Na osnovu člana 4. stav 2. Zakona o informacionoj bezbjednosti ("Službeni glasnik Republike Srpske", broj 70/11) i člana 43. stav 2. Zakona o Vladi Republike Srpske ("Službeni glasnik Republike Srpske", broj 118/08), Vlada Republike Srpske, na sjednici od 20. septembra 2012. godine, donijela je

UREDBU

O MJERAMA INFORMACIONE BEZBJEDNOSTI

(Objavljena u "Sl. glasniku RS", br. 91 od 2. oktobra 2012)

I- OSNOVNE ODREDBE

Član 1.

Ovom uredbom utvrđuju se mjere informacione bezbjednosti kojima se obezbjeđuje osnovna zaštita podataka na fizičkom, tehničkom i organizacionom nivou.

Član 2.

Mjere iz člana 1. ove uredbe odnose se na republičke organe, organe jedinica lokalne samouprave, pravna lica koja vrše javna ovlašćenja (u daljem tekstu: organi) i druga pravna i fizička lica koja ostvaruju pristup ili postupaju sa podacima u elektronskom obliku republičkih organa, organa jedinica lokalne samouprave i pravnih lica koja vrše javna ovlašćenja.

Član 3.

Pojedini izrazi koji su upotrijebljeni u ovoj uredbi imaju sljedeće značenje:
a) hardver je fizička komponenta informacionog sistema,
b) kriptografska zaštita je sistem zaštite podataka i informacionih sistema koji osigurava siguran prenos podataka kroz računarsku i telekomunikacionu mrežu,
v) informatički medij je svaki medij na kojem je moguće prenositi ili skladištiti podatke u elektronskom obliku,
g) bezbjedno skladište je sef, kasa ili drugi prostor za skladištenje podataka opremljen uređajem koji sprečava neovlašćeni pristup uskladištenim podacima,
d) softver je svaki operativni sistem, program, korisnička i servisna aplikacija,
đ) rizik je potencijalni uzrok koji može nanijeti štetu podatku ili informacionom sistemu u kojem se koriste podaci,
e) bezbjedna lokacija je mjesto za čuvanje podataka skladištenih na informatičkom mediju u ili izvan radnih prostorija organa, pravnog ili fizičkog lica iz člana 2. ove uredbe, opremljen tehničkim uređajima, kojima se sprečava neovlašćeni pristup uređajima i podacima,
ž) administrativna zona je prostor ili prostorija u objektu u kojem se čuvaju podaci i uređaji na kojima su smješteni podaci i koji zahtijeva odgovarajuću fizičku zaštitu,
z) kriptovana zaštita podataka je primjena programskih rješenja ili uređaja za zaštitu podataka koji osiguravaju povjerljivost, cjelovitosti i dostupnost podataka.

II- FIZIČKA ZAŠTITA

Član 4.

Mjere informacione bezbjednosti fizičke zaštite su:
a) uspostavljanje administrativne zone,
b) izrada plana fizičke zaštite,
v) procjena efikasnosti mjera fizičke zaštite,
g) kontrola lica,
d) skladištenje podataka i
đ) fizička zaštita informacionih sistema.

Član 5.

(1) Mjere informacione bezbjednosti fizičke zaštite sprovode se radi sprečavanja neovlašćenog ili nasilnog ulaska lica u objekte i prostorije u kojima se nalaze podaci, odnosno uređaji sa podacima, sprečavanja i otkrivanja zloupotreba podataka od strane zaposlenih, kao i otkrivanja i reagovanja na rizike.
(2) Mjere informacione bezbjednosti fizičke zaštite određuju se zavisno od vrste, broja, oblika i načina skladištenja podataka, ovlašćenja za pristup podacima, kao i bezbjednosne procjene mogućih rizika.

Član 6.

Administrativna zona se uspostavlja za korišćenje podataka u kontrolisanom, vidljivo označenom prostoru unutar kojeg je moguće kontrolisati pristup lica.

Član 7.

(1) Organi, pravna i fizička lica iz člana 2. ove uredbe, za objekat ili prostor u kojem imaju pristup, odnosno postupaju sa podacima izrađuju plan fizičke zaštite kojim se utvrđuje potreba sprovođenja mjera fizičke zaštite, u skladu sa standardima informacione bezbjednosti.
(2) Organi, pravna i fizička lica iz člana 2. ove uredbe, najmanje jednom godišnje, procjenjuju efikasnost mjera informacione bezbjednosti fizičke zaštite objekata i prostorija u kojima se nalaze podaci, kao i kad dođe do promjene namjene lokacije ili elemenata u informacionom sistemu.
(3) Organi, pravna i fizička lica iz člana 2. ove uredbe dužni su da sprovode kontrolu lica na ulazima i izlazima iz objekta ili prostora u kojima se nalaze podaci i o tome vode evidenciju radi sprečavanja neovlašćenog iznošenja podataka ili sprečavanja unošenja nedozvoljenih predmeta, kojima se može ugroziti bezbjednost podataka.

Član 8.

Podatak se skladišti na odgovarajućem informatičkom mediju, koji se odlaže i čuva u bezbjednom skladištu.

Član 9.

Prostor u kojem se nalaze računari za vođenje baze podataka i centralni računar informacionog sistema (serveri), mrežna ili komunikaciona oprema informacionog sistema organizuje se kao administrativna zona.

III- ZAŠTITA PODATAKA

Član 10.

Računar za vođenje baze podataka i centralni računar informacionog sistema (server) mora biti opremljen:
a) sistemom za bezbjedno prijavljivanje za rad sa mogućnošću evidentiranja ostvarenih pristupa, kako bi se pristup serveru mogao kontrolisati i ograničiti,
b) mehanizmom za sprečavanje neovlašćenog iznošenja i unošenja podataka upotrebom prenosivih informatičkih medija, komunikacionih priključaka i priključaka za ispis podataka i
v) mehanizmom zaštite od računarskih virusa i drugih štetnih programa.

Član 11.

(1) Pristup bazi podataka dozvoljen je samo licima zaduženim za održavanje i razvoj informacionog sistema.
(2) Pristup telekomunikacionom, računarskom i aplikativnom sistemu za obradu podataka dozvoljen je uz upotrebu odgovarajućeg korisničkog imena i pripadajuće lozinke.
(3) Korisničko ime i pripadajuća lozinka ne smiju se otkriti i dati na upotrebu drugom licu.

Član 12.

Upravljanje sistemom korisničkog pristupa podrazumijeva razvoj, primjenu i održavanje informacionog sistema, na način koji omogućava jednoznačno identifikovanje i pouzdano garantovanje identiteta korisnika.

Član 13.

Organi, pravna i fizička lica iz člana 2. ove uredbe dužni su da skladište sve podatke iz informacionih sistema na informatičke medije upotrebom metoda koji garantuju bezbjednost, povjerljivost, cjelovitost i dostupnost uskladištenih podataka.

Član 14.

(1) Baze podataka obavezno se skladište na prenosive informatičke medije najmanje jednom dnevno, sedmično, mjesečno i godišnje, za potrebe obnove baze podataka.
(2) Podaci informacionog sistema skladište se u onoliko dnevnih primjeraka koliko ima radnih dana u sedmici.
(3) Sedmično skladištenje podataka informacionog sistema vrši se posljednjeg radnog dana u sedmici, nakon sprovođenja dnevnog skladištenja podataka, u onoliko sedmičnih primjeraka koliko u mjesecu ima posljednjih radnih dana u sedmici.
(4) Mjesečno skladištenje podataka informacionog sistema vrši se posljednjeg radnog dana u mjesecu, za svaki mjesec posebno.
(5) Godišnje skladištenje podataka informacionog sistema vrši se posljednjeg radnog dana u godini.
(6) Svaki primjerak godišnje uskladištenih podataka čuva se za vrijeme određeno propisima kojima se uređuje arhivska djelatnost.
(7) Svaki primjerak prenosivog informatičkog medija sa uskladištenim podacima mora biti označen brojem, vrstom (dnevno, sedmično, mjesečno, godišnje), datumom skladištenja, kao i imenom lica koje je izvršilo skladištenje podataka.
(8) Organi, pravna i fizička lica iz člana 2. ove uredbe vode evidenciju informatičkih medija na kojima su podaci uskladišteni.

Član 15.

(1) Podaci informacionog sistema dnevno uskladišteni na informatičke medije odlažu se u najmanje jedno bezbjedno skladište u radnoj prostoriji organa, pravnog ili fizičkog lica iz člana 2. ove uredbe ili na drugoj