PRAVILNIKO BEZBEDNOSTI INFORMACIONO-KOMUNIKACIONOG SISTEMA ORGANA GRADA BEOGRADA("Sl. list grada Beograda", br. 89/2026) |
Pravilnikom o bezbednosti informaciono-komunikacionog sistema organa Grada Beograda (u daljem tekstu: Pravilnik o bezbednosti), u skladu sa Zakonom o informacionoj bezbednosti ("Službeni glasnik RS", broj 91/25) (u daljem tekstu: zakon), bliže se uređuju mere zaštite, principi, način i procedure postizanja i održavanja adekvatnog nivoa bezbednosti sistema, kao i ovlašćenja i odgovornosti u vezi sa bezbednošću i resursima informaciono-komunikacionog sistema organa Grada Beograda (u daljem tekstu: IKT sistem).
Ciljevi Pravilnika o bezbednosti
Ciljevi donošenja Pravilnika o bezbednosti su:
1. određivanje načina i procedura za postizanje i održavanje adekvatnog nivoa bezbednosti sistema;
2. sprečavanje i ublažavanje posledica incidenata kojim se ugrožava ili narušava informaciona bezbednost;
3. podizanje svesti kod zaposlenih o značaju informacione bezbednosti, rizicima i merama zaštite prilikom korišćenja IKT sistema;
4. propisivanje ovlašćenja i odgovornosti zaposlenih u vezi sa bezbednošću i resursima IKT sistema;
5. sveukupno unapređenje informacione bezbednosti i provera usklađenosti primene mera zaštite.
Mere propisane ovim Pravilnikom o bezbednosti odnose se na zaposlena, izabrana, imenovana i postavljena lica u organima Grada Beograda, Gradskom pravobranilaštvu Grada Beograda, Ombudsmanu grada Beograda, Kancelariji za mlade, Službi glavnog urbaniste grada Beograda, Službi za centralizovane javne nabavke i kontrolu nabavki, Službi za internu reviziju Grada Beograda, Gradskom štabu za vanredne situacije na teritoriji grada Beograda, kao i na druga lica koja u radu koriste IKT sistem organa Grada Beograda (u daljem tekstu: korisnici).
Kao referenca preuzimaju se postojeće definicije iz Zakona o informacionoj bezbednosti Republike Srbije. Dodatno, preuzimaju se i predlažu kao polazna tačka definicije iz drugih izvora za relevantne pojmove koje zakon ne navodi. Takođe, za određene pojmove iz zakona prilažu se i dopunske informacije u cilju šireg sagledavanja ili dodatnog pojašnjenja predmetnih pojmova.
Pojedini termini u smislu ovog pravilnika imaju sledeće značenje:
1. informaciono-komunikacioni sistem (IKT sistem) organa grada Beograda je tehnološko-organizaciona celina koja obuhvata:
- elektronske komunikacione mreže u smislu zakona koji uređuje elektronske komunikacije;
- uređaje ili grupe međusobno povezanih uređaja, takvih da se u okviru uređaja, odnosno u okviru barem jednog iz grupe uređaja, vrši automatska obrada podataka korišćenjem računarskog programa;
- podatke koji se pohranjuju, obrađuju, pretražuju ili prenose pomoću sredstava iz dve prethodno navedene stavke (1) i (2), a u svrhu njihovog rada, upotrebe, zaštite ili održavanja;
- organizacionu strukturu putem koje se upravlja IKT sistemom grada Beograda;
- sve tipove sistemskog i aplikativnog softvera i softverske razvojne alate;
2. nadležni subjekt IKT sistema organa Grada Beograda je Sekretarijat za opšte poslove;
3. operator IKT sistema organa Grada Beograda je fizičko lice u svojstvu registrovanog subjekta, pravno lice, svaki organ ili organizaciona jedinica organa koja u okviru obavljanja poslova iz svoje nadležnosti koristi IKT sistem organa Grada Beograda;
4. informaciona bezbednost predstavlja sposobnost informaciono-komunikacionih sistema i mreža da se odupru i/ili ublaže, uz određeni stepen pouzdanosti, svaki događaj koji bi mogao da ugrozi raspoloživost, integritet, autentičnost, neporecivost i poverljivost podataka koji se obrađuju, odnosno usluga koje se pružaju ili su dostupne putem tog IKT sistema;
5. integritet je svojstvo koje obezbeđuje da podaci ili informacije nisu promenjeni ili uništeni na neovlašćeni način od kada su kreirani, preneti ili uskladišteni;
6. raspoloživost je svojstvo kojim se osigurava dostupnost i upotrebljivost IKT sistema na zahtev ovlašćenog subjekta ili procesa onda kada im je potreban;
7. autentičnost je svojstvo kojim se osigurava mogućnost da se proveri i da je informaciju stvorio ili poslao onaj za koga se tvrdi da je tu radnju izvršio;
8. poverljivost je svojstvo kojim se osigurava da su informacije i funkcije IKT sistema dostupan samo ovlašćenim licima;
9. neporecivost predstavlja sposobnost dokazivanja da se dogodila određena radnja ili da je nastupio određeni događaj, tako da ga naknadno nije moguće poreći;
10. rizik predstavlja mogućnost nastanka događaja ili uslova koji mogu ugroziti nivo informacione bezbednosti ili ispravno funkcionisanje IKT sistema organa grada Beograda, što se utvrđuje na osnovu procene verovatnoće događaja i veličine njegovog potencijalnog uticaja na nivo informacione bezbednosti;
11. ranjivost predstavlja slabost ili nedostatak u IKT proizvodima ili uslugama koji se mogu iskoristiti za realizaciju jedne ili više pretnji;
12. upravljanje rizikom je skup sistematičnih aktivnosti identifikacije, procene i uspostavljanje sistema kontrole rizika koji omogućava planiranje, organizovanje i usmeravanje mera zaštite kako bi se obezbedilo da rizici ostanu u propisanim i prihvatljivim okvirima;
13. incident je svaki događaj koji ugrožava raspoloživost, autentičnost, integritet, neporecivost ili poverljivost podataka koji se čuvaju, prenose ili obrađuju ili usluge koje se pružaju, odnosno koje su dostupne putem IKT sistema;
14. izbegnuti incident predstavlja identifikovani događaj u IKT sistemu koji je mogao dovesti do značajnog ugrožavanja raspoloživosti, autentičnosti, integriteta ili poverljivosti podataka, usluga ili sistema, ali je savremenom intervencijom ili zaštitnim merama sprečeno ostvarivanje štetnih posledica;
15. pretnja predstavlja svaku okolnost, događaj ili radnju koja može da ugrozi, poremeti ili na drugi način štetno utiče na IKT sistem, korisnike sistema i druga lica sa jasnom verovatnoćom nastajanja štete u slučaju da izostane reakcija;
16. ozbiljna pretnja predstavlja pretnju po informacionu bezbednost za koju se, s obzirom na njena tehnička svojstva, može pretpostaviti da ima potencijal da izazove značajne negativne posledice po IKT sistem, njegovog operatera ili korisnika usluga tog operatera uzrokujući značajnu materijalnu ili nematerijalnu štetu;
17. zlonamerni softver je softver namerno kreiran sa ciljem da ošteti, poremeti, onemogućiti ili neovlašćeno pristupi informaciono-komunikacionim sistemima i obuhvata različite tipove štetnih programa, uključujući viruse, trojance, crve, ransomver i špijunski softver;
18. jedinstveni sistem za prijem obaveštenja o incidentima je informacioni sistem u koji se unose podaci o incidentima i izbegnutim incidentima u IKT sistemima od posebnog značaja, koji mogu da imaju značajan uticaj na narušavanje informacione bezbednosti;
19. upravljanje incidentom podrazumeva preduzimanje svih radnji i postupaka čiji je cilj sprečavanje, otkrivanje, analiza i prekid incidenta, kao i preduzimanje drugih mera radi odgovora na incident i otklanjanja njegovih posledica;
20. kriza informacione bezbednosti je događaj ili stanje koje ugrožava, ometa rad ili onemogućuje rad IKT sistema od posebnog značaja i pritom izaziva rizike, pretnje ili posledice po stanovništvo, materijalna dobra ili životnu sredinu izuzetno velikog obima i intenziteta koje nije moguće sprečiti ili otkloniti redovnim delovanjem nadležnih organa i službi, odgovor na takav događaj ili stanje zahteva učešće više nadležnih organa, kao i primenu odgovarajućih mera;
21. mere zaštite IKT sistema organa grada Beograda su tehničke, organizacione, administrativne i fizičke mere za upravljanje bezbednosnim rizicima IKT sistema organa grada Beograda;
22. tajni podatak je podatak koji je, u skladu sa propisima o tajnosti podataka, određen i označen određenim stepenom tajnosti;
23. IKT sistem organa grada Beograda za rad sa tajnim podacima je deo IKT sistema organa grada Beograda koji je u skladu sa zakonom određen za rad sa tajnim podacima;
24. organ je državni organ, organ autonomne pokrajine, jedinica lokalne samouprave, organizacija i drugo pravno ili fizičko lice kome je povereno vršenje javnih ovlašćenja;
25. služba bezbednosti je služba bezbednosti u smislu zakona kojim se uređuju osnove bezbednosno-obaveštajnog sistema Republike Srbije;
26. samostalni operateri IKT sistema su ministarstvo nadležno za poslove odbrane, ministarstvo nadležno za unutrašnje poslove, ministarstvo nadležno za spoljne poslove, službe bezbednosti i Narodna banka Srbije;
27. Centar za prevenciju bezbednosnih rizika u IKT sistemima (u daljem tekstu: CERT) je funkcionalna celina u okviru organa ili pravnog lica koja obuhvata skup poslova koji se odnose na prevenciju i zaštitu od incidenata;
28. kompromitujuće elektromagnetno zračenje (KEMZ) predstavlja nenamerne elektromagnetne emisije prilikom prenosa, obrade ili čuvanja podataka, čijim prijemom i analizom se može otkriti sadržaj tih podataka;
29. kriptobezbednost je komponenta informacione bezbednosti koja obuhvata kriptozaštitu, upravljanje kriptomaterijalima i razvoj metoda kriptozaštite;
30. kriptozaštita je primena metoda, mera i postupaka radi transformisanja podataka u oblik koji ih za određeno vreme ili trajno čini nedostupnim neovlašćenim licima;
31. kriptografski proizvod je softver ili uređaj putem koga se vrši kriptozaštita;
32. kriptomaterijali su kriptografski proizvodi, podaci, tehnička dokumentacija kriptografskih proizvoda, kao i odgovarajući kriptografski ključevi;
33. bezbednosna zona je prostor ili prostorija u kojoj se, u skladu sa propisima o tajnosti podataka, obrađuju i čuvaju tajni podaci, kao i prostor ili prostorija koja je od ključnog značaja za očuvanje informacione bezbednosti IKT sistema;
34. informaciona dobra obuhvataju:
a. informacije koje se obrađuju u skladu sa funkcijom i namenom IKT sistema;
b. elektronske zapise o konfiguraciji uređaja i elektronske komunikacione mreže;
c. elektronske zapise o interakcijama u IKT sistemima, pristupu i upotrebi IKT sistema (tzv. log zapise);
d. programski kod;
e. tehničku i korisničku dokumentaciju;
f. elektronske zapise o interakcijama u elektronskoj komunikacionoj mreži (tzv. mrežni saobraćaj);
g. informacije kojima se regulišu imena i korišćenje IKT sistema, procesa, mere zaštite i sl.;
35. usluga informacionog društva je usluga u smislu zakona kojim se uređuje elektronska trgovina;
36. pružalac usluge informacionog društva je pravno lice koje je pružalac usluge u smislu zakona kojim se uređuje elektronska trgovina;
37. mreža za isporuku sadržaja (Content Delivery Network - CDN) označava mrežu geografski raspoređenih servera koja je osmišljena da obezbedi visoku dostupnost, pristupačnost i brzu isporuku digitalnog sadržaja i usluga korisnicima interneta, u ime pružalaca sadržaja i usluga;
38. tačka za razmenu internet saobraćaja (engl. internet exchange point) je mrežna struktura koja pruža mogućnost povezivanja dve ili više nezavisnih mreža (autonomnih sistema) prvenstveno u svrhu olakšavanja razmene internet saobraćaja, i koja omogućava međupovezivanje autonomnih sistema, u kom slučaju nije potrebno da internet saobraćaj između autonomnih sistema prođe kroz treći autonomni sistem, te koji takav saobraćaj ne menja i ne utiče na njega na drugi način;
39. sistem naziva domena (DNS) je distribuirani, hijerarhijski organizovan sistem koji povezuje nazive domena sa odgovarajućim IP adresama koje se koriste za usmeravanje i povezivanje korisničkih uređaja sa uslugama i resursima na internetu;
40. pružalac usluge DNS-a je subjekat koji pruža usluge razrešavanja DNS upita korisnika interneta ili pruža uslugu autoritativnih servera imena za nazive domena koje koriste treća lica, sa izuzetkom korenskih (engl. root) servera imena;
41. usluga od poverenja je usluga u smislu zakona kojim se uređuje elektronski dokument, elektronska identifikacija i usluge od poverenja u elektronskom poslovanju;
42. pružalac usluge od poverenja je pružalac u smislu zakona kojim se uređuje elektronski dokument, elektronska identifikacija i usluge od poverenja u elektronskom poslovanju;
43. kvalifikovana usluga od poverenja je usluga u smislu zakona kojim se uređuje elektronski dokument, elektronska identifikacija i usluge od poverenja u elektronskom poslovanju;
44. pružalac kvalifikovane usluge od poverenja je pružalac u smislu zakona kojim se uređuje elektronski dokument, elektronska identifikacija i usluge od poverenja u elektronskom poslovanju;
45. usluge računarstva u klaudu (engl. "cloud computing service") su digitalne usluge koje omogućavaju upravljanje na zahtev i široki daljinski pristup nadogradivom i elastičnom skupu deljivih računarskih resursa, uključujući i situacije kada su takvi resursi raspoređeni na nekoliko lokacija;
46. usluga centra za upravljanje i čuvanje podataka je usluga koja se pruža u okviru infrastrukture namenjene za centralizovano smeštanje, međupovezivanje i funkcionisanje računarske i mrežne opreme radi čuvanja, obrade i prenosa podataka (data centar), uključujući sve objekte i infrastrukturu za distribuciju električne energije i kontrolu uticaja na životnu sredinu;
47. naučnoistraživačka organizacija je organizacija u smislu zakona kojim se uređuju nauka i istraživanje;
48. javna elektronska komunikaciona mreža je elektronska komunikaciona mreža u smislu zakona kojim se uređuju elektronske komunikacije;
49. elektronska komunikaciona usluga je usluga u smislu zakona kojim se uređuju elektronske komunikacije;
50. pružalac upravljanih usluga je subjekt koji pruža usluge u vezi sa postavljanjem, upravljanjem, radom i održavanjem IKT proizvoda, mreža, infrastrukture, aplikacija ili druge mreže i informacionog sistema putem pružanja pomoći ili aktivnog upravljanja koje se sprovodi u prostorijama korisnika usluga ili na daljinu;
51. pružalac upravljanih bezbednosnih usluga je pružalac upravljanih usluga koji sprovodi ili pruža pomoć u sprovođenju aktivnosti u vezi sa upravljanjem rizikom u oblasti bezbednosti;
52. registar naziva domena najvišeg nivoa (engl. TLD name registry) je subjekt koji je odgovoran za upravljanje nazivom domena najvišeg nivoa (TLD) koji mu je dodeljen i koji donosi politiku i pravila za domen, upravlja bazom registra, generiše datoteku zone i održava tehničku infrastrukturu servera imena za dodeljeni domen najvišeg nivoa;
53. pružalac usluge registracije naziva domena je registrator naziva domena ili drugi subjekt koji deluje u ime registratora;
54. IKT proizvod je element ili grupa elemenata u okviru informaciono-komunikacionog sistema;
55. IKT usluga je usluga koja se u potpunosti ili u većoj meri sastoji iz prenosa, čuvanja, preuzimanja ili obrade podataka korišćenjem IKT sistema;
56. IKT proces je skup aktivnosti koji se obavljaju u cilju izrade, razvoja, korišćenja i održavanja IKT proizvoda ili IKT usluge;
57. TLP (Traffic Light Protocol) predstavlja standard za deljenje informacija u oblasti informacione bezbednosti, koji je uspostavljen u cilju obezbeđivanja efektivne saradnje i deljenja informacija od izvora informacija do jednog ili više primaoca. Protokol pruža jednostavnu i intuitivnu šemu od četiri oznake za upućivanje na to sa kim se potencijalno osetljive informacije mogu podeliti;
58. podatak o ličnosti je svaki podatak koji se odnosi na fizičke lice čiji je identitet određen ili odrediv, neposredno ili posredno, posebno na osnovu oznaka identiteta, kao što je ime i identifikacioni broj, podataka o lokaciji, identifikatora u elektronskim komunikacionim mrežama ili jednog, odnosno više obeležja njegovog fizičkog, fiziološkog, genetskog, mentalnog, ekonomskog, kulturnog i društvenog identiteta;
59. administrator je lice koje je ovlašćeno i odgovorno za održavanje, upravljanje i obezbeđivanje funkcionalnosti i bezbednosti IKT sistema od posebnog značaja, u skladu sa odredbama Zakona o informacionoj bezbednosti i drugim važećim propisima;
60. VPN (Virtual Private Network) je "privatna" komunikaciona mreža koja omogućava korisnicima na razdvojenim lokacijama da preko javne mreže jednostavno održavaju zaštićenu komunikaciju;
61. MAC (Media Access Control Address) predstavlja jedinstven broj od 12 heksadecimalnih cifara kojim se vrši identifikacija uređaja na TCP/IP mreži;
62. backup predstavlja izradu rezervne kopije podataka;
63. download predstavlja transfer podataka sa centralnog servera na lokalni računar;
64. freeware predstavlja softver čije je korišćenje besplatno;
65. opensource predstavlja softver čiji je izvorni kod javno dostupan;
66. firewall predstavlja "zaštitni zid", odnosno sistem preko kojega se vrši nadzor i kontroliše protok informacija između lokalne i javne mreže u cilju onemogućavanja zlonamernih aktivnosti;
67. USB ili fleš memorija je eksterni medijum za skladištenje podataka.
Termini koji se koriste u gorenavedenim definicijama, a koji imaju rodno značenje, izraženi u gramatičkom muškom rodu, podrazumevaju prirodni ženski i muški pol lica na koja se odnose.
Obaveza primene odredbi Pravilnika o bezbednosti
Mere zaštite IKT sistema koje su bliže uređene Pravilnikom o bezbednosti služe za prevenciju nastanka incidenata i minimizaciju štete od incidenata i njihova primena je obavezna za sve zaposlene.
Zaposleni u Gradu Beogradu moraju biti upoznati sa sadržinom Pravilnika o bezbednosti i dužni su da postupaju u skladu sa odredbama ovog pravilnika, kao i drugih internih procedura koje regulišu informacionu bezbednost.
Sekretarijat za opšte poslove je odgovoran za praćenje primene mera bezbednosti, kao i za proveru da su podaci zaštićeni na način koji je utvrđen ovim pravilnikom i internim procedurama.
Zaposleni u smislu ovog Pravilnika o bezbednosti jeste državni službenik i nameštenik koji je u radnom odnosu u Gradu Beogradu, kao i lice radno angažovano van radnog odnosa i lice koje vrši funkciju u Gradu Beogradu.
Zaposleni u Gradu Beogradu su dužni da pristupaju informacijama i resursima IKT sistema samo radi obavljanja redovnih poslovnih aktivnosti, kao i da blagovremeno informišu ovlašćeno lice o svim sigurnosnim incidentima i problemima.
Nepoštovanje odredaba Pravilnika o bezbednosti, kao i svako ugrožavanje ili narušavanje informacione bezbednosti, povlači disciplinsku odgovornost zaposlenog.
Mere zaštite IKT sistema odnose se na elektronske komunikacione mreže, elektronske uređaje na kojima se čuva i vrši obrada podataka korišćenjem računarskog programa, operativne i aplikativne računarske programe, programski kôd, podatke koji se čuvaju, obrađuju, pretražuju ili prenose pomoću elektronskih uređaja, organizacionu strukturu putem koje se upravlja IKT sistemom, korisničke naloge, tajne informacije za proveru verodostojnosti, tehničku i korisničku dokumentaciju, unutrašnje opšte akte i procedure.
Uspostavljanje organizacione strukture, sa utvrđenim poslovima i odgovornostima zaposlenih, kojom se ostvaruje upravljanje informacionom bezbednošću u okviru operatora IKT sistema
Grad Beograd u okviru organizacione strukture utvrđuje poslove i odgovornosti zaposlenih u cilju upravljanja informacionom bezbednošću.
Grad Beograd obezbeđuje dovoljno resursa za adekvatno upravljanje informacionom bezbednošću u skladu sa članom 10, stav 5. Zakona o informacionoj bezbednosti.
Svaki zaposleni - korisnik resursa IKT sistema je odgovoran za bezbednost resursa IKT sistema koje koristi radi obavljanja poslova iz svoje nadležnosti.
Postizanje bezbednosti rada na daljinu i upotrebe mobilnih uređaja
Grad Beograd dozvoljava rad na daljinu i upotrebu mobilnih uređaja od strane zaposlenih, ukoliko je osigurana bezbednost rada u slučaju obavljanja poslova van prostorija poslodavca, uzimajući u obzir i rizike do kojih može doći usled neadekvatnog korišćenja mobilnih uređaja.
Obavljanje poslova van prostorija poslodavca obuhvata:
- rad na daljinu;
- rad od kuće;
- virtuelno radno okruženje.
Takođe, rad na daljinu u smislu ovog pravilnika odnosi se na situaciju kada je zaposleni i drugi radno angažovani obavezan da izvrši određene poslove na mreži poslodavca, a nalazi se van prostorija poslodavca.
Predmetno angažovanje i omogućavanje obavljanja zadatih i neophodnih poslova se uređuje putem dodele odgovarajućih ovlašćenja i odgovornosti.
Procedura pristupa sistemu IKT definiše pravila i uslove za povezivanje na mrežu Grada Beograda sa udaljene lokacije. Pravilnom primenom utvrđenog postupka i načina pristupa, Grad Beograd svodi na minimum potencijalnu izloženost šteti koja može nastati usled neautorizovanog ili nekontrolisanog pristupa mreži.
Procedura pristupa sistemu IKT se primenjuje na sve zaposlene u Gradu Beogradu i saradnike koji koriste računare ili mobilne uređaje za povezivanje na mrežu Grada Beograda, i uređuje pristup sa udaljenih lokacija u svrhu obavljanja posla u ime i za račun Grada Beograda, uključujući korišćenje elektronske pošte i mrežnih resursa, kao i način pristupa mreži Grada Beograda sa udaljenih lokacija.
Autorizovanim korisnicima nije dozvoljeno da koriste mrežu Grada Beograda za aktivnosti koje nisu u domenu poslovnih aktivnosti, radnih i drugih zadataka u vezi sa poslom i predmetom rada pojedinačno zaposlenog.
Rad na daljinu zaposlenih ili drugih radno angažovanih (angažovanih za rad u prostorijama poslodavca) uz saglasnost rukovodioca uže organizacione celine podnosioca zahteva, odobrava lice odgovorno za informacionu bezbednost.
Mobilni uređaji podrazumevaju sve prenosne elektronske uređaje namenjene za komunikaciju na daljinu. U mobilne uređaje spadaju prenosivi računari, tableti, mobilni telefoni, PDA i svi drugi mobilni uređaji koji sadrži podatke i imaju mogućnost povezivanja na mrežu. Prilikom korišćenja mobilnih uređaja potrebno je osigurati poslovne informacije od mogućeg kompromitovanja.
Ovim pravilnikom se definiše način fizičke zaštitite od krađe i aktivnosti koje je neophodno preduzeti u slučaju krađe ili gubitka mobilnih uređaja, odnosno bezbednosnog incidenta, kako ne bi bila narušena bezbednost.
Grad Beograd sprovodi obuku zaposlenih koji koriste mobilne uređaje, u cilju podizanja svesti o dodatnim rizicima do kojih dolazi usled ovakvog načina rada.
Procedura se primenjuje na sve stalno zaposlene, zaposlene na određeno vreme ili lica angažovana po drugim osnovima, koji imaju pristup ili koriste mobilne uređaje u vlasništvu Grada Beograda.
Pravo na korišćenje mobilnih uređaja van sedišta Grada Beograda se stiče na osnovu pisanog zahteva korisnika mobilnog uređaja upućenog Sekretarijatu za opšte poslove, odnosno odgovornom licu. Mobilni uređaji koji se koriste moraju biti prethodno odobreni i/ili nabavljeni od strane Grada Beograda, i ocenjeni kao kompatibilni sa zahtevima obezbeđivanja adekvatnog stepena zaštite.
Rad na daljinu može se ostvariti i korišćenjem uređaja koji nisu mobilni (na primer, desktop računari). Ovi uređaji, pritom, moraju imati primenjene najmanje iste bezbednosne mere kao i srodni uređaji koji se nalaze u okviru mreže, dok se za zaštitu komunikacije moraju primeniti iste mere kao i za zaštitu komunikacije mobilnih uređaja. Podešavanje ovih uređaja vrše zaposleni zaduženi za informatičke poslove.
Korisnici ovih uređaja moraju obezbediti dovoljno bezbedan prostor za njihov rad (zasebna soba, položaj displeja takav da se onemogući posmatranje od strane neovlašćenih osoba i slično).
Sekretarijat za opšte poslove odgovoran je za vođenje evidencije o svim uređajima namenjenim za rad na daljinu. Evidencija o uređajima treba da sadrži podatke koji su neophodni da bi se uređaj i/ili korisnik nedvosmisleno identifikovali, kao što su: proizvođač, model, serijski broj, inventarski broj, MAC adresa, IMSI, IMEI, korisnik koji je zadužio uređaj i njegov jedinstveni SID (security identifier) u Microsoft Active Directory i slično.
Korisnik mobilnog uređaja u obavezi je da svaki bezbednosni incident prijavi licu odgovornom za informacionu bezbednost bez odlaganja, a u roku od 24 sata da dostavi pisanu izjavu o okolnostima bezbednosnog incidenta. Pod pojmom bezbednosni incident se smatra krađa, gubitak mobilnog uređaja ili bilo koji drugi događaj koji dovodi do narušavanja tajnosti i integriteta podataka koji se nalaze na mobilnom uređaju.
Zaposleni u Sekretarijatu za opšte poslove zaduženi za informatičke poslove su u obavezi da, po prijavi bezbednosnog incidenta, neodložno blokiraju nestalom mobilnom uređaju pristup informacionom sistemu i korisniku promene kredencijale za pristup. U slučaju da se pronađe mobilni uređaj čiji nestanak je prijavljen, zaposleni zaduženi za informatičke poslove će po nalogu Sekretarijata za opšte poslove izvršiti trajno brisanje kompletnog medijuma za smeštanje operativnog sistema, aplikacija i podataka i ponovnu instalaciju operativnog sistema i potrebnih aplikacija.
Pod pojmom "trajnog brisanja" se smatra procedura brisanja podataka na taj način da se isključuje mogućnost naknadnog povraćaja tih podataka, a u skladu sa preporukom NIST 800-88 Revision 1.
Obezbeđivanje da lica koja koriste IKT sistem odnosno upravljaju IKT sistemom budu osposobljena za posao koji obavljaju i u potpunosti razumeju svoju odgovornost
Grad Beograd se stara da zaposleni koji upravljaju IKT sistemom, odnosno zaposleni koji koriste IKT sistem, imaju adekvatan stepen obrazovanja i sposobnosti, kao i svest o značaju poslova koje obavljaju. Njihove odgovornosti su utvrđene Ugovorom o radu ili o angažovanju za rad van radnog odnosa i internim aktima.
Provera kandidata i uslovi zapošljavanja
Grad Beograd sprovodi radnje u cilju provere ispunjenosti uslova svakog pojedinačnog kandidata za zaposlenje, u skladu sa odgovarajućim propisima i etičkim pravilima, srazmerno poslovnim zahtevima, klasifikaciji informacija kojima će imati pristup i sagledanim rizicima.
Svi zaposleni i radno angažovani pojedinci po drugom osnovu, kojima je dodeljen pristup poverljivim informacijama, moraju potpisati sporazum o poverljivosti i zaštiti podataka i informacija od trećih lica, pre nego što im se dozvoli pristup opremi za obradu informacija.
Rukovodstvo Grada Beograda je dužno da zahteva od svih zaposlenih i radno angažovanih lica da primenjuju mere zaštite bezbednosti, u skladu sa ovim pravilnikom i važećim procedurama.
Grad Beograd u cilju razvoja, implementacije i održavanja sistema zaštite i bezbednosti podataka obezbeđuje uslove za integraciju kontrolnih mehanizama tako što:
- obezbeđuje da se postupci zaštite sprovode na organizovan način i u skladu sa procedurama i u kontinuitetu;
- štiti informacije i podatke sa sličnim profilom osetljivosti i karakteristikama na jednak način u svim organizacionim jedinicama;
- sprovodi programe zaštite na konzistentan i ujednačen način u svim organizacionim jedinicama;
- koordinira bezbednost i zaštitu podataka u informacionom sistemu sa fizičkom zaštitom istih.
Zaposleni koji su nadležni za praćenje, analizu, izveštavanje i preduzimanje aktivnosti na planu sprovođenja usvojene politike i procedura kontinuirano se obučavaju u cilju unapređenja tehničkog i tehnološkog znanja. Ova lica su autorizovana za preduzimanje hitnih i neodložnih mera u slučaju postojanja neposredne opasnosti za podatke i dokumentaciju koje su pod merama zaštite.
Upoznavanje sa bezbednošću informacija, sticanje znanja i obuka
Određeni zaposleni u Gradu Beogradu su u obavezi da prođu odgovarajuću obuku i redovno stiču nova i obnavljaju postojeća znanja o procedurama koje uređuju bezbednost informacija, na način koji odgovara njihovom poslovnom angažovanju i radnom mestu.
Disciplinski postupak se sprovodi protiv zaposlenih koji su narušili bezbednost informacija ili na drugi način izvršili povredu pravila i politike na snazi i u primeni u Gradu Beogradu.
Disciplinski postupak se pokreće po predlogu Sekretarijata za opšte poslove.
Zaštita od rizika koji nastaju pri promenama poslova ili prestanka radnog angažovanja lica zaposlenih kod operatora IKT sistema
Zaposleni i po drugom osnovu angažovana lica, dužni su da čuvaju poverljive i druge informacije koje su od značaja za informacionu bezbednost IKT sistema, nakon prestanka ili promene radnog angažovanja.
Dužnosti i obaveze koje ostaju važeće i posle prestanka angažovanja i treba da budu sadržane u tekstu ugovora o radu sa zaposlenim i u uslovima zasnivanja radnog odnosa, odnosno ugovora o angažovanju lica van radnog odnosa.
Ova mera je bliže određena:
- Procedurom pristupa sistemu IKT,
- Ugovorom o radu,
- Ugovorom o angažovanju lica van radnog odnosa.
Za postupanja prilikom prestanka zaposlenja ili angažovanja zadužen je sektor nadležan za ljudske resurse, koji preduzima sledeće aktivnosti:
- proverava ispunjenost svih uslova u pogledu čuvanja i iznošenja podataka u elektronskom i papirnom formatu,
- pregleda sve naloge i pristupe sistemu koji su bili dostupni zaposlenom,
- preuzima od zaposlenog elektronske i druge mobilne uređaje,
- utvrđuje način kontakta sa bivšim zaposlenim nakon odlaska,
- proverava vraćene mobilne uređaje i uređaje za prenošenje podataka,
- daje nalog za ukidanje naloga elektronske pošte i svih drugih prava pristupa sistemu Grada Beograda na dan prestanka radnog odnosa ili drugog osnova angažovanja bivšeg zaposlenog,
- pregleda sve naloge za pristup odlazećeg zaposlenog i prikuplja pristupne šifre i kodove sa ciljem ukidanja/ promene istih na dan odlaska,
- preuzima kartice ili druge uređaje kojima se omogućava pristup poslovnim prostorijama i opremi Grada Beograda.
Identifikovanje informacionih dobara i određivanje odgovornosti za njihovu zaštitu
Informaciona dobra obuhvataju podatke u datotekama i bazama podataka, programski kôd, konfiguraciju hardverskih komponenti, tehničku i korisničku dokumentaciju, zapise o korišćenju hardverskih komponenti, podataka iz datoteka i baza podataka i sprovođenju procedura ako se isti vode, unutrašnje opšte akte i procedure.
Grad Beograd vrši identifikaciju imovine koja odgovara životnom ciklusu informacija i dokumentuje njen značaj. Životni ciklus informacije obuhvata kreiranje, obradu, skladištenje, prenos, brisanje i uništavanje podataka i informacija. Grad Beograd pravi popis dobara koji je tačan, ažuran, konzistentan i usklađen sa drugom imovinom.
Evidenciju o informacionim dobrima i sredstvima i imovini za obradu informacionih dobara vode zaposleni zaduženi za informatičke poslove u Sekretarijatu za opšte poslove.
Vlasništvo nad imovinom, prihvatljivo korišćenje imovine i njen povraćaj
Pojedinci kojima je data odgovornost za kontrolisanje životnog ciklusa imovine dužni su da pravilno upravljaju imovinom tokom celog životnog ciklusa.
Grad Beograd uređuje pravila za prihvatljivo korišćenje imovine povezane sa informacijama i opremom za obradu informacija.
Zaposleni i eksterni korisnici su obavezni da vrate svu imovinu Grada Beograda koju poseduju nakon prestanka njihovog zaposlenja, ugovora ili sporazuma o angažovanju na određenim poslovima i zadacima.
Tokom otkaznog roka zaposlenih, Grad Beograd kontroliše njihovo neovlašćeno kopiranje, umnožavanje ili preuzimanje relevantnih zaštićenih informacija.
Klasifikovanje podataka tako da nivo njihove zaštite odgovara značaju podataka u skladu sa načelom upravljanja rizikom iz člana 3. Zakona o informacionoj bezbednosti
Klasifikovanje podatka je postupak utvrđivanja i pojedinačnog dodeljivanja nivoa tajnosti podatka, u skladu sa njihovim značajem za Grad Beograd.
Grad Beograd označava tipove i lokacije podataka kao poverljive, interne ili javne. Imovina se označava uz pomoć identifikacionih nalepnica koje nose odgovarajuću klasifikacionu oznaku.
Grad Beograd klasifikacionu šemu poverljivosti informacija bazira na četiri nivoa:
- otkrivanje ne izaziva nikakvu štetu;
- otkrivanje izaziva manju neprijatnost ili manju štetu;
- otkrivanje ima značajan kratkoročni uticaj na poslovanje ili taktičke ciljeve;
- otkrivanje ima ozbiljan uticaj na dugoročne strateške ciljeve ili ugrožava opstanak.
Grad Beograd vrši klasifikaciju radi:
- jačanja korisničke odgovornosti, kako bi korisnici mogli da uoče i prepoznaju poslovnu vrednost podatka prilikom čuvanja ili slanja i postanu svesni odgovornosti za neovlašćeno korišćenje ili prenošenje;
- podizanja svesti o vrednosti informacije ili dokumenta;
- zaštite podataka u pokretu radi bolje i inteligentnije integracije sa DLP, WEB gateway i ostalim proizvodima za zaštitu parametara i krajnjih uređaja;
- zaštite sadržaja;
- integracije sa sistemima za arhiviranje.
Klasifikacija dokumenta mora da bude usklađena sa pravilima kontrole pristupa.
Grad Beograd postupa u skladu sa usvojenom Šemom klasifikovanja podataka. Posebnom procedurom se definišu radnje za postupanje, obradu, skladištenje i prenos podataka.
Grad Beograd obezbeđuje sprečavanje neovlašćenog otkrivanja, modifikovanja, uklanjanja ili uništenja podataka koji se čuvaju na nosačima podataka.
Evidenciju nosača na kojima su snimljeni podaci vode zaposleni u Sekretarijatu za opšte poslove zaduženi za informatičke poslove.
Upravljanje prenosnim nosačima podataka (medijuma)
Grad Beograd upravlja prenosnim nosačima (medijumima) u skladu sa sledećim odredbama:
- sadržaj svakog medijuma koji se može ponovo koristiti i koji će se iznositi izvan organizacije, onda kada više nije potreban, treba da se nepovratno izbriše;
- za sve medijume koji se iznose iz organizacije, onda kada je to neophodno i izvodljivo, treba zahtevati odobrenje, a o svim takvim iznošenjima treba voditi evidenciju, kako bi se sačuvao trag za proveru;
- sve medijume treba skladištiti na bezbednom i zaštićenom mestu, u skladu sa preporukama proizvođača;
- korišćenje kriptografskih tehnika za zaštitu podataka na prenosnim medijumima, ako su poverljivost ili integritet podataka važni;
- podaci treba da budu preneti na novi medijum pre nego što postanu nečitljivi;
- višestruke kopije vrednih podataka treba čuvati na odvojenim medijumima da bi se dodatno smanjio rizik od slučajnog oštećenja ili gubitka podataka;
- da bi se ograničila mogućnost gubitka podataka, treba predvideti registrovanje prenosnih medijuma;
- pokretne prenosne medijume treba koristiti samo ako za to postoji poslovna potreba;
- ukoliko postoji poslovna potreba za korišćenjem prenosnih medijuma, neophodno je pratiti prenos podataka na takve medijume.
Rashodovanje nosača podataka (medijuma)
Kada više nisu potrebni, medijumi su rashoduju na bezbedan način. Rashodovanje medijuma na bezbedan način Grad Beograd vrši svođenjem na minimum rizika od mogućeg preuzimanja osetljivih podataka od strane neovlašćenih osoba.
Prilikom rashodovanja medijuma koji sadrže poverljive podatke utvrđuju se različiti načini procesa rashodovanja, a u skladu sa osetljivošću podataka, poštujući sledeće smernice:
- neophodno je urediti način za identifikovanje medijuma koji sadrže osetljive podatke za koje će možda biti potrebno bezbednosno rashodovanje;
- medijume koji sadrže osetljive podatke treba rashodovati spaljivanjem ili kidanjem ili brisanjem podataka radi korišćenja u nekom drugom aplikativnom programu unutar organizacije;
- rashodovanje medijuma koji sadrže osetljive podatke je potrebno evidentirati, kako bi se sačuvao trag za proveru.
Fizički prenos nosača podataka (medijuma)
Nosači podataka koji sadrže informacije se štite od neovlašćenog pristupa, zloupotrebe ili oštećenja prilikom transporta. Kada poverljiva informacija na medijumu nije šifrovana, potrebno je dodatno fizički zaštiti medijum, poštujući sledeće smernice:
- koristiti pouzdani transport ili kurire;
- potrebno je uvesti proveru identiteta kurira;
- karakteristike opreme za prenos moraju da budu takve da obezbede zaštitu od svih fizičkih oštećenja koja bi mogla nastati tokom prenosa.
U slučaju transporta nosača podataka sa informacijama, lice odgovorno za informacionu bezbednost određuje lice koje će vršiti transport i način transporta.
Ograničenje pristupa podacima i sredstvima za obradu podataka
Podacima i sredstvima za obradu podataka je neophodno ograničiti pristup u skladu sa utvrđenim stepenom tajnosti podataka, prema članu 21. ovog pravilnika.
Grad Beograd će formirati Kontrolnu listu pristupa, koja sadrži popis svih informacionih objekata i subjekte koji im mogu pristupiti.
Korisnicima je dozvoljen pristup samo mreži i mrežnim uslugama za čije korišćenje su ovlašćeni.
Grad Beograd je uredio pristup mreži i mrežnim uređajima u Proceduri pristupa sistemu IKT.
Odobravanje ovlašćenog pristupa i sprečavanje neovlašćenog pristupa IKT sistemu i uslugama koje IKT sistem pruža
Grad Beograd upravlja pristupom IKT sistemu i uslugama kroz upotrebu korisničkih identifikatora.
Upravljanje korisničkim identifikatorima vrši se uz poštovanje sledećih principa:
- korisnički identifikatori su jedinstveni, tako da se korisnici mogu vezati uz njih i učiniti odgovornim za svoje aktivnosti;
- korišćenje zajedničkih identifikatora dozvoljava se samo onda kada je to pogodno za obavljanje posla uz prethodno odobrenje;
- korisnicima kojima je prestao radni odnos ili period angažovanja trenutno se onemogućavaju ili uklanjaju korisnički identifikatori;
- periodično identifikovanje i uklanjanje ili onemogućavanje višestrukih korisničkih identifikatora;
- višestruki identifikatori nekog korisnika se ne izdaju drugim korisnicima.
Svakom korisniku se dodeljuje pravo pristupa IKT sistemu u skladu sa radnim zadacima koje obavlja. Korisniku se dodeljuju jedinstveni podaci za logovanje i jedinstvena šifra za logovanje, koji se ne smeju deliti sa drugim korisnicima.
Dodeljivanje privilegovanih (administratorskih) prava na pristup vrši se na osnovu odluke Sekretarijata za opšte poslove.
Privilegovana prava na pristup dodeljuju posebno za svaki sistemski objekat uz definisan rok trajanja tih prava.
Privilegovana prava na pristup koja treba dodeliti korisničkom identifikatoru drugačija su od onih koja se koriste za redovne aktivnosti. Redovne poslovne aktivnosti ne treba vršiti iz privilegovanih korisničkih identifikatora. Kompetencije korisnika sa privilegovanim pravima na pristup se redovno preispituju radi provere da li su u skladu sa njihovim obavezama.
Zabranjeno je neovlašćeno korišćenje opštih korisničkih identifikatora administratora.
Šifre za pristup opštim korisničkim identifikatorima administratora se menjaju promenom korisnika.
Grad Beograd periodično vrši preispitivanje prava korisnika na pristup, kao i nakon svake promene (unapređenje, razrešenje i kraj zaposlenja).
Zaposlenima, drugim radno angažovanim i eksternim korisnicima informacija i opreme za obradu informacija po prestanku zaposlenja ili isteku ugovora ukida se pravo na pristup.
Grad Beograd je uredio dodeljivanje i ukidanje prava na pristup u Proceduri pristupa sistemu IKT, gde se posebno tretiraju privilegovana (administratorska) prava, prava državnih službenika i prava privremeno zaposlenih u Gradu Beogradu.
Utvrđivanje odgovornosti korisnika za zaštitu sopstvenih sredstava za autentifikaciju
Autentifikacija korisnika kojima je odobren pristup sistemu vrši se putem jedinstvenog korisničkog imena i šifre.
Svi korisnici su dužni da:
- korisničko ime i šifru drže u tajnosti, ne otkrivaju ih drugim licima, uključujući i nadređene osobe;
- izbegavaju čuvanje korisničkog imena i šifre u pisanom obliku;
- promene šifru kada primete da postoji bilo kakav nagoveštaj mogućeg kompromitovanja.
Šifre moraju da:
- sadrže najmanje 9 alfanumeričkih karaktera;
- sadrže najmanje jedno veliko i jedno malo slovo;
- sadrže najmanje 1 broj (0-9).
Šifre ne zasnivati na ličnim podacima korisnika, kao što su ime, telefonski broj ili datum rođenja i ne smeju sadržati više od 3 uzastopna identična brojčana ili slovna znaka.
Korisnici su dužni da privremene šifre promene prilikom prvog prijavljivanja.
Upotreba multifaktorske autentifikacije
Uprava će u narednom periodu razmotriti korišćenje dvofaktorske autentifikacije, inicijalno za privilegovane korisnike, a zatim i za sve zaposlene, a u cilju obezbeđivanja dodatne zaštite korisničkih identiteta, u skladu sa članom 10, stav 37. Zakona o informacionoj bezbednosti.
Predviđanje odgovarajuće upotrebe kriptozaštite radi zaštite tajnosti, autentičnosti odnosno integriteta podataka
U cilju zaštite podataka Grad Beograd razvija i implementira politiku korišćenja kriptografskih kontrola, i uspostavlja mehanizme i sistem za upravljanje ključevima.
Kriptozaštita obezbeđuje:
- autentifikaciju (identifikaciju korisnika i drugih sistemskih entiteta koji zahtevaju pristup ili odobrenje akcije korisnika);
- neporecivost (primena kriptografskih tehnika, najčešće digitalnog potpisa, kako bi se dobila potvrda o izvršavanju ili neizvršavanju neke akcije od strane pojedinačnog korisnika);
- poverljivost (primenom šifrovanja vrši se zaštita osetljivih ili kritičnih informacija koje se skladište ili prenose);
- integritet (nepromenljivost podataka koji se prenose).
Postupak kriptografske kontrole obuhvata:
- analizu i procene potreba primene kriptografije u poslovnim procesima uključujući opšte principe prema kojima bi poslovne informacije trebalo da se štite;
- nivo zaštite se određuje uzimanjem u obzir tipa algoritma za kriptovanje podataka, jačine i kvaliteta kriptografskog algoritma;
- primenu šifrovanja za zaštitu osetljivih podataka prilikom prenosa mobilnim ili drugim medijumima, uređajima ili preko komunikacionih vodova;
- upravljanje ključevima (zaštita kriptografskih ključeva, povraćaj šifrovanih podataka u slučaju gubljenja, kompromitovanja ili oštećenja ključeva).
Grad Beograd primenjuje sledeće metode za upravljanje ključevima, koje obuhvataju njihov ceo životni ciklus:
- generisanje ključeva;
- izdavanje i dobijanje sertifikata za javne ključeve;
- skladištenje ključeva (ključevi se čuvaju na posebnim uređajima ili pametnim karticama, na mestu koje je fizički obezbeđeno);
- distribuciju ključeva (dodela ključeva namenjenim entitetima i aktivacija samog ključa);
- zamenu ili ažuriranje ključeva;
- postupak u slučaju kompromitovanja ključeva;
- deaktivaciju ključeva;
- obnavljanje izgubljenih ili oštećenih ključeva;
- pravljenje rezervnih kopija ili arhiviranje ključeva;
- uništavanje ključeva;
- evidentiranje i proveru aktivnosti u vezi sa upravljanjem ključevima.
Ključevi se mogu koristiti samo u periodu koji odredi lice odgovrno za informacionu bezbednost.
Fizička zaštita objekata, prostora, prostorija, odnosno zona u kojima se nalaze sredstva i dokumenti IKT sistema i obrađuju podaci u IKT sistemu
Grad Beograd je dužan da preduzme mere radi sprečavanja neovlašćenog fizičkog pristupa objektima, prostoru, prostorijama i zonama, u kojima se nalaze sredstva i dokumenti IKT sistema, kao i sprečavanje oštećenja i ometanja informacija.
Zona razdvajanja i uspostavljanje sistema fizičke bezbednosti
Oprema za obradu informacija se štiti zaključavanjem prostorija u kojima se nalazi.
U skladu sa procenom rizika definisane su sledeće zone razdvajanja: Data centri Grada Beograda.
- Zone razdvajanja u zgradi ili na lokaciji koja sadrži opremu za obradu informacija treba da budu fizički ispravne (tj. ne treba da postoje procepi u zoni ili oblasti u koje bi se lako mogao desiti upad); spoljni krov, zidovi i podovi na toj lokaciji treba da budu od čvrstog materijala, a sva spoljna vrata treba da budu potpuno zaštićena od neovlašćenog pristupa pomoću kontrolnih mehanizama, npr. rešetkama, alarmima, bravama itd.; vrata i prozori treba da budu zaključani u svim slučajevima kada su bez nadzora, a kada su u pitanju prozori, treba razmotriti spoljnu zaštitu, posebno u prizemlju;
- treba postaviti prijavnice sa osobljem ili druga sredstva za kontrolu fizičkog pristupa do lokacije ili zgrade; pristup lokacijama ili zgradama treba da bude ograničen samo na ovlašćeno osoblje;
- onda kada je to primenljivo, treba da budu izgrađene fizičke prepreke kako bi se sprečio neovlašćeni fizički pristup i zagađenje iz okoline;
- sva požarna vrata u bezbednosnoj zoni razdvajanja treba da imaju alarmni uređaj, da budu pod nadzorom i da se ispituju na spoju sa zidovima kako bi se uspostavio potreban nivo otpornosti u skladu sa odgovarajućim regionalnim, nacionalnim i međunarodnim standardima; treba da funkcionišu u skladu sa lokalnim protivpožarnim pravilima u pogledu osiguranja od otkaza;
- da bi se nadgledala sva spoljna vrata i dostupni prozori, treba postaviti pogodne protivprovalne alarmne sisteme u skladu sa nacionalnim, regionalnim ili međunarodnim standardima; oblasti bez osoblja treba da budu pod alarmom u svakom trenutku; nadzor treba takođe obezbediti i za druge oblasti, npr. za prostoriju sa računarima ili za prostorije za komunikacije;
- oprema za obradu informacija kojom upravlja organizacija treba da bude fizički odvojena od one kojom upravljaju treća lica.
Bezbednosne oblasti moraju biti zaštićene odgovarajućim kontrolama ulaska kako bi se osiguralo da je samo ovlašćenim pojedincima dozvoljen pristup, u skladu sa smernicama:
- evidentirati datum i vreme ulaska i izlaska posetilaca, a sve posetioce treba nadgledati, osim ako njihov pristup nije prethodno odobren; pristup treba odobravati samo za specifične, autorizovane svrhe i izdavati uputstva o zahtevima za bezbednost oblasti i procedurama za vanredne situacije;
- pristup oblastima u kojima se obrađuju ili čuvaju poverljive informacije treba da bude ograničen samo na ovlašćene osobe, primenom odgovarajućih kontrola pristupa, npr. implementacijom dvofaktorskih mehanizama za proveru verodostojnosti, kao što su kartice za pristup i tajni lični identifikacioni broj (PIN);
- treba bezbedno održavati i nadgledati evidenciju ili elektronsku proveru svih pristupa;
- od svih zaposlenih, ugovarača i treće strane, kao i od svih posetilaca treba zahtevati da nose vidljivu identifikaciju i da izveste osoblje obezbeđenja ukoliko naiđu na posetioce bez pratioca ili primete osobu koja ne nosi vidljivu identifikaciju;
- zaposlenima kod pružaoca usluga obezbeđenja treba odobriti ograničen pristup bezbednosnim oblastima ili opremi za obradu osetljivih podataka i omogućiti kada za to postoji potreba; ovakav pristup treba da bude odobren i nadgledan u svakom trenutku;
- prava pristupa bezbednosnim oblastima treba redovno preispitivati i ažurirati, a ukoliko postoji potreba i ukinuti.
Zaštita kancelarija, prostorija, sredstava, kao i zaštita od pretnji eksternih faktora iz okruženja
Grad Beograd obezbeđuje i primenjuje odgovarajuću kontrolu pristupa, čime se omogućava fizička bezbednost kancelarija, prostorija i sredstava. Takođe, bezbednim konfigurisanjem se onemogućava pristup ključnoj opremi, a u cilju sprečavanja vidljivosti poverljivih informacija, aktivnostima spolja. Fizička zaštita se mora planirati i za slučajeve prirodnih katastrofa, neprijateljskih napada ili nesreća.
Prikupljanje podataka o pretnjama po informacionu bezbednost
Grad Beograd prikuplja podatke o potencijalnim pretnjama po informacionu bezbednost u skladu sa članom 10, stav 2. Zakona o informacionoj bezbednosti i periodično vrši analizu i procenu rizika. Na osnovu procene rizika nove pretnje se evaluiraju i definišu potencijalne mere za tretiranje.
Bezbednosne zone podležu sledećim merama zaštite:
- osoblje mora biti obavešteno o aktivnostima unutar bezbednosne zone;
- zabranjuje se rad bez nadzora u bezbednosnim zonama;
- bezbednosne zone koje se ne koriste moraju biti fizički zaključane i čija provera se vrši periodično;
- ne dozvoljava se unošenje fotografskih, video, audio ili drugih uređaja za zapisivanje, osim uz prethodno odobrenje odgovornog lica.
Evidencija o ulasku u bezbednosnu zonu se vrši putem sistema za kontrolu pristupa, kojim upravlja lice odgovorno za informacionu bezbednost.
Zaštita od gubitka, oštećenja, krađe ili drugog oblika ugrožavanja bezbednosti sredstava koja čine IKT sistem
Oprema se postavlja i štiti na način kojim se smanjuje rizik od pretnji i opasnosti iz okruženja, kao i mogućnosti neovlašćenog pristupa.
- Oprema se postavlja na mestu koje se može obezbediti od neovlašćenog pristupa;
- oprema za obradu informacija koja služi za pristup i korišćenje osetljivih podataka se postavlja ne mesta koja nisu vidljiva neovlašćenim osobama;
- vrši se redovna kontrola sistema za obezbeđenje, alarma, protivpožarne zaštite, kao i instalacija za vodu, struju, gas, elektronske komunikacije;
- prostorije sa opremom treba redovno čistiti od prašine;
- zabranjeno je konzumiranje hrane i pića i pušenje u blizini opreme za obradu informacija;
- redovno se prate temperatura i vlažnost vazduha;
- oprema mora biti zaštićena od atmosferskih padavina;
- oprema u industrijskom okruženju se štiti primenom specijalnih metoda zaštite.
Lice odgovorno za informacionu bezbednost redovno prati uslove okoline, kao što su temperatura i vlažnost, koji bi mogli negativno da utiču na rad opreme za obradu informacija.
Oprema se štiti od prekida napajanja, tako što se:
- pomoćna oprema za napajanje održava u skladu sa specifikacijama opreme proizvođača i propisima;
- kapacitet pomoćne opreme redovno procenjuje;
- redovno pregleda i ispituje u pogledu pravilnog funkcionisanja i vrši popravka kvarova;
- obezbeđuje višestruko napajanje sa različitih trasa.
Bezbednosni elementi prilikom postavljanja kablova
Kablovi za napajanje i telekomunikacioni kablovi koji prenose podatke ili koji predstavljaju podršku informacionim uslugama štite se od prisluškivanja, ometanja ili oštećenja na sledeći način:
- vodovi napajanja i telekomunikacioni vodovi koji ulaze u prostorije za obradu informacija su podzemni, onda kada je to moguće, ili imaju adekvatnu alternativnu zaštitu;
- kablovi za napajanje se odvajaju od komunikacionih kablova da bi se sprečile smetnje;
- za osetljive ili kritične sisteme se postavljaju oklopljeni vodovi, koriste se zaključane prostorije ili kutije i primenjuje se elektromagnetsko oklapanje radi zaštite kablova;
- neovlašćeno priključenje uređaja na kablove se vrši tehničkim pretraživanjem i fizičkom proverom;
- pristup do razvodnih tabli i u prostorije sa kablovima se kontroliše.
Oprema se održava kako bi se osigurali njena neprekidna raspoloživost i nepovredivost, i to na sledeći način:
- oprema se održava u skladu sa preporučenim servisnim intervalima i prema specifikacijama koje je dao isporučilac;
- popravke i servisiranje opreme obavlja samo osoblje ovlašćeno za održavanje;
- o svim sumnjivim ili stvarnim neispravnostima, kao i o celokupnom preventivnom i korektivnom održavanju se čuvaju zapisi;
- osetljive informacije treba izbrisati iz opreme;
- pre vraćanja opreme u rad nakon održavanja, potrebno je pregledati kako bi proverili da nije neovlašćeno korišćena ili oštećena.
Izmeštanje i premeštanje imovine
Oprema, informacije ili softver se izmeštaju samo uz odobrenje odgovornog lica, a tokom izmeštanja se primenjuju sledeća pravila:
- treba da se odrede zaposleni i spoljni korisnici koji imaju ovlašćenje da odobre izmeštanje imovine;
- treba da se postave vremenska ograničenja za izmeštanje opreme i da se proverava usklađenost prilikom povratka;
- treba dokumentovati identitet i ulogu lica koja koriste ili postupaju sa imovinom prilikom premeštanja i ova dokumentacija treba da bude vraćena sa opremom, informacijama ili softverom.
Bezbednost izmeštene opreme i imovine
Na izmeštenu opremu treba primeniti bezbednosne mehanizme zaštite, uzimajući u obzir različite rizike prilikom rada izvan prostorija.
Bezbedno rashodovanje ili ponovno korišćenje opreme
Svi delovi opreme koji sadrže medijume za čuvanje podataka potrebno je verifikovati da bi se osiguralo da su svi osetljivi podaci i licencirani softveri pre rashodovanja ili ponovnog korišćenja bezbedno uklonjeni.
Bezbednost opreme korisnika bez nadzora
Korisnici treba da obezbede da oprema koja je bez nadzora ima odgovarajuću zaštitu, u cilju onemogućavanja pristupa zaštićenim informacijama i podacima.
Ostavljanje osetljivih i poverljivih dokumenata i materijala
Sva osetljiva i poverljiva dokumenta i materijali moraju da budu uklonjeni sa radne površine i odloženi na odgovarajuće mesto koje se zaključava, u periodu kada zaposleni nije prisutan na svom radnom mestu ili kada se dokumenta i materijali ne koriste.
- Sve osetljive i poverljive informacije u štampanom ili elektronskom obliku zaposleni moraju odložiti na sigurno mesto na kraju radnog dana ili kada nisu prisutni na svom radnom mestu.
- Računari moraju biti zaključani u odsustvu zaposlenog i ugašeni na kraju radnog dana.
- Ormari i fioke u kojima se čuvaju poverljivi podaci moraju biti zaključani kada se ne koriste, a ključevi ne smeju biti ostavljeni na pristupačnom mestu bez nadzora.
- Laptopovi moraju biti vezani uz pomoć odgovarajuće opreme ili zaključani u fioci. Tableti i ostali prenosni uređaji moraju biti zaključani u fioci.
- Nosači podataka kao što su diskovi i flash memorija moraju biti odloženi i zaključani.
- Šifre za pristup ne smeju biti napisane i ostavljene na pristupačnom mestu.
- Štampani materijal koji sadrži osetljive informacije se mora odmah preuzeti sa štampača prilikom štampanja.
- Materijal koji je namenjen za bacanje treba uništiti ili odložiti na mesto koje se zaključava, a koje je namenjeno za odlaganje takve vrste materijala.
Obezbeđivanje ispravnog i bezbednog funkcionisanja sredstava za obradu podataka
U cilju obezbeđivanja ispravnog i bezbednog funkcionisanja sredstava za obradu podataka definišu se procedure za rukovanje sredstvima, koje se odnose na otpočinjanje i završetak pristupa informacionom sistemu, pravljenje rezervnih kopija, održavanje opreme, rukovanje nosačima podataka, kontrolu pristupa u prostorije sa serverskom infrastrukturom, komunikacionom opremom i sistemima za skladištenje podataka, kao i u slučajevima izmeštanja delova IKT sistema.
Grad Beograd uspostavlja radne procedure koje sadrže instrukcije za detaljno izvršenje sledećih poslova:
- instalaciju i konfiguraciju sistema;
- obradu i postupanje sa informacijama (automatski i manuelno);
- izradu rezervnih kopija;
- planiranje i pokretanje javnih nabavki za održavanje hardvera i softvera neophodnih za očuvanje bezbednosnog nivoa;
- planiranje i pokretanje javnih nabavki za uvođenje novih bezbednosnih rešenja neophodnih za tretiranje uočenih bezbednosnih rizika;
- obradu zahteva za vremenski raspored aktivnosti;
- izradu instrukcija za postupanje u slučaju greške ili u drugim vanrednim situacijama koje mogu da nastanu u toku izvršavanja posla, uključujući ograničenja u korišćenju sistemskih pomoćnih funkcija;
- primenu mera zaštite radi sprečavanja oticanja podataka, u skladu sa članom 10, stav 14. Zakona o informacionoj bezbednosti;
- procedura i mera zaštite za korišćenje usluga računarstva u klaudu, u skladu sa članom 10, stav 18. Zakona o informacionoj bezbednosti;
- procedura za ograničenje pristupa veb-prezentacijama koje mogu da potencijalno naruše bezbednost IKT sistema, u skladu sa članom 10, stav 20. Zakona o informacionoj bezbednosti;
- utvrđivanje liste kontakata za podršku i eskalaciju (uključujući eksterne kontakte za podršku) u slučaju neočekivanih operativnih ili tehničkih poteškoća;
- izradu instrukcija za upravljanje poverljivim podacima;
- procedure za ponovno pokretanje sistema i oporavak, koje se koriste u slučaju otkaza sistema;
- upravljanje sistemskim zapisima (logovima);
- procedure za čuvanje i brisanje informacija u IKT sistemima, u skladu sa članom 10, stav 31. Zakona o informacionoj bezbednosti;
- procedure za nadgledanje i proveru adekvatnosti primenjenih mera zaštite, u skladu sa članom 10, stav 36. Zakona o informacionoj bezbednosti.
Za usvajanje, izmene i dopune radnih procedura ovlašćeno je lice odgovorno za informacionu bezbednost.
Upravljanje raspoloživim kapacitetima
Korišćenje resursa se kontinuirano nadgleda, podešava i projektuje u skladu sa zahtevanim kapacitetima, kako bi se osigurale neophodne performanse sistema. Periodično se sprovode sleće aktivnosti:
- brisanje zastarelih podataka;
- povlačenje iz upotrebe aplikacija, sistema, baza podataka ili okruženja;
- optimizacija serije procesa i rasporeda;
- odbijanje ili ograničavanje propusnog opsega usluga zahtevanih u pogledu resursa, ako one nisu kritične za poslovanje.
Razdvajanje okruženja za razvoj, ispitivanje i rad
Okruženja za razvoj, ispitivanje i rad su međusobno razdvojena, kako bi se smanjio rizik od neovlašćenog pristupa ili promena u radnom okruženju.
- Treba definisati i dokumentovati pravila za prenošenje softvera iz razvojnog statusa u operativni status;
- razvojni i operativni softveri treba da se izvršavaju na različitim sistemima ili računarskim procesorima, kao i u različitim domenima ili direktorijumima;
- promene u operativnim sistemima i aplikacijama treba ispitivati u okruženju za ispitivanje ili režimu održavanja pre nego što se primene na operativne sisteme;
- ispitivanje ne treba da se radi na operativnim sistemima, osim u izuzetnim okolnostima;
- kompajleri, editori i drugi razvojni alati ili sistemski pomoćni programi ne treba da budu dostupni iz operativnih sistema, ako se to ne zahteva;
- da bi se smanjio rizik od greške, korisnici treba da primenjuju različite korisničke profile za operativne i sisteme za ispitivanje, a meniji treba da prikazuju odgovarajuće identifikacione poruke;
- osetljive podatke ne treba kopirati u sistemsko razvojno okruženje, osim ako nisu obezbeđene ekvivalentne kontrole za sistem za ispitivanje.
Za obezbeđivanje ispravnog i bezbednog funkcionisanja sredstava za obradu podataka i primenu radnih procedura zaduženo je lice odgovorno za informacionu bezbednost.
Zaštita podataka i sredstava za obradu podataka od zlonamernog softvera
Zlonamerni softver obuhvata sve programe koji su napravljeni u nameri da otežaju rad ili oštete neki umrežen ili neumrežen računar. Zaštita od zlonamernog softvera se zasniva na softveru za otkrivanje zlonamernog softvera i otklanjanje štete, poznavanju informacione bezbednosti, kao i na odgovarajućim kontrolama pristupa sistemu i upravljanju zahtevanim i potrebnim promenama.
Postupak kontrole i preduzimanje mera protiv zlonamernog softvera
Grad Beograd određuje i primenjuje kontrole otkrivanja, sprečavanja i oporavka, radi zaštite od zlonamernog softvera, i to:
- formalnu zabranu korišćenja neautorizovanih softvera;
- implementaciju kontrola koje sprečavaju ili otkrivaju korišćenje neovlašćenog softvera;
- implementaciju kontrola koje sprečavaju ili otkrivaju korišćenje poznatih ili sumnjivih kompromitovanih veb-sajtova;
- uspostavljanje formalne politike radi zaštite od rizika povezanih sa dobijanjem datoteka i softvera od ili preko spoljnih mreža, ili na bilo kom drugom medijumu, ukazujući na to koje zaštitne mere treba preduzeti;
- smanjenje ranjivosti koje može da eksploatiše neprijateljski softver, npr. kroz upravljanje tehničkim ranjivostima;
- sprovođenje redovnih preispitivanja softvera i sadržaja podataka u sistemima koji podržavaju kritične poslovne procese; prisustvo bilo kakvih neodobrenih datoteka ili neautorizovanih dopuna treba formalno istražiti;
- instaliranje i redovno ažuriranje softvera za otkrivanje zlonamernog softvera i oporavak radi pretraživanja računara i medijuma kao kontrolu iz predostrožnosti, ili na rutinskoj osnovi.
Lista provera koje se sprovode:
- provera, pre korišćenja, svih datoteka na elektronskim ili optičkim medijumima, kao i datoteka primljenih preko mreža, da li sadrže zlonamerni softver;
- provera, pre korišćenja, sadržaja priloga elektronske pošte i preuzetih sadržaja, da li sadrže zlonamerni softver; ovu proveru treba sprovoditi na raznim mestima, npr. na serverima za elektronsku poštu, na stonim računarima ili prilikom ulaska u mrežu operatora IKT sistema;
- provera postojanja zlonamernih softvera na veb-stranicama;
- definisanje procedura za menadžment i odgovornosti za postupanje sa zaštitom od zlonamernog softvera u sistemima, obuka za njihovo korišćenje, izveštavanje i oporavak od napada zlonamernim softverom;
- priprema odgovarajućih planova za kontinuitet poslovanja prilikom oporavka od napada zlonamernim softverom, uključujući sve neophodne rezervne kopije podataka i softvera i mehanizme za oporavak;
- implementacija procedura za redovno prikupljanje informacija, kao što je pretplata na adresne spiskove za dostavu ili provera veb-stranica na kojima se daju informacije o novim zlonamernim softverima;
- implementacija procedura za verifikovanje informacija o zlonamernim softverima i obezbeđenje da su upozoravajući izveštaji tačni i informativni; rukovodioci treba da osiguraju da se za razlikovanje lažnih od stvarnih zlonamernih softvera koriste kvalifikovani izvori, npr. provereni časopisi, pouzdane stranice na internet mreži ili isporučioci programa protiv zlonamernih softvera; svi korisnici treba da budu svesni problema pojave duhovitih ili zlonamernih obmana i onoga što treba da rade posle njihovog prijema.
Preporučuje se donošenje i procedure o antivirusnoj zaštiti i procedure o podizanju svesti zaposlenih o informacionoj bezbednosti.
U slučaju da korisnik primeti neobično ponašanje računara, zapažanje treba bez odlaganja da prijavi licu odgovornom za informacionu bezbednost.
U cilju zaštite od upada u IKT sistem, lice odgovorno za informacionu bezbednost je dužno da održava sistem za sprečavanje upada.
Korisnicima koji su priključeni na IKT sistem, u slučaju dokazane zloupotrebe interneta, lice odgovorno za informacionu bezbednost može ukinuti pristup.
Grad Beograd vrši izradu rezervnih kopija koje obuhvataju sistemske informacije, aplikacije i podatke koji su neophodni za oporavak celokupnog sistema u slučaju nastupanja posledica izazvanih vanrednim okolnostima.
Rezervne kopije informacija i podataka
Rezervne kopije informacija, softvera i duplikati sistema se redovno izrađuju i ispituju.
Zaštitne kopije korisnicima obezbeđuju korisničke podatke, funkcionalnost servisa i aplikacija nakon uništenja ili oštećenja koja su nastala usled hakerskih napada, otkaza hardvera, grešaka korisnika, prirodnih katastrofa i drugih nesreća.
Pod zaštitnim kopijama podrazumeva se pravljenje rezervnih kopija korisničkih podataka, konfiguracionih i log fajlova, kritičnih fajlova za funkcionisanje operativnih sistema (serverskih, korisničkih i komunikacionih) ili celih operativnih sistema, aplikacija, servisa i baze podataka.
Zaštitne kopije treba da omoguće brzo i efikasno vraćanje sistema u funkciju u slučaju neželjenih događaja, i treba ih praviti u vreme kada se ne umanjuje raspoloživost servisa, aplikacija, baza podataka i komunikacionih kapaciteta IKT sistema.
Za čuvanje zaštitnih kopija koriste se magnetne trake, eksterni hard diskovi i sistemi za čuvanje zaštitnih kopija.
Zaposleni za informatičke poslove Sekretarijata za opšte poslove izvršavaju sledeće zadatke:
- procenjuju osetljive i kritične podatke za koje je potrebno praviti rezervne kopije;
- kreiraju plan pravljenja rezervnih kopija;
- prave zaštitne kopije serverskog operativnog sistema i podataka, komunikacionog operativnog sistema i konfiguracionih fajlova, aplikacija, servisa i baza podataka;
- verifikuju uspešno pravljenje rezervnih kopija;
- vode evidenciju urađenih rezervnih kopija;
- odlažu kopije na bezbedno mesto;
- testiraju ispravnost rezervnih kopija i procedure za pravljenje zaštitnih kopija;
- restauriraju podatke sa rezervnih kopija.
Plan izrade rezervnih kopija informacija obuhvata sledeće:
- tačne i potpune zapise o rezervnim kopijama i dokumentovane procedure obnavljanja;
- obim i učestalost izrade rezervnih kopija;
- rezervne kopije treba da odražavaju poslovne potrebe organizacije i kritičnost tih informacija po kontinuitet poslovanja organizacije;
- treba ih skladištiti na lokaciji na dovoljnoj udaljenosti, kako bi se izbeglo svako oštećenje na glavnoj lokaciji;
- rezervnim kopijama informacija treba dati odgovarajući nivo fizičke zaštite i zaštite od uticaja okoline (opisano u tačkama 22-25) koji je dosledan merilima koja se primenjuju na glavnoj lokaciji;
- medijume sa rezervnim kopijama treba redovno proveravati, radi sigurnosti njihove upotrebe u vanrednim situacijama i kada je to neophodno;
- u situacijama u kojima je važna poverljivost, rezervne kopije treba zaštititi pomoću šifrovanja.
Za zaštitu od gubitka podataka odgovorno je lice odgovorno za informacionu bezbednost.
Čuvanje podataka o događajima koji mogu biti od značaja za bezbednost IKT sistema
U IKT sistemu Grada Beograda formiraju se zapisi o događajima (logovi) u vezi sa aktivnostima korisnika, greškama i događajima u vezi sa informacionom bezbednošću.
Grad Beograd pravi zapise o događajima i beleži aktivnosti korisnika, greške i događaje u vezi sa informacionom bezbednošću, koji se moraju čuvati i redovno preispitivati.
Administratori sistema nemaju dozvolu da brišu ili deaktiviraju dnevnike o sopstvenim aktivnostima.
Zapisi o događajima sadrže:
- identifikatore korisnika;
- aktivnosti sistema;
- datum, vreme i detalje ključnih događaja, npr. prijavljivanja i odjavljivanja;
- identitet ili lokaciju uređaja, ako je moguće, i identifikator sistema;
- zapise o uspešnim i odbijenim pokušajima pristupa sistemu;
- zapise o uspešnim i odbijenim pokušajima pristupa podacima i drugim resursima;
- promene u konfiguraciji sistema;
- korišćenje privilegija;
- korišćenje sistemskih pomoćnih funkcija i aplikacija;
- datoteke kojima se pristupalo i vrste pristupa;
- mrežne adrese i protokole;
- alarme koje je pobudio sistem za kontrolu pristupa;
- aktiviranje i deaktiviranje sistema zaštite, kao što su antivirusni sistemi i sistemi za otkrivanje upada.
Zaštita informacija u zapisima
Sredstva za zapisivanje i zapisane informacije su zaštićeni od neovlašćenog menjanja i pristupa.
Zabranjeno je neovlašćeno unošenje sledećih izmena:
- menjanje tipova poruka koje se zapisuju;
- unošenje izmena u datoteke sa zapisima ili njihovo brisanje;
- prepunjavanje medijuma za zapise, što dovodi do otkaza zapisivanja događaja ili upisivanja preko već ranije zapisanog.
Zapisi administratora i operatora
Aktivnosti administratora i operatora sistema se zapisuju, a zapisi štite i redovno preispituju. Vlasnici privilegovanih korisničkih naloga mogu biti u stanju da upravljaju zapisima na opremi za obradu informacija koja je pod njihovom direktnom kontrolom, na koji način se štite i pregledaju zapisi da bi se održala odgovornost za privilegovane korisnike.
Satovi svih odgovarajućih sistema za obradu informacija zaštite moraju biti sinhronizovani po Griničkom srednjem vremenu.
Čuvanje podataka o događajima koji mogu biti od značaja za bezbednost IKT sistema se vrši od strane zaposlenih zaduženih za informatičke poslove u Sekretarijatu za opšte poslove.
Obezbeđivanje integriteta softvera i operativnih sistema
Grad Beograd sprovodi procedure kojima se obezbeđuje kontrola integriteta instaliranog softvera i operativnih sistema, u skladu sa sledećim smernicama za kontrolu promena i instalaciju softvera:
- ažuriranje operativnog softvera, aplikacija i programskih biblioteka mogu da obavljaju samo osposobljeni administratori, po dobijanju odgovarajućeg ovlašćenja od rukovodioca;
- operativni sistemi treba da sadrže samo odobrene izvršne kodove, a ne i razvojne kodove ili kompilatore;
- aplikacije i operativni sistemski softver treba implementirati tek posle obimnog i uspešno sprovedenog ispitivanja, koje obuhvata ispitivanje primenljivosti, bezbednosti, uticaja na druge sisteme i pogodnosti za korišćenje, a treba ih sprovoditi na zasebnim sistemima, odnosno testnim okruženjima;
- treba osigurati da su sve odgovarajuće biblioteke izvornih programa ažurirane;
- pre implementacije bilo kakvih promena, treba uspostaviti strategiju povratka na prethodno stanje;
- prilikom svih ažuriranja na bibliotekama operativnih programa, treba održavati zapise za proveru;
- kao meru predostrožnosti za neočekivane situacije treba sačuvati prethodne verzije aplikativnog softvera;
- starije verzije softvera treba arhivirati, zajedno sa svim potrebnim informacijama i parametrima, procedurama, detaljima konfiguracije i softverom za podršku, sve dok se podaci drže u arhivi.
Instalaciju i podešavanje softvera mogu da vrše samo zaposleni u Sekretarijatu za opšte poslove zaduženi za informatičke poslove, odnosno zaposleni - korisnik koji ima ovlašćenje za to.
Zaštita od zloupotrebe tehničkih bezbednosnih slabosti IKT sistema
Grad Beograd vrši analizu IKT sistema i utvrđuje stepen izloženosti IKT sistema potencijalnim bezbednosnim slabostima, i preduzima odgovarajuće mere koje se odnose na uklanjanje prepoznatih slabosti ili primenu mera zaštite.
Upravljanje tehničkim ranjivostima
U skladu sa članom 10, stav 19. Zakona o informacionoj bezbednosti, Grad Beograd blagovremeno prikuplja informacije o tehničkim ranjivostima informacionih sistema koji se koriste, vrednuje izloženost tim ranjivostima i preduzima odgovarajuće mere, uzimanjem u obzir pripadajućih rizika.
Posebne informacije koje su potrebne za podršku upravljanja tehničkim ranjivostima obuhvataju prodavca softvera, brojeve verzija, tekuće stanje razmeštaja, kao i osobe koje su odgovorne za taj softver.
Grad Beograd definiše i uspostavlja uloge i odgovornosti u vezi sa upravljanjem tehničkim ranjivostima, uključujući nadzor, ocenu rizika usled utvrđene ranjivosti, ispravke, sledljivost imovine i sve odgovornosti za potrebna koordiniranja:
- najmanje jednom mesečno, a po potrebi i češće, vrši analizu dnevnika aktivnosti (activitylog, history, securitylog, transactionlog i dr.) u cilju identifikacije potencijalnih slabosti IKT sistema;
- za softverske i druge tehnologije se određuju informacioni resursi za identifikovanje odgovarajućih tehničkih ranjivosti i za održavanje svesti o istima; ovi informacioni resursi se ažuriraju na osnovu izmena u inventaru ili onda kada se identifikuju novi ili drugi korisni resursi;
- definiše se vremenski raspored reagovanja na obaveštenje o mogućim tehničkim ranjivostima;
- kada je moguća tehnička ranjivost identifikovana, tada se identifikuju pripadajući rizici i akcije koje treba preduzeti; takve akcije mogu da obuhvate ispravke ranjivih sistema i/ili primenu drugih kontrola;
- u zavisnosti od toga koliko hitno treba neku tehničku ranjivost uzeti u razmatranje, preduzete aktivnosti se sprovode u skladu sa kontrolama koje su vezane za upravljanje promenama ili sprovođenjem procedura za odgovor na incidente narušavanja bezbednosti;
- ako je ispravka dostupna od legitimnog izvora, onda se ocenjuju rizici u vezi sa instaliranjem te ispravke (rizike koji nastaju usled ranjivosti treba uporediti sa rizikom vezanim za instaliranje ispravke);
- ispravke se moraju prvo isprobati i vrednovati pre nego što se trajno ugrade, kako bi se osiguralo da će one biti efektivne i da neće dovesti do sporednih uticaja koji se ne mogu tolerisati; ako ispravka nije na raspolaganju, onda treba razmotriti druge kontrole, kao što su deaktiviranje usluga ili mogućnosti koje se odnose na ranjivost, prilagođavanje ili dodavanje kontrola pristupa, (npr. zaštitnu barijeru na granicama mreže) ili pojačano nadgledanje kako bi se otkrili ili sprečili postojeći napadi i uticalo na povećanje svesti o ranjivosti;
- o svim preduzetim procedurama se prave zapisi za proveru, a proces upravljanja tehničkim ranjivostima treba redovno nadgledati i vrednovati kako bi se osigurale njegova efektivnost i efikasnost;
- najpre se uzimaju u razmatranje sistemi sa visokim rizikom;
- efektivan proces upravljanja tehničkim ranjivostima se usklađuje sa aktivnostima koje se odnose na upravljanje incidentima, tako da obezbedi tehničke procedure koje treba sprovesti ako se dogodi neki incident;
- kreira se procedura koja uzima u obzir situaciju u kojoj je identifikovana ranjivost, ali ne postoji pogodna kontramera. U ovoj situaciji, Grad Beograd treba da proceni rizik u odnosu na poznate ranjivosti i definiše odgovarajuće mere za otkrivanje, kao i korektivne mere.
Ukoliko se identifikuju ranjivosti koje mogu da ugroze bezbednost IKT sistema, zaposleni zaduženi za informatičke poslove Sekretarijata za opšte poslove su dužni da odmah izvrše podešavanja, odnosno instaliraju softver koji će otkloniti uočene ranjivosti. Prvo se uzimaju u razmatranje sistemi sa visokim rizikom.
Ograničenja u pogledu instalacije softvera
Zabranjeno je instaliranje softvera na uređajima koji mogu dovesti do izloženosti IKT sistema bezbednosnim rizicima.
Obezbeđivanje da aktivnosti na reviziji IKT sistema imaju što manji uticaj na funkcionisanje sistema
Prilikom sprovođenja revizije IKT sistema, Grad Beograd obezbeđuje da revizija ima što manji uticaj na funkcionisanje sistema.
Postupak kontrole informacionog sistema:
- sa rukovodstvom su dogovoreni zahtevi za proveru pristupa sistemu i podacima;
- predmet i područje ispitivanja za proveru su unapred dogovoreni i strogo kontrolisani;
- ispitivanja za proveru su ograničena na pristup čitanjem;
- pristup koji nije ograničen samo na čitanje treba dozvoliti samo za dobijanje izdvojenih kopija sistemskih datoteka koje se po završenoj proveri brišu ili se odgovarajući štite ukoliko postoji obaveza da se takve datoteke čuvaju, prema zahtevima za dokumentovanje provere;
- zahtevi za posebnu ili dopunsku obradu moraju biti identifikovani i o tome mora biti sačinjen pisani sporazum;
- ispitivanja za proveru mogu uticati na dostupnost sistema, pa se pokreću van radnog vremena;
- sav pristup se nadgleda i zapisuje da bi se napravio referentni trag.
Planiranje i sprovođenje revizije IKT sistema može da vrši samo lice odgovorno za informacionu bezbednost.
Zaštita podataka u komunikacionim mrežama uključujući uređaje i vodove
U cilju zaštite podataka u komunikacionim mrežama, uređajima i vodovima vrši se njihova kontrola i zaštita od neovlašćenog pristupa.
Specifikacija mrežnih usluga, bilo da se one pružaju unutar samog Grada Beograda bilo od strane trećih lica, uključuju mehanizme bezbednosti, vrste usluga utvrđenih na zahtev rukovodstva. Mrežne usluge obuhvataju obezbeđivanje priključaka, usluge na privatnim mrežama i mreže sa dodatnim funkcijama, kao i rešenja za upravljanje bezbednošću (zaštita i sistemi za otkrivanje upada).
U mrežama su međusobno razdvojene grupe informacionih usluga, korisnika i sistemi, a mrežni administrator je odgovoran za upravljanje mrežom.
Zaposleni zaduženi za informatičke poslove u Sekretarijatu za opšte poslove su dužni da stalno vrše kontrolni pregled mrežne opreme i blagovremeno preduzimaju mere u cilju otklanjanja eventualnih nepravilnosti.
Bezbednost podataka koji se prenose unutar operatora IKT sistema, kao i između operatora IKT sistema i lica van operatora IKT sistema
Zaštita podataka koji se prenose komunikacionim sredstvima unutar Grada Beograda, između Grada Beograda i lica van Grada Beograda, obezbeđuje se utvrđivanjem odgovarajućih pravila, procedura, potpisivanjem ugovora i sporazuma, kao i primenom adekvatnih kontrola.
- Pravila korišćenja elektronske pošte
Upotreba elektronske pošte mora biti u skladu sa uspostavljenim procedurama i adekvatnim kontrolama nad sprovođenjem istih. Elektronska pošta se može koristiti isključivo za poslovne potrebe; razmena poruka ličnog sadržaja nije dozvoljena; svi podaci sadržani u porukama ili njihovom prilogu moraju biti u skladu sa standardima zaštite podataka.
- Pravila korišćenja interneta
Pristup sadržajima na internetu je dozvoljen isključivo za poslovne namene. Na mreži je omogućeno nadgledanje, odnosno koristi se postupak periodične revizije i kontrolisanja logovanja, kako na prijemu tako i na slanju.
- Pravila korišćenja informacionih resursa
Informacioni resursi se koriste isključivo u poslovne svrhe, na radu ili u vezi sa radom. Drugu namenu korišćenja posebno odobrava odgovorno lice, na obrazloženi pisani zahtev korisnika.
Sporazumi o prenosu informacija
Bezbedan prenos poslovnih informacija između Grada Beograda i trećeg lica obezbeđuje se poštovanjem sporazuma o prenosu informacija.
Sporazumi o prenosu informacija treba da uključe sledeće:
- odgovornosti rukovodstva za kontrolu i izveštavanje o prenosu, otpremi i prijemu;
- procedure za obezbeđenje sledljivosti i neporecivosti;
- minimalne tehničke standarde za pakovanje i prenos;
- standarde za identifikovanje kurira;
- obaveze i odgovornosti u slučaju incidenata narušavanja bezbednosti informacija, kao što je gubitak podataka;
- korišćenje dogovorenog sistema označavanja osetljivih ili kritičnih informacija, uz osiguravanje da je značenje oznaka odmah razumljivo i da su te informacije zaštićene na odgovarajući način;
- posebne kontrole koje su potrebne da bi se zaštitili osetljivi detalji, poput kriptografije;
- održavanje lanca nadzora za informacije u toku prenosa.
Zaštita informacija uključenih u razmenu elektronskih poruka se reguliše Procedurom o bezbednosti u razmeni elektronskih poruka.
Procedura o bezbednosti u razmeni elektronskih poruka treba da obuhvati:
- zaštitu poruka od neovlašćenog pristupa, modifikovanja ili odbijanja usluga koje su u skladu sa klasifikacionom šemom koju je usvojio Grad Beograd;
- osiguranje ispravnog adresiranja i transporta poruke;
- poštovanje zakonskih odredbi, na primer zahteve za elektronske potpise;
- dobijanje odobrenja pre korišćenja javnih spoljnih usluga, kao što su: razmena hitnih poruka, pristup i korišćenje društvene mreže ili zajedničko korišćenje datoteka;
- strože nivoe utvrđivanja verodostojnosti, kontrolisanjem pristupa iz mreža sa javnim pristupom.
Sporazumi o poverljivosti ili neotkrivanju
Sporazumi o poverljivosti ili neotkrivanju imaju za cilj zaštitu informacija Grada Beograda i obavezuju potpisnike da informacije štite, koriste i objavljuju ih na odgovoran i autorizovan način.
Da bi se identifikovali zahtevi za sporazume o poverljivosti ili neotkrivanju, treba uzeti u obzir sledeće elemente:
- definiciju informacija koje treba zaštititi;
- očekivano trajanje sporazuma, uključujući slučajeve u kojima je potrebno da se poverljivost sačuva neograničeno;
- postupanja koje se zahtevaju po isteku sporazuma, poput povraćaja ili uništavanja informacija;
- dozvoljeno korišćenje poverljivih informacija i poslovnih tajni, kao i prava potpisnika da koristi informacije;
- pravo na proveru i praćenje aktivnosti koje uključuju poverljive informacije;
- proces za obaveštavanje i izveštavanje o neovlašćenom otkrivanju ili pristupu poverljivim informacijama;
- radnje koje treba preduzeti u slučaju kršenja ovog sporazuma.
Pitanja informacione bezbednosti u okviru upravljanja svim fazama životnog ciklusa IKT sistema, odnosno delova sistema
U okviru životnog ciklusa IKT sistema, koji uključuje faze: koncipiranja, specifikacije, projektovanja, razvijanja, testiranja, implementacije, korišćenja, održavanja i na kraju povlačenja iz upotrebe, Grad Beograd je u obavezi da obezbedi informacionu bezbednost u svakoj fazi. Pitanje bezbednosti se analizira u ranim fazama projekata informacionih sistema, jer takvo razmatranje dovodi do efektivnijih i racionalnijih rešenja.
Zaposleni zaduženi za informatičke poslove u Sekretarijatu za opšte poslove su zaduženi za tehnički nadzor nad realizacijom od strane izvođača, odnosno isporučioca.
O uspostavljanju novog IKT sistema, odnosno uvođenju novih delova i izmenama postojećih delova IKT sistema zaposleni zaduženi za informatičke poslove Sekretarijata za opšte poslove vode dokumentaciju.
Dokumentacija iz prethodnog stava mora da sadrži opise svih procedura, a posebno procedura koje se odnose na bezbednost IKT sistema.
Analiza i specifikacija zahteva za informacionu bezbednost
U zahteve za nove informacione sisteme ili za poboljšanje postojećih informacionih sistema moraju biti uključeni zahtevi koji se odnose na informacionu bezbednost i oni su sastavni deo ugovora o nabavci, modifikaciji i održavanju informacionog sistema.
Zahtevi za informacionu bezbednost uključuju:
- proveru identiteta korisnika;
- dostupnost, poverljivost, neporecivost i integritet podataka i imovine;
- nadgledanje poslovnih procesa;
- omogućavanje pristupa uz proveru verodostojnosti za poslovne, privilegovane i tehničke korisnike.
Specifikacija zahteva obuhvata automatsku kontrolu koja će biti uvedena u informacioni sistem, kao i potrebu da postoji i ručna kontrola, koja mora biti primenjena pri vrednovanju razvijenih ili kupljenih paketa softvera, na- menjenih za poslovne aplikacije.
Sistemski zahtevi za informacionu bezbednost i procesi za uvođenje bezbednosti se integrišu u fazi dizajniranja informacionih sistema.
Formalno testiranje i proces implementacije će se primenjivati za sve kupljene proizvode.
U ugovoru sa izvođačem, odnosno isporučiocem kupljenih proizvoda, posebno se definišu zahtevi za informacionu bezbednost.
U slučaju da bezbednosna funkcionalnost predloženog proizvoda ne zadovoljava određen zahtev, rizik i povezane kontrole će biti preispitane pre kupovine proizvoda.
Obezbeđivanje aplikativnih usluga u javnim mrežama
Informacije obuhvaćene aplikativnim uslugama koje prolaze kroz javne mreže treba zaštiti od malverzacija, neovlašćenog otkrivanja podataka i modifikovanja. Neophodno je potvrditi identitet korisnika i izvršiti podelu ovlašćenja i odgovornosti za postavljanje sadržaja, elektronskog potpisivanja ili obavljanja transakcija.
Zaštita transakcija aplikativnih usluga
Informacije uključene u transakcije aplikativnih usluga se štite da bi se sprečio nepotpun prenos, pogrešno usmeravanje, neovlašćeno menjanje poruka, neovlašćeno razotkrivanje, neovlašćeno kopiranje poruka ili ponovno emitovanje.
Transakcije moraju da podrže sledeće uslove:
- obe strane koje učestvuju u transakciji moraju da primene elektronski potpis;
- privatnost svih strana koje učestvuju u transakciji;
- na komunikacionim kanalima primenjeno šifrovanje;
- bezbednost protokola koji se koriste u transakcijama.
Zaštita podataka koji se koriste za potrebe testiranja IKT sistema, odnosno delova sistema
Pod testiranjem IKT sistema, kao i testiranjem delova sistema, podrazumeva se procena promene stanja sistema, odnosno delova sistema, koji su unapređeni ili izloženi promenama. Pod procesom testiranja podrazumeva se proces upotrebe jednog ili više zadatih objekata pod posebnim okolnostima, da bi se uporedile aktuelna i očekivana ponašanja.
Testiranje IKT sistema, odnosno delova sistema, dozvoljeno je pod uslovom potpune primene svih bezbednosnih mera navedenih u ovom članu.
Za potrebe ispitivanja i testiranja IKT sistema, odnosno delova sistema, Grad Beograd izbegava korišćenje operativnih podataka koji sadrže lične podatke ili bilo koje druge poverljive podatke i informacije na osnovu kojih je moguće identifikovati pojedinačnog dobavljača, kupca, zaposlenog i dr. Ukoliko se za svrhu ispitivanja koriste lični podaci ili neke druge poverljive informacije, onda se svi osetljivi podaci i informacije pre korišćenja štite anonimizacijom ličnih podataka, uklanjanjem sadržaja ili izmenom teksta sadržaja u predmetnom delu.
Ukoliko je za testiranje neophodno koristiti operativne podatke, primenjuju se sledeće smernice:
- za svako kopiranje operativnih podataka u testno okruženje se izdaje posebno ovlašćenje;
- prilikom testiranja aplikativnih sistema primenjuju se procedure za kontrolu pristupa koje se primenjuju i na operativnim sistemima;
- operativne informacije se odmah po završetku ispitivanja brišu iz testnog okruženja.
Navedene smernice treba da budu deo standardnog modela ugovora o implementaciji i održavanju IKT sistema Grada Beograda.
Za podatke koji su označeni oznakom tajnosti, odnosno službenosti kao poverljivi podaci, ili su podaci o ličnosti korišćeni prilikom testiranja sistema, odgovorno je lice zaduženo za zaštitu podataka o ličnosti u Gradu Beogradu, u skladu sa propisima kojima je definisana upotreba i zaštita takve vrste podataka.
Za potrebe testiranja IKT sistema, odnosno delova sistema, zaposleni zaduženi za informatičke poslove u Sekretarijatu za opšte poslove mogu da koriste podatke koji nisu osetljivi, koje štite, čuvaju i kontrolišu na odgovarajući način.
Prilikom testiranja aplikativnih sistema primenjuju se dodatne procedure za kontrolu pristupa putem fizičke zaštite i primenom kriptografskih mera za zaštitu sistema i podataka od neovlašćenih pristupa, a koje se primenjuju i na operativnim sistemima. Skup kriptografskih mera koje će biti primenjene za zaštitu podataka utvrđuje lice odgovorno za informacionu bezbednost, uzimajući u obzir njihovu pouzdanost i svrsishodnost.
Zaštita sredstava operatora IKT sistema koja su dostupna pružaocima usluga
Politika bezbednosti razmene informacija u poslovnim odnosima sa pružaocima usluga i između nezavisnih pružalaca usluga
Ugovori koji se zaključuju sa pružaocima usluga koji imaju pristup informacijama, sredstvima ili opremi za obradu informacija Grada Beograda moraju sadržati ugovornu odredbu o zaštiti i čuvanju poverljivosti informacija, podataka i dokumentacije.
Pružaoci usluga imaju pravo na pristup informacijama koje su krajnje neophodne za pružanje predmetne usluge koja je ugovorena sa Gradom Beogradom.
Grad Beograd uspostavlja kontrolu bezbednosti informacija koje se odnose na procese i procedure koje će sprovoditi pružaoci usluga:
- identifikovanje i dokumentovanje vrste pružaoca usluga kojima će Grad Beograd dozvoliti pristup informacijama;
- standardizovani proces za upravljanje odnosima između pružaoca usluga;
- definisanje vrsta informacija koje će različitim tipovima pružalaca usluga biti dozvoljene radi pristupanja, praćenja i kontrole pristupa;
- minimalni zahtevi za bezbednost informacija za svaku vrstu informacija i vrstu pristupa;
- procesi i procedure za praćenje pridržavanja utvrđenih zahteva za bezbednost za svaku vrstu dobavljača i vrstu pristupa;
- kontrole za osiguranje integriteta informacija ili obrade informacija koju obezbeđuje bilo koja strana;
- postupanje sa incidentima i nepredviđenim situacijama koje su u vezi sa pristupom pružaoca usluga, uključujući odgovornosti i organizacije i pružaoca usluga;
- upravljanje neophodnim promenama informacija, opremom za obradu informacija i svim ostalim što treba da se premešta i osiguranje da se bezbednost informacija održava tokom prelaznog perioda.
Ugovaranje obaveze očuvanja bezbednosti u sporazumima sa pružaocima usluga
Pre otpočinjanja pregovora, potencijalni pružalac usluga u obavezi je da potpiše izjavu o poverljivosti i zaštiti podataka, informacija i dokumentacije, koja sadrži obavezu za pružaoca usluga da dostavljene ili na drugi način učinjene dostupnim informacije i podaci mogu biti korišćeni isključivo na način prethodno odobren od strane Grada Beograda, a za potrebe izvršenja predmeta pregovora.
Potrebno je da izjava o poverljivosti, odnosno ugovor o pružanju usluga, sadrži odredbu o poverljivosti sa jasno utvrđenom obavezom i odgovornošću pružaoca usluge uz pretnju raskida ugovora i naknade štete u korist Grada Beograda u slučaju povrede ove odredbe.
Pružaoci usluga dužni su da zahteve Grada Beograda u pogledu bezbednosti informacija prošire i na svoje podugovarače za dodatne usluge ili proizvode.
Lice odgovorno za informacionu bezbednost je odgovorno za kontrolu pristupa i nadzor nad izvršenjem ugovorenih obaveza, kao i za poštovanje odredbi pravilnika kojima su takve aktivnosti definisane.
Održavanje ugovorenog nivoa informacione bezbednosti i pruženih usluga u skladu sa uslovima koji su ugovoreni sa pružaocem usluga
U cilju održavanja i obezbeđivanja ugovorenog nivoa informacione bezbednosti i pruženih usluga u skladu sa uslovima koji su ugovoreni sa pružaocem usluga, Grad Beograd uspostavlja mere nadzora i zaštite za vreme pružanja usluga i nakon izvršenog posla.
Praćenje i preispitivanje izvršenja ugovorenih obaveza pružaoca usluga
Lice odgovorno za informacionu bezbednost redovno prati, analizira, preispituje i proverava izvršene usluge i usaglašenost sa ugovorenim uslugama na sledeći način:
- nadgledanje i preispitivanje usluga se može vršiti preko trećeg lica;
- neophodno je da se poštuju svi uslovi iz sporazuma u vezi sa bezbednošću informacija, kao i da se spreče svi incidenti i problemi narušavanja bezbednosti, te omogući upravljanje na odgovarajući način;
- vrši se ocena kvaliteta izvršenja i saobraznosti ugovorene usluge;
- pružalac usluge ima ugovornu obavezu da organizuje i pripremi periodične sastanke koji će obezbediti redovno izveštavanje Grada Beograda i unaprediti kvalitet ugovorenih usluga, odnosno umanjiti potencijalnu štetu ili incidente koji mogu nastati u postupku izvršenja usluge ili nakon početka primene;
- lice odgovorno za informacionu bezbednost održava potpunu kontrolu nad sprovođenjem usluga i osigurava uvid u sve osetljive ili kritične bezbednosne informacije i druga sredstva za obradu informacija kojima treća strana pristupa, koje procesuira ili kojima upravlja;
- lice odgovorno za informacionu bezbednost održava uvid u bezbednosne aktivnosti kroz jasno definisan proces izveštavanja;
- preispituje tragove provere i zapisa o događajima u vezi sa bezbednošću kod pružaoca usluga, odnosno operativnim problemima, otkazima, praćenju neispravnosti i smetnjama u vezi sa isporučenim uslugama.
Prilikom zaključenja ugovora neophodno je jasno definisati kvalitativne, operativne i finansijske kriterijume ocene; utvrditi postupak izveštavanja, praćenja i postupanja u skladu sa zahtevima Grada Beograda u postupku izvršenja ugovorenih usluga i izvršiti ocenu izvršenih usluga i kvaliteta pružaoca usluga.
Prilikom nadzora nad izvršenjem kvaliteta i saobraznosti ugovorene usluge proverava se da li pružalac usluge zadovoljava sve kriterijume koji su bili od presudnog značaja prilikom izbora, uključujući obim i kvalitet usluge, kao i da se u toku postupka izvršenja usluge može uticati na poboljšanje kvaliteta usluge ili načina i obima izvršenja, u skladu sa utvrđenim stvarnim potrebama Grada Beograda.
U postupku objektivne evaluacije kvaliteta i obima pružene usluge u odnosu na ugovorenu, potrebno je prikupiti sve relevantne činjenice, podatke i dokumentaciju u vezi sa izvršenjem usluge, kao i prikupiti podatke od neposrednih, krajnjih, korisnika u vezi sa predmetom usluge. Evaluacija se može izvršiti slanjem upitnika, razgovorom sa izabranim pojedincima ili na osnovu anonimnog anketiranja putem elektronske pošte.
Upravljanje promenama ugovorenih usluga od strane pružaoca usluga
Ugovorom sa pružaocem usluga treba obezbediti mogućnost kontinuiranog upravljanja promenama ugovorenih usluga, uključujući održavanje i unapređenje postojećih procedura i kontrolu bezbednosti informacija.
Promene koje se uzimaju u obzir su promene u sporazumima sa pružaocima usluga, povećanje obima tekućih usluga koje se nude, kao i promene koje uvodi Grad Beograd radi implementacije nove ili promenjene aplikacije, sistema, kontrola ili procedura u cilju poboljšanja bezbednosti.
Prevencija i reagovanje na bezbednosne incidente, što podrazumeva adekvatnu razmenu informacija o bezbednosnim slabostima IKT sistema, incidentima i pretnjama
Odgovornost pojedinaca i postupak odgovora na incidente
Posebnim procedurama se uređuje način odgovora na incidente narušavanja informacione bezbednosti i određuje osoba ovlašćena za kontakt u slučajevima narušavanja bezbednosti, kao i kontakt sa nadležnim organima.
Potrebne procedure:
- procedure za pripremu i planiranje odgovora na incidente;
- procedure za nadgledanje, detekciju, analizu i izveštavanje o događajima i incidentima u vezi sa bezbednošću informacija;
- procedure za zapisivanje aktivnosti u okviru upravljanja incidentima;
- procedure za postupanje sa sudskim dokazima;
- procedure za ocenjivanje i odlučivanje o događajima u okviru bezbednosti informacija i ocenjivanje slabosti u pogledu bezbednosti informacija;
- procedure za odgovaranje na incidente, oporavak od incidenta i komunikaciju sa eksternim ili internim osobama ili organizacijama.
Grad Beograd određuje lice odgovorno za informacionu bezbednost, čiji je zadatak da, pridržavajući se procedura određenih ovim članom, planira, detektuje, analizira i informiše nadležne u toku i nakon incidenta.
Radno mesto lica odgovornog za informacionu bezbednost podrazumeva odgovarajuća tehnička znanja kako bi na najbrži i odgovarajući način mogao da odgovori na bezbednosne incidente.
Lice odgovorno za informacionu bezbednost u cilju prevencije od bezbednosnih rizika obezbeđuje više (različitih i drugačijih) mehanizama za komunikaciju i koordinaciju u slučaju narušavanja bezbednosti. Ovi mehanizmi mogu biti: obezbeđivanje kontakt informacija (broj telefona, elektronska adresa) pojedinaca i članova tima u okviru organizacije i van nje, sistem za praćenje problema, šifrovani softver koji bi bio korišćen od strane pojedinaca u okviru organizacije i spoljašnjih stranaka, posebnu osiguranu prostoriju za čuvanje podataka i skladištenje poverljivog materijala.
U slučaju bilo kakvog incidenta koji može da ugrozi bezbednost resursa IKT sistema, zaposleni - korisnik je dužan da o tome odmah obavesti lice odgovorno za informacionu bezbednost.
Izveštavanje o događajima u vezi sa bezbednošću informacija
Svi zaposleni moraju biti upoznati sa obavezom i procedurom izveštavanja o događajima u vezi sa informacionom bezbednošću.
Lice odgovorno za informacionu bezbednost je dužno da pripremi plan i nekoliko metoda komunikacije koje bi mogle da se primene u zavisnosti od incidenta. Moguće metode komunikacije su: elektronska pošta, veb-sajtovi (interni, eksterni, portali), telefonska komunikacija, govorna poruka, pismeno izveštavanje, direktan kontakt.
U slučaju pogrešnog funkcionisanja ili drugih anomalijskih ponašanja sistema vrši se isto izveštavanje kao i u slučaju događaja u vezi sa informacionom bezbednošću.
Procedura izveštavanja koja se primenjuje u slučaju događaja u vezi sa informacionom bezbednošću:
- zaposleni koji smatra da je došlo do napada ili zloupotrebe podataka mora odmah pripremiti opis problema i poslati ga elektronskom poštom licu odgovornom za informacionu bezbednost (help desk)/ pozvati broj/ prijaviti problem putem internet-strane za help desk;
- adresu elektronske pošte, broj telefona i internet-stranu za help desk proverava sistem administrator;
- sistem administrator vrši proveru prijavljenog incidenta i dalje postupa po odgovarajućoj proceduri.
Kada je identifikovan incident zaposleni je dužan da odmah obavesti lice odgovorno za informacionu bezbednost i preduzme mere u cilju zaštite resursa IKT sistema.
Lice odgovorno za informacionu bezbednost vodi evidenciju o svim incidentima, kao i prijavama incidenata, u skladu sa uredbom, na osnovu koje protiv odgovornog lica mogu da se vode disciplinski, prekršajni ili krivični postupci.
Izveštavanje o utvrđenim slabostima sistema zaštite
Svi zaposleni su u obavezi da o uočenim i utvrđenim slabostima IKT sistema izveste lice odgovorno za informacionu bezbednost u što kraćem roku, kako bi se
incidenti narušavanja informacione bezbednosti sprečili i sprečio nastanak štete.
Odgovorno lice za obaveštavanje nadležnih organa o incidentima u IKT sistemu koji mogu da imaju značajan uticaj na narušavanje informacione bezbednosti, postupa u skladu sa odgovarajućom procedurom.
Događaji u vezi sa informacionom bezbednošću se ocenjuju i u skladu sa analizom se donosi odluka da li je potrebno da se klasifikuju kao incidenti narušavanja informacione bezbednosti.
Odgovor na incidente narušavanja informacione bezbednosti
Grad Beograd je u obavezi da usvoji Plan za prevenciju od bezbednosnih rizika.
Plan za prevenciju od bezbednosnih rizika sadrži odgovore na pitanja ko treba da bude kontaktiran, kada i kako i koje akcije treba preduzeti momentalno u slučaju određenog napada.
Plan za prevenciju od bezbednosnih rizika sadrži najmanje sledeća poglavlja:
- Klasifikaciona šema - detalji o podacima koji se nalaze u sistemu, njihov nivo osetljivosti i poverljivosti.
- Lista usluga - popis svih usluga koje Grad Beograd pruža, rangirane po važnosti.
- Plan za backup i restore podataka - definiše za koje podatke se radi backup, nosače podataka na koje će se snimati, gde se nosači čuvaju i koliko često se backup izvodi. Definiše i postupak za restore podataka.
- Plan za zamenu opreme: sadrži spisak potrebne opreme, rangirane po važnosti.
- Odnosi s javnošću: utvrđena je odgovorna osoba zadužena za odnose sa javnošću, kao i uputstvo koje informacije je dozvoljeno javno objaviti u slučaju napada.
Prikupljeno znanje iz analize i rešavanja incidenata koji su narušili informacionu bezbednost, Grad Beograd koristi da bi se identifikovali incidenti koji se ponavljaju i smanjila verovatnoća i uticaj budućih incidenata.
Grad Beograd definiše i primenjuje procedure za identifikaciju, sakupljanje, nabavku i čuvanje informacija koje mogu da služe kao dokaz u slučaju pokretanja disciplinskog, prekršajnog ili krivičnog postupka.
Mere koje obezbeđuju kontinuitet obavljanja posla u vanrednim okolnostima
Grad Beograd primenjuje mere koje obezbeđuju kontinuitet obavljanja posla u vanrednim okolnostima, kako bi IKT sistem u što kraćem roku bio u funkcionalnom stanju.
Planiranje kontinuiteta mera bezbednosti informacija
Kontinuitet poslovanja se osigurava kroz Plan za obezbeđenje kontinuiteta poslovanja i Plan oporavka od neželjenih događaja IKT sistema.
Pri izradi Plana za obezbeđenje kontinuiteta poslovanja za hardverske komponente IKT sistema treba obuhvatiti sledeće:
- dokumentaciju za logički i fizički dijagram i kopije projekata;
- zaštitne kopije konfiguracionih fajlova i operativnog sistema aktivnih uređaja;
- postojanje rezervne opreme;
- unapred napravljene konfiguracije za različite scenarije;
- izradu rezervnih kopija.
Pri izradi Plana oporavka od neželjenih događaja IKT sistema treba obuhvatiti sledeće:
- proceniti najkritičnije aplikacije, podatke, konfiguracione fajlove i sistemski softver za koji treba napraviti rezervne kopije;
- odrediti mesto čuvanja kopije;
- odrediti novu lokaciji rada IKT sistema u slučaju nemogućnosti rada na osnovnoj lokaciji/izbor računara koji će privremeno zameniti server dok se server ne stavi u funkciju;
- navesti podatke o timu koji će biti angažovan na otklanjanju posledica neželjenih događaja;
- odrediti izvore neprekidnog napajanja električnom energijom.
Takođe, pri izradi Plana oporavka od neželjenih događaja IKT sistema potrebno je predvideti:
- postojanje dokumentacije za servise, aplikacije i baze podataka;
- procedure instalacije i konfigurisanja servisa, aplikacija i baza podataka;
- mesto čuvanja instalacija servisa, aplikacija i baza podataka i rezervne kopije podataka;
- podatke o timu koji će biti angažovan na otklanjanju posledica neželjenih događaja;
- razvijene i odobrene dokumentovane planove, odgovore i procedure za oporavak, detaljno navodeći kako će organizacija upravljati događajima koji uzrokuju poremećaje i kako će održavati svoju bezbednost informacija.
Implementacija kontinuiteta bezbednosti informacija
Da bi se osigurao potreban nivo kontinuiteta bezbednosti informacija tokom vanrednih situacija, lice odgovorno za informacionu bezbednost primenjuje procedure i kontrole opisane u Planu za obezbeđenje kontinuiteta poslovanja.
Lice odgovorno za informacionu bezbednost redovno vrši proveru usvojenih procedura kontrole kontinuiteta bezbednosti informacija, kako bi one bile adekvatne i efektivne tokom vanrednih situacija.
Provera se vrši vežbanjem i ispitivanjem znanja i rutine prilikom rukovanja procesima, procedurama i kontrolama, kao i preispitivanjem efektivnosti mera bezbednosti informacija u slučaju promene informacionih sistema, procesa, procedure i kontrole bezbednosti informacija.
III PRELAZNE I ZAVRŠNE ODREDBE
Posebna obaveza Grada Beograda
Obaveza Grada Beograda je da najmanje jednom godišnje izvrši proveru IKT sistema i izvrši eventualne izmene
Pravilnika o bezbednosti informaciono-komunikacionih sistema, u cilju provere adekvatnosti predviđenih mera zaštite, kao i utvrđenih procedura, ovlašćenja i odgovornosti u IKT sistemu Grada Beograda.
Zaduženi za informatičke poslove u Sekretarijatu za opšte poslove vrše redovno ažuriranje procedura koje čine sastavni deo ovog akta i njihovim objavljivanjem na internom portalu Uprave one stupaju na snagu.
Ovaj akt ima stepen tajnosti oznake: INTERNO, i dostupan je isključivo licima kojima je odobren pristup informacionom sistemu Grada Beograda.
Stupanje na snagu Pravilnika o bezbednosti
Ovaj pravilnik o bezbednosti stupa na snagu 8 (osmog) dana od dana objavljivanja u "Službenom listu Grada Beograda".