LIETUVOS RESPUBLIKOS ŽEMĖS ŪKIO
MINISTRAS
ĮSAKYMAS
DĖL STRATEGINĘ REIKŠMĘ NACIONALINIAM SAUGUMUI TURINČIŲ ŽEMĖS ŪKIO MINISTRO VALDYMO SRIČIAI PRISKIRTŲ ĮMONIŲ IR ĮRENGINIŲ FIZINĖS IR INFORMACINĖS SAUGOS REIKALAVIMŲ APRAŠO PATVIRTINIMO
2016 m. liepos 19 d. Nr. 3D-423
Vilnius
Vadovaudamasi Lietuvos Respublikos strateginę reikšmę nacionaliniam saugumui turinčių įmonių ir įrenginių bei kitų nacionaliniam saugumui užtikrinti svarbių įmonių įstatymo 9 straipsniu ir Lietuvos Respublikos Vyriausybes 2004 m. birželio 8 d. nutarimo Nr. 699 „Dėl įgaliojimų suteikimo įgyvendinant Lietuvos Respublikos strateginę reikšmę nacionaliniam saugumui turinčių įmonių ir įrenginių bei kitų nacionaliniam saugumui užtikrinti svarbių įmonių įstatymą" 1 ir 2 punktais:
1. T v i r t i n u Strateginę reikšmę nacionaliniam saugumui turinčių žemės ūkio ministro valdymo sričiai priskirtų įmonių ir įrenginių fizinės ir informacinės saugos reikalavimų aprašą (pridedama).
2. N u s t a t a u, kad Strateginę reikšmę nacionaliniam saugumui turinčių žemės ūkio ministro valdymo sričiai priskirtų įmonių ir įrenginių fizinės ir informacinės saugos reikalavimų aprašas yra taikomas:
3. P r i p a ž į s t u netekusiais galios:
3.1. Lietuvos Respublikos žemės ūkio ministro 2004 m. lapkričio 18 d. įsakymą Nr. 3D-621 „Dėl strateginę reikšmę nacionaliniam saugumui turinčių Žemės ūkio ministerijos valdymo sričiai priskirtų įmonių fizinės saugos reikalavimų patvirtinimo“;
PATVIRTINTA
Lietuvos Respublikos žemės ūkio ministro 2016 m. liepos 19 d.
įsakymu Nr. 3D-423
STRATEGINĘ REIKŠMĘ NACIONALINIAM SAUGUMUI TURINČIŲ ŽEMĖS ŪKIO MINISTRO VALDYMO SRIČIAI PRISKIRTŲ ĮMONIŲ IR ĮRENGINIŲ FIZINĖS IR INFORMACINĖS SAUGOS REIKALAVIMŲ APRAŠAS
I SKYRIUS
BENDROSIOS NUOSTATOS
1. Strateginę reikšmę nacionaliniam saugumui turinčių žemės ūkio ministro valdymo sričiai priskirtų įmonių ir įrenginių fizinės ir informacinės saugos reikalavimų aprašas (toliau – Reikalavimai) parengtas vadovaujantis Lietuvos Respublikos strateginę reikšmę nacionaliniam saugumui turinčių įmonių ir įrenginių bei kitų nacionaliniam saugumui užtikrinti svarbių įmonių įstatymo 3 ir 4 straipsniais ir Lietuvos Respublikos Vyriausybės 2004 m. birželio 8 d. nutarimo Nr. 699 „Dėl įgaliojimų suteikimo įgyvendinant Lietuvos Respublikos strateginę reikšmę nacionaliniam saugumui turinčių įmonių ir įrenginių bei kitų nacionaliniam saugumui užtikrinti svarbių įmonių įstatymą“ 1 ir 2 punktais.
2. Reikalavimai taikomi žemės ūkio ministro valdymo sričiai priskirtoms strateginę reikšmę nacionaliniam saugumui turinčioms įmonėms ir (ar) įrenginiams (toliau – Objektas). Reikalavimus įgyvendina žemės ūkio ministro įsakymo, kuriuo tvirtinami šie Reikalavimai, 2 punkte nurodomi subjektai.
3. Reikalavimai nustato Objekto fizinės ir informacinės saugos principus, organizavimo pagrindus bei fizinės ir informacinės saugos reikalavimus. Objekto fizinė ir informacinė sauga organizuojama ir vykdoma vadovaujantis Lietuvos Respublikos įstatymais, kitais teisės aktais.
4. Reikalavimuose vartojamos pagrindinės sąvokos:
4.1. Apsauginė signalizacija – visuma tarpusavyje sujungtų prietaisų, įrengtų pagal atitinkamą konfigūraciją, registruojančių ir pranešančių apie įsilaužimą, gaisrą bei kitą veikimą ar neveikimą.
4.2. Apsaugos darbuotojas – asmenį ir turtą saugantis Objekto, saugos tarnybos ar saugos padalinio darbuotojas.
4.3. Apsaugos zona – teritorija arba tam tikra erdvė (statinys), kurioje taikomos saugomo Objekto fizinės saugos priemonės.
4.4. Galima grėsmė – galimų pažeidėjų, kurie galėtų mėginti neteisėtai patekti į Objektą ir (ar) užvaldyti jį ar jo pastatus, pažeisti Objekto veiklą ir (ar) jo turtą, charakteristikų ir ketinimų visuma. Siekiant užkirsti kelią šiems veiksmams, yra projektuojama ir diegiama fizinės saugos sistema.
4.5. Incidentas – įvykis, pažeidžiantis nustatytą Objekto saugos režimą ir galintis sutrikdyti fizinę ir (ar) informacinę saugą.
4.6. Leidimų režimas – subjekto vadovo nustatyta patekimo į saugomą objektą, buvimo jame ir išvykimo iš jo kontrolės tvarka, kai tikrinami darbuotojų pažymėjimai ar dokumentai, kuriais patvirtinama asmens tapatybė ar kita reikiama informacija, ir turimi daiktai, transporto priemonėse esantys kroviniai ir jų dokumentai.
4.7. Nenumatyta situacija – padėtis, kuri atsiranda dėl gamtinių, techninių, ekologinių, socialinių ar kitų veiksnių ir gali sukelti pavojų žmonių gyvybei, sveikatai, gamtai ar lemti didelius turtinius nuostolius.
4.8. Neteisėtas fizinis poveikis – padariniai, atsiradę dėl asmenų neteisėtos veikos, galintys fiziškai pakenkti saugomam Objektui arba jame vykdomai veiklai.
4.9. Objekto fizinė sauga – Objekto saugos sistemos dalis, kurią sudaro visuma organizacinių, teisinių, techninių ir specialiųjų priemonių, užtikrinančių Objekto ir darbuotojų apsaugą nuo nesankcionuoto, neteisėto poveikio, garantuojančių nenutrūkstamą, stabilią bei saugią Objekto veiklą.
4.10. Objekto fizinės saugos lygiai – atsižvelgiant į galimas grėsmes, subjekto vadovo nustatyti saugos lygiai, jeigu šie Reikalavimai nenustato kitaip.
4.11. Objekto informacinė sauga – organizacinių, techninių ir specialiųjų priemonių ir metodų visuma, skirta užtikrinti Objekto turimos ir disponuojamos informacijos saugumą nuo pagrobimo, sunaikinimo ar neteisėto susipažinimo su ja, siekiant išvengti galimų nuostolių ir užtikrinti nenutrūkstamą, stabilią bei saugią Objekto veiklą.
4.12. Objekto informacinės sistemos administratorius – subjekto vadovo paskirtas darbuotojas, prižiūrintis Objekto informacinę sistemą (toliau – Objekto IS) ir (ar) jos infrastruktūrą, užtikrinantis jos veikimą ir elektroninės informacijos saugą;
4.13. Objekto IS naudotojas – darbuotojas, turintis teisę naudotis Objekto IS ištekliais numatytoms funkcijoms atlikti;
4.14. Objekto IS naudotojų administratorius – subjekto vadovo paskirtas darbuotojas, administruojantis Objekto IS naudotojų prieigos teisių valdymą ir atliekantis kitas teisės aktų nustatytas funkcijas;
4.15. Objekto IS saugos įgaliotinis – subjekto vadovo paskirtas darbuotojas, koordinuojantis ir prižiūrintis elektroninės informacijos saugos politikos įgyvendinimą Objekto IS;
4.17. Rizikos analizė – procesas, kurio metu nustatoma rizikos prigimtis ir apibrėžiamas rizikos lygis.
5. Kitos Reikalavimuose vartojamos sąvokos apibrėžtos Bendrųjų elektroninės informacijos saugos reikalavimų apraše ir Saugos dokumentų turinio gairių apraše ir Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių apraše, patvirtintuose Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo patvirtinimo“ (toliau – Bendrųjų elektroninės informacijos saugos reikalavimų aprašas).
II SKYRIUS
OBJEKTO FIZINĖS SAUGOS TIKSLAI IR PRINCIPAI
6. Objekto fizinės saugos tikslas – apsaugoti Objektą, jo turtą ir darbuotojus nuo neteisėto fizinio poveikio.
7. Vykdant Objekto fizinę saugą, būtina vadovautis bendru požiūriu į visą Objekto saugos sistemą. Siekiant, kad saugos sistema veiktų efektyviai, būtina kontroliuoti saugos procesus, valdyti ekstremaliąsias situacijas, taip pat reikalingas patikimas personalas.
8. Fizinės saugos režimas grindžiamas šiais pagrindiniais principais:
8.3. dubliavimu. Išėjus iš rikiuotės kuriai nors saugos sistemos daliai, jos funkcijas turi perimti likusios sistemos dalys;
9. Fizinės saugos režimas turi užtikrinti 4 pagrindines funkcijas: aptikti, sulaikyti, duoti atsaką ir (ar) reaguoti, taip pat būti atsparus ir (ar) atsinaujinti.
10. Objekto fizinės saugos sistema projektuojama, jos veikla organizuojama ir prižiūrima vadovaujantis šiais principais:
10.1. Teisiniu fizinės saugos organizavimo ir veiklos pagrįstumu. Objekto fizinės saugos sistema organizuojama ir veikia, griežtai laikantis Lietuvos Respublikos įstatymų ir kitų teisės aktų, taip pat Objekto vidaus teisės aktų reikalavimų.
10.2. subjekto vadovo atsakomybe. Subjekto vadovas atsako už Objekto fizinės saugos sistemos organizavimą, priežiūrą ir kontrolę. Subjekto vadovas turi nuolat rūpintis Objekto patikima fizine sauga, todėl privalo:
10.2.1. periodiškai kontroliuoti, kaip vykdoma Objekto fizinė sauga, analizuoti fizinės saugos sistemos Objekte veiklą ir aptarti su atsakingais už Objekto fizinę saugą darbuotojais (toliau – atsakingi darbuotojai) fizinės saugos sistemos veiklos problemas ir reikiamas priemones šiai sistemai tobulinti;
10.3. Neteisėto fizinio poveikio atgrasymu. Objekto fizinės saugos sistema turi būti projektuojama, organizuojama ir veikti taip, kad būtų pajėgi ne tik apsunkinti neteisėtą fizinį poveikį, bet ir užkirsti jam kelią.
10.4. Objekto fizinės saugos sistemos adekvatumu (proporcingumu). Objekto fizinės saugos sistema projektuojama atsižvelgiant į galimas grėsmes, galimą žalą ir poveikį (padarinius). Ji turi sumažinti nustatytą rizikos lygį ir efektyviai jį sumažinti iki priimtino lygio. Objekto fizinės saugos sistemai būtinos investicinės ir eksploatacinės sąnaudos turi būti adekvačios galimoms grėsmėms.
10.5. Bendradarbiavimu. Subjekto vadovas, saugos tarnyba privalo bendradarbiauti su policijos įstaiga, kurios veiklos teritorijoje yra Objektas, užtikrindami viešąją tvarką, administracinių teisės pažeidimų ir nusikalstamų veikų prevenciją Objekto teritorijoje, taip pat teikti informaciją apie kriminogeninę situaciją. Subjektas turi nuolat bendradarbiauti su kitomis įmonėmis ir kompetentingomis valstybės institucijomis ir įstaigomis fizinės saugos klausimais.
10.6. Fizinės saugos aktyvumu. Subjekto vadovo, atsakingų darbuotojų, saugos tarnybos veikla turi užkardyti galimą neteisėtą fizinį poveikį. Fizinės saugos sistemos turi sumažinti nustatytą rizikos lygį, aptikti ir sulaikyti galimus pažeidėjus.
10.7. Fizinės saugos priemonių diferenciacija. Įrenginių, statinių skirstymas pagal svarbą, galimas grėsmes, galimus padarinius ir nuostolius subjektui, įrenginiams, statiniams, žmonėms, šalies ūkiui ir aplinkai ir atitinkamo fizinės saugos lygio priskyrimas atitinkamam objektui. Diferencijuojant atskirų subjekto įrenginių, statinių saugos lygius, galima pasiekti maksimalių rezultatų su minimaliomis investicijomis, pagrindinį dėmesį sutelkiant į svarbiausius įrenginius ir statinius.
10.8. Fizinės saugos nepertraukiamumu. Negalima Objekto palikti be apsaugos. Atsižvelgiant į turto vertę ir svarbą Objekto veiklai, galimas grėsmes, pasirenkamos atitinkamos saugos pajėgos ir priemonės, kurių įgyvendinimas užtikrintų nuolatinę Objekto saugą.
10.9. Objekto fizinės saugos pajėgų ir priemonių kompleksiškumu. Efektyvi fizinė sauga turi būti vykdoma, panaudojant skirtingas priemones ir maksimaliai suderinant jų poveikį. Pasirenkant fizinės saugos priemones, būtina atsižvelgti į:
III SKYRIUS
REIKALAVIMAI FIZINĖS SAUGOS ORGANIZAVIMUI
11. Objekto fizinės saugos lygis grindžiamas rizikos analizės vertinimo rezultatais. Saugomam Objektui ar atskiriems jo statiniams, subjekto vadovo sprendimu, nustatomas vienas iš šių fizinės saugos lygių:
11.1. pirmas lygis – mažas rizikos lygis – uždarytos durys, angos, liukai, iškabinti įspėjamieji ir draudžiamieji ženklai ir pan. Subjekto vadovo nustatytu periodiškumu ir nustatyta tvarka pirmam apsaugos lygiui priskirti Objektai apžiūrimi vizualiai, nustatyti pažeidimai fiksuojami operatyviniame žurnale;
11.2. antras lygis – vidutinis rizikos lygis – Objekto statiniai ir (arba) patalpos uždaromos šarvuotomis arba padidinto saugumo durimis su tvarkingomis spynomis, Objekto patalpų langai tvarkingi, turi patikimus uždarymo fiksavimo mechanizmus, Objekto teritorija aptverta tvora su rakinamais vartais, Objekto pastatuose (patalpose) įrengta apsauginė signalizacija ir (ar) technologinė įranga, perduodanti signalus apie incidentus į nuotolinius apsaugos stebėjimo ir (ar) technologinio valdymo pultus;
11.3. trečias lygis – aukštas rizikos lygis – Objekto teritorija ir joje esantys pastatai aptverti Subjekto vadovo nustatyto aukščio tvora, ant kurios pakabinti skydeliai su įspėjamaisiais užrašais apie draudimą patekti į zoną (išskyrus atvejį, kai perimetras sutampa su statinio sienomis), vartai privalo būti užrakinti. Objekto pastatuose (patalpose) įrengta apsauginė signalizacija ir vaizdo stebėjimo sistema, įrašanti vaizdą 24 val. per parą. Objekto statinių signalizacija reaguoja (fiksuoja) į įėjimo durų (vartų) atidarymą ir išlaužimą, langų atidarymą, stiklo išdaužimą ir išėmimą, bet kokių kitų angų (jeigu jos didesnės kaip 150 x 150 mm) apsaugos priemonių pažeidimą ar patekimą per jas, sienų, lubų, grindų pralaužimą, judesius patalpose. Reaguojant į apsauginės signalizacijos signalus iškviečiami apsaugos ar kiti atsakingi darbuotojai;
11.4. ketvirtas lygis – labai aukštas rizikos lygis – Objekte turi būti įrengta aukščiausio lygio saugos sistema, leidžianti aptikti, įvertinti, sulaikyti ir neutralizuoti galimas grėsmes. Objekto teritorija ir joje esantys pastatai aprūpinti trečiame fizinės saugos lygyje numatytomis techninės apsaugos priemonėmis. Objektą visą parą saugo apsaugos ar kiti atsakingi darbuotojai. Objekto kontrolės sistemoje registruojama ir kaupiama informacija apie patekusius į apsaugos zoną Saugos reglamente nenurodytus asmenis, transporto priemones bei jų atvykimo ir išvykimo laiką (data, valanda, minutė). Šie duomenys saugomi kompiuterinėje laikmenoje ne trumpiau kaip 30 parų.
IV SKYRIUS
REKOMENDACIJOS PROJEKTUOJANT FIZINĖS SAUGOS SISTEMĄ
12. Objekto fizinės saugos sistemos tikslas – efektyviai veikti ir reaguoti į incidentus ir ekstremaliąsias situacijas.
13. Projektuojant Objekto fizinės saugos sistemą, rekomenduojama:
14. Būtina užtikrinti, kad visi Objekto apsaugos darbuotojai turėtų nenutrūkstamą ir patikimą ryšį su Objekto saugos padaliniu ir (ar) saugos tarnyba. Objekto saugos padalinys ir (ar) saugos tarnyba privalo turėti ne mažiau kaip dviejų rūšių ryšį su subjekto vadovu ir kompetentingų valstybės institucijų ir įstaigų atstovais.
15. Objekto apsauginės signalizacijos, vaizdo stebėjimo ir įeigos kontrolės sistemas gali projektuoti ir įrengti įmonės, turinčios kompetentingos valstybės institucijos ar įstaigos išduotus atestatus (licencijas) atlikti atitinkamus darbus.
16. Informacija, susijusi su Objekto apsaugine signalizacija, vaizdo stebėjimo ir įeigos kontrolės sistemomis, turėtų būti priskiriama Objekto konfidencialiai informacijai. Objekto konfidencialios informacijos neatskleidimo tretiesiems asmenims reikalavimai taikomi įmonėms, projektuojančioms ir įrengiančioms Objekto apsauginę signalizaciją, vaizdo stebėjimo ir įeigos kontrolės sistemas.
V SKYRIUS
ORGANIZACINIAI FIZINĖS SAUGOS PAGRINDAI
17. Objekto fizinės saugos organizavimą, jos priežiūrą ir kontrolę užtikrina subjekto vadovas. Jis skiria atsakingą asmenį arba sudaro sutartį su licenciją turinčiu ūkio subjektu Objekto fizinės saugos sistemos priežiūrai. Subjekto vadovui nepaskyrus atsakingo asmens ar nesudarius sutarties su ūkio subjektu dėl Objekto fizinės saugos sistemos priežiūros bei kontrolės, atsakingu asmeniu laikomas subjekto vadovas.
18. Subjekto vadovo sudaryta komisija arba nepriklausomų ekspertų grupė:
19. Subjekto vadovas tvirtina:
19.1. Kasdienių saugos veiksmų tvarkos aprašą, kuriame turi būti nustatyta patekimo į Objektą ir išvykimo iš jo, taip pat buvimo Objekte kontrolės tvarka, darbuotojų asmens tapatybės ir jų turimų daiktų, transporto priemonėse esančių krovinių ir jų laikymo objekte teisėtumo patikrinimas.;
19.2. Objekto fizinės saugos tvarkos aprašą, atsižvelgdamas į sudarytos komisijos arba nepriklausomų ekspertų grupės rekomendacijas, kuriame nurodo statinius, patalpas, jų fizinės saugos lygius, fizinės saugos užtikrinimo priemones, apsaugos darbuotojų postus, patruliavimo bei atsakomybės zonas;
20. Subjekto vadovas ar jo įgaliotas asmuo derina su civilinės saugos sistemos pajėgomis, nurodytomis Lietuvos Respublikos civilinės saugos įstatymo 19 straipsnyje, kurių pagalbos prireiktų likviduojant ekstremaliąsias situacijas, susidariusias dėl neteisėto poveikio, sąveikos planus tokių situacijų atveju. Subjekto vadovas turi nustatyti Lietuvos Respublikos civilinės saugos įstatymo nustatyta tvarka rengiamuose ekstremaliųjų situacijų valdymo planuose Objekto fizinės saugos režimą ir atsako (reagavimo) veiksmus pagal nustatytas procedūras ir taisykles tuo atveju, kai kyla ekstremaliosios situacijos dėl neteisėto fizinio poveikio.
21. Ne rečiau kaip kartą per 3 metus ir kiekvieną kartą įvykus neteisėtam fiziniam poveikiui turi būti:
21.1. peržiūrimos galimos grėsmės, atliekant rizikos lygio vertinimą, ir prireikus koreguojama Objekto fizinės saugos užtikrinimo tvarka;
22. Objekto fizinės saugos dokumentus, kuriuose yra informacijos, kurios atskleidimas padarytų žalą Objekto fiziniam saugumui ir Objekto fizinės saugos sistemai, rekomenduojama priskirti Objekto konfidencialiai informacijai.
VI SKYRIUS
REIKALAVIMAI INFORMACINEI SAUGAI ORGANIZUOTI
24. Už bendrą Objekto elektroninės informacinės saugos ir Objekto IS organizavimą, infrastruktūrą ir būklę atsakingas subjekto vadovas.
25. Tvarkant elektroninę informaciją ir užtikrinant jos saugą vadovaujamasi Lietuvos standartais LST ISO/IEC 27002:2014 „Informacinės technologijos. Saugumo metodai. Informacijos saugumo kontrolės priemonių praktikos nuostatai“ ir LST ISO/IEC 27001:2013 „Informacinės technologijos. Saugumo metodai. Informacijos saugumo valdymo sistemos. Reikalavimai“ ir kitais Lietuvos ir tarptautiniais standartais, reglamentuojančiais informacijos saugumą bei kitais teisės aktais, reglamentuojančiais elektroninės informacijos saugą valstybės institucijose.
26. Esama elektroninės informacinės saugos padėtis yra nustatoma periodinės rizikos analizės metu ir fiksuojama Rizikos analizės ataskaitoje.
27. Objekto IS tvarkomos elektroninės informacijos saugos užtikrinimo tikslas – sudaryti sąlygas saugiai automatizuotu būdu tvarkyti ir saugoti elektroninę informaciją, užtikrinti elektroninės informacijos konfidencialumą, vientisumą ir prieinamumą.
28. Objekto IS informacijos saugumui užtikrinti naudojamos organizacinės, techninės, programinės ir fizinės informacijos apsaugos priemonės.
29. Objekto IS elektroninės informacijos saugos užtikrinimo prioritetinės kryptys:
30. Reikalavimai informacinei saugai taikomi:
31. Subjekto vadovo funkcijos:
31.1. priimti teisės aktus, užtikrinančius Objekto IS duomenų tvarkymo teisėtumą ir Objekto elektroninės informacijos saugą, atlikti jų laikymosi priežiūrą;
31.2. nagrinėti Objekto IS administratoriaus pasiūlymus dėl Objekto IS veiklos, elektroninės informacijos saugos, juos apibendrinti ir priimti sprendimus dėl Objekto IS tobulinimo;
31.9. užtikrinti Objekto IS taikomajai programinei įrangai, tarnybinėms stotims ir juose esantiems duomenims funkcionuoti būtinos informacinių technologijų infrastruktūros (toliau – serverių sritis) saugą;
31.12. sudaryti Objekto IS duomenų gavimo ir teikimo sutartis ir užtikrinti duomenų gavimo ir teikimo saugą;
32. Objekto IS saugos įgaliotinio funkcijos:
32.1. teikti subjekto vadovui pasiūlymus dėl:
32.2. koordinuoti elektroninės informacijos saugos incidentų, įvykusių elektroninės informacijos saugos tyrimą;
32.3. teikti administratoriams privalomus vykdyti nurodymus ir pavedimus, susijusius su saugos politikos įgyvendinimu;
33. Objekto IS administratoriaus funkcijos:
33.1. atsakyti už Objekto IS serverių srities funkcionavimą ir prieigų prie Objekto IS infrastruktūros išteklių teisių suteikimą;
33.2. atlikti Objekto IS sudarančių komponentų (kompiuterių, operacinių sistemų, duomenų bazių valdymo sistemų, taikomųjų programų, ugniasienių, įsilaužimų aptikimo sistemų, duomenų perdavimo tinklų) sąranką, kuri atitiktų Objekto IS saugos dokumentų reikalavimus;
33.3. pagal kompetenciją teikti pasiūlymus Objekto IS saugos įgaliotiniui dėl Objekto IS palaikymo, priežiūros, techninės ir programinės įrangos modernizavimo ir Objekto IS elektroninės informacijos saugos užtikrinimo;
33.4. informuoti Objekto IS saugos įgaliotinį apie incidentus dėl elektroninės informacijos saugos ir teikti pasiūlymus dėl tokių incidentų pašalinimo;
33.5. vykdyti visus Objekto IS saugos įgaliotinio nurodymus ir pavedimus, susijusius su Objekto IS elektroninės informacijos saugos užtikrinimu;
33.6. teikti Objekto IS saugos įgaliotiniui informaciją apie Objekto IS elektroninės informacijos saugą užtikrinančių komponentų būklę;
34. Objekto IS naudotojų administratoriaus funkcijos:
35. Objekto IS naudotojo funkcijos:
VII SKYRIUS
ORGANIZACINIAI IR TECHNINIAI REIKALAVIMAI
36. Programinės įrangos, skirtos apsaugoti Objekto IS nuo kenkėjiškos programinės įrangos, naudojimo nuostatos:
36.1. Objekto IS funkcionuoti būtina programinė tarnybinių stočių ir Objekto IS naudotojų kompiuteriuose esanti programinė įranga (operacinės sistemos, duomenų bazių ir aplikacijų valdymo programinė įranga, interneto naršyklės, interneto naršyklių priedai ir kt.) turi būti konfigūruojama laikantis programinės įrangos gamintojų saugaus konfigūravimo rekomendacijų. Už tarnybinių stočių programinės įrangos konfigūravimą atsakingas Objekto IS administratorius, o už kontrolę – Objekto IS saugos įgaliotinis;
36.2. Objekto IS funkcionuoti būtina serverių srities ir Objekto IS naudotojų kompiuteriuose esanti programinė įranga turi būti atnaujinama ne vėliau kaip per 5 darbo dienas po programinės įrangos gamintojų pranešimo apie programinės įrangos atnaujinimą. Už serverių srities atnaujinimų atlikimą atsakingas Objekto IS administratorius, o už kontrolę – Objekto IS saugos įgaliotinis;
36.3. Objekto IS naudotojų kompiuteriuose prieigos teisės turi būti apribojamos iki minimalių, būtinų darbo užduotims atlikti, teisių;
37. Programinės įrangos naudojimo ribojimo nuostatos:
38. Kompiuterių tinklo filtravimo įrangos (užkardų, turinio kontrolės sistemų, įgaliotojų serverių ir kitos) naudojimo nuostatos:
38.1. Objekto IS naudotojų elektroninės informacijos perdavimo tinklo ir užkardų priežiūra vykdoma pagal subjekto vadovo patvirtintą Kompiuterinio tinklo konfigūravimo ir stebėsenos tvarkos aprašą;
38.2. tinklo ir užkardų konfigūracija peržiūrima ne rečiau kaip kartą per metus. Peržiūrą inicijuoja Objekto IS saugos įgaliotinis, o ją vykdo Objekto IS administratorius;
38.3. visas duomenų srautas į internetą ir iš jo filtruojamas naudojant apsaugą nuo virusų ir kitos kenksmingos programinės įrangos;
39. Leistinos Objekto IS naudotojų kompiuterių naudojimo ribos:
39.1. stacionarūs ir nešiojamieji Objekto IS naudotojų kompiuteriai privalo būti naudojami tik su tiesioginių pareigų atlikimu susijusiai veiklai atlikti. Iš kompiuterių, kurie perduodami remontui ar techninei priežiūrai atlikti, turi būti pašalinta visa Objekto IS apriboto naudojimo elektroninė informacija;
40. Metodai, kuriais galima užtikrinti saugų Objekto IS elektroninės informacijos teikimą ir (ar) gavimą:
40.1. Objekto IS duomenys perduodami automatiškai automatiniu būdu TCP/IP protokolu realiu laiku arba asinchroniniu režimu pagal Objekto IS duomenų teikimo ir gavimo sutartis, kuriose nustatytos perduodamų duomenų specifikacijos, perdavimo sąlygos ir tvarka;
40.2. už duomenų teikimo ir gavimo sutartyse nurodomų saugos reikalavimų nustatymą, identifikavimą, suformulavimą ir įgyvendinimo organizavimą atsakingas Objekto IS saugos įgaliotinis;
41. Pagrindiniai atsarginių Objekto IS duomenų kopijų darymo ir atkūrimo reikalavimai:
41.1. atsarginių Objekto IS duomenų kopijų darymas ir atkūrimas turi būti atliekamas laikantis Lietuvos Respublikos teisės aktų nustatytų reikalavimų;
41.2. atsarginės Objekto IS duomenų kopijos turi būti daromos periodiškai (visų duomenų kopija – vieną kartą per savaitę) pagal subjekto vadovo patvirtintą Svarbiausių veiklos duomenų ir kitos informacijos atsarginių kopijų administravimo tvarkos aprašą;
41.4. Objekto IS duomenų atkūrimas iš atsarginių duomenų kopijų turi būti periodiškai išbandomas pagal Objekto IS tvarkytojo patvirtintą Svarbiausių veiklos duomenų ir kitos informacijos atsarginių kopijų administravimo tvarkos aprašą. Bandymų eiga ir rezultatai pateikiami Objekto IS saugos įgaliotiniui;
41.5. už atsarginių Objekto IS duomenų kopijų darymą ir atkūrimą ir už Objekto IS taikomosios programinės įrangos (aplikacijų) kopijų inicijavimą atsakingas Objekto IS saugos įgaliotinis, o už vykdymą – Objekto IS administratorius;
VIII SKYRIUS
REIKALAVIMAI PERSONALUI
42. Objekto IS saugos įgaliotinis privalo išmanyti elektroninės informacijos saugos užtikrinimo principus, savo darbe vadovautis saugos dokumentais bei kitais Lietuvos Respublikos ir Europos Sąjungos teisės aktais, reglamentuojančiais saugų duomenų tvarkymą, standartais ir kitais dokumentais, sugebėti prižiūrėti, kaip įgyvendinama Objekto elektroninės informacijos saugumo politika, tobulinti kvalifikaciją elektroninės informacijos saugos srityje.
43. Objekto IS saugos įgaliotiniu negali būti skiriamas asmuo, turintis neišnykusį ar nepanaikintą teistumą už nusikaltimą elektroninių duomenų ir informacinių sistemų saugumui, taip pat paskirtą administracinę nuobaudą už neteisėtą asmens duomenų tvarkymą ir privatumo apsaugos pažeidimą elektroninių ryšių srityje, elektroninių ryšių išteklių naudojimo ir skyrimo taisyklių pažeidimą, elektroninių ryšių tinklo gadinimą ar savavališką prisijungimą prie tinklo arba galinių įrenginių, kurie trukdo elektroninių ryšių tinklo darbui, savavališką prisijungimą arba elektroninių ryšių infrastruktūros įrengimo, naudojimo ir apsaugos sąlygų ir taisyklių pažeidimą, jeigu nuo jos paskyrimo praėję mažiau kaip vieni metai.
44. Objekto IS administratorius privalo išmanyti Objekto IS elektroninės informacijos saugumo politikos principus, mokėti užtikrinti jų saugą, mokėti dirbti su duomenų perdavimo tinklais, užtikrinti jų saugą, taip pat administruoti ir prižiūrėti informacines sistemas, turi būti susipažinęs su šiais Reikalavimais informacinei saugai ir kitais su elektroninės informacijos sauga susijusiais dokumentais, darbo saugos taisyklėmis.
45. Objekto IS administratorius privalo sugebėti užtikrinti techninės ir programinės įrangos nepertraukiamą funkcionavimą, stebėti techninės ir programinės įrangos veikimą, atlikti techninės ir programinės įrangos profilaktinę priežiūrą, sutrikimų diagnostiką ir šalinimą, išmanyti elektroninės informacijos saugos užtikrinimo principus.
46. Objekto IS naudotojai privalo išmanyti Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymą ir kitus teisės aktus, reglamentuojančius asmens duomenų saugą, turi turėti naudojimosi kompiuteriu įgūdžių, būti susipažinę su šiais Reikalavimais informacinei saugai ir kitais susijusiais saugos dokumentais.
47. Objekto IS naudotojai, pastebėję informacijos saugumo politikos pažeidimų, nusikalstamos veikos požymių ar netinkamai veikiančių Objekto IS elektroninės informacijos saugos užtikrinimo priemonių, nedelsdami privalo apie tai pranešti Objekto IS saugos administratoriui.
48. Objekto IS administratorius apie Reikalavimų informacinei saugai 17 punkte ir jo papunkčiuose nurodytus pažeidimus informuoja Objekto IS saugos įgaliotinį. Įtaręs neteisėtą veiką, pažeidžiančią ar neišvengiamai pažeidžiančią Objekto IS elektroninę informaciją (jos konfidencialumą, vientisumą ar prieinamumą), Objekto IS saugos įgaliotinis apie tai turi pranešti subjekto vadovui ir kompetentingoms institucijoms.
49. Objekto IS naudotojų administratorius turi būti gerai susipažinęs su Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu ir kitais teisės aktais, reglamentuojančiais asmens duomenų saugą, žinoti visus sutartinius įsipareigojimus ir teisės aktus, susijusius su Objekto IS naudotojų administravimu.
50. Objekto IS naudotojų administratorius turi žinoti Objekto IS vaidmenis ir jų suteikimo principus.
IX SKYRIUS
ELEKTRONINĖS INFORMACIJOS SAUGOS VALDYMAS
52. Už informacinės sistemos rizikos vertinimą atsakingas Objekto IS saugos įgaliotinis. Objekto IS saugos įgaliotinis vadovaujantis subjekto vadovo tvirtinama metodika, parengta atsižvelgiant į Vidaus reikalų ministerijos išleistą metodinę priemonę „Rizikos analizės vadovas“, kuri skelbiama Vidaus reikalų ministerijos interneto svetainėje (http://www.vrm.lt/Rizikos_analize.pdf), Lietuvos ir tarptautinius „Informacijos technologija. Saugumo technika“ grupės standartus, kasmet organizuoja Objekto IS rizikos įvertinimą. Rizikos įvertinimo ataskaita rengiama vertinant rizikos veiksnius, galinčius turėti įtakos objekto IS elektroninės informacijos saugai, jų galimą žalą, pasireiškimo tikimybę ir pobūdį, galimus rizikos valdymo būdus, rizikos priimtinumo kriterijus. Prireikus, saugos įgaliotinis gali organizuoti neeilinį rizikos įvertinimą.
53. Svarbiausi rizikos veiksniai yra šie:
53.1. subjektyvūs netyčiniai (elektroninės informacijos tvarkymo klaidos ir apsirikimai, elektroninės informacijos ištrynimas, klaidingas elektroninės informacijos teikimas, fiziniai informacijos technologijų sutrikimai, elektroninės informacijos perdavimo tinklais sutrikimai, programinės įrangos klaidos, neteisingas veikimas ir kt.);
53.2. subjektyvūs tyčiniai (nesankcionuotas naudojimasis elektroninei informacijai gauti, elektroninės informacijos pakeitimas ir sunaikinimas, informacinių technologijų duomenų perdavimo tinklais sutrikdymai, saugumo pažeidimai, vagystės ir kt.);
53.3. veiksniai, nurodyti Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių, patvirtintų Lietuvos Respublikos Vyriausybės 1996 m. liepos 15 d. nutarimu Nr. 840 „Dėl Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių patvirtinimo“, 3 punkte.
54. Pagrindinės nuostatos dėl rizikos veiksnių vertinimo:
54.4. Objekto IS saugos įgaliotinis yra atsakingas už Objekto IS rizikos vertinimo atlikimo organizavimą;
55. Objekto IS rizikos vertinimas atliekamas vadovaujantis:
55.1. Lietuvos Respublikos valstybės institucijų ir įstaigų informacinių sistemų duomenų saugą reglamentuojančių teisės aktų reikalavimais;
55.2. Lietuvos standartu LST ISO/IEC 27001:2013 ir kitais Lietuvos ir tarptautiniais standartais, reglamentuojančiais rizikos vertinimą;
56. Rizikos valdymo procesą sudaro:
56.1. rizikos vertinimo konteksto nustatymas, rizikos vertinimas (informacinių išteklių inventorizacija, rizikos analizė, rizikos įvertinimas), rizikos tvarkymas ir rizikos stebėsena ir peržiūra;
56.2. Subjekto vadovas, atsižvelgdamas į Objekto IS rizikos vertinimo rezultatus, prireikus tvirtina Objekto IS saugos įgaliotinio parengtą rizikos tvarkymo planą, kuriame numatomas techninių, administracinių ir kitų išteklių poreikis rizikos valdymo priemonėms įgyvendinti;
56.3. Rizikos įvertinimo ataskaitos, Rizikos įvertinimo ir rizikos valdymo priemonių plano kopijas subjekto vadovas ne vėliau kaip per 5 darbo dienas nuo minėtų dokumentų priėmimo turi pateikti į Valstybės informacinių išteklių atitikties elektroninės informacijos saugos (kibernetinio saugumo) reikalavimams stebėsenos sistemą, kaip numatyta Valstybės informacinių išteklių atitikties elektroninės informacijos saugos (kibernetinio saugumo) reikalavimams stebėsenos sistemos nuostatuose.
57. Objekto IS saugos užtikrinimo priemonės parenkamos vadovaujantis:
57.2. Techniniais valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimais;
57.3. Organizaciniais ir techniniais kibernetinio saugumo reikalavimais, taikomais ypatingos svarbos informacinei infrastruktūrai ir valstybės informaciniams ištekliams;
57.4. Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašu, numatančiu būtinas priemones pagal informacinei sistemai paskirtą saugos kategoriją;
57.7. kitų elektroninės informacijos apsaugą reglamentuojančių Lietuvos Respublikos teisės aktų reikalavimais, kurie nustato būtinas priemones pagal informacinei sistemai paskirtą kategoriją;
58. Pagrindiniai elektroninės informacijos saugos priemonių parinkimo principai yra šie:
58.2. elektroninės informacijos saugos priemonės diegimo kaina turi būti proporcinga saugomos elektroninės informacijos vertei;
X SKYRIUS
BAIGIAMOSIOS NUOSTATOS
59. Rekomenduotina, kad prekių, paslaugų ar darbų, susijusių su Objektų fizine ir informacine sauga, tiekėjai, gamintojai, susijusios įmonės, subrangovai ir šių įmonių valdymo organų nariai būtų iš Europos Sąjungai ir Šiaurės Atlanto Sutarties Organizacijai priklausančių užsienio valstybių.
60. Rekomenduotina Objekte įdiegti pripažintus tarptautinius standartus, reglamentuojančius informacinės sistemos saugumo valdymą.
61. Objekto fizinės ir informacinės saugos auditas atliekamas ne rečiau kaip kas 5 metai. Auditą atlieka Objekto ar kito juridinio asmens, nuosavybės ar patikėjimo teise valdančio arba nuomos ar panaudos pagrindu naudojančio nacionaliniam saugumui užtikrinti svarbų Objektą, vidaus audito padaliniai arba audito įmonės, turinčios patirtį fizinės bei informacinės saugos srityse.