LegalizeDėl Pasvalio rajono savivaldybės administracijos kibernetinių incidentų valdymo plano patvirtinimo
LIETUVOS RESPUBLIKOS FINANSŲ MINISTRAS
Pasvalio rajono savivaldybės administracijos
direktorius
Įsakymas
DĖL PASVALIO RAJONO SAVIVALDYBĖS administracijos KIBERNETINIŲ INCIDENTŲ VALDYMO PLANO PATVIRTINIMO
2026 m. rugpjūčio 12 d. Nr. DV-343
Pasvalys
Vadovaudamasis Lietuvos Respublikos vietos savivaldos įstatymo 34 straipsnio 1 dalimi ir 6 dalies 2 punktu, Lietuvos Respublikos kibernetinio saugumo įstatymu, įgyvendindamas Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimą Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ (su visais aktualiais pakeitimais), vykdydamas Pasvalio rajono savivaldybės administracijos tinklų ir informacinių sistemų kibernetinio saugumo politiką, patvirtintą Pasvalio rajono savivaldybės administracijos direktoriaus 2026 m. gegužės 18 d. įsakymu Nr. DV-193 „Dėl Pasvalio rajono savivaldybės administracijos tinklų ir informacinių sistemų kibernetinio saugumo politikos patvirtinimo“, atsižvelgdamas į Nacionalinio kibernetinio saugumo centro prie Krašto apsaugos ministerijos rekomendacijas, siekdamas užtikrinti tinkamą Pasvalio rajono savivaldybės informacinių išteklių ir informacinių sistemų saugumą:
Patvirtinu Pasvalio rajono savivaldybės administracijos kibernetinių incidentų valdymo planą (pridedama).
Nustatau, kad įsakymas skelbiamas Teisės aktų registre ir Pasvalio rajono savivaldybės interneto svetainėje www.pasvalys.lt.
Administracijos direktorius Povilas Balčiūnas
PATVIRTINTA
Pasvalio rajono savivaldybės
administracijos direktoriaus
2026 m. rugpjūčio 12 d. įsakymu Nr. DV-343
Pasvalio rajono savivaldybės administracijos KIBERNETINIŲ INCIDENTŲ VALDYMO PLANAS
I SKYRIUS
BENDROSIOS NUOSTATOS
Pasvalio rajono savivaldybės administracijos kibernetinių incidentų valdymo planas (toliau – Planas) reglamentuoja Pasvalio rajono savivaldybės administracijos (toliau – Administracija) gebėjimą tinkamai ir laiku reaguoti į kibernetinius incidentus, sumažinti jų poveikį, atkurti pažeistus tinklus ir informacines sistemas.
Plane vartojamos sąvokos:
2.1. Darbuotojas – pareigas einantis valstybės tarnautojas arba pagal darbo sutartį dirbantis asmuo.
2.2. Įvykis – įprasto tinklų ir informacinių sistemų ar paslaugų veikimo sutrikimas ar veikla, galinti turėti reikšmės kibernetiniam saugumui.
2.3. Kibernetinio saugumo vadovas – Administracijos darbuotojas, atsakingas už kibernetinio saugumo subjekto atitikties Lietuvos Respublikos kibernetinio saugumo įstatymo 14 ir 18 straipsniuose nustatytiems reikalavimams įgyvendinimą ir atliekantis kitas kibernetinį saugumą reglamentuojančiuose teisės aktuose nustatytas funkcijas arba iš trečiųjų šalių įsigytos paslaugos, kurių teikimo metu vykdomos kibernetinio saugumo vadovo funkcijos.
2.4. Paraiška – užklausa arba prašymas, pateiktas Administracijos IS administratoriui atlikti tam tikrą veiksmą, kuris nėra susijęs su kibernetiniu incidentu ar įvykiu, tiesioginėmis kibernetinio saugumo grėsmėmis (pvz., prašymas sukurti naują vartotojo paskyrą, prašymas atnaujinti programinę įrangą ir kt.).
2.5. Saugumo operacijų centras (toliau – SOC) – Administracijos direktoriaus ar jo įgalioto asmens paskirta grupė, atsakinga už žurnalinių įrašų (angl. Logs) ir kibernetinių incidentų valdymą arba iš trečiųjų šalių įsigytos paslaugos, kurių teikimo metu vykdomos SOC funkcijos.
Kitos šiame Plane vartojamos sąvokos suprantamos taip, kaip jos apibrėžiamos Kibernetinio saugumo įstatyme.
Planas parengtas vadovaujantis Kibernetinio saugumo įstatymu bei Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ (toliau – Nutarimas Nr. 818).
Planas skirtas visiems Administracijos darbuotojams ir paslaugų teikėjams, kurie pagal savo funkcijas yra susiję su šiame Plane apibrėžtais vaidmenimis.
II SKYRIUS
FUNKCIJOS IR ATSAKOMYBĖS
Administracijos direktorius ar jo įgaliotas asmuo įsakymu paskiria SOC arba sudaro sutartį su trečiąja šalimi vykdyti Kibernetinio saugumo reikalavimų aprašo, patvirtinto Nutarimu Nr. 818, 24-25 punktuose nustatytas funkcijas:
6.1. nustatyti kibernetinius incidentus;
6.2. vertinti kibernetinius incidentus;
6.3. informuoti apie kibernetinius incidentus ir teikti informaciją Nacionaliniam kibernetinio saugumo centrui prie Krašto apsaugos ministerijos (toliau – NKSC);
6.4. valdyti kibernetinius incidentus;
6.5. komunikuoti apie kibernetinius incidentus su suinteresuotomis šalimis;
6.6. saugoti įrodymus apie kibernetinius incidentus;
6.7. vertinti kibernetinių incidentų valdymo įgytą patirtį;
6.8. organizuoti Plano veiksmingumo išbandymą ir parengti išbandymo rezultatų ataskaitą;
6.9. saugoti, fiksuoti ir analizuoti tinklų ir informacinių sistemų (toliau – TIS), techninės įrangos žurnalinius įrašus;
6.10. saugoti ir analizuoti įeinančio ir išeinančio tinklo duomenų srauto, antivirusinės programinės įrangos, įsibrovimų aptikimo ir prevencijos sistemos ar saugasienės (ugniasienės) žurnalinius įrašus (angl. Logs);
6.11. kaupti TIS konfigūracinių ir atsarginių kopijų failų prieigos ar pakeitimo veiksmų įrašus.
SOC funkcijos negali būti pavedamos darbuotojui arba paslaugų teikėjui, atsakingam už TIS veiklą (t. y., IS administratoriui).
Kibernetinio saugumo vadovo funkcijos ir atsakomybės:
8.1. užtikrinti nenutrūkstamą SOC veiklą 24/7 – 7 dienas po 24 valandas;
8.2. koordinuoti didelių kibernetinių incidentų valdymą, įskaitant atvejį, kai SOC nariai yra nepasiekiami;
8.3. inicijuoti ir organizuoti Administracijos darbuotojų informavimą apie įvykusius kibernetinius incidentus, kai tai būtina vadovybei, klientams ar kitoms suinteresuotoms šalims;
8.4. organizuoti komunikavimą, susijusį su incidento poveikiu, su trečiosiomis šalimis (klientais, partneriais, tiekėjais);
8.5. organizuoti kibernetinio saugumo mokymus darbuotojams pagal Kibernetinės higienos praktikos organizavimo ir kibernetinio saugumo mokymų organizavimo ir vykdymo tvarkos aprašą;
8.6. peržiūrėti šio Plano aktualumą ir teikti pasiūlymus dėl jo tobulinimo;
8.7. rengti ataskaitas apie įvykusius kibernetinius incidentus ir Plano trūkumus, identifikuotus kibernetinių incidentų valdymo proceso metu.
III SKYRIUS
KIBERNETINIŲ INCIDENTŲ NUSTATYMAS IR VERTINIMAS
Administracijoje turi būti naudojamos automatinės kibernetinių incidentų aptikimo / stebėjimo sistemos, skirtos aptikti įvairias grėsmių rūšis:
- antivirusinė programinė įranga, skirta aptikti ir neutralizuoti kenkėjiškas programas (pvz., virusus, Trojos arklius);
- įsilaužimų aptikimo sistema (angl. Intrusion Detection System, IDS), skirta identifikuoti įtartiną ar žalingą tinklo ar sistemų veiklą;
- įsilaužimų prevencijos sistema (angl. Intrusion Prevention System, IPS), skirta automatiškai blokuoti aptiktą žalingą veiklą;
- pažangūs grėsmių aptikimo ir reagavimo sprendimai (angl. Endpoint Detection and Response, EDR; Extended Detection and Response, XDR) integruojantys duomenis iš įvairių šaltinių ir padedančius identifikuoti, analizuoti ir valdyti kibernetinius incidentus;
- saugasienė (ugniasienė), skirta riboti neteisėtą prieigą prie tinklo iš išorės ar vidaus;
- el. pašto filtravimo priemonės, skirtos aptikti sukčiavimo (angl. Phishing) ir šlamšto (angl. Spam) laiškus;
- interneto srauto analizės priemonės, padedančias nustatyti duomenų nutekėjimą ar neįprastą elgseną ir kt);
Administracijoje naudojami kibernetinių incidentų aptikimo išoriniai ir vidiniai šaltiniai:
10.1. NKSC, Valstybinė duomenų apsaugos inspekcijos (toliau – VDAI) ir Policijos departamento pranešimai;
10.2. anoniminiai pranešimai, forumai ar žiniasklaidos portalai;
10.3. trečiųjų šalių ir naudotojų pranešimai;
10.4. Administracijos darbuotojų pranešimai ir įtarimai, kad kažkas neįprasto vyksta su kompiuterine darbo vieta (toliau – KDV) ar TIS:
10.4.1. KDV veikia žymiai lėčiau nei įprastai;
10.4.2. KDV atsiranda nežinomų failų, programų ar nuorodų;
10.4.3. iš KDV siunčiami el. laiškai, kurių darbuotojas nesiuntė;
10.4.4. KDV sistemos langai ar naršyklės atsidaro automatiškai, be vartotojo veiksmų;
10.4.5. KDV rodomi įspėjimai, reklamos ar kiti netipiniai pranešimai;
10.4.6. pastebimas padidėjęs ar neįprastas tinklo srautas iš KDV;
10.4.7. TIS paslaugos (pvz., el. paštas, dokumentų valdymo sistema) tampa nepasiekiamos arba veikia nestabiliai;
10.4.8. TIS registruojamas neįprastas prisijungimų aktyvumas (pvz., iš neįprastų IP adresų, ne darbo metu);
10.4.9. TIS žurnaluose fiksuojami bandymai vykdyti neleistinas operacijas ar naudotis nesuteiktomis teisėmis;
10.4.10. TIS vykdomi neautorizuoti sistemos nustatymų keitimai ar diegiami įtartini programiniai komponentai;
10.4.11. TIS automatinės kibernetinių incidentų aptikimo/stebėjimo sistemos generuoja įspėjimus dėl įtartinų veiklų;
10.4.12. automatinių kibernetinių incidentų aptikimo/stebėjimo sistemų pranešimai ir kt.
Kibernetinis incidentas laikomas dideliu, kai Administracija patiria ar gali patirti didelių paslaugų teikimo sutrikimų ir kibernetinis incidentas atitinka bent vieną iš šių kriterijų:
11.1. paslaugos trikdomos visoje Lietuvos teritorijoje ir (ar) bent vienoje Europos Sąjungos arba NATO šalyje;
11.2. TIS veikla trikdoma 2 ar daugiau valandų;
11.3. paveiktų paslaugų gavėjų (tiek Administracijos darbuotojai, tiek klientai) ar KDV skaičius lygus arba didesnis nei 1 000, arba 25 procentai (atsižvelgiant į tai, kuris dydis yra mažesnis);
11.4. paveikti 1 000 arba 25 procentai (atsižvelgiant į tai, kuris dydis yra mažesnis) paslaugų gavėjų asmens duomenys ar kiti Administracijos saugomi paslaugų gavėjų duomenys;
11.5. paveikti 25 procentai KDV;
11.6. nebegali užtikrinti teisės aktuose jos veiklai nustatytų reikalavimų įgyvendinimo;
11.7. prarasta arba atskleista Administracijos konfidenciali informacija pagal konfidencialios informacijos sąrašą arba įslaptinta informacija sudaranti valstybės ar tarnybos paslaptį pagal Lietuvos Respublikos valstybės ir tarnybos paslapčių įstatymą;
11.8. per 6 mėnesius patiriamas daugiau nei vienas analogiškas kibernetinis incidentas, incidentų pagrindinė priežastis sutampa, o finansinių nuostolių dydis siekia Plano 11.9 papunktyje numatytas vertes;
11.9. Administracija patiria ar gali patirti didelių finansinių nuostolių, lygių arba didesnių nei 500 000 Eur, arba 5 procentų Administracijos praėjusių finansinių metų pajamų (atsižvelgiant į tai, kuri suma yra mažesnė);
11.10. kai kibernetinis incidentas paveikė kitus fizinius ar juridinius asmenis, sukeldamas didelę turtinę arba neturtinę žalą, atitinkančią bent vieną iš šių kriterijų:
11.10.1. galimos turtinės žalos dydis yra lygus arba didesnis nei 400 bazinių socialinių išmokų;
11.10.2. galimos neturtinės žalos dydis lygus arba didesnis nei 10 000 Eur;
11.10.3. sutrikdyta bent vieno žmogaus sveikata arba bent vienas žmogus žuvo.
IV SKYRIUS
KIBERNETINIŲ INCIDENTŲ VALDYMAS
Kibernetinių incidentų valdymo grafinis atvaizdavimas pateikiamas šio Plano 1 priede ir jo aprašymas pateikiamas šio Plano 2 priede. Kibernetinio incidento valdymo procese dalyvaujančių atsakingų asmenų ir institucijų sąrašas su kontaktine informacija pateikiamas šio Plano 3 priede.
Didelio kibernetinio incidento atveju SOC nedelsdamas informuoja Administracijos vadovybę, kibernetinio saugumo vadovą ir IS administratorių apie šio incidento mastą, galimą poveikį ir planuojamus veiksmus.
Jei nustatoma, kad kibernetinis incidentas gali paveikti arba jau paveikė Administracijos suinteresuotas šalis, pvz. klientus, paslaugų teikėjus, partnerius ir kt., tuomet kibernetinio saugumo vadovas privalo jas informuoti apie kibernetinį incidentą.
Kibernetinių incidentų metu bendravimas su viešosiomis informavimo priemonėmis (žiniasklaida, socialinė žiniasklaida, visuomenės atstovais) vykdomas tik per Administracijos direktoriaus paskirtą darbuotoją. Prieš pateikiant bet kokią informaciją viešai, pranešimo turinys turi būti suderintas su kibernetinio saugumo vadovu.
Administracijoje paraiškos, įvykiai, kibernetiniai incidentai ir problemos pateikiami IS administratoriui el. paštu it@pasvalys.lt. Jei žinoma, kad paraiška susijusi su kibernetiniu incidentu, pranešimas siunčiamas el. pašto adresu soc@pasvalys.lt.
Kibernetinio incidento metu, kai paveikiami asmens duomenys, nedelsiant informuojamas Administracijos duomenų apsaugos pareigūnas ir jam pateikiama visa su kibernetiniu incidentu susijusi informacija. Tokiu atveju Administracijos duomenų apsaugos pareigūnas turi teisę gauti visą su kibernetiniu incidentu susijusią informaciją, kad galėtų užtikrinti tinkamą asmens duomenų saugos pažeidimo užkardymą ir pranešimą apie kibernetinį incidentą.
Visi kibernetinio incidento sprendime dalyvaujantys asmenys turi užtikrinti, kad kibernetinio incidento sprendimo eiga (įskaitant komunikavimą) būtų fiksuojama ir apie ją būtų informuojamas kibernetinį incidentą registravęs asmuo.
Kibernetinių incidentų metu komunikacijai tarp SOC, kibernetinio saugumo vadovo, vadovybės ir kitų susijusių asmenų naudojami oficialūs ir saugūs kanalai: el. paštas, Microsoft Teams, Zoom.
Jei kibernetinio incidento metu dėl ryšio sutrikimų nėra prieigos prie interneto arba pagrindiniai komunikacijos kanalai yra nepasiekiami, Administracija naudoja iš anksto numatytus atsparius ryšio sprendimus: rezervinis interneto ryšys – Starlink palydovinis ryšys, mobilusis tinklas; alternatyvi pranešimų siuntimo priemonė – SMS; rezervinis balso ryšys – mobilusis telefonas.
Visos komunikacijos priemonės, naudojamos kibernetinių incidentų valdymo metu, turi būti saugios. Jų konfidencialumas užtikrinamas naudojant tik Administracijos patvirtintus oficialius kanalus, kurie užtikrina duomenų šifravimą duomenų perdavimo metu, vadovaujantis Kriptografijos ir šifravimo naudojimo tvarkos aprašu. Draudžiama naudoti asmeninius el. paštus, nesaugias žinučių platformas ar neautorizuotus įrenginius. Prieigą prie komunikacijos kanalų turi tik incidento sprendime dalyvaujantys asmenys.
Kibernetinio incidento metu, jei kyla teisinio pobūdžio klausimų ar būtina įvertinti teisines pasekmes, kibernetinio saugumo vadovas kreipiasi į Administracijos Juridinį ir personalo skyrių.
Kibernetiniam incidentui valdyti informacija naudojama tik iš oficialių ir patikimų šaltinių:
23.1. NKSC;
23.2. VDAI;
23.3. Europos Sąjungos kibernetinio saugumo agentūros (angl. European Union Agency for Cybersecurity, ENISA);
23.4. ir kitų, pvz., patikimų gamintojų, sertifikuotų tiekėjų.
Po didelio kibernetinio incidento suvaldymo, jei jis paveikė suinteresuotas šalis, pvz. klientus, paslaugų teikėjus, partnerius ir kt., kibernetinio saugumo vadovas pateikia jiems apibendrintą kibernetinio incidento ataskaitą.
Kibernetinių incidentų valdymo tikslas – kaip įmanoma greičiau atstatyti Administracijos teikiamas paslaugas ir minimizuoti neigiamą kibernetinio incidento poveikį jų kokybei. Jei didelio kibernetinio incidento nepavyksta suvaldyti ir jis daro poveikį Administracijos veiklos tęstinumui, aktyvuojamas Veiklos tęstinumo valdymo planas, vadovaujantis Tinklų ir informacinių sistemų veiklos tęstinumo valdymo tvarkos aprašu.
V SKYRIUS
INFORMAVIMAS APIE KIBERNETINIUS INCIDENTUS
SOC NKSC apie kibernetinius incidentus informuoja registruodamas Kibernetinio saugumo informacinės sistemos posistemyje – Nacionalinėje kibernetinių incidentų valdymo platformoje (toliau – Platforma).
SOC, dėl kibernetinio incidento neturintis galimybės apie kibernetinius incidentus informuoti per Platformą, NKSC informuoja užpildydamas formą NKSC interneto svetainėje arba NKSC nurodytu elektroninio pašto adresu arba telefonu.
Pranešant apie didelį kibernetinį incidentą pateikiama:
28.1. nedelsiant, bet ne vėliau kaip per 24 valandas nuo sužinojimo apie didelį kibernetinį incidentą momento – ankstyvasis perspėjimas, kuriame pagal galimybes nurodoma, ar didelį kibernetinį incidentą, kaip įtariama, sukėlė neteisėti ar piktavališki veiksmai ir ar jis galėtų daryti tarpvalstybinį poveikį:
28.1.1. kokių paslaugų sutrikimų patyrė ar gali patirti Administracija – nurodomos paslaugos ir sutrikimų apimtys;
28.1.2. kokių finansinių nuostolių patyrė ar gali patirti Administracija – nurodomas nuostolių dydis;
28.1.3. ar kibernetinis incidentas paveikė arba gali paveikti kitus asmenis, sukeldamas turtinę arba neturtinę žalą, – jei taip, nurodomi asmenys ir žalos dydis;
28.1.4. neteisėtų ar piktavališkų veiksmų įrodymus (jei tokių yra);
28.1.5. ar incidentas suvaldytas;
28.1.6. kitą svarbią informaciją (pavyzdžiui, kibernetinio incidento vietą, tikslų nustatymo laiką).
28.2. nedelsiant, bet ne vėliau kaip per 72 valandas nuo sužinojimo apie didelį kibernetinį incidentą momento – pranešimas apie kibernetinį incidentą, kuriame pagal galimybes atnaujinama Plano 28.1 punkte nurodyta informacija ir nurodomas didelio kibernetinio incidento, įskaitant jo sunkumą ir poveikį, pradinis vertinimas, taip pat nurodomi įsilaužimo įrodymai, jeigu tokių yra;
28.3. NKSC prašymu – tarpinė atitinkamų atnaujintų padėties duomenų ataskaita per NKSC nurodytą pateikimo terminą;
28.4. ne vėliau kaip per vieną mėnesį nuo šio Plano 28.1 punkte nurodyto pranešimo apie kibernetinį incidentą pateikimo dienos – galutinė ataskaita, kurioje pateikiama ši informacija:
28.4.1. išsamus kibernetinio incidento, įskaitant jo sunkumą ir poveikį, aprašymas;
28.4.2. grėsmės arba pagrindinės priežasties, dėl kurios kibernetinis incidentas galėjo įvykti, rūšis;
28.4.3. taikomos ir įgyvendinamos kibernetinio incidento poveikio mažinimo priemonės;
28.4.4. tarpvalstybinis kibernetinio incidento poveikis, jeigu toks buvo.
Jeigu šio Plano 28.4 punkte nurodytos galutinės ataskaitos pateikimo metu kibernetinis incidentas tebevyksta, pateikiama pažangos ataskaita, o galutinė ataskaita – per vieną mėnesį nuo dienos, kai kibernetinis incidentas buvo suvaldytas.
Teikiant Plano 28.4.2 nurodytą informaciją, parenkama viena iš išvardytų kibernetinių grėsmių ir pagrindinių incidentų priežasčių (žr. 4 priedas).
SOC apie kitus kibernetinius incidentus, neatitinkančius šio Plano 28 punkto nuostatų (toliau – nedidelis kibernetinis incidentas), NKSC informuoja pateikdamas:
31.1. nedelsdamas, bet ne vėliau kaip per 72 valandas nuo sužinojimo apie kibernetinį incidentą momento, pranešimą apie nedidelį kibernetinį incidentą, jame nurodydamas Plano 28.2 punkte nurodytą informaciją;
31.2. per vieną mėnesį nuo pranešimo apie kibernetinį incidentą registravimo dienos galutinę ataskaitą apie nedidelį kibernetinį incidentą, joje pateikdamas Plano 28.4 punkte nurodytą informaciją. Galutinė ataskaita apie nedidelį kibernetinį incidentą neteikiama, jei pranešime apie kibernetinį incidentą pateikta visa galutinės ataskaitos informacija.
Jei Administracija patyrė kelis vos neįvykusius incidentus (t. y., incidentus, kuriuos pavyko užkardyti), SOC apie juos savanoriškai gali pranešti NKSC.
Jei kibernetinis incidentas tęsiasi ilgiau nei vieną mėnesį, Administracija kas mėnesį atnaujina Plano 28.2 punkte nurodytą informaciją.
SOC teikdamas NKSC informaciją apie kibernetinio incidento pradinį vertinimą, įvardija:
34.1. kokių paslaugų sutrikimų patyrė ar gali patirti Administracija – nurodomos paslaugos ir sutrikimų apimtys;
34.2. kokių finansinių nuostolių patyrė ar gali patirti Administracija – nurodomas nuostolių dydis;
34.3. ar kibernetinis incidentas paveikė arba gali paveikti kitus asmenis, sukeldamas turtinę arba neturtinę žalą, – jei taip, nurodomi asmenys ir žalos dydis;
34.4. neteisėtų ar piktavališkų veiksmų įrodymus (jei tokių yra);
34.5. ar incidentas suvaldytas;
34.6. kitą svarbią informaciją (pavyzdžiui, kibernetinio incidento vietą, tikslų nustatymo laiką).
SOC renka ir saugo įrodymus, susijusius su kibernetinio incidento nustatymu ir tyrimu. Įrodymai apima, bet neapsiriboja:
35.1. kompiuterio kietojo disko (angl. hard disk) atvaizdus;
35.2. kompiuterio operatyviosios (darbinės) atminties (angl. RAM) atvaizdus;
35.3. ekrano vaizdus (angl. Screenshots);
35.4. žurnalinius įrašus (angl. Logs);
35.5. situaciją paaiškinančius tekstinius komentarus;
35.6. interneto nuorodas;
35.7. tinklo srauto failus (duomenų paketus);
35.8. paveiktų sistemų konfigūracinius failus;
35.9. kitus failus (pvz., įvairių šalių nacionalinių reagavimo į kompiuterinio saugumo incidentus grupių ataskaitas apie tam tikrus tarpvalstybinius incidentus).
Įrodymai, susiję su kibernetiniu incidentu, turi būti apsaugoti nuo pažeidimo, praradimo, nesankcionuoto pakeitimo ar sunaikinimo.
Kibernetinio incidento valdymo metu įgytos žinios ir patirtis turi būti dokumentuojama. Turi būti vykdoma analizė, nustatant, kas incidento valdymo metu buvo padaryta tinkamai, o kas – netinkamai. Jei kibernetinis incidentas įvyko dėl saugumo spragos, spraga turi būti pašalinta pagal Tinklų ir informacinių sistemų įsigijimo, plėtojimo ir priežiūros saugumo, įskaitant spragų valdymą ir atskleidimą, tvarkos aprašą.
Kibernetinių incidentų valdymas yra stebimas ir vertinamas pagal Kibernetinio saugumo valdymo veiksmingumo stebėsenos ir vertinimo tvarkos aprašą.
VI SKYRIUS
BAIGIAMOSIOS NUOSTATOS
Kibernetinio saugumo vadovas turi reguliariai, ne rečiau kaip kartą per metus, organizuoti kibernetinio saugumo mokymus pagal Kibernetinės higienos praktikos organizavimo ir kibernetinio saugumo mokymų organizavimo ir vykdymo tvarkos aprašą.
SOC privalo kaupti ir saugoti visą informaciją apie įvykusius kibernetinius incidentus, įskaitant jų priežastis, pasekmes ir taikytus sprendimus. Ši informacija turi būti tvarkoma pagal Administracijos dokumentų valdymo ir duomenų apsaugos reikalavimus.
SOC surinktą informaciją apie įvykusius incidentus nuolatos analizuoja, o išmoktas pamokas pagal galimybes sistemingai pritaiko Administracijos veikloje, siekdamas sumažinti incidentų pasikartojimo tikimybę.
Jei TIS paslaugas, susijusias su kibernetinių incidentų valdymu, teikia paslaugų teikėjai, tai už sutarties vykdymą atsakingas darbuotojas užtikrina, kad paslaugų teikėjai būtų supažindinti su šiuo Planu ir (ar) gautų prieigas prie Kibernetinio saugumo informacinės sistemos.
Remdamasis analizuotais incidentais, išmoktomis pamokomis ir mokymų metu gauta informacija, kibernetinio saugumo vadovas privalo periodiškai, ne rečiau kaip kartą per metus, peržiūrėti ir atnaujinti šį Planą, užtikrindamas jo efektyvumą ir atitikimą besikeičiančioms grėsmėms.
Kibernetinio saugumo vadovas, remdamasis SOC pateikta informacija, turi parengti periodines, ne rečiau kaip kartą per metus, ataskaitas apie įvykusius kibernetinius incidentus, kibernetinių incidentų metu pastebėtus Plano trūkumus ir jo tobulinimo veiksmus, kurios būtų pristatomos atsakingiems asmenims ar vadovybei.
Kibernetinio saugumo vadovas periodiškai, ne rečiau kaip kartą per metus, organizuoja Plano veiksmingumo išbandymą ir jo rezultatus apibendrina ataskaitoje, kurią pristato atsakingiems asmenims ar vadovybei.
Pasvalio rajono savivaldybės administracijos
kibernetinių incidentų valdymo plano
1 priedas
Tipinio kibernetinių incidentų valdymo proceso SCHEMA
Schemos grafiniai simboliai, santrumpos ir jų reikšmės:
Grafinis simbolis / santrumpa
Reikšmė
Proceso pradžia
Proceso pabaiga
Veiksmas, skirtas organizacijoje atliekamai veiklai atvaizduoti
Duomenimis pagrįstas sprendimas, kai pasirenkama tolesnė proceso eiga
Lygiagrečiai vykdomos proceso eigos
Proceso eiga tarp veiksmų, sprendimų ir kt.
KI
Kibernetinis incidentas
KSS
Kibernetinio saugumo subjektas – Pasvalio rajono savivaldybės administracija
KSS SOC
Administracijos SOC (įskaitant trečiąją šalį, teikiančią SOC paslaugą)
KSS IT
Administracijos IS administratorius
NKSC
Nacionalinis kibernetinio saugumo centras
TIS
Tinklų ir informacinė sistema
Pasvalio rajono savivaldybės administracijos
kibernetinių incidentų valdymo plano
2 priedas
kibernetinių incidentų valdymo proceso APRAŠYMAS
Nr.
Veiksmo aprašymas
Dalyvis
Terminas
Rezultatas
Pradžia (nustatytas įvykis)
1.
Įvertinti, ar tai kibernetinis incidentas. Gavus pranešimą apie įvykį arba jį nustačius, sprendžiama, ar jis galėtų būti laikomas kibernetiniu incidentu.
SOC
Pasvalio rajono savivaldybės administracijos kibernetinių incidentų valdymo plane (toliau – KIV planas) nustatytais terminais.
Priimtas sprendimas, ar įvyko kibernetinis incidentas.
2.
Įvertinti kibernetinio incidento poveikį. Priėmus sprendimą, kad įvykis laikomas kibernetiniu incidentu, pagal KIV plane nustatytus kriterijus įvertinama, ar įvyko didelis kibernetinis incidentas.
SOC
Ne vėliau kaip per 24 val. nuo įvykio registravimo.
Įvertintas kibernetinio incidento poveikis.
Pranešimas Nacionaliniam kibernetinio saugumo centrui (NKSC)
3.
Registruoti Nacionalinėje kibernetinių incidentų valdymo platformoje (toliau – Platforma). Nustačius, kad įvyko kibernetinis incidentas, apie tai informuojamas NKSC, Platformoje pateikiant KIV plane numatytą informaciją.
SOC
Ankstyvasis perspėjimas (apie didelį incidentą) – nedelsiant, bet ne vėliau kaip per 24 val. nuo sužinojimo. Pranešimas apie (nedidelį) kibernetinį incidentą – nedelsiant, bet ne vėliau kaip per 72 val. nuo sužinojimo.
Kibernetinis incidentas užregistruotas Platformoje.
Kibernetinio incidento valdymas
4.
Spręsti dėl kibernetinio saugumo priemonių taikymo. Užregistravus kibernetinį incidentą sprendžiama dėl tinkamiausių priemonių jam suvaldyti. Apie šias priemones informuojamas IS administratorius.
SOC
KIV plane nustatytais terminais.
Priimtas sprendimas dėl kibernetinio saugumo priemonių taikymo.
5.
Nustatyti, ar didelis kibernetinis incidentas. Vertinama, ar nedidelis kibernetinis incidentas netampa dideliu. Didelių kibernetinių incidentų pakartotinis vertinimas atliekamas tik patikslinant jo poveikį, nustatant pagrindinę priežastį, bet nekeičiant rūšies.
SOC
KIV plane nustatytais terminais.
Įvertintas arba patikslintas kibernetinio incidento poveikis.
6.
Atnaujinti informaciją Platformoje. Nustačius, kad kibernetinis incidentas atitinka didelio kibernetinio incidento kriterijus, atnaujinama informacija pagal KIV plano reikalavimus ir pateikiama tarpinė atitinkamų atnaujintų padėties duomenų ataskaita (toliau – tarpinė ataskaita) arba pažangos ataskaita.
SOC
Tarpinė ataskaita – NKSC nurodytais terminais. Pažangos ataskaita apie didelį kibernetinį incidentą – kas mėnesį, iki bus suvaldytas kibernetinis incidentas.
Platformoje užregistruota tarpinė arba pažangos ataskaita.
7.
Įvertinti, ar reikalinga NKSC pagalba. Valdant didelį kibernetinį incidentą sprendžiama dėl turimų vidinių ir pasitelktų išorinių resursų pakankamumo kibernetiniam incidentui suvaldyti.
SOC
Nuolat, iki bus suvaldytas kibernetinis incidentas.
Įvertintos organizacijos galimybės suvaldyti kibernetinį incidentą.
8.
Prašyti NKSC pagalbos. Nepavykstant didelio kibernetinio incidento suvaldyti turimais vidiniais ir pasitelktais išoriniais resursais, vertinamas poreikis kreiptis pagalbos į NKSC dėl kibernetinio incidento suvaldymo.
SOC
Priėmus sprendimą kreiptis – nedelsiant.
Pateiktas pagalbos prašymas NKSC.
9.
Surinkti įrodymus. Valdant kibernetinius incidentus surenkami visi įrodymai, reikalingi pagrindinei kibernetinio incidento priežasčiai ar grėsmei nustatyti.
IS administratorius
Nuolat, iki bus suvaldytas kibernetinis incidentas.
Surinkti įrodymai.
10.
Taikyti kibernetinio saugumo priemones. Taikomos būtinos priemonės, kad būtų užkirstas kelias kibernetiniam incidentui plisti ar tęstis.
IS administratorius
Nuolat, iki bus suvaldytas kibernetinis incidentas.
Įgyvendinamas KIV planas.
11.
Įvertinti, ar suvaldytas kibernetinis incidentas. Vertinamas taikomų techninių ir organizacinių priemonių veiksmingumas, ar kibernetinis incidentas tęsiasi, ar suvaldytas. Kibernetinio incidento nesuvaldžius, toliau tęsiamas jo poveikio vertinimas ir techninių ir organizacinių priemonių taikymas.
SOC
Nuolat.
Priimtas sprendimas, ar kibernetinis incidentas suvaldytas.
12.
Atkurti TIS veiklą. TIS veikla atkuriama pagal jų veiklos atkūrimo planus.
Veiklos tęstinumo valdymo ir veiklos atkūrimo grupė
Tinklų ir informacinių sistemų veiklos tęstinumo valdymo tvarkos apraše nustatytais terminais.
TIS paslaugos teikiamos įprastine tvarka ir terminais.
Kibernetinio incidento tyrimas
13.
Atlikti kibernetinio incidento tyrimą. Suvaldžius kibernetinį incidentą, pagal surinktus įrodymus identifikuojama pagrindinė jį sukėlusi priežastis.
SOC
Organizacijos veiklos atkūrimo planuose nustatytais terminais.
Nustatyta pagrindinė kibernetinio incidento priežastis.
14.
Identifikuoti prevencines priemones. Nustačius pagrindinę priežastį, pateikiamos išvados ir rekomendacijos, kaip ateityje išvengti tokio pobūdžio kibernetinių incidentų.
SOC
Organizacijos veiklos atkūrimo planuose nustatytais terminais.
Pateiktos išvados ir rekomendacijos.
15.
Pateikti galutinę ataskaitą. Vadovaujantis KIV planu parengiama galutinė ataskaita ir registruojama Platformoje.
SOC
Galutinė ataskaita – per 1 mėnesį nuo ankstyvojo perspėjimo (didelio kibernetinio incidento atveju), pranešimo apie kibernetinį incidentą gavimo (nedidelio kibernetinio incidento atveju) arba nuo kibernetinio incidento suvaldymo.
Platformoje užregistruota galutinė ataskaita.
Pasvalio rajono savivaldybės administracijos
kibernetinių incidentų valdymo plano
3 priedas
KIBERNETINIO INCIDENTO VALDYMO PROCESE DALYVAUJANČIŲ ATSAKINGŲ ASMENŲ IR INSTITUCIJŲ KONTAKTAI
(Kibernetinio incidento valdymo procese dalyvaujančių atsakingų asmenų ir institucijų sąrašų ir kontaktų forma)
Nr.
Pareigos/ Institucija
Vardas, pavardė
El. paštas
Telefonas
Interneto svetainė
Pasvalio rajono savivaldybės administracijos
kibernetinių incidentų valdymo plano
4 priedas
KIBERNETINIŲ GRĖSMIŲ IR
PAGRINDINIŲ INCIDENTŲ PRIEŽASTYS
Nepageidaujamų laiškų ir (ar) klaidinančios ar žeidžiančios informacijos platinimas (angl. abusive content, spam) ir (ar) tinklų ir informacinės sistemos (toliau – TIS) veiklos trikdymas.
Kenkimo programinė įranga (angl. malicious software / code): programinė įranga ar jos dalis, kuri padeda neteisėtai prisijungti prie TIS, ją užvaldyti ir kontroliuoti, sutrikdyti ar pakeisti jos veikimą, sunaikinti, sugadinti, ištrinti ar pakeisti skaitmeninius duomenis, panaikinti ar apriboti galimybę jais naudotis ir neteisėtai pasisavinti ar kitaip panaudoti neviešus skaitmeninius duomenis tokios teisės neturintiems asmenims ir kuri identifikuota kaip:
2.1. pažangi kenkimo programinė įranga (angl. advanced persistent threat, APT);
2.2. TIS duomenis šifruojantis ir naikinantis (angl. wiper) ar išpirkos reikalaujantis programinis kodas (angl. ransomware);
2.3. TIS dalys, aktyviai kontroliuojamos įsibrovėlių;
2.4. kenkimo programinės įrangos platinimas.
Informacijos rinkimas (angl. information gathering): žvalgyba ar kita įtartina veikla, manipuliavimas naudotojų emocijomis, psichologija, pastabumo stoka, pasinaudojimas technologiniu neišmanymu (angl. social engineering), siekiant stebėti ir rinkti informaciją, atrasti silpnąsias vietas, atlikti grėsmę keliančius veiksmus, apgavystės, siekiant įtikinti naudotoją atskleisti informaciją (angl. phishing) arba atlikti norimus veiksmus. Naudojami socialinės inžinerijos metodai, siekiant išvilioti prisijungimo prie TIS ir (ar) kitą svarbią informaciją.
Mėginimas įsilaužti (angl. intrusion attempts): mėginimas įsilaužti arba sutrikdyti TIS veikimą išnaudojant žinomas spragas (angl. exploiting of known vulnerabilities), bandant parinkti slaptažodžius (angl. login attempts), kitą įsilaužimo būdą (angl. new attack signature), kurie gali būti skirstomi į:
4.1. išnaudojama viena ar kelios nežinomos spragos (angl. zero day);
4.2. TIS žvalgyba ar kita kenkimo veika (prievadų skenavimas, slaptažodžių parinkimas, kenkimo programinės įrangos platinimas ir kita);
4.3. išnaudojamos žinomos ir viešai publikuotos spragos.
Įsilaužimas (angl. intrusions): sėkmingas įsilaužimas ir (ar) neteisėtas TIS, taikomosios programinės įrangos ar paslaugos naudojimas (angl. privileged account compromise, unprivileged account compromise, application compromise), kuris skirstomas taip:
5.1. veiksmai prieš TIS ar jos saugumo priemones, informacijos pasisavinimas, naikinimas, TIS ar jos dalies pažeidimas, sutrikdantis TIS teikiamų paslaugų nepertraukiamą teikimą, galintis turėti įtakos tvarkomos informacijos ir teikiamų paslaugų patikimumui, iškreipti turinį ir mažinti TIS naudotojų pasitikėjimą jais;
5.2. gaunama neteisėta prieiga prie TIS, taikomosios programinės įrangos ar paslaugos.
Paslaugų trikdymas, prieinamumo pažeidimai (angl. availability): veiksmai, kuriais trikdoma TIS veikla, teikiamos paslaugos (angl. DoS, DDoS), TIS ar jos dalies pažeidimas, sutrikdantis TIS ir (ar) jos teikiamas paslaugas, kuris skirstomas taip:
6.1. teikiamų paslaugų nutraukimas arba maksimalaus leistino paslaugos neveikimo laiko viršijimas;
6.2. teikiamų paslaugų nepertraukiamo teikimo trikdymas, galintis turėti įtakos tvarkomos informacijos ir (ar) teikiamų paslaugų prieinamumui.
Tiekimo grandinės atakos (angl. supply chain attack): išnaudojama trečiųjų šalių, teikiančių paslaugas TIS valdytojui ir (ar) tvarkytojui, infrastruktūra, siekiant įgauti ar turėti įtaką paslaugos gavėjo TIS infrastruktūrai.
Informacijos turinio saugumo pažeidimai (angl. information content security): neteisėta prieiga prie informacijos, galinčios turėti įtakos TIS veiklai ir (ar) teikiamoms paslaugoms, ar jos neteisėtas keitimas.
Neteisėta veikla, sukčiavimas (angl. fraud): vagystė, apgavystė, neteisėtas išteklių (angl. unauthorized use of resources), nelegalios programinės įrangos ar autorių teisių (angl. copyright) naudojimas, tapatybės klastojimo, apgavystės ir kiti panašaus pobūdžio incidentai.
Kitos grėsmės ar priežastys.
Šis dokumentas nepakeičia oficialaus paskelbimo Teisės aktų registre. Neprisiimame atsakomybės už galimus netikslumus, atsiradusius perkeliant originalą į šį formatą.
Šis tekstas skelbiamas pagal paties šaltinio TAR pakartotinio naudojimo sąlygas, o ne pagal Legalize ar viešosios srities licenciją.
TAR
Creative Commons Priskyrimas 4.0 tarptautinė (CC BY 4.0)
Duomenų šaltinis: Teisės aktų registras (TAR), Lietuvos atvirų duomenų portalas (data.gov.lt). Licencija: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/deed.lt). Duomenys gali būti pakeisti (konvertuoti į Markdown formatą).