LIETUVOS RESPUBLIKOS VIDAUS REIKALŲ MINISTRAS
ĮSAKYMAS
DĖL LIETUVOS RESPUBLIKOS VIDAUS REIKALŲ MINISTRO 2015 M. SPALIO 5 D. ĮSAKYMO NR. 1V-781 „DĖL ADMINISTRACINIŲ TEISĖS PAŽEIDIMŲ REGISTRO DUOMENŲ SAUGOS NUOSTATŲ PATVIRTINIMO“ PAKEITIMO
2017 m. rugsėjo 8 d. Nr. 1V-623
Vilnius
P a k e i č i u Lietuvos Respublikos vidaus reikalų ministro 2015 m. spalio 5 d. įsakymą Nr. 1V-781 „Dėl Administracinių teisės pažeidimų registro duomenų saugos nuostatų patvirtinimo“ ir jį išdėstau nauja redakcija:
„LIETUVOS RESPUBLIKOS VIDAUS REIKALŲ MINISTRAS
ĮSAKYMAS
DĖL ADMINISTRACINIŲ NUSIŽENGIMŲ REGISTRO DUOMENŲ SAUGOS NUOSTATŲ PATVIRTINIMO
Vadovaudamasis Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, 7.1 papunkčiu, 11, 19 ir 26 punktais, ir atsižvelgdamasį Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų ypatingos svarbos informacinei infrastruktūrai ir valstybės informaciniams ištekliams, aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2016 m. balandžio 20 d. nutarimu Nr. 387 „Dėl Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų ypatingos svarbos informacinei infrastruktūrai ir valstybės informaciniams ištekliams, aprašo patvirtinimo“, 7 punktą:
2. Pavedu:
2.1. Informatikos ir ryšių departamentui prie Lietuvos Respublikos vidaus reikalų ministerijos per mėnesį nuo Administracinių nusižengimų registro duomenų saugos nuostatų patvirtinimo paskirti Administracinių nusižengimų registro (toliau – ANR) saugos įgaliotinį ir ANR administratorių;
PATVIRTINTA
Lietuvos Respublikos vidaus reikalų ministro 2015 m. spalio 5 d. įsakymu
Nr. 1V-781
(Lietuvos Respublikos vidaus reikalų ministro 2017 m. rugsėjo 8 d.
įsakymo Nr. 1V-623 redakcija)
ADMINISTRACINIŲ NUSIŽENGIMŲ REGISTRO DUOMENŲ SAUGOS NUOSTATAI
I SKYRIUS
BENDROSIOS NUOSTATOS
1. Administracinių nusižengimų registro duomenų saugos nuostatai (toliau – Saugos nuostatai) nustato Administracinių nusižengimų registro (toliau – ANR) elektroninės informacijos saugos politiką ir kibernetinio saugumo politiką (toliau – elektroninės informacijos saugos politika), organizacines, technines, programines, teisines ir kitas priemones, užtikrinančias saugų ANR elektroninės informacijos tvarkymą.
2. Saugos nuostatuose vartojamos sąvokos apibrėžtos Bendrųjų elektroninės informacijos saugos reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“ (toliau – Bendrųjų saugos reikalavimų aprašas).
3. ANR elektroninės informacijos saugos politika įgyvendinama pagal ANR valdytojo tvirtinamus saugos politiką įgyvendinančius dokumentus:
4. ANR elektroninės informacijos saugos ir kibernetinio saugumo (toliau – elektroninės informacijos sauga) užtikrinimo tikslas – sudaryti sąlygas saugiai automatiniu būdu tvarkyti ANR elektroninę informaciją, užtikrinti ANR elektroninės informacijos konfidencialumą, prieinamumą, vientisumą ir tinkamą techninės, programinės ir ryšių įrangos funkcionavimą.
5. ANR elektroninės informacijos saugos užtikrinimo prioritetinės kryptys:
5.1. organizacinių, techninių, programinių, teisinių ir kitų priemonių, skirtų ANR elektroninės informacijos saugai užtikrinti, įgyvendinimas ir šių priemonių įgyvendinimo kontrolė;
6. ANR elektroninės informacijos saugai užtikrinti kompleksiškai naudojamos organizacinės, teisinės, techninės ir programinės priemonės.
7. Saugos nuostatai taikomi ANR valdytojui, ANR tvarkytojams, ANR saugos įgaliotiniams, ANR administratoriui ir ANR naudotojams.
8. ANR valdytojas – Lietuvos Respublikos vidaus reikalų ministerija (toliau – VRM), Šventaragio g. 2, Vilnius, kuri atlieka Administracinių nusižengimų registro nuostatuose, patvirtintuose Lietuvos Respublikos Vyriausybės 2016 m. gruodžio 28 d. nutarimu Nr. 1278 „Dėl Administracinių teisės pažeidimų registro reorganizavimo ir Administracinių nusižengimų registro nuostatų patvirtinimo“ (toliau – ANR nuostatai), apibrėžtas funkcijas, taip pat:
8.1. atsako už saugos politikos formavimą ir įgyvendinimo organizavimą, priežiūrą ir elektroninės informacijos tvarkymo teisėtumą;
8.2. tvirtina ANR saugos politiką įgyvendinančius dokumentus, kitus dokumentus, susijusius su elektroninės informacijos sauga, ir jų pakeitimus;
8.3. prižiūri ir kontroliuoja, kad ANR būtų tvarkoma vadovaujantis Lietuvos Respublikos įstatymais, ANR nuostatais, Saugos nuostatais, ANR saugos politiką įgyvendinančiais dokumentais ir kitais teisės aktais;
8.4. priima sprendimus dėl ANR techninių ir programinių priemonių, būtinų ANR elektroninės informacijos saugai užtikrinti, įsigijimo, įdiegimo ir modernizavimo;
8.6. priima sprendimą dėl ANR informacinių technologijų atitikties saugos reikalavimams vertinimo atlikimo;
8.7. vykdo kitas Saugos nuostatais, ANR nuostatais, Bendrųjų saugos reikalavimų aprašu, Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų ypatingos svarbos informacinei infrastruktūrai ir valstybės informaciniams ištekliams, aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2016 m. balandžio 20 d. nutarimu Nr. 387 „Dėl Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų ypatingos svarbos informacinei infrastruktūrai ir valstybės informaciniams ištekliams, aprašo patvirtinimo“ (toliau – Organizacinių ir techninių kibernetinio saugumo reikalavimų aprašas) ir kitais teisės aktais, reglamentuojančiais ANR elektroninės informacijos tvarkymo teisėtumą ir saugos valdymą, priskirtas funkcijas.
9. ANR tvarkytojai yra:
9.1. Informatikos ir ryšių departamentas prie Lietuvos Respublikos vidaus reikalų ministerijos (toliau – Informatikos ir ryšių departamentas);
9.3. apskričių vyriausieji policijos komisariatai, Lietuvos kelių policijos tarnyba, Lietuvos kriminalinės policijos biuras;
9.34. valstybiniai rezervatai, valstybiniai parkai, biosferos rezervatų direkcijų ir saugomų teritorijų valstybinio valdymo ir kontrolės įstaigos;
9.56. Priešgaisrinės apsaugos ir gelbėjimo departamentas prie Vidaus reikalų ministerijos ir jam pavaldžios įstaigos;
9.59. Valstybės sienos apsaugos tarnyba prie Lietuvos Respublikos vidaus reikalų ministerijos ir jos struktūriniai padaliniai;
9.60. Valstybinė akreditavimo sveikatos priežiūros veiklai tarnyba prie Sveikatos apsaugos ministerijos;
9.62. Lietuvos Respublikos valstybinė darbo inspekcija prie Socialinės apsaugos ir darbo ministerijos;
9.76. Valstybinė vaistų kontrolės tarnyba prie Lietuvos Respublikos sveikatos apsaugos ministerijos;
9.78. Valstybinio socialinio draudimo fondo valdyba prie Socialinės apsaugos ir darbo ministerijos ir Valstybinio socialinio draudimo fondo valdybos prie Socialinės apsaugos ir darbo ministerijos teritoriniai skyriai;
9.87. Audito, apskaitos, turto vertinimo ir nemokumo valdymo tarnyba prie Lietuvos Respublikos finansų ministerijos;
9.94. valstybinę kelių transporto kontrolę atliekantys viešojo administravimo subjektai ar jų įgaliotos valstybės ar savivaldybių įstaigos ir įmonės;
10. Informatikos ir ryšių departamento, kaip ANR tvarkytojo, funkcijos ir atsakomybė:
10.1. užtikrina ir atsako už ANR elektroninės informacijos tvarkymo teisėtumą ir saugų ANR elektroninės informacijos perdavimą elektroninių ryšių tinklais (automatiniu būdu);
10.2. užtikrina tinkamą ANR valdytojo patvirtintų Saugos nuostatų, ANR saugos politiką įgyvendinančių dokumentų, kitų dokumentų, susijusių su elektroninės informacijos sauga, rekomendacijų įgyvendinimą;
10.3. atlieka kitas Saugos nuostatų, ANR nuostatų, Bendrųjų saugos reikalavimų aprašo, Organizacinių ir techninių kibernetinio saugumo reikalavimų aprašo ir kitų teisės aktų nustatytas funkcijas, susijusias su ANR elektroninės informacijos sauga;
11. Kiti ANR tvarkytojai atlieka ANR nuostatuose apibrėžtas funkcijas, taip pat:
11.1. kiekvienas paskiria savo ANR saugos įgaliotinį; jei ANR tvarkytojas turi pavaldžių ANR tvarkytojų, jis gali paskirti vieną saugos įgaliotinį, prižiūrintį ir kontroliuojantį ANR saugos politikos įgyvendinimą savo įstaigoje ir pavaldžių ANR tvarkytojų įstaigose;
11.3. užtikrina tinkamą ANR valdytojo priimtų teisės aktų ir rekomendacijų, susijusių su ANR elektroninės informacijos sauga, įgyvendinimą;
12. Visi ANR tvarkytojai užtikrina tvarkomos ANR elektroninės informacijos saugą tvarkytojo įstaigoje ir jiems pavaldžių ANR tvarkytojų įstaigose. ANR tvarkytojų vadovai atsako už reikiamų organizacinių, techninių ir programinių saugos priemonių įgyvendinimą, užtikrinimą ir laikymąsi Saugos nuostatuose ir ANR saugos politiką įgyvendinančiuose dokumentuose nustatyta tvarka.
13. Informatikos ir ryšių departamento paskirtas ANR saugos įgaliotinis:
13.2. koordinuoja kitų ANR tvarkytojų paskirtų ANR saugos įgaliotinių veiklą, supažindina juos su Saugos nuostatais, ANR saugos politiką įgyvendinančiais dokumentais bei atsakomybe už juose nustatytų reikalavimų nesilaikymą;
13.4. koordinuoja ANR elektroninės informacijos saugos ir kibernetinių incidentų (toliau – saugos incidentai) tyrimą ir bendradarbiauja su kompetentingomis institucijomis, tiriančiomis elektroninių ryšių tinklų incidentus, saugos incidentus, neteisėtas veikas, susijusias su elektroninės informacijos sauga;
13.5. teikia pasiūlymus Informatikos ir ryšių departamento direktoriui dėl:
13.5.2. Saugos nuostatų ir ANR saugos politiką įgyvendinančių dokumentų priėmimo, keitimo ar pripažinimo netekus galios;
13.6. teikia kitų ANR tvarkytojų paskirtiems ANR saugos įgaliotiniams, ANR administratoriui, ANR naudotojams privalomus vykdyti nurodymus ir pavedimus, susijusius su ANR saugos politikos įgyvendinimu;
13.7. periodiškai, ne rečiau kaip kartą per kalendorinius metus, organizuoja kitų ANR tvarkytojų paskirtų ANR saugos įgaliotinių saugos mokymus, reguliariai jiems primena saugos problemas, teikia konsultacijas, prireikus rengia atmintines naujai priimtiems darbuotojams;
14. Kitų ANR tvarkytojų paskirti saugos įgaliotiniai:
14.1. koordinuoja ir prižiūri ANR elektroninės informacijos saugos politikos įgyvendinimą tvarkytojo įstaigoje ir tvarkytojo įstaigos reguliavimo sričiai priskirtose kitose įstaigose, turinčiose ANR naudotojų darbo vietas;
14.2. teikia Informatikos ir ryšių departamento paskirtam ANR saugos įgaliotiniui siūlymus dėl:
14.2.1. Saugos nuostatų ir ANR saugos politiką įgyvendinančių dokumentų priėmimo, keitimo ar pripažinimo netekusiais galios;
14.3. teikia savo tvarkytojo įstaigos ir jos reguliavimo sričiai priskirtų kitų įstaigų ANR naudotojams privalomus vykdyti nurodymus ir pavedimus, susijusius su ANR saugos politikos įgyvendinimu;
14.4. informuoja Informatikos ir ryšių departamento paskirtą ANR saugos įgaliotinį apie ANR saugos incidentus ir teikia siūlymus dėl jų pašalinimo;
14.5. supažindina savo tvarkytojo įstaigos ir jai pavaldžių ANR tvarkytojų, kurie nėra paskyrę saugos įgaliotinio, įstaigų ANR naudotojus su Saugos nuostatais ir ANR saugos politiką įgyvendinančiais dokumentais bei atsakomybe už šių reikalavimų nesilaikymą;
14.6. ne rečiau kaip kartą per kalendorinius metus organizuoja savo tvarkytojo įstaigos ir jai pavaldžių ANR tvarkytojų, kurie nėra paskyrę saugos įgaliotinio, įstaigų ANR naudotojų saugos mokymus, reguliariai jiems primena saugos problemas, teikia konsultacijas (elektroniniu paštu, telefonu, prireikus rengia atmintines naujai priimtiems darbuotojams ir pan.);
14.7. dalyvauja tiriant ANR tvarkytojo įstaigoje ir jai pavaldžių ANR tvarkytojų, kurie nėra paskyrę saugos įgaliotinio, įstaigose įvykusius saugos incidentus;
15. ANR administratorius:
15.3. administruoja ANR naudotojus, išskyrus tuos ANR naudotojus, kurių administravimo teisės suteiktos kitiems ANR tvarkytojams pagal Saugos nuostatų 10.5 papunktį;
15.4. vykdo Informatikos ir ryšių departamento paskirto saugos įgaliotinio nurodymus ir pavedimus, susijusius su ANR saugos užtikrinimu, nuolat teikia jam informaciją apie saugą užtikrinančių pagrindinių komponentų būklę;
16. ANR elektroninė informacija tvarkoma ir jos sauga užtikrinama vadovaujantis:
16.5. Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“ (toliau – Klasifikavimo gairių aprašas);
16.7. Techniniais valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimais, patvirtintais Lietuvos Respublikos vidaus reikalų ministro 2013 m. spalio 4 d. įsakymu Nr. 1V-832 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų patvirtinimo“;
16.8. Bendraisiais reikalavimais organizacinėms ir techninėms asmens duomenų saugumo priemonėms, patvirtintais Valstybinės duomenų apsaugos inspekcijos direktoriaus 2008 m. lapkričio 12 d. įsakymu Nr. 1T-71(1.12) „Dėl Bendrųjų reikalavimų organizacinėms ir techninėms asmens duomenų saugumo priemonėms patvirtinimo“ (toliau – Bendrieji reikalavimai asmens duomenų saugumo priemonėms);
16.10. Lietuvos standartais LST ISO/IEC 27001:2013, LST ISO/IEC 27002:2014, taip pat kitais Lietuvos ir tarptautiniais „Informacijos technologija. Saugumo technika“ grupės standartais, apibūdinančiais informacijos saugos valdymą ir saugų duomenų tvarkymą;
II SKYRIUS
ELEKTRONINĖS INFORMACIJOS SAUGOS VALDYMAS
17. ANR tvarkoma elektroninė informacija priskiriama ypatingos svarbos elektroninės informacijos kategorijai vadovaujantis Klasifikavimo gairių aprašo 7.2 ir 7.5 papunkčiuose nustatytais kriterijais.
18. Atsižvelgiant į ANR tvarkomos elektroninės informacijos svarbos kategoriją ir vadovaujantis Klasifikavimo gairių aprašo 12.1 papunkčiu, ANR priskiriamas pirmajai kategorijai.
19. ANR asmens duomenų tvarkymas automatiniu būdu priskirtinas antrajam saugumo lygiui vadovaujantis Bendrųjų reikalavimų asmens duomenų saugumo priemonėms 11.2 papunkčio nuostata.
20. Informatikos ir ryšių departamento paskirtas ANR saugos įgaliotinis, atsižvelgdamas į VRM išleistą metodinę priemonę „Rizikos analizės vadovas“, Lietuvos ir tarptautinius „Informacijos technologija. Saugumo technika“ grupės standartus, kasmet organizuoja ANR rizikos įvertinimą ir parengia rizikos įvertinimo ataskaitą; prireikus jis gali organizuoti neeilinį rizikos įvertinimą.
21. ANR rizikos įvertinimo ataskaita rengiama atsižvelgiant į rizikos veiksnius, galinčius turėti įtakos informacijos saugai. Svarbiausi rizikos veiksniai:
21.1. subjektyvūs netyčiniai (duomenų tvarkymo klaidos ir apsirikimai, duomenų ištrynimas, klaidingas duomenų teikimas, duomenų perdavimo tinklų veiklos trikdymai, programinės įrangos klaidos, netinkamas veikimas ir kita);
21.2. subjektyvūs tyčiniai (nesankcionuotas naudojimasis ANR, duomenų pakeitimas ir sunaikinimas, duomenų perdavimo tinklų veiklos trikdymai, fizinio saugumo pažeidimai, vagystės ir kita);
21.3. veiksniai, nurodyti Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių, patvirtintų Lietuvos Respublikos Vyriausybės 1996 m. liepos 15 d. nutarimu Nr. 84 „Dėl Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių patvirtinimo“, 3 punkte.
22. ANR valdytojas, atsižvelgdamas į ANR rizikos įvertinimo ataskaitą, prireikus tvirtina Informatikos ir ryšių departamento parengtą rizikos įvertinimo ir rizikos valdymo priemonių planą, kuriame numatomas techninių, administracinių ir kitų išteklių poreikis rizikos valdymo priemonėms įgyvendinti.
23. ANR saugos priemonės parenkamos įvertinus galimus rizikos veiksnius ANR duomenų vientisumui, konfidencialumui ir prieinamumui.
24. Siekdamas užtikrinti Saugos nuostatuose ir saugos politiką įgyvendinančiuose dokumentuose nustatytų reikalavimų įgyvendinimo organizavimą ir įgyvendinimo kontrolę, Informatikos ir ryšių departamento paskirtas ANR saugos įgaliotinis ne rečiau kaip kartą per metus organizuoja ANR informacinių technologijų saugos atitikties vertinimą, kurio metu:
24.1. įvertinama realios ANR elektroninės informacijos saugos situacijos atitiktis Saugos nuostatų, saugos politiką įgyvendinančių dokumentų reikalavimams, Organizacinių ir techninių kibernetinio saugumo reikalavimų ir kitų teisės aktų reikalavimams;
24.2. patikrinama ne mažiau kaip 10 procentų atsitiktinai parinktų ANR naudotojų kompiuterizuotų darbo vietų bei visų tarnybinių stočių įdiegta programinė įranga ir jos sąranka;
24.3. patikrinama (įvertinama) ANR naudotojams ir administratoriams suteiktų teisių atitiktis vykdomoms funkcijoms;
25. Ne rečiau kaip kartą per trejus metus ANR informacinių technologijų saugos atitikties vertinimą turi atlikti nepriklausomi, visuotinai pripažintų tarptautinių organizacijų sertifikuoti informacinių sistemų auditoriai.
26. Atlikus ANR informacinių technologijų saugos atitikties vertinimą, Informatikos ir ryšių departamento paskirtas ANR saugos įgaliotinis rengia pastebėtų trūkumų šalinimo planą, kurį tvirtina, atsakingus vykdytojus paskiria ir nustatytų trūkumų šalinimo įgyvendinimo terminus nustato ANR valdytojas.
27. Pagrindiniai elektroninės informacijos saugos priemonių parinkimo principai yra šie:
27.2. elektroninės informacijos saugos priemonės diegimo kaina turi būti proporcinga saugomos elektroninės informacijos vertei;
III SKYRIUS
ORGANIZACINIAI IR TECHNINIAI REIKALAVIMAI
28. Programinės įrangos, skirtos ANR apsaugoti nuo kenksmingos programinės įrangos (virusų, programinės įrangos, skirtos šnipinėjimui, nepageidaujamo elektroninio pašto ir panašiai), naudojimo nuostatos ir jos atnaujinimo reikalavimai:
28.1. ANR tarnybinėse stotyse ir kompiuterizuotose darbo vietose turi būti naudojamos centralizuotai valdomos kenksmingos programinės įrangos aptikimo priemonės, nuolat ieškančios ir blokuojančios kenksmingą programinę įrangą (virusų, šnipinėjimo programinę įrangą ir kt.), kurios turi būti reguliariai atnaujinamos automatiniu būdu ne rečiau kaip kartą per 24 valandas;
29. Programinės įrangos, įdiegtos tarnybinėse stotyse ir kompiuterizuotose darbo vietose, naudojimo nuostatos:
30. Kompiuterių tinklo filtravimo įrangos (užkardų, turinio kontrolės sistemų, įgaliotųjų serverių (angl. proxy) ir kt.) pagrindinės naudojimo nuostatos:
30.1. kompiuterių tinklai nuo viešųjų telekomunikacijų tinklų (interneto) turi būti atskirti ugniasienėmis, DOS ir DDOS atakų prevencijai skirta įranga bei įsilaužimų aptikimo ir prevencijos įranga;
30.2. visas duomenų srautas į internetą ir iš jo turi būti filtruojamas naudojant apsaugą nuo virusų ir kitos kenksmingos programinės įrangos;
31. Metodai, kuriais leidžiama užtikrinti saugų elektroninės informacijos teikimą ir (ar) gavimą:
31.1. ANR naudotojų, jų vykdytų užklausų ir peržiūrėtų užklausų rezultatų duomenys tvarkomi Vidaus reikalų informacinės sistemos naudotojų administravimo posistemėje Lietuvos Respublikos vidaus reikalų ministro 2005 m. kovo 9 d. įsakymu Nr. 1V-68 „Dėl Vidaus reikalų informacinės sistemos centrinio duomenų banko duomenų peržiūros kontrolės taisyklių patvirtinimo“ nustatyta tvarka;
31.2. tiesioginė prieiga prie ANR elektroninės informacijos suteikiama įgyvendinus ANR naudotojų administravimo taisyklėse nurodytas ANR naudotojų autentifikavimo priemones. Tiesioginė prieiga prie ANR užtikrinama automatiniu būdu ištisą parą, darbo ir poilsio dienomis;
31.3. ANR elektroninė informacija perduodama automatiniu būdu naudojant TCP/IP, HTTPS protokolus realiame laike (On-line režimu) arba asinchroniniu režimu pagal ANR duomenų teikimo sutartis, kuriose nustatytos perduodamos elektroninės informacijos specifikacijos, kopijų skaičius, kitos elektroninės informacijos perdavimo sąlygos ir tvarka;
31.4. ANR elektroninė informacija, perduodama ne per ANR tvarkytojams priklausančias duomenų perdavimo linijas, privalo būti šifruojama;
31.5. įgyvendinamos priemonės, užtikrinančios, kad ANR nuostatų 15.2.4 papunktyje nurodytas veido atvaizdas būtų perduodamas tik ANR naudotojams, turintiems teisę juos gauti ir tik tais atvejais, kai atliekant jų tiesiogines funkcijas būtina nustatyti ir (ar) patikslinti administracinėn atsakomybėn traukiamo asmens tapatybę.
32. ANR elektroninės informacijos perdavimui naudojamas Vidaus reikalų telekomunikacinis tinklas ir Saugus valstybinis duomenų perdavimo tinklas.
33. ANR naudotojams, savo tiesioginėms funkcijoms atlikti naudojantiems nešiojamus kompiuterius ANR elektroninės informacijos perdavimui kompiuterių tinklais ne savo darbo vietoje, šiuose kompiuteriuose turi būti naudojamas kompiuterio įjungimo slaptažodis, papildomas ANR naudotojo tapatybės patvirtinimas ir elektroninės informacijos šifravimas.
34. ANR naudotojams, kuriems būtinas prisijungimas tiesioginėms funkcijoms atlikti iš nutolusios darbo vietos, gali būti suteikiama nuotolinio prisijungimo prie ANR galimybė:
34.1. techninis nuotolinio prisijungimo sprendimas turi užtikrinti ne žemesnį nei vidiniam prisijungimui naudojamą saugumo lygį, t. y. turi būti naudojamos Saugos nuostatuose nurodytos priemonės ir elektroninės informacijos šifravimas naudojantis virtualiu privačiu tinklu (angl. virtual private network – VPN);
35. Pagrindiniai atsarginių elektroninės informacijos kopijų darymo ir atkūrimo reikalavimai:
35.1. ANR elektroninės informacijos kopijos turi būti daromos automatiškai kiekvieną dieną. Prireikus jas atkurti turi teisę ANR administratorius;
IV SKYRIUS
REIKALAVIMAI PERSONALUI
36. ANR saugos įgaliotiniai privalo išmanyti elektroninės informacijos saugos užtikrinimo principus, savo darbe vadovautis Bendrųjų saugos reikalavimų aprašu, kitais Lietuvos Respublikos ir Europos Sąjungos teisės aktais, reglamentuojančiais saugų duomenų tvarkymą, privalo tobulinti kvalifikaciją elektroninės informacijos saugos srityje.
37. ANR saugos įgaliotiniu negali būti skiriamas asmuo, turintis neišnykusį ar nepanaikintą teistumą už nusikaltimą elektroninių duomenų ir informacinių sistemų saugumui, taip pat paskirtą administracinę nuobaudą už neteisėtą asmens duomenų tvarkymą ir privatumo apsaugos pažeidimą elektroninių ryšių srityje, elektroninių ryšių išteklių naudojimo ir skyrimo taisyklių pažeidimą, elektroninių ryšių tinklo gadinimą ar savavališką prisijungimą prie tinklo arba galinių įrenginių, kurie trukdo elektroninių ryšių tinklo darbui, savavališką prisijungimą arba elektroninių ryšių infrastruktūros įrengimo, naudojimo ir apsaugos sąlygų ir taisyklių pažeidimą, jeigu nuo jos paskyrimo praėję mažiau kaip vieni metai.
38. ANR administratorius privalo išmanyti pagrindinius elektroninės informacijos saugos, ir darbo su duomenų perdavimo tinklais principus, turėti sisteminių programinių priemonių administravimo ir priežiūros patirties, mokėti administruoti ir prižiūrėti duomenų bazes, gebėti užtikrinti techninės ir programinės įrangos nepertraukiamą funkcionavimą, stebėti techninės ir programinės įrangos veikimą, atlikti techninės ir programinės įrangos profilaktinę priežiūrą, sutrikimų diagnostiką ir šalinimą, turėti sisteminių programinių priemonių (Windows, Unix, Oracle) administravimo ir priežiūros patirties.
39. ANR naudotojai privalo:
39.1. turėti atitinkamą kvalifikaciją (informacinių technologijų vartotojų kvalifikacijos kursai, pradinis saugaus darbo su duomenimis mokymas, ECDL (Europos kompiuterio vartotojo pažymėjimas) vartotojo sertifikatas ar pan.) ir patirties (dirbant su atitinkamomis operacinėmis sistemomis, taikomosiomis programomis ir pan.);
39.2. būti susipažinę su Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu, kitais teisės aktais, reglamentuojančiais asmens duomenų tvarkymą ir ANR duomenų saugą;
40. ANR naudotojams ne rečiau kaip kartą per kalendorinius metus turi būti rengiami elektroninės informacijos saugosmokymai, įvairiais būdais primenama apie saugos problematiką (pvz., priminimai elektroniniu paštu, teminių seminarų rengimas, atmintinės ir pan.). Saugos mokymai organizuojami periodiškai, mokymus organizuoja ir jų efektyvumą vertina Informatikos ir ryšių departamento paskirtas ANR saugos įgaliotinis kartu su kitų ANR tvarkytojų paskirtais ANR saugos įgaliotiniais.
V SKYRIUS
ANR NAUDOTOJŲ SUPAŽINDINIMO SU SAUGOS DOKUMENTAIS PRINCIPAI
41. Tvarkyti ANR elektroninę informaciją gali tik ANR naudotojai, susipažinę su Saugos nuostatais, ANR saugos politiką įgyvendinančiais dokumentais ir kitais teisės aktais, kuriais vadovaujamasi tvarkant elektroninę informaciją, užtikrinant jos saugumą, bei atsakomybe už saugos dokumentų nuostatų pažeidimus, ir raštu sutikę laikytis saugos dokumentuose nustatytų reikalavimų. Pakartotinis supažindinimas yra vykdomas pasikeitus minėtiems dokumentams ir teisės aktams.
42. Už ANR naudotojų supažindinimą su šiais Saugos nuostatais ir ANR saugos politiką įgyvendinančiais dokumentais pagal kompetenciją yra atsakingi Informatikos ir ryšių departamento paskirtas ANR saugos įgaliotinis ir kitų ANR tvarkytojų paskirti ANR saugos įgaliotiniai.
43. ANR Saugos nuostatai ir ANR saugos politiką įgyvendinantys dokumentai skelbiami ANR valdytojo interneto svetainėje.
44. ANR naudotojai su Saugos nuostatais ir ANR saugos politiką įgyvendinančiais dokumentais bei atsakomybe už jų reikalavimų nesilaikymą supažindinami pasirašytinai.
45. Saugos nuostatai ir ANR saugos politiką įgyvendinantys dokumentai iš esmės turi būti persvarstomi (peržiūrimi) ne rečiau kaip kartą per kalendorinius metus. Šie saugos dokumentai turi būti persvarstomi (peržiūrimi) atlikus rizikos veiksnių analizę ar informacinių technologijų saugos atitikties vertinimą arba įvykus esminiams organizaciniams, sisteminiams ar kitiems pokyčiams. Informatikos ir ryšių departamento paskirtas saugos įgaliotinis atsakingas, kad ANR naudotojai būtų informuoti apie jų pakeitimą ir (ar) pripažinimą netekusiais galios.
VI SKYRIUS
BAIGIAMOSIOS NUOSTATOS