Įsakymas netenka galios 2018-11-14:
Lietuvos Respublikos vidaus reikalų ministerija, Įsakymas
Nr. 1V-837, 2018-11-13, paskelbta TAR 2018-11-13, i. k. 2018-18324
Dėl Lietuvos Respublikos vidaus reikalų ministro 2017 m. gruodžio 22 d. įsakymo Nr. 1V-883 „Dėl Kai kurių Lietuvos Respublikos vidaus reikalų ministerijos valdomų registrų ir valstybės informacinių sistemų duomenų saugos nuostatų patvirtinimo“ pakeitimo ir kai kurių Lietuvos Respublikos vidaus reikalų ministro įsakymų, susijusių su Vidaus reikalų ministerijos valdomų registrų ir valstybės informacinių sistemų sauga, pripažinimo netekusiais galios
Suvestinė redakcija nuo 2017-01-26 iki 2018-11-13
Įsakymas paskelbtas: Žin. 2011, Nr. 115-5445, i. k. 1112310ISAK001V-698
Nauja redakcija nuo 2017-01-26:
Nr. 1V-74, 2017-01-25, paskelbta TAR 2017-01-25, i. k. 2017-01404
LIETUVOS RESPUBLIKOS VIDAUS REIKALŲ MINISTRAS
ĮSAKYMAS
DĖL SERTIFIKATŲ VALDYMO INFORMACINĖS SISTEMOS DUOMENŲ SAUGOS NUOSTATŲ PATVIRTINIMO
Vadovaudamasis Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, 7.1 papunkčiu, 11, 19 ir 26 punktais:
2. Pavedu:
2.1. Informatikos ir ryšių departamentui prie Lietuvos Respublikos vidaus reikalų ministerijos per 1 mėnesį nuo Sertifikatų valdymo informacinės sistemos duomenų saugos nuostatų patvirtinimo paskirti Sertifikatų valdymo informacinės sistemos saugos įgaliotinį ir administratorių.
2.2. Sertifikatų valdymo informacinės sistemos saugos įgaliotiniui per 6 mėnesius nuo Sertifikatų valdymo informacinės sistemos duomenų saugos nuostatų patvirtinimo parengti ir pateikti Sertifikatų valdymo informacinės sistemos valdytojui tvirtinti saugos politiką įgyvendinančių dokumentų projektus.
PATVIRTINTA
Lietuvos Respublikos vidaus reikalų ministro 2011 m. rugsėjo 19 d. įsakymu Nr. 1V-698
(Lietuvos Respublikos vidaus reikalų ministro 2017 m. sausio 25 d. įsakymo Nr. 1V-74 redakcija)
SERTIFIKATŲ VALDYMO INFORMACINĖS SISTEMOS DUOMENŲ SAUGOS NUOSTATAI
I SKYRIUS
BENDROSIOS NUOSTATOS
1. Sertifikatų valdymo informacinės sistemos duomenų saugos nuostatai (toliau – SVIS saugos nuostatai) nustato Sertifikatų valdymo informacinės sistemos (toliau – SVIS) elektroninės informacijos saugos politiką.
2. SVIS saugos nuostatuose vartojamos sąvokos suprantamos taip, kaip jos apibrėžtos Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Bendrųjų elektroninės informacijos saugos reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, (toliau – Bendrųjų elektroninės informacijos saugos reikalavimų aprašas).
3. SVIS elektroninės informacijos saugos politikos tikslas – užtikrinti SVIS elektroninės informacijos konfidencialumą, vientisumą ir prieinamumą.
4. SVIS elektroninės informacijos saugos užtikrinimo prioritetinės kryptys:
4.1. organizacinių, techninių, programinių, teisinių ir kitų priemonių, skirtų SVIS elektroninės informacijos saugai užtikrinti, įgyvendinimas ir kontrolė;
5. SVIS saugos nuostatų reikalavimai taikomi:
5.1. SVIS valdytojai – Lietuvos Respublikos vidaus reikalų ministerijai, Šventaragio g. 2, LT-01510 Vilnius;
5.2. SVIS tvarkytojams:
5.2.1. Asmens dokumentų išrašymo centrui prie Lietuvos Respublikos vidaus reikalų ministerijos (toliau – Asmens dokumentų išrašymo centras), Žirmūnų g. 1D, LT-09229 Vilnius;
5.2.2. Informatikos ir ryšių departamentui prie Lietuvos Respublikos vidaus reikalų ministerijos (toliau – Informatikos ir ryšių departamentas), Šventaragio g. 2, LT-01510 Vilnius;
6. SVIS valdytoja atlieka Sertifikatų valdymo informacinės sistemos nuostatuose, patvirtintuose Lietuvos Respublikos vidaus reikalų ministro 2011 m. rugsėjo 19 d. įsakymu Nr. 1V-697 „Dėl Sertifikatų valdymo informacinės sistemos nuostatų patvirtinimo“ (toliau – SVIS nuostatai), nustatytas funkcijas, taip pat:
6.2. priima sprendimus dėl SVIS informacinių technologijų atitikties saugos reikalavimams vertinimo atlikimo;
6.3. priima sprendimus dėl SVIS techninių ir programinių priemonių, būtinų SVIS elektroninės informacijos saugai užtikrinti, įsigijimo, įdiegimo ir modernizavimo;
7. Asmens dokumentų išrašymo centras, atlieka SVIS nuostatuose nustatytas funkcijas, o taip pat:
7.2. pagal kompetenciją teikia SVIS valdytojai siūlymus dėl SVIS saugos nuostatų ir SVIS saugos politiką įgyvendinančių dokumentų projektų priėmimo, keitimo;
8. Informatikos ir ryšių departamentas atlieka SVIS nuostatuose nustatytas funkcijas, o taip pat:
8.4. pagal kompetenciją teikia SVIS valdytojai siūlymus dėl SVIS saugos nuostatų ir SVIS saugos politiką įgyvendinančių dokumentų projektų priėmimo, keitimo;
8.5. užtikrina nepertraukiamą SVIS veikimą ir SVIS tvarkomos elektroninės informacijos, esančios SVIS duomenų bazėje, saugą;
9. Vidaus reikalų statutinės įstaigos atlieka SVIS nuostatuose nustatytas funkcijas, taip pat:
10. Valstybės ir savivaldybių įstaigos ir institucijos atlieka SVIS nuostatuose nustatytas funkcijas, taip pat:
11. SVIS saugos įgaliotinis:
11.2. organizuoja kasmetinius ir neeilinius SVIS rizikos įvertinimus ir rengia SVIS rizikos įvertinimo ataskaitas;
11.3. organizuoja SVIS informacinių technologijų saugos atitikties vertinimus ir rengia SVIS informacinių technologijų saugos atitikties vertinimo ataskaitas;
11.4. teikia pasiūlymus Informatikos ir ryšių departamento direktoriui dėl:
11.5. teikia SVIS administratoriui, SVIS naudotojams, prireikus ir SVIS valdytojo bei tvarkytojų darbuotojams privalomus vykdyti nurodymus ir pavedimus, susijusius su saugos politikos įgyvendinimu;
11.6. koordinuoja SVIS elektroninės informacijos saugos incidentų tyrimą ir bendradarbiauja su kompetentingomis institucijomis, tiriančiomis elektroninių ryšių tinklų, informacijos saugos incidentus, neteisėtas veikas, susijusias su elektroninės informacijos saugos incidentais, išskyrus tuos atvejus, kai šią funkciją atlieka elektroninės informacijos saugos darbo grupės;
11.7. periodiškai inicijuoja SVIS naudotojų mokymą elektroninės informacijos saugos klausimais, įvairiais būdais informuoja juos apie elektroninės informacijos saugos problematiką;
12. SVIS administratorius:
12.2. pagal kompetenciją techninėmis ir programinėmis priemonėmis užtikrina SVIS elektroninės informacijos konfidencialumą, vientisumą ir prieinamumą;
12.3. techninėmis ir programinėmis priemonėmis registruoja SVIS elektroninės informacijos saugos incidentus ir informuoja apie juos SVIS saugos įgaliotinį, teikia Informatikos ir ryšių departamento vadovui, kaip SVIS tvarkytojo vadovui, pasiūlymus dėl šių incidentų pasekmių pašalinimo;
12.5. atlieka įdiegtos SVIS rezervinio kopijavimo ir atkūrimo sistemos, darančios atsargines SVIS elektroninės informacijos kopijas bei jas archyvuojančios, priežiūrą, esant poreikiui iš duomenų atsarginių kopijų atkuria SVIS elektroninę informaciją;
12.6. vykdo SVIS sudedamųjų dalių (operacinių sistemų, duomenų bazių valdymo sistemų, taikomųjų programų sistemų, bylų serverių, kompiuterių tinklo programinės ir duomenų perdavimo įrangos) veikimo koordinavimą, nustato SVIS pažeidžiamas vietas;
12.7. ne rečiau kaip vieną kartą per metus ir (arba) po SVIS pokyčio patikrina (peržiūri) SVIS sąranką ir SVIS būsenos rodiklius;
13. Tvarkant SVIS elektroninę informaciją ir užtikrinant jos saugą, vadovaujamasi:
13.1. 2014 m. liepos 23 d. Europos Parlamento ir Tarybos reglamentu (ES) Nr. 910/2014 dėl elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų vidaus rinkoje, kuriuo panaikinama Direktyva 1999/93/EB;
13.6. Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų ypatingos svarbos informacinei infrastruktūrai ir valstybės informaciniams ištekliams, aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2016 m. balandžio 20 d. nutarimu Nr. 387 „Dėl Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų ypatingos svarbos informacinei infrastruktūrai ir valstybės informaciniams ištekliams, aprašo patvirtinimo“;
13.7. Techniniais valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimais, patvirtintais Lietuvos Respublikos vidaus reikalų ministro 2013 m. spalio 4 d. įsakymu Nr. 1V–832 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų patvirtinimo“;
13.8. Bendraisiais reikalavimais organizacinėms ir techninėms asmens duomenų saugumo priemonėms, patvirtintais Valstybinės duomenų apsaugos inspekcijos direktoriaus 2008 m. lapkričio 12 d. įsakymu Nr. 1T-71(1.12) „Dėl Bendrųjų reikalavimų organizacinėms ir techninėms asmens duomenų saugumo priemonėms patvirtinimo“ (toliau – Bendrieji reikalavimai saugumo priemonėms);
13.9. Lietuvos standartais LST ISO/IEC 27001:2013 „Informacijos technologija. Saugumo metodai. Informacijos saugumo valdymo sistemos. Reikalavimai“, LST ISO/IEC 27002:2014 „Informacijos technologija. Saugumo metodai. Informacijos saugumo kontrolės priemonių praktikos nuostatai“;
13.10. Informacinių technologijų saugos atitikties vertinimo metodika, patvirtinta Lietuvos Respublikos vidaus reikalų ministro 2004 m. gegužės 6 d. įsakymu Nr. 1V–156 „Dėl Informacinių technologijų saugos atitikties vertinimo metodikos patvirtinimo“;
13.11. SVIS valdytojo tvirtinamomis Sertifikatų valdymo informacinės sistemos saugaus elektroninės informacijos tvarkymo taisyklėmis, Sertifikatų valdymo informacinės sistemos veiklos tęstinumo valdymo planu ir Sertifikatų valdymo informacinės sistemos naudotojų administravimo taisyklėmis;
II SKYRIUS
ELEKTRONINĖS INFORMACIJOS SAUGOS VALDYMAS
14. Vadovaujantis Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“ (toliau – Klasifikavimo gairių aprašas), 8.1 ir 8.2 papunkčiais, SVIS tvarkoma elektroninė informacija priskiriama svarbios elektroninės informacijos kategorijai.
15. Vadovaujantis Klasifikavimo gairių aprašo 12.2 papunkčio nuostatomis ir atsižvelgiant į apdorojamos informacijos svarbą, SVIS priskiriama antrosios kategorijos informacinėms sistemoms.
16. Vadovaujantis Bendrųjų reikalavimų saugumo priemonėms 11.2 papunkčiu, SVIS organizacinės ir techninės asmens duomenų saugumo priemonės turi užtikrinti pirmą automatiniu būdu tvarkomų asmens duomenų saugumo lygį.
17. SVIS saugos įgaliotinis kasmet organizuoja SVIS informacinių technologijų saugos reikalavimų atitikties vertinimą, kurio metu:
17.2. inventorizuojama SVIS techninė įranga ir patikrinamos visose SVIS tarnybinėse stotyse įdiegtos programos ir jų sąranka;
18. Atlikus SVIS informacinių technologijų saugos reikalavimų atitikties vertinimą SVIS saugos įgaliotinis rengia informacinių technologijų saugos atitikties vertinimo ataskaitą ir pastebėtų trūkumų šalinimo planą, kurį tvirtina, atsakingus vykdytojus paskiria ir įgyvendinimo terminus nustato SVIS valdytojo vadovas.
19. SVIS saugos įgaliotinis, atsižvelgdamas į Vidaus reikalų ministerijos išleistą metodinę priemonę „Rizikos analizės vadovas“, Lietuvos ir tarptautinius „Informacijos technologija. Saugumo metodai“ grupės standartus, ne rečiau kaip kartą per metus organizuoja SVIS rizikos įvertinimą.
20. SVIS rizikos įvertinimas išdėstomas SVIS rizikos įvertinimo ataskaitoje. Ši ataskaita rengiama atsižvelgiant į Bendrųjų elektroninės informacijos saugos reikalavimų aprašo 36 punkte nustatytus rizikos veiksnius.
21. Atsižvelgdamas į SVIS rizikos įvertinimo ataskaitą, SVIS valdytojas prireikus tvirtina SVIS rizikos įvertinimo ir rizikos valdymo priemonių planą, kuriame numatomos SVIS rizikos valdymo priemonės bei techninių, administracinių ir kitų išteklių poreikis joms įgyvendinti, bei paskiria šių priemonių atsakingus vykdytojus ir nustato šių priemonių įgyvendinimo terminus.
22. SVIS saugos nuostatų 23 punkte nurodytais, o prireikus ir kitais atvejais SVIS saugos įgaliotinis gali organizuoti neeilinį SVIS rizikos įvertinimą.
23. Neeilinis SVIS rizikos įvertinimas organizuojamas, kai:
III SKYRIUS
ORGANIZACINIAI IR TECHNINIAI REIKALAVIMAI
25. Programinės įrangos, skirtos apsaugoti SVIS nuo kenksmingos programinės įrangos (virusų, šnipinėjimui skirtos programinės įrangos ir panašiai), naudojimo nuostatos ir jos atnaujinimo reikalavimai:
25.1. SVIS tarnybinėse stotyse ir kompiuterizuotose darbo vietose naudojamos centralizuotai valdomos kenksmingos programinės įrangos aptikimo priemonės, nuolat ieškančios ir blokuojančios kenksmingą programinę įrangą (virusų, šnipinėjimo programinę įrangą ir kt.), kurios reguliariai atnaujinamos automatiniu būdu ne rečiau kaip kartą per 24 valandas;
26. Programinės įrangos, įdiegtos kompiuteriuose ir serveriuose, naudojimo nuostatos:
27. SVIS neturi veikti programinė įranga, kuri nėra susijusi su SVIS elektroninės informacijos tvarkymu.
28. SVIS sąveikos su registrais saugumui užtikrinti naudojamas Vidaus reikalų telekomunikacinis tinklas.
29. SVIS tarnybinės stotys nuo išorinio tinklo yra atskirtos aparatinėmis tinklo užkardomis, kurias administruoja ir prižiūri SVIS administratorius.
30. Jeigu SVIS administravimui yra reikalinga naudoti nešiojamą kompiuterinę įrangą (nešiojamus kompiuterius, išorines duomenų laikmenas ir pan.), tokią įrangą leidžiama laikyti tik institucijos, kuriai pavesta vykdyti SVIS techninės ir programinės įrangos priežiūrą, patalpose ir naudoti tik SVIS administravimo tikslu.
31. SVIS atsarginės elektroninės informacijos kopijos daromos esant aktyviai SVIS duomenų bazei (SVIS naudotojų prisijungimas prie SVIS duomenų bazės yra leidžiamas) automatiniu būdu SVIS administratoriaus nustatytu laiku.
32. Siekiant išvengti SVIS atsarginių elektroninės informacijos kopijų neteisėto panaudojimo, SVIS atsarginės elektroninės informacijos kopijos šifruojamos arba naudojamos kitos ekvivalenčios apsaugos priemonės.
33. SVIS elektroninės informacijos atkūrimo išbandymą bent kartą per metus atlieka SVIS administratorius. Šio bandymo metu SVIS elektroninė informacija atkuriama taip, kaip ji būtų atkuriama tuo atveju, jei būtų netikėtai prarasta. Bandymo metu atkurta SVIS elektroninė informacija patikrinama ir įvertinama, siekiant įsitikinti, kad bandymas buvo užbaigtas ir sėkmingas.
34. Išorės naudotojams SVIS teikia tik viešą SVIS tvarkomą informaciją. Atsakymų į automatizuotas sertifikatų galiojimo užklausas vientisumą užtikrina atsakymuose naudojamas elektroninis parašas. Iš SVIS duomenų teikėjų ir SVIS duomenų šaltinių gaunamų duomenų vientisumas užtikrinamas naudojant viešojo rakto infrastruktūros priemones, kurios leidžia autentifikuoti SVIS gaunamus duomenis teikiančias kitų informacinių sistemų tarnybines stotis.
35. SVIS naudotojai, pastebėję SVIS saugos dokumentų reikalavimų pažeidimus, neveikiančias arba netinkamai veikiančias SVIS elektroninės informacijos saugos užtikrinimo priemones, ar nusikalstamos veikos požymių, privalo nedelsdami apie tai telefonu ar elektroniniu paštu pranešti SVIS administratoriui, SVIS saugos įgaliotiniui.
IV SKYRIUS
REIKALAVIMAI PERSONALUI
36. SVIS naudotojai privalo išmanyti Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymą ir kitus teisės aktus, reglamentuojančius asmens duomenų tvarkymą, būti susipažinę su saugų SVIS elektroninės informacijos tvarkymą reglamentuojančiais teisės aktais.
37. SVIS saugos įgaliotiniu skiriamas valstybės tarnautojas ar darbuotojas, dirbantis pagal darbo sutartį, išmanantis elektroninės informacijos saugos užtikrinimo principus.
38. SVIS saugos įgaliotiniu negali būti skiriamas asmuo, turintis neišnykusį ar nepanaikintą teistumą už nusikaltimą elektroninių duomenų ir informacinių sistemų saugumui, taip pat paskirtą administracinę nuobaudą už neteisėtą asmens duomenų tvarkymą ir privatumo apsaugos pažeidimą elektroninių ryšių srityje, elektroninių ryšių išteklių naudojimo ir skyrimo taisyklių pažeidimą, elektroninių ryšių tinklo gadinimą ar savavališką prisijungimą prie tinklo arba galinių įrenginių, kurie trukdo elektroninių ryšių tinklo darbui, savavališką prisijungimą arba elektroninių ryšių infrastruktūros įrengimo, naudojimo ir apsaugos sąlygų ir taisyklių pažeidimą, jeigu nuo jos paskyrimo praėję mažiau kaip vieneri metai.
39. SVIS administratoriumi gali būti skiriamas valstybės tarnautojas ar darbuotojas, dirbantis pagal darbo sutartį, išmanantis pagrindinius elektroninės informacijos saugos užtikrinimo principus, turintis darbo su kompiuterių tinklais, sisteminių programinių priemonių administravimo ir priežiūros patirties, mokantis administruoti ir prižiūrėti duomenų bazes.
40. SVIS administratorius privalo sugebėti užtikrinti techninės ir programinės įrangos nepertraukiamą funkcionavimą, stebėti techninės ir programinės įrangos veikimą, atlikti techninės ir programinės įrangos profilaktinę priežiūrą, trikdžių diagnostiką ir šalinimą.
V SKYRIUS
SVIS NAUDOTOJŲ SUPAŽINDINIMO SU SAUGOS DOKUMENTAIS PRINCIPAI
42. Tvarkyti SVIS elektroninę informaciją gali tik SVIS naudotojai, susipažinę su SVIS saugos dokumentais, kitais teisės aktais, kuriais vadovaujamasi tvarkant SVIS elektroninę informaciją, užtikrinant jos saugą ir atsakomybe už SVIS saugos dokumentų nuostatų pažeidimus ir raštu sutikę laikytis nurodytų dokumentų reikalavimų.
43. SVIS naudotojus su SVIS saugos dokumentais, kitais teisės aktais, kuriais vadovaujamasi tvarkant SVIS elektroninę informaciją, užtikrinant jos saugą bei atsakomybe už jų nuostatų pažeidimus supažindina SVIS saugos įgaliotinis. Pakartotinis supažindinimas yra vykdomas pasikeitus minėtiems dokumentams ir teisės aktams.
Priedo pakeitimai:
Nr. 1V-74, 2017-01-25, paskelbta TAR 2017-01-25, i. k. 2017-01404
Pakeitimai:
1.
Lietuvos Respublikos vidaus reikalų ministerija, Įsakymas
Nr. 1V-74, 2017-01-25, paskelbta TAR 2017-01-25, i. k. 2017-01404
Dėl Lietuvos Respublikos vidaus reikalų ministro 2011 m. rugsėjo 19 d. įsakymo Nr. 1V-698 „Dėl Sertifikatų valdymo informacinės sistemos duomenų saugos nuostatų patvirtinimo“ pakeitimo