LOGOnespalv-maz2

LIETUVOS RESPUBLIKOS ŽEMĖS ŪKIO MINISTRAS

ĮSAKYMAS

DĖL VALSTYBINĖS AUGALININKYSTĖS TARNYBOS PRIE ŽEMĖS ŪKIO MINISTERIJOS INFORMACINĖS SISTEMOS SAUGAUS ELEKTRONINĖS INFORMACIJOS TVARKYMO TAISYKLIŲ, VEIKLOS TĘSTINUMO VALDYMO PLANO IR NAUDOTOJŲ ADMINISTRAVIMO TAISYKLIŲ PATVIRTINIMO

2022 m. kovo 25 d. Nr. 3D-218

Vilnius

Vadovaudamasis Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymo 43 straipsnio 2 dalimi, Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, 7 ir 8 punktais,

tvirtinu pridedamus:

1. Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos saugaus elektroninės informacijos tvarkymo taisykles;

2. Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos veiklos tęstinumo valdymo planą;

3. Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos naudotojų administravimo taisykles.

Žemės ūkio ministras Kęstutis Navickas

SUDERINTA

Nacionalinio kibernetinio saugumo centro

prie Krašto apsaugos ministerijos

2022-03-24 raštu Nr. (4.1 E) 6K-264

PATVIRTINTA

Lietuvos Respublikos žemės ūkio ministro

2022 m. kovo 25 d. įsakymu Nr. 3D-218

VALSTYBINĖS AUGALININKYSTĖS TARNYBOS PRIE ŽEMĖS ŪKIO MINISTERIJOS INFORMACINĖS SISTEMOS SAUGAUS ELEKTRONINĖS INFORMACIJOS TVARKYMO TAISYKLĖS

I SKYRIUS

BENDROSIOS NUOSTATOS

1. Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos (toliau – VAT) informacinės sistemos (toliau – VATIS) saugaus elektroninės informacijos tvarkymo taisyklių (toliau – Taisyklės) tikslas – nustatyti tvarką, užtikrinančią saugų VATIS techninės, programinės įrangos funkcionavimą, VATIS duomenų tvarkymą ir jų teikimą kitoms institucijoms pagal teisės aktų nustatytus reikalavimus.

2. Taisyklės parengtos vadovaujantis teisės aktais, kurie nurodyti Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos duomenų saugos nuostatų, patvirtintų Lietuvos Respublikos žemės ūkio ministro 2016 m. liepos
4 d. įsakymu Nr. 3D-404 „Dėl Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos nuostatų ir Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos duomenų saugos nuostatų patvirtinimo“ (toliau – Saugos nuostatai), 3 punkte.

3. Taisyklėse vartojamos sąvokos suprantamos taip, kaip jos apibrėžtos Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Lietuvos Respublikos kibernetinio saugumo įstatyme, Bendrųjų elektroninės informacijos saugos reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo aprašo patvirtinimo“ bei kituose teisės aktuose, reglamentuojančiuose elektroninės informacijos saugą.

4. VATIS saugoma informacija yra skirstoma į šias grupes:

4.1. VATIS administratoriaus tvarkoma informacija;

4.2. VATIS naudotojų tvarkoma informacija.

5. Elektroninės informacijos, priskirtos atskiroms kategorijoms, sąrašas:

5.1. VATIS administratorius atsakingas už šios informacijos tvarkymą:

5.1.1. VATIS naudotojų tapatybės duomenis;

5.1.2. VATIS naudotojų teisių duomenis;

5.1.3. VATIS naudotojų paskyrų, grupių, teisių, slaptažodžių kūrimo ir keitimo taisykles;

5.1.4. VATIS naudotojų veiksmų monitoringo informaciją;

5.1.5. VATIS duomenų teikėjų ir gavėjų informaciją;

5.1.6. VATIS parametrų ir klasifikatorių duomenis;

5.1.7. VATIS klaidų sąrašą;

5.1.8. VATIS vidiniame ir išoriniame portaluose teikiamus duomenis ir informaciją.

5.2. VATIS naudotojai atsakingi už VATIS elektroninės informacijos tvarkymą pateikti Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos nuostatuose, patvirtintuose Lietuvos Respublikos žemės ūkio ministro 2016 m. liepos 4 d. įsakymu Nr. 3D-404 „Dėl Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos nuostatų ir Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos duomenų saugos nuostatų patvirtinimo“ (toliau – VATIS nuostatai) ir Saugos nuostatuose.

II SKYRIUS

TECHNINIŲ IR KITŲ SAUGOS PRIEMONIŲ APRAŠYMAS

6. Saugiam VATIS elektroninės informacijos tvarkymui užtikrinti naudojamos kompiuterinės įrangos, programinės įrangos, fizinės, techninės ir organizacinės duomenų saugos priemonės.

7. Kompiuterinės įrangos apsaugos priemonės:

7.1. teisę prieiti prie VATIS techninės kompiuterinės įrangos ir dirbti su ja turi tik VATIS administratorius, jo veiksmai, užtikrinantys VATIS duomenų apsaugą, aprašyti Saugos nuostatuose;

7.2. pagrindinės tarnybinės stotys, svarbiausi duomenų perdavimo tinklo mazgai ir ryšio linijos yra dubliuojami ir jų techninė būklė nuolat stebima;

7.3. VATIS administratorius automatizuotu būdu turi būti perspėjamas, kai pagrindinėje VATIS kompiuterinėje įrangoje sumažėja iki nustatytos ribos laisva vieta diske, centrinis procesorius, operatyvioje atmintis ar kompiuterių tinklo sąsaja išnaudojami daugiau nei 80 procentų;

7.4. esant tarnybiniam būtinumui, mobilieji įrenginiai, naudojami prisijungti prie VATIS, gali būti naudojami ne darbo vietos patalpose; už mobilaus įrenginio fizinę saugą atsakingas mobiliojo įrenginio naudotojas;

7.5. nešiojamuosiuose kompiuteriuose, kurie naudojami prisijungimui prie VATIS, duomenys šifruojami duomenų tvarkymo keliamą riziką atitinkančiomis priemonėmis. Šią riziką įvertina ir atitinkamas duomenų šifravimo priemones nurodo VATIS saugos įgaliotinis;

7.6. iš stacionarių, nešiojamųjų kompiuterių, mobiliųjų įrenginių ar elektroninės informacijos laikmenų, kurie perduodami remonto, techninės priežiūros paslaugų teikėjui, kitam VATIS naudotojui arba nurašomi, turi būti neatkuriamai sunaikinta visa nevieša elektroninė informacija.

8. Sisteminės ir taikomosios programinės įrangos apsaugos priemonės:

8.1. VATIS naudojama tik legali, darbo funkcijoms atlikti reikalinga programinė įranga, įtraukta į leistinos programinės įrangos sąrašą. Už tinkamą programinės įrangos priežiūrą atsakingas VATIS administratorius;

8.2. programinė įranga prižiūrima laikantis gamintojo rekomendacijų;

8.3. kompiuterinėse darbo vietose ir VATIS tarnybinėse stotyse naudojamos centralizuotai valdomos kenksmingosios programinės įrangos aptikimo priemonės. Šios priemonės automatiniu būdu bent kartą per mėnesį atnaujinamos;

8.4. pagrindinių tarnybinių stočių įvykių žurnaluose (angl. event log), apsaugotuose nuo neteisėto juose esančių duomenų naudojimo, keitimo, iškraipymo, sunaikinimo, registruojami, nurodant VATIS naudotojo identifikatorių ir įvykio laiką ir saugomi duomenys apie:

8.4.1. VATIS įjungimą, išjungimą;

8.4.2. audito funkcijos įjungimą ir išjungimą;

8.4.3. audito įrašų trynimą, kūrimą ar keitimą;

8.4.4. sėkmingus ir nesėkmingus bandymus registruotis ir prieiti prie VATIS elektroninės informacijos;

8.4.5. VATIS naudotojų ar jų grupių ir VATIS administratoriaus prieigos teisių pakeitimą;

8.4.6. kitus svarbius saugai įvykius;

8.5. įvykių žurnaluose saugomus duomenis ne rečiau nei kartą per mėnesį ar įvykus elektroninės informacijos saugos incidentui analizuoja VATIS administratorius.

9. Elektroninės informacijos perdavimo tinklais saugumo užtikrinimo priemonės:

9.1. VATIS naudotojai internetu jungiasi prie užkarda (angl. firewall) apsaugotų tarnybinių stočių, naudodamiesi unikaliais identifikaciniais prisijungimo duomenimis;

9.2. elektroninės informacijos perdavimo tinklas yra segmentuotas pagal įrenginių atliekamas funkcijas ir turi priskirtus IP adresų intervalus:

9.2.1. paslaugų tarnybinių stočių potinklis, skirtas taikomųjų programų, duomenų bazių tarnybinėms stotims;

9.2.2. kompiuterizuotų darbo vietų potinkliai;

9.2.3. mobiliųjų įrenginių potinkliai;

9.2.4. VATIS testavimo potinklis, skirtas tarnybinėms stotims, kurios naudojamos testuoti VATIS pakeitimus;

9.2.5. VATIS administratoriaus potinklis, skirtas sujungti ir valdyti kitus tinklo segmentus;

9.3. VATIS duomenys, siunčiami per viešuosius tinklus, yra šifruojami;

9.4. užtikrinant saugų elektroninės informacijos teikimą ir (ar) gavimą iš kitų valstybės institucijų, naudojamas Saugus valstybės duomenų perdavimo tinklas;

9.5. Belaidžio tinklo saugumas ir kontrolė:

9.5.1. leidžiama naudoti tik su VATIS saugos įgaliotiniu suderintus belaidžio tinklo įrenginius, atitinkančius techninius elektroninės informacijos saugos reikalavimus;

9.5.2. tikrinami prieigai prie VATIS naudojami belaidžiai įrenginiai, apie neleistinus ar techninių elektroninės informacijos saugos reikalavimų neatitinkančius belaidžius įrenginius informuojamas VATIS saugos įgaliotinis;

9.5.3. belaidės prieigos taškai gali būti diegiami tik atskirame potinklyje, kontroliuojamoje zonoje;

9.5.4. prisijungiant prie belaidžio tinklo, turi būti taikomas naudotojų tapatumo patvirtinimo EAP (angl. Extensible Authentication Protocol) / TLS (angl. Transport Layer Security) protokolas;

9.5.5. belaidėje sąsajoje turi būti išjungti tinklo stebėsenos ir valdymo protokolas (SNMP) ir kiti nebūtini valdymo protokolai;

9.5.6. turi būti išjungti nenaudojami duomenų perdavimo TCP (angl. Transmission Control Protocol) / UDP (angl. User Datagram Protocol) protokolų naudojami prievadai;

9.5.7. turi būti išjungtas lygiarangis (angl. peer to peer) funkcionalumas, leidžiantis belaidžiais įrenginiais tarpusavyje palaikyti ryšį;

9.5.8. belaidis ryšys turi būti šifruojamas mažiausiai 128 bitų ilgio raktu;

9.5.9. prieš pradedant naudoti belaidę prieigos stotelę ir šifruoti belaidį ryšį, turi būti pakeisti belaidės prieigos stotelėje standartiniai gamintojo slaptažodžiai ir šifravimo raktai.

10. Patalpų ir aplinkos saugumo užtikrinimo priemonės, taikomos patalpoms, kuriose veikia VATIS tarnybinės stotys:

10.1. įrengta elektroninė perimetro kontrolės sistema; tarnybinių stočių patalpos turi atskirą elektroninę perimetro kontrolės sistemą;

10.2. patalpos atitinka priešgaisrinės saugos reikalavimus, jose yra gaisro gesinimo priemonės. Periodiškai atliekama gaisro gesinimo priemonių patikra;

10.3. patalpose įrengti įsilaužimo davikliai, prijungti prie pastato signalizacijos;

10.4. tarnybinių stočių patalpų durys šarvuotos ir apsaugotos dviem skirtingos konstrukcijos spynomis (rakinama raktu ir kodine);

10.5. asmenys į tarnybinių stočių patalpas gali patekti tik lydimi VATIS administratoriaus ar VATIS saugos įgaliotinio;

10.6. asmenys, norintys patekti į tarnybinių stočių patalpas, užregistruojami VATIS saugos įgaliotinio vedamame registracijos žurnale;

10.7. tarnybinės stotys saugomos rakinamose spintose, kurių raktą turi VATIS administratorius ir VATIS saugos įgaliotinis;

10.8. techninė įranga įnešama ir išnešama iš patalpų leidus VATIS administratoriui;

10.9. techninė įranga apsaugoma nuo elektros srovės svyravimų, nuo neteisėtos prieigos prie techninės įrangos, jos sugadinimo ar neteisėto poveikio jai. Naudojami specialūs maitinimo šaltiniai, nenutrūkstamo maitinimo šaltinis su automatine apsauga nuo įtampos svyravimų;

10.10. nenutrūkstamo maitinimo šaltinis užtikrina VATIS pagrindinės kompiuterinės įrangos veikimą ne trumpiau nei 30 minučių;

10.11. ryšių kabeliai apsaugomi nuo neteisėto prie jų prisijungimo ir jų pažeidimo;

10.12. įgyvendintos gamintojo nustatytos techninės įrangos darbo sąlygos;

10.13. patalpose palaikoma tinkama temperatūra ir tinkamas oro drėgnumas.

11. Nešiojamųjų kompiuterių, naudojamų prisijungimui prie VATIS, naudojimo tvarka:

11.1. prisijungimui prie VATIS leidžiama naudoti tik tarnybinius nešiojamuosius kompiuterius;

11.2. išnešti iš patalpų nešiojamieji kompiuteriai negali būti palikti be priežiūros;

11.3. nešiojamąjį kompiuterį paliekant ilgesniam laikui, jis turi būti išjungiamas;

11.4. prie nešiojamojo kompiuterio gali būti jungiami tik VATIS naudotojų tarnybinėms funkcijoms atlikti reikalingi įrenginiai, įtraukti į leistinų jungti įrenginių sąrašą;

11.5. turi būti įdiegiami operacinės sistemos ir kitos naudojamos programinės įrangos gamintojų rekomenduojami atnaujinimai;

11.6. duomenys, perduodami belaidžiu ryšiu tarp nešiojamojo kompiuterio ir VATIS, turi būti šifruojami taikant VPN technologiją;

11.7. jungiantis prie VATIS išteklių, turi būti patvirtinamas tapatumas; nešiojamame kompiuteryje ar jo taikomojoje programinėje įrangoje turi būti uždrausta automatiškai išsaugoti slaptažodį;

11.8. nešiojamas kompiuteris, kuriuo nesinaudojama 15 minučių, turi automatiškai užsirakinti.

12. Mobiliųjų įrenginių (išmaniųjų telefonų ir planšetinių kompiuterių, naudojančių Android ar iOS operacines sistemas), naudojamų prisijungti prie VATIS, saugumas ir kontrolė:

12.1. leidžiama naudoti tik tarnybinius, tinkamai sukonfigūruotus, su įdiegtomis saugos priemonėmis ir įdiegta tarnybinėms funkcijoms atlikti reikalinga programine įranga mobiliuosius įrenginius;

12.2. mobiliuosiuose įrenginiuose turi būti įdiegta centralizuoto mobiliųjų įrenginių administravimo programinė įranga;

12.3. mobilieji įrenginiai turi būti apsaugoti saugiais slaptažodžiais;

12.4. mobiliajame įrenginyje nesant nustatyto slaptažodžio, draudžiama jame saugoti jautrius ir neužšifruotus duomenis; šiuo atveju duomenys turi būti laikomi laikmenose atskirai nuo mobiliojo įrenginio;

12.5. esant galimybei, mobilusis įrenginys užrakinamas naudojant PIN kodą, atrakinimo piešinį, slaptažodį ar biometrinius duomenis;

12.6. išnešti iš patalpų mobilieji įrenginiai negali būti palikti be priežiūros;

12.7. mobilųjį įrenginį paliekant ilgesniam laikui, jis turi būti išjungiamas;

12.8. turi būti įdiegiami operacinės sistemos ir kitos naudojamos programinės įrangos gamintojų rekomenduojami atnaujinimai;

12.9. prie mobiliųjų įrenginių gali būti jungiami tik VATIS naudotojų tarnybinėms funkcijoms atlikti reikalingi įrenginiai, įtraukti į leistinų jungti įrenginių sąrašą;

12.10. duomenys, perduodami tarp mobiliojo įrenginio ir VATIS, turi būti šifruojami taikant VPN technologiją;

12.11. jungiantis prie informacinių išteklių, turi būti patvirtinamas tapatumas; mobiliajame įrenginyje ar jo taikomojoje programinėje įrangoje turi būti uždrausta automatiškai išsaugoti slaptažodį;

12.12. mobilusis įrenginys, kuriuo nesinaudojama 15 minučių, turi automatiškai užsirakinti;

12.13. turi būti užtikrinta kompiuterinių laikmenų apsauga.

13. Svetainės, pasiekiamų iš viešųjų elektroninių ryšių tinklų, saugumas ir kontrolė:

13.1. atpažinties, tapatumo patvirtinimo ir naudojimosi kontrolės reikalavimai:

13.1.1. draudžiama slaptažodžius saugoti programiniame kode;

13.1.2. svetainė, patvirtinanti nuotolinio prisijungimo tapatumą, turi drausti automatiškai išsaugoti slaptažodžius;

13.2. turi būti įgyvendinti svetainės kriptografijos reikalavimai:

13.2.1. svetainės administravimo darbai turi būti atliekami per šifruotą ryšio kanalą, šifruojant ne trumpesniu kaip 128 bitų raktu;

13.2.2. šifruojant naudojami skaitmeniniai sertifikatai privalo būti išduoti patikimų sertifikavimo tarnybų; sertifikato raktas turi būti ne trumpesnis kaip 2048 bitų;

13.2.3. svetainės kriptografinės funkcijos turi būti įdiegtos tarnybinės stoties, kurioje yra svetainė, dalyje arba kriptografiniame saugumo modulyje (angl. Hardware security module);

13.2.4. šifravimui naudojamų raktų poros turi būti generuojamos naudojant algoritmus, atitinkančius kvalifikuoto elektroninio parašo reikalavimus;

13.2.5. generuojamų raktų ilgiai turi būti tinkami kvalifikuotam elektroniniam parašui;

13.2.6. privatieji kriptografiniai raktai ar jų kopijos, saugomi ar laikomi ne kriptografiniame saugumo modulyje, turi būti šifruojami;

13.3. draudžiama tarnybinėje stotyje saugoti sesijos duomenis (identifikatorių), pasibaigus susijungimo sesijai;

13.4. turi būti naudojama svetainės ugniasienė (angl. Web Application Firewall);

13.5. turi būti naudojama svetainės naudotojo įvedamų duomenų tikslumo kontrolė (angl. Validation);

13.6. tarnybinė stotis, kurioje yra svetainė, neturi rodyti svetainės naudotojui klaidų pranešimų apie svetainės programinį kodą ar tarnybinę stotį;

13.7. tarnybinė stotis, kurioje yra svetainė, turi leisti tik svetainės funkcionalumui užtikrinti reikalingus HTTP metodus;

13.8. turi būti uždrausta naršyti svetainės aplankuose (angl. Directory browsing).

14. VATIS darbo apskaitos ir kitos priemonės, naudojamos VATIS elektroninės informacijos saugai užtikrinti:

14.1. slaptažodžius, suteikiančius teisę dirbti su VATIS tarnybinėmis stotimis ir jų administravimo programine įranga, žino tik VATIS administratorius;

14.2. prieigos teisė dirbti su VATIS taikomąja programine įranga suteikiama VATIS naudotojams Lietuvos Respublikos žemės ūkio ministro įsakymu patvirtintose Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos naudotojų administravimo taisyklėse nustatyta tvarka;

14.3. VATIS naudotojams neatliekant jokių veiksmų 15 minučių, VATIS užsirakina ir toliau naudotis VATIS galima tik pakartojus tapatybės nustatymo ir autentiškumo patvirtinimo veiksmus;

14.4. baigus darbą, būtina užtikrinti, kad su elektronine informacija negalėtų susipažinti pašaliniai asmenys: atsijungti nuoVATIS, įjungti ekrano užsklandą su slaptažodžiu, dokumentus padėti į pašaliniams asmenims neprieinamą vietą;

14.5. VATIS naudotojų veiksmai su VATIS duomenimis registruojami programiniu būdu;

14.6. VATIS saugos įgaliotinis ne rečiau nei kartą per mėnesį peržiūri VATIS naudotojų prisijungimų prie duomenų bazės elektroninį žurnalą ir bent kartą per metus teikia VATIS naudotojų prisijungimų peržiūros ataskaitas;

14.7. VATIS duomenys nuo jų praradimo, iškraipymo, sunaikinimo, neteisėto panaudojimo galimybių apsaugomi techninėmis, organizacinėmis, programinėmis priemonėmis.

III SKYRIUS

SAUGUS ELEKTRONINĖS INFORMACIJOS TVARKYMAS

15. VATIS duomenų keitimo, atnaujinimo, įrašymo ir naikinimo tvarka:

15.1. VATIS duomenis keisti, atnaujinti, įrašyti ir naikinti gali tik autorizuoti VATIS naudotojai, turintys teisę tai atlikti;

15.2. VATIS duomenys įrašomi, atnaujinami, keičiami ir naikinami vadovaujantis VATIS nuostatais ir Saugos nuostatais;

15.3. VATIS turi būti įdiegtos įrašytos elektroninės informacijos tikslumo, užbaigtumo ir patikimumo tikrinimo priemonės;

15.4. VATIS naudotojui teisė naudotis VATIS suteikiama tik jam pasirašius Pasižadėjimą saugoti konfidencialią informaciją apie asmens duomenis, pateikiamą Taisyklių priede.

16. VATIS naudotojų veiksmų registravimo tvarka:

16.1. VATIS naudotojų tapatybė ir veiksmai su VATIS duomenimis fiksuojami programinėmis priemonėmis;

16.2. VATIS naudotojų tapatybė ir veiksmai su VATIS duomenimis įrašomi automatiniu būdu VATIS duomenų bazės veiksmų žurnale, apsaugotame nuo neteisėto jame esančių duomenų panaudojimo, pakeitimo, iškraipymo ar sunaikinimo;

16.3. VATIS duomenų bazės veiksmų žurnalo duomenys prieinami VATIS administratoriui, VATIS saugos įgaliotiniui ir atitinkamas teises turintiems VATIS naudotojams.

17. Atsarginių duomenų kopijų darymo, saugojimo ir duomenų atkūrimo iš atsarginių duomenų kopijų tvarka:

17.1. VATIS atsarginės duomenų kopijos daromos automatiniu būdu kas 12 valandų;

17.2. už VATIS duomenų atsarginių kopijų darymą yra atsakingas VATIS administratorius. VATIS administratoriaus funkcijos aprašytos Saugos nuostatuose ir kituose teisės aktuose, reglamentuojančiuose VATIS darbą;

17.3. prarasti, iškraipyti ar sunaikinti VATIS duomenys atkuriami iš VATIS duomenų atsarginių kopijų;

17.4. duomenys turi būti kopijuojami ir saugomi taip, kad duomenų praradimo atveju visišką VATIS funkcionalumą ir veiklą būtų galima atstatyti per 5 darbo dienas;

17.5. VATIS administratorius suderina su VATIS saugos įgaliotiniu duomenų atsarginių kopijų darymo metodus ir dažnumą, parengia ir suderina visiško ir dalinio duomenų atkūrimo bandymų metodus ir užtikrina duomenų atsarginių kopijų saugojimą ir duomenų atsarginių kopijų darymo kontrolę.

18. Duomenų perkėlimo ir teikimo kitoms informacinėms sistemoms, duomenų gavimo iš jų tvarka:

18.1. už VATIS naudotojų administravimą ir iš kitų susijusių informacinių sistemų teikiamų duomenų atnaujinimą VATIS yra atsakingas VATIS administratorius;

18.2. duomenų mainai tarp VATIS ir kitų informacinių sistemų vykdomi su šių informacinių sistemų valdytojais sudarytose duomenų teikimo sutartyse numatytais būdais, terminais ir numatytos apimties;

18.3. reorganizuojant arba likviduojant VATIS, jos elektroninė informacija turi būti saugiai perduodama kitam VATIS valdytojui, valstybės archyvams Lietuvos Respublikos dokumentų ir archyvų įstatymo nustatyta tvarka arba sunaikinama.

19. VATIS duomenų neteisėto kopijavimo, keitimo, naikinimo ar perdavimo nustatymo tvarka:

19.1. VATIS administratorius, užtikrindamas VATIS duomenų vientisumą, privalo naudoti visas įmanomas fizines, programines ir organizacines priemones, skirtas VATIS ir joje tvarkomiems duomenims apsaugoti nuo neteisėtų veiksmų;

19.2. VATIS naudotojas, įtaręs, kad su VATIS duomenimis buvo atlikti neteisėti veiksmai, privalo pranešti apie tai savo vadovui ir VATIS saugos įgaliotiniui ar VATIS administratoriui. VATIS administratorius, atsiradus įtarimams dėl neteisėtų veiksmų su VATIS duomenimis, pasinaudojęs VATIS duomenų bazės veiksmų žurnalo įrašais, nustato neteisėto poveikio šaltinį, laiką ir veiksmus, atliktus su VATIS programine įranga ir (ar) duomenimis;

19.3. VATIS administratorius, įtaręs, kad su VATIS duomenimis vykdomi neteisėti veiksmai, privalo apie tai pranešti VATIS saugos įgaliotiniui;

19.4. VATIS saugos įgaliotinis, gavęs pranešimą apie vykdomus neteisėtus veiksmus su VATIS arba su VATIS tvarkomais duomenimis, inicijuoja elektroninės informacijos saugos incidento valdymo procedūras.

20. VATIS programinės ir techninės įrangos keitimo ir atnaujinimo tvarka:

20.1. VATIS programinės ir techninės įrangos keitimo ir atnaujinimo tvarką, priklausomai nuo konkretaus atvejo, derina VATIS administratorius arba ji aprašoma paslaugų teikimo sutartyje;

20.2. prieš atliekant VATIS pokyčius, kurių metu gali iškilti grėsmė duomenų ir VATIS konfidencialumui, vientisumui ar pasiekiamumui, VATIS administratorius privalo atliekamus VATIS pokyčius ištestuoti;

20.3. pokyčiai testuojami atskiroje testavimo aplinkoje, kurioje nėra konfidencialių ir asmens duomenų, naudojant testavimui paruoštus duomenis;

20.4. atlikus vykdomų VATIS pokyčių testavimą ir gavus raštišką VATIS tvarkytojo sutikimą, VATIS administratorius gali pradėti įgyvendinti VATIS pokyčius;

20.5. įgyvendinant VATIS pokyčius, kurių metu galimi VATIS veikimo sutrikimai, VATIS administratorius privalo ne vėliau kaip prieš 2 dienas iki planuojamų VATIS pokyčių vykdymo pradžios elektroniniu paštu informuoti VATIS naudotojus apie tokių darbų pradžią ir galimus VATIS veikimo sutrikimus.

IV SKYRIUS

REIKALAVIMAI, KELIAMI INFORMACINĖS SISTEMOS FUNKCIONALUMUI REIKALINGOMS PASLAUGOMS IR JŲ TEIKĖJAMS

21. Paslaugų teikėjų prieigos prie VATIS lygiai ir sąlygos:

21.1. VATIS administratorius suteikia prieigos prie VATIS duomenų teisę (matyti VATIS duomenis, atlikti užklausas VATIS, vykdyti veiksmus su VATIS duomenimis ir kt.) bei fizinę prieigą prie techninės ir programinės įrangos paslaugų teikėjo įgaliotam fiziniam asmeniui paslaugų teikimo sutartyje nurodytam laikotarpiui jo nustatytoms funkcijoms atlikti;

21.2. VATIS administratorius, suteikdamas prieigos prie VATIS duomenų teisę, paslaugų teikėjo įgaliotą fizinį asmenį supažindina su prieigos prie VATIS duomenų sąlygomis;

21.3. pasibaigus sutartyje nurodytam laikotarpiui, VATIS administratorius panaikina paslaugų teikėjo įgalioto fizinio asmens prieigos prie VATIS duomenų teisę ir apie tai jį informuoja.

22. Patalpų, įrangos, VATIS priežiūros, ir kitų paslaugų reikalavimai:

22.1. reikalavimai paslaugų teikėjams ir jų teikiamoms projektavimo ir VATIS priežiūros paslaugoms nustatomi šių paslaugų teikimo sutartyse;

22.2. paslaugų teikimo sutartyje turi būti nurodoma, kad paslaugų teikėjas kuria ar modifikuoja VATIS taikomąją programinę įrangą, naudodamas:

22.2.1. elektroninės informacijos saugos priemones, apsaugančias nuo neteisėto poveikio sisteminei, programinei įrangai ir patalpoms;

22.2.2. VATIS testinės duomenų bazės duomenis (VATIS taikomajai programinei įrangai modifikuoti).

V SKYRIUS

BAIGIAMOSIOS NUOSTATOS

23. VATIS naudotojai, pažeidę šių Taisyklių ir kitų VATIS saugos politiką įgyvendinančių dokumentų nuostatas, atsako teisės aktų nustatyta tvarka.

––––––––––––––––

Valstybinės augalininkystės tarnybos prie

Žemės ūkio ministerijos informacinės

sistemos saugaus elektroninės

informacijos tvarkymo taisyklių

priedas

(Pasižadėjimo saugoti konfidencialią informaciją apie asmens duomenis formos pavyzdys)

Valstybinės augalininkystės tarnyba

PRIE ŽEMĖS ŪKIO MINISTERIJOS

PASIŽADĖJIMAS

SAUGOTI KONFIDENCIALIĄ INFORMACIJĄ APIE ASMENS DUOMENIS

		Nr.
(data)			(registracijos numeris)

	(sudarymo vieta)

Aš,__________________________________________________________________

(pareigos, vardas, pavardė, gimimo data)

____________________________________________________________________________ ,

1. Patvirtinu, kad esu susipažinęs (-usi) su Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos duomenų saugos nuostatais, patvirtintais Lietuvos Respublikos žemės ūkio ministro 2016 m. liepos 4 d. įsakymu Nr. 3D-404 „Dėl Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos nuostatų ir Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos duomenų saugos nuostatų patvirtinimo“ ir kitais Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos (toliau – VATIS) saugos politiką įgyvendinančiais dokumentais, 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, ir kuriuo panaikinama Direktyva 95/46/EB (Bendruoju duomenų apsaugos reglamentu) su visais pakeitimais, Lietuvos Respublikos asmens duomenų, tvarkomų nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas, bausmių vykdymo arba nacionalinio saugumo ar gynybos tikslais, teisinės apsaugos įstatymu, kitais teisės aktais, reglamentuojančiais atsakomybę bei duomenų saugą.

2. Suprantu, kad:

2.1. dirbdamas, atlikdamas pareigybės aprašyme nustatytas funkcijas, tvarkysiu asmens duomenis, kurie visuomenės ir atskirų asmenų interesais gali būti atskleisti ar perduoti tik teisės aktų nustatyta tvarka įgaliotiems asmenims ir institucijoms;

2.2. draudžiama perduoti neįgaliotiems asmenimis Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos (toliau – Augalininkystės tarnyba) viduje ar už jos ribų slaptažodžius ir kitus duomenis, leidžiančius programinių ir techninių priemonių pagalba sužinoti asmens duomenis ar kitaip sudaryti sąlygas susipažinti su asmens duomenimis;

2.3. kad netinkamas asmens duomenų tvarkymas gali užtraukti atsakomybę pagal Lietuvos Respublikos įstatymus.

2.4. asmuo, patyręs žalą dėl mano padarytos neteisėtos veikos, Lietuvos Respublikos įstatymų nustatyta tvarka turi teisę reikalauti atlyginti jam padarytą turtinę ir neturtinę žalą;

2.5. šis pasižadėjimas galios visą mano darbo laiką šioje įstaigoje, perėjus dirbti į kitas pareigas ir nutraukus ar pasibaigus valstybės tarnybos, darbo ar sutartiniams santykiams.

3. Pasižadu ir įsipareigoju:

3.1. saugoti asmens duomenų paslaptį ir informacijos paslaptį, jei jie neskirti skelbti viešai;

3.2. tvarkyti asmens duomenis, vadovaudamasis Lietuvos Respublikos įstatymais ir kitais teisės aktais, reglamentuojančiais saugų duomenų tvarkymą, taip pat pareigybės aprašymu ir taisyklėmis, reglamentuojančiomis man patikėtas asmens duomenų tvarkymo funkcijas;

3.3. neatskleisti, neperduoti tvarkomos informacijos nei vienam asmeniui, kuris nėra įgaliotas naudotis šia informacija tiek Augalininkystės tarnybos viduje, tiek už jos ribų;

3.4. pranešti savo vadovui ir VATIS saugos įgaliotiniui ar VATIS administratoriui apie bet kokią įtartiną situaciją, kuri gali kelti grėsmę asmens duomenų saugumui.

(pareigos) (parašas) (vardas, pavardė)

____________

(data)

__________________

PATVIRTINTA

Lietuvos Respublikos žemės ūkio ministro

2022 m. kovo 25 d. įsakymu Nr. 3D-218

VALSTYBINĖS AUGALININKYSTĖS TARNYBOS PRIE ŽEMĖS ŪKIO MINISTERIJOS INFORMACINĖS SISTEMOS VEIKLOS TĘSTINUMO VALDYMO PLANAS

I SKYRIUS

Bendrosios nuostatos

1. Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos (toliau – VAT) informacinės sistemos veiklos tęstinumo valdymo plano (toliau – Valdymo planas) tikslas – nustatyti Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos (toliau – VATIS), VATIS administratoriaus, VATIS saugos įgaliotinio ir VATIS naudotojų veiksmus, esant elektroninės informacijos saugos incidentui ir siekiant jį likviduoti.

2. Valdymo planas parengtas vadovaujantis teisės aktais, kurie nurodyti Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos duomenų saugos nuostatų, patvirtintų Lietuvos Respublikos žemės ūkio ministro 2016 m. liepos
4 d. įsakymu Nr. 3D-404 „Dėl Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos nuostatų ir Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos duomenų saugos nuostatų patvirtinimo“, 3 punkte.

3. Valdymo plane vartojamos sąvokos:

3.1. VATIS veiklos tęstinumo valdymo grupė –VAT direktoriaus įsakymu sudaryta grupė koordinuojanti VATIS veiklos atkūrimą esant elektroninės informacijos saugos incidentui bei užtikrinanti tęstinumui kylančių grėsmių valdymą ir sprendimų, reikalingų VATIS veiklos atkūrimui priėmimą;

3.2. VATIS veiklos atkūrimo grupė – VAT direktoriaus įsakymu sudaryta grupė užtikrinanti VATIS veiklos atkūrimą ir veikimą bei atskaitinga Valdymo grupei, esant elektroninės informacijos saugos incidentui.

4. Kitos Valdymo plane vartojamos sąvokos suprantamos taip, kaip jos apibrėžtos Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Lietuvos Respublikos kibernetinio saugumo įstatyme, Bendrųjų elektroninės informacijos saugos reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo aprašo patvirtinimo“ bei kituose teisės aktuose, reglamentuojančiuose elektroninės informacijos saugą.

5. Valdymo planas įsigalioja įvykus elektroninės informacijos saugos incidentui.

6. Valdymo planas įgyvendinamas:

6.1. užtikrinant operatyvų sprendimų priėmimo procesą elektroninės informacijos saugos incidentų atvejais;

6.2. numatant reikiamas priemones VATIS veiklos tęstinumui ir atkūrmui užtikrinti;

6.3. užtikrinant kuo mažesnius praradimus elektroninės informacijos saugos incidentų atveju.

7. Elektroninės informacijos saugos incidento metu patirti nuostoliai padengiami iš valstybės biudžeto ir kitų finansavimo šaltinių, kurie numatyti VATIS veiklai atkurti, įvykus elektroninės informacijos saugos incidentui.

8. Kriterijai, pagal kuriuos nustatoma, kad VATIS veikla atkurta:

8.1. VATIS duomenų atnaujinimas ir išsaugojimas;

8.2. VATIS duomenų teikimas fiziniams, juridiniams asmenims ir kitoms informacinėms sistemoms teisės aktų nustatyta tvarka;

8.3. VATIS naudotojų darbo funkcijų vykdymas be trikdžių;

8.4. VATIS elektroninės informacijos saugos incidento padarinių likvidavimas.

9. Neveikiant VATIS ar veikiant iš dalies, jos veiklą siekiama atkurti per 2 val., ilgiausias leistinas VATIS ir joje esančios elektroninės informacijos neveikimo laikotarpis – 2 val.

10. Valdymo plano vykdymas yra privalomas elektroninės informacijos saugos incidentų, kurių metu gali kilti pavojus VATIS duomenims, VATIS techninės, programinės įrangos funkcionavimui, atvejais. VATIS saugos įgaliotinio ir VATIS administratoriaus veiksmai, įvykus elektroninės informacijos saugos incidentui, nurodyti Valdymo plano 1 priede. Apie elektroninės informacijos saugos incidentus Nacionaliniam kibernetinio saugumo centrui pranešama Valdymo plano 5 priede nustatyta tvarka.

11. Valdymo planas yra privalomas VATIS valdytojui, VATIS tvarkytojui, VATIS saugos įgaliotiniui, VATIS administratoriui bei VATIS naudotojams.

II SKYRIUS

ORGANIZACINĖS NUOSTATOS

12. Už VATIS veiklos tęstinumą ir VATIS veiklos atkūrimą elektroninės informacijos saugos incidentų atvejais atsakingos VATIS veiklos tęstinumo valdymo ir VATIS veiklos atkūrimo grupės.

13. VATIS veiklos tęstinumo valdymo grupės (toliau – Valdymo grupė) sudėtis:

13.1. VAT direktorius (Valdymo grupės vadovas);

13.2. VAT direktoriaus pavaduotojas (Valdymo grupės vadovo pavaduotojas);

13.3. VATIS saugos įgaliotinis (narys);

13.4. kiti VAT direktoriaus įsakymu paskirti VAT valstybės tarnautojai ar darbuotojai, dirbantys pagal darbo sutartis.

14. Valdymo grupės funkcijos:

14.1. elektroninės informacijos saugos incidentų analizė ir sprendimų VATIS veiklos tęstinumo valdymo klausimais priėmimas;

14.2. bendravimas ir bendradarbiavimas su VATIS naudotojais;

14.3. bendravimas su viešosios informacijos rengėjų ir viešosios informacijos skleidėjų atstovais;

14.4. bendravimas su kitų susijusių organizacijų veiklos tęstinumo valdymo grupėmis;

14.5. bendravimas ir bendradarbiavimas su teisėsaugos ir kitomis elektroninės informacijos saugos srities institucijomis ir interesų grupėmis;

14.6. finansinių išteklių, reikalingų VATIS veiklai atkurti, įvykus elektroninės informacijos saugos incidentams, naudojimo kontrolė;

14.7. VATIS fizinės duomenų saugos užtikrinimo kontrolė, įvykus elektroninės informacijos saugos incidentams;

14.8. logistikos organizavimas (žmonių, daiktų, įrangos gabenimo organizavimas ir jų gabenimas);

14.9. VATIS veiklos atkūrimo priežiūra ir koordinavimas;

14.10. kitos Valdymo grupei pavestos funkcijos.

15. VATIS veiklos atkūrimo grupės (toliau – Atkūrimo grupė) sudėtis:

15.1. VATIS administratorius (Atkūrimo grupės vadovas);

15.2. VATFinansų ir veiklos planavimo skyriaus patarėjas (Atkūrimo grupės vadovo pavaduotojas);

15.3. VATIS saugos įgaliotinis (narys);

15.4. kiti VAT direktoriaus įsakymu paskirti VAT valstybės tarnautojai ar darbuotojai, dirbantys pagal darbo sutartis.

16. Atkūrimo grupės funkcijos:

16.1. VATIS veiklos atkūrimo priežiūra ir koordinavimas;

16.2. VATIS tarnybinių stočių veiklos atkūrimo organizavimas;

16.3. kompiuterių tinklo veikimo atkūrimo organizavimas;

16.4. VATIS elektroninės informacijos atkūrimo organizavimas;

16.5. VATIS taikomųjų programų tinkamo veikimo atkūrimo organizavimas;

16.6. kompiuterių veikimo atkūrimo ir prijungimo prie kompiuterių tinklo organizavimas;

16.7. kitos Atkūrimo grupei pavestos funkcijos.

17. Atkūrimo grupė yra pavaldi Valdymo grupei.

18. Įvykus elektroninės informacijos saugos incidentui, prioritetas yra apsaugoti žmonių gyvybes.

19. Valdymo ir Atkūrimo grupės tarpusavyje bendrauja el. paštu ar telefonu. Ne rečiau negu kartą per metus VATIS saugos įgaliotinis organizuoja šių dviejų grupių susitikimą, kuriame aptariama esama situacija ir suderinami galimi jų funkcijų pagerinimo būdai.

20. Įvykus elektroninės informacijos saugos incidentui patalpose, kuriose yra saugoma VATIS techninė ir programinė įranga:

20.1. VATIS administratorius nedelsdamas informuoja apie elektroninės informacijos saugos incidentą VATIS saugos įgaliotinį;

20.2. VATIS saugos įgaliotinis apie elektroninės informacijos saugos incidentą nedelsdamas informuoja VAT direktorių;

20.3. VATIS saugos įgaliotinis informaciją apie elektroninės informacijos saugos incidentą įrašo Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos elektroninės informacijos saugos incidentų registravimo žurnale (2 priedas), kartu su kitais atsakingais pasekmės likvidavimo vykdytojais atlieka Valdymo plano 1 priede nurodytus veiksmus;

20.4. VATIS administratorius organizuoja VATIS techninės ir programinės įrangos veikimo atkūrimą, kompiuterių tinklo veiklos atkūrimą, VATIS duomenų, VATIS techninės, sisteminės ir taikomosios programinės įrangos funkcionavimo atkūrimą ir nedelsdamas informuoja VATIS saugos įgaliotinį apie atliktus veiksmus;

20.5. VATIS saugos įgaliotinis kartu su VATIS administratoriumi organizuoja žalos VATIS duomenims, VATIS techninei, programinei įrangai vertinimą, koordinuoja VATIS veiklai atkurti reikalingos techninės, sisteminės ir taikomosios programinės įrangos įsigijimą.

21. Elektroninės informacijos saugos incidento metu sunaikinta techninė, sisteminė ir taikomoji programinė įranga įsigyjama Lietuvos Respublikos viešųjų pirkimų įstatymo nustatyta tvarka, įsigijimo ištekliai padengiami iš valstybės biudžeto ir kitų šaltinių, kurie numatyti VATIS veiklai atkurti įvykus elektroninės informacijos saugos incidentui.

22. Atsarginėms patalpoms, naudojamoms VATIS veiklai atkurti elektroninės informacijos saugos incidento atveju, keliami šie reikalavimai:

22.1. patalpos turi būti atskirtos nuo bendrojo naudojimo patalpų;

22.2. patalpos turi atitikti priešgaisrinės saugos reikalavimus, jose turi būti įrengtos gaisro gesinimo priemonės;

22.3. šiose patalpose nuolat turi veikti oro temperatūros ir drėgmės reguliavimo įranga (oro kondicionavimo sistema);

22.4. ryšių kabeliai turi būti apsaugoti nuo nesankcionuoto VATIS prisijungimo.

23. Atsarginių patalpų, naudojamų VATIS veiklai atkurti elektroninės informacijos saugos incidento atveju, adresas ir būdai, kaip iki jų nuvykti, yra pateikti Valdymo plano 3 priede.

24. Neveikiant VATIS dėl iš anksto numatyto VATIS veikimo stabdymo arba dėl nenumatyto VATIS veiklos sutrikimų elektroninės informacijos saugos incidentų atveju, imamasi šių veiksmų:

24.1. kai iš anksto žinomas VATIS neveikimo laikas, informacija apie tai skelbiama VATIS likus mažiausiai 1 dienai iki numatyto VATIS stabdymo;

24.2. kol VATIS veikla atkuriama, pildomos popierinio formato statistinės apskaitos formos, o atkūrus VATIS veiklą, šių formų duomenys suvedami į VATIS ir pateikiami įprastu būdu.

III SKYRIUS

APRAŠOMOSIOS NUOSTATOS

25. Informacija apie VATIS techninę ir programinę įrangą ir jos parametrus nurodyta VATIS specifikacijoje.

26. Informacinių technologijų minimalaus funkcionalumo įrangos specifikacija turi būti analogiška pagrindinei VATIS techninės ir programinės įrangos specifikacijai.

27. Kiekvieno pastato aukšto patalpų brėžinius ir šiose patalpose esančios įrangos bei komunikacijų sąrašą parengia ir saugo VATIS administratorius.

28. Kompiuterių tinklo fizinio ar loginio sujungimo schemas parengia ir saugo VATIS administratorius.

29. Duomenų teikimo bei kompiuterinės, techninės ir programinės įrangos priežiūros sutartis saugo VATIS saugos įgaliotinis.

30. Prarasti, iškraipyti ar sunaikinti VATIS duomenys atkuriami iš VATIS duomenų atsarginių kopijų. Atsarginių VATIS duomenų kopijų darymo, saugojimo ir duomenų atkūrimo iš atsarginių duomenų kopijų tvarka pateikiama Lietuvos Respublikos žemės ūkio ministro įsakymu patvirtintose Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos saugaus elektroninės informacijos tvarkymo taisyklėse.

31. VATIS saugos įgaliotinis ir VATIS administratorius parengia, patvirtina ir saugo VAT darbuotojų sąrašą, kuriame nurodyti darbuotojų darbo telefonai, o Valdymo grupės ir Atkūrimo grupės narių – tarnybinių mobiliųjų ir asmeniniai telefonų numeriai bei gyvenamosios vietos adresai.

32. VATIS saugos įgaliotinis koordinuoja kasmetinį Valdymo plano ir jo priedų atnaujinimą.

IV SKYRIUS

planO VEIKSMINGUMO IŠBANDYMO NUOSTATOS

33. Plano veiksmingumo išbandymo data nustatoma kiekvienų metų sausio mėnesį. Nustatytą dieną imituojamas elektroninės informacijos saugos incidentas. Jo metu už elektroninės informacijos saugos incidento padarinių likvidavimą atsakingi asmenys atlieka minėtų padarinių likvidavimo veiksmus. Atsarginėje VATIS tarnybinėje stotyje iš atsarginių VATIS duomenų kopijų atkuriami VATIS duomenys.

34. Pagal bandymų rezultatus VATIS saugos įgaliotinis parengia Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos rizikos įvertinimo ataskaitą (4 priedas) (toliau – Ataskaita), kurioje yra apibendrinami atliktų bandymų rezultatai, akcentuojami pastebėti VATIS trūkumai ir pasiūlomos šių trūkumų šalinimo priemonės. Ataskaitą tvirtina VAT direktorius.

35. VATIS saugos įgaliotinis nuolat kontroliuoja Ataskaitoje nurodytų prevencinių priemonių įgyvendinimą.

36. Plano veiksmingumo išbandymo metu pastebėti trūkumai šalinami remiantis operatyvumo, veiksmingumo ir ekonomiškumo principais.

37. Plano veiksmingumo išbandymo metu parengtų ataskaitų kopijos ne vėliau kaip per penkias darbo dienas nuo šių dokumentų priėmimo VATIS saugos įgaliotinis pateikia Nacionaliniam kibernetinio saugumo centrui.

––––––––––––––––

PATVIRTINTA

Lietuvos Respublikos žemės ūkio ministro

2022 m. kovo 25 d. įsakymu Nr. 3D-218

VALSTYBINĖS AUGALININKYSTĖS TARNYBOS PRIE ŽEMĖS ŪKIO MINISTERIJOS INFORMACINĖS SISTEMOS NAUDOTOJŲ ADMINISTRAVIMO TAISYKLĖS

I SKYRIUS

Bendrosios nuostatos

1. Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos (toliau – VAT) informacinės sistemos (toliau – VATIS) naudotojų administravimo taisyklių (toliau – Taisyklės) tikslas – nustatyti VATIS naudotojų ir VATIS administratoriaus įgaliojimus, teises ir pareigas tvarkant elektroninę informaciją bei užtikrinti tinkamą įgaliojimų, teisių bei pareigų valdymą.

2. Taisyklės parengtos vadovaujantis teisės aktais, kurie nurodyti Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos duomenų saugos nuostatų, patvirtintų Lietuvos Respublikos žemės ūkio ministro 2016 m. liepos 4 d. įsakymu Nr. 3D-404 „Dėl Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos nuostatų ir Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacinės sistemos duomenų saugos nuostatų patvirtinimo“ (toliau – Saugos nuostatai), 3 punkte.

4. Prieiga prie VATIS elektroninės informacijos valdoma, vadovaujantis šiais principais:

4.1. elektroninės informacijos naudojimo būtinumo principu – elektronine informacija gali naudotis tik tie fiziniai ir juridiniai asmenys, kuriems tai būtina nustatytoms funkcijoms vykdyti;

4.2. elektroninės informacijos naudojimo leistinumo principu – naudotojams draudžiami visi veiksmai, kurių jiems atlikti neleidžia Taisyklės ir kiti teisės aktai, reglamentuojantys VATIS duomenų saugą, saugų elektroninės informacijos tvarkymą ir jos veiklos tęstinumo valdymą;

4.3. prieinamumo prie elektroninės informacijos ribojimo principu – teisė naudoti apibrėžtus VATIS duomenis suteikiama konkrečiam naudotojui, turinčiam unikalų jį identifikuojantį prisijungimo prie VATIS vardą ir slaptažodį;

4.4. elektroninės informacijos vientisumo principu – elektroninė informacija negali būti atsitiktiniu ar neteisėtu būdu pakeista ar sunaikinta. Šiam principui įgyvendinti VATIS elektroninė informacija turi būti perduodama saugiu duomenų perdavimo tinklu, ji turi būti apsaugota nuo pašalinio įsilaužimo, nuo asmenų, neturinčių prieigos prie VATIS teisės, bandymų koreguoti elektroninę informaciją;

4.5. duomenų konfidencialumo principu – elektroninė informacija turi būti tvarkoma vadovaujantis Lietuvos Respublikos žemės ūkio ministro įsakymu patvirtintomis Valstybinės augalininkystės tarnybos prie Žemės ūkio ministerijos informacijos sistemos saugaus elektroninės informacijos tvarkymo taisyklėmis ir neturi būti matoma pašaliniams asmenims. Šis principas turi būti įgyvendinamas priskiriant VATIS naudotojams atitinkamus vaidmenis ir teises;

4.6. duomenų teisingumo principu –VATIS duomenys turi būti pagrįsti įrodymais, turi būti žinomas jų pirminis šaltinis. Šį principą atitinkantys duomenys laikomi teisingais tol, kol jie nenuginčijami Lietuvos Respublikos įstatymų ir Europos Sąjungos teisės aktų nustatyta tvarka.

5. Taisyklės taikomos VATIS naudotojams, VATIS administratoriui ir VATIS saugos įgaliotiniui, kurių prieigos prie VATIS duomenų teisės turi atitikti Taisyklių 4 punkte nurodytus principus.

II SKYRIUS

VATISnaudotojų ir administratoriAUS įgaliojimai, teisės ir pareigos

6. VATIS naudotojų įgaliojimai, teisės ir pareigos tvarkant elektroninę informaciją:

6.1. VATIS naudotojai gali naudotis tik tomis VATIS funkcijomis ir VATIS tvarkomais duomenimis, prie kurių prieigą jiems suteikė VATIS administratorius;

6.2. VATIS naudotojai privalo užtikrinti jų naudojamų VATIS tvarkomų duomenų konfidencialumą bei vientisumą, savo veiksmais netrikdyti duomenų prieinamumo;

6.3. VATIS naudotojai turi teisę gauti informaciją apie jų naudojamų duomenų apsaugos lygį bei taikomas apsaugos priemones, teikti siūlymus dėl papildomų apsaugos priemonių;

6.4. VATIS naudotojams negali būti suteikiamos administratoriaus teisės;

6.5. VATIS naudotojas, įtaręs, kad su elektronine informacija buvo atlikti neteisėti veiksmai, privalo pranešti apie tai VATIS administratoriui arba VATIS saugos įgaliotiniui.

7. VATIS administratoriaus prieigos prie VATIS lygiai ir juose taikomi elektroninės informacijos saugos reikalavimai:

7.1. VATIS administratorius yra įgaliotas ir turi teisę:

7.1.1. fiziškai prieiti prie techninės ir sisteminės programinės įrangos;

7.1.2. matyti visų VATIS naudotojų identifikavimo ir suteiktų teisių duomenis;

7.1.3. matyti VATIS naudotojų su VATIS tvarkomais duomenimis atliktus veiksmus;

7.1.4. atlikti užklausas VATIS pagal pasirinktus paieškos kriterijus;

7.1.5. pateikti VATIS naudotojams užklausas dėl duomenų patikslinimo;

7.1.6. skaityti, kurti, atnaujinti, naikinti VATIS informaciją.

7.2. VATIS administratorius privalo:

7.2.1. registruoti naujus VATIS naudotojus;

7.2.2. kurti VATIS naudotojų grupes;

7.2.3. tvarkyti esamų VATIS naudotojų duomenis;

7.2.4. suteikti ir tvarkyti VATIS naudotojų prieigos teises, jas redaguoti, keisti ir panaikinti;

7.2.5. diegti VATIS atnaujinimus ir užtikrinti tinkamą duomenų bazių ir posistemių funkcionavimą;

7.2.6. tikrinti VATIS komponentų sąrankos ir būsenos rodiklius patikrinimą;

7.2.7. parengti ir naujinti VATIS sąrankos aprašymo dokumentus;

7.2.8. ne rečiau kaip 1 kartą per mėnesį atlikti saugasienių užfiksuotų įvykių analizę ir šalinti pastebėtas neatitiktis saugumo reikalavimams;

7.2.9. ne rečiau kaip 1 kartą per mėnesį atlikti VATIS naudotojų veiksmų audito įrašų analizę.

7.2.10. ne rečiau kaip 1 kartą per mėnesį įvertinami elektroninės informacijos saugai užtikrinti naudojamų priemonių programinius atnaujinimus, klaidų taisymus ir šiuos atnaujinimus įdiegti;

7.2.11. pagal kompetenciją užtikrinti nepertraukiamą VATIS techninės ir sisteminės programinės įrangos veikimą;

7.2.12. konsultuoti VATIS naudotojus dėl VATIS veikimo ir kitais su VATIS susijusiais klausimais;

7.2.13. vykdyti kitas Saugos nuostatuose, VATIS duomenų saugos politiką įgyvendinančiuose dokumentuose ir kituose teisės aktuose, reglamentuojančiuose informacinės sistemos elektroninės informacijos tvarkymo teisėtumą ir saugos valdymą, priskirtas funkcijas.

7.3. VATIS administratoriui turi būti suteikiamos tokios prieigos prie VATIS teisės, su kuriomis jis negali atlikti VATIS naudotojų funkcijų;

7.4. VATIS administratoriui pagal kompetenciją suteikiama prieiga prie visų VATIS komponentų ir jų sąrankos;

7.5. VATIS administratoriaus veiksmai reglamentuoti Saugos nuostatuose, VATIS saugos politiką įgyvendinančiuose teisės aktuose.

III SKYRIUS

SAUGAUS ELEKTRONINĖS INFORMACIJOS TEIKIMO VATIS NAUDOTOJAMS KONTROLĖS TVARKA

8. VATIS administratorius atsakingas už VATIS naudotojų registravimą, išregistravimą, prieigos prie VATIS teisių suteikimą ir panaikinimą.

9. VATIS naudotojai prisijungti prie VATIS gali tik su VATIS administratoriaus suteiktais unikaliais vardu ir slaptažodžiu.

10. VATIS administratorius VATIS naudotojams suteikia unikalius prisijungimo prie VATIS vardą ir laikiną slaptažodį, kurį išsiunčia VATIS naudotojui elektroniniu paštu.

11. Laikiną slaptažodį VATIS naudotojai privalo savarankiškai pasikeisti prisijungę prie VATIS.

12. VATIS naudotojo slaptažodžiui yra keliami šie reikalavimai:

12.1. slaptažodis turi būti iš ne mažesnės kaip 8 simbolių kombinacijos, sudarytos iš raidžių, skaitmenų ir specialiųjų simbolių;

12.2. slaptažodžiams neturi būti naudojama asmeninio pobūdžio informacija;

12.3. slaptažodis turi būti keičiamas ne rečiau kaip kas 3 mėnesius;

12.4. VATIS naudotojas, pirmą kartą gavęs VATIS administratoriaus suteiktą vardą ir laikiną slaptažodį, turi prisijungti prie VATIS, nedelsdamas pakeisti slaptažodį nauju ir jį įsiminti;

12.5. VATIS naudotojas privalo saugoti slaptažodį ir jo neatskleisti jo tretiesiems asmenims;

12.6. VATIS naudotojas, įtaręs, kad tretieji asmenys sužinojo slaptažodį, privalo nedelsdamas pranešti VATIS administratoriui, kuris jam suteikia laikiną slaptažodį;

12.7. VATIS naudotojas neturi teisės užrašyto slaptažodžio palikti matomoje vietoje;

12.8. VATIS naudotojui įvedus neteisingą slaptažodį 5 kartus, slaptažodis blokuojams. Dėl slaptažodžio atblokavimo VATIS naudotojas kreipiasi į VATIS administratorių.

13. VATIS administratoriaus slaptažodžiui yra keliami šie reikalavimai:

13.1. VATIS administratoriaus slaptažodis turi būti iš ne mažesnės kaip 12 simbolių kombinacijos, sudarytos iš didžiųjų bei mažųjų raidžių, skaitmenų ir specialiųjų simbolių;

13.2. VATIS administratoriaus slaptažodis turi būti keičiamas ne rečiau kaip kas 2 mėnesius.

14. VATIS administratorius, gavęs VAT atsakingo darbuotojo rašytinį nurodymą apriboti VATIS naudotojo prieigos teises, nedelsiant sustabdo nurodyto VATIS naudotojo prieigą prie VATIS.

15. VATIS naudotojui teisė dirbti su konkrečia elektronine informacija yra ribojama ar sustabdoma, kai VATIS naudotojas atostogauja, vyksta VATIS naudotojo veiklos tyrimas ir pan.

16. Kai VATIS naudotojas perkeliamas į kitas pareigas, jam suteiktos VATIS naudotojo teisės pakeičiamos atsižvelgiant į jo pareigybės aprašyme nurodytas funkcijas.

17. VATIS naudotojui teisė naudotis VATIS stabdoma:

17.1. pasibaigus tarnybos ar darbo santykiams;

17.2. netekus teisės naudotis VATIS duomenimis;

17.3. nesinaudojant VATIS daugiau kaip 3 mėnesius VATIS naudotojui ir 2 mėnesius VATIS administratoriui;

17.4. nustačius neteisėtą VATIS naudotojo VATIS duomenų naudojimą.

18. VATIS naudotojų paskyros periodiškai tikrinamos, apie nepatvirtintas paskyras informuojamas VATIS saugos įgaliotinis.

19. Neaktyvios paskyros šalinamos, pasibaigus audito įrašų saugojimo terminui.

IV SKYRIUS

Baigiamosios nuostatos

20. VATIS naudotojai, VATIS administratorius pažeidę šių Taisyklių ir kitų VATIS saugos politiką įgyvendinančių dokumentų nuostatas, atsako teisės aktų nustatyta tvarka.

––––––––––––––––––