LIETUVOS RESPUBLIKOS TEISINGUMO MINISTRO
Į S A K Y M A S
DĖL TEISINGUMO MINISTRO 2007 M. SPALIO 4 D. ĮSAKYMO NR. 1R-389 „DĖL VĮ REGISTRŲ CENTRO TVARKOMŲ REGISTRŲ DUOMENŲ SAUGOS NUOSTATŲ PATVIRTINIMO IR SAUGOS ĮGALIOTINIO SKYRIMO“ PAKEITIMO
2012 m. spalio 19 d. Nr. 1R-263
Vilnius
P a k e i č i u Valstybės įmonės Registrų centro tvarkomų registrų duomenų saugos nuostatus, patvirtintus Lietuvos Respublikos teisingumo ministro 2007 m. spalio 4 d. įsakymu Nr. 1R-389 „Dėl VĮ Registrų centro tvarkomų registrų duomenų saugos nuostatų patvirtinimo ir saugos įgaliotinio skyrimo“ (Žin., 2007, Nr. 104-4265; 2010, Nr. 25-1183), ir išdėstau juos nauja redakcija (pridedama).
PATVIRTINTA
Lietuvos Respublikos teisingumo ministro
2007 m. spalio 4 d. įsakymu Nr. 1R-389
(Lietuvos Respublikos teisingumo ministro
2012 m. spalio 19 d. įsakymo Nr. 1R-263
redakcija)
VALSTYBĖS ĮMONĖS REGISTRŲ CENTRO TVARKOMŲ REGISTRŲ DUOMENŲ SAUGOS NUOSTATAI
I. BENDROSIOS NUOSTATOS
1. Valstybės įmonės Registrų centro (toliau – VĮ Registrų centras) tvarkomų registrų elektroninės informacijos saugumo tikslai yra šie:
1.1. sudaryti sąlygas saugiai automatiniu būdu tvarkyti elektroninę informaciją VĮ Registrų centro tvarkomuose Nekilnojamojo turto, Juridinių asmenų ir Adresų registruose (toliau – informacinės sistemos);
2. VĮ Registrų centras, siekdamas užtikrinti tinkamą elektroninės informacijos saugumą, įgyvendina Lietuvos standarto LST ISO/IEC 27002:2009 reikalavimus.
3. Elektroninės informacijos saugumo užtikrinimo prioritetinės kryptys:
4. Informacinių sistemų valdytojo ir tvarkytojo pavadinimai ir adresai:
4.1. informacinių sistemų valdytoja yra Lietuvos Respublikos teisingumo ministerija, kurios adresas – Gedimino pr. 30, Vilnius;
5. Informacinių sistemų valdytojo funkcijos ir atsakomybė:
5.1. koordinuoja informacinių sistemų tvarkytojo darbą, metodiškai jam vadovauja ir įstatymų nustatyta tvarka atlieka šio darbo priežiūrą;
5.6. kontroliuoja, kad racionaliai ir taupiai būtų naudojami darbo, materialiniai ir finansiniai ištekliai, skirti informacinėms sistemoms tvarkyti;
6. Informacinių sistemų tvarkytojo funkcijos ir atsakomybė:
6.1. užtikrina informacinių sistemų duomenų saugą ir saugų duomenų perdavimą kompiuterių tinklais (automatiniu būdu), teikia pasiūlymus informacinių sistemų valdytojui, kaip tobulinti informacinių sistemų duomenų saugą;
6.2. užtikrina informacinių sistemų valdytojo priimtų teisės aktų ir rekomendacijų tinkamą įgyvendinimą;
6.3. ne rečiau kaip kartą per metus, atlikus rizikos analizę ar informacinių technologijų saugos atitikties vertinimą, organizuoja informacinių sistemų saugos dokumentų persvarstymą (peržiūrėjimą);
6.4. organizuoja informacinių sistemų naudotojams mokomuosius ir pažintinius kursus duomenų registravimo ir elektroninės informacijos teikimo klausimais;
6.5. teikia VĮ Registrų centro filialams metodinę ir informacinę pagalbą informacinių sistemų saugos klausimais, organizuoja informacinių sistemų naudotojų mokymą, apibendrina duomenų registravimo, keitimo, išregistravimo ir kitų su duomenimis atliekamų veiksmų praktiką ir teikia bendrą praktiką formuojančias rekomendacijas;
7. Saugos įgaliotinis, įgyvendindamas elektroninės informacijos saugą informacinėse sistemose, atlieka šias funkcijas:
7.1. teikia informacinių sistemų tvarkytojo vadovui pasiūlymus dėl:
7.1.1. informacinių sistemų administratoriaus ar administratorių (toliau – administratorius) paskyrimo;
7.2. koordinuoja elektroninės informacijos saugos incidentų, įvykusių informacinėse sistemose, tyrimą, išskyrus atvejus, kai šią funkciją atlieka informacijos saugos darbo grupės;
7.6. periodiškai inicijuoja informacinių sistemų naudotojų supažindinimą informacijos saugos klausimais, informuoja juos apie informacijos saugos problematiką (priminimai elektroniniu paštu, teminių seminarų rengimas, atmintinės priimtiems naujiems darbuotojams ir panašiai);
7.7. atlieka kitas informacinių sistemų valdytojo ir informacinių sistemų tvarkytojo vadovų pavestas ir Bendruosiuose elektroninės informacijos saugos valstybės institucijų ir įstaigų informacinėse sistemose reikalavimuose, patvirtintuose Lietuvos Respublikos Vyriausybės 2007 m. balandžio 25 d. nutarimu Nr. 410 (Žin., 1997, Nr. 83-2075; 2007, Nr. 49-1891), jam priskirtas funkcijas;
8. Administratorius atlieka šias funkcijas:
8.1. pagal kompetenciją užtikrina informacinių sistemų informacijos konfidencialumą, vientisumą ir prieinamumą;
8.2. sukuria ar panaikina informacinių sistemų naudotojų teises, reikalingas numatytoms funkcijoms atlikti;
8.5. vykdo saugos įgaliotinio nurodymus ir pavedimus dėl informacinių sistemų informacijos saugos užtikrinimo;
8.6. registruoja informacinių sistemų saugos incidentus ir informuoja apie juos saugos įgaliotinį, teikia pasiūlymus dėl incidentų pašalinimo;
9. Administratorius, atlikdamas informacinių sistemų priežiūrą, yra atsakingas už tinkamą šių nuostatų 8 punkte nustatytų funkcijų vykdymą.
10. Saugų informacinių sistemų duomenų tvarkymą reguliuoja:
10.1. Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas (Žin., 1996, Nr. 63-1479; 2008, Nr. 22-804);
10.2. Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymas (Žin., 2011, Nr. 163-7739);
10.3. Bendrieji elektroninės informacijos saugos valstybės institucijų ir įstaigų informacinėse sistemose reikalavimai;
10.4. Saugos dokumentų turinio gairės, patvirtintos Lietuvos Respublikos vidaus reikalų ministro 2007 m. gegužės 8 d. įsakymu Nr. 1V-172 (Žin., 2007, Nr. 53-2070);
10.5. Valstybės institucijų ir įstaigų informacinių sistemų klasifikavimo pagal jose tvarkomą elektroninę informaciją gairės, patvirtintos Lietuvos Respublikos vidaus reikalų ministro 2007 m. liepos 11 d. įsakymu Nr. 1V-247 (Žin., 2007, Nr. 78-3160);
10.6. Valstybės institucijų ir įstaigų informacinių sistemų elektroninės informacijos techniniai saugos reikalavimai, patvirtinti Lietuvos Respublikos vidaus reikalų ministro 2008 m. spalio 27 d. įsakymu Nr. 1V-384 (Žin., 2008, Nr. 127-4866);
10.7. Lietuvos standartai LST ISO/IEC 27002:2009 ir LST ISO/IEC 27005:2008, Lietuvos ir tarptautiniai „Informacijos technologija. Saugumo technika“ grupės standartai, reguliuojantys saugų informacinės sistemos duomenų tvarkymą;
II. ELEKTRONINĖS INFORMACIJOS SAUGOS VALDYMAS
11. Vadovaujantis Valstybės institucijų ir įstaigų informacinių sistemų klasifikavimo pagal jose tvarkomą elektroninę informaciją gairėmis, Nekilnojamojo turto, Juridinių asmenų, ir Adresų registrai priskiriami pirmos kategorijos informacinėms sistemoms.
12. Elektroninės informacijos priskyrimas atitinkamai kategorijai nustatomas įvertinus tvarkomų duomenų tipą ir įtaką informacinės sistemos funkcionavimui, atsižvelgiant į jų konfidencialumą, vientisumą ir pasiekiamumą.
13. Saugos įgaliotinis, vadovaudamasis Lietuvos standartu LST ISO/IEC 27005 „Informacijos technologija. Saugumo technika. Informacijos saugumo rizikos valdymas“, kasmet organizuoja informacinių sistemų rizikos veiksnių vertinimą. Prireikus saugos įgaliotinis gali organizuoti neeilinį informacinių sistemų rizikos veiksnių vertinimą.
14. Informacinių sistemų rizikos veiksnių vertinimas surašomas rizikos įvertinimo ataskaitoje. Rizikos įvertinimo ataskaita rengiama atsižvelgiant į rizikos veiksnius, galinčius turėti įtakos informacijos saugai. Svarbiausi rizikos veiksniai yra šie:
14.1. subjektyvūs netyčiniai (duomenų tvarkymo klaidos ir apsirikimai, duomenų ištrynimas, klaidingas duomenų teikimas, fiziniai informacijos technologijų sutrikimai, duomenų perdavimo tinklais sutrikimai, programinės įrangos klaidos, netinkamas veikimas ir kita);
14.2. subjektyvūs tyčiniai (nesankcionuotas naudojimasis informacinių sistemų duomenims gauti, duomenų pakeitimas ar sunaikinimas, informacinių technologijų duomenų perdavimo tinklais sutrikdymai, saugumo pažeidimai, vagystės ir kita);
15. Rizikos veiksniai vertinami pagal elektroninės informacijos kategorijas, nustatant jų įtakos informacinių sistemų elektroninės informacijos saugai laipsnius:
15.1. Ž – žemas. Duomenų pažeidimo poveikio laipsnis nėra didelis, padariniai nebus pavojingi – informacija pasiųsta kitam adresatui, įvesti netikslūs duomenys, dingo dalis informacijos, kurią galima greitai atkurti iš turimų atsarginių kopijų, prarasta informacija po paskutinio kopijavimo. Neveikia kompiuterinė programinė įranga ir (ar) operacinė sistema kompiuterizuotose darbo vietose;
15.2. V – vidutinis. Duomenų pažeidimo poveikio laipsnis gali būti didelis, padariniai rimti – duomenys netikslūs ar sugadinti, bet juos įmanoma atkurti iš turimų atsarginių kopijų. Duomenų bazių įrašai pakeisti, sunku rasti klaidas ir suklastotą informaciją, neveikia kompiuterinė programinė įranga ir (ar) operacinė sistema tarnybinėse stotyse;
16. Rizikos vertinimo metu atliekamų darbų apimtis:
17. Atsižvelgdamas į rizikos įvertinimo ataskaitą, informacinių sistemų valdytojas prireikus tvirtina Rizikos įvertinimo ir rizikos valdymo priemonių planą, kuriame, be kita ko, numatomas techninių, administracinių ir kitų išteklių poreikis rizikos valdymo priemonėms įgyvendinti.
18. Pagrindiniai elektroninės informacijos saugos priemonių parinkimo principai yra šie:
19. Siekiant užtikrinti šiuose nuostatuose ir kituose saugos politiką reguliuojančiuose dokumentuose išdėstytų nuostatų įgyvendinimo kontrolę, kasmet organizuojamas informacinių technologijų saugos atitikties vertinimas, kurio metu:
19.1. įvertinama šių nuostatų ir kitų saugos politiką reglamentuojančių teisės aktų ir realios informacijos saugos atitiktis;
19.3. tikrinamos ne mažiau kaip 10 procentų atsitiktinai parinktose informacinių sistemų duomenis tvarkančių darbuotojų ir sistemų administratorių darbo vietose, visose tarnybinėse stotyse įdiegtų programų ir jų sąranka;
19.4. patikrinama (įvertinama) informacinių sistemų duomenis tvarkantiems darbuotojams ir sistemų administratoriams suteiktų teisių atitiktis vykdomoms funkcijoms;
20. Atlikus šių nuostatų 19 punkte nurodytą vertinimą, rengiamas pastebėtų trūkumų šalinimo planas, kurį tvirtina, atsakingus vykdytojus paskiria ir įgyvendinimo terminus nustato informacinių sistemų tvarkytojas.
III. ORGANIZACINIAI IR TECHNINIAI REIKALAVIMAI
22. Priemonės ir metodai, kurie taikomi užtikrinant prieigą prie informacinių sistemų, nurodant leistiną šios prieigos laiką ir būdą, konkrečiai nustatomi ir reguliuojami VĮ Registrų centro registrų naudotojų administravimo taisyklėse.
23. Visose informacinių sistemų tarnybinėse stotyse ir kompiuterizuotose darbo vietose privalo būti įdiegta centralizuotai valdoma apsauga nuo kenksmingos programinės įrangos. Apsaugai naudojama programinė įranga privalo atsinaujinti ne rečiau kaip kartą per 24 valandas.
24. Naudoti programinę įrangą, nesusijusią su informacinių sistemų tvarkytojo veikla ar informacinių sistemų naudotojo atliekamomis funkcijomis (žaidimų, bylų siuntimo, internetinių pokalbių programų), griežtai draudžiama.
25. Informacinių sistemų naudotojų prieiga prie informacinių sistemų ir viešųjų kompiuterinių tinklų turi būti apsaugota užkardomis. Interneto turinys privalo būti filtruojamas, nepraleidžiant nepageidaujamos ir kenksmingos informacijos.
26. Užkardų ir kitos informacinių sistemų saugumui užtikrinti skirtos įrangos diegimą ir konfigūravimą koordinuoja Duomenų saugos skyrius.
28. Nešiojamieji kompiuteriai naudojami VĮ Registrų centro direktoriaus 2008 m. birželio 20 d. įsakyme Nr. v-148 „Dėl nešiojamų įrenginių saugumo patvirtinimo tvarkos ir duomenų rezervinio kopijavimo ir laikmenų saugojimo tvarkos patvirtinimo“ nustatyta tvarka (VĮ Registrų centro direktoriaus 2011 m. lapkričio 18 d. įsakymo Nr. v-221 redakcija).
29. Užtikrinant saugų elektroninės informacijos teikimą ir (ar) gavimą iš kitų valstybės institucijų, naudojami saugūs ryšio kanalai su perduodamų duomenų šifravimu. Informacijai perduoti gali būti naudojamas saugus valstybės duomenų perdavimo tinklas (toliau – SVDPT).
30. Duomenys teikiami ir (ar) gaunami automatiniu būdu tik pagal duomenų teikimo sutartyse nustatytas specifikacijas ir sąlygas.
31. Atsarginės duomenų kopijos daromos laikantis VĮ Registrų centro direktoriaus 2008 m. birželio 20 d. įsakyme Nr. v-148 „Dėl nešiojamų įrenginių saugumo patvirtinimo tvarkos ir duomenų rezervinio kopijavimo ir laikmenų saugojimo tvarkos patvirtinimo“ (VĮ Registrų centro direktoriaus 2011 m. lapkričio 18 d. įsakymo Nr. v-221 redakcija) nustatytos tvarkos.
IV. REIKALAVIMAI PERSONALUI
33. Informacinių sistemų naudotojai privalo gerai mokėti valstybinę lietuvių kalbą, turėti pareiginiuose nuostatuose nustatytą išsilavinimą, gerai mokėti dirbti kompiuteriu ir taikomosiomis programomis.
34. Tvarkyti informacinių sistemų duomenis gali tik informacinių sistemų naudotojai, susipažinę su šiais nuostatais ir elektroninės informacijos saugos politiką reguliuojančiais saugos dokumentais ir raštu sutikę laikytis šių teisės aktų reikalavimų.
35. Informacinių sistemų naudotojai, pažeidę šių nuostatų ar kitų saugos politiką reguliuojančių teisės aktų reikalavimus, atsako Lietuvos Respublikos įstatymų nustatyta tvarka.
36. Saugos įgaliotinis privalo išmanyti informacijos saugos užtikrinimo principus, savo darbe vadovautis Informacinių technologijų saugos atitikties vertinimo metodika, patvirtinta Lietuvos Respublikos vidaus reikalų ministro 2004 m. gegužės 6 d. įsakymu Nr. 1V-156 (Žin., 2004, Nr. 80-2855), kitais Lietuvos Respublikos ir Europos Sąjungos teisės aktais.
37. Administratoriumi gali būti skiriamas valstybės tarnautojas ar darbuotojas, dirbantis pagal darbo sutartį, išmanantis darbą su kompiuterių tinklais ir mokantis užtikrinti jų saugumą. Administratorius privalo būti susipažinęs su duomenų bazių administravimo ir priežiūros pagrindais.
38. Saugos įgaliotinis ne rečiau kaip kartą per metus inicijuoja informacinių sistemų naudotojų mokymą informacijos saugos klausimais, įvairiais būdais informuoja juos apie informacijos saugos problematiką (priminimai elektroniniu paštu, teminių seminarų organizavimas, atmintinių naujai priimtiems darbuotojams rengimas).
V. INFORMACINIŲ SISTEMŲ NAUDOTOJŲ SUPAŽINDINIMO SU SAUGOS DOKUMENTAIS PRINCIPAI
39. Už informacinių sistemų naudotojų supažindinimą su šiais nuostatais ir kitais saugos politiką reguliuojančiais teisės aktais ir atsakomybe už šių reikalavimų nesilaikymą atsakingas saugos įgaliotinis.
40. Šie nuostatai ir kiti saugos politiką reguliuojantys teisės aktai skelbiami VĮ Registrų centro vidinio tinklalapio skiltyje „Duomenų saugos dokumentai“.
41. Informacinių sistemų naudotojai su šiais nuostatais ir kitais saugos politiką reguliuojančiais teisės aktais ir atsakomybe už šių reikalavimų nesilaikymą supažindinami pasirašytinai.
42. Pakartotinai su saugos politiką reguliuojančiais teisės aktais darbuotojai supažindinami tik iš esmės pasikeitus informacinėms sistemoms arba informacijos saugą reguliuojantiems teisės aktams. Informacija apie pasikeitimus saugos politiką reguliuojančiuose teisės aktuose siunčiama elektroniniu būdu.
VI. BAIGIAMOSIOS NUOSTATOS
44. Informacinių sistemų valdytojas šiuos nuostatus gali keisti, pripažinti netekusiais galios savo arba saugos įgaliotinio iniciatyva.
45. Informacinių sistemų tvarkytojas saugos dokumentus turi persvarstyti (peržiūrėti) ne rečiau kaip kartą per kalendorinius metus. Saugos dokumentai turi būti persvarstomi (peržiūrimi) atlikus rizikos analizę ar informacinių technologijų saugos atitikties vertinimą arba įvykus esminiams organizaciniams, sisteminiams ar kitiems informacinių sistemų tvarkytojo pokyčiams. Prireikus saugos dokumentai turi būti tikslinami ir derinami su Lietuvos Respublikos vidaus reikalų ministerija.
46. Reorganizuojant arba likviduojant informacines sistemas, jų elektroninė informacija turi būti saugiai perduodama kitam informacinių sistemų valdytojui, valstybės archyvams Lietuvos Respublikos dokumentų ir archyvų įstatymo (Žin., 1995, Nr. 107-2389; 2004, Nr. 57-1982) nustatyta tvarka arba sunaikinama.