja kibernetinių incidentų tyrimą, bendradarbiauja su kompetentingomis institucijomis, tiriančiomis kibernetinius incidentus;
15.2. atlieka kitas Draudžiamųjų registro saugos dokumentuose nurodytas ir kituose teisės aktuose, reglamentuojančiuose kibernetinį saugumą, jam priskirtas funkcijas.
Punkto pakeitimai:
Nr. 1K-274, 2024-09-18, paskelbta TAR 2024-09-18, i. k. 2024-16344
16. Draudžiamųjų registro administratoriaus funkcijas pagal kompetenciją vykdo Draudžiamųjų registro sisteminis administratorius ir Draudžiamųjų registro duomenų administratorius.
17. Draudžiamųjų registro sisteminis administratorius atlieka šias funkcijas:
17.1. užtikrina Draudžiamųjų registro techninės ir programinės įrangos funkcionavimą, prižiūri programinę įrangą, reikalingą Draudžiamųjų registro naudotojų funkcijoms vykdyti;
17.2. administruoja ir tvarko Draudžiamųjų registro duomenų bazę, užtikrina šioje duomenų bazėje naudojamų klasifikatorių atnaujinimą automatiniu būdu;
17.3. prižiūri Draudžiamųjų registro duomenų mainų integracines sąsajas ir užtikrina apsikeitimą duomenimis su Draudžiamųjų registro duomenų teikėjais, kai duomenys perduodami sąveikos būdu elektroninių ryšių tinklais arba elektroninių ryšių priemonėmis;
17.4. užtikrina, kad Draudžiamųjų registro elektroninė informacija, gauta iš susijusių registrų ir informacinių sistemų, būtų nuolat atnaujinama ir atitiktų susijusiuose registruose ir informacinėse sistemose esančią elektroninę informaciją;
17.5. registruoja Draudžiamųjų registro naudotojus, suteikia jiems prisijungimo vardus ir nustato prieigos teises naudotis elektronine informacija, kurios reikia naudotojų funkcijoms atlikti;
17.6. pagal kompetenciją prižiūri Draudžiamųjų registro komponentų (kompiuterių, tarnybinių stočių, operacinių sistemų, taikomųjų programų, duomenų bazės valdymo sistemų, ugniasienių, įsilaužimų aptikimo sistemų ir kt.) veikimą ir nustato šio registro pažeidžiamas vietas;
17.7. informuoja Draudžiamųjų registro saugos įgaliotinį apie elektroninės informacijos saugos incidentus ir teikia siūlymus dėl šių incidentų pašalinimo;
17.8. vykdo Draudžiamųjų registro saugos įgaliotinio nurodymus ar pavedimus, susijusius su Draudžiamųjų registro duomenų saugos užtikrinimu;
17.9. atlieka kitas Draudžiamųjų registro valdytojo vadovo ir Draudžiamųjų registro saugos įgaliotinio pavestas, Draudžiamųjų registro duomenų saugos politiką įgyvendinančiuose dokumentuose ir kituose teisės aktuose, reglamentuojančiuose Draudžiamųjų registro duomenų tvarkymo teisėtumą ir saugos valdymą, priskirtas funkcijas.
18. Draudžiamųjų registro duomenų administratorius atlieka šias funkcijas:
18.1. vykdo Draudžiamųjų registro duomenų administravimą, tvarko Draudžiamųjų registro duomenų bazę;
18.2. tvarko Draudžiamųjų registro klasifikatorius ir užtikrina jų atnaujinimą pusiau automatiniu būdu;
18.3. prižiūri ir užtikrina Draudžiamųjų registro apsikeitimą duomenimis su Draudžiamųjų registro duomenų teikėjais, kai duomenys perduodami automatiniu būdu elektroninių ryšių tinklais (per FTP serverį) arba elektroninių ryšių priemonėmis;
18.4. prižiūri, kad Draudžiamųjų registro duomenys atitiktų Draudžiamųjų registro duomenų teikėjų pateiktus duomenis, organizuoja neteisingų, netikslių, neišsamių duomenų atnaujinimą;
18.5. informuoja Draudžiamųjų registro saugos įgaliotinį apie elektroninės informacijos saugos incidentus ir teikia siūlymus dėl šių incidentų pašalinimo;
18.6. pagal kompetenciją teikia Draudžiamųjų registro tvarkytojo vadovui siūlymus dėl Registro palaikymo, priežiūros, techninės ir programinės įrangos modernizavimo ir elektroninės informacijos saugos užtikrinimo;
18.8. vykdo Draudžiamųjų registro saugos įgaliotinio nurodymus ar pavedimus, susijusius su Draudžiamųjų registro duomenų saugos užtikrinimu;
18.9. atlieka kitas Draudžiamųjų registro valdytojo vadovo ir Draudžiamųjų registro saugos įgaliotinio pavestas, Draudžiamųjų registro duomenų saugos politiką įgyvendinančiuose dokumentuose ir kituose teisės aktuose, reglamentuojančiuose Draudžiamųjų registro duomenų tvarkymo teisėtumą ir saugos valdymą, priskirtas funkcijas.
19. Draudžiamųjų registro duomenų sauga užtikrinama vadovaujantis:
19.7. Saugos dokumentų turinio gairių aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo ir Saugos dokumentų turinio gairių aprašo patvirtinimo“;
19.8. Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“;
19.9. Lietuvos Respublikos krašto apsaugos ministro 2020 m. gruodžio 4 d. įsakymu Nr. V-941 „Dėl Informacinių technologijų saugos atitikties vertinimo metodikos patvirtinimo“;
19.10. Valstybinės ligonių kasos ir teritorinių ligonių kasų organizacinių ir techninių kibernetinio saugumo reikalavimų aprašu, patvirtintu VLK direktoriaus 2017 m. kovo 9 d. įsakymu Nr. 1K-52 „Dėl Valstybinės ligonių kasos prie Sveikatos apsaugos ministerijos ir teritorinių ligonių kasų organizacinių ir techninių kibernetinio saugumo reikalavimų aprašo patvirtinimo“;
19.11. Lietuvos standartais LST ISO/IEC 27001:2017 „Informacinės technologijos. Saugumo metodai. Informacijos saugumo valdymo sistemos. Reikalavimai“ ir LST ISO/IEC 27002:2017 „Informacinės technologijos. Saugumo metodai. Informacijos saugumo kontrolės priemonių praktikos nuostatai“;
19.12. kitais teisės aktais, reglamentuojančiais Draudžiamųjų registro duomenų tvarkymo teisėtumą ir šio registro elektroninės informacijos saugos valdymą.
Punkto pakeitimai:
Nr. 1K-274, 2024-09-18, paskelbta TAR 2024-09-18, i. k. 2024-16344
II SKYRIUS
Elektroninės informacijos saugos valdymas
20. Draudžiamųjų registras pagal duomenų svarbą yra ypatingos svarbos valstybės informacinis išteklius, vadovaujantis Valstybės informacinių išteklių valdymo įstatymo 7 straipsniu.
Punkto pakeitimai:
Nr. 1K-274, 2024-09-18, paskelbta TAR 2024-09-18, i. k. 2024-16344
21. Draudžiamųjų registras pagal objektų svarbą yra pagrindinis registras, vadovaujantis Valstybės informacinių išteklių valdymo įstatymo 8 straipsniu.
Punkto pakeitimai:
Nr. 1K-274, 2024-09-18, paskelbta TAR 2024-09-18, i. k. 2024-16344
22. Neteko galios nuo 2024-09-19
Punkto naikinimas:
Nr. 1K-274, 2024-09-18, paskelbta TAR 2024-09-18, i. k. 2024-16344
23. Draudžiamųjų registro valdytojas kasmet atlieka VLK valdomų informacinių išteklių, taip pat ir Draudžiamųjų registro, saugos rizikos vertinimą, kuris organizuojamas Informacijos saugos rizikos valdymo ir vertinimo tvarkos aprašo, patvirtinto VLK direktoriaus 2021 m. sausio 14 d. įsakymu Nr. 1K-13 „Dėl Informacijos saugos rizikos valdymo ir vertinimo tvarkos aprašo patvirtinimo“, nustatyta tvarka.
Punkto pakeitimai:
Nr. 1K-274, 2024-09-18, paskelbta TAR 2024-09-18, i. k. 2024-16344
24. Neteko galios nuo 2024-09-19
Punkto naikinimas:
Nr. 1K-274, 2024-09-18, paskelbta TAR 2024-09-18, i. k. 2024-16344
25. Atsižvelgdamas į rizikos įvertinimo ataskaitą, Draudžiamųjų registro valdytojas prireikus tvirtina rizikos įvertinimo ir rizikos valdymo priemonių planą, kuriame numatomas techninių, organizacinių ir kitų išteklių poreikis rizikos valdymo priemonėms įgyvendinti.
26. Draudžiamųjų registro valdytojas ne rečiau kaip vieną kartą per metus organizuoja informacinių technologijų saugos atitikties vertinimą, kurio metu:
26.1. įvertinama, ar Draudžiamųjų registro duomenų saugos politiką įgyvendinantys dokumentai atitinka realią informacijos saugos situaciją;
26.3. patikrinama ne mažiau kaip 10 procentų atsitiktinai parinktų Draudžiamųjų registro naudotojų kompiuterinių darbo vietų, visose tarnybinėse stotyse įdiegtos programos ir jų sąranka (konfigūracija);
26.4. patikrinama (įvertinama) Draudžiamųjų registro naudotojams suteiktų teisių ir vykdomų funkcijų atitiktis;
27. Atlikus informacinių technologijų saugos atitikties vertinimą, rengiama informacinių technologijų saugos atitikties vertinimo ataskaita, kuri pateikiama Draudžiamųjų registro valdytojo vadovui.
28. Remiantis informacinių technologijų saugos atitikties vertinimo ataskaita, prireikus rengiamas informacinių technologijų saugos atitikties vertinimo metu pastebėtų trūkumų šalinimo planas, kurį tvirtina, atsakingus vykdytojus paskiria ir įgyvendinimo terminus nustato Draudžiamųjų registro valdytojo vadovas.
29. Rizikos įvertinimo ataskaitos, rizikos įvertinimo ir rizikos valdymo priemonių plano, informacinių technologijų saugos atitikties vertinimo ataskaitos ir pastebėtų trūkumų šalinimo plano kopijas Draudžiamųjų registro valdytojas ne vėliau kaip per 5 darbo dienas nuo minėtų dokumentų priėmimo įkelia į Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemą (toliau – ARSIS), vadovaudamasis Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemos nuostatais, patvirtintais Lietuvos Respublikos krašto apsaugos ministro 2018 m. gruodžio 11 d. įsakymu Nr. V-1183 „Dėl Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemos nuostatų patvirtinimo“ (toliau – Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemos nuostatai).
Punkto pakeitimai:
Nr. 1K-274, 2024-09-18, paskelbta TAR 2024-09-18, i. k. 2024-16344
30. Techninės, programinės ir organizacinės Draudžiamųjų registro elektroninės informacijos saugos priemonės pasirenkamos atsižvelgiant į Draudžiamųjų registro valdytojo galimybes ir turimus išteklius, vadovaujantis šiais priemonių parinkimo principais:
31. Patvirtintų Draudžiamųjų registro duomenų saugos politiką įgyvendinančių dokumentų ir jų pakeitimų kopijas Draudžiamųjų registro valdytojas ne vėliau kaip per 5 darbo dienas nuo jų patvirtinimo įkelia į ARSIS, vadovaudamasis Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemos nuostatais.
Punkto pakeitimai:
Nr. 1K-274, 2024-09-18, paskelbta TAR 2024-09-18, i. k. 2024-16344
III SKYRIUS
Organizaciniai ir techniniai duomenų saugos reikalavimai
32. Programinės įrangos, skirtos apsaugoti Draudžiamųjų registrą nuo kenksmingos programinės įrangos (virusų, šnipinėjimo programinės įrangos, nepageidaujamo elektroninio pašto ir panašiai), naudojimo nuostatos ir jos atnaujinimo reikalavimai:
32.1. tarnybinėse stotyse ir visuose kompiuterinėse darbo vietose, kuriose naudojamasi Draudžiamųjų registru, privalo būti įdiegta programinė įranga, skirta apsaugoti šį registrą nuo kenksmingos programinės įrangos (virusų, šnipinėjimo programinės įrangos ir kt.);
32.2. elektroninio pašto tarnybinės stotys turi būti apsaugotos nuo brukalų (angl. spam) ir nepageidaujamo turinio elektroninių laiškų;
32.3. duomenų apsaugai naudojama programinė įranga turi būti centralizuotai valdoma ir atnaujinama automatiniu būdu ne rečiau kaip kas trys dienos;
32.4. duomenų apsaugai naudojamos programinės įrangos nustatymai turi būti parinkti pagal rekomenduojamus tokios programinės įrangos gamintojų reikalavimus arba pagal vidinio kompiuterių tinklo administratoriaus rekomendacijas;
32.5. duomenų apsaugai naudojamos programinės įrangos konfigūravimas turi būti apsaugotas slaptažodžiu.
Punkto pakeitimai:
Nr. 1K-274, 2024-09-18, paskelbta TAR 2024-09-18, i. k. 2024-16344
33. Programinės įrangos, įdiegtos kompiuteriuose ir serveriuose, naudojimo nuostatos:
33.1. Draudžiamųjų registro veiklai užtikrinti turi būti naudojama tik legali ir darbo funkcijoms atlikti reikalinga programinė įranga;
33.2. programinę įrangą, reikalingą Draudžiamųjų registro naudotojo funkcijoms atlikti, diegia, atnaujina, kontroliuoja ir prižiūri Draudžiamųjų registro sisteminis administratorius. Kiti asmenys (paslaugų teikėjų specialistai) gali diegti programinę įrangą tik prižiūrint minėtam administratoriui;
33.3. Draudžiamųjų registro programinė įranga prižiūrima ir atnaujinama laikantis gamintojo reikalavimų;
34. Kompiuterių tinklo filtravimo įrangos (užkardų, turinio kontrolės sistemų, įgaliotųjų serverių (angl. proxy) ir kt.) pagrindinės naudojimo nuostatos:
34.1. kompiuterių tinklai nuo viešųjų telekomunikacijų tinklų (interneto) turi būti atskirti ugniasienėmis, turi būti įdiegta įranga, skirta atakų prevencijai, taip pat įsilaužimų aptikimo įranga;
34.2. visas duomenų srautas į internetą ir iš jo yra filtruojamas naudojant apsaugą nuo virusų ir kitos kenksmingos programinės įrangos;
35. Metodai, kuriais leidžiama užtikrinti saugų Draudžiamųjų registro elektroninės informacijos teikimą ir (ar) gavimą:
35.1. užtikrinant saugų elektroninės informacijos teikimą ir (ar) gavimą iš Draudžiamųjų registro duomenų teikėjų ir susijusių registrų, naudojami saugūs ryšio kanalai. Elektronine informacija keičiamasi naudojantis žiniatinklio paslaugomis XML formatu (šiuo atveju naudojamas saugusis HTTP protokolas ‒ HTTPS) arba duomenų bazių užklausomis. Informacijai perduoti gali būti naudojamas ribotas virtualus privatus tinklas ir Saugus valstybės duomenų perdavimo tinklas;
35.2. elektroninė informacija automatiniu būdu gaunama tik pagal duomenų teikimo ir gavimo sutartyse nustatytas perduodamų duomenų specifikacijas, perdavimo sąlygas ir tvarką, kurie atitinka teisės aktuose nustatytus reikalavimus;
35.3. prieigos prie Draudžiamųjų registro elektroninės informacijos teises gali suteikti tik Draudžiamųjų registro sisteminis administratorius. Draudžiamųjų registro naudotojams suteikiamos tik jų funkcijoms vykdyti būtinos teisės;
36. Nešiojamieji ir stacionarūs kompiuteriai, kuriuose saugomi su Draudžiamųjų registru susiję duomenys, turi būti apsaugoti prisijungimo vardu ir slaptažodžiu. Iš nešiojamųjų ir stacionarių kompiuterių, kurie perduodami remontuoti ar techniniam aptarnavimui atlikti, turi būti pašalinta visa saugoma Draudžiamųjų registro elektroninė informacija.
37. Nešiojamiesiems kompiuteriams, turintiems prieigą prie Draudžiamųjų registro ir naudojamiems nustatytoms funkcijoms vykdyti, išnešamiems iš Draudžiamųjų registro tvarkytojo patalpų, turi būti taikomos papildomos saugos priemonės (elektroninės informacijos šifravimas, papildomas tapatybės patvirtinimas, prisijungimo ribojimai, rakinimo įrenginių naudojimas).
38. Už nešiojamojo kompiuterio ir jame tvarkomų ar saugomų Draudžiamųjų registro duomenų saugą Lietuvos Respublikos teisės aktų nustatyta tvarka atsako darbuotojas, kuriam šis kompiuteris yra skirtas.
IV SKYRIUS
REIKALAVIMAI PERSONALUI
40. Draudžiamųjų registro saugos įgaliotiniu negali būti skiriamas asmuo, turintis neišnykusį ar nepanaikintą teistumą už nusikaltimą, susijusį su elektroninių duomenų ir informacinių sistemų saugumu, taip pat paskirtą administracinę nuobaudą už neteisėtą asmens duomenų tvarkymą ir privatumo apsaugos pažeidimą elektroninių ryšių srityje, elektroninių ryšių išteklių naudojimo ir skyrimo taisyklių pažeidimą, elektroninių ryšių tinklo gadinimą ar savavališką prisijungimą prie tinklo arba galinių įrenginių, kurie trukdo elektroninių ryšių tinklo darbui, savavališką prisijungimą arba elektroninių ryšių infrastruktūros įrengimo, naudojimo ir apsaugos sąlygų ir taisyklių pažeidimą, jeigu nuo jos paskyrimo praėję mažiau kaip vieni metai.
41. Draudžiamųjų registro saugos įgaliotinis privalo išmanyti elektroninės informacijos saugos užtikrinimo principus, tobulinti kvalifikaciją elektroninės informacijos saugos srityje, savo darbe vadovautis Draudžiamųjų registro saugos politiką įgyvendinančiais dokumentais ir kitais Lietuvos Respublikos ir Europos Sąjungos teisės aktais, reglamentuojančiais saugų elektroninės informacijos tvarkymą.
42. Draudžiamųjų registro administratoriai privalo mokėti administruoti registrų ir informacinių sistemų duomenų bazes, žinoti pagrindinius elektroninės informacijos saugos principus, išmanyti darbo su duomenų perdavimo tinklais principus, gebėti prižiūrėti techninės ir programinės įrangos veikimą, atlikti sutrikimų diagnostiką ir šalinimą, turėti sisteminių programinių priemonių (Windows, Oracle) administravimo ir priežiūros patirties.
43. Draudžiamųjų registro naudotojai privalo:
43.2. pasirašyti pasižadėjimą saugoti asmens duomenų paslaptį ir susipažinti su Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu, Saugos nuostatais ir kitais Draudžiamųjų registro duomenų saugos politiką įgyvendinančiais dokumentais;
44. Draudžiamųjų registro naudotojai, pastebėję saugos politikos pažeidimų, nusikalstamos veikos požymių, neveikiančias arba netinkamai veikiančias elektroninės informacijos saugos užtikrinimo priemones, privalo nedelsdami apie tai pranešti Draudžiamųjų registro saugos įgaliotiniui.
45. Draudžiamųjų registro saugos įgaliotinis Draudžiamųjų registro administratoriams ir naudotojams periodiškai, bet ne rečiau kaip kartą per dvejus metus, organizuoja mokymus elektroninės informacijos saugos klausimais, įvairiais būdais primena apie saugumo problemas (pvz., siunčia pranešimus elektroniniu paštu, instruktuoja naujus darbuotojus ir pan.).
V SKYRIUS
DRAUDŽIAMŲJŲ REGISTRO NAUDOTOJŲ SUPAŽINDINIMO SU SAUGOS DOKUMENTAIS PRINCIPAI
46. Draudžiamųjų registro naudotojus su Saugos nuostatais, Draudžiamųjų registro duomenų saugos politiką įgyvendinančiais dokumentais ir atsakomybe už jų reikalavimų nesilaikymą pasirašytinai supažindina Draudžiamųjų registro saugos įgaliotinis.
47. Draudžiamųjų registro saugos įgaliotinis, šio registro administratoriai ir naudotojai raštu įsipareigoja nepažeisti Saugos nuostatų ir Draudžiamųjų registro duomenų saugos politiką įgyvendinančių dokumentų.
48. Pakartotinis supažindinimas su Saugos nuostatais ir Draudžiamųjų registro duomenų saugos politiką įgyvendinančiais dokumentais yra vykdomas elektroniniu paštu šiems dokumentams pasikeitus.
VI SKYRIUS
Baigiamosios nuostatos
50. Saugos nuostatai ir kiti saugumo politiką reglamentuojantys teisės aktai iš esmės peržiūrimi ir prireikus keičiami ne rečiau kaip kartą per metus.
51. Draudžiamųjų registro saugos įgaliotinis, šio registro administratoriai ir naudotojai, pažeidę Saugos nuostatų, Draudžiamųjų registro duomenų saugos politiką įgyvendinančių dokumentų ir saugų elektroninės informacijos tvarkymą reglamentuojančių teisės aktų nuostatas, atsako Lietuvos Respublikos įstatymų nustatyta tvarka.
Priedo pakeitimai:
Nr. 1K-262, 2016-09-12, paskelbta TAR 2016-09-12, i. k. 2016-23513
Pakeitimai:
1.
Valstybinė ligonių kasa prie Sveikatos apsaugos ministerijos, Įsakymas
Nr. 1K-262, 2016-09-12, paskelbta TAR 2016-09-12, i. k. 2016-23513
Dėl Valstybinės ligonių kasos prie Sveikatos apsaugos ministerijos direktoriaus 2008 m. balandžio 1 d. įsakymo Nr. 1K-50 „Dėl Lietuvos Respublikos draudžiamųjų privalomuoju sveikatos draudimu registro duomenų saugos nuostatų patvirtinimo“ pakeitimo
2.
Valstybinė ligonių kasa prie Sveikatos apsaugos ministerijos, Įsakymas
Nr. 1K-274, 2024-09-18, paskelbta TAR 2024-09-18, i. k. 2024-16344
Dėl Valstybinės ligonių kasos prie Sveikatos apsaugos ministerijos direktoriaus 2008 m. balandžio 1 d. įsakymo Nr. 1K-50 „Dėl Lietuvos Respublikos draudžiamųjų privalomuoju sveikatos draudimu registro duomenų saugos nuostatų patvirtinimo“ pakeitimo