PRIEŠGAISRINĖS APSAUGOS IR GELBĖJIMO DEPARTAMENTO

PRIE VIDAUS REIKALŲ MINISTERIJOS

DIREKTORIUS

Dėl GYVENTOJŲ PERSPĖJIMO IR INFORMAVIMO INFORMACINĖS SISTEMOS DUOMENŲ SAUGOS NUOSTATŲ PATVIRTINIMO

2016 m. sausio 27 d. Nr. 1-24

Vilnius

Vadovaudamasis Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo patvirtinimo“, 7 punktu:

1. T v i r t i n u Gyventojų perspėjimo ir informavimo informacinės sistemos duomenų saugos nuostatus (pridedama);

2. P r i p a ž į s t u netekusiu galios Priešgaisrinės apsaugos ir gelbėjimo departamento prie Vidaus reikalų ministerijos direktoriaus 2011 m. gruodžio 5 d. įsakymo Nr. 1-342 „Dėl Gyventojų perspėjimo ir informavimo informacinės sistemos nuostatų ir Gyventojų perspėjimo ir informavimo informacinės sistemos duomenų saugos nuostatų patvirtinimo“ 1.2 papunktį;

3. P a v e d u Priešgaisrinės apsaugos ir gelbėjimo departamento prie Vidaus reikalų ministerijos Civilinės saugos valdybos viršininkui Jūriui Targonskui kontroliuoti šio įsakymo vykdymą.

Direktorius

vidaus tarnybos generolas                                                                               Remigijus Baniulis

SUDERINTA

Lietuvos Respublikos

vidaus reikalų ministerijos

Viešojo valdymo politikos

departamento

2016 m. sausio 13 d.

raštu Nr. 31D-18

PATVIRTINTA

Priešgaisrinės apsaugos ir gelbėjimo

departamento prie Vidaus reikalų

ministerijos direktoriaus

2016 m. sausio 27 d.

įsakymu Nr. 1-24

GYVENTOJŲ PERSPĖJIMO IR INFORMAVIMO INFORMACINĖS SISTEMOS DUOMENŲ SAUGOS NUOSTATAI

I SKYRIUS

BENDROSIOS NUOSTATOS

1. Gyventojų perspėjimo ir informavimo informacinės sistemos duomenų saugos nuostatai (toliau – Saugos nuostatai) nustato principus ir reikalavimus, užtikrinančias saugų ir teisėtą Gyventojų perspėjimo ir informavimo informacinės sistemos (toliau – GPIIS) elektroninės informacijos tvarkymą.

2. Saugos nuostatuose vartojamos sąvokos atitinka sąvokas, vartojamas 13 punkte išvardytuose teisės aktuose.

3. Saugos nuostatų tikslas – sudaryti sąlygas saugiai tvarkyti GPIIS elektroninę informaciją.

4. Saugos nuostatai yra privalomi GPIIS valdytojui, GPIIS tvarkytojams, GPIIS saugos įgaliotiniui (toliau – saugos įgaliotinis), GPIIS administratoriams (toliau – administratoriai), GPIIS naudotojams (toliau – naudotojai).

5. Priešgaisrinės apsaugos ir gelbėjimo departamentas prie Vidaus reikalų ministerijos (toliau – departamentas) (Švitrigailos g. 18, Vilnius) yra GPIIS valdytojas, kuris kartu atlieka ir GPIIS tvarkytojo funkcijas.

6. Kiti GPIIS tvarkytojai:

6.1. Bendrasis pagalbos centras (Petro Vileišio g. 20A, LT-10302 Vilnius);

6.2. apskričių priešgaisrinės gelbėjimo valdybos (toliau – APGV), kurių adresai pateikiami 1 lentelėje:

1 lentelė

Eil. Nr.	APGV	Adresas
1.	Vilniaus  APGV	Pamėnkalnio g. 30, 01114 Vilnius
2.	Kauno  APGV	Nemuno g. 2-1, 44296 Kaunas
3.	Klaipėdos  APGV	Trilapio g. 12, 92191 Klaipėda
4.	Šiaulių  APGV	J. Basanavičiaus g. 89, 76001 Šiauliai
5.	Panevėžio  APGV	Ramygalos g. 14, 36231 Panevėžys
6.	Marijampolės  APGV	Stoties g. 59, 68230 Marijampolė
7.	Tauragės  APGV	Respublikos g. 1, 72252 Tauragė
8.	Telšių  APGV	Žemaitės g. 22A, 87133 Telšiai
9.	Utenos  APGV	Pramonės g. 2, 28216 Utena
10.	Alytaus  APGV	Suvalkų g. 34, 62121 Alytus

6.3. savivaldybių administracijos, kurių adresai pateikiami 2 lentelėje:

2 lentelė

Eil. Nr.	Savivaldybių administracija	Adresas
1.	Akmenės rajono savivaldybės administracija	L. Petravičiaus a. 2, 85132 Akmenė
2.	Alytaus miesto savivaldybės administracija	Rotušės a. 4, 62504 Alytus
3.	Alytaus rajono savivaldybės administracija	Pulko g. 21, 62133 Alytus
4.	Anykščių rajono savivaldybės administracija	J. Biliūno g. 23, 29111 Anykščiai
5.	Birštono savivaldybės administracija	Jaunimo g. 2, 59209 Birštonas
6.	Biržų rajono savivaldybės administracija	Vytauto g. 38, 41148 Biržai
7.	Druskininkų savivaldybės administracija	Vilniaus al. 18, 66119 Druskininkai
8.	Elektrėnų savivaldybės administracija	Elektrinės g. 8, 26108 Elektrėnai
9.	Ignalinos rajono savivaldybės administracija	Laisvės a. 70, 30122 Ignalina
10.	Jonavos rajono savivaldybės administracija	Žeimių g.13, 55158 Jonava
11.	Joniškio rajono savivaldybės administracija	Livonijos g. 4, 84166 Joniškis
12.	Jurbarko rajono savivaldybės administracija	Dariaus ir Girėno g. 96, 74187 Jurbarkas
13.	Kaišiadorių rajono savivaldybės administracija	Bažnyčios g. 4, 56121 Kaišiadorys
14.	Kalvarijos savivaldybės administracija	Laisvės  g. 2, 69214 Kalvarija
15.	Kauno miesto savivaldybės administracija	Laisvės al. 96, 44251 Kaunas
16.	Kauno rajono savivaldybės administracija	Savanorių pr. 371, 49500 Kaunas
17.	Kazlų Rūdos savivaldybės administracija	Atgimimo  g. 12, 69443 Kazlų Rūda
18.	Kėdainių rajono savivaldybės administracija	J. Basanavičiaus g. 36, 57288 Kėdainiai
19.	Kelmės rajono savivaldybės administracija	Vytauto Didžiojo g. 58, 86143 Kelmė
20.	Klaipėdos miesto savivaldybės administracija	Liepų  g. 11, 91502 Klaipėda
21.	Klaipėdos rajono savivaldybės administracija	Klaipėdos g. 2, 96130 Gargždai
22.	Kretingos rajono savivaldybės administracija	Savanorių g. 29A, 97111 Kretinga
23.	Kupiškio rajono savivaldybės administracija	Vytauto g. 2, 40115 Kupiškis
24.	Lazdijų rajono savivaldybės administracija	Vilniaus g. 1, 67106 Lazdijai
25.	Marijampolės savivaldybės administracija	J. Basanavičiaus a. 1, 68307 Marijampolė
26.	Mažeikių rajono savivaldybės administracija	Laisvės g. 8/1, 89223 Mažeikiai
27.	Molėtų rajono savivaldybės administracija	Vilniaus g. 44, 33140 Molėtai
28.	Neringos savivaldybės administracija	Taikos g. 2, 93121 Neringa
29.	Pagėgių savivaldybės administracija	Vilniaus g. 9, 99288 Pagėgiai
30.	Pakruojo rajono savivaldybės administracija	Kęstučio g. 4, 83152 Pakruojis
31.	Palangos miesto savivaldybės administracija	Vytauto g. 73, 00134 Palanga
32.	Panevėžio miesto savivaldybės administracija	Laisvės a. 20, 35200 Panevėžys
33.	Panevėžio rajono savivaldybės administracija	Vasario 16-osios g. 27, 35185 Panevėžys
34.	Pasvalio rajono savivaldybės administracija	Vytauto Didžiojo a. 1, 39143 Pasvalys
35.	Plungės rajono savivaldybės administracija	Vytauto g. 12, 90123 Plungė
36.	Prienų rajono savivaldybės administracija	Laisvės a. 12, 59126 Prienai
37.	Radviliškio rajono savivaldybės administracija	Aušros a. 10, 82001 Radviliškis
38.	Raseinių rajono savivaldybės administracija	V. Kudirkos g. 5, 60150 Raseiniai
39.	Rietavo savivaldybės administracija	Laisvės a. 3, 90316 Rietavas
40.	Rokiškio rajono savivaldybės administracija	Respublikos g. 94, 42136 Rokiškis
41.	Skuodo rajono savivaldybės administracija	Vilniaus g. 13, 98112 Skuodas
42.	Šakių rajono savivaldybės administracija	Bažnyčios g. 4, 71120 Šakiai
43.	Šalčininkų rajono savivaldybės administracija	Vilniaus g. 49, 17116 Šalčininkai
44.	Šiaulių miesto savivaldybės administracija	Vasario 16-osios  g. 62, 76295 Šiauliai
45.	Šiaulių rajono savivaldybės administracija	Vilniaus g. 263, 76337 Šiauliai
46.	Šilalės rajono savivaldybės administracija	J. Basanavičiaus g. 2/1, 75136 Šilalė
47.	Šilutės rajono savivaldybės administracija	Dariaus ir Girėno g. 1, 99133 Šilutė
48.	Širvintų rajono savivaldybės administracija	Vilniaus g. 61, 19120 Širvintos
49.	Švenčionių rajono savivaldybės administracija	Vilniaus g. 19, 18116 Švenčionys
50.	Tauragės rajono savivaldybės administracija	Respublikos g. 2, 72255 Tauragė
51.	Telšių rajono savivaldybės administracija	Žemaitės g. 14, 87133 Telšiai
52.	Trakų rajono savivaldybės administracija	Vytauto g. 33, 21106 Trakai
53.	Ukmergės rajono savivaldybės administracija	Kęstučio a. 3, 20114 Ukmergė
54.	Utenos rajono savivaldybės administracija	Utenio a. 4, 28503 Utena
55.	Varėnos rajono savivaldybės administracija	Vytauto g. 12, 65184  Varėna
56.	Vilkaviškio rajono savivaldybės administracija	S. Nėries g. 1, 70147  Vilkaviškis
57.	Vilniaus miesto savivaldybės administracija	Konstitucijos pr. 3, 09601  Vilnius
58.	Vilniaus rajono savivaldybės administracija	Rinktinės g. 50, 09318 Vilnius
59.	Visagino savivaldybės administracija	Parko g. 14, 31139  Visaginas
60.	Zarasų rajono savivaldybės administracija	Sėlių a. 22, 32110 Zarasai

7. Pagrindinės GPIIS elektroninės informacijos saugos užtikrinimo kryptys:

7.1. fizinė elektroninės informacijos apdorojimo priemonių (GPIIS patalpos, tarnybinės stotys, elektroninės informacijos perdavimo įranga, programinė įranga) apsauga;

7.2. organizacinių saugaus darbo su elektronine informacija priemonių įgyvendinimas ir kontrolė (departamento ir kitų GPIIS tvarkytojų teisių, įpareigojimų, atsakomybės ribų nustatymas; GPIIS elektroninės informacijos saugojimo, tvarkymo ir administravimo tvarkos nustatymas).

8. GPIIS valdytojo funkcijos ir atsakomybė:

8.1. rengia ir priima teisės aktus, susijusius su GPIIS duomenų sauga;

8.2. atsako už GPIIS duomenų saugą ir GPIIS duomenų tvarkymo teisėtumą, atlieka GPIIS duomenų saugos reikalavimų laikymosi priežiūrą;

8.3. departamento direktoriaus įsakymu skiria duomenų valdymo įgaliotinį, saugos įgaliotinį, nustato administratorių skaičių ir priskiria administratoriams 12 punkte nustatytas funkcijas;

8.4. rengia ir įgyvendina GPIIS techninių ir programinių priemonių kūrimo ir plėtros planus, investicinius projektus.

9. GPIIS tvarkytojo funkcijos ir atsakomybė:

9.1. atsako už GPIIS duomenų saugos priemonių įgyvendinimo atitiktį Saugos nuostatams ir saugos politiką įgyvendinantiems dokumentams;

9.2. užtikrina, kad naudotojai laikytųsi reikalavimų, išvardytų Saugos nuostatuose ir  saugos politiką įgyvendinančiuose dokumentuose;

9.3. GPIIS tvarkytojo vadovo įsakymu skiria administratorius.

10. Duomenų valdymo įgaliotinio funkcijos vykdomos, kaip yra nustatyta Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme.

11. Saugos įgaliotinis, koordinuodamas ir prižiūrėdamas saugos politikos įgyvendinimą GPIIS, atlieka šias funkcijas:

11.1. teikia departamento direktoriui pasiūlymus dėl:

11.1.1. administratorių paskyrimo ir reikalavimų administratoriams nustatymo (saugos įgaliotinis negali atlikti administratoriaus funkcijų);

11.1.2. GPIIS informacinių technologijų (toliau – IT) saugos atitikties vertinimo atlikimo vidaus reikalų ministro nustatyta tvarka;

11.1.3. saugos dokumentų priėmimo, keitimo;

11.2. koordinuoja elektroninės informacijos saugos incidentų, įvykusių GPIIS, tyrimą ir bendradarbiauja su kompetentingomis institucijomis, tiriančiomis elektroninių ryšių tinklų, informacijos saugumo incidentus, neteisėtas veikas, susijusias su elektroninės informacijos saugos incidentais, išskyrus tuos atvejus, kai šią funkciją atlieka elektroninės informacijos saugos darbo grupės;

11.3. teikia administratoriams ir naudotojams privalomus vykdyti nurodymus ir pavedimus, susijusius su saugos politikos įgyvendinimu. Turi teisę pagal savo įgaliojimus duoti privalomus vykdyti nurodymus ir pavedimus ir kitiems GPIIS tvarkytojo darbuotojams, jei tai būtina saugos politikai įgyvendinti;

11.4. organizuoja rizikos įvertinimą;

11.5. periodiškai organizuoja administratorių, naudotojų mokymą elektroninės informacijos saugos klausimais, informuoja juos apie elektroninės informacijos saugos problemas;

11.6. organizuoja administratorių, naudotojų supažindinimą su Saugos nuostatais, saugos politiką įgyvendinančiais dokumentais ir atsakomybe už šiuose dokumentuose nustatytų reikalavimų nesilaikymą;

11.7. organizuoja GPIIS IT saugos atitikties vertinimą;

11.8. atlieka kitas teisės aktuose nustatytas ir Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo patvirtinimo“ (toliau – Bendrųjų elektroninės informacijos saugos reikalavimų aprašas), jam priskirtas funkcijas.

12. Administratoriai:

12.1. atlieka funkcijas, susijusias su naudotojų teisių valdymu;

12.2. atlieka GPIIS sudarančių komponentų (kompiuterių, operacinių sistemų, duomenų bazių valdymo sistemų, taikomųjų programų sistemų, ugniasienių, įsilaužimų aptikimo sistemų, elektroninės informacijos perdavimo tinklų, bylų serverių ir kitų) administravimą, šių GPIIS komponentų sąrankos ir GPIIS būsenos rodiklių kontrolę, GPIIS pažeidžiamų vietų ir saugumo reikalavimų atitikties nustatymą ir stebėseną;

12.3. reaguoja į elektroninės informacijos saugos incidentus;

12.4. rengia ir teikia departamento direktoriui pasiūlymus dėl GPIIS tobulinimo, palaikymo, priežiūros ir elektroninės informacijos saugos;

12.5. vykdo visus saugos įgaliotinio nurodymus ir pavedimus, susijusius su GPIIS duomenų saugos užtikrinimu, nuolat teikia saugos įgaliotiniui informaciją apie saugą užtikrinančių pagrindinių komponentų būklę.

13. Elektroninės informacijos sauga GPIIS užtikrinama vadovaujantis:

13.1. Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu;

13.2. Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymu;

13.3. Lietuvos Respublikos kibernetinės saugos įstatymu;

13.4. Bendrųjų elektroninės informacijos saugos reikalavimų aprašu;

13.5. Saugos dokumentų turinio gairių aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo patvirtinimo“;

13.6. Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo patvirtinimo“ (toliau – Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašas);

13.7. Techniniais valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimais, patvirtintais Lietuvos Respublikos vidaus reikalų ministro 2013 m. spalio 4 d. įsakymu Nr. IV-832 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų patvirtinimo“ (toliau – Techniniai elektroninės informacijos saugos reikalavimai);

13.8. Lietuvos standartais LST ISO/IEC 27002:2014 „Informacinės technologijos. Saugumo metodai. Informacijos saugumo kontrolės priemonių praktikos nuostatai“, LST ISO/IEC 27001:2013 „Informacinės technologijos. Saugumo metodai. Informacijos saugumo valdymo sistemos. Reikalavimai“, taip pat kitais Lietuvos ir tarptautiniais „Informacijos technologija. Saugumo metodai“ grupės standartais, apibūdinančiais saugų informacinės sistemos elektroninės informacijos tvarkymą;

13.9. Gyventojų perspėjimo ir informavimo informacinės sistemos nuostatais, patvirtintais Priešgaisrinės apsaugos ir gelbėjimo departamento prie Vidaus reikalų ministerijos direktoriaus 2011 m. gruodžio 5 d. įsakymu Nr. 1-342  „Dėl Gyventojų perspėjimo ir informavimo informacinės sistemos nuostatų ir Gyventojų perspėjimo ir informavimo informacinės sistemos duomenų saugos nuostatų patvirtinimo“ (toliau – GPIIS nuostatai);

13.10. Saugos nuostatais ir kitais teisės aktais, reglamentuojančiais duomenų tvarkymo teisėtumą, GPIIS valdytojo ir GPIIS tvarkytojų veiklą, elektroninės informacijos saugos valdymą.

II SKYRIUS

ELEKTRONINĖS INFORMACIJOS SAUGOS VALDYMAS

14. Duomenų konfidencialumo, vientisumo ir (ar) prieinamumo praradimas gali turėti neigiamą įtaką vienos institucijos veiklai, padaryti žalą vieno ar kelių fizinių ar juridinių asmenų teisėtiems interesams. Vadovaujantis Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo 4.3 papunkčiu, 4.3.1 ir 4.3.2 papunkčiais, GPIIS tvarkoma elektroninė informacija yra priskiriama žinybinės svarbos elektroninei informacijai.

15. Vadovaujantis Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo 5.3 papunkčiu, GPIIS priskiriama trečiai kategorijai.

16. Saugos įgaliotinis, atsižvelgdamas į Vidaus reikalų ministerijos išleistą metodinę priemonę „Rizikos analizės vadovas“, Lietuvos ir tarptautinius „Informacijos technologija. Saugumo technika“ grupės standartus, ne rečiau kaip kartą per metus organizuoja GPIIS rizikos įvertinimą. Prireikus saugos įgaliotinis gali organizuoti neeilinį rizikos įvertinimą. Departamento direktoriaus rašytiniu pavedimu GPIIS rizikos įvertinimą atlieka saugos įgaliotinis. GPIIS rizikos veiksnių vertinimas atliekamas kokybiniu rizikos vertinimo metodu.

17. GPIIS rizikos įvertinimas išdėstomas rizikos įvertinimo ataskaitoje, kuri pateikiama departamento direktoriui. Rizikos įvertinimo ataskaita rengiama įvertinant rizikos veiksnius, galinčius turėti įtakos GPIIS elektroninės informacijos saugai, jų galimą žalą, pasireiškimo tikimybę ir pobūdį, galimus rizikos valdymo būdus, rizikos priimtinumo kriterijus. Pagrindiniai rizikos veiksniai yra šie:

17.1. subjektyvūs netyčiniai (elektroninės informacijos tvarkymo klaidos ir apsirikimai, elektroninės informacijos ištrynimas, klaidingas elektroninės informacijos teikimas, fiziniai elektroninės IT sutrikimai, elektroninės informacijos perdavimo tinklais sutrikimai, programinės įrangos klaidos, netinkamas veikimas ir kita);

17.2. subjektyvūs tyčiniai (nesankcionuotas naudojimasis GPIIS elektroninei informacijai gauti, elektroninės informacijos pakeitimas ar sunaikinimas, IT duomenų perdavimo tinklais sutrikdymai, saugumo pažeidimai, vagystės ir kita);

17.3. veiksniai, nurodyti Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių, patvirtintų Lietuvos Respublikos Vyriausybės  1996 m. liepos
 15 d. nutarimu Nr. 840 „Dėl Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių patvirtinimo“, 3 punkte;

17.4. atsitiktinės subjektyvios aplinkybės (darbuotojų praradimas, audros, gaisrai, vandens poveikis, elektros instaliacijos gedimas ir kita).

18. Atsižvelgdamas į rizikos įvertinimo ataskaitą, departamento direktorius prireikus tvirtina rizikos įvertinimo ir rizikos valdymo priemonių planą, kuriame, be kita ko, numatomas techninių, administracinių ir kitų išteklių poreikis rizikos valdymo priemonėms įgyvendinti. Rizikos įvertinimo ataskaita, rizikos įvertinimo ir rizikos valdymo priemonių planas pateikiami Valstybės informacinių išteklių atitikties elektroninės informacijos saugos (kibernetinio saugumo) reikalavimams stebėsenos sistemai Bendrųjų elektroninės informacijos saugos reikalavimų apraše nustatyta tvarka.

19. Siekdamas užtikrinti Saugos nuostatuose ir saugos politiką įgyvendinančiuose dokumentuose nustatytų reikalavimų įgyvendinimo organizavimą ir kontrolę, saugos įgaliotinis ne rečiau kaip kartą per 2 metus organizuoja IT saugos atitikties vertinimą, kurio metu:

19.1. įvertinama Saugos nuostatų, saugos politiką įgyvendinančių dokumentų ir realios duomenų saugos situacijos atitiktis;

19.2. inventorizuojama techninė ir programinė GPIIS įranga;

19.3. tikrinama visose GPIIS tarnybinėse stotyse, administratorių ir ne mažiau kaip 10 procentų naudotojų kompiuterizuotose darbo vietose įdiegta programinė įranga ir jos sąranka;

19.4. peržiūrima administratoriams, naudotojams suteiktų teisių atitiktis jų atliekamoms funkcijoms;

19.5. įvertinamas pasirengimas užtikrinti GPIIS veiklos tęstinumą įvykus saugos incidentui.

20. Atlikus 19 punkte nurodytą IT saugos atitikties vertinimą, rengiama IT saugos atitikties vertinimo ataskaita, kuri pateikiama departamento direktoriui, ir pastebėtų trūkumų šalinimo planas, kurį tvirtina, atsakingus vykdytojus paskiria ir įgyvendinimo terminus nustato departamento direktorius. IT saugos atitikties vertinimo ataskaita, pastebėtų trūkumų šalinimo planas pateikiami Valstybės informacinių išteklių atitikties elektroninės informacijos saugos (kibernetinio saugumo) reikalavimams stebėsenos sistemai Bendrųjų elektroninės informacijos saugos reikalavimų apraše nustatyta tvarka.

21. Kad būtų užtikrintas GPIIS veiklos tęstinumas, patiriant kuo mažiau išlaidų, saugus naudotojų darbas, parenkamos atitinkamos techninės, programinės ir organizacinės elektroninės informacijos saugos priemonės.

22. Pagrindiniai GPIIS elektroninės informacijos saugos priemonių parinkimo principai yra šie:

22.1. liekamoji rizika turi būti sumažinta iki priimtino lygio;

22.2. informacijos saugos priemonių diegimo kaina turi atitikti saugomos informacijos vertę;

22.3. įdiegiamos prevencinės, detekcinės ir korekcinės elektroninės informacijos saugos priemonės.

III SKYRIUS

ORGANIZACINIAI IR TECHNINIAI REIKALAVIMAI

23. Programinės įrangos, skirtos GPIIS apsaugoti nuo kenksmingosios programinės įrangos (virusų, šnipinėjimo programinės įrangos ir pan.), naudojimo nuostatos ir jos atnaujinimo reikalavimai:

23.1. visose GPIIS tarnybinėse stotyse, administratorių, naudotojų kompiuterizuotose darbo vietose įdiegiamos centralizuotai valdomos ir atnaujinamos kenksmingosios programinės įrangos aptikimo, stebėjimo realiu laiku priemonės;

23.2. kenksmingosios programinės įrangos aptikimo priemonės automatiškai atnaujinamos ne rečiau kaip kartą per 24 valandas;

23.3. kenksmingosios programinės įrangos aptikimo priemonės automatiškai informuoja administratorius apie tai, kuriems GPIIS posistemiams, funkciškai savarankiškoms sudedamosioms dalims yra pradelstas kenksmingosios programinės įrangos aptikimo priemonių atsinaujinimo laikas, šios priemonės netinkamai funkcionuoja arba išjungtos;

23.4. kenksmingosios programinės įrangos aptikimo priemonių konfigūracija apsaugota slaptažodžiu;

23.5. GPIIS komponentai be kenksmingosios programinės įrangos aptikimo priemonių gali būti eksploatuojami, jei rizikos įvertinimo metu yra patvirtinama, kad šių komponentų rizika yra priimtina.

24. Programinės įrangos, įdiegtos tarnybinėse stotyse ir kompiuterizuotose darbo vietose, naudojimo nuostatos:

24.1. visose GPIIS tarnybinėse stotyse, administratorių, naudotojų kompiuterizuotose darbo vietose įdiegiama tik legali programinė įranga;

24.2. visose GPIIS tarnybinėse stotyse, administratorių, naudotojų kompiuterizuotose darbo vietose naudojama tik darbo funkcijoms atlikti reikalinga programinė įranga. Saugos įgaliotinis rengia, su departamento direktoriumi suderina ir ne rečiau kaip kartą per metus peržiūri, prireikus atnaujina leistinos programinės įrangos sąrašą;

24.3. operatyviai ištestuojami ir įdiegiami visų GPIIS tarnybinių stočių, administratorių, naudotojų darbo vietų kompiuterinės įrangos operacinės sistemos ir kitos naudojamos programinės įrangos gamintojų rekomenduojami atnaujinimai. Administratoriai reguliariai, ne rečiau kaip kartą per savaitę, įvertina informaciją apie GPIIS posistemiuose, funkciškai savarankiškose dalyse, administratorių, naudotojų darbo vietų kompiuterinėje įrangoje neįdiegtus rekomenduojamus gamintojų atnaujinimus ir susijusius su tuo saugos pažeidžiamumų svarbos lygius;

24.4. programinės įrangos diegimą, konfigūravimą ir šalinimą visose GPIIS tarnybinėse stotyse, administratorių ir naudotojų kompiuterizuotose darbo vietose atlieka tik administratorius arba kvalifikuoti paslaugų teikėjai dalyvaujant administratoriui. Kai GPIIS tvarkytojas neturi galimybės paskirti administratoriaus, programinės įrangos diegimą, konfigūravimą ir šalinimą atlieka GPIIS tvarkytojo kvalifikuotas atsakingas darbuotojas arba kvalifikuoti paslaugų teikėjai dalyvaujant GPIIS tvarkytojo kvalifikuotam atsakingam darbuotojui.

25. Kompiuterių tinklų filtravimo įrangos (užkardų, turinio kontrolės sistemų, įgaliotųjų serverių (angl. proxy) ir kita) pagrindinės naudojimo nuostatos:

25.1. kompiuterių tinklai, prie kurių prijungtos GPIIS tarnybinės stotys, nuo viešųjų ryšio tinklų ir lokalių kompiuterių tinklų atskirti užkardomis (angl. firewall) ir perkelti į demilitarizuotą zoną;

25.2. kompiuterių tinklai, prie kurių prijungtos administratorių ir naudotojų kompiuterizuotos darbo vietos, nuo viešojo interneto atskirti užkardomis ir įgaliotu serveriu (angl. proxy);

25.3. naudojama paslaugos trikdymo (angl. Denial of Service) ir paskirstytųjų paslaugos trikdymo (angl. Distributed Denial of Service) atakų prevencijai skirta įranga;

25.4. visas GPIIS duomenų srautas į viešuosius ryšio tinklus ir iš viešųjų ryšio tinklų filtruojamas naudojant apsaugą nuo virusų ir kitos kenksmingosios programinės įrangos;

25.5. GPIIS programinė įranga turi apsaugą nuo pagrindinių per tinklą vykdomų atakų: SQL įskverbties (angl. SQL injection), XSS (angl. Cross-site scriptingn), atkirtimo nuo paslaugos (angl. DOS), dedikuoto atkirtimo nuo paslaugos (angl. DDOS) ir kitų. Pagrindinių per tinklą vykdomų atakų sąrašas skelbiamas Atviro tinklo programų saugumo projekto (angl. The Open Web Application Security Project) interneto svetainėje www.owasp.org.

26. Stacionarūs ir nešiojamieji kompiuteriai naudojami tik su tiesioginių pareigų atlikimu susijusiai veiklai. Stacionarius kompiuterius leidžiama naudoti tik GPIIS valdytojo ir GPIIS tvarkytojų patalpose. Nešiojamiesiems kompiuteriams, kurie naudojami nustatytoms funkcijoms vykdyti ne GPIIS valdytojo ar GPIIS tvarkytojų patalpose, taikomos papildomos saugos priemonės:

26.1. elektroninė informacija kompiuteryje šifruojama;

26.2. tapatybė papildomai patvirtinama naudojant biometrinius parametrus;

26.3. naudojami rakinimo įrenginiai.

27. Metodai, kuriais leidžiama užtikrinti saugų elektroninės informacijos teikimą ir (ar) gavimą:

27.1. susijusiems registrams ir valstybės informacinėms sistemoms GPIIS duomenys perduodami, GPIIS duomenų gavėjams GPIIS duomenys teikiami ir (ar) gaunami, kaip yra nustatyta GPIIS nuostatuose;

27.2. GPIIS elektroninė informacija automatiniu būdu teikiama ir (ar) gaunama tik pagal duomenų teikimo sutartyse nustatytas specifikacijas ir sąlygas;

27.3. viešaisiais ryšių tinklais perduodamos GPIIS elektroninės informacijos konfidencialumas užtikrinamas naudojant šifravimą, virtualų privatų tinklą (angl. virtual private network), skirtines linijas, saugų valstybinį duomenų perdavimo tinklą ir kitas priemones;

27.4. prieiga prie GPIIS ribojama užkardomis;

27.5. GPIIS duomenys teikiami:

27.5.1. naudotojams duomenų perdavimo kanalu, naudojant saugaus hipertekstų persiuntimo protokolą (angl. Hyper Text Transfer Protocol Secure), kai jungiamasi prie GPIIS tekstinių pranešimų transliavimo (angl. Cell Broadcast) infrastruktūros portalo;

27.5.2. GPIIS paslaugos gavėjams vienkrypčiu viešojo judriojo telefono ryšio operatoriaus tinklo tekstinių pranešimų transliavimo kanalu, kuriuo pranešimai perduodami į paslaugos gavėjų judriojo telefono ryšio telefonus.

28. Atsarginių kopijų darymo ir atkūrimo reikalavimai:

28.1. elektroninės informacijos saugai užtikrinti daromos ir saugomos elektroninės informacijos atsarginės kopijos;

28.2. atsarginės kopijos daromos kiekvienos darbo dienos pabaigoje (toliau – dienos atsarginės kopijos), kiekvienos savaitės pabaigoje (toliau – savaitės atsarginės kopijos), kiekvieno mėnesio pabaigoje (toliau – mėnesio atsarginės kopijos) ir kiekvienų metų pabaigoje (toliau – metų atsarginės kopijos);

28.3. nurodoma kiekvienos atsarginės kopijos data ir laikas;

28.4. užtikrinta atsarginių kopijų kokybė;

28.5. metų atsarginės kopijos saugomos 5 metus nuo jų padarymo dienos;

28.6. mėnesio atsarginės kopijos saugomos vienus metus nuo jų padarymo dienos;

28.7. savaitės atsarginės kopijos saugomos savaitę nuo jų padarymo dienos;

28.8. dienos atsarginės kopijos saugomos savaitę nuo jų padarymo dienos;

28.9. atsarginės kopijos daromos automatiškai;

28.10. vieną kartą per 6 mėnesius atliekami elektroninės informacijos atkūrimo iš atsarginių kopijų bandymai;

28.11. administratoriai atsako už atsarginių GPIIS elektroninės informacijos kopijų darymą ir saugojimą. Kopijų, iš kurių būtų galima atkurti GPIIS elektroninę informaciją, darymo ir saugojimo tvarka išsamiai aprašyta Gyventojų perspėjimo ir informavimo informacinės sistemos saugaus elektroninės informacijos tvarkymo taisyklėse, patvirtintose Priešgaisrinės apsaugos ir gelbėjimo departamento prie Vidaus reikalų ministerijos direktoriaus 2012 m. rugsėjo 26 d. įsakymu Nr. 1-294  „Dėl Gyventojų perspėjimo ir informavimo informacinės sistemos saugaus elektroninės informacijos tvarkymo taisyklių, Gyventojų perspėjimo ir informavimo informacinės sistemos naudotojų administravimo taisyklių ir Gyventojų perspėjimo ir informavimo informacinės sistemos veiklos tęstinumo valdymo plano patvirtinimo“ (toliau – GPIIS saugaus elektroninės informacijos tvarkymo taisyklės).

29. GPIIS tarnybinės stotys ir aparatinė įranga yra specialiai įrengtose patalpose. Šių patalpų reikalavimai aprašyti GPIIS saugaus elektroninės informacijos tvarkymo taisyklėse.

30. Naudotojų ir administratorių veiksmų fiksavimas ir kaupimas, išsami prisijungimo prie GPIIS, darbo ir atsijungimo nuo GPIIS tvarka pateikta GPIIS saugaus elektroninės informacijos tvarkymo taisyklėse.

31. Gyventojų perspėjimo ir informavimo informacinės sistemos veiklos tęstinumo valdymo plane, patvirtintame Priešgaisrinės apsaugos ir gelbėjimo departamento prie Vidaus reikalų ministerijos direktoriaus 2012 m. rugsėjo 26 d. įsakymu Nr. 1-294  „Dėl Gyventojų perspėjimo ir informavimo informacinės sistemos saugaus elektroninės informacijos tvarkymo taisyklių, Gyventojų perspėjimo ir informavimo informacinės sistemos naudotojų administravimo taisyklių ir Gyventojų perspėjimo ir informavimo informacinės sistemos veiklos tęstinumo valdymo plano patvirtinimo“, aprašomas veiksmų planas, užtikrinantis GPIIS veiklos atnaujinimą ne ilgiau nei per 16 valandų.

IV SKYRIUS

REIKALAVIMAI PERSONALUI

32. Saugos įgaliotinis privalo išmanyti elektroninės informacijos saugos užtikrinimo principus, tobulinti kvalifikaciją elektroninės informacijos saugos srityje, savo darbe vadovautis Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Techninių elektroninės informacijos saugos reikalavimų, Informacinių technologijų saugos atitikties vertinimo metodikos, patvirtintos vidaus reikalų ministro 2004 m. gegužės 6 d. įsakymu Nr. 1V-156 „Dėl Informacinių technologijų saugos atitikties vertinimo metodikos patvirtinimo“, kitų Lietuvos Respublikos ir Europos Sąjungos teisės aktų nuostatomis.

33. Saugos įgaliotiniu negali būti skiriamas asmuo, turintis neišnykusį ar nepanaikintą teistumą už nusikaltimą elektroninių duomenų ir informacinių sistemų saugumui, taip pat paskirtą administracinę nuobaudą už neteisėtą asmens duomenų tvarkymą ir privatumo apsaugos pažeidimą elektroninių ryšių srityje, elektroninių ryšių išteklių naudojimo ir skyrimo taisyklių pažeidimą, elektroninių ryšių tinklo gadinimą ar savavališką prisijungimą prie tinklo arba galinių įrenginių, kurie trukdo elektroninių ryšių tinklo darbui, savavališką prisijungimą arba elektroninių ryšių infrastruktūros įrengimo, naudojimo ir apsaugos sąlygų ir taisyklių pažeidimą, jeigu nuo jos paskyrimo praėję mažiau kaip vieni metai.

34. Administratoriai privalo išmanyti informacijos saugos principus, darbą su kompiuteriais ir kita IT įranga, mokėti užtikrinti kompiuterių ir kitos IT įrangos saugą, taip pat administruoti ir prižiūrėti sisteminę ir taikomąją programinę įrangą, duomenų bazes, būti susipažinę su Saugos nuostatais ir saugos politiką įgyvendinančiais dokumentais, kitomis vidaus ir darbo saugos taisyklėmis.

35. Naudotojai privalo turėti pagrindinius darbo su kompiuteriu įgūdžius, mokėti tvarkyti GPIIS duomenis GPIIS nuostatų nustatyta tvarka ir būti susipažinę su Saugos nuostatais ir saugos politiką įgyvendinančiais dokumentais.

36. Saugos įgaliotinis elektroniniu paštu ir per GPIIS interneto svetainę informuoja naudotojus ir administratorius apie elektroninės informacijos saugos problemas.

37. Naudotojų ir administratorių mokymų kvalifikacijos tobulinimo ir duomenų saugos klausimais planavimo, organizavimo ir vykdymo tvarka išsamiai aprašyta Gyventojų perspėjimo ir informavimo informacinės sistemos naudotojų administravimo taisyklėse, patvirtintose Priešgaisrinės apsaugos ir gelbėjimo departamento prie Vidaus reikalų ministerijos direktoriaus 2012 m. rugsėjo 26 d. įsakymu Nr. 1-294  „Dėl Gyventojų perspėjimo ir informavimo informacinės sistemos saugaus elektroninės informacijos tvarkymo taisyklių, Gyventojų perspėjimo ir informavimo informacinės sistemos naudotojų administravimo taisyklių ir Gyventojų perspėjimo ir informavimo informacinės sistemos veiklos tęstinumo valdymo plano patvirtinimo (toliau – Gyventojų perspėjimo ir informavimo informacinės sistemos naudotojų administravimo taisyklės).

V SKYRIUS

NAUDOTOJŲ SUPAŽINDINIMO SU SAUGOS DOKUMENTAIS PRINCIPAI

38. Naudotojai turi būti susipažinę su Saugos nuostatais, saugos politiką įgyvendinančiais dokumentais, atsakomybe už šių dokumentų nuostatų pažeidimus ir sutikę laikytis šių dokumentų reikalavimų.

39. Už naudotojų supažindinimą su Saugos nuostatais ir saugos politiką įgyvendinančiais dokumentais atsako saugos įgaliotinis. Turi būti užtikrintas susipažinimo įrodomumas.

40. Išsami naudotojų supažindinimo su Saugos nuostatais ir saugos politiką įgyvendinančiais dokumentais, naudotojų registravimo ir administravimo tvarka aprašyta Gyventojų perspėjimo ir informavimo informacinės sistemos naudotojų administravimo taisyklėse.

41. Saugos nuostatai ir saugos politiką įgyvendinantys dokumentai skelbiami GPIIS tinklalapyje.

42. Naudotojai privalo saugoti duomenų ir informacijos paslaptį, įsipareigojimas saugoti paslaptį galioja ir nutraukus su elektroninės informacijos tvarkymu susijusią veiklą.

43. Naudotojai, pažeidę Saugos nuostatų ir saugos politiką įgyvendinančių dokumentų nuostatas, atsako įstatymų nustatyta tvarka.

__________________________