DĖL KRETINGOS RAJONO SAVIVALDYBĖS ADMINISTRACIJOS ASMENS DUOMENŲ TVARKYMO TAISYKLIŲ PAKEITIMO

Kretingos rajono savivaldybės administracijos direktorius

ĮSAKYMAS

DĖL KRETINGOS RAJONO SAVIVALDYBĖS ADMINISTRACIJOS ASMENS DUOMENŲ TVARKYMO TAISYKLIŲ PAKEITIMO

2021 m. kovo 31 d. Nr. A1-401

Kretinga

Vadovaudamasis Lietuvos Respublikos vietos savivaldos įstatymo 18 straipsnio 1 dalimi, 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB, Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu, kitais teisės aktais, reglamentuojančiais duomenų apsaugą ir tvarkymą

1. P a k e i č i u Kretingos rajono savivaldybės administracijos asmens duomenų tvarkymo taisykles, patvirtintas Kretingos rajono savivaldybės administracijos direktoriaus 2020 m. vasario 12 d. įsakymu Nr. A1-124 „Dėl Kretingos rajono savivaldybės administracijos asmens duomenų tvarkymo taisyklių, duomenų subjektų teisių įgyvendinimo Kretingos rajono savivaldybėje tvarkos aprašo ir Kretingos rajono savivaldybės administracijos vaizdo stebėjimo taisyklių patvirtinimo“

1.1. pakeičiu 62 punktą ir jį išdėstau taip

„62. Savivaldybėje yra organizuojami asmens duomenų apsaugos mokymai ne rečiau kaip kartą per metus.“;

1.2. pakeičiu 63 punktą ir jį išdėstau taip

„63. Kiekvienas Duomenų valdytojo darbuotojas pasirašo konfidencialumo deklaraciją (3 priedas). Darbuotojų pasirašytos konfidencialumo deklaracijos yra peržiūrimos ne rečiau kaip kartą per metus.“;

1.3. pakeičiu 4 priedą ir jį išdėstau nauja redakcija (pridedama).

2. Į p a r e i g o j u Bendrąjį skyrių

2.1. su Kretingos rajono savivaldybės administracijos asmens duomenų tvarkymo taisyklių pakeitimais supažindinti per Savivaldybės administracijos dokumentų valdymo sistemą „Kontora“ Savivaldybės administracijos valstybės tarnautojus ir darbuotojus, dirbančius pagal darbo sutartis, politinio (asmeninio) asmeninio pasitikėjimo valstybės tarnautojus;

2.2. skelbti šį įsakymą Teisės aktų registre ir Kretingos rajono savivaldybės interneto svetainėje.

Administracijos direktorius Egidijus Viskontas

Kretingos rajono savivaldybės administracijos

asmens duomenų tvarkymo taisyklių

4 priedas

Bendras techninių ir organizacinių saugumo

priemonių aprašas

Kretingos rajono savivaldybės administracija tvarkydama asmens duomenis taiko šias saugumo priemones

Nr.

Saugumo priemonė

1.

Prieigų ir paskyrų valdymas

1.1.

Administratoriaus funkcijos atliekamos naudojant atskirą tam skirtą paskyrą, kuri negali būti naudojama kasdienėms naudotojo funkcijoms atlikti.

1.2.

Naudotojams nesuteikiamos administratoriaus teisės

1.3.

Naudotojas unikaliai atpažįstamas

1.4.

Naudotojui panaikinama prieiga prie informacinių išteklių nedelsiant, jei prieiga tampa neaktuali, nutraukiami darbo santykiai ar darbuotojas nušalinamas nuo pareigų. Jeigu darbą paliekantis darbuotojas ar išorinės šalies naudotojas žino liekančių aktyvių naudotojų identifikatorių slaptažodžius, nutrūkus jo darbo santykiams ar pasibaigus sutarties arba kito susitarimo galiojimo laikui ar jiems pasikeitus, šie slaptažodžiai yra nedelsiant pakeičiami.

1.5.

Baigus darbą ar naudotojui pasitraukiant iš darbo vietos, imamasi priemonių, kad su informacija, kuri tvarkoma informaciniuose ištekliuose, negalėtų susipažinti pašaliniai asmenys: atsijungiama nuo informacinių išteklių, įjungiama ekrano užsklanda su slaptažodžiu.

1.6.

Prieigų kontrolė vykdoma kas ketvirtį

1.7.

Teisių pašalinimas arba pakeitimas gali būti atliekamas pašalinant, atšaukiant ar keičiant raktus, slaptažodžius, identifikacines asmens tapatybės korteles, informacijos apdorojimo priemones ir pan.

1.8.

Prieiga prie pirminio programų teksto ir susijusių elementų (pvz.: dizainų, specifikacijų, patikrinimo planų ir pan.) griežtai kontroliuojama, siekiant užkirsti kelią neteisėtų funkcinių galimybių praradimui, išvengti netyčinių pakeitimų ir išsaugoti vertingos intelektinės nuosavybės konfidencialumą.

2.

Slaptažodžių politika

2.1.

Nustatomas leistinų nepavykusių prisijungimų prie programinės įrangos skaičius, kurį pasiekus naudotojo paskyra blokuojama bent 15 minučių.

2.2.

Kur techniškai įmanoma, slaptažodžiai sudaromi iš kompleksinių simbolių.

2.3.

Slaptažodžiai negali būti saugomi ar perduodami atviru tekstu. Tik laikinas slaptažodis gali būti perduodamas atviru tekstu, tačiau atskirai nuo prisijungimo vardo, turėti galiojimo terminą ir privalo būti pakeistas pirmo prisijungimo metu.

2.4.

Naudotojų slaptažodis keičiamas ne rečiau kaip kas 60 kalendorinių dienų

2.5.

Naudotojo slaptažodį sudaro ne mažiau kaip 8 simboliai

2.6.

Administratoriaus slaptažodis keičiamas ne rečiau kaip kas 60 kalendorinių dienų

2.7.

Administratorių slaptažodį sudaro ne mažiau kaip 12 simbolių.

2.8.

Draudžiama informacinių išteklių techninėje ir programinėje įrangoje naudoti gamintojo nustatytus slaptažodžius, jie pakeičiami į atitinkančius reikalavimus.

2.9.

Slaptažodžiai duomenų bazėje saugomas užšifruotai

3.

Informacinių išteklių infrastruktūra

3.1.

Priemonės, naudojamos informacinių išteklių sąsajoje su viešųjų elektroninių ryšių tinklu, nustatytos taip, kad fiksuotų visus įvykius, susijusius su įeinančiais ir išeinančiais duomenų srautais

3.2.

Pagrindinėse tarnybinėse stotyse įjungtos saugasienės, sukonfigūruotos blokuoti visą įeinantį ir išeinantį, išskyrus su informacinių išteklių funkcionalumu ir administravimu susijusį, duomenų srautą.

3.3.

Tarnybinėse stotyse naudojamos centralizuotai valdomos ir atnaujinamos kenksmingosios programinės įrangos aptikimo, stebėjimo realiu laiku priemonės

3.4.

Kenksmingosios programinės įrangos aptikimo priemonė automatiškai informuoja administratorių apie tai, kuriems informacinių išteklių posistemiams, funkciškai savarankiškoms sudedamosioms dalims yra pradelstas kenksmingosios programinės įrangos aptikimo priemonių atsinaujinimo laikas ar buvo aptiktas kenksmingas kodas

3.5.

Operatyviai ištestuojami ir įdiegiami informacinės sistemos tarnybinių stočių operacinės sistemos ir kitos naudojamos programinės įrangos gamintojų rekomenduojami atnaujinimai

3.6.

Tarnybinėse stotyse naudojama tik legali programinė įranga;

3.7.

Techninė ir programinė įranga prižiūrima laikantis gamintojo rekomendacijų;

3.8.

Techninės ir programinės įrangos priežiūrą ir gedimų šalinimą atlieka paslaugų teikėjai ir Informacinių technologijų skyriaus atsakingi specialistai.

3.9.

Tarnybinėje stotyje naudojama tik informacinio ištekliaus veiklai reikalinga programinė įranga

3.10.

Šifruojamos tarnybinių stočių atminties laikmenos

3.11.

Nenaudojamos atminties laikmenos sunaikinamos ar pažeidžiamos taip, kad nebūtų galima atstatyti jose esančios informacijos

3.12.

Techninėje ir programinėje įrangoje nenaudojama (blokuota) gamintojo prieiga

3.13.

Reguliariai daromos atsarginės kopijos

3.14.

Uždrausta naršyti svetainės aplankuose (angl. Directory browsing)

3.15.

Informacinių sistemų portalai apsaugoti ne mažesniu kaip 128 bitų raktu.

3.16.

Informacinių sistemų portaluose naudojamas TLS (angl. Transport Layer Security) standartas

3.17.

Informacinės sistemos programiniame kode nėra saugomi prisijungimų duomenys

3.18.

Informacinės sistemos apsaugotos nuo pagrindinių per tinklą vykdomų atakų: SQL įskverbties (angl. SQL injection), įterptinių instrukcijų atakų (angl. Cross-site scripting), atkirtimo nuo paslaugos (angl. DOS), paskirstyto atsisakymo aptarnauti (angl. DDOS) ir kitų.

3.19.

Tarnybinė stotis, kurioje yra svetainė, nerodo svetainės naudotojui klaidų pranešimų apie svetainės programinį kodą ar tarnybinę stotį

4.

Kompiuterinės darbo vietos

4.1.

Kompiuteriuose naudojamos centralizuotai valdomos ir atnaujinamos kenksmingosios programinės įrangos aptikimo, stebėjimo realiu laiku priemonės.

4.2.

Kenksmingosios programinės įrangos aptikimo priemonė automatiškai informuoja administratorių apie tai, kuriems informacinių išteklių posistemiams, funkciškai savarankiškoms sudedamosioms dalims yra pradelstas kenksmingosios programinės įrangos aptikimo priemonių atsinaujinimo laikas ar buvo aptiktas kenksmingas kodas.

4.3.

Operatyviai ištestuojami kompiuterinės įrangos operacinės sistemos ir kitos naudojamos programinės įrangos gamintojų rekomenduojami atnaujinimai.

4.4.

Kompiuteriuose aktyvuotos lokalios saugasienės ir sukonfigūruotos taip, kad blokuotų visą nereikalingą srautą

4.5.

Kompiuterinė įranga prižiūrima laikantis gamintojo rekomendacijų;

4.6.

Kompiuterinės įrangos priežiūrą ir gedimų šalinimą atlieka paslaugų teikėjai ir Informacinių technologijų skyriaus atsakingi specialistai.

4.7.

Vartotojams negali deaktyvuoti ar apeiti saugumo nustatymų

4.8.

Kompiuterinėje įrangoje naudojama tik legali ir darbo funkcijoms atlikti reikalinga programinė įranga.

4.9.

Panaikintos ar pervadintos standartinės gamintojo paskyros

4.10.

Nenaudojamos atminties laikmenos sunaikinamos ar pažeidžiamos taip, kad nebūtų galima atstatyti jose esančios informacijos

4.11.

Kompiuteriuose nustatyta, kad prisijungus prie vidinio tinklo išjungiama belaidė periferinė prieiga

4.12.

Kompiuterių naudotojai negali savavališkai diegtis programinės įrangos

5.

Tinklas

5.1.

Vidinis tinklas segmentuotas, atskirtos bevielio tinklo zona, kompiuterių zona, tarnybinių stočių zona.

5.2.

Reguliariai atnaujinama programinė aparatinė įranga

5.3.

Informacinių išteklių elektroninės informacijos perdavimo tinklas atskirtas nuo viešųjų ryšių tinklų naudojant ugniasienę; ugniasienės saugumo taisyklės periodiškai peržiūrimos ir atnaujinamos.

5.4.

Tinklo perimetro apsaugai naudojami filtrai, apsaugantys elektroniniame pašte ir viešame ryšių tinkle naršančių informacinės sistemos naudotojų kompiuterinę įrangą nuo kenksmingo kodo.

5.5.

Belaidės prieigos taškai gali būti diegiami tik atskirame potinklyje, kontroliuojamoje zonoje

5.6.

Jei techniškai įmanoma, uždrausta belaidėje sąsajoje naudoti SNMP (angl. Simple Network Management Protocol) protokolą valdymui

5.7.

Jei techniškai įmanoma, uždrausta visi nebūtini valdymo protokolai

5.8.

Jei techniškai įmanoma, išjungti nenaudojami TCP (angl. Transmission Control Protocol) / UDP (angl. User Datagram Protocol) prievadai

5.9.

Jei techniškai įmanoma, uždraustas lygiarangis (angl. peer to peer) funkcionalumas, neleidžiantis belaidžiais įrenginiais tarpusavyje palaikyti ryšį

5.10.

Belaidis ryšys šifruojamas mažiausiai 128 bitų ilgio raktu.

5.11.

Prieš pradedant šifruoti belaidį ryšį, pakeisti belaidės prieigos stotelėje standartiniai gamintojo raktai.

6.

Atsarginės kopijos

6.1.

Atsarginės kopijos saugomos kitose patalpose nei yra pagrindinė įranga

6.2.

Reguliariai atliekami bandymai atstatyti duomenis iš atsarginių kopijų

7.

Duomenų perdavimas

7.1.

Užtikrinamas saugių protokolų ir (arba) slaptažodžių naudojimas, kai asmens duomenys perduodami išoriniais duomenų perdavimo tinklais.

7.2.

El. paštu perduodami asmens duomenys šifruojami

7.3.

Duomenis perduodant išorine laikmena, užšifruojama laikmena arba perduodami duomenys

8.

Duomenų tvarkymas

8.1.

Realizuotas asmens duomenų ištrynimas, perkėlimas kai asmens duomenys tvarkomi duomenų subjekto sutikimu.

8.2.

Perdavus duomenis išorine laikmena, jie yra ištrinami, taip kad nepavyktų atkurti.

9.

Organizaciniai reikalavimai

9.1.

Registruojami visi incidentai, susiję su asmens duomenų pažeidimais, kibernetiniai incidentai

9.2.

Savivaldybėje yra organizuojami asmens duomenų apsaugos mokymai ne rečiau kaip kartą per metus

9.3.

Atliekamas rizikos vertinimas

9.4.

Atliekamas infrastruktūros ir informacinių sistemų pažeidžiamumų vertinimas internetu pasiekiamos informacinėms sistemoms

9.5.

Vykdomas informacinių sistemų, infrastruktūros pokyčių valdymas, vertinant ar pokytis neturėjo įtakos asmens duomenų tvarkymui ar duomenų saugumui

9.6.

Vykdomas įsilaužimų testavimas internetu pasiekiamos informacinėms sistemoms

9.7.

Informacinių sistemų testavimas neatliekamas su realiais asmens duomenimis

10.

Fizinis saugumas

10.1.

Į tarnybinių stočių patalpas, gali patekti tik tokią teisę turintys asmenys

10.2.

Patalpose įrengti priešgaisriniai ir signalizacijos davikliai.

10.3.

Rakinamos patalpos.

10.4.

Pagrindinė techninė įranga turi turėti rezervinį maitinimą

10.5.

Tarnybinių stočių patalpos turi turėti kondicionavimo ir drėgmės palaikymo įrangą