Kibernetinio saugumo reikalavimai

BDAR 32 str. Ryšys turi būti šifruotas. Slaptažodis nekeliauja atviru tekstu.

Dabar. Programa atidaroma per HTTPS. Prisijungimo duomenys neina atviru HTTP.

Reikia. Gamyboje palikti tik HTTPS. HTTP nenaudoti.

BDAR 32 str.

Dabar. Kai prisijungimas bus įjungtas: el. paštas, slaptažodis, scrypt, HMAC sesija, HttpOnly slapukas. Naujam slaptažodžiui — bent 8 simboliai.

Reikia. Gamyboje išjungti demo režimą. Administracijai — dviejų veiksnių patvirtinimas.

BDAR 32 str. ir 5 str. 1 d. c p. Duomenis mato tik tas, kam jų reikia darbui.

Dabar. Atsarginės kopijos ir asmens bylos — tik vadovybei ir programos administratoriui, ne visai brigadai.

Reikia. Išeinančiam darbuotojui prieigą išjungti tą pačią dieną.

BDAR 32 str. ir 5 str. 2 d. Reikia parodyti, kas ir kada lietė duomenis.

Dabar. Numatyta žurnale: prisijungimai, darbai, GPS, nuotraukos, kūrimas, trynimas, 2FA.

Reikia. Įrašus saugoti apie 12 mėn. Terminas įrašomas tvarkymo veiklos žurnale.

BDAR 32 str. Mažiausios teisės.

Dabar. Atsarginę kopiją atidaro vadovas arba administratorius, ne eilinis montuotojas.

Reikia. Tą pačią taisyklę palikti ir gamybinėje aplinkoje.

Ne atskiras BDAR punktas. Geroji praktika administratoriaus paskyrai.

Dabar. Numatyta: TOTP programėlė ir atsarginiai kodai. Darbuotojui dar neprivaloma.

Reikia. Prieš gamybą įjungti administracijai. El. pašto kodai — kai bus siuntimas.

BDAR 32 str. OWASP: užklausos parametrinės, failai tik leistinų tipų.

Dabar. Duomenų užklausos parametrinės. Nuotraukos — tik jpeg, png arba webp, iki 1 MB, iš kameros, ne iš galerijos.

Reikia. Papildomų veiksmų prieš paleidimą nėra.

BDAR 5–6 str., Darbo kodeksas, VDAI: vieta tik pamainos metu, ne atskiras sekimas.

Dabar. Vieta nerašoma po pamainos ir ne darbo valandomis (nuo 06:00 iki darbo pabaigos ir dar 2 val., Lietuvos laiku). Tai darbo aktas, ne sekimas visą parą.

Reikia. Darbuotoją informuoti raštu. Sutikimo lapas paruoštas pasirašyti.

BDAR 32 str. Priemonė pagal riziką, ne vienas privalomas algoritmas.

Dabar. Atsarginės kopijos šifruojamos AES-256-GCM. Disko šifravimas — Neon ir Vercel pusėje.

Reikia. Gamybos bazę laikyti ES (Neon) ir palikti įjungtą disko šifravimą.

Techninis patikrinimas, ne atskiras įstatymo straipsnis.

Dabar. Peržiūroje duomenys laikomi naršyklėje. Gamyboje numatyta atskira Neon bazė.

Reikia. Prieš paleidimą tuščia gamybos bazė, be demonstracinių vardų ir objektų.

BDAR 44–46 str. Perdavimas už EEE ribų turi būti pagrįstas.

Dabar. Numatyti subtiekėjai: Vercel ir Neon, regionas Frankfurtas / ES.

Reikia. Projektą sukurti ES regione ir to nekeisti.

BDAR 32 str. Atkūrimas. Dažnumą renkasi įmonė pagal riziką.

Dabar. Rankinę šifruotą kopiją gali pasiimti tik vadovybė. Neon daro savo kopijas.

Reikia. Įjungti Neon atkūrimą laike ir kartą per ketvirtį patikrinti, kad kopija atsistato.

BDAR 5 str. 1 d. e p. Saugojimo ribojimas. VDAI praktikoje vietai dažnai užtenka kelių dienų.

Dabar. Senesnė nei 7 d. vieta trinama. Nuotraukų terminas nustatomas nuo 14 iki 90 d.

Reikia. Palikti 90 d. arba sutrumpinti iki 30 d., jei vadovybė nori griežčiau.

BDAR 5 str. 1 d. c p. ir 32 str. Demonstraciniai įrašai negali likti gamyboje.

Dabar. Šioje atviroje versijoje vardai, objektai ir kiekiai yra pavyzdys darbui išbandyti.

Reikia. Prieš tikrą naudojimą išvalyti pavyzdinius žmones, objektus ir sandėlį.

BDAR 15–20 str. Teisė susipažinti, ištrinti ir perkelti duomenis.

Dabar. Numatytas eksportas, incidentų ir prašymų tvarka. Šablonas užpildytas.

Reikia. Tvarką pasirašyti. Prašymą įvykdyti per 30 dienų.

BDAR 32 str. Leidžiama priemonė, bet šalies ribojimas nėra privalomas.

Dabar. Peržiūra atidaryta be IP filtro, kad komanda galėtų dirbti ir iš objekto.

Reikia. Jei reikės, filtras jungiamas gamyboje. Apsauga nuo antplūdžio — Vercel arba Cloudflare, ne programos viduje. Regionas lieka ES.