LIETUVOS RESPUBLIKOS
RYŠIŲ REGULIAVIMO TARNYBOS
DIREKTORIUS
ĮSAKYMAS
DĖL LIETUVOS RESPUBLIKOS RYŠIŲ REGULIAVIMO TARNYBOS DIREKTORIAUS 2011 M. GRUODŽIO 14 D. ĮSAKYMO NR. 1V-1287 „Dėl LIETUVOS RESPUBLIKOS RYŠIŲ REGULIAVIMO TARNYBOS INFORMACINĖS SISTEMOS DUOMENŲ SAUGOS NUOSTATŲ PATVIRTINIMO“ PAKEITIMO
2016 m. gegužės 20 d. Nr. 1V-594
Vilnius
1. Pakeičiu Lietuvos Respublikos ryšių reguliavimo tarnybos direktoriaus 2011 m. gruodžio 14 d. įsakymą Nr. 1V-1287 „Dėl Lietuvos Respublikos ryšių reguliavimo tarnybos informacinės sistemos duomenų saugos nuostatų patvirtinimo“ ir jį išdėstau nauja redakcija:
„LIETUVOS RESPUBLIKOS
RYŠIŲ REGULIAVIMO TARNYBOS
DIREKTORIUS
ĮSAKYMAS
Dėl LIETUVOS RESPUBLIKOS RYŠIŲ REGULIAVIMO TARNYBOS INFORMACINĖS SISTEMOS SAUGOS NUOSTATŲ PATVIRTINIMO
Vadovaudamasis Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo patvirtinimo“, 7.1 papunkčiu, 19 ir 26 punktais:
1. Tvirtinu Lietuvos Respublikos ryšių reguliavimo tarnybos informacinės sistemos saugos nuostatus (pridedama).
2. Skiriu:
2.1. Lietuvos Respublikos ryšių reguliavimo tarnybos Tinklų ir informacijos saugumo departamento Saugumo incidentų tyrimų skyriaus patarėją Sigitą Jurkevičių Lietuvos Respublikos ryšių reguliavimo tarnybos informacinės sistemos saugos įgaliotiniu;
3. Pavedu Lietuvos Respublikos ryšių reguliavimo tarnybos Administracinio departamento Informacinių technologijų skyriui per 4 mėnesius nuo šio įsakymo įsigaliojimo dienos parengti, suderinti su Lietuvos Respublikos vidaus reikalų ministerija ir pateikti tvirtinimui:
3.1. Lietuvos Respublikos ryšių reguliavimo tarnybos informacinės sistemos saugaus elektroninės informacijos tvarkymo taisykles;
3.2. Lietuvos Respublikos ryšių reguliavimo tarnybos informacinės sistemos veiklos tęstinumo valdymo planą;
PATVIRTINTA
Lietuvos Respublikos ryšių
reguliavimo tarnybos direktoriaus
2011 m. gruodžio 14 d.
įsakymu Nr. 1V-1287
(Lietuvos Respublikos ryšių
reguliavimo tarnybos direktoriaus
2016 m. gegužės 20 d.
įsakymo Nr. 1V- 594
redakcija)
LIETUVOS RESPUBLIKOS RYŠIŲ REGULIAVIMO TARNYBOS INFORMACINĖS
SISTEMOS SAUGOS NUOSTATAI
I skyrius
BendroSIOS NUOSTATOS
1. Lietuvos Respublikos ryšių reguliavimo tarnybos informacinės sistemos saugos nuostatai (toliau – Saugos nuostatai) reglamentuoja Lietuvos Respublikos ryšių reguliavimo tarnybos informacinės sistemos (toliau – IS) elektroninės informacijos saugos valdymą, organizacinius ir techninius reikalavimus, reikalavimus personalui ir IS naudotojų supažindinimo su saugos dokumentais principus.
2. Saugos nuostatų tikslas – sudaryti sąlygas saugiai tvarkyti elektroninę informaciją, užtikrinti elektroninės informacijos konfidencialumą, prieinamumą, vientisumą ir tinkamą kompiuterizuotų darbo vietų bei tinklo įrangos funkcionavimą. IS saugai užtikrinti kompleksiškai naudojamos administracinės, techninės ir programinės priemonės, padedančios įgyvendinti reagavimo, atsakomybės, elektroninės informacijos saugos suvokimo kėlimo, saugos priemonių projektavimo ir diegimo principus.
3. Saugos nuostatai apibrėžia IS elektroninės informacijos saugos politiką (toliau – IS saugos politika), kuri įgyvendinama pagal šiuos Lietuvos Respublikos ryšių reguliavimo tarnybos (toliau – Tarnyba) direktoriaus tvirtinamus teisės aktus (toliau – IS saugos politiką įgyvendinantys dokumentai):
4. Saugos nuostatuose vartojamos sąvokos apibrėžtos Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Bendrųjų elektroninės informacijos saugos reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo patvirtinimo“, (toliau – Bendrųjų elektroninės informacijos saugos reikalavimų aprašas), kituose teisės aktuose ir Lietuvos standartuose LST ISO/IEC 27002:2014 ir LST ISO/IEC 27001:2013.
5. Elektroninės informacijos saugumo užtikrinimo prioritetinės kryptys:
7. Tarnyba, kaip IS valdytoja ir IS tvarkytoja, atlieka šias funkcijas:
7.1. atsako už IS ir elektroninės informacijos saugą ir elektroninės informacijos tvarkymo teisėtumą;
7.3. rengia, tvirtina teisės aktus, susijusius su IS elektroninės informacijos tvarkymu bei IS sauga, ir prižiūri, kaip jų laikomasi;
8. Saugos įgaliotinis, koordinuodamas ir prižiūrėdamas IS saugos politikos įgyvendinimą, atlieka šias funkcijas:
8.1. teikia Tarnybos direktoriui pasiūlymus dėl administratoriaus paskyrimo, IS saugos politiką įgyvendinančių dokumentų priėmimo, keitimo ar panaikinimo, Tarnybos informacinių technologijų saugos atitikties vertinimo Bendrųjų elektroninės informacijos saugos reikalavimų aprašo 43 punkte nurodytoje metodikoje nustatyta tvarka;
8.2. koordinuoja elektroninės informacijos saugos incidentų, įvykusių IS, tyrimą ir bendradarbiauja su kompetentingomis institucijomis, tiriančiomis saugumo incidentus, neteisėtas veikas, susijusias su elektroninės informacijos saugos incidentais;
8.3. teikia administratoriui ir IS naudotojams privalomus vykdyti nurodymus ir pavedimus, susijusius su IS saugos politikos įgyvendinimu;
8.5. periodiškai inicijuoja IS naudotojų mokymus elektroninės informacijos saugos klausimais, įvairiais būdais informuoja juos apie elektroninės informacijos saugos problematiką;
10. Administratorius atlieka šias funkcijas:
10.2. užtikrina IS veikimą užtikrinančių serverių ir duomenų bazių tinkamą funkcionavimą, pažeidžiamų vietų nustatymą, saugos priemonių parinkimą ir jų atitiktį IS saugos politiką įgyvendinančių dokumentų reikalavimams;
10.3. diegia programinės įrangos atnaujinimus į serverius ir duomenų bazes, pagal poreikį nustato automatinio atnaujinimo procedūras;
10.4. ne rečiau kaip kartą per šešis mėnesius tikrina atsarginių elektroninės informacijos kopijų atitiktį originalams ir ne rečiau kaip kartą per šešis mėnesius atlieka elektroninės informacijos atkūrimo iš atsarginių kopijų bandymus;
10.5. seka pranešimus apie serverių operacinių sistemų bei duomenų bazių valdymo sistemų klaidas, informuoja saugos įgaliotinį apie pažeidžiamas IS vietas ir imasi visų būtinų priemonių galimiems gedimams išvengti;
10.7. jeigu administruojamas ne Tarnybos patalpose esantis serveris ir nustatomas jo veikimo sutrikimas, kurio negalima pašalinti nuotolinėmis priemonėmis, susisiekia su asmenimis, įgaliotais atlikti techninę ne Tarnybos patalpose esančio serverio priežiūrą, ir prižiūri tokių sutrikimų šalinimą;
10.8. rengia ir teikia saugos įgaliotiniui ir Tarnybos Administracinio departamento Informacinių technologijų skyriaus (toliau – IT skyrius) vedėjui pasiūlymus dėl IS kūrimo, palaikymo, priežiūros, techninės ir programinės įrangos modernizavimo ir saugos užtikrinimo;
10.9. informuoja saugos įgaliotinį apie IS saugos politiką įgyvendinančių dokumentų pažeidimus, neveikiančias ar netinkamai veikiančias saugos užtikrinimo priemones;
10.10. užtikrina visų prisijungimo prie IS vardų ir slaptažodžių apsaugą, taip pat saugo seife visus jam žinomus Tarnybos serverių, duomenų bazių, programinės įrangos prisijungimo vardus ir slaptažodžius IT skyriaus vedėjo užantspauduotame ir pasirašytame voke;
10.11. imasi visų reikalingų organizacinių bei techninių priemonių, skirtų IS naudotojų duomenims, kitiems IS duomenims apsaugoti nuo atsitiktinio ar neteisėto sunaikinimo, pakeitimo, atskleidimo, taip pat nuo bet kokio kito neteisėto tvarkymo;
10.12. atlieka būtinus IS techninės ir programinės įrangos priežiūros, diegimo ir atnaujinimo darbus, taip pat smulkius techninės įrangos modernizavimo darbus, jei tokia galimybė numatyta techninės įrangos gamintojo;
10.14. vykdo saugos įgaliotinio nurodymus ir pavedimus, susijusius su elektroninės informacijos saugos užtikrinimu;
11. Tvarkant elektroninę informaciją ir užtikrinant jos saugumą vadovaujamasi:
11.4. Saugos dokumentų turinio gairių aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo patvirtinimo“;
11.5. Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo patvirtinimo“, (toliau – Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašas);
11.6. Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimais, patvirtintais Lietuvos Respublikos vidaus reikalų ministro 2013 m. spalio 4 d. įsakymu Nr. 1V-832 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų patvirtinimo“;
11.7. Bendraisiais reikalavimais organizacinėms ir techninėms asmens duomenų saugumo priemonėms, patvirtintais Valstybinės duomenų apsaugos inspekcijos direktoriaus 2008 m. lapkričio 12 d. įsakymu Nr. 1T-71 (1.12) „Dėl Bendrųjų reikalavimų organizacinėms ir techninėms asmens duomenų saugumo priemonėms patvirtinimo“, (toliau – Bendrieji reikalavimai organizacinėms ir techninėms asmens duomenų saugumo priemonėms);
II SKYRIUS
ELEKTRONINĖS INFORMACIJOS SAUGOS VALDYMAS
12. IS tvarkoma elektroninė informacija priskirtina žinybinės elektroninės informacijos kategorijai, vadovaujantis Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo 4.3.1 ir 4.3.2 papunkčiuose aprašytais kriterijais.
13. IS priskirtina trečiajai kategorijai, vadovaujantis Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo 5.3 papunkčiu.
14. IS asmens duomenų tvarkymas automatiniu būdu priskirtinas antrajam saugumo lygiui, vadovaujantis Bendrųjų reikalavimų organizacinėms ir techninėms asmens duomenų saugumo priemonėms 11.2 papunkčiu.
15. Saugos įgaliotinis, atsižvelgdamas į Lietuvos Respublikos vidaus reikalų ministerijos išleistą metodinę priemonę „Rizikos analizės vadovas“, Lietuvos ir tarptautiniais „Informacijos technologija. Saugumo technika“ grupės standartus, kasmet organizuoja IS rizikos įvertinimą. Prireikus saugos įgaliotinis gali organizuoti neeilinį IS rizikos įvertinimą. IS rizikos veiksnių vertinimas atliekamas kokybiniu rizikos vertinimo metodu.
16. IS rizikos įvertinimas išdėstomas rizikos įvertinimo ataskaitoje, kuri pateikiama Tarnybos direktoriui. Rizikos įvertinimo ataskaita rengiama atsižvelgiant į rizikos veiksnius, galinčius turėti įtakos elektroninės informacijos saugai, jų galimą žalą, pasireiškimo tikimybę ir pobūdį, galimus rizikos valdymo būdus, rizikos priimtinumo kriterijus. Svarbiausieji rizikos veiksniai yra šie:
16.1. subjektyvūs netyčiniai (elektroninės informacijos tvarkymo klaidos ir apsirikimai, elektroninės informacijos ištrynimas, klaidingas elektroninės informacijos teikimas, fiziniai elektroninės informacijos technologijų sutrikimai, elektroninės informacijos perdavimo tinklais sutrikimai, programinės įrangos klaidos, neteisingas veikimas ir kita);
16.2. subjektyvūs tyčiniai (nesankcionuotas naudojimasis IS elektroninei informacijai gauti, elektroninės informacijos pakeitimas ar sunaikinimas, IS saugumo pažeidimai, vagystės ir kita);
16.3. veiksniai, nurodyti Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių, patvirtintų Lietuvos Respublikos Vyriausybės 1996 m. liepos 15 d. nutarimu Nr. 840 „Dėl Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių patvirtinimo“, 3 punkte.
17. IS rizikos veiksniai vertinami nustatant jų įtakos elektroninės informacijos saugai laipsnius:
17.1. Žemas (Ž) – elektroninės informacijos pažeidimo poveikis yra nedidelis, padariniai nepavojingi – elektroninė informacija išsiųsta kitam adresatui, įvesta netiksli elektroninė informacija, dingo dalis elektroninės informacijos ar ji buvo prarasta po paskutinio kopijavimo ir ją galima greitai atstatyti iš turimų atsarginių kopijų, neveikia kompiuterinė programinė įranga ir (ar) operacinė sistema kompiuterizuotose darbo vietose;
17.2. Vidutinis (V) – elektroninės informacijos pažeidimo poveikis didelis, padariniai rimti – elektroninė informacija netiksli ar sugadinta, bet ją įmanoma atstatyti iš turimų atsarginių kopijų, duomenų bazės įrašai pakeisti, sunku rasti klaidas ir suklastotą elektroninę informaciją, neveikia kompiuterinė programinė įranga ir (ar) operacinė sistema tarnybinėse stotyse);
17.3. Aukštas (A) – elektroninės informacijos pažeidimo poveikis labai didelis, padariniai labai rimti – visiškai sugadinta elektroninė informacija, prarasta dėl vagystės, gaisro, užliejimo ar kitų veiksnių ne tik elektroninė informacija iš duomenų bazės, bet ir jos atsarginės kopijos, neveikia visa IS).
18. IS rizikos įvertinimo metu atliekami darbai:
19. Atsižvelgdamas į rizikos įvertinimo ataskaitą, Tarnybos direktorius tvirtina rizikos veiksnių valdymo planą, kuriame numatomas techninių, organizacinių ir kitų išteklių poreikis rizikos valdymo priemonėms įgyvendinti.
20. Pagrindiniai elektroninės informacijos saugos priemonių parinkimo principai yra šie:
20.2. elektroninės informacijos saugos priemonės diegimo kaina turi būti adekvati saugomos elektroninės informacijos vertei;
21. Siekdamas užtikrinti Saugos nuostatuose ir IS saugos politiką įgyvendinančiuose dokumentuose nustatytų reikalavimų laikymosi kontrolę, saugos įgaliotinis, vadovaudamasis Lietuvos Respublikos vidaus reikalų ministerijos patvirtinta metodika, ne rečiau kaip kartą per metus organizuoja Tarnybos informacinių technologijų saugos atitikties vertinimą, kurio metu:
21.1. įvertinama realios elektroninės informacijos saugos situacijos Tarnyboje atitiktis Saugos nuostatuose ir IS saugos politiką įgyvendinančiuose dokumentuose nustatytiems reikalavimams;
21.3. tikrinama IS serveriuose, administratoriaus ir kompiuterizuotose darbo vietose įdiegta programinė įranga ir jos sąranka;
21.4. peržiūrima administratoriui ir IS naudotojams suteiktų teisių atitiktis jų atliekamoms funkcijoms;
21.5. įvertinamas pasirengimas užtikrinti IS veiklos tęstinumą įvykus elektroninės informacijos saugos incidentui;
22. Atlikus Tarnybos informacinių technologijų saugos atitikties vertinimą, rengiama informacinių technologijų saugos atitikties vertinimo ataskaita ir pastebėtų trūkumų šalinimo planas, kurie pateikiami Tarnybos direktoriui. Trūkumų šalinimo planas yra tvirtinamas Tarnybos direktoriaus įsakymu, kuriuo taip pat paskiriami už trūkumų šalinimą atsakingi vykdytojai ir nustatomi terminai, per kuriuos pastebėti trūkumai turi būti pašalinti.
III SKYRIUS
ORGANIZACINIAI IR TECHNINIAI REIKALAVIMAI
23. Programinės įrangos, skirtos IS apsaugoti nuo kenkimo programinės įrangos (virusų, šnipinėjimo programinės įrangos ir panašiai), naudojimo nuostatos ir jos atnaujinimo reikalavimai:
23.1. serveriuose ir kompiuterizuotose darbo vietose privalo būti įdiegta apsauga nuo kenkimo programinės įrangos (virusų, šnipinėjimo programinės įrangos ir panašiai);
24. Programinės įrangos, įdiegtos kompiuteriuose ir serveriuose, naudojimo nuostatos:
25. Kompiuteriuose ir serveriuose gali būti diegiama tik legali ir darbo funkcijoms atlikti reikalinga programinė įranga. Saugos įgaliotinis turi parengti, su Tarnybos direktoriumi suderinti ir ne rečiau kaip kartą per metus peržiūrėti bei prireikus atnaujinti leistinos programinės įrangos sąrašą.
26. Kompiuterių tinklo filtravimo įrangos pagrindinės naudojimo nuostatos:
26.1. Tarnybos vietinis kompiuterių tinklas turi būti atskirtas užkardomis nuo viešųjų ryšių tinklų ir interneto, taip pat turi būti naudojama paslaugos trikdymo (angl. Denial of Service) ir paskirstytųjų paslaugos trikdymo (angl. Distributed Denial of Service) atakų prevencijai skirta įranga, taip pat įsilaužimų aptikimo ir jų prevencijos įranga;
26.2. viešųjų ryšių tinklų ir interneto užkardos turi būti sukonfigūruotos naudojant principą „draudžiama viskas, išskyrus“, t. y. turi būti leidžiami tik būtini prisijungimai prie Tarnybos vietinio kompiuterių tinklo;
27. Metodai, kuriais leidžiama užtikrinti saugų elektroninės informacijos teikimą ir (ar) gavimą:
27.1. prieiga prie IS yra ribojama užkardomis; Tarnybos valstybės tarnautojai ir darbuotojai, dirbantys pagal darbo sutartis, (toliau – darbuotojai) turi teisę prisijungti prie IS tik iš Tarnybos vietinio kompiuterių tinklo;
28. Kompiuterizuotose darbo vietose įrengti kompiuteriai naudojami tik IS naudotojais esančių darbuotojų tiesioginėms funkcijoms vykdyti.
29. Darbuotojams, kurių tiesioginėms funkcijoms vykdyti būtinas prisijungimas prie IS ne Tarnybos patalpose, suteikiama teisė prisijungti prie Tarnybos vietinio kompiuterių tinklo nuotoliniu būdu naudojant saugius ryšio kanalus.
30. Teisę nuotoliniu būdu prisijungti prie Tarnybos vietinio kompiuterių tinklo suteikia ir panaikina, darbuotojų, turinčių teisę nuotoliniu būdu prisijungti prie Tarnybos vietinio kompiuterių tinklo sąrašą sudaro ir tvarko administratorius. Darbuotojų, nustojusių eiti pareigas, kurių tiesioginėms funkcijoms vykdyti buvo būtinas nuotolinis prisijungimas prie Tarnybos vietinio kompiuterių tinklo, teisė nuotoliniu būdu prisijungti prie Tarnybos vietinio kompiuterių tinklo turi būti nedelsiant panaikinama.
31. Nuotolinio prisijungimo prie Tarnybos vietinio kompiuterių tinklo techninis sprendimas privalo užtikrinti:
31.1. ne žemesnį saugumo lygį nei užtikrinamas jungiantis prie Tarnybos vietinio kompiuterių tinklo Tarnyboje;
32. Atsarginių kopijų darymo ir atkūrimo reikalavimai:
32.1. elektroninės informacijos saugai užtikrinti daromos IS duomenų bazėje kaupiamos ir saugomos elektroninės informacijos atsarginės kopijos;
32.2. atsarginės kopijos daromos kiekvienos darbo dienos pabaigoje (toliau – dienos atsarginės kopijos) ir kiekvienos savaitės pabaigoje (toliau – savaitės atsarginės kopijos);
32.7. atsarginės kopijos turi būti daromos automatiškai, jas atkurti turi teisę tik serverių administratorius;
32.8. kas 6 mėnesius turi būti atliekami elektroninės informacijos atkūrimo iš atsarginių kopijų bandymai;
iv SKYRIUS
REIKALAVIMAI PERSONALUI
33. IS naudotojai privalo turėti darbo kompiuteriu įgūdžių, būti susipažinę su Saugos nuostatais ir IS saugos politiką įgyvendinančiais dokumentais. IS naudotojai, pagal kompetenciją atsakingi už elektroninės informacijos tvarkymą, taip pat privalo IS saugaus elektroninės informacijos tvarkymo taisyklių nustatyta tvarka mokėti tvarkyti elektroninę informaciją.
34. IS naudotojai, pažeidę Saugos nuostatų ar IS saugos politiką įgyvendinančių dokumentų reikalavimus, atsako Lietuvos Respublikos įstatymų nustatyta tvarka.
35. Saugos įgaliotinis privalo išmanyti elektroninės informacijos saugos užtikrinimo principus, savo darbe vadovautis Bendrųjų elektroninės informacijos saugos reikalavimų aprašu, kitais Lietuvos Respublikos ir Europos Sąjungos teisės aktais. Saugos įgaliotinis privalo sugebėti prižiūrėti, kaip įgyvendinama IS saugos politika. Saugos įgaliotinis privalo tobulinti kvalifikaciją elektroninės informacijos saugos srityje.
36. Administratorius privalo turėti aukštąjį universitetinį ar jam prilygintą išsilavinimą, išmanyti darbą su kompiuterių tinklais, duomenų bazėmis, mokėti užtikrinti jų saugumą, taip pat mokėti administruoti ir prižiūrėti duomenų bazes, būti susipažinęs su Saugos nuostatais ir IS saugos politiką įgyvendinančiais dokumentais.
V SKYRIUS
IS NAUDOTOJŲ SUPAŽINDINIMO SU SAUGOS DOKUMENTAIS PRINCIPAI
38. Už IS naudotojų supažindinimą su Saugos nuostatais ir IS saugos politiką įgyvendinančiais dokumentais bei atsakomybe už juose įtvirtintų reikalavimų nesilaikymą yra atsakingas saugos įgaliotinis.
39. Saugos įgaliotinis raštu informuoja IS naudotojus apie tai, kur jie gali susipažinti su Saugos nuostatais ir IS saugos politiką įgyvendinančiais dokumentais. IS naudotojai gali naudotis IS tik patvirtinę savo susipažinimą su Saugos nuostatais ir IS saugos politiką įgyvendinančiais dokumentais.
40. Saugos nuostatai, Lietuvos Respublikos kibernetinio saugumo įstatymas ir IS saugos politiką įgyvendinantys dokumentai skelbiami viešai IS naudotojams pasiekiamoje interneto svetainėje.