TIS2 Dokumentai
TIS veiklos tęstinumo valdymo plano veiksmingumo išbandymo reikalavimaiTIS veiklos tęstinumo valdymo plano veiksmingumo išbandymo rezultatų ataskaitų rengimo reikalavimaiAtsarginių duomenų kopijų atkūrimo parametrų reikalavimaiTIS duomenų praradimo laiko (RPO) reikalavimaiAtsarginių duomenų kopijų reikalavimaiŽmogiškųjų išteklių saugumo reikalavimaiInformacijos neatskleidimo reikalavimaiTinklų ir informacinių sistemų fizinės prieigos reikalavimaiKelių veiksnių tapatumo nustatymo sprendimų nuostatosAdministratoriaus prieigos reikalavimaiSlaptažodžių sudarymo ir keitimo reikalavimaiTIS įsigijimo ir diegimo reikalavimaiLeistinos programinės įrangos atnaujinimo nuostatosSaugumo sistemų naudojimo nuostatosSaugumo sistemų atnaujinimo reikalavimaiKompiuterių tinklo filtravimo įrangos naudojimo nuostatosElektroninio pašto saugaus naudojimo nuostatosInformacijos klasifikavimo ir tvarkymo reikalavimaiKriptografijos ir šifravimo priemonių naudojimo nuostatosRizikos vertinimo periodiškumo reikalavimaiŽurnalinių įrašų (angl. log) administravimo ir saugojimo, įsibrovimų aptikimo ir prevencijos reikalavimai
Kibernetinio incidento pranešimo formaTarpinė atnaujintų padėties duomenų ataskaitos formaRizikos vertinimo ataskaitos formaKibernetinio saugumo mokymų ataskaitos formaAtitikties vertinimo ataskaitos formaLeistinos programinės įrangos sąrašasKibernetinio (nedidelio ir didelio) incidento informavimo formaKibernetinio incidento tyrimo ataskaitos formaTiekėjų sąrašasAsmenų su administratoriaus teisėmis sąrašasTIS veiklos tęstinumo valdymo plano išbandymo ataskaitos formaPatalpų, kurios turi būti apsaugotos, sąrašasTinklų ir informacinių sistemų turto sąrašasKibernetinių incidentų valdymo plano išbandymo ataskaitos formaSpragų nustatymo ataskaitos formaTechninės įrangos gedimų registrasPaslaugų teikėjų rizikos vertinimo forma
Tinklų ir informacinių sistemų rizikos vertinimo ir valdymo tvarkaKriptografijos ir šifravimo naudojimo tvarkaKibernetinės higienos praktikos organizavimo ir kibernetinio saugumo mokymų organizavimo ir vykdymo tvarkaKibernetinio saugumo reikalavimų veiksmingumo vertinimo tvarkaTinklų ir informacinių sistemų įsigijimo, plėtojimo ir priežiūros saugumo tvarkaTiekimo grandinės saugumo tvarkaPrieigos valdymas ir kelių veiksnių tapatumo nustatymo priemonėsTurto valdymo tvarkaPataisų ir spragų valdymo tvarkaTinklų ir informacinių sistemų pokyčių valdymo tvarkaŽurnalinių įrašų valdymo tvarka
Planai
Kibernetinių incidentų valdymo planas
Planas nustato, kaip organizacija nustato, vertina ir valdo kibernetinius incidentus ir kaip bei per kiek laiko apie juos praneša NKSC.KSRA
Incidentų valdymo planas aprašo, kaip organizacija nustato, vertina ir valdo kibernetinius incidentus. KSRA reikalauja, kad planas atitiktų Nacionalinį kibernetinių incidentų valdymo planą (NKIVP).
Pagal KSRA plane aprašoma:
- ● plano atitiktis NKIVP (KSRA 22 p.);
- ● paslaugų teikėjų vaidmuo, kai incidentus valdo ar saugumo operacijų centro (SOC) paslaugą teikia tiekėjas (KSRA 23 p.);
- ● incidentų nustatymo būdai ir vertinimas, įskaitant didelio incidento kriterijus (KSRA 24.1–24.2 p.);
- ● incidentų valdymo organizavimas ir atsakingų darbuotojų atsakomybė (KSRA 24.3, 24.5 p.);
- ● komunikavimas su suinteresuotomis šalimis (KSRA 24.4 p.);
- ● įrodymų rinkimas ir išsaugojimas, įgytos patirties vertinimas (KSRA 24.6–24.7 p.);
- ● plano išbandymas ir išbandymo ataskaitos (KSRA 24.8 p.).
Žurnalinių įrašų reikalavimai (KSRA 25 p. ir 1 lentelė) aprašomi žurnalinių įrašų valdymo tvarkoje.
KSI
KSĮ incidentų valdymą įvardija kaip vieną iš kibernetinio saugumo reikalavimų elementų (KSĮ 14 str. 5 d. 3 p.) ir nustato pranešimų apie didelius incidentus NKSC terminus.
Pagal KSĮ plane atsispindi:
- ● ankstyvasis perspėjimas ne vėliau kaip per 24 val. ir pranešimas apie incidentą ne vėliau kaip per 72 val. (KSĮ 18 str. 4 d. 1–2 p.);
- ● tarpinė ataskaita NKSC prašymu, NKSC nurodytu terminu (KSĮ 18 str. 4 d. 3 p.);
- ● galutinė ataskaita per 1 mėn. nuo pranešimo apie incidentą pateikimo (KSĮ 18 str. 4 d. 4 p.);
- ● galutinės ataskaitos turinys — incidento aprašymas su jo sunkumu ir poveikiu, grėsmė arba pagrindinė priežastis, poveikio mažinimo priemonės, tarpvalstybinis poveikis (KSĮ 18 str. 4 d. 4 p. a–d);
- ● pažangos ataskaita, jei galutinės ataskaitos teikimo metu incidentas tebevyksta (KSĮ 18 str. 4 d. 5 p.).
LT įstatymo tekstas galutinės ataskaitos terminą sieja su ankstyvuoju perspėjimu (KSĮ 18 str. 4 d. 1 p.), todėl saugiausia skaičiuoti nuo jo.
NKIVP
NKIVP — Nacionalinis kibernetinių incidentų valdymo planas, patvirtintas tuo pačiu Vyriausybės nutarimu Nr. 818 (2024-11-06 nutarimo Nr. 945 redakcija) kaip ir KSRA, tik kitu priedu. Organizacijos planas turi jį atitikti (KSRA 22 p.), o NKIVP 4 p. reikalauja daugiau nei KSRA 24 p. sąrašas: plane turi būti NKIVP 1 priedo schemoje ir 2 priedo apraše numatytas incidentų valdymo procesas.
Pagal NKIVP plane aprašoma:
- ● incidentų valdymą organizuoja pati organizacija — paskiria KSRA 24–25 p. funkcijas vykdančius asmenis (SOC); SOC funkcijų negalima pavesti darbuotojui, atsakingam už tų pačių TIS veikimą (NKIVP 3 p.);
- ● NKIVP 1 priedo schemoje ir 2 priedo apraše numatyti proceso dalyviai, etapai, veiksmai, terminai ir rezultatai (NKIVP 4 p.);
- ● incidentas laikomas suvaldytu, kai atkurtos TIS teikiamos paslaugos (NKIVP 5 p.);
- ● pranešimai NKSC per KSIS — apie didelį incidentą KSĮ nustatytais terminais, apie nedidelį — per 72 val. ir galutinė ataskaita per 1 mėnesį (NKIVP 10–13, 15–16 p.);
- ● pranešimo turinys ir kibernetinių grėsmių klasifikacija (NKIVP 14, 18 p.).
Incidentas laikomas dideliu, jei atitinka bent vieną iš šių grupių (KSĮ 18 str. 2 d.; NKIVP 9 p.); kriterijai taikomi, jei Europos Komisijos įgyvendinamieji aktai neapibrėžia išsamiau:
- ● 9.1 — dideli paslaugų sutrikimai ir bent viena sąlyga: paslaugos trikdomos visoje Lietuvoje ir (ar) bent vienoje ES ar NATO šalyje; TIS veikla trikdoma 2 val. ar ilgiau; paveikta ne mažiau kaip 1 000 arba 25 % (taikomas mažesnis dydis) paslaugų gavėjų ar kompiuterizuotų darbo vietų arba paslaugų gavėjų asmens ar kitų saugomų duomenų; organizacija nebegali užtikrinti teisės aktuose jos veiklai nustatytų reikalavimų; prarastos ar atskleistos komercinės paslaptys ar įslaptinta informacija; per 6 mėn. daugiau nei vienas analogiškas incidentas dėl tos pačios pagrindinės priežasties, o nuostoliai siekia 9.2 p. vertes (NKIVP 9.1.1–9.1.7 p.);
- ● 9.2 — finansiniai nuostoliai ne mažiau kaip 500 000 Eur arba 5 % praėjusių finansinių metų apyvartos, taikoma mažesnė suma (NKIVP 9.2 p.);
- ● 9.3 — incidentas paveikė ar gali paveikti kitus asmenis, sukeldamas didelę žalą, ir yra bent viena sąlyga: turtinė žala ne mažiau kaip 400 bazinių socialinių išmokų; neturtinė žala ne mažiau kaip 10 000 Eur; sutrikdyta bent vieno žmogaus sveikata arba bent vienas žmogus žuvo (NKIVP 9.3.1–9.3.3 p.).
Plano formos — pranešimo, tarpinės ataskaitos, tyrimo ataskaitos — yra vidiniai šablonai duomenims surinkti, o ne NKSC formos: pranešimai teikiami KSIS (NKIVP 10 p.).