LegalizeDėl Pasvalio rajono savivaldybės administracijos kibernetinių incidentų valdymo plano patvirtinimo
LIETUVOS RESPUBLIKOS FINANSŲ MINISTRAS
Pasvalio rajono savivaldybės administracijos
direktorius
Įsakymas
DĖL PASVALIO RAJONO SAVIVALDYBĖS administracijos KIBERNETINIŲ INCIDENTŲ VALDYMO PLANO PATVIRTINIMO
2026 m. rugpjūčio 12 d. Nr. DV-343
Pasvalys
Vadovaudamasis Lietuvos Respublikos vietos savivaldos įstatymo 34 straipsnio 1 dalimi ir 6 dalies 2 punktu, Lietuvos Respublikos kibernetinio saugumo įstatymu, įgyvendindamas Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimą Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ (su visais aktualiais pakeitimais), vykdydamas Pasvalio rajono savivaldybės administracijos tinklų ir informacinių sistemų kibernetinio saugumo politiką, patvirtintą Pasvalio rajono savivaldybės administracijos direktoriaus 2026 m. gegužės 18 d. įsakymu Nr. DV-193 „Dėl Pasvalio rajono savivaldybės administracijos tinklų ir informacinių sistemų kibernetinio saugumo politikos patvirtinimo“, atsižvelgdamas į Nacionalinio kibernetinio saugumo centro prie Krašto apsaugos ministerijos rekomendacijas, siekdamas užtikrinti tinkamą Pasvalio rajono savivaldybės informacinių išteklių ir informacinių sistemų saugumą:
Patvirtinu Pasvalio rajono savivaldybės administracijos kibernetinių incidentų valdymo planą (pridedama).
Nustatau, kad įsakymas skelbiamas Teisės aktų registre ir Pasvalio rajono savivaldybės interneto svetainėje www.pasvalys.lt.
Administracijos direktorius Povilas Balčiūnas
PATVIRTINTA
Pasvalio rajono savivaldybės
administracijos direktoriaus
2026 m. rugpjūčio 12 d. įsakymu Nr. DV-343
Pasvalio rajono savivaldybės administracijos KIBERNETINIŲ INCIDENTŲ VALDYMO PLANAS
I SKYRIUS
BENDROSIOS NUOSTATOS
Pasvalio rajono savivaldybės administracijos kibernetinių incidentų valdymo planas (toliau – Planas) reglamentuoja Pasvalio rajono savivaldybės administracijos (toliau – Administracija) gebėjimą tinkamai ir laiku reaguoti į kibernetinius incidentus, sumažinti jų poveikį, atkurti pažeistus tinklus ir informacines sistemas.
Plane vartojamos sąvokos:
2.1. Darbuotojas – pareigas einantis valstybės tarnautojas arba pagal darbo sutartį dirbantis asmuo.
2.2. Įvykis – įprasto tinklų ir informacinių sistemų ar paslaugų veikimo sutrikimas ar veikla, galinti turėti reikšmės kibernetiniam saugumui.
2.3. Kibernetinio saugumo vadovas – Administracijos darbuotojas, atsakingas už kibernetinio saugumo subjekto atitikties Lietuvos Respublikos kibernetinio saugumo įstatymo 14 ir 18 straipsniuose nustatytiems reikalavimams įgyvendinimą ir atliekantis kitas kibernetinį saugumą reglamentuojančiuose teisės aktuose nustatytas funkcijas arba iš trečiųjų šalių įsigytos paslaugos, kurių teikimo metu vykdomos kibernetinio saugumo vadovo funkcijos.
2.4. Paraiška – užklausa arba prašymas, pateiktas Administracijos IS administratoriui atlikti tam tikrą veiksmą, kuris nėra susijęs su kibernetiniu incidentu ar įvykiu, tiesioginėmis kibernetinio saugumo grėsmėmis (pvz., prašymas sukurti naują vartotojo paskyrą, prašymas atnaujinti programinę įrangą ir kt.).
2.5. Saugumo operacijų centras (toliau – SOC) – Administracijos direktoriaus ar jo įgalioto asmens paskirta grupė, atsakinga už žurnalinių įrašų (angl. Logs) ir kibernetinių incidentų valdymą arba iš trečiųjų šalių įsigytos paslaugos, kurių teikimo metu vykdomos SOC funkcijos.
Kitos šiame Plane vartojamos sąvokos suprantamos taip, kaip jos apibrėžiamos Kibernetinio saugumo įstatyme.
Planas parengtas vadovaujantis Kibernetinio saugumo įstatymu bei Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ (toliau – Nutarimas Nr. 818).
Planas skirtas visiems Administracijos darbuotojams ir paslaugų teikėjams, kurie pagal savo funkcijas yra susiję su šiame Plane apibrėžtais vaidmenimis.
II SKYRIUS
FUNKCIJOS IR ATSAKOMYBĖS
Administracijos direktorius ar jo įgaliotas asmuo įsakymu paskiria SOC arba sudaro sutartį su trečiąja šalimi vykdyti Kibernetinio saugumo reikalavimų aprašo, patvirtinto Nutarimu Nr. 818, 24-25 punktuose nustatytas funkcijas:
6.1. nustatyti kibernetinius incidentus;
6.2. vertinti kibernetinius incidentus;
6.3. informuoti apie kibernetinius incidentus ir teikti informaciją Nacionaliniam kibernetinio saugumo centrui prie Krašto apsaugos ministerijos (toliau – NKSC);
6.4. valdyti kibernetinius incidentus;
6.5. komunikuoti apie kibernetinius incidentus su suinteresuotomis šalimis;
6.6. saugoti įrodymus apie kibernetinius incidentus;
6.7. vertinti kibernetinių incidentų valdymo įgytą patirtį;
6.8. organizuoti Plano veiksmingumo išbandymą ir parengti išbandymo rezultatų ataskaitą;
6.9. saugoti, fiksuoti ir analizuoti tinklų ir informacinių sistemų (toliau – TIS), techninės įrangos žurnalinius įrašus;
6.10. saugoti ir analizuoti įeinančio ir išeinančio tinklo duomenų srauto, antivirusinės programinės įrangos, įsibrovimų aptikimo ir prevencijos sistemos ar saugasienės (ugniasienės) žurnalinius įrašus (angl. Logs);
6.11. kaupti TIS konfigūracinių ir atsarginių kopijų failų prieigos ar pakeitimo veiksmų įrašus.
SOC funkcijos negali būti pavedamos darbuotojui arba paslaugų teikėjui, atsakingam už TIS veiklą (t. y., IS administratoriui).
Kibernetinio saugumo vadovo funkcijos ir atsakomybės:
8.1. užtikrinti nenutrūkstamą SOC veiklą 24/7 – 7 dienas po 24 valandas;
8.2. koordinuoti didelių kibernetinių incidentų valdymą, įskaitant atvejį, kai SOC nariai yra nepasiekiami;
8.3. inicijuoti ir organizuoti Administracijos darbuotojų informavimą apie įvykusius kibernetinius incidentus, kai tai būtina vadovybei, klientams ar kitoms suinteresuotoms šalims;
8.4. organizuoti komunikavimą, susijusį su incidento poveikiu, su trečiosiomis šalimis (klientais, partneriais, tiekėjais);
8.5. organizuoti kibernetinio saugumo mokymus darbuotojams pagal Kibernetinės higienos praktikos organizavimo ir kibernetinio saugumo mokymų organizavimo ir vykdymo tvarkos aprašą;
8.6. peržiūrėti šio Plano aktualumą ir teikti pasiūlymus dėl jo tobulinimo;
8.7. rengti ataskaitas apie įvykusius kibernetinius incidentus ir Plano trūkumus, identifikuotus kibernetinių incidentų valdymo proceso metu.
III SKYRIUS
KIBERNETINIŲ INCIDENTŲ NUSTATYMAS IR VERTINIMAS
Administracijoje turi būti naudojamos automatinės kibernetinių incidentų aptikimo / stebėjimo sistemos, skirtos aptikti įvairias grėsmių rūšis:
- antivirusinė programinė įranga, skirta aptikti ir neutralizuoti kenkėjiškas programas (pvz., virusus, Trojos arklius);
- įsilaužimų aptikimo sistema (angl. Intrusion Detection System, IDS), skirta identifikuoti įtartiną ar žalingą tinklo ar sistemų veiklą;
- įsilaužimų prevencijos sistema (angl. Intrusion Prevention System, IPS), skirta automatiškai blokuoti aptiktą žalingą veiklą;
- pažangūs grėsmių aptikimo ir reagavimo sprendimai (angl. Endpoint Detection and Response, EDR; Extended Detection and Response, XDR) integruojantys duomenis iš įvairių šaltinių ir padedančius identifikuoti, analizuoti ir valdyti kibernetinius incidentus;
- saugasienė (ugniasienė), skirta riboti neteisėtą prieigą prie tinklo iš išorės ar vidaus;
- el. pašto filtravimo priemonės, skirtos aptikti sukčiavimo (angl. Phishing) ir šlamšto (angl. Spam) laiškus;
- interneto srauto analizės priemonės, padedančias nustatyti duomenų nutekėjimą ar neįprastą elgseną ir kt);
Administracijoje naudojami kibernetinių incidentų aptikimo išoriniai ir vidiniai šaltiniai:
10.1. NKSC, Valstybinė duomenų apsaugos inspekcijos (toliau – VDAI) ir Policijos departamento pranešimai;
10.2. anoniminiai pranešimai, forumai ar žiniasklaidos portalai;
10.3. trečiųjų šalių ir naudotojų pranešimai;
10.4. Administracijos darbuotojų pranešimai ir įtarimai, kad kažkas neįprasto vyksta su kompiuterine darbo vieta (toliau – KDV) ar TIS:
10.4.1. KDV veikia žymiai lėčiau nei įprastai;
10.4.2. KDV atsiranda nežinomų failų, programų ar nuorodų;
10.4.3. iš KDV siunčiami el. laiškai, kurių darbuotojas nesiuntė;
10.4.4. KDV sistemos langai ar naršyklės atsidaro automatiškai, be vartotojo veiksmų;
10.4.5. KDV rodomi įspėjimai, reklamos ar kiti netipiniai pranešimai;
10.4.6. pastebimas padidėjęs ar neįprastas tinklo srautas iš KDV;
10.4.7. TIS paslaugos (pvz., el. paštas, dokumentų valdymo sistema) tampa nepasiekiamos arba veikia nestabiliai;
10.4.8. TIS registruojamas neįprastas prisijungimų aktyvumas (pvz., iš neįprastų IP adresų, ne darbo metu);
10.4.9. TIS žurnaluose fiksuojami bandymai vykdyti neleistinas operacijas ar naudotis nesuteiktomis teisėmis;
10.4.10. TIS vykdomi neautorizuoti sistemos nustatymų keitimai ar diegiami įtartini programiniai komponentai;
10.4.11. TIS automatinės kibernetinių incidentų aptikimo/stebėjimo sistemos generuoja įspėjimus dėl įtartinų veiklų;
10.4.12. automatinių kibernetinių incidentų aptikimo/stebėjimo sistemų pranešimai ir kt.
Kibernetinis incidentas laikomas dideliu, kai Administracija patiria ar gali patirti didelių paslaugų teikimo sutrikimų ir kibernetinis incidentas atitinka bent vieną iš šių kriterijų:
11.1. paslaugos trikdomos visoje Lietuvos teritorijoje ir (ar) bent vienoje Europos Sąjungos arba NATO šalyje;
11.2. TIS veikla trikdoma 2 ar daugiau valandų;
11.3. paveiktų paslaugų gavėjų (tiek Administracijos darbuotojai, tiek klientai) ar KDV skaičius lygus arba didesnis nei 1 000, arba 25 procentai (atsižvelgiant į tai, kuris dydis yra mažesnis);
11.4. paveikti 1 000 arba 25 procentai (atsižvelgiant į tai, kuris dydis yra mažesnis) paslaugų gavėjų asmens duomenys ar kiti Administracijos saugomi paslaugų gavėjų duomenys;
11.5. paveikti 25 procentai KDV;
11.6. nebegali užtikrinti teisės aktuose jos veiklai nustatytų reikalavimų įgyvendinimo;
11.7. prarasta arba atskleista Administracijos konfidenciali informacija pagal konfidencialios informacijos sąrašą arba įslaptinta informacija sudaranti valstybės ar tarnybos paslaptį pagal Lietuvos Respublikos valstybės ir tarnybos paslapčių įstatymą;
11.8. per 6 mėnesius patiriamas daugiau nei vienas analogiškas kibernetinis incidentas, incidentų pagrindinė priežastis sutampa, o finansinių nuostolių dydis siekia Plano 11.9 papunktyje numatytas vertes;
11.9. Administracija patiria ar gali patirti didelių finansinių nuostolių, lygių arba didesnių nei 500 000 Eur, arba 5 procentų Administracijos praėjusių finansinių metų pajamų (atsižvelgiant į tai, kuri suma yra mažesnė);
11.10. kai kibernetinis incidentas paveikė kitus fizinius ar juridinius asmenis, sukeldamas didelę turtinę arba neturtinę žalą, atitinkančią bent vieną iš šių kriterijų:
11.10.1. galimos turtinės žalos dydis yra lygus arba didesnis nei 400 bazinių socialinių išmokų;
11.10.2. galimos neturtinės žalos dydis lygus arba didesnis nei 10 000 Eur;
11.10.3. sutrikdyta bent vieno žmogaus sveikata arba bent vienas žmogus žuvo.
IV SKYRIUS
KIBERNETINIŲ INCIDENTŲ VALDYMAS
Kibernetinių incidentų valdymo grafinis atvaizdavimas pateikiamas šio Plano 1 priede ir jo aprašymas pateikiamas šio Plano 2 priede. Kibernetinio incidento valdymo procese dalyvaujančių atsakingų asmenų ir institucijų sąrašas su kontaktine informacija pateikiamas šio Plano 3 priede.
Didelio kibernetinio incidento atveju SOC nedelsdamas informuoja Administracijos vadovybę, kibernetinio saugumo vadovą ir IS administratorių apie šio incidento mastą, galimą poveikį ir planuojamus veiksmus.
Jei nustatoma, kad kibernetinis incidentas gali paveikti arba jau paveikė Administracijos suinteresuotas šalis, pvz. klientus, paslaugų teikėjus, partnerius ir kt., tuomet kibernetinio saugumo vadovas privalo jas informuoti apie kibernetinį incidentą.
Kibernetinių incidentų metu bendravimas su viešosiomis informavimo priemonėmis (žiniasklaida, socialinė žiniasklaida, visuomenės atstovais) vykdomas tik per Administracijos direktoriaus paskirtą darbuotoją. Prieš pateikiant bet kokią informaciją viešai, pranešimo turinys turi būti suderintas su kibernetinio saugumo vadovu.
Administracijoje paraiškos, įvykiai, kibernetiniai incidentai ir problemos pateikiami IS administratoriui el. paštu it@pasvalys.lt. Jei žinoma, kad paraiška susijusi su kibernetiniu incidentu, pranešimas siunčiamas el. pašto adresu soc@pasvalys.lt.
Kibernetinio incidento metu, kai paveikiami asmens duomenys, nedelsiant informuojamas Administracijos duomenų apsaugos pareigūnas ir jam pateikiama visa su kibernetiniu incidentu susijusi informacija. Tokiu atveju Administracijos duomenų apsaugos pareigūnas turi teisę gauti visą su kibernetiniu incidentu susijusią informaciją, kad galėtų užtikrinti tinkamą asmens duomenų saugos pažeidimo užkardymą ir pranešimą apie kibernetinį incidentą.
Visi kibernetinio incidento sprendime dalyvaujantys asmenys turi užtikrinti, kad kibernetinio incidento sprendimo eiga (įskaitant komunikavimą) būtų fiksuojama ir apie ją būtų informuojamas kibernetinį incidentą registravęs asmuo.
Kibernetinių incidentų metu komunikacijai tarp SOC, kibernetinio saugumo vadovo, vadovybės ir kitų susijusių asmenų naudojami oficialūs ir saugūs kanalai: el. paštas, Microsoft Teams, Zoom.
Jei kibernetinio incidento metu dėl ryšio sutrikimų nėra prieigos prie interneto arba pagrindiniai komunikacijos kanalai yra nepasiekiami, Administracija naudoja iš anksto numatytus atsparius ryšio sprendimus: rezervinis interneto ryšys – Starlink palydovinis ryšys, mobilusis tinklas; alternatyvi pranešimų siuntimo priemonė – SMS; rezervinis balso ryšys – mobilusis telefonas.
Visos komunikacijos priemonės, naudojamos kibernetinių incidentų valdymo metu, turi būti saugios. Jų konfidencialumas užtikrinamas naudojant tik Administracijos patvirtintus oficialius kanalus, kurie užtikrina duomenų šifravimą duomenų perdavimo metu, vadovaujantis Kriptografijos ir šifravimo naudojimo tvarkos aprašu. Draudžiama naudoti asmeninius el. paštus, nesaugias žinučių platformas ar neautorizuotus įrenginius. Prieigą prie komunikacijos kanalų turi tik incidento sprendime dalyvaujantys asmenys.
Kibernetinio incidento metu, jei kyla teisinio pobūdžio klausimų ar būtina įvertinti teisines pasekmes, kibernetinio saugumo vadovas kreipiasi į Administracijos Juridinį ir personalo skyrių.
Kibernetiniam incidentui valdyti informacija naudojama tik iš oficialių ir patikimų šaltinių:
23.1. NKSC;
23.2. VDAI;
23.3. Europos Sąjungos kibernetinio saugumo agentūros (angl. European Union Agency for Cybersecurity, ENISA);
23.4. ir kitų, pvz., patikimų gamintojų, sertifikuotų tiekėjų.
Po didelio kibernetinio incidento suvaldymo, jei jis paveikė suinteresuotas šalis, pvz. klientus, paslaugų teikėjus, partnerius ir kt., kibernetinio saugumo vadovas pateikia jiems apibendrintą kibernetinio incidento ataskaitą.
Kibernetinių incidentų valdymo tikslas – kaip įmanoma greičiau atstatyti Administracijos teikiamas paslaugas ir minimizuoti neigiamą kibernetinio incidento poveikį jų kokybei. Jei didelio kibernetinio incidento nepavyksta suvaldyti ir jis daro poveikį Administracijos veiklos tęstinumui, aktyvuojamas Veiklos tęstinumo valdymo planas, vadovaujantis Tinklų ir informacinių sistemų veiklos tęstinumo valdymo tvarkos aprašu.
V SKYRIUS
INFORMAVIMAS APIE KIBERNETINIUS INCIDENTUS
SOC NKSC apie kibernetinius incidentus informuoja registruodamas Kibernetinio saugumo informacinės sistemos posistemyje – Nacionalinėje kibernetinių incidentų valdymo platformoje (toliau – Platforma).
SOC, dėl kibernetinio incidento neturintis galimybės apie kibernetinius incidentus informuoti per Platformą, NKSC informuoja užpildydamas formą NKSC interneto svetainėje arba NKSC nurodytu elektroninio pašto adresu arba telefonu.
Šis dokumentas nepakeičia oficialaus paskelbimo Teisės aktų registre. Neprisiimame atsakomybės už galimus netikslumus, atsiradusius perkeliant originalą į šį formatą.