Zaudējis spēku - Kārtība, kādā tiek nodrošināta informācijas un komunikācijas tehnoloģiju sistēmu atbilstība minimālajām drošības prasībām

Ministru kabineta noteikumi Nr. 442Rīgā 2015. gada 28. jūlijā (prot. Nr. 36 63. §)

Izdoti saskaņā ar Informācijas tehnoloģiju drošības likuma 8. pantapiekto un sesto daļu un Valsts informācijas sistēmu likuma 4. panta otro daļu

I. Vispārīgie jautājumi

1. Noteikumi nosaka:

1.1. valsts un pašvaldību institūciju informācijas un komunikācijas tehnoloģiju minimālās drošības prasības un kārtību, kādā valsts un pašvaldību institūcijas un informācijas tehnoloģiju kritiskās infrastruktūras īpašnieki vai tiesiskie valdītāji nodrošina informācijas un komunikācijas tehnoloģiju sistēmu atbilstību minimālajām prasībām;

1.2. valsts informācijas sistēmu vispārējās drošības prasības;

1.3. informācijas tehnoloģiju drošības prasības privāto tiesību juridiskajām personām, kas ir pamatpakalpojuma sniedzēji un digitālā pakalpojuma sniedzēji.

2. Noteikumi neattiecas uz informācijas un komunikācijas tehnoloģiju sistēmām, kurās tiek veikta valsts noslēpuma, Ziemeļatlantijas līguma organizācijas (turpmāk – NATO), Eiropas Savienības un ārvalstu institūciju klasificētās informācijas vai informācijas dienesta vajadzībām apstrāde vai uzglabāšana.

3. Noteikumi attiecas uz valsts un pašvaldību institūciju vai informācijas tehnoloģiju kritiskās infrastruktūras informācijas un komunikācijas tehnoloģiju sistēmām, tai skaitā valsts informācijas sistēmām (turpmāk – sistēmas), kas ir testēšanas stadijā, kā arī sistēmām, kas nodotas lietošanā. Citās sistēmas stadijās (plānošana, projektēšana, izstrāde) jānodrošina atbilstoša sistēmā esošas informācijas aizsardzība.

4. Šajos noteikumos minētos par informācijas tehnoloģiju drošības pārvaldību atbildīgās personas pienākumus attiecībā uz valsts informācijas sistēmu veic sistēmas drošības pārvaldnieks, bet attiecībā uz informācijas tehnoloģiju kritisko infrastruktūru – par infrastruktūras drošību atbildīgā persona.

4.1 Valsts un pašvaldību institūcijas savā darbībā izmanto informācijas un komunikācijas tehnoloģijas, kas atbilst šajos noteikumos sistēmām noteiktajām prasībām, kā arī ņem vērā kompetentās valsts drošības iestādes un Informācijas tehnoloģiju drošības incidentu novēršanas institūcijas izstrādātos ieteikumus par izmantojamām informācijas un komunikācijas tehnoloģijām (tostarp par bezmaksas programmatūru un veicamajiem drošības pasākumiem).

4.2 Privāto tiesību juridiskās personas, kas ir pamatpakalpojuma sniedzēji un digitālā pakalpojuma sniedzēji, ievēro šajos noteikumos sistēmām noteiktās prasības, ciktāl šajos noteikumos nav noteikts citādi.

5. Sistēmas drošībai īsteno pasākumu kopumu, lai:

5.1. nodrošinātu informācijas pieejamību (piekļuvi informācijai noteiktā laikposmā pēc informācijas pieprasīšanas);

5.2. nodrošinātu informācijas integritāti (pilnīgas un nemainītas informācijas saglabāšanu);

5.3. nodrošinātu informācijas konfidencialitāti (informācijas nodošanu tikai tām personām, kuras ir pilnvarotas to saņemt un lietot);

5.4. aizsargātu sistēmas informācijas resursus (datnes, arī tās, kuras satur sistēmā glabājamo, apstrādājamo un sistēmas lietotājiem pieejamo informāciju, un sistēmas dokumentāciju);

5.5. aizsargātu sistēmas tehniskos resursus (datorus, programmatūru, datu nesējus, datortīkla iekārtas un citas tehniskās iekārtas, kuras nodrošina sistēmas darbību);

5.6. noteiktu sistēmas drošības apdraudējumu (ar nodomu (tīši) vai aiz neuzmanības izdarītu darbību vai notikumu, kas var izraisīt sistēmas informācijas vai tehnisko resursu izmaiņas, bojājumu, iznīcināšanu vai nonākšanu tādu personu rīcībā, kuras nav tam pilnvarotas, vai kura dēļ piekļūšana sistēmas informācijas resursiem var būt traucēta vai neiespējama);

5.7. novērtētu sistēmas drošības risku;

5.8. atklātu sistēmas drošības incidentu;

5.9. atjaunotu sistēmas darbību pēc sistēmas drošības incidenta.

5.1 Valsts un pašvaldību institūcija, izņemot Latvijas Republikas diplomātiskās un konsulārās pārstāvniecības ārvalstīs, glabā datus NATO, Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalstī un interneta datu plūsmu virza NATO, Eiropas Savienības un Eiropas Ekonomikas zonas teritorijā, ja datu apmaiņa notiek NATO, Eiropas Savienības un Eiropas Ekonomikas zonas teritorijā.

6. Sistēmas iedala divās kategorijās – pamata un paaugstinātas drošības sistēmas.

7. Lai valsts un pašvaldību institūciju sistēmu, kas nav kritiskās infrastruktūras informācijas sistēma vai sistēma, ko izmanto pamatpakalpojuma un digitālā pakalpojuma sniegšanai, iedalītu pamata vai paaugstinātas drošības sistēmā, par informācijas tehnoloģiju drošības pārvaldību atbildīgā persona (turpmāk – atbildīgā persona) to izvērtē atbilstoši šādai metodikai:

7.1. izvērtē šo noteikumu 13.5. apakšpunktā minēto risku pieņemamo līmeni un piešķir atbilstošo drošības (pieejamības, integritātes un konfidencialitātes) klasi:

7.1.1. ja sistēmas nodrošinātā pakalpojuma neplānots pārtraukums sistēmas paredzētajā darba laikā drīkst būt ilgāks par 24 stundām mēnesī (summāri), sistēmai piešķir C pieejamības klasi;

7.1.2. ja sistēmas nodrošinātā pakalpojuma neplānotam pārtraukumam sistēmas paredzētajā darba laikā jābūt ne lielākam par 24 stundām (summāri) mēnesī, bet tas pieļaujams lielāks par četrām stundām (summāri) mēnesī, sistēmai piešķir B pieejamības klasi;

7.1.3. ja sistēmas nodrošinātā pakalpojuma neplānotam pārtraukumam sistēmas paredzētajā darba laikā jābūt ne lielākam par četrām stundām mēnesī (summāri), sistēmai piešķir A pieejamības klasi;

7.1.4. ja sistēmā glabāto datu integritātes apdraudējums nerada risku valsts un pašvaldību institūcijas pamatfunkciju nodrošināšanai, sistēmai piešķir C integritātes klasi;

7.1.5. ja atsevišķu sistēmā glabāto datu integritātes apdraudējums rada risku valsts un pašvaldību institūcijas pamatfunkciju nodrošināšanai, sistēmai piešķir B integritātes klasi;

7.1.6. ja sistēmā glabāto datu integritātes apdraudējums rada risku valsts un pašvaldību institūcijas pamatfunkciju nodrošināšanai vai atsevišķu sistēmā glabāto datu integritātes apdraudējums var apdraudēt Latvijas Republikas nacionālās intereses un pamatvērtības vai izraisīt katastrofu, sistēmai piešķir A integritātes klasi;

7.1.7. ja sistēma satur tikai publiski pieejamu informāciju vai sistēmā glabātās informācijas neatļauta izpaušana vai noplūde nerada risku valsts un pašvaldību institūcijai, sistēmai piešķir C konfidencialitātes klasi;

7.1.8. ja sistēmā tiek apstrādāta ierobežotas pieejamības informācija, izņemot sensitīvus personas datus, vai sistēmā glabātās informācijas neatļauta izpaušana vai noplūdes vienīgās sekas ir iespējamais kaitējums valsts un pašvaldību institūcijas, citu institūciju vai Latvijas Republikas reputācijai, sistēmai piešķir B konfidencialitātes klasi;

7.1.9. ja sistēmā tiek apstrādāti sensitīvi personas dati vai sistēmā glabātās informācijas neatļauta izpaušana vai noplūde var radīt smagākas sekas nekā kaitējums valsts un pašvaldību institūcijas, citu institūciju vai Latvijas Republikas reputācijai, sistēmai piešķir A konfidencialitātes klasi;

7.2. ja sistēmai piešķirtas trīs B drošības klases vai vismaz viena A drošības klase, sistēma ir uzskatāma par paaugstinātas drošības sistēmu;

7.3. pārējos gadījumos sistēma ir uzskatāma par pamata drošības sistēmu.

7.1 Kritiskās infrastruktūras informācijas sistēmas un sistēmas, ko izmanto pamatpakalpojuma vai digitālā pakalpojuma sniegšanai attiecīgi pamatpakalpojuma sniedzējs vai digitālā pakalpojuma sniedzējs, ir atzīstamas par paaugstinātas drošības sistēmām.

8. Valsts un pašvaldību institūcija, informācijas tehnoloģiju kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs, pamatpakalpojuma sniedzējs vai digitālā pakalpojuma sniedzējs (turpmāk – institūcija) izstrādā šādus dokumentus katrai sistēmai, kā arī nodrošina tajos noteikto prasību izpildes uzraudzību un kontroli:

8.1. sistēmas drošības politika;

8.2. sistēmas drošības iekšējie noteikumi;

8.3. sistēmas lietošanas noteikumi;

8.4. sistēmas drošības riska pārvaldības plāns;

8.5. sistēmas darbības atjaunošanas plāns.

9. Uz pamata drošības sistēmām nav attiecināmas prasības, kas minētas šo noteikumu 8.2., 8.3., 8.4. un 8.5. apakšpunktā.

10. Šo noteikumu 8.1. apakšpunktā minēto dokumentu apstiprina institūcijas vadītājs, bet 8.2., 8.3., 8.4. un 8.5. apakšpunktā minētos dokumentus apstiprina institūcijas vadītājs vai viņa pilnvarota persona. Institūcija visus šo noteikumu 8. punktā minētos dokumentus pārskata vismaz reizi gadā, kā arī šādos gadījumos:

10.1. ja izmaiņas sistēmā var ietekmēt sistēmas drošību;

10.2. ja mainījušies vai ir atklāti jauni sistēmas drošības apdraudējumi;

10.3. ja pēkšņi pieaug sistēmas drošības incidentu skaits vai ir noticis nozīmīgs sistēmas drošības incidents;

10.4. ja izmaiņas institūcijas organizatoriskajā struktūrā skar sistēmas drošības vadības organizāciju;

10.5. ja izdarīti grozījumi normatīvajos aktos, kas regulē sistēmas darbību.

11. Ja institūcijas pārziņā vai turējumā ir vairāk nekā viena sistēma, katru šo noteikumu 8. punktā minēto dokumentu var izstrādāt vairākām vai visām pārziņā vai turējumā esošajām sistēmām vienotu, ja nepieciešams, norādot specifiskās prasības katrai sistēmai.

12. Sistēmas drošības pasākumu atbilstību šo noteikumu 5. punktā minētajām prasībām novērtē, pamatojoties uz sistēmas drošības pārbaudes rezultātiem. Ja šīs pārbaudes laikā konstatēti būtiski trūkumi, institūcija veic pasākumus to novēršanai atbilstoši Informācijas tehnoloģiju drošības likumā noteiktajām prasībām.

12.1 Valsts un pašvaldību institūcijas vadītājs, slēdzot līgumu par informācijas un komunikācijas tehnoloģiju sistēmu izstrādi, ieviešanu vai uzturēšanu, nosaka atbildīgo personu, kas uzrauga informācijas un komunikācijas tehnoloģiju sistēmu izstrādi, ieviešanu un uzturēšanas ārpakalpojuma līguma izpildi.

II. Sistēmas drošības politika un iepirkumu prasības

13. Sistēmas drošības politika ietver:

13.1. sistēmas drošības politikas mērķus un pamatnostādnes;

13.2. sistēmas raksturojumu un analīzi drošības jomā;

13.3. sistēmas drošības pārvaldības organizācijas principus;

13.4. sistēmas drošības atbilstību normatīvajiem aktiem un standartiem;

13.5. sistēmas drošības principus, sistēmas drošības risku (pieejamības, integritātes un konfidencialitātes risku) pieņemamo līmeni atbilstoši šo noteikumu 7. punktā minētajai metodikai un citus sistēmas drošības kritērijus (piemēram, sistēmas nepārtrauktās darbības laiks, sistēmas darbības atjaunošanas laiks, nosacījumi, pie kuriem ikdienas procedūras aizstājamas ar krīzes pārvaldības procedūrām).

14. Institūcija nodrošina, ka šo noteikumu 13.5. apakšpunktā minētā informācija ir pieejama reģistrētiem sistēmas lietotājiem.

15. Izstrādājot sistēmas drošības politiku, paredz, ka:

15.1. sistēmas lietotāji, kas veic sistēmas administrēšanas darbu, izmanto īpašus lietotāju kontus (turpmāk – sistēmas administratora konts), kas netiek izmantoti ikdienas darbību veikšanai;

15.2. katrs reģistrēta lietotāja konts ir saistīts ar konkrētu fizisko personu. Ja sistēmā tiek izmantoti konti, kas nav piesaistāmi konkrētai fiziskai personai (turpmāk – sistēmkonti), tad sistēmā jābūt iestrādātiem kontroles mehānismiem, kas novērš iespēju reģistrētiem lietotājiem izmantot sistēmkontus;

15.3. ja sistēmā netiek izmantota daudzfaktoru autentifikācija, tas ir, viens atribūts, kam nav statiska daba (piemēram, kodu kalkulators, vienreiz lietojams īsziņas kods), un vismaz viens cits atribūts, tad reģistrētiem sistēmas lietotājiem obligāti jālieto paroles;

15.4. sistēmas lietotāja paroles garums nav mazāks par deviņām rakstu zīmēm un satur vismaz vienu lielo latīņu alfabēta burtu un mazo latīņu alfabēta burtu, kā arī ciparu vai speciālu simbolu;

15.5. sistēmas lietotāja paroles aizliegts elektroniski glabāt un transportēt nešifrētā veidā, arī lietotāja autentifikācijas procesa ietvaros, izņemot šo noteikumu 15.7. apakšpunktā minēto gadījumu;

15.6. sistēmas lietotāja parole ievadīšanas brīdī lietotājam netiek pilnībā attēlota;

15.7. sistēmas lietotāja parole, kas nosūtīta publiskā datu pārraides tīklā nešifrētā veidā, ir lietojama vienu reizi un derīga ne ilgāk kā 72 stundas pēc tās nosūtīšanas;

15.8. sistēmā nav pieļaujama funkcionalitāte, kas atļauj sistēmas lietotājam saglabāt savu paroli tā, lai tā turpmākajās pieslēgšanas reizēs nav jāievada;

15.9. iekārtām, tai skaitā infrastruktūras iekārtām, kas nodrošina sistēmas funkcionēšanu, netiek izmantotas noklusējuma (ražotāja vai izplatītāja uzstādītās) paroles;

15.10. tiek nodrošināta sistēmas auditācijas pierakstu (turpmāk – sistēmas pieraksti) veidošana un uzglabāšana vismaz sešus mēnešus pēc ieraksta izdarīšanas. Sistēmas pierakstos ietver informāciju par pieslēgšanos vai atslēgšanos no sistēmas, datu atlasi, kā arī konta izveidi, grozīšanu vai dzēšanu, fiksējot notikuma laiku, kas sakrīt ar faktiskā notikuma koordinēto pasaules laiku (UTC), interneta protokola adresi, no kuras veikta darbība, aprakstu, kā arī informāciju par darbības iniciatoru – identifikatoru, pieslēguma metadatus;

15.11. jebkura piekļuve sistēmai ir izsekojama līdz konkrētam sistēmas lietotāja kontam vai interneta protokola (IP) adresei;

15.12. sistēmai jābūt uzliktiem pieejamiem programmatūras atjauninājumiem, iepriekš izvērtējot to nepieciešamību;

15.13. visās institūcijas valdījumā esošajās galalietotāju iekārtās, kas ikdienā tiek izmantotas, lai pieslēgtos sistēmai, jābūt iekļautai pretvīrusu funkcionalitātei;

15.14. sistēmas funkcionalitāte ir izpildāma ar minimāli iespējamām tiesībām;

15.15. sistēmās, kas nodrošina elektroniskā pasta saņemšanu no ārējiem resursiem, ienākošo saziņu apstrādā vismaz atbilstoši e-pastu autentifikācijas protokola (DMARC) prasībām, ieviešot e-pasta apstrādi atbilstoši sūtītāja domēna vārda DMARC politikai, atskaites ģenerēšanu un nosūtīšanu DMARC konfigurācijā norādītajam kontaktam;

15.16. institūcija, kas ir elektroniskā pasta domēna īpašnieks, publicē DMARC atbilstošu ierakstu savā domēna vārdu sistēmā (DNS), norādot striktu atteikuma politiku (p=reject), ievieš procedūru DMARC ziņojumu saņemšanai un to analīzei;

15.17. institūcija nodrošina informācijas sistēmās esošo datu rezerves kopiju veidošanu un atjaunošanu.

16. Sistēmas drošības politikā var paredzēt arī stingrākas drošības prasības, nekā noteikts šajos noteikumos, ciktāl tas nav pretrunā ar citiem normatīvajiem aktiem.

17. Pirms institūcija izstrādā vai uzsāk iepirkumu par jaunas sistēmas izstrādi, tā izstrādā un apstiprina šīs sistēmas drošības politiku un nodrošina, ka sistēmas izstrādes gaitā tā tiek ievērota.

18. Institūcija nodrošina, ka pirms jaunas sistēmas pieņemšanas ekspluatācijā tai ir veikti ielaušanās testi. Ielaušanās testus veic juridiska persona vai institūcijas darbinieki, kuri nav piedalījušies sistēmas izstrādē.

19. Institūcija nodrošina šo noteikumu 12. punktā minēto sistēmas drošības pārbaudi, vismaz reizi gadā veicot drošības dokumentācijas prasību izpildes pārbaudi.

20. Ja institūcija sistēmas uzturēšanai slēdz ārpakalpojuma līgumu ar pakalpojuma sniedzēju, līguma izpildi uzrauga atbildīgā persona un līgumā iekļauj drošības prasības, kas nav zemākas par šajos noteikumos minētajām. Līgumā nosaka:

20.1. saņemamā ārpakalpojuma aprakstu;

20.2. precīzas prasības attiecībā uz ārpakalpojuma apjomu un kvalitāti;

20.3. institūcijas un ārpakalpojuma sniedzēja tiesības un pienākumus, tai skaitā:

20.3.1. institūcijas tiesības pastāvīgi uzraudzīt ārpakalpojuma sniegšanas kvalitāti;

20.3.2. institūcijas tiesības dot ārpakalpojuma sniedzējam obligāti izpildāmus norādījumus jautājumos, kas saistīti ar ārpakalpojuma godprātīgu, kvalitatīvu, savlaicīgu un normatīvajiem aktiem atbilstošu izpildi;

20.3.3. institūcijas tiesības iesniegt ārpakalpojuma sniedzējam pamatotu rakstisku pieprasījumu nekavējoties izbeigt ārpakalpojuma līgumu, ja institūcija konstatējusi, ka ārpakalpojumu sniedzējs nepilda ārpakalpojuma līgumā noteiktās prasības attiecībā uz ārpakalpojuma apjomu vai kvalitāti;

20.3.4. ārpakalpojuma sniedzēja pienākumu nodrošināt institūcijai iespēju pastāvīgi uzraudzīt ārpakalpojuma sniegšanas kvalitāti;

20.3.5. ārpakalpojuma sniedzēja pienākumu nekavējoties ziņot par informācijas tehnoloģiju drošības incidentu un veikt visas tā novēršanai nepieciešamās darbības;

20.3.6. ārpakalpojuma sniedzēja pienākumu informēt par apakšuzņēmēju un viņa atbilstību šajos noteikumos un līgumā noteiktajām drošības prasībām;

20.4. normatīvajos aktos noteiktās un citas institūcijas vadītāja identificētās sistēmai veicamās drošības pārbaudes;

20.5. piekļuves prasības datiem un to uzglabāšanai, kā arī pienākumu piegādātājam pēc līguma termiņa beigām dzēst viņa rīcībā nonākušos datus, izņemot gadījumu, ja atkārtoti slēdz līgumu ar to pašu pakalpojuma sniedzēju par to pašu līguma priekšmetu.

21. Ja valsts un pašvaldību institūcija uzsāk iepirkumu par esošas sistēmas uzlabojumiem, tā nodrošina, ka atbilstošās drošības prasības tiek iekļautas iepirkuma specifikācijā.

22. Ja valsts un pašvaldību institūcija uzsāk iepirkumu par jaunas sistēmas izstrādi, tā iepirkuma specifikācijā iekļauj prasības, paredzot:

22.1. noteiktu sistēmas uzturēšanas un atbalsta nodrošināšanas (tai skaitā sistēmas drošības nepilnību novēršanas) laikposmu;

22.2. sistēmas datorprogrammu pirmkoda un tā izmantošanas tiesību nodošanu institūcijai ne vēlāk kā pēc šo noteikumu 22.1. apakšpunktā noteiktā laikposma beigām, kā arī pēc katru izmaiņu vai uzlabojumu veikšanas tajā;

22.3. iespēju šo noteikumu 22.1. apakšpunktā noteiktajā laikposmā turpināt sistēmas ekspluatēšanu ar sistēmas funkcionēšanai obligāti nepieciešamā programmnodrošinājuma (piemēram, operētājsistēma, datubāzu vadības sistēma, interpretators) jaunākām versijām.

23. Veicot iepirkumu par jaunas sistēmas izstrādi vai esošas sistēmas uzlabojumiem, valsts un pašvaldību institūcija iepirkuma specifikācijā iekļauj aizliegumu līgumā ierobežot Autortiesību likuma 29. panta pirmajā daļā noteiktās tiesības.

23.1 Iegādājoties pakalpojumu, programmatūru vai iekārtu, valsts un pašvaldības institūcija iepirkuma specifikācijā un līgumā iekļauj pienākumu pakalpojuma sniedzējam un produkta ražotājam līguma darbības laikā informēt vai publicēt informāciju par atklātajām informācijas un komunikācijas tehnoloģiju produkta vai pakalpojuma ievainojamībām, to novēršanas pasākumiem un termiņiem.

23.2 Valsts un pašvaldības institūcija, slēdzot iepirkuma līgumu par maršrutētāju, komutatoru, ārējo ugunsmūru, ielaušanās atklāšanas sistēmu, pretielaušanās sistēmu, antivīrusu programmatūru iegādi, kā arī par pakalpojumiem, programmatūrām vai iekārtām, kas nodrošina pamata drošības sistēmu aizsardzības un uzraudzības funkcijas, ievēro šo noteikumu 36.1 punktā noteiktās prasības. Slēdzot vispārīgo vienošanos, tās noteikumos ietver norādi uz šo noteikumu 36.1 punktā noteiktajiem ierobežojumiem, kas piemērojami, vienošanās ietvaros slēdzot iepirkuma līgumus šajā punktā minēto preču vai pakalpojumu iegādei.

III. Prasības paaugstinātas drošības sistēmām

24. Izstrādājot sistēmas drošības politiku paaugstinātas drošības sistēmām, ņem vērā šo noteikumu 15. punktā minētās prasības un papildus paredz, ka:

24.1. katram sistēmas lietotājam parole ir obligāti jāmaina ne vēlāk kā pēc 90 dienām, taču paroli aizliegts pašrocīgi mainīt biežāk nekā divas reizes 24 stundu laikā;

24.2. sistēmas lietotāja parole jāizvēlas tā, lai tā nesakristu ne ar vienu no piecām iepriekšējām sistēmas lietotāja parolēm;