LIETUVOS RESPUBLIKOS ŠVIETIMO IR MOKSLO MINISTRO

Į S A K Y M A S

DĖL PEDAGOGŲ REGISTRO DUOMENŲ SAUGOS NUOSTATŲ PATVIRTINIMO

2009 m. lapkričio 2 d. Nr. ISAK-2175

Vilnius

Vadovaudamasis Bendrųjų elektroninės informacijos saugos valstybės institucijų ir įstaigų informacinėse sistemose reikalavimų, patvirtintų Lietuvos Respublikos Vyriausybės 1997 m. rugsėjo 4 d. nutarimu Nr. 952 (Žin., 1997, Nr. 83-2075; 2007, Nr. 49-1891), 6 punktu ir įgyvendindamas Pedagogų registro nuostatų, patvirtintų Lietuvos Respublikos švietimo ir mokslo ministro 2009 m. spalio 19 d. įsakymu Nr. ISAK-2079 (Žin., 2009, Nr. 127-5519), 12.1 punktą:

1. T v i r t i n u Pedagogų registro duomenų saugos nuostatus (pridedama).

2. P a v e d u Švietimo informacinių technologijų centrui (direktorius Vaino Brazdeikis) per 3 mėnesius nuo šio įsakymo įsigaliojimo dienos:

2.1. parengti ir teikti Lietuvos Respublikos švietimo ir mokslo ministrui tvirtinti Pedagogų registro saugaus elektroninės informacijos tvarkymo taisykles, Pedagogų registro veiklos tęstinumo valdymo planą, Pedagogų registro naudotojų administravimo taisykles;

2.2. parengti ir patvirtinti Pedagogų registro duomenų kopijų kūrimo tvarkos aprašą;

2.3. paskirti Pedagogų registro saugos įgaliotinį.

Švietimo ir mokslo ministras                               Gintaras Steponavičius

SUDERINTA

Lietuvos Respublikos vidaus reikalų ministerijos

2009 m. spalio 6 d. raštu Nr. ID-7433(13)

PATVIRTINTA

Lietuvos Respublikos švietimo ir mokslo

ministro 2009 m. lapkričio 2 d.

įsakymu Nr. ISAK-2175

PEDAGOGŲ REGISTRO DUOMENŲ SAUGOS NUOSTATAI

I. Bendrosios nuostatos

1. Pedagogų registro (toliau – Registras) duomenų saugos nuostatų (toliau – Saugos nuostatai) tikslas – nustatyti ir įgyvendinti organizacines, technines ir kitas priemones, suteikiančias galimybę saugiai rinkti, kaupti, apdoroti, saugoti Registro objektų duomenis, juos teikti švietimo ir mokslo registrams, informacinėms sistemoms, suinteresuotiems fiziniams ir juridiniams asmenims.

2. Saugos nuostatai parengti pagal Bendruosius elektroninės informacijos saugos valstybės institucijų ir įstaigų informacinėse sistemose reikalavimus, patvirtintus Lietuvos Respublikos Vyriausybės 1997 m. rugsėjo 4 d. nutarimu Nr. 952 (Žin., 1997, Nr. 83-2075; 2007, Nr. 49-1891), Saugos dokumentų turinio gaires, patvirtintas Lietuvos Respublikos vidaus reikalų ministro 2007 m. gegužės 8 d. įsakymu Nr. 1V-172 (Žin., 2007, Nr. 53-2070).

3. Saugos nuostatai privalomi visoms Registro tvarkymo įstaigoms, Registro duomenų tvarkytojams.

4. Saugos nuostatai nustato Registro saugos politiką (toliau – saugos politika). Saugos politiką įgyvendina Pedagogų registro saugaus elektroninės informacijos tvarkymo taisyklės (toliau – Tvarkymo taisyklės), Pedagogų registro veiklos tęstinumo valdymo planas (toliau – Valdymo planas), Pedagogų registro naudotojų administravimo taisyklės (toliau – Administravimo taisyklės), Registro duomenų kopijų kūrimo tvarkos aprašas.

5. Saugos politika vykdoma šiomis prioritetinėmis kryptimis:

5.1. įgyvendinant atliekamų veiksmų su Registro duomenimis automatinį stebėjimą ir įrašų kaupimą;

5.2. įgyvendinant prieigos teisių prie Registro duomenų suteikimą ir duomenų vartotojo tapatumo identifikavimą;

5.3. įgyvendinant Registro duomenų kopijavimą, archyve esančių duomenų saugą;

5.4. įgyvendinant Registro duomenų saugą nuo žalingos programinės įrangos poveikio;

5.5. įrengiant saugias Registrui tvarkyti skirtas patalpas ir kompiuterizuotas darbo vietas jose;

5.6. įgyvendinant Registro duomenų tvarkytojų kvalifikacijos tobulinimo sistemą;

5.7. įgyvendinant Registro duomenų vientisumą su švietimo ir mokslo registrais ir informacinėmis sistemomis;

5.8. įgyvendinant Registro duomenų saugos priemones nuo nesankcionuoto poveikio Registro programinei, techninei įrangai ir (ar) Registro programinės įrangos modifikavimo.

6. Vadovaujančioji registro tvarkymo įstaiga yra Lietuvos Respublikos švietimo ir mokslo ministerija (toliau – Ministerija), buveinės adresas: A. Volano g. 2/7, LT-01516 Vilnius. Vadovaujančioji registro tvarkymo įstaiga yra ir Registro duomenų valdytoja.

7. Registro tvarkymo įstaigos yra bendrojo lavinimo mokyklos, profesinio mokymo įstaigos ir neformaliojo vaikų švietimo mokyklos (toliau – Mokyklos), Švietimo informacinių technologijų centras (toliau – ITC). Mokyklų pavadinimai, jų buveinės adresai nurodyti Ministerijos tvarkomoje Atviros informavimo, konsultavimo ir orientavimo sistemos (AIKOS) interneto svetainėje, svetainės adresas www.aikos.smm.lt/ Švietimo ir mokslo institucijos. ITC buveinės adresas: LT-03113 Vilnius, Suvalkų g. 1.

Registro tvarkymo įstaigos yra ir asmens duomenų tvarkytojos.

8. Švietimo ir mokslo ministras tvirtina Saugos nuostatus, Tvarkymo taisykles, Valdymo planą, Administravimo taisykles. Ministerija prižiūri saugos politiką reglamentuojančių teisės aktų rengimą ir įgyvendinimą.

9. ITC direktorius paskiria Registro saugos įgaliotinį (toliau – Saugos įgaliotinis). Švietimo ir mokslo ministrui tvirtinti teikiami Saugos įgaliotinio parengti Saugos nuostatų, Tvarkymo taisyklių, Valdymo plano, Administravimo taisyklių projektai turi būti nustatyta tvarka suderinti su Lietuvos Respublikos vidaus reikalų ministerija ir suinteresuotais Ministerijos administracijos padaliniais.

10. ITC direktorius turi:

10.1. pavesti Saugos įgaliotiniui organizuoti ir kontroliuoti saugos politiką reglamentuojančių teisės aktų įgyvendinimą Registro tvarkymo įstaigose;

10.2. paskirti Registro administratorių, jam pavesti užtikrinti Registro tarnybinės stoties saugų funkcionavimą, administruoti Registro duomenų bazę Saugos nuostatų ir kitų saugos politiką reglamentuojančių teisės aktų nustatyta tvarka;

10.3. nustatyti reikalavimus Saugos įgaliotiniui, Registro administratoriui ir Registro duomenų tvarkytojų kvalifikacijai.

11. Saugos įgaliotinis turi:

11.1. vertinti rizikos veiksnių tikimybes ir žalos galimybes, organizuoti ir kontroliuoti trūkumų šalinimą;

11.2. vertinti saugos politiką reglamentuojančių teisės aktų įgyvendinimą;

11.3. teikti siūlymus pakeisti ar papildyti saugos politiką reglamentuojančius teisės aktus;

11.4. užtikrinti Registro saugą ir saugos politiką ją reglamentuojančių teisės aktų nustatyta tvarka.

12. Mokyklų vadovai (jų įgalioti asmenys) ir ITC direktorius turi paskirti Registro duomenų tvarkytojus, jiems pavesti tvarkyti Registro duomenis, užtikrinti Registro duomenų saugą ir saugos politiką ją reglamentuojančių teisės aktų nustatyta tvarka.

13. Registro duomenų sauga užtikrinama vadovaujantis Lietuvos Respublikos valstybės registrų įstatymu (Žin., 1996, Nr. 86-2043; 2004, Nr. 124-4488), Bendraisiais elektroninės informacijos saugos valstybės institucijų ir įstaigų informacinėse sistemose reikalavimais, patvirtintais Lietuvos Respublikos Vyriausybės 1997 m. rugsėjo 4 d. nutarimu Nr. 952, Saugos dokumentų turinio gairėmis, patvirtintomis Lietuvos Respublikos vidaus reikalų ministro 2007 m. gegužės 8 d. įsakymu Nr. 1V-172, Lietuvos standartu LST ISO/IEC 17799:2006, Lietuvos ir tarptautiniais „Informacijos technologija. Saugumo technika“ grupės standartais, Saugos nuostatais, Tvarkymo taisyklėmis, Valdymo planu, Administravimo taisyklėmis, kitais teisės aktais, reglamentuojančiais Registro saugų duomenų tvarkymą.

II. REGISTRO DUOMENŲ SAUGOS VALDYMAS

14. Vadovaujantis Valstybės institucijų ir įstaigų informacinių sistemų klasifikavimo pagal jose tvarkomą elektroninę informaciją gairių, patvirtintų Lietuvos Respublikos vidaus reikalų ministro 2007 m. liepos 11 d. įsakymu Nr. 1V-247 (Žin., 2007, Nr. 78-3160), 3.3 punktu Registras priskiriamas trečiajai informacinės sistemos kategorijai, kuriame logiškai tarpusavyje susijusių duomenų konfidencialumo, vientisumo ir (ar) prieinamumo praradimas gali turėti neigiamą įtaką valstybės institucijos ar įstaigos veiklai ir Registre tvarkomiems asmens duomenims. Registro duomenis sudaro bendrieji, specifiniai (nurodyti Pedagogų registro nuostatuose) ir technologiniai (Registro duomenų tvarkytojo) duomenys.

15. Saugos priemonės parenkamos įvertinus galimus rizikos veiksnius Registro duomenų vientisumui ir prieinamumui.

16. Teisės aktų nustatyta tvarka atliekant Registro informacinių technologijų saugos atitikties vertinimą:

16.1. įvertinama saugos politikos dokumentų ir realios informacijos saugos situacijos atitiktis;

16.2. inventorizuojama Registro techninė ir programinė įranga;

16.3. patikrinama ne mažiau kaip 10 procentų atsitiktinai parinktų Registro tvarkytojų kompiuterinių darbo vietų, visose tarnybinėse stotyse įdiegtų programų ir jų sąranka;

16.4. patikrinama (įvertinama) Registro tvarkytojams suteiktų teisių ir vykdomų funkcijų atitiktis;

16.5. įvertinamas pasirengimas užtikrinti Registro veiklos tęstinumą įvykus saugos incidentui.

17. Atlikus šių Saugos nuostatų 16 punkte nurodytą saugos atitikties vertinimą, rengiamas pastebėtų trūkumų šalinimo planas (toliau – Planas), kurį tvirtina, atsakingus vykdytojus skiria ir įgyvendinimo terminus nustato ITC direktorius.

18. Saugos įgaliotinis turi:

18.1. atsižvelgdamas į Vidaus reikalų ministerijos išleistą metodinę priemonę „Rizikos analizės vadovas“, Lietuvos ir tarptautinius „Informacijos technologija. Saugumo technika“ grupės standartus, kasmet organizuoti Registro rizikos vertinimą. Prireikus Saugos įgaliotinis gali organizuoti neeilinį Registro rizikos vertinimą. Registro vadovaujančios tvarkymo įstaigos rašytiniu pavedimu Registro rizikos vertinimą gali atlikti Saugos įgaliotinis;

18.2. išdėstyti Registro rizikos įvertinimą Rizikos įvertinimo ataskaitoje. Rizikos įvertinimo ataskaita rengiama atsižvelgiant į rizikos veiksnius, galinčius turėti įtakos informacijos saugai. Svarbiausieji rizikos veiksniai yra šie:

18.2.1. subjektyvūs netyčiniai (duomenų tvarkymo klaidos ir apsirikimai, duomenų ištrynimas, klaidingas duomenų teikimas, fiziniai informacijos technologijų sutrikimai, duomenų perdavimo tinklais sutrikimai, programinės įrangos klaidos, neteisingas veikimas ir kita);

18.2.2. subjektyvūs tyčiniai (nesankcionuotas naudojimasis informacine sistema duomenims gauti, duomenų keitimas ar sunaikinimas, informacinių technologijų duomenų perdavimo tinklais trikdymai, saugumo pažeidimai, vagystės ir kita);

18.2.3. nenugalima jėga (force majeure);

18.3. per 10 kalendorinių dienų, patvirtinus Rizikos įvertinimo ataskaitą (toliau – Ataskaita), parengti Planą, kuriame nurodyti rizikos veiksnius šalinančias priemones, priemonių vykdymo terminus, vykdytojus. Planą tvirtina ITC direktorius;

18.4. patvirtintas Ataskaitos ir Plano kopijas paštu išsiųsti Registro vadovaujančiai tvarkymo įstaigai ir Registro tvarkymo įstaigoms, nuolat kontroliuoti Plane nurodytų priemonių vykdymą.

19. Rizikos veiksnių Registro duomenims, techninei, programinei įrangai, registravimo dokumentams, patalpoms savivaldybių administracijose ir ITC tikėtumui vertinti turi būti naudojama penkiabalė rizikos veiksnių tikėtumo ir žalos vertinimo metodika:

19.1. nereikšminga rizikos veiksnių tikimybė, žala – 1 balas;

19.2. maža rizikos veiksnių tikimybė, žala – 2 balai;

19.3. vidutinė rizikos veiksnių tikimybė, žala – 3 balai;

19.4. didelė rizikos veiksnių tikimybė, žala – 4 balai;

19.5. labai didelė rizikos veiksnių tikimybė, žala – 5 balai.

III. ORGANIZACINIAI IR TECHNINIAI REIKALAVIMAI

20. Registro duomenų tvarkytojų darbo su Registro duomenimis tvarką nustato Tvarkymo taisyklės.

21. Registro duomenims apsaugoti nuo kenksmingos programinės įrangos Registro tvarkymo įstaigose turi būti naudojamos programinės priemonės (viena iš jų) – Symantec Norton Antivirus, McAfee, Virus Scan, Panda AntiVirus, Dr. Web, Kaspersky AntiVirus, atnaujinamos ne rečiau kaip kartą per mėnesį.

22. Prieiga prie kompiuterių ir tarnybinių stočių operacinių sistemų valdymo ir konfigūravimo leidžiama tik Registro administratoriui, atsakingam už kompiuterių tinklo filtravimo įrangos (užkardų, turinio kontrolės sistemų, įgaliotojų serverių (proxy) administravimą ir priežiūrą.

23. Registro tvarkymo įstaigos, siekdamos saugiai rinkti, apdoroti, kaupti, saugoti, teikti švietimo ir mokslo registrams, informacinėms sistemoms, suinteresuotiems fiziniams ir juridiniams asmenims, Registro objektų duomenis turi naudoti programinės ir techninės įrangos saugos priemones, kuriose:

23.1. realizuota galimybė Registro duomenų tvarkytojams naudoti tik legalią programinę įrangą;

23.2. realizuota Registro duomenų tvarkytojams prieigos prie Registro duomenų galimybė tik per registravimosi ir slaptažodžių sistemą;

23.3. realizuota prievolė Registro duomenų tvarkytojams reguliariai keisti slaptažodžius;

23.4. realizuota galimybė identifikuoti prieigos prie Registro duomenų autorius, fiksuoti jų atliktus veiksmus ir juos kaupti;

23.5. realizuota galimybė visas užklausas į Registro duomenų bazę fiksuoti programiniu būdu;

23.6. apribotas programinės įrangos, nesusijusios su Registro tvarkymo įstaigų veikla ar funkcijomis (žaidimai, bylų siuntimo, internetinių pokalbių programos ir kt.), naudojimas;

23.7. viešaisiais telekomunikaciniais tinklais perduodamos elektroninės informacijos konfidencialumas užtikrinamas naudojant HTTPS (Hypertext Transfer Protocol Secure) protokolą arba šifravimą;

23.8. duomenys iš susijusių Švietimo ir mokslo institucijų, Studijų ir mokymo programų ir kitų švietimo registrų gaunami programiniu būdu iš išrašų. Išrašus CSV (Comma – Separated Values) formatu formuoja susijusių registrų administratoriai. Duomenys iš Gyventojų registro gaunami duomenų teikimo sutartyje nustatyta tvarka ir sąlygomis, iš Kvalifikacijos tobulinimo programų ir renginių registro teikiami duomenys naudojami tik statistikos reikmėms ir nėra Registre saugomi.

24. Saugos įgaliotinis, Registro administratorius turi organizuoti Registro tvarkymo įstaigose mokyklose ir ITC Registro programinės, techninės įrangos saugos priemonių įgyvendinimą.

25. Registro administratorius turi parengti Registro duomenų kopijų kūrimo tvarkos aprašą, kuriame nurodoma:

25.1. Registro duomenų kopijų kūrimo periodiškumas;

25.2. Registro duomenų kopijų saugojimo priemonės, būdai ir vieta;

25.3. Registro duomenų iš kopijų atkūrimo tvarka;

25.4. Registro duomenų kopijų naikinimo tvarka;

25.5. asmens, atsakingo už Registro duomenų kopijų kūrimą, saugojimą, atkūrimą, sunaikinimą, teisės ir pareigos.

Registro administratorius parengtą Registro duomenų kopijų kūrimo tvarkos aprašą tvirtina ITC direktorius.

IV. Reikalavimai Personalui

26. Registro objektų duomenims saugiai rinkti, kaupti, apdoroti, saugoti ir juos teikti švietimo ir mokslo registrams, informacinėms sistemoms, suinteresuotiems fiziniams ir juridiniams asmenims gali asmenys, susipažinę su Registro nuostatais, registrų ir informacinių sistemų saugos politiką reglamentuojančiais teisės aktais.

27. Saugos įgaliotinis privalo išmanyti pagrindinius informacijos saugos principus, turėti atitinkamą kvalifikaciją (kvalifikacijos tobulinimo kursai, pradinis saugaus darbo su duomenimis mokymas, ECDL vartotojo sertifikatas ar pan.), darbo su duomenų bazėmis, operacinėmis sistemomis, taikomosiomis programomis patirties.

28. Registro duomenų tvarkytojai turi:

28.1. turėti darbo su kompiuteriu įgūdžių;

28.2. mokėti tvarkyti Registro duomenis Registro nuostatų, detaliose darbo su Registro duomenimis taisyklėse nurodyta tvarka;

28.3. žinoti registrų ir informacinių sistemų saugos politiką reglamentuojančių teisės aktų reikalavimus.

29. Registro administratorius turi:

29.1. išmanyti darbą su kompiuterių tinklais;

29.2. turėti Registrui tvarkyti naudojamų sisteminių programinių priemonių Windows, Unix, MS SQL Server, SQLXML administravimo patirties;

29.3. mokėti administruoti registrų ir informacinių sistemų duomenų bazes.

30. Saugos įgaliotinis turi nuolat organizuoti Registro tvarkytojų, Registro administratoriaus kvalifikacijos tobulinimą duomenų saugos klausimais, supažindinti su Registro nuostatais, registrų ir informacinių sistemų saugos politiką reglamentuojančiais teisės aktais, saugaus darbo su duomenimis būdais, priminti apie saugumo problematiką (pavyzdžiui, priminimai elektroniniu paštu, teminių seminarų rengimas, atmintinės naujai priimtiems darbuotojams ir pan.).

V. REGISTRO NAUDOTOJŲ SUPAŽINDINIMO SU DOKUMENTAIS PRINCIPAI

31. Pedagogų registro tvarkytojai ir administratorius ne rečiau kaip kartą per metus supažindinami su Registro nuostatais, Saugos nuostatais, registrų ir informacinių sistemų saugos politiką įgyvendinančiais teisės aktais pasirašytinai. Saugos įgaliotinis, Registro duomenų tvarkytojai, Registro administratorius raštu įsipareigoja nepažeisti Saugos nuostatų ir kitų teisės aktų, reglamentuojančių Registro duomenų saugų tvarkymą.

32. Saugos įgaliotinis, Registro duomenų tvarkytojai, Registro administratorius, pažeidę saugos politiką reglamentuojančių teisės aktų reikalavimus, atsako teisės aktų nustatyta tvarka.

VI. Baigiamosios nuostatos

33. Saugos nuostatai ir kiti saugos politiką reglamentuojantys teisės aktai iš esmės peržiūrimi ir prireikus keičiami ne rečiau kaip kartą per metus.

34. Registro tvarkymo įstaigos privalo įgyvendinti Saugos nuostatuose ir kituose teisės aktuose, reglamentuojančiuose Registro duomenų saugų tvarkymą, nustatytas organizacines, technines ir kitas priemones.

35. Duomenys apie Registro duomenų tvarkytojų, Registro administratoriaus atliktus veiksmus su Registro duomenimis saugomi neterminuotai.

36. Saugos įgaliotinis, Registro duomenų tvarkytojai, Registro administratorius, pažeidę šių Saugos nuostatų, kitų teisės aktų, reglamentuojančių Registro duomenų saugų tvarkymą, reikalavimus, atsako įstatymų ir kitų teisės aktų nustatyta tvarka.

_________________