Dėl Valstybės informacinių technologijų paslaugų valdymo informacinės sistemos nuostatų ir Valstybės informacinių technologijų paslaugų valdymo informacinės sistemos duomenų saugos nuostatų patvirtinimo

2.1.1. Valstybės informacinių technologijų paslaugų valdymo informacinės sistemos saugos įgaliotinį,

2.1.2. Valstybės informacinių technologijų paslaugų valdymo informacinės sistemos administratorius;

2.1.3. Valstybės informacinių technologijų paslaugų valdymo informacinės sistemos duomenų valdymo įgaliotinį;

4.1.    2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas);

4.2.    Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymu;

4.3.    Lietuvos Respublikos kibernetinio saugumo įstatymu;

4.4.    Lietuvos Respublikos teisės gauti informaciją iš valstybės ir savivaldybių institucijų ir įstaigų įstatymu;

4.5.    Valstybės informacinių sistemų steigimo, kūrimo, modernizavimo ir likvidavimo tvarkos aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2013 m. vasario 27 d. nutarimu Nr. 180 „Dėl Valstybės informacinių sistemų steigimo, kūrimo, modernizavimo ir likvidavimo tvarkos aprašo patvirtinimo“ (toliau – Valstybės informacinių sistemų steigimo, kūrimo, modernizavimo ir likvidavimo tvarkos aprašas);

4.6.    Bendrųjų elektroninės informacijos saugos reikalavimų aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“ (toliau – Bendrųjų elektroninės informacijos saugos reikalavimų aprašas);

4.7.    Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ (toliau – Organizacinių ir techninių kibernetinio saugumo reikalavimų aprašas);

4.8.    Lietuvos Respublikos Vyriausybės 2015 m. gegužės 13 d. nutarimu Nr. 498 „Dėl valstybės informacinių išteklių infrastruktūros konsolidavimo ir jos valdymo optimizavimo“;

4.9.    Informacinės visuomenės plėtros komiteto nuostatais, patvirtintais Lietuvos Respublikos ekonomikos ir inovacijų ministro 2018 spalio 1 d. įsakymu Nr. 4-593 „Dėl Informacinės visuomenės plėtros komiteto nuostatų patvirtinimo“;

4.10.  Valstybės informacinių sistemų gyvavimo ciklo valdymo metodika, patvirtinta Informacinės visuomenės plėtros komiteto prie Susisiekimo ministerijos direktoriaus 2014 m. vasario 25 d. įsakymu Nr. T-29 „Dėl Valstybės informacinių sistemų gyvavimo ciklo valdymo metodikos patvirtinimo“;

4.11.    Nuostatais ir kitais teisės aktais, nustatančiais VIPVIS duomenų tvarkymo reikalavimus.

12.1.  Automatizuoti IT paslaugų katalogo valdymą, IT paslaugų teikimą, valdyti su IT paslaugų užsakymu ir teikimu susijusią komunikaciją tarp IT paslaugų teikėjo ir IT paslaugų gavėjo, stebėsenos ir IRT išteklių naudojimo duomenų tvarkymą.

12.2.  Automatizuoti IT paslaugų katalogo valdymo, IT paslaugų teikimo, komunikacijos valdymo, stebėsenos ir IRT išteklių naudojimo procesus.

13.1.  Kaupti, apdoroti, sisteminti informaciją apie IT paslaugų katalogo valdymą, IT paslaugų teikimą, valdyti su IT paslaugų užsakymu ir teikimu susijusią IT paslaugų teikėjo ir IT paslaugų gavėjo komunikaciją, stebėsenos ir IRT išteklių naudojimo duomenis.

13.2.  Formuoti ir teikti IT paslaugų katalogą.

13.3.  Atlikti IT paslaugų teikimo procedūras.

13.4.  Vykdyti tarp IT paslaugų teikėjo ir IT paslaugų gavėjo su IT paslaugų užsakymu ir teikimu susijusią komunikaciją:

13.5.  Naudojantis saityno paslaugomis, nuotoliniu būdu IT paslaugų teikėjui teikti duomenis, reikalingus IT paslaugoms teikti.

19.1. užtikrina VIPVIS veiklai, priežiūrai ir plėtrai reikalingus išteklius;

19.2. atlieka Valstybės informacinių išteklių valdymo įstatyme valstybės informacinės sistemos valdytojui nustatytas funkcijas.

21.1.  tvarko IT paslaugų katalogą;

21.2.  sudaro sutartis su IT paslaugų gavėjais dėl IT paslaugų teikimo;

21.3.  atlieka Valstybės informacinių išteklių valdymo įstatyme valstybės informacinės sistemos tvarkytojui nustatytas funkcijas.

23.1. registruodamas VIPVIS naudotojus, tvarko VIPVIS asmens duomenis, vadovaudamasis VIPVIS asmens duomenų valdytojo įsakymu patvirtintomis VIPVIS naudotojų administravimo taisyklėmis;

23.2. imasi visų priemonių, kurių reikalaujama pagal Reglamento (ES) 2016/679 32 straipsnį – techninėmis ir organizacinėmis priemonėmis užtikrina VIPVIS saugą, VIPVIS tvarkomų asmens duomenų konfidencialumą, vientisumą ir prieinamumą, apsaugą nuo netyčinio arba neteisėto sunaikinimo, praradimo, pakeitimo, atskleidimo be leidimo ar neteisėtos prieigos prie jų ir nuo bet kokio kito neteisėto tvarkymo, taip pat saugų duomenų perdavimą kompiuteriniais tinklais;

23.3. užtikrina, kad asmens duomenis tvarkyti įgalioti asmenys būtų įsipareigoję užtikrinti konfidencialumą arba jiems būtų taikomi atitinkami VIPVIS asmens duomenų tvarkytojo vadovo įsakymais nustatyti konfidencialumo reikalavimai;

23.4. atsižvelgdamas į asmens duomenų tvarkymo pobūdį, padeda VIPVIS asmens duomenų valdytojui, taikydamas tinkamas technines ir organizacines priemones, kiek tai įmanoma, įgyvendinti VIPVIS asmens duomenų valdytojo prievolę atsakyti į prašymus pasinaudoti Reglamento (ES) 2016/679 III skyriuje nustatytomis duomenų subjekto teisėmis;

23.5. Nuostatų 24 punkte nustatyta tvarka padeda VIPVIS asmens duomenų valdytojui užtikrinti Reglamento (ES) 2016/679 32–36 straipsniuose nustatytų prievolių laikymąsi, atsižvelgdamas į asmens duomenų tvarkymo pobūdį ir VIPVIS asmens duomenų tvarkytojo turimą informaciją;

23.6.  baigus teikti su asmens duomenų tvarkymu susijusias paslaugas, ištrina visus asmens duomenis, išskyrus atvejus, kai teisės aktuose reikalaujama asmens duomenis saugoti;

23.7. pateikia VIPVIS asmens duomenų valdytojui visą informaciją, būtiną siekiant įrodyti, kad vykdomos Reglamento (ES) 2016/679 nustatytos prievolės, ir sudaro sąlygas bei padeda VIPVIS asmens duomenų valdytojui arba kitam VIPVIS asmens duomenų valdytojo įgaliotam auditoriui atlikti auditą, įskaitant patikrinimus. Nedelsdamas informuoja VIPVIS asmens duomenų valdytoją, jei, jo nuomone, nurodymas pateikti informaciją pažeidžia Reglamentą (ES) 2016/679 ar kitas duomenų apsaugos nuostatas;

25.1. Informacinės visuomenės plėtros komitetas:

25.2. Nacionalinis kibernetinio saugumo centras prie Krašto apsaugos ministerijos, teikiantis Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemos duomenis (valdytoja – Lietuvos Respublikos krašto apsaugos ministerija);

25.3. valstybės įmonė Registrų centras, teikiantis Juridinių asmenų registro duomenis (valdytoja – Lietuvos Respublikos teisingumo ministerija);

25.4. IT paslaugų teikėjas, teikiantis IT paslaugų techninių parametrų ir (arba) kitos konkrečių IT paslaugų teikimui būtinos informacijos duomenis, bei IT paslaugų gavėjai, IT paslaugų užsakyme teikiantys konkrečių IT paslaugų poreikio duomenis.

26.1.  IT paslaugų gavėjų, IT paslaugų teikėjo, VIPVIS valdytojo ir VIPVIS tvarkytojo (toliau – VIPVIS subjektai) duomenys:

26.2.      VIPVIS naudotojų asmens duomenys:

26.3.    IT paslaugų aprašų duomenys:

26.4.  valstybės informacinių sistemų ir registrų, kurių tvarkymui naudojamos IT paslaugos, duomenys:

26.5.  IT paslaugų lygio susitarimų duomenys: 

26.6.  Įvykių registravimo duomenys:

26.7.  užklausų registravimo duomenys:

26.8.  problemų registravimo duomenys:

26.9.  incidentų registravimo duomenys:

26.10.  IRT išteklių poreikio duomenys:

26.11. incidentų, įvykių ir problemų sprendimo būdų aprašymų duomenys (toliau – žinių bazė):

26.12. IT paslaugų užsakymo duomenys:

26.13. Pranešimų, susijusių su IT paslaugų teikimu, duomenys:

27.1.  Valstybės informacinių išteklių sąveikumo platformoje tvarkomi duomenys, nurodyti Nuostatų 26.2 papunktyje;

27.2.  Registrų ir valstybės informacinių sistemų registre tvarkomi duomenys, nurodyti Nuostatų 26.4.1 ir 26.4.3 papunkčiuose;

27.3.  Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemoje tvarkomi duomenys, nurodyti Nuostatų 26.4.2 papunktyje;

27.4.  Juridinių asmenų registre tvarkomi duomenys, nurodyti Nuostatų 6.1.1‑26.1.4 papunkčiuose;

27.5.  IT paslaugų teikėjo teikiami duomenys, nurodyti Nuostatų 26.3, 26.5 ir 26.10‑26.13 papunkčiuose;

27.6.  IT paslaugų gavėjų teikiami duomenys, nurodyti Nuostatų 26.6–26.9 papunkčiuose.

28.1. katalogo valdymo posistemis, kurio funkcijos yra:

28.2.    IT paslaugų teikimo procesų valdymo posistemis, kurio funkcijos yra:

28.3.    stebėsenos posistemis, kurio funkcijos yra:

28.4.    administravimo posistemis, kurio funkcijos yra:

28.5.    duomenų mainų ir integracinių sąsajų valdymo funkcinis komponentas, kurio funkcijos yra:

4.1. Saugos dokumentai taikomi:

4.2.    Saugos nuostatai yra skelbiami Lietuvos Respublikos teisės aktų registre. Saugos politikos įgyvendinimo dokumentų naudojimas yra ribojamas – VIPVIS naudotojams, IT paslaugų teikėjui, IT paslaugų gavėjams suteikiama teisė susipažinti su Saugos nuostatais ir Saugos politiką įgyvendinančiais dokumentais Saugos nuostatų V skyriuje nustatyta tvarka.

5.1. elektroninės informacijos saugos – elektroninės informacijos konfidencialumo, vientisumo ir prieinamumo užtikrinimas;

5.2. VIPVIS kibernetinio saugumo užtikrinimas;

5.3. asmens duomenų apsauga;

5.4. VIPVIS veiklos tęstinumo užtikrinimas.

6.1. Sudaryti sąlygas saugiai automatiniu būdu tvarkyti VIPVIS elektroninę informaciją.

6.2. Užtikrinti, kad VIPVIS elektroninė informacija būtų patikima ir apsaugota nuo atsitiktinio ar neteisėto sunaikinimo, pakeitimo, atskleidimo, taip pat nuo bet kokio kito neteisėto tvarkymo.

6.3. Vykdyti elektroninės informacijos saugos ir kibernetinių incidentų (toliau – saugos incidentai), asmens duomenų saugumo pažeidimų prevenciją, reaguoti į saugos incidentus, asmens duomenų saugumo pažeidimus ir juos operatyviai suvaldyti.

7.1. Atlikti VIPVIS nuostatuose nustatytas funkcijas.

7.2. Tvirtinti Saugos nuostatus, saugos dokumentus ir kitus su VIPVIS elektroninės informacijos sauga susijusius teisės aktus.

7.3.    Koordinuoti VIPVIS tvarkytojo darbą, siekiant įgyvendinti elektroninės informacijos saugos reikalavimus.

7.4. Atlikti elektroninės informacijos saugos reikalavimų laikymosi priežiūrą ir kontrolę.

7.5. Nagrinėti VIPVIS tvarkytojo pasiūlymus dėl VIPVIS elektroninės informacijos saugos tobulinimo ir priimti dėl jų sprendimus.

7.6. Pavesti VIPVIS tvarkytojui paskirti VIPVIS saugos įgaliotinį, VIPVIS administratorius.

7.7. Teikti Nacionaliniam kibernetinio saugumo centrui prie Krašto apsaugos ministerijos (toliau – Nacionalinis kibernetinio saugumo centras) techninę informaciją, reikalingą VIPVIS kibernetiniam saugumui įvertinti, Nacionalinio kibernetinio saugumo centro reikalavimu nurodytais formatais ir terminais arba savo iniciatyva.

7.8. Atlikti kitas Saugos nuostatuose ir Saugos nuostatų 18 punkte nurodytuose teisės aktuose nustatytas VIPVIS valdytojo funkcijas.

8.1. Atlikti VIPVIS nuostatuose nustatytas funkcijas.

8.2. Užtikrinti saugos dokumentų ir kitų VIPVIS valdytojo priimtų teisės aktų, susijusių su VIPVIS elektroninės informacijos sauga, įgyvendinimą.

8.3. Pagal kompetenciją prižiūrėti VIPVIS komponentus (kompiuterius, operacines sistemas ir kitus VIPVIS komponentus, nurodytus Saugos nuostatų 13.3 papunktyje), užtikrinti jų veikimą.

8.4. Įgyvendinti VIPVIS elektroninės informacijos saugos reikalavimus.

8.5. Užtikrinti VIPVIS elektroninės informacijos saugą.

8.6. Teikti VIPVIS valdytojui pasiūlymus dėl VIPVIS elektroninės informacijos saugos tobulinimo.

8.7. VIPVIS valdytojo pavedimu skirti VIPVIS saugos įgaliotinį ir VIPVIS administratorius.

8.8. Atlikti kitas Saugos nuostatuose ir Saugos nuostatų 18 punkte nurodytuose teisės aktuose nustatytas VIPVIS tvarkytojo funkcijas.

12.1.  Koordinuoti ir prižiūrėti elektroninės informacijos saugos politikos įgyvendinimą saugos dokumentuose nustatyta tvarka.

12.2.  Teikti VIPVIS valdytojo vadovui pasiūlymus dėl:

12.3. Teikti VIPVIS tvarkytojo vadovui pasiūlymus dėl VIPVIS administratorių paskyrimo ir reikalavimų jiems nustatymo.

12.4.  Organizuoti rizikos ir informacinių technologijų saugos atitikties įvertinimą.

12.5.  Koordinuoti elektroninės informacijos saugos incidentų tyrimą, bendradarbiauti su kompetentingomis institucijomis, tiriančiomis elektroninių ryšių tinklų, informacijos saugos incidentus, neteisėtas veikas, susijusias su elektroninės informacijos saugos incidentais, išskyrus tuos atvejus, kai šią funkciją atlieka elektroninės informacijos saugos darbo grupės.

12.6.  Teikti VIPVIS administratoriams ir VIPVIS naudotojams privalomus vykdyti nurodymus ir pavedimus dėl elektroninės informacijos saugos politikos įgyvendinimo.

12.7.  Atlikti Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ (toliau – Organizacinių ir techninių kibernetinio saugumo reikalavimų aprašas), nustatytas asmens, atsakingo už kibernetinio saugumo organizavimą ir užtikrinimą, funkcijas, atlikti kitas saugos dokumentuose ir Bendrųjų elektroninės informacijos saugos reikalavimų apraše saugos įgaliotiniui priskirtas funkcijas.

13.1. VIPVIS koordinuojantis administratorius, kuris prižiūri VIPVIS administratorių veiklą, siekdamas užtikrinti tinkamą VIPVIS administratorių funkcijų atlikimą;

13.2. VIPVIS naudotojų administratorius, kuris atlieka funkcijas, susijusias su VIPVIS naudotojų teisių valdymu;

13.3. VIPVIS komponentų administratorius, kuris atlieka funkcijas, susijusias su VIPVIS komponentais (technine ir programine įranga, kurios pagrindu funkcionuoja VIPVIS ir užtikrinama joje tvarkomos elektroninės informacijos sauga) ir VIPVIS komponentų sąranka.

18.1.    2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB(Bendrasis duomenų apsaugos reglamentas);

18.2.  Kibernetinio saugumo įstatymu;

18.3.  Valstybės informacinių išteklių valdymo įstatymu;

18.4.  Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu;

18.5.  Lietuvos Respublikos autorių teisių ir gretutinių teisių įstatymu;

18.6.  Bendrųjų elektroninės informacijos saugos reikalavimų aprašu;

18.7.  Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“ (toliau – Klasifikavimo gairių aprašas);

18.8.  Organizacinių ir techninių kibernetinio saugumo reikalavimų aprašu;

18.9.  Techniniais elektroninės informacijos saugos reikalavimais;

18.10.  VIPVIS nuostatais;

18.11.  Lietuvos standartais LST EN ISO/IEC 27001, LST EN ISO/IEC 27002.

21.1.  VIPVIS saugos įgaliotinis, atsižvelgdamas į Nacionalinio kibernetinio saugumo centro prie Lietuvos Respublikos krašto apsaugos ministerijos interneto svetainėje skelbiamą metodinę priemonę „Rizikos analizės vadovas“, Saugos nuostatų 18.11 papunktyje nurodytus Lietuvos standartus, kasmet arba po esminių organizacinių ar sisteminių pokyčių organizuoja VIPVIS rizikos įvertinimą. VIPVIS rizikos vertinimas gali būti atliekamas kartu su informacinių technologijų saugos atitikties vertinimu. Prireikus VIPVIS saugos įgaliotinis gali organizuoti neeilinį VIPVIS rizikos įvertinimą.

21.2.  Organizuojant rizikos vertinimą turi būti paskirti už rizikos vertinimą, rizikos vertinimo proceso priežiūrą ir nuolatinį tobulinimą atsakingas asmuo arba asmenys ir nustatyti jiems taikomi kvalifikaciniai reikalavimai. Už rizikos vertinimą, rizikos vertinimo proceso priežiūrą ir nuolatinį tobulinimą atsakingu asmeniu gali būti skiriamas VIPVIS valdytojo arba VIPVIS tvarkytojo darbuotojas arba sudaroma sutartis su rizikos vertinimo, rizikos vertinimo proceso priežiūros ir nuolatinio tobulinimo paslaugas teikiančiu subjektu.

21.3.  Rizikos vertinimo metu turi būti:

21.4.    VIPVIS rizikos įvertinimo rezultatai išdėstomi rizikos įvertinimo ataskaitoje, kuri pateikiama VIPVIS valdytojo vadovui ir VIPVIS tvarkytojo vadovui. Rengiant rizikos įvertinimo ataskaitą, nustatomi elektroninės informacijos saugai įtakos galintys turėti rizikos veiksniai, jų galima žala, pasireiškimo tikimybė ir pobūdis, galimi rizikos valdymo būdai, rizikos priimtinumo kriterijai. Svarbiausi rizikos veiksniai yra šie:

21.5.  Rizikos veiksniai rizikos įvertinimo ataskaitoje turi būti išdėstyti pagal prioritetus ir priimtiną rizikos lygį.

21.6.  Atsižvelgdamas į rizikos įvertinimo ataskaitą, VIPVIS valdytojas prireikus tvirtina rizikos įvertinimo ir rizikos valdymo priemonių planą, kuriame, be kita ko, numatomas techninių, administracinių, organizacinių ir kitų išteklių poreikis rizikos valdymo priemonėms įgyvendinti.

21.7.  Rizikos įvertinimo ataskaitos, rizikos įvertinimo ir rizikos valdymo priemonių plano kopijas VIPVIS valdytojas ne vėliau kaip per 5 darbo dienas nuo minėtų dokumentų priėmimo pateikia Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemai.

21.8.  Atsižvelgiant į atlikto rizikos vertinimo rezultatus, taip pat jeigu Saugos nuostatų 22 punkte nustatyta tvarka atliekamo informacinių technologijų saugos atitikties vertinimo metu nustatoma kibernetinių incidentų valdymo ir šalinimo, VIPVIS tvarkytojo nepertraukiamos veiklos užtikrinimo trūkumų, atitinkamai turi būti tobulinamas VIPVIS veiklos tęstinumo valdymo planas ir (arba) kibernetinių incidentų valdymo planas. Šių planų veiksmingumo išbandymo rezultatai išdėstomi šių planų veiksmingumo išbandymo ataskaitose ir pastebėtų trūkumų ataskaitose, kurių kopijos ne vėliau kaip per 5 darbo dienas nuo šių dokumentų priėmimo pateikiamos Nacionaliniam kibernetinio saugumo centrui.

22.1.  Siekiant užtikrinti saugos dokumentuose nustatytų elektroninės informacijos saugos reikalavimų įgyvendinimo organizavimą ir kontrolę, ne rečiau kaip kartą per metus, jei teisės aktuose nenustatyta kitaip, turi būti organizuojamas VIPVIS informacinių technologijų saugos atitikties vertinimas.

22.2.  Informacinių technologijų saugos atitikties vertinimas atliekamas Informacinių technologijų saugos atitikties vertinimo metodikoje nustatyta tvarka.

22.3.  VIPVIS atitikties Organizacinių ir techninių kibernetinio saugumo reikalavimų apraše nustatytiems organizaciniams ir techniniams kibernetinio saugumo reikalavimams vertinimas turi būti organizuojamas ne rečiau kaip kartą per metus.

22.4.  Atlikus informacinių technologijų saugos atitikties vertinimą, rengiama informacinių technologijų saugos atitikties vertinimo ataskaita, kuri pateikiama VIPVIS valdytojo vadovui ir VIPVIS tvarkytojo vadovui, ir pastebėtų trūkumų šalinimo planas, kurį tvirtina, atsakingus vykdytojus paskiria ir įgyvendinimo terminus nustato VIPVIS valdytojo vadovas.

22.5.  Informacinių technologijų saugos atitikties vertinimo ataskaitos, pastebėtų trūkumų šalinimo plano kopijas VIPVIS valdytojas ne vėliau kaip per 5 darbo dienas nuo minėtų dokumentų priėmimo pateikia Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemai.

23.1.  Techninės, programinės, organizacinės VIPVIS elektroninės informacijos saugos priemonės pasirenkamos atsižvelgiant į VIPVIS valdytojo turimus išteklius, vadovaujantis šiais principais:

23.2. Atsižvelgiant į priemonių efektyvumą ir taikymo tikslingumą, turi būti įdiegtos prevencinės, detekcinės ir korekcinės elektroninės informacijos saugos priemonės.

25.1. Naudojama ir operatyviai atnaujinama programinė įranga, skirta VIPVIS nuo kenksmingos programinės įrangos (virusų, programinės įrangos, skirtos šnipinėjimui, nepageidaujamo elektroninio pašto) apsaugoti. Šios programinės įrangos naudojimo nuostatos ir jos atnaujinimo reikalavimai (ilgiausias leidžiamas neatnaujinimo laikas) nustatomi VIPVIS saugaus elektroninės informacijos tvarkymo taisyklėse.

25.2. VIPVIS techninėje įrangoje ir VIPVIS naudotojų kompiuteriuose turi būti naudojama tik legali programinė įranga. Programinės įrangos, įdiegtos kompiuteriuose ir serveriuose, naudojimo nuostatos, atnaujinimo ir kt. reikalavimai nustatomi VIPVIS saugaus elektroninės informacijos tvarkymo taisyklėse.

25.3. Turi būti naudojama kompiuterių tinklo filtravimo įranga (užkardos, turinio kontrolės sistemos, įgaliotieji serveriai (angl. proxy server) ir kt.). Išsamios kompiuterių tinklo filtravimo įrangos naudojimo nuostatos nustatomos VIPVIS saugaus elektroninės informacijos tvarkymo taisyklėse.

25.4. Užtikrinant saugų elektroninės informacijos teikimą ir (ar) gavimą, turi būti naudojamas šifravimas, virtualus privatusis tinklas, skirtinės linijos, saugus elektroninių ryšių tinklas ar kitos priemonės, kuriomis užtikrinamas saugus elektroninės informacijos perdavimas. Metodų, kuriais leidžiama užtikrinti saugų elektroninės informacijos teikimą ir (ar) gavimą (nuotolinio prisijungimo prie VIPVIS būdai, protokolai, elektroninės informacijos keitimosi formatai, šifravimo, elektroninės informacijos kopijų skaičiaus reikalavimai, reikalavimai teikti ir (ar) gauti elektroninę informaciją automatiniu būdu tik pagal duomenų teikimo sutartyse nustatytas specifikacijas ir sąlygas), aprašymai pateikiami VIPVIS saugaus elektroninės informacijos tvarkymo taisyklėse.

25.5. Stacionariuosius kompiuterius leidžiama naudoti tik VIPVIS valdytojo ir VIPVIS tvarkytojo patalpose. Nešiojamiesiems kompiuteriams, išnešamiems iš VIPVIS valdytojo ar VIPVIS tvarkytojo patalpų, turi būti taikomos papildomos saugos priemonės (elektroninės informacijos šifravimas, prisijungimo ribojimas).

26.1.    Prieiga prie VIPVIS elektroninės informacijos suteikiama įgyvendinus VIPVIS naudotojų administravimo taisyklėse nurodytas VIPVIS naudotojų autentifikavimo priemones.

26.2.    Per metus turi būti užtikrintas VIPVIS prieinamumas ne mažiau kaip 95 proc. laiko darbo metu darbo dienomis.

26.3.    VIPVIS elektroninė informacija perduodama automatiniu būdu arba asinchroniniu režimu pagal duomenų teikimo sutartis, kuriose nustatytos perduodamos elektroninės informacijos specifikacijos, kopijų skaičius ir kitos elektroninės informacijos perdavimo sąlygos ir tvarka.

26.4.    VIPVIS duomenų srautas, perduodamas per duomenų perdavimo linijas, šifruojamas.

26.5.    VIPVIS elektroninei informacijai perduoti naudojamas Saugus valstybinis duomenų perdavimo tinklas arba kitas šifruotas perdavimo kanalas, užtikrinantis saugų informacijos perdavimą.

27.1.    Atsarginės elektroninės informacijos kopijos daromos kiekvieną dieną automatiškai.

27.2.    Elektroninė informacija kopijose turi būti užšifruota.

27.3.    Laikmena, kurioje yra kopija, pažymima specialia etikete.

27.4.    Už elektroninės informacijos atsarginių kopijų darymą ir saugojimą atsakingi VIPVIS administratoriai, kurių pareigybės aprašymuose nurodyta ši funkcija.

27.5.    Atkurti informaciją iš elektroninės informacijos kopijų gali tik VIPVIS administratoriai.

27.6.    Atkurti informaciją iš elektroninės informacijos kopijų turi būti įmanoma per 24 valandas. Atsarginės elektroninės informacijos kopijos turi būti saugomos ne mažiau kaip 5 darbo dienas.

27.7.    Bandymą atkurti VIPVIS elektroninę informaciją bent kartą per metus atlieka VIPVIS administratoriai. Šio bandymo metu VIPVIS elektroninė informacija atkuriama taip, kaip ji būtų atkuriama tuo atveju, jei būtų netikėtai prarasti duomenys.

27.8.    Atsarginės elektroninės informacijos kopijos saugomos kitoje patalpoje nei VIPVIS serveriai. Patalpos, kuriose saugomos atsarginės VIPVIS elektroninės informacijos kopijos, turi atitikti patalpoms, kuriose saugoma VIPVIS elektroninė informacija, nustatytus reikalavimus. Patalpų, kuriose saugoma VIPVIS elektroninė informacija, reikalavimai nustatomi VIPVIS saugaus elektroninės informacijos tvarkymo taisyklėse.