Ministru kabineta noteikumi Nr.1445
Rīgā 2009.gada 15.decembrī (prot. Nr.88 41.§)
Kritisku valsts informācijas sistēmu un valsts informācijas sistēmu savietotāju aizsardzības prasības
Izdoti saskaņā ar Valsts informācijas sistēmu likuma 16.panta otro daļu
1. Noteikumi nosaka prasības, kas jāievēro, lai nodrošinātu kritisku valsts informācijas sistēmu un valsts informācijas sistēmu (turpmāk – sistēma) savietotāju aizsardzību.
2. Noteikumi attiecas uz kritisko valsts informācijas sistēmu pārziņiem un institūcijām, kuras nodrošina valsts informācijas sistēmu savietotāju darbību (turpmāk – sistēmas uzturētājs).
3. Prasības elektroenerģijas piegādei un nodrošinājumam:
3.1. sistēmu pieslēdz iekārtai, kas nodrošina sistēmas darbību ražotāja noteiktas jaudas nepārtrauktas elektroenerģijas piegādes tīklā un pasargā sistēmu no īslaicīgiem (līdz 30 minūtēm) elektroenerģijas piegādes traucējumiem;
3.2. nodrošina sistēmas apturēšanu saskaņā ar tās ekspluatācijas noteikumiem vai automātisku pieslēgšanos rezerves elektrobarošanas avotam, ja notiek ilglaicīgi elektroenerģijas padeves traucējumi.
4. Sistēmas datu apmaiņas nodrošināšanas prasības:
4.1. ja sistēmas darbībai ir nepieciešams interneta pieslēgums, nodrošina vismaz divus savstarpēji nodalītus interneta pieslēgumus tāda interneta pakalpojuma sniedzēja atsevišķiem komunikāciju punktiem (katrs no šiem punktiem ir atsevišķi pieslēgts galvenajam Latvijas interneta plūsmu apmaiņas punktam), kuram ir vairāki pieslēgumi ārvalstu interneta pakalpojumu sniedzējiem. Rezerves interneta pieslēgums nodrošina vismaz 20 procentu no pamata interneta pieslēguma jaudas;
4.2. ja sistēmas darbībai nepieciešams nodrošināt datu apmaiņu, izmantojot citu elektronisko sakaru kanālu (nevis internetu), sistēmas pieslēgumu nodrošina, izmantojot savstarpēji aizvietojamus elektronisko sakaru kanālus. Rezerves pieslēguma elektronisko sakaru kanāls nodrošina vismaz 20 procentu no pamata elektronisko sakaru kanāla jaudas.
5. Sistēmas fiziskās aizsardzības prasības:
5.1. sistēmas infrastruktūru (serverus, disku masīvus, komutatorus, kuriem pieslēgti sistēmas serveri) aizsargā pret neautorizētu piekļuvi, zādzībām, tīšiem vai netīšiem bojājumiem (piemēram, plūdi, ugunsgrēks) un traucējumiem (piemēram, elektromagnētiskā iedarbība). Sistēmas drošības pārvaldnieks uztur to personu sarakstu, kurām darba pienākumu izpildei nepieciešama fiziska piekļuve sistēmu infrastruktūrai un ir tiesības uzturēties sistēmas infrastruktūras telpās;
5.2. telpas, kurās atrodas sistēmas infrastruktūra, aprīko ar apsardzes signalizāciju (detektori, kuri fiksē nesankcionētu durvju un logu atvēršanu) un dūmu/uguns detektoriem;
5.3. telpās, kurās atrodas sistēmas infrastruktūra, nodrošina videonovērošanu. Videoierakstus glabā vismaz 60 dienas un pieeju videoierakstiem saskaņā ar drošības pārvaldnieka sarakstu nodrošina personām, kurām tie ir nepieciešami darba vai dienesta pienākumu izpildei;
5.4. iekļūšanu sistēmas infrastruktūras telpās fiksē reģistrācijas žurnālā vai izmanto elektronisko piekļuves kontroles sistēmu;
5.5. trešās personas, kurām nepieciešama piekļuve sistēmas apkalpošanai, sistēmas infrastruktūras telpās drīkst uzturēties tikai kopā ar šo noteikumu 5.1.apakšpunktā minētajām personām;
5.6. sistēmas infrastruktūras telpu mikroklimatu (mitrums, temperatūra) nodrošina atbilstoši prasībām, ko ražotājs noteicis sistēmas darbināšanai izmantotajai aparatūrai.
6. Sistēmas loģiskās aizsardzības prasības:
6.1. sistēmas iekšējos datortīklus nodala no publiskā ārējā tīkla (interneta) ar ugunsmūra palīdzību;
6.2. sistēmas iekšējos datortīklus un sistēmas uzturētāja iekšējos datortīklus nodala dažādos virtuālajos lokālajos tīklos vai ar ugunsmūra palīdzību;
6.3. nodrošina sistēmas pretvīrusu aizsardzību, kā arī antivīrusu programmas datubāzes atjaunošanu vismaz reizi nedēļā;
6.4. nodrošina nepārtrauktu sistēmas darba vides monitoringu, izmantojot ielaušanās mēģinājumu noteikšanas un aizsardzības sistēmu;
6.5. nodrošina attālinātas piekļuves ierobežošanu sistēmas administrēšanai, izmantojot šifrētu pieslēgumu, kā arī uztur sistēmas piekļuves auditācijas žurnālu, kura ierakstus glabā vismaz 60 dienu;
6.6. sistēmas uzlabojumu testēšanu veic atsevišķi šīm vajadzībām izveidotā testa vidē;
6.7. piekļuvi sistēmai nodrošina tikai tām personām, kurām sistēmā esošā informācija ir nepieciešama dienesta pienākumu veikšanai.
7. Pastāvīgi veic sistēmas monitoringu pēc šādu parametru atbilstības normālam ekspluatācijas režīmam:
7.1. sistēmas pieejamība (pieejama vai nav pieejama);
7.2. sistēmas kritiskās robežas:
7.2.1. sistēmas servera procesora noslodze (procentos);
7.2.2. sistēmas servera operatīvās atmiņas izmantošana (noslodze procentos);
7.2.3. sistēmas servera un disku masīvu brīva vieta uz diskiem;
7.3. sistēmas pārziņa noteiktu svarīgu procesu pieejamība (pieejams vai nav pieejams);
7.4. sistēmas veiktspēja.
8. Prasības sistēmas infrastruktūras apkalpošanai:
8.1. veic nepieciešamos apkalpošanas darbus saskaņā ar ražotāja noteiktajām prasībām;
8.2. sistēmas serveriem izmanto bojājumpiecietīgos risinājumus;
8.3. sistēmas pieejamība ir nodrošināta vismaz 99 procentu apjomā no sistēmas noteiktā darbības laika gadā;
8.4. sistēmas aplikācija nošķirta no sistēmas datiem fiziskā līmenī.
9. Prasības sistēmas datu rezerves kopiju veidošanai un glabāšanai:
9.1. pilnu sistēmas datu kopiju veido:
9.1.1. reizi nedēļā (nedēļas kopija);
9.1.2. pēdējā mēneša nedēļā (mēneša kopija);
9.1.3. pēdējā gada mēnesī (gada kopija);
9.2. katru dienu veido pieauguma kopijas;
9.3. pilnās rezerves kopijas glabā no informācijas sistēmas ģeogrāfiski nošķirtā vietā (dažādās ēkās);
9.4. nedēļas kopijas glabā vismaz mēnesi, mēneša kopijas glabā vismaz gadu, gada kopijas glabā vismaz trīs gadus pēc to izveidošanas;
9.5. mēneša un gada rezerves kopijas glabā vietās, kur tās ir pasargātas no bojājuma ugunsgrēku, plūdu vai līdzīgu negadījumu laikā un kur netiek pieļauta to nokļūšana trešo personu rīcībā.
10. Pastāvīgi veic nepieciešamos sistēmas standarta programmatūras atjaunināšanas darbus (jauninājumu, jaunu programmatūras versiju uzstādīšana), nodrošinot programmatūras izstrādātāju ieteikto procedūru regulāru un pienācīgu izpildi. Pirms serveru jauninājumu un jaunu programmatūras versiju uzstādīšanas jāveic testēšana šo noteikumu 6.6.apakšpunktā minētajā testa vidē.
11. Prasības personām, kuras apkalpo sistēmu:
11.1. personas darba līgumā vai amata aprakstā iekļauj nosacījumus par konfidencialitātes prasību ievērošanu attiecībā uz datiem, kuri nonāk personas rīcībā, veicot darba pienākumus. Ja sistēmu apkalpo trešā persona (piemēram, komersants vai pašnodarbināta persona), konfidencialitātes prasības nosaka dokumentā, kas regulē darba tiesiskās attiecības;
11.2. pirms darba pienākumu izpildes uzsākšanas persona ar parakstu apliecina, ka ir iepazinusies ar sistēmas drošības politiku, sistēmas drošības noteikumiem un citiem sistēmas darbību reglamentējošiem dokumentiem.
12. Noteikumi stājas spēkā 2010.gada 1.janvārī.
13. Šo noteikumu 3. un 4.punkts un 5.2., 5.3. un 6.4.apakšpunkts stājas spēkā 2011.gada 1.oktobrī.
Ministru prezidents V.Dombrovskis
Reģionālās attīstības un pašvaldību lietu ministrs E.Zalāns
