54922b603d7b11ec992fe4cdfceb5666

DĖL KAUNO MIESTO SAVIVALDYBĖS ADMINISTRACIJOS VALDOMŲ INFORMACINIŲ SISTEMŲ SAUGOS NUOSTATŲ PATVIRTINIMO

1 Articles / Provisions · Lithuania

Open official source Machine-readable Markdown (.md)

Statutory Text (1 Articles)

e-TAR Suvestinė 2023-01-26

DĖL KAUNO MIESTO SAVIVALDYBĖS ADMINISTRACIJOS VALDOMŲ INFORMACINIŲ SISTEMŲ SAUGOS NUOSTATŲ PATVIRTINIMO Open official source

KAUNO MIESTO SAVIVALDYBĖS ADMINISTRACIJOS DIREKTORIUS --0 ĮSAKYMAS Nr.

Suvestinė redakcija nuo 2023-01-26

Įsakymas paskelbtas: TAR 2021-11-04, i. k. 2021-23015

KAUNO MIESTO SAVIVALDYBĖS ADMINISTRACIJOS DIREKTORIUS

ĮSAKYMAS

DĖL KAUNO MIESTO SAVIVALDYBĖS ADMINISTRACIJOS VALDOMŲ INFORMACINIŲ SISTEMŲ SAUGOS NUOSTATŲ PATVIRTINIMO

2021 m. lapkričio 4 d. Nr. A-3926

Kaunas

Vadovaudamasis Lietuvos Respublikos vietos savivaldos įstatymo 29 straipsnio 8 dalies 2 punktu ir Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, 7, 8, 12 ir 19 punktais

1. Tvirtinu Kauno miesto savivaldybės administracijos valdomų informacinių sistemų saugos nuostatus (pridedama).

2. Įpareigoju

2.1. Kauno miesto savivaldybės administracijos Dokumentų skyrių dokumentų valdymo sistemos „Kontora“ priemonėmis pateikti 1 punkte nurodytus nuostatus Kauno miesto savivaldybės administracijos direktoriaus pavaduotojams ir vyriausiesiems specialistams, tiesiogiai pavaldiems Kauno miesto savivaldybės administracijos direktoriui, ir Kauno miesto savivaldybės administracijos padalinių vadovams;

2.2. Kauno miesto savivaldybės administracijos direktoriaus pavaduotojus ir vyriausiuosius specialistus, tiesiogiai pavaldžius Kauno miesto savivaldybės administracijos direktoriui, dokumentų valdymo sistemos „Kontora“ priemonėmis susipažinti su 1 punkte nurodytais saugos nuostatais;

2.3. Kauno miesto savivaldybės administracijos padalinių vadovus dokumentų valdymo sistemos „Kontora“ priemonėmis susipažinti ir supažindinti padalinio valstybės tarnautojus ir darbuotojus, dirbančius pagal darbo sutartį, su 1 punkte nurodytais saugos nuostatais.

3. Skiriu

3.1. Kauno miesto savivaldybės administracijos E. paslaugų ir informacinių technologijų skyriaus vyriausiąją specialistę Rasą Kondratavičienę Kauno miesto savivaldybės veiklos organizavimo informacinės sistemos saugos įgaliotine;

3.2. Kauno miesto savivaldybės administracijos E. paslaugų ir informacinių technologijų skyriaus vedėją Vytautą Augonį asmeniu, atsakingu už kibernetinio saugumo organizavimą ir užtikrinimą Kauno miesto savivaldybės administracijoje;

3.3. Kauno miesto savivaldybės administracijos E. paslaugų ir informacinių technologijų skyriaus vyriausiąjį specialistą Sigitą Kardoką Kauno miesto savivaldybės veiklos organizavimo informacinės sistemos administratoriumi.

Administracijos direktorius Vilius Šiliauskas

PATVIRTINTA

Kauno miesto savivaldybės administracijos direktoriaus

2021 m. lapkričio 4 d.

įsakymu Nr. A-3926

KAUNO MIESTO SAVIVALDYBĖS ADMINISTRACIJOS VALDOMŲ INFORMACINIŲ SISTEMŲ SAUGOS NUOSTATAI

I SKYRIUS

BENDROSIOS NUOSTATOS

1. Kauno miesto savivaldybės administracijos valdomų informacinių sistemų saugos nuostatai (toliau – Saugos nuostatai) reglamentuoja Kauno miesto savivaldybės veiklos organizavimo informacinės sistemos (toliau – Savivaldybės IS) ir kitų Kauno miesto savivaldybės administracijos valdomų informacinių sistemų (toliau – KMSA IS) sąraše (priedas) įrašytų informacinių sistemų (toliau kartu – Informacinės sistemos) elektroninės informacijos saugos valdymą, organizacinius ir techninius reikalavimus, reikalavimus personalui ir naudotojų supažindinimą su saugos dokumentais.

2. Informacinių sistemų saugos užtikrinimo ir valdymo pagrindiniai dokumentai yra Informacinių sistemų saugos politiką (toliau – saugos politika) nustatantys Saugos nuostatai ir saugos politikos įgyvendinamieji dokumentai: Kauno miesto savivaldybės administracijos valdomų informacinių sistemų saugaus elektroninės informacijos tvarkymo tvarkos aprašas, Kauno miesto savivaldybės administracijos valdomų informacinių sistemų veiklos tęstinumo valdymo planas ir Kauno miesto savivaldybės administracijos valdomų informacinių sistemų naudotojų administravimo tvarkos aprašas (toliau kartu – saugos dokumentai).

3. Saugos nuostatai parengti vadovaujantis Bendrųjų elektroninės informacijos saugos reikalavimų aprašu (toliau – Bendrųjų elektroninės informacijos saugos reikalavimų aprašas) ir Saugos dokumentų turinio gairių aprašu (toliau ‒ Saugos dokumentų turinio gairių aprašas), patvirtintais Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų aprašu ir Informacinių technologijų saugos atitikties vertinimo metodika, patvirtintais Lietuvos Respublikos krašto apsaugos ministro 2020 m. gruodžio 4 d. įsakymu Nr. V-941 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų aprašo ir Informacinių technologijų saugos atitikties vertinimo metodikos patvirtinimo“.

4. Saugos nuostatuose vartojamos sąvokos atitinka sąvokas, nustatytas Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Lietuvos Respublikos elektroninių ryšių įstatyme, Bendrųjų elektroninės informacijos saugos reikalavimų apraše, kituose elektroninės informacijos saugą ir kibernetinį saugumą nustatančiuose Lietuvos Respublikos teisės aktuose.

5. Saugos nuostatų tikslas – sudaryti tinkamas sąlygas saugiai tvarkyti Informacinių sistemų elektroninę informaciją automatiniu būdu ir užtikrinti Informacinių sistemų veiklos tęstinumą.

6. Informacinių sistemų elektroninės informacijos saugos ir kibernetinio saugumo užtikrinimo prioritetinės kryptys yra šios

6.1. elektroninės informacijos konfidencialumo užtikrinimas;

6.2. elektroninės informacijos vientisumo užtikrinimas;

6.3. elektroninės informacijos prieinamumo užtikrinimas;

6.4. asmens duomenų apsauga;

6.5. Informacinių sistemų veiklos tęstinumo užtikrinimas;

6.6. prieigos prie Informacinių sistemų kontrolė;

6.7. rizikos valdymas;

6.8. Informacinių sistemų naudotojų mokymas elektroninės informacijos saugos ir kibernetinio saugumo klausimais;

6.9. organizacinių, techninių, programinių, teisinių, informacijos sklaidos ir kitų priemonių, skirtų elektroninės informacijos saugai ir kibernetiniam saugumui užtikrinti, įgyvendinimas ir kontrolė.

7. Saugos nuostatais privalo vadovautis Informacinių sistemų saugos įgaliotinis (-iai) (toliau – saugos įgaliotinis), asmuo, atsakingas už kibernetinio saugumo organizavimą ir užtikrinimą Kauno miesto savivaldybės administracijoje (toliau – kibernetinio saugumo vadovas), Informacinių sistemų administratoriai ir Informacinių sistemų naudotojai.

8. Informacinių sistemų valdytojas atsako už saugos politikos formavimą, įgyvendinimo organizavimą, priežiūrą bei elektroninės informacijos tvarkymo teisėtumą ir atlieka šias funkcijas

8.1. tvirtina saugos politikos įgyvendinamuosius dokumentus ir kitus teisės aktus, kuriuose reglamentuojamas Informacinių sistemų tvarkymo teisėtumas ir Informacinių sistemų elektroninės informacijos sauga;

8.2. priima sprendimus dėl Informacinių sistemų techninių ir programinių priemonių, būtinų Informacinių sistemų elektroninės informacijos saugai ir kibernetiniam saugumui užtikrinti, įsigijimo, įdiegimo ir modernizavimo;

8.3. skiria kibernetinio saugumo vadovą ir saugos įgaliotinį (-ius) (kiekvienai Informacinei sistemai gali būti paskirtas atskiras saugos įgaliotinis);

8.4. atlieka kitas saugos politikos įgyvendinamuosiuose dokumentuose nustatytas funkcijas.

9. Informacinių sistemų tvarkytojas (-ai) atlieka šias funkcijas

9.1. užtikrina Informacinių sistemų elektroninės informacijos saugą ir kibernetinį saugumą saugos politikos įgyvendinamųjų dokumentų nustatyta tvarka ir atsako už reikiamų administracinių, techninių ir organizacinių saugos priemonių įgyvendinimą;

9.2. teikia pasiūlymus Informacinių sistemų valdytojui, kaip tobulinti Informacinių sistemų apsaugą.

9.3. teikia metodinę ir informacinę pagalbą Informacinių sistemų naudotojams Informacinių sistemų saugos klausimais.

10. Kibernetinio saugumo vadovas atlieka šias funkcijas

10.1. teikia Informacinių sistemų valdytojo vadovui pasiūlymus dėl Informacinių sistemų administratorių paskyrimo ir reikalavimų jiems nustatymo;

10.2. teikia Informacinių sistemų valdytojo vadovui pasiūlymus dėl informacinių technologijų saugos atitikties vertinimo atlikimo;

10.3. organizuoja Informacinių sistemų rizikos įvertinimą ir rizikos įvertinimo ataskaitos parengimą;

10.4. koordinuoja Informacinių sistemų elektroninės informacijos saugos ir kibernetinių incidentų tyrimą, bendradarbiauja su kompetentingomis institucijomis, tiriančiomis elektroninių ryšių tinklų, informacijos saugumo incidentus, neteisėtas veikas, susijusias su elektroninės informacijos saugos incidentais (išskyrus atvejus, kai šią funkciją atlieka informacijos saugos darbo grupė);

10.5. vykdo Informacinių sistemų įvykusių kibernetinių incidentų (jeigu tokių buvo) valdymo patirties vertinimą;

10.6. teikia pasiūlymus Informacinių sistemų valdytojo vadovui dėl Informacinių sistemų techninių ir programinių priemonių, būtinų Informacinių sistemų elektroninės informacijos saugai ir kibernetiniam saugumui užtikrinti, įsigijimo, įdiegimo ir modernizavimo;

10.7. teikia Informacinių sistemų administratoriams ir naudotojams privalomus vykdyti nurodymus ir pavedimus, susijusius su Informacinių sistemų saugos politikos įgyvendinimu;

10.8. skiria vieną ar kelis asmenis, įgaliotus atstovauti Kauno miesto savivaldybės administracijai prisijungimo prie Saugiojo valstybinio duomenų perdavimo tinklo administravimo, saugos organizavimo ir įgyvendinimo klausimais visą prisijungimo prie Saugiojo valstybinio duomenų perdavimo tinklo laiką;

10.9. atlieka kitas Informacinių sistemų valdytojo pavestas, saugos politikos įgyvendinamuosiuose dokumentuose jam nustatytas funkcijas.

11. Saugos įgaliotinis, atlieka šias funkcijas

11.1. pagal kompetenciją rengia arba dalyvauja rengiant teisės aktų projektus, saugos dokumentus;

11.2. koordinuoja elektroninės informacijos saugos incidentų, įvykusių Informacinėse sistemose, kurių saugos įgaliotiniu yra paskirtas, tyrimą, išskyrus atvejus, kai tyrimą atlieka informacijos saugos darbo grupė;

11.3. organizuoja Informacinių sistemų, kurių saugos įgaliotiniu yra paskirtas, rizikos įvertinimą ir rizikos įvertinimo ataskaitos parengimą, kai to neatlieka kibernetinio saugumo vadovas;

11.4. pagal kompetenciją teikia Informacinių sistemų, kurių įgaliotiniu yra paskirtas, administratoriui (-iams) ir naudotojams nurodymus ir pavedimus, susijusius su Informacinių sistemų saugos politikos įgyvendinimu;

11.5. atlieka kitas Informacinių sistemų valdytojo pavestas, saugos politikos įgyvendinamuosiuose dokumentuose jam nustatytas funkcijas.

12. Informacinių sistemų administratorių funkcijos

12.1. Savivaldybės IS administratorius pagal kompetenciją

12.1.1. užtikrina Savivaldybės IS techninės ir programinės įrangos įdiegimą ir funkcionavimą;

12.1.2. diegia ir prižiūri programinę įrangą, reikalingą Savivaldybės IS naudotojų funkcijoms atlikti;

12.1.3. suteikia teisę Savivaldybės IS naudotojams naudotis elektronine informacija, kurios reikia jų funkcijoms atlikti;

12.1.4. užtikrina Savivaldybės IS komponentų (kompiuterių, tarnybinių stočių, operacinių sistemų, taikomųjų programų, duomenų bazės valdymo sistemų, ugniasienių, įsilaužimų aptikimo sistemų ir kt.) tinkamą veikimą ir priežiūrą, nustato Savivaldybės IS pažeidžiamas vietas, vykdo saugumo reikalavimų atitikties nustatymą ir stebėseną;

12.1.5. užtikrina Informacinių sistemų sąveikos su susijusiais registrais ir informacinėmis sistemomis technologinį funkcionavimą;

12.1.6. dalyvauja vykdant saugumo reikalavimų įgyvendinimo stebėseną;

12.1.7. teikia Informacinių sistemų valdytojo vadovui pasiūlymus dėl Savivaldybės IS palaikymo, priežiūros, techninės ir programinės įrangos modernizavimo ir elektroninės informacijos saugos užtikrinimo;

12.1.8. informuoja kibernetinio saugumo vadovą ir saugos įgaliotinį apie elektroninės informacijos saugos ir kibernetinius incidentus ir teikia pasiūlymus dėl elektroninės informacijos saugos ir kibernetinių incidentų pašalinimo;

12.1.9. atsako už Informacinių sistemų duomenų bazių saugų atsarginių kopijų darymą ir archyve esančių kopijų saugojimą;

12.1.10. vykdo visus saugos įgaliotinio ir kibernetinio saugumo vadovo nurodymus ir pavedimus, susijusius su elektroninės informacijos saugos ir kibernetinio saugumo užtikrinimu, pagal kompetenciją reaguoja į elektroninės informacijos saugos ir kibernetinio saugumo incidentus ir nuolat teikia kibernetinio saugumo vadovui informaciją apie saugą užtikrinančių pagrindinių komponentų būklę;

12.1.11. atlieka kitas Informacinių sistemų valdytojo pavestas, saugos politikos įgyvendinamuosiuose dokumentuose jam nustatytas funkcijas.

12.2. KMSA IS administratoriai pagal kompetenciją

12.2.1. užtikrina KMSA IS programinės įrangos įdiegimą ir funkcionavimą;

12.2.2. administruoja KMSA IS naudotojų prieigas, suteikia teises KMSA IS naudotojams tvarkyti elektroninę informaciją, kurios reikia jų funkcijoms atlikti, ir ja naudotis;

12.2.3. administruoja KMSA IS naudotojų veiksmų automatinį stebėjimą;

12.2.4. dalyvauja, vykdant duomenų saugos reikalavimų įgyvendinimo stebėseną;

12.2.5. teikia Informacinių sistemų valdytojo vadovui pasiūlymus dėl KMSA IS palaikymo, priežiūros, techninės ir programinės įrangos modernizavimo ir elektroninės informacijos saugos užtikrinimo;

12.2.6. informuoja kibernetinio saugumo vadovą ir saugos įgaliotinį apie elektroninės informacijos saugos incidentus ir teikia pasiūlymus dėl elektroninės informacijos saugos incidentų pašalinimo;

12.2.7. vykdo visus saugos įgaliotinio ir kibernetinio saugumo vadovo nurodymus ir pavedimus, susijusius su elektroninės informacijos saugos užtikrinimu, pagal kompetenciją reaguoja į elektroninės informacijos saugos ir kibernetinio saugumo incidentus;

12.2.8. atlieka kitas Informacinių sistemų valdytojo pavestas, saugos politikos įgyvendinamuosiuose dokumentuose nustatytas funkcijas.

13. Informacinių sistemų naudotojai, vadovaudamiesi saugos politikos įgyvendinamaisiais dokumentais, pareigybių aprašymais ir kitais teisės aktais, naudojasi ir (ar) tvarko Informacinių sistemų informaciją tik su tiesioginių funkcijų atlikimu susijusiais tikslais.

14. Tvarkant Informacinių sistemų elektroninę informaciją ir užtikrinant jos saugą vadovaujamasi šiais teisės aktais

14.1. 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendruoju duomenų apsaugos reglamentu);

14.2. Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu;

14.3. Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymu;

14.4. Bendrųjų elektroninės informacijos saugos reikalavimų aprašu;

14.5. Saugos dokumentų turinio gairių aprašu;

14.6. Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų aprašu, patvirtintu Lietuvos Respublikos krašto apsaugos ministro 2020 m. gruodžio 4 d. įsakymu Nr. V-941 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų aprašo ir Informacinių technologijų saugos atitikties vertinimo metodikos patvirtinimo“;

14.7. Prisijungimo prie Saugiojo valstybinio duomenų perdavimo tinklo, atsijungimo nuo jo ir elektroninių ryšių paslaugų teikimo šiuo tinklu tvarkos aprašu, patvirtintu Lietuvos Respublikos krašto apsaugos ministro 2019 m. liepos 2 d. įsakymu Nr. V-583 „Dėl Saugiojo valstybinio duomenų perdavimo tinklo veiklą užtikrinančių dokumentų patvirtinimo“;

14.8. kitais Lietuvos Respublikos teisės aktais, reglamentuojančiais saugų elektroninės informacijos tvarkymą.

II SKYRIUS

ELEKTRONINĖS INFORMACIJOS SAUGOS VALDYMAS

15. Vadovaujantis Saugos dokumentų turinio gairių aprašo 10 punktu, Informacinėse sistemose tvarkoma elektroninė informacija priskiriama mažiausios svarbos informacijai.

16. Vadovaujantis Saugos dokumentų turinio gairių aprašo 12.4 papunkčiu, KMSA IS sąraše nurodytos informacinės sistemos priskiriamos ketvirtos kategorijos Informacinėms sistemoms, nes jose tvarkoma mažiausios svarbos informacija.

17. Už Informacinių sistemų rizikos vertinimo organizavimą atsakingas saugos įgaliotinis. Saugos įgaliotinis, atsižvelgdamas į galiojančias metodines priemones ir Lietuvos ir tarptautinius „Informacijos technologija. Saugumo technika“ grupės standartus, kasmet organizuoja Informacinių sistemų rizikos vertinimą. Prireikus saugos įgaliotinis gali organizuoti neeilinį Informacinių sistemų rizikos vertinimą.

18. Informacinių sistemų rizikos vertinimo rezultatai išdėstomi rizikos vertinimo ataskaitoje, kuri pateikiama Informacinių sistemų valdytojo vadovui. Rizikos vertinimo ataskaita rengiama atsižvelgiant į rizikos veiksnius, galinčius turėti įtakos informacijos saugai, galimą jų žalą, pasireiškimo tikimybę ir pobūdį, galimus rizikos valdymo būdus, rizikos priimtinumo kriterijus. Svarbiausi rizikos veiksniai yra šie

18.1. subjektyvūs netyčiniai (elektroninės informacijos tvarkymo klaidos ir apsirikimai, elektroninės informacijos ištrynimas, klaidingas elektroninės informacijos teikimas, fiziniai elektroninės informacijos technologijų sutrikimai, elektroninės informacijos perdavimo tinklais sutrikimai, programinės įrangos klaidos, netinkamas veikimas ir kita);

18.2. subjektyvūs tyčiniai (nesankcionuotas naudojimasis Informacinėmis sistemomis elektroninei informacijai gauti, elektroninės informacijos pakeitimas ar sunaikinimas, informacinių technologijų duomenų perdavimo tinklais sutrikdymai, vagystės ir kita);

18.3. veiksniai, nurodyti Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių, patvirtintų Lietuvos Respublikos Vyriausybės 1996 m. liepos 15 d. nutarimu Nr. 840 „Dėl Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių patvirtinimo“, 3 punkte.

19. Atsižvelgdamas į rizikos vertinimo ataskaitą, Informacinių sistemų valdytojo vadovas prireikus tvirtina rizikos vertinimo ir rizikos valdymo priemonių planą, kuriame numatomas techninių, administracinių ir kitų išteklių poreikis rizikos valdymo priemonėms įgyvendinti.

20. Elektroninės informacijos saugos gerinimo priemonės turi atitikti teisės aktų reikalavimus, būti parinktos atsižvelgiant į rizikos vertinimo rezultatus ir vadovaujantis šiais principais

20.1. liekamoji rizika turi būti sumažinta iki priimtino lygio;

20.2. priemonės diegimo kaina turi būti adekvati tvarkomos elektroninės informacijos vertei;

20.3. atsižvelgiant į priemonių efektyvumą ir taikymo tikslingumą, turi būti įdiegtos prevencinės, detekcinės ir korekcinės elektroninės informacijos saugos priemonės.

21. Siekiant įgyvendinti saugos politikos gyvendinamuosiuose dokumentuose nustatytus elektroninės informacijos saugos reikalavimus ir užtikrinti jų kontrolę, ne rečiau kaip kartą per dvejus metus organizuojamas informacinių technologijų saugos atitikties vertinimas pagal Informacinių technologijų saugos atitikties vertinimo metodiką, patvirtintą Lietuvos Respublikos krašto apsaugos ministro 2020 m. gruodžio 4 d. įsakymu Nr. V-941 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų aprašo ir Informacinių technologijų saugos atitikties vertinimo metodikos patvirtinimo“.

22. Atlikus informacinių technologijų saugos atitikties vertinimą, rengiama informacinių technologijų saugos atitikties vertinimo ataskaita, kuri pateikiama Informacinių sistemų valdytojo vadovui, taip pat rengiamas pastebėtų trūkumų šalinimo planas, kurį Informacinių sistemų valdytojo vadovas tvirtina, paskiria atsakingus vykdytojus ir nustato įgyvendinimo terminus.

III SKYRIUS

ORGANIZACINIAI IR TECHNINIAI REIKALAVIMAI

23. Prieigos prie Informacinių sistemų ir valstybės informacinių sistemų ir registrų tvarką nustato Kauno miesto savivaldybės administracijos valdomų informacinių sistemų naudotojų administravimo tvarkos aprašas.

24. Informacinių sistemų serveriai ir kompiuterizuotos darbo vietos turi būti apsaugotos nuo kenksmingos programinės įrangos (virusų, nepageidaujamų elektroninių laiškų ir pan.). Apsaugai naudojama programinė įranga turi atsinaujinti automatiškai ne rečiau kaip kartą per parą.

25. Informacinių sistemų serveriuose ir kompiuterizuotose darbo vietose turi būti operatyviai įdiegiami naudojamos programinės įrangos gamintojų rekomenduojami atnaujinimai.

26. Draudžiama Informacinių sistemų serveriuose ar kompiuterizuotose darbo vietose naudoti programinę įrangą, nesusijusią su Informacinių sistemų naudotojų atliekamomis funkcijomis; serveriuose ir kompiuterizuotose darbo vietose turi būti naudojama tik legali programinė įranga.

27. Siekiant aptikti įsibrovimus ir vykdyti jų prevenciją

27.1. Informacinių sistemų serveriuose turi būti įjungtos ugniasienės, sukonfigūruotos blokuoti visą įeinantį ir išeinantį duomenų srautą, išskyrus su Informacinių sistemų funkcionalumu ir administravimu susijusį duomenų srautą;

27.2. įsilaužimo atakų pėdsakai (angl. attack signature) turi būti atnaujinami naudojant patikimus aktualią informaciją teikiančius šaltinius. Naujausi įsilaužimo atakų pėdsakai turi būti įdiegiami ne vėliau kaip per 24 valandas nuo gamintojo paskelbimo apie naujausius įsilaužimo atakų pėdsakus datos arba ne vėliau kaip per 72 valandas nuo gamintojo paskelbimo apie naujausius įsilaužimo atakų pėdsakus datos, jeigu Informacinių sistemų valdytojo sprendimu atliekamas įsilaužimo atakų pėdsakų įdiegimo ir galimo jų poveikio Informacinių sistemų veiklai vertinimas;

27.3. galima diegti kibernetiniam saugumui užtikrinti reikalingas priemones ir (ar) keisti šių priemonių parametrus, tik Informacinių sistemų administratoriui šį klausimą suderinus su kibernetinio saugumo vadovu.

28. Atsarginės duomenų kopijos turi būti daromos ir duomenys iš atsarginių kopijų turi būti atkuriami laikantis šių reikalavimų

28.1. Atsarginės Informacinių sistemų elektroninės informacijos kopijos (toliau – kopijos) daromos automatiniu būdu periodiškai: Savivaldybės IS duomenų kopija daroma kartą per 24 valandas, KMSA IS duomenų kopija daroma ne rečiau nei kartą per 7 dienas.

28.2. Prarasta, iškraipyta ar sunaikinta Informacinių sistemų elektroninė informacija atkuriama iš kopijų.

28.3. Informacinių sistemų elektroninė informacija turi būti kopijuojama ir saugoma taip, kad elektroninės informacijos praradimo atveju būtų galima pagrindinį Savivaldybės IS funkcionalumą ir veiklą atnaujinti per 24 valandas.

28.4. KMSA IS funkcionalumas ir veikla atnaujinami iš eilės pagal sistemos atliekamų funkcijų svarbą.

28.5. Kopijos turi būti pažymėtos taip, kad jas būtų galima atpažinti.

28.6. Elektroninės informacijos atkūrimo iš atsarginių kopijų bandymai privalo būti vykdomi ne rečiau kaip vieną kartą per metus.

28.7. Elektroninės informacijos atkūrimo iš atsarginių kopijų bandymai vykdomi ne darbo valandomis.

28.8. Už kopijų darymą, saugojimą ir elektroninės informacijos iš kopijų atkūrimą atsakingas Savivaldybės IS administratorius. Už atsarginių kopijų darymo, saugojimo ir elektroninės informacijos atkūrimo iš atsarginių kopijų kontrolę atsakingas kibernetinės saugos vadovas.

28.9. Kopijos turi būti saugomos kitame pastate, nei yra Informacinės sistemos.

IV SKYRIUS

REIKALAVIMAI PERSONALUI

29. Kibernetinio saugumo vadovas privalo išmanyti elektroninės informacijos saugos užtikrinimo principus, tobulinti kvalifikaciją elektroninės informacijos saugos srityje, savo darbe vadovautis saugos politikos įgyvendinamaisiais dokumentais ir kitais Lietuvos Respublikos teisės aktais, reglamentuojančiais informacinių sistemų duomenų tvarkymą, ir sugebėti prižiūrėti Informacinių sistemų saugos politikos įgyvendinimą.

30. Saugos įgaliotinis privalo išmanyti elektroninės informacijos saugos užtikrinimo principus, tobulinti kvalifikaciją elektroninės informacijos saugos srityje ir savo darbe vadovautis saugos politikos įgyvendinamaisiais dokumentais ir kitais Lietuvos Respublikos teisės aktais, reglamentuojančiais informacinių sistemų duomenų tvarkymą.

31. Kibernetinio saugumo vadovu ir saugos įgaliotiniu negali būti skiriamas asmuo, turintis neišnykusį ar nepanaikintą teistumą už nusikaltimą elektroninių duomenų ir informacinių sistemų saugumui, paskirtą administracinę nuobaudą už neteisėtą asmens duomenų tvarkymą ir privatumo apsaugos pažeidimą elektroninių ryšių srityje, elektroninių ryšių išteklių naudojimo ir skyrimo taisyklių pažeidimą, elektroninių ryšių tinklo gadinimą ar savavališką prisijungimą prie tinklo arba galinių įrenginių, kurie trukdo elektroninių ryšių tinklo darbui, savavališką prisijungimą arba elektroninių ryšių infrastruktūros įrengimo, naudojimo ir apsaugos sąlygų ir taisyklių pažeidimą, jeigu nuo nuobaudos paskyrimo praėjo mažiau kaip vieni metai.

32. Savivaldybės IS administratorius privalo išmanyti funkcijas, susijusias su Savivaldybės IS komponentais (kompiuteriais, operacinėmis sistemomis, duomenų bazių valdymo sistemomis, ugniasienėmis, įsilaužimų aptikimo sistemomis, elektroninės informacijos perdavimu tinklais, serveriais ir kitais) ir šių Savivaldybės IS komponentų sąranka, taip pat su Savivaldybės IS naudotojų teisių valdymu, privalo išmanyti elektroninės informacijos saugos politikos principus ir būti susipažinęs su saugos dokumentais;

33. KMSA IS administratoriai privalo išmanyti elektroninės informacijos saugos politikos principus, pagal kompetenciją mokėti administruoti KMSA IS naudotojus, būti susipažinę su saugos dokumentais.

34. KMSA IS naudotojai, tvarkantys ir (arba) naudojantys KMSA IS duomenis, privalo turėti darbo kompiuteriu įgūdžių ir būti susipažinę su saugos dokumentais bei atsakomybe už jų reikalavimų nesilaikymą.

35. Darbuotojų elektroninės informacijos saugos mokymai organizuojami vadovaujantis Lietuvos Respublikos valstybės tarnybos įstatymu, Kauno miesto savivaldybės administracijos darbo tvarkos taisyklėmis, patvirtintomis Kauno miesto savivaldybės administracijos direktoriaus 2019 m. birželio 20 d. įsakymu Nr. A-2134 „Dėl Kauno miesto savivaldybės administracijos darbo tvarkos taisyklių tvirtinimo“.

V SKYRIUS

INFORMACINIŲ SISTEMŲ NAUDOTOJŲ SUPAŽINDINIMAS SU SAUGOS DOKUMENTAIS

36. Informacinių sistemų naudotojai turi būti susipažinę su saugos dokumentais. Pakartotinis supažindinimas yra vykdomas pasikeitus saugos dokumentams.

37. Informacinių sistemų naudotojai su saugos dokumentais turi būti supažindinami pasirašytinai arba elektroniniu būdu, užtikrinančiu supažindinimo įrodomumą.

VI SKYRIUS

BAIGIAMOSIOS NUOSTATOS

38. Saugos politikos įgyvendinamieji dokumentai peržiūrimi ir prireikus keičiami kartą per dvejus metus arba prireikus.

39. Savivaldybės IS duomenys apie Savivaldybės IS naudotojų ir administratorių atliktus veiksmus saugomi ne trumpiau nei 30 kalendorinių dienų.

40. Už Saugos nuostatų reikalavimų laikymąsi kibernetinio saugumo vadovas, saugos įgaliotinis (-iai), Informacinių sistemų administratoriai ir naudotojai atsako teisės aktų nustatyta tvarka.

_____________

part_5bc98494b9984d71948d39814ba8e768_end

Kauno miesto savivaldybės administracijos valdomų informacinių sistemų saugos nuostatų priedas

KAUNO MIESTO SAVIVALDYBĖS ADMINISTRACIJOS VALDOMŲ INFORMACINIŲ SISTEMŲ SĄRAŠAS

Informacinės sistemos, kurių valdytoja ir tvarkytoja yra Kauno miesto savivaldybės administracija (kodas 188764867, buveinės adresas: Laisvės al. 96, Kaunas)

1. Dokumentų valdymo sistema „Kontora 2004“.

2. Finansų valdymo ir apskaitos informacinė sistema.

3. Socialinės paramos apskaitos sistema „Parama“.

4. Elektroninių paslaugų sistema.

5. Žemės nuomos mokesčio administravimo informacinė sistema.

6. Licencijų ir leidimų informacinė sistema.

7. Integruotos įėjimo kontrolės sistema.

8. Vidaus audito ataskaitų sistema.

9. Kauno miesto techninių eismo reguliavimo priemonių informacinė sistema.

10. Daugiabučių namų valdymo informacinė sistema.

11. Prašymų priimti į ikimokyklinio ir priešmokyklinio ugdymo grupes pateikimo informacinė sistema.

12. Kauno miesto savivaldybės projektų atrankos ir finansavimo programos „Iniciatyvos Kaunui“ paraiškų informacinė sistema.

13. Seniūnaičių rinkimų informacinė sistema.

14. Priėmimo į vaikų vasaros renginius informacinė sistema.

15. Leidimų atlikti kasinėjimo darbus išdavimo informacinė sistema.

16. Transporto lengvatų užtikrinimo informacinė sistema.

17. Maitinimo ugdymo įstaigose administravimo informacinė sistema.

18. Prašymų priimti į bendrojo ugdymo mokyklas pateikimo informacinė sistema.

19. Administracinių nusižengimų informacinė sistema.

20. Darbo užmokesčio ir personalo apskaitos informacinė sistema.

21. Vietinės rinkliavos už naudojimąsi Kauno miesto viešąja turizmo ir poilsio infrastruktūra deklaravimo, mokėjimo ir duomenų valdymo sistema.

22. Biudžeto ir strateginio planavimo informacinė sistema.

23. Nekilnojamojo ilgalaikio turto informacinė sistema.

24. Sporto bazių ir salių valdymo, rezervavimo ir apmokėjimo informacinė sistema.

25. Savivaldybės tarybos posėdžių informacinė sistema.

26. Asmenų išankstinės registracijos socialinei paramai gauti informacinė sistema.

Papildyta punktu