Lietuvos Respublikos FINANSŲ MINISTRAS
ĮSAKYMAS
DĖL STEBĖSENOS INFORMACINĖS SISTEMOS NUOSTATŲ IR STEBĖSENOS INFORMACINĖS SISTEMOS DUOMENŲ SAUGOS NUOSTATŲ PATVIRTINIMO
2020 m. sausio 10 d. Nr. 1K-1
Vilnius
Vadovaudamasis Lietuvos Respublikos Vyriausybės 2019 m. lapkričio 27 d. nutarimo Nr. 1199 „Dėl Lietuvos Respublikos Vyriausybės 2011 m. gegužės 4 d. nutarimo Nr. 518 „Dėl Stebėsenos informacinės sistemos nuostatų ir stebėsenos informacinės sistemos duomenų saugos nuostatų patvirtinimo“ pripažinimo netekusiu galios“ 2 punktu ir atsižvelgdamas į Strateginio planavimo metodiką, patvirtintą Lietuvos Respublikos Vyriausybės 2002 m. birželio 6 d. nutarimu Nr. 827 „Dėl Strateginio planavimo metodikos patvirtinimo“, Valstybės informacinių sistemų steigimo, kūrimo, modernizavimo ir likvidavimo tvarkos aprašą, patvirtintą Lietuvos Respublikos Vyriausybės 2013 m. vasario 27 d. nutarimu Nr. 180 „Dėl Valstybės informacinių sistemų steigimo, kūrimo, modernizavimo ir likvidavimo tvarkos aprašo patvirtinimo“, ir Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimą Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“:
1. T v i r t i n u pridedamus:
2. S k i r i u Stebėsenos informacinės sistemos saugos įgaliotiniu Lietuvos Respublikos finansų ministerijos Informacinių technologijų departamento vyriausiąjį specialistą, pagal pareigybės aprašymą vykdantį Finansų ministerijos informacinių sistemų saugos įgaliotinio funkcijas.
3. P a v e d u Informacinių technologijų departamentui peržiūrėti saugos politiką įgyvendinančius dokumentus, reglamentuojančius Finansų ministerijos tvarkomų ir (ar) valdomų informacinių sistemų elektroninės informacijos saugą, ir parengti bei pateikti tvirtinti naujus dokumentus ar galiojančių dokumentų pakeitimus ne vėliau kaip per 6 mėnesius nuo Stebėsenos informacinės sistemos duomenų saugos nuostatų patvirtinimo dienos.
Finansų ministras Vilius Šapoka
| SUDERINTA Lietuvos Respublikos ekonomikos ir inovacijų ministerijos 2019-12-20 d. raštu Nr. (41.3-91E) 3-4717
|
SUDERINTA Lietuvos Respublikos krašto apsaugos ministerijos 2020-01-06 d. raštu Nr. 12-01-10
|
| SUDERINTA Lietuvos Respublikos vidaus reikalų ministerijos 2019-12-31 d. raštu Nr. 1D-6565
SUDERINTA Valstybinės duomenų apsaugos inspekcijos 2019-12-20 d. raštu Nr. 2R- 6005 (3.33.E) |
SUDERINTA Nacionalinio kibernetinio saugumo centro prie Krašto apsaugos ministerijos 2020-01-09 d. raštu Nr. (4.2) 6K-16
|
PATVIRTINTA
Lietuvos Respublikos finansų ministro
2020 m. sausio 10 d. įsakymu Nr. 1K-1
STEBĖSENOS INFORMACINĖS SISTEMOS NUOSTATAI
I SKYRIUS
BENDROSIOS NUOSTATOS
1. Stebėsenos informacinės sistemos nuostatuose (toliau – Nuostatai) reglamentuojamas Stebėsenos informacinės sistemos (toliau – SIS) tikslas, uždaviniai, funkcijos, organizacinė, informacinė ir funkcinė struktūra, SIS duomenų teikimo ir naudojimo tvarka, SIS duomenų sauga, SIS finansavimo, modernizavimo ir likvidavimo tvarka.
2. SIS – visuma organizacinių, ryšio ir programinių priemonių ir duomenų bazių, padedančių Lietuvos Respublikos Vyriausybei įgyvendinti į rezultatus orientuoto valdymo principus, vykdyti strateginio planavimo dokumentų, įskaitant ir valstybės institucijų ir įstaigų, kurių informacija kaupiama SIS (toliau – Įstaigos), strateginių veiklos planų įgyvendinimo rezultatų stebėseną.
3. SIS steigimo pagrindas – Strateginio planavimo metodika, patvirtinta Lietuvos Respublikos Vyriausybės 2002 m. birželio 6 d. nutarimu Nr. 827 „Dėl Strateginio planavimo metodikos patvirtinimo“.
4. SIS tikslas – informacinių technologijų priemonėmis atlikti nuolatinę strateginio planavimo dokumentų įgyvendinimo rezultatų stebėseną, rinkti, kaupti ir teikti Įstaigų veiklos rezultatų duomenis, reikalingus veiklos rezultatų analizei atlikti, asmenims, turintiems teisę juos gauti.
5. SIS uždaviniai yra:
5.1. sukurti ir įdiegti priemones, kurios užtikrintų duomenų apie pasiektus Įstaigų veiklos tikslus ir rezultatus tikslumą, vientisumą, patikimumą ir jų pateikimą Vyriausybei nustatytais terminais;
5.2. centralizuoti duomenų apie Įstaigų veiklos rezultatus kaupimą, kontroliuoti stebėsenos duomenis, susijusius su Įstaigų veikla;
5.3. sudaryti sąlygas laiku priimti sprendimus dėl Vyriausybės programos įgyvendinimo, dėl Įstaigų strateginių veiklos planų vykdymo ir atsiskaitymo, siekiant pagerinti Įstaigų veiklos rezultatus;
6. SIS funkcijos yra:
6.1. kaupti duomenis, reikalingus strateginio planavimo dokumentų, Vyriausybės programos įgyvendinimo ir Įstaigų veiklos rezultatų stebėsenai vykdyti;
6.3. kaupti, saugoti, apdoroti, sisteminti ir kitaip tvarkyti duomenis apie Vyriausybės programos įgyvendinimo rezultatus, strateginio planavimo dokumentuose numatytus rodiklius, Įstaigų strateginių veiklos planų vertinimo kriterijus ir kitą reikalingą informaciją.
7. Asmens duomenų tvarkymo SIS tikslas identifikuoti ir autentifikuoti SIS naudotojus ir SIS administratorius, fiksuoti jų atliktus veiksmus SIS, elektroniniu būdu tvarkyti informacinės sistemos duomenis, teikti strateginio planavimo dokumentų informaciją duomenų gavėjoms – valstybės institucijoms ir įstaigoms.
8. Teisės aktai, reglamentuojantys SIS veiklos sritį:
8.1. 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL 2016 L 119, p. 1) (toliau – Bendrasis duomenų apsaugos reglamentas);
8.3. Valstybės informacinių sistemų steigimo, kūrimo, modernizavimo ir likvidavimo tvarkos aprašas, patvirtintas Lietuvos Respublikos Vyriausybės 2013 m. vasario 27 d. nutarimu Nr. 180 „Dėl Valstybės informacinių sistemų steigimo, kūrimo, modernizavimo ir likvidavimo tvarkos aprašo patvirtinimo“;
8.4. Lietuvos Respublikos Vyriausybės 2002 m. birželio 6 d. nutarimas Nr. 827 „Dėl Strateginio planavimo metodikos patvirtinimo“;
8.5. Bendrųjų elektroninės informacijos saugos reikalavimų aprašas, patvirtintas Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“;
8.6. Techniniai valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimai, patvirtinti Lietuvos Respublikos vidaus reikalų ministro 2013 m. spalio 4 d. įsakymu Nr. 1V-832 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų patvirtinimo“.
II SKYRIUS
SIS ORGANIZACINĖ STRUKTŪRA
10. SIS organizacinė struktūra:
10.1. SIS valdytoja ir tvarkytoja, taip pat ir asmens duomenų valdytoja ir tvarkytoja yra Lietuvos Respublikos finansų ministerija, kuri turi Valstybės informacinių išteklių valdymo įstatyme ir Bendrajame duomenų apsaugos reglamente nurodytas teises ir pareigas bei atlieka jai nustatytas funkcijas, taip pat:
10.1.1. rengia ir priima teisės aktus, kuriais vadovaujantis į SIS turi būti pateikiami Įstaigų veiklos rezultatų stebėsenos duomenys ir kita su stebėsenos objektais susijusi informacija;
10.1.2. rengia ir priima teisės aktus, susijusius su SIS duomenų tvarkymu ir duomenų sauga, ir prižiūri, kaip šių teisės aktų laikomasi;
10.1.4. rengia SIS veikimui užtikrinti reikalingus dokumentus (SIS naudotojo ir SIS administratoriaus vadovai, SIS specifikacija ir panašiai);
10.1.10. operatyviai fiksuoja pastebėtas gaunamų SIS duomenų klaidas, netikslumus ir SIS darbo trūkumus, informuoja apie juos SIS naudotojus;
10.1.11. užtikrina, kad į SIS patektų reikiami duomenys iš Valstybės biudžeto, apskaitos ir mokėjimų sistemos (toliau – VBAMS), kurios valdytoja yra Finansų ministerija;
10.1.12. organizacinėmis, teisinėmis, techninėmis ir programinėmis priemonėmis užtikrina SIS tvarkomų duomenų apsaugą nuo atsitiktinio ar neteisėto sunaikinimo, pakeitimo, atskleidimo, taip pat kitokio neteisėto tvarkymo;
10.2. SIS duomenų teikėjai yra:
10.2.2. Įstaigos:
11. Įstaigos Vyriausybės nustatytu terminu pateikia į SIS Nuostatų 12.1 ir 12.4 papunkčiuose nurodytus duomenis ar SIS valdytojo nustatytu terminu – Nuostatų 12.2 papunktyje nurodytus duomenis bei užtikrina teikiamų duomenų vientisumą ir kokybę, o jeigu yra duomenų kokybės trūkumų, juos nedelsdamos šalina.
III SKYRIUS
SIS INFORMACINĖ STRUKTŪRA
12. SIS duomenų bazėje kaupiami ir SIS tvarkomi šie duomenys:
12.1. strateginio planavimo dokumentų duomenys:
12.1.1. Valstybės pažangos strategijos duomenys:
12.1.2. Nacionalinės pažangos programos duomenys:
12.1.3. Vienos ar kelių valdymo sričių plėtros programos duomenys:
12.1.4. Vyriausybės programos įgyvendinimo plano duomenys:
12.1.5. Vyriausybės veiklos prioritetų duomenys:
12.1.6. tarpinstitucinių veiklos planų duomenys:
12.1.7. strateginių veiklos planų duomenys:
12.2. Įstaigų duomenys:
12.3. naudotojų, dirbančių su SIS, duomenys:
13. SIS veikimui užtikrinti reikalingi duomenys gaunami iš:
13.1. Lietuvos Respublikos Vyriausybės kanceliarijos – Nuostatų 12.1.1, 12.1.2 (planiniai duomenys), 12.1.4, 12.1.5 papunkčiuose nurodyti duomenys;
13.3. ministrų valdymo srityse veikiančių Įstaigų – Nuostatų 12.1.2 (faktiniai duomenys), 12.1.3, 12.1.6, 12.1.7 papunkčiuose nurodyti duomenys;
IV SKYRIUS
SIS FUNKCINĖ STRUKTŪRA
14. SIS funkcinę struktūrą sudaro:
14.1. keitimosi duomenimis komponentė, kuri:
14.2. apdorojimo taisyklių apibrėžimo komponentė, kurią sudaro priemonės, suteikiančios galimybę:
14.2.2. nustatyti strateginio planavimo dokumentų objektų (strateginio tikslo, programos, programos tikslo, uždavinio, priemonės) ir vertinimo kriterijų tarpusavio sąsajas;
14.2.3. nustatyti strateginius tikslus, jų programas, programų tikslus, uždavinius, priemones, priemonių veiklas (jeigu reikia jas vertinti);
14.2.4. priskirti strateginių veiklos planų strateginiams tikslams, programų tikslams, uždaviniams atitinkamus kriterijus (efekto, rezultato, produkto) iš kriterijų sąrašo ar sukurti naujus kriterijus;
14.2.5. nustatyti siektinas vertinimo kriterijų reikšmes, jų pateikimo periodiškumą, kitus svarbius parametrus (matavimo vienetai, tipai, vertinimo intervalai ir kita);
14.2.6. susieti strateginių veiklos planų duomenis pagal aprašytą hierarchiją su aukštesnio lygio strateginio planavimo dokumentų duomenimis;
14.2.7. nustatyti strateginio planavimo dokumentų objektų ir vertinimo kriterijų atitinkamų duomenų tarpusavio įtakos svorius (svertinius svorius), pagal kuriuos stebimas dokumentų įgyvendinimas ir vertinami laimėjimai;
14.2.8. patikrinti aprašytų strateginio planavimo dokumentų objektų ir vertinimo kriterijų išsamumą ir tinkamumą;
14.2.9. tvirtinti ir publikuoti aprašytus strateginio planavimo dokumentų objektus ir vertinimo kriterijus;
14.2.10. ieškoti, grupuoti ir išsaugoti strateginio planavimo dokumentų objektus ir vertinimo kriterijus;
14.3. analizės komponentė, kurią sudaro priemonės, suteikiančios galimybę:
14.4. vizualizavimo komponentė, suteikianti galimybę vykdyti SIS pateiktų strateginio planavimo dokumentų įgyvendinimo vertinimo kriterijų (rodiklių) pasiekimo išsamią analizę;
14.5. publikavimo komponentė, kuri suteikia SIS naudotojams galimybę pagal suteiktas teises naudotis integruota prieiga prie analizės priemonių ir publikuojamų ataskaitų rezultatų;
14.6. darbo sekos kontrolės komponentė, kuri suteikia SIS naudotojams galimybę:
V SKYRIUS
SIS DUOMENŲ TEIKIMAS IR NAUDOJIMAS
16. SIS duomenys (išskyrus asmens duomenis) yra vieši ir neatlygintinai teikiami duomenų gavėjams atsižvelgiant į SIS tikslą, uždavinius ir funkcijas.
17. Duomenys iš registrų ir valstybės informacinių sistemų SIS teikiami registrų ir valstybės informacinių sistemų nuostatų ir duomenų teikimo sutartyse nustatyta tvarka ir sąlygomis. Duomenų teikimo į SIS sutartis su registrų tvarkymo įstaigomis ir valstybės informacinių sistemų valdytojais pasirašo SIS valdytojas.
18. SIS duomenys teikiami pagal duomenų teikimo sutartis (daugkartinio teikimo atvejais) arba pagal duomenų gavėjo prašymą (vienkartinio teikimo atvejais):
18.1. kai SIS duomenys teikiami duomenų gavėjui pagal duomenų teikimo sutartį, sutartyje turi būti nustatyta teikiamų SIS duomenų apimtis, SIS duomenų teikimo ir gavimo teisinis pagrindas, tvarkymo tikslas, duomenų teikimo būdas, duomenų formatas, teikimo terminai, informavimo apie klaidų ištaisymą tvarka ir terminai, sutarties keitimo tvarka, kitos sąlygos ir tvarka;
18.2. kai SIS duomenys teikiami pagal duomenų gavėjo prašymą, prašyme turi būti nurodytas prašomų SIS duomenų teikimo ir gavimo teisinis pagrindas, jų tvarkymo tikslas, apimtis, teikimo būdas, teikiamų duomenų formatas. Perdavimo metu pasirašomas SIS duomenų priėmimo–perdavimo dokumentas. Atsisakymas teikti SIS duomenis gali būti skundžiamas Lietuvos Respublikos teisės aktų nustatyta tvarka.
19. SIS duomenys duomenų gavėjams gali būti teikiami, perduodami panaudojant tinklines paslaugas automatiniu būdu, teikiami raštu arba žodžiu ir (arba) elektroninių ryšių priemonėmis.
20. SIS duomenys duomenų gavėjui teikiami tokio turinio ir tokios formos, kokius naudoja SIS valdytojas ir kokių nereikia papildomai apdoroti.
21. Tais atvejais, kai teikiamų SIS duomenų turinys ar forma neatitinka prašančiojo duomenų gavėjo poreikių arba prašantysis duomenų gavėjas neturi techninių galimybių tinkamai apdoroti gaunamų duomenų, SIS duomenų valdytojas pagal poreikį gali SIS sukurti reikiamas papildomas funkcines ar kitas priemones SIS duomenims pateikti.
23. Duomenų gavėjai, SIS naudotojai ir kiti asmenys, kurių asmens duomenys tvarkomi SIS, turi teisę reikalauti, kad būtų ištaisyti neteisingi ar netikslūs jų asmens duomenys. Pastebėjus SIS duomenų netikslumų, apie pastebėtus netikslumus elektroninių ryšių priemonėmis arba raštu turi būti pranešama SIS valdytojui, jei reikia, pateikiant papildomus dokumentus.
24. SIS valdytojas, gavęs informaciją apie nustatytus jam perduotus neteisingus ar netikslius duomenis, privalo per 5 darbo dienas nuo informacijos gavimo dienos patikrinti pateiktą informaciją ir, jeigu ji pasitvirtina, ištaisyti netikslius duomenis. Ištaisęs netikslius duomenis, SIS valdytojas nedelsdamas (bet ne ilgiau kaip per 3 darbo dienas) apie tai praneša duomenų gavėjams, SIS naudotojams ar kitiems asmenims, kuriems perduoti netikslūs duomenys.
VI SKYRIUS
SIS DUOMENŲ SAUGA
25. SIS duomenų sauga reglamentuojama:
25.2. Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“;
25.3. finansų ministro patvirtintuose Stebėsenos informacinės sistemos duomenų saugos nuostatuose ir kituose saugos politiką įgyvendinančiuose dokumentuose, kurie rengiami, derinami ir tvirtinami Vyriausybės nustatyta tvarka;
25.4. Lietuvos Respublikos vidaus reikalų ministro 2013 m. spalio 4 d. įsakyme Nr. 1V-832 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų patvirtinimo“;
25.5. Lietuvos standartuose LST ISO/IEC 27002 „Informacinės technologijos. Saugumo metodai. Informacijos saugumo valdymo priemonių praktikos nuostatai“, LST ISO/IEC 27001 „Informacinės technologijos. Saugumo metodai. Informacijos saugumo valdymo sistemos. Reikalavimai“ bei kituose Lietuvos ir tarptautiniuose „Informacijos technologija. Saugumo metodai“ grupės standartuose, apibūdinančiuose saugų informacinių sistemų duomenų tvarkymą;
27. Asmenys, kurie SIS tvarko asmens duomenis, elektroninę informaciją, dokumentus ir jų kopijas, privalo saugoti tų duomenų ir informacijos paslaptį. Ši pareiga galioja ir nutraukus su SIS duomenų, informacijos, dokumentų ir jų kopijų tvarkymu susijusią veiklą. Asmenys, kurie SIS tvarko asmens duomenis, privalo saugoti tų asmens duomenų paslaptį, jeigu šie asmens duomenys neskirti skelbti viešai. Ši pareiga galioja ir asmenims pasitraukus iš valstybės tarnybos, perėjus dirbti į kitas pareigas arba pasibaigus jų darbo ar sutartiniams santykiams.
28. SIS tvarkomų asmens duomenų saugumas užtikrinamas vadovaujantis Bendruoju duomenų apsaugos reglamentu. SIS asmens duomenys naudojami tik tiek, kiek to reikia Nuostatų 7 punkte nustatytiems tikslams pasiekti vadovaujantis Bendrojo duomenų apsaugos reglamento 5 straipsniu.
29. SIS informacinės sistemos duomenys kaupiami ir duomenų bazėje saugomi, kol Vyriausybė vykdo strateginio planavimo dokumentų įgyvendinimo rezultatų stebėseną. Pasibaigus šiam terminui, duomenys perduodami į archyvą, kuriame saugomi 10 metų, o pasibaigus šiam terminui sunaikinami Lietuvos vyriausiojo archyvaro nustatyta tvarka.
VII SKYRIUS
SIS FINANSAVIMAS
VIII SKYRIUS
SIS MODERNIZAVIMAS IR LIKVIDAVIMAS
31. SIS modernizuojama ir likviduojama Valstybės informacinių išteklių valdymo įstatymo ir Valstybės informacinių sistemų steigimo, kūrimo, modernizavimo ir likvidavimo tvarkos aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. vasario 27 d. nutarimu Nr. 180 „Dėl valstybės informacinių sistemų steigimo, kūrimo, modernizavimo ir likvidavimo tvarkos aprašo patvirtinimo“, nustatyta tvarka.
IX SKYRIUS
BAIGIAMOSIOS NUOSTATOS
33. Duomenų subjektų teises ir jų įgyvendinimo tvarką reglamentuoja Bendrasis duomenų apsaugos reglamentas, Asmens duomenų tvarkymo ir duomenų subjektų teisių įgyvendinimo Finansų ministerijoje tvarkos aprašas, patvirtintas Lietuvos Respublikos finansų ministro 2018 m. rugpjūčio 31 d. įsakymu Nr. 1K-306 „Dėl asmens duomenų apsaugos Lietuvos Respublikos finansų ministerijoje“.
Patvirtinta
Lietuvos Respublikos finansų ministro
2020 m. sausio 10 d. įsakymu Nr. 1K-1
STEBĖSENOS INFORMACINĖS SISTEMOS DUOMENŲ SAUGOS NUOSTATAI
I SKYRIUS
BENDROSIOS NUOSTATOS
1. Stebėsenos informacinės sistemos duomenų saugos nuostatuose (toliau – Nuostatai) reglamentuojama Stebėsenos informacinės sistemos (toliau – SIS) saugos politika, kurioje nustatyta elektroninės informacijos saugos valdymo tvarka, organizaciniai ir techniniai reikalavimai, reikalavimai SIS personalui ir SIS naudotojų supažindinimo su SIS saugą reglamentuojančiais dokumentais principai.
2. Nuostatuose vartojamos sąvokos suprantamos taip, kaip jos apibrėžtos Bendrųjų elektroninės informacijos saugos reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“ (toliau – Saugos reikalavimų aprašas), ir kituose teisės aktuose, reglamentuojančiuose valstybės informacinių sistemų elektroninės informacijos saugą.
3. SIS tvarkomos elektroninės informacijos saugumo užtikrinimo tikslai:
4. SIS elektroninės informacijos saugumo užtikrinimo prioritetinės kryptys:
5. SIS duomenų saugumui užtikrinti kompleksiškai įgyvendinamos organizacinės, techninės, programinės, teisinės ir kitos priemonės.
6. Nuostatai taikomi:
6.1. SIS valdytojai ir tvarkytojai – Lietuvos Respublikos finansų ministerijai (Lukiškių g. 2, 01512 Vilnius), kuri atlieka finansų ministro patvirtintuose Stebėsenos informacinės sistemos nuostatuose (toliau – SIS nuostatai), nustatytas funkcijas, taip pat:
6.1.1. tvirtina Nuostatus ir SIS saugos politiką įgyvendinančius dokumentus (toliau – Saugos dokumentai) ir prižiūri juose nustatytų reikalavimų įgyvendinimą;
6.1.2. kontroliuoja, kad SIS būtų tvarkoma vadovaujantis Lietuvos Respublikos teisės aktais ir kitais teisės aktais, reglamentuojančiais elektroninės informacijos saugą;
6.1.3. atlieka kitas Nuostatuose ir kituose elektroninės informacijos saugą reguliuojančiuose teisės aktuose nustatytas funkcijas;
6.1.4. priima sprendimus dėl SIS informacinių technologijų atitikties saugos reikalavimams vertinimo atlikimo;
6.1.6. nustato SIS pokyčių valdymo tvarką, prireikus parengia ir tvirtina rizikos įvertinimo ir rizikos valdymo priemonių planą, pastebėtų trūkumų šalinimo planą;
6.1.9. pagal kompetenciją atsako už reikiamų administracinių, techninių ir organizacinių saugos priemonių laikymąsi Nuostatuose ir kituose Saugos dokumentuose nustatyta tvarka;
7. Finansų ministerijos paskirtas SIS saugos įgaliotinis atlieka Saugos reikalavimų apraše ir Nuostatuose nustatytas funkcijas.
8. Finansų ministerijos paskirti administratoriai:
8.1. Finansų ministerijos informacinių sistemų infrastruktūros administratoriai atlieka SIS funkcionavimą užtikrinančios techninės infrastruktūros priežiūrą, ją administruoja, nustato prieigos prie SIS infrastruktūros išteklių teises;
8.2. SIS administratoriai atlieka SIS administravimą ir priežiūrą, administruoja SIS naudotojus – valstybės institucijų ir įstaigų, kurių informacija kaupiama SIS, darbuotojus, teikia SIS saugos įgaliotiniui pasiūlymus dėl SIS saugos priemonių;
9. Teisės aktai, kuriais vadovaujantis tvarkomi SIS duomenys ir užtikrinama SIS duomenų sauga:
9.1. 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL 2016 L 119, p. 1) (toliau – Bendrasis duomenų apsaugos reglamentas);
9.5. Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimas Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“;
9.6. Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašas, patvirtintas Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“;
9.7. Lietuvos Respublikos vidaus reikalų ministro 2013 m. spalio 4 d. įsakymas Nr. 1V-832 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų patvirtinimo“;
9.8. Nuostatai, kiti Lietuvos Respublikos teisės aktai, reglamentuojantys, elektroninės informacijos tvarkymo teisėtumą, informacinės sistemos valdytojo ir tvarkytojo veiklą ir elektroninės informacijos saugos valdymą, Europos Sąjungos ir Lietuvos Respublikos teisės aktai, reglamentuojantys asmens duomenų apsaugą ir tvarkymą.
II SKYRIUS
ELEKTRONINĖS INFORMACIJOS SAUGOS VALDYMAS
10. Vadovaujantis Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716, 9.1 ir 9.3 papunkčiuose nustatytais kriterijais, SIS priskiriama trečios kategorijos informacinėms sistemoms, kuriose tvarkoma vidutinės svarbos informacija.
11. SIS elektroninės informacijos saugos priemonių parinkimo principai:
12. Pagrindinės SIS rizikos mažinimo priemonės nurodomos rizikos įvertinimo ataskaitoje, kurią kasmet rengia SIS saugos įgaliotinis ir pateikia SIS valdytojo vadovui, įvertinęs Saugos reikalavimų apraše nustatytus rizikos veiksnius, galinčius turėti įtakos SIS elektroninės informacijos saugai, ir jų galimą žalą, pasireiškimo tikimybę ir pobūdį, galimus rizikos valdymo būdus, rizikos priimtinumo kriterijus.
13. SIS saugos įgaliotinis, atsižvelgdamas į Nacionalinio kibernetinio saugumo centro prie Lietuvos Respublikos krašto apsaugos ministerijos interneto svetainėje skelbiamą metodinę priemonę „Rizikos analizės vadovas“, Lietuvos ir tarptautinius grupės „Informacijos technologija. Saugumo technika“ standartus, kasmet organizuoja SIS rizikos įvertinimą.
16. SIS saugos įgaliotinis siekdamas užtikrinti Nuostatų ir kitų Saugos dokumentų įgyvendinimo kontrolę Informacinių technologijų saugos atitikties vertinimo metodikoje, patvirtintoje Lietuvos Respublikos vidaus reikalų ministro 2004 m. gegužės 6 d. įsakymu Nr. 1V-156 „Dėl Informacinių technologijų saugos atitikties vertinimo metodikos patvirtinimo“, nustatyta tvarka kasmet iki gruodžio 31 d. organizuoja SIS informacinių technologijų saugos atitikties Saugos reikalavimų aprašui vertinimą, kurį atliekant:
16.3. tikrinama ne mažiau kaip 10 procentų atsitiktinai parinktų vidinių SIS naudotojų kompiuterizuotų darbo vietų, SIS tarnybinėse stotyse įdiegtos programos ir jų sąranka (konfigūracijos);
16.4. tikrinama SIS naudotojams suteiktų teisių tvarkyti SIS atitiktis jų atliekamoms funkcijoms, prireikus SIS naudotojų teisės praplečiamos ar apribojamos;
16.5. įvertinamas pasirengimas užtikrinti SIS veiklos tęstinumą įvykus SIS duomenų saugos incidentui;
III SKYRIUS
ORGANIZACINIAI IR TECHNINIAI REIKALAVIMAI
18. SIS tarnybinėse stotyse ir SIS naudotojų darbo vietose turi būti naudojama tik legali ir patikrinta programinė įranga.
19. SIS tarnybinėse stotyse neturi veikti programinė įranga, nesusijusi su SIS duomenų tvarkymu, SIS naudotojų ir pačios įrangos administravimu.
20. Darbui su SIS naudojamas tik Saugus valstybinis duomenų perdavimo tinklas, už kurio administravimą ir priežiūrą atsako šio tinklo tvarkytojas.
21. Prieiga prie SIS duomenų suteikiama įgyvendinus SIS naudotojų atpažinties priemones. Prieiga prie SIS duomenų užtikrinama darbo dienomis darbo laiku (nuo 8 iki 17 valandos).
22. SIS duomenys gavėjams perduodami pagal SIS duomenų teikimo sutartis, kuriose turi būti nurodyti duomenų naudojimo tikslai ir sąlygos, duomenų apimtis, duomenų teikimo ar gavimo būdai ir laikas, nustatytos perduodamų duomenų specifikacijos ir kitos duomenų perdavimo sąlygos.
23. SIS duomenų saugai užtikrinti tarnybinėse stotyse taikomos šios programinės įrangos naudojimo nuostatos:
23.1. turi būti įdiegiama programinė įranga, skirta nuo kenksmingos programinės įrangos (virusų, programinės įrangos, skirtos šnipinėti, nepageidaujamo elektroninio pašto ir panašiai) apsisaugoti;
23.3. operacinių sistemų ir taikomųjų programų sąranka parenkama tokiu būdu, kad būtų užtikrintas didžiausias saugumo lygis, sustabdomi nereikalingi darbui procesai;
24. Duomenų saugai užtikrinti vidinių SIS naudotojų darbo vietose taikomos šios programinės įrangos naudojimo nuostatos:
24.1. įdiegta programinė įranga, skirta apsisaugoti nuo kenksmingos programinės įrangos (virusų, programinės įrangos, skirtos šnipinėti, nepageidaujamo elektroninio pašto ir pan.). Antivirusinės programos atsinaujina automatiškai. Ilgiausias leistinas neatnaujinimo laikas – 5 darbo dienos.
24.2. kompiuterio operacinės sistemos kritinės pataisos diegiamos automatiškai. Ilgiausias leistinas neatnaujinimo laikas – 5 darbo dienos;
25. Kompiuterių tinklo filtravimo įrangos (užkardų, turinio kontrolės sistemų, įgaliotųjų serverių ir kitos) pagrindinės naudojimo nuostatos:
25.1. kompiuterių tinklas turi būti atskirtas nuo viešųjų ryšių tinklų naudojant užkardas ir kitas tinklo apsaugos priemones;
25.2. kompiuterių tinklo perimetro apsaugai turi būti naudojami filtrai, apsaugantys elektroninį paštą ir SIS naudotojų kompiuterių įrangą nuo kenksmingo kodo;
26. Nešiojamuosiuose kompiuteriuose SIS programinė įranga nediegiama ir duomenys lokaliai nesaugomi. SIS naudojamasi per interneto naršyklę.
27. Prisijungimas prie SIS nuotoliniu būdu galimas tik naudojant dviejų žingsnių identifikavimo priemones.
IV SKYRIUS
REIKALAVIMAI SIS PERSONALUI
29. SIS personalas – SIS administratoriai, SIS naudotojai, SIS saugos įgaliotinis, SIS infrastruktūros administratorius (-iai) – Finansų ministerijos administracijos padalinio, užtikrinančio Finansų ministerijos valdomų ir (ar) tvarkomų informacinių sistemų infrastruktūros darbą, darbuotojas (-ai).
30. SIS naudotojai privalo:
30.1. turėti pagrindinius darbo su kompiuteriu įgūdžius, mokėti tvarkyti elektroninę informaciją, būti susipažinę su saugos nuostatais, Bendruoju duomenų apsaugos reglamentu, kitais teisės aktais, reglamentuojančiais asmens duomenų tvarkymą, informacinių sistemų elektroninės informacijos tvarkymą;
31. SIS infrastruktūros administratorius (-ai), SIS administratoriai privalo gebėti administruoti informacinės sistemos architektūroje naudojamą programinę įrangą, turi būti susipažinę su saugos nuostatais, Bendruoju duomenų apsaugos reglamentu ir kitais Saugos dokumentais, turi užtikrinti techninės ir programinės įrangos nepertraukiamą funkcionavimą bei saugą, stebėti techninės ir programinės įrangos veikimą, atlikti techninės ir programinės įrangos profilaktinę priežiūrą, sutrikimų bei saugos incidentų diagnostiką ir šalinimą.
32. SIS saugos įgaliotinis privalo išmanyti informacinių sistemų administravimo ir elektroninės informacijos saugos principus, elektroninės informacijos saugos užtikrinimo metodus ir Lietuvos Respublikos ir Europos Sąjungos teisės aktus ir standartus, reglamentuojančius saugų elektroninės informacijos tvarkymą, sugebėti įgyvendinti ir prižiūrėti SIS saugą.
V SKYRIUS
SIS NAUDOTOJŲ SUPAŽINDINIMO SU SIS SAUGĄ REGLAMENTUOJANČIAIS DOKUMENTAIS PRINCIPAI
34. Tvarkyti SIS duomenis gali tik SIS administratoriai ir SIS naudotojai, susipažinę su SIS nuostatais, Nuostatais bei Saugos dokumentais: Saugaus elektroninės informacijos tvarkymo taisyklėmis, SIS veiklos tęstinumo valdymo planu, SIS naudotojų administravimo taisyklėmis (toliau kartu – SIS saugos dokumentai).
35. SIS naudotojų supažindinimą su SIS saugos dokumentais ir atsakomybe už saugos dokumentuose nustatytų reikalavimų nesilaikymą pasirašytinai arba elektroniniu būdu, užtikrinančiu supažindinimo įrodomumą, organizuoja SIS saugos įgaliotinis.
36. Pakartotinai su SIS saugos dokumentais naudotojai supažindinami tik iš esmės pasikeitus SIS arba teisės aktams, reglamentuojantiems elektroninės informacijos tvarkymą ir jos saugumo užtikrinimą.
VI SKYRIUS
BAIGIAMOSIOS NUOSTATOS
38. SIS saugos dokumentai iš esmės turi būti persvarstomi (peržiūrimi) ne rečiau kaip kartą per kalendorinius metus. SIS saugos dokumentai turi būti persvarstomi (peržiūrimi) atlikus rizikos veiksnių analizę ar informacinių technologijų saugos atitikties vertinimą arba įvykus esminiams organizaciniams, sisteminiams ar kitiems pokyčiams.