priedas

1. Vertinant Kibernetinio saugumo subjekto (toliau – KSS) atitiktį Kibernetinio saugumo reikalavimų apraše patvirtintame Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. d. nutarimu Nr. 818 “Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo” (toliau – Reikalavimai) nurodytiems reikalavimams, vadovaujamasi lentelėje išdėstytais reikalavimais.

2. Vertinant KSS atitiktį Komisijos įgyvendinimo reglamente (ES) 2024/2690 (toliau – Reglamentas) nurodytiems reikalavimams, auditorius turi įvertinti visus Reglamento priede nurodytus techninius ir metodinius reikalavimus, vadovaujantis Metodikos 25 punkte nurodyta vertinimo skale.

Lentelė

Reikalavimų skirsnis

Reikalavimų punktai (Reikalavimai)

Siektinas Reikalavimų įgyvendinimo rezultatas

Galimi auditoriaus klausimai siekiant įvertinti siektinus rezultatus ir įgyvendinamų priemonių efektyvumą

Pirmasis

4-6

Kibernetinio saugumo subjekto (toliau – KSS) vadovo ar jo įgalioto asmens patvirtinta, (i), reguliariai, peržiūrima (-i) ir atnaujinama (-mi) TIS kibernetinio saugumo politika(toliau – KS politikos dokumentas (-ai)). KS politikos dokumentas (-ai) apima organizacinius Reikalavimus.

Ar patvirtintas KS politikos dokumentas (-ai)? Ar KS politikos dokumente (-uose) nustatyti kibernetinio saugumo tikslai atitinkantys Kibernetinio saugumo įstatyme nustatytus principus? Ar yra apibrėžti teisės aktai, kuriais vadovaujamasi įgyvendinant kibernetinį saugumą? Ar nurodyti kiti kibernetinio saugumo politikos ir jos įgyvendinimo dokumentai, kuriais vadovaujamasi įgyvendinant TIS saugumo politiką? Ar KS politikos dokumentas (-ai) peržiūrimi/atnaujinami? Ar KS politikos dokumentas (-ai) apima organizacinius Reikalavimus?

Antrasis

7-15

Nustatytas KSS TIS rizikos valdymo vertinimo ir valdymo procesas. Rizikų vertinimas yra atliekama reguliariai. Rizikos analizė, apima grėsmių ir spragų analizę ir vertinimą, galimą poveikį, rizikos apskaičiavimą. Rizikos vertinimo ataskaita apima Reikalavimų 11 p. nuostatas. Nustačius šalinamų trūkumų, rengiamas rizikos valdymo planas, patvirtintas KSS vadovo. Rizikos ataskaitos ir valdymo plano duomenys teikiami į Kibernetinio saugumo informacinę sistemą (toliau – KSIS).

Ar nustatyta KSS TIS rizikos vertinimo ir valdymo tvarka? Ar užtikrinamas reguliarus (ne rečiau kaip kartą per metus) rizikos vertinimo atlikimas? Kokius kriterijus apima rizikos analizė? Ką apima rizikos vertinimo ataskaitą? Ar nustačius trūkumų rengiamas rizikos valdymo planas? Ar patvirtintų rizikos vertinimo ir trūkumų šalinimo plano duomenys teikiami KSIS? Ar vykdoma rizikos valdymo plano įgyvendinimo stebėsena? Ar rizikos valdymo planas įgyvendintas?

Trečiasis

16-21

KSS paskirti atsakingi asmenys už kibernetinį saugumą, funkcijos ir atsakomybės apibrėžtos. Kibernetinio saugumo pareigybės yra aiškiai iškomunikuotos darbuotojams. Užtikintas pareigų atskyrimas.

Ar su TIS susiję vaidmenys ir atsakomybės apibrėžtos? Ar KSS darbuotojai informuoti apie paskirtus asmenis atsakingus už kibernetinį saugumą? Ar užtikrinama, kad kibernetinio saugumo vadovas ir (ar) saugos įgaliotinis nevykdo funkcijų susijusių su TIS administravimu, techninės ir programinės įrangų priežiūra ir valdymu? Ar nustatytos KS vadovo, saugos įgaliotinio funkcijos atitinka Reikalavimuose nurodytas funkcijas? Ar paskirtas TIS administratorius?

Ketvirtasis

22-25, 1 lentelė

Kibernetinių incidentų valdymo planas (toliau – KIVP) yra patvirtintas ir apima Reikalavimuose numatytus ir Nacionalinis kibernetinių incidentų valdymo plano (toliau – NKVIP) reikalavimus. KSS yra nustatęs ir įgyvendinęs žurnalinių įrašų valdymo tvarką. Žurnaliniai įrašai yra renkami ir valdomi pagal nustatytus techninius Reikalavimus. Yra įdiegtos ir veikia įeinančio ir išeinančio tinklo duomenų srauto stebėjimo sistemos, antivirusinės programinės įrangos, įsibrovimų aptikimo ir prevencijos sistemos ar saugasienės. Užtikrinama naudojamų saugasienių saugumo taisyklių peržiūra ir atnaujinimai. Įgyvendinti Reikalavimų 1 lentelės techniniai reikalavimai.

Ar patvirtintas kibernetinių incidentų (toliau – KI) valdymo planas (parengtas pagal NKIVP)? Ar KIVP suderintas su paslaugų tiekėju? (taikoma kai KSS TIS paslaugas, susijusias su kibernetinių incidentų valdymu, teikia paslaugų teikėjai) Ar KIVP nurodyti KI nustatymo būdai? Ar KIVP nustatytas KI vertinimas? Ar nustatytas KI valdymo organizavimas? Ar nustatytos komunikavimo su suinteresuotomis šalimis nuostatos? Ar nustatytos atsakomybės už KI valdymą? Ar nustatytos KI įrodymų nustatymo, rinkimo, gavimo, pranešimo ir išsaugojimo nuostatos? Ar nustatytos KI valdymo patirties vertinimo nuostatos? Ar apibrėžti ir vykdomi KIVP veiksmingumo išbandymo ir rezultatų ataskaitos rengimo reikalavimai? Ar nustatyti žurnalinių įrašų administravimo ir saugojimo, įsibrovimų aptikimo ir prevencijos reikalavimai? Ar nustatyta, kokie žurnaliniai įrašai turi būti saugomi? Ar nustatytas ir užtikrinamas žurnalinių įrašų saugojimo laikotarpis? Ar nustatyta kokie duomenys fiksuojami žurnaliniuose įrašuose? Ar fiksuojami žurnaliniai įrašai saugomi programinėje įrangoje (toliau – PĮ)? Ar žurnalinių įrašų kopijos apsaugotos nuo praradimo, pažeidimo, nesankcionuoto pakeitimo? Ar žurnalinių įrašų duomenys yra analizuojami įgalioto asmens? Ar apie analizės rezultatų nuokrypius informuojamas kibernetinio saugumo vadovas ar įgaliotas asmuo? Ar nustatytas ir vykdomas reikalavimas periodiškai analizuoti žurnalinių įrašų duomenis? Ar vidinės TIS atskirtos nuo viešųjų ryšių tinklų saugasiene? Ar ne rečiau kaip kas 6 mėn. peržiūrimos saugasienės saugumo taisyklės?

Penktasis

26-30, 2 lentelė

Patvirtintas TIS veiklos tęstinumo valdymo planas (toliau – VTVP), apima Reikalavimuose numatytas nuostatas. VTVP yra reguliariai išbandomas. VTVP išbandymo duomenys yra teikiami į KSIS. KSS yra nusistatęs ir įgyvendinęs atsarginių kopijų kūrimo, saugojimo ir duomenų atkūrimo tvarką pagal Reikalavimus. Atsarginių kopijų kūrimo, saugojimo ir duomenų atkūrimo tvarka parengta atsižvelgiant į RTO, RPO. Įgyvendinti Reikalavimų 2 lentelės techniniai reikalavimai.

Ar patvirtintas VTVP? Ar VTVP apibrėžta, kada įsigalioja VTVP? Ar VTVP nustatyti kriterijai, pagal kuriuos galima nustatyti, ar TIS veikla atkurta? Ar VTVP nustatytos atsakomybės ir jų pareigos ir funkcijos? Ar yra detalus TIS veiklos atkūrimo planas? Ar apibrėžti ir vykdomi VTVP veiksmingumo išbandymo reikalavimai? Ar VTVP išbandymo duomenys teikiami į KSIS? Ar nustatyti atsarginių duomenų kopijų kūrimo, saugojimo ir duomenų atkūrimo iš jų reikalavimai? Ar apibrėžtas atsarginio kopijavimo mastas ir dažnumas? Ar užtikrinamas KSS įvertintų kaip kritinių veiklos tęstinumui būtinų TIS prieinamumas ne mažiau kaip 99 proc. laiko? (taikoma esminiam KSS) Ar užtikrinamas KSS įvertintų kaip kritinių veiklos tęstinumui būtinų TIS prieinamumas ne mažiau kaip 96 proc. laiko? (taikoma svarbiam KSS) Ar daromos atsarginės duomenų kopijos kaip nustatyta? Ar numatytos atsarginės patalpos, į kurias galima būtų laikinai perkelti TIS įrangą, nesant galimybių tęsti veiklos pagrindinėse patalpose? Ar yra dubliuojama svarbiausia TIS įranga, duomenų perdavimo tinklo mazgai ir ryšio linijos ir ar jų techninė būklė nuolat stebima?

Šeštasis

31-39

KSS patvirtinta tiekimo grandinės saugumo valdymo tvarka pagal Reikalavimus. Nustatyti tiekėjų atrankos kriterijai. Nustatyti sutartiniai įsipareigojimai su tiekėjais pagal Reikalavimuose numatytas nuostatas. Nustatyti ir vykdomi tiekėjų rizikos vertinimo reikalavimai. Vykdoma tiekėjų atitikties kontrolė. Sudarytas tiekėjų sąrašas.

Ar nustatyta tiekimo grandinės saugumo valdymo tvarka? Ar numatyti TIS tiekėjų atrankos kriterijai? Ar nustatyta, kokie KS reikalavimai turi būti sutartyse su paslaugų tiekėjais? Ar į sutartis įtraukti Reikalavimų 34 punkto nuostatos? Ar atliekamas TIS tiekėjo rizikos vertinimas? Ar sudarytos sutartys su interneto paslaugų tiekėju, atitinkančios Reikalavimuose numatytas nuostatas? (taikoma, jei duomenų perdavimo paslauga yra esminė paslaugai teikti) Ar vykdoma sutartyje su TIS tiekėju nurodytų kibernetinio saugumo reikalavimų įgyvendinimo kontrolė? Ar sudarytas tiekėjų sąrašas?

Septintasis

40-46, 3 lentelė

KSS patvirtinta TIS įsigijimo, plėtojimo ir priežiūros saugumo užtikrinimo tvarka pagal Reikalavimus. Patvirtinta TIS pokyčių valdymo tvarka. Patvirtinta pataisų valdymo tvarka. Patvirtinta spragų valdymo tvarka. Parengta, aktuali TIS loginė schema ir TIS schemos. Sudarytas leistinos diegti PĮ sąrašas Įgyvendinti Reikalavimų 3 lentelės techniniai reikalavimus.

Ar nustatyta ir patvirtinta TIS įsigijimo, plėtojimo ir priežiūros saugumo užtikrinimo tvarka? Ar nustatyta TIS pokyčių valdymo tvarka? Ar pokyčiai suderinami su atsakingu asmeniu? Ar nustatyta pataisų valdymo tvarka? Ar patvirtintos spragų valdymo ir atskleidimo nuostatos? Ar turima ir įvykus pokyčiams atnaujinama, aktuali TIS infrastruktūros loginė schema ir visų TIS schemos? Ar serveriuose ir darbo stotyse įjungtos ir sukonfigūruotos saugasienės, kurios kontroliuoja visą įeinantį ir išeinantį srautą? Ar gaunami elektroniniai laiškai filtruojami? Ar naudojami saugūs tinklo protokolai? Ar diegiami, naudojamos PĮ, gamintojų ir operacinių sistemų (toliau – OS) rekomenduojami atnaujinimai? Ar vidinis KSS kompiuterių tinklas yra segmentuotas? Kaip segmentuotas vidinis tinklas? Ar internetu prieinamoms svetainėms ir TIS naudojamos apsaugos nuo pagrindinių per tinklą vykdomų atakų (remiantis OWASP Top 10 geriausiomis praktikomis)? Ar serveriuose ir kompiuterinėse darbo vietose yra naudojamos, valdomos ir atnaujinamos kenkimo PĮ aptikimo, stebėjimo realiu laiku priemonės? Ar naudojama tik legali ir leistina (pagal KSS patvirtintą sąrašą) PĮ?

Aštuntasis

47-51

KSS patvirtinta kibernetinio saugumo reikalavimų veiksmingumo vertinimo tvarka pagal Reikalavimuose numatytas nuostatas. Ne rečiau kaip kartą metuose atliekamas atitikties vertinimas. Ne rečiau kaip kas 3 metus atliekamas Auditas. Nustatyti taikomų saugumo priemonių veiksmingumo vertinimo kriterijai. Reguliariai vertinamas taikomų priemonių efektyvumas.

Ar nustatyta kibernetinio saugumo reikalavimų veiksmingumo vertinimo tvarka? Ar nustatyti kibernetinio saugumo taikomų priemonių veiksmingumo vertinimo reikalavimai? Ar periodiškai (ne rečiau kaip kartą per metus) atliekamas atitikties kibernetinio saugumo reikalavimams vertinimas? Ar periodiškai (ne rečiau kaip kas tris metus) atliekami Auditai? Ar nustatytas periodiškumas taikomų saugumo priemonių efektyvumo vertinimui ir vykdomas? Ar valdomi atitikties vertinimo ar Audito metu identifikuoti neatitikimai?

Devintasis

52-54

KSS patvirtinta kibernetinės higienos praktikos organizavimo ir kibernetinio saugumo mokymų organizavimo ir vykdymo tvarka pagal Reikalavimuose numatytas nuostatas. Organizuojami ir vykdomi kibernetinio saugumo mokymai. Rengiamos mokymų ataskaitos.

Ar nustatyta kibernetinės higienos praktikos organizavimo ir kibernetinio saugumo mokymų organizavimo ir vykdymo tvarka? Ar vykdomi periodiniai KSS darbuotojų kibernetinės higienos praktikos mokymai? Ar numatyti kibernetinio saugumo mokymai darbuotojams? Ar buvo atlikti kibernetinio saugumo mokymai? Ar rengiama mokymų ataskaita? Ar informuojami TIS naudotojai apie kibernetinio saugumo aktualijas?

Dešimtasis

55-56, 4 lentelė

KSS patvirtinta kriptografijos ir šifravimo naudojimo tvarka pagal Reikalavimuose numatytas nuostatas. Įgyvendinti Reikalavimų 4 lentelės techniniai reikalavimai.

Ar nustatyta kriptografijos ir šifravimo naudojimo tvarka? Ar viešaisiais elektroninių ryšių tinklais perduodama KSS jautri informacija yra šifruojama? Ar šifruojamas belaidis ryšys? Ar duomenys, perduodami tarp mobiliojo įrenginio ir TIS yra šifruojami? Ar mobiliųjų įrenginių laikmenose ir išorinėse kompiuterinėse laikmenose laikomi TIS duomenys yra šifruojami? Ar įgyvendinti svetainės kriptografijos reikalavimai? Ar duomenys atsarginėse kopijose yra šifruoti? Ar saugomi ir stebimi Audito įrašai, susiję su kriptografinių raktų valdymo veikla?

Vienuoliktasis

57-59, 60-63, 5 ir 6 lentelės

KSS patvirtintos žmogiškųjų išteklių saugumo nuostatos pagal Reikalavimus. Patvirtinti TIS fizinės prieigos organizaciniai ir techniniai reikalavimai. Patvirtinta turto valdymo tvarka. Sudarytas turto sąrašas. Atliekama TIS gedimų registracija. Įgyvendinti Reikalavimų 5 ir 6 lentelių techniniai reikalavimai.

Ar nustatyti žmogiškųjų išteklių saugumo reikalavimai atitinkantys Reikalavimų nuostatas? Ar patvirtinti TIS fizinės prieigos reikalavimai, atitinkantys Reikalavimų nuostatas? Ar patvirtinta turto valdymo tvarka, kaip nustatyta Reikalavimuose? Ar sudarytas turto sąrašas? Ar turto sąrašas suklasifikuotas? Ar nustatyti turto tinkamo naudojimo reikalavimai? Ar registruojami TIS gedimai? Ar užtikrinama, kad TIS įrangos priežiūrą ir gedimų šalinimą atlieka kvalifikuoti specialistai? Ar naudojamos techninės priemonės, kurios draustų neleistinų įrenginių prijungimą prie KSS TIS, apribotų neleistinos techninės įrangos naudojimą ir informuotų KSS įgaliotą asmenį? Ar centralizuotai valdomi mobilieji įrenginiai? Ar mobiliuosiuose įregimuose įdiegtos priemonės, leisiančios nuotoliniu būdu neatkuriamai ištrinti mobiliuosiuose įrenginiuose esančius duomenis? Ar mobilieji įrenginiai, kuriais naršoma internete, apsaugoti nuo judriųjų programų (angl. mobile code) keliamų grėsmių? (taikoma esminiams KSS). Ar svarbi TIS įranga turi įtampos filtrus ir nepertraukiamo maitinimo šaltinius? Ar TIS serverių patalpose įrengta oro kondicionavimo įranga? (taikoma, kai įrangos bendras galingumas yra daugiau nei 10 kilovatų) Ar serverių patalpose naudojamos oro kondicionavimo ir drėgmės kontrolės įranga? Ar TIS techninė ir programinė įranga prižiūrima laikantis gamintojo rekomendacijų? Ar serverių patalpose įrengti gaisro ir įsilaužimo jutikliai? Ar jie prijungti prie pastato signalizacijos ir (arba) apsaugos tarnybos stebėjimo pulto? Ar KS patalpose įrengti gaisro jutikliai ir (ar) kitos fizinės apsaugos priemonės? Ar kritiniai elementai (oro kondicionavimo įranga, vėdinimas ir drėgmės kontrolė, el. energijos tiekimas) yra dubliuojami?

Dvyliktais

64-68, 7 lentelė

KSS patvirtinti prieigos valdymo tvarką pagal Reikalavimus. Nustatyti slaptažodžių reikalavimai pagal Reikalavimus Patvirtintas administravimo teises turinčių asmenų sąrašas. Patvirtinti kelių veiksnių tapatumo nustatymo naudojimo reikalavimai. Įgyvendinti Reikalavimų 7 lentelėje techniniai reikalavimai.

Ar nustatyta prieigos valdymo tvarka? Ar patvirtintas asmenų, kuriems suteiktos administratoriaus teisės prisijungti prie TIS, sąrašas? Ar patvirtinta slaptažodžių politika? Ar slaptažodžių politika atitinka Reikalavimuose numatytas nuostatas? Ar administratoriaus funkcijos atliekamos naudojant atskirą tam skirtą paskyrą? Ar naudotojai unikaliai atpažįstami? Ar patvirtintos kelių veiksnių tapatumo nustatymo ar nuolatinio tapatumo nustatymo sprendimai, saugių balso, vaizdo ir teksto ryšių bei saugių avarinių ryšių sistemų subjekto viduje naudojimo nuostatos? Ar vykdoma administratorių paskyrų kontrolė? Ar vykdoma naudotojų paskyrų kontrolė? Ar naudotojo teisė dirbti su konkrečia TIS sustabdoma, kai naudotojas nesinaudoja TIS ilgiau kaip 3 mėnesius? Ar administratoriaus teisė dirbti su konkrečia TIS sustabdoma, kai naudotojas nesinaudoja TIS ilgiau kaip 2 mėnesius? Ar nustatytas ir vykdomas reikalavimas panaikinti nedelsiant prieigą prie TIS atleidimo atveju, kai naudotojas ar administratorius neatitinka teisės aktuose nustatytų naudotojo ar administratoriaus kvalifikacinių reikalavimų, taip pat kai pasibaigia jo darbo (tarnybos) santykiai, jis praranda patikimumą? Ar užtikrinama, kad nereikalingos ar nenaudojamos TIS paskyros būtų blokuojamos nedelsiant, bet ne vėliau kaip per KSS nustatytą terminą ir ištrinamos praėjus žurnalinių įrašų saugojimo terminui (ne trumpiau kaip 90 kalendorinių dienų)? Ar užtikrinamas atsijungimas nuo TIS baigus darbą arba pasitraukiant iš darbo vietos, įjungiama ekrano užsklanda su slaptažodžiu? Ar TIS neatliekant jokių veiksmų užsirakina automatiškai po 15 min? Ar TIS dalys, tarp jų ir svetainės ir naršyklės, patvirtinančios naudotojo tapatumą, draudžia išsaugoti slaptažodžius? Ar nustatytas leistinas naudotojų mėginimų prisijungti prie TIS skaičius – ne daugiau negu 5 kartai iš eilės? Ar įgyvendinti Reikalavimų 7 lentelėje apibrėžti slaptažodžių reikalavimai ir papildomi slaptažodžių reikalavimai? Ar lokalios naudotojų ir administratorių paskyroms taikomos tokios pačio Reikalavimų nuostatos? Ar programiniame kode draudžiama išsaugoti duomenis (vardą, slaptažodį, aplikacijų programavimo sąsajas (angl. Application programming interface) raktus / ženklus (angl. Token) ir kt.)? (taikoma KSS svetainėms, pasiekiamoms iš viešųjų elektroninių ryšių tinklų).