LIETUVOS RESPUBLIKOS SVEIKATOS APSAUGOS MINISTRAS
ĮSAKYMAS
DĖL SVEIKATOS PRIEŽIŪROS ĮSTAIGOS INFORMACINĖS SISTEMOS PAVYZDINIŲ SAUGAUS ELEKTRONINĖS INFORMACIJOS TVARKYMO TAISYKLIŲ, SVEIKATOS PRIEŽIŪROS ĮSTAIGOS INFORMACINĖS SISTEMOS PAVYZDINIŲ NAUDOTOJŲ ADMINISTRAVIMO TAISYKLIŲ IR SVEIKATOS PRIEŽIŪROS ĮSTAIGOS INFORMACINĖS SISTEMOS PAVYZDINIO VEIKLOS TĘSTINUMO VALDYMO PLANO PATVIRTINIMO
2021 m. rugpjūčio 30 d. V-1959
Vilnius
Vadovaudamasis Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, 7 ir 8 punktais,
1. T v i r t i n u pridedamus:
1.1. Sveikatos priežiūros įstaigos informacinės sistemos pavyzdines saugaus elektroninės informacijos tvarkymo taisykles;
1.2. Sveikatos priežiūros įstaigos informacinės sistemos pavyzdines naudotojų administravimo taisykles;
2. R e k o m e n d u o j u Sveikatos priežiūros įstaigos informacinės sistemos pavyzdinėmis saugaus elektroninės informacijos tvarkymo taisyklėmis, Sveikatos priežiūros įstaigos informacinės sistemos pavyzdinėmis naudotojų administravimo taisyklėmis ir Sveikatos priežiūros įstaigos informacinės sistemos pavyzdiniu veiklos tęstinumo valdymo planu vadovautis:
2.1. sveikatos priežiūros įstaigoms (viešosioms įstaigoms ir biudžetinėms įstaigoms) rengiant įstaigos valstybės informacinės sistemos saugos dokumentus;
PATVIRTINTA
Lietuvos Respublikos sveikatos apsaugos
ministro
2021 m. rugpjūčio 30 d. įsakymu Nr. V-1959
SVEIKATOS PRIEŽIŪROS ĮSTAIGOS INFORMACINĖS SISTEMOS
PAVYZDINĖS Saugaus elektroninės informacijos tvarkymo taisyklės
I SKYRIUS
BENDROSIOS NUOSTATOS
1. Sveikatos priežiūros įstaigos (toliau – SPĮ) valdomos ir tvarkomos informacinės sistemos (toliau – IS) saugaus elektroninės informacijos tvarkymo taisyklių (toliau – Taisyklės) tikslas – nustatyti elektroninės informacijos tvarkymo, techninius ir kitus elektroninės informacijos saugos ir kibernetinio saugumo reikalavimus.
2. Taisyklėse vartojamos sąvokos apibrėžtos Lietuvos Respublikos kibernetinio saugumo įstatyme, Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Bendrųjų elektroninės informacijos saugos reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“ ir Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ (toliau – Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašas).
3. IS tvarkoma elektroninė informacija ir jos grupių sąrašas nurodomi SPĮ IS nuostatuose (toliau – Nuostatai), (pateikiamos nuorodos į konkrečius IS nuostatų punktus, kuriuose yra nurodyta IS tvarkoma elektroninė informacija).
4. Už IS esančios elektroninės informacijos, priskirtos ________ (įrašoma SPĮ IS duomenų saugos nuostatuose (toliau – Duomenų saugos nuostatai) nurodyta elektroninės informacijos svarbos kategorija) svarbos elektroninės informacijos kategorijai, tvarkymą yra atsakingi IS naudotojai ir IS administratoriai.
II SKYRIUS
TECHNINIŲ IR KITŲ SAUGOS PRIEMONIŲ APRAŠYMAS
5. Kompiuterinės įrangos saugos priemonės:
5.1. turi būti įdiegtos ir veikti automatizuotos įsibrovimo aptikimo sistemos, kurios stebėtų IS gaunamą ir išsiunčiamą duomenų srautą bei vidinį srautą tarp svarbiausių tinklo paslaugų;
6. Sisteminės ir taikomosios programinės įrangos saugos priemonės:
6.1. programinė įranga turi būti prižiūrima ir atnaujinama laikantis gamintojo reikalavimų ir rekomendacijų;
7. Elektroninės informacijos perdavimo tinklais saugumo užtikrinimo priemonės:
7.1. kompiuterių tinklas turi būti atskirtas nuo viešųjų elektroninių ryšių tinklų (interneto) naudojant ugniasienes, automatinę įsilaužimų aptikimo ir prevencijos įrangą, atkirtimo nuo paslaugos, dedikuoto atkirtimo nuo paslaugos įrangą;
8. IS naudojamų svetainių, pasiekiamų iš viešųjų elektroninių ryšių tinklų, saugumo ir kontrolės priemonės:
8.1. turi būti įgyvendinti atpažinties, tapatumo patvirtinimo ir naudojimosi IS saugumo ir kontrolės reikalavimai, nustatyti IS naudotojų administravimo taisyklėse;
9. Pagrindinio IS tvarkytojo patalpų ir aplinkos saugumo užtikrinimo priemonės:
9.1. turi būti įrengta patalpų apsaugos signalizacija, kurios signalai turi būti persiunčiami patalpas saugančiai saugos tarnybai;
10. Kitų (galimų) IS tvarkytojų patalpų ir aplinkos saugumo užtikrinimo priemonės:
10.1. visose patalpose, kuriose yra IS naudotojų ir IS techninė įranga, turi būti įrengti gaisro ir įsilaužimo davikliai, prijungti prie pastato signalizacijos ir apsaugos tarnybų;
11. Kitos priemonės, naudojamos IS elektroninės informacijos saugai ir kibernetiniam saugumui užtikrinti:
11.1. audito įrašų administravimas ir saugojimas: _____________ (nurodoma, kokie duomenys yra kaupiami audito įrašuose (veiksmas, data, laikas, IP adresas etc.), taip pat nurodomos kitos priemonės, užtikrinančios audito įrašų administravimą ir saugojimą);
12. IS veikimo užtikrinimas:
12.1. IS vienkartinis neveikimo (dėl incidentų, profilaktinių darbų, plėtros darbų ir kt.) laikotarpis negali būti ilgesnis nei __ val.;
III SKYRIUS
SAUGUS ELEKTRONINĖS INFORMACIJOS TVARKYMAS
13. Saugaus elektroninės informacijos keitimo, atnaujinimo, įvedimo ir naikinimo užtikrinimo tvarka:
13.1. elektroninė informacija į IS gali būti įvedama, joje keičiama, atnaujinama ir naikinama tik Taisyklių, Nuostatų, Duomenų saugos nuostatų ir kitų teisės aktų, reglamentuojančių IS veiklą ir elektroninės informacijos tvarkymą, nustatyta tvarka;
13.2. elektroninė informacija gali būti tvarkoma pagal IS naudotojams ir IS administratoriams suteiktas prieigos teises ir tik turint teisėtą tikslą ir pagrindą;
13.4. IS naudotojui neatliekant jokių veiksmų __ minučių, IS taikomoji programinė įranga turi užsirakinti, kad toliau naudotis IS galima būtų tik pakartotinai atlikus savo tapatybės nustatymo ir autentiškumo patvirtinimo veiksmus;
13.5. baigus darbą ar IS naudotojui pasitraukus iš darbo vietos, turi būti imamasi priemonių, kad su elektronine informacija negalėtų susipažinti pašaliniai asmenys: atsijungiama nuo IS, įjungiama ekrano užsklanda su slaptažodžiu, dokumentai ar jų kopijos darbo vietoje turi būti padedami į pašaliniams asmenims neprieinamą vietą;
14. Atsarginių elektroninės informacijos kopijų darymas, saugojimas, elektroninės informacijos atkūrimo iš atsarginių elektroninės informacijos kopijų išbandymas vykdomas vadovaujantis IS tvarkytojo tvirtinamais atsarginių elektroninės informacijos kopijų darymo, saugojimo ir elektroninės informacijos atkūrimo iš atsarginių elektroninės informacijos kopijų tvarkos aprašais, kuriuose nurodomi atsakingi už duomenų kopijų darymą, apsaugą, saugojimo kontrolę ir duomenų atkūrimą iš atsarginių duomenų kopijų asmenys, kas kiek laiko yra atliekami atkūrimo iš atsarginių kopijų bandymai, kur saugomos kopijos ir kaip užtikrinamas jų konfidencialumas (šifravimas ar fizinės saugos priemonės), kopijų darymo būdas (angl. full backup, incremental, differential). Atsarginių elektroninės informacijos kopijų darymo, saugojimo ir elektroninės informacijos atkūrimo iš atsarginių elektroninės informacijos kopijų tvarka gali būti nurodoma ir šiame dokumente.
15. Elektroninė informacija perkeliama ir teikiama susijusiems registrams ir (ar) kitoms informacinėms sistemoms ir iš jų gaunama vadovaujantis Nuostatuose nustatyta tvarka ir sąlygomis.
16. Elektroninės informacijos neteisėto kopijavimo, keitimo, naikinimo, perdavimo ar kitokios neteisėtos veiklos (toliau – neteisėta veikla) nustatymo tvarka:
16.1. siekiant nustatyti, ar su IS elektronine informacija nėra vykdoma neteisėta veikla, visi elektroniniuose įvykių žurnaluose saugomi įrašai turi būti analizuojami ne rečiau kaip kartą per savaitę, taip pat nurodomas asmuo, atsakingas už įvykių žurnalų analizę. Siekiant nustatyti, ar su IS elektronine informacija nėra vykdoma neteisėta veikla, visi elektroniniuose įvykių žurnaluose saugomi įrašai turi būti analizuojami ne rečiau kaip kartą per savaitę, taip pat nurodomas asmuo, atsakingas už įvykių žurnalų analizę;
16.2. IS naudotojai, pastebėję Taisyklėse, Duomenų saugos nuostatuose, Taisyklėse, SPĮ IS veiklos tęstinumo valdymo plane nustatytų reikalavimų pažeidimų, nusikalstamos veikos požymių, neveikiančias arba netinkamai veikiančias elektroninės informacijos saugos ir kibernetinio saugumo užtikrinimo priemones, įvykius ar veiką, atitinkančią kibernetinio ar elektroninės informacijos saugos incidento požymius, arba apie tai gavę informacijos iš kitų informacijos šaltinių, privalo nedelsdami pranešti apie tai administratoriui, IS tvarkytojo saugos įgaliotiniui arba, jeigu IS tvarkytojo organizacijoje įsteigta informacinių technologijų pagalbos tarnyba, šiai tarnybai;
17. IS programinės ir techninės įrangos keitimo, IS pokyčių valdymo tvarka nustatoma SPĮ IS pokyčių valdymo tvarkos apraše. IS pokyčių valdymo tvarka gali būti išdėstyta ir šiame dokumente.
18. Nešiojamųjų kompiuterių ir kitų mobiliųjų įrenginių (toliau kartu – mobilieji įrenginiai) naudojimo tvarka:
18.1. jeigu prie IS jungiamasi per IS infrastruktūroje esančius tarpinius įrenginius, šie įrenginiai turi atitikti šiuos reikalavimus: ____________ (įrašomi reikalavimai, kurie turi būti užtikrinami, jeigu prie IS jungiamasi per IS infrastruktūroje esančius tarpinius įrenginius);
18.2. jeigu prie IS iš mobiliųjų įrenginių jungiamasi tiesiogiai, turi būti įgyvendinti šie reikalavimai:
18.2.1. mobiliesiems įrenginiams, naudojamiems IS valdytojo ar IS tvarkytojo patalpose, esantiems vidiniame IS tvarkytojo kompiuterių tinkle, taikomi tokie patys elektroninės informacijos saugos ir kibernetinio saugumo reikalavimai kaip ir stacionariesiems kompiuteriams;
19. Metodai, kuriais leidžiama užtikrinti saugų elektroninės informacijos teikimą ir (ar) gavimą:
19.1. elektroninei informacijai teikti ir (ar) gauti gali būti naudojamas Saugus valstybinis duomenų perdavimo tinklas;
IV SKYRIUS
REIKALAVIMAI, KELIAMI INFORMACINEI SISTEMAI FUNKCIONUOTI REIKALINGOMS PASLAUGOMS IR JŲ TEIKĖJAMS
20. IS funkcionuoti reikalingų paslaugų, darbų ir (ar) įrangos tiekėjas (toliau – tiekėjas) turi atitikti IS veiklą reglamentuojančių teisės aktų, standartų, Taisyklių reikalavimus ir paslaugų teikimo, darbų atlikimo ar įrangos tiekimo pirkimo dokumentuose iš anksto nustatomus tiekėjo kompetencijos, patirties, teikiamų paslaugų, atliekamų darbų ar tiekiamos įrangos reikalavimus.
21. Perkant paslaugas, darbus ar įrangą, susijusius su IS, jos projektavimu, kūrimu, diegimu, modernizavimu ir kibernetinio saugumo užtikrinimu, iš anksto pirkimo dokumentuose turi būti nustatoma, kad tiekėjas užtikrina atitiktį Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, apraše, nustatytiems reikalavimams. Perkamos paslaugos, darbai ar įranga, susiję su IS, turi atitikti teisės aktų ir standartų, kuriais vadovaujamasi užtikrinant IS elektroninės informacijos saugą ir kibernetinį saugumą, reikalavimus, kurie iš anksto nustatomi paslaugų teikimo, darbų atlikimo ar įrangos tiekimo pirkimo dokumentuose.
22. Tiekėjas, vykdydamas sutartinius įsipareigojimus, turi įgyvendinti tinkamas organizacines ir technines priemones, skirtas IS ir jose tvarkomai elektroninei informacijai apsaugoti nuo atsitiktinio ar neteisėto sunaikinimo, pakeitimo, atskleidimo, taip pat nuo bet kokio kito neteisėto tvarkymo.
23. Tiekėjui prieiga prie IS gali būti suteikiama tik pasirašius sutartį, kurioje turi būti nustatytos tiekėjo teisės, pareigos, prieigos prie informacinių sistemų lygiai ir sąlygos, elektroninės informacijos saugos, kibernetinio saugumo, konfidencialumo reikalavimai ir atsakomybė už jų nesilaikymą. IS saugos įgaliotinis turi supažindinti tiekėją su suteiktos prieigos IS saugos ir kibernetinio saugumo reikalavimais ir sąlygomis. IS saugos administratorius yra atsakingas už prieigos prie IS tiekėjui suteikimą ir panaikinimą pasirašius sutartį, pasibaigus sutarties su tiekėju galiojimo terminui ar kitais sutartyje nurodytais prieigos prie IS panaikinimo atvejais.
24. Tiekėjui suteikiamas tik toks prieigos prie IS lygmuo, kuris yra būtinas sutartyje nustatytiems įsipareigojimams vykdyti. Tiekėjo paskirti specialistai turi pasirašyti konfidencialumo pasižadėjimus.
25. Iškilus poreikiui, siekiant įsitikinti, ar tinkamai vykdoma sutartis, laikomasi elektroninės informacijos saugos ir kibernetinio saugumo reikalavimų, IS tvarkytojas turi teisę atlikti tiekėjo teikiamų paslaugų stebėseną ir auditą, suteikti galimybę atlikti auditą trečiosioms šalims.
26. Tiekėjas privalo nedelsdamas informuoti IS tvarkytoją apie sutarties vykdymo metu pastebėtus elektroninės informacijos saugos ar kibernetinius incidentus, pastebėtas neveikiančias arba netinkamai veikiančias elektroninės informacijos saugos ir (ar) kibernetinio saugumo užtikrinimo priemones, elektroninės informacijos saugos ir (ar) kibernetinio saugumo reikalavimų nesilaikymą, nusikalstamos veikos požymius, saugumo spragas, pažeidžiamumus, kitus svarbius saugai įvykius.
27. IS tvarkytojas su interneto paslaugų teikėju (-ais) turi būti sudaręs sutartis dėl apsaugos nuo IS elektroninių paslaugų trikdymo taikymo (angl. denial of service), reagavimo į elektroninės informacijos saugos ir kibernetinius incidentus įprastomis darbo valandomis ir po darbo valandų, nepertraukiamo interneto paslaugos teikimo ir interneto paslaugos sutrikimų registravimo 24 valandas per parą, 7 dienas per savaitę.
_________________________
PATVIRTINTA
Lietuvos Respublikos sveikatos apsaugos
ministro
2021 m. rugpjūčio 30 d. įsakymu Nr. V-1959
SVEIKATOS PRIEŽIŪROS ĮSTAIGOS INFORMACINĖS SISTEMOS
PAVYZDINĖS NAUDOTOJŲ ADMINISTRAVIMO TAISYKLĖS
I SKYRIUS
Bendrosios nuostatos
1. Sveikatos priežiūros įstaigos (toliau – SPĮ) valdomos ir tvarkomos informacinės sistemos (toliau – IS) naudotojų administravimo taisyklės (toliau – Taisyklės) reglamentuoja SPĮ IS naudotojų ir IS administratorių įgaliojimus, teises, pareigas, prieigos prie elektroninės informacijos principus, saugaus elektroninės informacijos teikimo IS naudotojams kontrolės tvarką.
2. Taisyklėse vartojamos sąvokos:
2.1. Išorinis IS naudotojas – su IS valdytoju arba IS tvarkytoju (-ais) tarnybos ar darbo santykiais nesusijęs asmuo, kuris IS veiklą reglamentuojančių teisės aktų nustatyta tvarka pagal kompetenciją naudoja ir (ar) tvarko elektroninę informaciją.
2.2. Vidinis IS naudotojas – IS naudotojas, tarnybos ar darbo santykiais susijęs su IS valdytoju arba IS tvarkytoju.
2.3. Kitos Taisyklėse vartojamos sąvokos apibrėžtos Lietuvos Respublikos kibernetinio saugumo įstatyme, Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Bendrųjų elektroninės informacijos saugos reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“ ir Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“.
3. Taisyklės taikomos visiems IS naudotojams, IS administratoriams ir IS tvarkytojo (-jų) saugos įgaliotiniams.
4. Prieigos prie elektroninės informacijos principai:
4.1. IS naudotojų ir IS administratorių prieiga prie elektroninės informacijos grindžiama būtinumo žinoti principu. Šis principas reiškia, kad IS naudotojams ir IS administratoriams prieiga suteikiama tik prie tos elektroninės informacijos, kuri reikalinga vykdant tiesioginę jų veiklą. Tvarkyti elektroninę informaciją gali tik tie IS naudotojai ir IS administratoriai, kuriems Taisyklių III skyriuje nustatyta tvarka suteiktos prieigos prie elektroninės informacijos teisės ir priemonės (identifikavimo priemonės, slaptažodžiai ar kitos tapatybės nustatymo priemonės ir panašiai);
4.2. IS naudotojų ir IS administratorių prieigos prie elektroninės informacijos lygmuo grindžiamas mažiausios privilegijos principu. Šis principas reiškia, kad turi būti suteikiamos tik minimalios IS naudotojų ir IS administratorių tiesioginei veiklai vykdyti reikalingos prieigos teisės bei organizacinėmis ir techninėmis priemonėmis užtikrinama minimalių prieigos teisių naudojimo kontrolė (pavyzdžiui, privilegijuotos prieigos teisės neturi būti naudojamos veiklai, kuriai atlikti pakanka žemesnio lygio prieigos teisių, ir panašiai);
4.3. pareigų atskyrimo principas. Šis principas reiškia, kad IS naudotojui, IS administratoriui ar jų grupei negali būti pavesta atlikti ar kontroliuoti visų pagrindinių elektroninės informacijos tvarkymo ar IS priežiūros funkcijų, IS naudotojams negali būti suteikiamos IS administratoriaus teisės, IS priežiūros funkcijos turi būti atliekamos naudojant atskirą tam skirtą IS administratoriaus paskyrą, kuria naudojantis negalima atlikti kasdienių IS naudotojo funkcijų, IS kūrimo, modernizavimo funkcijos turi būti atskirtos nuo IS priežiūros funkcijų ir panašiai;
4.4. pareigų rotacijos principas. Šis principas reiškia, kad IS administratoriui negali būti pavesta nuolat atlikti tas pačias IS administratoriaus funkcijas. Siekiant išvengti subjektyviai tyčinių ir (arba) subjektyviai netyčinių rizikos veiksnių, IS tvarkytojai pagal galimybes turi užtikrinti IS administratorių rotaciją.
II SKYRIUS
is naudotojų IR is administratorių įgaliojimai, teisės ir pareigos
5. IS naudotojų (išskyrus pacientus) ir IS administratorių įgaliojimai, teisės ir pareigos tvarkant elektroninę informaciją ir prieigos prie elektroninės informacijos lygiai nustatomi pagal IS nuostatus, elektroninės informacijos teikimo sutartis, IS naudotojų ir IS administratorių pareiginius nuostatus bei kitus teisės aktus, reglamentuojančius IS veiklą ir IS elektroninės informacijos tvarkymą.
6. IS naudotojų – pacientų įgaliojimai, teisės ir pareigos tvarkant elektroninę informaciją ir prieigos prie elektroninės informacijos lygiai nustatomi IS naudojimo licencijose (susipažinimo formose).
7. IS naudotojai ir IS administratoriai privalo rūpintis IS ir jose tvarkomos elektroninės informacijos sauga ir kibernetiniu saugumu, tvarkyti elektroninę informaciją vadovaudamiesi IS veiklą reglamentuojančiais teisės aktais ir elektroninės informacijos teikimo sutartyse ar IS naudojimo licencijose arba susipažinimo formose nustatytais reikalavimais ir sąlygomis, savo veiksmais nepažeisti elektroninės informacijos konfidencialumo, vientisumo ir prieinamumo.
8. IS naudotojai ir IS administratoriai turi teises naudotis tik tais IS ištekliais, kurios jiems buvo suteiktos Taisyklių III skyriuje nustatyta tvarka.
9. IS naudotojai ir IS administratoriai, pastebėję Duomenų saugos nuostatuose, Taisyklėse ir kituose IS saugos dokumentuose nustatytų reikalavimų pažeidimų, nusikalstamos veikos požymių, neveikiančias arba netinkamai veikiančias saugos ir (ar) kibernetinio saugumo užtikrinimo priemones, privalo nedelsdami kreiptis į SPĮ informacinių technologijų pagalbos tarnybą ar kitą kompetentingą padalinį arba asmenį, atliekantį informacinių technologijų pagalbos tarnybos funkcijas.
10. Jeigu IS tvarkytojo saugos įgaliotinis nebuvo informuotas apie Taisyklių 9 punkte nurodytus pažeidimus, apie tai informuojamas kitas kompetentingas padalinys arba asmuo, atliekantis informacinių technologijų pagalbos tarnybos funkcijas. Įtaręs neteisėtą veiką, pažeidžiančią ar neišvengiamai pažeisiančią IS saugą ir (ar) kibernetinį saugumą, IS tvarkytojo saugos įgaliotinis apie tai turi pranešti IS valdytojo vadovui ir kompetentingoms institucijoms, tiriančioms elektroninių ryšių tinklų, elektroninės informacijos saugos ir kibernetinius incidentus, neteisėtas veikas, susijusias su elektroninės informacijos saugos ar kibernetiniais incidentais.
11. IS administratorių prieigos prie IS lygiai ir juose taikomi saugos reikalavimai:
11.1. IS administratoriai IS ir jų komponentus gali pasiekti naudodamiesi tiesiogine, vietinio tinklo arba nuotoline prieiga. IS administratorių prieiga ir jos lygiai kontroliuojami per fizinius (įeigos kontrolės sistemos, barjerai ir kita) ir loginius (užkardos, domeno valdikliai ir kita) prieigos taškus. Kontrolės priemonės turi būti taikomos visuose IS sandaros sluoksniuose (kompiuterinis tinklas, platformos ar operacinės sistemos, duomenų bazės ir taikomųjų programų sistemos);
11.2. IS administratoriams prieiga prie IS komponentų, elektroninės informacijos ir teisė atlikti elektroninės informacijos tvarkymo veiksmus (elektroninės informacijos skaitymas, kūrimas, atnaujinimas, šalinimas, IS naudotojų informacijos, prieigos teisių redagavimas ir pan.) suteikiama pagal Duomenų saugos nuostatuose nustatytas IS administratorių grupes, remiantis Taisyklių 4 punkte nustatytais prieigos prie elektroninės informacijos principais;
11.3. koordinuojančiam administratoriui pagal kompetenciją gali būti suteikta prieiga prie visų IS komponentų ir jų sąrankos;
11.4. IS naudotojų administratoriams suteikiama prieiga prie IS naudotojų prieigos teisių valdymo sistemų;
11.5. IS komponentų administratoriams pagal kompetenciją suteikiama prieiga prie kompiuterių, operacinių sistemų, duomenų bazių ir jų valdymo sistemų, taikomųjų programų sistemų, užkardų, įsilaužimų aptikimo ir prevencijos sistemų, elektroninės informacijos perdavimo tinklų, duomenų saugyklų, bylų serverių ir kitos techninės ir programinės įrangos bei jų sąrankos;
11.6. IS saugos administratoriams suteikiama prieiga prie IS pažeidžiamumų skenavimo, IS stebėsenos ir saugos atitikties nustatymo ir įvertinimo, saugos informacijos ir įvykių stebėjimo, apsaugos nuo elektroninės informacijos nutekinimo priemonių, kitos saugos užtikrinimo įrangos ir kitų priemonių, kuriomis atliekamas informacinių sistemų pažeidžiamų vietų nustatymas, saugumo reikalavimų atitikties nustatymas ir stebėsena. Saugos administratoriai turi teisę gauti prieigą ir prie kitų IS komponentų, jeigu tai būtina jų funkcijoms, susijusioms su saugumo reikalavimų atitikties nustatymu ir stebėsena, atlikti.
III skyrius
SAUGAUS ELEKTRONINĖS INFORMACIJOS TEIKIMO IS NAUDOTOJAMS KONTROLĖS TVARKA
12. Už IS naudotojų ir IS administratorių registravimą ir išregistravimą atsakingi informacinių sistemų naudotojų administratoriai. Už Taisyklių 15 punkte nurodytos informacijos, reikalingos IS naudotojų ir IS administratorių registravimo ir išregistravimo veiksmams atlikti, pateikimą IS naudotojų administratoriams atsakingi IS naudotojų ir IS administratorių tiesioginiai vadovai.
13. IS naudotojai ir IS administratoriai registruojami arba išregistruojami IS posistemiuose ir komponentuose atitinkamai suteikiant jiems prieigos prie IS teises arba jas panaikinant.
14. Vidinio IS naudotojo tapatybė gali būti nustatoma naudojantis Valstybės informacinių išteklių sąveikumo platformos (toliau – VIISP) ar kitomis autentifikavimo priemonėmis.
14.2. IS naudotojų administratorius prieigos teises suteikia arba pakeičia gavęs IS naudotojo ar IS administratoriaus tiesioginio vadovo rašytinį prašymą, suderintą su savo organizacijoje paskirtais IS ir (arba) elektroninės informacijos savininkais (angl. System Owner/Data Owner);
14.3. teisė tvarkyti elektroninę informaciją gali būti suteikiama tik įsitikinus, kad IS naudotojas arba IS administratorius yra pasirašęs pasižadėjimą saugoti duomenų ir informacijos paslaptį ir pasirašytinai susipažinęs su saugos dokumentais ar jų santrauka ir sutikęs laikytis jų reikalavimų;
14.4. IS naudotojų administratorius prieigos teises sustabdo nedelsdamas, gavęs už žmogiškųjų išteklių valdymą atsakingo IS valdytojo, IS tvarkytojo padalinio arba kito kompetentingo padalinio arba kompetentingo darbuotojo pateiktą informaciją apie tai, kad teisės aktų nustatytais atvejais IS naudotojas ar IS administratorius nušalinamas nuo darbo (pareigų), neatitinka teisės aktuose nustatytų IS naudotojo ar IS administratoriaus kvalifikacinių reikalavimų, praranda patikimumą, yra nėštumo ir gimdymo (motinystės) ar vaiko priežiūros atostogose ir pan.;
14.5. administratorius prieigos teises panaikina gavęs už žmogiškųjų išteklių valdymą atsakingo IS valdytojo, IS tvarkytojo padalinio arba kito kompetentingo padalinio arba darbuotojo pateiktą informaciją apie IS naudotojo ar IS administratoriaus darbo (tarnybos) santykių pasibaigimą. IS naudotojų administratorius prieigos teises turi panaikinti paskutinę IS naudotojo ar IS administratoriaus darbo dieną, tačiau ne vėliau kaip iki darbo (tarnybos) dienos pabaigos. Priverstinio darbo (tarnybos) santykių nutraukimo atveju ir kitais atvejais, kai yra rizika, kad IS naudotojas ar IS administratorius gali atlikti tyčinius veiksmus (pakeisti ar sunaikinti elektroninę informaciją, sutrikdyti elektroninės informacijos perdavimą informacinių technologijų duomenų perdavimo tinklais, pažeisti IS saugumą, įvykdyti vagystę ir kita), prieigos teisės turi būti panaikintos nedelsiant;
14.6. tiesioginiai IS naudotojų ir IS administratorių vadovai kartu su savo organizacijoje paskirtais IS ir (arba) elektroninės informacijos savininkais ne rečiau kaip kartą per metus arba keičiantis IS naudotojo ar IS administratoriaus pareigoms ar funkcijoms turi peržiūrėti šiems darbuotojams suteiktas teises, įvertinti jų atitiktį vykdomoms funkcijoms. Tiesioginiai IS naudotojų ir IS administratorių vadovai turi parengti rašytinį prašymą dėl prieigos teisių vidiniam IS naudotojui ar IS administratoriui pakeitimo, jeigu suteiktos prieigos teisės neatitinka vykdomų funkcijų.
15. Išoriniai IS naudotojai prie IS jungiasi naudodamiesi VIISP arba kitomis asmenų autentifikavimo priemonėmis. Išoriniai IS naudotojai gali naudotis tik išorinio informacinių sistemų naudotojo paskyromis.
16. IS naudotojų ir IS administratorių paskyrų kontrolės priemonės:
16.1. paskyrų galiojimas turi būti laikinai sustabdomas, kai vidinis IS naudotojas nesinaudoja IS ilgiau kaip __ dienų (IS administratorius – __ dienų);
16.2. IS tvarkytojai turi patvirtinti asmenų, kuriems suteiktos IS naudotojo ir IS administratoriaus teisės prisijungti prie IS, sąrašai periodiškai (ne rečiau kaip kartą per pusmetį) peržiūrimi IS tvarkytojų saugos įgaliotinių savo organizacijose. Sąrašas turi būti nedelsiant peržiūrėtas, kai įstatymų nustatytais atvejais IS administratorius nušalinamas nuo darbo (pareigų);
16.3. turi būti naudojamos IS naudotojų paskyrų kontrolės priemonės ir administratorių paskyrų kontrolės priemonės, kurios atliktų paskyrų patikrinimą ir apie nepatvirtintas IS naudotojų ir administratorių paskyras praneštų IS tvarkytojo saugos įgaliotiniui. Apie nepatvirtintas administratorių paskyras turi būti pranešama nedelsiant;
17. Kiekvienas IS naudotojas ir IS administratorius turi būti IS unikaliai atpažįstamas. IS naudotojo ir IS administratoriaus identifikacija turi būti pagrįsta naudotojo vardu, naudotojo kodu arba kita identifikacijos priemone, vienareikšmiškai apibrėžiančia IS naudotoją ar IS administratorių.
18. Sudarant IS naudotojo ar IS administratoriaus identifikatorių didžiosios ir mažosios raidės neturi būti skiriamos.
19. IS naudotojas ir IS administratorius turi patvirtinti savo tapatybę slaptažodžiu arba kita autentiškumo patvirtinimo priemone. IS administratorių tapatumui patvirtinti turi būti naudojamos dviejų veiksnių tapatumo patvirtinimo priemonės, jeigu IS komponentai palaiko tokį funkcionalumą.
20. IS naudotojų ir IS administratorių slaptažodžių, jų sudarymo, galiojimo trukmės ir keitimo bendrieji reikalavimai:
20.2. slaptažodžiams sudaryti neturi būti naudojama asmeninio pobūdžio informacija (pavyzdžiui, vardas, pavardė, gimimo data, šeimos narių vardai, prisijungimo vardas, gyvenamosios vietos adresas ar jo sudedamosios dalys, telefono numeris ir kita);
20.4. kilus įtarimui dėl slaptažodžio konfidencialumo pažeidimo, slaptažodis turi būti nedelsiant pakeistas;
20.5. IS dalys, atliekančios nuotolinio prisijungimo tapatybės nustatymą, turi neleisti išsaugoti slaptažodžių;
20.6. didžiausias leistinas mėginimų įvesti teisingą slaptažodį skaičius turi būti ne didesnis nei __ kartai. Viršijus leistiną mėginimų įvesti teisingą slaptažodį skaičių, paskyra turi užsirakinti ir neleisti identifikuotis ne trumpiau nei __ minučių. Apie IS naudotojų paskyrų užsirakinimą automatiškai turi būti informuojamas IS administratorius;
20.7. slaptažodžiai negali būti saugomi ar perduodami atviru tekstu ar užšifruojami nepatikimais algoritmais;
20.8. IS tvarkytojo saugos įgaliotinio sprendimu laikinas slaptažodis gali būti perduodamas atviru tekstu, tačiau atskirai nuo naudotojo vardo ar identifikavimo kodo, jei IS naudotojas ar IS administratorius neturi galimybių iššifruoti gauto užšifruoto slaptažodžio arba nėra techninių galimybių IS naudotojui ar IS administratoriui perduoti slaptažodį šifruotu kanalu ar saugiu elektroninių ryšių tinklu.
21. Specialieji reikalavimai IS naudotojų slaptažodžiams:
21.3. keičiant slaptažodį IS neturi leisti sudaryti slaptažodžio iš buvusių __ paskutinių slaptažodžių;
22. Specialieji IS administratorių slaptažodžių reikalavimai:
22.3. keičiant slaptažodį IS neturi leisti sudaryti slaptažodžio iš buvusių __ paskutinių slaptažodžių;
PATVIRTINTA
Lietuvos Respublikos sveikatos apsaugos ministro
2021 m. rugpjūčio 30 d. įsakymu Nr. V-1959
SVEIKATOS PRIEŽIŪROS ĮSTAIGOS INFORMACINĖS SISTEMOS
PAVYZDINIS VEIKLOS TĘSTINUMO VALDYMO PLANAS
I SKYRIUS
Bendrosios nuostatos
1. Sveikatos priežiūros įstaigos (toliau – SPĮ) valdomos ir tvarkomos informacinės sistemos (toliau – IS) veiklos tęstinumo valdymo planas (toliau – Planas) reglamentuoja SPĮ IS veiklos tęstinumo užtikrinimą.
2. Plane vartojamos sąvokos apibrėžtos Lietuvos Respublikos kibernetinio saugumo įstatyme, Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Bendrųjų elektroninės informacijos saugos reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“ ir Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarime Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ (toliau – Nutarimas).
3. Planas parengtas pagrindinio IS tvarkytojo (toliau – tvarkytojas) patalpoms, esančioms _____________ (nurodomas adresas), kuriose yra pagrindinė IS informacinių technologijų infrastruktūra, reikalinga IS veiklai. IS komponentų, kurie yra IS kitų tvarkytojų (toliau – tvarkytojai) organizacijose, veiklos tęstinumo valdymą ir veiklos atkūrimą reglamentuoja IS kitų tvarkytojų veiklos tęstinumo valdymą reglamentuojantys dokumentai.
4. Planas įsigalioja įvykus elektroninės informacijos saugos (kibernetiniam) incidentui, dėl kurio IS tvarkytojas (tvarkytojai) negali teikti IS elektroninių paslaugų daliai arba visiems IS naudotojams ir būtina atkurti įprastą IS veiklą IS tvarkytojo (tvarkytojų) patalpose arba atsarginėse patalpose. Plano vykdymą atitinkamai inicijuoja IS tvarkytojo (tvarkytojų) paskirti atsakingi asmenys. Plano nuostatos taip pat taikomos po stichinės nelaimės, avarijos ar kitų ekstremalių situacijų, kai būtina atkurti įprastą IS veiklą.
5. Įvykus kibernetiniam incidentui vadovaujamasi Nacionaliniu kibernetinių incidentų valdymo planu, patvirtintu Nutarimu.
6. Kibernetinių ir elektroninės informacijos saugos incidentų tyrimas atliekamas vadovaujantis IS tvarkytojo (tvarkytojų) patvirtintais teisės aktais, reglamentuojančiais kibernetinių ir elektroninės informacijos saugos incidentų valdymo veiksmus IS tvarkytojo (tvarkytojų) įstaigose.
7. Identifikavus kibernetinį incidentą, atliekamas incidento vertinimas pagal poveikį ir incidento priskyrimas vienai iš šių kategorijų: didelio, vidutinio ar nereikšmingo. Kriterijai, pagal kuriuos incidentas priskiriamas tam tikrai kategorijai, yra nurodyti Nacionaliniame kibernetinių incidentų valdymo plane, patvirtintame Nutarimu.
8. Atsakingų asmenų įgaliojimai įvykus kibernetiniam ar elektroninės informacijos saugos incidentui:
8.1. IS tvarkytojo (tvarkytojų) paskirti saugos įgaliotiniai turi:
8.1.1. bendradarbiauti su kompetentingomis institucijomis, tiriančiomis elektroninių ryšių tinklų, kibernetinius ir (ar) elektroninės informacijos saugos incidentus, neteisėtas veikas, susijusias su kibernetiniais ir (ar) elektroninės informacijos saugos incidentais IS tvarkytojo (tvarkytojų) organizacijose ir (arba) IS komponentuose, už kurių tvarkymą jie yra atsakingi savo organizacijose, išskyrus tuos atvejus, kai šią funkciją atlieka IS tvarkytojo (tvarkytojų) sudarytos elektroninės informacijos saugos ir kibernetinio saugumo darbo grupės;
8.1.2. duoti privalomus vykdyti nurodymus ir pavedimus IS valdytojo ir IS tvarkytojo (tvarkytojų) darbuotojams, jeigu tai būtina elektroninės informacijos saugos ir kibernetinio saugumo politikai įgyvendinti;
8.2. IS administratorius (toliau – administratorius) turi:
9. Nurodomi asmenys, atsakingi už kibernetinių incidentų tyrimą ir pranešimą apie kibernetinius incidentus kompetentingoms institucijoms: Nacionaliniam kibernetinio saugumo centrui, Valstybinei duomenų apsaugos inspekcijai, Lietuvos policijai, taip pat būdai, kuriais pranešama apie kibernetinį incidentą kompetentingoms institucijoms (pvz., Nacionaliniam kibernetinio saugumo centrui pranešama užpildant specialią formą interneto svetainėje www.nksc.lt, rašant el. paštu [email protected] arba skambinant trumpuoju numeriu 1843).
10. Planas privalomas IS valdytojui, IS tvarkytojui (tvarkytojams), saugos įgaliotiniams, IS duomenų valdymo įgaliotiniams, administratoriams, IS naudotojams, IS techninės ir programinės įrangos priežiūros funkcijas teikiantiems paslaugų teikėjams, jei tokios funkcijos paslaugų teikėjams perduotos Valstybės informacinių išteklių valdymo įstatyme nustatytomis sąlygomis ir tvarka.
11. Įvykus kibernetiniam ar elektroninės informacijos saugos incidentui, dėl kurio IS tvarkytojas (tvarkytojai) negali teikti IS elektroninių paslaugų daliai arba visiems IS naudotojams ir būtina atkurti įprastą IS veiklą IS tvarkytojo (tvarkytojų) patalpose arba atsarginėse patalpose, veiklai atkurti naudojami IS valdytojo ir IS tvarkytojo (tvarkytojų) finansiniai ir kitokie ištekliai.
12. IS veiklos kriterijai, pagal kuriuos nustatoma, ar IS veikla atkurta:
12.4. IS elektroninė informacija nuolat teikiama IS naudotojams, registrams ir kitoms informacinėms sistemoms;
II SKYRIUS
Organizacinės nuostatos
13. IS veiklos tęstinumui užtikrinti įvykus kibernetiniam ar elektroninės informacijos saugos incidentui sudaromos Veiklos tęstinumo valdymo grupė ir Veiklos atkūrimo grupė. Veiklos tęstinumo valdymo grupės vadovas ir Veiklos atkūrimo grupės vadovai turi teisę į šių grupių veiklą pasitelkti ir kitus IS valdytojo ir IS tvarkytojo (tvarkytojų) darbuotojus ar trečiosios šalies kompetentingus specialistus, jeigu tai būtina IS veiklai atkurti ir (ar) IS veiklos tęstinumui užtikrinti.
14. Veiklos tęstinumo valdymo grupės sudėtis:
15. Veiklos tęstinumo valdymo grupės funkcijos:
15.4. bendravimas su teisėsaugos ir kitomis institucijomis, šių institucijų darbuotojais ir kitomis interesų grupėmis;
15.5. finansinių ir kitų išteklių, reikalingų IS veiklai atkurti įvykus kibernetiniam ar elektroninės informacijos saugos incidentui, naudojimo kontrolė;
15.6. elektroninės informacijos fizinės saugos organizavimas įvykus elektroninės informacijos saugos ar kibernetinio saugumo incidentui;
16. Veiklos atkūrimo grupės sudėtis:
17. Veiklos atkūrimo grupės funkcijos:
18. Personalinę Veiklos tęstinumo valdymo grupės ir Veiklos atkūrimo grupės sudėtį tvirtina pagrindinio IS tvarkytojo vadovas.
19. Veiklos tęstinumo valdymo grupės, Veiklos atkūrimo grupės veiklą organizuoja ir koordinuoja šių grupių vadovai.
20. Veiksmai, reikalingi IS veiklai atkurti įvykus kibernetiniam ar elektroninės informacijos saugos incidentui, jų vykdymo eiliškumas, terminai ir atsakingi vykdytojai nurodyti Plano priede nustatytame IS veiklos atkūrimo detaliajame plane.
21. Atsarginėms patalpoms, naudojamoms IS veiklai atkurti įvykus kibernetiniam ar elektroninės informacijos saugos incidentui, keliami šie reikalavimai:
21.2. turi atitikti IS techninės įrangos gamintojų nustatytus reikalavimus įrangos darbo aplinkai (pavyzdžiui, tinkama oro temperatūra, oro drėgmė ir kita);
21.4. turi būti įrengta patalpų apsaugos signalizacija, kurios signalai turi būti persiunčiami patalpas saugančiai saugos tarnybai;
21.8. turi būti užtikrintas elektroninių ryšių tinklais perduodamos elektroninės informacijos vientisumas ir konfidencialumas;
22. Atsarginės patalpos, pritaikytos IS atkurti įvykus kibernetiniam ar elektroninės informacijos saugos incidentui, yra __________ patalpos, esančios ______________. Veiklos tęstinumo valdymo grupė ir Veiklos atkūrimo grupė organizuoja bendrą susirinkimą, įvykus kibernetiniam ar elektroninės informacijos saugos incidentui, nenumatytoms situacijoms arba įvykus esminiams organizaciniams IS ar jų komponentų pokyčiams.
23. Veiklos tęstinumo valdymo grupė, atlikusi situacijos analizę, informuoja Veiklos atkūrimo grupę apie priimtus sprendimus IS veiklos tęstinumo valdymo klausimais. Veiklos atkūrimo grupė, atsižvelgdama į priimtus sprendimus, organizuoja IS veiklos atkūrimą.
III SKYRIUS
Aprašomosios nuostatos
25. IS veiklos tęstinumui užtikrinti turi būti parengti ir saugomi šie dokumentai:
25.1. IS dokumentacija, kurioje nurodyta IS informacinių technologijų įranga ir jos parametrai, už ją atsakingi asmenys;
25.2. kiekvieno pastato, kuriame yra IS įranga, aukštų patalpų brėžiniai ir juose pažymėta:
25.4. elektroninės informacijos atsarginių kopijų darymo ir išbandymo tvarkos aprašas, kuriame turi būti nurodyta programinės įrangos laikmenų ir laikmenų su atsarginėmis elektroninės informacijos kopijomis saugojimo vieta ir šių laikmenų perkėlimo į saugojimo vietą laikas ir sąlygos;
25.5. Veiklos tęstinumo valdymo grupės ir Veiklos atkūrimo grupės narių sąrašas su kontaktiniais duomenimis, kuriais šiuos asmenis galima pasiekti bet kuriuo paros metu;
25.6. minimalaus funkcionalumo informacinių technologijų įrangos, tinkamos IS valdytojo ir tvarkytojo (tvarkytojų) poreikius atitinkančiai IS veiklai užtikrinti, įvykus kibernetiniam ar elektroninės informacijos saugos incidentui ar nenumatytai situacijai, specifikacija; už šios įrangos priežiūrą atsakingų administratorių sąrašas ir minimalūs reikiamos kompetencijos ar žinių lygio reikalavimai IS veiklai atkurti nesant administratoriaus, kuris dėl komandiruotės, ligos ar kitų priežasčių negali operatyviai atvykti į darbo vietą;
26. Už Plano 25.1.–25.6. papunkčiuose nurodytų dokumentų parengimo organizavimą, saugojimą, nuolatinį atnaujinimą ir kompiuterinės, techninės ir programinės įrangos sutarčių vykdymo priežiūrą atsakingas IS administratorius. Šiame punkte nurodyti dokumentai saugomi išspausdinti ______________. Jeigu naudojama IS įranga (pagal nuomos, panaudos ar kitas sutartis) priklauso trečiajai šaliai ir yra jos patalpose, sutarties su trečiąja šalimi kopija turi būti saugoma kartu su šiame punkte nurodytais dokumentais.
IV SKYRIUS
Plano veiksmingumo išbandymo nuostatos
28. Plano veiksmingumas išbandomas ne rečiau kaip kartą per metus teorinių ir (ar) praktinių mokymų metu, modeliuojant kibernetinį ar elektroninės informacijos saugos incidentą. Plano veiksmingumo išbandymas gali būti planinis arba neplaninis. Plano veiksmingumo išbandymą organizuoja saugos įgaliotiniai.
29. Plano veiksmingumo išbandymo rezultatai turi būti naudojami Planui atnaujinti. Nustačius Plano veiksmingumo trūkumų, rengiama pastebėtų Plano veiksmingumo trūkumų šalinimo ataskaita. Už Plano veiksmingumo trūkumų šalinimo ataskaitos parengimą ir pateikimą IS valdytojui atsakingi saugos įgaliotiniai.
30. Plano veiksmingumo išbandymo metu pastebėti Plano veiksmingumo trūkumai šalinami remiantis efektyvumo, ekonomiškumo, rezultatyvumo ir operatyvumo principais.
Sveikatos priežiūros įstaigos informacinės sistemos veiklos tęstinumo valdymo plano
priedas
SVEIKATOS PRIEŽIŪROS ĮSTAIGOS INFORMACINĖS SISTEMOS
PAVYZDINIS
veiklos ATKŪRIMO DETALUSIS PLANAS
1. Sveikatos priežiūros įstaigos (toliau – SPĮ) valdomos ir tvarkomos informacinės sistemos (toliau – IS) veiklos atkūrimo detaliajame plane (toliau – Detalusis planas) nurodomi veiksmai, reikalingi SPĮ IS veiklai atkurti įvykus kibernetiniam ar elektroninės informacijos saugos incidentui, jų vykdymo eiliškumas, terminai ir atsakingi vykdytojai.
2. Įsigaliojus SPĮ IS veiklos tęstinumo valdymo planui, Veiklos tęstinumo valdymo grupė informuoja IS naudotojus, susijusių registrų ir kitų informacinių sistemų tvarkytojus, kitus suinteresuotus asmenis apie IS veikimo sutrikimus. Informacija teikiama pagrindinio IS tvarkytojo interneto svetainėje, IS taikomosiose programose, kitomis priemonėmis (pavyzdžiui, raštu, elektroniniu paštu ir panašiai).
3. Veiklos atkūrimo grupė informacinių sistemų veiklą atkuria pagal šiuos IS funkcijų prioritetus:
3.1. tarnybinių stočių veikimo atkūrimas:
4. IS veiklos atkūrimo veiksmai, atsižvelgiant į kibernetinio ar elektroninės informacijos saugos incidento tipą ir mastą, veiklos atkūrimo veiksmų pobūdį, turi būti atlikti per kuo trumpesnį terminą, kuris neturi būti ilgesnis kaip __ valandos. IS veiklos atkūrimo detalūs veiksmai nurodyti 1 lentelėje.
1 lentelė
| Situacija |
Pirminiai veiksmai |
Veiklos atkūrimo veiksmai |
Atsakingi vykdytojai |
| 1. |
1.1. |
1.1.1. |
|
| 1.2. |
1.2.1. |
|
|
| 1.3. |
1.3.1. |
|
______________________