LIETUVOS RESPUBLIKOS
ŽEMĖS ŪKIO MINISTRO
ĮSAKYMAS
DĖL ŽEMDIRBIŲ MOKYMO IR KONSULTAVIMO INFORMACIJOS SISTEMOS DUOMENŲ SAUGOS NUOSTATŲ PATVIRTINIMO
2011 m. rugsėjo 30 d. Nr. 3D-727
Vilnius
Vadovaudamasis Bendrųjų elektroninės informacijos saugos valstybės institucijų ir įstaigų informacinėse sistemose reikalavimų, patvirtintų Lietuvos Respublikos Vyriausybės 1997 m. rugsėjo 4 d. nutarimu Nr. 952 (Žin., 1997, Nr. 83-2075; 2007, Nr. 49-1891), 6.1 ir 8 punktais:
1. Tvirtinu Žemdirbių mokymo ir konsultavimo informacijos sistemos duomenų saugos nuostatus (pridedama).
2. Pavedu valstybės įmonei Žemės ūkio informacijos ir kaimo verslo centrui:
2.1. per 14 darbo dienų nuo šio įsakymo įsigaliojimo paskirti Žemdirbių mokymo ir konsultavimo informacijos sistemos saugos įgaliotinį;
2.2. per 5 mėnesius nuo šio įsakymo įsigaliojimo datos parengti:
2.2.1. Žemdirbių mokymo ir konsultavimo informacijos sistemos saugaus elektroninės informacijos tvarkymo taisyklių projektą;
2.2.2. Žemdirbių mokymo ir konsultavimo informacijos sistemos veiklos tęstinumo valdymo plano projektą;
PATVIRTINTA
Lietuvos Respublikos žemės ūkio ministro
2011 m. rugsėjo 30 d. įsakymu Nr. 3D-727
ŽEMDIRBIŲ MOKYMO IR KONSULTAVIMO INFORMACIJOS SISTEMOS DUOMENŲ SAUGOS NUOSTATAI
I. BENDROSIOS NUOSTATOS
1. Žemdirbių mokymo ir konsultavimo informacijos sistemos (toliau – ŽMIKIS) duomenų saugos nuostatai (toliau – saugos nuostatai) reglamentuoja ŽMIKIS saugos politiką.
2. Šiuose saugos nuostatuose vartojamos sąvokos:
ŽMIKIS naudotojas – valstybės tarnautojas ar darbuotojas, dirbantis pagal darbo sutartį, turintis teisę naudotis ŽMIKIS ištekliais numatytoms funkcijoms atlikti.
Kitos šiuose saugos nuostatuose vartojamos sąvokos apibrėžtos Bendruosiuose elektroninės informacijos saugos valstybės institucijų ir įstaigų informacinėse sistemose reikalavimuose, patvirtintuose Lietuvos Respublikos Vyriausybės 1997 m. rugsėjo 4 d. nutarimu Nr. 952 (Žin., 1997, Nr. 83-2075; 2007, Nr. 49-1891), Saugos dokumentų turinio gairėse, patvirtintose Lietuvos Respublikos vidaus reikalų ministro 2007 m. gegužės 8 d. įsakymu Nr. 1V-172 (Žin., 2007, Nr. 53-2070), Valstybės informacinių sistemų steigimo ir įteisinimo taisyklėse, patvirtintose Lietuvos Respublikos Vyriausybės 2004 m. balandžio 19 d. nutarimu Nr. 451 (Žin., 2004, Nr. 58-2061; 2007, Nr. 110-4506; 2010, Nr. 48-2316), kituose teisės aktuose ir Lietuvos Respublikos standartuose LST ISO/IEC 27002:2009 ir LST ISO/IEC 27001:2006.
3. ŽMIKIS tvarkomos informacijos saugos tikslas – sudaryti sąlygas saugiai automatizuotu būdu saugoti ir tvarkyti duomenis ŽMIKIS, užtikrinti duomenų konfidencialumą, vientisumą ir prieinamumą.
4. Esama ŽMIKIS elektroninės informacijos saugos padėtis nustatoma periodinio rizikos vertinimo metu.
5. ŽMIKIS elektroninės informacijos saugos užtikrinimo prioritetinės kryptys:
6. Saugos nuostatai taikomi:
6.1. ŽMIKIS valdytojui – Lietuvos Respublikos žemės ūkio ministerijai, Gedimino pr. 19, LT-01103 Vilnius;
6.2. ŽMIKIS tvarkytojui – valstybės įmonei Žemės ūkio informacijos ir kaimo verslo centrui, V. Kudirkos g. 18, LT-03105 Vilnius;
7. ŽMIKIS valdytojo funkcijos:
7.1. rengia ir priima teisės aktus, užtikrinančius ŽMIKIS duomenų tvarkymo teisėtumą ir ŽMIKIS duomenų saugą, atlieka jų nuostatų laikymosi priežiūrą;
7.2. analizuoja gaunamus pasiūlymus dėl ŽMIKIS duomenų saugos, juos apibendrina ir priima sprendimus dėl ŽMIKIS tobulinimo;
7.3. vadovauja ŽMIKIS tvarkytojo veiklai, kuriant ir diegiant ŽMIKIS, taip pat užtikrinant jos veikimą, tobulinimą ir duomenų saugą;
8. ŽMIKIS tvarkytojo funkcijos:
8.3. užtikrina ŽMIKIS taikomajai programinei įrangai, tarnybinėms stotims ir jose esantiems duomenims funkcionuoti būtinos informacinių technologijų infrastruktūros (toliau – serverių sritis) saugą;
9. ŽMIKIS saugos įgaliotinis, įgyvendindamas ŽMIKIS elektroninės informacijos saugą, atlieka šias funkcija:
9.1. teikia ŽMIKIS tvarkytojo vadovui pasiūlymus dėl:
9.4. supažindina ŽMIKIS tvarkytojo darbuotojus, ŽMIKIS administratorių ir ŽMIKIS naudotojus su saugos nuostatais, saugos dokumentų reikalavimais;
10. ŽMIKIS administratoriaus funkcijos:
10.1. atsako už ŽMIKIS serverių srities funkcionavimą ir prieigų prie ŽMIKIS infrastruktūros išteklių teisių suteikimą;
10.2. atlieka ŽMIKIS sudarančių komponentų (kompiuterių, operacinių sistemų, duomenų bazių valdymo sistemų, taikomųjų programų, ugniasienių, įsilaužimų aptikimo sistemų, duomenų perdavimo tinklų) sąranką, kuri atitiktų ŽMIKIS saugos dokumentų reikalavimus;
10.3. pagal kompetenciją teikia pasiūlymus dėl ŽMIKIS palaikymo, priežiūros, techninės ir programinės įrangos modernizavimo ir ŽMIKIS elektroninės informacijos saugos užtikrinimo;
10.4. informuoja ŽMIKIS saugos įgaliotinį apie incidentus dėl elektroninės informacijos saugos ir teikia pasiūlymus dėl tokių incidentų pašalinimo;
11. ŽMIKIS naudotojų funkcijos:
12. Teisės aktai, kuriais vadovaujamasi tvarkant ŽMIKIS ir joje tvarkomus duomenis ir užtikrinant jų saugumą:
12.1. Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas (Žin., 1996, Nr. 63-1479; 2008, Nr. 22-804);
12.2. Bendrieji elektroninės informacijos saugos valstybės institucijų ir įstaigų informacinėse sistemose reikalavimai;
12.5. Valstybės institucijų ir įstaigų informacinių sistemų klasifikavimo pagal jose tvarkomą elektroninę informaciją gairės, patvirtintos Lietuvos Respublikos vidaus reikalų ministro 2007 m. liepos 11 d. įsakymu Nr. 1V-247 (Žin., 2007, Nr. 78-3160; 2008, Nr. 127-4866);
12.6. Valstybės institucijų ir įstaigų informacinių sistemų elektroninės informacijos techniniai saugos reikalavimai, patvirtinti Lietuvos Respublikos vidaus reikalų ministro 2008 m. spalio 27 d. įsakymu Nr. 1V-384 (Žin., 2008, Nr. 127-4866);
12.7. Bendrieji reikalavimai organizacinėms ir techninėms duomenų saugumo priemonėms, patvirtinti Valstybės duomenų apsaugos inspekcijos direktoriaus 2008 m. lapkričio 12 d. įsakymu Nr. 1T-71 (1.12) (Žin., 2008, Nr. 135-5298);
12.8. Informacinių technologijų saugos atitikties vertinimo metodika, patvirtinta Lietuvos Respublikos vidaus reikalų ministro 2004 m. gegužės 6 d. įsakymu Nr. 1V-156 (Žin., 2004, Nr. 80-2855).
12.9. Lietuvos standartai LST ISO/IEC 27002:2009 ir LST ISO/IEC 27001:2006 ir kiti Lietuvos ir tarptautiniai standartai, reglamentuojantys informacijos saugumą;
II. ELEKTRONINĖS INFORMACIJOS SAUGOS VALDYMAS
13. Vadovaujantis Valstybės institucijų ir įstaigų informacinių sistemų klasifikavimo pagal jose tvarkomą elektroninę informaciją gairėmis, ŽMIKIS pagal joje tvarkomos elektroninės informacijos svarbą yra priskiriama šioms informacinių sistemų kategorijoms:
14. Vadovaujantis Bendraisiais reikalavimais organizacinėms ir techninėms duomenų saugumo priemonėms dėl galimybės per išorinius duomenų perdavimo tinklus tvarkyti ŽMIKIS saugomus asmens duomenis ŽMIKIS priskiriamas antrasis saugumo lygis.
15. Pagrindinės nuostatos dėl rizikos veiksnių vertinimo:
15.6. ŽMIKIS rizikos vertinimas atliekamas vadovaujantis:
15.7. ŽMIKIS rizikos įvertinimas išdėstomas rizikos įvertinimo ataskaitoje. ŽMIKIS rizikos įvertinimo ataskaita rengiama atsižvelgiant į rizikos veiksnius, galinčius turėti įtakos ŽMIKIS informacijos saugai. Svarbiausi rizikos veiksniai:
15.7.1. subjektyvūs netyčiniai (duomenų tvarkymo klaidos ir apsirikimai, duomenų ištrynimas, klaidingas duomenų teikimas, fiziniai informacijos technologijų sutrikimai, duomenų perdavimo tinklais sutrikimai, programinės įrangos klaidos, neteisingas veikimas ir kita);
15.7.2. subjektyvūs tyčiniai (nesankcionuotas naudojimasis ŽMIKIS duomenims gauti, duomenų pakeitimas ar sunaikinimas, informacinių technologijų duomenų perdavimo tinklais sutrikdymas, saugos pažeidimai, vagystės ir kita);
16. Siekiant užtikrinti saugos nuostatuose ir kituose saugos politiką įgyvendinančiuose teisės aktuose išdėstytų nuostatų įgyvendinimo kontrolę, ŽMIKIS saugos įgaliotinis ne rečiau kaip kartą per 2 metus organizuoja ŽMIKIS informacinių technologijų saugos atitikties vertinimą, kurio metu:
16.1. įvertinama saugos nuostatų ir kitų saugos politiką įgyvendinančių teisės aktų atitiktis realiai ŽMIKIS duomenų saugos situacijai;
16.3. patikrinama ne mažiau kaip 10 procentų atsitiktinai parinktų ŽMIKIS naudotojų kompiuterinių darbo vietų, visose tarnybinėse stotyse įdiegtos programos ir jų sąranka;
17. ŽMIKIS valdytojas, atsižvelgdamas į ŽMIKIS informacinių technologijų saugos reikalavimų atitikties vertinimo rezultatus, prireikus tvirtina ŽMIKIS saugos įgaliotinio parengtą pastebėtų trūkumų šalinimo planą, kuriame nurodomi atsakingi vykdytojai ir nustatomi numatytų priemonių įgyvendinimo terminai.
18. ŽMIKIS saugai užtikrinti naudojamos priemonės, parengtos vadovaujantis:
18.1. Elektroninės informacijos apsaugą reglamentuojančių Lietuvos Respublikos teisės aktų reikalavimais, kurie nustato būtinas priemones pagal informacinei sistemai paskirtą saugos kategoriją;
III. ORGANIZACINIAI IR TECHNINIAI REIKALAVIMAI
19. Metodai ir priemonės, kurie taikomi užtikrinant prieigą prie ŽMIKIS:
19.1. prieigos prie ŽMIKIS teises suteikia ŽMIKIS administratorius. Pasikeitus ŽMIKIS naudotojo pareigoms ar atliekamoms užduotims, suteikta prieiga turi būti nedelsiant nutraukiama. ŽMIKIS naudotojams suteiktos prieigos teisės periodiškai, bet ne rečiau kaip kartą per metus, turi būti peržiūrimos, siekiant nustatyti ir pašalinti subjektus, kuriems prieigos teisės prie ŽMIKIS turi būti panaikintos ar pakeistos. Už periodinę ŽMIKIS naudotojų teisių peržiūrą atsakingas ŽMIKIS saugos įgaliotinis;
19.2. prieš suteikiant prieigą, ŽMIKIS administratorius privalo įsitikinti, kad ŽMIKIS naudotojas pasirašytinai yra susipažinęs su informacijos saugos dokumentais bei žino savo atsakomybę tvarkant ar naudojant ŽMIKIS duomenis;
19.3. kiekvienas ŽMIKIS naudotojas sistemoje turi būti unikaliai atpažįstamas pagal jam suteiktą atpažinties kodą ir atitinkamą slaptažodį;
20. Programinės įrangos, skirtos apsaugoti ŽMIKIS nuo kenksmingos programinės įrangos, naudojimo nuostatos:
20.1. ŽMIKIS funkcionuoti būtina programinė tarnybinių stočių ir ŽMIKIS naudotojų kompiuteriuose esanti programinė įranga (operacinės sistemos, duomenų bazių ir aplikacijų valdymo programinė įranga, interneto naršyklės, interneto naršyklių priedai ir kt.) turi būti konfigūruojama laikantis programinės įrangos gamintojų saugaus konfigūravimo rekomendacijų. Už tarnybinių stočių programinės įrangos kontrolę atsakingas ŽMIKIS saugos įgaliotinis;
20.2. ŽMIKIS funkcionuoti būtina serverių srities ir ŽMIKIS naudotojų kompiuteriuose esanti programinė įranga turi būti atnaujinama ne vėliau kaip per 5 darbo dienas po programinės įrangos gamintojų pranešimo apie programinės įrangos atnaujinimą. Už atnaujinimų atlikimo kontrolę atsakingas ŽMIKIS saugos įgaliotinis;
20.3. ŽMIKIS naudotojų kompiuteriuose prieigos teisės turi būti apribojamos iki minimalių, būtinų darbo užduotims atlikti teisių;
21. Programinės įrangos naudojimo ribojimo nuostatos:
21.1. ŽMIKIS tarnybinėse stotyse neturi veikti programinė įranga, kuri nėra autorizuota ŽMIKIS saugos įgaliotinio;
22. Kompiuterių tinklo filtravimo įrangos naudojimo nuostatos:
22.1. ŽMIKIS naudotojų elektroninės informacijos perdavimo tinklas turi būti atskirtas nuo viešųjų telekomunikacijos tinklų naudojant užkardą;
22.2. konfigūruojant ŽMIKIS naudotojų elektroninės informacijos perdavimo tinklo užkardas turi būti naudojami tik organizacijos veiklai būtini tinklo protokolai ir užkardų prievadai;
22.3. už ŽMIKIS serverių srities tinklo užkardų administravimą, priežiūrą, operacinės sistemos atnaujinimą ir saugią užkardų konfigūraciją atsakingas ŽMIKIS saugos įgaliotinis;
23. Leistinos kompiuterių naudojimo ribos:
23.1. stacionarūs ŽMIKIS naudotojų kompiuteriai privalo būti naudojami tik su tiesioginių pareigų atlikimu susijusiai veiklai atlikti. Iš kompiuterių, kurie perduodami remontui ar techniniam aptarnavimui, turi būti pašalinta visa riboto naudojimo ŽMIKIS elektroninė informacija;
24. Metodai, kurie leidžiami užtikrinant saugų ŽMIKIS elektroninės informacijos teikimą ir (ar) gavimą:
24.1. ŽMIKIS duomenys perduodami automatiniu būdu TCP/IP protokolu realiu laiku arba asinchroniniu režimu pagal ŽMIKIS duomenų teikimo ir gavimo sutartis, kuriose nustatytos perduodamų duomenų specifikacijos, perdavimo sąlygos ir tvarka;
25. Pagrindiniai atsarginių ŽMIKIS duomenų kopijų darymo ir atkūrimo reikalavimai:
25.1. atsarginių ŽMIKIS duomenų kopijų darymas ir atkūrimas turi būti atliekamas laikantis Lietuvos Respublikos teisės aktų nustatytų reikalavimų;
25.2. atsarginės ŽMIKIS duomenų kopijos turi būti daromos periodiškai (visų duomenų kopija – vieną kartą per savaitę).
25.4. ŽMIKIS duomenų atkūrimas iš atsarginių duomenų kopijų turi būti periodiškai (ne rečiau kaip kartą per metus) išbandomas. Bandymų eiga ir rezultatai įforminami atsarginių ŽMIKIS duomenų kopijų atkūrimo išbandymo žurnale;
IV. REIKALAVIMAI PERSONALUI
26. ŽMIKIS saugos įgaliotinis privalo išmanyti informacijos saugos užtikrinimo principus, savo darbe vadovautis saugos dokumentais bei kitais Lietuvos Respublikos ir Europos Sąjungos teisės aktais, reglamentuojančiais saugų duomenų tvarkymą, standartais ir kitais dokumentais, sugebėti prižiūrėti, kaip įgyvendinama ŽMIKIS saugos politika.
27. ŽMIKIS administratorius privalo išmanyti ŽMIKIS informacijos saugos politikos principus, darbą su duomenų perdavimo tinklais, mokėti užtikrinti jų saugą, taip pat administruoti ir prižiūrėti informacines sistemas, turi būti susipažinęs su šiais saugos nuostatais ir kitais susijusiais saugos dokumentais.
28. ŽMIKIS naudotojai turi turėti naudojimosi kompiuteriu įgūdžių, būti susipažinę su šiais saugos nuostatais ir kitais susijusiais saugos dokumentais.
29. ŽMIKIS naudotojai, pastebėję saugos politikos pažeidimų, nusikalstamos veikos požymių ar netinkamai veikiančių ŽMIKIS duomenų saugos užtikrinimo priemonių, nedelsdami privalo apie tai pranešti ŽMIKIS administratoriui.
30. ŽMIKIS administratorius apie saugos nuostatų 27 punkte nurodytus pažeidimus informuoja ŽMIKIS saugos įgaliotinį. Įtaręs neteisėtą veiką, pažeidžiančią ar neišvengiamai pažeisiančią ŽMIKIS saugą (jos konfidencialumą, vientisumą ar prieinamumą), ŽMIKIS saugos įgaliotinis apie tai turi pranešti kompetentingoms institucijoms.
31. Visi ŽMIKIS naudotojai privalo būti pasirašytinai supažindinti su ŽMIKIS saugos dokumentais, savo pareigomis ir atsakomybe, susijusia su ŽMIKIS informacijos sauga.
V. BAIGIAMOSIOS NUOSTATOS