Įsakymas netenka galios 2020-03-18:
Lietuvos Respublikos švietimo, mokslo ir sporto ministerija, Įsakymas
Nr. V-374, 2020-03-17, paskelbta TAR 2020-03-17, i. k. 2020-05589
Dėl kai kurių Lietuvos Respublikos švietimo, mokslo ir sporto ministerijos valdomų registrų ir Valstybės informacinių sistemų duomenų saugos nuostatų patvirtinimo
Suvestinė redakcija nuo 2013-09-13 iki 2020-03-17
Įsakymas paskelbtas: Žin. 2006, Nr. 41-1493, i. k. 1062070ISAKISAK-657
LIETUVOS RESPUBLIKOS ŠVIETIMO IR MOKSLO MINISTRAS
Į S A K Y M A S
DĖL ŠVIETIMO IR MOKSLO INSTITUCIJŲ REGISTRO DUOMENŲ SAUGOS NUOSTATŲ PATVIRTINIMO
2006 m. balandžio 6 d. Nr. ISAK-657
Vilnius
Vadovaudamasis Bendrųjų duomenų saugos reikalavimų, patvirtintų Lietuvos Respublikos Vyriausybės 1997 m. rugsėjo 4 d. nutarimu Nr. 952 (Žin., 1997, Nr. 83-2075; 2003, Nr. 2-45), 6 punktu ir įgyvendindamas Švietimo ir mokslo institucijų registro nuostatų, patvirtintų Lietuvos Respublikos švietimo ir mokslo ministro 2004 m. lapkričio 29 d. įsakymu Nr. ISAK-1871 (Žin., 2004, Nr. 174-6459), 11.5 ir 14.11 punktus:
2. Pavedu Švietimo informacinių technologijų centrui (direktorius Vaino Brazdeikis) teisės aktų nustatyta tvarka parengti ir iki 2006 m. rugpjūčio 1 d. pateikti Lietuvos Respublikos švietimo ir mokslo ministrui tvirtinti Nenumatytų situacijų valdymo planą, Rizikos ataskaitą, Saugaus darbo su duomenimis taisykles, detalias darbo su duomenimis instrukcijas, procedūrų aprašymus bei paskirti duomenų saugos įgaliotinį.
PATVIRTINTA
Lietuvos Respublikos švietimo ir mokslo ministro
2006 m. balandžio 6 d. įsakymu Nr. ISAK-657
(Lietuvos Respublikos švietimo ir mokslo ministro
2013 m. rugsėjo 5 d. įsakymo Nr. V-838
redakcija)
ŠVIETIMO IR MOKSLO INSTITUCIJŲ REGISTRO DUOMENŲ SAUGOS NUOSTATAI
I. Bendrosios nuostatos
1. Švietimo ir mokslo institucijų registro duomenų saugos nuostatų (toliau – Saugos nuostatai) tikslas – nustatyti ir įgyvendinti organizacines, technines ir kitas priemones, suteikiančias galimybę saugiai rinkti, apdoroti, kaupti, saugoti Registro objektų duomenis ir informaciją (toliau kartu – duomenys), juos teikti švietimo ir mokslo registrams, informacinėms sistemoms, suinteresuotiems juridiniams ir fiziniams asmenims.
2. Saugos nuostatai parengti pagal Bendruosius elektroninės informacijos saugos valstybės institucijų ir įstaigų informacinėse sistemose reikalavimus, patvirtintus Lietuvos Respublikos Vyriausybės 1997 m. rugsėjo 4 d. nutarimu Nr. 952 (Žin., 1997, Nr. 83-2075; 2007, Nr. 49-1891), Saugos dokumentų turinio gaires, patvirtintas Lietuvos Respublikos vidaus reikalų ministro 2007 m. gegužės 8 d. įsakymu Nr. 1V-172 (Žin., 2007, Nr. 53-2070).
3. Saugos nuostatai, Švietimo ir mokslo institucijų registro (toliau – Registras) saugos politiką įgyvendinantys teisės aktai privalomi Registro valdytojui, Registro tvarkytojams ir Registro naudotojams.
4. Saugos nuostatai nustato Registro saugos politiką (toliau – saugos politika). Saugos politiką įgyvendina Švietimo ir mokslo institucijų registro saugaus duomenų tvarkymo taisyklės (toliau – Tvarkymo taisyklės), Švietimo ir mokslo institucijų registro veiklos tęstinumo valdymo planas (toliau – Valdymo planas), Švietimo ir mokslo institucijų registro naudotojų administravimo taisyklės (toliau – Administravimo taisyklės), Švietimo ir mokslo institucijų registro duomenų kopijų kūrimo tvarkos aprašas ir kiti teisės aktai, reglamentuojantys Registro duomenų tvarkymo teisėtumą ir saugos valdymą.
5. Saugos politika vykdoma šiomis prioritetinėmis kryptymis:
5.2. įgyvendinant naudotojams prieigos teisių prie Registro duomenų suteikimą ir Registro naudotojų tapatumo identifikavimą;
5.7. įgyvendinant Registro duomenų integralumą su švietimo ir mokslo registrais ir informacinėmis sistemomis;
6. Registro valdytojas yra Lietuvos Respublikos švietimo ir mokslo ministerija, buveinės adresas: A. Volano g. 2/7, LT-01516 Vilnius.
7. Registro tvarkytojai yra Švietimo informacinių technologijų centras (toliau – ITC), buveinės adresas: Suvalkų g. 1, LT-03113 Vilnius, savivaldybių administracijos.
8. Švietimo ir mokslo ministras tvirtina Saugos nuostatus, Tvarkymo taisykles, Valdymo planą, Administravimo taisykles. Registro valdytojas prižiūri Registro saugos politiką reglamentuojančių teisės aktų parengimą ir įgyvendinimą.
9. Registro tvarkytojas (ITC):
9.1. rengia Registro saugos nuostatų ir teisės aktų, įgyvendinančių Registro saugos politiką, projektus, juos teikia švietimo ir mokslo ministrui tvirtinti;
9.2. užtikrina Registro saugos nuostatų ir teisės aktų, įgyvendinančių Registro saugos politiką, įgyvendinimą;
9.4. teikia Registro valdytojui siūlymus dėl Registro saugos politikos įgyvendinimo plėtros, techninių, programinių priemonių įsigijimo, jų modernizavimo, priežiūros ir tobulinimo;
9.7. skiria Registro saugos įgaliotinį (toliau – Saugos įgaliotinis), paveda jam organizuoti Registro saugos politiką ir kontroliuoti jos įgyvendinimą;
9.8. skiria Registro administratorių, paveda jam vykdyti administravimo funkcijas, nustatytas Saugos nuostatuose ir kituose Registro saugos politiką įgyvendinančiuose teisės aktuose;
10. Saugos įgaliotinis turi:
10.1. vertinti rizikos veiksnių tikimybes ir žalos galimybes, organizuoti ir kontroliuoti trūkumų šalinimą;
10.2. teikti Registro tvarkytojui – ITC – siūlymus dėl Registro saugos nuostatų, Registro saugos politiką įgyvendinančių teisės aktų keitimo, naikinimo ir (ar) naujų priėmimo;
10.3. koordinuoti elektroninės informacijos saugos incidentų, įvykusių Registre, tyrimą (išskyrus atvejus, kai šią funkciją atlieka informacijos saugos darbo grupės);
10.5. reguliariai inicijuoti Registro naudotojų mokymą informacijos saugos klausimais, įvairiais būdais informuoti juos apie informacijos saugos problematiką (priminimai elektroniniu paštu, teminių seminarų rengimas, atmintinės priimtiems naujiems darbuotojams ir kt.);
10.6. organizuoti Registro saugos atitikties vertinimą ir parengti Registro rizikos įvertinimo ataskaitą;
10.7. teikti siūlymus dėl Registro administratoriaus skyrimo (Saugos įgaliotinis negali atlikti Registro administratoriaus funkcijų);
11. Registro administratorius turi:
11.1. administruoti ir tvarkyti Registro duomenų bazę, užtikrinti tinkamą ir nepertraukiamą Registro veikimą;
11.3. vykdyti Registro naudotojams prieigos prie Registro duomenų teisių suteikimo ir jų tapatumo identifikavimo administravimą;
11.6. užtikrinti sąveikos su susijusiais registrais ir informacinėmis sistemomis technologinį funkcionavimą;
11.7. užtikrinti, kad Registro duomenys, gauti iš susijusių registrų ir informacinių sistemų, būtų nuolat atnaujinami ir atitiktų susijusiuose registruose ir informacinės sistemose esančius duomenis;
11.8. informuoti Registro duomenų gavėjus, kuriems buvo perduoti neteisingi, netikslūs, neišsamūs Registro duomenys, apie ištaisytus netikslumus;
11.9. vykdyti Registro duomenų saugaus kopijavimo ir archyve esančių kopijų saugojimo administravimą;
11.10. vykdyti Registro duomenų apsaugos priemonių nuo jiems kenksmingos programinės įrangos poveikio administravimą;
12. Registro tvarkytojų vadovai turi paskirti atsakingus fizinius asmenis, jiems pavesti tvarkyti Registro duomenis, užtikrinti Registro duomenų saugą saugos politiką reglamentuojančių teisės aktų nustatyta tvarka.
13. Registro duomenų sauga užtikrinama vadovaujantis Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymu, Bendraisiais elektroninės informacijos saugos valstybės institucijų ir įstaigų informacinėse sistemose reikalavimais, patvirtintais Lietuvos Respublikos Vyriausybės 1997 m. rugsėjo 4 d. nutarimu Nr. 952, Saugos dokumentų turinio gairėmis, patvirtintomis Lietuvos Respublikos vidaus reikalų ministro 2007 m. gegužės 8 d. įsakymu Nr. 1V-172, Lietuvos standartu LST ISO/IEC 27001:2006, Lietuvos ir tarptautiniais „Informacijos technologija. Saugumo technika“ grupės standartais, Saugos nuostatais, Tvarkymo taisyklėmis, Valdymo planu, Administravimo taisyklėmis, kitais teisės aktais, reglamentuojančiais Registro saugų duomenų tvarkymą ir teikimą Registro duomenų gavėjams.
II. REGISTRO DUOMENŲ SAUGOS VALDYMAS
14. Vadovaujantis Valstybės institucijų ir įstaigų informacinių sistemų klasifikavimo pagal jose tvarkomą elektroninę informaciją gairių, patvirtintų Lietuvos Respublikos vidaus reikalų ministro 2007 m. liepos 11 d. įsakymu Nr. 1V-247 (Žin., 2007, Nr. 78-3160; 2008, Nr. 127‑4866), 3.3.1 punktu, Registras priskiriamas trečiajai informacinės sistemos kategorijai, kuriame logiškai tarpusavyje susijusių duomenų konfidencialumo, vientisumo ir (ar) prieinamumo praradimas gali turėti neigiamos įtakos valstybės institucijos ar įstaigos veiklai.
15. Registro duomenis sudaro bendrieji (nurodyti Švietimo ir mokslo institucijų registro nuostatuose) ir technologiniai (Registro administratoriaus, Registro naudotojų) duomenys.
16. Teisės aktų nustatyta tvarka atliekamu Registro saugos atitikties vertinimu (atliekamas ne rečiau kaip kartą per dvejus metus):
16.3. patikrinama ne mažiau kaip 10 procentų atsitiktinai parinktų Registro naudotojų kompiuterinių darbo vietų, visose tarnybinėse stotyse įdiegtų programų ir jų sąranka;
17. Atlikus Registro saugos atitikties vertinimą, rengiamas pastebėtų trūkumų šalinimo planas, kurį tvirtina, atsakingus vykdytojus skiria ir įgyvendinimo terminus nustato Registro tvarkytojo – ITC – vadovas.
18. Saugos įgaliotinis turi:
18.1. atsižvelgdamas į Vidaus reikalų ministerijos išleistą metodinę priemonę „Rizikos analizės vadovas“, Lietuvos ir tarptautinius „Informacijos technologija. Saugumo technika“ grupės standartus, kasmet organizuoti Registro rizikos įvertinimą. Prireikus Saugos įgaliotinis Registro tvarkytojo – ITC – vadovo pavedimu organizuoja neeilinį Registro rizikos įvertinimą;
18.2. Registro rizikos įvertinimą išdėstyti rizikos įvertinimo ataskaitoje. Rizikos įvertinimo ataskaita rengiama atsižvelgus į rizikos veiksnius, galinčius turėti ar turinčius įtakos informacijos saugai. Svarbiausieji rizikos veiksniai yra šie:
18.2.1. subjektyvūs netyčiniai (duomenų tvarkymo klaidos ir apsirikimai, duomenų ištrynimas, klaidingas duomenų teikimas, fiziniai informacijos technologijų sutrikimai, duomenų perdavimo tinklais sutrikimai, programinės įrangos klaidos, neteisingas veikimas ir kita);
18.2.2. subjektyvūs tyčiniai (nesankcionuotas naudojimasis informacine sistema duomenims gauti, duomenų pakeitimas ar sunaikinimas, informacinių technologijų duomenų perdavimo tinklais trikdymai, saugos pažeidimai, vagystės ir kita);
19. Registro tvarkytojo – ITC – vadovui patvirtinus Rizikos ataskaitą, prireikus rengiamas rizikos įvertinimo ir rizikos valdymo priemonių planas, kuriame numatomos techninės ir administracinės veiksnius šalinančios priemonės, priemonių vykdymo terminai, vykdytojai ir kitų išteklių poreikis rizikos valdymo priemonėms įgyvendinti. Šį planą tvirtina Registro valdytojas.
20. Rizikos veiksnių Registro duomenims, techninei, programinei įrangai, patalpoms Registro tvarkytojų įstaigose vertinti naudojama penkiabalė rizikos veiksnių tikėtumo ir žalos vertinimo metodika:
21. Saugos priemonės parenkamos įvertinus galimus rizikos veiksnius Registro duomenų vientisumui ir prieinamumui.
22. Registro elektroninės informacijos saugos priemonių parinkimo pagrindiniai principai yra:
III. ORGANIZACINIAI IR TECHNINIAI REIKALAVIMAI
23. Registro naudotojų, Registro tvarkytojų veiksmai, susiję su Registro duomenimis, reglamentuoti Registro nuostatuose, Registro saugos politiką įgyvendinančiuose teisės aktuose.
24. Registro duomenims apsaugoti nuo kenksmingos programinės įrangos naudojamos programinės priemonės (viena iš jų) – Symantec Norton Antivirus, McAfee, Virus Scan, Panda AntiVirus, Dr. Web, Kaspersky AntiVirus, kt. – atnaujinamos ne rečiau kaip kartą per parą.
25. Registro objektų duomenims saugiai rinkti, apdoroti, kaupti, saugoti, teikti švietimo ir mokslo registrams, informacinėms sistemoms, suinteresuotiems juridiniams ir fiziniams asmenims Registro tvarkytojai ir Registro naudotojai turi programinės ir techninės įrangos naudojimą ribojančias pagrindines priemones, kuriose:
25.2. realizuota prieigos prie Registro duomenų galimybė tik per registravimosi, teisių suteikimo ir slaptažodžių sistemą;
25.4. realizuota prievolė, kai, neatliekant jokių veiksmų, Registras užsirakina ir toliau naudotis Registru galima tik pakartojus tapatybės nustatymo patvirtinimo veiksmus;
25.6. realizuota galimybė identifikuoti prieigos prie Registro duomenų autorius, fiksuoti jų atliktus veiksmus ir juos kaupti;
25.7. apribotas programinės įrangos, nesusijusios su Registro tvarkytojų ar Registro naudotojų veikla ar funkcijomis (žaidimai, bylų siuntimo, interneto pokalbių programos ir kt.), naudojimas;
25.8. kompiuteriuose įdiegti prisijungimo ribojimai apsaugo nuo nesankcionuotų veiksmų su Registro duomenimis. Nešiojamieji kompiuteriai naudojami tik Registro reprezentaciniams tikslams ir neturi jokių prieigų prie Registro duomenų;
26. Registro tarnybinėje stotyje neturi veikti programinė įranga, nesusijusi su Registro, kitų švietimo ir mokslo registrų ir informacinių sistemų duomenų tvarkymu.
27. Registro administratorius turi parengti Registro duomenų kopijų kūrimo tvarkos aprašą, kuriame nurodoma:
IV. Reikalavimai Personalui
29. Registro objektų duomenims saugiai rinkti, apdoroti, sisteminti, kaupti, saugoti ir teikti Registro nuostatuose nurodytiems susijusiems švietimo ir mokslo registrams, informacinėms sistemoms, suinteresuotiems juridiniams ir fiziniams asmenims, kitiems duomenų gavėjams gali asmenys, susipažinę su Registro nuostatais, Registro saugos nuostatais, Registro politiką įgyvendinančiais teisės aktais.
30. Saugos įgaliotinis privalo išmanyti pagrindinius informacijos saugos principus, turėti atitinkamą kvalifikaciją (kvalifikacijos tobulinimo kursai, pradinis saugaus darbo su duomenimis mokymas, ECDL vartotojo sertifikatas ar pan.), darbo su duomenų bazėmis, operacinėmis sistemomis, taikomosiomis programomis patirties.
31. Saugos įgaliotinis turi:
31.1. sugebėti vertinti rizikos veiksnių tikėtumus ir žalos galimybes, organizuoti ir kontroliuoti trūkumų šalinimą;
32. Saugos įgaliotinis turi nuolat organizuoti Registro naudotojų, Registro administratoriaus kvalifikacijos tobulinimą duomenų saugos klausimais, supažindinti su saugos dokumentais, saugaus darbo su duomenimis būdais, priminti apie saugos problematiką (pavyzdžiui, priminimai elektroniniu paštu, teminių metodikų rengimas, atmintinės naujai priimtiems darbuotojams ir pan.).
33. Registro naudotojai turi:
34. Registro administratorius turi:
34.2. turėti Registrui tvarkyti naudojamų sisteminių programinių priemonių Windows, Unix, Informix, Oracle, MS SQL Server administravimo patirties;
V. REGISTRO NAUDOTOJŲ SUPAŽINDINIMO SU SAUGOS DOKUMENTAIS PRINCIPAI
35. Registro naudotojus ir Registro administratorių su saugos dokumentais ir atsakomybe už jų reikalavimų nesilaikymą pasirašytinai supažindina Saugos įgaliotinis. Saugos įgaliotinis, Registro naudotojai, Registro administratorius raštu įsipareigoja nepažeisti Saugos nuostatų ir kitų teisės aktų, reglamentuojančių Registro duomenų saugų tvarkymą.
37. Registro naudotojų supažindinimo su saugos dokumentais tvarka aprašyta Administravimo taisyklėse.
VI. Baigiamosios nuostatos
39. Saugos nuostatai ir kiti saugos dokumentai iš esmės peržiūrimi ir prireikus keičiami ne rečiau kaip kartą per metus.
40. Registro tvarkytojai privalo įgyvendinti Saugos nuostatuose ir kituose teisės aktuose, reglamentuojančiuose Registro duomenų saugų tvarkymą, nustatytas organizacines, technines ir kitas priemones.
41. Duomenys apie Registro naudotojų, Registro administratoriaus atliktus veiksmus su Registro duomenimis saugomi ne trumpiau negu 1 (vieni) metai.
Priedo pakeitimai:
Nr. ISAK-1804, 2007-09-12, Žin., 2007, Nr. 99-4024 (2007-09-20), i. k. 1072070ISAKSAK-1804
Nr. V-838, 2013-09-05, Žin., 2013, Nr. 96-4795 (2013-09-12), i. k. 1132070ISAK000V-838
Pakeitimai:
1.
Lietuvos Respublikos švietimo ir mokslo ministerija, Įsakymas
Nr. ISAK-1804, 2007-09-12, Žin., 2007, Nr. 99-4024 (2007-09-20), i. k. 1072070ISAKSAK-1804
Dėl švietimo ir mokslo ministro 2006 m. balandžio 6 d. įsakymo Nr. ISAK-657 "Dėl Švietimo ir mokslo institucijų registro duomenų saugos nuostatų patvirtinimo" pakeitimo
2.
Lietuvos Respublikos švietimo ir mokslo ministerija, Įsakymas
Nr. V-838, 2013-09-05, Žin., 2013, Nr. 96-4795 (2013-09-12), i. k. 1132070ISAK000V-838
Dėl švietimo ir mokslo ministro 2006 m. balandžio 6 d. įsakymo Nr. ISAK-657 "Dėl Švietimo ir mokslo institucijų registro duomenų saugos nuostatų patvirtinimo" pakeitimo