Informacijos saugumo politika (toliau – Politika) yra pagrindinis UAB „Adwisery“ (toliau – Adwisery) informacijos saugumo valdymo sistemos (toliau – ISVS) dokumentas, skirtas nustatyti Adwisery informacijos saugumo valdymo principus, nustatyti efektyvias saugumo užtikrinimo kryptis, siekiant suvaldyti informacijos saugos rizikas, bei teises aktu atitikti. Politikos ir ISVS dokumentu dalys gali buti pateikiamos susipažinti su Adwisery informacija susijusioms šalims, joms prieinama ir suprantama forma.
Politikos tikslas – pateikti Adwisery vadovybės poziciją informacijos saugumo atžvilgiu bei apsaugoti visą Adwisery gaunamą, siunčiamą, kuriamą, valdomą ir naudojamą žodinę, rašytinę ir elektroninę informaciją (toliau – Informacija) nuo visų galimų grėsmių: išorinių, vidinių, tyčinių ar atsitiktinių, galinčių turėti įtakos Adwisery vykdomai veiklai ir įvaizdžiui.
Teisės aktai ir standartais kuriais vadovaujamasi įgyvendinant ISVS:
Lietuvos Respublikos kibernetinio saugumo įstatymas;
Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimas Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“;
Lietuvos Respublikos krašto apsaugos ministro 2020 m. gruodžio 4 d. įsakymas Nr. V941 „Dėl Informacinių technologijų saugos atitikties vertinimo metodikos patvirtinimo“;
2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (toliau – Bendrasis duomenų apsaugos reglamentas);
Lietuvos standartas LST ISO/IEC ISO 27001:2022 „Informacijos saugumas, kibernetinis saugumas ir privatumo apsauga. Informacijos saugumo valdymo sistemos. Reikalavimai“ (toliau – Standartas IEC/ISO 27001 reikalavimus);
Lietuvos standartas LST ISO/IEC 27002:2022 „Informacijos saugumas, kibernetinis saugumas ir privatumo apsauga. Informacijos saugumo kontrolės priemonės“;
kitais teisės aktais, reglamentuojančiais kibernetinį saugumą.
Informacija – tai strategiškai svarbus Adwisery veiklai turtas, todėl jos praradimas, neteisėtas pakeitimas, sugadinimas, atskleidimas ar informacijos apdorojimo nutraukimas gali sukelti Adwisery veiklos sutrikimų. Atsižvelgiant į tai, ši Politika nustato pagrindines gaires, kuriomis, siekiant apsaugoti Adwisery ir jos klientų informaciją, privalo vadovautis visi Adwisery darbuotojai, rangovai ir kitos susijusios šalys veikiančios rizikų ir veiklos tęstinumo valdymo, informacinių technologijų valdymo, informacijos ir kibernetinio saugumo valdymo, informacinių sistemų diegimo, priežiūros ir vystymo, konsultavimo ir mokymų organizavimo srityse bei kituose Adwisery veiklos procesuose, kur yra valdoma, perduodama ar kitaip tvarkoma informacija, nepriklausomai nuo jos formos ir saugojimo būdo.
Politika taikoma visiems Adwisery veiklos procesams, kur yra valdoma, perduodama ar kitaip tvarkoma informacija, nepriklausomai nuo jos formos ir saugojimo būdo ir apima žodinę bei rašytinę informaciją, informacines sistemas, kompiuterių tinklus, fizinę aplinką, darbuotojus, susijusias šalis, partnerius, rangovus, ar kitus Adwisery dirbančius asmenis, įskaitant darbuotojus, dirbančius trečiosioms šalims, teisėtai tvarkančius Adwisery informaciją.
Politika aprašo Adwisery:
Informacijos saugumo valdymo tikslus, siekiant apsaugoti Adwisery ir klientų Informacijos konfidencialumą, vientisumą ir prieinamumą;
ISVS taikymo sritį.
Politikoje vartojamos sąvokos:
Atitikties vertinimas – informacinių technologijų saugos atitikties vertinimas organizacinių ir techninių kibernetinio saugumo reikalavimų pagal Lietuvos Respublikos kibernetinio saugumo įstatymą ir jo poįstatyminius teisės aktus;
Fizinio saugumo priemonės – techninės ir elektroninės priemonės, skirtos informacijai apsaugoti nuo neteisėto įgijimo, atskleidimo, sunaikinimo bei užkirsti kelią neteisėtam patekimui į saugomas patalpas ar teritorijas, neteisėtam susipažinimui su šiose vietose saugoma informacija, taip pat padėti nustatyti neteisėtą asmenų patekimą į saugomas patalpas, užkirsti kelią neteisėtiems šių asmenų veiksmams;
Informacijos ir kibernetinis saugumas – apima informacijos konfidencialumo, vientisumo ir prieinamumo išsaugojimą;
IS – informacinė sistema;
Kibernetinis incidentas – įvykis, dėl kurio kyla pavojus saugomų, perduodamų arba tvarkomų duomenų arba paslaugų, teikiamų arba prieinamų per tinklų ir IS, prieinamumui, autentiškumui, vientisumui arba konfidencialumui;
Korekcinis veiksmas – veiksmas, atliekamas siekiant pašalinti nustatytos neatitikties ar kitos nepageidaujamos situacijos priežastį;
KSIS – Kibernetinio saugumo informacinė sistema;
NKSC – Nacionalinis kibernetinio saugumo centras prie Krašto apsaugos ministerijos;
Rizika – potencialus praradimas arba sutrikimas, kurį gali sukelti kibernetinis incidentas. Kibernetinio saugumo rizika išreiškiama kaip tokio praradimo arba sutrikimo masto ir kibernetinio incidento tikimybės derinys;
Rizikų vertinimas – informacijos saugumo rizikos vertinimas;
Tinklų ir informacinė sistema – elektroninių ryšių tinklas, bet koks prietaisas arba tarpusavyje sujungtų arba susijusių prietaisų, iš kurių vienas ar daugiau pagal programą automatiškai apdoroja skaitmeninius duomenis, grupė arba skaitmeniniai duomenys, saugomi, tvarkomi, atkuriami arba perduodami nurodytomis priemonėmis jų valdymo, naudojimo, apsaugos ir priežiūros tikslais.
Adwisery informacijos saugumas grindžiamas šiais kibernetinio saugumo principais:
Kibernetinės erdvės nediskriminavimo – teisės aktų nuostatos yra taikomos, o teisės aktų saugomų gėrių apsauga yra užtikrinama vienodai tiek fizinėje, tiek kibernetinėje erdvėje;
Kibernetinio saugumo rizikos valdymo – taikomos kibernetinio saugumo rizikos valdymo priemonės turi užtikrinti Adwisery reguliariai įvertinamos rizikos suvaldymą;
Kibernetinio saugumo proporcingumo – taikomos kibernetinio saugumo rizikos valdymo priemonės neturi apriboti Adwisery veiklos labiau, negu tai būtina kibernetiniam saugumui užtikrinti;
Viešojo intereso viršenybės – taikomos kibernetinio saugumo rizikos valdymo priemonės pirmiausia turi užtikrinti viešojo intereso apsaugą, tačiau neturi iš esmės pažeisti atskirų vartotojų, Adwisery teisių ir teisėtų interesų ar neproporcingai apriboti jų laisvės;
Standartizacijos ir technologinio neutralumo – įgyvendinant kibernetinio saugumo rizikos valdymo priemones, Adwisery skatinami vadovautis nacionaliniais, Europos Sąjungos ir kitais tarptautiniais tinklų ir IS saugumo standartais ir techninėmis specifikacijomis, nereikalaujant taikyti kokios nors konkrečios rūšies technologijos ir nesuteikiant jai pirmenybės;
Subsidiarumo – už tinklų ir IS ir jomis teikiamų paslaugų kibernetinį saugumą yra atsakingi Adwisery. Srityse, kurios priklauso išimtinei Adwisery kompetencijai, NKSC veiksmų imasi tik tada, kai tinklų ir IS ir jomis teikiamų paslaugų kibernetinio saugumo neužtikrina Adwisery.
Taikant kibernetinį saugumą reglamentuojančias teisės normas, turi būti atsižvelgiama į visus Politikos 8 punkte nurodytus principus. Šie principai turi būti derinami tarpusavyje, nė vienam iš jų iš anksto nesuteikiama pirmenybė.
Įgyvendinant ISVS tikslą yra siekiama tokių informacijos saugumo tikslų:
Užtikrinti ir valdyti informacijos saugumą, atsižvelgiant į Adwisery veiklos (strateginius) tikslus;
Užtikrinti ir valdyti atitikimą išoriniams ir vidiniams informacijos saugumo reikalavimams, atliekant periodinį ISVS dokumentacijos atitikties vertinimą ir šalinant nustatytus trūkumus;
Užtikrinti informacijos saugumo pažeidimų sprendimą ir jų priežasčių pašalinimą, įgyvendinant informacijos saugos incidentų valdymo procesą;
Užtikrinti tinkamą informacijos saugumo ir apdorojimo priemonių parinkimą ir įgyvendinimą, atliekant kasmetinį rizikos vertinimą ir įgyvendinant rizikų valdymo planą;
Užtikrinti taikomų informacijos saugumo priemonių veiksmingumą, atliekant ISVS vidaus auditą ir ISVS valdymo peržiūrą, siekiant pašalinti nustatytas ISVS neatitiktis ir įgyvendinti gerinimo veiksmus;
Užtikrinti veiklos tęstinumo valdymo ir atstatymo planų tinkamumą, atliekant jų periodinius peržiūrą ir testavimą.
Užtikrinti ISVS aprūpinimą pakankamais žmogiškaisiais ir darbo priemonių ištekliais;
Užtikrinti darbuotojų dalyvaujančių ISVS valdyme kompetencijos kėlimą.
Informacijos ir kibernetinis saugumas apima tris pagrindinius aspektus:
Konfidencialumą – informacijos apsauga nuo nesankcionuoto atskleidimo;
Vientisumą – informacijos apsauga nuo nesankcionuoto ar atsitiktinio pakeitimo;
Prieinamumą – užtikrinimas, kad informacija yra prieinama tada, kai ji reikalinga tinkamai vykdyti Adwisery veiklą.
Adwisery ISVS sertifikavimo sritis: Rizikų ir veiklos tęstinumo valdymas, informacinių technologijų valdymas, informacijos ir kibernetinio saugumo valdymas, informacinių sistemų diegimas, priežiūra ir vystymas, konsultavimas ir mokymų organizavimas.
Suinteresuotų šalių reikalavimai Adwisery kyla iš:
Tarptautinių teisės aktų;
Lietuvos Respublikos teisės aktų;
Sutarčių ir susitarimų.
Adwisery užtikrina informacijos ir kibernetinį saugumą, prisiimdamas įsipareigojimus ir atitikdamas taikomus teisinius reikalavimus bei paskirstydamas atsakomybes už informacijos ir kibernetinį saugumą.
Informacijos ir kibernetinio saugumo valdymas Adwisery yra pagrįstas rizikos valdymu. Informacijos saugumo rizikos vertinimas sudaro sąlygas, kad informacijos ir kibernetinio saugumo valdymo priemonės, taikomos Adwisery veikloje, atitiktų pagrindinius Adwisery veiklos bei informacijos ir kibernetinio saugumo tikslus.
Adwisery informacijos saugumo rizikų vertinamas atliekamas ne rečiau kaip kartą per metus arba įvykus reikšmingiems Adwisery pokyčiams, kurie gali turėti poveikį informacijos ir kibernetiniam saugumui.
Adwisery ISVS vidaus auditas atliekamas kartu su Atitikties vertinimu ne rečiau kaip kartą per metus arba įvykus reikšmingiems Adwisery pokyčiams, kurie gali turėti poveikį informacijos ir kibernetiniam saugumui. Adwisery ne rečiau kaip kartą per 3 metus privalo atlikti Atitikties vertinimą nepriklausomi visuotinai pripažintų tarptautinių organizacijų sertifikuoti auditoriai Lietuvos Respublikos kibernetinio saugumo įstatymo nustatyta tvarka.
Adwisery vykdomas ISVS procesų ir kontrolės priemonių stebėjimas, matavimai, analizė ir įvertinimas.
Adwisery atliekama vadovybės vertinamoji analizė.
Bet koks Politikos ir kitų ISVS dokumentų normų pažeidimas laikomas kibernetinio saugumo incidentu, kuris gali daryti neigiamą įtaką Adwisery veiklos tęstinumui, sugadinti ir pakenkti jos įvaizdžiui visuomenėje.
Adwisery darbuotojams ir trečiosioms šalims, pažeidusiems ISVS reikalavimus, yra taikomos Lietuvos Respublikos įstatymuose, Adwisery vidaus teisės aktuose bei sutartyse, susitarimuose ar kituose teisinę galią turinčiuose dokumentuose numatytos poveikio priemonės.
Politika ir kiti ISVS dokumentai peržiūrimi ne rečiau kaip kartą per metus ir pagal poreikį atnaujinami.