Pereiti prie pagrindinio turinio
FromNine
Meniu

Patikimumas ir atitiktis

Patikimumas ir atitiktis reguliuojamoms organizacijoms

FromNine informacijos saugumo valdymo sistema sertifikuota pagal ISO/IEC 27001. Šiame puslapyje aprašyta, kaip mes, būdami tiekėju, saugome Jūsų sistemas ir duomenis, kuo prisidedame prie Jūsų prievolių pagal Kibernetinio saugumo įstatymą, DORA ir ES Dirbtinio intelekto aktą ir kaip paprašyti mūsų saugumo dokumentų.

Viešojo sektoriaus institucijoms ir reguliuojamoms įmonėms Lietuvoje, kur ES taisykles papildo nacionalinis įstatymas ir nacionalinės priežiūros institucijos.

Paprašykite dokumentųKą įsipareigojame

Mūsų įsipareigo­jimai

Penki įsipareigo­jimai kiekviename projekte

Viešojo sektoriaus institucijos ir reguliuojamos įmonės mums patiki jautrius duomenis ir sistemas, kurios padeda priimti realius sprendimus. Štai ko jos gali iš mūsų reikalauti.

  • Informacijos saugumo valdymas

    Sertifikuota

    Mūsų informacijos saugumo valdymo sistema sertifikuota pagal ISO/IEC 27001, tarptautinį informacijos saugumo valdymo standartą. Kontrolės priemonės, tiekėjų valdymas ir incidentų tvarkymas kiekviename projekte vyksta pagal šią sistemą.

    Prieiga prie Jūsų sistemų ir duomenų sutariama prieš pradedant darbą, apribojama tuo, ko reikia darbui, ir peržiūrima, kai keičiasi komanda.

    Sertifikuota pagal ISO/IEC 27001

  • Asmens duomenys ir BDAR

    Kaip dirbame

    Tikslai, prieigos ribos ir saugojimo terminai sutariami prieš pradedant kurti. Kai asmens duomenis tvarkome Jūsų vardu, veikiame kaip Jūsų duomenų tvarkytojas pagal duomenų tvarkymo sutartį, kaip reikalauja BDAR 28 straipsnis.

    Kai duomenų tvarkymas gali kelti didelį pavojų, pateikiame techninę informaciją Jūsų poveikio duomenų apsaugai vertinimui.

  • Žmogaus priežiūra DI sistemose

    Kaip dirbame

    Kiekvieną dirbtinio intelekto (DI) naudojimo atvejį klasifikuojame kartu su Jumis supratimo etape. Patvirtinimo žingsniai, žurnalai ir techninė dokumentacija įdiegiami į sistemą nuo pirmosios versijos, o ne pridedami prieš auditą. Agentai dirba su ribotais leidimais ir prieš žingsnius, turinčius pasekmių, prašo patvirtinimo.

  • Prieinamumas

    Kaip dirbame

    Sąsajas projektuojame ir tikriname pagal EN 301 549 ir WCAG 2.2 AA lygį automatinėmis patikromis ir rankine peržiūra, naudojant pagalbines technologijas, ir pateikiame atitikties ataskaitą su visomis žinomomis problemomis. Viešojo sektoriaus institucijai ji padeda parengti pareiškimą dėl prieinamumo.

  • Duomenų saugojimas ES

    Pagal projektą

    Prieglobos regionai, šifravimo raktų kontrolė ir palaikymo prieigos vietos sprendžiami kartu su Jumis prieš pradedant kurti ir įrašomi į architektūrą, įskaitant suverenias galimybes, kai jų reikia pagal Jūsų reikalavimus.

Šiame puslapyje aprašyta, kaip dirbame būdami tiekėju. Tai nėra atitikties pareiškimas Jūsų vardu: kokios prievolės taikomos, priklauso nuo Jūsų organizacijos ir naudojimo atvejo, o teisinį vertinimą atlieka Jūsų teisininkai.

TIS 2 (NIS2)

TIS 2 (NIS2): parama Jūsų tiekimo grandinės saugumui

TIS 2 direktyva (NIS2), Direktyva (ES) 2022/2555, reikalauja, kad esminiai ir svarbūs subjektai valdytų savo tinklų ir informacinių sistemų kibernetinio saugumo rizikas. Tiekimo grandinės saugumas yra viena iš minimalių priemonių pagal 21 straipsnio 2 dalį, o 21 straipsnio 3 dalis reikalauja, kad subjektai atsižvelgtų į savo tiesioginių tiekėjų ir paslaugų teikėjų saugumo praktiką.

Lietuvoje direktyva perkelta Kibernetinio saugumo įstatymu, kuris galioja nuo 2024 m. spalio 18 d.; kibernetinio saugumo reikalavimus nustato 2024 m. lapkričio 6 d. priimtas Vyriausybės nutarimas, o priežiūrą vykdo Nacionalinis kibernetinio saugumo centras (NKSC). Būdami Jūsų tiekėju, padedame lengviau įrodyti, kad šią pareigos dalį vykdote: saugumo sąlygos, incidentų kanalai ir pažeidžiamumų valdymas sutariami kiekvienoje sutartyje, o Jūsų projektui taikomos kontrolės priemonės dokumentuojamos, kad jas galėtų įvertinti Jūsų tiekėjų rizikos vertinimo procesas. Ar ir kaip įstatymas taikomas Jūsų organizacijai, vertinate patys.

  • Saugumo sąlygos sutartyje

    Prieiga, subranga, pranešimai apie incidentus ir bendradarbiavimas atliekant auditus sutariami raštu, o ne numanomi.

  • Veikiantis incidentų kanalas

    Įvardyti kontaktiniai asmenys ir sutarti terminai, kad incidentas mūsų pusėje Jus pasiektų laiku ankstyvajam perspėjimui, kurį TIS 2 direktyva numato per 24 valandas (23 straipsnio 4 dalis).

  • Pažeidžiamumų valdymas

    Priklausomybių, kodo ir infrastruktūros skenavimas vyksta diegimo konvejeryje, o radiniai ištaisomi arba apie juos pranešama sutartu kanalu.

  • Įrodymai pagal užklausą

    Mūsų ISO/IEC 27001 sertifikatas ir Jūsų projektui taikomų kontrolės priemonių aprašas.

DORA

DORA: trečiosios šalies keliama IRT rizika finansų sektoriaus subjektams

Reglamentas (ES) 2022/2554 dėl skaitmeninės veiklos atsparumo finansų sektoriuje (DORA) taikomas nuo 2025 m. sausio 17 d. Bankai, draudikai, investicinės įmonės, mokėjimo įstaigos ir kiti finansų sektoriaus subjektai turi valdyti trečiosios šalies keliamą IRT riziką pagal savo IRT rizikos valdymo sistemą, tvarkyti visų sutartimi įformintų susitarimų dėl IRT paslaugų informacijos registrą (28 straipsnis) ir į šias sutartis įtraukti pagrindines sutartines nuostatas (30 straipsnis). Lietuvos bankas prižiūri finansų rinkos dalyvius. Pagal DORA finansų sektoriaus subjektai jam teikia IRT registrą ir pranešimus apie didelius su IRT susijusius incidentus.

Kai teikiame IRT paslaugas finansų sektoriaus subjektui, sutariame 30 straipsnyje išvardytas nuostatas: išsamų paslaugų aprašą, vietas, kuriose paslaugos teikiamos ir duomenys tvarkomi, pagalbą įvykus IRT incidentui, bendradarbiavimą su Jūsų kompetentingomis institucijomis ir sutarties nutraukimo teises. Paslaugoms, kurios palaiko ypatingos svarbos arba svarbias funkcijas, sutartis taip pat apima pasitraukimo strategijas ir mūsų dalyvavimą Jūsų atsparumo testavime.

Pateikiame informaciją, kurios reikia Jūsų informacijos registrui, ir nuo pradžių dokumentuojame pasitraukimo planus, kad perėjimas pas kitą tiekėją liktų reali galimybė.

ES Dirbtinio intelekto aktas

ES Dirbtinio intelekto aktas: žmogaus atliekama priežiūra ir dokumentacija nuo projektavimo

Dirbtinio intelekto aktas, Reglamentas (ES) 2024/1689, taikomas etapais. Draudžiamos praktikos ir raštingumo DI srityje reikalavimai taikomi nuo 2025 m. vasario 2 d., o 50 straipsnio skaidrumo prievolės nuo 2026 m. rugpjūčio 2 d. Po 2026 m. pakeitimo Reglamentu (ES) 2026/1744 III priede išvardytoms didelės rizikos sistemoms taisyklės taikomos nuo 2027 m. gruodžio 2 d.

Didelės rizikos sistemoms aktas reikalauja techninės dokumentacijos (11 straipsnis), automatinio įvykių registravimo (12 straipsnis) ir tokio projekto, kad žmonės galėtų veiksmingai prižiūrėti sistemą (14 straipsnis), o diegėjai šią priežiūrą turi pavesti žmonėms, turintiems reikiamą kompetenciją ir įgaliojimus (26 straipsnis). Tam ruošiamės nuo pirmosios versijos: patvirtinimo žingsniai ir galimybė pakeisti sprendimą įrengiami ten, kur sprendimai daro poveikį žmonėms, o dokumentacija rašoma kartu su kodu.

Lietuvoje Dirbtinio intelekto akto rinkos priežiūros institucija ir bendrasis kontaktinis punktas yra Ryšių reguliavimo tarnyba (RRT), o notifikuojančioji institucija yra Inovacijų agentūra. Ar Jūsų organizacija veikia kaip tiekėjas, ar kaip diegėjas, priklauso nuo to, kaip sistema pradedama naudoti. Tai teisinio vertinimo klausimas, kurį sprendžia Jūsų teisininkai; mes pateikiame jiems reikalingus techninius faktus.

Įgyvendinant

Saugumas kiekviename įgyvendinimo etape

Atitikties įrodymai atsiranda iš to, kaip dirbama, o ne iš dokumento, parašyto pabaigoje.

  • Mažiausių privilegijų prieiga

    Prieiga prie Jūsų aplinkų ir duomenų apribojama tuo, ko reikia darbui, sutariama prieš pradedant darbą ir peržiūrima kaskart, kai keičiasi komanda.

  • Peržiūrėti ir patikrinti pakeitimai

    Prieš išleidžiant pakeitimus peržiūri kolegos. Priklausomybių, kodo ir infrastruktūros skenavimas vyksta automatiškai, o saugumo testavimas planuojamas kiekvienai versijai.

  • Incidentai tvarkomi pagal sutartą procesą

    Incidentų klasifikavimas, kontaktiniai asmenys pranešimams ir įrodymų rinkimas sutariami pradžioje ir įtraukiami į incidentų procesą, jei Jums taikomas Kibernetinio saugumo įstatymas ar DORA.

  • Dokumentuotas perdavimas ir pasitraukimas

    Veiksmų instrukcijos, architektūros sprendimai ir duomenų modeliai perduodami kartu su sistema, o pasitraukimo planai nuo pradžių parodo duomenų grąžinimą ir perėjimo sąnaudas.

Tiekėjo patikrinimas

Paprašykite mūsų saugumo dokumentų

Pirkimų, saugumo ir teisės komandoms įrodymų reikia prieš pasirašant sutartį. Paprašykite mūsų ISO/IEC 27001 sertifikato ir jo taikymo srities, atsakymų į Jūsų tiekėjų saugumo klausimyną ir duomenų tvarkymo sąlygų, kurios būtų taikomos Jūsų projektui.

Užklausą siųskite per kontaktų puslapį ir nurodykite, pagal kokį reikalavimų rinkinį vertinate tiekėjus, pavyzdžiui, Kibernetinio saugumo įstatymą, DORA ar vidaus saugumo reikalavimus. Su Jumis susisieks tinkami žmonės.

Lietuva

Bendras ES pagrindas, Lietuvos priežiūros institucijos

BDAR, DORA ir Dirbtinio intelekto aktas yra reglamentai, tiesiogiai taikomi visoje Europos Sąjungoje. TIS 2 yra direktyva, todėl taikymo sritis, registracija ir pranešimų tvarka kiekvienoje valstybėje narėje skiriasi; Lietuvoje ją perkelia Kibernetinio saugumo įstatymas. Priežiūra visada nacionalinė: Lietuvoje kibernetinį saugumą prižiūri Nacionalinis kibernetinio saugumo centras (NKSC), finansų rinkos dalyvius Lietuvos bankas, asmens duomenų apsaugą Valstybinė duomenų apsaugos inspekcija (VDAI), o Dirbtinio intelekto akto rinkos priežiūrą vykdo Ryšių reguliavimo tarnyba (RRT).

Programoms, apimančioms kelias šalis, sutariame vieną kontrolės priemonių rinkinį ir kiekvieną incidentų kanalą susiejame su ta institucija, kuriai atsiskaito atitinkamas subjektas.

Pirkimų ir saugumo komandų klausimai

Ar FromNine turi ISO/IEC 27001 sertifikatą?

Taip. Mūsų informacijos saugumo valdymo sistema sertifikuota pagal ISO/IEC 27001. Sertifikatą ir jo taikymo sritį pateikiame paprašius, kaip tiekėjo patikrinimo dalį.

Kaip padedate vykdyti mūsų prievoles pagal Kibernetinio saugumo įstatymą?

Sutartyje sutariame saugumo sąlygas, pranešimų apie incidentus kanalus ir pažeidžiamumų valdymą, dokumentuojame Jūsų projektui taikomas kontrolės priemones ir pateikiame įrodymus, kurių reikia Jūsų tiekėjų rizikos vertinimui. Ar ir kaip įstatymas taikomas Jūsų organizacijai, vertinate Jūs ir Jūsų teisininkai.

Ar sutiksite su sutarties nuostatomis, kurių reikalauja DORA?

Taip. Sutariame DORA 30 straipsnio nuostatas, pranešame apie incidentus sutartu kanalu, dokumentuojame pasitraukimo planus, dalyvaujame atsparumo testavime ir pateikiame informaciją, kurios reikia Jūsų informacijos registrui.

Kas atsako už atitiktį Dirbtinio intelekto aktui?

Tai priklauso nuo Jūsų vaidmens, tiekėjo ar diegėjo, ir nuo naudojimo atvejo rizikos klasės. Kiekvieną naudojimo atvejį klasifikuojame kartu su Jumis supratimo etape, į sistemą įdiegiame priežiūrą, žurnalus ir dokumentaciją ir pateikiame techninius faktus, kurių Jūsų teisininkams reikia teisiniam vertinimui.

Kur bus saugomi ir tvarkomi mūsų duomenys?

Vietose, kurias sutariame su Jumis prieš pradėdami kurti: Jūsų pačių debesijos aplinkoje, viešosios debesijos ES regione arba, jautriems darbo krūviams, Jūsų patalpose. Prieglobos ir DI paslaugos parenkamos atitinkamai, o pasirinkimas dokumentuojamas kartu su pasitraukimo galimybėmis.

Kaip paprašyti Jūsų saugumo dokumentų?

Per kontaktų puslapį. Nurodykite, kokių dokumentų reikia ir pagal kokį reikalavimų rinkinį vertinate tiekėjus, ir su Jumis susisieks tinkami žmonės.

Paprašykite įrodymų

Nurodykite, pagal kokį reikalavimų rinkinį vertinate tiekėjus ir kokių dokumentų Jums reikia. Atsakysime, ką galime pateikti ir kaip.

Paprašykite dokumentųApie FromNine