57 punktas

57. Kibernetinio saugumo subjektams taikomi techniniai reikalavimai nurodyti 4 lentelėje.

4 lentelė

Nr.

Techniniai reikalavimai, taikomi kibernetinio saugumo subjektams

Esminiams

Svarbiems

44.

Viešaisiais elektroninių ryšių tinklais perduodamos kibernetinio saugumo subjektui jautrios informacijos konfidencialumas turi būti užtikrintas naudojant šifravimą ar virtualųjį privatų tinklą (angl. Virtual private network, VPN).

x

x

45.

Belaidis ryšys turi būti šifruojamas pagal gerąją saugumo praktiką rekomenduojamu šifravimo ilgio raktu. Naudoti visuotinai saugiais pripažįstamus raktus ir protokolų versijas. Belaidės prieigos stotelėje turi būti pakeisti standartiniai gamintojo raktai.

x

x

46.

Duomenys, perduodami tarp mobiliojo įrenginio ir tinklų ir informacinės sistemos, turi būti šifruojami taikant virtualaus privataus tinklo (VPN) technologiją su TLS / SSL sertifikatu arba naudojama privataus prieigos taško (angl. Access Point Name, APN) per mobiliojo ryšio operatorių technologija, taikant perduodamų duomenų šifravimą sraute su TLS / SSL sertifikatu, kai VPN technologija nėra palaikoma mobiliųjų įrenginių.

x

x

47.

Mobiliųjų įrenginių laikmenose ir išorinėse kompiuterinėse laikmenose laikomi tinklų ir informacinių sistemų duomenys turi būti šifruojami.

x

x

48.

Turi būti įgyvendinti svetainės kriptografijos reikalavimai:

48.1.

turi būti naudojami oficialiai pripažinti saugus ilgio raktai;

x

x

48.2.

atliekant svetainės administravimo darbus, ryšys turi būti šifruojamas;

x

x

48.3.

šifruojant naudojami skaitmeniniai sertifikatai privalo būti išduoti patikimų sertifikavimo tarnybų;

x

x

48.4.

turi būti naudojamas TLS standartas (1.3 versija arba naujesnė);

x

48.5.

svetainės kriptografinės funkcijos turi būti įdiegtos serverio, kuriame yra svetainė, dalyje arba kriptografiniame saugumo modulyje (angl. Hardware security module);

x

x

48.6.

visi kriptografiniai moduliai turi gebėti saugiai sutrikti (angl. fail securely).

x

49.

Duomenys atsarginėse kopijose turi būti užšifruoti (šifravimo raktai turi būti saugomi atskirai nuo kopijų) arba turi būti imtasi kitų priemonių, neleidžiančių panaudoti kopijų informacijai neteisėtai atkurti.

x

x

50.

Turi būti saugomi ir stebimi audito įrašai, susiję su kriptografinių raktų valdymo veikla (generavimas, sunaikinimas, archyvavimas, naudotojų veiksmai).

x

x

501.

Aukštos kvantinės rizikos sistemose, kuriose naudojama asimetrinė kriptografija, turi būti naudojami postkvantinės kriptografijos algoritmai, kurie yra standartizuoti ir visuotinai pripažinti tarptautinių standartizacijos organizacijų, tokių kaip Jungtinių Amerikos Valstijų nacionalinis standartų ir technologijų institutas (angl. National Institute of Standards and Technology) ar Tarptautinė standartizacijos organizacija (angl. International Organization for Standardization), arba taikomi hibridiniai sprendimai, kai postkvantinės kriptografijos algoritmai naudojami kartu su tuo metu taikomais asimetrinės kriptografijos algoritmais.

x