LIETUVOS RESPUBLIKOS
SVEIKATOS APSAUGOS MINISTRO
Į S A K Y M A S
DĖL kraujo donorų registro duomenų SAUGOS NUOSTATŲ PATVIRTINIMO
2011 m. liepos 1 d. Nr. V-659
Vilnius
Vadovaudamasis Bendrųjų elektroninės informacijos saugos valstybės institucijų ir įstaigų informacinėse sistemose reikalavimų, patvirtintų Lietuvos Respublikos Vyriausybės 1997 m. rugsėjo 4 d. nutarimu Nr. 952 (Žin., 1997, Nr. 83-2075; 2007, Nr. 49-1891; 2008, Nr. 85-3393), 6.1 ir 8 punktais:
2. P a v e d u Higienos institutui:
2.1. per 3 mėnesius nuo šio įsakymo įsigaliojimo dienos parengti ir pateikti Lietuvos Respublikos sveikatos apsaugos ministrui tvirtinti Kraujo donorų registro saugaus elektroninės informacijos tvarkymo taisykles, Kraujo donorų registro veiklos tęstinumo valdymo planą, Kraujo donorų registro naudotojų administravimo taisykles;
Patvirtinta
Lietuvos Respublikos sveikatos apsaugos ministro 2011 m. liepos 1 d. įsakymu Nr. V-659
KRAUJO DONORŲ REGISTRO DUOMENŲ SAUGOS NUOSTATAI
I. BENDROSIOS NUOSTATOS
1. Kraujo donorų registro (toliau – registras) duomenų saugos nuostatai (toliau – Saugos nuostatai) nustato duomenų saugos tikslus, principus ir reikalavimus, užtikrinančius saugų duomenų tvarkymą, reglamentuoja saugos politiką.
2. Šiuose Saugos nuostatuose vartojamos sąvokos atitinka Bendruosiuose elektroninės informacijos saugos valstybės institucijų ir įstaigų informacinėse sistemose reikalavimuose, patvirtintuose Lietuvos Respublikos Vyriausybės 1997 m. rugsėjo 4 d. nutarimu Nr. 952 (Žin., 1997, Nr. 83-2075; 2007, Nr. 49-1891) (toliau – Saugos reikalavimai), Saugos dokumentų turinio gairėse, patvirtintose Lietuvos Respublikos vidaus reikalų ministro 2007 m. gegužės 8 d. įsakymu Nr. 1V-172 (Žin., 2007, Nr. 53-2070), ir kituose teisės aktuose bei Lietuvos standartuose LST ISO/IEC 17799:2006 ir LST ISO/IEC 27001:2006 vartojamas sąvokas.
3. Registro saugos tikslas – užtikrinti sąlygas saugiai tvarkyti registro duomenis, išsaugant informacijos konfidencialumą, prieinamumą, vientisumą ir tinkamą kompiuterizuotų darbo vietų bei tinklo įrangos funkcionavimą. Registro duomenų saugumui užtikrinti kompleksiškai naudojamos administracinės, techninės ir programinės priemonės, padedančios įgyvendinti reagavimo, atsakomybės, elektroninės informacijos saugos suvokimo kėlimo ir saugos priemonių projektavimo ir diegimo principus.
4. Saugos politika vykdoma šiomis prioritetinėmis kryptimis:
5. Saugos nuostatai taikomi vadovaujančiajai registro tvarkymo įstaigai, centrinei ir kitoms registro tvarkymo įstaigoms, registro saugos įgaliotiniui, administratoriui ir registro naudotojams.
6. Vadovaujančioji registro tvarkymo įstaiga – Lietuvos Respublikos sveikatos apsaugos ministerija, buveinės adresas – Vilniaus g. 33, LT-01506 Vilnius:
6.1. rengia ir tvirtina saugumo politiką reglamentuojančius teisės aktus ir prižiūri, kaip jų laikomasi;
6.2. koordinuoja registro darbą, metodiškai jam vadovauja ir įstatymų nustatyta tvarka vykdo šio darbo priežiūrą;
7. Centrinė registro tvarkymo įstaiga – Higienos institutas, buveinės adresas – Didžioji g. 22, LT-01128 Vilnius:
7.1. priima sprendimą dėl registro informacinių technologijų atitikties saugos reikalavimams vertinimo atlikimo;
7.4. atlieka registro duomenų bazės techninę priežiūrą, užtikrina kompiuterizuotų darbo vietų pakankamą saugumo lygį, vietinio kompiuterių tinklo saugų funkcionavimą bei organizuoja nuolatinį saugumo monitoringą;
7.7. registro tvarkymo įstaigos ir duomenų gavėjų sutarčių dėl duomenų teikimo nustatyta tvarka teikia registro duomenis duomenų gavėjams bei užtikrina teikiamų duomenų saugą;
7.8. suteikia teisę registro duomenų naudotojams naudotis registro ištekliais ir tvarkyti registro duomenis bei užtikrina, kad registro duomenų naudotojai laikytųsi nuostatų, išvardintų Saugos nuostatuose bei kituose saugos politiką įgyvendinančiuose dokumentuose;
8. Registro saugos įgaliotinis yra Higienos instituto direktoriaus (toliau – Direktoriaus) paskirtas darbuotojas. Saugos įgaliotinis organizuoja ir kontroliuoja šių Saugos nuostatų įgyvendinimą ir atlieka kitas funkcijas:
8.1. teikia centrinės registro tvarkymo įstaigos vadovui siūlymus dėl:
8.1.1. administratoriaus, kurį turi teisę skirti Direktorius, skyrimo (saugos įgaliotinis negali atlikti registro administratoriaus funkcijų);
8.4. periodiškai inicijuoja registro duomenų naudotojų mokymą informacijos saugos klausimais, informuoja juos apie informacijos saugos problematiką (pvz., priminimai elektroniniu paštu, teminių seminarų rengimas, atmintinės naujai priimtiems darbuotojams);
9. Administratorius:
9.1. atsako už registro funkcionavimą užtikrinančios techninės ir programinės įrangos, infrastruktūros bei informacinių technologijų paslaugų administravimą, registro funkcionavimo užtikrinimą, atsakingų už registro duomenų tvarkymą asmenų (toliau – naudotojai) registravimą ir prisijungimo vardų skyrimą, prieigos prie registro infrastruktūros išteklių teisių nustatymą;
9.2. atsako už priskirtų registro komponentų (kompiuterizuotų darbo vietų, tarnybinių stočių, operacinių sistemų, duomenų bazių, įsilaužimo aptikimo sistemų) administravimą, registro komponentų sąrankos aprašymo dokumentacijos parengimo ir atnaujinimo organizavimą, pažeidžiamų vietų nustatymą ir saugos priemonių parinkimą bei jų atitiktį saugos nuostatas įgyvendinančių dokumentų reikalavimams;
9.3. pagal kompetenciją rengia pasiūlymus dėl registro palaikymo, priežiūros, techninės ir programinės įrangos modernizavimo ir elektroninės informacijos saugos užtikrinimo;
9.4. registruoja elektroninės informacijos saugos incidentus, informuoja apie juos saugos įgaliotinį ir teikia pasiūlymus dėl minėtų incidentų pašalinimo;
10. Kitos registro tvarkymo įstaigos – kraujo donorystės įstaigos, licencijuotos kraujo donorystės veiklai. Šių įstaigų vadovai (jų įgalioti asmenys) turi paskirti fizinius asmenis, pavesti jiems tvarkyti registro duomenis, užtikrinti registro saugą ir saugos politiką, saugos dokumentų nustatyta tvarka.
11. Registro duomenų sauga užtikrinama vadovaujantis Lietuvos Respublikos valstybės registrų įstatymu (Žin., 1996, Nr. 86-2043; 2004, Nr. 124-4488), Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu (Žin., 1996, Nr. 63-1479; 2008, Nr. 22-804), Bendraisiais elektroninės informacijos saugos valstybės institucijų ir įstaigų informacinėse sistemose reikalavimais, Saugos dokumentų turinio gairėmis, Lietuvos standartu LST ISO/IEC 17799:2005, Lietuvos ir tarptautiniais „Informacijos technologija. Saugumo technika“ grupės standartais, kitais teisės aktais, reglamentuojančiais registro duomenų tvarkymo teisėtumą, registro tvarkytojų veiklą ir registro duomenų saugos valdymą.
II. ELEKTRONINĖS INFORMACIJOS SAUGOS VALDYMAS
12. Vadovaujantis Valstybės institucijų ir įstaigų informacinių sistemų klasifikavimo pagal jose tvarkomą elektroninę informaciją gairėmis, patvirtintomis Lietuvos Respublikos vidaus reikalų ministro 2007 m. liepos 11 d. įsakymu Nr. 1V-247 (Žin., 2007, Nr. 78-3160), registras priskiriamas trečiajai informacinių sistemų kategorijai.
13. Registro funkcinę struktūrą sudaro:
13.1. duomenų administravimo posistemis – operatyvus ir kokybiškas duomenų apie registro objektus (kraujo ir kraujo sudedamųjų dalių donorai) administravimas, registro duomenų bazės administravimas ir formavimas archyvo išorinėje laikmenoje nustatytu periodiškumu, skirtingų darbo teisių nustatymas asmenims, dirbantiems su registro programine įranga;
13.2. duomenų įvedimo posistemis – duomenų apie registro objektus įvedimas. Šiuos duomenis duomenų teikėjai teikia centrinei registro tvarkymo įstaigai;
13.3. duomenų perdavimo posistemis – registro duomenų teikimas susijusiems registrams, valstybės ir savivaldybių institucijoms. Registro duomenys teikiami fiziniams ir juridiniams asmenims, kurie atlieka valstybės priskirtas funkcijas, susijusias su registro duomenimis, ar kuriems registro duomenų reikia jų tiesioginėms funkcijoms atlikti įstatymų ir kitų teisės aktų nustatyta tvarka.
14. Registro duomenų saugos rizikos įvertinimas vykdomas:
14.2. pasikeitus registro duomenų bazės struktūrai (sistemos pakitimai, papildymas naujomis taikomosiomis programomis, taikomųjų programų šalinimas);
15. Prireikus saugos įgaliotinis gali organizuoti neeilinį registro duomenų saugos rizikos įvertinimą.
16. Priemonės rizikos veiksniams išvengti išdėstomos Direktoriaus patvirtintoje Rizikos ataskaitoje, kurią rengia registro saugos įgaliotinis, įvertinęs Bendrųjų duomenų saugos reikalavimų rizikos veiksnius.
17. Priemonės rizikos veiksniams išvengti taikomos registro naudotojams ir jų kompiuterinėms darbo vietoms, sistemos administravimo kompiuterinėms darbo vietoms.
18. Už rizikos įvertinimo ir ataskaitos rengimo organizavimą atsakingas registro saugos įgaliotinis. Siekdamas užtikrinti Saugos nuostatuose ir kituose saugumo politiką reglamentuojančiuose teisės aktuose išdėstytų nuostatų įgyvendinimo kontrolę, saugos įgaliotinis kasmet organizuoja saugos atitikties vertinimą, kurio metu:
18.1. įvertinama Saugos nuostatų ir kitų saugumo politiką reglamentuojančių teisės aktų bei realios duomenų saugos situacijos atitiktis;
18.3. tikrinama registro duomenų naudotojų kompiuterizuotų darbo vietų programinė įranga ir jos konfigūracija;
19. Registro duomenų tvarkymo ir saugumo procedūros išdėstomos Direktoriaus patvirtintose Saugaus elektroninės informacijos tvarkymo taisyklėse, kurias rengia registro saugos įgaliotinis.
III. ORGANIZACINIAI IR TECHNINIAI REIKALAVIMAI
21. Prieigos prie registro užtikrinimo metodai ir priemonės:
21.1. teisė dirbti su elektronine informacija suteikiama tik konkrečiam registro duomenų naudotojui arba registro duomenų naudotojų grupei;
21.2. pasibaigus darbo sutarčiai, registro duomenų naudotojo teisė naudotis registru turi būti panaikinta. Registro duomenų naudotojui teisė dirbti su konkrečia informacija turi būti ribojama ar sustabdoma, kai vyksta registro duomenų naudotojo veiklos tyrimas, naudotojas yra ilgalaikėse atostogose arba perkeliamas į kitas pareigas ir keičiasi pareigybės aprašyme nurodytos ar atliekamos funkcijos;
22. Reikalavimai naudojamai programinei įrangai, skirtai apsaugoti registrą nuo kenkimo programinės įrangos (virusų, programinės įrangos, skirtos šnipinėti, nepageidaujamo elektroninio pašto ir pan.):
22.1. registro duomenims apsaugoti įdiegiama programinė įranga, skirta apsisaugoti nuo kenksmingos programinės įrangos, ir atnaujinama ne rečiau kaip kartą per savaitę;
22.2. kompiuterinėse darbo vietose turi būti naudojamos centralizuotai valdomos kenksmingosios programinės įrangos aptikimo priemonės, kurios turi būti reguliariai atnaujinamos automatiniu būdu;
22.3. šios priemonės privalo nuolat ieškoti ir blokuoti kenkimo programas, veikiančias sisteminiuose kataloguose esančiose rinkmenose (įskaitant suspaustas rinkmenas) serveryje ir visuose kompiuterių tinklo kompiuteriuose;
23. Programinės įrangos, ribojančios programinės įrangos, nesusijusios su registro veikla ir registro duomenų naudotojų funkcijomis, naudojimo reikalavimai:
23.2. periodiškai, ne rečiau nei kartą per 3 mėnesius, turi būti tikrinama, ar nenaudojama nelegali programinė įranga; rasta nelegali programinė įranga turi būti nedelsiant pašalinama;
23.3. registro darbo vietose draudžiama naudoti programinę įrangą, nesusijusią su tiesiogine veikla ir funkcijomis, taip pat draudžiamas rinkmenų apsikeitimo programų naudojimas;
23.5. įdiegta galimybė nustatyti asmenis, kurie naudojosi prieiga prie registro duomenų, fiksuoti jų atliktus veiksmus ir juos kaupti;
23.7. registro duomenų naudotojų prieiga prie registro duomenų leidžiama tik per registravimosi ir slaptažodžių sistemą. Administratorius savo tapatybę turi patvirtinti slaptažodžiu, kuriam keliami reikalavimai aukštesni negu registro duomenų naudotojų slaptažodžiams;
23.8. registro duomenų naudotojų prieigos valdymas apibrėžtas Registro naudotojų administravimo tasyklėse;
24. Leistinos kompiuterių naudojimo ribos:
24.1. nešiojamieji kompiuteriai registro duomenų registravimui, kaupimui ir naudojimui naudojami tik mobiliuosiuose punktuose;
24.2. nešiojamieji kompiuteriai prie registro kompiuterių tinklo gali būti prijungiami ir iš registro tvarkymo patalpų išnešami tik su saugos įgaliotinio leidimu;
24.5. nešiojamuose kompiuteriuose turi būti naudojamas įjungimo slaptažodis, papildomas vartotojo tapatybės nustatymas;
24.6. registro duomenų naudotojai privalo naudotis visomis esamomis saugumo priemonėmis siekiant apsaugoti kietąjį diską nuo vagystės arba pažeidimo;
24.8. apie nešiojamojo kompiuterio techninius gedimus privaloma nedelsiant informuoti saugos įgaliotinį, nurodant visus žinomus faktus;
24.9. stacionarų kompiuterį įjungti (išjungti) į registro kompiuterių tinklą gali tik administratorius;
25. Registro veiklos tęstinumo ir funkcionalumo užtikrinimui elektroninė informacija yra periodiškai kopijuojama kas 24 valandas ir saugoma taip, kad avarijos atveju veiklą iš atsarginių kopijų galima būtų atstatyti per 24 valandas.
26. Baigus darbą ar pasitraukiant iš darbo vietos turi būti imamasi priemonių, kad su elektronine informacija negalėtų susipažinti pašaliniai asmenys: atsijungiama nuo informacinės sistemos, įjungiama ekrano užsklanda su slaptažodžiu, dokumentai padedami į pašaliniams asmenims neprieinamą vietą ir pan.
27. Pagrindinė informacinės sistemos kompiuterinė įranga turi turėti rezervinį maitinimo šaltinį, kuris turi užtikrinti informacinės sistemos pagrindinės kompiuterinės įrangos veikimą ne mažiau nei 10 min.
28. Registro duomenų gavimo automatiniu būdu iš susijusių registrų tvarka nustatyta duomenų teikimo sutartyse.
29. Registrui administruoti naudojamas operacines sistemas, techninę ir programinę įrangą, reikalingą registro naudotojo funkcijoms vykdyti, diegia ir prižiūri administratorius.
30. Turi būti operatyviai įdiegiami informacinės sistemos operacinės sistemos ir naudojamos programinės įrangos gamintojų rekomenduojami atnaujinimai.
31. Registro programinės įrangos diegimą ar atnaujinimą turi atlikti tik administratorius ar įgalioti asmenys.
32. Registro programinės įrangos testavimas turi būti atliekamas naudojant atskirą tam skirtą testavimo aplinką.
33. Informacinės sistemos elektroninės informacijos perdavimo tinklas turi būti atskirtas nuo viešųjų telekomunikacinių tinklų naudojant užkardą ar kitas priemones.
34. Prarasti, iškraipyti, sunaikinti registro duomenys atkuriami iš registro atsarginių duomenų kopijų. Registro atsarginių duomenų kopijos daromos automatiniu būdu kiekvieną darbo dieną esant aktyviai registro duomenų bazei. Kopijos įrašomos į keičiamus informacijos kaupiklius (kompaktinius diskus, magnetines juostas ar kitas duomenų kopijų saugojimo laikmenas) ir saugomos seife, prieinamame tik registro administratoriui, jo nesant – registro administratorių pavaduojančiam asmeniui. Prireikus jas atkurti turi teisę tik registro administratorius ar jį pavaduojantis asmuo. Kopijų, iš kurių būtų galima atstatyti registro duomenis, darymo ir saugojimo tvarka detaliai aprašyta registro saugaus informacijos tvarkymo taisyklėse.
35. Registro duomenų naudotojai, vadovaudamiesi saugos politiką įgyvendinančiais teisės aktais, nuolat rūpinasi duomenų saugumu, o pastebėję saugos politikos pažeidimų, nusikalstamos veikos požymių, neveikiančias arba netinkamai veikiančias duomenų saugos užtikrinimo priemones, privalo nedelsdami apie tai pranešti atitinkamos funkcijos administratoriui, o jo nesant – saugos įgaliotiniui.
IV. REIKALAVIMAI PERSONALUI
36. Saugos įgaliotinis privalo išmanyti informacijos saugos užtikrinimo principus, savo darbe vadovautis Saugos reikalavimais, Informacinių technologijų saugos atitikties vertinimo metodika, kitais Lietuvos Respublikos ir Europos Sąjungos teisės aktais, reglamentuojančiais saugų duomenų tvarkymą, standartais ir kitais dokumentais, turėti atitinkamą kvalifikaciją, sugebėti prižiūrėti, kaip įgyvendinama saugos politika, taip pat turėti darbo su duomenų bazėmis, operacinėmis sistemomis, taikomosiomis programomis patirties.
37. Registro administratorius privalo išmanyti pagrindinius saugos politikos principus, darbą su duomenų perdavimo tinklais, mokėti užtikrinti jų saugumą, turėti sisteminių programinių priemonių (Windows, Unix) administravimo bei priežiūros patirties, turi būti susipažinęs su Saugos nuostatais ir saugos politiką įgyvendinančiais teisės aktais, taip pat kitomis vidaus ir darbo saugos taisyklėmis.
38. Registro naudotojai privalo turėti darbo kompiuteriu įgūdžių. Tvarkyti registro duomenis gali tik registro naudotojai, pasirašytinai arba elektroniniu būdu susipažinę su Saugos nuostatais ir kitais saugos politiką įgyvendinančiais teisės aktais. Registro naudotojų supažindinimas su šiais teisės aktais atliekamas Direktoriaus patvirtintų registro naudotojų administravimo taisyklių nustatyta tvarka.
39. Registro naudotojams turi būti nuolat rengiami duomenų saugos mokymai, įvairiais būdais primenama apie saugos problemas (pvz., priminimai elektroniniu paštu, teminių seminarų rengimas, atmintinės ir pan.).
V. REGISTRO NAUDOTOJŲ SUPAŽINDINIMO SU SAUGOS DOKUMENTAIS PRINCIPAI
41. Tvarkyti registro duomenis gali tik įgalioti registro duomenų naudotojai, susipažinę su Saugos nuostatais ir kitais saugos politiką įgyvendinančiais teisės aktais bei raštu sutikę laikytis šių teisės aktų reikalavimų.
42. Registro naudotojų supažindinimą su Saugos nuostatais ir kitais saugos politiką įgyvendinančiais teisės aktais ir dokumentais bei atsakomybę už šių reikalavimų nesilaikymą pasirašytinai organizuoja saugos įgaliotinis.
VI. BAIGIAMOSIOS NUOSTATOS
44. Registro tvarkymo įstaigos privalo įgyvendinti Saugos nuostatuose ir kituose teisės aktuose, reglamentuojančiuose registro duomenų saugų tvarkymą, nustatytas organizacines, technines ir kitas priemones.
45. Saugos įgaliotinis, registro administratorius ir registro duomenų naudotojai privalo rūpintis registro ir jame tvarkomų duomenų saugumu.
46. Saugos įgaliotinis, registro administratorius ir registro duomenų naudotojai raštu įsipareigoja nepažeisti šių Saugos nuostatų ir kitų teisės aktų, reglamentuojančių registro duomenų saugų tvarkymą.
47. Duomenys apie registro administratoriaus ir registro duomenų naudotojų atliktus veiksmus su registro duomenimis saugomi neterminuotai.