VALSTYBINĖS LIGONIŲ KASOS PRIE LIETUVOS RESPUBLIKOS
SVEIKATOS APSAUGOS MINISTERIJOS DIREKTORIAUS
ĮSAKYMAS
DĖL LIETUVOS RESPUBLIKOS DRAUDŽIAMŲJŲ PRIVALOMUOJU SVEIKATOS DRAUDIMU REGISTRO DUOMENŲ SAUGOS NUOSTATŲ PATVIRTINIMO
2008 m. balandžio 1 d. Nr. 1K-50
Vilnius
Vadovaudamasis Bendrųjų elektroninės informacijos saugos valstybės institucijų ir įstaigų informacinėse sistemose reikalavimų, patvirtintų Lietuvos Respublikos Vyriausybės 1997 m. rugsėjo 4 d. nutarimu Nr. 952 „Dėl duomenų saugos valstybės ir savivaldybių informacinėse sistemose“ (Žin., 1997, Nr. 83-2075; 2007, Nr. 49-1891), 6.1, 8 ir 15 punktais:
1. Tvirtinu Lietuvos Respublikos draudžiamųjų privalomuoju sveikatos draudimu registro duomenų saugos nuostatus (pridedama).
PATVIRTINTA
Valstybinės ligonių kasos prie Sveikatos apsaugos ministerijos direktoriaus 2008 m. balandžio 1 d. įsakymu Nr. 1K-50
DRAUDŽIAMŲJŲ PRIVALOMUOJU SVEIKATOS DRAUDIMU REGISTRO DUOMENŲ SAUGOS NUOSTATAI
I. BENDROSIOS NUOSTATOS
1. Draudžiamųjų privalomuoju sveikatos draudimu registro duomenų saugos nuostatai (toliau vadinama – Saugos nuostatai) nustato Draudžiamųjų privalomuoju sveikatos draudimu registro (toliau vadinama – Registras) elektroninių duomenų (toliau vadinama – duomenys) saugos tikslus, duomenų saugos užtikrinimo prioritetines kryptis, reglamentuoja saugos politiką.
2. Saugos nuostatuose vartojamos sąvokos:
Administratorius – centrinės Registro tvarkymo įstaigos vadovo paskirtas valstybės tarnautojas arba darbuotojas, dirbantis pagal darbo sutartį, atliekantis Registro priežiūrą.
Duomenų konfidencialumas – savybė, kai Registre esantys duomenys ir jų apdorojimo procesai prieinami tik tiems asmenims, kuriems tam suteikta teisė.
Duomenų patikimumas – savybė užtikrinti Registro duomenų teisingumą ir tikslumą bei apsaugą iki to momento, kol Registro duomenys pasieks gavėją.
Duomenų prieinamumas – charakteristika, nusakanti galimybę naudotis Registro duomenimis ir jų apdorojimo procesų vykdymu tam tikru laiko momentu.
Saugos įgaliotinis – vadovaujančiosios Registro tvarkymo įstaigos vadovo paskirtas valstybės tarnautojas arba darbuotojas, dirbantis pagal darbo sutartį, įgyvendinantis duomenų saugą.
Duomenų tvarkymas – visos su Registro duomenimis atliekamos operacijos: rinkimas, užrašymas, klasifikavimas, grupavimas, kaupimas, saugojimas, keitimas, kopijavimas, sujungimas, atskleidimas, teikimas, naudojimas, naikinimas ir t. t.
Duomenų vientisumas – savybė užtikrinti Registro duomenų ir jų apdorojimo procesų tikslumą bei pakeitimų kontrolę ir duomenų išsamumą.
Duomenys – visi duomenys, kurie tvarkomi informacinių technologijų (toliau vadinama – IT) priemonėmis: programos, elektroninės bylos ir kita informacija, kuri saugoma, perduodama ir sukuriama kompiuteriu.
Registro duomenų naudotojas – Registro tvarkymo įstaigos valstybės tarnautojas ar darbuotojas, dirbantis pagal darbo sutartį, taip pat asmens sveikatos priežiūros įstaigos ar vaistinės darbuotojas, turintis teisę naudotis kompiuterių tinklo ištekliais (Registro duomenimis) nustatytoms funkcijoms atlikti.
Saugos incidentas – įvykis ar veiksmas, kuris gali sudaryti neteisėto prisijungimo prie Registro galimybę, sutrikdyti ar pakeisti Registro veiklą, sunaikinti, sugadinti ar pakeisti duomenis, panaikinti ar apriboti galimybę naudotis duomenimis, sudaryti sąlygas neleistinai duomenis pasisavinti, paskleisti ar kitaip panaudoti.
Kitos Saugos nuostatuose vartojamos sąvokos atitinka sąvokas, nustatytas Lietuvos Respublikos valstybės registrų įstatyme (Žin., 1996, Nr. 86-2043), Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatyme (Žin., 1996, Nr. 63-1479; 2000, Nr. 64-1924), Lietuvos Respublikos draudžiamųjų privalomuoju sveikatos draudimu registro nuostatuose, patvirtintuose Lietuvos Respublikos Vyriausybės 2007 m. rugsėjo 11 d. nutarimu Nr. 968 (Žin., 2007, Nr. 100-4074; toliau vadinama – Registro nuostatai), ir Lietuvos standartuose LST ISO/IEC TR 13335-1:2000, LST ISO/IEC 17799:2006 ir LST ISO/IEC 27001:2006.
3. Saugos nuostatai kartu su saugos politiką įgyvendinančiais dokumentais: Registro saugaus duomenų tvarkymo taisyklėmis, Registro veiklos tęstinumo valdymo planu, Registro duomenų naudotojų administravimo taisyklėmis bei Elektroninių duomenų kopijų kūrimo tvarkos aprašu sudaro Registro saugos privalomų dokumentų sąrašą.
4. Registro duomenų saugos tikslai yra:
5. Saugos politika vykdoma šiomis prioritetinėmis kryptimis:
5.2. įgyvendinant prieigos teisių prie Registro duomenų suteikimą ir duomenų vartotojo tapatumo identifikavimą;
5.7. įgyvendinant Registro duomenų integralumą su valstybės registrais ir informacinėmis sistemomis;
6. Vadovaujančioji Registro tvarkymo įstaiga yra Valstybinė ligonių kasa prie Sveikatos apsaugos ministerijos (toliau vadinama – Valstybinė ligonių kasa), buveinės adresas – Kalvarijų g. 147, LT-08221 Vilnius. Vadovaujančioji registro tvarkymo įstaiga yra ir Registro valdytojas.
7. Valstybinė ligonių kasa paskiria Registro saugos įgaliotinį (toliau vadinama – Saugos įgaliotinis), tvirtina Registro saugos nuostatus, Registro saugaus duomenų tvarkymo taisykles, Registro veiklos tęstinumo valdymo planą, Registro duomenų naudotojų administravimo taisykles ir Elektroninių duomenų kopijų kūrimo tvarkos aprašą. Valstybinė ligonių kasa prižiūri Registro saugos politiką reglamentuojančių dokumentų parengimą ir įgyvendinimą.
8. Registro tvarkymo įstaigos yra:
9. Registro tvarkymo įstaigos rūpinasi Registro duomenų saugumu bei atsako už Registro saugos reikalavimų atitiktį galiojantiems Lietuvos Respublikos teisės aktams ir Saugos nuostatams.
10. Registro tvarkymo įstaigos suteikia teisę Registro naudotojams naudotis Registro ištekliais bei tvarkyti Registro duomenis bei užtikrina, kad Registro duomenų naudotojai laikytųsi nuostatų, išvardytų Saugos nuostatuose bei kituose saugos politiką įgyvendinančiuose dokumentuose.
11. Registro duomenys tvarkomi ir užtikrinama Registro duomenų sauga vadovaujantis Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu, Lietuvos Respublikos valstybės registrų įstatymu, Bendraisiais elektroninės informacijos saugos valstybės institucijų ir įstaigų informacinėse sistemose reikalavimais, patvirtintais Lietuvos Respublikos Vyriausybės 1997 m. rugsėjo 4 d. nutarimu Nr. 952 (Žin., 1997, Nr. 83-2075; 2007, Nr. 49-1891; toliau vadinama – Bendrieji reikalavimai), Lietuvos standartais LST ISO/IEC 17799:2006, LST ISO/IEC 27001:2006, taip pat kitais Lietuvos ir tarptautiniais „Informacijos technologija. Saugumo metodai“ grupės standartais, apibūdinančiais saugų informacinės sistemos duomenų tvarkymą, Registro nuostatais, Registro saugos nuostatais, Registro saugaus duomenų tvarkymo taisyklėmis, Registro veiklos tęstinumo valdymo planu, Registro duomenų naudotojų administravimo taisyklėmis, kitais teisės aktais, reglamentuojančiais saugų Registro duomenų tvarkymą.
II. ELEKTRONINĖS INFORMACIJOS SAUGOS VALDYMAS
12. Registras priskiriamas antrajai informacinių sistemų kategorijai pagal Valstybės institucijų ir įstaigų informacinių sistemų klasifikavimo pagal jose tvarkomą elektroninę informaciją gaires, patvirtintas Lietuvos Respublikos vidaus reikalų ministro 2007 m. liepos 11 d. įsakymu Nr. 1V-247 (Žin., 2007, Nr. 78-3160).
13. Registro duomenų bazėje tvarkomi informacijos rinkmenas apibūdinantys duomenys, duomenys apie fizinius asmenis, informacijos rinkmenos įrašymo į Registrą duomenys ir Registro tvarkymui naudojami klasifikatoriai. Už informacijos tvarkymo teisėtumą atsako Valstybinė ligonių kasa.
14. Valstybinės ligonių kasos kaip Registro valdytojo funkcijos ir atsakomybė:
14.2. kontroliuoja, kad Registras būtų tvarkomas vadovaujantis Lietuvos Respublikos įstatymais, šiais saugos nuostatais ir kitais teisės aktais;
15. Valstybinė ligonių kasa užtikrina efektyvų ir spartų Registro funkcijų pokyčių (toliau vadinama – pokyčiai) valdymo planavimą, apimantį pokyčių identifikavimą, suskirstymą į kategorijas, įtakos vertinimą ir pokyčių prioritetų nustatymo procesus. Su tuo susijusios nuostatos numatomos Valstybinė ligonių kasos vadovo tvirtinamoje Registro pokyčių valdymo tvarkoje.
16. Valstybinė ligonių kasa privalo:
16.1. pavesti Saugos įgaliotiniui organizuoti ir kontroliuoti saugos dokumentų įgyvendinimą Registro tvarkymo įstaigose;
16.2. paskirti Registro administratorių, jam pavesti užtikrinti Registro tarnybinės stoties saugų funkcionavimą, administruoti Registro duomenų bazę Saugos nuostatų ir kitų saugos politiką reglamentuojančių teisės aktų nustatyta tvarka;
17. Saugos įgaliotinis, įgyvendindamas Registro elektroninės informacijos saugą, atlieka šias funkcijas:
17.1. teikia Registro valdytojo vadovui pasiūlymus dėl:
18. Registro administratorius atlieka funkcijas, susijusias su Registro naudotojų pasirengimo dirbti su Registru įvertinimu, jų teisėmis, Registrą sudarančiais komponentais (kompiuteriais, operacine sistema, duomenų bazės valdymo sistema, taikomųjų programų sistemomis, ugniasiene, įsilaužimų aptikimo sistemomis, duomenų perdavimo tinklais), šių Registrą sudarančių komponentų sąranka, Registro pažeidžiamų vietų nustatymu, saugumo reikalavimų atitikties nustatymu.
19. Atlikdami Registro funkcijų pakeitimus, Registro administratorius turi laikytis Registro valdytojo nustatytos Registro pokyčių valdymo tvarkos.
20. Registro administratorius turi teisę patikrinti (peržiūrėti) Registro sąranką ir Registro būsenos rodiklius.
21. Saugos įgaliotinis, siekdamas užtikrinti tinkamą saugos dokumentuose nustatytų reikalavimų įgyvendinimą, atsižvelgdamas į Vidaus reikalų ministerijos išleistą metodinę priemonę „Rizikos analizės vadovas“, Lietuvos ir tarptautinius „Informacijos technologija. Saugumo technika“ grupės standartus, kasmet organizuoja Registro rizikos įvertinimą. Prireikus Saugos įgaliotinis gali organizuoti neeilinį Registro rizikos įvertinimą.
22. Registro valdytojo rašytiniu pavedimu Registro rizikos įvertinimą gali atlikti pats Saugos įgaliotinis.
23. Registro rizikos įvertinimas išdėstomas Registro rizikos įvertinimo ataskaitoje. Registro rizikos įvertinimo ataskaita rengiama atsižvelgiant į Registro rizikos veiksnius, galinčius turėti įtakos informacijos saugai. Svarbiausieji rizikos veiksniai, kurie gali pažeisti Registro duomenų ir parengtos pagal juos informacijos saugą, yra:
23.1. subjektyvūs netyčiniai (duomenų tvarkymo klaidos ir apsirikimai, duomenų ištrynimas, klaidingas duomenų teikimas, fiziniai informacijos technologijų sutrikimai, duomenų perdavimo tinklais sutrikimai, programinės įrangos klaidos, neteisingas veikimas ir kita);
23.2. subjektyvūs tyčiniai (nesankcionuotas naudojimasis Registro duomenims gauti, duomenų pakeitimas ar sunaikinimas, informacinių technologijų duomenų perdavimo tinklais sutrikdymai, saugos pažeidimai, vagystės ir kita);
24. Atsižvelgdamas į rizikos įvertinimo ataskaitą, Registro valdytojas prireikus tvirtina rizikos įvertinimo ir rizikos valdymo priemonių planą, kuriame, be kita ko, numatomas techninių, administracinių ir kitų išteklių poreikis Registro rizikos valdymo priemonėms įgyvendinti.
25. Siekiant užtikrinti Registro saugos nuostatuose ir kituose Registro saugos politiką įgyvendinančiuose teisės aktuose išdėstytų nuostatų įgyvendinimo kontrolę, teisės aktų nustatyta tvarka kasmet organizuojamas Registro informacinių technologijų saugos reikalavimų atitikties vertinimas, kurio metu:
25.1. įvertinama realios duomenų saugos situacijos atitiktis saugos politiką apibrėžiantiems dokumentams;
25.3. tikrinama ne mažiau kaip 10 procentų atsitiktinai parinktų Registro naudotojų kompiuterizuotų darbo vietų, Registro tarnybinėse stotyse įdiegtas programas bei jų sąranka (konfigūracija);
25.4. patikrinama Registro duomenis tvarkantiems asmenims suteiktų teisių atitiktis jų vykdomoms funkcijoms;
III. ORGANIZACINIAI IR TECHNINIAI REIKALAVIMAI
27. Registro duomenų saugos užtikrinimo reikalavimai:
27.1. teisė dirbti su konkrečia elektronine informacija suteikiama konkrečiam Registro duomenų naudotojui arba Registro duomenų naudotojų grupei. Šias teises nustato Saugos įgaliotinis;
27.2. Registro duomenų naudotojui teisė dirbti su konkrečia elektronine informacija turi būti ribojama ar sustabdoma, kai vyksta Registro duomenų naudotojo veiklos tyrimas ir panašiai. Pasibaigus tarnybos (darbo) santykiams, Registro duomenų naudotojo teisė naudotis informacine sistema turi būti panaikinta;
27.3. baigus darbą Registro duomenų naudotojas turi imtis priemonių, kad su elektronine informacija negalėtų susipažinti pašaliniai asmenys: atsijungti nuo Registro, įjungti ekrano užsklandą su slaptažodžiu, dokumentus padėti į pašaliniams asmenims neprieinamą vietą.
28. Antivirusinė programa, skirta apsaugoti kompiuterių tinklą nuo kenksmingos programinės įrangos (virusų, programinės įrangos, skirtos šnipinėti, nepageidaujamo elektroninio pašto ir pan.), turi turėti tokias savybes:
28.1. kenksmingų programų paieškos technologijos (scan engine) turi būti ne senesnės nei 3 mėnesių. Minėtos technologijos atnaujinamos nuolat, atnaujinimai privalo būti įdiegti per 7 paras;
28.2. kenksmingų programų aprašų bazė (virus database) turi būti ne senesnė nei 1 mėnesio. Minėta aprašų bazė atnaujinama nuolat, atnaujinimai privalo būti įdiegti per 7 paras;
28.3. privalo nuolat ieškoti ir blokuoti kenksmingas programas, veikiančias sisteminiuose kataloguose esančiose rinkmenose (įskaitant suspaustas rinkmenas);
28.4. privalo ieškoti ir blokuoti kenksmingas programas visuose kompiuterių tinklo kompiuteriuose bei serveriuose esančiose rinkmenose (įskaitant suspaustas bei įkrovos rinkmenas);
28.5. turi turėti apsaugos mechanizmus, blokuojančius kenksmingų programų bandymus panaikinti apsaugas nuo kenksmingų programų (tamper protection);
29. Registro objektų duomenims saugiai rinkti, apdoroti, kaupti, saugoti, teikti suinteresuotiems juridiniams ir fiziniams asmenims Registro tvarkymo įstaigose turi būti naudojamos programinės ir techninės įrangos naudojimą ribojančios pagrindinės priemonės, kuriose:
29.2. realizuota Registro duomenų naudotojų prieigos prie Registro duomenų galimybė tik per registravimosi ir slaptažodžių sistemą;
29.3. realizuota galimybė Registro duomenų naudotojams ne rečiau kaip kartą per pusmetį atnaujinti slaptažodžius;
29.5. realizuota galimybė nustatyti prieigos prie Registro duomenų autorius, fiksuoti jų atliktus veiksmus ir juos kaupti;
30. Registro duomenų kopijų kūrimo periodiškumas, duomenų kopijų saugojimo priemonės, būdai ir vieta, duomenų iš kopijų atkūrimo tvarka, duomenų kopijų naikinimo tvarka bei asmens, atsakingo už duomenų kopijų kūrimą, saugojimą, atkūrimą, sunaikinimą, teisės ir pareigos turi būti nurodytos Elektroninių duomenų kopijų kūrimo tvarkos apraše, patvirtintame Valstybinės ligonių kasos direktoriaus.
IV. REIKALAVIMAI PERSONALUI
31. Saugos įgaliotinis privalo išmanyti informacijos saugos užtikrinimo principus, savo darbe vadovautis Bendraisiais reikalavimais, Informacinių technologijų saugos atitikties vertinimo metodika, patvirtinta vidaus reikalų ministro 2004 m. gegužės 6 d. įsakymu Nr. 1V-156 (Žin., 2004, Nr. 80-2855), kitais Lietuvos Respublikos ir Europos Sąjungos teisės aktais.
32. Saugos įgaliotinis privalo turėti atitinkamą kvalifikaciją (kvalifikacijos tobulinimo kursai, pradinis saugaus darbo su duomenimis mokymas, ECDL vartotojo sertifikatas ar pan.), darbo su duomenų bazėmis, operacinėmis sistemomis, taikomosiomis programomis patirties.
33. Registro administratorius turi:
33.2. turėti Registrui tvarkyti naudojamų sisteminių programinių priemonių Windows, Oracle administravimo patirties;
34. Registro duomenų naudotojai turi:
35. Saugos įgaliotinis ne rečiau kaip kartą per metus inicijuoja Registro naudotojų mokymą informacijos saugos klausimais, įvairiais būdais informuoja juos apie informacijos saugos problematiką (priminimai elektroniniu paštu, teminių seminarų organizavimas, atmintinių naujai priimtiems darbuotojams rengimas).
V. REGISTRO DUOMENŲ NAUDOTOJŲ SUPAŽINDINIMO SU SAUGOS DOKUMENTAIS PRINCIPAI
36. Tvarkyti Registro duomenis gali tik įgalioti Registro duomenų naudotojai, susipažinę su Saugos nuostatais ir kitais saugos politiką įgyvendinančiais teisės aktais bei raštu sutikę laikytis šių teisės aktų reikalavimų.
37. Registro naudotojų supažindinimą su Saugos nuostatais ir kitais saugos politiką įgyvendinančiais teisės aktais ir dokumentais bei atsakomybę už šių reikalavimų nesilaikymą pasirašytinai organizuoja Saugos įgaliotinis.
VI. BAIGIAMOSIOS NUOSTATOS
39. Registro tvarkymo įstaigos privalo įgyvendinti Saugos nuostatuose ir kituose teisės aktuose, reglamentuojančiuose Registro duomenų saugų tvarkymą, nustatytas organizacines, technines ir kitas priemones.
40. Saugos įgaliotinis, Registro administratorius ir Registro duomenų naudotojai privalo rūpintis Registro ir jame tvarkomų duomenų saugumu.
41. Saugos įgaliotinis, Registro administratorius ir Registro duomenų naudotojai raštu įsipareigoja nepažeisti šių Saugos nuostatų ir kitų teisės aktų, reglamentuojančių Registro duomenų saugų tvarkymą.
42. Duomenys apie Registro administratoriaus ir Registro duomenų naudotojų atliktus veiksmus su Registro duomenimis saugomi neterminuotai.