LIETUVOS RESPUBLIKOS ŠVIETIMO IR MOKSLO MINISTRO

Įsakymas netenka galios 2020-03-18:

Lietuvos Respublikos švietimo, mokslo ir sporto ministerija, Įsakymas

Nr. V-374, 2020-03-17, paskelbta TAR 2020-03-17, i. k. 2020-05589

Dėl kai kurių Lietuvos Respublikos švietimo, mokslo ir sporto ministerijos valdomų registrų ir Valstybės informacinių sistemų duomenų saugos nuostatų patvirtinimo

Suvestinė redakcija nuo 2018-03-07 iki 2020-03-17

Įsakymas paskelbtas: Žin. 2009, Nr. 133-5814, i. k. 1092070ISAKSAK-2175

Nauja redakcija nuo 2015-12-11:

Nr. V-1263, 2015-12-10, paskelbta TAR 2015-12-10, i. k. 2015-19560

„LIETUVOS RESPUBLIKOS ŠVIETIMO IR MOKSLO MINISTRAS

ĮSAKYMAS

DĖL PEDAGOGŲ REGISTRO DUOMENŲ SAUGOS NUOSTATŲ PATVIRTINIMO

2009 m. lapkričio 2 d. Nr. ISAK-2175

Vilnius

Vadovaudamasi Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, 7 punktu ir Pedagogų registro nuostatų, patvirtintų Lietuvos Respublikos švietimo ir mokslo ministro 2009 m. spalio 19 d. įsakymu Nr. ISAK-2079 „Dėl Pedagogų registro įsteigimo, jo nuostatų patvirtinimo ir veiklos pradžios nustatymo“, 10.1 papunkčiu:

Preambulės pakeitimai:

Nr. V-222, 2018-03-06, paskelbta TAR 2018-03-06, i. k. 2018-03564

1. T v i r t i n u Pedagogų registro duomenų saugos nuostatus (pridedama).

2. P a v e d u Švietimo informacinių technologijų centrui per 3 mėnesius nuo šio įsakymo įsigaliojimo:

2.1. pateikti švietimo ir mokslo ministrui tvirtinti Pedagogų registro saugaus elektroninės informacijos tvarkymo taisykles, Pedagogų registro sistemos veiklos tęstinumo valdymo planą, Pedagogų registro naudotojų administravimo taisykles;

2.2. paskirti Pedagogų registro saugos įgaliotinį.“

Švietimo ir mokslo ministras Gintaras Steponavičius

SUDERINTA

Lietuvos Respublikos vidaus reikalų ministerijos

2009 m. spalio 6 d. raštu Nr. ID-7433(13)

PATVIRTINTA

Lietuvos Respublikos švietimo ir mokslo

ministro 2009 m. lapkričio 2 d. įsakymu

Nr. ISAK-2175

(Lietuvos Respublikos švietimo ir mokslo

ministro 2015 m. gruodžio 10 d.

įsakymo Nr. V-1263 redakcija)

PEDAGOGŲ REGISTRO DUOMENŲ SAUGOS NUOSTATAI

I SKYRIUS

Bendrosios nuostatos

1. Pedagogų registro duomenų saugos nuostatų (toliau – Saugos nuostatai) tikslas – nustatyti Pedagogų registre (toliau – Registras) tvarkomos elektroninės informacijos saugos tikslus, elektroninės informacijos saugos užtikrinimo prioritetines kryptis, saugų elektroninės informacijos valdymą, organizacinius, techninius ir personalui keliamus reikalavimus, naudotojų supažindinimo su saugos dokumentais principus, apibrėžti elektroninės informacijos saugos politiką.

2. Registro duomenų saugą reglamentuoja Saugos nuostatai, Pedagogų registro saugaus elektroninės informacijos tvarkymo taisyklės (toliau – Tvarkymo taisyklės), Pedagogų registro veiklos tęstinumo valdymo planas (toliau – Valdymo planas), Pedagogų registro naudotojų administravimo taisyklės (toliau – Administravimo taisyklės), tvirtinami Lietuvos Respublikos švietimo ir mokslo ministro.

3. Saugos nuostatai nustato Registro saugos politiką (toliau – saugos politika). Saugos politika įgyvendinama, vadovaujantis Tvarkymo taisyklėmis, Valdymo planu, Administravimo taisyklėmis ir Registro duomenų kopijų darymo tvarkos aprašu, patvirtintu Švietimo informacinių technologijų centro direktoriaus įsakymu.

4. Saugos politika vykdoma šiomis prioritetinėmis kryptimis:

4.1. įgyvendinant atliekamų veiksmų su Registro elektronine informacija automatinį stebėjimą ir įrašų kaupimą;

4.2. suteikiant prieigos teises prie Registro elektroninės informacijos ir identifikuojant Registro naudotojų tapatumą;

4.3. kopijuojant Registro duomenų bazę, saugant archyve esančias kopijas;

4.4. saugant Registro elektroninę informaciją nuo žalingos programinės įrangos poveikio;

4.5. įrengiant saugias Registrui tvarkyti skirtas patalpas ir kompiuterizuotas darbo vietas jose;

4.6. tobulinant Registro naudotojų kvalifikaciją;

4.7. įgyvendinant Registro elektroninės informacijos vientisumą su susijusiais kitais registrais ir informacinėmis sistemomis;

4.8. įgyvendinant Registro elektroninės informacijos saugos priemones nuo nesankcionuoto poveikio Registro programinei, techninei įrangai ir (ar) Registro programinės įrangos modifikavimo;

4.9. įgyvendinant Registro veiklos tęstinumą.

5. Saugos nuostatai privalomi Registro valdytojui, Registro tvarkytojams, Registro naudotojams, Registro saugos įgaliotiniui, Registro duomenų valdymo įgaliotiniui, Registro administratoriui.

6. Registro valdytojas yra Lietuvos Respublikos švietimo ir mokslo ministerija (toliau – Ministerija), buveinės adresas – A. Volano g. 2, LT-01516 Vilnius. Ministerija yra Registre tvarkomų asmens duomenų valdytoja.

7. Registro valdytojas:

7.1. pagal kompetenciją atsako už saugos politikos formavimą, jos įgyvendinimo organizavimą ir priežiūrą;

7.2. tvirtina Saugos nuostatus, saugaus elektroninės informacijos tvarkymo taisykles, veiklos tęstinumo valdymo planą, naudotojų administravimo taisykles (toliau visi kartu – saugos dokumentai) ir kitus teisės aktus, kuriuose reglamentuojamas Registro tvarkymo teisėtumas ir Registro elektroninės informacijos sauga;

7.3. koordinuoja Registro tvarkytojo darbą;

7.4. analizuoja Registro tvarkytojo pateiktus siūlymus, priima sprendimus dėl Registro techninių ir programinių priemonių, būtinų Registro elektroninės informacijos saugai užtikrinti, įsigijimo, įdiegimo ir modernizavimo;

7.5. atlieka kitas Registro nuostatų, patvirtintų Lietuvos Respublikos švietimo ir mokslo ministro 2009 m. spalio 19 d. įsakymu Nr. ISAK-2079 „Dėl Pedagogų registro įsteigimo, jo nuostatų patvirtinimo ir veiklos pradžios nustatymo“ (toliau – Nuostatai), ir saugos dokumentų jam priskirtas funkcijas.

8. Registro tvarkytojai yra bendrojo ugdymo mokyklos, ikimokyklinio ugdymo mokyklos, profesinio mokymo įstaigos, neformaliojo vaikų švietimo mokyklos ir formalųjį švietimą papildančio ugdymo mokyklos, mokslo ir studijų institucijos, kiti švietimo teikėjai, vykdantys formaliojo ir (ar) neformaliojo švietimo programas (toliau – Institucijos), ir Švietimo informacinių technologijų centras (toliau – ITC). Institucijų pavadinimai, jų buveinės adresai nurodyti Ministerijos tvarkomoje Atviros informavimo, konsultavimo ir orientavimo sistemos (AIKOS) interneto svetainėje. Registro tvarkytojai yra ir asmens duomenų tvarkytojai.

Punkto pakeitimai:

Nr. V-222, 2018-03-06, paskelbta TAR 2018-03-06, i. k. 2018-03564

9. Registro tvarkytojas ITC:

9.1. pagal kompetenciją atsako už Registro elektroninės informacijos tvarkymo teisėtumą ir saugą;

9.2. užtikrina tinkamų organizacinių ir techninių priemonių, skirtų elektroninei informacijai apsaugoti nuo atsitiktinio ar neteisėto sunaikinimo, pakeitimo, atskleidimo, taip pat nuo bet kokio kito neteisėto tvarkymo, įgyvendinimą;

9.3. pagal kompetenciją vykdo reikalavimus, nustatytus Registro saugos dokumentuose ir kituose saugos politiką įgyvendinančiuose teisės aktuose;

9.4. teikia siūlymus Registro valdytojui dėl Registro elektroninės informacijos saugos tobulinimo, Registro saugos dokumentų priėmimo, keitimo arba panaikinimo, taip pat rengia Registro saugos dokumentų projektus;

9.5. užtikrina, kad Registro naudotojai, turintys teisę naudotis Registro elektronine informacija, laikytųsi reikalavimų, nustatytų Registro saugos dokumentuose;

9.6. atlieka Registro duomenų bazės techninę priežiūrą ir užtikrina nepertraukiamą Registro veikimą;

9.7. užtikrina saugią Registro sąveiką su kitomis informacinėmis sistemomis ir registrais;

9.8. užtikrina saugų Registro funkcijų pokyčių įgyvendinimą;

9.9. teikia siūlymus Registro valdytojui dėl Registro techninių ir programinių priemonių, būtinų Registro elektroninės informacijos saugai užtikrinti, įsigijimo, įdiegimo ir modernizavimo, organizuoja jų įdiegimą ir modernizavimą;

9.10. Registro valdytojo pavedimu skiria Registro duomenų valdymo įgaliotinį, paveda jam atlikti Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme nustatytas informacinių išteklių valdymo funkcijas;

9.11. skiria Registro saugos įgaliotinį, paveda jam organizuoti Registro saugos politiką ir kontroliuoti jos įgyvendinimą;

9.12. skiria Registro administratorių, paveda jam vykdyti administravimo funkcijas, nustatytas Saugos nuostatuose ir kituose Registro saugos politiką įgyvendinančiuose teisės aktuose;

9.13. teisės aktų nustatyta tvarka teikia informaciją apie Registro saugos politikos įgyvendinimą;

9.14. atlieka kitas Registro valdytojo pavestas, Nuostatuose, saugos dokumentuose ir kituose saugos politiką įgyvendinančiuose teisės aktuose jam priskirtas funkcijas.

10. Registro tvarkytojai – Institucijos:

10.1. pagal kompetenciją atsako už Registro elektroninės informacijos tvarkymo teisėtumą ir saugą;

10.2. užtikrina tinkamų organizacinių ir techninių priemonių, skirtų elektroninei informacijai apsaugoti nuo atsitiktinio ar neteisėto sunaikinimo, pakeitimo, atskleidimo, taip pat nuo bet kokio kito neteisėto tvarkymo, įgyvendinimą;

10.3. pagal kompetenciją vykdo reikalavimus, nustatytus Registro saugos dokumentuose ir kituose saugos politiką įgyvendinančiuose teisės aktuose;

10.4. užtikrina, kad Registro naudotojai, turintys teisę naudotis Registro elektronine informacija, laikytųsi reikalavimų, nustatytų Registro saugos dokumentuose.

11. Registro saugos įgaliotinis:

11.1. atsako už tinkamą Registro elektroninės informacijos saugos priemonių įgyvendinimą;

11.2. teikia Registro tvarkytojo vadovui siūlymus dėl Registro administratoriaus paskyrimo ir reikalavimų administratoriui nustatymo;

11.3. teikia Registro tvarkytojo vadovui siūlymus dėl informacinių technologijų saugos atitikties vertinimo atlikimo;

11.4. teikia Registro valdytojui siūlymus dėl Registro saugos dokumentų priėmimo arba keitimo;

11.5. koordinuoja elektroninės informacijos saugos incidentų, įvykusių Registre, tyrimą (išskyrus atvejus, kai šią funkciją atlieka informacijos saugos darbo grupės);

11.6. organizuoja Registro rizikos įvertinimą ir parengia rizikos įvertinimo ataskaitą;

11.7. teikia administratoriui ir Registro naudotojams privalomus vykdyti nurodymus ir pavedimus, susijusius su saugos politikos įgyvendinimu;

11.8. turi teisę pagal savo įgaliojimus duoti privalomus vykdyti nurodymus ir pavedimus ir kitiems Registro tvarkytojo darbuotojams, jeigu tai būtina saugos politikai įgyvendinti;

11.9. supažindina Registro administratorių ir Registro naudotojus su Registro saugos dokumentų reikalavimais ir atsakomybe už reikalavimų nesilaikymą, organizuoja Registro naudotojų mokymą elektroninės informacijos saugos klausimais, informuoja juos apie elektroninės informacijos saugos problemas;

11.10. atlieka kitas Registro tvarkytojo vadovo pavestas, Registro saugos dokumentuose ir kituose saugos politiką įgyvendinančiuose teisės aktuose jam priskirtas funkcijas.

12. Registro duomenų valdymo įgaliotinis:

12.1. įgyvendina Registro plėtrą;

12.2. tiesiogiai prižiūri, kaip kuriamas ir tvarkomas Registras, diegiama programinė įranga, panaudojamos investicijos;

12.3. rengia Registro biudžetų projektus;

12.4. tiesiogiai prižiūri, kad informacija, duomenys, dokumentai būtų teikiami, skelbiami ir (arba) perduodami pagal registrų veiklą reglamentuojančiuose teisės aktuose nustatytus reikalavimus;

12.5. teikia pasiūlymus dėl darbuotojų, kuriems pavesta tvarkyti duomenis, informaciją, dokumentus, teisių ir pareigų;

12.6. atlieka kitas registrų veiklą reglamentuojančiuose teisės aktuose nustatytas funkcijas.

13. Registro administratoriaus funkcijas pagal kompetenciją vykdo Registro sisteminis administratorius, Registro tvarkymo administratorius, Registro administratoriai savivaldybėse.

Punkto pakeitimai:

Nr. V-222, 2018-03-06, paskelbta TAR 2018-03-06, i. k. 2018-03564

14. Registro sisteminis administratorius:

14.1. užtikrina Registro techninės ir programinės įrangos įdiegimą ir funkcionavimą;

14.2. diegia ir prižiūri programinę įrangą, reikalingą Registro naudotojų funkcijoms vykdyti;

14.3. užtikrina Registro duomenų bazėje naudojamų klasifikatorių atnaujinimą automatiniu būdu;

14.4. užtikrina Registro komponentų (kompiuterių, tarnybinių stočių, operacinių sistemų, taikomųjų programų, duomenų bazės valdymo sistemų, ugniasienių, įsilaužimų aptikimo sistemų ir kt.) tinkamą veikimą ir priežiūrą, pagal kompetenciją nustato Registro pažeidžiamas vietas;

14.5. užtikrina sąveikos su susijusiais registrais ir informacinėmis sistemomis technologinį funkcionavimą;

14.6. užtikrina, kad Registro elektroninė informacija, gauta iš susijusių registrų ir informacinių sistemų, būtų nuolat atnaujinama ir atitiktų susijusiuose registruose ir informacinėse sistemose esančią elektroninę informaciją;

14.7. pagal kompetenciją dalyvauja, vykdant saugumo reikalavimų įgyvendinimo stebėseną;

14.8. pagal kompetenciją teikia Registro tvarkytojo vadovui siūlymus dėl Registro palaikymo, priežiūros, techninės ir programinės įrangos modernizavimo ir elektroninės informacijos saugos užtikrinimo;

14.9. informuoja Registro saugos įgaliotinį apie elektroninės informacijos saugos incidentus ir teikia siūlymus dėl elektroninės informacijos saugos incidentų pašalinimo;

14.10. atsako už Registro duomenų bazės saugų atsarginių kopijų darymą ir archyve esančių kopijų saugojimą;

14.11. atlieka kitas Registro tvarkytojo vadovo, saugos įgaliotinio pavestas, Registro saugos dokumentuose ir kituose saugos politiką įgyvendinančiuose teisės aktuose jam priskirtas funkcijas.

15. Registro tvarkymo administratorius:

15.1. administruoja ir tvarko Registro duomenų bazę, užtikrina tinkamą ir nepertraukiamą Registro veikimą;

15.2. administruoja Registro naudotojų ir Registro administratorių savivaldybėse prieigą prie Registro elektroninės informacijos – suteikia jiems teises ir identifikuoja tapatumą;

Punkto pakeitimai:

Nr. V-222, 2018-03-06, paskelbta TAR 2018-03-06, i. k. 2018-03564

15.3. administruoja Registro naudotojų veiksmų automatinį stebėjimą;

15.4. informuoja gavėjus, kuriems buvo perduota neteisinga, netiksli, neišsami Registro elektroninė informacija, apie ištaisytus netikslumus;

15.5. pagal kompetenciją dalyvauja, vykdant saugumo reikalavimų įgyvendinimo stebėseną;

15.6. pagal kompetenciją teikia Registro tvarkytojo vadovui siūlymus dėl Registro palaikymo, priežiūros, techninės ir programinės įrangos modernizavimo ir elektroninės informacijos saugos užtikrinimo;

15.7. informuoja Registro saugos įgaliotinį apie elektroninės informacijos saugos incidentus ir teikia siūlymus dėl elektroninės informacijos saugos incidentų pašalinimo;

15.8. atlieka kitas Registro tvarkytojo vadovo, saugos įgaliotinio pavestas, Registro saugos dokumentuose ir kituose saugos politiką įgyvendinančiuose teisės aktuose jam priskirtas funkcijas.

15¹. Registro administratoriai savivaldybėse administruoja savivaldybės teritorijoje esančių institucijų Registro naudotojų ir Registro naudotojų savivaldybėse prieigą prie Registro elektroninės informacijos – suteikia jiems teises ir identifikuoja tapatumą.

Papildyta punktu:

Nr. V-222, 2018-03-06, paskelbta TAR 2018-03-06, i. k. 2018-03564

16. Registro duomenų sauga užtikrinama organizacinėmis, techninėmis, technologinėmis, metodinėmis ir kitomis priemonėmis, atitinkančiomis:

16.1. Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymą;

16.2. Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymą;

16.3. Lietuvos Respublikos kibernetinio saugumo įstatymą;

16.4. Bendrųjų elektroninės informacijos saugos reikalavimų aprašą, patvirtintą Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“;

Punkto pakeitimai:

Nr. V-222, 2018-03-06, paskelbta TAR 2018-03-06, i. k. 2018-03564

16.5. Bendruosius reikalavimus organizacinėms ir techninėms asmens duomenų saugumo priemonėms, patvirtintus Valstybinės duomenų apsaugos inspekcijos direktoriaus 2008 m. lapkričio 12 d. įsakymu Nr. 1T-71(1.12) „Dėl Bendrųjų reikalavimų organizacinėms ir techninėms duomenų saugumo priemonėms patvirtinimo“;

16.6. Techninius valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimus, patvirtintus Lietuvos Respublikos vidaus reikalų ministro 2013 spalio 4 d. įsakymu Nr. 1V-832 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų patvirtinimo“;

Punkto pakeitimai:

Nr. V-222, 2018-03-06, paskelbta TAR 2018-03-06, i. k. 2018-03564

16.7. Lietuvos Respublikos standartą LST ISO/IEC 27002:2014 „Informacinės technologijos. Saugumo metodai. Informacijos saugumo kontrolės priemonių praktikos nuostatai“;

16.8. Lietuvos Respublikos standartą LST ISO/IEC 27001:2013 „Informacinės technologijos. Saugumo metodai. Informacijos saugumo valdymo sistemos. Reikalavimai“;

16.9. kitų teisės aktų, reglamentuojančių saugų Registro duomenų tvarkymą, nuostatas.

II SKYRIUS

ELEKTRONINĖS INFORMACIJOS SAUGOS VALDYMAS

17. Vadovaujantis Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatyto gairių aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, 9.1 ir 9.2 papunkčiais, Registre tvarkoma informacija priskiriama vidutinės svarbos informacijos kategorijai. Priskyrimo šiai elektroninės informacijos svarbos kategorijai kriterijai: Registro elektroninės informacijos praradimas gali pažeisti daugiau nei 1 procento, bet ne daugiau nei 5 procentų valstybės gyventojų teises ir teisėtus interesus ir lemti, kad nebus atliekama svarbi funkcija ministrui pavestoje valdymo srityje.

Punkto pakeitimai:

Nr. V-222, 2018-03-06, paskelbta TAR 2018-03-06, i. k. 2018-03564

18. Vadovaujantis Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, 12.3 papunkčiu, Registras priskiriamas trečiajai informacinių sistemų kategorijai. Priskyrimo šiai informacinių sistemų kategorijai kriterijus – Registre apdorojama vidutinės svarbos elektroninė informacija.

Punkto pakeitimai:

Nr. V-222, 2018-03-06, paskelbta TAR 2018-03-06, i. k. 2018-03564

19. Vadovaujantis Bendrųjų reikalavimų organizacinėms ir techninėms asmens duomenų saugumo priemonėms, patvirtintų Valstybinės duomenų apsaugos inspekcijos direktoriaus 2008 m. lapkričio 12 d. įsakymu Nr. 1T-71(1.12) „Dėl Bendrųjų reikalavimų organizacinėms ir techninėms duomenų saugumo priemonėms patvirtinimo“, 11.2 papunkčiu, Registre asmens duomenų tvarkymas automatiniu būdu priskiriamas antrajam saugumo lygiui.

20. Saugos priemonės parenkamos, įvertinus galimus rizikos veiksnius Registro duomenų vientisumui ir prieinamumui.

21. Teisės aktų nustatyta tvarka atliekant Registro informacinių technologijų saugos atitikties vertinimą:

21.1. įvertinama saugos politikos dokumentų ir realios informacijos saugos situacijos atitiktis;

21.2. inventorizuojama Registro techninė ir programinė įranga;

21.3. patikrinama ne mažiau kaip 10 procentų atsitiktinai parinktų Registro tvarkytojų kompiuterinių darbo vietų, visose tarnybinėse stotyse įdiegtų programų ir jų sąranka;

21.4. patikrinama (įvertinama) Registro tvarkytojams suteiktų teisių ir vykdomų funkcijų atitiktis;

21.5. įvertinamas pasirengimas užtikrinti Registro veiklos tęstinumą įvykus saugos incidentui.

22. Atlikus Saugos nuostatų 22 punkte nurodytą saugos atitikties vertinimą, rengiamas pastebėtų trūkumų šalinimo planas (toliau – Planas), kurį tvirtina, atsakingus vykdytojus skiria ir įgyvendinimo terminus nustato ITC direktorius.

23. Saugos įgaliotinis turi:

23.1. atsižvelgdamas į Lietuvos Respublikos vidaus reikalų ministerijos išleistą metodinę priemonę „Rizikos analizės vadovas“, Lietuvos ir tarptautinius „Informacijos technologija. Saugumo technika“ grupės standartus, kasmet organizuoti Registro rizikos įvertinimą. Prireikus Saugos įgaliotinis gali organizuoti neeilinį Registro rizikos įvertinimą. Registro valdytojo rašytiniu pavedimu Registro rizikos įvertinimą gali atlikti Saugos įgaliotinis;

23.2. Registro rizikos įvertinimą išdėstyti Rizikos įvertinimo ataskaitoje. Rizikos įvertinimo ataskaita rengiama, atsižvelgiant į rizikos veiksnius, galinčius turėti įtakos informacijos saugai. Svarbiausieji rizikos veiksniai yra šie:

23.2.1. subjektyvūs netyčiniai (duomenų tvarkymo klaidos ir apsirikimai, duomenų ištrynimas, klaidingas duomenų teikimas, fiziniai informacijos technologijų sutrikimai, duomenų perdavimo tinklais sutrikimai, programinės įrangos klaidos, neteisingas veikimas ir kita);

23.2.2. subjektyvūs tyčiniai (nesankcionuotas naudojimasis informacine sistema duomenims gauti, duomenų keitimas ar sunaikinimas, informacinių technologijų duomenų perdavimo tinklais trikdymai, saugumo pažeidimai, vagystės ir kita);

23.2.3. nenugalima jėga (force majeure);

23.3. per 10 kalendorinių dienų, patvirtinus Rizikos įvertinimo ataskaitą (toliau – Ataskaita), parengti Planą, kuriame nurodyti rizikos veiksnius šalinančias priemones, priemonių vykdymo terminus, vykdytojus. Planą tvirtina ITC direktorius;

23.4. patvirtintas Ataskaitos ir Plano kopijas paštu išsiųsti Registro valdytojui ir Registro tvarkytojams, nuolat kontroliuoti Plane nurodytų priemonių vykdymą.

24. Rizikos veiksnių Registro duomenims, techninei, programinei įrangai, registravimo dokumentams, patalpoms savivaldybių administracijose ir ITC tikėtumui vertinti turi būti naudojama penkiabalė rizikos veiksnių tikėtumo ir žalos vertinimo metodika:

24.1. nereikšminga rizikos veiksnių tikimybė, žala – 1 balas;

24.2. maža rizikos veiksnių tikimybė, žala – 2 balai;

24.3. vidutinė rizikos veiksnių tikimybė, žala – 3 balai;

24.4. didelė rizikos veiksnių tikimybė, žala – 4 balai;

24.5. labai didelė rizikos veiksnių tikimybė, žala – 5 balai.

III SKYRIUS

ORGANIZACINIAI IR TECHNINIAI REIKALAVIMAI

25. Registro duomenų tvarkytojų darbo su Registro duomenimis tvarką nustato Tvarkymo taisyklės.

26. Registro duomenims apsaugoti nuo kenksmingos programinės įrangos Registro tvarkytojai turi naudoti programines priemones, atnaujinamas ne rečiau kaip kartą per 24 valandas. Turi būti naudojamos priemonės, nuolat ieškančios ir blokuojančios kenksmingą programinę įrangą, veikiančią sisteminiuose kataloguose esančiose tarnybinės stoties rinkmenose ir visuose kompiuterių tinklo kompiuteriuose. Turi būti naudojamos priemonės, turinčios apsaugos mechanizmus, blokuojančius kenkimo programų bandymus panaikinti apsaugas nuo kenkimo programų.

27. Prieiga prie kompiuterių ir tarnybinių stočių operacinių sistemų valdymo ir konfigūravimo leidžiama tik Registro administratoriui, atsakingam už kompiuterių tinklo filtravimo įrangos (užkardų, turinio kontrolės sistemų, įgaliotojų serverių (proxy)) administravimą ir priežiūrą.

28. Registro tvarkytojai, siekdami saugiai rinkti, apdoroti, kaupti, saugoti, teikti su Registru susijusiems kitiems registrams, informacinėms sistemoms, suinteresuotiems fiziniams ir juridiniams asmenims Registro objektų duomenis, turi naudoti programinės ir techninės įrangos saugos priemones, kuriose:

28.1. realizuota galimybė Registro duomenų tvarkytojams naudoti tik legalią programinę įrangą;

28.2. realizuota Registro duomenų tvarkytojams prieigos prie Registro duomenų galimybė tik per registravimosi ir slaptažodžių sistemą;

28.3. realizuota prievolė Registro duomenų tvarkytojams reguliariai keisti slaptažodžius;

28.4. realizuota galimybė identifikuoti prieigos prie Registro duomenų autorius, fiksuoti jų atliktus veiksmus ir juos kaupti;

28.5. realizuota galimybė visas užklausas į Registro duomenų bazę fiksuoti programiniu būdu;

28.6. apribotas programinės įrangos, nesusijusios su Registro tvarkytojų veikla ar funkcijomis (žaidimai, bylų siuntimo, internetinių pokalbių programos ir kt.), naudojimas;

28.7. viešaisiais telekomunikaciniais tinklais perduodamos elektroninės informacijos konfidencialumas užtikrinamas, naudojant HTTPS (Hypertext Transfer Protocol Secure) protokolą arba šifravimą;

28.8. duomenys iš su Registru susijusių Švietimo ir mokslo institucijų registro, Studijų, mokymo programų ir kvalifikacijų registro, kitų švietimo registrų gaunami žiniatinklio paslaugos (angl. Web Service) metodu. Duomenys iš Gyventojų registro gaunami duomenų teikimo sutartyje nustatyta tvarka ir sąlygomis.

Punkto pakeitimai:

Nr. V-222, 2018-03-06, paskelbta TAR 2018-03-06, i. k. 2018-03564

29. Saugos įgaliotinis, Registro administratorius turi organizuoti Institucijose ir ITC Registro programinės, techninės įrangos saugos priemonių įgyvendinimą.

30. Leistinos kompiuterių naudojimo ribos:

30.1. stacionarūs ir nešiojamieji Registro naudotojų kompiuteriai turi būti naudojami tik tiesioginėms pareigoms atlikti. Iš kompiuterių, kurie perduodami remontuoti ar techninei priežiūrai atlikti, turi būti pašalinti visi Registro duomenys ir Registro informacija;

30.2. nešiojamieji kompiuteriai gali būti naudojami tik suvestiniams (viešiems) Registro duomenims ir negali būti naudojami Registro duomenims registruoti, kaupti ir apdoroti;

30.3. nešiojamuosiuose kompiuteriuose turi būti naudojamas įjungimo slaptažodis;

30.4. Registro naudotojai privalo naudotis visomis saugumo priemonėmis, kad apsaugotų kompiuterį ir duomenų laikmenas nuo vagystės arba pažeidimo;

30.5. kai nešiojamieji kompiuteriai nenaudojami, jie turi būti saugomi saugioje vietoje;

30.6. Registro tvarkytojo stacionarų kompiuterį prijungti prie Registro kompiuterių tinklo gali tik Registro administratorius.

31. Metodai, kuriais užtikrinamas saugus Registro elektroninės informacijos teikimas ir (ar) gavimas:

31.1. užtikrinant saugų elektroninės informacijos teikimą ir (ar) gavimą iš kitų valstybės institucijų, naudojami saugūs ryšio kanalai, kuriais perduodami šifruoti duomenys;

31.2. elektroninė informacija iš susijusių registrų gaunama tik pagal duomenų teikimo ir gavimo sutartyse nustatytas perduodamų duomenų specifikacijas, perdavimo sąlygas ir tvarką;

31.3. prieigos prie Registro elektroninės informacijos teises gali suteikti tik Registro administratorius. Registro naudotojams suteikiamos tik jų funkcijoms vykdyti būtinos teisės;

31.4. prieiga prie Registro elektroninės informacijos leidžiama tik per registravimosi slaptažodžių sistemą. Prieigos prie Registro elektroninės informacijos valdymas apibrėžtas Registro naudotojų administravimo taisyklėse.

32. Registro atsarginės elektroninės informacijos kopijos daromos automatiniu būdu darbo dienomis vieną kartą per parą. Kopijos turi būti saugomos kitoje patalpoje, nei yra įrenginys, kurio elektroninė informacija buvo nukopijuota. Prireikus jas atkurti turi teisę tik sisteminis administratorius ar jį pavaduojantis asmuo. Kopijų darymo ir saugojimo tvarka detaliai aprašyta Registro saugaus elektroninės informacijos tvarkymo taisyklėse.

IV SKYRIUS

Reikalavimai Personalui

33. Saugos įgaliotiniu negali būti skiriamas asmuo, turintis neišnykusį ar nepanaikintą teistumą už nusikaltimą elektroninių duomenų ir informacinių sistemų saugumui, taip pat paskirtą administracinę nuobaudą už neteisėtą asmens duomenų tvarkymą ir privatumo apsaugos pažeidimą elektroninių ryšių srityje, elektroninių ryšių išteklių naudojimo ir skyrimo taisyklių pažeidimą, elektroninių ryšių tinklo gadinimą ar savavališką prisijungimą prie tinklo arba galinių įrenginių, kurie trukdo elektroninių ryšių tinklo darbui, arba elektroninių ryšių infrastruktūros įrengimo, naudojimo ir apsaugos sąlygų ir taisyklių pažeidimą, jeigu nuo jo paskyrimo praėję mažiau kaip vieneri metai.

34. Registro saugos įgaliotinis turi:

34.1. išmanyti elektroninės informacijos saugos užtikrinimo principus;

34.2. sugebėti vertinti rizikos veiksnių tikėtumus ir žalos galimybes, organizuoti ir kontroliuoti trūkumų šalinimą;

34.3. tobulinti kvalifikaciją elektroninės informacijos saugos srityje;

34.4. savo darbe vadovautis Registro saugos dokumentais ir kitais Lietuvos Respublikos ir Europos Sąjungos teisės aktais, reglamentuojančiais saugų elektroninės informacijos tvarkymą.

35. Registro administratorius turi:

35.1. išmanyti darbą su kompiuterių tinklais ir mokėti užtikrinti jų saugą;

35.2. mokėti administruoti ir prižiūrėti duomenų bazes;

35.3. būti susipažinęs su Nuostatais, Registro saugos dokumentais ir kitais Lietuvos Respublikos ir Europos Sąjungos teisės aktais, reglamentuojančiais saugų elektroninės informacijos tvarkymą.

36. Registro naudotojai turi:

36.1. turėti pagrindinius darbo kompiuteriu įgūdžius;

36.2. mokėti tvarkyti Registro elektroninę informaciją Nuostatų nustatyta tvarka;

36.3. būti susipažinę su Saugos nuostatais bei teisės aktais, reglamentuojančiais saugų elektroninės informacijos tvarkymą.

37. Registro naudotojai, pastebėję saugos politikos pažeidimų, nusikalstamos veikos požymių, neveikiančias arba netinkamai veikiančias elektroninės informacijos saugos užtikrinimo priemones, privalo nedelsdami apie tai pranešti saugos įgaliotiniui.

38. Registro elektroninę informaciją tvarkyti ir teikti Nuostatuose nurodytiems Registro duomenų gavėjams gali asmenys, turintys pagrindinius darbo kompiuteriu įgūdžius, mokantys tvarkyti Registro elektroninę informaciją Nuostatuose, Registro funkcinėje sistemos specifikacijoje, Registro naudojimo ir administravimo instrukcijoje nurodyta tvarka ir susipažinę su Saugos nuostatų ir kitų saugos politiką įgyvendinančių teisės aktų reikalavimais.

39. Saugos įgaliotinis ne rečiau kaip kartą per dvejus metus inicijuoja Registro naudotojų mokymą elektroninės informacijos saugos klausimais, periodiškai įvairiais būdais primena apie saugumo problemas.

V SKYRIUS

REGISTRO NAUDOTOJŲ SUPAŽINDINIMO SU saugos DOKUMENTAIS PRINCIPAI

40. Registro naudotojus su saugos dokumentais ir atsakomybe už jų reikalavimų nesilaikymą pasirašytinai supažindina Saugos įgaliotinis. Saugos įgaliotinis, Registro naudotojai, Registro administratorius raštu įsipareigoja nepažeisti Saugos nuostatų ir kitų teisės aktų, reglamentuojančių saugų elektroninės informacijos tvarkymą.

41. Pakartotinai su saugos dokumentais Registro naudotojai supažindinami tik tada, kai šie iš esmės pasikeičia.

42. Saugos nuostatai bei kiti dokumentai, reglamentuojantys saugų elektroninės informacijos tvarkymą, skelbiami Registro tvarkytojo interneto svetainėje.

43. Už Registro naudotojų mokymo organizavimą atsakingas Saugos įgaliotinis.

VI SkYRIUS

Baigiamosios nuostatos

44. Saugos dokumentai iš esmės peržiūrimi ir prireikus keičiami ne rečiau kaip kartą per metus.

45. Registro tvarkytojai privalo įgyvendinti saugos dokumentuose nustatytas organizacines, technines ir kitas priemones.

46. Duomenys apie Registro duomenų tvarkytojų, Registro administratoriaus atliktus veiksmus su Registro duomenimis saugomi ne trumpiau nei vienerius metus.

47. Asmenys, pažeidę Saugos nuostatų, kitų teisės aktų, reglamentuojančių Registro duomenų saugų tvarkymą, reikalavimus, atsako Lietuvos Respublikos įstatymų nustatyta tvarka.

__________________________________

Priedo pakeitimai:

Nr. V-1263, 2015-12-10, paskelbta TAR 2015-12-10, i. k. 2015-19560

Pakeitimai:

Lietuvos Respublikos švietimo ir mokslo ministerija, Įsakymas

Nr. V-1263, 2015-12-10, paskelbta TAR 2015-12-10, i. k. 2015-19560

Dėl švietimo ir mokslo ministro 2009 m. lapkričio 2 d. įsakymo Nr. ISAK-2175 „Dėl pedagogų registro duomenų saugos nuostatų patvirtinimo“ pakeitimo

Lietuvos Respublikos švietimo ir mokslo ministerija, Įsakymas

Nr. V-222, 2018-03-06, paskelbta TAR 2018-03-06, i. k. 2018-03564

Dėl švietimo ir mokslo ministro 2009 m. lapkričio 2 d. įsakymo Nr. ISAK-2175 „Dėl Pedagogų registro duomenų saugos nuostatų patvirtinimo“ pakeitimo