IT-vara kasutamise juhend tööperele

1. Eesmärk ja üldsätted

1.1. Eesmärk
Luua ühtsed ja selged reeglid SoM teenistuja jaoks (edaspidi kasutaja) IT-vara kasutamiseks, tagades turvaline, tõhus ja katkestusteta töö.

1.2. Rakendusala
Juhend kohaldub kõigile SoM teenistujatele ning koosneb kolmest osast:

1.3. Alusdokumendid
• Eesti Infoturbestandard (E-ITS),
• Küberturvalisuse seadus (KÜTS),
• Avaliku teabe seadus (AvTS),
• Isikuandmete kaitse seadus (IKS) ja isikuandmete kaitse üldmäärus (IKÜM).

1.4. Kasutaja õigused ja kohustused
1.4.1. Kasutajal on õigus
1. Keelduda arvutitöökoha ekraanipildi, kaamera ja mikrofoni ülevõtmisest IT-abi poolt (tegevust ei rakendata ilma kasutaja loata).
2. Ühendada arvutitöökoha külge esitlus- ja helitehnikat (sh isiklik monitor, kõrvaklapid jms).
3. Kontoris töötades ühendada oma isiklik seade ainult „RIT-Public“ nimelisse kohtvõrku.  
4. Kasutada RIT-i seadmes eelpaigaldatud või Company Portal-ist kättesaadavaks tehtud tarkvara.
5. Esitada IT-abisse pöördumine arvutitöökohaga seotud probleemide korral.

1.4.2. Kasutaja on kohustatud
1. Kasutama väljastatud töövahendeid sihipäraselt tööülesannete täitmiseks, hoidma neid heaperemehelikult, sh puhastama seadmeid selleks sobivate vahenditega, ning kolmandatele isikutele kättesaamatult. 
2. Hoidma personaalselt talle antud ja tema poolt seatud paroole saladuses. 
3. Töötlema asutusesiseseks kasutamiseks (AK) mõeldud teavet vaid ühistöökeskkonnas ning tagama teabe konfidentsiaalsuse. 
4. Teavitama kohe kõigist IT-alastest probleemidest IT-abi ning lähtuma kasutaja kahtluse printsiibist (st teavitab esmaste ilmingute ja viidete põhjal ning ei oota kahtluste realiseerumist). 
5. Kasutama RIT-i seadet selle algses tark- ja riistvaralises koosseisus ning ei muuda omavoliliselt konfiguratsiooni, ei eemalda või lisa komponente, paigalda seadmesse mistahes tarkvara (rakendusi, skripte jne).
6. Kasutama võrguressursse optimaalselt ega koorma sisevõrku mittetööalaste tegevustega.
7. Külastama RIT-i seadmest ja arvutivõrgust ainult neid veebilehekülgi, mis ei tekita tööandjale mainekahju ega kahjusta seadme turvalisust. 
8. Mitte avama e-kirju, manuseid või linke, mis pärinevad kahtlust äratavalt saatjalt või mille sisu (sh pealkiri) võib viidata pahatahtlikkusele. Sellised kirjad edastada kohe [email protected].
9. Mitte lülitama välja pahavarakaitset tagavaid süsteeme, ega minema mööda arvutivõrgus kehtestatud piirangutest.  
10. Sooritama küberturvalisuse e-kursuse vähemalt 1x aastas, täpsema info ja lingi leiab teematornist Infoturve.

1.5. Mõisted ja lühendid
Mõisted, mida ei ole juhendis selgitatud, on määratletud RIT Portaalis.
Arvutitöökoht – on RIT-i arvutivõrgus olev arvuti koos tarkvara ja lisaseadmetega.
Company Portal – RIT-i poolt hallatav tarkvarakeskus, kus kasutaja saab valida RIT-i väljastatud sülearvutisse kättesaadavaks tehtud tarkvara.
IT-pöördumine – kasutaja pöördumine RIT-i IT-abi poole. IT-pöördumise teeb kasutaja soovimatu või ootamatu IT-sündmuse kohta, mis arvestatava tõenäosusega võib häirida asutuse tegevust ja teenuste toimimist ning ähvardab teabe turvalisust infosüsteemides. Näiteks on sellised sündmused:
• infosüsteemi toimimise häirimine, pahavara tuvastamine või viitav kahtlus; 
• õngitsuskiri (phishing) või muu manipuleerimisründele (social engineering) viitav tegevus; 
• eksimused käesoleva või teiste enda asutuse poolt kehtestatud infoturbealaste kordade või protseduuride vastu; 
• katse või õnnestunud volitamata juurdepääs teabele või selle lubamatu kasutus infosüsteemis; 
• IT-vara kaotamine, hävimine või vargus (sh isiklik nutiseade, kui sellel on aktiveeritud juurdepääs tööalastele rakendustele); 
• vajadus muuta arvutitöökoha (võrgu- ja elektriühenduste valmidus) füüsilist asukohta; 
• Piiratud juurdepääsuga teabe kaotsiminek või väärkasutus infosüsteemides.  

NB! Kui juhtum võib puudutada isikuandmete lubamatut avalikustamist, kaotsiminekut, muutmist, hävimist või volitamata juurdepääsu, tuleb sellest viivitamata teavitada IT-abi ning asutuses kehtiva korra kohaselt andmekaitsespetsialisti või vastavat kontaktisikut.
NB! Probleemide korral seoses õigustega (infosüsteemide ligipääsu-, lugemis- või muutmisõigused) pöördu teabehaldusjuhi poole.
NB! IT-pöördumiseks ei loeta füüsilise turbega seotud ja IT-süsteemide väliseid juhtumeid ja kahtlusi. Sel juhul vaata SP lehelt Infoturve, kelle poole pöörduda.

2. IT-vara kasutamine
2.1. Arvutitöökoht
1. Arvutitöökoha paigaldab või väljastab RIT IT-spetsialist kinnitatud pöördumise alusel. 
2. Arvutitöökoht koosneb sülearvutist, laadijast ja sellega seotud lisaseadmetest, milleks võivad olla hiir, kuvar, klaviatuur, mida vajadusel saab tellida vastavalt IT-vara haldamise ja tellimise juhendile (P10_J02 ptk 2.2)
3. Arvutitöökohta sisselogimine on paroolivaba. Autentimiseks kasutatakse Eesti Vabariigi ID kaarti või Digi-ID-d ning Windows Hello ehk sõrmejälje turvalist sidumist.

2.2. Nutiseadme kasutamine
1. Tööalaste rakenduste (nt Teams, Outlook, Office) kasutamiseks peab seadmel olema App Store’i või Google Play konto (ehk Samsungi või Apple-i seadmed);
2. Juurdepääsuks tuleb seadmesse paigaldada Intune Company Portal ja järgida rakenduses antavaid juhiseid. Täpsem juhend asub RIT portaalis Tööprofiili seadistamine Androidi seadmes ja Tööprofiili seadistamine Apple'i seadmes.
3. Seadme ja rakenduste kasutamise nõuded: 
• Seadmel ei tohi olla eemaldatud tootja piiranguid (nt jailbreak, rooting).
• Seade peab olema kaitstud vähemalt 6-kohalise PIN-koodiga; lisaks võib kasutada nt sõrmejälge või näotuvastust.
• Lingid avanevad vaikimisi Microsoft Edge’is.
• Andmed on automaatselt krüpteeritud ja printimine pole lubatud.
• Bluetooth, Wi-Fi, GPS jm funktsioonid hoitakse väljalülitatuna, kui neid pole vaja.
• Bluetoothi sidumisel tuleb kasutada turvakoodi.
• Andmeside eelistus on mobiilsideoperaatori võrk.
4. Turvauuendused tuleb paigaldada viivitamata.
5. Enne isikliku seadme kasutuselt kõrvaldamist (nt ajutiselt hooldusesse viimisel) tuleb eemaldada seadme keskhaldusest (Company Portal -> „remove device“).
6. Seade eemaldatakse keskhaldusest automaatselt, kui see on olnud mitteaktiivne kauem kui 7 päeva.
7. Tööalaseks tegevuseks kasutatava isikliku seadme hävimise, kaotamise või varguse korral tuleb viivitamatult pöörduda IT-abisse.

2.3.       Tehisintellekti (edaspidi AI) kasutamine
1. SoM soosib töö efektiivsemaks muutmisel tehisintellekti (edaspidi AI) kasutamist, sh suurte keelemudelite kasutuseks loodud tekstirobotite nagu Copilot, ChatGPT jt, kasutamist. Eesmärk on tagada turvaline, vastutustundlik ja eetiline tehisintellekti kasutamine.
• AI kasutamise põhimõtted on kirjeldatud SP lehel AI kasutamine.
2. Peamiseks töövahendiks on soovitatav kasutada MS Copilotit – kas tasuta versiooni nn vestlusrobotina, või tasulise litsentsiga Copilotit.
• SoM hüvitab töötajale tasulise AI-litsentsi kasutamise kulud, mis on täpsemalt kirjeldatud SP lehel AI kasutamine.
3. Muude arvutitöökoha väliste AI-mudelite kasutamisel tuleb kasutajal pidada meeles, et sinna on keelatud sisestada:
• isikuandmeid
• tundlikku või konfidentsiaalset teavet
• AK- teavet.
NB! AK-teavet ei tohi sisestada arvutitöökoha välistesse AI-mudelitesse, välja arvatud juhul, kui teabe omanik on eelnevalt hinnanud, et teave ei sisalda isikuandmeid, konfidentsiaalset, turbealast ega muud piiratud juurdepääsuga teavet ning selle kasutamine konkreetses AI-lahenduses on lubatud vastavalt asutuse kehtivatele nõuetele..
OHT: Sisestatud andmeid võivad platvormid salvestada, töödelda ja kasutada mudelite arendamiseks, mistõttu tuleb vältida infolekkeid.
4. Tehisintellekti genereeritud tulemuste eest vastutab alati inimene ise. Tulemusi tuleb kasutada teadlikult ning vajadusel tuleb osata selgitada nende päritolu ja kasutamise otstarvet.
OHT: Tehisintellekti väljundid võivad sisaldada ebatäpsusi, kallutatust või aegunud teavet. Kõik saadud tulemused tuleb kriitiliselt hinnata ning kontrollida nende sobivust ja usaldusväärsust. AI ei asenda professionaalset otsustusvõimet.

5. Täpsemaid soovitusi AI kasutuse kohta saad lugeda SP lehelt AI kasutamine.

2.4.       Printimine
1. Printida, paljundada ja skaneerida tohib ainult RITi hallatavast seadmest.  
2. Prinditud materjal tuleb kohe printerist eemaldada.  
3. Leitud materjal tuleb kohe tagastada omanikule või hävitada paberihunti kasutades.

2.5.       Välised andmekandjad
1. Väliste andmekandjate kasutamine on vaikimisi keelatud. Kui väliste andmekandjate kasutamine on tööülesannete täitmiseks vajalik ja põhjendatud, tuleb pöörduda IT-abisse vastava loa ja kasutamise õiguse saamiseks.
2. AK ja muud tööalast teavet on lubatud salvestada ainult tööülesannete täitmiseks ning rangelt tööalase vajaduse raames.
3. Kasutada tohib üksnes RITi poolt heaks kiidetud või RITi poolt kontrollitud väliseid digitaalseid andmekandjaid. Andmekandjate sobivuse kontrollimiseks ja kasutusloa saamiseks tuleb esitada taotlus IT-abisse.
4. RITi väljastatud andmekandja on alati kasutajapõhine ning lubatud ainult taotluses toodud tööülesannete täitmiseks. Andmekandjat ei tohi kasutada isiklikel või muudel mittetööalastel eesmärkidel.
5. Välised andmekandjad ei ole ette nähtud andmete pikaajaliseks säilitamiseks. Kui andmete säilitamine välisel andmekandjal pole enam tööülesannete täitmiseks vajalik, tuleb salvestatud info viivitamatult kustutada.
6. Juhul, kui kasutatav andmekandja ei ole krüptograafilise funktsiooniga (näiteks krüpteeritud mälupulk või kõvaketas) ja sisaldab tundlikku või piiratud juurdepääsuga teavet, tuleb andmed andmekandjal krüpteerida ID-kaardiga.
7. Väliseid andmekandjaid transporditakse üldjuhul isikliku järelevalve all. Kui andmekandjat on põhjendatud juhtudel vaja transportida posti- või kulleriteenusega, peab andmekandja olema turvaliselt suletud pakendis. Sellisel juhul tuleb andmete lahti krüpteerimiseks vajalik võti või parool saata andmekandjast eraldi alternatiivset ja turvalist kanalit kasutades.

3. Töökorraldus ja ligipääsud
3.1. Töökeskkonnad
1. Virtuaalse ühistöökeskkonna kasutamine, failide hoiustamine-jagamine ja selle infoarhitektuur on kirjeldatud teabehalduse juhendis (P01).
2. Piiratud juurdepääsuga teave (nt isikuandmed) failid, mida hoitakse teadmisvajadust mitteomavate isikutega ühises failiruumis, peavad olema krüpteeritud. 
3. Ühistes failiruumis olevad failid varundatakse ja on taastatavad kuni ühe aasta jooksul alates nende salvestamisest. 

3.2. E-post ja meililistid
1. Igal kasutajal on tööalaseks kasutamiseks e-posti konto kalendri kasutamise võimalusega.  
2. Tööalast e-posti kontot kasutatakse moel, mis ei kahjusta tööandja usaldusväärsust ja mainet. Sh ei kasutata tööväliseks kirjavahetuseks (nt kommertsteated või rämpspost). 
3. E-posti konto ja ühekordse e-kirja suuruste mahupiirangud, on toodud RIT ATK standardis. 
4. Kasutaja e-posti konto sisu (kirjade mustandid, saadetud ja saadud kirjad, manused, kalendrikanded) on varukoopiatelt taastatav ühe aasta jooksul alates salvestamisest/ saatmisest/ saamisest. 
5. Meililistide haldamist koordineerib teabehalduse tugiteenus ning see on täpsemalt kirjeldatud RIT portaalis Sympa: meililistide haldamine.

3.3. Paroolid
1. Sisselogimine toimub ID-kaardi või digi-ID PIN1 koodiga. Kasutaja esmane sisselogimine on täpsemalt kirjeldatud RITi portaalis Esmane sisselogimine uude tööarvutisse.
2. Paroole on lubatud dokumenteerida vaid selleks ettenähtud keskkondades, mis on allalaetavad  Passwordstate paroolihaldurist. Juhend paroolihalduri kasutamiseks on leitav RITi portaalis Passwordstate: paroolihalduri seadistamine ja kasutamine.
3. Kasutajakonto lukustub ID-kaardi PIN1 kolmekordsel valesti sisestamisel. Kood lukustub ning blokeeringu tühistamiseks tuleb kasutada PUK-koodi.  
4. Kasutaja vastutab personaalselt talle antud ja tema poolt seatud paroolide saladuses hoidmise eest.
5. ID-kaardi või Bitlockeri PIN-koodide avalikuks tuleku või väärkasutuse kahtluse korral vahetab kasutaja PIN-koodid esimesel võimalusel.

3.4. Turvaline kaugtöö tegemine
1. Tööandja tööruumidest väljaspool töötamiseks kasutatakse usaldusväärseid parooliga kaitstud võrguühendusi (nt kodune Wi-Fi). Avalikele võrkudele (nt kohvikus, hotellis jms) eelistab kasutaja mobiilse andmeside kasutamist (sülearvuti SIM kaart, hotspot).  
2. Kaugtööks valitud asukoht  peab välistama võimaluse kõrvalistele isikutele arvutitöökoha ekraani ja tööprotseduuride ning igasugusel kujul tööalase teabe jälgimise. Avalikes kohtades on kohustuslik kasutada ekraanifiltrit (ekraanifiltri tellimine kirjeldatud P02_J02 ptk 2.2).  
3. Video- või telefonikõne ajal tagab kasutaja, et seda ei oleks võimalik pealt kuulata. Lisaks tuleb jälgida, et videokõne ajal ei oleks taustal nähtaval tööalast informatsiooni.  

3.5. Infoturve töötamisel välisriigis (sh välislähetuses) 
1. Välislähetuses või välisriigis viibivad kasutajad lähtuvad tööülesannete turvalisuse tagamisel ennekõike kaugtöö nõuetest.
2. Kasutaja teavitab enne välislähetuses või välisriigis töötamise alustamist pöördumisega IT-abi, kui välisriigis töötamise aeg on 3 kuud või pikem. 
3. Kasutaja teavitab seadme kaasavõtmisest välisriiki pöördumisega IT-abi, kui reisitakse väljaspoole OECD, EL või NATO liikmesriike – pöördumine tuleb teha esimesel võimalusel, aga mitte hiljem kui viis tööpäeva enne välisriiki siirdumist.  
4. RIT hindab pöördumise alusel riigispetsiifiliste õigusaktide, reisi- ja keskkonnatingimuste täiendavat käsitlusvajadust või täiendavate turbemeetmete rakendamist (sh pääsuõiguste kitsendamist) seadme ja teabe kaitseks.  
5. Kasutaja on valmis RITi infoturbe seisukohast tulenevalt välisriigis viibimise ajaks ajutiselt asendama igapäevase seadme RITi väljastatud kõrgendatud turvameetmetega kaitstud ja eelkonfigureeritud seadmega.  
6. Seadmeid transporditakse kõikide transpordiviiside puhul käsipagasis, tagades alalise teadmise seadmete hetkeasukohast.  
7. Seadmete, andmekandjate ja dokumenteeritud teabe kaasavõtmisel välisriiki lähtutakse minimaalsuse printsiibist.   
8. Kui sihtkohariigis ei ole võimalik tagada andmekandjate hävitamist ettenähtud viisil, hoitakse need tagasipöördumiseni alles ning hävitatakse või utiliseeritakse vastavalt ettenähtud turvanõuetele.  
9. Seadmete ja teabe kaotamise, varguse või mistahes muu kontrolli kaotamise juhtumi korral teavitab koheselt IT-abi, kuid ühtlasi ka kohalikku õiguskaitseorganit.  

4. IT-abi ja tugi
1. RITi IT-abi teenus on kättesaadav 24/7. IT-abiga kontakteerumine on võimalik:
• töölaual asuva IT-abi ikooni vahendusel iseteeninduskeskkonnas; 
• läbi RITi iseteenindusportaali https://itabi.rit.ee; 
• helistades telefoninumbril 663 6464; 
• kasutades elektronposti aadressi [email protected]; 

2. IT-abi registreerib kõik pöördumised ja taotlused, määrab prioriteedi ja suunab lahendajatele.  Pöördumiste ja taotluste lahenduse kulgu saab jälgida, muuta, taasavada või sulgeda IT-abi iseteeninduskeskkonnas. 

5. Seotud dokumendid ja lisad
Infoturbepoliitika (P10)
IT-vara haldamise ja tellimise juhend (P10_J02)
Teabehalduse juhendid (P01)
RIT Portaal

6. Dokumendi muutmise ülevaade
Allolev tabel täidetakse alates versioonist 2.
Versioon
Muudatuse sisu
2
Täiendatud ptk 2.3 Tehisintellekti kasutamine ning uuendatud viited/lingid RITi juhenditele.

Sotsiaalministeeriumi infoturbepoliitika
Sisukord
Sotsiaalministeeriumi infoturbepoliitika 1
1. Eesmärk ja üldsätted 1
1.1. Infoturbepoliitika eesmärk 1
1.2. Infoturbe eesmärk 1
1.3. Rakendusala 2
1.4. Alusdokumendid 2
1.5. Mõisted ja lühendid 3
1.6. Rollid ja vastutus 4
2. Infoturbe põhimõtted 6
2.1. Üldpõhimõtted 6
2.2. Infoturbe rakendamine 7
3. Seotud dokumendid ja lisad 9
4. Dokumendi muutmise ülevaade 9

1. Eesmärk ja üldsätted
1.1. Infoturbepoliitika eesmärk
1.1.1. Sotsiaalministeeriumi (edaspidi SoM) infoturbepoliitika eesmärk on tagada SoM-i põhitegevuse ja andmete töötlemise turvalisus, määratledes infoturbe, sh isikuandmete kaitse põhimõtted ja korraldus ning kehtestades rollid ja vastutuse.

1.2. Infoturbe eesmärk
1.2.1 Infoturbe eesmärk on toetada organisatsiooni tegevuse jätkusuutlikkust ja äriprotsessi toimivust, tagades varade ja infosüsteemide käideldavuse, tervikluse ja konfidentsiaalsuse. Selle saavutamiseks on seatud järgmised eesmärgid:

Eesmärk
Täitmise eeldus
Mõõdik
Ministeeriumi juhtkond on võtnud üldvastutuse infoturbe korraldamise eest ja määranud infoturbe eest vastutavad rollid. Kirjeldatud on infoturbe juhtimissüsteem (infoturbepoliitika ja juhendid).
• Määratud infoturbe eest vastutav isik
• Infoturbepädevuse tõstmiseks infoturbe konsultatsiooniteenus
• Infoturvameetmete rakendamise plaan kinnitatud juhtkonna poolt
• Infoturbepoliitika ja juhendid üle vaadatud vähemalt üks kord aastas
Mõjuga infoturbeintsidentide arv
Tuvastatud kaitsealasse kuuluvad sihtobjektid ja infoturberiskid ning riske hallatakse vastavalt SoM riskijuhtimise protsessile (P12)
• Kaitsealasse kuuluvad sihtobjektid tuvastatud
• Riskijuhtimise protsess kirjeldatud
• Infoturberiskid regulaarselt tuvastatud, hinnatud ja käsitletud
Kõrge tasemega riskidele (tingimuslikud ja kriitilised) on määratud omanik ja planeeritud on riskikäsitluse tegevused
Tagatud teenistujate koolitamine ja informeerimine teadlikkuse tõstmiseks ja turvanõuete täitmiseks

• Infoturbekoolitus on kõigile kohustuslik
• Kirjeldatud juhtimissüsteem, kuhu integreeritud ka infoturbe käitumisjuhised ja reeglid
Infoturbekoolituse läbimise määr, vajadusel parendustegevuste kavandamine
Õngitsustestide läbimise %
Mõjuga infoturbeintsidentide arv
Tagatud äriprotsessi vastavus infoturbealastele õigusaktidele, regulatsioonidele ja lepingutele
• E-ITSi nõuete täitmist hinnatakse regulaarselt
• Ülevaade väljast tellitud- ja pilvteenustest ja selle regulaarne ajakohastamine
• Lepingud sõlmitud vastavalt E-ITSi nõuetele
E-ITSi auditis ei ole tuvastatud olulisi mittevastavusi ehk kõrge riskiga lahknevusi


1.3. Rakendusala
1. Infoturve on lahutamatu osa kõikidest poliitikavaldkondadest ja tugiteenustest, sh protsessidest, mis on seotud andmetega.
2. Infoturbe juhendid kehtivad kõikidele SoM teenistujatele, kes seeläbi teavad, mõistavad ja järgivad asutuses kehtivaid infovara kaitse ja kasutamise põhimõtteid..
3. SoM arvutitöökohaga seotud juhendid asuvad RITi portaalis.
4. Sihtobjektide turvalisus tuleb tagada juba tegevuste planeerimise faasis.

1.3.1. Infoturbe käsitlus- ja kaitseala
1.3.1. SoM valitsemisala (edaspidi VA) infoturve on korraldatud iga asutuse vastutuse põhimõttel, keskselt on korraldatud VA infoturbe töörühm ja kokkulepitud VA toimemudel.
1.3.2. SoM põhiprotsess on poliitikajuhtimine (P15), mille kaitsetarve on suur (C2I2A2).
1.3.3. SoM kaitseala hõlmab kõiki füüsilisi ja immateriaalseid varasid (teenused, töötajad, andmed, infosüsteemid, riistvara ja tarkvara), mis on loetletud kaitseala tabelis ning millele rakendub turbeviis tuumikturve.
1.3.4. Sihtobjektid seotakse E-ITS etalonturbe moodulitega, mille alusel määratakse kohaldatavad infoturvameetmed. Meetmete rakendamine, rakendamise staatus ning põhjendatud erisused dokumenteeritakse infoturbe meetmete rakendusplaanis (IMR).
1.3.5. Kaitseala vaadatakse üle vähemalt kord aastas ning oluliste muudatuste korral.
1.3.6. Täiendavate sihtobjektide kasutuselevõtu otsuseid tehakse jooksvalt kas SoM infoturbejuhi kooskõlastusel ja/või kantsleri otsusega.

1.4. Alusdokumendid
1. Küberturvalisuse seadus
2. Eesti infoturbestandard (E-ITS)
3. Isikuandmete kaitse üldmäärus (IKÜM)
4. Isikuandmete kaitse seadus
5. Avaliku teabe seadus
6. Arhiiviseadus
7. Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvteenuse kasutamisel (pilvemäärus)
8. VV 15.03.2012 määrus nr 26 „Infoturbe juhtimise süsteem“
9. Andmekaitse Inspektsiooni juhised isikuandmete töötlemise ja töötlemise õiguslike aluste, isikuandmetega seotud rikkumiste ja rikkumistest teavitamise, andmesubjekti õiguste ning juurdepääsupiiranguga teabe käsitlemise1 kohta

1.5. Mõisted ja lühendid
1.5.1. Lühendid
• AKS – Andmekaitsespetsialist
• AKI – Andmekaitse Inspektsioon
• E-ITS – Eesti infoturbestandard (standardiga seonduvad materjalid on leitavad portaalist eits.ria.ee);
• ITabi – RIT pakutav arvuti kasutajatugi ([email protected], 663 64 64 või ITabi iseteenindus desktopi ikooni kaudu);
• SoM – Sotsiaalministeerium;
• RIK – Registrite ja Infosüsteemide Keskus, mis pakub SoMile dokumendihaldussüsteem Delta teenust;
• RIT – Riigi IT Keskus, mis pakub SoMile arvutitöökohateenust ning vahendab ministeeriumite Ühishoone võrguteenust;
• TEHIK – Tervise ja Heaolu Infosüsteemide Keskus, vastutab SoM valitsemisala ülese infoturbe juhtimise eest;
• IMR – infoturbe meetmete rakendusplaan
1.5.2. Mõisted
• Infosüsteem – andmeid töötlev, salvestav või edastav tehniline süsteem koos tema normaalseks talitluseks vajalike vahendite, ressursside ja protsessidega;
• Infoturbeintsident – mis tahes sündmus, mis põhjustas või võib põhjustada infovara tervikluse, käideldavuse või konfidentsiaalsuse kao;
• Infoturve – turvameetmete loomise, valimise ja rakendamise protsesside kogum, et oleks tagatud infovara käideldavus, terviklus ja konfidentsiaalsus, teabe turvalisuse säilitamiseks;
• Infovara (sihtobjekt) – nt informatsioon, andmed, nende töötlemiseks vajalikud infotehnoloogilised rakendused, infosüsteemid, tehnilised vahendid, äriprotsessid või muud organisatsiooni toimimiseks olulised varad. SoMis käsitletakse infovara E-ITSi tähenduses sihtobjektina, millele määratakse kaitsetarve ning vastendatakse asjakohane etalonturbe moodul või moodulid.
• Infovara kasutaja – SoM teenistuja või SoMiga mõnes muus lepingulises suhtes olev SoM infovara kasutav füüsiline isik;
• Isikuandmed – igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta. Tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige nime, isikukoodi, asukohateabe, võrguidentifikaatori või ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal. Isikuandmetena tuleb käsitleda kõiki andmeid, mille abil on füüsiline isik tuvastatav;
• Kaitsetarve – vajadus kaitsta andmeid ja IT-süsteeme kahju eest, mille võib tekitada infoturvalisuse põhikomponentide (konfidentsiaalsus, terviklus, käideldavus) rikkumine. Kaitsetarve esitatakse skaalal: normaalne, suur, väga suur.
• Kaugtöö – töötamine SoM infovaraga väljaspool RIT hallatavat andmesidevõrku;
• Konfidentsiaalsus – infovara kättesaadavus ja avaldamine ainult selleks volitatud isikule või süsteemidele. Selleks rakendatakse meetmeid, mis tõkestavad teabe sattumise kõrvaliste isikute kätte ning väldivad andmete lubamatut või juhuslikku avalikustamist kogu infovara elutsükli vältel;
• Käideldavus – infovara õigeaegne kättesaadavus ja kasutatavus;
• Protsess – ühise sihiga ja ajaliselt piiratud tegevuste kogum e toimingujada(d), mis on vajalikud vastava tulemi saamiseks;
• Teadmisvajadus – õigustatud vajadus juurdepääsuks infovarale;
• Terviklus – infovara täielikkus ja õigsus, st lubamatute muudatuste puudumine;
• Teenistuja – ametnik, töötaja või muu isik, kes osaleb ministeeriumi ja selle valitsemisala asutuste töös (töösuhtes olev isik).
• Turbeviis - E-ITSi infoturbe haldussüsteemi rakendamise viis, mille alusel määratakse sihtobjektidele kohaldatavad etalonturbe moodulid ja infoturvameetmed. Turbeviisi valikul lähtutakse kaitsetarbest, õigusaktidest ning organisatsiooni vajadusest ja infoturbe küpsusest. E-ITS turbeviisidena on kasutusel põhiturve, standardturve ja tuumikturve.
• Põhiturve - Kui kaitsetarve on kõigi infoturbe komponentide (C-I-A) osas normaalne, võib organisatsioon rakendada põhiturvet ja seega lähtuda infoturbe elluviimisel E-ITS meetmekataloogis olevatest põhimeetmetest.
• Standardturve – Kasutatakse turbeviisina organisatsioonis, kus äriprotsessi kaitsetarve on „suur“ või „väga suur“ ja infoturve organisatsioonis on saavutanud piisava küpsusastme, on loodud infoturbe korraldus ja olulistes valdkondades on rakendatud turvameetmed.
• Tuumikturve - Kasutatakse juhul, kui mingi osa äriprotsessist vajab kõrgemat kaitset, kuid kõigi äriprotsessiüleste meetmete täielik rakendamine ei ole põhjendatud või proportsionaalne. Tuumikturbe korral rakendatakse kaitseala kriitilisele osale ehk äriprotsesside ja varade tuumikule kõrgemat kaitset pakkuvaid turvameetmeid (standardmeetmed ja valitud kõrgmeetmed).

1.6. Rollid ja vastutus
1.6.1. SoM teenistuja vastutab oma tööülesannete raames infovarade ja andmete turvalise kasutamise ja infoturbenõuete järgimise eest (vt P10_J01 IT-vara kasutamise juhend tööperele) ning teavitab toimunud infoturbeintsidentidest koheselt RIT-i e-posti aadressil [email protected].
1.6.2. SoM infoturbe juhtimissüsteemi toimimise eest vastutab kantsler vastavalt VV 15.03.2012 määrusele nr 26, kes mh tagab infoturbe sõltumatuse asutuse muust tööst ning täidab muid õigusaktides sätestatud ülesandeid.
Roll
Vastutus
Ülesanded
VA infoturbe töörühm
Vastutab infoturbe koordineerimise eest VA-s
• koordineerib infoturbe haldussüsteemide rakendamist VAs;
• teeb ettepanekuid infoturbe tõhusamaks rakendamiseks, sh funktsioonide tsentraliseerimiseks;
• planeerib ühiseid infoturbealaseid tegevusi, sh koolitusi ning teeb ettepanekuid õppusteks.
Kantsler
Vastutab infoturbe tulemuslikkuse eest ministeeriumis
• määrab SoMis infoturbepoliitika rakendamiseks infoturbe eest vastutava isiku;
• kindlustab, et SoM teenistujad on asutuses kehtivate infoturbealaste õigusaktidega tutvunud, täidavad neid ning omavad enda tööülesannete täitmiseks vajalikke infoturbealaseid teadmisi;
• kinnitab infovara kaitse vajaduse ja infoturberiskid;
• kindlustab infovara kaitseks nõuetele vastavate turvameetmete rakendamise;
• eraldab rahalised ja mitterahalised ressursid infoturbeprotsessi läbiviimiseks ning aktsepteerib töötajate põhitööga kaasnevaid infoturbekohustusi;
• kehtestab vajadusel täiendavaid infoturbealaseid eeskirju.
VA infoturbejuht
(TEHIK infoturbe osakonna juhataja)
Vastutab infoturbe tehniliste toimingute ja otsuste eest
• on peamine kontaktisik SoMi tehnilistes infoturbeküsimustes;
• korraldab 2x aastas infoturbeülevaate VA juhtkonnas (intsidendid, koolituste läbimine jm päevakohane info).
SoM infoturbejuht
(innovatsiooni asekantsler)
Koordineerib ministeeriumi ja selle VA infoturbe halduse süsteemide loomist ja ülalpidamist
• koordineerib infoturbepoliitika rakendamise tegevuskava täitmist SoMis;
• korraldab infoturbealast aruandlust SoM juhtkonnale (koostöös RIT-iga);
• vastutab infoturbepoliitika ajakohasuse eest;
• korraldab infoturbeintsidendi lahendamist;
• tagab, et SoMis rakendatavad infoturbemeetmed on kooskõlas kehtivate õigusaktide, standardite, strateegiate ja kordadega;
• algatab muu infoturbealase dokumentatsiooni koostamise;
• kooskõlastab rakendatavate infovara turvameetmete erandid ning täiendavate infovarade kasutuselevõtu otsused.
SoM infoturbe kontaktisik (teabehalduse nõunik)
Vastutab ministeeriumi infoturbe-meetmete rakendamise korraldamise eest
• mõistab asutuse tööprotsesse ja andmeid ning nende kaitse vajadust;
• korraldab infoturbemeetmete planeerimist ja rakendamist;
• teavitab teenistujaid infoturbe olulisusest ning tagab, et kõik asutuse teenistujad on oma infoturbealastest kohustustest teadlikud;
• kindlustab turvameetmete ajakohasuse tagamiseks meetmete ja regulatsioonide perioodilise läbivaatuse.
SoM riskihaldusjuht
(siseauditijuht)
Vastutab ministeeriumi riskijuhtimise eest
• loob ja hoiab ajakohasena riskide hindamise protsessi (P12)
• roll täidetud siseauditi juhi poolt
Andmekaitse spetsialist (AKS)
Nõustab ministeeriumi andmekaitsenõuete täitmisel, jälgib andmekaitse nõuete järgimist ning teeb koostööd Andmekaitse Inspektsiooniga. AKS täidab ülesandeid sõltumatult ning ei vastuta vastutava töötleja nimel isikuandmete töötlemise õiguspärasuse ega töötlemisotsuste tegemise eest.

• loob ja hoiab ajakohasena andmekaitsega seotud juhendid;
• nõustab teenistujaid isikuandmete töötlemise küsimustes;
• jälgib andmekaitsenõuete järgimist ning teeb ettepanekuid parendusmeetmete rakendamiseks;
• nõustab uute andmetöötlustoimingute, infosüsteemide, pilvteenuste ja AI-lahenduste kavandamisel;
• nõustab andmekaitsealaste mõjuhinnangute tegemisel ja annab vajaduse korral hinnangu nende nõuetekohasusele;
• nõustab isikuandmetega seotud rikkumiste hindamisel, AKI teavitamise vajaduse hindamisel ning andmesubjektide teavitamise küsimustes;
• nõustab AKI-le esitatavate rikkumisteadete koostamisel ja kontrollib nende vastavust nõuetele;
• teeb koostööd Andmekaitse Inspektsiooniga ning toimib AKI kontaktpunktina;
• osaleb andmekaitsealase teadlikkuse tõstmises ja koolitustegevustes.
Osakonna-juhataja
Vastutab oma osakonna pilvteenuste kasutamise eest
• vastutab pilvteenuse kasutuselevõtu, kasutamise ning kasutamise lõpetamise eest (vt ptk 3).
Infovara kasutaja
Vastutab infoturbe nõuete järgimise eest oma tööülesannete ja tegevuste piires
• järgib infoturbepoliitikat (P10) ja IT-vara kasutamise juhendit (P10_J01);
• vastutab tema valduses oleva IT-vara ja teabe turvalisuse eest oma töökohal ja tööülesannete täitmisel;
• teavitab infoturbeintsidendist viivitamata aadressil [email protected], kuid mitte hiljem kui 24 tunni jooksul; isikuandmetega seotud rikkumise või selle kahtluse korral teavitab viivitamata ka aadressil [email protected];
• läbib vähemalt kord aastas infoturbekoolituse ja testi.

2. Infoturbe põhimõtted
2.1. Üldpõhimõtted
2.1.1. SoM lähtub „pilv esimesena“ põhimõttest, et tagada organisatsiooni jätkusuutlikkus ning kestlik areng ning kasutab eesmärkide täitmiseks pilvteenust, kui see pakub funktsionaalset ja kuluefektiivset eelist.
2.1.2. Infoturbe tagame, kaitstes teavet ja infosüsteeme kolmel põhialusel: konfidentsiaalsus, terviklus ja käideldavus.
1) Teave ei leki →
Konfidentsiaalsus
Teabe kättesaamatus volitamata isikutele ning süsteemidele.
2) Teave on kättesaadav →
Käideldavus
Teabe kättesaadavus ja kasutuskõlblikkus.
3) Teave on korrektne →
Terviklus
Teabe õigsus ja täielikkus, lubamatute muudatuste puudumine.

2.1.3. Infoturve baseerub kolmel sambal:

VASTUTUS: Infoturbe põhivastutus lasub SoM juhtkonnal, kuid infoturbe tagamine on kogu SoM kollektiivne tegevus ning kõikide infovara kasutajate kohustus.
TEADLIKKUS: Kõigil SoM infovara kasutajatel on kohustuslik vähemalt üks kord aastas läbida infoturbekoolitus ja test RIA platvormil www.kybertest.ee.
NB! Uus teenistuja läbib tööle asumisel infoturbekoolituse kahe nädala jooksul.
TEAVITAMINE: Iga infovara kasutaja, kes avastab infoturbeintsidendi peab sellest viivitamata teavitama IT-abi ja võimaliku isikuandmetega seotud rikkumise või andmelekke korral ka [email protected] kaudu AKS-i. Erinevate teiste intsidentide korral teavitamise kontaktid on toodud Sharepointi lehel: Infoturve

2.2. Infoturbe rakendamine
2.2.1. Intsidentide haldus
1. Kõik infovara kasutajad teavitavad avastatud infoturbeintsidendist viivitamata IT-abi. Kui juhtum võib olla seotud isikuandmete töötlemise rikkumisega, teavitatakse viivitamata ka [email protected].
2. Infoturbe ja andmekaitse teemade koordineerimiseks ning asutusesiseseks infovahetuseks on SoMis kasutusel kaks ühismeili:

[email protected]
[email protected]
Eesmärk
Hoida ühist infovälja infoturbe teemadel, sh ohuteavitused, turvahoiatused, infoturbe juhised, ülevaated, riskide ja parendustegevustega seotud info ning väliste koostööpartnerite infoturbealased pöördumised. Töötajad ei kasuta seda postkasti infoturbeintsidentidest teavitamiseks – intsidendist tuleb viivitamata teada anda IT-abile.
Koondab välised andmekaitsealased pöördumised, samuti on see peamiseks suhtluskanaliks Andmekaitse Inspektsiooni jt koostööpartneritega andmekaitse teemadel.
Mis teemad?
• infoturbealased üldküsimused ja koordineerimine;
• ohuteavitused ja turvahoiatused;
• infoturbega seotud juhised ja ülevaated;
• väliste koostööpartnerite infoturbealased pöördumised;
• infoturbemeetmete, riskide ja parendustegevustega seotud info;
• asutusesisene infoturbealane infovahetus.
• isikuandmete töötlemisega seotud küsimused,
• rikkumiskahtlused,
• andmesubjekti pöördumised,
• nõu küsimine enne uue lahenduse või andmetöötluse alustamist
• andmelekkekahtlus
Omanik
Infoturbe kontaktisik
Andmekaitsespetsialist
Kes pääseb ligi?
Infoturbejuht, infoturbe kontaktisik, siseauditijuht
Andmekaitsespetsialist

3. Infoturbeintsident ei ole alati isikuandmetega seotud rikkumine. Kui juhtumiga kaasneb või võib kaasneda isikuandmete juhuslik või õigusvastane hävimine, kaotsiminek, muutmine, loata avalikustamine või neile loata juurdepääs, hinnatakse juhtumit isikuandmetega seotud rikkumisena. Rikkumise kvalifitseerimist, AKI teavitamise vajadust ja andmesubjektide teavitamist hindab vastutav töötleja, kaasates AKS-i.
4. IKÜM art 33 lg 5 kohaselt dokumenteerib vastutav töötleja kõik isikuandmetega seotud rikkumised, sealhulgas rikkumise asjaolud, mõju, tehtud otsused, otsuste põhjendused ja võetud parandusmeetmed. Täpsem juhend intsidendist teavitamise korra ja vormi koht on avaldatud andmekaitse lehel.
5. Hädaolukorra või infoturbeintsidendi korral võib kantsler või tema volitatud isik infovara kaitseks piirata selle kasutust.

2.2.2. Isikuandmete turvaline töötlemine
1. Isikuandmete turvaliseks töötlemiseks rakendatakse asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada andmete käideldavus, terviklus ja konfidentsiaalsus. Turvatase peab olema proportsionaalne töödeldavate andmete liigist tulenevate riskidega.
2. Isikuandmeid ja muud juurdepääsupiiranguga teavet on lubatud töödelda üksnes tööülesannete täitmiseks. Isikuandmeid töödeldakse üksnes juhul, kui töötlemiseks on olemas õiguslik alus (eriliiki isikuandmete töötlemisel üldine õiguslik alus + täidetud peab olema IKÜM art 9 tingimus).
3. Isikuandmete töötlemine peab piirduma vaid eesmärgi saavutamiseks vajalikuga (andmete minimeerimine). Isikuandmete töötlemisel järgitakse lisaks seaduslikkuse, eesmärgipärasuse, läbipaistvuse, õigsuse, säilitamise piiramise ning vastutuse põhimõtteid vastavalt IKÜM art 5. Andmete põhjendamatu kopeerimine või liigne paljundamine on keelatud.
4. Teabe jagamine on lubatud vaid juhul, kui see on vajalik tööeesmärkide saavutamiseks, tuleneb seadusest või kui selleks on selge õiguslik alus. Avaliku teabe väljastamisel lähtutakse avaliku teabe seadusest ning hinnatakse iga kord juurdepääsupiirangu seadusliku aluse, ulatuse ja tähtaja olemasolu. Kui teabenõudes küsitud dokument sisaldab üksnes osaliselt juurdepääsupiiranguga teavet, väljastatakse dokument ulatuses, milles juurdepääsupiirang ei kohaldu.
5. Konfidentsiaalsuskohustuse nõue kehtib kõikidele infovara kasutajatele sõltumata ametiseisundist või füüsilisest töökohast ning kohaldub ka SoM välistele isikutele (näit töövarjud, praktikandid jm), kes viibivad töökeskkonnas või kellel on kokkupuude asutuse teabe ja infosüsteemidega, sõltumata neile antud ametlikest kasutusõigustest.
6. Andmeid säilitatakse üksnes seni, kuni see on vajalik töötlemise eesmärgi täitmiseks või tuleneb õigusaktist, dokumentide loetelust, säilitustähtajast või põhjendatud menetluslikust vajadusest. Pärast säilitamise aluse lõppemist andmed kustutatakse, hävitatakse või antakse arhiivi.
7. SoM teenistuja peab töösuhte ajal ja pärast töölt vabastamist hoidma talle tööülesannete tõttu teatavaks saanud juurdepääsupiiranguga teavet konfidentsiaalsena. Konfidentsiaalsuskohustus on tähtajatu, kui seadusest või teabe liigist ei tulene teisiti.
8. Kõik andmete elektrooniliseks töötlemiseks kasutavad info- ja kommunikatsioontehnoloogia vahendid (nt riistvara, tarkvara, andmekandjad, arvutivõrk) peavad enne kasutusele võtmist olema kooskõlastatud infoturbejuhiga. Kui kooskõlastus on tingimuslik, teeb lõpliku riskipõhise kasutusotsuse kantsler.

2.2.3. Väljast tellitud, sh pilvteenuste valimine ja kasutamine
1. Ülevaade väljast tellitud ja kasutatavatest pilvteenustest on Sharepointi lehel Infoturve (koos kontaktisikuga). Avalikesse AI-rakendustesse ei sisestata juurdepääsupiiranguga teavet, eriliiki isikuandmeid, konfidentsiaalset teavet ega muud kaitset vajavat teavet ilma eelneva riskihindamise, õigusliku aluse hindamise ning nõutavate kooskõlastusteta.
2. Pilvteenusena käsitletakse ka AI-rakendusi, mida töötaja kasutab tööülesannete täitmiseks. Välise AI rakenduse kasutusele võtmiseks, kui kasutatakse SoM teavet, isikuandmeid, juurdepääsupiiranguga teavet või muud kaitset vajavat teavet, ja SoMi poolt hüvitamisel tuleb kasutajal teha riskianalüüs (AI riskide hindamise vorm).
3. Täpsemalt on väljast tellitud ja pilvteenuste nõuded kirjeldatud eraldi juhendis (loomisel): Väljast tellitud vs pilvteenused.docx
4. SoM infovara ühiskasutamisel asutuseväliste isikutega tuleb sõlmida infoturbenõudeid sisaldav leping. Kõrge ohuga teenuse korral kaastakse lepingu ülevaatamisesse ka infoturbejuht.
5. Pilvteenuse kasutusele võtmine vastab pilvemääruse tingimustele. Enne teenuse kasutuselevõttu hinnatakse infoturbe- ja andmekaitseriske. SoM taaskasutab maksimaalses ulatuses ära teiste ametiasutuste poolt koostatud riskianalüüse. Riskianalüüsid asuvad Riskide hindamise kaustas.
6. Pilvteenuste kasutamisel, mille raames teenusepakkuja töötleb SoMi nimel isikuandmeid, tuleb enne teenuse kasutuselevõttu sõlmida GDPR artikli 28 nõuetele vastav volitatud töötleja leping või lisada vastavad tingimused põhilepingusse. Kui pilvteenuse kasutamisega kaasneb isikuandmete edastamine väljapoole Euroopa Majanduspiirkonda, tuleb tagada IKÜM V peatüki nõuete täitmine.
7. Avalikke pilveteenuseid kasutusele võttes kasutatakse RIT korraldatud hankeid ning RIT poolt antud juhiseid ja soovitusi pilvteenuse planeerimisel ja kasutamisel.
8. Pilvteenuste korral kasutatakse võimalusel RIT keskset identiteedi- ja õiguste halduse süsteemi ja rakendatakse sellega seotud poliitikad, protseduurid ja põhimõtted.

3. Seotud dokumendid ja lisad
IT-vara kasutamise juhend tööperele (P10_J01)
IT-vara haldamise ja tellimise juhend (P10_J02)
Riskijuhtimise protsess (P12)
SoM kaitsetarbe protokoll (P10_V01)
SoM kaitseala ja rakendusplaan IMR (P10_V02)
Teemalehed: infoturve ja andmekaitse

4. Dokumendi muutmise ülevaade
Versioon
Muudatuse sisu
2
Täiendused E-ITS meetmete rakendamisest lähtuvalt, nt kaitseala, infoturbejuhi rolli täpsustamine, VA infoturbejuhi rolli kirjeldus, lisatud ptk 3 pilvteenuste kasutamise põhimõtted jm. LISA 1-s olnud andmekogude ja väliste teenuste ülevaade siseveebi teematorni Infoturve.
3
Täiendused: infoturbe eesmärgid (ptk 1.2), infoturbe käsitlus- ja kaitseala, strateegia ja turbeviisi valik (ptk 1.3.1), infoturbe rakendamine (ptk 2.2). Lisatud AKS-i roll ning isikuandmete töötlemise põhimõtted, mh lisatud ka SoM sisemiste teavitamiskanalite (infoturbe ja andmekaitse postkastide) kohta täiendused.