Suvestinė redakcija nuo 2017-10-03
Įsakymas paskelbtas: Žin. 2013, Nr. 6-253, i. k. 113221SISAK00000V-8
Lietuvos saugios laivybos administracijos DirektoriAus
Į S A K Y M A S
DĖL NACIONALINĖS LAIVŲ EISMO STEBĖSENOS INFORMACINĖS SISTEMOS DUOMENŲ SAUGOS NUOSTATŲ PATVIRTINIMO IR SAUGOS ĮGALIOTINIO SKYRIMO
2013 m. sausio 11 d. Nr. V-8
Klaipėda
Vadovaudamasi Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo patvirtinimo“, 7, 12, 19 ir 31 punktais:
Preambulės pakeitimai:
Nr. V-160, 2017-09-29, paskelbta TAR 2017-10-02, i. k. 2017-15439
1. Tvirtinu Nacionalinės laivų eismo stebėsenos informacinės sistemos duomenų saugos nuostatus (pridedama).
2. S k i r i u Nacionalinės laivų eismo stebėsenos informacinės sistemos saugos įgaliotiniu Informacinių technologijų skyriaus vedėją Ramūną Liubertą.
Punkto pakeitimai:
Nr. V-160, 2017-09-29, paskelbta TAR 2017-10-02, i. k. 2017-15439
3. Pavedu Nacionalinės laivų eismo stebėsenos informacinės sistemos saugos įgaliotiniui per 6 mėn. nuo Nacionalinės laivų eismo stebėsenos informacinės sistemos nuostatų patvirtinimo organizuoti saugos politiką įgyvendinančių dokumentų parengimą ir patvirtinimą: Nacionalinės laivų eismo stebėsenos informacinės sistemos saugaus elektroninės informacijos tvarkymo taisykles, Nacionalinės laivų eismo stebėsenos informacinės sistemos veiklos tęstinumo valdymo planą ir Nacionalinės laivų eismo stebėsenos informacinės sistemos naudotojų administravimo taisykles.
PATVIRTINTA
Lietuvos saugios laivybos administracijos direktoriaus 2013 m. sausio 11 d.
įsakymu Nr. V-8
(2014 m. balandžio 14 d.
įsakymo Nr. V-76 redakcija)
NACIONALINĖS LAIVŲ EISMO STEBĖSENOS INFORMACINĖS SISTEMOS DUOMENŲ SAUGOS NUOSTATAI
I. BENDROSIOS NUOSTATOS
1. Nacionalinės laivų eismo stebėsenos informacinės sistemos duomenų saugos nuostatai (toliau – Saugos nuostatai) reglamentuoja Nacionalinės laivų eismo stebėsenos informacinės sistemos (toliau – NLESIS) saugos politiką, kurios tikslas – nustatyti ir įgyvendinti organizacines, technines ir kitas priemones, suteikiančias galimybę saugiai rinkti, apdoroti, kaupti, saugoti, automatiniu būdu tvarkyti elektroninę informaciją, teikti ją suinteresuotiems juridiniams ir fiziniams asmenims.
2. Saugos nuostatai parengti vadovaujantis Bendrųjų elektroninės informacijos saugos reikalavimų aprašu, Saugos dokumentų turinio gairių aprašu, Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo patvirtinimo“.
3. Elektroninės informacijos saugumo tikslas – užtikrinti NLESIS elektroninės informacijos konfidencialumą, prieinamumą, vientisumą ir tinkamą kompiuterizuotų darbo vietų bei tinklo įrangos funkcionavimą:
3.1. NLESIS elektroninės informacijos saugumui užtikrinti kompleksiškai naudojamos administracinės, techninės ir programinės priemonės, padedančios įgyvendinti reagavimo, atsakomybės, elektroninės informacijos saugos suvokimo kėlimo ir saugos priemonių projektavimo bei diegimo principus.
3.2. NLESIS turi būti įgyvendintos visos informacijos saugumo valdymo priemonės, privalomos III kategorijos valstybės informacinėms sistemoms, nustatytos Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo patvirtinimo“.
4. Pagrindinės šiuose Saugos nuostatuose vartojamos sąvokos:
4.1. Elektroninė informacija – NLESIS informacinėje sistemoje tvarkomi duomenys, dokumentai ir informacija.
4.2. Interneto svetainės Vidinė zona – Lietuvos saugios laivybos administracijos (toliau – Administracija) interneto svetainės skiltis, kuri prieinama tik Administracijos darbuotojams iš vietinio tinklo.
5. Saugos nuostatai privalomi visiems už NLESIS elektroninės informacijos tvarkymą atsakingiems NLESIS naudotojams, saugos įgaliotiniui ir administratoriui.
6. Saugos politiką nustato Saugos nuostatai, įgyvendina – NLESIS saugaus elektroninės informacijos tvarkymo taisyklės (toliau – Tvarkymo taisyklės), NLESIS veiklos tęstinumo valdymo planas (toliau – Valdymo planas), NLESIS naudotojų administravimo taisyklės (toliau – Administravimo taisyklės), kiti teisės aktai, reglamentuojantys elektroninės informacijos tvarkymo teisėtumą ir saugos valdymą.
7. Elektroninės informacijos saugumo užtikrinimo prioritetinės kryptys ir tikslai:
7.1. NLESIS elektroninei informacijai tvarkyti naudojamos techninės ir programinės įrangos bei elektroninės informacijos tvarkymo kontrolė.
7.2. Fizinė NLESIS elektroninės informacijos apdorojimo priemonių (Administracijos patalpos, tarnybinės stotys, elektroninės informacijos perdavimo įranga, programinė įranga) apsauga.
9. Administracijos direktoriaus, kaip NLESIS elektroninės informacijos valdytojo, funkcijos ir atsakomybė:
9.1. Vadovauti ir organizuoti NLESIS veiklą, skiriant saugos įgaliotinį, administratorius bei kitus darbuotojus.
9.2. Kontroliuoti, kad NLESIS būtų tvarkoma vadovaujantis šiais Saugos nuostatais ir kitais teisės aktais, reglamentuojančiais NLESIS saugą.
9.3. Užtikrinti NLESIS saugos reikalavimų atitiktį galiojantiems Lietuvos Respublikos teisės aktams ir šiems Saugos nuostatams.
10. Administracijos direktoriaus, kaip NLESIS elektroninės informacijos tvarkytojo, funkcijos ir atsakomybė:
10.2. Užtikrinti, kad NLESIS naudotojai laikytųsi nuostatų, išvardintų Saugos nuostatuose ir saugos politiką įgyvendinančiuose teisės aktuose.
11. Saugos įgaliotinio, įgyvendinančio elektroninės informacijos saugą, funkcijos ir atsakomybė:
11.1. Teikti Administracijos direktoriui pasiūlymus dėl:
11.4. Pasirašytinai supažindinti administratorius, NLESIS naudotojus su Saugos nuostatais ir saugos politiką įgyvendinančiais dokumentais bei atsakomybe už šių teisės aktų reikalavimų nesilaikymą.
11.5. Organizuoti administratorių ir NLESIS naudotojų kvalifikacijos tobulinimą duomenų saugos klausimais, reguliariai jiems priminti saugumo problemas (elektroninio pašto žinutės, atmintinės naujai priimtiems darbuotojams ir pan.).
11.7. Užtikrinti NLESIS saugos reikalavimų atitiktį galiojantiems Lietuvos Respublikos teisės aktams.
12. Administratoriaus funkcijos ir atsakomybė:
12.2. Įvertinti NLESIS naudotojų pasirengimą dirbti su NLESIS ir suteikti NLESIS naudotojams teisę naudotis NLESIS galimybėmis paskirtoms funkcijoms atlikti.
12.3. Rengti pasiūlymus saugos įgaliotiniui NLESIS kūrimo, palaikymo, priežiūros ir elektroninės informacijos saugos klausimais.
12.4. Atlikti NLESIS komponentų (kompiuterių, operacinių sistemų, elektroninės informacijos bazių valdymo sistemų, taikomųjų programų sistemų, ugniasienių, įsilaužimų aptikimo sistemų, elektroninės informacijos perdavimo tinklų) administravimą, nustatyti pažeidžiamų vietų ir saugos reikalavimų atitiktį galiojantiems Lietuvos Respublikos teisės aktams.
13. Teisės aktų, kuriais vadovaujamasi tvarkant NLESIS elektroninę informaciją ir užtikrinant jos saugumą, sąrašas:
13.3. Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimas Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo patvirtinimo“.
13.4. Lietuvos Respublikos vidaus reikalų ministro 2013 spalio 4 d. įsakymas Nr. 1V-832 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų patvirtinimo“.
II. ELEKTRONINĖS INFORMACIJOS SAUGOS VALDYMAS
14. Pagal Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 (toliau – Svarbos nustatymo gairių aprašas), 4.3.1 ir 4.3.2 papunkčius NLESIS tvarkoma elektroninė informacija priskirtina žinybinės svarbos elektroninės informacijos kategorijai.
15. NLESIS priskiriama trečios kategorijos informacinei sistemai, atsižvelgiant į joje apdorojamos elektroninės informacijos svarbą pagal Svarbos nustatymo gairių aprašo 5.3 papunktį.
16. NLESIS saugos priemonės parenkamos įvertinus galimus rizikos veiksnius NLESIS elektroninės informacijos vientisumui ir prieinamumui.
17. Saugos įgaliotinis, atsižvelgdamas į Vidaus reikalų ministerijos išleistą metodinę priemonę „Rizikos analizės vadovas“, Lietuvos ir tarptautinius „Informacijos technologija. Saugumo technika“ grupės standartus, kasmet organizuoja NLESIS rizikos vertinimą. Prireikus, saugos įgaliotinis gali organizuoti neeilinį NLESIS rizikos vertinimą.
18. NLESIS rizikos įvertinimas išdėstomas rizikos įvertinimo ataskaitoje, kuri rengiama atsižvelgus į rizikos veiksnius, galinčius turėti įtakos informacijos saugai. Svarbiausi rizikos veiksniai yra šie:
18.1. Subjektyvūs netyčiniai (elektroninės informacijos tvarkymo klaidos ir apsirikimai, elektroninės informacijos ištrynimas, klaidingas elektroninės informacijos teikimas, fiziniai informacinių technologijų sutrikimai, elektroninės informacijos perdavimo tinklais sutrikimai, programinės įrangos klaidos ir kt.).
18.2. Subjektyvūs tyčiniai (nesankcionuotas naudojimasis NLESIS elektroninei informacijai gauti, elektroninės informacijos pakeitimas ar sunaikinimas, informacinių technologijų elektroninės informacijos perdavimo tinklais sutrikdymai, saugos pažeidimai, vagystės ir kt.).
19. Rizikos įvertinimo ataskaitą tvirtina Administracijos direktorius. Atsižvelgdamas į rizikos įvertinimo ataskaitą, prireikus, jis tvirtina Rizikos įvertinimo ir rizikos valdymo priemonių planą, kuriame numatomas techninių, administracinių ir kitų išteklių poreikis rizikos valdymo priemonėms įgyvendinti.
20. Rizikos veiksnių NLESIS elektroninei informacijai, techninei, programinei įrangai, registravimo dokumentams tikėtinumui vertinti Administracijoje turi būti naudojama penkių balų rizikos veiksnių tikėtinumo ir žalos vertinimo metodika:
21. Pagrindiniai elektroninės informacijos saugos priemonių parinkimo principai yra šie:
22. Siekiant užtikrinti šiuose Saugos nuostatuose ir kituose NLESIS saugos politiką įgyvendinančiuose dokumentuose išdėstytų nuostatų įgyvendinimo kontrolę, kasmet turi būti organizuojamas informacinių technologijų saugos atitikties vertinimas, kurio metu:
22.1. įvertinama šių Saugos nuostatų ir kitų saugos politiką įgyvendinančių teisės aktų ir realios informacijos saugos atitiktis;
22.3. tikrinama visose Administracijos tarnybinėse stotyse, administratorių bei ne mažiau kaip 10 proc. NLESIS naudotojų kompiuterinėse darbo vietose įdiegta programinė įranga ir jos sąranka;
22.4. peržiūrima administratoriams ir NLESIS naudotojams suteiktų teisių atitiktis jų vykdomoms funkcijoms;
III. ORGANIZACINIAI IR TECHNINIAI REIKALAVIMAI
24. NLESIS elektroninės informacijos saugumui užtikrinti Administracijos direktoriaus nustatyta tvarka kompleksiškai naudojamos administracinės, techninės ir programinės priemonės.
25. Prisijungimo prie kompiuterių tinklo laikas ir trukmė nėra ribojami. NLESIS pasiekiama visą parą. NLESIS elektroninė informacija perduodama automatiniu būdu naudojant TCP/IP protokolą.
26. Saugi prieiga prie NLESIS elektroninės informacijos yra užtikrinama tokiomis priemonėmis:
26.1. NLESIS tarnybinėse stotyse, administratorių, NLESIS naudotojų kompiuterinėse darbo vietose įdiegiama legali ir saugi programinė įranga.
26.2. NLESIS tarnybinių stočių, administratorių, NLESIS naudotojų kompiuterinių darbo vietų operacinių sistemų ir taikomųjų programų sąranka parenkama tokiu būdu, kad būtų užtikrintas didžiausias saugumo lygis (išjungiami nereikalingi darbui procesai ir reikmenys (angl. services), ribojamas arba išjungiamas priėjimas prie operacinės sistemos prievadų).
26.3. NLESIS tarnybinėse stotyse, administratorių, NLESIS naudotojų kompiuterinėse darbo vietose įdiegiama programinė įranga, skirta apsisaugoti nuo kenksmingos programinės įrangos (virusų, programinės įrangos, skirtos šnipinėjimui, nepageidaujamo elektroninio pašto ir pan.). Programinė įranga atnaujinama kiekvieną darbo dieną. Ilgiausias leistinas neatnaujinimo laikas – trys darbo dienos.
26.4. NLESIS tarnybinėse stotyse, administratorių, NLESIS naudotojų kompiuterinėse darbo vietose turi būti naudojama tik su tarnybine veikla susijusi programinė įranga. NLESIS naudotojų paskyros turi būti apribotų teisių, kurios neleidžia įdiegti papildomos programinės įrangos.
26.5. Kontroliuojamas patekimas į Administracijos patalpas, įrengiama signalizacija (nuo įsilaužimo ir gaisro).
26.6. NLESIS naudotojai atpažįstami pagal NLESIS naudotojų vardus ir slaptažodžius, kurių kontrolę atlieka kompiuterio ir tarnybinės stoties operacinės sistemos.
26.8. Kompiuterinis tinklas, prie kurio prijungtos Administracijos tarnybinės stotys, NLESIS naudotojų kompiuteriai nuo viešojo interneto turi būti atskirti tinklo užkarda (angl. Firewall).
26.9. NLESIS programinis kodas privalo būti apsaugotas nuo atskleidimo neturintiems teisės su juo susipažinti asmenims.
26.10. Kompiuterinė įranga ir elektroninės informacijos perdavimo tinklo mazgai turi turėti rezervinį maitinimo šaltinį.
31. Nešiojamieji kompiuteriai, jei juose yra prisijungimo prie NLESIS elektroninės informacijos galimybė, iš Administracijos patalpų gali būti išnešami tik turint Administracijos direktoriaus ar jo įgalioto asmens raštišką leidimą, patvirtinantį naudotojo asmeninę atsakomybę už informacijos saugą ir nurodantį kompiuterio naudojimo tikslą bei laikotarpį, kuriam kompiuteris išnešamas. Šiuose kompiuteriuose įdiegta programinė įranga, kuri turi papildomą tapatybės patvirtinimą, BIOS (kompiuterio pagrindinė įvesties ir išvesties sistema) apsaugotas slaptažodžiu ir nurodytas kietasis diskas kaip pirminis paleidimo įrenginys. Prisijungimas prie NLESIS elektroninės informacijos bazės iš išorės ribojamas.
32. Už NLESIS, elektroninės informacijos bazės (išskyrus darbuotojų dokumentus) atsarginių kopijų formavimą ir atstatymui reikalingų priemonių užtikrinimą paskirtas atsakingas specialistas turi:
32.1. NLESIS programinės įrangos ir elektroninės informacijos bazės kopijas, įrašytas į kompiuterines laikmenas, laikyti tik skyriuje esančiame seife;
32.3. elektroninės informacijos praradimo atveju skubiai atkurti informaciją iš atsarginių elektroninės informacijos kopijų per 1 darbo dieną ir informuoti skyriaus saugos įgaliotinį. Atsarginės elektroninės informacijos kopijos turi būti saugomos ne trumpiau kaip 5 dienas;
IV. REIKALAVIMAI PERSONALUI
33. Saugos įgaliotinis privalo išmanyti informacijos saugos užtikrinimo principus, savo darbe vadovautis Bendrųjų elektroninės informacijos saugos reikalavimų aprašu, Saugos dokumentų turinio gairių aprašu, Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716, Informacinių technologijų saugos atitikties vertinimo metodika, patvirtinta vidaus reikalų ministro 2004 m. gegužės 6 d. įsakymu Nr. 1V-156, kitais Lietuvos Respublikos teisės aktais, reglamentuojančiais NLESIS elektroninės informacijos tvarkymą, standartais bei kitais dokumentais ir būti susipažinęs su esminiais reikalavimais, turėti atitinkamą kvalifikaciją, sugebėti prižiūrėti, kaip įgyvendinama saugos politika.
34. Saugos įgaliotiniu negali būti skiriamas asmuo, turintis neišnykusį ar nepanaikintą teistumą už nusikaltimą elektroninių duomenų ir informacinių sistemų saugumui, taip pat paskirtą administracinę nuobaudą už neteisėtą asmens duomenų tvarkymą ir privatumo apsaugos pažeidimą elektroninių ryšių srityje, elektroninių ryšių išteklių naudojimo ir skyrimo taisyklių pažeidimą, elektroninių ryšių tinklo gadinimą ar savavališką prisijungimą prie tinklo arba galinių įrenginių, kurie trukdo elektroninių ryšių tinklo darbui, savavališką prisijungimą arba elektroninių ryšių infrastruktūros įrengimo, naudojimo ir apsaugos sąlygų ir taisyklių pažeidimą, jeigu nuo jos paskyrimo praėję mažiau kaip vieneri metai.
35. Administratorius privalo išmanyti informacijos saugos principus, darbą su kompiuterių tinklais, mokėti užtikrinti jų saugumą, taip pat administruoti ir prižiūrėti elektroninės informacijos bazes, turi būti susipažinęs su Saugos nuostatais ir saugos politiką įgyvendinančiais teisės aktais, taip pat kitomis vidaus ir darbo saugos taisyklėmis.
36. NLESIS naudotojai turi turėti atitinkamą kvalifikaciją (informacinių technologijų vartotojų kvalifikacijos kursai, pradinis saugaus darbo su elektronine informacija mokymas, ECDL vartotojo sertifikatas (Europos kompiuterio vartotojo pažymėjimas) ar pan.) ir patirties (dirbant su atitinkamomis operacinėmis sistemomis, taikomosiomis programomis ir pan.).
37. Tvarkyti NLESIS elektroninę informaciją gali tik NLESIS naudotojai, pasirašytinai susipažinę su saugos politiką įgyvendinančiais dokumentais.
38. NLESIS naudotojams vieną kartą per dvejus metus pateikiamos darbo su informacine sistema instrukcijos. Už darbo su NLESIS instrukcijų pateikimą atsakingas saugos įgaliotinis.
40. Esant elektroninės informacijos saugos incidentui, nenumatytai situacijai, saugos įgaliotinio, administratorių, NLESIS naudotojų veiksmus reglamentuoja Valdymo planas.
41. Saugos įgaliotinis periodiškai inicijuoja NLESIS naudotojų mokymą informacijos saugos klausimais, įvairiais būdais informuoja juos apie informacijos saugos problematiką (priminimai elektroniniu paštu, informavimas per NLESIS, pagal poreikį organizuojami susitikimai su atsakingais NLESIS naudotojais, atmintinės naujai priimtiems darbuotojams).
V. Informacinės sistemos NAUDOTOJŲ SUPAŽINDINIMO SU SAUGOS DOKUMENTAIS PRINCIPAI
42. Saugos įgaliotinis organizuoja NLESIS naudotojų supažindinimą pasirašytinai su šiais Saugos nuostatais ir kitais saugos politiką reglamentuojančiais dokumentais bei informuoja NLESIS naudotojus apie Saugos nuostatų pakeitimus ar kitų saugos politiką įgyvendinančių teisės aktų pripažinimą netekusiais galios, keitimą ar priėmimą.
Priedo pakeitimai:
Nr. V-76, 2014-04-14, paskelbta TAR 2014-04-14, i. k. 2014-04396
Pakeitimai:
1.
Lietuvos saugios laivybos administracija, Įsakymas
Nr. V-76, 2014-04-14, paskelbta TAR 2014-04-14, i. k. 2014-04396
Dėl Lietuvos saugios laivybos administracijos direktoriaus 2013 m. sausio 11 d. įsakymo Nr. V-8 „Dėl Nacionalinės laivų eismo stebėsenos informacinės sistemos duomenų saugos nuostatų patvirtinimo ir saugos įgaliotinio skyrimo“ pakeitimo
2.
Lietuvos saugios laivybos administracija, Įsakymas
Nr. V-160, 2017-09-29, paskelbta TAR 2017-10-02, i. k. 2017-15439
Dėl Lietuvos saugios laivybos administracijos direktoriaus 2013 m. sausio 11 d. įsakymo Nr. V-8 „Dėl Nacionalinės laivų eismo stebėsenos informacinės sistemos duomenų saugos nuostatų patvirtinimo ir saugos įgaliotinio skyrimo“ pakeitimo