Kibernetinio saugumo reikalavimų aprašas (KSRA)
Kriptografijos ir šifravimo naudojimo politika ir procedūros
55. Kibernetinio saugumo subjekto vadovas arba jo įgaliotas asmuo turi nustatyti kriptografijos ir šifravimo naudojimo tvarką, apimančią:
- 55.1. kibernetinio saugumo subjekto kriptografijos ir šifravimo priemonių naudojimo nuostatas, atsižvelgiant į kibernetinio saugumo subjekto nustatytus informacijos klasifikavimo ir tvarkymo reikalavimus
- 55.2. raktų valdymą (generavimas, sunaikinimas, archyvavimas ir kt.).
- 55.3. kriptografijos taikymo inventorizacijos atlikimo ir jos rezultatų dokumentavimo reikalavimus, taip pat inventorizacijos atlikimo periodiškumą – ne rečiau kaip kartą per trejus metus. Kriptografijos taikymo inventorizacija turi apimti ne mažiau kaip:
- 55.3.1. naudojamų kriptografinių algoritmų, protokolų ir šifravimo priemonių identifikavimą;
- 55.3.2. kriptografijos taikymo paskirtį tinklų ir informacinėse sistemose;
- 55.3.3. naudojamus kriptografinius parametrus, įskaitant raktų ilgius, protokolų versijas ir sertifikatų galiojimo terminus;
- 55.4. aukštos kvantinės rizikos tinklų ir informacinių sistemų (toliau – aukštos kvantinės rizikos sistemos) identifikavimą. Aukštos kvantinės rizikos sistemos suprantamos kaip tinklų ir informacinės sistemos, atitinkančios bent vieną iš šių kriterijų:
- 55.4.1. jų veiklos sutrikimas ar duomenų praradimas sutrikdytų kibernetinio saugumo subjekto esminių funkcijų vykdymą taip, kad kibernetinio saugumo subjekto veiklos tęstinumas taptų neįmanomas;
- 55.4.2. jų veiklos sutrikimas, neteisėta prieiga, duomenų atskleidimas, pakeitimas ar praradimas turėtų neigiamą poveikį Lietuvos Respublikos nacionaliniam saugumui, viešajam saugumui arba valstybės institucijų ir įstaigų funkcijų vykdymui;
- 55.4.3. jų veiklos sutrikimas ar jose tvarkomų duomenų saugumo pažeidimas sukeltų arba galėtų sukelti kibernetinio saugumo subjektui teisinę atsakomybę, įskaitant atsakomybę už asmens duomenų apsaugos, finansinių ar sutartinių įsipareigojimų vykdymo ar intelektinės nuosavybės teisių pažeidimus;
- 55.4.4. jose tvarkomų ar saugomų duomenų konfidencialumas pagal duomenų apsaugą nustatančių teisės aktų reikalavimus turi būti užtikrintas ne trumpiau kaip 10 metų;
- 55.4.5. postkvantinės kriptografijos algoritmų diegimas jose dėl tinklų ir informacinių sistemų techninių, architektūrinių ar suderinamumo apribojimų truktų ilgiau kaip 8 metus.
56. Praradus kriptografinį raktą turi būti informuojamas atsakingas asmuo.
57. Kibernetinio saugumo subjektams taikomi techniniai reikalavimai nurodyti 4 lentelėje.
Visiems kibernetinio saugumo subjektams
44. Viešaisiais elektroninių ryšių tinklais perduodamos kibernetinio saugumo subjektui jautrios informacijos konfidencialumas turi būti užtikrintas naudojant šifravimą ar virtualųjį privatų tinklą (angl. Virtual private network, VPN).
45. Belaidis ryšys turi būti šifruojamas pagal gerąją saugumo praktiką rekomenduojamu šifravimo ilgio raktu. Naudoti visuotinai saugiais pripažįstamus raktus ir protokolų versijas. Belaidės prieigos stotelėje turi būti pakeisti standartiniai gamintojo raktai.
46. Duomenys, perduodami tarp mobiliojo įrenginio ir tinklų ir informacinės sistemos, turi būti šifruojami taikant virtualaus privataus tinklo (VPN) technologiją su TLS / SSL sertifikatu arba naudojama privataus prieigos taško (angl. Access Point Name, APN) per mobiliojo ryšio operatorių technologija, taikant perduodamų duomenų šifravimą sraute su TLS / SSL sertifikatu, kai VPN technologija nėra palaikoma mobiliųjų įrenginių.
47. Mobiliųjų įrenginių laikmenose ir išorinėse kompiuterinėse laikmenose laikomi tinklų ir informacinių sistemų duomenys turi būti šifruojami.
48. Turi būti įgyvendinti svetainės kriptografijos reikalavimai:
- 48.1. turi būti naudojami oficialiai pripažinti saugus ilgio raktai;
- 48.2. atliekant svetainės administravimo darbus, ryšys turi būti šifruojamas;
- 48.3. šifruojant naudojami skaitmeniniai sertifikatai privalo būti išduoti patikimų sertifikavimo tarnybų;
<...>
- 48.5. svetainės kriptografinės funkcijos turi būti įdiegtos serverio, kuriame yra svetainė, dalyje arba kriptografiniame saugumo modulyje (angl. Hardware security module);
<...>
49. Duomenys atsarginėse kopijose turi būti užšifruoti (šifravimo raktai turi būti saugomi atskirai nuo kopijų) arba turi būti imtasi kitų priemonių, neleidžiančių panaudoti kopijų informacijai neteisėtai atkurti.
50. Turi būti saugomi ir stebimi audito įrašai, susiję su kriptografinių raktų valdymo veikla (generavimas, sunaikinimas, archyvavimas, naudotojų veiksmai).
50-2. Tinklų ir informacinėse sistemose, kuriose naudojama asimetrinė kriptografija, turi būti naudojami postkvantinės kriptografijos algoritmai, kurie yra standartizuoti ir visuotinai pripažinti tarptautinių standartizacijos organizacijų, tokių kaip Jungtinių Amerikos Valstijų nacionalinis standartų ir technologijų institutas (angl. National Institute of Standards and Technology) ar Tarptautinė standartizacijos organizacija (angl. International Organization for Standardization).
Papildomai tik Esminiams kibernetinio saugumo subjektams
48. Turi būti įgyvendinti svetainės kriptografijos reikalavimai:
- 48.4. turi būti naudojamas TLS standartas (1.3 versija arba naujesnė);
- 48.6. visi kriptografiniai moduliai turi gebėti saugiai sutrikti (angl. fail securely).
50-1. Aukštos kvantinės rizikos sistemose, kuriose naudojama asimetrinė kriptografija, turi būti naudojami postkvantinės kriptografijos algoritmai, kurie yra standartizuoti ir visuotinai pripažinti tarptautinių standartizacijos organizacijų, tokių kaip Jungtinių Amerikos Valstijų nacionalinis standartų ir technologijų institutas (angl. National Institute of Standards and Technology) ar Tarptautinė standartizacijos organizacija (angl. International Organization for Standardization), arba taikomi hibridiniai sprendimai, kai postkvantinės kriptografijos algoritmai naudojami kartu su tuo metu taikomais asimetrinės kriptografijos algoritmais.