Dėl Kibernetinio saugumo reikalavimų veiksmingumo vertinimo tvarkos aprašo patvirtinimo

Kibernetinio saugumo reikalavimų veiksmingumo vertinimo tvarkos aprašas (toliau – Aprašas) reglamentuoja Panevėžio rajono savivaldybės administracijos (toliau – Savivaldybės administracija) kibernetinio saugumo reikalavimų, nustatytų Lietuvos Respublikos kibernetinio saugumo įstatyme ir Kibernetinio saugumo reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ (toliau – Kibernetinio saugumo reikalavimų aprašas), įgyvendinimo stebėjimą, matavimą, analizę ir įvertinimą.

Tvarkos aprašas taikomas visoms Savivaldybės administracijos valdomoms tinklų ir informacinėms sistemoms, kibernetinio saugumo valdymo procesams bei taikomoms kibernetinio saugumo organizacinėms ir techninėms priemonėms, skirtoms mažinti kibernetinio saugumo riziką ir užtikrinti kibernetinio saugumo reikalavimų įgyvendinimą.

Tvarkoje naudojamos sąvokos:

Savivaldybės administracija turi užtikrinti reikiamus išteklius kibernetinio saugumo reikalavimų įgyvendinimo veiksmingumo stebėsenos ir vertinimo veikloms vykdyti.

Kibernetinio saugumo reikalavimų stebėsenai, matavimui, analizei ir įvertinimui užtikrinti pagal Aprašo priede pateiktą Kibernetinio saugumo reikalavimų įgyvendinimo ir užtikrinimo stebėsenos plano formą (žr. Aprašo priedą) yra rengiamas Savivaldybė Stebėsenos planas. Stebėsenos planą kibernetinio saugumo vadovas turi parengti ir Savivaldybės administracijos direktoriui pateikti tvirtinti per 30 darbo dienų nuo Aprašo patvirtinimo dienos.

Kibernetinio saugumo vadovas Stebėsenos planą rengia atsižvelgdamas į:

Stebėsenos plane turi būti:

Kibernetinio saugumo vadovas Stebėsenos planą peržiūrį ir, jei reikia, atnaujina ne rečiau kaip kartą per metus.

Organizacijos darbuotojas, atsakingas už Stebėsenos plane numatytų rodiklių stebėjimą, informaciją apie rodiklių būklę suveda į Stebėsenos planą jame numatytais terminais.

Kibernetinio saugumo vadovas kartą į metus Savivaldybės administracijos direktoriaus teikia metinę Stebėsenos plano rodiklių pasiekimų ataskaitą.

Kibernetinio saugumo vadovas, įvertinęs, kad stebimas kibernetinio saugumo reikalavimų rodiklis neatitinka nustatytų reikšmių, turi nustatyti neatitikties priežastį ir pagerinti neatitikčių šalinimo planą.

Stebėsenos plano duomenys vertinami pagal kibernetinio saugumo reikalavimų pasiekimo lygį, t. y. ar pasiektas nustatytas lygis, ar ne.

Remiantis Stebėsenos plano rezultatais turi būti peržiūrimas organizacijos rizikos valdymo priemonių planas ir, esant poreikiui, koreguojami jame įvardintų konkrečių priemonių įgyvendinimo prioritetai arba papildoma naujomis kontrolės priemonėmis.

Kibernetinio saugumo vadovas ne rečiau kaip kartą į metus organizuoja atitikties vertinimą, tam pasitelkdamas saugos įgaliotinį. Atitikties vertinimui gali būti pasitelkiamos trečiosios šalys.

Saugos įgaliotinis, atlikęs atitikties vertinimą, užpildydamas Nacionalinio kibernetinio saugumo centro prie Krašto apsaugos ministerijos (toliau – NKSC) klausimyną turi parengti ir kibernetinio saugumo vadovui pateikti atitikties vertinimo ataskaitą ir atitikties vertinimo metu identifikuotų neatitikčių šalinimo planą, kuriame turi būti nurodyti už neatitikčių šalinimo veiksmus atsakingi darbuotojai ir (ar) padaliniai, šalinimui reikalingi ištekliai ir nustatyti šalinimo veiksmų įgyvendinimo terminai (toliau – neatitikčių šalinimo planas). Kibernetinio saugumo vadovas atitikties vertinimo ataskaitą ir atitikties vertinimo metu identifikuotų neatitikčių šalinimo planą teikia tvirtinti Savivaldybės administracijos direktoriui vidaus teisės aktų nustatyta tvarka.

Kibernetinio saugumo vadovas, vadovaudamasis Kibernetinio saugumo įstatymo 14 straipsnio 8 punkto nuostatomis, ne rečiau kaip kartą per 3 metus turi organizuoti organizacijos kibernetinio saugumo audito atlikimą. Kibernetinio saugumo auditas turi būti atliktas pagal NKSC tvirtinamą kibernetinio saugumo auditų atlikimo metodiką. Kibernetinio saugumo auditą turi atlikti nepriklausomi visuotinai pripažintų tarptautinių organizacijų sertifikuoti informacinių sistemų saugumo atitikties auditoriai, audito įmonės ar kitos institucijos, NKSC vadovo nustatyta tvarkos aprašas mokymus išklausę ir kvalifikacinius žinių ir praktinių įgūdžių patikrinimo egzaminą išlaikę asmenys, kurie atitinka NKSC kibernetinio saugumo auditų atlikimo metodikoje nustatytus nepriklausomumo, nešališkumo ir nepriekaištingos reputacijos reikalavimus (toliau kartu – Auditoriai). Auditoriams negali būti pavedama vertinti TIS, kurias valdo ir (ar) tvarko subjektas, kuriame dirba auditorius, kibernetinio saugumo valdymo.

Atlikus kibernetinio saugumo auditą, Auditorius turi parengti ir kibernetinio saugumo vadovui pateikti kibernetinio saugumo audito ataskaitą, su kuria kibernetinio saugumo vadovas turi supažindinti Savivaldybės administracijos direktorių, kitų suinteresuotų padalinių vadovus ir kitas suinteresuotas šalis. Kibernetinio saugumo vadovas per 30 darbo dienų nuo kibernetinio saugumo audito ataskaitos pateikimo dienos turi parengti ir Savivaldybės administracijos direktoriui teikti tvirtinti kibernetinio saugumo audito metu identifikuotų neatitikčių (jei nustatyta) šalinimo planą, kuriame turi būti nurodyti už šalinimo veiksmus atsakingi darbuotojai ir (ar) padaliniai, šalinimui reikalingi ištekliai ir nustatyti šalinimo veiksmų įgyvendinimo terminai.

Kibernetinio saugumo vadovas atitikties vertinimų ir kibernetinio saugumo auditų ataskaitas bei identifikuotų neatitikčių (jei nustatyta) šalinimo planus turi saugoti ne mažiau kaip 3 metus nuo Savivaldybės administracijos direktoriaus patvirtinimo ir jų parengimo dienos.

NKSC, atlikdamas Savivaldybė patikrinimą, turi teisę pareikalauti Savivaldybė pateikti atliktų kibernetinio saugumo audito, atitikties vertinimo ataskaitos, atitikties vertinimo metu nustatytų neatitikčių šalinimo plano, rizikų vertinimo ataskaitos ir rizikų valdymo plano kopijas. Kibernetinio saugumo vadovas šiuos dokumentus turi pateikti į KSIS ne vėliau kaip per 10 darbo dienas nuo NKSC prašymo gavimo dienos.

Šis Tvarkos aprašas turi būti peržiūrimas ir atnaujinamas kartą per metus arba kai atsiranda esminiai pokyčiai Savivaldybėje, kurie turi įtakos šiam Aprašui. Už Aprašo peržiūrėjimą ir atnaujinimą yra atsakingas kibernetinio saugumo vadovas.

Visi su kibernetinio saugumo reikalavimų stebėsena susiję įrodymai turi būti saugomi užtikrinant jų konfidencialumą, vientisumą ir prieinamumą tik organizacijos įgaliotiems darbuotojams, kurie dalyvauja kibernetinio saugumo reikalavimų stebėsenos, matavimo, analizės ir įvertinimo procese.

Organizacijos darbuotojai, dalyvaujantys kibernetinio saugumo reikalavimų stebėsenos, matavimo, analizės ir įvertinimo procese, privalo laikytis Aprašo reikalavimų.