LIETUVOS RESPUBLIKOS EKONOMIKOS IR INOVACIJŲ MINISTRAS
ĮSAKYMAS
DĖL VALSTYBĖS INFORMACINIŲ IŠTEKLIŲ SĄVEIKUMO PLATFORMOS ELEKTRONINĖS INFORMACIJOS SAUGOS (KIBERNETINIO SAUGUMO) POLITIKĄ ĮGYVENDINANČIŲ DOKUMENTŲ PATVIRTINIMO
2022 m. vasario 3 d. Nr. 4-178
Vilnius
Vadovaudamasi Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymo 43 straipsnio 2 dalimi, Lietuvos Respublikos kibernetinio saugumo įstatymo 11 straipsnio 1 dalies 1, 2, 3, 5 ir 6 punktais, įgyvendindama Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, 7 ir 8 punktus, Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“, 5.3 papunktį ir 6 punktą,
t v i r t i n u pridedamus Valstybės informacinių išteklių sąveikumo platformos elektroninės informacijos saugos (kibernetinio saugumo) politiką įgyvendinančius dokumentus:
1. Valstybės informacinių išteklių sąveikumo platformos saugaus elektroninės informacijos tvarkymo taisykles;
PATVIRTINTA
Lietuvos Respublikos ekonomikos ir
inovacijų ministro
2022 m. vasario 3 d. įsakymu Nr. 4-178
VALSTYBĖS INFORMACINIŲ IŠTEKLIŲ SĄVEIKUMO PLATFORMOS saugaus elektroninės informacijos tvarkymo taisyklės
I Skyrius
bendrosios nuostatos
1. Valstybės informacinių išteklių sąveikumo platformos saugaus elektroninės informacijos tvarkymo taisyklės (toliau – Taisyklės) nustato Valstybės informacinių išteklių sąveikumo platformos (toliau – VIISP) elektroninės informacijos tvarkymo, techninius ir kitus elektroninės informacijos saugos ir kibernetinio saugumo reikalavimus. Taisyklės yra sudedamoji pagal tarptautinį ISO/IEC 27001 standartą sertifikuotos VIISP Informacijos saugumo valdymo sistemos (toliau – ISVS) dalis.
2. Taisyklės parengtos vadovaujantis Bendrųjų elektroninės informacijos saugos reikalavimų aprašu ir Saugos dokumentų turinio gairių aprašu, patvirtintais Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“ (toliau – Bendrųjų saugos reikalavimų aprašas), Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ (toliau – Aprašas) ir Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų aprašu, patvirtintu Lietuvos Respublikos krašto apsaugos ministro 2020 m. gruodžio 4 d. įsakymu Nr. V-941 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų aprašo ir Informacinių technologijų saugos atitikties vertinimo metodikos patvirtinimo“.
3. Taisyklių privalo laikytis VIISP naudotojai, administratoriai ir VIISP saugos įgaliotinis, kaip nustatyta Valstybės informacinių išteklių sąveikumo platformos nuostatuose, patvirtintuose Lietuvos Respublikos ekonomikos ir inovacijų ministro 2021 m. rugpjūčio 9 d. įsakymu Nr. 4-886 „Dėl Valstybės informacinių išteklių sąveikumo platformos nuostatų ir Valstybės informacinių išteklių sąveikumo platformos duomenų saugos nuostatų patvirtinimo“ (toliau – VIISP nuostatai), ir Valstybės informacinių išteklių sąveikumo platformos duomenų saugos nuostatuose, patvirtintuose Lietuvos Respublikos ekonomikos ir inovacijų ministro 2021 m. rugpjūčio 9 d. įsakymu Nr. 4-886 „Dėl Valstybės informacinių išteklių sąveikumo platformos nuostatų ir Valstybės informacinių išteklių sąveikumo platformos duomenų saugos nuostatų patvirtinimo“ (toliau – VIISP saugos nuostatai). Už Taisyklių nuostatų įgyvendinimo organizavimą ir kontrolę atsako VIISP saugos įgaliotinis.
4. Taisyklėse vartojamos sąvokos atitinka Lietuvos Respublikos kibernetinio saugumo įstatyme, Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Bendrųjų saugos reikalavimų apraše vartojamas sąvokas.
5. Vadovaujantis VIISP saugos nuostatų 18 ir 19 punktais, VIISP tvarkoma elektroninė informacija yra priskiriama ypatingos svarbos informacijos kategorijai, o VIISP priskiriama pirmai informacinių sistemų kategorijai.
6. Visa VIISP tvarkoma elektroninė informacija yra skirstoma į šias grupes:
II SKYRIUS
VIISP TEchninių ir kitų saugos priemonių aprašymas
8. VIISP kompiuterinės įrangos saugos priemonės:
8.1. Visuose serveriuose ir kompiuterizuotose darbo vietose turi būti įdiegta ir naudojama aktualiausia (naujausia) virusų ir kenkėjiško kodo aptikimo bei šalinimo programinės įrangos versija, skirta kompiuteriams ir laikmenoms tikrinti. Kompiuterizuotose darbo vietose turi būti naudojamos centralizuotai valdomos kenksmingosios programinės įrangos aptikimo priemonės, kurios reguliariai, ne rečiau kaip kartą per 24 valandas, atnaujinamos.
8.2. Serveriai, duomenų perdavimo tinklo mazgai ir ryšio linijos turi būti dubliuojami ir jų techninė būklė nuolat stebima.
8.3. Serveriai ir elektroninės informacijos perdavimo tinklo mazgai turi turėti įtampos filtrą ir rezervinį elektros energijos tiekimo šaltinį. Rezervinis elektros energijos tiekimo šaltinis užtikrina serverių veikimą ne trumpiau kaip 1 valandą.
8.4. VIISP techninė įranga turi būti prižiūrima laikantis gamintojo rekomendacijų. Techninę priežiūrą ir gedimų šalinimą turi atlikti kvalifikuoti specialistai – VIISP administratoriai arba tokias paslaugas teikiantys kvalifikuoti paslaugų teikėjai.
8.5. VIISP veikimo stebėjimo priemonės turi perspėti VIISP administratorius, kai pagrindinėje VIISP kompiuterinėje įrangoje iki nustatytos pavojingos ribos sumažėja laisvos kompiuterio atminties ar vietos diske, ilgą laiką stipriai apkraunamas centrinis procesorius ar kompiuterių tinklo sąsaja, sutrinka kitų VIISP komponentų įprastas veikimas.
9. Sisteminės ir taikomosios programinės įrangos saugos priemonės:
9.2. VIISP serveriuose neturi veikti sisteminė ir taikomoji programinė įranga, kuri yra nesusijusi su VIISP tvarkymu, VIISP naudotojų ir pačios įrangos administravimu.
9.3. Gavus VIISP serverių ir vidinių VIISP naudotojų darbo vietų kompiuterinės įrangos operacinės sistemos ir kitos naudojamos programinės įrangos gamintojų rekomendacijas, nedelsiant, bet ne vėliau kaip per penkias darbo dienas turi būti testuojami ir įdiegiami atnaujinimai.
9.4. VIISP tvarkymo darbo vietose turi būti naudojama programinė įranga, skirta kovai su kenksmingojo kodo programomis, ir turi būti laiku atliekamas visos programinės įrangos atnaujinimas.
9.5. VIISP programinis kodas privalo būti apsaugotas, kad jis nebūtų atskleistas neturintiems teisės su juo susipažinti asmenims. VIISP programiniam kodui apsaugoti turi būti taikomos tos pačios saugos priemonės kaip ir VIISP elektroninei informacijai.
9.6. Programinės įrangos diegimą, konfigūravimą ir gedimų šalinimą turi atlikti kvalifikuoti specialistai – VIISP administratoriai arba tokias paslaugas teikiantys kvalifikuoti paslaugų teikėjai.
9.7. Programinė įranga turi būti prižiūrima ir atnaujinama laikantis gamintojo reikalavimų ir rekomendacijų.
9.10. Atsarginės laikmenos su VIISP programinės įrangos kopijomis turi būti laikomos kitose patalpose arba kitame pastate, nei yra VIISP serveriai.
10. Įsibrovimų į elektroninės informacijos perdavimo tinklą aptikimas ir prevencija:
10.1. Serveriai, kompiuterizuotos darbo vietos ir kita kompiuterinė įranga, įjungta į elektroninės informacijos perdavimo tinklą, turi būti atskirta nuo viešųjų elektroninių ryšių tinklų (interneto) naudojant saugasienes, automatinę įsilaužimų aptikimo ir prevencijos įrangą, paslaugos trikdymo atakų ir srautinių paslaugos trikdymo atakų įrangą.
10.2. Saugasienės įvykių žurnalai (angl. Logs) turi būti analizuojami ne rečiau, nei kartą per mėnesį arba įvykus saugos incidentui, o saugasienės saugumo taisyklės periodiškai peržiūrimos ir atnaujinamos.
10.3. Elektroninės informacijos perdavimo tinklo perimetro apsaugai turi būti naudojami filtrai, apsaugantys elektroniniame pašte ir viešajame elektroninių ryšių tinkle naršančių VIISP naudotojų kompiuterinę įrangą nuo kenksmingo kodo.
10.4. Elektroninės informacijos perdavimo tinklo kabeliai turi būti apsaugoti nuo neteisėto prisijungimo ar pažeidimo.
10.5. Įvykus įvykiui ar veiksmui, galinčiam sukelti elektroninės informacijos saugos incidentą, tai turi būti užfiksuojama audito įrašuose ir automatizuotai kuriamas pranešimas atitinkamam VIISP komponentų administratoriui.
10.7. Įsilaužimo atakų pėdsakai (angl. attack signature) turi būti atnaujinami naudojant patikimus aktualią informaciją teikiančius šaltinius; naujausi įsilaužimo atakų pėdsakai turi būti įdiegiami ne vėliau kaip per 24 valandas nuo gamintojo paskelbimo apie naujausius įsilaužimo atakų pėdsakus datos arba ne vėliau kaip per 72 valandas nuo gamintojo paskelbimo apie naujausius įsilaužimo atakų pėdsakus datos, jeigu Informatikos ir ryšių departamento direktoriaus sprendimu atliekamas įsilaužimo atakų pėdsakų įdiegimo ir galimo jų poveikio informacinės sistemos veiklai vertinimas (testavimas).
10.8. Įsilaužimo aptikimo techninio sprendinio įgyvendinimas, konfigūracija ir kibernetinių incidentų aptikimo taisyklės turi būti saugomos elektronine forma atskirai nuo informacinės sistemos techninės įrangos (kartu nurodant atitinkamas datas (įgyvendinimo, atnaujinimo ir panašiai), atsakingus asmenis, taikymo periodus ir panašiai).
10.9. Prie VIISP prisijungiant nuotoliniu būdu ar keičiantis informacija su kitais registrais ir informacinėmis sistemomis, viešaisiais elektroninių ryšių tinklais perduodamų duomenų konfidencialumas užtikrinamas naudojant virtualų privatų tinklą (angl. Virtual Private Network, VPN) ir kitus duomenų šifravimo būdus (TLS (angl. Transport Layer Security), HTTPS (angl. Hypertext Transfer Protocol Secure) ar lygiaverčius).
10.10. Siekiant užtikrinti, kad VIISP techniniai pažeidžiamumai būtų identifikuojami ir šalinami laiku, turi būti rengiamas pažeidžiamumų nustatymo planas, už kurio parengimą yra atsakingas VIISP saugos įgaliotinis.
10.11. VIISP saugos įgaliotinis, VIISP administratorius ir atsakingi VIISP techninę priežiūrą vykdančių įmonių darbuotojai turi naudoti VIISP pažeidžiamumų valdymo modulį. VIISP pažeidžiamumų valdymo modulio funkcionalumas realizuojamas VIISP tvarkytojo turima ir (ar) įsigyjama programine įranga. VIISP pažeidžiamumų valdymo modulis turi užtikrinti automatinį VIISP IT komponentų pažeidžiamumų identifikavimą, raportavimą ir valdymą.
10.12. Už VIISP pažeidžiamumų valdymo modulio priežiūrą atsakingas VIISP saugos įgaliotinis bei jo pavedimu – atsakingi VIISP techninę priežiūrą vykdančių įmonių darbuotojai.
11. Belaidžio tinklo saugumas ir kontrolė:
11.1. Leidžiama naudoti tik su VIISP saugos įgaliotiniu suderintus belaidžio tinklo įrenginius, atitinkančius techninius kibernetinio saugumo reikalavimus.
11.2. Turi būti naudojamos priemonės, kurios apribotų neleistinus ar saugumo reikalavimų neatitinkančius belaidžius įrenginius arba informuotų VIISP saugos įgaliotinį apie neleistinos įrangos prijungimą prie VIISP techninės ir (arba) programinės įrangos.
11.3. Belaidės prieigos taškai gali būti diegiami tik atskirame potinklyje, kontroliuojamoje zonoje.
11.4. Prisijungiant prie belaidžio tinklo, turi būti taikomas informacinės sistemos naudotojų tapatumo patvirtinimo EAP (angl. Extensible Authentication Protocol) / TLS (angl. Transport Layer Security) protokolas.
11.7. Turi būti išjungti nenaudojami duomenų perdavimo TCP (angl. Transmission Control Protocol) / UDP (angl. User Datagram Protocol) protokolų naudojami prievadai.
11.8. Turi būti išjungtas lygiarangis (angl. peer to peer) funkcionalumas, leidžiantis belaidžiais įrenginiais tarpusavyje palaikyti ryšį.
11.10. Prieš pradedant naudoti belaidę prieigos stotelę ir šifruoti belaidį ryšį, turi būti pakeisti belaidės prieigos stotelėje standartiniai gamintojo slaptažodžiai ir šifravimo raktai.
12. VIISP serverių patalpų ir aplinkos saugumo užtikrinimo priemonės:
12.1. Patalpos, kuriose yra VIISP serveriai, turi atitikti priešgaisrinės saugos reikalavimus, jose turi būti gaisro gesinimo priemonės, turi būti įrengti gaisro ir judesio davikliai, prijungti prie pastato signalizacijos ir (arba) apsaugos tarnybos stebėjimo pulto, reguliariai, ne rečiau kaip kartą per metus, atliekama gaisro aptikimo ir gesinimo priemonių patikra.
12.2. Patalpose, kuriose yra VIISP serveriai, turi būti užtikrintos techninės įrangos gamintojo rekomenduojamos techninės įrangos darbo sąlygos (aplinkos drėgnumas, darbo vietos temperatūra).
12.3. Patalpos, kuriose yra VIISP serveriai, turi būti atskirtos nuo bendrojo naudojimo patalpų. Į patalpas patekti gali tik įgalioti asmenys, kitus asmenis turi lydėti VIISP administratorius arba saugos įgaliotinis.
12.4. Prieiga prie patalpų, kuriose yra VIISP serveriai, turi būti kontroliuojama (registruojami įeinančių į patalpas ir išeinančių iš patalpų asmenų apsilankymai, kontroliuojamas patekimas į patalpas Taisyklių 12.3 papunktyje nustatyta tvarka).
13. VIISP naudojamų interneto svetainių (toliau – svetainės), pasiekiamų iš viešųjų elektroninių ryšių tinklų, saugumas ir kontrolė:
13.1. atpažinties, tapatumo patvirtinimo ir naudojimosi kontrolės reikalavimai:
13.2. turi būti įgyvendinti svetainės kriptografijos reikalavimai:
13.2.1. svetainės administravimo darbai turi būti atliekami per šifruotą ryšio kanalą, šifruojant ne trumpesniu kaip 128 bitų raktu;
13.2.2. šifruojant naudojami skaitmeniniai sertifikatai privalo būti išduoti patikimų sertifikavimo tarnybų; sertifikato raktas turi būti ne trumpesnis kaip 2048 bitų;
13.2.3. turi būti naudojamas TLS (angl. Transport Layer Security) standartas, užtikrinantis informacinės sistemos naudotojo ir tarnybinės stoties abipusį tapatumo nustatymą, kad būtų užtikrintas šifruotas ryšys;
13.2.4. svetainės kriptografinės funkcijos turi būti įdiegtos tarnybinės stoties, kurioje yra svetainė, dalyje arba kriptografiniame saugumo modulyje (angl. Hardware security module);
13.2.5. šifravimui naudojamų raktų poros turi būti generuojamos naudojant algoritmus, atitinkančius kvalifikuoto elektroninio parašo reikalavimus;
13.3. tarnybinės stoties, kurioje yra svetainė, svetainės saugos parametrai turi būti teigiamai įvertinti naudojant Nacionalinio kibernetinio saugumo centro prie Krašto apsaugos ministerijos rekomenduojamą testavimo priemonę;
13.4. draudžiama tarnybinėje stotyje saugoti sesijos duomenis (identifikatorių), pasibaigus susijungimo sesijai;
13.5. turi būti naudojama svetainės ugniasienė (angl. Web Application Firewall); įsilaužimo atakų pėdsakai (angl. attack signature) turi būti atnaujinami naudojant patikimus aktualią informaciją teikiančius šaltinius; naujausi įsilaužimo atakų pėdsakai turi būti įdiegiami ne vėliau kaip per 24 valandas nuo gamintojo paskelbimo apie naujausius įsilaužimo atakų pėdsakus datos arba ne vėliau kaip per 72 valandas nuo gamintojo paskelbimo apie naujausius įsilaužimo atakų pėdsakus datos, jeigu Informatikos ir ryšių departamento direktoriaus ar jo įgalioto asmens sprendimu atliekamas įsilaužimo atakų pėdsakų įdiegimo ir galimo jų poveikio informacinės sistemos veiklai vertinimas (testavimas);
13.6. turi būti naudojamos apsaugos nuo pagrindinių per tinklą vykdomų atakų: SQL įskverbties (angl. SQL injection), įterptinių instrukcijų atakų (angl. Cross-site scripting, XSS), atkirtimo nuo paslaugos (angl. Denial of Service, DOS), paskirstyto atsisakymo aptarnauti (angl. Distributed Denial of Service, DDOS) ir kitų; pagrindinių per tinklą vykdomų atakų sąrašas skelbiamas Atviro tinklo programų saugumo projekto (angl. The Open Web Application Security Project, OWASP) interneto svetainėje www.owasp.org;
13.8. tarnybinė stotis, kurioje yra svetainė, neturi rodyti svetainės naudotojui klaidų pranešimų apie svetainės programinį kodą ar tarnybinę stotį;
13.9. svetainės saugumo priemonės turi gebėti automatiškai uždrausti prieigą prie tarnybinės stoties iš IP adresų, vykdžiusių grėsmingą veiklą (nesankcionuoti mėginimai prisijungti, įterpti SQL intarpus ir panašiai);
13.10. tarnybinė stotis, kurioje yra svetainė, turi leisti tik svetainės funkcionalumui užtikrinti reikalingus HTTP metodus;
13.12. turi būti įdiegta svetainės turinio nesankcionuoto pakeitimo (angl. Defacement) stebėsenos sistema;
14. Kitos priemonės, naudojamos siekiant užtikrinti VIISP elektroninės informacijos saugą:
14.1. Prisiregistravimo prie VIISP ir išsiregistravimo iš jos duomenys (prisijungimo vardas, data, laikas) fiksuojami VIISP elektroniniuose veiksmų žurnaluose (toliau – veiksmų žurnalai), kurie prieinami tik VIISP administratoriui ir saugos įgaliotiniui. Veiksmų žurnalai yra saugojami VIISP duomenų bazėje ir jų apsaugai nuo neteisėto jų duomenų pakeitimo yra taikomos tos pačios saugos priemonės, kaip ir VIISP elektroninei informacijai. Už veiksmų žurnalų tvarkymą atsakingas VIISP administratorius.
14.2. VIISP turi būti įrašomi duomenys apie VIISP serverių, VIISP taikomosios programinės įrangos įjungimą, išjungimą, sėkmingus ir nesėkmingus bandymus registruotis VIISP serveriuose, VIISP taikomojoje programinėje įrangoje, visus VIISP naudotojų atliekamus veiksmus, kitus elektroninės informacijos saugai svarbius įvykius – nurodomas VIISP naudotojo ar administratoriaus identifikatorius ir elektroninės informacijos saugai svarbaus įvykio ar atlikto veiksmo laikas. Šie duomenys turi būti saugomi ne trumpiau kaip 60 dienų kitoje, nei jie įrašomi, sistemoje ir analizuojami ne rečiau kaip kartą per mėnesį.
14.3. Prisijungimo vardai ir slaptažodžiai, leidžiantys dirbti su VIISP serverio programine įranga, turi būti žinomi tik įgaliotam asmeniui.
14.4. VIISP naudotojų tapatybei nustatyti ir prieigai prie elektroninės informacijos kontroliuoti būtina naudoti prisijungimo vardų, slaptažodžių ir teisių sistemą.
III SKYRIUS
SAUGUS ELEKTRONINĖS INFORMACIJOS TVARKYMAS
15. Saugaus elektroninės informacijos įrašymo, keitimo, atnaujinimo ir naikinimo tvarka:
15.1. VIISP tvarkomą elektroninę informaciją įrašyti, keisti, atnaujinti gali tik VIISP naudotojai ir VIISP administratoriai pagal suteiktas prieigos teises ir tik turint teisėtą tikslą ir pagrindą.
15.2. VIISP elektroninė informacija įrašoma, atnaujinama, keičiama ir naikinama vadovaujantis VIISP nuostatais, Saugos nuostatais ir kitais teisės aktais, reglamentuojančiais VIISP elektroninės informacijos tvarkymą.
15.3. VIISP naudotojui neatliekant jokių veiksmų VIISP 15 minučių, VIISP taikomoji programinė įranga automatiškai užsirakina ir naudotis VIISP galima tik pakartotinai patvirtinus savo tapatybę.
15.4. Informacinės sistemos turi turėti įrašytos elektroninės informacijos tikslumo, užbaigtumo ir patikimumo tikrinimo priemones.
18. VIISP atsarginių elektroninės informacijos kopijų darymo, saugojimo ir elektroninės informacijos atkūrimo iš atsarginių kopijų tvarka:
18.1. VIISP elektroninės informacijos kopijos daromos ne rečiau kaip kartą per savaitę ir įrašomos į kompiuterines laikmenas.
18.2. Elektroninė informacija kopijose turi būti užšifruota (šifravimo raktai turi būti saugomi atskirai nuo kopijų) arba turi būti imtasi kitų priemonių, neleidžiančių panaudoti kopijas neteisėtai atkurti elektroninę informaciją.
18.3. VIISP elektroninės informacijos kopijos saugomos atskiroje patalpoje taip, kad prireikus būtų galima jas greitai atkurti.
18.4. Duomenys apie VIISP elektroninės informacijos kopijų darymą (kopijos įrašymo data ir laikas, sistemos administratoriaus vardas, pavardė, pareigos, telefonas) fiksuojami kopijų darymo žurnale.
19. VIISP elektroninė informacija gali būti saugiai perkeliama ir teikiama susijusioms informacinėms sistemoms ir iš jų gaunama vadovaujantis VIISP nuostatų V skyriuje nustatyta tvarka ir sąlygomis.
20. VIISP elektroninės informacijos neteisėto kopijavimo, keitimo, naikinimo ar perdavimo (toliau – neteisėta veikla) nustatymo tvarka:
20.1. Siekiant nustatyti, ar su VIISP esančia elektronine informacija nėra vykdoma neteisėta veikla, VIISP administratorius privalo ne rečiau nei kartą per mėnesį peržiūrėti visus VIISP veiksmų žurnaluose registruojamus įrašus.
20.2. Kilus įtarimui, kad su VIISP ar jo elektronine informacija yra vykdoma neteisėta veikla, VIISP naudotojai privalo nedelsdami, bet ne vėliau kaip per 24 valandas, informuoti VIISP administratorių, kuris apie saugos pažeidimus elektroniniu paštu ne vėliau kaip per 24 valandas informuoja VIISP saugos įgaliotinį, imasi visų įmanomų veiksmų neteisėtai veiklai užkirsti bei ne vėliau kaip per 24 valandas išnagrinėja VIISP duomenų bazės veiksmų žurnalo įrašus, siekdamas nustatyti neteisėtos veiklos šaltinį, laiką ir veiksmus.
20.3. VIISP saugos įgaliotinis ne rečiau kaip kartą per metus:
20.3.1. atlieka VIISP saugos dokumentų ir realios informacijos saugos situacijos atitikties vertinimą;
20.3.3. patikrina VIISP administratoriaus kompiuterinėje darbo vietoje, VIISP serveriuose įdiegtas programas ir jų sąranką;
21. Programinės ir techninės VIISP įrangos keitimo ir atnaujinimo tvarka:
21.1. Visi VIISP pokyčiai, susiję su programinės ir (arba) techninės įrangos keitimu ir (arba) atnaujinimu įgyvendinami tik raštiškai sutikus VIISP valdytojui.
21.2. Prieš atliekant VIISP programinės ir (arba) techninės įrangos keitimą ir (arba) atnaujinimą, kurio metu galimi VIISP veikimo sutrikimai, VIISP administratorius ją įdiegia ir testuoja, jei tai leidžia programinės ir techninės galimybės, testavimo aplinkoje.
21.3. Atlikus testavimą ir konstatavus keičiamos ir (arba) atnaujinamos VIISP programinės ir (arba) techninės įrangos sėkmingą veikimą realioje aplinkoje, VIISP administratorius pradeda rengti keičiamos ir (arba) atnaujinamos programinės ir (arba) techninės įrangos keitimo ir (arba) atnaujinimo planą, kuriame turi būti:
21.3.1. pateiktas išsamus veiksmų planas, kuriame nurodyti atliekamų darbų etapai, eiliškumas, apimtis ir trukmė valandų tikslumu;
21.3.2. paskirti ir nurodyti konkretūs asmenys (vardas, pavardė, pareigos, telefono numeris bei kita kontaktinė informacija), kurie atsakingi už išsamiame veiksmų plane įvardytų darbų atlikimą;
21.3.3. išvardytos rizikos, atsirandančios keičiant ir (arba) atnaujinant VIISP programinę ir (arba) techninę įrangą, bei veiksmai ir priemonės, skirtos joms sumažinti arba visiškai pašalinti;
22. Visi pokyčiai, galintys sutrikdyti ar sustabdyti VIISP darbą, turi būti suderinti su VIISP valdytojo vadovu ar duomenų valdymo įgaliotiniu ir vykdomi tik gavus jų raštišką pritarimą. Pokyčius turi teisę inicijuoti VIISP duomenų valdymo įgaliotinis, VIISP saugos įgaliotinis ar administratorius, o įgyvendinti – VIISP administratorius.
23. VIISP pokyčių (toliau – pokyčiai) valdymo tvarka:
23.1. Kiekvienas pokytis turi būti suplanuotas, atsižvelgiant į pokyčio svarbą, aktualumą, poreikį, ir apimti pokyčio identifikavimą, priskyrimą kategorijai pagal pokyčio tipą (administracinį, organizacinį funkcinį, programinį ar techninį), įtakos vertinimą, pokyčio prioriteto nustatymą bei pokyčio atlikimo tvarką.
23.2. Pokyčius turi teisę inicijuoti VIISP duomenų valdymo įgaliotinis, VIISP saugos įgaliotinis ar VIISP administratorius (-iai), o įgyvendinti – VIISP administratorius (-iai).
23.3. Pokyčius planuoja juos inicijavęs asmuo arba specialiai VIISP tvarkytojo vadovo sudaryta darbo grupė.
23.4. Jei yra sudaroma paslaugų teikimo sutartis dėl papildomo funkcionalumo kūrimo ar modernizavimo, pokyčių įgyvendinimo tvarka nustatoma paslaugų teikimo sutartyje.
23.5. Visi pokyčiai, galintys sutrikdyti ar sustabdyti VIISP darbą, suderinami su VIISP tvarkytojo vadovu.
23.6. Įgyvendinant pokyčius, kurių metu galimi VIISP veikimo sutrikimai, VIISP administratorius privalo ne vėliau kaip prieš vieną darbo dieną iki planuojamų pokyčių vykdymo pradžios informuoti (raštu, elektroniniu paštu, faksu) VIISP naudotojus apie tokių darbų pradžią ir galimus sutrikimus.
23.7. Pokyčiai, galintys daryti įtaką elektroninės informacijos konfidencialumui, vientisumui ar prieinamumui, turi būti patikrinti testavimo aplinkoje, kurioje nėra konfidencialių ir asmens duomenų ir kuri atskirta nuo eksploatuojamos VIISP.
24. VIISP sąrankos aprašai turi būti nuolat atnaujinami ir rodyti esamą informacinės sistemos sąrankos būklę.
25. Nešiojamųjų kompiuterių ir kitų mobiliųjų įrenginių (išmaniųjų telefonų ir planšetinių kompiuterių, naudojančių „Android“ ar „iOS“ operacines sistemas) (toliau – nešiojamieji kompiuteriai), skirtų prisijungti prie informacinių sistemų, naudojimo tvarka:
25.2. Jungiantis prie VIISP, turi būti patvirtinamas tapatumas, mobiliajame įrenginyje ar jo taikomojoje programinėje įrangoje turi būti uždrausta automatiškai išsaugoti slaptažodį.
25.3. Išnešti iš patalpų nešiojamieji kompiuteriai ar kiti mobilieji įrenginiai negali būti palikti be priežiūros viešose vietose. Jei įmanoma, informacinių sistemų naudotojas turi laikyti nešiojamąjį kompiuterį prie savęs visą laiką, ypač viešosiose vietose.
25.4. Nešiojamąjį kompiuterį naudojant ne darbo vietos patalpoje, patalpa, kurioje jis paliekamas, turi būti užrakinama net ir trumpam jį paliekant. Nešiojamąjį kompiuterį paliekant ilgesniam laikui, jis turi būti išjungiamas.
25.5. Prie nešiojamųjų kompiuterių draudžiama prijungti kokius nors kitus informacinėms sistemoms nepriklausančius įrenginius.
25.6. Turi būti įdiegiami operacinės sistemos ir kitos naudojamos programinės įrangos gamintojų rekomenduojami atnaujinimai. Už šių darbų atlikimą atsakingas VIISP komponentų administratorius.
25.7. Nešiojamuosiuose kompiuteriuose turi būti naudojamos vykdomojo kodo (angl. Executable code) kontrolės priemonės, automatiškai apribojančios neleistino vykdomojo kodo naudojimą ar informacinių sistemų komponentų administratorius informuojančios apie neleistino vykdomojo kodo naudojimą.
25.8. Nešiojamieji kompiuteriai, kuriais naršoma internete, privalo būti apsaugoti nuo judriųjų programų (angl. Mobile code) keliamų grėsmių.
25.9. Duomenys, perduodami belaidžiu ryšiu tarp nešiojamojo kompiuterio ir informacinės sistemos, turi būti šifruojami taikant VPN technologiją.
25.10. Jungiantis prie informacinių sistemų išteklių, turi būti patvirtinamas tapatumas. Nešiojamame kompiuteryje ar jo taikomojoje programinėje įrangoje turi būti uždrausta automatiškai išsaugoti slaptažodį.
25.12. Mobiliuosiuose įrenginiuose privalo būti įdiegtos priemonės, leisiančios nuotoliniu būdu neatkuriamai ištrinti duomenis.
IV SKYRIUS
REIKALAVIMAI, KELIAMI INFORMACINĖMS SISTEMOMS FUNKCIONUOTI REIKALINGOMS PASLAUGOMS IR JŲ TEIKĖJAMS
26. VIISP funkcionuoti reikalingų paslaugų, darbų ir (ar) įrangos teikėjas (toliau – tiekėjas) turi atitikti VIISP veiklą reglamentuojančių teisės aktų, standartų, Taisyklių II skyriuje nurodytus reikalavimus ir paslaugų teikimo, darbų atlikimo ar įrangos tiekimo pirkimo dokumentuose iš anksto nustatomus reikalavimus tiekėjo kompetencijai, patirčiai, teikiamoms paslaugoms, atliekamiems darbams ar tiekiamai įrangai.
27. Perkant paslaugas, darbus ar įrangą, susijusius su VIISP, jos projektavimu, kūrimu, diegimu, modernizavimu ir kibernetinio saugumo užtikrinimu, iš anksto pirkimo dokumentuose turi būti nustatoma, kad tiekėjas užtikrina atitiktį Aprašo 10, 12, 16, 18–19 punktuose nustatytiems reikalavimams. Perkamos paslaugos, darbai ar įranga, susiję su VIISP, turi atitikti teisės aktų ir standartų, kuriais vadovaujamasi užtikrinant VIISP elektroninės informacijos saugą ir kibernetinį saugumą, reikalavimus, kurie iš anksto nustatomi paslaugų teikimo, darbų atlikimo ar įrangos tiekimo pirkimo dokumentuose.
28. Tiekėjas, vykdydamas sutartinius įsipareigojimus, turi įgyvendinti organizacines ir technines priemones, skirtas VIISP ir joje tvarkomai elektroninei informacijai apsaugoti nuo netyčinio ar neteisėto sunaikinimo, praradimo, pakeitimo, atskleidimo be leidimo ar neteisėtos prieigos prie jos.
29. Tiekėjui prieiga prie VIISP gali būti suteikiama tik pasirašius sutartį, kurioje turi būti nustatytos tiekėjo teisės, pareigos, prieigos prie VIISP lygiai ir sąlygos, elektroninės informacijos saugos, kibernetinio saugumo, konfidencialumo reikalavimai ir atsakomybė už jų nesilaikymą. VIISP saugos įgaliotinis supažindina tiekėją su suteiktos prieigos VIISP saugos ir kibernetinio saugumo reikalavimais ir sąlygomis. VIISP komponentų administratorius yra atsakingas už prieigos prie VIISP tiekėjui suteikimą ir panaikinimą pasirašius sutartį, pasibaigus sutarties su tiekėju galiojimo terminui ar kitais sutartyje nurodytais prieigos prie VIISP panaikinimo atvejais.
30. Tiekėjui suteikiamas tik toks prieigos prie VIISP lygmuo, kuris yra būtinas sutartyje nustatytiems įsipareigojimams vykdyti. Tiekėjo paskirti specialistai turi pasirašyti konfidencialumo pasižadėjimus.
31. Prireikus, siekiant įsitikinti, ar tinkamai vykdoma sutartis, laikomasi elektroninės informacijos saugos ir kibernetinio saugumo reikalavimų, VIISP tvarkytojas turi teisę atlikti tiekėjo teikiamų paslaugų, reikalingų VIISP funkcionuoti, stebėseną ir auditą, suteikti galimybę atlikti auditą trečiosioms šalims.
32. Tiekėjas privalo nedelsdamas, bet ne vėliau kaip per 24 valandas, informuoti VIISP tvarkytoją apie sutarties vykdymo metu pastebėtus elektroninės informacijos saugos ar kibernetinius incidentus, pastebėtas neveikiančias arba netinkamai veikiančias elektroninės informacijos saugos ir (ar) kibernetinio saugumo užtikrinimo priemones, elektroninės informacijos saugos ir (ar) kibernetinio saugumo reikalavimų nesilaikymą, nusikalstamos veikos požymius, saugumo spragas, pažeidžiamumus, kitus svarbius saugai įvykius.
PATVIRTINTA
Lietuvos Respublikos ekonomikos ir
inovacijų ministro
2022 m. vasario 3 d. įsakymu Nr. 4-178
Valstybės INFORMACINIŲ IŠTEKLIŲ SĄVEIKUMO PLATFORMOS NAUDOTOJŲ ADMINISTRAVIMO taisyklės
I Skyrius
bendrosios nuostatos
1. Valstybės informacinių išteklių sąveikumo platformos naudotojų administravimo taisyklės (toliau – Naudotojų administravimo taisyklės) nustato Valstybės informacinių išteklių sąveikumo platformos (toliau – VIISP) naudotojų įgaliojimus, teises, pareigas ir kontrolės tvarką.
2. Naudotojų administravimo taisyklės parengtos vadovaujantis Bendrųjų elektroninės informacijos saugos reikalavimų aprašu ir Saugos dokumentų turinio gairių aprašu, patvirtintais Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, ir Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“.
3. Naudotojų administravimo taisyklėse vartojamos sąvokos atitinka Lietuvos Respublikos kibernetinio saugumo įstatyme, Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Bendrųjų elektroninės informacijos saugos reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, apibrėžtas sąvokas.
4. Naudotojų administravimo taisyklės taikomos visiems VIISP naudotojams, tarp jų ir naudotojams, kuriems Naudotojų administravimo taisyklių nustatyta tvarka suteikta prieiga prie informacinės sistemos ar jos komponentų, suteikianti galimybę atlikti veiksmus, galinčius sukelti riziką informacinei sistemai, jos komponentams ar joje tvarkomiems duomenims (toliau – privilegijuotas naudotojas), VIISP administratoriams, VIISP saugumo įgaliotiniui.
5. VIISP naudotojams prieiga prie VIISP elektroninės informacijos suteikiama vadovaujantis šiais principais:
5.1. VIISP naudotojų ir VIISP administratorių prieiga prie elektroninės informacijos grindžiama būtinumo žinoti principu. Šis principas reiškia, kad VIISP naudotojams ir VIISP administratoriams prieiga suteikiama tik prie tos elektroninės informacijos, kuri reikalinga vykdant tiesioginę jų veiklą. Tvarkyti elektroninę informaciją gali tik tie VIISP naudotojai ir VIISP administratoriai, kuriems Naudotojų administravimo taisyklių III skyriuje nustatyta tvarka suteiktos prieigos prie elektroninės informacijos teisės ir priemonės (identifikavimo priemonės, slaptažodžiai ar kitos tapatybės nustatymo priemonės ir pan.).
5.2. Kiekvienas VIISP naudotojas turi būti VIISP unikaliai identifikuojamas (asmens kodas negali būti naudojamas kaip naudotojo identifikatorius). VIISP naudotojų prieigos prie elektroninės informacijos teisė realizuota tik per jų registravimo ir slaptažodžių administravimo sistemą.
5.3. VIISP naudotojų ir VIISP administratorių prieigos prie elektroninės informacijos lygmuo grindžiamas mažiausios privilegijos principu. Šis principas reiškia, kad turi būti suteikiamos tik minimalios VIISP naudotojų ir VIISP administratorių tiesioginei veiklai vykdyti reikalingos prieigos teisės bei organizacinėmis ir techninėmis priemonėmis užtikrinama minimalių prieigos teisių naudojimo kontrolė (pavyzdžiui, prieigos prie informacinės sistemos ar jos komponentų, suteikiančios galimybę atlikti veiksmus, galinčius sukelti riziką informacinei sistemai, jos komponentams ar joje tvarkomiems duomenims (toliau – privilegijuota prieiga), teisės neturi būti naudojamos veiklai, kuriai atlikti pakanka žemesnio lygio prieigos teisių, ir pan.).
5.4. Pareigų atskyrimo principas. Šis principas reiškia, kad VIISP naudotojui, VIISP administratoriams negali būti pavesta atlikti ar kontroliuoti visų pagrindinių elektroninės informacijos tvarkymo ar VIISP priežiūros funkcijų, VIISP naudotojams negali būti suteikiamos VIISP administratoriaus teisės, VIISP priežiūros funkcijos turi būti atliekamos naudojant atskirą tam skirtą VIISP administratoriaus paskyrą, kuria naudojantis negalima atlikti VIISP naudotojo funkcijų ir pan.
II SKYRIUS
VIISP naudotojų ir VIISP administratorių įgaliojimai, teisės ir pareigos
6. VIISP naudotojai rinkdami, tvarkydami, perduodami, saugodami, naikindami ar kitaip naudodami elektroninę informaciją gali naudotis tik tais VIISP posistemiais ir juose tvarkoma elektronine informacija, prie kurios prieigą jiems suteikė VIISP naudotojų administratorius.
7. VIISP naudotojui negali būti suteikiamos VIISP administratoriaus ar VIISP privilegijuoto naudotojo teisės.
8. Privilegijuotam naudotojui be jokių apribojimų suteikiama prieiga prie jo funkcijoms atlikti reikalingų VIISP, VIISP naudotojų duomenų bei visų VIISP posistemių valdymo techninių parametrų ir teisė juos skaityti, redaguoti, atnaujinti, kopijuoti ar naikinti, kai tai reikalinga šios sistemos veikimui užtikrinti.
9. VIISP naudotojams draudžiama savavališkai rinkti, tvarkyti, perduoti, saugoti ar kitaip naudoti VIISP elektroninę informaciją.
10. VIISP naudotojai, vadovaudamiesi Naudotojų administravimo taisyklių 6, 9, ir 11–14 punktuose apibrėžtais reikalavimais, privalo užtikrinti jų naudojamo VIISP posistemio ir jame tvarkomos elektroninės informacijos konfidencialumą, vientisumą ir pasiekiamumą.
11. VIISP naudotojai privalo saugoti tvarkomų asmens duomenų ir informacijos paslaptį, vadovaudamiesi 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) nustatyta tvarka ir kitų teisės aktų, reglamentuojančių asmens duomenų tvarkymą ir saugumą, reikalavimais.
12. Kiekvienas VIISP naudotojas ar VIISP administratorius, jungdamasis prie VIISP, privalo atlikti tapatumo nustatymo procedūrą, t. y. nurodyti VIISP naudotojo vardą ir slaptažodį.
13. VIISP naudotojams draudžiama savavališkai leisti tretiesiems asmenimis naudotis VIISP naudotojams suteikta VIISP prieiga.
14. VIISP naudotojai, pastebėję Valstybės informacinių išteklių sąveikumo platformos duomenų saugos nuostatuose, patvirtintuose Lietuvos Respublikos ekonomikos ir inovacijų ministro 2021 m. rugpjūčio 9 d. įsakymu Nr. 4-886 „Dėl Valstybės informacinių išteklių sąveikumo platformos nuostatų ir Valstybės informacinių išteklių sąveikumo platformos duomenų saugos nuostatų patvirtinimo“ ir VIISP saugos politikos įgyvendinamuosiuose dokumentuose (toliau kartu – saugos dokumentai) nustatytų reikalavimų pažeidimų, nusikalstamos veikos požymių, neveikiančias arba netinkamai veikiančias saugos ir (ar) kibernetinio saugumo užtikrinimo priemones, privalo nedelsdami, bet ne vėliau kaip per 24 valandas, telefonu arba elektroniniu paštu pranešti apie tai VIISP naudotojų administratoriui, kuris apie tai informuoja VIISP saugos įgaliotinį.
15. Įtaręs neteisėtą veiką, pažeidžiančią ar neišvengiamai pažeisiančią VIISP saugą ir (ar) kibernetinį saugumą, VIISP saugos įgaliotinis apie tai turi pranešti VIISP valdytojo vadovui raštu ir informuoti kompetentingas institucijas, tiriančias elektroninių ryšių tinklų, elektroninės informacijos saugos ir kibernetinius incidentus, neteisėtas veikas, susijusias su elektroninės informacijos saugos ar kibernetiniais incidentais, šių kompetentingų institucijų nustatyta tvarka.
16. VIISP administratorių prieigos prie VIISP lygiai ir juose taikomi saugos reikalavimai:
16.1. VIISP administratoriai VIISP ir jos komponentus gali pasiekti naudodamiesi tiesiogine, vietinio tinklo arba nuotoline prieiga. VIISP administratorių prieiga ir jos lygiai kontroliuojami per fizinius (įeigos kontrolės sistemos, užtvaros ir kita) ir loginius (užkardos, domeno valdikliai ir kita) prieigos taškus. Kontrolės priemonės turi būti taikomos visuose VIISP sandaros sluoksniuose (kompiuterių tinkle, platformose ar operacinėse sistemose, duomenų bazėse ir taikomųjų programų sistemose).
16.2. VIISP administratoriams prieiga prie VIISP komponentų, elektroninės informacijos ir teisė atlikti elektroninės informacijos tvarkymo veiksmus (elektroninės informacijos skaitymas, kūrimas, atnaujinimas, šalinimas, VIISP naudotojų informacijos, prieigos teisių redagavimas ir panašiai) suteikiama remiantis Naudotojų administravimo taisyklių 7 punkte nustatytais prieigos prie elektroninės informacijos principais.
16.3. VIISP administratorius pagal kompetenciją turi teisę į prieigą prie visų VIISP komponentų ir jų sąrankos.
16.4. VIISP naudotojų administratoriams suteikiama prieiga prie VIISP naudotojų prieigos teisių valdymo sistemų.
16.5. VIISP komponentų administratoriams pagal kompetenciją suteikiama prieiga prie kompiuterių, operacinių sistemų, duomenų bazių ir jų valdymo sistemų, taikomųjų programų sistemų, saugasienių, įsilaužimų aptikimo ir prevencijos sistemų, elektroninės informacijos perdavimo tinklų, duomenų saugyklų ir kitos techninės ir programinės įrangos bei jų sąrankos.
III SKYRIUS
Saugaus ELEKTRONINĖS INFORMACIJOS teikimo VIISP naudotojams kontrolės tvarka
17. VIISP naudotojų (tarp jų ir privilegijuotų) registravimo ir išregistravimo tvarka:
17.1. VIISP tvarkytojo ar VIISP techninę priežiūrą vykdančios įmonės darbuotojai, pagal VIISP saugos dokumentų nuostatas pasirašę pasižadėjimą saugoti duomenų ir informacijos paslaptį ir pasirašytinai susipažinę su saugos dokumentais, norėdami savo tiesioginėms funkcijoms atlikti gauti prieigą (taip pat ir privilegijuotą) prie atitinkamų VIISP komponentų, turi pateikti VIISP tvarkytojui prašymą (Naudotojų administravimo taisyklių priedas), kuriame turi būti nurodyti prašančio suteikti prieigą asmens duomenys, prieigos suteikimo pagrindas, VIISP komponentai, prie kurių suteikiama prieiga, ir prieigos suteikimo laikotarpis.
17.2. VIISP naudotojui VIISP naudotojų administratorius suteikia VIISP naudotojo vardą ir laikiną slaptažodį ir nustato nurodytos apibrėžties prieigą prie elektroninės informacijos.
17.4. Kiekvienas VIISP naudotojas privalo naudoti tik jam suteiktą VIISP naudotojo vardą ir nesudaryti galimybės juo naudotis tretiesiems asmenims.
18. VIISP naudotojų slaptažodžių, jų galiojimo trukmės, keitimo ir saugojimo reikalavimai:
18.1. Viešaisiais elektroninių ryšių tinklais perduodamos informacijos konfidencialumas turi būti užtikrintas naudojant šifravimą, virtualųjį privatų tinklą (angl. virtual private network). Slaptažodis VIISP naudotojui negali būti perduodamas neužšifruotas ar užšifruojamas nepatikimais algoritmais.
18.2. Tik laikinas slaptažodis gali būti perduodamas neužšifruotas, tačiau atskirai nuo prisijungimo vardo, jei naudotojas neturi techninių galimybių iššifruoti gauto slaptažodžio ar nėra techninių galimybių VIISP naudotojui perduoti slaptažodį šifruotu kanalu ar saugiu elektroninių ryšių tinklu.
18.3. Pirmojo prisijungimo prie VIISP metu iš VIISP naudotojo turi būti reikalaujama, kad jis pakeistų laikiną slaptažodį.
18.4. Kilus įtarimui, kad slaptažodis galėjo būti atskleistas, VIISP naudotojas turi nedelsdamas slaptažodį pakeisti.
18.6. Slaptažodį turi sudaryti trijų grupių iš galimų keturių (didžiosios ir mažosios raidės, skaičiai bei specialūs ženklai) simboliai.
18.7. Slaptažodis turi būti keičiamas ne rečiau kaip kas 3 mėnesius (VIISP naudotojų teisės sustabdomos, jei slaptažodis nepakeičiamas laiku).
18.8. Slaptažodžiams sudaryti neturi būti naudojama asmeninio pobūdžio informacija (pavyzdžiui, gimimo data, šeimos narių vardai, adresai ir panašiai).
18.9. VIISP naudotojas slaptažodį turi įsiminti, draudžiama slaptažodį užsirašyti ar pasakyti kitam asmeniui.
18.10. Naudotojui klaidingai suvedus slaptažodį 3 kartus vartotojo prieiga turi būti blokuojama ir atkuriama tik VIISP naudotojų administratoriaus.
18.11. Pasirinkdamas ar keisdamas slaptažodį, VIISP naudotojas turi bent kartą slaptažodį pakartoti.
19. Papildomi reikalavimai VIISP privilegijuotų naudotojų ir VIISP administratorių slaptažodžiams:
20. VIISP naudotojų prieigos prie informacinių sistemų sustabdymo atvejai:
20.1. nustačius VIISP elektroninės informacijos konfidencialumo ar vientisumo pažeidimą arba kitų VIISP elektroninės informacijos saugą ir tvarkymą reglamentuojančių teisės aktų pažeidimą;
21. VIISP duomenų tvarkymas yra atliekamas naudojantis interneto naršykle arba specialia programine įranga.
22. VIISP naudotojo teisė dirbti su konkrečia elektronine informacija turi būti sustabdoma, kai jis nesinaudoja VIISP ilgiau kaip 3 mėnesius. Nutrūkus darbo, sutartiniams ar kitiems santykiams, VIISP naudotojo teisė naudotis VIISP turi būti nedelsiant, bet ne vėliau nei per 24 valandas panaikinta.
Valstybės informacinių išteklių
sąveikumo platformos
naudotojų administravimo
taisyklių
priedas
(Prašymo suteikti ar panaikinti naudotojo prieigos prie Valstybės informacinių išteklių sąveikumo platformos teises forma)
________________________________________________________________________________
(įstaigos pavadinimas)
Informacinės visuomenės plėtros komitetui
PRAŠYMAS
SUTEIKTI AR PANAIKINTI NAUDOTOJO PRIEIGOS PRIE VALSTYBĖS INFORMACINIŲ IŠTEKLIŲ SĄVEIKUMO PLATFORMOS TEISES
|
|
Nr. |
|
||
| (data) |
|
(registracijos numeris) |
||
|
|
|
||
|
(sudarymo vieta) |
|
||
| Prašau suteikti / panaikinti (pabraukti reikalingą variantą) prieigos prie Valstybės informacinių išteklių sąveikumo platformos (toliau – VIISP) teises šiam asmeniui: |
| ________________________________________________________________________________________________, |
(valstybės tarnautojo ar darbuotojo vardas, pavardė)
_______________________________________________________________________________________________,
(valstybės tarnautojo ar darbuotojo pareigos)
dirbančiam (-iai) _______________________________________________________________________________________________ ,
(įstaigos struktūrinio padalinio pavadinimas)
_______________________________________________________________________________________________ ,
(darbo vietos adresas, kabineto ir telefono numeriai, elektroninio pašto adresas)
ir suteikti / panaikinti jam (jai) (pabraukti reikalingą variantą) prieigą prie VIISP komponento šiomis prieigos teisėmis:
| Eil. Nr. |
VIISP komponento pavadinimas |
Prieigos teisės |
|
| Suteikti |
Panaikinti |
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
| (įstaigos vadovo ar jo įgalioto asmens pareigos) |
|
(parašas) |
|
(vardas, pavardė) |
____________________________
PATVIRTINTA
Lietuvos Respublikos ekonomikos ir
inovacijų ministro
2022 m. vasario 3 d. įsakymu Nr. 4-178
Valstybės INFORMACINIŲ IŠTEKLIŲ SĄVEIKUMO PLATFORMOS VEIKLOS TĘSTINUMO VALDYMO PLANAS
I Skyrius
bendrosios nuostatos
1. Valstybės informacinių išteklių sąveikumo platformos veiklos tęstinumo valdymo planas (toliau – Planas) reglamentuoja Valstybės informacinių išteklių sąveikumo platformos (toliau – VIISP) veiklos tęstinumo užtikrinimą, siekiant valdyti VIISP elektroninės informacijos saugos ir kibernetinius incidentus (toliau – Incidentas).
2. Planas parengtas vadovaujantis Bendrųjų elektroninės informacijos saugos reikalavimų aprašu ir Saugos dokumentų turinio gairių aprašu, patvirtintais Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“ (toliau – Bendrųjų elektroninės informacijos saugos reikalavimų aprašas), Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašu ir Nacionaliniu kibernetinių incidentų valdymo planu, patvirtintais Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“.
3. Plane vartojamos sąvokos apibrėžtos Lietuvos Respublikos kibernetinio saugumo įstatyme, Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Lietuvos Respublikos visuomenės informavimo įstatyme ir Bendrųjų elektroninės informacijos saugos reikalavimų apraše.
4. Planas taikomas įvykus Incidentui iki tol, kol bus atkurta VIISP veikla. Plano vykdymą inicijuoja VIISP veiklos tęstinumo valdymo grupės vadovas. Plano nuostatos taip pat taikomos po stichinės nelaimės, avarijos ar kitų ekstremaliųjų situacijų, kai būtina atkurti įprastą VIISP veiklą.
5. Planas yra privalomas VIISP valdytojui, VIISP tvarkytojui, VIISP saugos įgaliotiniui, VIISP administratoriams ir VIISP naudotojams (tarp jų ir naudotojams, kuriems Naudotojų administravimo taisyklių nustatyta tvarka suteikta prieiga prie informacinės sistemos ar jos komponentų, suteikianti galimybę atlikti veiksmus, galinčius sukelti riziką informacinei sistemai, jos komponentams ar joje tvarkomiems duomenims (toliau – privilegijuoti naudotojai)).
6. VIISP saugos įgaliotinio, VIISP administratorių bei VIISP naudotojų funkcijos, įgaliojimai ir veiksmai:
6.1. VIISP saugos įgaliotinis:
6.1.1. koordinuoja Valstybės informacinių išteklių sąveikumo platformos veiklos atkūrimo detaliajame plane, kuris pateiktas Plano 1 priede, nurodytų veiksmų atlikimą;
6.1.3. duoda privalomus vykdyti nurodymus ir pavedimus VIISP valdytojo ir VIISP tvarkytojo darbuotojams, jeigu tai būtina elektroninės informacijos saugos politikai įgyvendinti;
6.1.5. bendradarbiauja su kompetentingomis institucijomis, tiriančiomis Incidentus, neteisėtas veikas, susijusias su Incidentais, išskyrus tuos atvejus, kai šią funkciją atlieka VIISP valdytojo arba VIISP tvarkytojo sudarytos VIISP elektroninės informacijos saugos ir kibernetinio saugumo darbo grupės;
6.2. VIISP administratoriai:
6.2.5. informuoja VIISP naudotojų ir duomenų gavėjus apie veiklos sutrikimus ir veiklos atkūrimo laiką;
6.3. VIISP techninės priežiūros paslaugų teikėjų atsakingi darbuotojai:
8. VIISP veikla laikoma atkurta, jeigu yra atkuriamas Incidento metu sutrikdytas VIISP veikimas, užtikrintas jo duomenų prieinamumas, konfidencialumas ir vientisumas, o VIISP naudotojai gali atlikti savo funkcijas. VIISP veiklos atkūrimas turi trukti ne ilgiau kaip 8 valandas.
9. VIISP veiklos kriterijai, pagal kuriuos nustatoma, ar VIISP veikla atkurta:
9.1. VIISP priima elektroninę informaciją iš informacinių sistemų, elektroninės informacijos teikėjų;
II SKYRIUS
Organizacinės nuostatos
10. VIISP veiklos tęstinumui užtikrinti esminių sutrikimų atvejais sudaromos Veiklos tęstinumo valdymo grupė (toliau – VTVG) ir Veiklos atkūrimo grupė (toliau – VAG), kurios užtikrina veiklos tęstinumui kylančių grėsmių valdymą ir informacinių sistemų atkūrimo koordinavimą.
11. VTVG sudėtis:
11.1. VTVG vadovas – VIISP tvarkytojo – Informacinės visuomenės plėtros komiteto (toliau – IVPK) direktorius arba direktoriaus pavaduotojas;
11.3. VTVG nariai:
12. VTVG funkcijos:
12.1. Incidento priežasties ir esamos situacijos analizė ir sprendimų VIISP veiklos tęstinumo valdymo klausimais priėmimas;
12.3. bendravimas su susijusių registrų ir (arba) informacinių sistemų veiklos tęstinumo valdymo grupėmis arba administratoriais;
12.4. bendravimas su teisėsaugos ir kitomis institucijomis, šių institucijos darbuotojais ir kitomis interesų grupėmis;
12.5. finansinių ir kitų išteklių, reikalingų VIISP veiklai atkurti įvykus Incidentui, naudojimo kontrolė;
13. VAG sudėtis:
15. VAG funkcijos:
15.5. kompiuterizuotų darbo vietų veikimo atkūrimo ir prijungimo prie kompiuterių tinklo organizavimas;
18. Veiksmai, reikalingi VIISP veiklai atkurti įvykus Incidentui, jų vykdymo eiliškumas, terminai ir atsakingi vykdytojai nurodyti Plano 1 priede nustatytame Valstybės informacinių išteklių sąveikumo platformos veiklos atkūrimo detaliajame plane.
19. Jeigu Incidentas turi kibernetinio incidento požymių, Incidentas yra valdomas, vertinamas ir apie Incidentą yra pranešama, vadovaujantis Nacionaliniu kibernetinių incidentų valdymo planu. Valstybės informacinių išteklių sąveikumo platformos kibernetinių incidentų valdymo planas yra pateiktas Plano 2 priede. Kibernetinių incidentų grupių ir pogrupių aprašymas yra pateiktas Plano 3 priede. Institucijų, dalyvaujančių kibernetinio incidento valdymo veikloje, kontaktinė informacija yra pateikta Plano 4 priede. Informacija apie Nacionalinio kibernetinio centro informavimą yra pateikta Plano 5 priede.
20. Įvykus Incidentui, nenumatytoms situacijoms arba esminiams organizaciniams VIISP ar jų komponentų pokyčiams, VTVG ir VAG ne vėliau kaip per 24 valandas nuo jų nustatymo organizuoja bendrą susirinkimą.
21. VTVG, atlikusi Incidento priežasties ir esamos situacijos analizę, informuoja VAG apie priimtus sprendimus VIISP veiklos tęstinumo valdymo klausimais. VAG, atsižvelgdama į priimtus sprendimus, organizuoja VIISP veiklos atkūrimą.
III SKYRIUS
APRAŠOMOSIOS NUOSTATOS
26. Informacijos saugos incidentų valdymas susideda iš šių veiklų:
27. Apie pastebėtus informacijos saugos incidentus turi būti nedelsiant, bet ne vėliau kaip per 15 min. nuo incidento nustatymo, informuojamas VIISP saugos įgaliotinis. Tuo tikslu galima naudotis el. paštu, telefonu ar kitomis priemonėmis.
28. Tais atvejais, kai VIISP tvarkytojo ar VIISP techninę priežiūrą vykdančių įmonių atsakingi darbuotojai pastebi informacijos saugos incidentus, kuriuos sukėlė kiti VIISP tvarkytojo ar VIISP techninę priežiūrą vykdančių įmonių atsakingi darbuotojai, VIISP saugos įgaliotinis turi užtikrinti tokio pranešimo ir jį pateikusio asmens konfidencialumą, informacijos saugos incidentą registruoti ir valdyti neatskleisdamas incidentą pranešusio asmens tapatybės.
29. VIISP saugos įgaliotinis atsakingas už tolesniam informacijos saugos incidento tyrimui ir sprendimui būtinos informacijos surinkimą iš informavusių asmenų ar kitų VIISP tvarkytojo arba VIISP techninę priežiūrą vykdančių įmonių darbuotojų. Surinktos informacijos pagrindu VIISP saugos įgaliotinis turi užregistruoti informacijos saugos incidentus Informacijos saugos registre. Registruojant informacijos saugos incidentą (ir vėlesniuose informacijos saugos incidentų valdymo etapuose) turi būti pateikiama tokia informacija:
29.5. informacijos saugos incidento aplinkybės, išsamus aprašymas, surinkti įrodymai (pateikiami vėlesniuose informacijos saugos incidento valdymo etapuose);
29.6. informacijos saugos incidento priežastys (pateikiami vėlesniuose informacijos saugos incidento valdymo etapuose);
29.8. informacijos saugos incidento valdymo būsena („Užregistruotas“, „Analizuojamas“, „Ištirtas“, „Priežastys pašalintos“ arba „Priežastys nebus šalinamos“);
30. Prieš vykdant informacijos saugos incidento tyrimą, būtina užtikrinti visų reikiamų incidento įrodymų surinkimą, įrodymų išsaugojimą ir šių įrodymų vientisumo ir konfidencialumo užtikrinimą. Vykdant informacijos saugos incidentų įrodymų surinkimą, jų analizę bei informacijos saugos incidento tyrimą, VIISP saugos įgaliotinis gali kreiptis į kitus VIISP tvarkytojo darbuotojus (pvz., VIISP administratorius, VIISP tvarkytojo teisės specialistą), VIISP techninę priežiūrą vykdančių įmonių atsakingus darbuotojus ar kitus juridinių asmenų atstovus dėl pagalbos atliekant atitinkamas veiklas.
31. Prieš vykdant informacijos saugos incidento tyrimą, būtina užtikrinti visų reikiamų incidento įrodymų surinkimą, įrodymų išsaugojimą ir šių įrodymų vientisumo ir konfidencialumo užtikrinimą. Vykdant informacijos saugos incidentų įrodymų surinkimą, jų analizę bei informacijos saugos incidento tyrimą, VIISP saugos įgaliotinis gali kreiptis į kitus VIISP tvarkytojo darbuotojus (pvz., VIISP administratorius, VIISP tvarkytojo teisės specialistą), VIISP techninę priežiūrą vykdančių įmonių atsakingus darbuotojus ar kitus juridinių asmenų atstovus dėl pagalbos atliekant atitinkamas veiklas.
IV SKYRIUS
VIISP VEIKLOS UŽTIKRINIMAS
32. VIISP veiklos tęstinumui užtikrinti turi būti parengti ir saugomi šie dokumentai:
32.1. VIISP kompiuterinės ir programinės įrangos sąrašas ir šios įrangos parametrai (dokumentas, kuriame nurodyti informacinių technologijų įrangos parametrai ir už šios įrangos priežiūrą atsakingi administratoriai, minimalus informacinės sistemos veiklai atkurti, nesant administratoriaus, kuris dėl komandiruotės, ligos ar kitų priežasčių negali operatyviai atvykti į darbo vietą, reikiamos kompetencijos ar žinių lygis);
32.2. VIISP minimalus funkcijų sąrašas (dokumentas, kuriame nurodytos minimalios informacinių technologijų įrangos funkcijos, skirtos VIISP veiklai užtikrinti įvykus Incidentui);
32.4. sutarčių, susijusių su VIISP, sąrašas (dokumentas, kuriame nurodytos elektroninės informacijos teikimo ir kompiuterinės, techninės ir programinės įrangos priežiūros sutartys, atsakingi už šių sutarčių įgyvendinimo priežiūrą asmenys);
32.5. dokumentas, kuriame nurodyti kiekvieno pastato, kuriame yra informacinės sistemos įranga, aukšto patalpų brėžiniai ir juose pažymėti:
32.6. dokumentas, kuriame nurodyta programinės įrangos laikmenų ir laikmenų su atsarginėmis elektroninės informacijos kopijomis saugojimo vieta ir šių laikmenų perkėlimo į saugojimo vietą laikas ir sąlygos;
V SKYRIUS
Plano veiksmingumo išbandymo REIKALAVIMAI
34. Plano veiksmingumas išbandomas ne rečiau kaip kartą per vienus metus, modeliuojant saugos incidentą. Plano veiksmingumo išbandymą organizuoja VIISP saugos įgaliotinis.
35. Prieš įdiegiant naujus VIISP komponentus arba pasikeitus VIISP veiklos aplinkai, VIISP saugos įgaliotinis turi peržiūrėti Planą ir prireikus atlikti neeilinį Plano veiksmingumo išbandymą simuliavimo būdu pagal Incidento situacijos scenarijų.
36. Plano veiksmingumo išbandyme turi dalyvauti visi VTVG ir VAG nariai. Prireikus į Plano veiksmingumo išbandymą gali būti pakviesti ekspertai, paslaugų teikėjų atstovai.
37. Išbandžius Plano veiksmingumą, VIISP saugos įgaliotinis per 15 darbo dienų parengia Plano veiksmingumo išbandymo ataskaitą (toliau – ataskaita) ir per 5 darbo dienas pateikia ją VTVG ir Nacionaliniam kibernetinio saugumo centrui. Kito išbandymo data nurodoma ataskaitoje.
Valstybės informacinių išteklių
sąveikumo platformos
veiklos tęstinumo valdymo plano
1 priedas
Valstybės informacinių išteklių sąveikumo platformos VEIKLOS ATKŪRIMO DETALUSIS PLANAS
1. Valstybės informacinių išteklių sąveikumo platformos (toliau – VIISP) veiklos atkūrimo detaliajame plane pateikiami galimi esminių sutrikimų scenarijai VIISP tvarkytojo patalpose. Tais atvejais, kai esminiai sutrikimai įvyksta VIISP serverių patalpose, turi būti vadovaujamasi VIISP prieglobos paslaugų teikėjo veiklos tęstinumo planu, o Veiklos tęstinumo valdymo grupė (toliau – VTVG) ir Veiklos atkūrimo grupė (toliau – VAG) turi bendradarbiauti su VIISP prieglobos paslaugų teikėju sprendžiant esminio sutrikimo scenarijus.
2. Galimi esminių sutrikimų scenarijai VIISP tvarkytojo patalpose:
2.1. Gaisras VIISP tvarkytojo patalpose. Reagavimo veiksmai ir VIISP veiklos atkūrimo veiksmai gaisro atveju pateikiami šio priedo 1 ir 2 lentelėse.
1 lentelė. Reagavimo veiksmai gaisro VIISP tvarkytojo patalpose atveju.
| Eil. Nr. |
Reagavimo veiksmai |
Atsakingi asmenys |
| 1. |
Esant būtinumui, pavojaus skelbimas, veiksmų nenumatytos situacijos metu rekomendavimas. Vykdymo terminas – 10 minučių. |
VTVG vadovas (jo nesant – VIISP saugos įgaliotinis) |
| 2. |
Ugniagesių, gelbėjimo, greitosios pagalbos ar kitų tarnybų informavimas. Vykdymo terminas – 10 minučių. |
VTVG vadovas (jo nesant – VIISP saugos įgaliotinis) |
| 3. |
Pirmosios medicininės pagalbos suteikimas pagal poreikį. |
Visi VIISP tvarkytojo darbuotojai |
| 4. |
Gaisro gesinimas ankstyvojoje stadijoje, nekeliant pavojaus darbuotojų gyvybei. Vykdymo terminas – 10 minučių. |
Visi VIISP tvarkytojo darbuotojai |
| 5. |
Komunalinių komunikacijų, galinčių sukelti papildomą pavojų, atjungimas. Vykdymo terminas – 1 valanda. |
VTVG vadovas (jo nesant – VIISP saugos įgaliotinis) |
| 6. |
Koordinuojančių ir operatyvią veiklą vykdančių darbuotojų paskyrimas. Vykdymo terminas – 15 minučių. |
VTVG vadovas |
2 lentelė. VIISP veiklos atkūrimo veiksmai gaisro VIISP tvarkytojo patalpose atveju.
| Eil. Nr. |
VIISP veiklos atkūrimo veiksmai |
Atsakingi asmenys |
| 1. |
Ugniagesių tarnybos paklausimas dėl leidimo dirbti pavojaus zonoje, rekomendacijų darbui gavimas ir darbuotojų informavimas apie rekomenduojamus darbo būdus |
VAG vadovas |
| 2. |
Darbo perkėlimas į alternatyvias darbo vietas (pvz., namuose) |
VTVG vadovas |
| 3. |
Žalos įvertinimas, priemonių plano įvykio pasekmėms likviduoti sudarymas ir įgyvendinimas |
VAG vadovas |
| 4. |
Darbo funkcijų grąžinimas į esamas ar naujas patalpas |
VTVG vadovas |
2.2. Energijos tiekimo sutrikimai VIISP tvarkytojo patalpose. Reagavimo veiksmai ir VIISP veiklos atkūrimo veiksmai energijos tiekimo sutrikimų atvejais pateikiami šio priedo 3 ir 4 lentelėse.
3 lentelė. Reagavimo veiksmai energijos tiekimo sutrikimų VIISP tvarkytojo patalpose atvejais.
| Eil. Nr. |
Reagavimo veiksmai |
Atsakingi asmenys |
| 1. |
Energijos tiekimo sistemos veiklos patikrinimas. Vykdymo terminas – 1 valanda. |
VIISP administratorius |
| 2. |
Esant būtinumui, serverių ir kitos techninės įrangos, jautrios energijos tiekimo sutrikimams, išjungimas. Vykdymo terminas – 30 minučių. |
VIISP administratorius |
| 3. |
Kreipimasis į savo elektros energijos tiekimo tarnybą dėl sutrikimo pašalinimo trukmės prognozės. Vykdymo terminas – 10 minučių. |
Informacinės visuomenės plėtros komiteto administratorius |
| 4. |
Sutrikimo pašalinimo trukmės prognozės ir rekomenduojamos elgsenos nenumatytos situacijos metu skelbimas. Vykdymo terminas – 20 minučių. |
VTVG vadovas |
| 5. |
Prireikus atsarginių patalpų VIISP tvarkytojo veiklai užtikrinti ir darbo vietoms išdėstyti suradimas (pvz., darbo vietos perkėlimas į namus). |
VTVG vadovas |
4 lentelė. VIISP veiklos atkūrimo veiksmai energijos tiekimo sutrikimų VIISP tvarkytojo patalpose atvejais.
| Eil. Nr. |
Veiklos atkūrimo veiksmai |
Atsakingi asmenys |
| 1. |
Pažeisto vietos elektros tinklo, užtikrinančio VIISP tvarkytojo veiklą, atkūrimo organizavimas |
VAG vadovas |
| 2. |
Išjungtų serverių ir kitos techninės įrangos įjungimas |
VIISP administratorius |
| 3. |
Žalos įvertinimas, priemonių plano įvykio pasekmėms likviduoti sudarymas ir įgyvendinimas |
VAG vadovas |
2.3. Ryšio sutrikimai VIISP tvarkytojo patalpose. Reagavimo veiksmai ir VIISP veiklos atkūrimo veiksmai ryšio sutrikimų atvejais pateikiami šio priedo 5 ir 6 lentelėse.
5 lentelė. Reagavimo veiksmai ryšio sutrikimų VIISP tvarkytojo patalpose atvejais.
| Eil. Nr. |
Reagavimo veiksmai |
Atsakingi asmenys |
| 1. |
Paslaugų teikėjų informavimas, atsižvelgus į sutrikimo pobūdį. Vykdymo terminas – 10 minučių. |
VIISP administratorius |
| 2. |
Sutrikimo pašalinimo prognozės skelbimas ir darbuotojų informavimas apie darbo sustabdymą dėl nepalankių sąlygų. Vykdymo terminas – 20 minučių. |
VTVG vadovas |
| 3. |
Alternatyvaus ryšio ar alternatyvių darbo sąlygų organizavimas. |
VTVG vadovas |
| 4. |
Infrastruktūros pakeitimai pagal poreikį. |
VIISP administratorius |
6 lentelė. VIISP veiklos atkūrimo veiksmai ryšio sutrikimų VIISP tvarkytojo patalpose atvejais.
| Eil. Nr. |
|
Veiklos atkūrimo veiksmai |
Atsakingi asmenys |
| 1. |
|
Žalos bei panašaus pobūdžio įvykių įvertinimas |
VAG vadovas |
| 2. |
|
Pagal poreikį kreipimasis į kitus ryšio paslaugų teikėjus |
VTVG vadovas |
Valstybės informacinių išteklių
sąveikumo platformos
veiklos tęstinumo valdymo plano
2 priedas
VALSTYBĖS INFORMACINIŲ IŠTEKLIŲ SĄVEIKUMO PLATFORMOS KIBERNETINIŲ INCIDENTŲ VALDYMO PLANAS
| Kibernetinis incidentas |
Informavimo šaltinis |
Veiksmai |
Atsakomybės |
Reakcijos laikas |
| Valstybės informacinių išteklių sąveikumo platformos (toliau – VIISP) duomenų manipuliavimas (elektroninių duomenų pasisavinimas, platinimas, paskelbimas, pakeitimas kitais elektroniniais duomenimis, elektroninių duomenų iškraipymas) |
Apie VIISP saugomų duomenų nebuvimą ar klaidas praneša VIISP naudotojai, VIISP tvarkytojo darbuotojai ar VIISP techninės priežiūros teikėjai, Nacionalinis kibernetinio saugumo centras prie Krašto apsaugos ministerijos* (toliau – NKSC), Valstybinė duomenų apsaugos inspekcija, Lietuvos policija (toliau – kibernetinius incidentus valdančios ir (ar) tiriančios institucijos – KIVT institucijos) bei kiti juridiniai asmenys
|
1. Įvertinama situacija ir apie tai informuojami VIISP saugos įgaliotinis bei VIISP administratorius |
Pirmasis incidentą pastebėjęs VIISP tvarkytojo darbuotojas |
Per 15 min. nuo incidento nustatymo |
| 2. Apie esamą situaciją informuojamas Veiklos tęstinumo valdymo grupės (toliau – VTVG) vadovas |
VIISP saugos įgaliotinis
|
Per 30 min. nuo incidento nustatymo |
||
| 3. Nustatomos susidariusią situaciją sukėlusios priežastys (pvz., ar duomenys prarasti kibernetinio įsilaužimo metu) |
VIISP saugos įgaliotinis, VIISP administratorius, VIISP techninę priežiūrą vykdančios įmonės atsakingas darbuotojas |
Per 1 val. nuo incidento nustatymo |
||
| 4. Informuojamas NKSC. Pranešime apie didelės ir vidutinės reikšmės kibernetinį incidentą NKSC turi būti nurodyta: kibernetinio incidento grupė ir kategorija**, trumpas kibernetinio incidento apibūdinimas, tikslus laikas, kada kibernetinis incidentas įvyko ir buvo nustatytas, kibernetinio incidento šalinimo tvarka (turi būti nurodyta, ar tai prioritetas, ar ne).
Pranešime apie nereikšmingą kibernetinį incidentą NKSC turi būti nurodyta ir pateikta informacija apie kiekvienos grupės incidentų, įvykusių nuo paskutinio pranešimo pateikimo dienos, skaičių. |
VIISP saugos įgaliotinis |
Per 1 val. nuo didelės reikšmės kibernetinio incidento nustatymo
Per 4 val. nuo vidutinės reikšmės kibernetinio incidento nustatymo
Pranešama periodiškai kiekvieno kalendorinio mėnesio pirmą darbo dieną (teikiant apibendrintą informaciją) |
||
| 5. VIISP portale (https://www.epaslaugos.lt/portal) skelbiamas informacinis pranešimas apie VIISP sutrikimus ir jų pašalinimo laiką |
VIISP administratorius |
Per 30 min. nuo incidento nustatymo |
||
| 6. Jei išorinė pagalba nebūtina, sutrikimai pašalinami panaudojant Informacinės visuomenės plėtros komiteto išteklius |
VIISP saugos įgaliotinis, VIISP administratorius, VIISP techninę priežiūrą vykdančios įmonės atsakingas darbuotojas |
Per 4 val. nuo incidento nustatymo |
||
| 7. Jei nėra galimybės savarankiškai ištirti ar suvaldyti kibernetinio incidento per maksimaliai leistiną paslaugos neveikimo laiką (8 val.), kreipiamasi pagalbos į NKSC. |
VIISP saugos įgaliotinis, VIISP techninę priežiūrą vykdančios įmonės atsakingas darbuotojas |
Per 24 val. nuo šių aplinkybių nustatymo |
||
| 8. Vykdomi NKSC nurodymai |
VIISP saugos įgaliotinis, VIISP administratorius, VIISP techninę priežiūrą vykdančios įmonės atsakingas darbuotojas |
Ne rečiau kaip kas keturias valandas teikia NKSC atnaujintą informaciją apie incidento valdymo būklę |
||
| 9. Atkuriamas VIISP veikimas |
VIISP saugos įgaliotinis, VIISP administratorius, VIISP techninę priežiūrą vykdančios įmonės atsakingas darbuotojas |
Priklausomai nuo sutrikimų šalinimo darbų pobūdžio |
||
| 10. Pašalinamas informacinis pranešimas VIISP portale https://www.epaslaugos.lt/portal/ |
VIISP administratorius |
Per 15 min. nuo VIISP veikimo atkūrimo |
||
| 11. NKSC pateikiama didelės ir vidutinės reikšmės kibernetinio incidento vertinimo ataskaita, kurioje nurodoma: 11.1. informacinė infrastruktūra ir valstybės informaciniai ištekliai, kuriuose nustatytas kibernetinis incidentas, tipas (informacinė sistema, elektroninių ryšių tinklas, serveris ir panašiai); 11.2. kibernetinio incidento veikimo trukmė; 11.3. kibernetinio incidento šaltinis; 11.4. kibernetinio incidento požymiai; 11.5. kibernetinio incidento veikimo metodas; 11.6. galimos kibernetinio incidento pasekmės; 11.7. kibernetinio incidento poveikio pasireiškimo (galimo išplitimo) mastas; 11.8. kibernetinio incidento būsena (aktyvus, pasyvus); 11.9. priemonės, kuriomis kibernetinis incidentas nustatytas; 11.10. galimos kibernetinio incidento valdymo priemonės; 11.11. tikslus laikas, kada bus teikiama pakartotinė kibernetinio incidento tyrimo ataskaita |
VIISP saugos įgaliotinis |
Per 2 val. nuo didelės reikšmės kibernetinio incidento nustatymo
Per 24 val. nuo vidutinės reikšmės kibernetinio incidento nustatymo
|
||
| 12. NKSC pranešama apie didelės ir vidutinės reikšmės kibernetinio incidento sustabdymą ir pašalinimą |
VIISP saugos įgaliotinis |
Per 2 val. nuo didelės ir vidutinės reikšmės kibernetinio incidento sustabdymo ir pašalinimo |
||
|
|
|
13. Pateikia NKSC susistemintą ir aktualią neįslaptintą informaciją apie kibernetinio incidento nustatymą ir suvaldymą. Taip pat: 13.1. imasi priemonių, kad būtų pašalintas ryšių ir informacinės sistemos pažeidžiamumas; 13.2. įvertina VIISP riziką ir atitiktį organizaciniams ir techniniams kibernetinio saugumo reikalavimams; 13.3. nustačius teisinio reglamentavimo spragų, pakeičia VIISP saugos dokumentus ir (ar) inicijuoja kitų institucijų priimtų teisės aktų pakeitimus.
|
VIISP saugos įgaliotinis
|
Ne vėliau kaip per trisdešimt darbo dienų po kibernetinio incidento suvaldymo ar pasibaigimo |
|
|
|
14. Įgytos kibernetinių incidentų (toliau – KĮ) valdymo patirties vertinimas: 14.1. sisteminama ir analizuojama informacija apie KĮ pobūdį, priežastis ir suvaldymo procesą; 14.2. organizuojamas VTVG posėdis, kurio metu pasidalijama, dokumentuojama ir išsaugoma visa su KĮ susijusi informacija, siekiant stiprinti galimų KĮ prevenciją ateityje. |
VTVG vadovas, VIISP saugos įgaliotinis
|
Per 5 darbo dienas nuo didelės ir vidutinės reikšmės kibernetinio incidento sustabdymo ir pašalinimo |
| Iš KIVT institucijų, kitų juridinių asmenų ar kitų valstybių arba tarptautinių organizacijų ar institucijų, atliekančių kibernetinio saugumo užtikrinimo funkcijas, gavus informacijos apie galimą kibernetinį incidentą VIISP, imamasi veiksmų, reikalingų kibernetiniam incidentui nustatyti ir patvirtinti. Nenustačius kibernetinio incidento požymių, atsakingi asmenys KIVT institucijas apie tai informuoja ne vėliau kaip per keturias valandas nuo pranešimo apie kibernetinį incidentą gavimo. |
||||
| * Apie kibernetinius incidentus NKSC turi būti informuojamas naudojantis Kibernetinio saugumo informaciniu tinklu, o nesant galimybės – NKSC interneto svetainėje nurodytais kontaktais. ** Kibernetinių incidentų kategorijos nurodytos Nacionaliniame kibernetinių incidentų valdymo plane, patvirtintame Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“. |
||||
Valstybės informacinių išteklių
sąveikumo platformos
veiklos tęstinumo valdymo plano
3 priedas
KIBERNETINIŲ INCIDENTŲ GRUPIŲ IR POGRUPIŲ APRAŠYMAS
| Eil. Nr. |
Kibernetinis incidentas |
||
| Grupė |
Pogrupis |
Kategorijos |
|
| 1. |
Nepageidaujami laiškai – nepageidaujamų laiškų, klaidinančios ar žeidžiančios informacijos platinimas (angl. abusive content, spam) |
Ryšio ir (ar) informacinė sistema (toliau – RIS) veikimo ir (ar) teikiamų paslaugų trikdymas – nepageidaujami laiškai ir (ar) klaidinančios, žeidžiančios informacijos platinimas trikdo RIS veiklą ir (ar) teikiamas paslaugas |
N/V/D/P |
| Nepageidaujamų laiškų platinimas – nepageidaujamų laiškų ir (ar) klaidinančios, žeidžiančios informacijos platinimas |
N |
||
| 2. |
Kenkimo programinė įranga (toliau – PĮ) – programinė įranga ar jos dalis, kuri padeda neteisėtai prisijungti prie RIS, ją užvaldyti ir kontroliuoti, sutrikdyti ar pakeisti jos veikimą, sunaikinti, sugadinti, ištrinti ar pakeisti elektroninę informaciją, panaikinti ar apriboti galimybę ja naudotis ir neteisėtai pasisavinti ar kitaip panaudoti neviešą elektroninę informaciją tokios teisės neturintiems asmenims (angl. malicious software / code) |
Moderni kenkimo PĮ – aptikta moderni kenkimo programinė įranga (angl. advanced persistent threat, APT) |
V/D/P |
| Įsibrovėlių aktyvi kontrolė – RIS aktyviai kontroliuojama įsibrovėlių (pavyzdžiui, „galinės durys (angl. back door), kompiuterinės darbo vietos ar tarnybinės stotys tampa „Botinklo“ (angl. Botnet) infrastruktūros dalimi |
V/D/P |
||
| Kenkimo PĮ trikdymas saugumo priemonių veikimui – kenkimo PĮ, trikdanti saugumo priemonių darbą |
V/D/P |
||
| Kenkimo PĮ aptikimas ir (ar) automatinis blokavimas – kenkimo PĮ, kurią aptinka saugumo priemonės per reguliarų patikrinimą ir (ar) kurią saugumo priemonės automatiškai blokuoja |
N/V |
||
| Kenkimo PĮ platinimas soc. inžinerijos būdu – kenkimo PĮ, platinama naudojant socialinės inžinerijos metodus |
N/V/D/P |
||
| 3. |
Informacijos rinkimas – informacijos rinkimas (angl. information gathering), žvalgyba ar kita įtartina veikla (angl. scanning, sniffing), manipuliavimas naudotojų emocijomis, psichologija, pastabumo stoka, pasinaudojimas technologiniu neišmanymu (angl. social engineering), siekiant stebėti ir rinkti informaciją, atrasti silpnąsias vietas, atlikti grėsmę keliančius veiksmus, apgavystės, siekiant įtikinti naudotoją atskleisti informaciją (angl. phishing) arba atlikti norimus veiksmus |
RIS informacijos perėmimas – RIS paketų / informacijos perėmimas |
V/D/P |
| RIS klastojimas – RIS klastojimas, siekiant surinkti prisijungimo ar kitą svarbią informaciją, tiksliniai laiškai, kuriuose, pasinaudojant socialinės inžinerijos principais, siekiama išvilioti prisijungimo ir (ar) kitą svarbią informaciją, priversti atlikti norimus veiksmus (pvz., finansines operacijas) |
V/D/P |
||
| Perimetro žvalgyba – vykdoma perimetro priemonių žvalgyba (nebandant įsilaužti) |
N/V |
||
| Socialinė inžinerija – naudojami socialinės inžinerijos metodai, siekiant išvilioti prisijungimo prie RIS ir (ar) kitą svarbią informaciją |
N/V |
||
| 4. |
Mėginimas įsilaužti – mėginimas įsilaužti (angl. intrusion attempts) arba sutrikdyti RIS veikimą išnaudojant žinomus pažeidžiamumus (angl. exploiting of known vulnerabilities), bandant parinkti slaptažodžius (angl. login attempts), kitą įsilaužimo būdą (angl. new attack signature) |
Nežinomo pažeidžiamumo (-ų) išnaudojimas RIS sutrikdymui – išnaudojamas vienas ar keli nežinomi (angl. zero day) pažeidžiamumai, siekiant tikslingai sutrikdyti konkrečią RIS |
V/D/P |
| Nežinomo pažeidžiamumo (-ų) išnaudojimas nedarant įtakos RIS – išnaudojamas vienas ar keli nežinomi (angl. zero day) pažeidžiamumai |
N/V/D/P |
||
| Vidinė RIS žvalgyba – vidinė RIS žvalgyba ar kita kenkimo veika (prievadų skenavimas, slaptažodžių parinkimas, kenkimo programinės įrangos platinimas ir kita) |
V/D/P |
||
| Žinomų ir (ar) viešų pažeidžiamumų išnaudojimas – išnaudojami žinomi ir viešai publikuoti pažeidžiamumai arba atliekami bandymai prisijungti prie RIS parenkant slaptažodžius |
N/V |
||
| 5. |
Įsilaužimas – sėkmingas įsilaužimas (angl. intrusions) ir (ar) neteisėtas RIS, taikomosios programinės įrangos ar paslaugos naudojimas (angl. privileged account compromise, unprivileged account compromise, application compromise) |
Veiksmai prieš RIS – veiksmai nukreipti prieš RIS ar jos saugumo priemones, informacijos pasisavinimas, naikinimas, RIS ar jos dalies pažeidimas, sutrikdantis RIS teikiamų paslaugų nepertraukiamą teikimą, galintis turėti įtakos tvarkomos informacijos ir teikiamų paslaugų patikimumui, iškreipti turinį ir mažinti RIS naudotojų pasitikėjimą jais |
V/D/P |
| Neteisėtos RIS prieigos gavimas – gaunama neteisėta prieiga prie RIS, taikomosios programinės įrangos ar paslaugos |
V/D/P |
||
| 6. |
Paslaugų trikdymas ir (ar) prieinamumo pažeidimai – paslaugų trikdymas, pažeidimai (angl. availability), veiksmai, kuriais trikdoma RIS veikla ir (ar) paslaugų teikimas (angl. DoS, DDoS), RIS ar jos dalies pažeidimas, sutrikdantis RIS ir (ar) jos paslaugų teikimą (angl. sabotage, outage) |
Teikiamų paslaugų nutraukimas – teikiamų paslaugų nutraukimas arba maksimalaus leistino paslaugos neveikimo laiko viršijimas |
V/D/P |
| Teikiamų paslaugų teikimo trikdymas – teikiamų paslaugų nepertraukiamo teikimo trikdymas, galintis turėti įtakos tvarkomos informacijos ir (ar) teikiamų paslaugų prieinamumui |
N/V |
||
| Paslaugos trikdymo aptikimas nedarant įtakos paslaugos teikimui – aptinkamas paslaugos trikdymas, kuris neturi įtakos paslaugų teikimui |
N/V |
||
| 7. |
Informacijos pažeidimai – informacijos turinio saugumo pažeidimai (angl. information content security), neteisėta prieiga prie informacijos, neteisėtas informacijos keitimas (angl. unauthorised access to information, unauthorised modification of information) |
Neteisėta prieiga prie informacijos, galinti daryti įtaką RIS veikimui ir paslaugų teikimui – neteisėta prieiga prie informacijos, galinti turėti įtakos RIS veiklai ir (ar) teikiamoms paslaugoms |
V/D/P |
| Neteisėta prieiga, daranti įtaką informacijai – neteisėta prieiga prie informacijos, neteisėtas informacijos keitimas |
N/V/D/P |
||
| 8. |
Neteisėti veiksmai ir (ar) sukčiavimas – neteisėta veikla, sukčiavimas (angl. fraud), vagystė, apgavystė, neteisėtas išteklių (angl. unauthorized use of resources), nelegalios programinės įrangos ar autorių teisių (angl. copyright) naudojimas, tapatybės klastojimo, apgavystės ir kiti panašaus pobūdžio incidentai
|
Neteisėta įtaka RIS veikimui ar paslaugų teikimui – neteisėta įtaka RIS veiklai ir (ar) teikiamoms paslaugoms |
N/V/D/P |
| 9. |
Kita – incidentai, kurie neatitinka nė vienos iš nurodytų grupių aprašymų |
Kita |
N/V/D/P |
Trumpiniai:
P – pavojingas kibernetinis incidentas (registruojamas Servicedesk.vitc.lt, pranešama NKSC nedelsiant, bet ne vėliau kaip per 1 val., sprendžia NKSC).
D – didelio poveikio kibernetinis incidentas (registruojamas Servicedesk.vitc.lt, pranešama NKSC per 1 val., sprendžia organizacija).
V – vidutinio poveikio kibernetinis incidentas (registruojamas Servicedesk.vitc.lt, pranešama NKSC per 4 val., sprendžia organizacija).
N – nereikšmingo / žemo poveikio kibernetinis incidentas (registruojamas Servicedesk.vitc.lt, pranešama NKSC kartą per mėn. 1 d. d., sprendžia organizacija).
_______________________________
Valstybės informacinių išteklių
sąveikumo platformos
veiklos tęstinumo valdymo plano
4 priedas
INSTITUCIJŲ, DALYVAUJANČIŲ KIBERNETINIO INCIDENTO VALDYMO VEIKLOJE, KONTAKTINĖ INFORMACIJA
| Institucija |
Kontaktinė informacija (interneto svetainės adresas, el. pašto adresas, tel. numeris) |
Pastabos |
| Nacionalinis kibernetinio saugumo centras (NKSC) |
https://portalas.nksc.lt/ El. p. cert@nksc.lt |
Kibernetinio saugumo informacinis tinklas (KSIT) |
| Valstybinė duomenų apsaugos inspekcija (VDAI) |
El. p. ada@ada.lt Tel.: (8 5) 271 2804, (8 5) 279 1445 Faks. (8 5) 261 9494 |
VDAI Priežiūros skyrius |
| Policija |
https://www.epolicija.lt |
Policijos portalas
|
Valstybės informacinių išteklių
sąveikumo platformos
veiklos tęstinumo valdymo plano
5 priedas
NACIONALINIO KIBERNETINIO SAUGUMO CENTRO INFORMAVIMAS
| INFORMAVIMAS |
INFORMATORIUS |
|
INCIDENTO KATEGORIJA |
|
PATEIKIAMA INFORMACIJA |
||
| Pavojingas incidentas |
Didelio poveikio |
Vidutinio poveikio |
Nereikšm. / žemo poveikio |
Nepavojingas įvykis |
|||
| Pranešimas |
Veiklos tęstinumo valdymo grupės vadovas (toliau – VTVG) / saugos įgaliotinis (toliau – SĮ) |
|
1 val. |
4 val. |
1 kartą per mėn. |
- |
Nacionalinis kibernetinio saugumo centras prie Krašto apsaugos ministerijos (toliau – NKSC) (pranešimas apie incidentą): - kibernetinio incidento grupė; - trumpas kibernetinio incidento apibūdinimas; - tikslus laikas, kada kibernetinis incidentas įvyko ir buvo nustatytas; - kibernetinio incidento kategorija; - kibernetinio incidento šalinimo tvarka (turi būti nurodytas prioritetas). |
| Ataskaita |
SĮ |
|
4 val. |
24 val. |
- |
- |
NKSC (tyrimo ataskaita): - ypatingos svarbos informacinės infrastruktūros, kurioje nustatytas kibernetinis incidentas, tipas (informacinė sistema, elektroninių ryšių tinklas, tarnybinė stotis ir panašiai); - incidento veikimo trukmė; - incidento šaltinis; - incidento požymiai; - incidento veikimo metodas; - galimos incidento pasekmės; - incidento poveikio pasireiškimo ir išplitimo mastas; - incidento būsena (aktyvus, pasyvus); - priemonės, kuriomis incidentas nustatytas; - galimos incidento valdymo priemonės. |
| Suvaldymas |
Veiklos atkūrimo grupės vadovas |
|
4 val. |
4 val. |
- |
- |
NKSC (el. p. cert@nksc.lt arba tel. 1805): - kibernetinio incidento suvaldymo data ir tikslus laikas. |