LIETUVOS RESPUBLIKOS APLINKOS MINISTRAS
ĮSAKYMAS
DĖL LIETUVOS RESPUBLIKOS APLINKOS MINISTERIJOS VALDOMŲ IR VIEŠOSIOS ĮSTAIGOS STATYBOS SEKTORIAUS VYSTYMO AGENTŪROS TVARKOMŲ INFORMACINIŲ SISTEMŲ SAUGOS NUOSTATŲ PATVIRTINIMO
2024 m. spalio 9 d. Nr. D1-336
Vilnius
Vadovaudamasis Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo ir Saugos dokumentų turinio gairių aprašo patvirtinimo“, 7.1 papunkčiu, 11, 12, 19, 26 ir 31 punktais, Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“, 6 punktu:
1. T v i r t i n u Lietuvos Respublikos aplinkos ministerijos valdomų ir viešosios įstaigos Statybos sektoriaus vystymo agentūros tvarkomų informacinių sistemų saugos nuostatus (pridedama).
2. P a v e d u viešajai įstaigai Statybos sektoriaus vystymo agentūrai:
2.1. paskirti Lietuvos Respublikos aplinkos ministerijos valdomų ir viešosios įstaigos Statybos sektoriaus vystymo agentūros tvarkomų informacinių sistemų saugos nuostatų priede nurodytų informacinių sistemų (toliau – informacinės sistemos) saugos įgaliotinį ir administratorių (administratorius);
2.2. per 2 mėnesius nuo šio įsakymo įsigaliojimo dienos parengti ir pateikti aplinkos ministrui tvirtinti informacinių sistemų saugos politiką įgyvendinančių dokumentų – saugaus elektroninės informacijos tvarkymo taisyklių, informacinių sistemų naudotojų administravimo taisyklių, informacinių sistemų veiklos tęstinumo valdymo plano – projektus.
PATVIRTINTA
Lietuvos Respublikos aplinkos ministro
2024 m. spalio 9 d. įsakymu Nr. D1-336
LIETUVOS RESPUBLIKOS APLINKOS MINISTERIJOS VALDOMŲ IR VIEŠOSIOS ĮSTAIGOS STATYBOS SEKTORIAUS VYSTYMO AGENTŪROS TVARKOMŲ INFORMACINIŲ SISTEMŲ SAUGOS NUOSTATAI
I SKYRIUS
BENDROSIOS NUOSTATOS
1. Lietuvos Respublikos aplinkos ministerijos valdomų ir viešosios įstaigos Statybos sektoriaus vystymo agentūros tvarkomų informacinių sistemų saugos nuostatai (toliau – Saugos nuostatai) reglamentuoja Lietuvos Respublikos aplinkos ministerijos valdomų ir viešosios įstaigos Statybos sektoriaus vystymo agentūros tvarkomų informacinių sistemų, nurodytų Saugos nuostatų priede, (toliau – informacinės sistemos) elektroninės informacijos saugos ir kibernetinio saugumo (toliau kartu – elektroninės informacijos sauga) politiką.
2. Elektroninės informacijos saugos politika įgyvendinama pagal aplinkos ministro tvirtinamus informacinių sistemų elektroninės informacijos saugos politiką įgyvendinančius dokumentus: saugaus elektroninės informacijos tvarkymo taisykles, informacinių sistemų naudotojų administravimo taisykles, informacinių sistemų veiklos tęstinumo valdymo planą (toliau kartu – saugos dokumentai).
3. Saugos nuostatuose vartojamos sąvokos suprantamos taip, kaip jos apibrėžtos 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamente (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas), Lietuvos Respublikos kibernetinio saugumo įstatyme, Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Bendrųjų elektroninės informacijos saugos reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo ir Saugos dokumentų turinio gairių aprašo patvirtinimo“ (toliau – Bendrųjų elektroninės informacijos saugos reikalavimų aprašas).
4. Saugos nuostatai taikomi:
4.1. Aplinkos ministerijai (Vilnius, A. Jakšto g. 4, LT-01105) – informacinių sistemų valdytojai ir jose tvarkomų duomenų valdytojai (toliau – informacinių sistemų valdytojas);
4.2. viešajai įstaigai Statybos sektoriaus vystymo agentūrai (Vilnius, Linkmenų g. 28-1, LT-08217) – informacinių sistemų tvarkytojai ir jose tvarkomų duomenų tvarkytojai (toliau – informacinių sistemų tvarkytojas);
4.3. kitiems informacinių sistemų tvarkytojams, informacinių sistemų duomenų tvarkytojams, nurodytiems informacinių sistemų nuostatuose (toliau – kiti tvarkytojai);
5. Elektroninės informacijos saugos užtikrinimo tikslai yra šie:
5.1. sudaryti sąlygas saugiai automatiniu būdu tvarkyti informacinių sistemų elektroninę informaciją;
5.2. užtikrinti, kad elektroninė informacija būtų patikima ir apsaugota nuo atsitiktinio ar neteisėto sunaikinimo, pakeitimo, atskleidimo, taip pat nuo bet kokio kito neteisėto tvarkymo;
6. Elektroninės informacijos saugos užtikrinimo prioritetinės kryptys yra:
6.5. informacinių sistemų naudotojų mokymas elektroninės informacijos ir asmens duomenų saugos klausimais;
7. Už elektroninės informacijos saugą pagal kompetenciją atsako informacinių sistemų valdytojas, informacinių sistemų tvarkytojas ir kiti tvarkytojai.
8. Informacinių sistemų valdytojas atsako už elektroninės informacijos saugos politikos formavimą, jos įgyvendinimo organizavimą ir priežiūrą, elektroninės informacijos tvarkymo teisėtumą.
9. Informacinių sistemų tvarkytojas pagal kompetenciją atsako už reikiamų administracinių, techninių ir organizacinių saugos priemonių įgyvendinimą, užtikrinimą ir laikymąsi Saugos nuostatuose ir saugos dokumentuose nustatyta tvarka.
10. Informacinių sistemų valdytojas atlieka šias funkcijas:
10.1. tvirtina Saugos nuostatus, saugos dokumentus ir kitus teisės aktus, susijusius su elektroninės informacijos sauga;
10.2. koordinuoja informacinių sistemų tvarkytojo ir kitų tvarkytojų darbą įgyvendinant elektroninės informacijos ir asmens duomenų saugos reikalavimus;
10.4. nagrinėja informacinių sistemų tvarkytojo ir kitų tvarkytojų pasiūlymus dėl elektroninės informacijos saugos priemonių tobulinimo ir priima dėl jų sprendimus;
10.5. prireikus tvirtina informacinių sistemų rizikos vertinimo ir jos valdymo priemonių planą, informacinių technologijų saugos atitikties vertinimo metu nustatytų trūkumų šalinimo planą;
11. Informacinių sistemų tvarkytojas atlieka šias funkcijas:
11.1. užtikrina tinkamą Saugos nuostatuose, saugos dokumentuose ir kituose informacinių sistemų valdytojo priimtuose teisės aktuose, susijusiuose su elektroninės informacijos sauga, nustatytų reikalavimų įgyvendinimą;
11.2. teikia informacinių sistemų valdytojui pasiūlymus dėl informacinių sistemų elektroninės informacijos saugos priemonių tobulinimo;
11.4. pagal kompetenciją reaguoja į informacinių sistemų elektroninės informacijos saugos incidentus ir juos valdo. Jei incidentas turi asmens duomenų saugumo pažeidimo, kaip jis suprantamas Reglamente (ES) 2016/679, požymių, nedelsdamas informuoja informacinių sistemų valdytojo duomenų apsaugos pareigūną;
11.5. pagal kompetenciją teikia Nacionaliniam kibernetinio saugumo centrui prie Krašto apsaugos ministerijos (toliau – Nacionalinis kibernetinio saugumo centras) techninę informaciją, reikalingą informacinių sistemų kibernetiniam saugumui įvertinti, šio centro reikalavimu nurodytais formatais ir terminais arba savo iniciatyva;
11.6. organizuoja ir atlieka informacinių sistemų rizikos ir informacinių technologijų saugos atitikties vertinimą Saugos nuostatų, Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“, (toliau – Organizacinių ir techninių kibernetinio saugumo reikalavimų aprašas) ir Informacinių technologijų saugos atitikties vertinimo metodikos, patvirtintos Lietuvos krašto apsaugos ministro 2020 m. gruodžio 4 d. įsakymu Nr. V-941 „Dėl Informacinių technologijų saugos atitikties vertinimo metodikos patvirtinimo“, (toliau – Saugos atitikties vertinimo metodika) nustatyta tvarka;
11.7. rengia informacinių sistemų rizikos vertinimo ir jos valdymo priemonių planą, informacinių technologijų saugos atitikties vertinimo metu nustatytų trūkumų šalinimo planą;
11.9. pagal kitų tvarkytojų prašymus suteikia jiems teisę administruoti jų tvarkomų informacinių sistemų naudotojus;
12. Kiti tvarkytojai atlieka šias funkcijas:
12.1. pagal kompetenciją užtikrina tinkamą Saugos nuostatuose, saugos dokumentuose ir kituose informacinių sistemų valdytojo priimtuose teisės aktuose, susijusiuose su elektroninės informacijos sauga, nustatytų reikalavimų įgyvendinimą;
12.2. teikia informacinių sistemų valdytojui ir (ar) informacinių sistemų tvarkytojui pasiūlymus dėl tvarkomų informacinių sistemų elektroninės informacijos saugos priemonių tobulinimo;
12.3. užtikrina jų tvarkomų informacinių sistemų naudotojų (darbuotojų) darbo vietose naudojamų administracinių, techninių ir programinių priemonių, užtikrinančių elektroninės informacijos saugą, diegimą ir priežiūrą;
12.4. pagal kompetenciją teikia informacinių sistemų tvarkytojui informaciją, reikalingą tvarkomų informacinių sistemų kibernetiniam saugumui įvertinti;
12.6. informacinių sistemų tvarkytojui suteikus teisę, administruoja jų tvarkomų informacinių sistemų naudotojus ir suteikia jiems prieigos prie šių sistemų teises;
13. Saugos įgaliotinis atlieka šias funkcijas:
13.1. teikia informacinių sistemų valdytojui pasiūlymus dėl Saugos nuostatų ir (ar) saugos dokumentų priėmimo ir keitimo;
13.2. rengia Saugos nuostatų, saugos dokumentų ir kitų teisės aktų, susijusių su elektroninės informacijos sauga, projektus ir teikia juos informacinių sistemų valdytojui tvirtinti;
13.4. koordinuoja elektroninės informacijos saugos incidentų tyrimą ir bendradarbiauja su kompetentingomis institucijomis, tiriančiomis elektroninių ryšių tinklų, elektroninės informacijos saugos incidentus, neteisėtas veikas, susijusias su šiais incidentais, išskyrus atvejus, kai šią funkciją atlieka elektroninės informacijos saugos darbo grupės;
13.5. teikia informacinių sistemų tvarkytojo vadovui pasiūlymus dėl administratorių paskyrimo ir reikalavimų jiems nustatymo;
13.6. teikia informacinių sistemų tvarkytojo vadovui pasiūlymus dėl informacinių technologijų saugos atitikties ir rizikos vertinimo;
13.8. teikia kitų tvarkytojų paskirtiems už elektroninės informacijos saugą atsakingiems asmenims, informacinių sistemų tvarkytojo ir kitų tvarkytojų paskirtiems administratoriams, informacinių sistemų naudotojams ir kitiems informacinių sistemų valdytojo, informacinių sistemų tvarkytojo ir kitų tvarkytojų darbuotojams privalomus vykdyti nurodymus ir pavedimus, jeigu tai būtina elektroninės informacijos saugos politikai įgyvendinti;
13.9. organizuoja administratorių ir informacinių sistemų naudotojų elektroninės informacijos ir asmens duomenų saugos mokymus, reguliariai informuoja juos apie elektroninės informacijos saugos problemas, teikia konsultacijas ir rekomendacijas šios saugos klausimais;
13.10. supažindina su Saugos nuostatais ir saugos dokumentais, atsakomybe už juose nustatytų reikalavimų nesilaikymą informacinių sistemų, kurių saugos įgaliotiniu jis paskirtas, naudotojus;
13.11. atlieka Organizacinių ir techninių kibernetinio saugumo reikalavimų apraše nustatytas už kibernetinio saugumo organizavimą ir užtikrinimą atsakingo asmens funkcijas;
14. Kitų tvarkytojų paskirti už elektroninės informacijos saugą atsakingi asmenys koordinuoja ir prižiūri, kaip įgyvendinami elektroninės informacijos saugos reikalavimai jų tvarkomų informacinių sistemų naudotojų (darbuotojų) darbo vietose.
16. Administratoriai pagal atliekamas funkcijas skirstomi į šias grupes:
16.1. informacinių sistemų naudotojų administratoriai, kurie atlieka funkcijas, susijusias su informacinių sistemų naudotojų teisių valdymu;
16.2. komponentų administratoriai, kurie atlieka funkcijas, susijusias su informacinių sistemų komponentais (kompiuteriais, operacinėmis sistemomis, duomenų bazėmis ir jų valdymo sistemomis, taikomųjų programų sistemomis, ugniasienėmis, įsilaužimų aptikimo ir prevencijos sistemomis, elektroninės informacijos perdavimo tinklais, duomenų saugyklomis, bylų serveriais ir kita technine ir programine įranga, kurios pagrindu funkcionuoja informacinės sistemos, užtikrinama jose tvarkomos elektroninės informacijos sauga ir informacinių sistemų komponentų sąranka);
17. Administratoriai privalo vykdyti saugos įgaliotinio nurodymus ir pavedimus dėl elektroninės informacijos saugos užtikrinimo, pagal kompetenciją reaguoti į elektroninės informacijos saugos incidentus (įskaitant asmens duomenų apsaugos pažeidimus, kaip jie suprantami pagal Reglamentą (ES) 2016/679), ir nuolat teikti saugos įgaliotiniui informaciją apie saugą užtikrinančių pagrindinių komponentų būklę. Jei elektroninės informacijos saugos incidentas turi asmens duomenų apsaugos pažeidimo, kaip jis suprantamas pagal Reglamentą (ES) 2016/679, požymių, administratoriai apie jį privalo nedelsiant informuoti informacinių sistemų valdytojo duomenų apsaugos pareigūną.
18. Kitų tvarkytojų skiriami informacinių sistemų naudotojų administratoriai atlieka Saugos nuostatų 16.1 papunktyje nurodytas funkcijas.
19. Saugos nuostatų 16 punkte nurodytas funkcijas gali atlikti vienas administratorius. Saugos įgaliotinis ir administratoriai gali būti skiriami kelioms informacinių sistemų tvarkytojo tvarkomoms informacinėms sistemoms, posistemiams, funkciškai savarankiškoms sudedamosioms dalims ar tam tikroms saugos įgaliotinio ir administratoriaus funkcijoms atlikti. Jeigu skiriami saugos įgaliotinis ir administratoriai atskirai kiekvienai tvarkomai informacinei sistemai, posistemiui, funkciškai savarankiškoms sudedamosioms dalims ar tam tikroms saugos įgaliotinio ir administratoriaus funkcijoms atlikti, teisės akte, kuriuo jie skiriami, turi būti aiškiai nurodyta, kokiai informacinei sistemai, posistemiui, funkciškai savarankiškoms sudedamosioms dalims ar kurioms saugos įgaliotinio ir administratoriaus funkcijoms atlikti paskiriamas konkretus saugos įgaliotinis ir administratorius. Taip pat šiuo teisės aktu turi būti pavesta vienam iš saugos įgaliotinių ir administratorių koordinuoti šių saugos įgaliotinių ir administratorių veiklą.
20. Teisės aktai, kuriais vadovaujamasi tvarkant informacinių sistemų elektroninę informaciją ir užtikrinant elektroninės informacijos saugą:
20.6. Valstybės informacinių išteklių svarbos vertinimo tvarkos aprašas, patvirtintas Lietuvos Respublikos Vyriausybės 2023 m. liepos 19 d. nutarimu Nr. 576 „Dėl Valstybės informacinių išteklių svarbos vertinimo tvarkos aprašo patvirtinimo“;
20.7. Valstybės informacinių išteklių svarbos vertinimo metodika, patvirtinta Lietuvos Respublikos ekonomikos ir inovacijų ministro 2023 m. liepos 19 d. įsakymu Nr. 4-418 „Dėl Valstybės informacinių išteklių svarbos vertinimo metodikos patvirtinimo“;
20.10. Techninių ir organizacinių reikalavimų, taikomų valstybiniams duomenų centrams ir Lietuvos Respublikoje ar kitose Europos Sąjungos valstybėse narėse, Europos ekonominės erdvės valstybėse ir (ar) Šiaurės Atlanto sutarties organizacijos (NATO) valstybėse narėse esantiems duomenų centrams, kuriuose laikomi valstybės informaciniai ištekliai, aprašas, patvirtintas Lietuvos Respublikos ekonomikos ir inovacijų ministro 2023 m. gegužės 10 d. įsakymu Nr. 4-249 „Dėl Techninių ir organizacinių reikalavimų, taikomų valstybiniams duomenų centrams ir Lietuvos Respublikoje ar kitose Europos Sąjungos valstybėse narėse, Europos ekonominės erdvės valstybėse ir (ar) Šiaurės Atlanto sutarties organizacijos (NATO) valstybėse narėse esantiems duomenų centrams, kuriuose laikomi valstybės informaciniai ištekliai, aprašo ir Valstybinių duomenų centrų sąrašo patvirtinimo“;
20.11. Lietuvos standartai LST ISO/IEC 27001 „Informacijos saugumas, kibernetinis saugumas ir privatumo apsauga. Informacijos saugumo valdymo sistemos. Reikalavimai“, LST ISO/IEC 27002 „Informacijos saugumas, kibernetinis saugumas ir privatumo apsauga. Informacijos saugumo kontrolės priemonės“ ir kiti naujausi Lietuvos ir tarptautiniais grupės „Informacijos saugumas, kibernetinis saugumas ir privatumo apsauga“ standartai, reglamentuojantys saugų elektroninės informacijos tvarkymą.
II SKYRIUS
ELEKTRONINĖS INFORMACIJOS SAUGOS VALDYMAS
21. Informacinės sistemos ir jose tvarkomi duomenys priskiriami Saugos nuostatų priede nurodytoms valstybės informacinių išteklių rūšims.
22. Informacinių sistemų rizikos vertinimas organizuojamas taip:
22.1. Saugos įgaliotinis, atsižvelgdamas į Nacionalinio kibernetinio saugumo centro interneto svetainėje skelbiamą metodinę priemonę „Rizikos analizės vadovas“, Lietuvos ir tarptautinius grupės „Informacijos technologija. Saugumo technika“ standartus, kasmet organizuoja informacinių sistemų rizikos vertinimą. Šis vertinimas gali būti atliekamas kartu su informacinių technologijų saugos atitikties vertinimu. Po esminių organizacinių ar sisteminių informacinių sistemų pokyčių saugos įgaliotinis gali organizuoti neeilinį informacinių sistemų rizikos vertinimą. Informacinių sistemų rizikos vertinimą rekomenduojama įtraukti į informacinių sistemų tvarkytojų veiklos rizikos vertinimo procesus.
22.2. Organizuojant rizikos vertinimą, turi būti paskirtas už rizikos vertinimą, rizikos vertinimo proceso priežiūrą ir nuolatinį tobulinimą atsakingas asmuo. Atsakingu asmeniu gali būti skiriamas informacinių sistemų tvarkytojo darbuotojas arba sudaroma sutartis su rizikos vertinimo, rizikos vertinimo proceso priežiūros ir nuolatinio tobulinimo paslaugas teikiančiu subjektu, kurio kvalifikacijos reikalavimai nustatomi pirkimo dokumentuose.
22.3. Rizikos vertinimo metu turi būti:
22.3.1. nustatomos grėsmės ir pažeidžiamumai, galintys daryti poveikį informacinių sistemų elektroninės informacijos saugai;
22.3.4. nustatomi rizikos vertinimo proceso reikalavimai, rizikos išdėstymo pagal prioritetus kriterijai ir priimtinas rizikos lygis;
22.4. Informacinių sistemų rizikos vertinimo rezultatai išdėstomi rizikos vertinimo ataskaitoje, kuri pateikiama informacinių sistemų valdytojo ir tvarkytojo vadovams. Ši ataskaita rengiama įvertinant rizikos veiksnius, galinčius daryti poveikį elektroninės informacijos saugai, jų galimą žalą, pasireiškimo tikimybę ir pobūdį, galimus rizikos valdymo būdus, rizikos priimtinumo kriterijus. Rizikos veiksniai ataskaitoje išdėstomi pagal prioritetus ir priimtiną rizikos lygį. Svarbiausi rizikos veiksniai yra:
22.4.1. subjektyvūs netyčiniai (elektroninės informacijos tvarkymo klaidos ir apsirikimai, elektroninės informacijos ištrynimas, klaidingas šios informacijos teikimas, fiziniai elektroninės informacijos technologijų sutrikimai, elektroninės informacijos perdavimo tinklais sutrikimai, programinės įrangos klaidos, netinkamas veikimas ir kita);
22.4.2. subjektyvūs tyčiniai (nesankcionuotas naudojimasis informacine sistema elektroninei informacijai gauti, elektroninės informacijos pakeitimas ar sunaikinimas, informacinių technologijų duomenų perdavimo tinklais sutrikdymai, saugumo pažeidimai, vagystės ir kita);
22.4.3. veiksniai, nurodyti Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių, patvirtintų Lietuvos Respublikos Vyriausybės 1996 m. liepos 15 d. nutarimu Nr. 840 „Dėl Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių patvirtinimo“, 3 punkte.
23. Informacinių sistemų informacinių technologijų saugos atitikties vertinimas turi būti:
23.1. organizuojamas siekiant užtikrinti saugos dokumentuose nustatytų elektroninės informacijos saugos reikalavimų įgyvendinimo organizavimą ir kontrolę;
24. Rizikos vertinimo ataskaita ir prireikus pastebėtų trūkumų šalinimo planas pateikiami informacinių sistemų valdytojo vadovui. Prireikus pastebėtų trūkumų šalinimo planą tvirtina, atsakingus vykdytojus paskiria ir šio plano įgyvendinimo terminus nustato informacinių sistemų valdytojo vadovas.
25. Informacinių sistemų tvarkytojas rizikos vertinimo ataskaitos, informacinių technologijų saugos atitikties vertinimo ataskaitos, rizikos vertinimo ir jos valdymo priemonių plano ir pastebėtų trūkumų šalinimo plano kopijas ne vėliau kaip per 5 darbo dienas nuo šių dokumentų patvirtinimo dienos pateikia Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemai Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemos nuostatų, patvirtintų Lietuvos Respublikos krašto apsaugos ministro 2018 m. gruodžio 11 d. nutarimu Nr. V-1183 „Dėl Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemos nuostatų patvirtinimo“, nustatyta tvarka.
26. Atsižvelgiant į rizikos vertinimo rezultatus, taip pat jeigu atliekamų informacinių sistemų informacinių technologijų saugos atitikties vertinimo metu nustatoma kibernetinių incidentų valdymo ir šalinimo ar informacinių sistemų tvarkytojų nepertraukiamos veiklos užtikrinimo trūkumų, atitinkamai turi būti tobulinamas aplinkos ministro įsakymu tvirtinamas informacinių sistemų veiklos tęstinumo valdymo planas. Šio plano veiksmingumo išbandymo rezultatai išdėstomi informacinių sistemų veiklos tęstinumo plano valdymo veiksmingumo išbandymo ir pastebėtų trūkumų ataskaitose, kurių kopijos ne vėliau kaip per 5 darbo dienas nuo šių dokumentų patvirtinimo dienos pateikiamos Nacionaliniam kibernetinio saugumo centrui.
27. Elektroninės informacijos saugos būklė gerinama techninėmis, programinėmis, organizacinėmis ir kitomis elektroninės informacijos saugos priemonėmis, kurios parenkamos atsižvelgus į informacinių sistemų valdytojos skiriamas lėšas, vadovaujantis šiais principais:
III SKYRIUS
ORGANIZACINIAI IR TECHNINIAI REIKALAVIMAI
28. Organizaciniai ir techniniai elektroninės informacijos saugos reikalavimai nustatomi pagal Saugos nuostatų priede nurodytas valstybės informacinių išteklių rūšis (svarbumą), vadovaujantis Saugos nuostatų 20 punkte nurodytais teisės aktais ir Valstybinės duomenų apsaugos inspekcijos interneto svetainėje skelbiamomis Tvarkomų asmens duomenų saugumo priemonių ir rizikos įvertinimo gairėmis duomenų valdytojams ir duomenų tvarkytojams.
29. Kibernetinio saugumo priemonės, nurodytos saugos dokumentuose, remiantis Organizacinių ir techninių kibernetinio saugumo reikalavimų aprašo priedu, turi būti diegiamos atsižvelgiant į naujausius technikos laimėjimus, vadovaujantis gamintojo pateikiama bent viena gerąja saugumo praktikos rekomendacija.
30. Organizacinių ir techninių elektroninės informacijos saugos priemonių užtikrinimas turi būti grindžiamas grėsmių ir pažeidžiamumų, galinčių daryti poveikį elektroninės informacijos saugai, rizikos vertinimu, atsižvelgiant į naujausius technikos laimėjimus.
31. Pagrindiniai organizaciniai ir techniniai elektroninės informacijos saugos reikalavimai:
31.1. Turi būti naudojama ir operatyviai atnaujinama programinė įranga, skirta informacinėms sistemoms apsaugoti nuo kenksmingos programinės įrangos (virusų, programinės įrangos, skirtos šnipinėjimui, nepageidaujamų elektroninių laiškų ir pan.). Šios programinės įrangos naudojimo ir atnaujinimo reikalavimai (ilgiausias leistinas programinės įrangos neatnaujinimo laikas ir kita) nustatomi informacinių sistemų saugaus elektroninės informacijos tvarkymo taisyklėse.
31.2. Informacinių sistemų techninėje įrangoje ir vidinių informacinių sistemų naudotojų kompiuteriuose turi būti naudojama tik legali programinė įranga. Programinės įrangos, įdiegtos kompiuteriuose ir serveriuose, naudojimo ir atnaujinimo reikalavimai nustatomi informacinių sistemų saugaus elektroninės informacijos tvarkymo taisyklėse.
31.3. Turi būti naudojama kompiuterių tinklo filtravimo įranga (užkardos, turinio kontrolės sistemos, įgaliotieji serveriai (angl. proxy) ir kita). Kompiuterių tinklo filtravimo įrangos naudojimo tvarka nustatoma informacinių sistemų saugaus elektroninės informacijos tvarkymo taisyklėse.
31.4. Užtikrinant saugų elektroninės informacijos teikimą ir (ar) gavimą, turi būti naudojamas šifravimas, virtualus privatus tinklas, skirtinės linijos, saugus elektroninių ryšių tinklas ar kitos priemonės, kuriomis užtikrinamas saugus elektroninės informacijos perdavimas. Metodai, kuriais leidžiama užtikrinti saugų elektroninės informacijos teikimą ir (ar) gavimą (nuotolinio prisijungimo prie informacinių sistemų būdai, protokolai, elektroninės informacijos keitimosi formatai, šifravimo, elektroninės informacijos kopijų skaičiaus reikalavimai, reikalavimai teikti ir (ar) gauti elektroninę informaciją automatiniu būdu tik pagal duomenų teikimo sutartyse nustatytas specifikacijas ir sąlygas, ir panašiai), nustatomi informacinių sistemų saugaus elektroninės informacijos tvarkymo taisyklėse.
31.5. Stacionarius kompiuterius leidžiama naudoti tik informacinių sistemų valdytojo ir informacinių sistemų tvarkytojų patalpose. Nešiojamiesiems kompiuteriams, išnešamiems iš informacinių sistemų valdytojo ar informacinių sistemų tvarkytojų patalpų, turi būti taikomos papildomos saugos priemonės (elektroninės informacijos šifravimas, prisijungimo ribojimas ir panašiai).
32. Pagrindiniai atsarginių elektroninės informacijos kopijų darymo ir atkūrimo reikalavimai:
32.1. Atsarginių elektroninės informacijos kopijų darymo strategija turi būti pasirenkama atsižvelgiant į priimtiną elektroninės informacijos praradimą (angl. recovery point objective) ir priimtiną informacinių sistemų neveikimo laikotarpį (angl. recovery time objective).
32.2. Atsarginės elektroninės informacijos kopijos turi būti daromos ir saugomos taip, kad informacinių sistemų veiklos sutrikimo, elektroninės informacijos saugos incidento ar elektroninės informacijos vientisumo praradimo atvejais šių sistemų neveikimo laikotarpis nebūtų ilgesnis, nei teisės aktais nustatyta valstybės informacinių sistemų ištekliams, nurodytiems Saugos nuostatų priede, atsižvelgus į jų svarbumą.
32.3. Atsarginės elektroninės informacijos kopijos turi būti daromos automatiškai ir periodiškai, bet ne rečiau, nei nustatyta informacinių sistemų saugaus elektroninės informacijos tvarkymo taisyklėse.
32.4. Elektroninė informacija atsarginėse elektroninės informacijos kopijose turi būti užšifruota (šifravimo raktai turi būti saugomi atskirai nuo atsarginių elektroninės informacijos kopijų) arba turi būti imtasi kitų priemonių, kurios neleistų neteisėtai atkurti elektroninės informacijos.
32.5. Atsarginių elektroninės informacijos kopijų laikmenos turi būti žymimos, kad jas būtų galima identifikuoti, ir saugomos nedegioje spintoje kitose patalpose, nei yra informacinių sistemų tarnybinės stotys ar įrenginys, kurio elektroninė informacija buvo nukopijuota, arba kitame pastate.
IV SKYRIUS
REIKALAVIMAI PERSONALUI
33. Informacinių sistemų naudotojų, saugos įgaliotinio ir administratorių kvalifikaciniai reikalavimai:
33.1. Informacinių sistemų naudotojai privalo turėti pagrindinių darbo kompiuteriu, taikomosiomis programomis įgūdžių, mokėti tvarkyti elektroninę informaciją, būti susipažinę su teisės aktais, reglamentuojančiais asmens duomenų tvarkymą, informacinių sistemų elektroninės informacijos tvarkymą. Asmenys, tvarkantys duomenis ir informaciją, privalo saugoti jų paslaptį ir būti pasirašę pasižadėjimą saugoti duomenų ir informacijos paslaptį. Įsipareigojimas saugoti paslaptį galioja ir nutraukus su elektroninės informacijos tvarkymu susijusią veiklą. Pastebėję galimą pažeidimą (elektroninės informacijos saugos incidentą) ar neveikiančias duomenų saugos užtikrinimo priemones, informacinių sistemų naudotojai privalo nedelsdami apie tai pranešti administratoriams arba saugos įgaliotiniui, jei incidentas turi asmens duomenų saugumo pažeidimo požymių, – informuoti informacinių sistemų valdytojo duomenų apsaugos pareigūną.
33.2. Saugos įgaliotinis privalo išmanyti elektroninės informacijos saugos užtikrinimo principus, tobulinti kvalifikaciją elektroninės informacijos saugos srityje, savo darbe vadovautis Bendrųjų elektroninės informacijos saugos reikalavimų aprašu, Organizacinių ir techninių kibernetinio saugumo reikalavimų aprašu, kitais Lietuvos Respublikos ir Europos Sąjungos teisės aktais, reguliuojančiais elektroninės informacijos saugą. Saugos įgaliotiniu negali būti skiriamas asmuo, turintis neišnykusį ar nepanaikintą teistumą už nusikaltimą elektroninių duomenų ir informacinių sistemų saugumui, taip pat paskirtą administracinę nuobaudą už neteisėtą asmens duomenų tvarkymą ir privatumo apsaugos pažeidimą elektroninių ryšių srityje, elektroninių ryšių išteklių naudojimo ir skyrimo taisyklių pažeidimą, elektroninių ryšių tinklo gadinimą ar savavališką prisijungimą prie tinklo arba galinių įrenginių, kurie trukdo šių ryšių tinklo veikimui, už savavališką prisijungimą arba elektroninių ryšių infrastruktūros įrengimo, naudojimo ir apsaugos sąlygų ir taisyklių pažeidimą, jeigu nuo jos paskyrimo praėję mažiau kaip vieni metai.
33.3. Administratoriai pagal kompetenciją privalo išmanyti elektroninės informacijos saugos užtikrinimo principus, mokėti užtikrinti informacinių sistemų ir jose tvarkomos elektroninės informacijos saugą, administruoti ir prižiūrėti informacinių sistemų komponentus (stebėti šių sistemų komponentų veikimą, atlikti jų profilaktinę priežiūrą, sutrikimų diagnostiką ir šalinimą, sugebėti užtikrinti informacinių sistemų komponentų nepertraukiamą funkcionavimą ir pan.).
34. Informacinių sistemų naudotojų mokymų planavimas ir organizavimas:
34.1. Saugos įgaliotinis periodiškai, ne rečiau kaip kartą metus, inicijuoja, organizuoja ir koordinuoja informacinių sistemų naudotojų mokymus elektroninės informacijos saugos klausimais, periodiškai informuoja juos apie saugos problemas (pavyzdžiui, priminimai elektroniniu paštu, teminių renginių organizavimas, atmintinės naujiems informacinių sistemų naudotojams).
34.2. Mokymai elektroninės informacijos saugos klausimais turi būti planuojami ir mokymo būdai parenkami atsižvelgiant į elektroninės informacijos saugos užtikrinimo prioritetines kryptis ir tikslus, įdiegtas ar planuojamas diegti technologijas (techninę ar programinę įrangą), informacinių sistemų naudotojų poreikius.
34.3. Mokymai gali būti vykdomi tiesiogiai (paskaitos, seminarai, konferencijos, kiti teminiai renginiai) ar nuotoliniu būdu (vaizdo konferencijos, mokomosios medžiagos pateikimas elektroninėje erdvėje ir pan.).
V SKYRIUS
INFORMACINIŲ SISTEMŲ naudotojų, administratorių ir kitų suinteresuotų šalių supažindinimo su saugos dokumentais principai
36. Informacinių sistemų naudotojų ir administratorių supažindinimą su saugos dokumentais ir atsakomybe už saugos dokumentų nuostatų pažeidimus organizuoja saugos įgaliotinis.
37. Supažindinimo su saugos dokumentais būdai pasirenkami atsižvelgiant į informacinių sistemų specifiką (pavyzdžiui, organizacinių ir (ar) techninių priemonių, leidžiančių identifikuoti su saugos dokumentais susipažinusį asmenį ir užtikrinančių supažindinimo procedūros įrodomąją (teisinę) galią, panaudojimo galimybes). Asmenys su saugos dokumentais supažindinami pasirašytinai arba elektroniniu būdu, užtikrinančiu supažindinimo įrodomumą. Informacinių sistemų funkcionavimą užtikrinančius paslaugų teikėjus su saugos dokumentais, atsakomybe už jų reikalavimų pažeidimus supažindina už minėtų paslaugų teikimo sutarties vykdymą atsakingas asmuo – informacinių sistemų tvarkytojo atstovas.
38. Pakartotinai su saugos dokumentais informacinių sistemų naudotojai, administratoriai ir kiti asmenys supažindinami tik iš esmės pasikeitus informacinių sistemų ir (arba) elektroninės informacijos saugą reglamentuojantiems teisės aktams.
VI SKYRIUS
BAIGIAMOSIOS NUOSTATOS
40. Saugos dokumentai turi būti peržiūrimi ne rečiau kaip kartą per kalendorinius metus. Saugos dokumentai turi būti peržiūrimi atlikus rizikos vertinimą ar informacinių technologijų saugos atitikties vertinimą arba įvykus esminiams organizaciniams, sisteminiams ar kitiems informacinių sistemų valdytojo pokyčiams. Peržiūrėjus saugos dokumentus, turi būti nustatoma, kuriuos iš juose nustatytų elektroninės informacijos saugos reikalavimų būtina atnaujinti ir (ar) įgyvendinti pirmiausia, siekiant užtikrinti informacinių sistemų saugą ir kibernetinį saugumą.
Lietuvos Respublikos aplinkos ministerijos
valdomų ir viešosios įstaigos Statybos
sektoriaus vystymo agentūros tvarkomų
informacinių sistemų saugos nuostatų
priedas
LIETUVOS RESPUBLIKOS APLINKOS MINISTERIJOS VALDOMŲ IR VIEŠOSIOS ĮSTAIGOS STATYBOS SEKTORIAUS VYSTYMO AGENTŪROS TVARKOMŲ INFORMACINIŲ SISTEMŲ SĄRAŠAS
| Eil. Nr. |
Informacinės sistemos pavadinimas |
Valstybės informacinių išteklių rūšis |
| 1. |
Georeferencinio pagrindo kadastras |
Svarbūs valstybės informaciniai ištekliai |
| 2. |
Lietuvos erdvinės informacijos portalas |
Vidutinės svarbos valstybės informaciniai ištekliai |
| 3. |
Topografijos ir inžinerinės infrastruktūros informacinė sistema |
Svarbūs valstybės informaciniai ištekliai |
| 4. |
Žemės informacinė sistema |
Vidutinės svarbos valstybės informaciniai ištekliai |