LIETUVOS RESPUBLIKOS ŽEMĖS ŪKIO MINISTRAS
ĮSAKYMAS
DĖL ŽUVININKYSTĖS TARNYBOS PRIE LIETUVOS RESPUBLIKOS ŽEMĖS ŪKIO MINISTERIJOS SAUGOS POLITIKOS ĮGYVENDINIMO DOKUMENTŲ PATVIRTINIMO
2022 m. kovo 24 d. Nr. 3D-213
Vilnius
Vadovaudamasis Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, 7.2–7.4 papunkčiais ir 8 punktu,
1. Žuvininkystės tarnybos prie Lietuvos Respublikos žemės ūkio ministerijos administruojamų informacinių sistemų ir registrų saugaus elektroninės informacijos tvarkymo taisykles;
2. Žuvininkystės tarnybos prie Lietuvos Respublikos žemės ūkio ministerijos administruojamų informacinių sistemų ir registrų naudotojų administravimo taisykles;
3. Žuvininkystės tarnybos prie Lietuvos Respublikos žemės ūkio ministerijos administruojamų informacinių sistemų ir registrų veiklos tęstinumo valdymo planą.
PATVIRTINTA
Lietuvos Respublikos žemės ūkio ministro
2022 m. kovo 24 d. įsakymu Nr. 3D-213
ŽUVININKYSTĖS TARNYBOS PRIE LIETUVOS RESPUBLIKOS ŽEMĖS ŪKIO MINISTERIJOS ADMINSTRUOJAMŲ INFORMACINIŲ SISTEMŲ IR REGISTRŲ SAUGAUS ELEKTRONINĖS INFORMACIJOS TVARKYMO TAISYKLĖS
I SKYRIUS
BENDROSIOS NUOSTATOS
1. Žuvininkystės tarnybos prie Lietuvos Respublikos žemės ūkio ministerijos (toliau – Žuvininkystės tarnyba) administruojamų informacinių sistemų ir registrų saugaus elektroninės informacijos tvarkymo taisyklės (toliau – Tvarkymo taisyklės) reglamentuoja tvarką, užtikrinančią saugų Žuvininkystės tarnybos administruojamų informacinių sistemų ir registrų (toliau – IS / registrai) techninės, programinės įrangos funkcionavimą, saugų IS / registrų elektroninės informacijos tvarkymą ir jos teikimą duomenų gavėjams laikantis teisės aktų reikalavimų.
2. Tvarkymo taisyklės parengtos vadovaujantis Lietuvos Respublikos kibernetinio saugumo įstatymu, Lietuvos Respublikos valstybės informacinių išteklių įstatymu, Bendrųjų elektroninės informacijos saugos reikalavimų aprašu ir Saugos dokumentų turinio gairių aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“, Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų aprašą, patvirtintą Lietuvos Respublikos krašto apsaugos ministro 2020 m. gruodžio 4 d. įsakymu Nr. V-941 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų aprašo ir Informacinių technologijų saugos atitikties vertinimo metodikos patvirtinimo“.
3. Tvarkymo taisyklėse vartojamos sąvokos:
3.2. IS /registrų tvarkytoja – Žuvininkystės tarnyba prie Lietuvos Respublikos žemės ūkio ministerijos.
3.3. IS / registrų administratorius – IS / registrų tvarkytojos paskirtas asmuo, prižiūrintis IS / registrus, užtikrinantis jų veikimą.
3.4. IS / registrų saugos įgaliotinis – ŽDIS tvarkytojos direktoriaus paskirtas asmuo, koordinuojantis ir prižiūrintis elektroninės informacijos saugą, atsakingas už kibernetinio saugumo organizavimą ir užtikrinimą.
3.5. IS / registrų naudotojas – asmuo, informacinių sistemų veiklą reglamentuojančių teisės aktų nustatyta tvarka pagal kompetenciją naudojantis ir (ar) tvarkantis IS / registrų elektroninę informaciją.
3.6. IS / registrų paslaugų gavėjai – fiziniai ir juridiniai asmenys, naudojantys IS / registrų duomenis.
4. Tvarkymo taisyklės privalomos IS / registrų naudotojams, IS / registrų administratoriui, IS / registrų saugos įgaliotiniui.
II SKYRIUS
TECHNINIŲ IR KITŲ SAUGOS PRIEMONIŲ APRAŠymAS
6. Saugiam IS / registrų tvarkymui užtikrinti naudojamos kompiuterinės įrangos, programinės įrangos, duomenų perdavimo tinklai, fizinės, techninės ir organizacinės duomenų bei informacijos saugumo priemonės.
7. IS / registrų naudojamos saugos priemonės:
7.1. turi atitikti Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašo reikalavimus bei Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimus;
7.2. jungiantis prie administravimo skydų netiesiogiai (per internetą) naudojamas VPN, kad būtų apsisaugoma nuo nesankcionuoto prisijungimo iš išorės;
7.3. privilegijuotų vartotojų (IT administratorių, išorinės organizacijos atstovų, teikiančių IT sistemų ar programinės įrangos priežiūros ar diegimo darbus, duomenų analitikų, programuotojų ir kt.) prieiga valdoma naudojant privilegijuotų vartotojų valdymo sistemą (angl. Privileged Access Management (PAM));
8. Kompiuterinės įrangos saugos priemonės:
9. IS / registrų sisteminės ir taikomosios programinės įrangos (toliau – programinė įranga) saugos priemonės:
9.2. programinės įrangos diegimą atlieka tik asmenys, turintys teisę atlikti programinės įrangos diegimą;
9.4. naudojamos autorizuotos programinės įrangos sąrašo rengimas ir reguliarus atnaujinimas, už kurį atsakinga IS / registrų tvarkytoja;
9.5. ne rečiau kaip kartą per ketvirtį įvertinami kibernetiniam saugumui užtikrinti naudojamų priemonių programiniai atnaujinimai, klaidų taisymai ir šie atnaujinimai diegiami;
9.6. prieigos teisė dirbti su IS / registrų programine įranga suteikiama IS / registrų naudotojams IS / registrų naudotojų administravimo taisyklėse nustatyta tvarka;
9.7. IS / registrų naudotojų tapatybei, IS / registrų naudotojų veiksmams, atliekamiems IS / registruose, nustatyti taikomos programinės priemonės;
10. Elektroninės informacijos perdavimo tinklais saugumo užtikrinimo priemonės:
10.1. IS / registrų naudotojai ir IS / registrų paslaugų gavėjai internetu jungiasi prie užkarda (angl. firewall) apsaugotų virtualių tarnybinių stočių, kuriose yra IS / registrų sistemos, naudodami unikalius atpažinties prisijungimo duomenis;
10.2. IS / registrų duomenų perdavimo tinklas turi būti atskirtas nuo viešųjų ryšių tinklų užkarda. Užkardos įvykių žurnalai (angl. Logs) turi būti reguliariai analizuojami, o užkardos saugumo taisyklės periodiškai peržiūrimos ir atnaujinamos;
10.3. viešaisiais ryšių tinklais perduodamos elektroninės informacijos konfidencialumas turi būti užtikrintas, naudojant šifravimą;
10.4. nuotolinis prisijungimas prie IS / registrų turi būti vykdomas taikant protokolą, skirtą duomenims šifruoti;
10.5. IS / registrų duomenų perdavimo tinkle turi būti įdiegtos ir veikti automatinės įsilaužimo (įsibrovimo) aptikimo ir prevencijos priemonės:
10.5.1. turi būti įdiegtos ir veikti automatizuotos įsibrovimo aptikimo sistemos, kurios stebėtų IS / registrų įeinantį ir išeinantį duomenų srautą ir vidinį srautą tarp svarbiausių tinklo paslaugų;
10.5.2. įvykus įtartinai veiklai, ji turi būti užfiksuojama audito įrašuose ir automatizuotai kuriamas pranešimas (esant techninėms galimybėms) IS / registrų administratoriui;
10.5.4. įsilaužimo atakų pėdsakai (angl. attack signature) turi būti gaunami iš aktualią informaciją teikiančių šaltinių – patikimų saugos programinės įrangos gamintojų. Įsilaužimo atakų pėdsakai turi būti atnaujinami ne vėliau kaip per 24 valandas nuo saugos programinės įrangos gamintojo naujausių įsilaužimo atakų pėdsakų pateikimo valandos arba ne vėliau kaip per 72 valandas nuo naujausių įsilaužimo atakų pėdsakų pateikimo valandos, jeigu IS / registrų valdytojo sprendimu atliekamas įsilaužimo atakų pėdsakų įdiegimo ir galimo jų poveikio IS / registro veiklai vertinimas (testavimas);
10.5.5. įsilaužimo aptikimo techninio sprendinio įgyvendinimas, konfigūracija ir kibernetinių incidentų aptikimo algoritmai (taisyklės) (kartu nurodant datas (įgyvendinimo, atnaujinimo ir panašiai), atsakingus asmenis, taikymo periodus ir pan.) turi būti saugomi elektronine forma atskirai nuo IS / registrų techninės įrangos;
10.6. papildomos elektroninės informacijos perdavimo belaidžiais tinklais saugumo ir kontrolės užtikrinimo priemonės:
10.6.1. belaidės prieigos taškai gali būti diegiami tik atskirame potinklyje, IS / registrų tvarkytojos kontroliuojamoje zonoje;
10.6.2. prisijungiant prie belaidžio tinklo, turi būti taikomas naudotojų tapatumo patvirtinimo EAP (angl. Extensible Authentication Protocol) arba TLS (angl. Transport Layer Security) protokolas;
10.6.3. draudžiama belaidėje sąsajoje naudoti SNMP (angl. Simple Network Management Protocol) protokolą bei visus kitus nebūtinus valdymo protokolus;
11. Patalpų, kuriose yra IS / registrų tarnybinės stotys (toliau – patalpos) ir aplinkos saugumo užtikrinimo priemonės:
11.1. turi būti užtikrinamas išorės poveikio šaltinių – transporto priemonių keliamos vibracijos, eismo įvykių, radijo stočių, specialiųjų gamyklų, kitų išorės šaltinių minimalus poveikis patalpoms ir jose esančiai techninei ir programinei įrangai;
11.2. patalpos turi atitikti gaisrinės saugos reikalavimus, jose turi būti pirminių gaisro gesinimo priemonių, kurios turi būti reguliariai tikrinamos;
11.3. patalpose turi būti įrengti gaisro ir įsilaužimo davikliai, prijungti prie pastato signalizacijos ir apsaugos tarnybos stebėjimo pulto;
11.5. patekimas į patalpas yra griežtai reglamentuojamas ir patvirtintas vidaus tvarkos taisyklėmis;
11.6. IS / registrų tarnybinių stočių techninė įranga apsaugoma nuo elektros srovės svyravimų. Naudojami specialūs maitinimo šaltiniai, nenutrūkstamo maitinimo šaltinis su automatine apsauga nuo įtampos svyravimų;
12. IS / registrų darbo apskaitos ir kitos elektroninės informacijos saugos priemonės:
12.1. programiniu būdu registruojami IS/ registrų naudotojų, IS / registrų paslaugų gavėjų veiksmai su IS / registrų duomenimis;
III SKYRIUS
SAUGUS ELEKTRONINĖS INFORMACIJOS TVARKYMAS
13. Saugaus elektroninės informacijos keitimo, atnaujinimo, įvedimo ir naikinimo tvarka:
14. IS / registrų naudotojų, IS / registrų paslaugų gavėjų veiksmų registravimo tvarka:
14.1. IS / registrų naudotojų, IS / registrų paslaugų gavėjų tapatybė ir veiksmai su IS / registrų duomenimis turi būti įrašomi automatiniu būdu IS / registrų duomenų bazės veiksmų žurnale, apsaugotame nuo neteisėto jame esančių duomenų ir informacijos panaudojimo, pakeitimo, iškraipymo ar sunaikinimo;
15. Prarasti, iškraipyti ar sunaikinti IS / registrų duomenys turi būti atkuriami iš atsarginių IS / registrų duomenų kopijų., kurios turi būti šifruojamos arba naudojamos kitokios priemonės, užtikrinančios kopijų konfidencialumą. Atsarginės IS / registrų duomenų kopijos daromos ir saugomos, o IS / registrų duomenys atkuriami iš atsarginių IS / registrų duomenų kopijų tokia tvarka:
15.1. už atsarginių IS / registrų duomenų kopijų darymą, elektroninės informacijos atkūrimą ir atsarginių IS / registrų duomenų kopijų apsaugą yra atsakingas IS / registrų administratorius, kurio funkcijos aprašytos IS / registrų naudotojų administravimo taisyklėse ir kituose teisės aktuose, reglamentuojančiuose IS / registrų veiklą;
15.2. elektroninė informacija turi būti kopijuojama ir saugoma tokia apimtimi, kad IS / registrų duomenų praradimo atveju visišką IS / registrų funkcionalumą ir veiklą būtų galima atstatyti per 24 valandas darbo dienomis;
15.3. IS / registrų archyvinės duomenų kopijos į rezervinio kopijavimo biblioteką turi būti daromos vieną kartą per 24 valandas;
16. IS / registrų duomenų atkūrimo bandymai turi būti vykdomi kuo mažiau trikdant IS / registrų veiklą ir prieš tai visus IS / registrų naudotojus informavus elektroniniu paštu apie planuojamus vykdyti bandymus.
17. IS / registrų duomenų perkėlimo ir teikimo kitoms informacinėms sistemoms, duomenų gavimo iš jų tvarka:
17.1. už IS / registrų naudotojų, IS / registrų paslaugų gavėjų administravimą ir iš susijusių registrų ir kitų informacinių sistemų teikiamų duomenų atnaujinimą IS / registrų yra atsakingas įgaliotas IS / registrų naudotojas;
17.2. duomenų mainai tarp IS / registrų ir susijusių registrų ir kitų informacinių sistemų turi būti vykdomi sudarytose duomenų teikimo sutartyse numatytais būdais, terminais ir numatytos apimties arba pagal galiojančius Europos Sąjungos reikalavimus žuvininkystės srities duomenų mainams, kaip tai nustatyta 2009 m. lapkričio 20 d. Tarybos reglamente (EB) Nr. 1224/2009, nustatančiame Sąjungos kontrolės sistemą, kuria užtikrinamas bendrosios žuvininkystės politikos taisyklių laikymasis, iš dalies keičiančiame reglamentus (EB) Nr. 847/96, (EB) Nr. 2371/2002, (EB) Nr. 811/2004, (EB) Nr. 768/2005, (EB) Nr. 2115/2005, (EB) Nr. 2166/2005, (EB) Nr. 388/2006, (EB) Nr. 509/2007, (EB) Nr. 676/2007, (EB) Nr. 1098/2007, (EB) Nr. 1300/2008, (EB) Nr. 1342/2008 ir panaikinančiame reglamentus (EEB) Nr. 2847/93, (EB) Nr. 1627/94 ir (EB) Nr. 1966/2006, 2011 m. balandžio 8 d. Komisijos įgyvendinimo reglamento (ES) Nr. 404/2011, kuriuo nustatomos išsamios Tarybos reglamento (EB) Nr. 1224/2009, nustatančio Bendrijos kontrolės sistemą, kuria užtikrinimas bendrosios žuvininkystės politikos taisyklių laikymasis, įgyvendinimo taisyklėmis ir 2017 m. vasario 6 d. Komisijos įgyvendinimo reglamentu (ES) Nr. 218/2017 dėl Sąjungos žvejybos laivyno registro;
18. Duomenų neteisėto kopijavimo, keitimo, naikinimo ar perdavimo (toliau – neteisėti veiksmai) nustatymo tvarka:
18.1. IS / registrų administratorius, užtikrindamas IS / registrų duomenų vientisumą, privalo naudoti visas įmanomas fizines, programines ir organizacines priemones, skirtas IS / registrų ir joje tvarkomiems duomenims apsaugoti nuo neteisėtų veiksmų;
18.2. IS / registrų administratorius, įtaręs, kad su IS / registrų duomenimis vykdomi neteisėti veiksmai, privalo apie tai pranešti IS / registrų saugos įgaliotiniui;
18.3. IS / registrų saugos įgaliotinis, gavęs IS / registrų administratoriaus pranešimą apie įvykdytus ar vykdomus neteisėtus veiksmus su IS / registrais arba su IS / registrų tvarkoma elektronine informacija, inicijuoja elektroninės informacijos saugos (kibernetinio) incidento valdymo procedūras, nustatytas Žuvininkystės tarnybos prie Lietuvos Respublikos žemės ūkio ministerijos administruojamų informacinių sistemų ir registrų veiklos tęstinumo valdymo plane.
19. IS / registrų programinės ir techninės įrangos keitimo ir atnaujinimo tvarka ir IS / registrų funkcijų pokyčių (toliau – IS / registrų pokyčiai) valdymo tvarka:
19.1. IS / registrų programinės ir techninės įrangos keitimo ir atnaujinimo tvarką ar IS / registrų pokyčius derina IS / registrų tvarkytoja, įsigydama atitinkamas paslaugas iš atitinkamų paslaugų teikėjų;
19.2. prieš atliekant IS / registrų keitimus ir atnaujinimus, numatomos IS / registrų veiklos atkūrimo procedūros nesėkmingų IS / registrų pokyčių atlikimo atvejais;
19.3. planuodamas IS / registrų pokyčius, kurių metu galimi ilgesni kaip 4 val. IS / registrų veikimo sutrikimai, IS / registrų administratorius privalo ne vėliau kaip prieš 1 darbo dieną iki IS / registrų pokyčių vykdymo pradžios IS / registruose, informuoti IS / registrų naudotojus ir paslaugų gavėjus apie tokių darbų pradžią ir galimus IS / registrų veikimo sutrikimus.
20. Nešiojamųjų kompiuterių ir kitų mobiliųjų įrenginių (toliau – mobilieji įrenginiai), naudojamų IS / registrų naudotojų tarnybinėms ar darbo funkcijoms vykdyti, naudojimo tvarka:
20.1. išnešti iš IS / registrų tvarkytojos patalpų mobilieji įrenginiai negali būti palikti be priežiūros viešose vietose ir turi būti saugomi disponavimo jais metu;
20.3. turi būti užtikrinta kompiuterinių laikmenų apsauga, t. y. esant techninėms galimybėms turi būti šifruojami duomenys tiek mobiliųjų įrenginių laikmenose, tiek išorinėse kompiuterinėse laikmenose. Draudžiama saugoti neužšifruotose mobiliųjų įrenginių laikmenose konfidencialią ir (arba) asmens duomenų informaciją;
IV SKYRIUS
IS / REGISTRAMS FUNKCIONUOTI REIKALINGOMS PASLAUGOMS IR JŲ TEIKĖJAMS KELIAMI REIKALAVIMAI
21. IS / registrų tvarkytoja, pirkdama paslaugas, darbus ar įrangą, susijusius su IS / registrų, jų projektavimu, kūrimu, diegimu, modernizavimu ir kibernetinio saugumo užtikrinimu, iš anksto pirkimo dokumentuose turi nustatyti, kad paslaugų teikėjas, darbų atlikėjas ar įrangos tiekėjas užtikrina atitiktį Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų ypatingos svarbos informacinei infrastruktūrai ir valstybės informaciniams ištekliams, apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2016 m. balandžio 20 d. nutarimu Nr. 387 „Dėl Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų ypatingos svarbos informacinei infrastruktūrai ir valstybės informaciniams ištekliams, aprašo patvirtinimo“, nustatytiems organizaciniams ir techniniams kibernetinio saugumo reikalavimams.
22. Paslaugų teikėjų prieigos prie IS / registrų lygiai ir sąlygos:
22.1. IS / registrų administratorius suteikia prieigos prie IS / registrų duomenų teisę (peržiūrėti IS / registrų duomenis, atlikti užklausas IS / registruose vykdyti veiksmus su IS / registrų duomenimis ir kt.), fizinę prieigą prie IS / registrų techninės ir programinės įrangos paslaugų teikėjo darbuotojui paslaugų teikimo sutartyje ir kituose susijusiuose dokumentuose nustatytomis sąlygomis ir tvarka paslaugų teikėjo funkcijoms atlikti;
22.2. Paslaugų teikėjas privalo būti susipažinęs su IS / registrų saugos politiką įgyvendinančiais dokumentais ir vykdyti juose numatytus reikalavimus;
22.3. pasibaigus paslaugų teikimo sutarties galiojimui ar šią sutartį nutraukus, IS / registrų administratorius nedelsdamas, bet ne vėliau kaip kitą darbo dieną, panaikina paslaugų teikėjo darbuotojų ar kitų įgaliotų asmenų prieigos prie IS / registrų duomenų teisę ir apie tai jį informuoja. Prieiga paslaugų teikėjo darbuotojui ar įgaliotam asmeniui suteikiama pakartotinai tais atvejais, kai paslaugų teikimo garantiniu laikotarpiu, numatytu paslaugų pirkimo sutartyje, yra būtina ištaisyti aptiktus IS / registrų neatitikimus ir klaidas.
23. Reikalavimai IS / registrų tarnybinių stočių patalpų, IS / registrų programinės įrangos, IS / registrų priežiūrai ir kitoms paslaugoms:
23.1. reikalavimai paslaugų teikėjams ir jų teikiamoms IS / registrų priežiūros paslaugoms nustatomi šių paslaugų teikimo sutartyse;
23.2. paslaugų teikimo sutartyje turi būti nurodoma, kad paslaugų teikėjas kuria ar modifikuoja IS / registrų programinę įrangą, naudodamas:
23.2.1. įgyvendintas elektroninės informacijos saugos priemones, apsaugančias nuo neteisėto poveikio sisteminei, programinei įrangai ir patalpoms;
23.2.2. IS / registrų testinės duomenų bazės duomenis (IS / registrų programinei įrangai modifikuoti);
23.3. IS / registrų veiklą palaikančių sistemų (elektros energijos, šildymo, vėdinimo ir oro kondicionavimo bei kitų sistemų) kokybė, atsižvelgiant į šių sistemų veiklai keliamus reikalavimus, turi būti reguliariai tikrinama, siekiant tinkamo paslaugų teikimo ir galimo šių paslaugų teikimo sutrikimo bei avarijos pasekmių sumažinimo.
V SKYRIUS
BAIGIAMOSIOS NUOSTATOS
24. IS / registrų sauga turi būti vertinama kasmet IS / registrų rizikos vertinimo ir (arba) informacinių technologijų saugos atitikties vertinimo metu, kurį atlieka IS / registrų saugos įgaliotinis.
PATVIRTINTA
Lietuvos Respublikos žemės ūkio ministro
2022 m. kovo 24 d. įsakymu Nr. 3D-213
ŽUVININKYSTĖS tarnybos prie LIETUVOS RESPUBLIKOS žemės ūkio ministerijos administruojamų informacinių sistemų ir regIStrų NAUDOTOJŲ ADMINISTRAVIMO TAISYKLĖS
I SKYRIUS
BENDROSIOS NUOSTATOS
1. Žuvininkystės tarnybos prie Lietuvos Respublikos žemės ūkio ministerijos (toliau – Žuvininkystės tarnyba) administruojamų informacinių sistemų ir registrų naudotojų administravimo taisyklės (toliau – Administravimo taisyklės) nustato Žuvininkystės tarnybos administruojamų informacinių sistemų ir registrų (toliau – IS / registrai) naudotojų ir IS / registrų administratoriaus įgaliojimus, teises ir pareigas bei saugaus duomenų ir informacijos teikimo IS / registrų paslaugų gavėjams kontrolės tvarką.
2. Administravimo taisyklės parengtos vadovaujantis Lietuvos Respublikos kibernetinio saugumo įstatymu, Lietuvos Respublikos valstybės informacinių išteklių įstatymu, Bendrųjų elektroninės informacijos saugos reikalavimų aprašu ir Saugos dokumentų turinio gairių aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“, Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų aprašu, patvirtintu Lietuvos Respublikos krašto apsaugos ministro 2020 m. gruodžio 4 d. įsakymu Nr. V-941 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų aprašo ir Informacinių technologijų saugos atitikties vertinimo metodikos patvirtinimo“.
3. Administravimo taisyklėse vartojamos sąvokos:
3.3. IS / registrų administratorius – IS / registrų tvarkytojos direktoriaus įsakymu paskirtas asmuo, prižiūrintis IS / registrus, užtikrinantis jų veikimą ir IS / registrų elektroninės informacijos saugą.
3.4. IS / registrų saugos įgaliotinis – IS / registrų tvarkytojos direktoriaus paskirtas asmuo, koordinuojantis ir prižiūrintis IS / registrų saugos politikos įgyvendinimą, atsakingas už kibernetinio saugumo organizavimą ir užtikrinimą.
3.5. IS / registrų naudotojas – asmuo, informacinių sistemų veiklą reglamentuojančių teisės aktų nustatyta tvarka pagal kompetenciją naudojantis ir (ar) tvarkantis IS / registrų elektroninę informaciją.
3.6. IS / registrų paslaugų gavėjai – fiziniai asmenys ir juridinių asmenų atstovai, naudojantys IS / registrų duomenis.
4. Administravimo taisyklės taikomos visiems IS / registrų naudotojams, IS / registrų administratoriui, IS / registrų saugos įgaliotiniui, kurių prieigos prie IS / registrų duomenų teisės paremtos IS / registrų duomenų saugumo, stabilumo, operatyvumo principais.
5. IS / registrų naudotojams prieiga prie IS / registrų duomenų suteikiama vadovaujantis šiais principais:
5.1. IS / registrų naudotojams prieiga turi būti suteikiama tik prie tų IS / registrų duomenų ir tik tokia apimtimi, kuri reikalinga IS / registrų naudotojo funkcijoms atlikti;
5.2. IS / registrų duomenis gali keisti (sukurti, papildyti ar panaikinti) tik tokią teisę turintys IS / registrų naudotojai;
II SKYRIUS
IS / REGISTRŲ NAUDOTOJŲ ir IS / REGISTRŲ administratoriAUS
įgaliojimai, TEISĖS IR PAREIGOS
6. IS / registrų naudotojai turi teisę:
6.1. naudotis tik tomis IS / registrų funkcijomis bei IS / registrų duomenimis, prie kurių prieigą jiems suteikė IS / registrų administratorius;
6.2. gauti informaciją apie jų naudojamų IS / registrų duomenų apsaugos lygį bei taikomas apsaugos priemones, teikti siūlymus dėl papildomų apsaugos priemonių;
6.3. kreiptis į IS / registrų administratorių ar IS / registrų saugos įgaliotinį dėl neveikiančių ar netinkamai veikiančių IS / registrų;
7. IS / registrų naudotojai privalo:
7.2. nedelsiant pranešti IS / registrų administratoriui apie IS / registrų saugos politiką įgyvendinančių teisės aktų pažeidimus, veiksmus, turinčius nusikalstamos veikos požymių, neveikiančias arba netinkamai veikiančias duomenų ir informacijos saugos užtikrinimo priemones;
7.3. užtikrinti jų naudojamų IS / registrų duomenų konfidencialumą bei vientisumą, savo veiksmais netrikdyti IS / registrų duomenų prieinamumo;
7.4. baigus darbą ar pasitraukiant iš darbo vietos, imtis priemonių, kad su IS / registrų duomenimis negalėtų susipažinti pašaliniai asmenys: atsijungti nuo IS / registrų, įjungti ekrano užsklandą su slaptažodžiu, dokumentus ar jų kopijas darbo vietoje padėti į pašaliniams asmenims neprieinamą vietą;
7.5. susipažinti ir laikytis Žemės ūkio ir maisto produktų rinkos informacinės sistemos nuostatų, Žuvininkystės tarnybos prie Lietuvos Respublikos žemės ūkio ministerijos administruojamų informacinių sistemų ir registrų saugaus elektroninės informacijos tvarkymo taisyklių, Žuvininkystės tarnybos prie Lietuvos Respublikos žemės ūkio ministerijos administruojamų informacinių sistemų ir registrų veiklos tęstinumo valdymo plano ir šių Administravimo taisyklių reikalavimų;
8. IS / registrų naudotojui draudžiama:
8.1. leisti prisijungti prie IS / registrų ne IS / registrų naudotojui ar kitais nei Administravimo taisyklėse nurodytais būdais;
9. IS / registrų administratorius turi teisę:
10. IS / registrų tvarkytoja privalo:
10.5. konsultuoti IS / registrų naudotojus dėl IS / registrų veikimo ir kitais su IS / registrais susijusiais klausimais;
10.6. pagal kompetenciją užtikrinti nepertraukiamą IS / registrų techninės ir sisteminės programinės įrangos veikimą;
10.7. atlikti IS / registrų rizikos veiksnių įvertinimą, rengti IS / registrų rizikos veiksnių įvertinimo ataskaitą ir rizikos veiksnių įvertinimo ir rizikos veiksnių valdymo priemonių planą;
11. IS / registrų administratoriui draudžiama suteikti ne IS / registrų naudotojams prieigos teises prie IS / registrų duomenų, išskyrus viešo turinio informaciją.
12. IS / registrų administratoriaus slaptažodis, kuriuo jungiamasi prie IS/ registrų, turi atitikti specialiuosius reikalavimus (t. y. slaptažodžio ilgis, naudojami simboliai).
13. IS / registrų administratoriaus, IS / registrų saugos įgaliotinio funkcijos reglamentuotos IS / registrų saugos politiką įgyvendinančiuose dokumentuose.
III SKYRIUS
SAUGAUS elektroninės informacijos TEIKIMO IS / REGISTRŲ NAUDOTOJAMS KONTROLĖS TVARKA
15. IS / registrų tvarkytoja yra atsakinga už IS / registrų naudotojų registravimą, išregistravimą, prieigos prie IS / registrų teisių suteikimą ir panaikinimą.
16. IS / registrų naudotojams registruojantis IS / registruose, suteikiamas unikalus prisijungimo prie IS / registrų vardas ir galimybė pasirinkti slaptažodį.
17. Slaptažodžiai negali būti saugomi ar perduodami atviru tekstu. IS / registrų saugos įgaliotinio sprendimu tik laikinas slaptažodis gali būti perduodamas atviru tekstu, tačiau atskirai nuo prisijungimo vardo ir tik tuo atveju, nėra techninių galimybių IS / registrų naudotojui perduoti slaptažodžio šifruotu kanalu ar saugiu elektroninių ryšių tinklu.
18. IS / registrų naudotojai, kuriems suteikta teisė prisijungti prie IS / registrų tarnybinių stočių, prisijungti gali tik su IS / registrų administratoriaus suteiktais unikaliais vardais ir slaptažodžiais.
19. Slaptažodį IS / registrų naudotojai, prisijungę prie IS / registrų, turi teisę pasikeisti savarankiškai.
20. IS / registrų naudotojo slaptažodžiui yra keliami šie reikalavimai:
20.2. slaptažodis turi atitikti specialiuosius reikalavimus (slaptažodžio ilgis, naudojami simboliai), apie kuriuos informuoja IS / registrų administratorius;
20.4. IS / registrų naudotojas, pirmą kartą gavęs IS / registrų administratoriaus suteiktą vardą ir slaptažodį, turi prisijungti prie IS / registrų ir nedelsdamas slaptažodį pakeisti;
21. Laikotarpiu, kai IS / registrų naudotojas nevykdo funkcijų, susijusiu su darbu IS / registruose, teisė dirbti su atitinkama elektronine informacija jam yra sustabdoma.
IV SKYRIUS
BAIGIAMOSIOS NUOSTATOS
PATVIRTINTA
Lietuvos Respublikos žemės ūkio ministro
2022 m. kovo 24 d. įsakymu Nr. 3D-213
ŽUVININKYSTĖS TARNYBOS PRIE LIETUVOS RESPUBLIKOS ŽEMĖS ŪKIO MINISTERIJOS Administruojamų informacinių sistemų ir registrų
VEIKLOS TĘSTINUMO VALDYMO PLANAS
I SKYRIUS
BENDROSIOS NUOSTATOS
1. Žuvininkystės tarnybos prie Lietuvos Respublikos žemės ūkio ministerijos (toliau – Žuvininkystės tarnyba) administruojamų informacinių sistemų ir registrų (toliau – IS / registrų) valdymo plano (toliau – Valdymo planas) tikslas – nustatyti IS / registrų administratoriaus, IS / registrų saugos įgaliotinio ir kitų asmenų veiksmus, esant elektroninės informacijos saugos (kibernetiniam) incidentui, kurio metu iškyla pavojus IS / registrų duomenims, tinkamam IS / registrų techninės ir programinės įrangos funkcionavimui.
2. Valdymo planas parengtas vadovaujantis Lietuvos Respublikos kibernetinio saugumo įstatymu, Lietuvos Respublikos valstybės informacinių išteklių įstatymu, Bendrųjų elektroninės informacijos saugos reikalavimų aprašu ir Saugos dokumentų turinio gairių aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“, Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų aprašu, patvirtintu Lietuvos Respublikos krašto apsaugos ministro 2020 m. gruodžio 4 d. įsakymu Nr. V-941 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų aprašo ir Informacinių technologijų saugos atitikties vertinimo metodikos patvirtinimo“.
3. Valdymo plane vartojamos sąvokos:
3.1. Elektroninės informacijos saugos (kibernetinis) incidentas – įvykis ar veiksmas, kuris gali sudaryti neteisėto prisijungimo prie IS / registrų galimybę, sutrikdyti ar pakeisti IS / registrų veiklą, sunaikinti ar pakeisti IS / registrų duomenis, panaikinti ar apriboti galimybę naudotis IS / registrų duomenimis, sudaryti sąlygas neteisėtai panaudoti ar pasisavinti IS / registrų duomenis.
3.3. IS / registrų administratorius – IS / registrų tvarkytojos direktoriaus paskirtas asmuo, prižiūrintis IS / registrų, užtikrinantis IS / registrų veikimą ir IS / registrų elektroninės informacijos saugą.
3.4. IS / registrų saugos įgaliotinis – IS / registrų tvarkytojos direktoriaus paskirtas asmuo, koordinuojantis ir prižiūrintis IS / registrų saugos politikos įgyvendinimą, atsakingas už kibernetinio saugumo organizavimą ir užtikrinimą.
3.5. IS / registrų naudotojas – asmuo, informacinių sistemų veiklą reglamentuojančių teisės aktų nustatyta tvarka pagal kompetenciją naudojantis ir (ar) tvarkantis IS / registrų elektroninę informaciją.
3.6. IS / registrų paslaugų gavėjai – fiziniai asmenys ir juridinių asmenų atstovai, naudojantys IS / registrų duomenis.
4. Valdymo plano reikalavimai privalomi IS / registrų valdytojai, IS / registrų tvarkytojai, IS / registrų saugos įgaliotiniui, IS / registrų administratoriui, visiems IS / registrų naudotojams, naudojantiems IS / registrų įrangą tarnybos ir darbo funkcijoms atlikti.
5. Valdymo planas įsigalioja ir turi būti įgyvendinamas įvykus elektroninės informacijos saugos (kibernetiniam) incidentui, kurio metu gali kilti pavojus IS / registrų duomenims, IS / registrų techninės ir/ar programinės įrangos funkcionavimui.
6. IS / registrų saugos įgaliotinio ir IS / registrų administratoriaus veiksmai, įvykus elektroninės informacijos saugos (kibernetiniam) incidentui, yra nurodyti IS / registrų veiklos atkūrimo detaliajame plane (1 priedas).
7. Elektroninės informacijos saugos (kibernetinio) incidento metu patirti nuostoliai gali būti padengiami iš valstybės biudžeto ir kitų finansavimo šaltinių.
8. Kriterijai, pagal kuriuos nustatoma, kad IS / registrų veikla atkurta:
II SKYRIUS
ORGANIZACINĖS NUOSTATOS
10. IS / registrų tvarkytoja, įvykus elektroninės informacijos saugos (kibernetiniam) incidentui, atlieka šias funkcijas:
10.1. užtikrina IS / registrų elektroninės informacijos saugos (kibernetinio) incidento valdymą ir tyrimą; registruoja įvykusius saugos incidentus ir nedelsdama į juos reaguoja, organizacinėmis, techninėmis ir programinėmis priemonėmis saugos incidentus valdo, tiria ir šalina;
10.2. informuoja Nacionalinį kibernetinio saugumo centrą apie IS / registruose įvykusius kibernetinius saugos incidentus, nurodytus organizaciniuose ir techniniuose kibernetinio saugumo reikalavimuose, ir taikytas kibernetinių saugos incidentų valdymo priemones Kibernetinių incidentų valdymo ir Nacionalinio kibernetinio saugumo centro informavimo tvarkos apraše (4 priedas) numatyta tvarka;
11. Elektroninės informacijos saugos (kibernetiniams) incidentams valdyti bei veiklos atkūrimui organizuoti IS / registrų tvarkytojos direktoriaus įsakymu sudaroma: IS / registrų veiklos tęstinumo valdymo ir IS / registrų veiklos atkūrimo grupė (toliau – Valdymo ir veiklos atkūrimo grupė).
12. Valdymo ir veiklos atkūrimo grupės tikslas – pagal IS / registrų saugos įgaliotinio gautą tarnybinį pranešimą apie elektroninės informacijos saugos (kibernetinį) incidentą tirti elektroninės informacijos saugos (kibernetinius) incidentus, ieškoti priemonių ir būdų sukeltiems padariniams bei žalai likviduoti, užtikrinti IS / registrų veiklos tęstinumą.
13. Valdymo ir veiklos atkūrimo grupės sudėtis:
14. Valdymo ir veiklos atkūrimo grupės funkcijos:
14.1. elektroninės informacijos saugos (kibernetinių) incidentų analizė ir sprendimų IS / registrų veiklos tęstinumo valdymo klausimais priėmimas;
14.5. finansinių ir kitų išteklių, reikalingų IS / registrų veiklai atkurti, įvykus elektroninės informacijos saugos (kibernetiniam) incidentui, naudojimo kontrolė;
14.6. IS / registrų fizinių duomenų saugos užtikrinimo kontrolė, įvykus elektroninės informacijos saugos (kibernetiniam) incidentui;
15. Įvykus elektroninės informacijos saugos (kibernetiniam) incidentui:
15.1. IS / registrų naudotojai ir IS / registrų paslaugų gavėjai privalo nedelsdami žodžiu ar raštu pranešti IS / registrų administratoriui apie elektroninės informacijos saugos (kibernetinį) incidentą. IS / registrų naudotojai ir IS / registrų paslaugų gavėjai neturi teisės imtis kitų su incidentu susijusių veiksmų;
15.2. IS / registrų administratorius, gavęs pranešimą apie elektroninės informacijos saugos (kibernetinį) incidentą, nedelsdamas turi imtis veiksmų, reikalingų elektroninės informacijos saugos (kibernetiniam) incidentui stabdyti. Apie elektroninės informacijos saugos (kibernetinį) incidentą IS / registrų administratorius, įvertinęs incidento reikšmingumą, raštu pagal kompetenciją informuoja IS / registrų saugos įgaliotinį. Įvykis aprašomas, nurodant elektroninės informacijos saugos (kibernetinio) incidento vietą, laiką, pobūdį ir kitą svarbią su įvykiu susijusią informaciją;
15.3. IS / registrų saugos įgaliotinis apie elektroninės informacijos saugos (kibernetinį) incidentą nedelsdamas informuoja IS / registrų tvarkytojos direktorių, su elektroninės informacijos saugos (kibernetiniu) incidentu susijusius paslaugų teikėjus ir (ar) kitas institucijas, nustato prioritetus kibernetiniams incidentams valdyti, tirti ir šalinti bei apie juos informuoja Nacionalinį kibernetinio saugumo centrą Valdymo plano 4 priede nustatyta tvarka;
15.4. IS / registrų saugos įgaliotinis įrašo informaciją apie elektroninės informacijos saugos (kibernetinį) incidentą į Žuvininkystės tarnybos prie Lietuvos Respublikos žemės ūkio ministerijos administruojamų informacinių sistemų ir registrų saugos (kibernetinių) incidentų registravimo žurnalą (2 priedas), vadovauja Žuvininkystės tarnybos prie Lietuvos Respublikos žemės ūkio ministerijos administruojamų informacinių sistemų ir registrų veiklos atkūrimo detaliajame plane nurodytiems veiksmams;
15.5. IS / registrų administratorius užtikrina, kad būtų atkurtas IS / registrų techninės ir programinės įrangos veikimas, kompiuterių tinklo veikla, IS / registrų duomenys, IS / registrų techninės, sisteminės ir taikomosios programinės įrangos funkcionavimas ir nedelsdamas apie atliktus veiksmus informuoja IS / registrų saugos įgaliotinį;
15.6. IS / registrų saugos įgaliotinis, kartu su IS / registrų administratoriumi organizuoja žalos IS / registrų duomenims, IS / registrų techninei, programinei įrangai vertinimą, koordinuoja IS / registrų veiklai atkurti reikalingos techninės, sisteminės ir taikomosios programinės įrangos įsigijimą.
16. Techninė, sisteminė ir taikomoji programinė įranga, reikalinga pakeisti elektroninės informacijos saugos (kibernetinio) incidento metu sunaikintą ar sugadintą įrangą, įsigyjama Lietuvos Respublikos viešųjų pirkimų įstatymo, viešuosius pirkimus reglamentuojančių poįstatyminių ir ir kitų teisės aktų nustatyta tvarka.
III SKYRIUS
APRAŠOMOSIOS NUOSTATOS
18. Už IS / registrų techninės ir programinės įrangos priežiūrą yra atsakingas IS / registrų administratorius.
19. IS / registrų administratorius parengia ir saugo IS / registrų tvarkytojos direktoriaus patvirtintą dokumentą, kuriame:
19.1. nurodyti informacinių technologijų įrangos parametrai ir už šios įrangos priežiūrą atsakingas IS / registrų administratorius, minimalus IS / registrų veiklai atkurti nesant IS / registrų administratoriaus, kuris dėl komandiruotės, ligos ar kitų priežasčių negali operatyviai atvykti į darbo vietą, reikiamos kompetencijos ar žinių lygis;
19.2. nurodyta minimalaus funkcionalumo informacinių technologijų įrangos, tinkamos IS / registrų tvarkytojos poreikius atitinkančiai informacinės sistemos veiklai užtikrinti, įvykus elektroninės informacijos saugos (kibernetiniam) incidentui, specifikacija, kuri turi būti lygiavertė pagrindinei IS / registrų techninės ir programinės įrangos specifikacijai;
19.4. nurodytos duomenų teikimo ir kompiuterinės, techninės ir programinės įrangos priežiūros sutartys, atsakingų už šių sutarčių įgyvendinimo priežiūrą asmenų pareigos;
20. IS / registrų saugos įgaliotinis parengia, teikia tvirtini IS / registrų tvarkytojos direktoriui ir saugo Valdymo ir veiklos atkūrimo grupės narių sąrašą su kontaktiniais duomenimis. Valdymo ir veiklos atkūrimo grupės narių sąrašas turi būti atnaujinamas, pasikeitus jame nurodytai informacijai ir prieinamas IS / registrų tvarkytojosdarbuotojams, kurių vykdomos funkcijos susijusios su IS / registrųnaudojimu bei priežiūra.
21. IS / registrų saugos įgaliotinis ne rečiau kaip kartą per ketvirtį:
21.1. atlieka užfiksuotų kibernetinių incidentų analizę ir esant reikalui organizuoja pastebėtų neatitikčių saugumo reikalavimams šalinimą;
21.2. atlieka užkardų (angl. firewall) užfiksuotų įvykių analizę, organizuoja pastebėtų neatitikčių saugumo reikalavimams šalinimą;
Žuvininkystės tarnybos prie Lietuvos
Respublikos žemės ūkio ministerijos
administruojamų informacinių
sistemų ir registrų veiklos tęstinumo
valdymo plano
1 priedas
ŽUVININKYSTĖS tarnybos prie LIETUVOS RESPUBLIKOS žemės ūkio ministerijos administruojamų informacinių sistemų ir registrų VEIKLOS ATKŪRIMO DETALUSIS PLANAS
| Pavojaus rūšys |
Pirmaeiliai veiksmai |
Veiklos atkūrimo veiksmai |
Už veiklos atkūrimą atsakingi asmenys |
|
| 1. Oro sąlygos (smarkus lietus, labai smarki audra, viesulas, škvalas, kruša, žemės drebėjimas, smarkus speigas ir t.t.) |
1.1. Elektroninės informacijos saugos incidento pasekmių įvertinimas, priemonių plano pavojui sustabdyti ir padarytai žalai likviduoti sudarymas ir įgyvendinimas |
1.1.1. Elektroninės informacijos saugos incidento metu padarytos žalos įvertinimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų administratorius |
|
| 1.1.2. Pavojaus sustabdymo ir padarytos žalos likvidavimo priemonių plano sudarymas ir paskelbimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų administratorius |
|||
| 1.1.3. Priemonių plano įgyvendinimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų administratorius |
|||
| 1.2. Darbuotojų elektroninės informacijos saugos incidento pasekmėms likviduoti paskyrimas |
1.2.1. Žalą likviduojančių darbuotojų instruktavimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų saugos įgaliotinis |
||
| 1.2.2. Žalą likviduojančių darbuotojų veiksmų koordinavimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų saugos įgaliotinis |
|||
| 1.3. Pavojaus vietų ženklinimas |
1.3.1. Darbuotojų informavimas 1.3.2.Žalą likviduojančių darbuotojų instruktavimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų saugos įgaliotinis |
||
|
|
||||
| 2. Gaisras |
2.1. Priešgaisrinės gelbėjimo tarnybos informavimas |
2.1.1. Įvykio vietos lokalizavimas, jei gauta rekomendacija |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos darbuotojas, atsakingas už priešgaisrinę saugą |
|
| 2.1.2. Galimybių evakuoti darbuotojus paieška, jei yra rekomenduojama tai padaryti |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos darbuotojas, atsakingas už priešgaisrinę saugą |
|||
| 2.2. Darbuotojų evakavimas (pagal priešgaisrinės gelbėjimo tarnybos rekomendaciją) |
2.2.1. Darbuotojų informavimas apie evakavimą, jei yra rekomendacija |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos darbuotojas, atsakingas už priešgaisrinę saugą |
||
| 2.3. Komunikacijų, sukeliančių pavojų, išjungimas, gaisro gesinimas ankstyvoje stadijoje, jei yra rekomendacija dirbti pavojaus zonoje |
2.3.1. Priešgaisrinės gelbėjimo tarnybos nurodymų vykdymas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos darbuotojas, atsakingas už priešgaisrinę saugą |
||
| 3. Patalpų užgrobimas
|
3.1. Teisėsaugos institucijų informavimas |
3.1.1. Įvykio vietos lokalizavimas, jei yra teisėsaugos institucijos rekomendacijos |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos direktoriaus paskirtas darbuotojas |
|
| 3.1.2. Galimybių evakuoti darbuotojus nagrinėjimas, jei gauta rekomendacija |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos direktoriaus paskirtas darbuotojas |
|||
| 3.2. Darbuotojų evakavimas, jei yra teisėsaugos institucijos rekomendacija |
3.2.1. Darbuotojų informavimas apie evakavimą |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos direktoriaus paskirtas darbuotojas |
||
| 3.3. Patalpų užrakinimas, jei yra galimybė |
3.3.1. Teisėsaugos institucijos nurodymų vykdymas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos direktoriaus paskirtas darbuotojas |
||
| 3.4. Teisėsaugos institucijos nurodymų vykdymas |
3.4.1. Darbuotojų informavimas apie nurodymų vykdymą |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos direktoriaus paskirtas darbuotojas |
||
| 3.5. Veiksmai išlaisvinus užgrobtas patalpas |
3.5.1. Padarytos žalos įvertinimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos direktoriaus paskirtas darbuotojas |
||
| 3.5.2. Padarytos žalos likvidavimo priemonių plano sudarymas, paskelbimas, vykdymas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos direktoriaus paskirtas darbuotojas |
|||
| 3.5.3. Žalą likviduojančių darbuotojų instruktavimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos direktoriaus paskirtas darbuotojas |
|||
| 4. Patalpai padaryta žala arba patalpos praradimas |
4.1. Atitinkamos tarnybos informavimas apie pavojaus pobūdį |
4.1.1. Suinteresuotos tarnybos rekomendacijų dėl galimybės dirbti pavojaus zonoje gavimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai |
|
| 4.1.2. Darbuotojų informavimas apie rekomendacijas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai |
|||
| 4.2. Portalo įrangos perkėlimas į atsargines patalpas |
4.2.1. Darbuotojų informavimas apie darbą patalpose |
IS / registrų paslaugas teikiantys paslaugų tiekėjai |
||
| 5. Energijos tiekimo sutrikimai |
5.1. Energijos tiekimo sutrikimo priežasčių nustatymas, tarnybinių stočių, kitos techninės įrangos energijos maitinimo išjungimas |
5.1.1. Sutrikimų šalinimo organizavimas
|
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos direktoriaus paskirtas darbuotojas |
|
| 5.2. Kreipimasis į energijos tiekimo įmonę dėl pavojaus trukmės ir sutrikimo pašalinimo galimybių |
5.2.1. Rekomendacijų iš energijos tiekimo įmonės gavimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos direktoriaus paskirtas darbuotojas |
||
| 5.3. Sutrikimų pašalinimas |
5.3.1. Pavojaus sustabdymas, padarytos žalos likvidavimo priemonių plano sudarymas ir įgyvendinimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos direktoriaus paskirtas darbuotojas |
||
| 5.3.2. Padarytos žalos įvertinimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos direktoriaus paskirtas darbuotojas |
|||
| 5.3.3. Žalą likviduojančių darbuotojų instruktavimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos direktoriaus paskirtas darbuotojas |
|||
| 6. Vandentiekio ir šildymo sistemos sutrikimai |
6.1. Vandentiekio ar šildymo paslaugų teikėjų informavimas |
6.1.1. Vandentiekio ar šildymo paslaugų teikėjų paklausimas dėl leidimo dirbti ir rekomendacijų gavimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos direktoriaus paskirtas darbuotojas |
|
| 6.1.2. Darbuotojų informavimas apie rekomendacijas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos direktoriaus paskirtas darbuotojas |
|||
| 6.2. Sutrikimo šalinimo prognozės skelbimas, sutrikimo pašalinimas |
6.2.1. Padarytos žalos įvertinimas, sutrikimo sustabdymo ir padarytos žalos likvidavimo priemonių plano sudarymas, plano įgyvendinimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos direktoriaus paskirtas darbuotojas |
||
|
|
6.2.2. Žalą likviduojančių darbuotojų instruktavimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų tvarkytojos direktoriaus paskirtas darbuotojas |
||
| 7. Ryšio sutrikimai |
7.1. Ryšio sutrikimo priežasčių nustatymas |
7.1.1. Kreiptis į ryšio paslaugos teikėją |
IS / registrų tvarkytojos Bendrųjų reikalų skyriaus atsakingas darbuotojas |
|
| 7.2. Ryšio paslaugų teikėjo informavimas, paklausimo dėl sutrikimo trukmės ir pašalinimo prognozės |
7.2.1. Nustatyti ir įgyvendinti priemones, apsaugančias nuo ryšio sutrikimų pasikartojimo |
IS / registrų tvarkytojos Bendrųjų reikalų skyriaus atsakingas darbuotojas |
||
| 7.3. Sutrikimo pašalinimas |
7.3.1. Kreiptis į kitą ryšio paslaugos teikėją, jei sutrikimas nepašalintas |
IS / registrų tvarkytojos Bendrųjų reikalų skyriaus atsakingas darbuotojas |
||
| 8. Tarnybinės stoties, komutacinės įrangos sugadinimas, praradimas |
8.1. Pranešti teisėsaugos institucijai (tyčinio sugadinimo ar praradimo atveju), draudimo bendrovei apie įvykį |
8.1.1. Darbuotojų elektroninės informacijos saugos incidento pasekmėms likviduoti paskyrimas, instruktavimas, jų veiksmų nustatymas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai |
|
| 8.2. Elektroninės informacijos saugos incidento pasekmių šalinimas |
8.2.1. Kreiptis į įrangos tiekėjus dėl įrangos remonto ar naujos įrangos įsigijimo |
IS / registrų paslaugas teikiantys paslaugų tiekėjai |
||
|
|
8.2.2. Įsigytos įrangos diegimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai |
||
| 9. Programinės įrangos sugadinimas, praradimas |
9.1. Elektroninės informacijos saugos (kibernetinių) incidento pasekmių įvertinimas, priemonių plano pavojui sustabdyti ir padarytai žalai likviduoti sudarymas ir įgyvendinimas |
9.1.1. Elektroninės informacijos saugos (kibernetinio) incidento metu padarytos žalos įvertinimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų saugos įgaliotinis |
|
| 9.1.2. Priemonių plano sudarymas, paskelbimas ir įgyvendinimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų saugos įgaliotinis |
|||
| 9.2. Darbuotojų elektroninės informacijos saugos (kibernetinio) incidento pasekmėms likviduoti paskyrimas, žalą likviduojančių darbuotojų instruktavimas, jų veiksmų koordinavimas |
9.2.1. Žalą likviduojančių darbuotojų instruktavimas |
IS / registrų saugos įgaliotinis |
||
| 2. |
9.2.2. Kreipimasis į teisėsaugos institucijas dėl programinės įrangos sugadinimo ar praradimo ir jų nurodymų vykdymas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / saugos įgaliotinis |
||
| 10. Duomenų pakeitimas, sunaikinimas, atskleidimas, dokumentų praradimas |
10.1. Elektroninės informacijos saugos (kibernetinio) incidento pasekmių įvertinimas |
10.1.1. Prarastų, iškraipytų ar sunaikintų ŽDIS duomenų atkūrimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų saugos įgaliotinis |
|
| 10.1.2. Prarastų, iškraipytų ar sunaikintų ŽDIS duomenų atkūrimo kontrolė |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų saugos įgaliotinis |
|||
| 11. Darbuotojų kaita, praradimas |
11.1. Elektroninės informacijos saugos incidento pasekmių įvertinimas |
11.1.1. Trūkstamų darbuotojų paieška ir priėmimas į darbą |
IS / registrų tvarkytojos direktorius |
Žuvininkystės tarnybos prie Lietuvos
Respublikos žemės ūkio ministerijos
administruojamų informacinių
sistemų ir registrų veiklos tęstinumo
valdymo plano
2 priedas
Žuvininkystės tarnybos prie Lietuvos respublikos žemės ūkio ministerijos administruojamų informacinių sistemų ir registrų ELEKTRONINĖS INFORMACIJOS SAUGOS (kibernetinių) INCIDENTŲ REGISTRAVIMO ŽURNALAS
Pildymo pradžia 20___m.___________________d.
| Eil. Nr. |
Elektroninės informacijos saugos incidentas |
||||||
| Įstaigos pavadinimas |
Pavojaus rūšies numeris |
Įvykio aprašymas |
Pradžia (metai, mėnuo, diena, valanda) |
Pabaiga (metai, mėnuo, diena, valanda) |
Incidentą pašalino (vardas, pavardė ir pareigos) |
IS / registrų saugos įgaliotinis (vardas, pavardė, parašas) |
|
| 1. |
|
|
|
|
|
|
|
| 2. |
|
|
|
|
|
|
|
| 3. |
|
|
|
|
|
|
|
| 4. |
|
|
|
|
|
|
|
| 5. |
|
|
|
|
|
|
|
Elektroninės informacijos saugos incidento pavojaus rūšis:
1 - oro sąlygos; 2 - gaisras; 3 - patalpų užgrobimas; 4 - patalpai padaryta žala arba patalpos praradimas; 5 - energijos tiekimo sutrikimai; 6 - vandentiekio ir šildymo sistemos sutrikimai; 7 - ryšio sutrikimai; 8 - tarnybinės stoties, komutacinės įrangos sugadinimas, praradimas; 9 - programinės įrangos sugadinimas, praradimas; 10 - duomenų pakeitimas, sunaikinimas, atskleidimas, dokumentų praradimas; 11 - darbuotojų kaita, praradimas.
Žuvininkystės tarnybos prie Lietuvos
Respublikos žemės ūkio ministerijos
administruojamų informacinių sistemų ir
registrų veiklos tęstinumo valdymo plano
3 priedas
Žuvininkystės tarnybos prie LIETUVOS RESPUBLIKOS žemės ūkio ministerijos administruojamų sistemų ir registrų ATKŪRIMO PIRMAEILIŲ VEIKSMŲ IR ATSAKINGŲ ASMENŲ PAREIGYBIŲ SĄRAŠAS
| Eil. Nr. (pirmaeilis veiksmas) |
Veikla |
Atsakingi už IS / registrų atkūrimą |
| 1. |
Kompiuterių tinklo veikimo atkūrimo organizavimas |
IS / registrų tvarkytojos Bendrųjų reikalų skyriaus atsakingas darbuotojas Atkūrimo grupė |
| 2. |
Tarnybinių stočių veikimo atkūrimo organizavimas |
IS / registrų paslaugas teikiantys tiekėjai Atkūrimo grupė |
| 3. |
Kompiuterizuotų darbo vietų veikimo atkūrimo organizavimas |
IS / registrų tvarkytojos Bendrųjų reikalų skyriaus atsakingas darbuotojas Atkūrimo grupė |
| 4. |
IS / registrų duomenų bazės valdymo sistemos funkcijų atkūrimas |
IS / registrų paslaugas teikiantys tiekėjai |
| 5. |
IS / registrų funkcijų atkūrimas |
IS / registrų paslaugas teikiantys paslaugų tiekėjai IS / registrų administratorius |
Žuvininkystės tarnybos prie Lietuvos
Respublikos žemės ūkio ministerijos
administruojamų informacinių sistemų ir
registrų veiklos tęstinumo valdymo plano
4 priedas
KIBERNETINIŲ INCIDENTŲ VALDYMO IR NACIONALINIO KIBERNETINIO SAUGUMO CENTRO INFORMAVIMO TVARKOS APRAŠAS
1. Kibernetinių incidentų valdymo ir Nacionalinio kibernetinio saugumo centro informavimo tvarkos aprašas reglamentuoja kibernetinių incidentų valdymo ir Nacionalinio kibernetinio saugumo centro informavimo apie IS / registruose įvykusius kibernetinius incidentus tvarką.
2. Nacionaliniam kibernetinio saugumo centrui (toliau – NKSC) pranešama apie IS / registruose įvykusį:
2.1. didelio poveikio kibernetinį incidentą – nedelsiant, bet ne vėliau kaip per 1 (vieną) valandą nuo jo nustatymo;
2.2. vidutinio poveikio kibernetinį incidentą – ne vėliau kaip per 4 (keturias) valandas nuo jo nustatymo;
3. Pranešime apie didelio ir vidutinio poveikio kibernetinį incidentą nurodoma:
3.1. kibernetinio incidento grupė (grupės), pogrupis (pogrupiai) ir poveikio kategorija, nustatyta pagal Nacionalinio kibernetinių incidentų valdymo plano, patvirtinto Lietuvos Respbulikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“, (toliau – Nacionalinis kibernetinių incidentų valdymo planas) priede pateiktus kriterijus;
4. Didelio ir vidutinio poveikio kibernetinio incidento vertinimo ataskaitoje nurodoma žinoma informacija:
4.1. komponento, kuriame nustatytas kibernetinis incidentas, tipas (registras, informacinė sistema, posistemė, elektroninių ryšių tinklas, tarnybinė stotis ir panašiai);
5. Apie kibernetinius incidentus IS / registrų saugos įgaliotinis informuoja Nacionalinį kibernetinio saugumo centrą elektroniniu paštu cert@nksc.lt arba užpildžius Nacionalinio kibernetinio saugumo centro interneto svetainėje pateiktą formą (https://www.nksc.lt/pranesti.html), arba skambinant tel. 1843.
6. Kriterijai, kuriais vadovaujantis kibernetiniai incidentai priskiriami konkrečiai kategorijai, nustatyti Nacionalinio kibernetinių incidentų valdymo plano 5 priede.
Žuvininkystės tarnybos prie Lietuvos Respublikos žemės ūkio
ministerijos administruojamų informacinių sistemų ir registrų
veiklos tęstinumo valdymo plano
5 priedas
KRITERIJŲ, KURIAIS VADOVAUJANTIS KIBERNETINIAI INCIDENTAI PRISKIRIAMI KIBERNETINIŲ INCIDENTŲ KATEGORIJOMS, SĄRAŠAS
| Eil. Nr. |
Kibernetinio incidento grupės |
Kibernetinio incidento poveikis
Kibernetinio incidento pogrupiai
|
Nereikšmingas (N) |
Vidutinis (V) kriterijų) |
Didelis (D) kriterijų) |
Pavojingas (P) kriterijų) |
||||||||||||||
| RIS trikdoma < 1 val. |
Paveiktų paslaugos gavėjų ar kompiuterizuotų darbo vietų skaičius < 100, arba 5 % |
Paslauga teikiama, bet trikdoma |
Nuostoliai < 250 000 Eur |
RIS trikdoma ≥ 1 val., bet < 2 val. |
Paveiktų paslaugos gavėjų ar kompiuterizuotų darbo vietų skaičius < 1000, arba 25 % |
Paslauga trikdoma dalyje šalies teritorijos |
Pažeistas informacijos ar RIS konfidencialumas ir (ar) vientisumas |
Nuostoliai ≥ 250 000, bet < 500 000 Eur |
RIS trikdoma ≥ 2 val. |
Paveiktų paslaugos gavėjų ar kompiuterizuotų darbo vietų skaičius ≥ 1000, arba 25 % |
Paslauga trikdoma visos šalies teritorijoje ir (ar) |
Pažeistas informacijos ar RIS konfidencialumas ir (ar) vientisumas |
Nuostoliai ≥ 500 000 Eur |
RIS trikdoma ≥ 24 val. ir (ar) viršijamas maksimalus leistinas paslaugos neveikimo laikas |
Paveiktų paslaugos gavėjų ar kompiuterizuotų darbo vietų skaičius ≥ 100 000, arba 50 % |
Sutrikdomas (gali sutrikti) paslaugų veikimas visos šalies teritorijoje ir (ar) ≥ 1 ES šalyje, valstybės funkcijų ir (ar) prisiimtų įsipareigojimų vykdymas, sukeliamas (gali kilti) ekstremalus įvykis, nurodytas Vyriausybės patvirtintame Ekstremaliųjų įvykių kriterijų sąraše |
||||
| 1. |
Nepageidaujamų laiškų, klaidinančios ar žeidžiančios informacijos platinimas (angl. abusive content, spam) |
1.1. Nepageidaujami laiškai ir (ar) klaidinančios, žeidžiančios informacijos platinimas trikdo ryšių ir informacinės sistemos (toliau – RIS) veiklą ir (ar) teikiamas paslaugas |
N |
V |
D |
P |
|
|||||||||||||
| 1.2. Nepageidaujamų laiškų ir (ar) klaidinančios, žeidžiančios informacijos platinimas |
N |
|
|
|
||||||||||||||||
| 2. |
Kenkimo programinė įranga (angl. malicious software / code) Programinė įranga ar jos dalis, kuri padeda neteisėtai prisijungti prie RIS, ją užvaldyti ir kontroliuoti, sutrikdyti ar pakeisti jų veikimą, sunaikinti, sugadinti, ištrinti ar pakeisti elektroninę informaciją, panaikinti ar apriboti galimybę ja naudotis ir neteisėtai pasisavinti ar kitaip panaudoti neviešą elektroninę informaciją tokios teisės neturintiems asmenims |
2.1. Aptikta moderni kenkimo programinė įranga (angl. advanced persistent threat, APT) |
|
V |
D |
P |
|
|||||||||||||
| 2.2. RIS aktyviai kontroliuojama įsibrovėlių (pavyzdžiui, „galinės durys“ (angl. back door), kompiuterizuotos darbo vietos ar tarnybinės stotys tampa „Botinklo“ (angl. Botnet) infrastruktūros dalimi |
|
V |
D |
P |
|
|||||||||||||||
| 2.3. Kenkimo programinė įranga, trikdanti saugumo priemonių darbą |
|
V |
D |
P |
||||||||||||||||
| 2.4. Kenkimo programinė įranga, kurią aptinka saugumo priemonės per reguliarų patikrinimą ir (ar) kurią saugumo priemonės automatiškai blokuoja |
N |
V |
|
|
||||||||||||||||
| 2.5. Kenkimo programinė įranga, platinama naudojant socialinės inžinerijos metodus |
N |
V |
D |
P |
|
|||||||||||||||
| 3. |
Informacijos rinkimas (angl. information gathering) Žvalgyba ar kita įtartina veikla (angl. scanning, sniffing), manipuliavimas naudotojų emocijomis, psichologija, pastabumo stoka, pasinaudojimas technologiniu neišmanymu (angl. social engineering), siekiant stebėti ir rinkti informaciją, atrasti silpnąsias vietas, atlikti grėsmę keliančius veiksmus, apgavystės, siekiant įtikinti naudotoją atskleisti informaciją (angl. phishing) arba atlikti norimus veiksmus |
3.1. RIS paketų / informacijos perėmimas |
|
V |
D |
P |
|
|||||||||||||
| 3.2. RIS klastojimas, siekiant surinkti prisijungimo ar kitą svarbią informaciją, tiksliniai laiškai, kuriuose, pasinaudojant socialinės inžinerijos principais, siekiama išvilioti prisijungimo ir (ar) kitą svarbią informaciją, priversti atlikti norimus veiksmus (pvz., finansines operacijas) |
|
V |
D |
P |
||||||||||||||||
| 3.3. Vykdoma perimetro priemonių žvalgyba (nebandant įsilaužti) |
N |
V |
|
|
|
|||||||||||||||
| 3.4. Naudojami socialinės inžinerijos metodai, siekiant išvilioti prisijungimo prie RIS ir (ar) kitą svarbią informaciją |
N |
V |
|
|
|
|||||||||||||||
| 4. |
Mėginimas įsilaužti (angl. intrusion attempts) Mėginimas įsilaužti arba sutrikdyti RIS veikimą išnaudojant žinomus pažeidžiamumus (angl. exploiting of known vulnerabilities), bandant parinkti slaptažodžius (angl. login attempts), kitą įsilaužimo būdą (angl. new attack signature) |
4.1. Išnaudojamas vienas ar keli nežinomi (angl. zero day) pažeidžiamumai, siekiant tikslingai sutrikdyti konkrečią RIS |
|
V |
D |
P |
|
|||||||||||||
| 4.2. Išnaudojamas vienas ar keli nežinomi (angl. zero day) pažeidžiamumai |
N |
V |
D |
P |
|
|||||||||||||||
| 4.3. Vidinė RIS žvalgyba ar kita kenkimo veika (prievadų skenavimas, slaptažodžių parinkimas, kenkimo programinės įrangos platinimas ir kita) |
|
V |
D |
P |
|
|||||||||||||||
| 4.4. Išnaudojami žinomi ir viešai publikuoti pažeidžiamumai arba atliekami bandymai prisijungti prie RIS parenkant slaptažodžius |
N |
V |
|
|
|
|||||||||||||||
| 5. |
Įsilaužimas (angl. intrusions) Sėkmingas įsilaužimas ir (ar) neteisėtas RIS, taikomosios programinės įrangos ar paslaugos naudojimas (angl. privileged account compromise, unprivileged account compromise, application compromise) |
5.1. Veiksmai prieš RIS ar jos saugumo priemones, informacijos pasisavinimas, naikinimas, RIS ar jos dalies pažeidimas, sutrikdantis RIS teikiamų paslaugų nepertraukiamą teikimą, galintis turėti įtakos tvarkomos informacijos ir teikiamų paslaugų patikimumui, iškreipti turinį ir mažinti RIS naudotojų pasitikėjimą jais |
|
V |
D |
P |
||||||||||||||
| 5.2. Gaunama neteisėta prieiga prie RIS, taikomosios programinės įrangos ar paslaugos |
|
V |
D |
P |
|
|||||||||||||||
| 6. |
Paslaugų trikdymas, prieinamumo pažeidimai (angl. availability) Veiksmai, kuriais trikdoma RIS veikla, teikiamos paslaugos (angl. DoS, DDoS), RIS ar jos dalies pažeidimas, sutrikdantis RIS ir (ar) jos teikiamas paslaugas (angl. sabotage, outage) |
6.1. Teikiamų paslaugų nutraukimas arba maksimalaus leistino paslaugos neveikimo laiko viršijimas |
|
V |
D |
P |
|
|||||||||||||
| 6.2. Teikiamų paslaugų nepertraukiamo teikimo trikdymas, galintis turėti įtakos tvarkomos informacijos ir (ar) teikiamų paslaugų prieinamumui |
N |
V |
|
|
|
|||||||||||||||
| 6.3. Aptinkamas paslaugos trikdymas, kuris neturi įtakos paslaugų teikimui |
N |
V |
|
|
|
|||||||||||||||
| 7. |
Informacijos turinio saugumo pažeidimai (angl. information content security) Neteisėta prieiga prie informacijos, neteisėtas informacijos keitimas (angl. unauthorised access to information, unauthorised modification of information) |
7.1. Neteisėta prieiga prie informacijos, galinčios turėti įtakos RIS veiklai ir (ar) teikiamoms paslaugoms |
|
V |
D |
P |
|
|||||||||||||
| 7.2. Neteisėta prieiga prie informacijos, neteisėtas informacijos keitimas |
N |
V |
D |
P |
|
|||||||||||||||
| 8. |
Neteisėta veikla, sukčiavimas (angl. fraud) Vagystė, apgavystė, neteisėtas išteklių (angl. unauthorized use of resources), nelegalios programinės įrangos ar autorių teisių (angl. copyright) naudojimas, tapatybės klastojimo, apgavystės ir kiti panašaus pobūdžio incidentai |
8.1. Neteisėta įtaka RIS veiklai ir (ar) teikiamoms paslaugoms |
N |
V |
D |
P |
|
|||||||||||||
| 9. |
Kita Incidentai, kurie neatitinka nė vienos iš nurodytų grupių aprašymų |
N |
V |
D |
P |
|
||||||||||||||
|
||||||||||||||||||||