LegalizeDėl Panevėžio rajono savivaldybės administracijos kibernetinių incidentų valdymo plano patvirtinimo
PANEVĖŽIO RAJONO SAVIVALDYBĖS ADMINISTRACIJOS
DIREKTORIUS
ĮSAKYMAS
DĖL PANEVĖŽIO RAJONO SAVIVALDYBĖS ADMINISTRACIJOS KIBERNETINIŲ INCIDENTŲ VALDYMO PLANO PATVIRTINIMO
2026 m. rugsėjo 18 d. Nr. A-356
Panevėžys
Vadovaudamasis Lietuvos Respublikos kibernetinio saugumo įstatymu, Lietuvos Respublikos vietos savivaldos įstatymo 34 straipsnio 6 dalies 2 punktu, Panevėžio rajono savivaldybės administracijos tinklų ir informacinių sistemų politikos, patvirtintos Panevėžio rajono savivaldybės administracijos direktoriaus 2026 m. kovo 25 d. įsakymu Nr. A-140 „Dėl Panevėžio rajono savivaldybės administracijos tinklų ir informacinių sistemų politikos patvirtinimo“, 7 punktu, įgyvendindamas Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimą Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“:
T v i r t i n u Panevėžio rajono savivaldybės administracijos kibernetinių incidentų valdymo planą (pridedama).
S k i r i u į Savivaldybės administracijos Saugumo operacijų centrą (SOC) Informacinių technologijų skyriaus vedėją Svetlaną Jerpyliovą, Juridinio skyriaus patarėją, atliekantį savivaldybės parengties pareigūno funkcijas, Aivarą Valantiejų, vyriausiąjį specialistą mobilizacijai Ričardą Dovidonį.
Savivaldybės administracijos direktorius Edmundas Toliušis
PATVIRTINTA
Panevėžio rajono savivaldybės
administracijos direktorius
2026 m. rugsėjo 18 d.
įsakymu Nr. A-356
PANEVĖŽIO RAJONO SAVIVALDYBĖS ADMINISTRACIJOS
KIBERNETINIŲ INCIDENTŲ VALDYMO PLANAS
I SKYRIUS
BENDROSIOS NUOSTATOS
Panevėžio rajono savivaldybės administracijos kibernetinių incidentų valdymo planas (toliau – Planas) reglamentuoja Panevėžio rajono savivaldybės administracijos (toliau – Savivaldybės administracija) gebėjimą tinkamai ir laiku reaguoti į kibernetinius incidentus, sumažinti jų poveikį, atkurti pažeistus tinklus ir informacines sistemas.
Plane vartojamos sąvokos:
2.1. Įvykis – įprasto tinklų ir informacinių sistemų ar paslaugų veikimo sutrikimas ar veikla, galinti turėti reikšmės kibernetiniam saugumui;
2.2. Kibernetinio saugumo vadovas – Savivaldybės administracijos darbuotojas, atsakingas už kibernetinio saugumo subjekto atitikties Lietuvos Respublikos kibernetinio saugumo įstatymo 14 ir 18 straipsniuose nustatytiems reikalavimams įgyvendinimą ir atliekantis kitas kibernetinį saugumą reglamentuojančiuose teisės aktuose nustatytas funkcijas;
2.3. Paraiška – užklausa arba prašymas, pateiktas Savivaldybės administracijos Informacinių technologijų skyriui atlikti tam tikrą veiksmą, kuris nėra susijęs su kibernetiniu incidentu ar įvykiu, tiesioginėmis kibernetinio saugumo grėsmėmis (pvz., prašymas sukurti naują vartotojo paskyrą, prašymas atnaujinti programinę įrangą ir kt.);
2.4. Saugumo operacijų centras (toliau – SOC) – Savivaldybės administracijos direktoriaus ar jo įgalioto asmens paskirta grupė, atsakinga už žurnalinių įrašų ir kibernetinių incidentų valdymą.
Kitos šiame Plane vartojamos sąvokos suprantamos taip, kaip jos apibrėžiamos Kibernetinio saugumo įstatyme.
Planas parengtas vadovaujantis Kibernetinio saugumo įstatymu bei Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ (toliau – Nutarimas Nr. 818).
Planas skirtas visiems Savivaldybės administracijos darbuotojams ir paslaugų teikėjams, kurie pagal savo funkcijas yra susiję su šiame Plane apibrėžtais vaidmenimis.
II SKYRIUS
FUNKCIJOS IR ATSAKOMYBĖS
Savivaldybės administracijos direktorius ar jo įgaliotas asmuo įsakymu paskiria SOC vykdyti Nutarimo Nr. 818 24 ir 25 punktuose nustatytas funkcijas:
6.1. nustatyti kibernetinius incidentus;
6.2. vertinti kibernetinius incidentus;
6.3. informuoti apie kibernetinius incidentus ir teikti informaciją Nacionaliniam kibernetinio saugumo centrui prie Krašto apsaugos ministerijos (toliau – NKSC);
6.4. valdyti kibernetinius incidentus;
6.5. komunikuoti apie kibernetinius incidentus su suinteresuotomis šalimis; saugoti įrodymus apie kibernetinius incidentus;
6.6. vertinti įgytą kibernetinių incidentų valdymo patirtį;
6.7. organizuoti Plano veiksmingumo išbandymą ir parengti išbandymo rezultatų ataskaitą;
6.8. saugoti, fiksuoti ir analizuoti tinklų ir informacinių sistemų (toliau – TIS), techninės įrangos žurnalinius įrašus;
6.9. saugoti ir analizuoti įeinančio ir išeinančio tinklo duomenų srauto, antivirusinės programinės įrangos, įsibrovimų aptikimo ir prevencijos sistemos ar ugniasienės žurnalinius įrašus;
6.10. kaupti TIS konfigūracinių ir atsarginių kopijų failų prieigos ar pakeitimo veiksmų įrašus.
SOC funkcijos negali būti pavedamos darbuotojui arba paslaugų teikėjui, atliekančiam TIS veiklos administravimą.
Kibernetinio saugumo vadovo funkcijos ir atsakomybės:
8.1. užtikrinti nenutrūkstamą SOC veiklą 5 darbo dienas po 8 valandas;
8.2. koordinuoti didelių kibernetinių incidentų valdymą, įskaitant atvejį, kai SOC nariai yra nepasiekiami;
8.3. inicijuoti ir organizuoti Savivaldybės administracijos darbuotojų informavimą apie įvykusius kibernetinius incidentus, kai tai būtina vadovybei, klientams ar kitoms suinteresuotoms šalims;
8.4. organizuoti komunikavimą, susijusį su incidento poveikiu, su trečiosiomis šalimis;
8.5. organizuoti kibernetinio saugumo mokymus darbuotojams pagal Kibernetinės higienos praktikos organizavimo ir kibernetinio saugumo mokymų organizavimo ir vykdymo tvarkos aprašą;
8.6. peržiūrėti šio Plano aktualumą ir teikti pasiūlymus dėl jo tobulinimo;
8.7. rengti ataskaitas apie įvykusius kibernetinius incidentus ir Plano trūkumus, identifikuotus kibernetinių incidentų valdymo proceso metu.
III SKYRIUS
KIBERNETINIŲ INCIDENTŲ NUSTATYMAS IR VERTINIMAS
Savivaldybės administracijoje turi būti naudojamos automatinės kibernetinių incidentų aptikimo / stebėjimo priemonės, skirtos aptikti įvairias grėsmių rūšis:
9.1. antivirusinę programinę įrangą, skirtą aptikti ir neutralizuoti kenkėjiškas programas;
9.2. elektroninio pašto filtravimo priemones, skirtas aptikti sukčiavimo ir šlamšto laiškus;
9.3. grėsmių identifikavimas ir informavimas;
9.4. įsibrovimo aptikimo sistema;
9.5. tinklo perimetro saugos priemonė;
9.6. interneto ir (arba) taikomųjų programų apsauga nuo DDoS atakų;
9.7. domenų vardų sistema (DNS) su saugos funkcija;
9.8. interneto svetainių ir (arba) taikomųjų programų lygmens ugniasienių sistema WAF.
Savivaldybės administracijoje naudojami kibernetinių incidentų aptikimo išoriniai ir vidiniai šaltiniai:
10.1. NKSC, Kertinio valstybės telekomunikacijų centro (KVTC), Valstybinės duomenų apsaugos inspekcijos (toliau – VDAI) ir Policijos departamento pranešimai;
10.2. anoniminiai pranešimai, forumai ar žiniasklaidos portalai;
10.3. trečiųjų šalių ir naudotojų pranešimai;
10.4. Savivaldybės administracijos darbuotojų pranešimai ir įtarimai, kad kažkas neįprasto vyksta su kompiuterine darbo vieta (toliau – KDV) ar TIS:
10.4.1. KDV veikia žymiai lėčiau nei įprastai;
10.4.2. KDV atsiranda nežinomų failų, programų ar nuorodų;
10.4.3. iš KDV siunčiami el. laiškai, kurių darbuotojas nesiuntė;
10.4.4. KDV sistemos langai ar naršyklės atsidaro automatiškai, be vartotojo veiksmų;
10.4.5. KDV rodomi įspėjimai, reklamos ar kiti netipiniai pranešimai;
10.4.6. pastebimas padidėjęs ar neįprastas tinklo srautas iš KDV;
10.4.7. TIS paslaugos (pvz., elektroninis paštas, dokumentų valdymo sistema) tampa nepasiekiamos arba veikia nestabiliai;
10.4.8. TIS registruojamas neįprastas prisijungimų aktyvumas (pvz., iš neįprastų IP adresų, ne darbo metu);
10.4.9. TIS žurnaluose fiksuojami bandymai vykdyti neleistinas operacijas ar naudotis nesuteiktomis teisėmis;
10.4.10. TIS vykdomi neautorizuoti sistemos nustatymų keitimai ar diegiami įtartini programiniai komponentai;
10.4.11. TIS automatinės kibernetinių incidentų aptikimo / stebėjimo sistemos generuoja įspėjimus dėl įtartinų veiklų;
10.4.12. automatinių kibernetinių incidentų aptikimo / stebėjimo sistemų pranešimai ir kt.
Kibernetinis incidentas laikomas dideliu, kai organizacija patiria ar gali patirti didelių paslaugų teikimo sutrikimų ir kibernetinis incidentas atitinka bent vieną iš šių kriterijų:
11.1. paslaugos trikdomos visoje Lietuvos teritorijoje ir (ar) bent vienoje Europos Sąjungos arba NATO šalyje;
11.2. TIS veikla trikdoma 2 ar daugiau valandų;
11.3. paveiktų paslaugų gavėjų (tiek Savivaldybės administracijos darbuotojų, tiek klientų) ar KDV skaičius lygus arba didesnis nei 1 000, arba 25 proc. (atsižvelgiant į tai, kuris dydis yra mažesnis);
11.4. paveikti 1 000, arba 25 proc. (atsižvelgiant į tai, kuris dydis yra mažesnis) paslaugų gavėjų asmens duomenys ar kiti Savivaldybės administracijos saugomi paslaugų gavėjų duomenys;
11.5. paveikti 25 proc. KDV;
11.6. nebegali užtikrinti teisės aktuose jos veiklai nustatytų reikalavimų įgyvendinimo;
11.7. prarasta arba atskleista Savivaldybės administracijos konfidenciali informacija pagal konfidencialios informacijos sąrašą arba įslaptinta informacija, sudaranti valstybės ar tarnybos paslaptį pagal Lietuvos Respublikos valstybės ir tarnybos paslapčių įstatymą;
11.8. per 6 mėnesius patiriamas daugiau nei vienas analogiškas kibernetinis incidentas, incidentų pagrindinė priežastis sutampa, o finansinių nuostolių dydis siekia 11.10 papunktyje numatytas vertes;
11.9. organizacija patiria ar gali patirti didelių finansinių nuostolių, lygių arba didesnių nei 500 000 Eur, arba 5 procentų Savivaldybės administracijos praėjusių finansinių metų apyvartos (atsižvelgiant į tai, kuri suma yra mažesnė);
11.10. kai kibernetinis incidentas paveikė kitus fizinius ar juridinius asmenis, sukeldamas didelę turtinę arba neturtinę žalą, atitinkančią bent vieną iš šių kriterijų:
11.10.1. galimos turtinės žalos dydis yra lygus arba didesnis nei 400 bazinių socialinių išmokų;
11.10.2. galimos neturtinės žalos dydis lygus arba didesnis nei 10 000 Eur;
11.10.3. sutrikdyta bent vieno žmogaus sveikata arba bent vienas žmogus žuvo.
IV SKYRIUS
KIBERNETINIŲ INCIDENTŲ VALDYMAS
Kibernetinių incidentų valdymo grafinis atvaizdavimas pateikiamas šio Plano 1 priede ir jo aprašymas pateikiamas šio Plano 2 priede. Kibernetinio incidento valdymo procese dalyvaujančių atsakingų asmenų ir institucijų sąrašas su kontaktine informacija pateikiamas šio Plano 3 priede.
Didelio kibernetinio incidento atveju kibernetinio saugumo vadovas nedelsdamas informuoja Savivaldybės administracijos vadovybę apie šio incidento mastą, galimą poveikį ir planuojamus veiksmus.
Jei nustatoma, kad kibernetinis incidentas gali paveikti arba jau paveikė Savivaldybės administracijos suinteresuotas šalis, pvz., klientus, paslaugų teikėjus, partnerius ir kt., kibernetinio saugumo vadovas privalo jas informuoti apie kibernetinį incidentą.
Kibernetinių incidentų metu bendravimas su viešosiomis informavimo priemonėmis (žiniasklaida, socialinė žiniasklaida, visuomenės atstovais) vykdomas tik per Savivaldybės administracijos vadovybės paskirtą darbuotoją. Prieš pateikiant bet kokią informaciją viešai, pranešimo turinys turi būti suderintas su SOC.
Savivaldybės administracijos įvykiai, kibernetiniai incidentai ir problemos registruojami Informacinių technologijų (toliau – IT) skyriaus žurnale. Jei žinoma, kad įvykis susijęs su kibernetiniu incidentu, IT skyriaus darbuotojai siunčia pranešimą adresu soc@panrs.lt.
Kibernetinio incidento metu, kai paveikiami asmens duomenys, nedelsiant informuojamas Savivaldybės administracijos duomenų apsaugos pareigūnas ir jam pateikiama visa su kibernetiniu incidentu susijusi informacija. Tokiu atveju Savivaldybės administracijos duomenų apsaugos pareigūnas turi teisę gauti visą su kibernetiniu incidentu susijusią informaciją, kad galėtų užtikrinti tinkamą asmens duomenų saugos pažeidimo užkardymą.
Visi kibernetinio incidento sprendime dalyvaujantys asmenys turi užtikrinti, kad kibernetinio incidento sprendimo eiga (įskaitant komunikavimą) būtų fiksuojama IT skyriaus žurnaluose.
Kibernetinių incidentų metu komunikacijai tarp SOC, kibernetinio saugumo vadovo, vadovybės ir kitų susijusių asmenų naudojami oficialūs ir saugūs kanalai.
Jei kibernetinio incidento metu dėl ryšio sutrikimų nėra prieigos prie interneto arba pagrindiniai komunikacijos kanalai yra nepasiekiami, organizacija naudoja iš anksto numatytus atsparius ryšio sprendimus: rezervinis interneto ryšys – mobilusis tinklas, palydovinė prieiga; alternatyvi pranešimų siuntimo priemonė – SMS, WhatsApp ir kt.; rezervinis balso ryšys – mobilusis telefonas, fiziniai susitikimo taškai.
Draudžiama naudoti asmeninius elektroninius paštus, nesaugias žinučių platformas ar neautorizuotus įrenginius.
Kibernetinio incidento metu, jei kyla teisinio pobūdžio klausimų ar būtina įvertinti teisines pasekmes, SOC kreipiasi į Savivaldybės administracijos Juridinį skyrių.
Kibernetiniam incidentui valdyti informacija naudojama tik iš oficialių ir patikimų šaltinių:
23.1. NKSC;
23.2. KVTC
23.3. VDAI;
23.4. Europos Sąjungos kibernetinio saugumo agentūros;
23.5. kitų patikimų šaltinių.
Po didelio kibernetinio incidento suvaldymo, jei jis paveikė kitas suinteresuotas šalis, SOC pateikia jiems apibendrintą kibernetinio incidento ataskaitą.
IT skyrius, prieš atkurdamas įprastą TIS veiklą, įsitikina, kad yra pašalintas pažeidžiamumas, dėl kurio įvyko kibernetinis incidentas.
IT skyrius atlieka atkurtos TIS veiklos patikimumo vertinimą, pasitelkdamas SOC specialistus ir kitus Savivaldybės administracijos darbuotojus TIS veiklai išbandyti.
Kibernetinių incidentų valdymo tikslas – kaip įmanoma greičiau atstatyti Savivaldybės administracijos teikiamas paslaugas ir minimizuoti neigiamą kibernetinio incidento poveikį jų kokybei. Jei didelio kibernetinio incidento nepavyksta suvaldyti ir jis daro poveikį Savivaldybės administracijos veiklos tęstinumui, aktyvuojamas Veiklos tęstinumo valdymo planas, vadovaujantis Tinklų ir informacinių sistemų veiklos tęstinumo valdymo tvarkos aprašu.
V SKYRIUS
INFORMAVIMAS APIE KIBERNETINIUS INCIDENTUS
Kibernetinio saugumo vadovas NKSC apie kibernetinius incidentus informuoja registruodamas Kibernetinio saugumo informacinės sistemos posistemyje – Nacionalinėje kibernetinių incidentų valdymo platformoje (toliau – Platforma).
Kibernetinio saugumo vadovas, neturintis galimybės apie kibernetinius incidentus informuoti per Platformą, dėl kibernetinio incidento NKSC informuoja užpildydamas formą NKSC interneto svetainėje arba NKSC nurodytu elektroninio pašto adresu ar telefonu.
Pranešant apie didelį kibernetinį incidentą pateikiama:
30.1. nedelsiant, bet ne vėliau kaip per 24 valandas nuo sužinojimo apie didelį kibernetinį incidentą momento – ankstyvasis perspėjimas, kuriame pagal galimybes nurodoma, ar didelį kibernetinį incidentą, kaip įtariama, sukėlė neteisėti ar piktavališki veiksmai ir ar jis galėtų daryti tarpvalstybinį poveikį:
30.1.1. kokių paslaugų sutrikimų patyrė ar gali patirti organizacija – nurodomos paslaugos ir sutrikimų apimtys;
30.1.2. kokių finansinių nuostolių patyrė ar gali patirti organizacija – nurodomas nuostolių dydis;
30.1.3. ar kibernetinis incidentas paveikė arba gali paveikti kitus asmenis, sukeldamas turtinę arba neturtinę žalą, – jei taip, nurodomi asmenys ir žalos dydis;
30.1.4. neteisėtų ar piktavališkų veiksmų įrodymus (jei tokių yra);
30.1.5. ar incidentas suvaldytas;
30.1.6. kitą svarbią informaciją (pvz., kibernetinio incidento vietą, tikslų nustatymo laiką);
30.2. nedelsiant, bet ne vėliau kaip per 72 valandas nuo sužinojimo apie didelį kibernetinį incidentą momento – pranešimas apie kibernetinį incidentą, kuriame pagal galimybes atnaujinama Plano 30.1 papunktyje nurodyta informacija ir nurodomas didelio kibernetinio incidento, įskaitant jo sunkumą ir poveikį, pradinis vertinimas, taip pat nurodomi įsilaužimo įrodymai, jeigu tokių yra;
30.3. NKSC prašymu – tarpinė atitinkamų atnaujintų padėties duomenų ataskaita per NKSC nurodytą pateikimo terminą;
30.4. ne vėliau kaip per vieną mėnesį nuo šio Plano 30.1 papunktyje nurodyto pranešimo apie kibernetinį incidentą pateikimo dienos – galutinė ataskaita, kurioje pateikiama ši informacija:
30.4.1. išsamus kibernetinio incidento, įskaitant jo sunkumą ir poveikį, aprašymas;
30.4.2. grėsmės arba pagrindinės priežasties, dėl kurios kibernetinis incidentas galėjo įvykti, rūšis;
30.4.3. taikomos ir įgyvendinamos kibernetinio incidento poveikio mažinimo priemonės;
30.4.4. tarpvalstybinis kibernetinio incidento poveikis, jeigu toks buvo.
Jeigu šio Plano 30.4 papunktyje nurodytos galutinės ataskaitos pateikimo metu kibernetinis incidentas tebevyksta, pateikiama pažangos ataskaita, o galutinė ataskaita – per vieną mėnesį nuo dienos, kai kibernetinis incidentas buvo suvaldytas.
Teikiant Plano 30.4.2 papunktyje nurodytą informaciją, parenkama viena iš išvardytų kibernetinių grėsmių ir pagrindinių incidentų priežasčių (žr. 4 priedas).
SOC apie kitus kibernetinius incidentus, neatitinkančius šio Plano 30 punkto nuostatų (toliau – nedidelis kibernetinis incidentas), NKSC informuoja pateikdamas:
33.1. nedelsdamas, bet ne vėliau kaip per 72 val. nuo sužinojimo apie kibernetinį incidentą momento, pranešimą apie nedidelį kibernetinį incidentą, jame nurodydamas Plano 30.2 papunktyje nurodytą informaciją;
33.2. per vieną mėnesį nuo pranešimo apie kibernetinį incidentą registravimo dienos galutinę ataskaitą apie nedidelį kibernetinį incidentą, joje pateikdamas Plano 30.4 papunktyje nurodytą informaciją. Galutinė ataskaita apie nedidelį kibernetinį incidentą neteikiama, jei pranešime apie kibernetinį incidentą pateikta visa galutinės ataskaitos informacija.
Jei organizacija patyrė kelis vos neįvykusius incidentus (t. y. incidentus, kuriuos pavyko užkardyti), SOC apie juos savanoriškai gali pranešti NKSC.
Jei kibernetinis incidentas tęsiasi ilgiau nei vieną mėnesį, organizacija kas mėnesį atnaujina Plano 30.2 papunktyje nurodytą informaciją.
SOC teikdamas NKSC informaciją apie kibernetinio incidento pradinį vertinimą, įvardija:
36.1. kokių paslaugų sutrikimų patyrė ar gali patirti organizacija – nurodomos paslaugos ir sutrikimų apimtys;
36.2. kokių finansinių nuostolių patyrė ar gali patirti organizacija – nurodomas nuostolių dydis;
36.3. ar kibernetinis incidentas paveikė arba gali paveikti kitus asmenis, sukeldamas turtinę arba neturtinę žalą; jei taip, nurodomi asmenys ir žalos dydis;
36.4. neteisėtų ar piktavališkų veiksmų įrodymus (jei tokių yra);
36.5. ar incidentas suvaldytas;
36.6. kitą svarbią informaciją (pvz., kibernetinio incidento vietą, tikslų nustatymo laiką).
SOC renka ir saugo įrodymus, susijusius su kibernetinio incidento nustatymu ir tyrimu. Įrodymai apima, bet neapsiriboja:
37.1. kompiuterio kietojo disko atvaizdus;
37.2. kompiuterio operatyviosios (darbinės) atminties atvaizdus;
37.3. ekrano vaizdus;
37.4. žurnalinius įrašus;
37.5. situaciją paaiškinančius tekstinius komentarus;
37.6. interneto nuorodas;
37.7. tinklo srauto failus (duomenų paketus);
37.8. paveiktų sistemų konfigūracinius failus;
37.9. kitus failus (pvz., įvairių šalių nacionalinių reagavimo į kompiuterinio saugumo incidentus grupių ataskaitas apie tam tikrus tarpvalstybinius incidentus).
Įrodymai, susiję su kibernetiniu incidentu, turi būti apsaugoti nuo pažeidimo, praradimo, nesankcionuoto pakeitimo ar sunaikinimo.
Kibernetinio incidento valdymo metu įgytos žinios ir patirtis turi būti dokumentuojama. Turi būti vykdoma analizė, nustatant, kas incidento valdymo metu buvo padaryta tinkamai, o kas – netinkamai. Jei kibernetinis incidentas įvyko dėl saugumo spragos, spraga turi būti pašalinta pagal Tinklų ir informacinių sistemų įsigijimo, plėtojimo ir priežiūros saugumo, įskaitant spragų valdymą ir atskleidimą, tvarkos aprašą.
Kibernetinių incidentų valdymas yra stebimas ir vertinamas pagal Kibernetinio saugumo valdymo veiksmingumo stebėsenos ir vertinimo tvarkos aprašą.
VI SKYRIUS
BAIGIAMOSIOS NUOSTATOS
SOC privalo kaupti ir saugoti visą informaciją apie įvykusius kibernetinius incidentus, įskaitant jų priežastis, pasekmes ir taikytus sprendimus. Ši informacija turi būti tvarkoma pagal Savivaldybės administracijos dokumentų valdymo ir duomenų apsaugos reikalavimus.
SOC surinktą informaciją apie įvykusius incidentus nuolatos analizuoja, o išmoktas pamokas pagal galimybes sistemingai pritaiko Savivaldybės administracijos veikloje, siekdamas sumažinti incidentų pasikartojimo tikimybę.
Jei TIS paslaugas, susijusias su kibernetinių incidentų valdymu, teikia paslaugų teikėjai, už sutarties vykdymą atsakingas darbuotojas užtikrina, kad paslaugų teikėjai būtų supažindinti su šiuo Planu.
Remdamasis analizuotais incidentais, išmoktomis pamokomis ir mokymų metu gauta informacija, kibernetinio saugumo vadovas privalo periodiškai, ne rečiau kaip kartą per metus, peržiūrėti ir atnaujinti šį Planą, užtikrindamas jo efektyvumą ir atitikimą besikeičiančioms grėsmėms.
Kibernetinio saugumo vadovas, remdamasis SOC pateikta informacija, ne rečiau kaip kartą per metus turi parengti ataskaitas apie įvykusius kibernetinius incidentus, kibernetinių incidentų metu pastebėtus Plano trūkumus ir jo tobulinimo veiksmus, kurios būtų pristatomos atsakingiems asmenims ar vadovybei.
Kibernetinio saugumo vadovas periodiškai ne rečiau kaip kartą per metus organizuoja Plano veiksmingumo išbandymą ir jo rezultatus apibendrina ataskaitoje, kurią pristato atsakingiems asmenims ar vadovybei.
Panevėžio rajono savivaldybės administracijos
kibernetinių incidentų valdymo plano
1 priedas
Tipinio kibernetinių incidentų valdymo proceso SCHEMA
Schemos grafiniai simboliai, santrumpos ir jų reikšmės:
Grafinis simbolis / santrumpa
Reikšmė
Proceso pradžia
Proceso pabaiga
Veiksmas, skirtas organizacijoje atliekamai veiklai atvaizduoti
Duomenimis pagrįstas sprendimas, kai pasirenkama tolesnė proceso eiga
Lygiagrečiai vykdomos proceso eigos
Proceso eiga tarp veiksmų, sprendimų ir kt.
KI
Kibernetinis incidentas
KSS
Kibernetinio saugumo subjektas – Savivaldybės administracija
KSS SOC
Savivaldybės administracijos SOC (įskaitant trečiąją šalį, teikiančią SOC paslaugą)
KSS IT
Savivaldybės administracijos IT skyrius
NKSC
Nacionalinis kibernetinio saugumo centras
TIS
Tinklų ir informacinė sistema
Panevėžio rajono savivaldybės administracijos kibernetinių incidentų valdymo plano
2 priedas
kibernetinių incidentų valdymo proceso APRAŠYMAS
Nr.
Veiksmo aprašymas
Dalyvis
Terminas
Rezultatas
Pradžia (nustatytas įvykis)
1.
Įvertinti, ar tai kibernetinis incidentas. Gavus pranešimą apie įvykį arba jį nustačius, sprendžiama, ar jis galėtų būti laikomas kibernetiniu incidentu.
SOC
Savivaldybės administracijos kibernetinių incidentų valdymo plane (toliau – KIV planas) nustatytais terminais.
Priimtas sprendimas, ar įvyko kibernetinis incidentas.
2.
Įvertinti kibernetinio incidento poveikį. Priėmus sprendimą, kad įvykis laikomas kibernetiniu incidentu, pagal KIV plane nustatytus kriterijus įvertinama, ar įvyko didelis kibernetinis incidentas.
SOC
Ne vėliau kaip per 24 val. nuo įvykio registravimo.
Įvertintas kibernetinio incidento poveikis.
Pranešimas Nacionaliniam kibernetinio saugumo centrui (NKSC)
3.
Registruoti Nacionalinėje kibernetinių incidentų valdymo platformoje (toliau – Platforma). Nustačius, kad įvyko kibernetinis incidentas, apie tai informuojamas NKSC, Platformoje pateikiant KIV plane numatytą informaciją.
SOC
Ankstyvasis perspėjimas (apie didelį incidentą) – nedelsiant, bet ne vėliau kaip per 24 val. nuo sužinojimo. Pranešimas apie (nedidelį) kibernetinį incidentą – nedelsiant, bet ne vėliau kaip per 72 val. nuo sužinojimo.
Kibernetinis incidentas užregistruotas Platformoje.
Kibernetinio incidento valdymas
4.
Spręsti dėl kibernetinio saugumo priemonių taikymo. Užregistravus kibernetinį incidentą sprendžiama dėl tinkamiausių priemonių jam suvaldyti. Apie šias priemones informuojamas Savivaldybės administracijos IT skyrius.
SOC
KIV plane nustatytais terminais.
Priimtas sprendimas dėl kibernetinio saugumo priemonių taikymo.
5.
Nustatyti, ar didelis kibernetinis incidentas. Vertinama, ar nedidelis kibernetinis incidentas netampa dideliu. Didelių kibernetinių incidentų pakartotinis vertinimas atliekamas tik patikslinant jo poveikį, nustatant pagrindinę priežastį, bet nekeičiant rūšies.
SOC
KIV plane nustatytais terminais.
Įvertintas arba patikslintas kibernetinio incidento poveikis.
6.
Atnaujinti informaciją Platformoje. Nustačius, kad kibernetinis incidentas atitinka didelio kibernetinio incidento kriterijus, atnaujinama informacija pagal KIV plano reikalavimus ir pateikiama tarpinė atitinkamų atnaujintų padėties duomenų ataskaita (toliau – tarpinė ataskaita) arba pažangos ataskaita.
SOC
Tarpinė ataskaita – NKSC nurodytais terminais. Pažangos ataskaita apie didelį kibernetinį incidentą – kas mėnesį, iki bus suvaldytas kibernetinis incidentas.
Platformoje užregistruota tarpinė arba pažangos ataskaita.
7.
Įvertinti, ar reikalinga NKSC pagalba. Valdant didelį kibernetinį incidentą sprendžiama dėl turimų vidinių ir pasitelktų išorinių resursų pakankamumo kibernetiniam incidentui suvaldyti.
SOC
Nuolat, iki bus suvaldytas kibernetinis incidentas.
Įvertintos Savivaldybės administracijos galimybės suvaldyti kibernetinį incidentą.
8.
Prašyti NKSC pagalbos. Nepavykstant didelio kibernetinio incidento suvaldyti turimais vidiniais ir pasitelktais išoriniais resursais, vertinamas poreikis kreiptis pagalbos į NKSC dėl kibernetinio incidento suvaldymo.
SOC
Priėmus sprendimą kreiptis – nedelsiant.
Pateiktas pagalbos prašymas NKSC.
9.
Surinkti įrodymus. Valdant kibernetinius incidentus surenkami visi įrodymai, reikalingi pagrindinei kibernetinio incidento priežasčiai ar grėsmei nustatyti.
IT skyrius
Nuolat, iki bus suvaldytas kibernetinis incidentas.
Surinkti įrodymai.
10.
Taikyti kibernetinio saugumo priemones. Taikomos būtinos priemonės, kad būtų užkirstas kelias kibernetiniam incidentui plisti ar tęstis.
IT skyrius
Nuolat, iki bus suvaldytas kibernetinis incidentas.
Įgyvendinamas KIV planas.
11.
Įvertinti, ar suvaldytas kibernetinis incidentas. Vertinamas taikomų techninių ir organizacinių priemonių veiksmingumas, ar kibernetinis incidentas tęsiasi, ar suvaldytas. Kibernetinio incidento nesuvaldžius, toliau tęsiamas jo poveikio vertinimas ir techninių bei organizacinių priemonių taikymas.
SOC
Nuolat.
Priimtas sprendimas, ar kibernetinis incidentas suvaldytas.
12.
Atkurti TIS veiklą. TIS veikla atkuriama pagal jų veiklos atkūrimo planus.
Atsakingas Savivaldybės administraci-jos IT skyrius
TIS veiklos atkūrimo tvarkoje nustatytais terminais.
TIS paslaugos teikiamos įprastine tvarka ir terminais.
Kibernetinio incidento tyrimas
13.
Atlikti kibernetinio incidento tyrimą. Suvaldžius kibernetinį incidentą, pagal surinktus įrodymus identifikuojama pagrindinė jį sukėlusi priežastis.
SOC
Savivaldybės administracijos veiklos atkūrimo planuose nustatytais terminais.
Nustatyta pagrindinė kibernetinio incidento priežastis.
14.
Identifikuoti prevencines priemones. Nustačius pagrindinę priežastį, pateikiamos išvados ir rekomendacijos, kaip ateityje išvengti tokio pobūdžio kibernetinių incidentų.
SOC
Savivaldybės administracijos veiklos atkūrimo planuose nustatytais terminais.
Pateiktos išvados ir rekomendacijos.
15.
Pateikti galutinę ataskaitą. Vadovaujantis KIV planu parengiama galutinė ataskaita ir registruojama Platformoje.
SOC
Galutinė ataskaita – per 1 mėnesį nuo ankstyvojo perspėjimo (didelio kibernetinio incidento atveju), pranešimo apie kibernetinį incidentą gavimo (nedidelio kibernetinio incidento atveju) arba nuo kibernetinio incidento suvaldymo.
Platformoje užregistruota galutinė ataskaita.
Panevėžio rajono savivaldybės administracijos kibernetinių incidentų valdymo plano
3 priedas
KIBERNETINIO INCIDENTO VALDYMO PROCESE DALYVAUJANČIŲ ATSAKINGŲ ASMENŲ IR INSTITUCIJŲ KONTAKTAI (Kibernetinio incidento valdymo procese dalyvaujančių atsakingų asmenų ir institucijų sąrašų ir kontaktų forma)
Nr.
Pareigos / Institucija
Vardas ir pavardė
El. paštas
Telefonas
Interneto svetainė
Panevėžio rajono savivaldybės administracijos kibernetinių incidentų valdymo plano
4 priedas
KIBERNETINIŲ GRĖSMIŲ IR
PAGRINDINIŲ INCIDENTŲ PRIEŽASTYS
Nepageidaujamų laiškų ir (ar) klaidinančios ar žeidžiančios informacijos platinimas ir (ar) tinklų ir informacinės sistemos (toliau – TIS) veiklos trikdymas.
Kenkimo programinė įranga: programinė įranga ar jos dalis, kuri padeda neteisėtai prisijungti prie TIS, ją užvaldyti ir kontroliuoti, sutrikdyti ar pakeisti jos veikimą, sunaikinti, sugadinti, ištrinti ar pakeisti skaitmeninius duomenis, panaikinti ar apriboti galimybę jais naudotis ir neteisėtai pasisavinti ar kitaip panaudoti neviešus skaitmeninius duomenis tokios teisės neturintiems asmenims ir kuri identifikuota kaip:
2.1. pažangi kenkimo programinė įranga;
2.2. TIS duomenis šifruojantis ir naikinantis ar išpirkos reikalaujantis programinis kodas;
2.3. TIS dalys, aktyviai kontroliuojamos įsibrovėlių;
2.4. kenkimo programinės įrangos platinimas.
Informacijos rinkimas: žvalgyba ar kita įtartina veikla, manipuliavimas naudotojų emocijomis, psichologija, pastabumo stoka, pasinaudojimas technologiniu neišmanymu, siekiant stebėti ir rinkti informaciją, atrasti silpnąsias vietas, atlikti grėsmę keliančius veiksmus, apgavystės, siekiant įtikinti naudotoją atskleisti informaciją arba atlikti norimus veiksmus. Naudojami socialinės inžinerijos metodai, siekiant išvilioti prisijungimo prie TIS ir (ar) kitą svarbią informaciją.
Mėginimas įsilaužti: mėginimas įsilaužti arba sutrikdyti TIS veikimą išnaudojant žinomas spragas, bandant parinkti slaptažodžius, kitą įsilaužimo būdą, kurie gali būti skirstomi į:
4.1. išnaudojama viena ar kelios nežinomos spragos;
4.2. TIS žvalgyba ar kita kenkimo veika (prievadų skenavimas, slaptažodžių parinkimas, kenkimo programinės įrangos platinimas ir kita);
4.3. išnaudojamos žinomos ir viešai publikuotos spragos.
Įsilaužimas: sėkmingas įsilaužimas ir (ar) neteisėtas TIS, taikomosios programinės įrangos ar paslaugos naudojimas, kuris skirstomas taip:
5.1. veiksmai prieš TIS ar jos saugumo priemones, informacijos pasisavinimas, naikinimas, TIS ar jos dalies pažeidimas, sutrikdantis TIS teikiamų paslaugų nepertraukiamą teikimą, galintis turėti įtakos tvarkomos informacijos ir teikiamų paslaugų patikimumui, iškreipti turinį ir mažinti TIS naudotojų pasitikėjimą jais;
5.2. gaunama neteisėta prieiga prie TIS, taikomosios programinės įrangos ar paslaugos.
Paslaugų trikdymas, prieinamumo pažeidimai: veiksmai, kuriais trikdoma TIS veikla, teikiamos paslaugos, TIS ar jos dalies pažeidimas, sutrikdantis TIS ir (ar) jos teikiamas paslaugas, kuris skirstomas taip:
6.1. teikiamų paslaugų nutraukimas arba maksimalaus leistino paslaugos neveikimo laiko viršijimas;
6.2. teikiamų paslaugų nepertraukiamo teikimo trikdymas, galintis turėti įtakos tvarkomos informacijos ir (ar) teikiamų paslaugų prieinamumui.
Tiekimo grandinės atakos: išnaudojama trečiųjų šalių, teikiančių paslaugas TIS valdytojui ir (ar) tvarkytojui, infrastruktūra, siekiant įgauti ar turėti įtaką paslaugos gavėjo TIS infrastruktūrai.
Informacijos turinio saugumo pažeidimai: neteisėta prieiga prie informacijos, galinčios turėti įtakos TIS veiklai ir (ar) teikiamoms paslaugoms, ar jos neteisėtas keitimas.
Neteisėta veikla, sukčiavimas: vagystė, apgavystė, neteisėtas išteklių, nelegalios programinės įrangos ar autorių teisių naudojimas, tapatybės klastojimo, apgavystės ir kiti panašaus pobūdžio incidentai.
Kitos grėsmės ar priežastys.
Šis dokumentas nepakeičia oficialaus paskelbimo Teisės aktų registre. Neprisiimame atsakomybės už galimus netikslumus, atsiradusius perkeliant originalą į šį formatą.
Šis tekstas skelbiamas pagal paties šaltinio TAR pakartotinio naudojimo sąlygas, o ne pagal Legalize ar viešosios srities licenciją.
TAR
Creative Commons Priskyrimas 4.0 tarptautinė (CC BY 4.0)
Duomenų šaltinis: Teisės aktų registras (TAR), Lietuvos atvirų duomenų portalas (data.gov.lt). Licencija: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/deed.lt). Duomenys gali būti pakeisti (konvertuoti į Markdown formatą).