Lietuvos saugios laivybos administracijos DirektoriAus
Į S A K Y M A S
DĖL NACIONALINĖS LAIVŲ EISMO STEBĖSENOS INFORMACINĖS SISTEMOS DUOMENŲ SAUGOS NUOSTATŲ PATVIRTINIMO IR SAUGOS ĮGALIOTINIO SKYRIMO
2013 m. sausio 11 d. Nr. V-8
Klaipėda
Vadovaudamasis Bendrųjų elektroninės informacijos saugos valstybės institucijų ir įstaigų informacinėse sistemose reikalavimų, patvirtintų Lietuvos Respublikos Vyriausybės 1997 m. rugsėjo 4 d. nutarimu Nr. 952 „Dėl Elektroninės informacijos saugos valstybės institucijų ir įstaigų informacinėse sistemose“ (Žin., 1997, Nr. 83-2075; 2007, Nr. 49-1891; 2008, Nr. 85-3393), 6 ir 8 punktais:
1. Tvirtinu Nacionalinės laivų eismo stebėsenos informacinės sistemos duomenų saugos nuostatus (pridedama).
2. Skiriu Nacionalinės laivų eismo stebėsenos informacinės sistemos saugos įgaliotiniu Laivų eismo stebėsenos skyriaus vedėją Alfridą Ulozą.
3. Pavedu Nacionalinės laivų eismo stebėsenos informacinės sistemos saugos įgaliotiniui per 6 mėn. nuo Nacionalinės laivų eismo stebėsenos informacinės sistemos nuostatų patvirtinimo organizuoti saugos politiką įgyvendinančių dokumentų parengimą ir patvirtinimą: Nacionalinės laivų eismo stebėsenos informacinės sistemos saugaus elektroninės informacijos tvarkymo taisykles, Nacionalinės laivų eismo stebėsenos informacinės sistemos veiklos tęstinumo valdymo planą ir Nacionalinės laivų eismo stebėsenos informacinės sistemos naudotojų administravimo taisykles.
PATVIRTINTA
Lietuvos saugios laivybos administracijos direktoriaus 2013 m. sausio 11 d. įsakymu Nr. V-8
NACIONALINĖS LAIVŲ EISMO STEBĖSENOS INFORMACINĖS SISTEMOS DUOMENŲ SAUGOS NUOSTATAI
I. BENDROSIOS NUOSTATOS
1. Nacionalinės laivų eismo stebėsenos informacinės sistemos duomenų saugos nuostatai (toliau – Saugos nuostatai) reglamentuoja Nacionalinės laivų eismo stebėsenos informacinės sistemos (toliau – NLESIS) saugos politiką, kurios tikslas – nustatyti ir įgyvendinti organizacines, technines ir kitas priemones, suteikiančias galimybę saugiai rinkti, apdoroti, kaupti, saugoti, automatiniu būdu tvarkyti elektroninę informaciją, teikti ją suinteresuotiems juridiniams ir fiziniams asmenims.
2. Saugos nuostatai parengti vadovaujantis Bendraisiais elektroninės informacijos saugos valstybės institucijų ir įstaigų informacinėse sistemose reikalavimais, patvirtintais Lietuvos Respublikos Vyriausybės 1997 m. rugsėjo 4 d. nutarimu Nr. 952 (Žin., 1997, Nr. 83-2075; 2007, Nr. 49-1891) (toliau – Reikalavimai), Saugos dokumentų turinio gairėmis, patvirtintomis Lietuvos Respublikos vidaus reikalų ministro 2007 m. gegužės 8 d. įsakymu Nr. 1V-172 (Žin., 2007, Nr. 53-2070).
3. Elektroninės informacijos saugumo tikslas – užtikrinti NLESIS duomenų elektroninės informacijos konfidencialumą, prieinamumą, vientisumą ir tinkamą kompiuterizuotų darbo vietų bei tinklo įrangos funkcionavimą:
3.1. NLESIS duomenų saugumui užtikrinti kompleksiškai naudojamos administracinės, techninės ir programinės priemonės, padedančios įgyvendinti reagavimo, atsakomybės, elektroninės informacijos saugos suvokimo kėlimo ir saugos priemonių projektavimo bei diegimo principus.
3.2. NLESIS turi būti įgyvendintos visos informacijos saugumo valdymo priemonės, privalomos III kategorijos valstybės informacinėms sistemoms, nustatytos Valstybės institucijų ir įstaigų informacinių sistemų elektroninės informacijos techniniuose saugos reikalavimuose, patvirtintuose Lietuvos Respublikos vidaus reikalų ministro 2008 m. spalio 27 d. įsakymu Nr. 1V-384 (Žin., 2008, Nr. 127-4866).
4. Pagrindinės šiuose Saugos nuostatuose vartojamos sąvokos:
Saugos įgaliotinis – Lietuvos saugios laivybos administracijos (toliau – Administracija) direktoriaus paskirtas valstybės tarnautojas arba darbuotojas, dirbantis pagal darbo sutartį, įgyvendinantis elektroninės informacijos saugą NLESIS.
NLESIS naudotojai – Administracijos Laivybos kontrolės skyriaus ir Laivų eismo stebėsenos skyriaus specialistai, kurie, atlikdami savo funkcijas, teisėtai naudojasi NLESIS.
Administratorius – valstybės tarnautojas ar darbuotojas, dirbantis pagal darbo sutartį, atliekantis NLESIS priežiūrą.
Interneto svetainės Vidinė zona – Administracijos interneto svetainės skiltis, kuri prieinama tik Administracijos darbuotojams iš vietinio tinklo.
BIOS – kompiuterio pagrindinė įvesties ir išvesties sistema.
Kitos šiuose Saugos nuostatuose vartojamos sąvokos atitinka sąvokas, apibrėžtas Lietuvos Respublikos įstatymuose, kituose teisės aktuose ir Lietuvos standartuose LST ISO/IEC 27002:2009.
5. Saugos nuostatai privalomi visiems už NLESIS duomenų tvarkymą atsakingiems Administracijos valstybės tarnautojams ir darbuotojams, dirbantiems pagal darbo sutartis, NLESIS naudotojams, saugos įgaliotiniui ir administratoriui.
6. Saugos politiką nustato Saugos nuostatai, įgyvendina – NLESIS saugaus elektroninės informacijos tvarkymo taisyklės (toliau – Tvarkymo taisyklės), NLESIS veiklos tęstinumo valdymo planas (toliau – Valdymo planas), NLESIS naudotojų administravimo taisyklės (toliau – Administravimo taisyklės), kiti teisės aktai, reglamentuojantys Administracijos duomenų tvarkymo teisėtumą ir saugos valdymą.
7. NLESIS duomenų saugos užtikrinimo prioritetinės kryptys:
7.1. NLESIS duomenims tvarkyti naudojamos techninės ir programinės įrangos bei duomenų tvarkymo kontrolė.
7.2. Fizinė NLESIS elektroninės informacijos apdorojimo priemonių (Administracijos patalpos, tarnybinės stotys, elektroninės informacijos perdavimo įranga, programinė įranga) apsauga.
9. Administracijos direktoriaus, kaip NLESIS duomenų valdytojo, funkcijos ir atsakomybė:
9.1. Vadovauti ir organizuoti NLESIS veiklą, skiriant saugos įgaliotinį, administratorius bei kitus darbuotojus.
9.2. Kontroliuoti, kad NLESIS būtų tvarkoma vadovaujantis šiais Saugos nuostatais ir kitais teisės aktais, reglamentuojančiais NLESIS saugą.
9.3. Užtikrinti NLESIS saugos reikalavimų atitiktį galiojantiems Lietuvos Respublikos teisės aktams.
10. Administracijos direktoriaus, kaip NLESIS duomenų tvarkytojo, funkcijos ir atsakomybė:
10.2. Užtikrinti NLESIS saugos reikalavimų atitiktį galiojantiems Lietuvos Respublikos teisės aktams ir šiems Saugos nuostatams.
10.3. Užtikrinti, kad naudotojai laikytųsi nuostatų, išvardintų Saugos nuostatuose ir saugos politiką įgyvendinančiuose teisės aktuose.
11. Saugos įgaliotinio, įgyvendinančio NLESIS elektroninės informacijos saugą, funkcijos ir atsakomybė:
11.1. Teikti Administracijos direktoriui pasiūlymus dėl:
11.3. Pasirašytinai supažindinti administratorius, naudotojus su Saugos nuostatais ir saugos politiką įgyvendinančiais teisės aktais bei atsakomybe už šių teisės aktų reikalavimų nesilaikymą.
11.4. Organizuoti administratorių ir naudotojų kvalifikacijos tobulinimą duomenų saugos klausimais, reguliariai jiems priminti saugumo problemas (elektroninio pašto žinutės, atmintinės naujai priimtiems darbuotojams ir pan.).
11.6. Užtikrinti NLESIS saugos reikalavimų atitiktį galiojantiems Lietuvos Respublikos teisės aktams.
12. Administratorių funkcijos ir atsakomybė:
12.2. Įvertinti naudotojų pasirengimą dirbti su NLESIS ir suteikti naudotojams teisę naudotis NLESIS galimybėmis paskirtoms funkcijoms atlikti.
12.4. Atlikti NLESIS komponentų (kompiuterių, operacinių sistemų, duomenų bazių valdymo sistemų, taikomųjų programų sistemų, ugniasienių, įsilaužimų aptikimo sistemų, duomenų perdavimo tinklų) administravimą, nustatyti pažeidžiamų vietų ir saugos reikalavimų atitiktį galiojantiems Lietuvos Respublikos teisės aktams.
13. Teisės aktai, kuriais vadovaujantis tvarkomi NLESIS duomenys ir užtikrinama jų sauga:
13.1. Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas (Žin., 1996, Nr. 63-1479; 2008, Nr. 22-804).
13.2. Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymas (Žin., 2011, Nr. 163-7739).
13.3. Lietuvos Respublikos Vyriausybės 1997 m. rugsėjo 4 d. nutarimas Nr. 952 „Dėl Elektroninės informacijos saugos valstybės institucijų ir įstaigų informacinėse sistemose“.
II. ELEKTRONINĖS INFORMACIJOS SAUGOS VALDYMAS
14. NLESIS priskiriama trečiajai informacinių sistemų kategorijai, vadovaujantis Valstybės institucijų ir įstaigų informacinių sistemų klasifikavimo pagal jose tvarkomą elektroninę informaciją gairių, patvirtintų Lietuvos Respublikos vidaus reikalų ministro 2007 m. liepos 11 d. įsakymu Nr. 1V-247, 3.3 punktu.
15. NLESIS saugos priemonės parenkamos įvertinus galimus rizikos veiksnius NLESIS duomenų vientisumui ir prieinamumui.
16. Saugos įgaliotinis, atsižvelgdamas į Vidaus reikalų ministerijos išleistą metodinę priemonę „Rizikos analizės vadovas“, Lietuvos ir tarptautinius „Informacijos technologija. Saugumo technika“ grupės standartus, kasmet organizuoja NLESIS rizikos vertinimą. Prireikus, saugos įgaliotinis gali organizuoti neeilinį NLESIS rizikos vertinimą.
17. NLESIS rizikos įvertinimas išdėstomas rizikos įvertinimo ataskaitoje, kuri rengiama atsižvelgus į rizikos veiksnius, galinčius turėti įtakos informacijos saugai. Svarbiausi rizikos veiksniai yra šie:
17.1. Subjektyvūs netyčiniai (duomenų tvarkymo klaidos ir apsirikimai, duomenų ištrynimas, klaidingas duomenų teikimas, fiziniai informacinių technologijų sutrikimai, duomenų perdavimo tinklais sutrikimai, programinės įrangos klaidos ir kt.).
17.2. Subjektyvūs tyčiniai (nesankcionuotas naudojimasis NLESIS duomenims gauti, duomenų pakeitimas ar sunaikinimas, informacinių technologijų duomenų perdavimo tinklais sutrikdymai, saugos pažeidimai, vagystės ir kt.).
18. Rizikos įvertinimo ataskaitą tvirtina Administracijos direktorius. Atsižvelgdamas į rizikos įvertinimo ataskaitą, prireikus, jis tvirtina Rizikos įvertinimo ir rizikos valdymo priemonių planą, kuriame numatomas techninių, administracinių ir kitų išteklių poreikis rizikos valdymo priemonėms įgyvendinti.
19. Rizikos veiksnių NLESIS duomenims, techninei, programinei įrangai, registravimo dokumentams tikėtinumui vertinti Administracijoje turi būti naudojama penkių balų rizikos veiksnių tikėtinumo ir žalos vertinimo metodika:
20. Siekiant užtikrinti šiuose Saugos nuostatuose ir kituose NLESIS saugos politiką įgyvendinančiuose dokumentuose išdėstytų nuostatų įgyvendinimo kontrolę, kasmet turi būti organizuojamas informacinių technologijų saugos atitikties vertinimas, kurio metu:
20.1. įvertinama šių Saugos nuostatų ir kitų saugos politiką įgyvendinančių teisės aktų ir realios informacijos saugos atitiktis;
20.3. tikrinama visose Administracijos tarnybinėse stotyse, administratorių bei ne mažiau kaip 10 proc. naudotojų kompiuterinėse darbo vietose įdiegta programinė įranga ir jos sąranka;
20.4. peržiūrima administratoriams ir naudotojams suteiktų teisių atitiktis jų vykdomoms funkcijoms;
III. ORGANIZACINIAI IR TECHNINIAI REIKALAVIMAI
22. NLESIS duomenų saugumui užtikrinti Administracijos direktoriaus nustatyta tvarka kompleksiškai naudojamos administracinės, techninės ir programinės priemonės.
23. Prisijungimo prie kompiuterių tinklo laikas ir trukmė nėra ribojami. NLESIS pasiekiama visą parą. NLESIS duomenys perduodami automatiniu būdu naudojant TCP/IP protokolą.
24. Saugi prieiga prie NLESIS duomenų yra užtikrinama tokiomis priemonėmis:
24.1. NLESIS tarnybinėse stotyse, administratorių, naudotojų kompiuterinėse darbo vietose įdiegiama legali ir saugi programinė įranga.
24.2. NLESIS tarnybinių stočių, administratorių, naudotojų kompiuterinių darbo vietų operacinių sistemų ir taikomųjų programų sąranka parenkama tokiu būdu, kad būtų užtikrintas didžiausias saugumo lygis (išjungiami nereikalingi darbui procesai ir reikmenys (angl. services), ribojamas arba išjungiamas priėjimas prie operacinės sistemos prievadų).
24.3. NLESIS tarnybinėse stotyse, administratorių, naudotojų kompiuterinėse darbo vietose įdiegiama programinė įranga, skirta apsisaugoti nuo kenksmingos programinės įrangos (virusų, programinės įrangos, skirtos šnipinėjimui, nepageidaujamo elektroninio pašto ir pan.). Programinė įranga atnaujinama kiekvieną darbo dieną. Ilgiausias leistinas neatnaujinimo laikas – trys darbo dienos.
24.4. NLESIS tarnybinėse stotyse, administratorių, naudotojų kompiuterinėse darbo vietose turi būti naudojama tik su tarnybine veikla susijusi programinė įranga. NLESIS naudotojų paskyros turi būti apribotų teisių, kurios neleidžia įdiegti papildomos programinės įrangos.
24.5. Kontroliuojamas patekimas į Administracijos patalpas, įrengiama signalizacija (nuo įsilaužimo ir gaisro).
24.6. NLESIS naudotojai atpažįstami pagal naudotojų vardus ir slaptažodžius, kurių kontrolę atlieka kompiuterio ir tarnybinės stoties operacinės sistemos.
24.8. Kompiuterinis tinklas, prie kurio prijungtos Administracijos tarnybinės stotys, naudotojų kompiuteriai nuo viešojo interneto turi būti atskirti tinklo užkarda (angl. Firewall).
24.9. NLESIS programinis kodas privalo būti apsaugotas nuo atskleidimo neturintiems teisės su juo susipažinti asmenims.
24.10. Kompiuterinė įranga ir duomenų perdavimo tinklo mazgai turi turėti rezervinį maitinimo šaltinį.
25. Už NLESIS, duomenų bazės (išskyrus darbuotojų dokumentus) atsarginių kopijų formavimą ir atstatymui reikalingų priemonių užtikrinimą paskirtas atsakingas specialistas turi:
25.1. NLESIS programinės įrangos ir duomenų bazės kopijas, įrašytas į kompiuterines laikmenas, laikyti tik skyriuje esančiame seife;
25.3. duomenų praradimo atveju skubiai atkurti informaciją iš atsarginių duomenų kopijų per 1 darbo dieną ir informuoti skyriaus vedėją. Atsarginės duomenų kopijos turi būti saugomos ne trumpiau kaip 5 dienas;
30. Nešiojamieji kompiuteriai, jei juose yra prisijungimo prie NLESIS duomenų galimybė, iš Administracijos patalpų gali būti išnešami tik turint Administracijos direktoriaus ar jo įgalioto asmens raštišką leidimą, patvirtinantį naudotojo asmeninę atsakomybę už informacijos saugą ir nurodantį kompiuterio naudojimo tikslą bei laikotarpį, kuriam kompiuteris išnešamas. Šiuose kompiuteriuose įdiegta programinė įranga, kuri turi papildomą tapatybės patvirtinimą, BIOS apsaugotas slaptažodžiu ir nurodytas kietasis diskas kaip pirminis paleidimo įrenginys. Prisijungimas prie NLESIS duomenų bazės iš išorės ribojamas.
IV. REIKALAVIMAI PERSONALUI
31. Saugos įgaliotinis privalo išmanyti informacijos saugos užtikrinimo principus, savo darbe vadovautis Reikalavimais, Informacinių technologijų saugos atitikties vertinimo metodika, patvirtinta vidaus reikalų ministro 2004 m. gegužės 6 d. įsakymu Nr. 1V-156 (Žin., 2004, Nr. 80-2855), kitais Lietuvos Respublikos teisės aktais, reglamentuojančiais NLESIS duomenų tvarkymą, standartais bei kitais dokumentais ir būti susipažinęs su esminiais reikalavimais, turėti atitinkamą kvalifikaciją, sugebėti prižiūrėti, kaip įgyvendinama saugos politika.
32. Administratorius privalo išmanyti informacijos saugos principus, darbą su kompiuterių tinklais, mokėti užtikrinti jų saugumą, taip pat administruoti ir prižiūrėti duomenų bazes, turi būti susipažinęs su Saugos nuostatais ir saugos politiką įgyvendinančiais teisės aktais, taip pat kitomis vidaus ir darbo saugos taisyklėmis.
33. NLESIS naudotojai turi turėti atitinkamą kvalifikaciją (informacinių technologijų vartotojų kvalifikacijos kursai, pradinis saugaus darbo su duomenimis mokymas, ECDL vartotojo sertifikatas (Europos kompiuterio vartotojo pažymėjimas) ar pan.) ir patirties (dirbant su atitinkamomis operacinėmis sistemomis, taikomosiomis programomis ir pan.).
34. Tvarkyti NLESIS duomenis gali tik NLESIS naudotojai, pasirašytinai susipažinę su saugos politiką įgyvendinančiais teisės aktais.
35. NLESIS naudotojams vieną kartą per dvejus metus pateikiamos darbo su informacine sistema instrukcijos. Už darbo su NLESIS instrukcijų pateikimą atsakingas saugos įgaliotinis.
37. Esant elektroninės informacijos saugos incidentui, nenumatytai situacijai, saugos įgaliotinio, administratorių, NLESIS naudotojų veiksmus reglamentuoja Valdymo planas.
38. Saugos įgaliotinis periodiškai inicijuoja naudotojų mokymą informacijos saugos klausimais, įvairiais būdais informuoja juos apie informacijos saugos problematiką (priminimai elektroniniu paštu, informavimas per NLESIS, pagal poreikį organizuojami susitikimai su atsakingais NLESIS duomenų tvarkytojų asmenimis, atmintinės naujai priimtiems darbuotojams).
V. NLESIS NAUDOTOJŲ SUPAŽINDINIMO SU SAUGOS DOKUMENTAIS PRINCIPAI
39. Saugos įgaliotinis organizuoja NLESIS naudotojų supažindinimą pasirašytinai su šiais Saugos nuostatais ir kitais saugos politiką reglamentuojančiais dokumentais bei informuoja NLESIS naudotojus apie Saugos nuostatų pakeitimus ar kitų saugos politiką įgyvendinančių teisės aktų pripažinimą netekusiais galios, keitimą ar priėmimą.
40. Saugos įgaliotinis reguliariai įvairiais būdais informuoja naudotojus apie informacijos saugos problematiką.
VI. BAIGIAMOSIOS NUOSTATOS
42. Saugos nuostatai ir kiti saugos politiką reglamentuojantys teisės aktai iš esmės peržiūrimi ir prireikus keičiami ne rečiau kaip vieną kartą per metus.