LIETUVOS RESPUBLIKOS VIDAUS REIKALŲ MINISTRAS

ĮSAKYMAS

DĖL ADMINISTRACINIŲ TEISĖS PAŽEIDIMŲ REGISTRO DUOMENŲ SAUGOS NUOSTATŲ PATVIRTINIMO

2015 m. spalio 5 d. Nr. 1V-781

Vilnius

Vadovaudamasis Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo patvirtinimo“, 7.1 papunkčiu, 11, 19 ir 26 punktais:

1. Tvirtinu Administracinių teisės pažeidimų registro duomenų saugos nuostatus (pridedama).

2. Pavedu:

2.1. Informatikos ir ryšių departamentui prie Lietuvos Respublikos vidaus reikalų ministerijos per mėnesį nuo Administracinių teisės pažeidimų registro duomenų saugos nuostatų patvirtinimo paskirti Administracinių teisės pažeidimų registro (toliau – ATPR) saugos įgaliotinį ir ATPR administratorių (administratorius);

2.2. ATPR saugos įgaliotiniui per 3 mėnesius nuo Administracinių teisės pažeidimų registro duomenų saugos nuostatų patvirtinimo parengti ir pateikti ATPR valdytojui tvirtinti ATPR saugos politiką įgyvendinančių dokumentų projektus.

Vidaus reikalų ministras                                                                                    Saulius Skvernelis

PATVIRTINTA

Lietuvos Respublikos vidaus reikalų ministro 2015 m. spalio 5 d. įsakymu

Nr. 1V-781

ADMINISTRACINIŲ TEISĖS PAŽEIDIMŲ REGISTRO DUOMENŲ SAUGOS NUOSTATAI

I SKYRIUS

BENDROSIOS NUOSTATOS

1. Administracinių teisės pažeidimų registro duomenų saugos nuostatai (toliau – Saugos nuostatai) nustato Administracinių teisės pažeidimų registro (toliau – ATPR) elektroninės informacijos saugos politiką, organizacines, technines, programines, teisines ir kitas priemones, užtikrinančias saugų ATPR elektroninės informacijos tvarkymą.

2. Saugos nuostatuose vartojamos sąvokos apibrėžtos Bendrųjų elektroninės informacijos saugos reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo patvirtinimo“ (toliau – Saugos reikalavimų aprašas).

3. ATPR elektroninės informacijos saugos politika įgyvendinama pagal ATPR valdytojo tvirtinamus saugos politiką įgyvendinančius dokumentus:

3.1. Administracinių teisės pažeidimų registro saugaus elektroninės informacijos tvarkymo taisykles;

3.2. Administracinių teisės pažeidimų registro veiklos tęstinumo valdymo planą;

3.3. Administracinių teisės pažeidimų registro naudotojų administravimo taisykles.

4. ATPR elektroninės informacijos saugumo užtikrinimo tikslas – sudaryti sąlygas saugiai automatiniu būdu tvarkyti ATPR elektroninę informaciją, užtikrinti ATPR elektroninės informacijos konfidencialumą, prieinamumą, vientisumą ir tinkamą techninės, programinės ir ryšių įrangos funkcionavimą.

5. ATPR elektroninės informacijos saugumo užtikrinimo prioritetinės kryptys:

5.1. organizacinių, techninių, programinių, teisinių ir kitų priemonių, skirtų ATPR elektroninės informacijos saugai užtikrinti, įgyvendinimas ir šių priemonių įgyvendinimo kontrolė;

5.2. ATPR elektroninės informacijos konfidencialumo, vientisumo ir prieinamumo užtikrinimas;

5.3. ATPR tvarkomų asmens duomenų apsauga;

5.4. ATPR veiklos tęstinumo užtikrinimas.

6. ATPR elektroninės informacijos saugai užtikrinti kompleksiškai naudojamos organizacinės, teisinės, techninės ir programinės priemonės.

7. Saugos nuostatai taikomi ATPR valdytojui, ATPR tvarkytojams, ATPR saugos įgaliotiniams, ATPR administratoriui (administratoriams) ir ATPR naudotojams.

8. ATPR valdytojas – Lietuvos Respublikos vidaus reikalų ministerija (toliau – VRM), Šventaragio g. 2, Vilnius, kuri atlieka Administracinių teisės pažeidimų registro nuostatuose, patvirtintuose Lietuvos Respublikos Vyriausybės 2014 m. gruodžio 10 d. nutarimu Nr. 1408 „Dėl Administracinių teisės pažeidimų ir eismo įvykių registro reorganizavimo ir Administracinių teisės pažeidimų registro nuostatų patvirtinimo“, (toliau – ATPR nuostatai) apibrėžtas funkcijas, o taip pat:

8.1. atsako už saugos politikos formavimą ir įgyvendinimo organizavimą, priežiūrą ir elektroninės informacijos tvarkymo teisėtumą;

8.2. tvirtina ATPR saugos politiką įgyvendinančius dokumentus, kitus dokumentus, susijusius su elektroninės informacijos sauga, ir jų pakeitimus;

8.3. prižiūri ir kontroliuoja, kad ATPR būtų tvarkoma vadovaujantis Lietuvos Respublikos įstatymais, ATPR nuostatais, Saugos nuostatais, ATPR saugos politiką įgyvendinančiais dokumentais ir kitais teisės aktais;

8.4. priima sprendimus dėl ATPR techninių ir programinių priemonių, būtinų ATPR elektroninės informacijos saugai užtikrinti, įsigijimo, įdiegimo ir modernizavimo;

8.5. nagrinėja ATPR tvarkytojų pasiūlymus dėl ATPR saugos tobulinimo ir priima dėl jų sprendimus;

8.6. priima sprendimą dėl ATPR informacinių technologijų atitikties saugos reikalavimams vertinimo atlikimo;

8.7. vykdo kitas Saugos nuostatais, ATPR nuostatais, Saugos reikalavimų aprašu ir kitais teisės aktais, reglamentuojančiais ATPR elektroninės informacijos tvarkymo teisėtumą ir saugos valdymą, priskirtas funkcijas.

9. ATPR tvarkytojai yra:

9.1. Informatikos ir ryšių departamentas prie Lietuvos Respublikos vidaus reikalų ministerijos (toliau – Informatikos ir ryšių departamentas);

9.2. Policijos departamentas prie Lietuvos Respublikos vidaus reikalų ministerijos (toliau – Policijos departamentas);

9.3. teritorinės ir specializuotos policijos įstaigos (toliau – policijos įstaigos);

9.4. Lietuvos Respublikos vyriausioji rinkimų komisija;

9.5. Lietuvos kariuomenė;

9.6. Lietuvos Respublikos Seimo kontrolierių įstaiga;

9.7. Lietuvos Respublikos valstybės kontrolė;

9.8. Lietuvos Respublikos konkurencijos taryba;

9.9. Vyriausioji tarnybinės etikos komisija;

9.10. Žurnalistų etikos inspektoriaus tarnyba;

9.11. Lietuvos Respublikos vaiko teisių apsaugos kontrolieriaus įstaiga;

9.12. Lygių galimybių kontrolieriaus tarnyba;

9.13. Lietuvos Respublikos valstybinė kultūros paveldo komisija;

9.14. Valstybinė kainų ir energetikos kontrolės komisija;

9.15. Lietuvos Respublikos valstybės saugumo departamentas;

9.16. Lietuvos bankas;

9.17. Lietuvos radijo ir televizijos komisija;

9.18. valstybės garantuojamos teisinės pagalbos tarnybos;

9.19. Muitinės departamentas prie Lietuvos Respublikos finansų ministerijos;

9.20. teritorinės muitinės;

9.21. Muitinės kriminalinė tarnyba;

9.22. Kūno kultūros ir sporto departamentas prie Lietuvos Respublikos Vyriausybės;

9.23. Lietuvos Respublikos ryšių reguliavimo tarnyba;

9.24. Lietuvos statistikos departamentas;

9.25. Lietuvos vyriausiojo archyvaro tarnyba;

9.26. valstybės ir apskričių archyvai;

9.27. Valstybinė duomenų apsaugos inspekcija;

9.28. Narkotikų, tabako ir alkoholio kontrolės departamentas;

9.29. Valstybinė atominės energetikos saugos inspekcija;

9.30. Lošimų priežiūros tarnyba prie Lietuvos Respublikos finansų ministerijos;

9.31. Valstybinė maisto ir veterinarijos tarnyba;

9.32. Valstybinė aplinkos apsaugos tarnyba;

9.33. Lietuvos Respublikos aplinkos ministerijos regionų aplinkos apsaugos departamentai;

9.34. Valstybinė saugomų teritorijų tarnyba prie Aplinkos ministerijos;

9.35. valstybiniai rezervatai, biosferos rezervato, nacionalinių ir regioninių parkų direkcijos;

9.36. Civilinės aviacijos administracija;

9.37. Finansinių nusikaltimų tyrimo tarnyba prie Vidaus reikalų ministerijos;

9.38. Informacinės visuomenės plėtros komitetas prie Susisiekimo ministerijos;

9.39. Lietuvos kariuomenės karo policija;

9.40. Kultūros paveldo departamentas prie Kultūros ministerijos;

9.41. Lietuvos automobilių kelių direkcija prie Susisiekimo ministerijos;

9.42. Lietuvos geologijos tarnyba prie Aplinkos ministerijos;

9.43. Lietuvos metrologijos inspekcija;

9.44. Lietuvos Respublikos ginklų fondas prie Lietuvos Respublikos vidaus reikalų ministerijos;

9.45. Lietuvos saugios laivybos administracija;

9.46. Valstybinė miškų tarnyba;

9.47. Generalinė miškų urėdija prie Aplinkos ministerijos;

9.48. valstybės įmonės miškų urėdijos;

9.49. Mobilizacijos departamentas prie Krašto apsaugos ministerijos;

9.50. Nacionalinė žemės tarnyba prie Žemės ūkio ministerijos;

9.51. Nacionalinis transplantacijos biuras prie Sveikatos apsaugos ministerijos;

9.52. Priešgaisrinės apsaugos ir gelbėjimo departamentas prie Vidaus reikalų ministerijos ir jam pavaldžios įstaigos;

9.53. Radiacinės saugos centras;

9.54. Vadovybės apsaugos departamentas prie Vidaus reikalų ministerijos;

9.55. Valstybės sienos apsaugos tarnyba prie Vidaus reikalų ministerijos;

9.56. Valstybinė akreditavimo sveikatos priežiūros veiklai tarnyba prie Sveikatos apsaugos ministerijos;

9.57. Valstybinė augalininkystės tarnyba prie Žemės ūkio ministerijos;

9.58. Valstybinė darbo inspekcija prie Socialinės apsaugos ir darbo ministerijos;

9.59. Valstybės dokumentų technologinės apsaugos tarnyba prie Finansų ministerijos;

9.60. Valstybinė energetikos inspekcija prie Energetikos ministerijos;

9.61. Valstybinė geležinkelio inspekcija prie Susisiekimo ministerijos;

9.62. Valstybinė gyvulių veislininkystės priežiūros tarnyba prie Žemės ūkio ministerijos;

9.63. Valstybinė kelių transporto inspekcija prie Susisiekimo ministerijos;

9.64. Valstybinė kalbos inspekcija;

9.65. Valstybinė ligonių kasa prie Sveikatos apsaugos ministerijos;

9.66. teritorinės ligonių kasos;

9.67. Valstybinė mokesčių inspekcija prie Lietuvos Respublikos finansų ministerijos;

9.68. Valstybinė ne maisto produktų inspekcija prie Ūkio ministerijos;

9.69. Valstybinė teritorijų planavimo ir statybos inspekcija prie Aplinkos ministerijos;

9.70. Valstybinė vaistų kontrolės tarnyba prie Lietuvos Respublikos sveikatos apsaugos ministerijos;

9.71. Valstybinė vartotojų teisių apsaugos tarnyba;

9.72. Valstybinio socialinio draudimo fondo valdyba prie Socialinės apsaugos ir darbo ministerijos ir Valstybinio socialinio draudimo fondo valdybos teritoriniai skyriai;

9.73. Valstybinis turizmo departamentas prie Ūkio ministerijos;

9.74. Viešųjų pirkimų tarnyba;

9.75. Žuvininkystės tarnyba prie Lietuvos Respublikos žemės ūkio ministerijos;

9.76. savivaldybių administracijos;

9.77. valstybės įmonė Lietuvos prabavimo rūmai;

9.78. valstybės įmonė Registrų centras;

9.79. valstybės įmonė Turto bankas;

9.80. valstybės įmonė Klaipėdos valstybinio jūrų uosto direkcija;

9.81. Audito ir apskaitos tarnyba;

9.82. Lietuvos Respublikos specialiųjų tyrimų tarnyba;

9.83. Viešojo saugumo tarnyba prie Vidaus reikalų ministerijos;

9.84. Lietuvos antstolių rūmai;

9.85. visuomenės sveikatos centrai apskrityse;

9.86. savivaldybių kontrolės ir audito tarnybos;

9.87. savivaldybės įmonė „Susisiekimo paslaugos“.

10. Informatikos ir ryšių departamento, kaip ATPR tvarkytojo, funkcijos ir atsakomybė:

10.1. užtikrina ir atsako už ATPR elektroninės informacijos tvarkymo teisėtumą ir saugų ATPR elektroninės informacijos perdavimą elektroninių ryšių tinklais (automatiniu būdu);

10.2. užtikrina tinkamą ATPR valdytojo patvirtintų Saugos nuostatų, ATPR saugos politiką įgyvendinančių dokumentų, kitų dokumentų, susijusių su elektroninės informacijos sauga, ir rekomendacijų įgyvendinimą;

10.3. atlieka kitas Saugos nuostatų, Saugos reikalavimų aprašo, ATPR nuostatų ir kitų teisės aktų nustatytas funkcijas, susijusias su ATPR elektroninės informacijos sauga;

10.4. skiria ATPR saugos įgaliotinį ir ATPR administratorių (administratorius);

10.5. suteikia teisę kitoms ATPR tvarkytojų įstaigoms, turinčioms pavaldžių įstaigų, administruoti savo bei tvarkytojo įstaigai pavaldžių įstaigų (teritorinių, specializuotų, atskaitingų ir kitų) ATPR naudotojus.

11. Kiti ATPR tvarkytojai, nurodyti ATPR nuostatų 9 punkte, išskyrus teritorines ir specializuotas policijos įstaigas, atlieka ATPR nuostatuose apibrėžtas funkcijas, o taip pat:

11.1. kiekvienas paskiria ATPR saugos įgaliotinį;

11.2. teikia pasiūlymus ATPR valdytojui, kaip tobulinti ATPR elektroninės informacijos saugą;

11.3. užtikrina tinkamą ATPR valdytojo priimtų teisės aktų ir rekomendacijų, susijusių su ATPR elektroninės informacijos sauga, įgyvendinimą;

11.4.  atlieka kitas Saugos nuostatų, Saugos reikalavimų aprašo, ATPR nuostatų ir kitų teisės aktų nustatytas funkcijas, susijusias su ATPR elektroninės informacijos sauga.

12. Visi ATPR tvarkytojai, išskyrus teritorines ir specializuotas policijos įstaigas, užtikrina tvarkomos ATPR elektroninės informacijos saugą tvarkytojo įstaigoje ir tvarkytojo įstaigos reguliavimo sričiai priskirtose kitose įstaigose (teritorinėse, specializuotose, atskaitingose ir kitose). ATPR tvarkytojų vadovai atsako už reikiamų organizacinių, techninių ir programinių saugos priemonių įgyvendinimą, užtikrinimą ir laikymąsi Saugos nuostatuose ir ATPR duomenų saugos politiką įgyvendinančiuose dokumentuose nustatyta tvarka.

13. Informatikos ir ryšių departamento paskirtas ATPR saugos įgaliotinis:

13.1. rengia ATPR saugos politiką įgyvendinančių dokumentų projektus;

13.2. koordinuoja kitų ATPR saugos įgaliotinių veiklą, supažindina juos su Saugos nuostatais, ATPR saugos politiką įgyvendinančiais dokumentais bei atsakomybe už juose nustatytų reikalavimų nesilaikymą;

13.3. koordinuoja ir prižiūri ATPR elektroninės informacijos saugos politikos įgyvendinimą;

13.4. koordinuoja ATPR elektroninės informacijos saugos incidentų tyrimą ir bendradarbiauja su kompetentingomis institucijomis, tiriančiomis elektroninių ryšių tinklų, informacijos saugumo incidentus, neteisėtas veikas, susijusias su elektroninės informacijos saugos incidentais;

13.5. teikia pasiūlymus Informatikos ir ryšių departamento direktoriui dėl:

13.5.1. ATPR administratoriaus (administratorių) paskyrimo ir reikalavimų jam nustatymo;

13.5.2. Saugos nuostatų ir ATPR saugos politiką įgyvendinančių dokumentų priėmimo, keitimo ar pripažinimo netekus galios;

13.5.3. ATPR informacinių technologijų atitikties saugos reikalavimams vertinimo atlikimo;

13.6. teikia kitiems ATPR saugos įgaliotiniams, ATPR administratoriui (administratoriams), ATPR naudotojams privalomus vykdyti nurodymus ir pavedimus, susijusius su ATPR saugos politikos įgyvendinimu;

13.7. periodiškai, ne rečiau kaip kartą per kalendorinius metus, organizuoja ATPR saugos įgaliotinių, ATPR administratorių saugos mokymus, reguliariai jiems primena saugos problemas, teikia konsultacijas (elektroniniu paštu, telefonu, prireikus rengia atmintines naujai priimtiems darbuotojams ir pan.);

13.8. organizuoja ATPR rizikos įvertinimą;

13.9. vykdo kitas Saugos nuostatų, ATPR nuostatų, Saugos reikalavimų aprašo ir kitų teisės aktų nustatytas funkcijas.

14. Kiti ATPR saugos įgaliotiniai – ATPR tvarkytojų, nurodytų Saugos nuostatų 9 punkte, išskyrus teritorines ir specializuotas policijos įstaigas, vadovų paskirti saugos įgaliotiniai:

14.1. koordinuoja ir prižiūri ATPR elektroninės informacijos saugos politikos įgyvendinimą tvarkytojo įstaigoje ir tvarkytojo įstaigos reguliavimo sričiai priskirtose kitose įstaigose (teritorinėse, specializuotose, atskaitingose ir kitose), turinčiose ATPR naudotojų darbo vietas;

14.2. teikia Informatikos ir ryšių departamento paskirtam ATPR saugos įgaliotiniui siūlymus dėl:

14.2.1. Saugos nuostatų ir ATPR saugos politiką įgyvendinančių dokumentų priėmimo, keitimo ar pripažinimo netekusiais galios;

14.2.2. ATPR informacinių technologijų atitikties saugos reikalavimams vertinimo atlikimo;

14.2.3. saugos mokymų organizavimo;

14.3. teikia savo tvarkytojo įstaigos ir jos reguliavimo sričiai priskirtų kitų įstaigų ATPR naudotojams privalomus vykdyti nurodymus ir pavedimus, susijusius su ATPR saugos politikos įgyvendinimu;

14.4. informuoja Informatikos ir ryšių departamento paskirtą ATPR saugos įgaliotinį apie ATPR elektroninės informacijos saugos incidentus ir teikia siūlymus dėl minėtų incidentų pašalinimo;

14.5. supažindina savo tvarkytojo įstaigos ir jos reguliavimo sričiai priskirtų kitų įstaigų ATPR naudotojus su Saugos nuostatais ir ATPR saugos politiką įgyvendinančiais dokumentais bei atsakomybe už šių reikalavimų nesilaikymą;

14.6. ne rečiau kaip kartą per kalendorinius metus organizuoja savo tvarkytojo įstaigos ir jos reguliavimo sričiai priskirtų kitų įstaigų ATPR naudotojų saugos mokymus, reguliariai jiems primena saugos problemas, teikia konsultacijas (elektroniniu paštu, telefonu, prireikus rengia atmintines naujai priimtiems darbuotojams ir pan.);

14.7. dalyvauja tiriant ATPR tvarkytojo įstaigoje (ir jos reguliavimo sričiai priskirtose kitose įstaigose) įvykusius elektroninės informacijos saugos incidentus;

14.8. atlieka kitas Saugos nuostatuose ir kituose ATPR saugos politiką įgyvendinančiuose dokumentuose nustatytas funkcijas, susijusias su ATPR elektroninės informacijos sauga.

15. ATPR administratorius (administratoriai):

15.1. prižiūri ATPR ir jo infrastruktūrą, užtikrina jos veikimą ir elektroninės informacijos saugą;

15.2. reguliariai tikrina (peržiūri) ATPR įrangos sąranką ir jos būsenos rodiklius;

15.3. administruoja ATPR naudotojus, išskyrus tuos ATPR naudotojus, kurių administravimo teisės suteiktos kitoms ATPR tvarkytojų įstaigoms pagal Saugos nuostatų 10.5 papunktį;

15.4. vykdo Informatikos ir ryšių departamento paskirto saugos įgaliotinio nurodymus ir pavedimus, susijusius su ATPR saugos užtikrinimu, nuolat teikia jam informaciją apie saugą užtikrinančių pagrindinių komponentų būklę;

15.5. atlieka kitas Informatikos ir ryšių departamento direktoriaus pavestas, Saugos reikalavimų, Saugos reikalavimų aprašo, ATPR nuostatų ir kitų teisės aktų nustatytas funkcijas.

16. ATPR elektroninė informacija tvarkoma ir jos sauga užtikrinama vadovaujantis:

16.1. Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymu;

16.2. Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu;

16.3. Saugos reikalavimų aprašu;

16.4. Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo patvirtinimo“ (toliau – Klasifikavimo gairės);

16.5. ATPR nuostatais;

16.6. Techniniais valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimais, patvirtintais Lietuvos Respublikos vidaus reikalų ministro 2013 m. spalio 4 d. įsakymu Nr. 1V-832 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų patvirtinimo“;

16.7. Bendraisiais reikalavimais organizacinėms ir techninėms asmens duomenų saugumo priemonėms, patvirtintais Valstybinės duomenų apsaugos inspekcijos direktoriaus 2008 m. lapkričio 12 d. įsakymu Nr. 1T-71(1.12) „Dėl Bendrųjų reikalavimų organizacinėms ir techninėms asmens duomenų saugumo priemonėms patvirtinimo“ (toliau – Bendrieji reikalavimai saugumo priemonėms);

16.8. Lietuvos standartais LST ISO/IEC 27001:2013, LST ISO/IEC 27002:2014, taip pat kitais Lietuvos ir tarptautiniais „Informacijos technologija. Saugumo technika“ grupės standartais, apibūdinančiais informacijos saugos valdymą ir saugų duomenų tvarkymą;

16.9. kitais teisės aktais, reglamentuojančiais elektroninės informacijos tvarkymo teisėtumą ir elektroninės informacijos saugos valdymą.

II SKYRIUS

ELEKTRONINĖS INFORMACIJOS SAUGOS VALDYMAS

17. ATPR tvarkoma elektroninė informacija priskiriama ypatingos svarbos elektroninės informacijos kategorijai vadovaujantis Klasifikavimo gairių 4.1.2 ir 4.1.7 papunkčiuose nustatytais kriterijais.

18. Atsižvelgiant į ATPR tvarkomos elektroninės informacijos svarbos kategoriją ir vadovaujantis Klasifikavimo gairių 5.1 papunkčiu, ATPR priskiriamas pirmajai kategorijai.

19. ATPR asmens duomenų tvarkymas automatiniu būdu priskirtinas antrajam saugumo lygiui vadovaujantis Bendrųjų reikalavimų saugumo priemonėms 11.2 papunkčio nuostata.

20. Informatikos ir ryšių departamento paskirtas ATPR saugos įgaliotinis, atsižvelgdamas į VRM išleistą metodinę priemonę „Rizikos analizės vadovas“, Lietuvos ir tarptautinius „Informacijos technologija. Saugumo technika“ grupės standartus, kasmet organizuoja ATPR rizikos įvertinimą ir parengia rizikos įvertinimo ataskaitą; prireikus jis gali organizuoti neeilinį rizikos įvertinimą.

21. ATPR rizikos įvertinimo ataskaita rengiama atsižvelgiant į rizikos veiksnius, galinčius turėti įtakos informacijos saugai. Svarbiausi rizikos veiksniai:

21.1. subjektyvūs netyčiniai (duomenų tvarkymo klaidos ir apsirikimai, duomenų ištrynimas, klaidingas duomenų teikimas, duomenų perdavimo tinklų veiklos trikdymai, programinės įrangos klaidos, netinkamas veikimas ir kita);

21.2. subjektyvūs tyčiniai (nesankcionuotas naudojimasis ATPR, duomenų pakeitimas ir sunaikinimas, duomenų perdavimo tinklų veiklos trikdymai, fizinio saugumo pažeidimai, vagystės ir kita);

21.3. veiksniai, nurodyti Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių, patvirtintų Lietuvos Respublikos Vyriausybės 1996 m. liepos 15 d. nutarimu Nr. 84 „Dėl Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių patvirtinimo“, 3 punkte.

22. ATPR valdytojas, atsižvelgdamas į ATPR rizikos įvertinimo ataskaitą, prireikus tvirtina Informatikos ir ryšių departamento parengtą rizikos įvertinimo ir rizikos valdymo priemonių planą, kuriame numatomas techninių, administracinių ir kitų išteklių poreikis rizikos valdymo priemonėms įgyvendinti.

23. ATPR saugos priemonės parenkamos įvertinus galimus rizikos veiksnius ATPR duomenų vientisumui, konfidencialumui ir prieinamumui.

24. Siekdamas užtikrinti Saugos nuostatuose ir saugos politiką įgyvendinančiuose dokumentuose nustatytų reikalavimų įgyvendinimo organizavimą ir įgyvendinimo kontrolę, Informatikos ir ryšių departamento paskirtas ATPR saugos įgaliotinis ne rečiau kaip kartą per metus organizuoja ATPR informacinių technologijų saugos atitikties vertinimą, kurio metu:

24.1. įvertinama realios ATPR elektroninės informacijos saugos situacijos atitiktis Saugos nuostatų, saugos politiką įgyvendinančių dokumentų ir kitų teisės aktų reikalavimams;

24.2. patikrinama ne mažiau kaip 10 procentų atsitiktinai parinktų ATPR naudotojų kompiuterizuotų darbo vietų bei visų tarnybinių stočių įdiegta programinė įranga ir jos sąranka;

24.3. patikrinama (įvertinama) ATPR naudotojams ir administratoriams suteiktų teisių atitiktis vykdomoms funkcijoms;

24.4. įvertinamas pasirengimas užtikrinti ATPR veiklos tęstinumą įvykus elektroninės informacijos saugos incidentui.

25.  Ne rečiau kaip kartą per trejus metus ATPR informacinių technologijų saugos atitikties vertinimą turi atlikti nepriklausomi, visuotinai pripažintų tarptautinių organizacijų sertifikuoti informacinių sistemų auditoriai.

26. Atlikus ATPR informacinių technologijų saugos atitikties vertinimą, ATPR saugos įgaliotinis rengia pastebėtų trūkumų šalinimo planą, kurį tvirtina, atsakingus vykdytojus paskiria ir nustatytų trūkumų šalinimo įgyvendinimo terminus nustato ATPR valdytojas.

27. Pagrindiniai elektroninės informacijos saugos priemonių parinkimo principai yra šie:

27.1. likutinė rizika turi būti sumažinta iki priimtino lygio;

27.2. elektroninės informacijos saugos priemonės diegimo kaina turi būti proporcinga saugomos elektroninės informacijos vertei;

27.3. turi būti įdiegtos prevencinės, detekcinės ir korekcinės informacijos saugos priemonės.

III SKYRIUS

ORGANIZACINIAI IR TECHNINIAI REIKALAVIMAI

28. Programinės įrangos, skirtos ATPR apsaugoti nuo kenksmingos programinės įrangos (virusų, programinės įrangos, skirtos šnipinėjimui, nepageidaujamo elektroninio pašto ir panašiai), naudojimo nuostatos ir jos atnaujinimo reikalavimai:

28.1. ATPR tarnybinėse stotyse ir kompiuterizuotose darbo vietose turi būti naudojamos centralizuotai valdomos kenksmingos programinės įrangos aptikimo priemonės, nuolat ieškančios ir blokuojančios kenksmingą programinę įrangą (virusų, šnipinėjimo programinę įrangą ir kt.), kurios turi būti reguliariai atnaujinamos automatiniu būdu ne rečiau kaip kartą per 24 valandas;

28.2. programinės įrangos konfigūravimas turi būti apsaugotas slaptažodžiu.

29. Programinės įrangos, įdiegtos tarnybinėse stotyse ir kompiuterizuotose darbo vietose, naudojimo nuostatos:

29.1. ATPR darbui gali būti naudojama tik legali ir patikrinta programinė įranga;

29.2. programinė įranga atnaujinama laikantis gamintojo reikalavimų;

29.3. programinės įrangos diegimą, šalinimą ir konfigūravimą atlieka ATPR administratorius (administratoriai).

30. Kompiuterių tinklo filtravimo įrangos (užkardų, turinio kontrolės sistemų, įgaliotųjų serverių (angl. proxy) ir kt.) pagrindinės naudojimo nuostatos:

30.1. kompiuterių tinklai nuo viešųjų telekomunikacijų tinklų (interneto) turi būti atskirti ugniasienėmis, DOS ir DDOS atakų prevencijai skirta įranga bei įsilaužimų aptikimo ir prevencijos įranga;

30.2. visas duomenų srautas į internetą ir iš jo yra filtruojamas naudojant apsaugą nuo virusų ir kitos kenksmingos programinės įrangos;

30.3. naudojamos turinio filtravimo sistemos.

31. Metodai, kuriais leidžiama užtikrinti saugų elektroninės informacijos teikimą ir (ar) gavimą:

31.1. ATPR naudotojų, jų vykdytų užklausų ir peržiūrėtų užklausų rezultatų duomenys tvarkomi Vidaus reikalų informacinės sistemos naudotojų administravimo posistemėje Lietuvos Respublikos vidaus reikalų ministro 2005 m. kovo 9 d. įsakymu Nr. 1V-68 „Dėl Vidaus reikalų informacinės sistemos centrinio duomenų banko duomenų peržiūros kontrolės taisyklių patvirtinimo“ nustatyta tvarka;

31.2. tiesioginė prieiga prie ATPR elektroninės informacijos suteikiama įgyvendinus ATPR naudotojų administravimo taisyklėse nurodytas ATPR naudotojų autentifikavimo priemones. Tiesioginė prieiga prie ATPR užtikrinama automatiniu būdu ištisą parą darbo ir poilsio dienomis;

31.3. ATPR elektroninė informacija perduodama automatiniu būdu naudojant TCP/IP, HTTPS protokolus realiame laike (On-line režimu) arba asinchroniniu režimu pagal ATPR duomenų teikimo sutartis, kuriose nustatytos perduodamos elektroninės informacijos specifikacijos, kopijų skaičius, kitos elektroninės informacijos perdavimo sąlygos ir tvarka;

31.4. ATPR elektroninė informacija, perduodama ne per ATPR tvarkytojams priklausančias duomenų perdavimo linijas, privalo būti šifruojama.

32. ATPR elektroninės informacijos perdavimui naudojamas Vidaus reikalų telekomunikacinis tinklas ir Saugus valstybinis duomenų perdavimo tinklas.

33. ATPR naudotojams, savo tarnybinėms funkcijoms vykdyti naudojantiems nešiojamus kompiuterius ATPR elektroninės informacijos perdavimui kompiuterių tinklais ne savo darbo vietoje, šiuose kompiuteriuose turi būti naudojamas kompiuterio įjungimo slaptažodis, papildomas ATPR naudotojo tapatybės patvirtinimas ir elektroninės informacijos šifravimas.

34. ATPR naudotojams, kuriems būtinas prisijungimas tiesioginėms pareigoms atlikti iš nutolusios darbo vietos, gali būti suteikiama nuotolinio prisijungimo prie ATPR galimybė:

34.1. techninis nuotolinio prisijungimo sprendimas turi užtikrinti ne žemesnį nei vidiniam prisijungimui naudojamą saugumo lygį, t. y. turi būti naudojamos Saugos nuostatuose nurodytos priemonės ir elektroninės informacijos šifravimas naudojantis virtualiu privačiu tinklu (angl. virtual private network – VPN);

34.2. prie ATPR prisijungiama nuotoliniu būdu naudojant interneto naršyklę (HTTPS protokolą);

34.3. ATPR duomenų teikėjams ar gavėjams nuotolinio prisijungimo prie ATPR galimybė suteikiama tik pagal duomenų teikimo sutartyse nustatytas specifikacijas ir sąlygas.

35. Pagrindiniai atsarginių elektroninės informacijos kopijų darymo ir atkūrimo reikalavimai:

35.1. ATPR elektroninės informacijos kopijos turi būti daromos automatiškai kiekvieną dieną. Prireikus jas atkurti turi teisę ATPR administratorius (administratoriai);

35.2. atkūrimas iš elektroninės informacijos kopijų privalo būti išbandomas;

35.3. elektroninės informacijos kopijos turi būti saugomos kitoje patalpoje nei ATPR tarnybinės stotys.

IV SKYRIUS

REIKALAVIMAI PERSONALUI

36. ATPR saugos įgaliotiniai privalo išmanyti elektroninės informacijos saugos užtikrinimo principus, savo darbe vadovautis Saugos reikalavimų aprašu, kitais Lietuvos Respublikos ir Europos Sąjungos teisės aktais, reglamentuojančiais saugų duomenų tvarkymą, privalo tobulinti kvalifikaciją elektroninės informacijos saugos srityje.

37. ATPR saugos įgaliotiniu negali būti skiriamas asmuo, turintis neišnykusį ar nepanaikintą teistumą už nusikaltimą elektroninių duomenų ir informacinių sistemų saugumui, taip pat paskirtą administracinę nuobaudą už neteisėtą asmens duomenų tvarkymą ir privatumo apsaugos pažeidimą elektroninių ryšių srityje, elektroninių ryšių išteklių naudojimo ir skyrimo taisyklių pažeidimą, elektroninių ryšių tinklo gadinimą ar savavališką prisijungimą prie tinklo arba galinių įrenginių, kurie trukdo elektroninių ryšių tinklo darbui, savavališką prisijungimą arba elektroninių ryšių infrastruktūros įrengimo, naudojimo ir apsaugos sąlygų ir taisyklių pažeidimą, jeigu nuo jos paskyrimo praėję mažiau kaip vieni metai.

38. ATPR administratorius (administratoriai) privalo išmanyti pagrindinius elektroninės informacijos saugos ir darbo su duomenų perdavimo tinklais principus, turėti sisteminių programinių priemonių administravimo ir priežiūros patirties, mokėti administruoti ir prižiūrėti duomenų bazes, gebėti užtikrinti techninės ir programinės įrangos nepertraukiamą funkcionavimą, stebėti techninės ir programinės įrangos veikimą, atlikti techninės ir programinės įrangos profilaktinę priežiūrą, sutrikimų diagnostiką ir šalinimą, turėti sisteminių programinių priemonių (Windows, Unix, Oracle) administravimo ir priežiūros patirties.

39. ATPR administratoriai privalo išmanyti pagrindinius elektroninės informacijos saugos darbo su duomenų perdavimo tinklais principus, turėti sisteminių programinių priemonių administravimo ir priežiūros patirties, mokėti administruoti ir prižiūrėti duomenų bazes.

40. Visi ATPR naudotojai privalo:

40.1. turėti atitinkamą kvalifikaciją (informacinių technologijų vartotojų kvalifikacijos kursai, pradinis saugaus darbo su duomenimis mokymas, ECDL (Europos kompiuterio vartotojo pažymėjimas) vartotojo sertifikatas ar pan.) ir patirties (dirbant su atitinkamomis operacinėmis sistemomis, taikomosiomis programomis ir pan.);

40.2. būti susipažinę su Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu, kitais teisės aktais, reglamentuojančiais asmens duomenų tvarkymą ir ATPR duomenų saugą;

40.3. būti pasirašę pasižadėjimą saugoti asmens duomenų paslaptį;

40.4. nuolat kelti kvalifikaciją kvalifikacijos kėlimo kursuose, saugaus darbo su duomenimis seminaruose.

41. ATPR naudotojams ne rečiau kaip kartą per kalendorinius metus turi būti rengiami duomenų saugos mokymai, įvairiais būdais primenama apie saugos problematiką (pvz., priminimai elektroniniu paštu, teminių seminarų rengimas, atmintinės ir pan.). Saugos mokymai organizuojami periodiškai, mokymus organizuoja ir jų efektyvumą vertina Informatikos ir ryšių departamento paskirtas ATPR saugos įgaliotinis kartu su kitais ATPR saugos įgaliotiniais.

V SKYRIUS

ATPR NAUDOTOJŲ SUPAŽINDINIMO SU SAUGOS DOKUMENTAIS PRINCIPAI

42. Tvarkyti ATPR elektroninę informaciją gali tik ATPR naudotojai, susipažinę su Saugos nuostatais, ATPR saugos politiką įgyvendinančiais dokumentais ir kitais teisės aktais, kuriais vadovaujamasi tvarkant elektroninę informaciją, užtikrinant jos saugumą, bei atsakomybe už saugos dokumentų nuostatų pažeidimus, ir raštu sutikę laikytis saugos dokumentuose nustatytų reikalavimų. Pakartotinis supažindinimas yra vykdomas pasikeitus minėtiems dokumentams ir teisės aktams.

43. Už ATPR naudotojų supažindinimą su šiais Saugos nuostatais ir ATPR saugos politiką įgyvendinančiais dokumentais pagal kompetenciją yra atsakingi Informatikos ir ryšių departamento paskirtas ATPR saugos įgaliotinis ir kiti ATPR saugos įgaliotiniai.

44. ATPR Saugos nuostatai ir ATPR saugos politiką įgyvendinantys dokumentai skelbiami ATPR valdytojo interneto svetainėje.

45. ATPR naudotojai su Saugos nuostatais ir ATPR saugos politiką įgyvendinančiais dokumentais bei atsakomybe už jų reikalavimų nesilaikymą supažindinami pasirašytinai.

46. Saugos nuostatai ir ATPR saugos politiką įgyvendinantys dokumentai iš esmės turi būti persvarstomi (peržiūrimi) ne rečiau kaip kartą per kalendorinius metus. Šie  saugos dokumentai turi būti persvarstomi (peržiūrimi) atlikus rizikos veiksnių analizę ar informacinių technologijų saugos atitikties vertinimą arba įvykus esminiams organizaciniams, sisteminiams ar kitiems pokyčiams. Saugos įgaliotinis atsakingas, kad ATPR naudotojai būtų informuoti apie jų pakeitimą ir (ar) pripažinimą netekusiais galios.

VI SKYRIUS

BAIGIAMOSIOS NUOSTATOS

47. ATPR tvarkytojai, ATPR saugos įgaliotiniai, ATPR administratoriai ir ATPR naudotojai, pažeidę Saugos nuostatų ar kitų saugų elektroninės informacijos tvarkymą reglamentuojančių teisės aktų reikalavimus, atsako Lietuvos Respublikos įstatymų ir kitų teisės aktų nustatyta tvarka.

__________________________