Ettevõtlus ja infotehnoloogiaministri 16. detsembri 2022. a määruse nr 101 „Eesti infoturbestandard“ muutmine

EELNÕU

29.11.2023

MAJANDUS- JA INFOTEHNOLOOGIAMINISTER

MÄÄRUS

Ettevõtlus ja infotehnoloogiaministri

16. detsembri 2022. a määruse nr 101

„Eesti infoturbestandard“ muutmine

Määrus kehtestatakse küberturvalisuse seaduse § 7 lõike 5 ning Vabariigi Valitsuse 9. detsembri

2022. a määruse nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ § 3 lõike 1 alusel.

Ettevõtlus ja infotehnoloogiaministri 16. detsembri 2022. a määruses nr 101 „Eesti

infoturbestandard“ tehakse järgmised muudatused:

1) lõikest 1 jäetakse välja sõnad „käesoleva määruse lisas esitatud“;

2) määrust täiendatakse lõikega 3 järgmises sõnastuses:

„(3) E-ITS koosneb kolmest osast, mis on esitatud järgmistes määruse lisades:

1) nõuded infoturbe halduse süsteemile – lisa 1;

2) etalonturbe kataloog – lisa 2;

3) auditeerimisjuhend – lisa 3.“;

3) määruse lisa tunnistatakse kehtestuks;

4) määrust täiendatakse lisadega 1–3 (lisatud).

Tiit Riisalo

majandus- ja infotehnoloogiaminister

Ahti Kuningas

kantsler

Lisa 1 Nõuded infoturbe halduse süsteemile

Lisa 2 Etalonturbe kataloog

Lisa 3 Auditeerimisjuhend

1 / 18

29.11.2023

Ettevõtlus- ja infotehnoloogiaministri 16. detsembri 2022. a määruse nr 101 „Eesti

infoturbestandard“ muutmise määruse eelnõu seletuskiri

1. Sissejuhatus

Eelnõu eesmärk on kehtestada Eesti infoturbestandardi 2023. aasta versioon.

Eesti infoturbestandardi (edaspidi E-ITS) siht on:

 arendada ja edendada Eesti avaliku sektori asutuste ning erafirmade infoturbe taset;

 esitada eestikeelne ja Eesti õigusruumile vastav alus infoturbe käsitlemiseks, mis ühtlasi

vastab rahvusvahelisele standardile ISO/IEC 27001.1

E-ITS esitab etalonturbe rakendamise süsteemi, mis aitab organisatsioonil saavutada tema

vajadustega sobivat infoturbe taset.

Organisatsiooni juhtkond ise otsustab, milliseid objekte ja protsesse on tarvis kaitsta.

Etalonturve seab kaitstavad objektid ja protsessid vastavusse etalonturbe kataloogi

tüüpmoodulitega. Etalonturbe kataloogis esitatud tüüpmoodulid kirjeldavad tüüpilisi ohte ja

neile vastavaid, riskianalüüsi põhjal valitud turvameetmeid. Turvameetmete rakendamine

vähendab infoturbeohtude realiseerumise tõenäosust. Etalonturve võimaldab organisatsioonil

taaskasutada infoturbe parimaid praktikaid ja seeläbi kokku hoida infoturbe rakendamisele

kuluvaid vahendeid.

E-ITS põhineb Saksa etalonturbe süsteemil BSI IT-Grundschutz (BSIG) ja standardil

EVS-ISO/IEC 27001:2014 „INFOTEHNOLOOGIA. Turbemeetodid. Infoturbe halduse

süsteemid. Nõuded“.2

Ettevõtlus- ja infotehnoloogiaministri 16. detsembri 2022 a. määruse nr 101 „Eesti

infoturbestandard“ (edaspidi kehtiv määrus) jõustumisega võeti vastu E-ITSi 2022. a versioon.

Siinse eelnõuga võetakse vastu E-ITSi 2023. a versioon, milles on tehtud mitmesuguseid

täiendusi ja lisandusi. Nende tegemisel lähtuti kasutajate tagasisidest, vajadusest ühtlustada

(kõik) asjakohased dokumendid, uute meetmete ja moodulite lisamisest ning muutustest

küberturvalisuse ohupildis. Lähtudes kasutusmugavusest ja praktilisest rakendamisest on

eemaldatud meetmeid ja mooduleid, samuti neid, mis on aegunud. Lisaks tehti tehnilisi

muudatusi (pealkirjade sõnastuste muutmine, viitamis- ja kirjavigade parandamine jne).

Määruse eelnõu ja seletuskirja koostas Majandus- ja Kommunikatsiooniministeeriumi riikliku

küberturvalisuse osakonna küberturvalisuse õigusnõunik Raavo Palu ([email protected])

koos Riigi Infosüsteemi Ameti riigi infoturbe meetmete osakonnaga.

1 Koostajad on Rahvusvaheline Standardiorganisatsioon (ingl International Organization for Standardization, ISO)

ja Rahvusvaheline Elektrotehnikakomisjon (ingl International Electrotechnical Commission, IEC). Standardi

2017. a versiooni leiab ja seda on võimalik osta aadressilt https://www.evs.ee/et/evs-en-iso-iec-27001-2017 ning

standardi 2023. a versiooni leiab aadressilt https://www.evs.ee/et/evs-en-iso-iec-27001-2023 (19.10.2023). 2 E-ITSi portaali võrguleht. E-ITSi 2020. a versiooni lühijuhend:

https://eits.ria.ee/et/versioon/2020vers1/juhendid/luehijuhend/ punkt 1 (19.10.2023).

2 / 18

Eelnõu ja seletuskirja kohta tegi õiguslikke ettepanekuid Majandus- ja

Kommunikatsiooniministeeriumi õigusosakonna õigusnõunik Ragnar Kass

([email protected]). Eelnõu ja seletuskirja keeletoimetas Majandus- ja

Kommunikatsiooniministeeriumi riikliku küberturvalisuse osakonna küberturvalisuse

õigusnõunik Raavo Palu ([email protected]) ja Justiitsministeeriumi õigusloome korralduse

talituse toimetaja Airi Kapanen ([email protected]).

E-ITS-i esimese versiooni (2020) ja sellega seotud dokumendid koostas KPMG Baltics OÜ,

Cybernetica AS ja Tallinna Tehnikaülikool Riigi Infosüsteemi Ameti (edaspidi RIA) tellimusel

ja Euroopa Liidu struktuuritoetuse toetusskeemi „Infoühiskonna teadlikkuse tõstmine 2015–

2023“ raames Euroopa Regionaalarengu Fondi rahastusel.3

2. Eelnõu sisu ja võrdlev analüüs

Eelnõu koosneb neljast punktist, millega täiendatakse kehtivat määrust kolme lisaga, mis

tervikuna moodustavad E-ITSi. Seletuskirjas selgitatakse ja analüüsitakse muudatusi, mida

toob kaasa eelnõuga kehtestatav E-ITSi versioon (2023) võrreldes kehtiva määrusega

kehtestatud versiooniga (2022).

Määruse volitusnormid on esitatud küberturvalisuse seaduse (KüTS) § 7 lõikes 5 ning sama

lõike alusel antava Vabariigi Valitsuse määruse „Võrgu- ja infosüsteemide küberturvalisuse

nõuded“ (edaspidi VV määrus) § 3 lõikes 1. KüTS-i § 7 lõige 5 lisati seadusesse

küberturvalisuse seaduse ja teiste seaduste muutmise seaduse eelnõu 531 SE (edaspidi 531 SE)

vastuvõtmise tulemusena.4

KüTS-i § 7 lõige 5 võimaldab Vabariigi Valitsusel või tema volitatud ministril kehtestada

määrusega samas paragrahvis sätestatud kohustuste täitmise ning võrgu- ja infosüsteemide

(edaspidi süsteem) küberturvalisuse tagamiseks:

1) infoturbe halduse nõuded, üldnimetusega Eesti infoturbestandard;

2) turvameetmete üldnõuded;

3) süsteemide turvameetmete erinõuded ja nende kohaldamise ulatuse.

VV määruse § 3 lõike 1 kohaselt kehtestab E-ITSi üleriigilise küberturvalisuse tagamise

korraldamise eest vastutav minister määrusega. Eelnõu koostamise ajal on E-ITSi kehtestajaks

majandus- ja infotehnoloogiaminister.5 Lisaks Riigi Teatajale avaldab RIA E-ITSi sisu vastavas

portaalis.6

Eelnõu 531 SE seletuskirjas (seaduseelnõu § 1 punkti 10 selgitused lk-del 14–15) on siinse

eelnõuga kehtestatava määruse kohta selgitatud:

„Eelnõu lisaks olev kavandatav Vabariigi Valituse määrus annab üleriigilise küberturvalisuse

tagamise korraldamise eest vastutavale ministrile (kelleks eelnõu koostamise hetkel on

ettevõtlus- ja infotehnoloogiaminister) volituse kehtestada E-ITS (kui dokument ise)

määrusega. Selleks sätestatakse eelnõu punktiga ka edasivolituse võimalus. E-ITS-i

3 Lisainfo: https://ria.ee/infouhiskonna-teadlikkuse-tostmine-2015-2023 (22.11.2023). 4 Riigikogu võrguleht. Küberturvalisuse seaduse ja teiste seaduste muutmise seadus 531 SE (29.11.2022); Riigi

Teatajas avaldatud 05.08.2022, RT I, 06.08.2022, 2 (19.10.2023). 5 Kuni 18. juulini 2022 ametis olnud Vabariigi Valitsuse 51. koosseisus oli üleriigilise küberturvalisuse tagamise

korraldamise eest vastutava ministri nimetuseks „ettevõtlus- ja infotehnoloogiaminister“, kuid 18. juulil 2022

ametisse astunud Vabariigi Valitsuse 52. koosseisus on selle teema eest vastutava ministri nimetus „majandus- ja

infotehnoloogiaminister“. 6 E-ITSi portaal asub aadressil https://eits.ria.ee/ (19.10.2023).

3 / 18

kehtestamine on otstarbekam läbi viia edasivolituse alusel ministri määrusega, sest praktikas

võimaldab ministri määruse kehtestamine vastavalt vajadusele dokumenti ajakohastada

tulenevalt pidevalt muutuvast IKT raamistikust. See siiski ei tähenda, et teised osapooled (sh

ministeeriumid jt asutused) ei saaks osaleda ning kaasa rääkida E-ITS-i sisu uuendamisel ja

sisustamisel. Seaduseelnõus ei kasutata sõnastust „valdkonna eest vastutav minister“, sest

tulevikus võib tekkida vajadus kavandatavas Vabariigi Valitsuse määruses sätestada

edasivolitust võimaldav norm erinevate valitsusalade ministritele, ning sellises olukorras

valdkonna täpsustamata jätmine seaduseelnõus võib tekitada õigusselgusetust, et milline

minister millise valdkonna eest vastutab. E-ITS kehtestamine käskkirjaga ei ole võimalik,

kuivõrd E-ITS-i kehtestamine ei ole käsitletav üksikjuhtumi reguleerimisena. [….]

Vabariigi Valitsusele on ette nähtud võimalus määruse andmist edasi volitada kogu

volitusnormi ulatuses. Jääb Vabariigi Valitsuse otsustada, kas volitatakse, ning kui jah, siis mis

ulatuses käesolevas volitusnormis sätestatud nõuete kehtestamist ministrile edasi volitatakse.

Edasivolituse eesmärk on ministeeriumi valitsemisalade valdkondade korraldamise

võimaldamine. Volitusnormi esimeses kahes lõikes tähendab see avaliku sektori digiarengu ja

üleriigilise küberturvalisuse tagamise juhtimise, korraldamise ja järelevalve võimaldamist ning

kolmandas lõikes ka iga valitsusala korraldamise võimaldamist, kui reguleerimisobjektiks on

konkreetsele valitsusalale iseloomulike süsteemide pidamine.

Edasivolituse ulatuse samastamine volitusnormiga on vajalik seetõttu, et iga volitus võib

hõlmata eriliigilisi regulatsioone, mis lähtuvalt oma eripärast peaksid olema reguleeritud

Vabariigi Valituse tasandil või ministri määrusega. Näiteks, kui Vabariigi Valitsus kehtestaks

määrusega turvameetmete üldnõude, siis tehnilisemad nõuded selle sisustamisel tuleks välja

töötada ning koostada küberturvalisuse tagamise korraldamise valitsemisalas. Täiendavalt

tuleneb selline edasivolituse ulatuse vajadus ka tehnoloogilise arenguga järjepidamise

vajadusest. Täpsem edasivolituse defineerimine näiteks konkreetsete süsteemide või

tehnoloogiate osas võib kiiresti infotehnilisel maastikul aeguda.“

E-ITS on dokumentide kogum, mida on vaja pidevalt ajakohastada ja täiendada. Majandus- ja

Kommunikatsiooniministeeriumi (edaspidi MKM) valitsemisala asutus RIA korraldab E-ITSi

täiendamist ning uuendamist, võttes selle aluseks varasema rakendamise praktikat ning muutusi

infotehnoloogilises maailmapildis ja õigusraamistikes. Uuendamine toimub iga aasta sügisel

(teostab RIA, kuid määruse lisa(d) asendab või täiendab MKM).

E-ITSi portaalis on 2020. a versioonis (pole ametlikult määrusega kinnitatud) avaldatud E-ITSi

lühijuhend, mille peatükkides 1, 3, 3.1 ja 3.2 on selgitatud E-ITSi olemust ja sisu.7 Järgmised

tekstid on väljavõtted nendest peatükkidest:

„1. Käsitlusala

Lühijuhend annab esmase ülevaate Eesti infoturbestandardist (E-ITS). Eesti infoturbe-

standardi siht on arendada ning edendada Eesti avaliku sektori asutuste ja erafirmade

infoturbe taset. Seni on samal otstarbel kasutusel olnud ISKE (infosüsteemide turvameetmete

süsteem = infosüsteemide kolmeastmeline etalonturve).

7 E-ITS-i portaali võrguleht. E-ITS-i 2020. a versiooni dokument „Lühijuhend“:

https://eits.ria.ee/et/versioon/2020vers1/juhendid/luehijuhend/ (19.10.2023).

4 / 18

E-ITS-i eesmärk on esitada eestikeelne ja Eesti õigusruumile vastav alus infoturbe

käsitlemiseks, mis ühtlasi vastaks standardile ISO/IEC 27001 (27001). E-ITS esitab etalonturbe

rakendamise süsteemi, mis aitab organisatsioonil saavutada tema vajadustega sobivat

infoturbe taset.

Organisatsiooni juhtkond ise otsustab, milliseid objekte ja protsesse on tarvis kaitsta.

Etalonturve seab kaitstavad objektid ja protsessid vastavusse etalonturbe kataloogi

tüüpmoodulitega. Etalonturbe kataloogis leiduvad tüüpmoodulid kirjeldavad tüüpilisi ohte ja

neile vastavaid, riskianalüüsi põhjal valitud turvameetmeid. Turvameetmete rakendamine

vähendab infoturbeohtude realiseerumise tõenäosust. Etalonturve võimaldab organisatsioonil

taaskasutada infoturbe parimaid praktikaid ning seeläbi kokku hoida infoturbe rakendamisele

kuluvaid vahendeid.

Standard põhineb Saksa etalonturbe süsteemil BSI IT-Grundschutz (BSIG) ja standardil

EVS-ISO/IEC 27001:2014 „INFOTEHNOLOOGIA. Turbemeetodid. Infoturbe halduse

süsteemid. Nõuded“ (27001).

[---]

3. Infoturbe korraldamine E-ITSi alusel

E-ITS esitab infoturbe korraldamise parimad teadaolevad viisid. Standardi omanik on Riigi

Infosüsteemi Amet. Standard tugineb seadusandlusele. E-ITSi ökosüsteemi oluliseks osaks on

audiitorite kogukond, kes hakkab tuvastama organisatsioonide infoturbehalduse süsteemide

vastavust standardi nõuetega.

Joonis 1 selgitab E-ITS olulisimate dokumentide suhtestumist Eestis kehtivate seaduste ja

üldtuntud infoturbestandarditega.8

8 Eelnõu koostaja märkus: E-ITSi 2020. a versiooni lühijuhendis on see joonis 2, kuid siinses eelnõus on tegemist

esimese joonisega, mistõttu on seletuskirjas märgitud joonise numbriks 1. Võrreldes E-ITSi 2020. a versioonis

esitatud joonisega on siinsel joonisel järgmised muudatused: 1) E-ITSi mullist on eemaldatud lahter

„Üleminekujuhend“ ja 2) paremal asuvas Saksa etalonturbe süsteemi BSI IT-Grundschutz tulbas on nelja alumise

alamtulba asetust muudetud, kuid joonise põhisisu on jäänud samaks.

5 / 18

Joonis 1. E-ITSi võtmedokumentide suhtestumine oluliste mõjutajatega

E-ITS seob ühtsesse tervikusse järgmised turbeprintsiibid, -tehnoloogiad ja

kontrollimehhanismid:

 riskihaldus, lähtumine võimalikust kahjust, kahju vältimine. Kui tuvastati ohud, mida

etalonturve hallata ei suuda, suunab E-ITS kasutaja vahetu riskihalduse protseduuri

juurde;

 infoturbe halduse süsteem (ingl ISMS – Information Security Management System)

muutuste avastamiseks ja infoturbe jätkusuutlikkuse tagamiseks;

 etalonturve – alusohtude tõrjumiseks riskianalüüsi tulemusel leitud tüüpsed meetmed,

mis on mugavalt pakendatud ja rakendajale kasutusvalmis;

 auditeerimine ja sertifitseerimine – infoturbekohuslasele on väline vastavusaudit

kohustuslik, sertifitseerimine standardi ISO/IEC 27001 suhtes on vabatahtlik ning

asendab vastavusauditit.

3.1. Eesti infoturbestandardi põhimõtted

E-ITS eeldab, et organisatsioon käsitleb infoturvet läbi äriprotsesside prisma. Toimiva

infoturbe eeldusena peab organisatsioon olema teadlik oma eesmärkidest, põhikirjalistest

6 / 18

ülesannetest jms ning suutma kirjeldada oma toimimise valdkondi läbi äriprotsesside [, mille

tulemusel saab organisatsioon pakkuda oma äritegevuse eesmärkidest tulenevaid tooteid või

teenuseid].9 Infoturbe ülesanne organisatsioonis on säilitada äriprotsesside käigus töödeldava

teabe turvalisus. Infoturbe konkreetsed eesmärgid on seejuures vastavuses organisatsiooni

tegevuse eesmärkidega.

Infoturve on pidevalt toimiv protsess, mitte ühekordne tegevus. Infoturve lähtub organisatsiooni

eesmärkidest ja selle olulistest äriprotsessidest. Infoturbe tehnilised elemendid saab vajadusel

sisse osta, kuid täpne arusaam organisatsiooni äriprotsessidest, nende tähtsusest ning kogu

tegevuse eesmärkidest on ainult organisatsiooni juhtkonnal. See paneb juhtkonnale erilised

ootused teadlikkuse, otsuste ja vastutuse osas.

Infoturve on tippjuhi vastutusalas, sest tippjuht näeb organisatsiooni tervikuna ning mõistab,

mis võib äriprotsesse ohustada. Tippjuht teeb infoturbeprotsesse otseselt mõjutavad otsused

turbeks vajalike ressursside jaotamise ning riskide aktsepteerimise kohta.

Infoturbe protsessi käivitamisele eelneb juhtkonna poolne kohustumus – avaldus, millega

juhtkond võtab vastutuse infoturbe elluviimise eest organisatsioonis ning mille toel näitab ta

edaspidi eeskuju kõigile töötajatele. Infoturve kaitseb organisatsiooni ohtude eest üksnes juhul,

kui ta on loomuliku osana integreeritud äriprotsessidesse. Infoturbe nõuetega peavad kursis

olema ning neid oma töös arvestama kõik töötajad.

Infoturve vajab pidevat uuendamist, sest ohud muutuvad ja teisenevad ajas. Infoturbe

jätkusuutlikkuse tagamiseks näeb E-ITS ette, et organisatsioonis rakendatakse infoturbe

halduse süsteem. Infoturbe seis organisatsioonis vajab pidevat parandamist, kavakindlat

juhtimist ja jätkusuutlikku haldust selleks, et

 mõista organisatsiooni tööprotseduure ja avastada neis ebaturvalisi kohti;

 täita seaduste ja standardite nõuded;

 seista vastu pidevalt teisenevatele küberohtudele.

E-ITSi aluspõhimõtteks on riskihaldus. Et vältida kahju, mida ohud realiseerudes äriprotsessile

võivad tekitada, peab organisatsioon oma riskid arvele võtma ja neid haldama. Standard on

riskihalduse teinud kättesaadavaks ja mugavaks ka väikesele organisatsioonile.

E-ITSi turbemeetodiks on etalonturve [koos riskihaldusega].10 See tähendab, et tüüpjuhtude

riskianalüüs on juba ette keskselt ära tehtud standardi koostaja poolt. Riskide vähendamiseks

pakutakse standardi rakendajale valmis tüüpmeetmed, mis paiknevad etalonturbe kataloogis.

[Osale, kus tüüpseid varasid pole või kaitsetarve suur või väga suur, tuleb teha lisaks veel

eraldi riskide analüüs.]11

3.2. Kasu E-ITSi rakendamisest

E-ITSi rakendamine organisatsioonis toob kaasa infoturbekulutuste optimeerimise ning mitmed

kaasnevad eelised.

 Eesti avaliku sektori kõigi asutuste infoturve on ühtlaselt kõrgel tasemel (üks kõigi, kõik

ühe eest), mis omakorda toetab e-riigi turvalist toimimist.

9 Eelnõu koostaja märkus: nurksulgudes olev tekst on lisatud siinse seletuskirja jaoks, kuid see ei asu E-ITSi

2020. a versiooni lühijuhendis. 10 Vt eelmist allmärkust. 11 Vt allmärkust 9.

7 / 18

 Organisatsioon suudab kiiresti arenevas infoühiskonnas omi ülesandeid täita ja end

globaalsete välisohtude eest kaitsta.

 Organisatsioon on halvimaks valmistunud. On tagatud organisatsiooni tegevuse

jätkuvus. Läbi on mõeldud organisatsiooni ja selle töötajate kaitse küberohtude eest.

 Kui infoturve on hästi korraldatud, siis saab organisatsioon keskenduda oma

põhitegevusele ning pole karta ootamatuid ründeid, sanktsioone ega trahve.

 Organisatsioon saavutab eelise ning parema maine omalaadsete organisatsioonide

seas (olen naabrist parem).

 Organisatsioon saab oma turvalisust ning jätkusuutlikkust tõendada ka klientidele ja

partneritele.

Läbimõeldud ja jätkusuutlik infoturbeprotsess tagab seega organisatsiooni teenuste jätkuvuse

ning hea maine. Infoturbe kõrge tase võib olla omakorda eelduseks rahastuse hankimisel

projektidele (näiteks struktuurifondidest või hangetes).

Etalonturve võimaldab organisatsioonil taaskasutada infoturbe parimaid praktikaid ning

seeläbi kokku hoida infoturbe rakendamisele kuluvaid vahendeid.“.

Eelnõu esimese punktiga jäetakse kehtiva määruse lõikest 1 välja sõnad „käesoleva määruse

lisas esitatud“. Muudatus on seotud eelnõu ülejäänud punktidega, kuna muudetava lõike

sõnastus sisustab, et E-ITS on kehtiva määruse puhul ühes lisas, kuid eelnõu tulemusel on

määrusel mitu lisa. Kehtiva määruse lisas on eraldi esitatud sissejuhatav esileht, milles on

märgitud E-ITSi ja selle sisudokumendid koos nende sisukordadega.

Eelnõu teise punktiga sisustatakse, millistest osadest koosneb E-ITS. Muudatuse tulemusena

on määruse tasandil selgem loetelu, millised dokumendid on E-ITSi kui ühe terviku osad.

Kehtival määrusel on üks lisa nimetusega „Eesti infoturbestandard“, mis omakorda sisaldab

E-ITSi 2022. a versiooni järgmisi dokumente: (1) Infoturbe halduse süsteem. Nõuded;

(2) rakendusjuhend; (3) etalonturbe kataloog; (4) auditeerimisjuhend.

Eelnõu tulemusena ei kehtestata võrreldes 2022. a versiooniga rakendusjuhendit, kuna selles

olevad vajalikud osad on viidud eelnõu lisasse 1. Rakendusjuhend jääb edaspidi juhendi

staatusega dokumendiks, mis on leitav E-ITSi portaalist. Samas portaalis on ka

lisadokumendid, sh selgitavad juhendid, koolituste info, näidised, kogemuslood ja rubriik

„Korduma kippuvad küsimused“, mida siinses seletuskirjas ei hakata eraldi nimetama ega

selgitama.

Versiooni nimi vastab lisade koostamise ja kinnitamise aastale. Edaspidi uuendatakse E-ITSi

versiooni nii, et asendatakse määruse lisad.

Käesoleva määruse lisadeks saab E-ITSi 2023. a versioon, millega seotud dokumendid (osad)

on järgmised:

1) nõuded infoturbe halduse süsteemile – asub eelnõu lisas 1;

2) etalonturbe kataloog – asub eelnõu lisas 2;

3) auditeerimisjuhend – asub eelnõu lisas 3.

8 / 18

Määrusega kehtestatava E-ITSi versiooni (2023) muutmise lugu võrreldes kehtiva määruse

E-ITS versiooniga (2022) on leitav E-ITSi portaalist.12 Muudatuste tegemisel lähtuti kasutajate

tagasisidest, vajadusest ühtlustada (kõik) asjakohased dokumendid, uute meetmete ja moodulite

lisandumisest ning küberturvalisuse ohupildi muutumist. Lähtudes kasutusmugavusest ja

praktilisest rakendamisest on eemaldatud meetmeid ja mooduleid, samuti neid, mis on aegunud.

E-ITSi rakendamise sisulises mõttes muudatusi ei ole tehtud.

Järgnevas tuuakse esile, mida on igas lisas muudetud.

Lisa 1 – nõuded infoturbe halduse süsteemile

Esimene muudatus on pealkirjas – kehtiva määruse lisas on selle siinse osa pealkirjaks

„Infoturbe halduse süsteem. Nõuded“, ent siinse lisa pealkirja muudeti, et pealkirjas ei oleks

punkti. Sel põhjusel tehti ka muudatused punktides 1.1 ja 10.2.

Muud muudatused:

- esitati selge seos, et E-ITS pole ainult etalonturve, vaid on lõimitud välise riskihaldusega

(punktid 4, 6.7.5, 7 (tervikuna), 9);

- kaitsetarbe tähenduses täpsustati, et kaitsetarve on riskihalduse metoodika osa ja et

kahjustsenaariumite ja skaala täpsustamine on organisatsiooni ülesanne (punktid 2 ja 7);

- lisatud termin meetme teostatuse määr (punkt 2);

- kustutatud üksiknõudena infoturbeprotsessi algatamise dokumenteerimine, selle asemel on

loodud seos infoturbejuhi nimetamisega (punkt 5.1);

- E-ITSi ja ISO/IEC 27001 vahelise suhte täpsustamine ja kogu nõuete dokumendi ulatuses

keskendumine vaid E-ITS-ile; ISO/IEC 27001 teemasid käsitletakse KüTSi tasandil, siin

dokumendis iseloomustatakse vaid nendevahelist suhet (punkt 4 (täpsustatud koos

lisaselgitusega), punkt 11.2 (kustutatud));

- toome märksõna „tippjuhtkond“ eraldi esile kui struktuuris kõige kõrgema juhtkonna rolli,

kes infoturbe halduse eestvedamise ja toimimise eest vastutab (punktid 5 ja 5.1);

- varade ja sihtobjektide selgem kasutus paralleelselt, et neid saaks vajaduse korral eristada

(enamasti on varad ja sihtobjektid kasutusel sünonüümidena, kuid definitsiooni alusel on

võimalik äriprotsesside osad varad jätta kaitsealast välja ja sel juhul nad pole ka

sihtobjektid, millele infoturvameetmeid rakendada) (punkt 6.2 ja kogu punkt 7);

- infoturvapoliitika väärtuste nimekirja kohandamine soovituslike kahjustsenaariumitega

(punkt 6.1);

- infoturvapoliitika elementide joonise ja infoturbe eesmärkide olemuse täpsustamine

kooskõlas ISMSi mooduliga (joonis 2 punktis 6.1);

- infoturvaeesmärkide kirjelduse lihtsustamine ja parem kooskõla etalonturbe kataloogi

ISMS mooduliga (punkt 6.2);

- infoturbe komponentides selgem nõue vaid C-I-A osale (punkt 6.2);

- koolitusse lisatud eraldi nõue intsidendi käsitluseks (punkt 6.4);

- riskihaldusse lisatud kaitsetarbe määramise kohustus väljast tellitavatele teenustele

(tarneahel) (punkt 7.1);

12 E-ITSi portaali võrguleht. E-ITSi etalonturbe kataloogi 2023. aasta kavandi muutmise lugu:

https://eits.ria.ee/et/versioon/2022/muutelugu/#eitsietalonturbekataloogi2023aastakavandimuutelugu1;

E-ITSi 2022. a versiooni pisiparandused (nendega on arvestatud 2023. a versioonis):

https://eits.ria.ee/et/versioon/2022/muutelugu/versiooni-pisiparandused/;

uue versiooni kavandid: https://eits.ria.ee/et/versioon/2022/muutelugu/uue-versiooni-kavandid/ (kõik

19.10.2023).

9 / 18

- sihtobjekt riskihaldusse lülitamise kohustus, kui sellest sõltub samaaegselt mitu

äriprotsessi (punkt 7.3);

- meetmete rakendamise täpsustamine kooskõlas auditijuhendiga (punkt 8);

- sõltumatu läbivaatuse puhul on sõnaselgelt esile toodud, et selleks ei pea olema audiitor,

vaid võib olla ka pädev, kuid läbivaatusobjektist sõltumatu töötaja (punkt 10.2);

- jaotiste jooniste numeratsiooni muutused ja pisiparandused, mis sisu ei muuda, sh ka

jaotiste pealkirjade loogiline struktuur (punkt 2, punktist 1.4 on joonis jäetud välja (asub

standardis), punktid 4.1, 5, 5.1, 6, 6.1, 6.2, 7–10, 10.1);

- lisatud kohustusliku osa lõikude numeratsioon.

Lisa 2 – etalonturbe kataloog

ISMS. Turbehaldus

 muudatus moodulis ISMS.1 Turbehaldus

- kirjelduses on muudetud viidet määruse lisa 1 pealkirjale;

- lisateabes on asendatud Vabariigi Valitsuse määruse link.

ORP. Organisatsioon ja personal

 muudatused moodulis ORP.1 Infoturbe korraldus:

- muudetud eesmärki ja vastutajaid;

- täiendatud ohtu 2.3;

- muudetud meetmeid ORP.1.M1, ORP.1.M4 ja ORP.1.M13;

- lisatud uus meede ORP.1.M17 Nutitelefonide kaasas kandmise piiramine.

 muudatused moodulis ORP.2 Personal:

- muudetud meedet ORP.2.M2;

 muudatused moodulis ORP.3 Infoturbe teadlikkuse tõstmine ja koolitus:

- muudetud meetmeid: ORP.3.M1, ORP.3.M3 ja ORP.3.M8.

CON. Kontseptsioonid ja metoodikad

 muudatused moodulis CON.1 Krüptokontseptsioon:

- muudetud piiranguid;

- muudetud kõiki ohtusid;

- muudetud lisamaterjale;

- kustutatud järgmised meetmed: CON.1.M3, CON.1.M6, CON.1.M7, CON.1.M8,

CON.1.M12, CON.1.M13 ja CON.1.M14;

- lisatud järgmised meetmed: CON.1.M19 ja CON.1.M20;

- muudetud järgmised meetmed: CON.1.M1, CON.1.M2, CON.1.M4, CON.1.M5,

CON.1.M9, CON.1.M10, CON.1.M11, CON.1.M15, CON.1.M16, CON.1.M17 ja

CON.1.M18;

 lisatud moodul CON.2 Isikuandmete kaitse;

 muudatused moodulis CON.6 Andmete kustutus ja hävitamine:

- muudetud meedet CON.6.M11.

OPS. Käidutööd

 lisatud uus moodul OPS.1.1.1 IT-haldus.

 muudatused moodulis OPS.1.1.2 IT-süsteemide haldus:

- muudetud mooduli nime, eesmärki, piiranguid, ohte ja elutsüklit;

- eemaldatud meetmed: OPS.1.1.2.M3, OPS.1.1.2.M9, OPS.1.1.2.M10,

OPS.1.1.2.M12, OPS.1.1.2.M14, OPS.1.1.2.M15 ja OPS.1.1.2.M20;

10 / 18

- lisatud meetmed: OPS.1.1.2.M21, OPS.1.1.2.M22, OPS.1.1.2.M23,

OPS.1.1.2.M24, OPS.1.1.2.M25, OPS.1.1.2.M26, OPS.1.1.2.M27, OPS.1.1.2.M28,

OPS.1.1.2.M29 ja OPS.1.1.2.M30;

- muudetud meetmed: OPS.1.1.2.M2, OPS.1.1.2.M5, OPS.1.1.2.M16 (K => S),

OPS.1.1.2.M11, OPS.1.1.2.M17 ja OPS.1.1.2.M19.

 muudatused moodulis OPS.1.1.3 Paiga- ja muudatusehaldus:

- muudetud punkti 1.3 Piirangud;

- eemaldatud meede OPS.1.1.3.M16 Turvanõrkuste ja turvauuendite teabe seire;

- muudetud meede OPS.1.1.3.M15 IT-süsteemide regulaarne uuendamine.

 muudatused moodulis OPS.1.1.5 Logimine:

- lisatud Eesti meede OPS.1.1.5.ME1 Logide räsiaheldamine.

 muudatused moodulis OPS.1.1.7 Süsteemihaldus:

- muudetud mooduli punkte 1.1 Eesmärk ja 1.3 Piirangud.

 muudatused moodulis OPS.1.2.5 Kaughooldus:

- muudetud mooduli punkte 1.1 Eesmärk ja 1.3 Piirangud;

- muudetud meetme nimi OPS.1.2.5.M10 Kaughooldustööriistade turvaline

kasutamine;

- muudetud meedet OPS.1.2.5.M14 Kaughoolduskliendi turvaline seadistus.

 kustutatud moodul OPS.2.1 Väljasttellimine.

 muudatused moodulis OPS.2.2 Pilvteenuste kasutamine:

- muudetud meetmeid OPS.2.2.M1 ja OPS.2.2.M12;

- lisateabest kustutatud aegunud juhend;

- lisatud uus moodul OPS.2.3 Väljasttellimine;

- kustutatud moodul OPS.3.1 Teenusandja infoturve;

- lisatud uus moodul OPS.3.2 Teenuseandja infoturve.

APP. Rakendused

 muudatused moodulis APP.1.2 Veebibrauser:

- muudetud APP.1.2.M9 ja APP.1.2.M13.

 muudatused moodulis APP.2.1 Kataloogiteenus üldiselt:

- muudetud piiranguid ja ohte;

- kustutatud meetmed APP.2.1.M4 ja APP.2.1.M7;

- lisatud meetmed APP.2.1.M17 Kaitsevajadusega pääsuteabe turve, APP.2.1.M18

Kataloogiteenuse dubleerimine, APP.2.1.M19 Kataloogiteenuse anonüümse

juurdepääsu haldus, APP.2.1.M20 Kataloogiteenuse dubleerimise turve, ja

APP.2.1.M21 Kataloogiteenuse kõrgkäideldavuse tagamine;

- muudetud meetmeid: APP.2.1.M1, APP.2.1.M2, APP.2.1.M8, APP.2.1.M9,

APP.2.1.M11 ja APP.2.1.M14.

 muudatused moodulis APP.2.2 Active Directory Domain Services:

- muudetud mooduli nimi;

- muudetud piiranguid ja ohte;

- kustutatud meetmed: APP.2.2.M2, APP.2.2.M10 ja APP.2.2.M14;

- lisatud meetmed:

APP.2.2.M16 AD DS kontode tugevdamine,

APP.2.2.M17 AD metsa halduskontode kasutamise piiramine,

APP.2.2.M18 AD arvutiobjektide domeeni lisamise piiramine,

APP.2.2.M19 Virtualiseeritud domeenikontrollerite turvaline kasutamine,

APP.2.2.M20 Organisatsiooniüksuste segmentimine,

APP.2.2.M21 Mitmekihiline AD DS struktuurimudel,

APP.2.2.M22 Halduskontode kasutuse ajaline piiramine,

11 / 18

APP.2.2.M23 Pääsuõiguste ja võimalike ründevektorite regulaarne analüüs;

- muudetud meetmed: APP.2.2.M1, APP.2.2.M3, APP.2.2.M5, APP.2.2.M6,

APP.2.2.M7, APP.2.2.M8, APP.2.2.M9, APP.2.2.M12 ja APP.2.2.M15;

- lisatud lisamaterjale.

 muudatused moodulis APP.2.3 OpenLDAP:

- muudetud piiranguid ja ohte;

- muudetud meetmeid: APP.2.3.M6, APP.2.3.M9, APP.2.2.M10 ja APP.2.2.M11.

 muudatused moodulis APP.5.3 E-posti server ja klient üldiselt:

- muudetud mooduli eesmärki;

- muudetud meetmeid: APP.5.3.M2, APP.5.3.M6, APP.5.3.M9 ja APP.5.3.M10.

 pisimuudatused:

- APP.3.2 piirangud;

- APP.4.3 piirangud;

- muudetud meedet APP.3.1.M4;

- muudetud meedet APP.3.2.M12;

- muudetud meedet APP.4.3.M1;

- muudetud meedet APP.5.3.M7;

- muudetud meedet APP.EE.1.M20.

 lisatud uus moodul: APP.5.4 Ühendatud side- ja koostöölahendused (UCC).

SYS. IT-süsteemid

 muudatused moodulis SYS.1.1 Server üldiselt:

- muudetud piiranguid;

- lisatud ohte;

- lisatud meede SYS.1.1.M39 Serveri turvaseadete keskne haldus;

- muudetud meetmeid SYS.1.1.M1, SYS.1.1.M6, SYS.1.1.M11 ja SYS.1.1.M16.

 muudatused moodulis SYS.1.6 Konteinerdus:

- muudetud meedet SYS.1.6.M2;

- lisatud uus moodul SYS.1.9 Terminaliserver;

- lisatud uus moodul SYS.1.2.3 Windows Server.

 muudatused moodulis SYS.2.1 Klientarvuti üldiselt:

- muudetud meetmeid SYS.2.1.M1 ja SYS.2.1.M11;

- kustutatud meede SYS.2.1.M14.

 muudatused moodulis SYS.2.2.3 Windows kliendid:

- moodul ümbernimetatud „SYS.2.2.3 Windows 10 ja Windows 11“;

- muudetud eesmärki, piiranguid, vastutajaid, ohtusid;

- muudetud meetmeid SYS.2.2.3.M1, SYS.2.2.3.M2, SYS.2.2.3.M4, SYS.2.2.3.M5,

SYS.2.2.3.M13, SYS.2.2.3.M15, SYS.2.2.3.M16, SYS.2.2.3.M19, SYS.2.2.3.M21,

SYS.2.2.3.M22, SYS.2.2.3.M23 ja SYS.2.2.3.M25;

- lisatud meede SYS.2.2.3.M26 VSM (Virtual Secure Mode) kasutamine.

 muudatused moodulis SYS.2.3 Linuxi ja Unixi klient:

- muudetud meetmeid SYS.2.3.M8 ja SYS.2.3.M14.

 muudatused moodulis SYS.4.3 Sardsüsteemid (embedded systems):

- muudetud meetmeid SYS.4.3.M1, SYS.4.3.M2, SYS.4.3.M5 ja SYS.4.3.M11.

 muudatused moodulis SYS.4.5 Irdandmekandjad:

- muudetud meetmed: SYS.4.5.M2, SYS.4.5.M4, SYS.4.5.M13 ja SYS.4.5.M15;

- lisatud meede SYS.4.5.M17 Andmete pikaajaline säilitamine irdandmekandjal;

- lisatud uus moodul SYS.EE.2 eID komponendid.

12 / 18

IND. Tööstuse IT

 muudatused moodulis IND.1 Käidu- ja protsessijuhtimissüsteemid:

- muudetud meedet IND.1.M11 Turvaline hankimine ja süsteemiarendus;

 muudatused moodulis IND.3.2 Käidutehnoloogia komponentide kaughooldus;

- 1.3 Piirangud;

- 2.7 Kaughoolduslahenduste ebaturvaline teostus;

- muudetud meetmed: IND.3.2.M1, IND.3.2.M4, IND.3.2.M7 ja IND.3.2.M10.

NET. Võrgud ja side

 muudatused moodulis NET.1.1 Võrguarhitektuur ja lahendus:

- muudetud meedet NET.1.1.M36.

 muudatused moodulis NET.2.1 Raadiokohtvõrgu käitamine:

- muudetud meedet NET.2.1.M7;

- lisatud uus moodul NET.3.4 Võrkupääsu reguleerimine (NAC).

INF. Taristu

 muudatused moodulis INF.1 Hoone üldiselt:

- muudetud meedet INF.1.M9 Hoonete turbe programm.

 muudatused moodulis INF.2 Serveriruum ja andmekeskus:

- muudetud meedet INF.2.M9 Tulekustutussüsteem ja kustutusvahendid.

 muudatused moodulis INF.6 Andmekandjate arhiiv:

- muudetud meedet INF.6.M6.

 muudatused moodulis INF.10 Koosoleku-, ürituse- ja koolituseruumid:

- kustutatud meede INF.10.M10 Mobiiltelefonide keeld.

 muudatused moodulis INF.11 Sõidukite IT-komponendid:

- muudetud ohtu INF.11. oht 2.2;

- meetmes INF.11.M2 kasutatakse sõna „autoriseerimine“ asemel „volitamine“.

 muudatused moodulis INF.13 Hoone tehniline haldus:

- muudetud meede INF.13.M2 Vajalike pädevuste ja vastutajate määramine;

- meetmes INF.13.M26 kasutatakse sõna „autoriseerimine“ asemel „volitamine“.

 muudatused moodulis INF.14 Hooneautomaatikasüsteemid:

- muudetud meede INF.14 Hooneautomaatikasüsteemid ptk 1.3 Piirangud.

Lisa 3 – auditeerimisjuhend

Selles on muudetud jaotistes asuvate jooniste numeratsiooni ja tehtud pisiparandusi, mis sisu ei

muuda, sh ka jaotiste pealkirjades.

 Auditeerimisjuhendis tehti muudatusi järgmistes peatükkides (nt viitamise parandused,

ent ka muud pisiparandused, mis sisu ei muuda; vältimaks dubleerimist eemaldati

terminid, mis on sisustatud siinse määruse lisas 1):

- 1. Sissejuhatus

- 2. Mõisted ja lühendid;

- 3. E-ITSi auditi eesmärk;

- 5. E-ITSi auditi eeldused;

- 6. Auditi üldine korraldus;

- 7. E-ITSi auditi tellimine;

- 10. E-ITSi põhiaudit;

- 11. E-ITSi vaheaudit;

- 12. Lõpparuanne ja järeldusotsus;

- 14. Seonduvad dokumendid.

13 / 18

 parandused Eesti Infosüsteemide Audiitorite Ühingult (edaspidi EISAÜ) saadud

tagasiside põhjal (esitatud on viide peatükile või ala-punktile):

- 3.1: täpsustati E-ITSi auditi eesmärki (lisatud vastavus dokumendile „Nõuded

infoturbe halduse süsteemile“); „auditi edukas läbimine“ on asendatud parema

arusaamise nimel „audiitori sõltumatu hinnanguga“;

- 5.7: lisatud „ja plaanitavaid tegevusi“;

- 10.4: rakendamist =>13 rakendatust;

- 10.10: turvalisus => infoturve; turvasertifikaat => turvameetmete rakendatust

kinnitav sertifikaat;

- 11.3.2: lisatud „kontrollitakse infoturbe meetmete rakendusplaani täitmist“;

- 11.3.5: eemaldatud sõna „valimi“;

- 14. Seonduvad dokumendid – lisatud viited EISAÜ IT-audiitorkontrolli eeskirjale

ja eetikakoodeksile.

Eelnõu punktidega kolm ja neli tunnistatakse kehtetuks kehtiva määruse lisa (E-ITSi versioon

2022) ja kehtivat määrust täiendatakse eelnõu lisadega (E-ITSi 2023. a versiooniga). Eelnõu

eelmiste punktide selgituste juures on selgitatud, miks on vaja kehtiva määruse üks lisa

asendada mitme lisaga.

3. Eelnõu vastavus Euroopa Liidu õigusele

Eelnõu ehk E-ITSi 2023. a versiooni kehtestamine ei ole seotud ega oma puutumust Euroopa

Liidu õigusega. Euroopas on standardimine korraldatud vastavalt Euroopa Parlamendi ja

nõukogu määrusele (EL) nr 1025/2012.14 Selle määruse kohaselt on riiklik standard selline

standard, mille on vastu võtnud riigi standardiorganisatsioon (Eesti puhul Eesti Standardimis-

ja Akrediteerimiskeskus). Taoliste standardite puhul kohaldub toote nõuetele vastavuse

seaduse15 § 40. Samas pole E-ITSi standard määruse nr 1025/2012 ning toote nõuetele

vastavuse seaduse tähenduses, vaid E-ITS on ühtsete nõuete kogum, mitte

standardiorganisatsiooni kinnitatud dokument. Eestis on ka praegu juba

standardiorganisatsiooni väliseid standardeid, mis on analoogselt kehtestatud määrusega.16

Seega on eelnõu kooskõlas Euroopa Liidu õigusega.

4. Määruse mõjud

Kuna eelnõu tulemusena E-ITSi sisu ja põhiolemus ei muutu, on siinses osas võimalik võrrelda

ainult neid muudatusi, mis tehakse kehtiva määruse versiooni (2022) asendamisel siinse

määruse lisades oleva versiooniga (2023).

13 Sümbol => osutab pärast parandamist kasutatavale sõnale. 14 Euroopa Parlamendi ja nõukogu määrus (EL) nr 1025/2012, mis käsitleb Euroopa standardimist ning millega

muudetakse nõukogu direktiive 89/686/EMÜ ja 93/15/EMÜ ning Euroopa Parlamendi ja nõukogu direktiive

94/9/EÜ, 94/25/EÜ, 95/16/EÜ, 97/23/EÜ, 98/34/EÜ, 2004/22/EÜ, 2007/23/EÜ, 2009/23/EÜ ja 2009/105/EÜ ning

millega tunnistatakse kehtetuks nõukogu otsus 87/95/EMÜ ning Euroopa Parlamendi ja nõukogu otsus

nr 1673/2006/EÜ (19.10.2023). 15 toote nõuetele vastavuse seadus, RT I, 03.02.2023, 11 (19.10.2023). 16 Vt nt haridus- ja teadusministri 28.11.2008. a määrust nr 69 „Kutsestandardite koostamise, muutmise ja

vormistamise kord“ (RTL 2008, 97, 1345), 19.06.2015. a määrust nr 27 „Täienduskoolituse

standard“ (RT I, 11.11.2016, 2), 21.03.2007. a määrust nr 27 „Huviharidusstandard“ (RTL 2007, 27, 474) ning

rahandusministri 13.12.2011. a määrust nr 57 „Siseaudiitori kutsetegevuse standardite kehtestamine“ (RT I,

21.04.2017, 13), (kõik 19.10.2023).

14 / 18

Ülevaatlikkuse huvides korratakse siinses tekstilõigus viiteid, mis olid ka kehtiva määruse

seletuskirjas. Eelnõu 531 SE seletuskirjas (peatükk 6.1, lk-d 33–39) on analüüsitud E-ITSi

kehtestamisega seotud mõjusid. Selles esitatud mõjude analüüs lähtus samadest mõjude

liikidest, mis on nõutud hea õigusloome ja normitehnika eeskirja17 § 65 lg 1 punkti 4 kohaselt.

VV määruse eelnõu seletuskirjas (peatükk 5.1, lk-d 19–27) on sisuliselt korratud 531 SE

mõjude analüüsi sisu ja teatavas osas on seda täiendatud. Kehtiva E-ITSi versiooni kehtestanud

määruse seletuskirjas (lk 10) on samuti selgitatud kehtiva E-ITSi versiooniga seotud mõjusid.18

Seetõttu eelmainitud analüüse käesolevas seletuskirjas ei korrata, kuid ka selles tehtud mõjude

hindamine on teatavas ulatuses asjakohane ka E-ITSi 2023. a versiooni kehtestamisel.

Küberruumis tegutsevad E-ITSi rakendajad ühtemoodi nii Tallinnas, Narvas, kui ka Ruhnus ja

nad on enamvähem sama ründevektoriga igalt poolt tabatavad. Seega, E-ITSis kui tervikus ei

ole erandeid võimalik teha. Samas on E-ITS-i rakendamise ulatus ja maht paljuski seotud

konkreetse E-ITS-i rakendaja põhitegevusega (näiteks tema osutatavad ülesanded või

teenused), mille suhtes E-ITS-i rakendatakse. Sellest omakorda sõltub, mil määral on vaja teha

muudatusi infoturbe halduse korralduses.

E-ITS võtab arvesse selle rakendajate küpsust meetmete rakendamisel ning meetmed on jagatud

põhi-, standard- ja kõrgmeetmeteks.

 Kui tegu on organisatsioonidega, kus kaitsetarve on normaalne, ja varem pole

infoturbega teadlikult tegeletud, siis esialgu vähendab põhiturbe rakendamine E-ITSi

rakendamise koormust.

 Suurema kaitsetarbega organisatsioonidel on hädavajalik rakendada E-ITSi meetmeid

vähemalt nende kaitseala osades, mille kohta kehtivad rangemad kaitsetarbe nõuded,

valides nimetatud nõuetele vastavaid meetmeid ka standard- ja kõrgmeetmete hulgast.

Seejuures tuleb pidevalt lähtuda riskipõhisest mõtlemisest. Rakendamata meetmete suhtes on

vajalik hinnata jääkriske kaitsetarbele. E-ITSi rakendamine aitab vähendada äririske, ent see

pole eesmärk omaette.

E-ITSi 2023. a versiooni rakendamine nõuab mõningaid ressursse, kuid vajadus nende järele

oleneb konkreetsest organisatsioonist, sh määratud kaitsetarbest ja sellest, kas tema suhtes on

eelnõuga muudetud või lisanduvad meetmed üldse kohaldatavad. Nendesamade meetmete

rakendamine omakorda aitab suurendada organisatsiooni küberturvalisuse taset ja

toimepidevust ning võimaldab paremini hallata riske. Samuti on selle kõige tulemusena

võimalik paremini tegeleda küberintsidentide haldusega, sh kohaste meetmete rakendamisel

minimeerida võimalikke kahjulikke mõjusid nii enda organisatsioonile kui ka klientidele

(kliendid kui inimesed või ettevõtjad ja asutused) ning teatavas ulatuses kogu ühiskonnale.

E-ITSi 2023. a versiooniga tutvumine võtab kindla aja, et uute või muudetud nõuetega tutvuda

ja asjakohaste meetmete rakendamine ellu viia, st seada eesmärgiks asjakohaste meetmete

rakendamine töösse panna ja ära teha. Samas, aegunud meetmed tuleb käibelt kõrvaldada. Selle

kõige käigus tehtud tegevused ja kulud peaksid vähendama suurte kahjude tekkimise riski

küberintsidentide korral.

Kuna E-ITSi 2023. a versiooni ehk määruse lisa 1 puhul pole muudetud sisulisi nõudeid, vaid

nende esitamise vormi, et tagada lihtsam ja selgem arusaamine ja parem loetavus, seisneb

17 Vabariigi Valitsuse 22. detsembri 2011. a määrus nr 180 „Hea õigusloome ja normitehnika eeskiri“, RT I,

29.12.2011, 228 (26.10.2023). 18 E-ITSi 2022. a versiooni kehtestanud ministri määrus – leitav MKM-i avalikust dokumendiregistrist aadressil

https://adr.rik.ee/mkm/dokument/13670130 (26.10.2023).

15 / 18

muudatuste mõju eelkõige selles, et dokument tuleb rakendajal uuesti läbi töötada ja veenduda,

et kõigest on õigesti aru saadud. Uutel, tulevikus lisanduda võivatel rakendajatel peaks

dokument olema tänu uuele versioonile paremini mõistetav. Kuna E-ITSi uues versioonis on

punktid nummerdatud, on nõuete järgimisele parem viidata. Määruse lisas 2 tehtud muudatuste

tõttu tuleb E-ITSi rakendajal ennekõike tutvuda uute meetmetega ja viia need ellu, sh vajaduse

korral eemaldada vananenud meetmed, kui neid rohkem vaja ei lähe. Määruse lisa 3 puhul tuleb

rakendajal see dokument uuesti läbi töötada, et oleks selge, millest lähtudes toimub

auditeerimine. Kõigi kolme lisa puhul on abistavaks materjaliks nii E-ITS-i portaalis olev

muuteloo info (vt allviidet 12) kui ka siinse seletuskirja 2. peatükis esile toodud muudatused.

4.1. Sotsiaalne, sealhulgas demograafiline mõju

E-ITSi meetmete ajakohastamine väldib aegunud meetmete rakendamist, järgib uut

ohuolukorda ja sel on rakendajale pigem positiivne mõju, kuivõrd tal on teadmine, et tegeleb

asjakohase, mitte vananenud standardiga.

4.2. Mõju riigi julgeolekule ja välissuhetele

E-ITSi meetmete regulaarne uuendamine tagab organisatsioonide infoturbe ajakohasena

hoidmise ja parema toimetuleku äririskidega, mis on otseses sõltuvuses digitaalsetest

vahenditest. E-ITS ja selle tegelik rakendamine organisatsioonides ning edusammude avalik

kommunikeerimine toimib võimalikule ründajale heidutusmeetmena.

4.3. Mõju majandusele

E-ITSi meetmete (nii varem kehtestatud kui ka määrusega muudetud või lisanduvate meetmete)

õige ja asjakohane rakendamine võib olulisel määral vähendada organisatsioonide võimalikku

kahju intsidentide korral. Pikas perspektiivis annab standardiseeritud IT-haldus

optimeerimisvõimalusi ja kokkuhoidu ning paremat planeerimisvõimet. Samas, uute meetmete

rakendamise võib nõuda lisaressursse. Siinkohal on organisatsiooni otsus, kas potentsiaalse

kahju ärahoidmine õigustab lisainvesteeringut nimetatud ressursidesse.

4.4. Mõju elu- ja looduskeskkonnale

Kui organisatsiooni ärieesmärgid mõjutavad elu- ja looduskeskkonda, võib E-ITSi meetmete

õige ja asjakohane rakendamine olulisel määral vähendada organisatsioonide ärieesmärkide

saavutamise võimalikku kahju intsidentide korral (nt elutähtsa teenuse osutajate korral).

4.5. Mõju regionaalarengule

Määrusega lisanduvad või muudetud nõuded on võrdsed kõigile E-ITSi rakendajatele.

4.6. Mõju riigiasutuste ja kohaliku omavalitsuse korraldusele

Selgem infoturbe halduse korraldus toimib hästi koos teiste organisatsiooni

juhtimissüsteemidega. Standardiseeritud süsteemi rakendamisel on positiivne mõju, kuna pikas

perspektiivis optimeerib see töökorraldust, sest tegevusi ei tehta juhtumipõhiselt (ad hoc), vaid

pigem plaani põhiselt konkreetse protsessina. Sellesse etappi aga jõuavad asutused, kui on

saavutatud esmane infoturbe küpsus ja juhtkonna selge ja pidev eesvedu ja toetus.

Kokkuvõtteks, kõigi seletuskirja punktides 4.1–4.6 kirjeldatud mõjude puhul on nende ulatus

väike, sagedus väike ja ebasoovitavate mõjude risk väike. Mõju pikas perspektiivis on pigem

positiivne. Tegelik mõju lähtub organisatsioonist ja tema juhtimiskultuurist ning riskide

haldusest. Seetõttu võib mõju organisatsiooniti ka erineda.

Käesoleva eelnõuga seni käsitlemata mõjusid ei kaasne.

16 / 18

5. Määruse rakendamisega seotud tegevused, vajalikud kulud ja määruse rakendamise

eeldatavad tulud

Kuna eelnõu tulemusena E-ITSi sisu ja põhiolemus ei muutu, siis on võimalik siinses osas

võrrelda ainult neid muudatusi tegevustes, kuludes ja tuludes, mis toimuvad kehtivas määruses

esitatud E-ITSi versiooni (2022) asendamisel siinse määruse lisades oleva versiooniga (2023).

Ülevaatlikkuse huvides korratakse siinses tekstilõigus viiteid, mis olid ka kehtiva määruse

seletuskirjas. Eelnõu 531 SE seletuskirjas (peatükk 7.1, lk-d 45–47) on analüüsitud neid riigi ja

kohaliku omavalitsuse tegevusi, eeldatavaid kulusid ja tulusid, mis on seotud E-ITSi

kehtestamisega. VV määruse eelnõu seletuskirjas (peatükk 6.1, lk-d 29–31) on korratud

sisuliselt sama analüüsi, mis on 531 SE seletuskirjas, sh on teatavas osas seda ka täiendatud.

Kehtiva E-ITSi versiooni kehtestanud määruse seletuskirjas (lk 10) on samamoodi selgitatud

kehtiva E-ITSi versiooniga seotud mõjusid.19 Seetõttu eelmainitud analüüse käesolevas

seletuskirjas ei korrata, kuid neis tehtud mõjude hindamine on teatavas ulatuses asjakohane ka

E-ITSi 2023. a versiooni kehtestamisel.

Tegevuste mõttes peab E-ITSi rakendaja hakkama tegelema E-ITSi uue versiooni

rakendamisega ehk esmalt töötama läbi määrusega kehtestatava versiooni dokumendid. Selle

töö puhul võib olla vajalik uurida nii E-ITS-i portaalis olevat muuteloo infot (vt allviidet 12)

kui ka siinse seletuskirja 2. peatükki.

E-ITSi 2020. a versioonis olevas lühijuhendi 4. peatükis on esitatud joonis, kuidas E-ITSi kui

terviku rakendamine ellu viia (siinses seletuskirjas joonis 2). Joonisel on ette näidatud soovitav

liikumistee E-ITSi evitamisel ja dokumentidega tutvumisel. Punane värv tähistab kõrgema

prioriteediga juhendmaterjale. Tollel joonisel esitatud pealkirjadele vastava sisu leiab siinse

määrusega kehtestatava versiooni järgmistest lisadest:

 „E-ITS ISMS Nõuded (ISMS loomine ja infoturbe korraldus)“ – lisa 1;

 „E-ITS Etalonturbe kataloog (meetmed) – lisa 2;

 „Auditeerimisjuhend“ – lisa 3.

19 E-ITSi 2022. a versiooni kehtestanud ministri määrus – leitav MKM-i avalikust dokumendiregistrist:

https://adr.rik.ee/mkm/dokument/13670130 (26.10.2023. a).

17 / 18

Joonis 2. E-ITSi juhendmaterjalidega tutvumise soovitatav järjestus20

Kehtiva määruse lisas olevas „Eesti infoturbestandard. Infoturbe halduse süsteem. Nõuded“

punktis 4.1 on esitatud joonis (tolles dokumendis numbriga 1) infoturbehalduse süsteemi

protsesside ja sooritavate tegevuste kohta. Sama joonis asub ka käesoleva määruse lisa 1

punktis 4.1. Siinses seletuskirjas on see joonis 3. Siinse määrusega tehtavate muudatuste

elluviimine toimubki sama protsessi järgides ehk alates sammust „Infoturbehalduse süsteemi

täiustamine“ tegeletakse turbeprotsesside uuendamise kavandamise ja planeerimisega ning

seejärel jätkatakse järgmiste sammudega.

Joonis 3. Infoturbehalduse süsteemi käivitamise ja uuendamise tegevused

20 Eelnõu koostaja märkus: E-ITS-i 2020. a versiooni lühijuhendis on vastava joonise numbriks 5, kuid siinses

eelnõus on tegemist teise joonisega, mistõttu on seletuskirjas märgitud joonise numbriks 2.

18 / 18

6. Määruse jõustumine

Määrus jõustub üldises korras.

7. Eelnõu kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon

Eelnõu esitatakse kooskõlastamiseks eelnõude infosüsteemi kaudu kõikidele ministeeriumitele

ning arvamuse avaldamiseks põhiseaduslikele institutsioonidele, avalik-õiguslikele

juriidilistele isikutele, Andmekaitse Inspektsioonile, RIA-le, Keskkonnaministeeriumi

Infotehnoloogiakeskusele, Registrite ja Infosüsteemide Keskusele, Riigi Info- ja

Kommunikatsioonitehnoloogia Keskusele, Rahandusministeeriumi Infotehnoloogiakeskusele,

Siseministeeriumi infotehnoloogia- ja arenduskeskusele, Tervise ja Heaolu Infosüsteemide

Keskusele, Eesti Linnade ja Valdade Liidule, Eesti Infotehnoloogia ja Telekommunikatsiooni

Liidule, Eesti Infosüsteemide Audiitorite Ühingule ning RIA vahendusel elutähtsa teenuse

osutajatele ja olulise teenuse operaatoritele.

1

Majandus- ja infotehnoloogiaministri ………… . a määrus nr …

„Ettevõtlus- ja infotehnoloogiaministri

16. detsembri 2022 määruse

nr 101 „Eesti infoturbestandard“ muutmine“

Lisa 1

Eesti infoturbestandard

Nõuded infoturbe halduse süsteemile

2

Sisukord 1 Sissejuhatus ___________________________________________________________ 3

1.1 Käsitlusala ______________________________________________________________ 3

1.2 Sihtgrupp _______________________________________________________________ 3

1.3 Normiviited _____________________________________________________________ 3

2 Kasutatud terminid______________________________________________________ 4

3 Jaotiste lühiülevaade ____________________________________________________ 7

4 E-ITSi olemus ___________________________________________________________ 8

4.1 Infoturbe halduse süsteem _________________________________________________ 8

5 Infoturbeprotsessist üldiselt _____________________________________________ 10

5.1 Infoturbeprotsessi algatamisest üldiselt _____________________________________ 10

5.2 Tippjuhtkonna kohustumus _______________________________________________ 10

6 Infoturbeprotsessi kavandamine ja plaanimine ______________________________ 11

6.1 Infoturvapoliitika _______________________________________________________ 11

6.2 Infoturvaeesmärgid ______________________________________________________ 12

6.3 Infoturbeprotsessi korraldus ______________________________________________ 13

6.4 Infoturbealane koolitus __________________________________________________ 13

6.5 Ressursside eraldamine __________________________________________________ 13

6.6 Juhtkonna kinnitus ______________________________________________________ 14

6.7 Infoturbeprotsessi dokumenteerimine ______________________________________ 14

7 Infoturbeprotsessi riskihaldus ____________________________________________ 15

7.1 Riskihaldusest üldiselt ___________________________________________________ 15

7.2 Etalonturbe modelleerimine ______________________________________________ 15

7.3 Etalonturbe väline riskihaldus _____________________________________________ 16

8 Infoturvameetmete rakendamine _________________________________________ 17

9 Infoturbe käigushoid ___________________________________________________ 18

10 Infoturbeprotsessi täiustamine ___________________________________________ 19

10.1 Infoturbeprotsessi täiustamisest üldiselt _____________________________________ 19

10.2 Sõltumatu läbivaatus ____________________________________________________ 19

11 E-ITS auditeerimine ____________________________________________________ 20

12 Lisateave _____________________________________________________________ 21

3

1 Sissejuhatus Eesti infoturbestandard (edaspidi standard või E-ITS) on eestikeelne ja Eesti õigusruumile vastav alus infoturbe käsitlemiseks. E-ITSi aluseks on Saksa päritolu BSI IT-Grundschutz etalonturbe meetod. E-ITSi koostamisel on arvestatud vajadusega saavutada vastavus standardi ISO/IEC 27001 nõuetega.

1.1 Käsitlusala

Dokument „E-ITS Nõuded infoturbe halduse süsteemile” esitab nõuded ning juhised organisatsiooni infoturbe halduse süsteemi (ingl Information Security Management System, ISMS) rajamiseks, evitamiseks, käigushoiuks ja täiustamiseks.

E-ITSile vastavuse saavutamiseks tuleb täita jaotistes 5–10 esitatud nõuded.

E-ITSiga ei korraldata riigisaladuse ega salastatud välisteabe turvet.

1.2 Sihtgrupp

ISMSi nõuete dokumendi peamised sihtgrupid on:

• standardi evitajad: infoturbejuhid, äriprotsessijuhid, üksuste juhid, IT-töötajad;

• audiitorid;

• konsultandid.

Standardi osi saab kasutada käsiraamatuna IT-süsteemide arenduses, halduses või õppeprotsessides.

1.3 Normiviited

Dokumendi lahutamatu osa on E-ITSi etalonturbe kataloog, millesse on koondatud parimad tavad infoturbeprotsessi loomiseks ja käigushoidmiseks.

4

2 Kasutatud terminid Mõistepesade kaupa on esitatud E-ITSis kasutatud terminite ja lühendite vasted, mis hõlbustavad kasutajal dokumendis orienteerumist.

Tabel 1. Terminite selgitused

Nr Termin või lühend

Lähtekeeles (inglise või

saksa)

Lühike definitsioon

1 konfidentsiaalsus confidentiality teabe kättesaamatus või paljastamatus volitamata isikutele, olemitele või protsessidele

Üks kolmest infoturbe põhikomponendist, märgitakse tähega C lühendis C-I-A.

2 terviklus integrity teabe õigsus ja täielikkus, lubamatute muudatuste puudumine, hõlmab ka autentsust ja salgamatust

Üks kolmest infoturbe põhikomponendist, märgitakse tähega I lühendis C-I-A.

3 käideldavus availability teabe omadus olla volitatud olemi nõudel õigel ajal kättesaadav ja kasutuskõlblik

Üks kolmest infoturbe põhikomponendist, märgitakse tähega A lühendis C-I-A.

4 kahju loss soovimatu muutuse mõõt, riskianalüüsi aluskomponent, esmane infoturbevajadust otsustav tegur

5 alusohud ingliskeelne termin puudub

standardi väljatöötaja poolt riskide kaalutlemisel kasutatud ohud; etalonturbe meetmete koostamise alus

6 risk risk ohu võime tekitada organisatsioonile kahju

7 ISMS

infoturbe halduse süsteem

Information Security Management System

süsteem, mis koosneb poliitikatest, protseduuridest, juhistest ning nendega seotud ressurssidest ja tegevustest, mida organisatsioon kollektiivselt haldab, et kaitsta oma infovarasid

ISMS on suunatud ärieesmärkide saavutamisele ning kujutab endast süstemaatilist lähenemist infoturbe rajamisele, käigushoiule, seirele, hooldamisele ja täiustamisele. See põhineb riski kaalutlemisel ja selle aktsepteerimisel tasemetele, mis tagavad riskide toimiva käsitluse ja halduse.

8 infoturvapoliitika information security policy

organisatsiooni keskne infoturbealane dokument, mis sätestab arengusuunad ja taotletavad sihid, määrab lubatu ja lubamatu

9 käsitlusala scope ISMSi kontekstis: organisatsiooni kaitstavad elemendid, nagu taristu, töö korraldus, personal, tehnilised komponendid

10 kaitseala* Informations- verbund (saksa)

turbekontseptsiooni koostamise ja rakendamise käsitlusala

Organisatsioon liigitab kaitsealasse kogumi sihtobjekte, mida turbeprotsess hakkab edaspidi kaitsma.

11 sihtobjekt* Zielobjekt (saksa)

kaitseala allosa – igasugune infosüsteemi kuuluv kaitsetarbega vara, nagu äriprotsess, rakendus, IT-lahenduse komponent, komponendirühm, hoone, kinnistu, allüksus.

Sihtobjektile vastendatakse etalonmoodul(id).

12 protsess process omavahel seotud või interakteeruvate tegevuste kogum, mis muundab lähtematerjali tulemiteks

5

13 äriprotsess business process

organisatsiooni tegevuse element, mingi eesmärgi saavutamisele suunatud tegevuste, toimingute või protseduuride kogum

Äriprotsessi tulemusena võidakse luua sise- või väliskliendile väärtust toodete või teenustena.

14 kaitsetarve protection requirement (ingl), Schutzbedarf (saksa)

vara väärtusest tulenev vajadus seda kaitsta

Kaitsetarve on andmete ja teabe vajadus kaitsta neid kahju eest, mille võib tekitada konfidentsiaalsuse, tervikluse või käideldavuse või kõigi kolme rikkumine.

E-ITSi kontekstis laieneb kaitsetarve ka äriprotsessile, mille korral hinnatakse kaitsetarvet, lähtudes kahjustsenaariumitest (nt õigusaktide, eeskirjade või lepingute rikkumine; teabelise enesemääramisõiguse rikkumine; isiku füüsilise puutumatuse rikkumine; ülesannete täitmise võime kahjustamine; negatiivsed sisemised või välised toimed; rahalised tagajärjed).

Kaitsetarvet väljendatakse kolmeastmelises skaalas: „normaalne“, „suur“ või „väga suur“. Kuna kaitsetarbe määramine on organisatsiooni riskihalduse osa, siis riskihalduse metoodikas määratleb organisatsioon ise kaitsetarbe kahjustsenaariumid ja täpsustab skaalat enda kontekstist ja tegelikest potentsiaalsetest mõjudest lähtuvalt.

15 normaalne kaitsetarve

kaitsetarbe skaala määrang, kus võimaliku kahjustuse toime on piiratud ja ohjatav Sellise kaitsetarbe korral on etalonturbe meetmed asjakohased ja nende rakendamisest üldjuhul piisab.

16 suur kaitsetarve kaitsetarbe skaala määrang, kus võimaliku kahjustuse toimed võivad olla tõsised Sellise kaitsetarbe korral ei pruugi etalonturbe meetmetest alati piisata. Tuleb läbida etalonturbe väline riskianalüüs ja vajaduse korral määrata lisaturvameetmed.

17 väga suur kaitsetarve

kaitsetarbe skaala määrang, kus kahjustuse toimed võivad ulatuda katastroofilise tasemeni, ähvardades organisatsiooni olemasolu või ülesannete täitmise täielikku katkemist

Sellise kaitsetarbe korral ei piisa etalonturbe meetmetest kindlasti. Riskianalüüs on kohustuslik, konkreetsele ohule eraldi tuleb määrata asjakohased turvameetmed.

18 meetme teostatuse määr

– märge infoturbe meetmete rakendusplaanis, mis väljendab meetme käsitlusviisi ja teostuse hetkestaatust

19 turbeviis meetod E-ITSi standardil põhineva infoturbe halduse süsteemi rajamiseks

Turbeviisi valikul lähtutakse regulatsioonidest (lähtudes õigusaktidest, asjakohasest eeskirjadest ja standarditest) ja kaitsetarbest, aga ka organisatsiooni infoturbe küpsusest.

Organisatsioonil on võimalik valida turbeviisiks:

a) põhiturve, kui kaitsetarve on normaalne. Põhiturbe rakendamine on eelduseks standardturbe rakendamisele;

b) standardturve, kui kaitsetarve on suur või väga suur;

c) tuumikuturve kaitseala osale, kus kaitsetarve on suur või väga suur, ent kogu organisatsioonile pole võimalik standardturvet rakendada.

20 teave – teadmus inimesele sobival kujul inimsuhtluses

6

Eesti keel eristab teavet informatsioonist kui teadmuse masinale sobivast kujust (inglise keeles vahet teha ei saa). Seejuures puudub andmetel kontekst ja tähendus, teabel ja informatsioonil on see olemas.

21 infoturbe meetmete rakendusplaan (IMR)

– dokument, milles loetletakse ja kirjeldatakse infoturbe halduse süsteemile kohaldatavaid turvameetmeid, põhjendatakse meetmete teostamise valikuid ning määratakse vastutajad ja tähtajad

22 vastutaja responsibility, responsible (ingl)

E-ITSi tähenduses roll, mille täitjale on parimate tavade kohaselt määratud infoturbe meetmete rakendamise ülesanne.

E-ITSis kasutatakse terminit „vastutaja“, sealhulgas ka terminit „lisavastutaja“ meetme rakendamisel, et tööülesannete jagamisel siduda rolli vastutus soovitusliku ametikoha nimetusega organisatsioonis.

* etalonturbe spetsiifiline mõiste

7

3 Jaotiste lühiülevaade Jaotises 4 kirjeldatakse E-ITSi standardit ning selgitatakse selle suhet riskihaldusega ja standardiga ISO/IEC 27001. Lisaks esitatakse infoturbe halduse süsteemi lühikirjeldus.

Jaotises 5 esitatakse nõuded infoturbeprotsessi tsükli igakordsele algatamisele ja juhtkonna kohustumusele.

Jaotises 6 esitatakse nõuded infoturbe protsessi kavandamisele ja plaanimisele ning selle korraldamise struktuuridele.

Jaotises 7 esitatakse nõuded infoturbe halduse süsteemi riskihaldusele, sh etalonturbe modelleerimisele ja täiendavale välisele riskihaldusele.

Jaotises 8 esitatakse nõuded riskihalduse abil väljaselgitatud meetmete rakendamisele.

Jaotises 9 esitakse nõuded infoturbeprotsessi pidevaks käigushoidmiseks.

Jaotises 10 esitatakse nõuded infoturbe protsessi täiustamiseks ja sõltumatu läbivaatuse korraldamiseks.

Jaotises 11 kirjeldatakse võimalusi infoturbe halduse süsteemi toimimisele välise kinnituse saamiseks – auditeerimist.

Jaotis 12 loetleb viited rakendaja jaoks vajalikule lisateabele.

8

4 E-ITSi olemus E-ITSi eesmärk on tagada avalike ülesannete täitmiseks kasutatavate äriprotsesside ja infosüsteemide kõikehõlmav kaitse ning saavutada infoturbe ühtlane tase nende kõigis osades kogu elutsükli jooksul.

E-ITSi haldab Riigi Infosüsteemi Amet. E-ITS on eestikeelne. E-ITS vaadatakse läbi ja uuendatakse üks kord aastas. E-ITSil on riiklik tugi ja kooskõla teiste Eesti õigusaktidega.

E-ITSi põhimeetod on BSI IT-Grundschutz päritolu etalonturve. E-ITSi lähenemine infoturbele põhineb tegevusriskide haldamisel.

E-ITSi etalonturve lõimituna riskihaldusega

Toimingud jagunevad kaheks:

1. Äriprotsesside toimimiseks vajalikud sihtobjektid seatakse vastavusse etalonmoodulitega, mille tulemusel tüüpsete ohtude riskikäsitlus toimub tüüpmeetmete rakendamisega. Sellega saavutatakse toimiv turbehaldus enamikus organisatsiooni äriprotsessides.

2. Äriprotsesside toimimiseks vajalike ebatüüpsete1 etalonturbesse sobimatute või normaalselt kõrgema kaitsetarbega sihtobjektide osas sooritatakse etalonturbe väline riskianalüüs täiemahulise riskihalduse abil. Kasutatava metoodika kinnitab organisatsiooni juhtkond. Ebatüüpsetele sihtobjektidele rakendatakse infoturbe meetmeid vastavalt etalonturbe välise riskihalduse tulemustele.

E-ITSi rakendatust tõendatakse välisaudiitori hinnanguga. Auditeerimise vajadus võib tuleneda õigusaktis, valdkonna standardis või lepingus sätestatud kohustusest. Auditeerida võib ka organisatsiooni enda soovil.

E-ITSi rakendamisega standardturbe ulatuses saavutatakse vastavus rahvusvahelise standardiga ISO/IEC 27001. See vastavus võimaldab E-ITSi rakendajatel oma kaitsealale taotleda rahvusvahelist tunnustamist ISO/IEC 27001 sertifikaadiga. Siinjuures, ISO/IEC 27001 vastavussertifikaat ilma E-ITSi rakendusplaanita E-ITSi rakendatust ei kinnita.

4.1 Infoturbe halduse süsteem

Infoturbe halduse süsteem (ingl Information Security Management System, ISMS) on organisatsiooni juhtimise osa, mis tegeleb infoturbe rajamise, evitamise, käigushoiu ja pideva täiustamisega.

ISMS hõlmab:

• organisatsiooni struktuuri, protsesse, protseduure ja tavasid;

• poliitikaid ja plaanimistegevusi;

• kohustusi;

• ressursse ja varasid.

1 Ebatüüpne ja vahetut riskikäsitlust nõudev sihtobjekt on vähemalt üks järgmistest: a) sihtobjekti

kaitsetarve osutub infoturbe ühe või enama põhikomponendi (C-I-A) osas suureks või väga suureks; b) sihtobjekti ei õnnestu vastendada ühegagi olemasolevatest moodulitest, enamasti uudsuse või erilisuse tõttu; c) sihtobjekti kasutusviis erineb etalonmoodulis kirjeldatust.

9

Infoturbe halduse süsteemi protsesse ja sooritatavaid tegevusi kujutab

Joonis 1. ISMSi tegevusi sooritatakse vajadusel paralleelselt. Infoturbe täiustamise käigus naastakse iga kord protsessi algusesse. Infoturbe kontseptsiooni koostamisel lähtutakse E- ITSi etalonturbe kataloogi meetmetest ja vajadusel etalonturbe välisest riskihalduse käigus tuvastatud riskikäsitlusmeetmetest.

ISMSi teostusjuhised on esitatud E-ITSi etalonturbe kataloogis, moodulis ISMS.1 „Turbehaldus”.

Joonis 1. ISMS-i käivitamise ja uuendamise tegevused

10

5 Infoturbeprotsessist üldiselt

5.1 Infoturbeprotsessi algatamisest üldiselt

5.1.1 Infoturve lähtub organisatsiooni eesmärkidest ja tegutsemisviisidest. Infoturbe eestvedaja (ingl leadership) on organisatsiooni struktuuris kõrgeim juhtimistasand ehk tippjuhtkond. Infoturbeprotsessi algatab tippjuhtkond ja nimetab infoturbejuhi rolli täitja. Infoturbejuht korraldab organisatsiooni infoturbetegevust. Infoturbejuhi nimetamata jätmise korral täidab seda rolli juhtkond.

5.1.2 Infoturve keskendub teabe ja sellest sõltuvate äriprotsesside kaitsmisele ning sellest tulenevalt infotöötluse või infotehnoloogia kaitsmisele. Seetõttu kirjeldab organisatsioon esmalt äriprotsessid ja alles siis võtab arvele oma äriprotsessidega seotud varad ja määrab kaitseala koos sihtobjektidega.

5.2 Tippjuhtkonna kohustumus

5.2.1 Kuna organisatsiooni äriprotsesside toimimise eest vastutab tippjuhtkond, siis tippjuhtkond vastutab ka äriprotsesse ohustavate sündmuste käsitlemise, sh infoturbe halduse eest. Infoturbealase vastutuse võtmist tippjuhtkonnas nimetatakse juhtkonna kohustumuseks (ingl commitment).

5.2.2 Tippjuhtkonna kaasatus tagab infoturbe lõimitusse kaitseala kõigisse protsessidesse ja infoturbe jätkusuutlikkuse. Tippjuhtkond vastutab infoturbe elluviimise, käigushoidmise ja täiendamise eest. Selleks määrab juhtkond turbealased õigused ja kohustused ning eraldab ressursid.

5.2.3 Tippjuhtkond peab saama infoturbe kohta regulaarselt, õigeaegselt ja sobivas ulatuses järgmist teavet:

a) organisatsiooni ja selle teabe turvariskid ning nendega seotud toimed ja kulud;

b) turvaintsidentide toime äriprotsessidele;

c) regulatsioonidest (nt õigusaktid, eeskirjad, standardid) ja lepingutest tulenevad turvanõuded;

d) tegevusalale tüüpilised infoturbe protseduurid;

e) infoturbe hetkeseis ja sellest tulenevad tegevussoovitused (infoturbe meetmete rakendusplaan);

f) infoturbeprotsessi täiendusettepanekud (sh sõltumatu läbivaatuse ja auditeerimise tulemid);

g) huvipooltega seotud kohustused ja tagasiside.

5.2.4 Infoturbealaseid tegevusi plaanib ja koordineerib infoturbejuht.

5.2.5 Äriprotsessi infoturbe meetmete rakendamist korraldab protsessijuht. Rakendatav infoturve peab olema normaalse tööprotsessi osa ning olema kooskõlas töö eesmärkidega.

5.2.6 Infoturbeprotsessi peavad olema kaasatud kõik töötajad. Töötajate motiveerimiseks ja koolitamiseks kaasatakse ISMSi rakendamisse personaliosakond ja protsessijuhid.

11

6 Infoturbeprotsessi kavandamine ja plaanimine

6.1 Infoturvapoliitika

6.1.1 Infoturvapoliitika on organisatsiooni infoturbe juhtdokument, milles esitatakse infoturbealane kohustumus ning sõnastatakse organisatsiooni infoturbe sihid (ingl goal), vajadused ja põhimõtted (ingl principle). Infoturvapoliitika põhimõtteid kasutatakse organisatsiooni väärtuste kaitseks.

6.1.2 Organisatsiooni kaitstavad väärtused tuletatakse üldisest keskkonnast ja organisatsiooni põhieesmärkidest. Põhieesmärgid tulenevad ettevõtte puhul ärieesmärkidest, avaliku sektori asutuse puhul põhikirjast või põhimäärusest.

6.1.3 Organisatsiooni väärtustena võetakse arvesse vähemalt järgmist:

a) toimingute, sealhulgas teabekäitluse kõrge usaldatavus (käideldavus, terviklus, konfidentsiaalsus jne);

b) organisatsioonisisene ja -väline hea maine;

c) investeering tehnoloogiasse, teabesse, tööprotsessidesse ja teadmusse;

d) töödeldav informatsioon (selle suur või korvamatu väärtus vajab kaitset, sh isikuandmed);

e) regulatsioonide (õigusaktide, eeskirjade, standardite) ja lepingute nõuete täitmine;

f) inimeste füüsiline ja vaimne heaolu.

6.1.4 Organisatsiooni infoturvapoliitika koostamisel arvestatakse:

a) organisatsiooni eesmärke ja strateegiat;

b) organisatsiooni struktuuri;

c) organisatsiooni olemasolevaid haldussüsteeme, nt kvaliteedihaldus, riskihaldus, keskkonnahaldus;

d) õigusalaseid raamtingimusi, sh kohalikud ja rahvusvahelised õigusaktid, valdkondlikud määrused;

e) klientide, tarnijate, partnerite jt huvipoolte nõudeid;

f) tegevusala turvastandardeid ja -praktikaid.

6.1.5 Infoturvapoliitika sisaldab infoturvaeesmärke või loob raami infoturvaeesmärkide püstitamiseks.

6.1.6 Infoturvapoliitika kinnitab juhtkond. Infoturvapoliitika tehakse teatavaks töötajatele ja vajaduse korral teistele huvipooltele.

6.1.7 Organisatsioon vaatab infoturvapoliitika perioodiliselt või oluliste muutuste korral üle ja ajakohastab vajadusel.

12

Joonis 2 esitab infoturvapoliitika põhilised elemendid.

6.2 Infoturvaeesmärgid

6.2.1 Infoturvaeesmärgid (ingl security objective) lähtuvad infoturbe tähtsusest organisatsioonile, on realistlikud, praktilised (seotud toimingutega), põhjendatud, arusaadavad ja võimaluse korral mõõdetavad. Infoturvaeesmärkidele on määratud eesmärgi saavutamise tähtaeg.

6.2.2 Organisatsioon kasutab infoturvaeesmärkide sõnastamisel järgmist teavet:

a) äriprotsessid, protsessijuhid, protsesside kirjeldus ja äriprotsesside seosed organisatsiooni eesmärkidega;

b) äriprotsesside omavahelised seosed ja sõltuvused;

c) äriprotsessidega seotud varad ja kaitstavad sihtobjektid;

d) äriprotsesside ja alusteabe kaitsetarvet konfidentsiaalsuse, tervikluse ja käideldavuse ning vajadusel teiste infoturbe komponentide kohta;

e) organisatsiooni tegevusriskid, nt turu hetkeseis, konkurentsiolukord, geopoliitiline olukord ja muud turuspetsiifilised sõltuvused;

f) olemasolev infoturbedokumentatsioon.

6.2.3 Eelnimetatud teabe kogumiseks organisatsioon:

a) kirjeldab äriprotsessid ja võtab arvele varad;

b) määrab organisatsiooni infoturbe kaitseala ja sihtobjektid;

c) valib etalonturbe korral turbeviisi (põhi-, standard-, tuumikuturve);

d) määrab sihtobjektide kaitsetarbe skaalal „normaalne“, „suur“, „väga suur“;

e) dokumenteerib infoturvaeesmärgid ja määrab eesmärkide saavutamise ajaraamid.

6.2.4 Organisatsioon sõnastab infoturvaeesmärgid, vaatab neid regulaarselt läbi ja vajadusel ajakohastab.

Joonis 2. Infoturvapoliitika põhilised elemendid

13

6.3 Infoturbeprotsessi korraldus

6.3.1 Infoturbeprotsessi rakendamiseks ja edendamiseks loob organisatsioon turbekorraldus- ja teavitusstruktuuri.

6.3.2 Infoturbe korraldusstruktuuriga määrab juhtkond:

a) rollid ja vajadusel rollipädevusnõuded;

b) rollide täitjad;

c) volitused ja vastutusalad.

6.3.3 Organisatsioon tagab rollitäitjate pädevuse ja vajalike pädevustõendite säilitamise.

6.3.4 Organisatsioon tuvastab sisemised ja välised infoturbealase teavituse vajadused ning määrab teavitusviisid, osalevad rollid jm tingimused.

6.3.5 Turbekorraldus tehakse töötajatele teatavaks.

Joonis 3. Infoturbe korraldusstruktuuri näidis

NÄIDE. Joonisel 3 on kujutatud üht võimalust, kuidas infoturbealane töö organisatsioonis korraldada. Igal äriprotsessil on protsessijuht. IT-koordineerimiskomisjon on korralduslik foorum, kus arutatakse IT-teenuste ja infoturbeaspektidega seonduvat. IT-turbejuht on nõutud vaid suurtes organisatsioonides, kus infoturbealase töö koordineerimine vajab eristamist IT-lahenduste turvastrateegiate täideviimisest. Halli värviga on märgitud elemendid, mida väiksem organisatsioon ei pruugi vajada.

6.4 Infoturbealane koolitus

6.4.1 Vastavuses infoturvapoliitika eesmärkidega tagab organisatsioon kõikide töötajate vajaliku infoturbealase pädevuse ja pädevuse uuendamise.

6.4.2 Regulaarsete infoturvet käsitlevate koolituste eesmärk on motiveerida töötajaid järgima infoturvanõudeid, käsitlema teavet ja töövahendeid korrektselt, vältima riskikäitumist ja asjakohaselt reageerima infoturbeintsidentidele.

6.5 Ressursside eraldamine

Juhtkond eraldab rahalised ja mitterahalised ressursid infoturbeprotsessi elluviimiseks. Juhtkond aktsepteerib töötajate põhitööga kaasnevaid infoturbekohustusi.

14

6.6 Juhtkonna kinnitus

Juhtkond kinnitab infoturvapoliitika, turvaeesmärgid ja infoturbele ressursside eraldamise.

6.7 Infoturbeprotsessi dokumenteerimine

6.7.1 Dokumenteerimise abil tagatakse infoturbeprotsessi jätkusuutlikkus ja jälgitavus. Dokumendid tuleb koostada taasesitamist ja ajakohastamist võimaldavas vormis ning versioonihaldusega kaetud viisil. Tuleb tagada, et käibelt on kõrvaldatud vananenud dokumendid ja versioonid.

6.7.2 Organisatsioon kehtestab dokumentide koostamise, vormistamise ja hoidmise reeglid.

6.7.3 Poliitikad ja eeskirjad vaadatakse üle vähemalt üks kord aastas ning muudatused kinnitab juhtkond. Korrad ja protseduurijuhendid hoitakse tegelike protsessidega kooskõlas.

6.7.4 Organisatsioon loob ja säilitab tegevusdokumentatsiooni, mis tekib või luuakse infoturbeprotsessi käigus.

6.7.5 Dokumenteeritakse:

a) infoturbeprotsessi alusdokumendid ja nende väljatöötamise kulg konteksti jäädvustamiseks,

b) otsused, sh infoturbe meetmete rakendusplaan, et tagada otsuste ja meetmete rakendamise käigu jälitatavus (ingl traceability),

c) infoturbesündmused sisendiks riskihaldusse infoturbe täiustamiseks,

d) organisatsiooni reaktsioon sündmustele ja otsustele, et näidata parandusmeetmete toimivust,

e) muu teave, mida organisatsioon ise peab vajalikuks säilitada infoturbe halduse toimivuse huvides.

6.7.6 Infoturbeprotsessi dokumentatsioon on volitatuile kättesaadav ja kaitstud kõrvalise juurdepääsu eest.

15

7 Infoturbeprotsessi riskihaldus

7.1 Riskihaldusest üldiselt

7.1.1 Etalonturbe kontseptsioon lähtub põhimõttest, et infoturvaohud ja kaitstavad varad on erinevate organisatsioonide puhul tüüpsed. E-ITSi etalonturbe kataloog esitab moodulitesse koondatud eelanalüüsitud meetmekomplektid, mis katavad tüüpsete sihtobjektide riskihalduse ja infoturvavajadused. Tervikliku turbe saavutamiseks rakendatakse ebatüüpsetele ja kõrgendatud kaitsetarbega („suur“ ja „väga suur“) sihtobjektidele etalonturbe välist riskihaldust.

7.1.2 Organisatsioon määrab kaitsetarbe määramise põhimõtted, sh organisatsioonile kohandatud kahjustsenaariumid, riski aktsepteerimise kriteeriumid, kaitsetarbe komponendid (vähemalt konfidentsiaalsus, terviklus, käideldavus ehk C-I-A) ja täpsustab kaitsetarbe määramise skaala, lähtudes organisatsiooni eripäradest.

7.1.3 Kaitsealasse kuuluvate sihtobjektide kaitsetarve tuvastatakse ja dokumenteeritakse, sh määratakse kaitsetarve väljast tellitavatele teenustele (tarneahel).

7.1.4 Riskihalduse käik ja tuvastatud või määratud meetmete rakendamise otsused dokumenteeritakse korratavuse ja võrreldavuse eesmärgil.

7.2 Etalonturbe modelleerimine

7.2.1 Organisatsioon vastendab kaitsealasse kuuluva iga sihtobjekti etalonturbe kataloogi ühe või mitme mooduliga. Moodulite rakendamise järjekord määratakse lähtuvalt organisatsiooni infoturvapoliitikast ja reaalsetest vajadustest.

7.2.2 Moodulist sihtobjekti turvameetmete tuvastamisel arvestatakse:

a) turbeviisi (põhiturve, standardturve või tuumikuturve);

b) sihtobjekti kaitsetarvet;

c) meetme seost infoturbeprotsessi ja sihtobjekti elutsükliga.

7.2.3 Etalonturbe kataloogi protsessimoodulrühmade kõik moodulid kaasatakse rakendusplaani. Mooduli käsitlemata jätmine peab olema põhjendatud.

7.2.4 Süsteemimoodulid rakendatakse vastavuses kaitseala määratlusega.

7.2.5 Kui organisatsioon on normaalse kaitsetarbe korral valinud turbeviisiks põhiturbe, tuleb etalonturbe meetmete rakendamisel tagada esmajärjekorras põhimeetmete rakendamine. Pideva infoturbe täiendamise protsessi eesmärk on standardturbe rakendamine. Väljajätud põhiturbest tuleb põhjendada, lähtudes eelkõige riskide aktsepteerimise kriteeriumitest.

7.2.6 Standardturbe puhul rakendatakse lisaks esmajärjekorras rakendatud põhimeetmetele ka standardmeetmed ja veendutakse etalonturbe välise riskihaldusega etalonturbe meetmete piisavuses. Vajadusel rakendatakse olenevalt kaitsetarbest kõrgmeetmed ja etalonturbe välised lisameetmed. Väljajätud põhimeetmetest ja standardmeetmetest põhjendatakse, lähtudes eelkõige riskide aktsepteerimise kriteeriumitest.

16

7.3 Etalonturbe väline riskihaldus

7.3.1 Organisatsioon suunab etalonturbe välisesse riskihaldusse sihtobjektid, mille jaoks puudub etalonturbe kataloogis sobiv moodul. Lisaks suunatakse välisesse riskihaldusse sihtobjektid, mille puhul on täidetud üks järgmistest tingimustest:

a) kaitsetarve on suur või väga suur;

b) kaitsetarve on määramata või ebaselge;

c) kasutusviisid ei ole vastavuses etalonturbe kataloogi moodulite kirjeldustega;

d) etalonturbe kataloogi meetmed osutuvad turvaeesmärkide täitmisel puudulikuks (jääkrisk pole aktsepteeritav);

e) kui sihtobjektist sõltub samaaegselt mitme organisatsiooni jaoks olulise äriprotsessi toimimine.

7.3.2 Organisatsioon määrab etalonturbe välise riskihalduse protsessi. Riskihalduse asjaolud, kulg ja tulemused dokumenteeritakse.

7.3.3 Etalonturbe väline riskihaldus määrab sihtobjektidele lisaturvameetmeid, lähtudes sihtobjekti kaitsetarbest ja infoturvaeesmärkidest.

17

8 Infoturvameetmete rakendamine 8.1 Tehnilised meetmed rakendatakse kõigile kaitseala sihtobjektidele.

8.2 Organisatsioonilised meetmed lõimitakse organisatsiooni kõigisse protsessidesse.

8.3 Meetmete rakendamise eest vastutab vastava protsessi juht või etalonturbe kataloogis nimetatud vastutaja rolli täitja. Rakendamist koordineerib ja nõustab infoturbejuht.

8.4 Organisatsioon hindab tuvastatud ja määratud meetmete:

a) ressursside ühekordseid ja korduvaid kulusid;

b) sobivust, teostatavust, piisavust, võimalikku toime efektiivsust ja meetmete omavahelisi mõjusid.

8.5 Infoturvaeesmärkide järgi määrab organisatsioon eelnevalt tuvastatud info põhjal infoturbe meetmete rakendusplaanis (IMR) vähemalt:

a) rakendatavad turvameetmed koos nimetuse ja identifikaatoritega, sh etalonturbe välise riskihalduse käigus määratud lisameetmed;

b) meetme teostatuse määra;

c) meetme rakendamise puhul selgitus ajakohase ülevaate ja hilisema jälitatavuse eesmärgil, kuidas meede on organisatsioonis rakendatud; meetme mitterakendamisel selle kohaldamata jätmise põhjendus; meetme osalise rakendamise puhul täpsustav selgitus, milliste äriprotsesside, varade või alammeetme osas on meede täitmata.

d) meetme rakendamise eest vastutajad;

e) meetmete rakendamise või meetme järgmise sisulise ülevaatuse tähtajad.

8.6 Organisatsiooni juhtkond teadvustab ja aktsepteerib regulaarselt jääkriskid ning nende alusel kinnitab rakendusplaani.

8.7 Meetmed rakendatakse vastavalt rakendusplaanile.

8.8 Organisatsioon tagab meetmetes kirjeldatud korduvate ja regulaarsete tegevuste tõendatavuse, võrreldavuse, järjepidevuse ja õigeaegsuse.

18

9 Infoturbe käigushoid 9.1 Organisatsioon tagab infoturbeprotsessi ning -turvameetmete pideva ja jätkusuutliku

toimimise. Jälgitakse ja mõõdetakse:

a) infoturvaeesmärkide saavutatust ja -meetmete sobivust ning tõhusust;

b) ressursside kasutamist.

9.2 Organisatsioon reageerib muutustele organisatsiooni eesmärkides, regulatsioonide nõuetes ja lepingulistes kohustustes ning ümbritsevas infoturbeolukorras. Protsessijuhid tagavad infoturvet puudutava teabe õigeaegse edastamise asjakohaste rollide täitjatele.

9.3 Seiratakse protsesside ja süsteemide töö käigus tekkinud teavet. Olulistele infoturbe sündmustele reageeritakse ja need registreeritakse.

9.4 Seire, ülevaatuste ja kontrollide dokumenteeritud tulemusi ja järeldusi kasutab organisatsioon riskihalduses ettepanekute koostamiseks infoturbeprotsessi ja - meetmete täiustamiseks ning muutmiseks.

9.5 Infoturbeprotsessi käigus ilmnenud asjaoludest ja nende muutumisest teavitatakse vajalikus ulatuses:

a) organisatsiooni juhtkonda,

b) määratud rollide täitjaid,

c) organisatsiooni töötajaid,

d) teisi huvipooli.

19

10 Infoturbeprotsessi täiustamine

10.1 Infoturbeprotsessi täiustamisest üldiselt

10.1.1 Organisatsioon kontrollib perioodiliselt infoturbeprotsessi, infoturvapoliitika ja infoturvaeesmärkide sobivust ja asjakohasust.

10.1.2 Infoturbeprotsessi täiustamise põhjused on muu hulgas järgmised:

a) organisatsiooni eesmärkide ja nõuete muutused;

b) infoturvapoliitika ja infoturvaeesmärkide muutused;

c) turvaolukorra muutused;

d) regulatsioonide ja standardite muutused;

e) kaitseala ja kaitsetarbe olulised muutused;

f) infoturbeprotsessi käigus ilmnenud asjaolud, sh intsidentide, läbivaatuste, auditeerimiste järeldused ja ettepanekud.

10.1.3 Organisatsiooni juhtkond teeb otsused infoturbe täiustamiseks, tuginedes punktis 5.2.3 nimetatud teabele.

10.2 Sõltumatu läbivaatus

10.2.1 Organisatsioon korraldab regulaarselt infoturbeprotsessi tulemite ja seisundi sõltumatu läbivaatuse. Sõltumatuks läbivaatuseks võib olla käsitlusala hõlmav siseaudit.

10.2.2 Sõltumatul läbivaatusel hinnatakse organisatsiooni infoturbehalduse vastavust:

a) siinse dokumendiga;

b) organisatsiooni infoturvapoliitikaga.

10.2.3 Sõltumatu läbivaatuse elluviijaks on vastavalt infoturvapoliitikale kas siseaudiitor, siseaudiitori rollitäitja (nt välisaudiitor) või käsitlusala suhtes asjakohase pädevusega sõltumatu töötaja. Läbivaatusel välditakse kontrollija ja rakendaja rollide huvikonflikti.

10.2.4 Organisatsioon määrab sõltumatu läbivaatuse käsitlusala ja eesmärgid. Läbivaatuse elluviimisel arvestatakse:

a) organisatsiooni eesmärke;

b) regulatsioonide nõudeid ja lepingulisi kohustusi;

c) organisatsiooni infoturvapoliitikat ja -eesmärke;

d) varasemate läbivaatuste tulemusi.

10.2.5 Läbivaatuse tulemused ja ettepanekud dokumenteeritakse täiustamise ja jälitatavuse eesmärgil. Tulemusi arvestatakse organisatsiooni protsesside täiustamisel.

20

11 E-ITS auditeerimine 11.1 Auditeerimine viiakse läbi vastavalt E-ITSi auditeerimisjuhendile.

11.2 E-ITSi rakendatust auditeeritakse:

a) kohustuslikult – regulatsioonidest lähtuvalt või

b) lepingukohustuse täitmiseks või

c) vabatahtlikult – vastavalt organisatsiooni eesmärkidele ja infoturvapoliitikale.

11.3 E-ITSi auditeerimise nõuded, sh elluviija (välisaudiitori pädevus), sageduse jm, tulenevad regulatsioonidest.

11.4 Audiitori hinnang on tõend organisatsiooni infoturbe toimivuse kohta.

21

12 Lisateave Järgmistest allikatest leiab abi infoturbeprotsessi korraldamiseks.

E-ITSi

Etalonturbe kataloog

Auditeerimisjuhend

Rakendusjuhend

Riskihaldusjuhend

Alusohtude kataloog

Seletav sõnaraamat

ISO/IEC 27001:2023

BSI IT Grundschutz – https://www.bsi.bund.de/EN/Topics/ITGrundschutz/itgrundschutz_node.html

Majandus- ja infotehnoloogiaministri ………… . a määrus nr …

„Ettevõtlus- ja infotehnoloogiaministri

16. detsembri 2022 määruse

nr 101 „Eesti infoturbestandard“ muutmine“

Lisa 2

Eesti infoturbestandard

Etalonturbe kataloog

E-ITS MOODULITE SISUKORD ISMS.1 Turbehaldus...................................................................................................................5

ORP.1 Infoturbe korraldus........................................................................................................13

ORP.2 Personal.........................................................................................................................16

ORP.3 Infoturbe teadlikkuse tõstmine ja koolitus....................................................................20

ORP.4 Identiteedi- ja õiguste haldus........................................................................................25

ORP.5 Vastavusehaldus (nõuete haldus)..................................................................................31

CON.1 Krüptokontseptsioon....................................................................................................34

CON.2 Isikuandmete kaitse......................................................................................................39

CON.3 Andmevarunduse kontseptsioon..................................................................................50

CON.6 Andmete kustutus ja hävitamine..................................................................................57

CON.7 Välislähetuste infoturve...............................................................................................61

CON.8 Tarkvaraarendus...........................................................................................................67

CON.9 Teabevahetus................................................................................................................74

CON.10 Veebirakenduste arendus............................................................................................78

OPS.1.1.1 IT-haldus üldiselt.....................................................................................................84

OPS.1.1.2 IT-süsteemide haldus...............................................................................................93

OPS.1.1.3 Paiga- ja muudatusehaldus......................................................................................99

OPS.1.1.4 Kaitse kahjurprogrammide eest............................................................................104

OPS.1.1.5 Logimine...............................................................................................................108

OPS.1.1.6 Tarkvara testimine ja kasutuselevõtt.....................................................................112

OPS.1.1.7 Süsteemihaldus......................................................................................................116

OPS.1.2.2 Arhiveerimine.......................................................................................................124

OPS.1.2.4 Kaugtöö.................................................................................................................131

OPS.1.2.5 Kaughooldus.........................................................................................................135

OPS.1.2.6 Kellade sünkroniseerimine NTP-serveriga...........................................................141

OPS.2.2 Pilvteenuste kasutamine...........................................................................................145

OPS.2.3 Väljasttellimine........................................................................................................152

OPS.3.2 Teenuseandja infoturve............................................................................................160

DER.1 Turvaintsidentide avastamine.....................................................................................167

DER.2.1 Turvaintsidentide käsitlus........................................................................................172

DER.2.2 IT-kriminalistika võimaldamine..............................................................................178

DER.2.3 Ulatuslike turvaintsidentide lahendamine...............................................................182

DER.3.1 Auditid ja läbivaatused............................................................................................186

DER.3.2 Infoturbe vastavusauditid........................................................................................194

DER.4 Avariihaldus................................................................................................................198

APP.1.1 Kontoritarkvara........................................................................................................202

APP.1.2 Veebibrauser.............................................................................................................206

2

APP.1.4 Mobiilirakendused (äpid).........................................................................................209

APP.2.1 Kataloogiteenus üldiselt...........................................................................................213

APP.2.2 Active Directory Domain Services...........................................................................218

APP.2.3 OpenLDAP...............................................................................................................230

APP.3.1 Veebirakendused.......................................................................................................233

APP.3.2 Veebiserver...............................................................................................................238

APP.3.3 Failiserver.................................................................................................................242

APP.3.4 Samba.......................................................................................................................246

APP.3.6 DNS-server...............................................................................................................250

APP.4.3 Andmebaasisüsteemid..............................................................................................256

APP.4.4 Kubernetes................................................................................................................262

APP.5.2 Microsoft Exchange ja Outlook................................................................................268

APP.5.3 E-posti server ja klient üldiselt.................................................................................273

APP.5.4 Ühendatud side- ja koostöölahendused (UCC)........................................................278

APP.6 Tarkvara üldiselt..........................................................................................................286

APP.7 Tellimustarkvara arendus.............................................................................................292

APP.EE.1 X-tee andmeteenus................................................................................................296

SYS.1.1 Server üldiselt..........................................................................................................304

SYS.1.2.2 Windows Server 2012...........................................................................................314

SYS.1.2.3 Windows Server....................................................................................................318

SYS.1.3 Linuxi ja Unixi server..............................................................................................322

SYS.1.5 Virtualiseerimissüsteem...........................................................................................325

SYS.1.6 Konteinerdus............................................................................................................332

SYS.1.8 Salvestilahendused...................................................................................................340

SYS.1.9 Terminaliserver........................................................................................................346

SYS.2.1 Klientarvuti üldiselt.................................................................................................354

SYS.2.2.3 Windows 10 ja Windows 11..................................................................................365

SYS.2.3 Linuxi ja Unixi klient...............................................................................................371

SYS.2.4 macOS-i klient..........................................................................................................375

SYS.3.1 Sülearvutid...............................................................................................................379

SYS.3.2.1 Nutitelefon ja tahvelarvuti üldiselt........................................................................385

SYS.3.2.2 Mobiilseadmete haldus (MDM)............................................................................393

SYS.3.2.3 Organisatsiooni iOS..............................................................................................397

SYS.3.2.4 Android.................................................................................................................401

SYS.3.3 Mobiiltelefon............................................................................................................404

SYS.4.1 Printer ja kontorikombain........................................................................................410

SYS.4.3 Sardsüsteemid (embedded systems).........................................................................416

SYS.4.4 Esemevõrgu (IoT) seade üldiselt..............................................................................423

3

SYS.4.5 Irdandmekandjad......................................................................................................430

SYS.EE.1 X-tee turvaserver...................................................................................................434

SYS.EE.2 eID komponendid..................................................................................................443

IND: TÖÖSTUSE IT..............................................................................................................451

IND.1 Käidu- ja protsessijuhtimissüsteemid..........................................................................451

IND.2.1 Tööstusautomaatika komponendid üldiselt..............................................................461

IND.2.2 Programmeeritavad kontrollerid..............................................................................465

IND.2.3 Andurid ja täiturid....................................................................................................467

IND.2.4 Robotseadmed..........................................................................................................468

IND.2.7 Ohutusautomaatika...................................................................................................469

IND.3.2 Käidutehnoloogia komponentide kaughooldus........................................................474

NET.1.1 Võrgu arhitektuur ja lahendus..................................................................................480

NET 1.2 Võrguhaldus.............................................................................................................489

NET.2.1 Raadiokohtvõrgu käitamine.....................................................................................496

NET.2.2 Raadiokohtvõrgu kasutamine...................................................................................504

NET.3.1 Ruuter ja kommutaator............................................................................................507

NET.3.2 Tulemüür..................................................................................................................513

NET.3.3 Virtuaalne privaatvõrk (VPN)..................................................................................520

NET.3.4 Võrkupääsu reguleerimine (NAC)...........................................................................524

NET.4.1 Telefonikeskjaam.....................................................................................................533

NET.4.2 IP-telefon (VoIP)......................................................................................................539

INF: TARISTU.......................................................................................................................545

INF.1 Hoone üldiselt..............................................................................................................545

INF.2 Serveriruum ja andmekeskus.......................................................................................555

INF.5 Tehnilise taristu ruum või kapp....................................................................................563

INF.6 Andmekandjate arhiiv..................................................................................................569

INF.7 Bürootöökoht................................................................................................................573

INF.8 Kodutöökoht.................................................................................................................576

INF.9 Mobiiltöökoht...............................................................................................................579

INF.10 Koosoleku-, ürituse- ja koolitusruum.........................................................................584

INF.11 Sõidukite IT-komponendid.........................................................................................588

INF.12 Kaabeldus...................................................................................................................594

INF.13 Hoonete tehniline haldus............................................................................................602

INF.14 Hooneautomaatikasüsteemid......................................................................................613

4

ISMS: Turbehaldus

ISMS.1 Turbehaldus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed infoturbe halduse süsteemi (ingl Information Security Management System, ISMS) rajamiseks ning täiustamiseks. Esitada juhised turbekontseptsiooni väljatöötamiseks.

1.2 Vastutus Turbehalduse meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad

Organisatsiooni juhtkond, ülemus.

1.3 Piirangud Moodul põhineb etalonturbe metoodikal ja Eesti Infoturbestandardi nõuete dokumendil (Eesti Infoturbestandard Nõuded infoturbe halduse süsteemile). Infoturbega seotud personalimeetmeid käsitletakse mooduligrupis ORP.2 Personal.

2 Ohud

2.1 Isikliku vastutuse puudumine turbeprotsessis Kui organisatsiooni turbeprotsessis ei ole töökohustused piisava täpsusega määratud, puudub töötajal isiklik vastutus infoturbe tagamise eest. Töötajad enamasti väldivad lisakohustusi, mistõttu jäävad turvameetmed rakendamata.

2.2 Puudulik toetus organisatsiooni juhtkonnalt Juhul, kui infoturbejuht ei kuulu organisatsiooni juhtkonda, on tal raske nõuda infoturbe meetmete rakendamist kõrgemal positsioonil olevatelt isikutelt. Töötajad ei täida infoturbe nõudeid, kui juhtkond ise eeskuju ei näita.

2.3 Ebapiisav kava infoturbe strateegia elluviimiseks Turbekontseptsioonis sisalduvaid strateegilisi eesmärke võidakse pidada pelgalt kavatsuste deklaratsiooniks ja nende elluviimiseks ei eraldata piisavalt ressursse.

2.4 Ebaoptimaalsed investeeringud Oludes, kus organisatsiooni juhtkond pole teadlik infoturbe tegelikust olukorrast, infoturbe tagamiseks piisavaid ressursse kas ei eraldata või ei kasutata neid parimal viisil. Puudused ressursside jaotamisel võivad põhjustada üleinvesteerimist ühes lõigus kui teistes lõikudes on ressursipuudus. Ülemäära kallite ja keerukate tehniliste turbelahendustega võib kaasneda uusi turvanõrkusi.

5

2.5 Turvameetmete rakendamata jätmine Kui organisatsioon pole seadnud selgeid infoturbe eesmärke, saab infoturbe vajadust organisatsioonis tõlgendada mitmeti. Kui infoturvet ei peeta vajalikuks või piisavalt oluliseks, jäävad turvameetmed rakendamata.

2.6 Turbeprotsessi ajakohastamata jätmine Kui organisatsioon pidevalt ei panusta turbeprotsessi läbivaatamisse ja parendamisse, siis organisatsiooni turvatase langeb või aegamööda asendub ohtliku näilise turvalisusega. Väheneb organisatsiooni vastupanuvõime uutele infoturbe ohtudele.

2.7 Seaduste ja lepingute mittetäitmine Kui organisatsiooni töötajatel on puudulikud teadmised õigusaktidest, siis võidakse nende nõudeid tahtmatult rikkuda. Lepingutes sätestatud turvatingimuste mittetäitmine võib kaasa tuua leppetrahve või isegi lepingu lõpetamise ning ärisuhete katkestamise.

2.8 Äriprotsesside häirivad turvaintsidendid Turvasündmus (mida sageli täiendab asjaolude halb kokkusattumus) võib vallandada turvaintsidendi, millel on organisatsiooni olulistele äriprotsessidele negatiivne mõju. Isegi kui turvaintsident ei saa avalikkusele teatavaks, võib see halvendada suhteid äripartnerite ja klientidega.

2.9 Ebamajanduslik ressursikasutus puuduliku turbehalduse tõttu Turvatoodete ebaühtlase ja koordineerimata rakendamise korral kasutatakse raha ja tööjõudu ebaotstarbekalt. Puuduliku turbehalduse korral võivad organisatsioonile suurimat lisandväärtust toovad protsessid jääda piisava infoturbe investeeringuta.

3 Meetmed

3.1 Elutsükkel

Kavandamine

ISMS.1.M1 Infoturbe üldvastutuse võtmine juhtkonnatasemel

Evitus

ISMS.1.M2 Turvaeesmärgid ja turbe strateegia

ISMS.1.M3 Infoturvapoliitika

ISMS.1.M4 Infoturbejuhi määramine

ISMS.1.M5 Leping välise infoturbejuhi kasutamiseks

ISMS.1.M6 Infoturbekorralduse rajamine

ISMS.1.M7 Turvameetmete määramine

ISMS.1.M13 Turbeprotsessi dokumenteerimine

Käitus

ISMS.1.M8 Töötajate lõimimine turbeprotsessi

ISMS.1.M9 Infoturbe lõimimine organisatsiooniülestesse protsessidesse

ISMS.1.M10 Turbekontseptsioon

ISMS.1.M11 Infoturbe käigushoid

6

ISMS.1.M12 Infoturbearuanded juhtkonnale

ISMS.1.M15 Infoturberessursside ökonoomne kasutus

ISMS.1.M16 Täpsustavate turvapoliitikate väljatöötamine

Lisanduvad kõrgmeetmed

ISMS.1.M17 Kindlustuslepingute sõlmimine

3.2 Põhimeetmed

ISMS.1.M1 Infoturbe üldvastutuse võtmine juhtkonnatasemel [organisatsiooni juhtkond]

a. Organisatsiooni juhtkond võtab üldvastutuse organisatsiooni infoturbe eest. Juhtkonna kohustumus on kõigile asjaosalistele nähtav ja selgelt arusaadav.

b. Juhtkond algatab turbeprotsessi, juhib ja kontrollib protsessi ning on infoturbe korraldamisel eeskujuks.

c. Organisatsiooni juhtkond:

 määrab infoturbega seotud rollid ja ülesanded;

 tagab infoturbe töötajate pädevuse;

 tagab infoturbega seotud ülesannete täitmiseks vajalikud ressursid.

d. Organisatsiooni juhtkonda teavitatakse infoturbe olukorrast regulaarselt.

ISMS.1.M2 Turvaeesmärgid ja turbe strateegia [organisatsiooni juhtkond]

a. Arvestades organisatsiooni eesmärke, äriprotsesse ja muud olulist teavet, määrab organisatsiooni juhtkond turvaeesmärgid ja turbe strateegia.

b. Turvaeesmärgid ja turbe strateegia on dokumenteeritud. Eesmärgid on realistlikud, praktilised, põhjendatud ja arusaadavad.

c. Organisatsiooni juhtkond vaatab turbe strateegiat regulaarselt üle, tagamaks, et strateegia on endiselt sobiv ja ajakohane.

ISMS.1.M3 Infoturvapoliitika [organisatsiooni juhtkond]

a. Organisatsiooni juhtkond piiritleb üheselt ja selgelt infoturbe kaitseala.

b. Organisatsiooni juhtkond kinnitab ja kehtestab infoturvapoliitika (ingl information security policy).

c. Infoturvapoliitikas on kajastatud vähemalt järgmised aspektid:

 infoturbe tähtsus ning tähendus organisatsioonile;

 turbe strateegia põhielemendid;

 juhtkonna kohustumus;

 turbeprotsessi rakendamise korralduslikud alused;

 tulemuslikkuse hindamise põhimõtted.

d. Infoturvapoliitika seostab turvaeesmärgid organisatsiooni eesmärkidega arusaadaval ja iga töötajat motiveerival viisil.

7

e. Infoturvapoliitika tehakse teatavaks kõigile töötajatele ja organisatsiooni partneritele, vajadusel ka avalikkusele. Juurdepääs olulisele teabele võimaldatakse töötajatele ja partneritele üksnes pärast poliitika aktsepteerimist.

f. Infoturvapoliitikat ajakohastatakse regulaarselt (vähemalt kord aastas) või oluliste muudatuste puhul IT-süsteemides, organisatsiooni eesmärkides või turbe strateegias.

ISMS.1.M4 Infoturbejuhi määramine [organisatsiooni juhtkond]

a. Organisatsiooni juhtkond määrab infoturbe eest vastutava isiku - infoturbejuhi, kelle kohustused hõlmavad järgmist:

 infoturbeprotsessi juhtimine ja koordineerimine;

 juhtkonna toetamine infoturvapoliitika kehtestamisel;

 turbekontseptsiooni(de) väljatöötamine ning koordineerimine;

 infoturvapoliitika(te) ja -meetmete jõustamine;

 turvameetmete rakendusplaani väljatöötamine, elluviimise algatamine ja kontrollimine;

 juhtkonna pidev teavitamine infoturbe hetkeseisust;

 infoturbe projektide koordineerimine;

 infoturbeintsidentide menetlemine;

 infoturbeteadlikkuse suurendamine, koolituste korraldamine.

b. Organisatsiooni juhtkond tagab infoturbejuhile tööks vajalikud tingimused ja ligipääsud teabele ning objektidele.

c. Infoturbejuhi erialane kvalifikatsioon on piisav ning infoturbejuhile on tagatud võimalused oma teadmiste täiendamiseks.

d. Infoturbejuhi kompetents ja isikuomadused lisaks erialastele oskustele on järgnevad:

 organisatsiooni eesmärkide ja äriprotsesside tundmine;

 koostöövõime, meeskonnatöö oskused;

 iseseisvalt töötamise võime;

 tahe ennast erialaselt täiendada;

 enesekehtestamise oskus;

 projektijuhtimise kogemus.

e. Infoturbejuht teeb oma ülesannete täitmisel koostööd andmekaitsespetsialisti ning väliste regulaatoritega.

f. Infoturbejuht on kaasatud IT projektidesse ning IT-süsteemide arendusprotsessi.

ISMS.1.M5 Leping välise infoturbejuhi kasutamiseks [organisatsiooni juhtkond]

a. Kui infoturbejuhi rolli ei saa täita oma töötajaga, siis hangitakse infoturbejuht teenusena väljastpoolt organisatsiooni.

b. Välisel infoturbejuhil on vajalik kvalifikatsioon.

c. Infoturbejuhi teenuseleping sisaldab infoturbejuhi tööülesandeid ning nendega seotud õigusi ja kohustusi. Sätestatud on vähemalt järgmised aspektid:

 kvalifikatsiooninõuded;

8

 tööülesanded;

 minimaalsed ressursid ülesannete täitmiseks;

 teatamis- ja aruandlusahel, kontaktisikud;

 töökohad, tööruumid, kohaloleku- ja kättesaadavusajad;

 pääsuõigused;

 aruandluskohustus;

 koostöökohustus teenuse ostjaga.

d. Välise infoturbejuhiga on sõlmitud konfidentsiaalsusleping.

e. Infoturbejuhi teenuselepingus kajastatakse lepingulise suhte kogu elutsükkel, sealhulgas:

 töid teostavate isikute asendamise kord;

 huvide konflikti määratlus ja lahendusviisid;

 lepingu rikkumise tagajärjed;

 lepingulise suhte lõpetamise kord;

 lepingu täitmisega seotud kulud.

ISMS.1.M6 Infoturbekorralduse rajamine [organisatsiooni juhtkond]

a. Organisatsiooni juhtkond kehtestab infoturbe korralduse organisatsioonis, määrab turvaeesmärkide saavutamiseks vajalikud rollid, tagab ressursid ning nimetab piisava kvalifikatsiooniga isikud nende rollide täitmiseks.

b. Infoturbe erinevate aspektide haldamiseks teevad koostööd:

 infoturbejuht;

 IT-juht;

 äriüksuste juhid;

 andmekaitsespetsialist.

c. Turbehalduse ülesanded on sõnastatud arusaadavalt, kohustused on selgelt määratud.

d. Kõigile olulist infoturbe rolli täitvatele isikutele on kehtestatud asendamise kord.

e. Infoturbekorralduse suhtlusteed on plaanitud, kirjeldatud, korraldatud ja teatavaks tehtud. Rollide kirjeldused sisaldavad, keda ja millises ulatuses tuleb infoturbe sündmustest teavitada.

f. Infoturbekorralduse sobivust ja toimivust kontrollitakse regulaarselt, vajadusel kohandatakse seda vastavalt muutunud tingimustele.

ISMS.1.M7 Turvameetmete määramine

a. Määratud on turvaeesmärkidest ja kaitsetarbest tulenevad turvameetmed, mis vastavad järgmistele põhinõuetele:

 turvameetmete valik võtab arvesse toimivust, tõhusust ja majanduslikku otstarbekust;

 meetmete valik on põhjendatud ning aluskaalutlusteni tagasijälitatav;

 määratud on turvameetmete eest vastutavad isikud;

 meetme rakendamise kirjeldus on esitatud turbeülesande täitmiseks vajaliku täpsusega.

9

b. Rakendatavad turvameetmed on süsteemselt dokumenteeritud, vajadusel meetme rakenduse kirjeldust ajakohastatakse.

c. Määratud, kuid rakendamata jäetud meetme puhul:

 on läbi viidud täiendav riskianalüüs, mis on aluseks juhtkonnale riski aktsepteerimise või mitteaktsepteerimise osas;

 on dokumenteeritud mitterakendamise põhjus ja asjaolud.

ISMS.1.M8 Töötajate lõimimine turbeprotsessi [ülemus]

a. Töötajad on kaasatud turbeprotsessi. Töötajad on teadlikud infoturbe ohtudest, tunnevad turvameetmeid ning oskavad neid tööülesannete täitmisel järgida.

b. Töötajatel on võimalik osaleda turvameetmete kavandamisel ja rakendamisel.

c. Enne turvapoliitika ja turvameetmete jõustamist selgitatakse töötajatele meetmete rakendamise vajalikkust.

d. Turvameetmete rakendamine mõjutab töötajate igapäevatööd võimalikult vähesel määral.

e. Töötajaid on teavitatud infoturvapoliitikate mittejärgimise ja turvameetmete eiramise võimalikest tagajärgedest.

ISMS.1.M9 Infoturbe lõimimine organisatsiooniülestesse protsessidesse [organisatsiooni juhtkond]

a. Infoturve on integreeritud kõigisse organisatsiooni äri- ja tugiprotsessidesse, äriprotsesside varadele infoturbe meetmete rakendamiseks on määratud vastutajad.

b. Infoturbe aspekte arvestatakse nii uute äriprotsesside juurutamisel kui olemasolevate äriprotsesside muutmisel.

c. Infoturbe haldus organisatsioonis on kooskõlas muude turvalisuse ja riskihaldusega seotud valdkondadega.

d. Infoturbejuht on alati ja vajalikul määral kaasatud infoturvet sisaldavate valdkondlike otsuste tegemisse.

ISMS.1.M10 Turbekontseptsioon

a. Infoturbe strateegia elluviimiseks ja infoturbe eesmärkide täitmiseks on välja töötatud turbekontseptsioon (ingl security concept). Turbekontseptsioon on turbeprotsessi alusdokument. Organisatsioonis võib olla samaaegselt mitu erinevat turbekontseptsiooni, mis rakenduvad organisatsiooni eri osadele.

b. Turbekontseptsiooni koostamisel arvestatakse infotehnoloogiast sõltuvaid äriprotsesse ja neid negatiivselt mõjutada võivaid riske.

c. Turbekontseptsioon määratleb vähemalt järgmist:

 kaitseala ja sellesse kuuluvad varad;

 kaitstavad äriprotsessid;

 äriprotsesside ja andmete kaitsetarve;

 turvameetmete modelleerimise protsess (sh meetmete prioriteedid ja teostusjärjekord, vt ISMS.1.M7 Turvameetmete määramine);

 riskianalüüsi läbiviimise korraldus;

 turbeprotsesside dokumenteerimise kohustus;

10

 infoturbe koolituste korraldus;

 infoturbe aruandluse korraldus.

d. Turbekontseptsioon arvestab asjakohaseid normdokumente ja õigusakte.

ISMS.1.M11 Infoturbe käigushoid

a. Turbeprotsessi, turbekontseptsiooni, infoturvapoliitika ja infoturbekorralduse toimivust, täielikkust ja ajakohasust kontrollitakse regulaarselt.

b. Regulaarseteks turvaläbivaatusteks on planeeritud, kes, millal, milliseid konkreetseid valdkondi ja turvameetmeid kontrollib. Läbivaatusi viivad läbi asjakohase kvalifikatsiooniga ning sõltumatud isikud.

c. Turvameetmeid ja turbekontseptsiooni vaadatakse üle lisaks regulaarsetele turvaläbivaatustele ka juhtumipõhiselt, kui:

 lisandub uusi äriprotsesse, rakendusi ja IT-komponente;

 tehakse olulisi taristumuudatusi;

 viiakse läbi suuremaid korralduslikke muudatusi;

 ohud oluliselt muutuvad;

 ilmnevad olulised nõrkused või intsidendid.

d. Turvaläbivaatuse tulemused dokumenteeritakse ning lahknevuste põhjused selgitatakse. Läbivaatuse käigus ilmnenud puuduste parandusmeetmed dokumenteeritakse.

e. Leitud puudused kõrvaldatakse, vajadusel korrigeeritakse turvameetmeid või turbe kontseptsiooni.

f. Väliste kontrollijate puhul lepitakse kokku kohustused ja aruandlus ning sõlmitakse konfidentsiaalsuslepe.

ISMS.1.M12 Infoturbearuanded juhtkonnale [organisatsiooni juhtkond]

a. Juhtkonnale esitatakse regulaarselt aruandeid infoturbe olukorrast, eelkõige riskiseisu ning turbeprotsessi toimivuse ja tõhususe kohta.

b. Infoturbearuanne esitatakse lisaks sündmusepõhiselt, nt pärast turvaintsidenti või turbeprotsessi olulises punktis.

c. Juhtkonnale esitatavad aruanded sisaldavad olulist ja asjakohast teavet, probleeme, edusamme ja täiustamise võimalusi. Aruannetes sisalduvad ka parandusettepanekud koos prioriteetide ja hinnangutega realiseerimise aja ja töömahu kohta.

d. Juhtkonna otsused turvameetmete, jääkriskide ja turbeprotsesside muutmise kohta on jälitatavalt dokumenteeritud.

ISMS.1.M13 Turbeprotsessi dokumenteerimine

a. Turbeprotsessi protseduurid, olulised otsused ja tegevuste tulemused on dokumenteeritud. Kindlasti dokumenteeritakse järgmine:

 aruanded juhtkonnale (vt ISMS.1.M12 Infoturbearuanded juhtkonnale);

 turbeprotsessi korralduse dokumentatsioon;

 turbetegevuste dokumentatsioon;

 turvaintsidentide dokumentatsioon;

11

 tehniline dokumentatsioon (nt tehnilised juhendid, testimistulemid, rakenduste kasutusload);

 protsessijuhendid töötajatele.

b. On olemas reeglistik dokumentatsiooni koostamiseks, hoidmiseks ning dokumentatsiooni ajakohasuse ja konfidentsiaalsuse tagamiseks.

c. Olemasolevate dokumentide kehtivad versioonid on lugejate sihtgrupile kergesti kättesaadavad. Samade dokumentide eelmised versioonid on arhiveeritud ning kättesaadaval ühes kohas.

ISMS.1.M15 Infoturberessursside ökonoomne kasutus [organisatsiooni juhtkond]

a. Infoturberessursside kasutamisel arvestatakse majanduslikke aspekte. Turvameetmete ressursivajadus esitatakse numbriliselt.

b. Organisatsiooni juhtkond eraldab vajalikud infoturberessursid (raha, tööjõud, vahendid).

c. Infoturbe jaoks plaanitud ressursid on kättesaadavad õigeaegselt. Töötajatel on turbega seotud ülesannete täitmiseks piisavalt aega ja võimalusi.

d. Töökoormuse tippajal või eriülesannete täitmiseks saab kaasata lisatööjõudu.

3.4 Standardmeetmed

ISMS.1.M16 Täpsustavate turvapoliitikate väljatöötamine

a. Kitsama käsitlusalaga turvapoliitikad koostatakse vähemalt järgmistes valdkondades:

• võrguhaldus;

• tulemüüri haldus;

• kahjurvaratõrje;

• andmevarundus ja arhiveerimine;

• e-post ja rühmatarkvara;

• mobiilseadmete kasutamine;

• teenuste väljasttellimine.

3.4 Kõrgmeetmed

ISMS.1.M17 Kindlustuslepingute sõlmimine (A)

a. Jääkriskide hindamise osana on hinnatud vajadus järgmiste kindlustusliikide järele:

 tule ja loodusjõudude kahju kindlustus;

 finantskahjude kindlustus;

 varakindlustus;

 õnnetusjuhtumikindlustus;

 vastutuskindlustus;

 tsiviilvastutuskindlustus.

b. Olemasolevate kindlustuslepingute otstarbekust ja toimivust kontrollitakse regulaarselt.

12

4 Lisateave

Lühend Publikatsioon

[RT] Vabariigi Valitsuse määrus „Infoturbe juhtimise süsteem“ , vastu võetud 15.03.2012, https://www.riigiteataja.ee/akt/119032012004?leiaKehtiv

[RIA] IT-halduse raamdokumentide näidised, https://www.ria.ee/et/kuberturvalisus/iske/juhendid-ja-materjalid.html

ORP: Organisatsioon ja personal

ORP.1 Infoturbe korraldus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed infoturbe korralduse sobitamiseks organisatsiooniga, infoturbe juhtimiseks ja käigushoiuks. Moodul reguleerib infoturbe protsesside haldust ja infoturbe rollide jaotust organisatsioonis.

1.2 Vastutus „Infoturbe korraldus“ meetmete täitmise eest vastutab organisatsiooni juhtkond.

Lisavastutajad

Haldusosakond, tehnikatalitus, IT-talitus, infoturbejuht, töötaja.

1.3 Piirangud

Moodul käsitleb turbekorralduse üldmeetmeid. Täiendavad korraldusmeetmed esitatakse kitsama käsitlusalaga moodulites.

2 Ohud

2.1 Puuduvad või puudulikud eeskirjad Kui infoturbe meetmeid ei ole kehtestatud või meetmete rakendamise juhised ei ole arusaadavalt dokumenteeritud, jäävad vajalikud turvameetmed sisuliselt rakendamata. Eeskirjade puudulikkus ja vastutajate puudumine võivad kaasa tuua suuri kahjusid. Seda eriti olukordade tõttu, mis nõuavad viivitamatut tegutsemist. Probleeme põhjustavad ka ajakohastamata, reaalseid olusid eiravad või arusaamatult esitatud eeskirjad.

2.2 Eeskirjade rikkumine Kehtestatud eeskirjadest üleastumine töötaja poolt võib rikkuda teabe, äriprotsesside või IT- süsteemide konfidentsiaalsust, terviklust või käideldavust. Olenevalt teabe või süsteemide kaitsetarbest ja turvareeglite rikkujale antud pääsuõigustest võib kahju osutuda ulatuslikuks.

13

Nõuete järgimata jätmine andmetöötluses võib põhjustada andmekadu. Kui pääsuõiguste halduse protseduure ei järgita, võib see kaasa tuua volitamata juurdepääsu IT-süsteemidele.

2.3 Puuduvad, ebasobivad või ühildamatud töövahendid Vajalike töövahendite puudumine ja rikutud või amortiseerunud töövahendid võivad organisatsiooni äriprotsesse märkimisväärselt takistada. Näiteks kaotab puhvertoiteallika (ingl uninterruptable power supply, UPS) aku aja jooksul osa oma mahutavusest ning ei suuda elektrikatkestuse puhul IT-seadmete elektrivarustust tagada. Töövahendi hankimisel võib uus töövahend osutuda olemasoleva vanema tehnoloogilise keskkonnaga ühildamatuks.

2.4 Ohud abi- ja välispersonali tõttu Organisatsioonivälistelt isikutelt ei saa vaikimisi eeldada, et nad neile kättesaadavat teavet ja IT-vahendeid kasutaksid lähtudes organisatsioonis kehtestatud kordadest. Külastajad, koristajad ja muud välised töötajad võivad teabe turvalisust, äriprotsesse ja süsteeme mitmel viisil ohustada, alates tehniliste vahendite asjatundmatust kasutamisest ja IT-süsteemi võimaluste proovimisest kuni dokumentide ja IT-vahendite varguseni.

3 Meetmed

3.1 Elutsükkel

Kavandamine

ORP.1.M1 Kohustuste ja eeskirjade kehtestamine

ORP.1.M2 Teabe, rakenduste ja IT-komponentide eest vastutajate määramine

ORP1.M4 Tegevus- ja kontrollikohustuste lahusus

ORP.1.M16 IT-vahendite turvalise kasutamise eeskiri

Evitus

ORP.1.M8 Töövahendite ja seadmete haldus

Käitus

ORP.1.M3 Organisatsiooniväliste isikute järelevalve või saatmine

ORP.1.M13 Kolimise turve

ORP.1.M15 Infoturbe kontaktisik

Lisanduvad kõrgmeetmed

ORP.1.M17 Nutitelefonide kaasas kandmise piiramine

3.2 Põhimeetmed

ORP.1.M1 Kohustuste ja eeskirjade kehtestamine

a. Organisatsioonis on määratud infoturbega seotud ülesanded ning kohustused.

b. Eeskirjadega kehtestatakse turbe korraldus vähemalt järgmistes valdkondades:

 varundus ja arhiveerimine;

 andmekandjate käitus;

14

 hoolde- ja remonditööd;

 andmekaitse;

 avariivalmendus.

c. Eeskirjad tehakse teatavaks kõigile töötajaile ning neid vaadatakse regulaarselt üle.

ORP.1.M2 Teabe, rakenduste ja IT-komponentide eest vastutajate määramine

a. Turvalisuse eest vastutajad on määratud kogu teabe ning kõigi äriprotsesside, rakenduste ja IT-komponentide osas.

b. Infoturbe meetmete rakendamise kohustused on selgelt sõnastatud ja määratud, meetmete rakendamist kontrollitakse regulaarselt.

c. Töötajad teavad, kes ja mil viisil infoturbe meetmete rakendamise eest vastutavad.

ORP.1.M3 Organisatsiooniväliste isikute järelevalve või saatmine [töötaja, haldusosakond]

a. Organisatsioonivälised isikud liiguvad organisatsiooni ruumes koos töötajast saatjaga.

b. Väliste töötajate viibimine kõrgendatud kaitsetarbega aladel on lubatud ainult organisatsiooni töötaja otsesel järelevalvel.

c. Töötajaid on juhendatud mitte jätma väliseid isikuid organisatsiooni ruumidesse ilma järelevalveta.

ORP.1.M4 Tegevus- ja kontrollikohustuste lahusus

a. Organisatsioonis tagatakse infoturbe toimingu sooritaja ning toimingu kontrollija rollide lahusus ning neid rolle täidavad erinevad töötajad.

b. Tegevus- ja kontrollikohustuste lahusus kehtib ka töötaja asendamise korral.

ORP.1.M15 Infoturbe kontaktisik [infoturbejuht]

a. Organisatsioonis on turvaküsimuste lahendamiseks määratud isik(ud), kelle poole töötajad võivad kõikide infoturbe teemaliste küsimustega pöörduda.

b. Töötajaid julgustatakse turvaintsidendi kahtluse korral teavitama sellest kohe, vajaduse korral anonüümselt.

c. Infoturbe kontaktisik ja teavitamisteed on kõigile töötajatele teada või vajadusel kergesti leitavad.

3.3 Standardmeetmed

ORP.1.M8 Töövahendite ja seadmete haldus [IT-talitus, haldusosakond]

a. Organisatsioonis on ülevaade kõigist töövahenditest ja seadmetest, mis võivad infoturbe olukorda mõjutada. Lisaks IT-süsteemide ja tööstusautomaatika komponentidele kuulu- vad seadmete hulka ka esemevõrgu (ingl Internet of Things – IoT) seadmed.

b. Töövahendite ja seadmete hankimisel arvestatakse nende ühilduvust ja turvalisust. Või- malusel testitakse uusi seadmeid enne nende soetamist.

c. Töövahendid ja seadmed (ka nende kulumaterjalid, seonduv tarkvara, andmekandjad jms) võetakse arvele (nt varade registris).

d. Töövahendite ja seadmete turvaliseks kasutuselt kõrvaldamiseks on koostatud juhendid ja soetatud vajalikud vahendid (nt dokumendipurusti). Andmekandjad kõrvaldatakse vas- tavalt moodulile CON.6. Andmete kustutus ja hävitamine.

15

ORP.1.M13 Kolimise turve [IT-haldus, tehnikatalitus, haldusosakond]

a. Enne plaanitud kolimist töötatakse välja või ajakohastatakse kolimisplaan, kus muuhulgas määratletakse töötajate kohustused.

b. Töötajaid teavitatakse turvameetmetest, mida on vaja järgida kolimise eel, ajal ja järel.

c. Enne kolimist varundatakse andmed ja märgistatakse ümberpaigutatavad varad.

d. Kolimise käigus rakendatakse juurdepääsu kontrolle, väline personal liigub lähtekohas ja sihtkohas ainult organisatsiooni töötaja saatel.

e. Pärast kolimist kontrollitakse, kas kolimisel transporditud seadmed jm varad on täielikult, kahjustusteta ning muutmata kujul kohale jõudnud.

f. Enne töötajate tööle asumist uude kohta luuakse vajalik taristu, paigaldatakse ning tes- titakse IT- ja automaatikaseadmed ning veendutakse kasutajakontode toimimises.

ORP.1.M16 IT-vahendite turvalise kasutamise eeskiri [infoturbejuht, kasutaja]

a. Organisatsioonis on kehtestatud IT-vahendite turvalise kasutamise eeskiri.

b. IT-vahendite turvalise kasutamise eeskiri sisaldab vähemalt järgmist:

• organisatsiooni turvaeesmärgid; • olulised mõisted ja nende selgitused; • infoturbe rollid ja tööülesanded; • infoturbe kontaktid ja teavitusteed; • rakendatavad turvameetmed.

c. IT-vahendite turvalise kasutamise eeskiri on kõikidele töötajatele teatavaks tehtud ning on vajadusel kergesti leitav (nt siseveebist).

d. Uus töötaja kinnitab enne IT-vahendite kasutuselevõttu kirjalikult, et on eeskirjaga tutvu- nud.

e. IT- vahendite turvalise kasutamise eeskirja vaadatakse üle perioodiliselt ning pärast olu- liste muudatuste tegemist IT-süsteemides.

3.4 Kõrgmeetmed

ORP.1.M17 Nutitelefonide kaasas kandmise piiramine [haldusosakond, infoturbejuht] (C)

a. Mobiiltelefonide kaasa võtmine konfidentsiaalsetele koosolekutele ja kõrget konfident- siaalsustaset eeldavatele töökohtadele on keelatud.

b. Vajadusel kasutatakse turvaalale sisenejate mobiilsideseadmete avastamiseks detektor- seadet.

ORP.2 Personal

1 Kirjeldus

1.1 Eesmärk Esitada meetmed personaliosakonnale ja juhtidele, et oma töötajad ning välised töötajad tegutseks organisatsiooni turvaeesmärke silmas pidades.

16

1.2 Vastutus „Personal“ meetmete täitmise eest vastutab personaliosakond.

Lisavastutajad

IT-talitus, ülemus.

1.3 Piirangud Moodulis käsitletavad meetmed on üldised. Konkreetse funktsiooniga seotud personalimeetmed esitatakse asjakohastes moodulites.

2 Ohud

2.1 Personali piisamatus Vajaliku hulga ja nõutava kvalifikatsiooniga personali piisamatus viib selleni, et ettenähtud tööülesandeid ei ole võimalik õigeaegselt ja terviklikult täita. Suureneb hooletusest tehtud vigade arv.

2.2 Nõuete puudulik tundmine Kui infoturbe meetmeid ei ole kehtestatud või meetmete rakendamise juhised ei ole arusaadavalt dokumenteeritud, jäävad vajalikud turvameetmed sisuliselt rakendamata. Kui kehtestatud poliitikaid ja eeskirju pole kõigile töötajatele tutvustatud, siis ei saa ka eeldada, et kõik töötajad neid järgiksid.

2.3 Hooletus andmete kasutamisel Organisatsioonis määratud korralduslikke ja/või tehnilisi turvameetmeteid võidakse isiklikust mugavusest või muretusest tingituna ignoreerida või neist mööda minna. Sotsiaalvõrkudes ja töökeskkonnas samade paroolide kasutamine võib viia IT-süsteemide kuritarvitamiseni parooli äraarvamise kaudu. IT-seadmete ja tarkvara manipuleerimine või väärkasutamine võib kaasa tuua tundlike andmete lekkimise või IT-süsteemide kahjustumise. Olenevalt teabe või süsteemide kaitsetarbest ja pääsuõiguste ulatusest võib kehtestatud eeskirjade eiramine kaasa tuua ulatusliku kahju.

2.4 Ebapiisav töötajate kvalifikatsioon Paljud igapäevased IT-probleemid ja intsidendid on põhjustatud asjaolust, et töötajad ei oma antud töö tegemiseks piisavat kvalifikatsiooni või on töötajate koolitus olnud ebapiisav. Aegunud teadmiste ja puuduliku arvutioskuse tõttu ei pruugita infoturbe rikkeid tähele panna ega normaalsest erinevale tarkvara käitumisele õigeaegselt tähelepanu juhtida. Teist töötajat asendav isik võib jätta tööprotsessis olulise tegevuse tegemata või teha seda valesti. See võib põhjustada IT-süsteemis töös tõrkeid või tekitada infoturbe intsidendi.

3 Meetmed

3.1 Elutsükkel

Kavandamine

ORP.2.M1 Uue töötaja sisseelamise kord

ORP.2.M2 Töötaja lahkumise protseduur

ORP.2.M14 Tööülesannete ja kohustuste kehtestamine

17

Käitus

ORP.2.M3 Töötaja asendamise kord

ORP.2.M4 Asendamise kord välise töötaja puhul

ORP.2.M5 Konfidentsiaalsusleping väliste töötajate kasutamisel

ORP.2.M7 Kandidaadi usaldusväärsuse kontrollimine

ORP.2.M15 Piisava kvalifikatsiooniga töötajad

Lisanduvad kõrgmeetmed

ORP.2.M11 Turvakultuuri analüüs

ORP.2.M13 Taustakontroll

3.2 Põhimeetmed

ORP.2.M1 Uue töötaja sisseelamise kord [ülemus]

a. Uute töötajate sisseelamise kord sisaldab infoturbe nõuete, tavade ja tegevusjuhiste tutvustamist.

b. On koostatud kontroll-loend, mis sisaldab kõiki uue töötaja töö alustamiseks vajalikke tegevusi.

c. Töötajatele selgitatakse igapäevaseid tööprotseduure, infoturvameetmeid ning nende mõju äriprotsessile ja töökeskkonnale.

d. Uuele töötajale on määratud sisseelamise perioodiks kontaktisik (mentor), kes aitab teda kõigis ettetulevates küsimustes.

ORP.2.M2 Töötaja lahkumise protseduur [ülemus, IT-talitus]

a. Enne töötaja lahkumist või üleviimist teisele ametikohale koolitatakse välja tema tööüles- annete jätkaja. Soovitatavalt teeb seda lahkuv töötaja. Kui tööülesandeid ei saa otse üle anda, on uue töötaja jaoks loodud üksikasjalik tööülesannete juhend.

b. Lahkuv töötaja annab organisatsioonile üle kõik töösuhte ajal saadud dokumendid, võt- med ja seadmed, samuti töötõendi ning pääsukaardid.

c. Endise töötaja pääsuõigused IT-süsteemides suletakse õigeaegselt.

d. Töötaja üleviimisel teisele ametikohale kohandatakse töötaja pääsuõigused ja tema käes olevate organisatsiooni varade valik vastavaks muutunud tööülesannetega.

e. Enne töölt lahkumist juhitakse selgesõnaliselt veel kord töötaja tähelepanu konfidentsiaal- suskohustusele ja võimaliku huvide konflikti ärahoidmisele.

f. Töötaja lahkumisest teavitatakse asjakohaseid töötajaid, sealhulgas turvapersonali.

g. Vajadusel ajakohastatakse eriolukorra- jm tegevuskavad, kuhu lahkuv töötaja või teisele ametikohale üleviidav töötaja oli kaasatud.

h. Tegevuste koordineerimiseks töötaja lahkumise korral kasutatakse sarnaselt töölevõtmis- ele asjakohast kontroll-loendit.

ORP.2.M3 Töötaja asendamise kord [ülemus]

a. Juhtkond on koostanud töötaja asendamise korra ja loonud eeldused selle järgimiseks. Asendamise kord eksisteerib tööülesannetele kõigis olulistes äriprotsessides.

b. Töötaja asendamise korras kirjeldatakse ülesannete jaotus töötaja asendamisel.

18

c. Asendaja nimetamisel veendutakse, et tal on olemas asendamiseks vajalikud teadmised. Vajadusel asendajat koolitatakse ja tööprotseduurid dokumenteeritakse sellise täpsusega, et ka vähemate teadmistega isik saaks asendamisega hakkama.

d. Kui erandjuhul ei saa konkreetsele töötajale pädevat asendajat määrata ega koolitada, otsustatakse, kas saab töötaja asendamiseks kasutada organisatsioonivälist tööjõudu.

ORP.2.M4 Asendamise kord välise töötaja puhul

a. Kui töötaja asendamiseks kasutatakse välist töötajat, siis kohustub ta täitma organisatsiooni poliitikaid ja sise-eeskirju sarnaselt organisatsiooni töötajatega.

b. Lühiajaliselt või ühekordselt kaasatud välist töötajat käsitletakse külastajana, keda kaitse- vajadusega alas üksinda ei jäeta.

c. Pikemaks ajaks värvatud väliseid töötajaid õpetatakse ja koolitatakse tööülesandeid täit- ma sarnaselt organisatsiooni töötajatega. Ka välistele töötajatele kehtib töötaja asen- damise kord (vt ORP.2.M3 Töötaja asendamise kord).

d. Töölt lahkumise korral annab väline töötaja oma töö tulemi üle ja tema juurdepääsu- õigused suletakse sarnaselt organisatsiooni oma töötajaga.

ORP.2.M5 Konfidentsiaalsusleping väliste töötajate kasutamisel

a. Organisatsioonivälise isikuga sõlmitakse kirjalik konfidentsiaalsusleping enne, kui talle antakse juurdepääs konfidentsiaalsele teabele.

b. Konfidentsiaalsuslepingus on määratud vähemalt järgmine:

 millist teavet käsitletakse konfidentsiaalsena;

 millised nõuded kehtivad konfidentsiaalse teabe kasutamisel ja edastamisel;

 kui kaua konfidentsiaalsusleping kehtib;

 kuidas reguleeritakse teabe omandiõigusi;

 millised on lepingu rikkumise tagajärjed.

ORP.2.M14 Tööülesannete ja kohustuste kehtestamine [ülemus]

a. Kõik töötajad on selgesõnaliselt kohustunud järgima asjakohaseid õigusakte, organisatsiooni poliitikaid ja sise-eeskirju.

b. Töötaja tööülesanded ja kohustused on dokumenteeritud ja neid on töötajale tutvustatud. Töötajad kinnitavad nõuete järgimist, allkirjastades vastava kontroll-loetelu.

c. Töötajad teavad, et töötamise käigus saadav teave on ette nähtud ainult organisatsioonisiseseks kasutamiseks, kui see ei ole teisiti tähistatud.

d. Töötajad on kohustatud organisatsiooni varasid ja andmeid kaitsma ka pärast tööaega ja väljaspool organisatsiooni territooriumi.

ORP.2.M15 Piisava kvalifikatsiooniga töötajad [ülemus]

a. Töötajad saavad regulaarselt tegevusalale vastavat koolitust ja täiendõpet.

b. Töötajate täiendõpet soositakse ja töötajaid motiveeritakse ennast pidevalt arendama.

c. Uute töötajate otsimisel on nõutav haridus, kvalifikatsioon ja oskused selgelt kirjeldatud.

d. Töötajate vastavust ametikohale ja vastava ametikohale vajaliku kvalifikatsiooni kirjelduste õigsust kontrollitakse perioodiliselt.

19

3.3 Standardmeetmed

ORP.2.M7 Kandidaadi usaldusväärsuse kontrollimine

a. Personalivalikul osalejad kontrollivad enne töölevõtmist nõuetekohase hoolsusega kandi- daadi esitatud andmete tõepärasust.

b. Eriti hoolikalt kontrollitakse esitatud elulookirjelduse täielikkust, usutavust ja õigsust. Olulisi fakte kontrollitakse täiendavate tõendite küsimise ja esitamise teel.

3.4 Kõrgmeetmed

ORP.2.M11 Turvakultuuri analüüs (C-I-A)

a. Turvameetmete rakendamisel arvestatakse organisatsiooni töötajaid, nende tausta, teadmisi ning IT-süsteemide kasutamise kogemusi. Turvalisust parandatakse analüüsides töötajate turvakäitumist.

b. Turvaintsidentide toimivaks ja tõhusaks käsitlemiseks soodustatakse usalduslikku ja avatud suhtluskultuuri, mis võimaldab turvaintsidentidest kohe teatada ja neile lahendused leida.

c. Suurema organisatsiooni korral analüüsitakse, kas turvakultuuri võivad mõjutada riikidevahelised, piirkondlikud või üksustevahelised kultuurilised erinevused.

ORP.2.M13 Töötaja taustakontroll (C-I-A)

a. Suure kaitsetarbega valdkondades tehakse lisaks töötajate usaldatavuse põhikontrollile (vt ORP.2.M7 Töötajate usaldatavuse kontrollimine) seadusega lubatud piires täiendav taustakontroll, nt küsides kinnitust kriminaalkaristatuse puudumise kohta.

b. Teatud ametikohtadele kandideerimine ja ametikohal töötamine on lubatud ainult juhul, kui töötaja on taotlenud kehtiva seadusandluse kohase riigisaladusele juurdepääsu loa.

ORP.3 Infoturbe teadlikkuse tõstmine ja koolitus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed töötajate turvateadlikkuse tõstmiseks ja töötajate koolitusplaani koostamiseks, arvestades organisatsiooni spetsiifikat ja töötajatele vajalikke teadmisi ja oskusi.

1.2 Vastutus Infoturbe teadlikkuse tõstmise ja koolituse meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad

Personaliosakond, IT-talitus, organisatsiooni juhtkond, ülemus.

1.3 Piirangud Moodul ORP.3 Infoturbe teadlikkuse tõstmine ja koolitus käsitleb infoturbe valdkonda. Muudel teemadel kavandab, plaanib ja viib koolitusi läbi organisatsiooni personaliosakond või koolituste koordinaator.

20

2 Ohud

2.1 Turvanõuete puudulik tundmine Turvaintsidendi põhjuseks on sageli turvanõuete järgimata jätmine. Nõuete puuduliku tundmise tulemusena tekkinud turvanõrkused võivad ohustada töödeldava teabe konfidentsiaalsust, käideldavust ja terviklust.

2.2 Puudulik infoturvateadlikkus Kui töötajad ei ole infoturbe meetmetest piisavalt teadlikud, kannatab organisatsiooni turvakultuur ja turvaeesmärkide täitmine. Töötajad ei suuda luua konkreetseid seoseid oma töökeskkonnaga, sest neile ei ole selgitatud turvameetmete olulisust.

2.3 Teadvustuse ja koolituse vähene tulemuslikkus Teadvustus- ja koolitustegevuse vähese tulemuslikkuse põhjusteks on juhtkonna puudulik toetus, koolituse ebaselged eesmärgid, puudused koolituste läbiviimisel või ressursside vähesus. Kui organisatsioon töötajate teadlikkuse suurendamist ja koolitamist piisavalt ei tähtsusta, siis võib vähene turvateadlikkus otseselt takistada tööülesannete täitmist.

2.4 Puudlik koolitus turvafunktsioonide alal Sageli ei rakenda töötajad organisatsioonis kasutusele võetud turvarakendusi ja -funktsioone oskamatuse tõttu. Puudulik teadmine turvafunktsioonidest võib põhjustada tarkvara kasutusvigu ja seisakuid. Väärkasutuse mõju võib oluliste IT-süsteemide korral olla märkimisväärne.

2.5 Avastamata jäänud turvasündmused IT- ja automaatikakomponentide igapäevases töös võib esineda palju häireid ja rikkeid. Piisamatu koolituse tõttu ei suuda töötajad turvaintsidentidel ja tehnilistel riketel vahet teha, turvaintsidentidele ei reageerita ja nõrkused jäävad parandamata. See võib pärssida äriprotsesse, tekitada rahalist kahju või tuua kaasa õigusaktidest tulenevaid sanktsioone.

2.6 Turvameetmete eiramine Töötaja hooletuse või kiirustamine tõttu on oht, et konfidentsiaalsed dokumendid jäävad avatuna lauale, uksed jäävad lukustamata, aknad jäävad avatuks või arvutiekraan lukustamata.

2.7 Hooletus teabe töötlemisel Kui organisatsioonis kehtestatud turvameetmeid eiratakse, näiteks paroole kuvari peale kleebitud sedelile kirjutades, siis muutuvad ka parimad tehnilised turvameetmed ebatõhusaks. Kui konfidentsiaalse teabega dokumendid jäetakse printerisse või visatakse prügikasti, millele igaüks ligi pääseb, ei ole failide krüpteerimisest kõvakettal kasu.

2.8 Infoturbe puudulik omaksvõtmine Organisatsioonis võidakse infoturbenõudeid mitte omaks võtta ega tajuda turvameetmete rakendamise olulisust. Mitteomaksvõtmine võib näiteks olla tingitud organisatsioonikultuurist („nii on meil alati olnud“) või juhtkonna eeskuju puudumisest. Töötajate vastuseis turvameetmetele võib tekkida ka ebamõistlike või ülepingutatud turvanõuete tõttu.

2.9 Suhtlusrünne Suhtlusründe (ingl social engineering) tulemusel võib ründaja saada teabele või IT- süsteemidele lubamatu juurdepääsu, luues kontakte telefoni, e-posti või sotsiaalvõrgu kaudu

21

ning kasutades ära inimeste abivalmidust. Kui töötaja sellist ründeviisi piisaval määral ei tunne, siis osavalt suheldes suunatakse töötaja toimima lubamatul viisil. Suhtlusründe tulemusena võib ründaja hankida konfidentsiaalset teavet, levitada kahjurtarkvara või koguni sundida töötajat väidetavale äripartnerile raha üle kandma.

3 Meetmed

3.1 Elutsükkel

Kavandamine

ORP.3.M1 Juhtkonna teadlikkuse suurendamine infoturbe alal

ORP.3.M3 Infotehnoloogia turvalise kasutamise juhendamine

ORP.3.M4 Infoturbe teadvustus- ja koolitusplaan

Käitus

ORP.3.M6 Infoturbe teadvustus- ja koolitusmeetmete kavandamine ja rakendamine

ORP.3.M7 Infoturbe halduse meetodeid käsitlevad koolitused

Parendamine ja täiustamine

ORP.3.M8 Õpitulemuste mõõtmine ja hindamine

Lisanduvad kõrgmeetmed

ORP.3.M9 Ohustatud isikute ja organisatsioonide erikoolitus

3.2 Põhimeetmed

ORP.3.M1 Juhtkonna teadlikkuse suurendamine infoturbe alal [ülemus, organisatsiooni juhtkond]

a. Juhtkonda teavitatakse regulaarselt infoturbe riskidest, nendega seotud võimalikest kah- judest ja mõjust äriprotsessile.

b. Juhtkond on teadlik õigusaktidega kehtestatud infoturbenõuetest.

c. Juhtkond on kursis infoturbe rakendamise praktikatega teistes sarnastes organisatsiooni- des ning infoturbe protsesside sertifitseerimise võimalustega.

d. Organisatsiooni juhtkond toetab töötajatele korraldatavaid turvalisuse tõstmise kampaa- niaid ning muude koolitusmeetmete rakendamist.

e. Juhtivtöötajad näitavad infoturbes eeskuju, järgides turvameetmeid ise ja juhtides teiste töötajate tähelepanu meetmetest kinnipidamise vajalikkusele.

ORP.3.M3 Infotehnoloogia turvalise kasutamise juhendamine [ülemus, personaliosakond, IT-talitus]

a. Töötajad on läbinud küberhügieeni baasteadmise koolituse ja tõendanud oma teadmisi vastava testi sooritamisega.

b. Töötajatele ja organisatsioonivälistele kasutajatele on selgitatud, kuidas IT-, tööstusauto- maatika- ja esemevõrgu komponente turvaliselt kasutada ja millised on kasutamisega seotud õigused ja kohustused.

22

c. Organisatsioon on koostanud eeskirjad IT-, tööstusautomaatika ja esemevõrgu kom- ponentide turvaliseks kasutamiseks. Eeskirjad on arusaadavad ja ajakohased, kohustuste selgeks määratlemiseks on need kinnitatud juhtkonnas.

d. Eeskirjade või kasutusjuhiste muutmisel tagatakse, et muudatused tehakse kasutajatele teatavaks.

3.3 Standardmeetmed

ORP.3.M4 Infoturbe teadvustus- ja koolitusplaan

a. Töötajate teadlikkuse suurendamiseks on välja töötatud ja juhtkonna poolt kinnitatud infoturbe teadvustus- ja koolitusplaan.

b. Infoturbe teadvustus- ja koolitusplaanide koostamisel võetakse arvesse konkreetsete sihtrühmade vajadusi. Ühte sihtrühma koondatakse sarnase erialatausta, teadmiste või ülesannetega töötajad. Praktikas moodustatakse sihtrühmi ka struktuuriüksuste alusel.

c. Infoturbe teadvustus- ja koolitusprogrammi ajakohasust kontrollitakse regulaarselt, va- jaduste muutumise korral koolitusprogrammi kohandatakse või täiustatakse.

ORP.3.M6 Infoturbe teadvustus- ja koolitusmeetmete kavandamine ja rakendamine

a. Töötajate infoturbe koolituse kavandamisel lähtutakse töötajate tööülesannetest ja vastutusalast. Koolituse sisu on piisav kehtivate turvanõuete ja -meetmete rakendamiseks.

b. Kõik töötajad on läbinud oma tööülesannetele ja vastutusalale vastava infoturbe kooli- tuse.

ORP.3.M7 Infoturbe halduse meetodeid käsitlevad koolitused

a. Infoturbe eest vastutavad isikud on läbinud infoturbe halduse ja infoturbe standardi rakendamise koolituse.

b. Infoturbe halduse koolitused peavad sisaldama näiteid ja praktilisi harjutusi, sh elulisi näiteid infoturbe standardi rakendamisest.

ORP.3.M8 Õpitulemuste mõõtmine ja hindamine [personaliosakond]

a. Infoturbe valdkonna õpitulemusi mõõdetakse ja hinnatakse sihtrühmapõhiselt, et teha kindlaks, millisel määral on infoturbe teadvustus- ja koolitusplaanis ettenähtud eesmärgid saavutatud (vt ORP.3.M4 Infoturbe teadvustus- ja koolitusplaan).

b. Õpitulemuste hindamisel mõõdetakse nii teadvustus- ja koolitusplaani kvalitatiivseid kui kvantitatiivseid aspekte, kasutades selleks koolituste hindamislehti, koolituse lõputeste, töötajate küsitlusi või perioodilisi teadmiste kontrolle (nt RIA Kübertest, https://www.- ria.ee/kuberturvalisus/kuberruumi-analuus-ja-ennetus/kubertest ).

c. Personaliosakond teeb koolituse sisu ja efektiivsuse hindamisel koostööd infoturbejuhi, andmekaitsespetsialisti, töökeskkonnavoliniku, tuleohutuse eest vastutava isiku ja teiste oluliste võtmeisikutega.

d. Õpitulemuste mõõtmise tulemusi arvestatakse infoturbe teadvustus- ja koolitusplaani muutmisel ja täiustamisel.

23

3.4 Kõrgmeetmed

ORP.3.M9 Ohustatud isikute ja organisatsioonide erikoolitus (C-I-A) a. Eriti ohustatud isikud (nt kriitilise funktsiooni täitjad) ning eriti turvatundlike

organisatsioonide töötajad on läbinud põhjaliku koolituse ohtude, ohu realiseerumise korral tegutsemise ja ettevaatusmeetmete kohta.

b. Õppematerjalide kinnistamise meetmed valitakse sobivalt organisatsiooni kultuuri ja suurusega, näiteks võib korraldada töötajatele simulatsiooniõppuseid pingeolukorras tegutsemise harjutamiseks.

4 Lisateave

4.1 Näide sihtrühmadele määratud koolitusmoodulitest.

X-ga tähistatakse seda, et konkreetset moodulit soovitatakse asjakohasele rollile. Numbriga 0 tähistatakse valikulisi koolitusmooduleid, mille korral otsustatakse mooduli valimine igal üksikjuhul eraldi.

Moodul 1. Infoturbe alused

Moodul 2. Infoturve töötamiskohal

Moodul 3. Seadused ja eeskirjad

Moodul 4. Organisatsiooni infoturbe kontseptsioon

Moodul 5. Riskihaldus

Moodul 6. Infoturbe haldus

Moodul 7. IT-süsteemid

Moodul 8. Tegevusala

Moodul 9. Turvameetmete tehniline teostus

Moodul 10. Avariivalmendus / eriolukorra tegevuskava

Moodul 11. Uued suundumused IT-valdkonnas

Moodul 12. Infoturbe äriline külg

Moodul 13. Taristu turve

Moodul →

funktsioon ↓

1 2 3 4 5 6 7 8 9 10 11 12 13

Ülemus X X X X O X

Turbehaldus X X X X X X X X X X X X X

Andmekaitsespetsi alist

X X X X X O

Taristu eest vastutav isik

X X X X X O X X

Kasutaja X X

24

Süsteemiülem X X X X X X X X X O

Tabel. Soovitatavad koolitusmoodulid funktsioonide järgi

Selles näites kuuluvad moodulid 1 ja 2 kõigi töötajate baaskoolitussse ning need peavad teadlikkuse suurendamise meetmetega täpselt kokku sobima. Muud moodulid näitavad, milliseid valdkondi koolitatakse sihtgrupi tööülesannetest olenevalt.

ORP.4 Identiteedi- ja õiguste haldus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed identiteedi- ja õiguste halduse korraldamiseks. Nii kasutajad kui IT- komponendid peaksid saama juurdepääsu üksnes vajalikele IT-ressurssidele ja informatsioonile.

1.2 Vastutus Identiteedi- ja õiguste halduse meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Kasutaja, infoturbejuht, organisatsiooni juhtkond.

1.3 Piirangud Identiteedi- ja õiguste halduse meetmed IT-süsteemi komponentides, operatsioonisüsteemides või kataloogiteenustes esitatakse vastavates moodulites (nt SYS.1.3 Linuxi ja Unixi server, SYS.1.2.2 Windows Server 2012; APP.2.1 Kataloogiteenus üldiselt, APP2.2 Active Directory).

2 Ohud

2.1 Identiteedihalduse protsesside puudumine või puudulikkus Kui identiteedi- ja õiguste halduse protsessid on puudulikud või kui protseduure ei järgita, ei saa vastutav süsteemiülem personalimuudatuste kohta piisavat teavet. Selle tulemusena võib lahkunud töötaja kasutajakonto jääda sulgemata ja ta võib edaspidigi tundlikule teabele või pilvrakendustele juurde pääseda. Samuti võivad teise osakonda siirdunud töötajal säilida tema endised õigused.

2.2 Kasutaja õiguste keskse peatamise võimaluse puudumine Töötajal võib erinevatesse IT-süsteemidesse juurdepääsuks olla mitmeid kasutajakontosid. Kui IT-süsteemide juurdepääsudest puudub keskne ülevaade, siis ei saa süsteemiülemad ründe või paroolivarguse korral töötaja kõiki õigusi kohe peatada. Samuti võib töötaja lahkumisel jääda mõni juurdepääs sulgemata.

2.3 Pääsuõiguste puudulik haldamine Kui eri struktuuriüksustes vastutavad õiguste andmise eest erinevad isikud ja pääsuõiguste haldus on halvasti korraldatud, võib pääsuõiguste saamine osutuda põhjendamatult

25

keeruliseks või vastupidi, on tehtud liiga lihtsaks. Ühel juhul võivad puuduvad õigused takistada igapäevatööd, teisel võib mittevajalik pääsuõigus tekitada turvariski.

3 Meetmed

3.1 Elutsükkel

Kavandamine

ORP.4.M1 Kasutajakontode halduse eeskiri

ORP.4.M2 Õiguste andmine, muutmine ja tühistamine

ORP.4.M3 Kasutajate õiguste dokumenteerimine

ORP.4.M4 Kohustuste jaotamine ja kohustuste lahusus

ORP.4.M8 Paroolide kasutamise kord

ORP.4. M11 Paroolide lähtestamine ja muutmine

ORP.4.M12 IT-süsteemide ja rakenduste autentimiskord

ORP.4.M13 Sobivate autentimismehhanismide valimine

ORP.4.M22 Parooli kvaliteedinõuete kehtestamine

ORP.4.M23 Nõuded paroole töötlevatele IT-süsteemidele

Evitus

ORP.4.M5 Füüsilise ligipääsu haldamine

ORP.4.M6 IT-vahenditele juurdepääsu haldamine

ORP.4.M7 Andmetele juurdepääsu haldamine

ORP.4.M16 IT-süsteemidele juurdepääsu reguleerimine

ORP.4.M17 Sobiv identiteedi- ja õiguste halduse süsteem

Käitus

ORP.4.M9 Tuvastamine ja autentimine

ORP.4.M10 Eeliskontode kaitsmine

ORP.4.M14 Kasutajakontode kasutamise kontrollimine

ORP.4.M15 Identiteedi- ja õiguste halduse protseduurid

ORP.4.M18 Keskse autentimisteenuse kasutamine

ORP.4.M19 Töötajate juhendamine autentimisprotseduuride ja -mehhanismide kasutamisel

Lisanduvad kõrgmeetmed

ORP.4.M20 Identiteedi- ja õiguste halduse süsteemi avariivalmendus

ORP.4.M21 Mitmikautentimine

ORP.4.M24 Nelja silma põhimõtte rakendamine IT-halduses

3.2 Põhimeetmed

ORP.4.M1 Kasutajakontode halduse eeskiri [infoturbejuht]

a. Organisatsioon on koostanud ja kinnitanud kasutajakontode halduse eeskirja.

26

b. Kasutajakonto määratakse identideedipõhiselt, kasutajakonto on seotud konkreetse kasu- tajaga.

c. IT-süsteemi standardseades määratud isikustamata haldus- ja külaliskontod, mida reaalselt ei kasutata, desaktiveeritakse või kustutatakse.

d. Kasutajakontod, mida ei ole kaua aega kasutatud, desaktiveeritakse.

e. Kasutajarühmad määratakse rollipõhiselt.

ORP.4.M2 Õiguste andmine, muutmine ja tühistamine

a. IT-süsteemi kasutajakonto luuakse ja pääsuõigused antakse üksnes tööalase vajaduse alusel, kasutades minimaalsuse põhimõtet.

b. Muudatuste korral personali koosseisus tühistatakse pääsuõigused, mida enam ei vajata.

c. Mittevajalike kasutajakontode kustutamine on lubatud ainult erandjuhtudel ning ainult siis kui samade kasutajatunnuste taaskasutamine ei tekita probleeme identiteedihaldusega (nt AD/LDAP teenust kasutavates süsteemides).

d. Õigused määratakse vastavalt kasutaja rollile.

e. Tavapärasest suuremaid õigusi antakse töötajatele ülemuse taotluse alusel ning pärast va- jadust kinnitavate ja täpsustavate põhjenduse esitamist.

ORP.4.M3 Kasutajate õiguste dokumenteerimine

a. Kasutajakontod, moodustatud kasutajarühmad ja õiguste profiilid dokumenteeritakse.

b. Kasutajakontode, moodustatud kasutajarühmade ja õiguseprofiilide dokumentatsiooni ajakohasust ja vastavust kasutaja tööülesannete ning infoturbe nõuetega kontrollitakse re- gulaarselt.

c. Kasutajate õiguste dokumentatsioon on kaitstud lubamatu andmepääsu eest.

d. Elektroonilisel kujul talletatav kasutajate õiguste dokumentatsioon varundatakse vastavalt varundusprotseduurile.

ORP.4.M4 Kohustuste jaotamine ja kohustuste lahusus [organisatsiooni juhtkond]

a. Organisatsioon on määranud kohustused ja tööülesanded, kus infotehnoloogia kasutamine on vajalik.

b. On määratud, milliseid kohustusi või tööülesandeid ei saa täita sama isik.

c. Tööülesandeid määrates järgitakse kohustuste lahususe põhimõtteid, tööülesannete oma- vahelisi rollikonflikte arvestatakse täiendavate kontrollide kehtestamisel.

ORP.4.M5 Füüsilise ligipääsu haldamine [haldusosakond]

a. Organisatsioon on määranud töötaja kohustuste ja tööülesannete täitmiseks vajalikud füü- silise ligipääsu õigused.

b. Sissepääsuvahendina kasutatavate pääsmike (ingl security token) väljaandmine või kehte- tuks muutmine dokumenteeritakse.

c. Kõiki füüsilise ligipääsu õigusega isikuid juhendatakse sissepääsuvahendeid õigesti kasu- tama.

d. Isiku pikema äraoleku korral tema ligipääsuõigused ajutiselt peatatakse.

27

ORP.4.M6 IT-vahenditele juurdepääsu haldamine

a. Organisatsioon on määranud töötaja kohustuste ja tööülesannete täitmiseks vajalikud IT- vahendite juurdepääsuõigused.

b. Juurdepääsuvahendina kasutatavate kiipkaartide vm pääsmike väljaandmine või kehtetuks muutmine dokumenteeritakse.

c. Kõiki juurdepääsuõigusega isikuid juhendatakse juurdepääsuvahendeid õigesti kasutama.

d. Isiku pikema äraoleku korral tema juurdepääsuõigused ajutiselt peatatakse.

ORP.4.M7 Andmetele juurdepääsu haldamine [infoturbejuht]

a. Organisatsioon on määranud isiku kohustuste ja tööülesannete täitmiseks vajalikud and- mete juurdepääsuõigused.

b. Kui andmetele juurdepääsuks kasutatakse pääsmikku, siis selle väljaandmine või kehte- tuks muutmine dokumenteeritakse.

c. Kõiki andmepääsuõigusega isikuid juhendatakse juurdepääsuvahendeid õigesti kasutama.

d. Isiku pikema äraoleku korral andmetele juurdepääs ajutiselt peatatakse.

ORP.4.M8 Paroolide kasutamise kord [kasutaja, infoturbejuht]

a. Organisatsioonis on kehtestatud paroolide kasutamise kord (vt ka ORP.4.M22 Parooli kvaliteedinõuete kehtestamine ja ORP.4.M23 Nõuded paroole töötlevatele IT-süs- teemidele).

b. Paroolide kasutamise kord sätestab selgelt kasutaja kohustuse hoida paroole teiste eest salajas.

c. Paroole muudetakse regulaarselt, mõistliku ajavahemiku järel.

d. Kui on kahtlus, et volitamata isikud on parooli teada saanud, muudetakse parool koheselt.

e. On keelatud kasutada paroole, mis on hõlpsasti äraarvatavad või mis on välja toodud avaldatud enimkasutatud paroolide nimekirjades.

f. Sama parooli ei tohi kasutada rohkem kui üks kord.

g. Iga IT-süsteemi või rakenduse jaoks kasutatakse erinevat parooli.

h. Parooli talletamine kirjalikult on lubatud ainult erandjuhtudel, neid hoitakse turvalises asukohas.

i. Elektroonilise paroolihalduri kasutamine on lubatud ainult juhul, kui paroolihalduri kasu- tamiseks on läbi viidud turvaanalüüs ja kasutus on infoturbejuhiga kooskõlastatud. Eriti ettevaatlik tuleb olla paroolihaldurite puhul, mis sünkroniseerivad andmeid kolmanda osapoole pilveteenusega.

j. Kui IT-süsteemides saab kehtestada parooli keerukusreegleid, tuleb keerukusreeglid jõus- tada.

k. Kui IT-süsteem seda võimaldab, kasutatakse ainult parooliga autentimise asemel mit- mikautentimist.

ORP.4.M9 Tuvastamine ja autentimine

a. Juurdepääs kõigile IT-süsteemidele ja teenustele on kaitstud kasutajate (sh ka teised IT- süsteemid) tuvastamise ja autentimisega.

b. Parooliga juurdepääsuvahendi kasutamisel muudetakse parool juurdepääsuvahendi esma- kordsel kasutamisel.

28

ORP.4.M22 Parooli kvaliteedinõuete kehtestamine [infoturbejuht, kasutaja]

a. Nõuded parooli kvaliteedile on kehtestatud arvestades IT-süsteemide kaitsetarvet ja kasutajate profiili.

b. Parool peab olema piisavalt keerukas, et parooli ei saaks ära arvata.

c. Soovitatav on kasutada vähemalt 12 tähemärgi pikkuseid paroole.

d. Parool ei tohi olla nii keeruline, et kasutaja ei suuda seda regulaarse kasutuse puhul mõistlike pingutustega meelde jätta.

ORP.4.M23 Nõuded paroole töötlevatele IT-süsteemidele

a. IT-süsteemis või rakenduses ei talletata paroole avateksti kujul.

b. Võrgustatud IT-süsteemide ja rakenduste paroole edastatakse ainult krüpteeritult. See meede kehtib ka sisevõrgus kasutatavate rakenduste puhul.

c. IT-süsteemi või rakenduse nõutud paroolivahetusel on alati konkreetne põhjus.

d. IT-süsteemi või rakenduse standardsete kasutaja- ja süsteemikontode paroolid on muude- tud esimesel võimalusel. Vaikeparoolid asendatakse piisavalt tugevate paroolidega, vaiki- misi sisselogimissseaded muudetakse.

e. Edutu sisselogimiskatse puhul ei tohi IT- süsteem anda vihjet, kas vale on parool või kasutajanimi.

3.3 Standardmeetmed

ORP.4.M10 Eeliskontode kaitsmine

a. Eeliskontode (ingl privileged account) kaitseks väliste ründajate eest ja õiguste volitamatu laiendamise eest kasutatakse mitmikautentimist (ingl multifactor authentication).

ORP.4.M11 Paroolide lähtestamine ja muutmine

a. Paroolide lähtestamiseks või muutmiseks on organisatsioonis kehtestatud piisavalt turva- lised protseduurid.

b. Paroolide lähtestamise ja muutmisega seotud tugipersonal on asjakohaselt koolitatud.

c. Suurema kaitsetarbe puhuks on olemas tegevuskava parooli turvaliseks muutmiseks ja edastamiseks ilma tugipersonali osaluseta.

ORP.4.M12 IT-süsteemide ja rakenduste autentimiskord [infoturbejuht]

a. Organisatsioonis on iga IT-süsteemi ja rakenduse jaoks määratud autentimisnõuded ja kehtestatud autentimiskord.

b. Autentimisandmeid hoitakse krüpteerituna.

c. Autentimisandmeid edastatakse üle andmesidevõrkude krüpteeritult.

ORP.4.M13 Sobivate autentimismehhanismide valimine [infoturbejuht]

a. Organisatsioonis kasutatakse kaitsetarbele vastavaid tuvastus- ja autentimismehhanisme.

b. IT-süsteemide või rakenduste autentimisandmeid kaitstakse kogu nende töötlemise ajal volitamata juurdepääsu, muutmise ja hävitamise eest.

c. Pärast ebaõnnestunud sisselogimiskatseid suurendab IT-süsteem või rakendus ajavahe- mikku, mille möödudes on lubatud teha uus sisselogimine.

29

d. IT-süsteemis või rakenduses on võimalik määrata ebaõnnestunud sisselogimiskatsete arv, pärast mida IT-süsteemi või rakenduse kasutajakonto lukustatakse.

ORP.4.M14 Kasutajakontode kasutuse kontrollimine

a. Regulaarselt kontrollitakse, kas IT-süsteemide kasutajad kasutavad oma kasutajakontot ning logivad end pärast ülesande täitmist alati süsteemist välja.

b. IT-süsteemi sisenemine teise füüsilise kasutaja kasutajanimega on rangelt keelatud.

ORP.4.M15 Identiteedi- ja õiguste halduse protseduurid

a. Organisatsioonis on koostatud ja rakendatud protseduurid:

 pääsupoliitikate haldamiseks;

 kasutajakontode ja kasutajarühmade haldamiseks;

 õiguste profiilide ja kasutajarollide haldamiseks.

ORP.4.M16 IT-süsteemidele juurdepääsu reguleerimine

a. IT-süsteemidele juurdepääsu andmisel lähtutakse kehtestatud pääsupoliitikatest.

b. Kasutatakse töötaja ülesannetele vastavaid standardseid õiguste profiile.

c. Iga IT-süsteemi juurdepääsude haldamiseks on kehtestatud protseduurid.

d. Kasutajale lubatakse juurdepääs IT-süsteemidele ja teenustele pärast kasutaja tuvastamist ja autentimist.

ORP.4.M17 Sobiv identiteedi- ja õiguste halduse süsteem [infoturbejuht]

a. Identiteedi- ja pääsuõiguste halduse süsteem:

 on sobitatud organisatsiooni ja selle äriprotsessidega ning vastab nende kaitsetarbele:

 vastab organisatsioonis kehtivatele pääsuhalduse nõuetele;

 võimaldab ellu viia kohustuste lahususe põhimõtet.

b. Identiteedi- ja pääsuõiguste halduse süsteemi kaitstakse siseste ja väliste rünnete eest.

ORP.4.M18 Keskse autentimisteenuse kasutamine [infoturbejuht]

a. Ühtse identiteedi- ja õiguste halduse rakendamiseks kasutatakse keskset ainulogimisega autentimisteenust (ingl single sign-on access).

b. Enne teenuse kasutuselevõttu on kavandatud ja dokumenteeritud keskse autentimisteenuse turvanõuded.

ORP.4.M19 Töötajate juhendamine autentimisprotseduuride ja -mehhanismide kasutamisel [kasutaja, IT-talitus]

a. Töötajatele tutvustatakse autentimise korda ja juhendatakse, kuidas autentimisprotseduure õigesti kasutada.

b. Autentimiseks on koostatud kõigile töötajaile arusaadavad juhised.

30

3.4 Kõrgmeetmed

ORP.4.M20 Identiteedi- ja õiguste halduse süsteemi avariivalmendus [organisatsiooni juhtkond, infoturbejuht](C-I-A)

a. Talitluspidevuse tagamiseks tuvastatakse identiteedi- ja õiguste halduse süsteemi turva- kriitilisus äriprotsesside vaates ning kontrollitakse identiteedi- ja õiguste halduse süsteemi avariiolukorraks valmisolekut.

b. Avariiolukordade puhul tegutsemiseks on koostatud kasutajaõiguste erikontseptsioon ja määratud avariiolukorras rakendatavad õiguseprofiilid vastavalt töötajate hädaolukorras teistsuguseks muutuvatele kohustustele.

ORP.4.M21 Mitmikautentimine [IT-talitus] (C)

a. Suure kaitsetarbe korral kasutakse autentimiseks turvalist mitmikautentimist, nt ID-kaardi või tookeni (ingl token) abil.

ORP.4.M24 Nelja silma põhimõtte rakendamine IT-halduses [IT-talitus] (C)

a. Suure kaitsetarbega haldustegevuste läbiviimiseks kasutatakse kahte administraatorit.

b. Mitmikautentimise korral on autentimisvahendid administraatorite vahel jagatud. Ainult parooli kasutamise puhul on parool jagatud kaheks osaks, millest kumbki administraator teab ainult oma osa.

ORP.5 Vastavusehaldus (nõuete haldus)

1 Kirjeldus

1.1 Eesmärk Esitada meetmed organisatsiooni eesmärkidel, õigusaktidel, lepingutel ja poliitikatel põhinevate turvanõuete kehtestamiseks ja järgimiseks.

1.2 Vastutus Vastavusehalduse meetmete täitmise eest vastutab vastavushaldur.

Lisavastutajad

Infoturbejuht, organisatsiooni juhtkond, haldusosakond, ülemus.

1.3 Piirangud Selles moodulis käsitletakse infoturbe vastavusehaldust üldiselt, konkreetseid valdkonnakohaseid õigusakte ja üksikuid lepinguid meetmetes ei käsitleta.

2 Ohud

2.1 Seaduse- või lepingusätete rikkumine Infoturvameetmete puuduliku rakendamise tulemusena võidakse kas kogemata või tahtlikult rikkuda seaduse- või lepingusätteid.

31

2.2 Teabe lubamatu avaldamine Kui töötaja eirab kehtestatud turvanõudeid, võib konfidentsiaalne teave lekkida.

2.3 Suhtluspartneri identiteedi puudulik kontrollimine Suhtlemisel e-kanalite vahendusel jäetakse suhtluspartneri identiteedi samasus enamasti tuvastamata. Seda kas peetakse ebaviisakaks või on see tehniliselt keerukas. Alusetult eeldatakse, et vestluse või e-kirja sisu on konfidentsiaalne ning et teave ei satu valedesse kätesse.

2.4 Siseteabe kogemata avaldamine Teabe edastamisel, nt telefoni teel või irdmäluseadme ning e-kirja vahendusel, võib juhtuda, et peale soovitud teabe avaldatakse kogemata ka midagi soovimatut. Kui töötaja kasutab pilvteenust hooletult, võib ta tahtmatult lekitada konfidentsiaalset teavet.

3 Meetmed

3.1 Elutsükkel

Kavandamine

ORP.5.M1 Õiguslike raamtingimuste piiritlemine

ORP.5.M4 Vastavusehalduse kavandamine ja korraldamine

Käitus

ORP.5.M2 Õiguslike raamtingimuste järgimine

ORP.5.M5 Erandite haldus

Parendamine ja täiustamine

ORP.5.M8 Vastavusehalduse regulaarne läbivaatus

Lisanduvad kõrgmeetmed

ORP.5.M9 Teabe tagantjärele muutmise kaitse

ORP.5.M10 Informatsiooni turvamärgendus

ORP.5.M11 Krüptograafia õiguslike kitsenduste väljaselgitamine

3.2 Põhimeetmed

ORP.5.M1 Õiguslike raamtingimuste piiritlemine [haldusosakond, ülemus, organisatsiooni juhtkond]

a. Organisatsioonis on välja töötatud protsess kõigi turbehaldusele mõju avaldavate õigusak- tide, lepingute ja muude nõuete väljaselgitamiseks. Asjakohased nõuded dokumen- teeritakse.

b. Tuvastatud õiguslikke raamtingimusi võetakse arvesse äriprotsesside, rakenduste ja IT- süsteemide kavandamisel ning IT-komponentide hankimisel.

c. Õiguslikke raamtingimusi kontrollitakse ja dokumenteeritud nõudeid uuendatakse re- gulaarselt.

d. Õigusaktidest tulenevaid erinõudeid arvestatakse eriti järgmistes valdkondades:

32

 isikuandmete kaitse;

 ärisaladuse kaitse;

 intellektuaalomandi kaitse;

 krüptograafia kasutamine;

 IT-süsteemide logimine ja seire;

 andmete pikaajaline säilitamine;

 tegutsemine eriolukorras.

ORP.5.M2 Õiguslike raamtingimuste järgimine [ülemus, haldusosakond, organisatsiooni juhtkond]

a. Äriprotsesside kujundamisel või IT-süsteemide väljatöötamisel arvestatakse õiguslikest raamtingimustest tulenevaid infoturbe nõudeid juba kavandamise ja disaini etappides.

b. Õigusaktide nõuete järgimise üldvastutus on organisatsiooni juhtkonnal.

c. Õiguslike raamtingimuste järgimise ja õigusaktide nõuete täitmise eest vastutavad konk- reetsed, kinnitatud tööülesannetega töötajad.

d. Mittevastavuste kõrvaldamiseks rakendatakse sobivaid meetmeid.

3.3 Standardmeetmed

ORP.5.M4 Vastavusehalduse kavandamine ja korraldus [organisatsiooni juhtkond]

a. Iga konkreetse valdkonna õigusaktide nõuetest ülevaate tagamiseks on määratud vastutavad isikud ja nende vastavusehalduse ülesanded.

b. Vastavusnõuetest tehakse sihtrühmadele struktureeritud kokkuvõtted.

c. Vastavusnõuetest tulenevad täiendavad infoturvameetmed integreeritakse eeskirjadesse ja kordadesse koostöös infoturbejuhiga.

d. Vastavusehalduse infoturvameetmete rakendamist kontrollitakse regulaarselt.

ORP.5.M5 Erandite haldus [infoturbejuht]

a. Erandjuhtudel võib turvapoliitika järgimises teha mööndusi. Erandite tegemine turvapolii- tikast põhjendatakse ja viiakse läbi riskihindamine.

b. Erandid kooskõlastatakse juhtkonnaga, kõigist eranditest säilitatakse ülevaade.

c. Tähtajaliste erandite puhul kontrollitakse regulaarselt erandite jätkuvat vajadust.

ORP.5.M8 Vastavusehalduse regulaarne läbivaatus

a. Vastavushalduse ning sellest tulenevate meetmete tõhususe ja toimivuse läbivaatust teha- kse regulaarselt (vt DER.3.1 Auditid ja läbivaatused).

b. Regulaarsel läbivaatusel kontrollitakse töökorralduse ja äriprotsesside vastavust muutu- vatele vastavusehalduse nõuetele.

3.4 Kõrgmeetmed Moodulis kõrgmeetmed puuduvad.

33

CON: Kontseptsioonid ja metoodikad

CON.1 Krüptokontseptsioon

1 Kirjeldus

1.1 Eesmärk Esitada krüptograafiliste vahendite kasutamise korralduslikud meetmed ning juhised krüptokontseptsiooni koostamiseks.

1.2 Vastutus Krüptokontseptsiooni meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad

Vastutav spetsialist, IT-talitus.

1.3 Piirangud Krüptograafiliste vahendite (krüptograafilist funktsiooni täitev riist- või tarkvaraüksus) käitamisega seotud IT protseduurid esitatakse mooduligrupis OPS.1.1 IT-põhitööd. Üksikute rakenduste või IT-süsteemide kaitsmist krüptograafia abil kirjeldatakse vastavate rakenduste moodulites.

2 Ohud

2.1 Puudulik võtmehaldus Puuduliku võtmehalduse tulemusena võib paljastuda konfidentsiaalne teave. Kui protsessijuhendi puudumise tõttu on krüpteeritud andmed ja krüptovõtmed ekslikult paigutatud samale andmekandjale, saavad sümmeetrilise krüptoprotseduuri korral kõik andmekandjale või sidekanalile juurdepääsu omavad isikud andmeid dekrüpteerida.

Puudulik võtmehaldus võib ohustada andmete käideldavust, nt kui krüptovõtme või sertifikaadi kehtivusaeg on läbi saanud ja krüptovahendeid ei ole õigeaegselt uuendatud.

2.2 Õiguslike raamtingimuste rikkumine krüptomoodulite rakendamisel Õiguslikud raamtingimused krüptograafiliste vahendite rakendamisel võivad riigiti erineda. Mõnes riigis ei tohi krüptomooduleid (ingl cryptographic module) ilma riikliku loata kasutusele võtta või on riigis piiratud suure murdmiskindlusega krüptograafiaga toodete eksport. Kui andmekaitse regulatsioon nõuab isikuandmete kaitseks selliste krüptograafiliste protseduuride kasutamist, mida teise riigi seadused ei toeta, muutub andmekaitse subjektide vaheline andmevahetus võimatuks.

2.3 Andmete konfidentsiaalsuse või tervikluse kadu kasutamisvigade tõttu Kui organisatsioon võtab kasutusele krüptograafilise vahendi, mille kasutamine on liiga keerukas või see ei ole intuitiivne, võivad kasutajad krüptograafiliste vahendite kasutamisest loobuda ja selle asemel edastada andmeid avateksti kujul. See võimaldab ründajatel pealt kuulata edastatavaid andmeid.

34

2.4 Krüptograafilise vahendi tarkvaravead või turvanõrkused Krüptomehhanismide turvalisust võivad vähendada nõrkused või vead krüptograafiliste vahendite tarkvaras. Näiteks võivad krüptomooduli poolt genereeritud juhuarvud olla prognoositavad, mistõttu juhuarvuga seotud krüptovõtme rekonstrueerimine lihtsustub oluliselt. Krüptograafilist funktsiooni täitva riist- või tarkvara turvanõrkusi saab ründaja ära kasutada elutähtsate süsteemide manipuleerimiseks ja andmete volitamata muutmiseks.

2.5 Krüptomooduli tõrge Tehniliste defektide, elektrikatkestuste või tahtliku hävitamise tõttu võib tekkida tõrge riistvaralises krüptomoodulis. Seetõttu pole krüpteeritud andmeid niikaua võimalik kasutada kuni asendatakse dekrüpteerimiseks vajalik riistvara. Organisatsiooni ärikriitilised protsessid võivad seiskuda.

2.6 Ebaturvalised krüptograafilised vahendid Ebaturvaliste või aegunud krüptoalgoritmide murdmiseks ei ole tarvis kalleid ressursse. Isegi kui organisatsioonisiseselt kasutatakse üksnes turvalisi ja sertifitseeritud tooteid, võib teabevahetus osutuda murtavaks juhul, kui organisatsiooniväline suhtluspartner ajakohaseid krüptograafilisi vahendeid ei kasuta.

2.7 Viga krüpteeritud andmetes või krüptovõtmes Kui pärast andmete krüpteerimist krüptogrammi muudetakse, ei ole krüpteeritud teksti võimalik dekrüpteerida. Ainuüksi ühe biti vahetumine krüptovõtmes muudab krüpteeritud andmete dekrüpteerimise võimatuks. Kui andmetest ei ole tehtud varukoopiat, muutuvad kõik andmed kättesaamatuks.

2.8 Krüptovõtme paljastamine Krüptomehhanismi turvalisus oleneb sellest, kas krüptovõtmed jäävad konfidentsiaalseks. Ründaja proovib enamasti tuvastada kasutatud võtit. Teades võtit ja krüptomehhanismi, on ründajal võimalik andmed dekrüpteerida. Selleks võib ründaja üritada taastada krüptovõtit kasutatud seadme mälutõmmisest (ingl memory dump), otsida seda konfiguratsioonifailidest või andmete varukoopiatest. Krüpteeritud kõvaketta korral võib ründaja kõvaketta dekrüpteerimiseks paigaldada klaviatuuri ja arvuti vahele paroolile juurdepääsu saamiseks klahvilogeri (ingl keylogger).

2.9 Võltsitud sertifikaat Sertifikaate kasutatakse avaliku krüptovõtme konkreetse isiku privaatvõtmega sidumiseks, mis on omakorda krüptograafiliselt kaitstud digitaalsignatuuri abil. Kui sertifikaat on võltsitud, seotakse digitaalsignatuurid sertifikaadis nimetatud isikuga vääralt või krüpteeritakse ja edastatakse andmed ebaturvalise võtmega.

3 Meetmed

3.1 Elutsükkel

Kavandamine

CON.1.M1 Krüptomehhanismide kasutuselevõtu kavandamine

CON.1.M9 Krüptograafiliste vahendite valikukriteeriumite kehtestamine

35

Käitus

CON.1.M2 Andmete turvalisuse tagamine krüptomehhanismide kasutamisel

CON.1.M4 Turvaline võtmehaldus

CON.1.M10 Krüptokontseptsioon

CON.1.M15 Reageerimine krüptomehhanismide nõrgenemisele

CON.1.M19 Kasutatavate krüptograafiliste vahendite loend

Kõrvaldamine

CON.1.M5 Krüptovõtmete turvaline kustutus ja hävitamine

Lisanduvad kõrgmeetmed

CON.1.M11 Krüptograafiliste funktsioonidega riistvara testimine

CON.1.M16 Riistvaraliste krüptomoodulite füüsiline turve

CON.1.M17 Kiirguseturbe meetmed

CON.1.M18 Krüptograafiliste funktsioonidega riistvara asendus

CON.1.M20 Krüptograafiliste funktsioonidega riist- ja tarkvara manipuleerimise tuvastamine

3.2 Põhimeetmed

CON.1.M1 Krüptomehhanismide kasutuselevõtu kavandamine [vastutav spetsialist]

a. Krüptomehhamismide valimisel eelistatakse sõltumatutes uuringutes heakskiidetud krüptoalgoritme, mida on põhjalikult kontrollitud ja mis on teadaolevate turvanõrkusteta.

b. Krüptograafilises vahendis kasutatakse hetkel soovitatavaid võtmepikkusi.

c. Võtme pikkuse määramisel arvestatakse selle sobivust krüptovõtme plaanitud kasutusajaga. Pikemate kasutusaegade puhul on soovitatav võtme pikkust suurendada.

CON.1.M2 Andmete turvalisuse tagamine krüptomehhanismide kasutamisel [IT- talitus]

a. Krüpteeritud andmete varundamisel on krüptovõtmed kaitstud lubamatu juurdepääsu eest.

b. Pika kasutuskestusega krüptovõtmeid hoitakse väljaspool kasutatavat IT-süsteemi paiknevas võrguühenduseta asukohas.

c. Krüpteeritud andmete pikaajalisel säilitamisel on tagatud andmetele juurdepääs. Krüpteerimiseks kasutatud krüptoalgoritmide ja võtmepikkuste vastavust hetkel soovitavatele väärtustele kontrollitakse regulaarselt.

d. Kasutusest võetud krüptograafilised vahendid on arhiveeritud ning vastav riist- ja tarkvarakonfiguratsioon on varundatud.

CON.1.M4 Turvaline võtmehaldus

a. Krüptograafiliste vahendite krüptovõtmete halduseks on kehtestatud sobiv võtmehaldussüsteem ja loodud turvaline keskkond.

b. Võtmehaldussüsteem käsitleb krüptovõtmete tervikluse ja autentsuse säilitamist kogu võtme elutsükli (võtmete loomine, säilitamine, uuendamine, hävitamine) vältel.

36

c. Krüptovõtmete loomisel on kasutatud sobivat võtmegeneraatorit ja turvalist keskkonda.

d. Kolmandate poolte genereeritud võtmete kasutamisel kontrollitakse võtmeandmete päritolu ja terviklust. Kontrollimatu võtmehoidlaga krüptograafilisi vahendeid ei kasutata.

e. Krüptograafiliste vahendite vaikevõtmed (va avaliku võtme sertifikaadid) on asendatud.

f. Võimalusel kasutatakse krüptovõtit ainult üheks kasutusotstarbeks. Krüpteerimiseks ja signatuuride moodustamiseks kasutatakse erinevaid võtmeid.

g. Salajased võtmed (ingl secret key) on kaitstud volitamata juurdepääsu eest ja nende transpordil kasutatakse turvalisi edastuskanaleid.

h. Krüptovõtmeid muudetakse vastavalt IT-süsteemi nõuetele ja fikseeritud sagedusega.

i. Salajaste võtmete ja privaatvõtmete (ingl private key) avalikuks tuleku puhuks on loodud protseduurid intsidendi käsitlemiseks.

3.3 Standardmeetmed

CON.1.M5 Krüptovõtmete turvaline kustutus ja hävitamine [IT-talitus]

a. Kasutusest võetud krüptovõtmed ja sertifikaadid kustutatakse turvaliselt ja hävitatakse.

b. Krüptovõtmete turvalise kustutuse ja hävitamise protseduurid on dokumenteeritud krüptokontseptsioonis.

CON.1.M9 Krüptograafiliste vahendite valikukriteeriumite kehtestamine [vastutav spetsialist]

a. Enne krüptograafiliste vahendi valimist määratakse, millistele nõuetele peab toode vastama. Seejuures pööratakse tähelepanu järgmistele aspektidele:

 funktsionaalsus;

 koostalitlusvõime;

 majanduslik otstarbekus;

 töö- ja tõrkekindlus;

 tehnilised aspektid;

 personali- ja korralduslikud aspektid;

 kasutatavad krüptomehhanismid, -algoritmid ja võtmepikkused;

 andmekaitse nõuded;

 õiguslikud raamtingimused (sh rahvusvahelised õiguslikud aspektid).

b. Kasutusotstarbe ja käituskoha alusel otsustatakse, kas on vajalik kasutada ainult sertifitseeritud krüptovahendeid.

CON.1.M10 Krüptokontseptsioon

a. Organisatsiooni krüptokontseptsiooni loomisel on lähtutud organisatsiooni üldisest turvapoliitikast. Krüptokontseptsioon esitab kasutatavate krüptomehhanismide ja krüptograafiliste vahendite tehnilised ja korralduslikud nõuded.

b. Krüptokontseptsioonis on sätestatud vähemalt järgmine:

 vastutus krüptograafiliste vahendite eest;

 krüptograafiliste vahendite turvaline konfigureerimine ja nõutavad tehnilised parameetrid;

37

 krüptograafiliste vahendite testimine;

 krüptograafiliste vahendite turvaline kasutamine;

 krüptograafiliste vahendite turvaline haldus;

 krüptovõtmete haldus (sh võtmete turvaline varundamine);

 krüptograafiliste vahendite asendamine;

krüptograafiliste vahendite turvaline kustutus ja hävitamine.

c. Krüptograafiliste vahendite kasutajatele on koostatud õppematerjalid, tegevusjuhised ning loodud teavitusteed probleemidest ja turvasündmustest teavitamiseks.

d. Asjassepuutuvad töötajad järgivad tegevusjuhiseid.

e. Krüptokontseptsiooni täitmist kontrollitakse regulaarselt. Kontrollitulemused dokumenteeritakse. Vajadusel krüptokontseptsioon ajakohastatakse.

CON.1.M15 Reageerimine krüptomehhanismide nõrgenemisele

a. Usaldusväärsetele allikatele tuginedes kontrollib organisatsioon vähemalt korra aastas kõigi kasutatavate krüptograafiliste vahendite, meetodite ja parameetrite ajakohasust ja turvalisust.

b. Krüptomehhanismi turvanõrkuste ilmnemiseks on koostatud protseduur, mis taastab krüptomehhanismi nõutava turvataseme või asendab nõrgenenud krüptograafilise vahendi sobiva alternatiiviga.

CON.1.M19 Kasutatavate krüptograafiliste vahendite loend [IT-talitus]

a. Organisatsioon on loonud kasutatavate krüptograafiliste vahendite (sh krüptograafiliste funktsioonidega riist- ja tarkvara) loendi. Loend sisaldab vähemalt järgmist:

 IT-süsteemid, mis antud krüptograafilist vahendit kasutavad;

 krüptograafilise vahendi kasutamise eesmärk (nt arvuti kõvaketta krüpteerimine);

 krüptograafilised meetodid ja krüptomehhanismid;

 krüptograafilise vahendi turvaparameetrid (nt võtme pikkus).

3.4 Kõrgmeetmed

CON.1.M11 Krüptograafiliste funktsioonidega riistvara testimine (C-I) [IT-talitus]

a. Krüptograafiliste funktsioonidega riistvara kasutuselevõtu eel luuakse uued krüptovõtmed ja kontrollitakse, kas krüptograafilised funktsioonid toimivad ootuspäraselt.

b. Krüptograafiliste funktsioonidega riistvara testimisprotseduurid on kirjeldatud krüptokontseptsioonis.

c. IT-süsteemi muudatuste järgselt testitakse kasutavate krüptograafiliste funktsioonide toimivust.

d. Krüptograafiliste funktsioonidega riistvara konfiguratsiooni õigsust kontrollitakse regulaarselt.

e. Võimalusel kasutatakse krüptograafiliste funktsioonidega riistvara, mis võimaldab läbi viia eneseteste.

38

CON.1.M16 Riistvaraliste krüptomoodulite füüsiline turve (C-I) [IT-talitus]

a. On rakendatud meetmed krüptograafiliste funktsioonidega riistvarale volitamata füüsilise juurdepääsu tõkestamiseks.

CON.1.M17 Kiirguseturbe meetmed (C) [IT-talitus]

a. Lähtuvalt teabe konfidentsiaalsusvajadusest võetakse kiirguseturbe parendamiseks kasutusele täiendavad meetmed.

b. Kiirguseturbe meetmed ja meetmete rakendamise lävendid on dokumenteeritud krüptokontseptsioonis.

CON.1.M18 Krüptograafiliste funktsioonidega riistvara asendus (C-I-A) [IT-talitus]

a. Krüptograafiliste funktsioonidega riistvara asendamiseks on olemas asendusriistvara, nt piisav varu mitmikautentimiseks kasutatavaid riistvaralisi krüptopääsmikke (ingl cryptographic token).

b. On olemas krüptograafiliste funktsioonidega riistvara asendamist kirjeldavad juhendid.

CON.1.M20 Krüptograafiliste funktsioonidega riist- ja tarkvara manipuleerimise tuvastamine (C-I)

a. Kasutusele võetud krüptomooduleid ei saa märkamatult välja lülitada ega ignoreerida.

b. Krüptograafilisi funktsioone täitvate riist- või tarkvaraüksuste toimimist seiratakse võimalike manipuleerimiskatsete tuvastamiseks.

4 Lisateave

Lühend Publikatsioon

[BSI] BSI TR-02102-1 „Cryptographic Mechanisms Recommendations and Key Lengths“

https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Publications/ TechGuidelines/TG02102/BSI-TR-02102-1.pdf?__blob=publicationFile&v=6

CON.2 Isikuandmete kaitse

1 Kirjeldus

1.1 Eesmärk Esitada organisatsioonile meetmed füüsiliste isikute (andmesubjektide) põhiõiguste kaitseks isikuandmete töötlemisel.

Turvameetmete rakendamine äriprotsesside kaitseks tagab andmeid töötleva organisatsiooni turvalisuse, kuid see ei pruugi ilma täiendavaid meetmeid rakendamata olla piisav füüsiliste isikute (andmesubjektide) kaitsmiseks isikuandmete väärkasutuse eest.

1.2 Vastutus Isikuandmete kaitse meetmete rakendamise eest vastutab organisatsiooni juhtkond.

39

Lisavastutajad

IT-talitus, infoturbejuht, testija, personaliosakond, andmekaitsespetsialist.

1.2 Piirangud Õigusaktidest tulenevate andmekaitsenormide, sh isikuandmete töötlemise põhimõtete järgimine on andmetöötleja kohustus.

Andmekaitsespetsialisti ülesandeks on analüüsida ja kontrollida isikuandmete töötlemise toimingute õiguspärasust organisatsioonis, andes talle seoses tema kohustustega nõu ja soovitusi. Sel põhjusel ei ole andmekaitse spetsialisti tegevusi vastutajana järgnevates moodulites välja toodud.

Moodulis esitatavaid meetmeid rakendatakse isikuandmeid salvestatavatele ja talletavatele sihtobjektidele.

Täiendavalt tuleb isikuandmete kaitseks rakendada asjakohaseid meetmeid järgnevatest moodulitest:

 ORP.2 Personal

 ORP.4 Identideedi- ja õiguste haldus

 ORP.5 Vastavusehaldus (nõuete haldus)

 CON.1 Krüptokontseptsioon

 CON.3 Andmevarunduse kontseptsioon

 CON.6 Andmete kustutus ja hävitamine

 CON.8 Tarkvaraarendus

 CON.9 Teabevahetus

 OPS.1.1.3 Paiga- ja muudatusehaldus

 OPS.1.1.4 Kaitse kahjurprogrammide eest

 OPS.1.1.5 Logimine

 OPS.1.1.6 Tarkvara testimine ja kasutuselevõtt

 OPS.1.2.2 Arhiveerimine

 OPS.2.2 Pilvteenuste kasutamine

 OPS.2.3 Väljasttellimine

 OPS.3.2 Teenuseandja infoturve

 DER.1 Turvaintsidentide avastamine

 DER.2.1 Turvaintsidentide käsitlus

 DER.3.1 Auditid ja läbivaatused

 NET.3.2 Tulemüür

 NET.3.3 Virtuaalne privaatvõrk (VPN)

40

2 Ohud

2.1 Andmekaitseregulatsioonide eiramine Euroopa Liidu isikuandmete kaitse üldmäärus (ingl General Data Protection Regulation, GDPR), isikuandmete kaitse seadus ning teatud juhtudel ka muud seadusandlikud aktid esitavad nõuded isikuandmete töötlemisele. Regulatsiooni eesmärk on füüsiliste isikute (andmesubjektide) õiguseid kaitsta.

Oht füüsilistele isikutele tekib, kui organisatsioon eirab andmekaitsenõudeid, nt töödeldes andmeid eesmärgita või suuremas ulatuses kui on eesmärgi täitmiseks vajalik, õigusliku aluseta, läbipaistmatult, turvameetmeid rakendamata või ilma andmesubjekti sekkumisvõimaluseta. Lisaks organisatsiooni poolt isikutele tekitatud kahjude hüvitamisele on isikuandmete kaitse üldmäärusest tulenevalt võimalik andmekaitsenõuete rikkujat trahvida kuni 20 000 000 euro ulatuses või ettevõtja puhul kuni 4% tema eelneva majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb on suurem.

2.2 Puudulikud andmetöötlusprotseduurid Andmete väärkasutamise oht kasvab, kui organisatsioonis puuduvad protseduurid IT- süsteemidele ja andmetele õiguspärase juurdepääsu tagamiseks või kui töötajatel on juurdepääs isikuandmetele, mida ei ole konkreetsete tööülesannete täitmiseks vaja.

Kui andmete kasutamist ei kontrollita või kui andmete töötluse faktid ei ole logide ega dokumentatsiooni abil tõendatavad, võib suureneda andmete väärkasutamine.

Kui andmetöötlusjuhendid ei sätesta, kuidas ja millises ulatuses organisatsiooni töötajad tohivad isikuandmeid vaadata, muuta või edastada, võib töötaja selge ja üheselt mõistetava juhendi puudumise tõttu isikuandmete töötlemise käigus eksida.

2.3 Puudulikud ressursid Kui organisatsioon hindab isikuandmete kaitsevajadust liiga madalaks ja ei eralda isikuandmete kaitseks piisavalt tööjõudu, vahendeid jm vajalikke ressursse, jäävad isikuandmete kaitse korralduslikud ja tehnilised meetmed kas osaliselt või täielikult rakendamata. Tulemus ei pruugi tagada isikuandmete piisavat kaitset, seadusest tulenevad nõuded jäävad täitmata.

Ressursside puuduse põhjuseks on tihtipeale organisatsiooni juhtkonna ükskõiksus või teadmatus andmekaitsereeglite ja andmekaitse vajalikkuse osas.

2.4 Puudulik privaatsus Isikuandmete töötlemine võib riivata andmesubjekti õigust perekonna- ja eraelu puutumatusele.

Eriti intensiivne riive võib tekkida, kui töödeldakse eriliigilisi isikuandmeid ehk isikuandmeid, mis paljastavad rassilist ja etnilist päritolu, poliitilisi vaateid, religioosseid või maailmavaatelisi tõekspidamisi ning ametiühingusse kuulumist, samuti geneetilisi andmeid, andmeid tervise, seksuaalelu ning biomeetria kohta.

Puudulik privaatsus tähendab isikuandmete töötlemist, millega seotud tegevused või tegevusetus, rakendamisest tulenevad tagajärjed, sealhulgas kõrgendatud oht isikuandmetega seotud rikkumise toimepanemisele, põhjustavad andmesubjekti perekonna- ja eraelu puutumatuse riive. Näiteks on õigusrikkumine inimese andmete vaatamine andmekogus ilma selleks tegevuseks õiguslikku alust omamata.

41

2.5 Isikuandmete konfidentsiaalsuse kadu Isikuandmete töötlemisel on alati oht, et andmed satuvad volitamata isikute kätte. See võib juhtuda näiteks andmebaasi turvalisuse rikkumise, häkkerite rünnaku või füüsilise andmekandja kaotamise tõttu. Andmelekete tagajärjel võidakse isikuandmeid kuritarvitada, need võivad saada aluseks isiku identiteedivargusele või muudele ebaseaduslikele, isiku enesemääramise õigusi kahjustavatele tegevustele.

2.6 Ebatäpsete andmete töötlemine Isikuandmete töötlemisel on oht, et andmed muutuvad ebatäpseks, ebaõigeks või aegunuks. See võib juhtuda inimese enda eksimuste või IT-süsteemis tekkivate vigade tõttu. Andmete masstöötlusel on selliseid vigu väga keeruline tuvastada. Isiku kohta käivate ekslike andmete töötlemine võib viia ebaõigete otsuste tegemiseni ja võib mõjutada inimeste õigusi, vabadusi ja huve.

2.7 Andmetöötleja mainekahju Töötajate, klientide või partnerite isikuandmete lekkimine organisatsiooni enda süül võib organisatsiooni mainet tugevasti kahjustada. Kliendid võivad loobuda lepingutest, mis on organisatsiooniga sõlmitud ning see avaldub käibe vähenemisest tuleneva rahalise kahjuna. Töötajad ja partnerid kaotavad organisatsiooni vastu usalduse.

3 Meetmed

3.1 Elutsükkel

Kavandamine

CON.2.M1 Isikuandmete kaitse kavandamine

CON.2.M2 Andmekaitsespetsialisti (andmekaitseametniku) määramine

CON.2.M3 Isikuandmete töötluse kaardistamine

Evitus

CON.2.M4 Andmekaitsepoliitika ja andmekaitsejuhiste väljatöötamine

CON.2.M7 Andmekaitsetingimuste dokumenteerimine

Käitus

CON.2.M5 Organisatsiooni töötajate teadlikkuse tõstmine

CON.2.M6 Isikuandmete töötlemise õigus- ja eesmärgipärasuse ning minimaalsuse tagamine

CON.2.M8 Andmesubjekti õiguste tagamine

CON.2.M9 Isikuandmete pseudonüümimine ja anonüümimine

CON.2.M10 Isikuandmetele juurdepääsu piiramine

CON.2.M11 Isikuandmete korrakohane säilitamine

CON.2.M12 Isikuandmete kaitse tehniliste meetmete rakendamine

CON.2.M13 Andmekaitsealased mõjuhinnangud

CON.2.M14 Volitatud töötlejate haldus

CON.2.M15 Isikuandmete turvaline krüpteerimine

42

CON.2.M16 Isikuandmete säilitamise eeskiri

CON.2.M17 Keskne pääsuhalduse süsteem

CON.2.M18 Isikuandmete töötlemise turve

CON.2.M19 Andmetöötluse toimingute logimine

CON.2.M20 Andmetöötluse asukohtade füüsiline turvalisus

CON.2.M21 Võrguturbe tagamine

CON.2.M22 Lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtete rakendamine rakendustes

CON.2.M23 Isikuandmeid sisaldavate rakenduste testimine

CON.2.M24 Privaatsusseadistused veebilehtedel

CON.2.M25 Isikuandmete kustutamine töötaja lahkumisel

CON.2.M26 Andmekaitseauditi läbiviimine

Lisanduvad kõrgmeetmed

CON.2.M27 Tähtajalised juurdepääsuõigused

CON.2.M28 Isikuandmete töötlemise automaatseire

CON.2.M29 Juurdepääsupiirangute klassifikaator

CON.2.M30 Isikuandmete automaatne tuvastamine

CON.2.M31 Digitaalsete õiguste halduse süsteem

3.2 Põhimeetmed

CON.2.M1 Isikuandmete kaitse kavandamine

a. Organisatsioonis on analüüsitud töödeldavate isikuandmete asukohti, liike ja kaitsetarvet.

b. Organisatsioon on kaardistanud ning dokumenteerinud seadusandlusest ning kolmandate pooltega sõlmitud lepingutest tulenevad andmekaitsenõuded.

c. Organisatsioon on tuvastanud isikuandmete kaitse meetmete rakendamise kohustuse ja määranud isikuandmete kaitse meetmete eest vastutajad.

CON.2.M2 Andmekaitsespetsialisti (andmekaitseametniku) määramine

a. Organisatsiooni juhtkond on määranud andmekaitsespetsialisti, kui isikuandmete kaitse üldmääruse (IKÜM) artikkel 37 seda nõuab.

b. Organisatsioon tagab, et andmekaitsespetsialist saab oma teadmisi regulaarselt uuendada (koolitused) ning võimaluse olla kursis andmekaitse-alaste arengute ja sündmustega.

c. Organisatsioon tagab andmekaitsespetsialisti nõuetekohase ja õigeaegse kaasamise kõikidesse isikuandmete kaitsega seotud küsimustesse.

CON.2.M3 Isikuandmete töötluse kaardistamine

a. Organisatsioon on kaardistanud isikuandmete töötlemise kogu andmete elutsükli ulatuses.

b. Kaardistamise tulemused on dokumenteeritud isikuandmete töötlemise ülevaates.

43

CON.2.M4 Andmekaitsepoliitika ja andmekaitsejuhiste väljatöötamine

a. Organisatsioon on välja töötanud ja kehtestanud andmekaitsepoliitika ja andmekaitsejuhised.

b. Andmekaitsepoliitikas on kirjeldatud isikuandmetele juurdepääsu andmise ning andmete kogumise, töötlemise, säilitamise ja kustutamise põhimõtted.

c. Andmekaitsepoliitika sätestab organisatsiooni töötajate vastutuse isikuandmete kaitse tagamisel.

d. Andmekaitsejuhised sisaldavad organisatsiooni töötajatele suunatud tegevusjuhiseid isikuandmete turvalisust mõjutavate intsidentidele ja andmesubjektide pöördumistele reageerimiseks.

CON.2.M5 Organisatsiooni töötajate teadlikkuse tõstmine [andmekaitsespetsialist, infoturbejuht, personaliosakond]

a. Organisatsioon korraldab regulaarselt andmekaitsealaseid koolitusi, kaasates selleks vajadusel ka väliseid eksperte.

b. Organisatsioon viib läbi küberhügieeni koolitusi (nt ekraaniluku kasutamine arvuti juurest lahkudes).

c. Organisatsiooni töötajate teadmisi kontrollitakse regulaarsete testidega, mis sisaldavad andmekaitsealaseid küsimusi ja tüüpjuhtumite lahendamist.

CON.2.M6 Isikuandmete töötlemise õigus- ja eesmärgipärasuse ning minimaalsuse tagamine

a. Organisatsioon töötleb isikuandmeid ainult IKÜM artikkel 6 sätestatud õigusliku aluse olemasolul.

b. Organisatsioon töötleb isikuandmeid ainult kindlaksmääratud eesmärkidel ning ulatuses, mis on nende eesmärkide täitmiseks vajalik.

CON.2.M7 Andmekaitsetingimuste dokumenteerimine

a. Organisatsioon on koostanud andmekaitsetingimused vastavalt isikuandmete kaitse üldmääruse artiklitele 5 lg 1 p. a ja lg 2, 12-22 ning pp. 39, 58-72.

b. Andmekaitsetingimused on töötajatele ja teistele andmesubjektidele arusaadavad ja vajadusel kergesti kättesaadavad.

CON.2.M8 Andmesubjekti õiguste tagamine

a. Organisatsioon tagab, et andmesubjektide IKÜM-st tulenevaid õigusi on IT-süsteemides tehniliselt võimalik rakendada.

b. Andmesubjektidele antakse selget ja arusaadavat teavet nende õiguste kohta.

c. Õiguste rakendamine on andmesubjekti jaoks lihtne.

CON.2.M9 Isikuandmete pseudonüümimine ja anonüümimine

a. Organisatsioon minimeerib isikuandmete töötlemisel isikuga otseselt või kaudselt seostatavate andmete kasutamist.

b. Võimalusel isikuandmed pseudonüümitakse (meetod, kus isikuandmed asendatakse andmete töötlemisel unikaalse identifikaatori või koodiga, mis ei võimalda isikut otseselt tuvastada) või anonüümitakse (meetod, mille käigus isikuandmeid muudetakse sellisel viisil, et neid ei ole võimalik enam konkreetse isikuga seostada ei otseselt ega kaudselt).

44

c. Statistilises andmetetöötluses kasutatakse võimalusel ainult anonüümitud isikuandmeid.

CON.2.M10 Isikuandmetele juurdepääsu piiramine [IT-talitus]

a. Isikuandmetele juurdepääsu andmisel lähtutakse minimaalsuse printsiibist, st töötajale antakse juurdepääs ainult sellele osale IT-süsteemist ja andmetest, mis töötajal on tööülesannete täitmiseks vajalik.

b. Juurdepääsu piiramine hõlmab nii füüsilise juurdepääsu kui pääsuõiguste piiramist.

CON.2.M11 Isikuandmete korrakohane säilitamine

a. Organisatsioon on määranud säilitustähtajad kõikidele säilitavatele isikuandmetele.

b. Säilitamise eesmärk ja säilitustähtajad on kooskõlas asjakohaste õigusaktidega.

c. Organisatsioon säilitab isikuandmeid ainult nii kaua, kui see on vajalik säilitamise eesmärgi saavutamiseks.

d. Kui säilitamise eesmärk on täidetud või kui isikuandmed ei ole enam vajalikud, korraldab organisatsioon nende isikuandmete turvalise hävitamise.

CON.2.M12 Isikuandmete kaitse tehniliste meetmete rakendamine [IT-talitus]

a. Organisatsioon on isikuandmetele volitamata juurdepääsu takistamiseks võtnud IT- süsteemides kasutusele turvalised autentimismeetodid (vt ORP4 Identiteedi- ja õiguste haldus).

b. Organisatsioon on võrguliikluse kaitseks paigaldanud tulemüüri ja piiranud mittevajaliku võrguliikluse (vt NET.3.2 Tulemüür).

c. Isikuandmete töötlemisel (sh. nende saatmisel) organisatsioon krüpteerib isikuandmed, kui see on asjakohane.

d. Isikuandmete töötluse tegevused ja asjaolud logitakse (vt OPS 1.1.5 Logimine).

e. Isikuandmete varundamine toimub regulaarselt. Varukoopiaid säilitatakse varundatavatest andmetest eemal asuvas asukohas. (vt CON.3 Andmevarunduse kontseptsioon).

f. Organisatsioon kontrollib ja testib regulaarselt isikuandmete töötlemisel tehniliste meetmete rakendamist, et veenduda nende tõhususes, turvalisuses ning vastavuses isikuandmete kaitse üldmääruse ja käesoleva standardiga.

3.3 Standardmeetmed

CON.2.M13 Andmekaitsealased mõjuhinnangud

a. Organisatsioon on läbi viinud andmekaitsealase mõjuhinnangu, kui see on isikuandmete kaitse üldmääruse artiklist 35 tulenevalt nõutud. Andmekaitsespetsialist on mõjuhinnangu koostamisel nõustavas rollis.

b. Andmekaitsespetsialist või organisatsiooni juhtkond on koostanud mõjuhinnangu läbi- viimise juhendi, mille alusel oskavad mõjuhinnangut läbi viia ka ilma eelneva põhjaliku ettevalmistuseta töötajad.

CON.2.M14 Volitatud töötlejate haldus

a. Organisatsioon on volitatud töötlejatega sõlminud isikuandmete kaitse üldmääruse artiklile 28 vastavad andmetöötluslepingud;

b. Organisatsioon on kontrollinud, et volitatud töötlejad rakendavad nõutavaid turvameetmeid isikuandmete töötlemisel ja järgivad isikuandmete töötlemise põhimõtteid.

45

c. Organisatsioon on valinud volitatud töötlejaid hoolikalt, tehes põhjalikke taustauuringuid ja veendudes nende pädevuses ning kogemustes andmekaitse valdkonnas.

d. Organisatsioon on volitatud töötlejate kaasamisel vaadanud üle nende andmekaitsetingimused, protseduurid ja turvameetmed ning on veendunud, et need vastavad isikuandmete kaitse üldmääruses sätestatud nõuetele.

e. Organisatsioon kontrollib volitatud töötlejate tegevuse vastavust isikuandmete kaitse üldmääruses sätestatud nõuetele. Vastav audit viiakse läbi minimaalselt kord nelja aasta jooksul ja seda võib teha koos üldise andmekaitseauditiga.

f. Isikuandmete kaitse nõuete muutumisel veendub organisatsioon, et volitatud töötlejad oleksid muudatustest teadlikud ning sõlmitud andmetöötluslepingud vastaksid uutele nõuetele. Vajadusel andmetöötluslepingud uuendatakse.

CON.2.M15 Isikuandmete turvaline krüpteerimine [IT-talitus]

a. Organisatsioon on juurutanud turvalise võtmehaldusprotseduuri ning kasutab isikuandmete turvalisuse tagamiseks tugevat ja usaldusväärset krüpteerimisalgoritmi.

b. Organisatsioon tagab, et asjakohasel juhul toimub krüpteerimine juba andmete kogumise või edastamise ajal.

c. Organisatsioon tagab, et krüpteeritud isikuandmete dekrüpteerimise võimalus oleks rangelt piiratud vaid selleks volitatud isikutele.

d. Organisatsiooni töötajaid peab koolitama ja teavitama krüpteerimise parimate tavade teemal ja tagama, et töötajad oskavad krüptovahendeid isikuandmete kaitseks korrektselt kasutada.

CON.2.M16 Isikuandmete säilitamise eeskiri

a. Organisatsioon on koostanud eeskirja, mis kirjeldab, kuidas ja kui kaua erinevaid isikuandmeid säilitatakse ning kuidas toimub isikuandmete hävitamine.

b. Eeskiri sisaldab säilitusperioode kõigile varundatud või arhiveeritud isikuandmetele.

c. Organisatsioon kasutab säilitamistähtaegade jälgimiseks automaatseid teavitusi või automaatset kustutamist.

d. Organisatsioon auditeerib andmete säilitamise tähtaegade järgimist regulaarselt.

CON.2.M17 Keskne pääsuhalduse süsteem [IT-talitus]

a. Organisatsioon kasutab keskset pääsuhalduste süsteemi, mille abil organisatsioon haldab töötajate juurdepääsu isikuandmetele.

b. Organisatsioon logib töötajate tegevusi, et tuvastada isikuandmete väärkasutamist, kiirendada reageerimist turvasündmustele ning vähendada andmelekke riski.

c. Organisatsioon korraldab juurdepääsuõiguste ülevaatuse vähemalt kord aastas. Liigsed pääsuõigused eemaldatakse.

CON.2.M18 Isikuandmete töötlemise turve [IT-talitus, infoturbejuht]

a. Organisatsioon kasutab tundlikele isikuandmetele juurdepääsu andmisel mitmikautentimist (ingl multifactor authentication), eesmärgiga tagada ainult volitatud isikute juurdepääs.

b. Kaugtöötamiseks on organisatsioonis kasutusel virtuaalne privaatvõrk (ingl virtual private network, VPN). VPN tagab turvalise ja krüpteeritud ühenduse organisatsiooni

46

sisevõrguga, võimaldades töötajatel turvaliselt juurde pääseda isikuandmetele väljastpoolt organisatsiooni võrku.

c. Tundliku teabe kaitsmiseks kõrvaliste pilkude eest kasutatakse ekraanifiltrit. Ekraanifilter on olemas pidevalt sülearvutiga kaugtööd tegevatel töötajatel.

CON.2.M19 Andmetöötluse toimingute logimine [IT-talitus]

a. Kõik isikuandmete töötlemise toimingud logitakse.

b. Andmetöötluse logid sisaldavad järgmist:

 kes isikuandmeid töötles;

 millal isikuandmeid töödeldi;

 mis isikuandmeid töödeldi;

 milliseid toiminguid isikuandmetega tehti (toimingute all peetakse silmas kõiki andmetöötluse vorme sh. vaatamised, muutmised, allalaadimised, kustutamised).

c. Kui andmetöötluses on kaasatud kolmandaid osapooli (sh. volitatud, kaasvastutavaid töötlejaid), siis lepitakse kokku selged rollid andmetöötluslogide talletamiseks ja juurdepääsuks.

d. Andmetöötluslogidele on rakendatud automaatne logianalüsaator, mis aitab tuvastada võimalikke andmekaitsealaseid rikkumisi.

e. Organisatsioon on kehtestanud protseduuri andmetöötluslogide ülevaatamiseks. Andmetöötluslogisid kontrollitakse regulaarselt ning vajadusel juhtumipõhiselt.

f. Andmetöötluslogisid säilitatakse minimaalsuse ja eesmärgipärasuse põhimõtteid silmas pidades. Eelkõige on oluline, et andmetöötluslogisid ei säilitataks ebamõistlikult kaua, kuid siiski piisavalt kaua, et saaks tuvastada võimalikke rikkumisi.

g. Andmetöötluslogidele on sätestatud säilitamistähtajad, mille lõppedes need kustutatakse automaatselt.

CON.2.M20 Andmetöötluse asukohtade füüsiline turvalisus

a. Organisatsioon on isikuandmete turvaliseks töötlemiseks ja säilitamiseks määranud piiratud pääsuga alad (näiteks lukustatud ruumid või serveriruumid).

b. Organisatsioon on kehtestanud ruumidele juurdepääsu reeglid ja rakendanud selle jõustamiseks tehnilised juurdepääsu- ja valvesüsteemid (nt elektrooniline lukustussüsteem, uksekaart, biomeetriline autentimine, valvekaamerad).

c. Organisatsioon viib regulaarselt läbi ülevaatusi füüsiliste turvameetmete efektiivsuse hindamiseks (sh. uste ja lukkude seisukorra kontrolli, valvesüsteemide testimist, videoseire toimimise kontrolli, uksekaardi logide kontrolli jne).

d. Organisatsioon on koostanud protseduurid külaliste haldamiseks, kes sisenevad organisatsiooni aladele, kus töödeldakse isikuandmeid. See hõlmab nii külaliste registreerimist, külastuste eelnevat kooskõlastamist, külaliste juhendamist organisatsiooni reeglite osas ning külastaja saatmist (st. külastaja liigub organisatsioonis ainult koos organisatsiooni töötajast saatjaga).

CON.2.M21 Võrguturbe tagamine [IT-talitus]

a. Organisatsioon kasutab võrgurünnete ja isikuandmetega tehtavate ebaharilike tegevuste tuvastamiseks ja ennetamiseks sissetungituvastuse ja -tõrje süsteeme (IDS, IPS).

b. Isikuandmete saatmiseks üle avaliku võrgu kasutatakse turvalisi, krüpteeritud protokolle.

47

CON.2.M22 Lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtete rakendamine rakendustes

a. Rakendustes, mis põhinevad isikuandmete töötlemisel või mille käigus töödeldakse isikuandmeid, arvestatakse lõimitud andmekaitse (ingl data protection by design) ja vaikimisi andmekaitse (ingl data protection by default) põhimõtteid juba rakenduse valimise ja väljatöötamise kavandamise etappides.

b. Rakendustele kehtestatud andmekaitsenõuete täitmist järgitakse ja kontrollitakse rakenduse kogu eluea vältel.

c. Rakendustes kasutatakse ainult töötlemise eesmärgi täitmiseks vajalikke isikuandmeid.

CON.2.M23 Isikuandmeid sisaldavate rakenduste testimine [testija]

a. Organisatsioon on koostanud põhimõtted rakenduste testimise läbiviimiseks, milles keelatakse isikuandmete avaldamine, volitamata juurdepääs isikuandmetele ning piiratakse testijate tegevust isikuandmetega seotud süsteemides. Testimise all peetakse silmas nii rakenduste kasutuselevõtueelset testimist kui rakenduse läbistustestimisi turvanõrkuste avastamiseks.

b. Testimise läbiviimiseks on sõlmitud lepingud, mis selgitavad testimise ulatust, eesmärke ja testimisel lubatud tegevusi. Eesmärk on tagada vastutuse selgus ning kaitsta isikuandmete konfidentsiaalsust ja privaatsust.

c. Enne testimise läbiviimist tehakse kindlaks testimiseks hädavajalikud isikuandmed, võimalusel need andmed anonüümitakse või pseudonüümitakse.

d. Võimalusel antakse testijatele IT-süsteemi regulaarsest kasutajast piiratumad õigused. Testijal on juurdepääs ainult neile ressurssidele, mis on vajalikud testimise läbiviimiseks.

e. Organisatsioon tagab, et pärast testimise lõppu kõik testijate poolt talletatud isikuandmed turvaliselt kustutatakse. Selleks sõlmitakse vastavad lepingud (sh. andmetöötlusleping).

f. Pärast testimist teostab organisatsioon järelkontrolli, et hinnata andmekaitse ja turvameetmete tõhusust.

CON.2.M24 Privaatsusseadistused veebilehtedel

a. Organisatsiooni veebilehel kasutatavad küpsised (ingl cookie) ja jälgimisvahendid on kooskõlas isikuandmete kaitse üldmääruse ja teiste asjakohaste regulatsioonidega.

b. Veebilehe külastajatele on kasutavate küpsiste ja jälgimisvahendite kohta antud selge ja üheselt mõistetav teave. Kui on nõutud, küsitakse küpsiste kasutamiseks veebilehe külastajalt nõusolekut.

c. Veebilehe külastajatel on võimalik kontrollida ja hallata oma küpsiste eelistusi.

d. Organisatsioon on veebilehel avalikustanud andmekaitsetingimused, mis kirjeldavad, milliseid isikuandmeid kogutakse (sh. küpsised), kuidas neid töödeldakse, millistel eesmärkidel, kaua säilitatakse ja kuidas privaatsust kaitstakse. Täiendavate andmekaitsetingimuste elementide koostamisel tuleb lähtuda isikuandmete kaitse üldmääruse artiklitest 12-22.

e. Organisatsioon rakendab veebilehtedel isikuandmete kaitseks turvameetmeid.

f. Organisatsioon rakendab isikuandmeid sisaldaval veebilehel turvalist andmeedastusprotokolli HTTPS.

g. Veebilehe või võrguühenduse kaitseks kasutavate kolmandate osapoolte teenuste (näiteks: Google Analytics, Matomo, CloudFare) kasutamine on andmekaitsetingimustes välja toodud.

48

h. Organisatsioon on teinud kõik selleks, et volitatud töötlejad rakendaksid isikuandmete kaitseks asjakohaseid turvameetmeid.

CON.2.M25 Isikuandmete kustutamine töötaja lahkumisel [personaliosakond]

a. Organisatsioon on kehtestanud eeskirjad isikuandmete käitlemiseks ja kustutamiseks arvutitöökohtadel.

b. Eeskiri sisaldab sätteid lahkuva töötaja võimaluste kohta saada kätte oma isiklikud dokumendid (sh. isikuandmed), mida ta on tööandja IT-süsteemides hoiustanud. Eeskiri võiks näiteks sätestada, et töötaja hoiab oma isikuandmeid ja isiklikke dokumente ainult selleks markeeritud kaustas.

c. Eeskiri hõlmab lahkuva töötaja andmetest organisatsioonile vajalike andmete kättesaamist (nt e-postkastist organisatsiooni jaoks oluliste kirjade või dokumentide kättesaamine).

d. Töötaja organisatsioonist lahkumisel kustutatakse talle personaalseks kasutuseks antavatelt seadmetelt ja andmekandjatelt (sh irdandmekandjad) isikuandmed.

e. Lahkunud töötaja isikuandmeid hoiab organisatsioon alles seadusandlusest tulenevas mahus ning sätestatud säilitustähtaja jooksul.

CON.2.M26 Andmekaitseauditi läbiviimine

a. Organisatsioon viib läbi regulaarseid sõltumatuid läbivaatusi või auditeid, et hinnata organisatsiooni isikuandmete kaitse tegelikku olukorda ning tuvastada võimalikud riskid ja puudused.

b. Andmekaitseaudit viiakse läbi vähemalt kord nelja aasta jooksul.

3.3 Kõrgmeetmed

CON.2.M27 Tähtajalised juurdepääsuõigused (C)

a. Organisatsioon rakendab tähtajalisi juurdepääsuõigusi, et tagada juurdepääsuõiguste õiguspärasus ning vähendada isikuandmete volitamata töötlemise riski.

b. Juurdepääsuõiguste tähtaegade määramisel lähtutakse minimaalsuse printsiibist, eelkõige seetõttu, et organisatsiooni töötajad võivad vahetuda ja see meede aitab vältida organisatsioonist lahkunud töötajate juurdepääsu isikuandmetele.

CON.2.M28 Isikuandmete töötlemise automaatseire (C)

a. Organisatsioon kasutab automaatset isikuandmete töötlemise seiresüsteemi, mis tuvastab isikuandmed, mida soovitakse organisatsioonist välja saata, saadab selle kohta volitatud isikutele teavituse ja vajadusel blokeerib isikuandmete saatmise.

b. Teavituse saabudes hinnatakse, kas isikuandmete saatmine on õiguspärane ja vajalik.

CON.2.M29 Juurdepääsupiirangute klassifikaatorite süsteem (C)

a. Organisatsioon (avalikus sektoris) rakendab juurdepääsupiirangute klassifikaatorite süsteemi, mis hõlbustab dokumentidele avaliku teabe seadusest tuleneva juurdepääsupiirangu määramist vastavalt dokumendi sisule.

b. Juurdepääsupiirangute klassifikaatorite süsteem suudab muuhulgas automaatselt tuvastada, kas dokumentides sisaldub isikuandmeid või peaks dokument olema konfidentsiaalne mõnel muul põhjusel.

49

CON.2.M30 Isikuandmete automaatne tuvastamine (C)

a. Organisatsioon kasutab automaatset süsteemi, mis suudab tuvastada organisatsiooni võrguliikluses ja infosüsteemides isikuandmeid (sh IKÜM mõistes eriliiki isikuandmeid) ning neid klassifitseerida ilma kasutaja sekkumiseta.

b. Eriliiki andmete asukohad on automaatselt kaardistatud. Organisatsioon on rakendatud eriliiki isikuandmete kaitseks tugevdatud turvameetmed.

CON.2.M31 Digitaalsete õiguste halduse süsteem (C-I-A)

a. Organisatsioon on privaatsfuse tagamiseks kasutusele võtnud digitaalsete õiguste halduse süsteemi, mis võimaldab erinevatele kaustadele, IT-süsteemidele ja dokumentidele määrata rangelt vajaduspõhiseid õigusi. Näiteks on võimalik määrata, et teatud töötajad saavad dokumenti ainult vaadata ja muutmine (sh. allalaadimine) nõuab täiendavaid õigusi.

4 Lisateave

Lühend Publikatsioon

[IKÜM] Isikuandmete kaitse üldmäärus

https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX%3A02016R0679- 20160504

[IKS] Isikuandmete kaitse seadus

https://www.riigiteataja.ee/akt/104012019011?leiaKehtiv

[AKI] Isikuandmete töötleja üldjuhend (2018, uuendatud 2019)

https://www.aki.ee/sites/default/files/dokumendid/ isikuandmete_tootleja_uldjuhend.pdf

[ISO27701] ISO/IEC 27701:2019 „Security techniques - Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management - Requirements and guidelines“

[CNIL] Mõjuhinnangute läbiviimiseks loodud tarkvara https://www.cnil.fr/en/privacy-impact-assessment-pia

50

CON.3 Andmevarunduse kontseptsioon

1 Kirjeldus

1.1 Eesmärk Esitada juhised organisatsiooni andmevarunduse kontseptsiooni koostamiseks ja rakendamiseks andmete kaitseks.

1.2 Vastutus Andmevarunduse kontseptsiooni meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad

IT-talitus, vastutav spetsialist, töötaja.

1.3 Piirangud Elektrooniliste dokumentide pikaajalise talletamise hoiu- ja hooldusmeetmed on esitatud moodulis OPS.1.2.2 Arhiveerimine. Süsteemi- ja rakendusspetsiifilised logimismeetmed on esitatud asjakohastes moodulites, nt SYS.1.1 Server üldiselt, APP.3.2 Veebiserver ja NET.3.2 Tulemüür.

Andmete kustutamisel ja varukoopiate hävitamisel lähtutakse moodulist CON.6 Andmete kustutus ja hävitamine.

2 Ohud

2.1 Andmevarunduse puudumine Andmevarunduse puudumisel võib andmekadu (nt kahjurvara, tehniliste tõrgete või tulekahju tõttu) organisatsioonile kaasa tuua korvamatut kahju.

2.2 Taaste testimise puudumine Kui andmete varukoopiast taastamiseks ei viida läbi regulaarseid taasteteste, puudub kindlus, et andmed on tegeliku taastevajaduse korral ja kokkulepitud aja jooksul taastatavad.

2.3 Varukoopiate andmekandjate ebaturvaline säilitus Kui varukoopiaid sisaldavaid andmekandjaid hoitakse ebaturvalises kohas, võib ründaja andmekandjaile juurde pääseda, andmeid varastada või manipuleerida. Varunduseks kasutatavad andmekandjad võivad sobimatute hoiu- ja keskkonnatingimuste tõttu muutuda kasutuskõlbmatuks.

2.4 Dokumentatsiooni puudumine või puudulikkus Kui varundusprotseduure ei dokumenteerita või seda tehakse puudulikult, võib taastamine oodatust kauem aega võtta või ebaõnnestuda.

2.5 Õigusaktide nõuete eiramine Kui andmevarundusel ei järgita õigusaktide nõudeid, võib pärast andmetega toimunud intsidenti (andmevargus, andmete hävimine) järgneda trahv või kahjunõue.

51

2.6 Ebaturvaline pilvteenuse tarnija Kui organisatsioon varundab andmeid pilves, võib ründaja juurde pääseda varukoopiatele. Pilve varundatud andmeid ei pruugi saada piisavalt kiiresti taastada.

2.7 Andmekandja salvestusmahu piisamatus Kui andmekandjatel ei ole piisavalt salvestusmahtu, võib ühel hetkel andmevarundus seiskuda. Varundustarkvara võib automaatselt üle kirjutada vanemad ja võib-olla veel vajalikud andmevarundused.

2.8 Andmevarunduse kontseptsiooni puudulikkus Kui varundusprotseduuride jaoks ei ole koostatud andmevarunduskontseptsiooni või kontseptsioonist ei peeta kinni (nt varundatakse andmeid liiga harva või on andmete reaalne taasteaeg suurem kui organisatsioonis kokku lepitud), on andmete taastamine raskendatud.

Piisavalt kaitsmata varukoopiad võimaldavad ründajal saada väheste pingutustega oma valdusesse kõik organisatsiooni jaoks olulised andmed.

Kui varundatud andmed on krüpteeritud, aga koos andmetega on kaotsi läinud ka andmetega koos talletatud dekrüpteerimiseks vajalik võti, osutub taastamine võimatuks.

2.9 Andmete salvestuskiiruse piisamatus Varundatava andmemahu lisandumisel pikeneb andmete varundamiseks kuluv aeg. Halvimal juhul võib enne andmete plaanipärase varundamise lõppemist juba käivituda järgmine andmevarundus. See võib kaasa tuua erinevaid probleeme, nt käsiloleva andmevarundusprotsessi pooleli jäämist või varundussüsteemi koormuse kasvu, kuna korraga töötab mitu andmevarundusprotsessi.

2.10 Lunavara rünne Lunavara (ingl ransomware) on kahjurvara erivorm, mis krüpteerib nakatunud IT-süsteemide andmed. Seejärel nõuavad ründajad ohvrilt andmete dekrüpteerimiseks lunaraha maksmist. Kui andmetest ei ole tehtud varukoopiat, lähevad krüpteeritud andmed kaotsi või neid saab tagasi ainult nõutud lunaraha eest. Kuid isegi pärast lunaraha maksmist pole mingit garantiid, et andmed tagasi saadakse.

Paljud lunavaravormid otsivad kõiki kirjutusjuurdepääsuga võrgukettaid. Seega lunavara ei mõjuta mitte ainult algselt nakatunud IT-süsteemi, vaid kõiki salvestuskohti, millele IT- süsteemidel on juurdepääs. Kui varukoopiaid sisaldavad andmekandjaid piisavalt ei kaitsta, võib lunavararünne mõjutada otseselt ka varukoopiate käideldavust.

3 Meetmed

3.1 Elutsükkel

Kavandamine

CON.3.M1 Andmevarunduse mõjurite piiritlemine

CON.3.M2 Andmevarunduseeskiri

CON.3.M4 Andmevarundusplaanid

CON.3.M6 Andmevarunduse kontseptsioon

Soetamine

CON.3.M7 Sobiva andmevarundussüsteemi soetamine

52

Evitus

CON.3.M9 Tingimuste tagamine kaugvarunduseks

Käitus

CON.3.M5 Regulaarne andmevarundus

CON.3.M12 Varunduseks kasutatavate andmekandjate turvaline säilitus

CON.3.M14 Varukoopiate turve

CON.3.M15 Varunduse regulaarne testimine

Lisanduvad kõrgmeetmed

CON.3.M13 Krüptograafia rakendamine andmevarundusel

3.2 Põhimeetmed

CON.3.M1 Andmevarunduse mõjurite piiritlemine [vastutav spetsialist, IT-talitus]

a. IT-süsteemide ja vajadusel ka olulise tähtsusega üksikute IT-rakenduste jaoks on koostatud varundatavate andmete register ja määratud andmevarunduse mõjurid. Andmevarunduse mõjurite määramisel osalevad IT-süsteemide ja IT-rakenduste äripoole omanikud.

b. Andmevarunduse mõjuritena on määratud vähemalt järgnev:

 varundatavate andmete koosseis;

 varundatavate andmete käideldavus-, terviklus-, ja konfidentsiaalsusnõuded;

 seadusandlusest tulenevad nõuded;

 vajalik andmemaht;

 andmete säilitusaeg;

 nõutav varunduse sagedus;

 lubatav taasteaeg;

 nõuded andmete kustutamiseks ja andmekandjate hävitamiseks.

c. Vajaliku andmemahu hindamisel arvestatakse eeldatava andmemahu suurenemisega tulevikus.

d. Varunduse sagedus määratakse andmete muudatuste ja lisanduste sageduse ja maksimaalse lubatava andmekao hinnangu alusel.

e. Varundavate andmete lubatav taasteaeg määratakse tuginedes IT-süsteemi maksimaalselt talutavale seisuajale (ingl maximum tolerable downtime, MTD).

f. Varundatud andmetele kehtivad samad konfidentsiaalsusnõuded kui andmetele töösüsteemis.

g. Andmevarunduse mõjurid on dokumenteeritud. Uute nõuete lisandumisel või olemasolevate nõuete muutumisel uuendatakse dokumentatsiooni.

CON.3.M2 Andmevarunduseeskiri [vastutav spetsialist, IT-talitus]

a. IT-talitus koostab andmevarunduse protseduure sisaldava andmevarunduseeskirja.

b. Andmevarunduseeskirja koostamisel arvestatakse andmevarunduse mõjuritega (CON.3.1 Andmevarunduse mõjurite piiritlemine).

53

c. Andmevarunduseeskiri sisaldab iga IT-süsteemi ja andmestiku kohta vähemalt järgmist:

 andmevarunduse tüüp;

 varundusviis ja andmekandja;

 protseduurid andmete varundamiseks ja taastamiseks;

 varundussagedus ja hetk;

 säilituskoht;

 andmekandjate transpordi- ja hoiutingimused;

 säilitusajad;

 vastutused varunduse rakendamise eest.

d. Andmed varundatakse käiduandmetest eraldi paiknevale andmekandjale.

e. Suurema kaitsevajadusega andmekandjad on sisevõrgu või IT-süsteemiga ühendatud ainult andmete varundamise või taastamise ajal.

f. Virtuaaltaristu olemasolul määratakse, millises ulatuses toetutakse serveri hetktõmmistel (ingl snapshot) põhinevale andmevarundusele.

CON.3.M4 Andmevarundusplaanid

a. On koostatud andmevarundusplaanid erinevate andme- ja tarkvaratüüpide varundamiseks.

b. Andmevarundusplaanides kirjeldatud varunduse ja andmetaaste põhimõtted, sealhulgas:

 riist- ja tarkvara, mida varundamisel kasutatakse;

 riist- ja tarkvara konfiguratsioon;

 andmete varundamise ja taastamise järjekord;

 säilitavate andmete põlvkondade arv.

c. Andmevarundusplaanid arvestavad vähemalt järgmist:

 soetatud või omatarkvara varundatakse täieliku varundusega ühe andmete põlvena;

 süsteemiandmed varundatakse vähemalt kord kuus ühe andmete põlvena;

 rakendusandmed varundatakse vähemalt kord nädalas täieliku varundusega ja säilitatakse vähemalt kolm andmete põlve;

 logiandmed varundatakse vähemalt kord kuus täieliku varundusega ja säilitatakse vähemalt kolm andmete põlve.

CON.3.M5 Regulaarne andmevarundus [IT-talitus, töötaja]

a. Andmeid varundatakse andmevarundusplaanis ja andmevarunduseeskirjas toodud regulaarsusega.

b. Töötajaid teavitatakse andmevarunduse korraldusest.

c. Andmevarunduse protsessiga seotud töötajaid teavad, millised on nende ülesanded.

d. Töötajad täidavad neile määratud andmevarunduse ülesandeid.

CON.3.M12 Varunduseks kasutatavate andmekandjate turvaline säilitus [IT-talitus]

a. Varunduseks kasutatavaid andmekandjaid hoitakse lähtesüsteemist eraldi asuvas hoiustuskohas.

54

b. Samas hoones hoiustamise puhul asuvad varundatud andmed tuletõkkega eraldatud hooneosas.

c. Hoiukoha keskkonnatingimused on sobivad andmekandjate pikaajaliseks säilitamiseks.

d. Andmete turvaline säilitus on tagatud vähemalt nõutud andmesäilitustähtaegade ulatuses.

CON.3.M14 Varukoopiate turve [IT-talitus]

a. Varunduseks kasutatavaid andmekandjaid kaitstakse lubamatu juurdepääsu eest.

b. Juurdepääs andmekandjatele on üksnes selleks volitatud isikutel.

c. Varunduseks kasutatavad andmekandjad on kaitstud lubamatu ülekirjutamise eest.

d. Varunduse andmekandjatele antakse kirjutusõigus ainult andmete varundamiseks või autoriseeritud haldustoimingute läbiviimiseks.

CON.3.M15 Varunduse regulaarne testimine [IT-talitus]

a. Andmevarunduse toimimist ja varundatud andmete taastamist testitakse regulaarselt.

b. Andmete taastamine jääb ajaliselt lubatava taasteaja piiresse ja toimub veatult.

3.3 Standardmeetmed

CON.3.M6 Andmevarunduse kontseptsioon [vastutav spetsialist, IT-talitus]

a. On koostatud andmevarunduse kontseptsioon, mis on kooskõlas organisatsiooni ärijätkuvusplaaniga (ingl business continuity plan, BCP) ja lubatava andmete kaoga peale taastamist (ingl recovery point objective, RPO).

b. Andmevarunduse kontseptsiooni väljatöötamisel on arvestatud kõigi oluliste IT- süsteemide ja rakendustega ning andmevarunduse mõjuritega.

c. Andmevarunduse kontseptsioon on vastutajatega kooskõlastatud.

d. Töötajad tunnevad andmevarunduse kontseptsiooni vähemalt tööülesannete täitmiseks vajalikul määral.

e. Andmevarunduse kontseptsioon ja sellega seonduvad dokumendid on turvaliselt varundatud ja kasutatavad ka juhul, kui olulised IT-süsteemid (sh dokumendihaldussüsteem) ei ole juurdepääsetavad.

f. Andmevarunduse kontseptsiooni rakendamist kontrollitakse regulaarselt.

CON.3.M7 Sobiva andmevarundussüsteemi soetamine [IT-talitus]

a. Enne andmevarundussüsteemi hankimist on koostatud andmevarundussüsteemi valiku kriteeriumid.

b. Andmevarundussüsteem vastab järgmistele andmevarunduse kontseptsioonist tulenevatele nõuetele:

 tuvastab vale või vigase andmekandja;

 töötab raskusteta olemasoleva riistvaraga;

 võimaldab automaatset ajastust;

 võimaldab ühele või mitmele kasutajale automaatteadete saatmist;

 võimaldab andmekandja turvet parooliga või krüpteerimisega;

 võimaldab andmete tihendust (ingl compression);

55

 võimaldab andmeid andmeloendite alusel kategoriseerida;

 võimaldab andmeid valida loomis- või muutmisaja alusel;

 suudab teha täisvarundust (ingl full backup) ja inkrementvarundust (ingl incremental backup);

 võimaldab automaatselt võrrelda varukoopiat originaaliga;

 võimaldab taastada andmeid algsesse või valitud asukohta;

 lubab samanimeliste failide taastet.

CON.3.M9 Tingimuste tagamine kaugvarunduseks [IT-talitus]

a. Välise salvestuskoha kasutamisel võrgustatud andmevarunduseks (ingl online backup) sõlmitakse teenusekvaliteedi tagamiseks teenusetasemelepe (ingl service level agreement, SLA) ja lepitakse kokku andmete füüsiline asukoht.

b. Varukoopiatele juurdepääs võimalik ainult turvalise autentimisega.

c. Varukoopias sisalduvad andmed on krüpteeritud nii varunduskohas kui andmete ülekandmisel.

d. Võrguühenduse kvaliteet võimaldab varundada ja taastada andmeid lubatavate varundus- ja taasteaegade piires.

3.4 Kõrgmeetmed

CON.3.M13 Krüptograafia rakendamine andmevarundusel (C-I) [IT-talitus]

a. Varundatavad andmed on andmete konfidentsiaalsuse ja tervikluse tagamiseks krüpteeritud.

b. Krüptomehhanismi valikul on arvestatud, et andmed oleks taastatavad ka pikema aja möödumisel.

c. Krüptovõtmete kaitse ja säilimine tagatakse turvalise võtmehalduse protseduuridega (vt CON.1.M2 Andmevarundus krüptovahendi kasutamisel).

4 Lisateave Andmevarunduse kontseptsiooni tüüpsisukord

1. Määratlused g. Rakendusandmed, süsteemiandmed, tarkvara, logiandmed h. Täielik varundus, inkrementvarundus

2. Ohud

 Organisatsiooni sõltuvus andmete seisust

 Tüüpilised ohud (koolitamatus, ühiskasutus, viirused, häkkerid, toitekatkestus, kettarike)

 Kahjude põhjused ja kahjujuhtumid organisatsioonis 3. Mõjurid IT-süsteemide haaval

• Varundatavate andmete spetsifikatsioon

• IT-rakenduse ja andmete käideldavusnõuded

• Ressursid andmete taasteks, sh varukoopia puudumisel

• Andmemahud

• Muutumismahud

• Säilitusajad

56

• Andmete konfidentsiaalsustarve

• Andmete terviklustarve

• IT kasutaja oskused ja andmetöötlusspetsiifilised võimed 4. Andmevarundusplaan IT-süsteemide haaval Määrangud andmeliikide järgi ja taasteprotseduurid:

• Varundusviis

• Varunduse sagedus ja aeg

• Põlvkondade arv

• Andmekandja

• Vastutus andmevarunduse eest

• Varuandmete säilituskoht

• Nõuded andmevarundusarhiivile

• Edastus ja transport

• Taasteajad

• Varundusarhiveerimise tingimused

• Lepingu sõlmimine (välise arhiivi puhul)

• Varundustsükkel

• Andmete kataloog

• Varuandmete kustutus

• Tarbetute andmekandjate hävitamine

• Lugemisseadmete töövõime tagamine 5. Varunduse minimaalkontseptsioon 6. Töötajate kohustumus andmevarunduse alal 7. Taasteharjutused

CON.6 Andmete kustutus ja hävitamine

1 Kirjeldus

1.1 Eesmärk Esitada meetmed andmete turvaliseks kustutamiseks ning juhised andmete hävitamise eeskirjade koostamiseks.

1.2 Vastutus Andmete kustutuse ja hävitamise meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad

Andmekaitsespetsialist, vastutav spetsialist, IT-talitus, töötaja, haldusosakond.

1.3 Piirangud Moodul hõlmab üksnes kustutuse ja hävitamise üldisi korralduslikke nõudeid. Kustutuse ja hävitamisega on seotud moodulid CON.3 Andmevarunduse kontseptsioon, OPS 1.2.2 Arhiveerimine, CON.9 Teabevahetus

57

2 Ohud

2.1 Kustutuse ja hävitamise eeskirja puudumine või puudulik dokumenteerimine Kui töötajaid ei ole juhendatud andmeid turvaliselt kustutama, võib andmekandjatele jääda alles loetaval kujul andmeid. Kasutuselt kõrvaldatud andmekandjad ja IT-süsteemid ei pruugi olla enam organisatsiooni kontrolli all, sellisel juhul on andmelekke oht veelgi suurem. Tundlikud andmed võivad andmekandjalt sattuda kolmandate isikute kätte. Hooletuse tõttu isikuandmete lekitamine võib tuua organisatsioonile kaasa olulise mainekahju ja rahatrahvi.

2.2 Konfidentsiaalsuse kadu andmekandjate jääkteabe tõttu Enamikes failsüsteemides ei hävita lihtsa kustutusfunktsiooni kasutamine kasutaja poolt kustutamiseks märgitud faile. Failisüsteemi haldusteabest kustutatakse üksnes failiviited ja failiga seotud andmeruum märgitakse vabaks. Andmeruumi tegelik sisu andmekandjal aga säilib ja seda saab sobivate vahendite abil taastada.

Arvuti saalefailid (ingl swap file) ja ajutiste failide kataloogid võivad muuhulgas sisaldada konfidentsiaalseid andmeid (nt paroolid ja krüptovõtmed) ja rakenduste tööfaile (nt. sirvimisajalugu). Saalefailide ja ajutiste failide sisu on võimalik lugeda, kui krüpteerimata kõvaketas eemaldada ja paigaldada teise IT-seadmesse.

2.3 Ebausaldusväärse kõrvaldusteenuse kasutamine Kui andmekandjate turvaline kustutamine või hävitamine (sh ka paberdokumentide hävitamine) on usaldatud välisele teenuseandjale, võib teenuseandja hooletus põhjustada andmekandjate varguse kas otse teenuseandja ruumidest või hävitamiseelsest kogumispunktidest.

Andmekandjalt kustutamata jäänud või mittetäielikult kustutatud konfidentsiaalsed andmed (nt eriliiki isikuandmed) võivad sattuda volitamata isikute kätte ka juhul kui kõrvaldusteenuse tarnija ei ole kasutanud vahendeid või protseduure, mis tagavad andmete täieliku kustutamise.

2.4 Defektsete andmekandjate väär käsitlemine Kui tavakasutajal ei õnnestu enam andmekandjalt andmeid laadida, ei tähenda see veel seda, et andmed on andmekandjalt lõplikult hävinud. Kui sellised defektsed andmekandjad visatakse tavalisse prügikasti, võivad need sattuda ründaja kätte, kellel õnnestub spetsiaalsete vahendite abil andmed osaliselt või tervenisti taastada.

Kui defektne andmekandja tagastatakse tarnijale või arvutipoodi, asendatakse see tavaliselt garantiikorras uue andmekandjaga. Tihti jäetakse tagastatud andmekandjatelt andmed turvaliselt kustutamata või andmekandja hävitamata, mistõttu eksisteerib oht, et andmed võivad sattuda volitamata isikute kätte.

3 Meetmed

3.1 Elutsükkel

Kavandamine

CON.6.M1 Andmete kustutuse ja hävitamise kord

CON.6.M2 Kaitset vajavate töövahendite ja andmekandjate turvaline kasutuselt kõrvaldamine

58

CON.6.M4 Protseduurid andmekandjate turvaliseks hävitamiseks

CON.6.M11 Andmekandjate hävitamise tellimine väliselt teenuseandjalt

Evitus

CON.6.M8 Andmete kustutuse juhised töötajatele

CON.6.M12 Protseduurid andmete turvaliseks kustutuseks

CON.6.M13 Defektsete andmekandjate hävitamise juhised

Lisanduvad kõrgmeetmed

CON.6.M14 Andmekandjate turvalise hävitamise täiendavad juhised

3.2 Põhimeetmed

CON.6.M1 Andmete kustutuse ja hävitamise kord [haldusosakond, vastutav spetsialist, andmekaitsespetsialist, IT-talitus]

a. Organisatsioon on kehtestanud andmete kustutuse ja hävitamise korra.

b. Iga allüksus määrab, milliseid tööalaseid andmeid ja millistel tingimustel kustutatakse või kasutuselt kõrvaldatakse.

c. Andmete minimaalsete ja maksimaalsete säilitustähtaegade määramisel järgitakse seadusandlusest tulenevaid nõudeid. Isikuandmete säilitamise ja kustutuse protseduurid on kooskõlastatud andmekaitsespetsialistiga.

d. On määratud andmete kustutuse ja hävitamise eest vastutajad, vajadusel kasutatakse spetsiaalset välisteenust.

CON.6.M2 Kaitset vajavate töövahendite ja andmekandjate turvaline kasutuselt kõrvaldamine

a. Enne andmekandjate ja töövahendite kasutuselt kõrvaldamist kustutatakse või hävitatakse turvaliselt nendes sisalduvad andmed.

b. Andmekandjate kasutuselt kõrvaldamisel järgitakse kehtestatud eeskirju ja juhiseid (vt CON.6.M12 Protseduurid andmete turvaliseks kustutuseks.

c. Andmekandjate ja töövahendite kõrvaldamiseks on loodud organisatsiooni territooriumile kõrvaliste isikute juurdepääsu eest kaitstud kogumiskohad.

CON.6.M11 Andmekandjate hävitamise tellimine väliselt teenuseandjalt [hankeosakond]

a. Väliste teenuseandjate osalusel toimuv andmekandjate kõrvaldamise ja hävitamise protseduur on turvaline ja arusaadav. Kasutatakse sobivaid ja turvalisi hävitus- või kustutusvahendeid.

b. Hävitamise väljasttellimisel hoitakse hävitamisele kuuluvaid andmekandjaid kuni äraviimiseni organisatsiooni territooriumil, kaitstuna lubamatu juurdepääsu eest.

c. Andmekandjate äravedu turvatakse lähtuvalt andmete kaitsetarbest.

d. Kõrvaldamise ja hävitamise eest vastutavaid väliseid ettevõtteid kontrollitakse ettenähtud nõuetele vastavuse osas regulaarselt.

e. Teenusetarnijale ja selle personalile kohandatakse moodulis OPS.2.3 Väljasttellimine kirjeldatud põhimeetmeid.

59

CON.6.M12 Protseduurid andmete turvaliseks kustutuseks

a. Tulenevalt andmekandja tüübist ja andmete kaitsetarbest rakendatakse andmete kustutusel järgnevaid protseduure:

 kui ülekirjutataval andmekandjal pole andmed krüpteeritud, kirjutatakse andmekandjad mitmekordselt ja täies ulatuses üle, kasutades juhuslike andmete generaatorit (nt PRNG Stream).

 kui andmed andmekandjal on krüpteeritud, hävitatakse krüptovõtmed. Krüptovõtmete hävitamine toimub krüptokontseptsioonis kirjeldatud protseduurireeglite kohaselt.

b. Nutitelefonide ja teiste nutiseadmete andmete kustutamiseks lähtestatakse seadmed tehaseseadetesse ning teostatakse esmane alglaadimine ja -seadistus.

c. Nutivõrgu (IoT) seadmed lähtestatakse tehaseseadetesse, kõik seadmes talletatud pääsuandmed kirjutatakse üle või kustutatakse.

d. IT-seadmetesse integreeritud andmekandjate sisu kustutatakse kasutades seadme vastavat funktsionaalsust.

3.3 Standardmeetmed

CON.6.M4 Protseduurid andmekandjate turvaliseks hävitamiseks

a. Enne andmekandjate hävitamist kontrollitakse, kas andmekandjalt on võimalik andmed tõhusalt ja turvaliselt kustutada (vt. CON.6.M12 Protseduurid andmete turvaliseks kustutuseks).

b. Kasutusel olevate andmekandjate hävitamiseks on koostatud sobivad protseduurid. Erinevat tüüpi andmekandjate hävitamisel kasutatakse selleks sobivaid vahendeid.

c. Vastutavad töötajad on teadlikud, mis protseduuri ja mis vahendeid tuleb andmekandja hävitamiseks kasutada.

d. Regulaarselt kontrollitakse, kas hävitusprotseduurid ja -vahendid vastavad hetke tehnoloogiatasemele ja kas need on endiselt piisavalt turvalised.

CON.6.M8 Andmete kustutuse juhised töötajatele [töötaja, IT-talitus, andmekaitsespetsialist]

a. On koostatud andmete kustutuse ja hävitamise kirjalikud juhised, mis hõlmavad kõiki andmekandjaid, rakendusi, IT-süsteeme ja muid teavet sisaldada võivaid töövahendeid (nt nutiseadmed).

b. Andmete kustutuse ja hävitamise juhised tehakse teatavaks kõigile töötajatele. Regulaarselt ja pisteliselt kontrollitakse, kas töötajad juhiseid järgivad.

c. Teabe kustutuse ja hävitamise juhiseid ajakohastatakse vastavalt vajadusele.

CON.6.M13 Defektsete andmekandjate hävitamise juhised

a. Kui andmeid pole andmekandja defekti tõttu võimalik andmekandjalt turvaliselt kustutada, hävitatakse andmekandja füüsiliselt.

b. Erikokkuleppel teenuseandjaga (nt andmekandja paranduse teostajaga) võib andmekandja hävitamise läbi viia ka teenuseandja. Teenuseandja peab sellisel juhul järgima kõiki andmekandja turvalise hävitamise nõudeid.

60

3.4 Kõrgmeetmed

CON.6.M14 Andmekandjate turvalise hävitamise täiendavad juhised (C)

a. Andmekandjate hävitamine toimub tõendatult vastavuses tunnustatud valdkondlike normide või standarditega (nt ISO/IEC 21964).

4 Lisateave

Lühend Publikatsioon

[ISO 21964]

[NIST]

ISO/IEC 21964 „Information technology – Destruction of data carriers“

NIST Special Publication 800-88 „Guidelines for Media Sanitization“

CON.7 Välislähetuste infoturve

1 Kirjeldus

1.1 Eesmärk Esitada meetmed digitaalsete andmete ja paberkandjal oleva teabe turvalisuse tagamiseks töötaja välislähetusel viibimisel ning abistada vastutavaid isikuid välislähetuste turvameetmete kehtestamisel. Moodulis käsitletakse spetsiifiliselt välisreisidel ametitööks vajalikke protseduurilisi, tehnilisi ja korralduslikke meetmeid.

1.2 Vastutus Välislähetuste infoturbe meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad

Kasutaja, IT-talitus, personaliosakond.

1.3 Piirangud Moodulis ei käsitleta lokaalseid IT-süsteeme, mille turvameetmed on kirjeldatud mooduligruppides NET Võrgud ja side, SYS IT-süsteemid ja APP Rakendused. Klientarvuti turbe teemasid üldisemalt käsitletakse moodulites SYS.2.1 Klientarvuti üldiselt, NET.3.3 Virtuaalne privaatvõrk (VPN) ja SYS.3.2.2 Mobiilseadmete haldus (MDM).

2 Ohud

2.1 Teabe pealtkuulamine ja luuramine / Majandusspionaaž Võõrastes ruumides ja IT-keskkondades võidakse vestlusi, telefonikõnesid või andmeedastust pealt kuulata.

61

Välisriigis reisides võib tekkida olukord, kus kõrvaline isik saab töötaja mobiilseadmele füüsilise juurdepääsu. Ründaja võib seadme sisu märkamatult kopeerida, andmeid lugeda või neid manipuleerida.

Teatud riikidesse reisimisel võidakse nõuda sülearvutisse ja muudesse kaasaskantavatesse IT- seadmetesse salvestatud andmete läbivaatust. Seejuures on oht, et konfidentsiaalseid andmeid või isikuandmeid mitte üksnes ei vaadata, vaid ka kopeeritakse ja salvestatakse.

Majandusspionaaži eesmärgil võib ründaja ära kasutada töötaja mobiilseadmesse integreeritud kaameraid ja mikrofone.

2.2 Kaitset vajava teabe avaldamine ja väärkasutus (elektrooniline ja füüsiline) Välislähetusel võib kergesti juhtuda, et ametireisija jätab konfidentsiaalsed paber- või digitaalkujul dokumendid avaliku kasutusega ruumi või hotellituppa.

Kasutaja lõppseadmeid võib ohustada tundmatute IT-süsteemide ja raadiovõrkudega ühendamine. Arvutis kasutatavad võõrad andmekandjad võivad sisaldada kahjurprogramme.

2.3 Identiteedi teesklus Ründaja võib teeselda teise inimese identiteeti, seda nii füüsilises kui digitaalses suhtluses (teeskluse, võltsimise, kaaperduse, vahendusründe vms abil). Välismaiseid äripartnereid ei tunne töötaja sageli isiklikult. Seetõttu võib töötaja pimesi usaldada inimest, kes taustainfot teades ennast teise isikuna esitleb.

2.4 Turvateadlikkuse puudumine ja hooletus teabega tegelemisel Andmekandjad võivad ajutiselt jääda järelevalveta, näiteks nõupidamise vaheajal nõupidamisruumi või reisijakupeesse.

Töötajad võivad kingitusena vastu võetud andmekandjad mõtlematult ühendada oma sülearvutiga.

Ühissõidukis või näiteks ärilõuna ajal on võimalik ärikriitilistel teemadel peetavat vestlust pealt kuulata.

2.5 Kohalike õigusaktide või eeskirjade rikkumine Sihtkohariigi õigusaktid ja regulatsioon (nt andmekaitse, teavitamiskohustused, vastutus, kolmandate juurdepääs) ei ole välisreisil viibivale töötajale sageli teada, seetõttu riigis kehtestatud nõudeid ei täideta.

2.6 Sundimine, väljapressimine, inimrööv ja korruptsioon Reisivate isikute füüsilist turvalisust võidakse välisreisidel rikkuda, kasutades sundimist, väljapressimist või inimröövi. Ründe sihtmärgiks on sageli tippjuhtkond.

Poliitilistest, ideoloogilistest või majanduslikest eesmärkidest lähtuv ründaja võib pakkuda konfidentsiaalse teabe eest raha või muid hüvesid.

2.7 Teave lubamatust allikast / väljamõeldis Välisriigis töötamise ajal on võimalik reisivale isikule tema petmiseks esitada valet ja manipuleeritud teavet. See võib mõjutada ärilisi otsuseid ja äriprotsesside toimimist.

2.8 Seadmete, andmekandjate ja dokumentide vargus või kaotamine Mobiilsed seadmed või dokumendid võivad kaotsi minna või neid võidakse varastada, mistõttu satub ohtu ka neis sisalduv tundlik teave.

62

3 Meetmed

3.1 Elutsükkel

Kavandamine

CON.7.M1 Välislähetuste turbe eeskiri

CON.7.M3 Riigispetsiifiliste õigusaktide, reisi- ja keskkonnatingimuste väljaselgitamine

Evitus

CON.7.M2 Töötajate teadlikkuse suurendamine

CON.7.M10 Mobiilsete IT-seadmete ja andmekandjate krüpteerimine

CON.7.M11 Varguskaitsevahendid

CON.7.M14 E-posti turve

Käitus

CON.7.M4 Ekraanifiltri kasutamine

CON.7.M5 Ekraaniluku kasutamine

CON.7.M7 Turvaline kaugjuurdepääs

CON.7.M8 Avalike raadiokohtvõrkude turvaline kasutamine

CON.7.M9 Andmekandjate turvaline käitlus

CON.7.M12 Kaitset vajavate materjalide ja dokumentide turvaline hävitamine

CON.7.M13 Andmete ja andmekandjate turvaline kaasavõtmine

Avariivalmendus

CON.7.M6 Õigeaegne intsidendist teatamine

Lisanduvad kõrgmeetmed

CON.7.M15 Mobiilsete IT-seadmete kiirguseturve

CON.7.M16 Tervikluse kaitse meetodid ja vahendid

CON.7.M17 Spetsialiseeritud reisiseadmed

CON.7.M18 Pääsuõiguste kitsendamine välismaareiside ajaks

3.2 Põhimeetmed

CON.7.M1 Välislähetuste infoturbe eeskiri

a. Infoturbe nõuded välisriigis viibimisel on kehtestatud välislähetuste infoturbe eeskirjas.

b. Välislähetuste infoturbe eeskirjas käsitletakse vähemalt järgmist:

 teabe turvalisuse olemus välisreisil, turbe eesmärgid ja käsitlusala;

 juhtkonna, infoturbejuhi ja reisiva töötaja vastutus;

 IT-süsteemi kaotuse, varguse või teabelekke käsitlus;

 töötajate teadlikkuse suurendamine ja koolitus;

 IT-seadmete kaitse (nt krüpteerimine, viirusetõrje, automaatne lukustus);

 andmete ja andmekandjate kaitse;

63

 andmete ja andmekandjate või dokumentide turvaline kustutus;

 side ja andmevahetuse turve;

 andmete kaasavõtmise ja kogumise õigused;

 24/7 kasutajatugi küsimuste esitamiseks ja intsidentide lahendamiseks.

c. Mobiilseid IT-seadmeid kasutavatele, välislähetustel käivatele töötajatele koostatakse infoturbe aspekte käsitlev teabeleht.

CON.7.M2 Töötajate teadlikkuse suurendamine

a. Töötajatele on välislähetuste infoturbe eeskirja tutvustatud.

b. Töötajatele tunnevad ja järgivad infotehnoloogia vastutustundliku kasutamise reegleid välisreisidel, sh:

 kinnitamata riist- ja tarkvara kasutamise keeld;

 suhtlus oma organisatsiooni ja äripartneritega;

 ettevaatlikkus pakutavate kingituste vastuvõtmisel;

 digitaalmälu sisaldavate kingituste kasutamise keeld;

 paroolide ja juurdepääsupiirangute kasutamine;

 ebaturvalise võrgu kasutamise keeld.

c. Töötajad viiakse kurssi sihtkoha õigusaktide ja keskkonnatingimustega, sh:

 sihtriigispetsiifilised õigusnormid;

 riigispetsiifilised reisi- ja keskkonnatingimused;

 nõuanded turvaliseks käitumiseks.

CON.7.M3 Riigispetsiifiliste õigusaktide, reisi- ja keskkonnatingimuste väljaselgitamine [personaliosakond]

a. Enne reisi algust tutvutakse riigikohaste õigusaktide ja kliimatingimustega ja koostatakse töötajatele vastav infomaterjal.

b. Organisatsioon hindab sihtkoha riski- ja turvataset ning keskkonnatingimusi ning otsustab täiendavate kaitsemeetmete vajaduse (nt töötajate vaktsineerimine).

c. Organisatsioon töötab välja ja rakendab meetmed seadmete kaitsmiseks keerulistes reisi- ja keskkonnatingimustes.

CON.7.M4 Ekraanifiltri kasutamine [kasutaja]

a. Mobiilse IT-seadme ekraanil kuvatava teabe kaitseks kasutatakse kogu ekraani katvat ekraanifiltrit.

CON.7.M5 Ekraaniluku kasutamine [kasutaja]

a. Seadmetel kasutatakse turvalist, pääsukoodi või parooliga kaitstud ekraanilukku.

b. Ekraanilukk rakendub lühikese kasutuspausi korral automaatselt. Piisav lukustusviivitus sülearvutitele ja nutiseadmetele on määratud välislähetuste infoturbe eeskirjas.

CON.7.M6 Õigeaegne intsidendist teatamine [kasutaja]

a. Töötajad teavitavad organsatsiooni IT-seadme või andmekandja kaotusest või vargusest esimesel võimalusel, kokkulepitud teavituskanalite ja kontaktisikute kaudu.

64

b. Hinnatakse IT-seadme või andmekandja kaotuse mõju ja rakendatakse sobivaid meetmeid:

 muudetakse seadme juurdepääsu seadistus;

 teavitatakse konfidentsiaalse teabe kaotamisest võimalikke riskiosalisi;

 blokeeritakse mõjutatud kasutajakontod ja VPN-ühendused;

 vastava funktsionaalsuse olemasolul kaugblokeeritakse ja/või lähtestatakse seade;

 kaotatu leidmise korral kontrollitakse, kas seda on manipuleeritud.

CON.7.M7 Turvaline kaugjuurdepääs [IT-talitus, kasutaja]

a. Organisatsiooni võrku ühendumiseks luuakse välisreisil viibivatele töötajatele eelseadistatud VPN-iga ja turvalise autentimismehhanismiga kaugjuurdepääsu võimalus.

b. Kaugjuurdepääsu võimalusega IT-seadmeid kasutavad üksnes selleks volitatud isikud.

c. Kaugjuurdepääsuga seadmetes on tarkvara, eelkõige veebirakendused, ajakohastatud ja turvaliselt konfigureeritud.

d. Mobiilsetesse IT-seadmetesse on paigaldatud kitsendavalt seadistatud personaaltulemüür.

CON.7.M8 Avalike raadiokohtvõrkude turvaline kasutamine [kasutaja]

a. Avalikus raadiokohtvõrgus kasutatakse virtuaalset privaatvõrku (ingl virtual private network, VPN) või sellega võrreldavaid turvamehhanisme (vt NET.3.3 Virtuaalne privaatvõrk (VPN), CON.7.M7 Turvaline kaugjuurdepääs).

b. Avalike raadiokohtvõrkude kasutamisel järgitakse reegleid WLAN-võrgu pääsupunktide turvaliseks kasutamiseks (vt. NET.2.2 Raadiokohtvõrgu kasutamine. INF.9 Mobiiltöökoht).

CON.7.M9 Andmekandjate turvaline käitlus [kasutaja]

a. Enne mobiilsete andmekandjate kasutamist kontrollitakse, et need ei oleks kahjurvaraga nakatatud.

b. Edasiantavate andmekandjate puhul on veendutud, et neil ei ole tundlikku teavet.

c. Andmekandja kõrvaldamisel kustutatakse andmed andmekandjalt, arvestades järgmist:

 andmekandja tühjendatakse täielikult, erinevalt tavalisest kustutusest kustutatakse lisaks andmeviitadele ka viidatavad andmed.

 krüpteeritud andmete kustutamisel kustutatakse turvaliselt ka krüptovõtmed;

 mälupulgal või muul pooljuhtkandjal kustutatakse andmed vähemalt kahe ülekirjutusega.

CON.7.M10 Mobiilsete IT-seadmete ja andmekandjate krüpteerimine [kasutaja, IT- talitus]

a. Tundliku teabe kaitseks on mobiilsed IT-seadmed ja andmekandjad organisatsioonis kehtestatud korra kohaselt krüpteeritud.

b. Krüptovõtmeid hoitakse krüpteeritud seadmest eraldi.

c. Andmete krüpteerimisel arvestatakse välisriigi õigusnorme.

65

CON.7.M12 Kaitset vajavate materjalide ja dokumentide turvaline hävitamine [kasutaja]

a. Töötajad on välisriigis viibides kohustatud tarbetud andmekandjad või dokumendid nende äraviskamise asemel turvaliselt hävitama.

b. Kui reisil olles puuduvad turvalise hävituse võimalused või kui on tegemist eriti tundlikku teavet sisaldavate dokumentide või andmekandjatega, hoitakse need tagasipöördumiseni alles ja seejärel hävitatakse turvalisel viisil.

c. Võõraste andmehävitusseadmete (paberipurusti) kasutamisel kontrollitakse kasutuselt kõrvaldamise õnnestumist.

3.3 Standardmeetmed

CON.7.M11 Varguskaitsevahendid [kasutaja]

a. Mobiilsete IT-seadmete kaitseks rakendatakse varguskaitsevahendeid (nt mehhaanilist või elektroonilist lukustust).

b. Varguskaitsevahendite soetamine ja kasutamine on kooskõlas organisatsiooni turvapoliitikatega ja majanduslikult põhjendatud.

CON.7.M13 Andmete ja andmekandjate turvaline kaasavõtmine [kasutaja]

a. Enne reisi algust kustutatakse või eemaldatakse kaasavõetavatest IT-seadmetest tarbetud andmed (vt CON.7 M9 Andmekandjate turvaline käitlus).

b. Töötaja on teadlik, mis andmekandjaid tohib välisreisidele kaasa võtta ja milliste turvameetmetega peab seejuures arvestama.

c. Andmete kaitsetarbe määrangust tulenevalt võib andmete välisriiki kaasavõtmiseks kehtestada täiendavaid nõudeid (vt CON.7.M10 Mobiilsete IT-seadmete ja andmekandjate krüpteerimine).

d. IT seadmete transpordil rakendatakse järgmisi meetmeid:

 seadmeid transporditakse mitte pagasina, vaid käsipagasis;

 välditakse järelevalveta jätmist ja unustamist;

 seadmed kaitstakse paroolidega, kaitsetarbega andmed krüpteeritakse;

 omatakse ülevaadet seadmete hetkeasukohast.

CON.7.M14 E-posti turve [kasutaja, IT-talitus]

a. E-posti lahenduse turvalisuse tagamiseks kasutatakse otspunktkrüpteeringut.

b. Välditakse organisatsiooni e-posti kasutamist avalikes arvutites (nt hotellides või internetikohvikutes).

3.4 Kõrgmeetmed

CON.7.M15 Mobiilsete IT-seadmete kiirguseturve (C)

a. Väga suure kaitsetarbe korral kasutatakse juhtmega ühendatavaid välisseadmeid.

b. Kasutatakse seadmeid, mille kiirguseturvalisus on sertifitseeritud.

66

CON.7.M16 Tervikluse kaitse meetodid ja vahendid (I) [kasutaja]

a. Andmete edastamisel kasutatakse andmete tervikluse tagamiseks kontrollkoodide (nt CRC) võrdlemist.

b. Tundliku teabe tervikluse säilitamiseks kasutatakse digitaalsignatuure ja ajatempleid.

CON.7.M17 Spetsialiseeritud reisiseadmed (C-I-A) [IT-talitus]

a. Välislähetustel kasutatakse selleks otstarbeks eelkonfigureeritud seadmeid.

b. Reisimiseks ettevalmistatud seadmes on vastavalt minimaalsuspõhimõttele võimalik kasutada üksnes vajalikke funktsioone.

CON.7.M18 Pääsuõiguste kitsendamine välismaareiside ajaks (C-I) [IT-talitus]

a. Välisriigis asuvale töötajale tagatakse igapäevase töö jaoks vajalikud pääsuõigused. Liigsed pääsuõigused reisi kestel peatatakse, vajadusel piiratakse ajutiselt töötaja juurdepääs sisevõrgule.

b. Välisriigis viibimise aja jooksul piiratakse kasutajakeskkonnas võimalusi kasutada funktsioone ja käivitada toiminguid, mis ei ole kasutaja ülesannete täitmiseks vajalikud (nt skriptide käivitamine).

CON.8 Tarkvaraarendus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed organisatsiooni tellitud või organisatsioonis arendatava tarkvaralahenduse infoturbe haldamiseks ja tarkvara turvalisuse tagamiseks. Moodulis olevad meetmed on kasutatavad nii projektipõhise tarkvara erilahenduse loomiseks kui aastaid kasutusel olnud pärandtarkvara pidevaks kohandamiseks.

1.2 Vastutus Tarkvaraarenduse meetmete täitmise eest vastutab vastutav spetsialist.

Lisavastutajad

Arendaja, IT-talitus, testija, haldusosakond.

1.3 Piirangud Moodul käsitleb tarkvaraarenduse infoturvet tellija/teostaja koostöö vaatest ega anna terviklikku ülevaadet kogu tarkvaraarenduse protsessist. Meetmed täiendavad moodulis APP.7 Tellimustarkvara arendus esitatud tellijapoolset vaadet tarkvaraarenduse infoturbe nõuetele ja turvariskide vähendamisele. Seadusandlusest tulenevad nõudeid tarkvaraarendusele käsitletakse moodulis ORP.5 Vastavusehaldus (nõuete haldus). Tarkvaramuudatuste haldust käsitletakse moodulis OPS.1.1.3 Paiga- ja muudatusehaldus. Tarkvara vastuvõtmist ja käidukeskkonda paigaldamist käsitletakse moodulis OPS.1.1.6 Tarkvara testimine ja kasutuselevõtt. Kui kavandatav tarkvara sisaldab andmete krüpteerimist, arvestatakse täiendavate meetmetega moodulist CON.1 Krüptokontseptsioon.

67

2 Ohud

2.1 Ebasobiv tarkvaraarendusmetoodika Tarkvaraarendusmetoodika sätestab arendusprotsessi käigus läbiviidavad tegevused, sealhulgas formuleerib arendusprojekti etapid, nende järjestuse ja tingimused, mille täitmisel liigutakse edasi järgmisesse etappi. Ebasobiv tarkvaraarendusmetoodika mõjutab kogu arendusprotsessi toimimist, kui projekti olulised infoturbe aspektid jäävad piisava tähelepanuta ja vastupidi, liiga palju väärtuslikku projektiaega kulub ebaoluliste detailide peale. Seetõttu kannatab projekti efektiivsus ja üldine kvaliteet. Kui oluline infoturbe funktsionaalsus on jäänud tarkvaratootest välja või selle toimimist pole piisavalt testitud, ei pruugi arendatav tarkvara vastata püstitatud infoturbe nõuetele.

2.2 Ebasobiva tarkvaraarenduskeskkonna valimine Kui tarkvaraarenduskeskkonna valikul on jäetud arvestamata vajalik funktsionaalsus ja nõutavad laiendusvõimalused, tekib arendusetapis tõsiseid probleeme kui vajalik funktsionaalsus arenduskeskkonnas puudub või see ei vasta esitatud nõuetele.

Kui iga arendaja võib ise valida endale sobiva arenduskeskkonna ja harjumuspärased arendusvahendid, võib tekkida ühilduvusprobleeme tarkvara erinevate moodulite ühendamisel või tarkvara kompileerimisel. Samuti võivad vähem testitud arenduskeskkonnad või -tööriistad sisaldada vigu või nõrkusi, mille tagajärjel tekkinud koodivigu on hilisemas arendusfaasis väga keeruline parandada.

2.3 Ebapiisav kvaliteedihaldus Ebapiisav kvaliteedihaldus (ingl quality assurance) võib kaasa tuua arendusprojekti venimise üle lõpptähtaja või halvemal juhul nurjata terve projekti. Kui tarkvaraarenduses puudub pidev seire tarkvara lubamatu manipuleerimise või arendusprotsessi tervikliku ja piisava turvalisuse üle, võib tarkvaratootesse sisse jääda olulisi turvanõrkusi. Tihti on nii, et kvaliteedihaldust suudetakse rakendada organisatsioonisisestele tarkvaraarendusprojektidele, kuid välise teenuseandja poolt tehtud arendustööd samal tasemel ei hinnata.

2.4 Puuduv või puudulik dokumentatsioon Kui tarkvaraarenduses kasutatav töödokumentatsioon on disainikavandite tasemel ja ei sisalda vajalikku detailsust, jäävad tarkvaravead õigeaegselt avastamata. Puudulik dokumentatsioon takistab oluliselt hilisemate tarkvaramuudatuste või edasiarenduste kavandamist ja läbiviimist. Vähene dokumenteeritus muudab keeruliseks tarkvara hoolduse ja haldamise protseduurid pärast tarkvara juurutamist. Halduse käigus võib administraator teadmatusest teha vea, mis võib halvemal juhul põhjustada andmekao või katkestuse tarkvaraga seotud äriprotsessis.

2.5 Ebapiisav arenduskeskkonna turve Ebaturvaline ja juurdepääsupiiranguteta arenduskeskkond võimaldab tarkvara manipuleerida. Arendaja või väliste volitamata isikute poolt tehtud volitamata tarkvaramuudatusi on hiljem raske tuvastada. Kui pole tagantjärele tuvastatav, kes ja millal midagi tarkvarakoodis muutis, pole võimalik ründajat tabada.

Kui lähtekood pole volitamata muudatuste eest kaitstud ja samal ajal puudub ka versioonihaldus, on ründajal võimalik lähtekood kas osaliselt või täielikult hävitada. Samasuguse mõjuga võib olla arendaja inimlik eksimus või tehniline rike. Lähtekoodis tehtud muudatuste taastamine juhul, kui puudub värskelt tehtud varukoopia, on äärmiselt töömahukas ning võib tekitada uusi vigu.

68

2.6 Tarkvara kavandamise vead Mida rohkem funktsionaalsust tarkvara sisaldab, seda keerukamaks muutub tarkvara lähtekoodi haldamine. Kui tarkvara ei tugine läbimõeldud tarkvaraarhitektuuril, on hiljem tarkvaratoodet keeruline muuta. On oht, et kõiki teadaolevaid turvanõrkusi ei suudeta parandada piisavalt kiiresti.

Pärandtarkvara (ingl legacy software) ei olnud algselt mõeldud kasutamiseks ega disainitud töötamaks tänapäevaste riistvara- ja operatsioonisüsteemidega. Seetõttu tuleb selliseid süsteeme pidevalt kohandada, kuid kõiki turvanõrkusi sellistes tarkvaratoodetes on äärmiselt keeruline kõrvaldada.

2.7 Puudulikud tarkvara testimis- ja vastuvõtuprotseduurid Kui tarkvara enne käidukeskkonnas kasutuselevõttu piisavalt ei testita või kui puuduvad korrektsed tarkvara vastuvõtmise ja kinnitamise protseduurid, võib vastu võetud tarkvara sisaldada turvanõrkusi ja vigu tarkvara funktsionaalsuses. Sellised vead võivad käidukeskkonnas mõjutada ka teiste IT-süsteemide toimimist, millega antud tarkvaratoode on liidestatud.

Kui arenduse käigus on testimata jäänud infoturbe funktsionaalsus, võib juhtuda, et antud funktsionaalsus vastu võetud lõpptootes ei toimi. Tulemuseks on, et tarkvara ei vasta püstitatud infoturbe nõuetele. Eksisteerib oht, et andmetele on juurdepääs volitamata isikutel ning andmeid saab manipuleerida, hävitada või lekitada.

2.8 Tootmiskeskkonna andmete kasutamine tarkvara testimisel Kui arendus- või testkeskkondades kasutatakse reaalseid, tootmiskeskkonnast võetud andmeid, on võimalik, et konfidentsiaalsetele andmetele saavad juurdepääsu volitamata isikud. Oluline kahju võib tekkida anonüümimata isikuandmete kasutamisest testkeskkonnas.

Kui testimist tehakse otse tootmiskeskkonnas, võib testimisel tehtud operatsioonid või tarkvara vea tõttu põhjustatud muutus, mida ei õnnestu tagasi võtta (nt andmetabeli sisu muutmine) mõjutada andmete terviklust erinevate andmebaaside vahel.

3 Meetmed

3.1 Elutsükkel

Kavandamine

CON.8.M1 Tarkvaraarenduse rollide ja vastutuste määramine

CON.8.M2 Sobiva tarkvaraarendusmetoodika valimine

CON.8.M3 Sobiva tarkvaraarenduskeskkonna valimine

CON.8.M11 Tarkvaraarenduste läbiviimise korra koostamine

Evitus

CON.8.M14 Tarkvaraarendajate infoturbealane koolitus

CON.8.M21 Tarkvara riskide kaalutlemine

CON.8.M22 Turvaline tarkvaraarhitektuur

Käitus

CON.8.M5 Turvaline süsteemi kavandamine

69

CON.8.M6 Usaldusväärsetest allikatest pärinevate tarkvarateekide kasutamine

CON.8.M7 Tarkvara testimine tarkvaraarenduse käigus

CON.8.M8 Tarkvaramuudatuste, paikade ja uuendite turvaline paigaldamine

CON.8.M10 Lähtekoodi versioonihaldus

CON.8.M12 Detailne tarkvara dokumentatsioon

CON.8.M16 Tarkvaraarenduse järelevalve

CON.8.M20 Väliste tarkvarakomponentide kontrollimine

Lisanduvad kõrgmeetmed

CON.8.M17 Usalduväärsete arendusvahendite valimine

CON.8.M18 Regulaarsed arenduskeskkonna turvaauditid

CON.8.M19 Arenduskeskkonna tervikluskontrollid

3.2 Põhimeetmed

CON.8.M2 Sobiva tarkvaraarendusmetoodika valimine

a. Tarkvaraarenduseks on valitud sobiv tarkvaraarendusmetoodika ja metoodikale vastav protsessimudel.

b. Projektiplaani koostamisel ja elluviimisel on järgitud valitud tarkvaraarendusmetoodikat.

c. Tarkvaraarenduse protsessimudel sisaldab infoturbe nõudeid. Arendusprotsessi käigus on infoturbe nõuetega arvestatud.

d. Töötajad on läbinud tarkvaraarendusmetoodika rakendamise koolituse.

CON.8.M3 Sobiva tarkvaraarenduskeskkonna valimine

a. Enne tarkvaraarenduskeskkonna valimist on dokumenteeritud nõuded, millele tarkvaraarenduskeskkond ja -tööriistad peavad vastama ning määratud tööriistade valikukriteeriumid. Nõuded on kinnitanud tarkvaraarenduse eest vastutav töötaja.

b. Kasutusele võetud tarkvaraarenduskeskkond vastab kehtestatud nõuetele.

CON.8.M5 Turvaline süsteemi kavandamine

a. Arenduses oleva tarkvara puhul on arvestatud järgmisi turvalise süsteemide kavandamise (ingl system design) reegleid:

 andmete sisestamisel kontrollitakse ja valideeritakse andmed enne nende edasist töötlemist IT-süsteemis;

 klient-server rakenduste puhul tehakse andmete lõplik valideerimine ja kinnitamine alati serveris;

 tarkvara tüüpseadistus ja parameetrite vaikeväärtused võimaldavad tarkvara turvaliselt kasutada;

 tarkvarakomponendi vea või tõrke puhul ei muutu kättesaadavaks kaitset vajavad andmed;

 tarkvara vajab kasutamiseks võimalikult vähe süsteemiprivileege;

 kaitset vajavate andmete edastamisel ja talletamisel kasutatakse krüptokontseptsioonile (vt CON.1 Krüptokontseptsioon) vastavaid krüptoprotsesse ja –tooteid;

70

 kasutatakse turvalisi ja usaldusväärseid ning kaitsetarbele vastavaid kasutajate autentimise ja pääsuõiguste andmise mehhanisme;

 autentimiseks kasutatavatest salasõnadest tohib tarkvaras talletada ainult turvalisi parooliräsisid (ingl password hash);

 infoturbe sündmused logitakse tarkvaras tõendusväärtusega ja kujul, mis võimaldab sündmusi vajadusel tagantjärele analüüsida;

 käidukeskkonnas toimimiseks mittevajalik teave (nt liigsed kommentaarid) on tarkvara programmikoodist ja konfiguratsioonifailidest eemaldatud.

b. Süsteemide kavandamise reeglid on dokumenteeritud. Tarkvaraarendajad on kehtestatud süsteemi kavandamise reeglitest teadlikud.

c. Süsteemi kavandamise reeglitest kinnipidamist kontrollitakse tarkvara arendusprotsessi käigus ja enne tarkvara kasutuseks kinnitamist.

CON.8.M6 Usaldusväärsetest allikatest pärinevate tarkvarateekide kasutamine

a. Enne väliste tarkvarateekide arendusprotsessis käitamist kontrollitakse kasutatud allikate usaldusväärsust ja teekide terviklust.

CON.8.M7 Tarkvara testimine tarkvaraarenduse käigus [testija, arendaja]

a. Tarkvara testimine ja koodi läbivaatus (ingl code review) viiakse läbi enne tellijapoolset tarkvara vastuvõtutestimist (ingl acceptance test) ja kasutamiseks kinnitamist.

b. Tarkvara testimise ja koodi läbivaatuse protsessi on kaasatud tellija või tellija esindaja.

c. Juba arenduse käigus testitakse tarkvara vastavust funktsionaalsetele nõuetele (nõuded, mida tarkvara peab täitma, ingl functional requirements) ja mittefunktsionaalsetele nõuetele (nõuded, millele tarkvara peab vastama, ingl non-functional requirements).

d. Arenduse käigus testitakse tarkvara käitumist vigaste ja lubatavatest sisendväärtustest erinevate sisendväärtuste ning andmetüüpide korral (ingl negative testing).

e. Testimisel kasutatav testandmestik on hoolikalt valitud ja kaitstud volitamata muudatuste eest.

f. Võimalusel kasutatakse tarkvara testimiseks automaatseid töövahendeid (nt koodianalüsaatorit).

g. Tarkvara testimine viiakse läbi arendus- ja testkeskkondades, mis on käidukeskkonnast (ingl production environment) eraldatud.

h. Tarkvaraarenduse käigus testitakse, kas tarkvarale esitatud nõuded on asjakohased ja õigesti dimensioneeritud.

CON.8.M8 Tarkvaramuudatuste, paikade ja uuendite turvaline paigaldamine [arendaja]

a. Tarkvara turvakriitilised paigad ja uuendid töötab arendaja välja ja need edastatakse tellijale ilma viivituseta.

b. Pärast välistes tarkvarateekides tehtud turvakriitilisi muudatusi teostab arendaja tarkvaras vajalikud muudatused ja edastab tellijale vastavad paigad.

c. Tarkvaramuudatusi, paiku ja uuendeid kaitstakse volitamata muudatuste eest installipaketi kontrollkoodi (ingl checksum) või digiallkirja abil.

71

CON.8.M10 Lähtekoodi versioonihaldus

a. Tarkvara lähtekoodi (ingl source code) turvalisuse tagamiseks ja koodimuudatuste haldamiseks on rakendatud sobivad versioonihalduse tööriistad.

b. Koodis tehtud muudatused salvestatakse versioonihalduse käigus eraldi versioonina. Vajadusel on võimalik tehtud muudatusi tagasi võtta (taastada muudatuse-eelne lähtekoodi versioon).

c. Andmevarunduse kontseptsioon arvestab tarkvara versiooni muutusi. Enne ja pärast uue tarkvaraversiooni paigaldamist varundatakse tarkvaras kasutatavad andmed.

CON.8.M20 Väliste tarkvarakomponentide kontrollimine

a. Kõik välised tarkvarakomponendid (sh teegid), mille turvalisuses ei saa olla täielikult kindel, läbivad enne kasutuselevõttu turvatestimise.

b. Võimalike tarkvarakonfliktide ärahoidmiseks testitakse kõiki väliseid tarkvarakomponente enne nende esmakordset rakendamist.

c. Väliste tarkvarakomponentide tervikluse tagamiseks kontrollitakse komponentide kontrollkoode ja/või digitaalseid sertifikaate.

d. Tarkvara arendamisel kasutatakse väliste tarkvarakomponentide viimaseid heakskiidetud versioone, aegunud tarkvarakomponente ei kasutata.

3.3 Standardmeetmed

CON.8.M1 Tarkvaraarenduse rollide ja vastutuste määramine [haldusosakond]

a. Organisatsioonis on määratud tarkvara arendusprotsessi juhtimise üldine vastutaja.

b. Organisatsioonis on määratud vastutajad järgmiste tarkvaraarenduse tegevuste eest:

 nõuete koostamine, nõuetehaldus ja muudatuste haldus;

 tarkvara kavandamine ja tarkvara arhitektuur;

 tarkvaraarenduse infoturve;

 spetsiifilised tarkvaraarenduse tegevused (nt testimine).

c. Iga tarkvaraarendusprojekti raames on määratud arendusprojekti infoturbe eest vastutav isik.

CON.8.M11 Tarkvaraarenduste läbiviimise korra koostamine

a. Organisatsioon on kehtestanud tarkvaraarenduste läbiviimise korra. Kord sisaldab antud moodulis käsitletud meetmeid, mis vastavad organisatsiooni spetsiifikale.

b. Tarkvaraarenduse läbiviimise korda rakendatakse kõikide tarkvaraarenduste puhul.

c. Välistele arendajatele on tarkvaraarenduste läbiviimise korra järgimine lepinguline kohustus.

d. Tarkvaraarenduste läbiviimise korda ajakohastatakse vastavalt vajadusele.

CON.8.M12 Detailne tarkvara dokumentatsioon

a. Tarkvaratoote kohta on olemas üksikasjalik ja põhjalik dokumentatsioon.

b. Tarkvara dokumentatsioon hõlmab vähemalt järgmist:

 tarkvara funktsionaalsuse kirjeldust;

 kasutusjuhendeid tarkvara kasutajatele;

72

 tarkvaraarhitektuuri kirjeldust ja jooniseid;

 tarkvara liidestuste spetsifikatsioone;

 tarkvarateekide dokumentatsiooni;

 kasutatud krüptomehhanismide spetsifikatsiooni;

 tarkvara installimise, seadistamise ja haldamise juhendeid tarkvara haldajatele.

c. Tarkvara dokumentatsiooni detailsus on piisav, et nõutava tasemega tehniline ekspert suudaks dokumentatsioonile tuginedes tarkvaratoote halduse ja arendamise üle võtta.

d. Valitud tarkvaraarendusmetoodika ja protsessimudel sisaldab tarkvara dokumentatsiooni loomist ja selle pidevat ajakohastamist.

CON.8.M14 Tarkvaraarendajate infoturbealane koolitus

a. Tarkvaraarendajatel on infoturbealased baasteadmised ja nad on kursis infoturbe üldiste trendidega.

b. Tarkvaraarendajad on läbinud organisatsioonispetsiifilise koolituse, milles käsitletakse vähemalt järgmist:

 tarkvara nõuete (sh infoturbe nõuete) analüüs;

 projektijuhtimine üldiselt ja eriti tarkvaraarenduses;

 riskijuhtimine ning ohtude modelleerimine tarkvaraarenduses;

 tarkvaraarenduse kvaliteedijuhtimine ja kvaliteedi tagamine;

 tarkvaraarendusmeetodid ja protsessimudelid;

 tarkvaraarhitektuur;

 tarkvara testimine;

 tarkvara muudatuste juhtimine;

 infoturbe nõuded organisatsioonis ja valdkondlikud turbeaspektid.

CON.8.M16 Tarkvaraarenduse järelevalve

a. Tarkvaraarenduse juhtimiseks on välja töötatud valitud tarkvaraarendusmetoodikaga sobiv projektijuhtimismudel. Projektijuhtimismudeli üheks osaks on arendusprojektide järelevalve funktsioon.

b. Tarkvaraarenduse järelevalve teostajatel on piisav kvalifikatsioon tarkvara elutsükli kõikide etappide hindamiseks.

c. Tarkvaraarenduse projektijuhtimismudel on kooskõlas organisatsiooniülese riskijuhtimissüsteemiga.

d. Arendusprojektidele on määratud kvaliteedieesmärgid.

CON.8.M21 Tarkvara riskide kaalutlemine

a. Tarkvaratoote arendamise esimeses etapis on läbi viidud tarkvara riskide kaalutlemine.

b. Tarkvara riskide kaalutlemisel lähtutakse tarkvara kasutava organisatsiooni kaitsetarbest, tarkvara nõuetekataloogist ja tarkvara toimimise kontekstist.

c. Tarkvara riskide kaalutlemise käigus koostatakse võimalikud ohustsenaariumid, tuvastatakse nendega seotud riskid, hinnatakse ohtude realiseerumise tõenäosust ja võimalikku mõju.

73

CON.8.M22 Turvaline tarkvaraarhitektuur

a. Tarkvaraarhitektuuri valimisel on arvestatud tarkvara nõuetekataloogiga ja riskide kaalutlemise tulemustega.

b. Tarkvaraarhitektuur võimaldab tarkvara loomisel turvalise süsteemi kavandamise põhimõtete (vt CON.8.M5 Turvaline süsteemi kavandamine) rakendamist.

c. Võimalusel arvestatakse tarkvara väljatöötamisel tarkvara vastavust tulevikustandarditele ja vastupidavust uutele võimalikele ründemeetoditele.

d. Valitud tarkvaraarhitektuur võimaldab ka tulevikus tarkvara hõlpsasti hooldada ja edasi arendada.

3.4 Kõrgmeetmed

CON.8.M17 Usalduväärsete arendusvahendite valimine (C-I-A)

a. Tarkvara arendamisel kasutatakse ainult vajalikke ja tõestatud turvaomadustega arendustööriistu.

b. Arenduses kasutatava riistvara- ja tarkvaratootjate vastavus infoturbe nõuetele on kontrollitav.

CON.8.M18 Regulaarsed arenduskeskkonna turvaauditid (C-I-A)

a. Tarkvara arendus- ja testkeskkonna turvameetmete rakendamise hindamiseks viiakse läbi regulaarseid turvaauditeid.

CON.8.M19 Arenduskeskkonna tervikluskontrollid (I) [IT-talitus]

a. Arenduskeskkonna tervikluse tagamiseks ja manipuleerimise vältimiseks kasutatakse sobivaid krüptoprotsesse (nt failide kontrollsummasid).

b. Terviklushäirete kiireks tuvastamiseks on väärpositiivsete (ingl false positive) häireteadete hulk viidud võimalikult väikseks.

4 Lisateave

Lühend Publikatsioon

[ISO 25000]

[ISO 25001]

[ISO 25010]

[NIST 800-160]

ISO/IEC 25000:2014 „ Systems and Software Quality Requirements and Evaluation – Guide to SQuaRE“

ISO/IEC 25001:2014 „Planning and management“

ISO/IEC 25010:2011 „System and software quality models“

National Institute of Standards and Technologie, NIST 800-160 „Systems Security Engineering, Considerations for a Multidisciplinary Approach in the Engineering of Trustworthy Secure Systems“

74

CON.9 Teabevahetus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed IT-süsteemide ja väliste poolte vaheliseks turvaliseks teabevahetuseks.

1.2 Vastutus Andmevahetuse mooduli meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad

Kasutaja, vastutav spetsialist, haldusosakond.

1.3 Piirangud Võrguühenduste turvet käsitletakse mooduligrupis NET. Irdandmekandjate kasutamiseks andmete edastuseks käsitletakse moodulis SYS.4.5 Irdandmekandjad.

2 Ohud

2.1 Teabe puudumine ettenähtud ajal Teabe puudumine ettenähtud ajal võib oluliselt kahjustada äriprotsesse või põhjustada väärate juhtimisotsuste vastuvõtmist. Kui andmeid ei suudeta õigeaegselt töödelda või neid otsuste tegemiseks ette valmistada, jäävad ärieesmärgid täitmata.

Andmevahetusprotsessis võivad tekkida häired, samuti võib protsess katkeda tehnilistel põhjustel. Andmeseanssi võidakse põhjendamatult edasi lükata, andmete edastus võib võtta oodatust rohkem aega. Andmeliideste ja riistvara tõrked võivad põhjustada andmevahetuse täieliku katkemise.

2.2 Teabe volitamata avalikustamine Teabevahetusel võivad andmed ja seeläbi ja konfidentsiaalne teave sattuda valedesse kätesse või ei jõua teave soovitud adressaadini. Teabe vastuvõtja võimalused teabe volitamata avalikustamist ära hoida on piiratud. Teabe väärkasutamise oht on suurem, kui teabevahetuse osapooled pole sõlminud konfidentsiaalsuslepingut.

2.3 Väära või sisemise teabe edastamine Kui kasutajad ei ole piisavalt koolitatud või nad ei ole teabe edasiandmisel piisavalt tähelepanelikud, võib tundlik teave saada kättesaadavaks volitamata isikutele. Kui andmekandja antakse edasi ilma andmekandjale eelnevalt salvestatud andmeid turvaliselt kustutamata, on sellised näiliselt kustutatud andmed saajale juurdepääsetavad.

Samuti võib juhtuda, et konfidentsiaalsed dokumendid saadetakse kogemata valele vastuvõtjale või on saadetavas kirjas jäänud sisemiseks kasutuseks mõeldud kommentaarid kustutamata.

2.4 Andmete lubamatu kopeerimine või muutmine Kui andmete või andmekandja edasisaatmisel kasutatakse ebaturvalisi kanaleid, on võimalik andmeid nende edastamise ajal märkamatult kopeerida. Ründaja võib suhtlust pealt kuulata ka andmevahetuseks kasutatavas sidevõrgus. Kui ründajal on ligipääs, saab ta andmeid edastamise ajal ka muuta, manipuleerida või lisada andmetele pahavara.

75

2.5 Ebapiisavate krüptovahendite kasutamine Kui krüpteerimiseks valitakse kergesti äraarvatav võti või kui krüptovõtme saatmiseks suhtluspartnerile ei kasutata turvalisi kanaleid, võivad konfidentsiaalsed andmed lekkida.

3 Nõuded

3.1 Elutsükkel

Kavandamine

CON.9.M1 Lubatavate teabevahetuspartnerite määramine

CON.9.M2 Teabevahetuse kord

Evitus

CON.9.M3 Teabevahetuse koolitus töötajatele

CON.9.M4 Välise teabevahetuse lepped

Käitus

CON.9.M5 Jääkteabe kõrvaldamine failidest enne edasiandmist

CON.9.M6 Saatja ja saaja IT-süsteemide ühilduvuse kontroll

CON.9.M7 Edasiantavate andmete varundamine

CON.9.M8 Krüpteerimine ja digitaalsignatuurid

Lisanduvad kõrgmeetmed

CON.9.M9 Konfidentsiaalsuslepingu sõlmimine

3.2 Põhimeetmed

CON.9.M1 Lubatavate teabevahetuspartnerite määramine [haldusosakond, kasutaja]

a. Organisatsioon on määranud, mis teavet ja millistele partneritele ja mis andmevahetuskanalite kaudu on lubatud edastada.

b. Enne info edastamist välisele partnerile veendutakse vastuvõtja õigustes seda teavet vastu võtta ja edasi töödelda.

c. Teabe saajat teavitatakse, milleks ja kuidas seda teavet tohib kasutada.

CON.9.M2 Teabevahetuse kord [haldusosakond, kasutaja]

a. Organisatsioon on kehtestanud kõiki suulise ja elektroonilise teabevahetuse vorme hõlmava teabevahetuse korra.

b. Organisatsioon on kehtestanud teabe kaitsetarbe määramise juhised ja kaitsetarbele vastavad meetmed teabe kaitsmiseks.

c. Enne konfidentsiaalse teabe edastamist teavitatakse teabevahetuspartnerit, et teave on mõeldud kasutamiseks ainult edastamisel ettenähtud eesmärgil.

d. Organisatsioon on määranud, milliste andmevahetuskanalite ja -keskkondade kasutamine ei ole lubatud.

76

CON.9.M3 Teabevahetuse koolitus töötajatele [vastutav spetsialist]

a. Töötajad tunnevad teabevahetuse eeskirja ja oskavad konfidentsiaalset ning sisemiseks kasutamiseks mõeldud teavet käidelda.

b. Töötajad on teadlikud, millist teavet, millal, kus ja kuidas on lubatud edastada.

c. Töötajad läbinud koolituse andmete kaitsmiseks IT-vahendite abil (nt krüpteerimine või kontrollkoodide kasutamine).

3.3 Standardmeetmed

CON.9.M4 Välise teabevahetuse lepped [haldusosakond]

a. Regulaarseks teabevahetuseks väliste partneritega on kokku lepitud järgmised tingimused:

 kas ja millist teavet tuleb kaitsta;

 millised on teabevahetusteed;

 konfidentsiaalsusnõuded (vt ka CON.9.M9 Konfidentsiaalsuslepingu sõlmimine);

 nõutav turvatase ja kuidas seda tõendatakse;

 tegutsemine turvaintsidentide korral;

 vaidluste lahendamise kord;

 õiguslikud raamtingimused.

b. On kokku lepitud teabevahetuse korraldus olukorras, kui tavapärane suhtlus on häiritud.

CON.9.M5 Jääkteabe kõrvaldamine failidest enne edasiandmist [kasutaja]

a. Kasutajaid on jääkteabe kõrvaldamise vajadustest ja viisidest teavitatud. Kasutajad on läbinud vastava koolituse.

b. Enne failide edastamist kontrollitakse, kas failid ei sisalda avaldamisele mittekuuluvat jääkteavet, nagu kommentaarid, muudatuste ajalugu või liigsed metaandmed.

c. Tuvastatud jääkteave kustutatakse, vajadusel muudetakse selleks failivormingut.

d. Jääkteabe puudumist edastatud failides kontrollitakse pisteliselt.

CON.9.M6 Saatja ja saaja IT-süsteemide ühilduvuse kontroll

a. Enne andmekandja saatmist kontrollitakse saatja ja saaja IT-süsteemide ja -toodete ühilduvust järgnevas:

 seadmete füüsiline kokkusobivus;

 kasutatav märgikood (nt ASCII);

 operatsioonisüsteem ja failisüsteemi vormingud;

 rakendustarkvara;

 turvatarkvara ja turvaparameetrid.

b. Lahknevused kõrvaldatakse andmete konverteerimisega ja/või andmekandja asendamisega.

CON.9.M7 Edasiantavate andmete varundamine [kasutaja]

a. Kui edasiantavad andmed asuvad üksnes andmekandjal ning andmeid ei saa taastada muudest andmeallikatest, tehakse andmekandjast ajutine varukoopia.

77

CON.9.M8 Krüpteerimine ja digitaalsignatuurid [kasutaja]

a. Võimalusel krüpteeritakse konfidentsiaalne teave enne selle edastamist.

b. Suure terviklustarbega teavet kaitstakse digitaalsignatuuriga.

c. Andmete krüpteerimiseks valitakse kaitsetarbele vastav, nii saatjale kui ka saajale sobiv krüptomehhanism.

3.4 Kõrgmeetmed

CON.9.M9 Konfidentsiaalsuslepingu sõlmimine (C) [haldusosakond, kasutaja]

a. Konfidentsiaalse teabe edastuseks on selle saajaga sõlmitud leping, mis määrab:

 milline teave on konfidentsiaalne ja kui kaua;

 kellel on lubatud juurdepääs konfidentsiaalsele teabele;

 kuidas konfidentsiaalset teavet on lubatud hoida;

 millised on omandiõigused teabele ja saaja õigused teavet kasutada;

 millised on konfidentsiaalsuslepingu rikkumise tagajärjed.

CON.10 Veebirakenduste arendus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed turvaliste dünaamiliste (muutuva sisuga) veebirakenduste arendamiseks ning veebirakendustes töödeldavate andmete kaitsmiseks.

1.2 Vastutus Veebirakenduste arendamise meetmete täitmise eest vastutab arendaja.

Lisavastutajad

Antud moodulis lisavastutajad puuduvad.

1.3 Piirangud Veebirakenduste turvalise kasutamisega seotud meetmed on kirjeldatud moodulis APP.3.1 Veebirakendused. Turvalise tarkvaraarenduse üldmeetmed on kirjeldatud moodulis CON.8 Tarkvaraarendus.

2 Ohud

2.1 Puudulik autentimine ja kasutusõiguste andmine Kui ründajal õnnestub veebirakenduse autentimisest mööda hiilida, saab ta veebirakendust volitamata kasutada. Kui veebirakendus sisaldab tundlikke andmeid, võib see organisatsioonile kaasa tuua ulatusliku finants- ja mainekahju. Kui ründajal õnnestub veebirakendusse sisse logida veebirakenduses laiendatud kasutusõigusi omava kasutajana, avaneb tal andmete varastamiseks, manipuleerimiseks või kustutamiseks veelgi rohkem võimalusi.

78

Kui veebirakenduse kasutajaõiguste andmine, volitamine ja ressursside jagamine on ebaturvaliselt kavandatud ja puudulikult realiseeritud, võib veebirakenduse kasutaja (ning kasutajana esinev ründaja) saada volitamata juurdepääsu turvakriitilistele andmetele.

2.2 Puudulik sisendite ja väljundite valideerimine Kui veebirakenduses töödeldakse manipuleeritud sisendandmeid, ei pruugita seda õigeaegselt märgata. Ründajal võimalik sisendandmeid manipuleerides veebirakenduse kaitsemehhanismidest mööda pääseda ja käivitada käske otse süsteemi või andmebaasi tasandil. Kui andmeid enne väljastamist ei kontrollita, võib andmetes sisalduv kahjurkood (nt kahjuliku toimega Javascript’i käsud) levida seotud IT-süsteemidesse.

2.3 Veebirakenduse puuduv või puudulik tõrkehaldus Tihti jäävad väiksemad anomaaliad veebirakenduse töös registreerimata ja nendega ei tegeleta. Kui veebirakenduse töös esinevaid tõrkeid ja vigu õigeaegselt ei avastata ja nende kõrvaldamisega ei tegeleta, võib see probleemi kasvades hakata mõjutama rakenduse tööd või muuta rakenduse kasutajatele kättesaamatuks. Veebirakenduse viga võib kaasa tuua suuremahulise andmekao. Viga vahemällu salvestatud andmetes võib mõjutada andmete terviklust. Vigane turvamehhanism võib põhjustada volitamata juurdepääsu andmetele.

2.4 Puudulik turvasündmuste logimine Veebirakenduse turvasündmuste ebapiisaval logimisel ei ole võimalik hiljem turvasündmusi tuvastada ja nende tekkepõhjuseid välja selgitada. Kuna intsidendi põhjus jääb välja selgitamata, on raskendatud meetmete rakendamine sarnaste intsidentide ärahoidmiseks tulevikus.

Kui rakenduses esinevaid vigu ja võimalikule ründele viitavaid konfiguratsioonimuudatusi ei logita, võivad need jääda märkamata.

2.5 Tundliku taustainfo avaldamine veebirakenduses Teatud päringutele veebiserveri ja veebirakenduse poolt vastuseks väljastatavad andmed võivad sisaldada ründajale vajalikku teavet veebiserveri, operatsioonisüsteemi ja tarkvara versiooni ja konfiguratsiooni kohta. Ründaja saab IT-komponentide teadaolevaid nõrkusi ära kasutada veebirakenduse sihtründe (ingl targeted attack) plaanimiseks.

2.6 Automaatsete ründevahendite kasutamine Ründaja võib veebirakenduse töö tõkestamiseks või andmetele juurdepääsu saamiseks lasta automaatselt genereerida suure hulga korduvaid päringuid, mida veebirakendus peab suutma töödelda. Veebirakenduse vastu suunatud teenusetõkestusrünne (ingl denial-of-service attack) võib tekitada veebirakenduse ülekoormuse ja muuta rakenduse kasutajaile kättesaamatuks. Ründevahendi poolt genereeritud korduvate sisselogimiskatsete abil on võimalik püüda ära arvata rakenduse kasutajanimede (kui rakendus annab selle kohta tagasisidet) ja salasõnade kombinatsioone ehk korralda jõurünnet (ingl brute-force attack) või koostada kehtivate kasutajanimede loendeid.

2.7 Puudulik seansihaldus Puuduliku seansihalduse puhul saab ründaja ilma pääsuõigusi omamata kaaperdada teise kasutaja poolt algatatud seansi. Kui ründajal õnnestub kindlaks teha rakenduses laialdasi õigusi omava eeliskasutaja seansiidentifikaator (ingl session ID), on tal võimalik lubatud kasutajana tegutseda. Seansipette (ingl session fixation) korral laseb ründaja kõigepealt veebirakendusel määrata seansiidentifikaatori ja seejärel edastatakse see mõnele volitatud kasutajale (nt e-posti lingiga). Kui volitatud kasutaja kasutab seda linki ja veebirakenduses

79

end ründaja edastatud seansiidentifikaatoriga autendib, saab ründaja veebirakendust temale teadaolevaks saanud seansiidentifikaatoriga seansi ning volitatud kasutaja õiguste piires kasutada.

3 Meetmed

3.1 Elutsükkel

Kavandamine

CON.10.M11 Veebirakenduse turvaline tarkvaraarhitektuur

CON.10.M9 Kaitse SQL-süsti eest

Evitus

CON.10.M1 Turvaline autentimine veebirakenduses

CON.10.M2 Veebirakenduse juurdepääsu reguleerimine

CON.10.M4 Veebirakenduse sisu kasutamise piiramine

CON.10.M5 Andmete üleslaadimise piiramine

CON.10.M6 Kaitse veebirakenduste volitamata automaatse kasutamise eest

CON.10.M14 Veebirakenduste turvaline HTTP-konfiguratsioon

CON.10.M16 Mitmikautentimise kasutamine

Käitus

CON.10.M3 Turvaline seansihaldus

CON.10.M7 Konfidentsiaalsete andmete kaitse

CON.10.M8 Sisendite valideerimine ja väljundite kodeerimine

CON.10.M10 Tundliku taustainfo avaldamise piiramine

CON.10.M12 Oluliste muudatuste kinnitamine

CON.10.M13 Veebirakenduse tõrketöötlus

CON.10.M15 Päringuvõltsingu takistamine

Lisanduvad kõrgmeetmed

CON.10.M17 Ressursside blokeerimise takistamine

CON.10.M18 Tundlike andmete krüptograafiline turve

3.2 Põhimeetmed

CON.10.M1 Turvaline autentimine veebirakenduses

a. Veebirakenduse sisule juurdepääs võimaldatakse ainult kasutaja autentimise kaudu ning on reguleeritud turvaliste ja asjakohaste autentimismeetoditega.

b. Valitud autentimismeetodid on asjakohased ja turvalised ning nende valik on dokumenteeritud.

c. Võimaluse korral on autentimiseks kasutusel tsentraalselt hallatavad autentimiskomponendid (näiteks riigi autentimisteenus TARA).

80

d. Kasutaja autentimisandmeid on lubatud veebirakenduses salvestada ainult pärast kaasnevate riskide kaalumist ja teadvustamist. Kasutajalt nõutakse enne oma autentimisandmete salvestamist riskidega tutvumist ja üheselt mõistetavat („opt-in“) nõusolekut.

e. Veebirakenduses on määratud ebaõnnestunud logimiskatsete lubatud arv. Pärast selle ületamist rakendatakse täiendavaid turvaprotseduure (nt tõkestatakse kasutaja juurdepääs määratud ajaks).

CON.10.M2 Veebirakenduse juurdepääsu reguleerimine

a. Kasutaja pääsuõigused on vajadusekohaselt piiratud.

b. Õiguste mehhanism tagab, et kasutajad saavad teha üksnes oma õigustega lubatud toiminguid.

c. Kasutajate pääsuõigusi hallatakse tsentraalses ja usaldusväärses IT-süsteemis.

d. Pääsuõiguste süsteemi vea korral veebirakendusele juurdepääs keelatakse.

e. Pääsu reguleerimine hõlmab lisaks rakenduse ressurssidele ja funktsioonidele ka URL- kutseid ja objektiviiteid.

CON.10.M3 Turvaline seansihaldus

a. Seansiidentifikaatorite (ingl session ID) loomisel, edastamisel ja klientarvutisse salvestamisel on tagatud seansiidentifikaatorite turvalisus.

b. Seansiidentifikaatorid genereeritakse juhuslikkuse põhimõttel ja piisava entroopiaga. Võimalusel kasutatakse veebirakenduse taristu seansiidentifikaatorite genereerimise funktsiooni. Selleks on veebirakenduse taristu turvaliselt konfigureeritud.

c. Veebirakendus võimaldab kasutajatel pooleliolevat seanssi kontrollitult ja üheselt mõistetavalt lõpetada. Pärast kasutaja uut sisselogimist asendatakse seansiidentifikaator uuega.

d. Seansi kestusele on määratud ülempiir. Mitteaktiivsed seansid lõpetatakse pärast määratud jõudeolekuaega automaatselt.

e. Pärast seansi lõppemist kustutatakse kõik seansiandmed nii serveri kui kliendi poolel.

CON.10.M4 Veebirakenduse sisu kasutamise piiramine

a. Veebirakendus väljastab kasutajatele üksnes ettenähtud ja lubatavaid andmeid ja sisu.

b. Veebirakendusest edasisuunamise sihtkohad asuvad usaldusväärses domeenis.

c. Edasisuunamise funktsionaalsus kasutajatele on veebirakenduses piiratud.

d. Kasutaja lahkumisel usaldatavast domeenist kasutajat informeeritakse.

CON.10.M5 Andmete üleslaadimise piiramine

a. Kasutaja saab salvestada faile ainult ettemääratud viisil.

b. Kasutaja ei saa veebirakenduses seadistatud andmesalvestuse asukohta muuta.

c. Veebirakenduse failide üleslaadimise funktsioon on piiratud.

CON.10.M6 Kaitse veebirakenduste volitamata automaatse kasutamise eest

a. Veebirakendus on kaitstud automatiseeritud juurdepääsu eest.

b. Turvamehhanismide rakendamisel on arvestatud, et turvamehhanismid ei piiraks volitatud kasutajate toiminguid ülemäära.

81

c. Veebirakenduse RSS-söödete (ingl RSS feed) või teiste automatiseeritud funktsioonide olemasolul arvestatakse neid turvamehhanismide seadistamisel.

CON.10.M7 Konfidentsiaalsete andmete kaitse

a. Klientarvutist serverisse edastatakse andmeid ainult HTTP meetodiga POST.

b. Klientarvutisse ei salvestata ega ajutiselt puhverdata tundlikke andmeid.

c. Vormidel olevaid konfidentsiaalseid andmeid ei hoita brauseris avateksti kujul.

d. Veebirakenduse pääsuandmeid on serveris kaitstud piisavalt tugeva krüpteeringuga. Autentimisandmetest hoitakse serveris ainult parooli „soolatud“ räsi (ingl salted hash).

e. Veebirakenduse lähtekoodi kaitstakse lubamatu juurdepääsu eest.

CON.10.M8 Sisendite valideerimine ja väljundite kodeerimine

a. Veebirakendusse edastatud sisendandmeid käsitletakse potentsiaalselt ohtlike andmetena, mida peab enne edasist töötlust filtreerima ja valideerima.

b. Kõiki sisendandmeid, sh sekundaarandmeid (nt seansiidentifikaatorid) valideeritakse serveris asuvas usaldusväärses IT-süsteemis.

c. Vigaseid sisestusi ei töödelda võimaluse korral automaatselt. Kui seda ei saa vältida, muudetakse sisendandmed turvaliseks.

d. Ohtlikud sümbolid varjestatakse viisil, et nende edasine interpreteerimine või käivitamine sihtsüsteemis osutuks võimatuks.

CON.10.M9 Kaitse SQL-süsti eest

a. SQL-süsti (ingl SQL injection) välistamiseks edastatakse andmed veebirakendusest andmebaasisüsteemi (DBMS) salvestatud protseduuride (ingl stored procedures) või SQL-valmislausetega.

b. Kui salvestatud protseduure ega SQL-valmislauseid ei saa kasutada, siis kaitstakse SQL- päringuid muul viisil.

CON.10.M10 Tundliku taustainfo avaldamise piiramine

a. Veebilehed ja veebirakenduste vastusteated ei sisaldada informatsiooni, mis ründajat abistaks turvamehhanismidest mööda hiilida. Selleks tagatakse, et:

 edastatakse üksnes neutraalseid veateateid;

 ei paljastata turbega seotud kommentaare ega toote- või versiooniandmeid;

 turvadokumentatsioonile on võimalik üksnes piiratud juurdepääs;

 ebavajalikke faile kustutatakse regulaarselt;

 väliste otsingumootoritega kasutatakse veebirakendust ettenähtud viisil;

 välditakse teabe jagamist salvestusteede kohta;

 veebirakenduse konfiguratsioonifailid ei asu veebisaidi juurkataloogis.

82

3.3 Standardmeetmed

CON.10.M11 Veebirakenduse turvaline tarkvaraarhitektuur

a. Veebirakenduse tarkvaraarhitektuur koos kõikide komponentide ja sõltuvustega on dokumenteeritud. Tarkvaraarhitektuuri dokumentatsiooni uuendatakse ja kohandatakse vastavalt vajadusele.

b. Veebirakenduse arendamisel lähtutakse kinnitatud tarkvaraarhitektuuri dokumentatsioonist. Dokumentatsiooni detailsus on piisav arendajatel tekkivate küsimuste lahendamiseks.

c. Tarkvaraarhitektuuri dokumentatsioonis on välja toodud ka rakendusevälised, kuid rakenduse tööks vajatavad komponendid.

d. Tarkvaraarhitektuuri kavandamisel on arvestatud, milliste komponentide jaoks milliseid turvamehhanisme rakendatakse, kuidas veebirakendus on olemasolevasse taristusse integreeritud ning milliseid krüpteerimisfunktsioone ja -protseduure kasutatakse.

CON.10.M12 Oluliste muudatuste kinnitamine

a. Enne oluliste muudatuse tegemist veebirakenduses nõutakse kasutaja kinnitust, mis on realiseeritud kasutaja salasõna uuesti sisestamisega. Mitmikautentimise (ingl multifactor authentication) puhul piisab täiendava autentimisteguri sisestamisest.

b. Kui salasõna uuesti sisestamist tegevuse kinnitamiseks ei saa rakendada, kasutatakse mõnda muud autentimismeetodit.

c. Kasutajaid teavitatakse toimunud muudatustest veebirakendusevälise sidekanali kaudu.

CON.10.M13 Veebirakenduse tõrketöötlus

a. Veebirakenduse töö ajal tekkinud tõrgete lahendamisel säilitatakse veebirakenduse terviklus.

b. Veebirakendus logib kõik tekkinud veateated.

c. Tõrke tõttu pooleli jäänud toiming katkestatakse ja juurdepääs ressurssidele tõkestatakse.

d. Eelnevalt reserveeritud veebirakenduse ressursid vabastatakse tõrketöötluse käigus.

e. Võimaluse korral teostab tõrketöötluse veebirakendus ise.

CON.10.M14 Veebirakenduste turvaline HTTP-konfiguratsioon

a. Kaitseks klõpsurööv-rünnete (ingl clickjacking) ja skriptisüsti (ingl cross-site scripting) eest on veebirakenduses määratud sobivad HTTP-vastusepäise sätted (nt X-FRAME- OPTIONS: deny).

b. Veebirakendus kasutab vähemalt järgmisi HTTP-päiseid:

 Content-Security-Policy (CSP);

 Strict-Transport-Security (HSTS);

 Content-Type;

 X-Content-Type-Options;

 Cache-Control.

c. Veebirakendus on HTTP-päistega seadistatud sedavõrd päringuid piiravaks kui võimalik.

d. Küpsistele (ingl cookie) on määratud atribuudid secure, SameSite ja httponly.

83

CON.10.M15 Päringuvõltsingu takistamine

a. Veebirakendus toetab päringuvõltsingu (ingl cross-site request forgery) takistamise turvamehhanisme, mis eristavad kasutaja kavatsetud ja korralisi veebilehepäringuid soovimatutest päringutest või volituseta käskudest.

b. Kontrollitakse, kas kaitstud ressurssidele ja funktsioonidele juurde pääsemiseks on lisaks seansiidentifikaatorile vaja mingit lisanduvat volitustõendit.

c. Kasutaja kavatsetud päringu tõendamiseks kontrollitakse täiendavalt HTTP-päringu autentsust.

CON.10.M16 Mitmikautentimise kasutamine

a. Võimalusel rakendatakse veebirakenduse kasutajate autentimisel mitmikautentimist.

3.4 Kõrgmeetmed

CON.10.M17 Ressursside blokeerimise takistamine (A)

a. Ummistusrünnete (ingl denial-of-service attack) ärahoidmiseks välditakse ressursimahukaid tüüptoiminguid.

b. Kui ressursimahukaid tüüptoiminguid ei saa välistada, rakendatakse nende kaitseks spetsiaalseid turvameetmeid.

c. Jälgitakse ja ollakse valmis võimalikuks veebirakenduse logide ületäitumiseks.

CON.10.M18 Tundlike andmete krüptograafiline turve (C-I)

a. Veebirakenduse tundlikud andmed on kaitstud piisavat kaitset pakkuvate krüptomehhanismidega.

OPS.1: Oma käidutööd

OPS.1.1: IT-põhitööd

OPS.1.1.1 IT-haldus üldiselt

1 Kirjeldus

1.1 Eesmärk Kehtestada infoturbe meetmed lahutamatu osana kõigis IT-halduse põhiaspektides (IT-varade haldamine, IT-hanked, IT käitamine, muudatuste haldus, seire, intsidentide haldus ja IT kasutusest kõrvaldamine).

1.2 Vastutus IT-halduse meetmete täitmise eest vastutab IT-talitus.

84

Lisavastutajad

Lisavastutajad puuduvad.

1.3 Piirangud Moodul käsitleb IT-halduse valdkonnaüleseid infoturbe aspekte. IT-haldus ei keskendu ainult infotehnoloogiale, vaid selle turvalisele integreerimisele organisatsiooni äriprotsessidesse. Moodul ei asenda IT-halduse parimaid tavasid koondavaid raamistikke, nt ITIL (Information Technology Infrastructure Library) või standardeid (ISO 20000 Infotehnoloogia.Teenusehaldus).

IT-halduse valdkondlikke turvameetmeid käsitletakse mooduligrupi OPS.1.1 IT-põhitööd järgnevates moodulites, eelkõige moodulites OPS.1.1.2 IT-süsteemide haldus, OPS.1.1.3 Paiga- ja muudatusehaldus ja OPS.1.1.7 Süsteemihaldus.

Võrguhalduse meetmed kirjeldatakse moodulis NET.1.2 Võrguhaldus. Pääsuõiguste haldust käsitletakse moodulis ORP.4 Identiteedi- ja õiguste haldus ning IT-süsteemide kaughaldust moodulis OPS.1.2.5 Kaughooldus.

Andmete varundamist ja arhiveerimist käsitletakse moodulites CON.3 Andmevarunduse kontseptsioon ja OPS.1.2.2 Arhiveerimine.

IT-halduse aspekte erandlikes olukordades toimetulekuks käsitletakse moodulites DER.1 Turvaintsidentide avastamine, DER.2.1 Turvaintsidentide käsitlus ja DER.2.3 Ulatuslike turvaintsidentide lahendamine.

Kolmandate poolte haldusülesannete täitmist käsitlevad moodulid OPS.2.3 Väljasttellimine ja OPS.3.2 Teenuseandja infoturve.

Antud moodul ei käsitle DevOps metoodika eriaspekte ega infoturbe meetmete rakendamist IT projektide läbiviimisel.

2 Ohud

2.1 Kvalifitseeritud tööjõu puudumine IT-halduse sujuvast toimimisest sõltub organisatsiooni äriprotsesside toimimine. Kvalifitseeritud töötajate puudumisel võib katkeda IT-halduse protsesside järjepidevus, pikenevad ooteajad ja sagenevad IT-töötajate inimlikest eksimustest tingitud vead.

Tööjõu puudus nõrgendab oluliselt IT-halduse infoturbe aspekte. Näiteks ei ole võimalik töötajate vähesuses tõttu korraldada piisavat seiret ja tegevuslogide analüüsi.

Vajaliku oskusteabe koondumine ainult mõnede töötajate valdusesse tekitab sõltuvuse üksikutest inimesest. Võtmeisiku lahkumise korral tekivad probleemid IT-süsteemide käideldavuse tagamisel.

2.2 IT-halduse dokumentatsiooni puudulikkus IT- halduse protseduuride läbiviimine ebapiisavatele, vananenud või volitamata muudetud protsessijuhenditele tuginedes võib põhjustada katkestusi IT-süsteemide töös, andmete lekkimist või tervikluse kadu. Ka toimunud intsidentide tagajärgede likvideerimine võtab oluliselt rohkem aega, sest puuduvad detailsed tegevusjuhised IT-süsteemide ja seonduvate andmete taastamiseks.

Kui IT-haldusesse on kaasatud väliseid osapooled, võib puudulik tegevuste juhtimine põhjustada tundliku teabe lekkimist.

85

2.3 Piiratud ressursid IT-halduses Kui puuduvad vajalikud tööriistad IT-halduse protsesside läbiviimiseks ja automatiseerimiseks, kannatab IT-halduse kvaliteet ja efektiivsus ja seeläbi organisatsiooni äriprotsesside toimimine. Tõrgete kõrvaldamiseks kuluv aeg pikeneb, töötajad on tegevuses äriprotsesside parendamise asemel „tulekahjude kustutamisega“.

Ressursside puudumisel ei ole võimalik luua taristut käidukeskkonnas tehtavate muudatuste testimiseks ja IT-haldusprotsesside parendamiseks.

2.4 Eelisõiguste või konfidentsiaalse teabe kuritarvitus IT-halduri eelisõigustega kasutajakonto kuritarvitamise teel on võimalik ligi pääseda konfidentsiaalsele teabele ja manipuleerida ärikriitilisi andmeid. Volitamata isikud võivad eeliskontole ligi pääseda läbi halduri vastu suunatud kalastamis- (ingl phishing) või suhtlusrünnete (ingl social engineering).

Kui IT-halduri organisatsioonist lahkumisel ei suleta tema kontosid või ei muudeta sisselogimisandmeid, võib ta jätkata IT-süsteemidesse sisselogimist, seades niiviisi ohtu IT- süsteemide turvalisuse.

Konfidentsiaalse teabe lekke võib põhjustada ka IT-halduri inimlik eksimus, näiteks kui ta jätab laokile oma pääsukaardi või väljatrükitud IT-süsteemi konfiguratsiooniandmed.

2.5 Volitamata juurdepääs IT-seadmetele Kui IT-halduseks kasutavatele arvutitele või IT-seadmetele pääsevad ligi volitamata isikud (nt asuvad seadmed lukustamata ruumis), eksisteerib oht, et neid seadmeid kasutatakse erinevate IT-süsteemide vastu suunatud rünnete algatamiseks. Oht on suurem, kui IT-halduse jaoks vajalikud kasutajakontod ja andmesideliidesed on nõrgalt kaitstud, näiteks nõuavad ainult parooli sisestamist.

2.6 IT-haldustoimingute salgamine või võltsimine Kui IT-haldur esitab haldustoimingute kohta valeinformatsiooni (nt salgab, et oluline protseduur jäi tegemata), võib see ohustada IT-süsteemi käideldavust ja IT-süsteemis olevate andmete turvalisust.

Kui IT-haldurile saadetakse valeinformatsiooni (nt manipuleeritud e-kirjaga) süsteemi oleku või edasiste tegevuste kohta, võib ta tegelikku olukorda valesti hinnata ja käivitada protseduure, mis muudavad IT-süsteemi kasutajale kättesaamatuks või ohustavad IT-süsteemi turvalisust muul viisil.

2.7 Haldustoimingute tegemata jätmine Kui IT-halduse toiminguid ei viida läbi vastavalt kehtestatud nõuetele ja protsessijuhenditele, võib kahjustuda IT-süsteemide käideldavus ja terviklus.

Sageli jäetakse IT-komponentide soetamisel arvestamata nende hilisem hooldus- ja haldusvajadus. IT-komponendid võivad asuda kohtades, kus neile ligipääs on raskendatud või pole kasutusele võetud haldamiseks vajalikke haldusliideseid.

Samuti võib IT-süsteemide turvalisus ohtu sattuda kui IT-halduse toiminguid viiakse läbi hoolimatult või ebakorrektselt.

86

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.1.1.M1 IT-halduse ülesannete ja kohustuste määramine

OPS.1.1.1.M2 IT-halduse rollide ja kasutusõiguste määratlemine

OPS.1.1.1.M3 IT-halduse juhendite koostamine

OPS.1.1.1.M4 IT-halduseks vajalike ressursside tagamine

Evitus

OPS.1.1.1.M11 Teenusetasemelepete sõlmimine

OPS.1.1.1.M12 IT-halduse protsesside määratlemine

OPS.1.1.1.M14 IT-halduse kavandamine IT-komponentide soetamisel

OPS.1.1.1.M15 IT-halduse tööriistade turvaline soetamine ja kasutamine

Käitus

OPS.1.1.1.M5 Turvaliste tüüpkonfiguratsioonide määratlemine

OPS.1.1.1.M6 Keskne IT-varade haldus

OPS.1.1.1.M7 Turvalised IT-halduse protseduurid

OPS.1.1.1.M8 IT-halduse regulaarne kontrollimine

OPS.1.1.1.M9 IT-halduse regulaarne seire

OPS.1.1.1.M10 IT-komponentide turvanõrkuste loend

OPS.1.1.1.M13 IT-halduse tööriistade ja dokumentatsiooni turve

OPS.1.1.1.M16 IT-halduse personali väljaõpe

OPS.1.1.1.M18 Väliste teenuseandjate kasutamine IT-halduses

OPS.1.1.1.M19 IT-komponentide regulaarne hooldus

OPS.1.1.1.M20 IT-komponentide turvanõrkuste seire

Avariivalmendus

OPS.1.1.1.M17 IT-halduse korraldamine avariiolukorras

Lisanduvad kõrgmeetmed

OPS.1.1.1.M21 IT-halduse tööriistade kasutamise seire

OPS.1.1.1.M22 Automatiseeritud turvatestimine

OPS.1.1.1.M23 IT-komponentide läbistustestimine

OPS.1.1.1.M24 IT-halduse protseduuride detailne logimine

OPS.1.1.1.M25 IT-halduse tööriistade autonoomsuse tagamine

OPS.1.1.1.M26 IT-komponentide ennetav hooldus

87

3.2 Põhimeetmed

OPS.1.1.1.M1IT-halduse ülesannete ja kohustuste määramine

a. Kõikide IT-komponentide puhul on määratletud vajalikud IT-halduse toimingud.

b. On määratud IT-komponentide halduse eest vastutavad IT-haldurid.

c. Organisatsioon on määranud IT-halduse suhtluskanalid ja kinnitanud organisatsiooniüksuste vahelise aruandluse, sh suhtluskanalid intsidentide eskaleerimiseks.

OPS.1.1.1.M2IT-halduse rollide ja kasutusõiguste määratlemine

a. IT-komponentidele on määratud komponendi halduseks kasutatavad rollid ja halduseks vajalikud õigused ja volitused.

b. On loodud IT-halduse rollikontseptsioon, millega eraldatakse IT-halduseks kasutatavad rollid igapäevase IT-tavakasutaja rollidest.

c. Igapäevaste IT-tegevuste jaoks ei kasutata IT-halduri õigustega kasutajakontot.

d. Ühiskasutuses olevaid kasutajakontosid on lubatud luua ja kasutada ainult põhjendatud erandjuhtudel.

e. Rollide ja halduskontode pääsuõiguste asjakohasust kontrollitakse perioodiliselt. IT- halduse rolle, kontosid ja pääsuõigusi uuendatakse vastavalt vajadusele.

f. Lahkunud töötajate kasutajakontod eemaldatakse IT-komponentidest esimesel võimalusel.

g. IT-komponendi kasutusest kõrvaldamisel kustutatakse sellega seotud rollid ja halduskontod.

3.3 Standardmeetmed

OPS.1.1.1.M3IT-halduse juhendite koostamine

a. Käitatavate IT-komponentide haldustööd on kirjeldatud IT-halduse juhendites.

b. IT halduse juhendites käsitletakse vähemalt järgmist:

 hallatava IT-komponendi andmed;

 vajalikud haldusvahendid ja -tööriistad;

 IT-komponendi konfiguratsioon;

 konfiguratsioonis sisalduvate turvaseadistuste kohandused;

 IT-halduse rollid ja kontod;

 IT-komponentide testimine;

 seire, logimine ja automaatteavitused;

 andmete varundamine ja taasteplaanid;

 IT-intsidentide käsitlemise kord;

 regulaarsed ja plaanivälised haldustegevused.

c. IT halduse juhendid on volitatud isikutele igal ajal kättesaadavad.

d. IT-halduse juhendite aja- ja asjakohasust kontrollitakse perioodiliselt. Juhendeid uuendatakse vastavalt vajadusele.

88

OPS.1.1.1.M4 IT-halduseks vajalike ressursside tagamine

a. Piisavate ressursside leidmiseks on analüüsitud IT-halduse toimingute mahtu, vajalikke ressursse, tööjõudu ja oskusteavet.

b. IT-halduseks on olemas piisaval hulgal vajaliku oskusteabega töötajaid. Personaliressursi kavandamisel on arvestatud reserviga, mis on vajalik lühiajaliste töölt eemalolekute ja ajutiste suurema personalivajadusega perioodide kompenseerimiseks.

c. IT-halduseks on olemas piisaval hulgal materiaalseid ressursse.

d. Ressursivajadusi hinnatakse perioodiliselt. IT-halduse ressursse kohandatakse vastavalt ärivajadustele ja kehtivatele nõuetele.

OPS.1.1.1.M5 Turvaliste tüüpkonfiguratsioonide määratlemine

a. IT-halduse juhendites on koostatud ja dokumenteeritud tüüpsete IT-komponentide tugevdatud turvet sisaldavad tüüpkonfiguratsioonid.

b. Virtualiseeritud IT-platvormides, milles käitatakse teisi IT-komponente, on välja töötatud ja rakendatud kõigile IT-komponentidele sobivad turvaseadistused.

c. IT-komponentide konfiguratsioonid vastavad organisatsiooni turvanõuetele ning arvestavad tootjapoolseid soovitusi komponentide turvaliseks seadistuseks.

d. Tüüpkonfiguratsioone testitakse enne nende juurutamist käidukeskkonnas (ingl operational environment).

e. Tüüpkonfiguratsioonide aja- ja asjakohasust kontrollitakse regulaarselt. Tüüpkonfiguratsioone muudetakse vastavalt tehnoloogilise keskkonna ja riskihinnangute muutumisele.

f. Tüüpkonfiguratsioonid sisaldavad versiooninumbrit ning teostatud muudatusi kirjeldavat muutelugu.

OPS.1.1.1.M6 Keskne IT-varade haldus

a. IT-halduse protseduurid sisaldavad olemasolevatest IT-varadest ülevaate saamist ja varade perioodilise inventuuri läbiviimist.

b. Kõik käidukeskkonda paigaldatud, testimiseks kasutatavad ning varus olevad IT- komponendid on registreeritud varade keskset haldust võimaldavas varahaldussüsteemis.

c. Varahaldussüsteemis on andmed ka olemasolevate, kuid kasutusest maha võetud IT- varade kohta.

OPS.1.1.1.M7 Turvalised IT-halduse protseduurid

a. IT-halduse protseduuridele on kehtestatud kvaliteedinõuded ning on määratud kriteeriumid IT-halduse toimingute nõuetele vastavuse mõõtmiseks.

b. IT-komponente testitakse enne nende käidukeskkonda paigaldamist ning pärast oluliste muudatuste rakendamist. Vajalikud testid ja nende läbiviimise kord on kirjeldatud IT- halduse juhendites.

c. IT-talitusel on valmisolek kasutatavate IT-komponentide asendamiseks varukomponentidega. Selleks on olemas vajalikud ressursid ja tarnelepingud.

d. IT-halduse käigus tehtud tööd on sobival ja arusaadaval viisil dokumenteeritud. Soovitatav on kasutada selleks spetsiaalset tarkvara, nt IT Helpdeski rakendust.

e. Süstemaatiliselt jälgitakse IT-halduse protseduuride kvaliteeti ning kasutajate rahulolu.

89

f. Süstemaatiliselt kontrollitakse teenusetasemelepete (ingl service level agreement, SLA) ning tegevuslepete (ingl operational level agreement, OLA) järgimist.

OPS.1.1.1.M8 IT-halduse regulaarne kontrollimine

a. Regulaarselt kontrollitakse, kas:

 IT-halduse protseduure kohaldatakse kõikidele käidukeskkonna IT-komponentidele;

 IT-komponentide konfiguratsioonid vastavad ettenähtud tüüpkonfiguratsioonidele;

 IT-halduse protsess on integreeritud kõikidesse organisatsiooni äriprotsessidesse.

OPS.1.1.1.M9IT-halduse regulaarne seire

a. IT-komponentide seiret teostatakse keskse, IT-talituse juhtkonnas kinnitatud seireplaani alusel.

b. Olulistele IT-komponentide parameetritele on määratud lävendid, millest hälbimine käivitab IT-haldurite automaatse teavituse.

c. IT-talitus on IT-halduse seire tulemustest teavitamiseks määranud suhtluskanalid, määratlenud aruandluse sisu ning koostanud avariiolukordadest teavitamise korra.

d. Seireandmete põhjal on võimalik jälgida IT-komponentide hetkeolukorda ning oluliste parameetrite muutumist ajas. Seiretulemused on üheks sisendiks IT-süsteemides tehtavate muudatuste kavandamiseks.

e. Seireandmeid edastatakse ainult turvaliste sidekanalite kaudu.

f. IT-süsteemide kaetust IT-halduse seireplaaniga kontrollitakse perioodiliselt. IT-halduse seireplaani ajakohastatakse vastavalt vajadusele.

OPS.1.1.1.M10 IT-komponentide turvanõrkuste loend

a. IT-komponentide teadaolevad turvanõrkused registreeritakse keskses turvanõrkuste loendis.

b. Turvanõrkuste loendi pidamine ja turvanõrkuste käsitlus on osa IT-halduse protsessist.

c. Turvanõrkuste käsitluse käigus dokumenteeritakse:

 kas eksisteerib turvauuend, mis parandaks IT-komponendi teadaoleva turvanõrkuse;

 mis ajaks on IT-komponendi turbepaik paigaldatud;

 kas IT-komponent tuleb turvanõrkuste tõttu kasutusest kõrvaldada ja/või asendada;

 kuidas toimub IT-komponendi eraldamine juhul kui IT-komponendi uuendamine või asendamine pole võimalik.

OPS.1.1.1.M11 Teenusetasemelepete sõlmimine

a. IT-talitus on sõlminud oma klientidega IT-komponentide kaitsetarvet arvestavad teenusetasemelepped (ingl service level agreement, SLA) või tegevuslepped (operational level agreement, OLA).

b. Teenusetasemelepete tingimuste määramisel on arvestatud organisatsiooniüksuste ja äriprotsesside sõltuvusi IT-komponendi toimimisest ning äriprotsesside kaitsetarvet.

c. Teenusetasemelepetes määratletud rolle ja vastavaid kohustusi täidetakse.

OPS.1.1.1.M12 IT-halduse protsesside määratlemine

a. IT-talitus on määratlenud ja kinnitanud IT-halduse protsessid.

90

b. Iga IT-halduse protsessi kohta on kirjeldatud:

 protsessi algataja ja protsessis osalejad;

 protsessis sisalduvad IT-halduse tegevused;

 liidestused (sh sisendid ja väljundid) teiste IT-halduse protsesside või äriprotsessidega;

c. IT-talituse töötajad tunnevad IT-halduse protsesse ja järgivad tööprotseduure.

d. IT- halduse protsessi läbimise tõestusmaterjalid dokumenteeritakse. Üksikute protsessietappide läbimist logitakse vastavalt vajadusele.

e. On loodud tegevusjuhised olukordadeks, mis väljuvad tüüpsete IT-halduse protsesside raamest. Dokumenteeritud on vähemalt:

 tegevusjuhend juhuks, kui IT-halduse protsessi pole võimalik läbi viia;

 juhised veaolukorra ja protsessi tahtliku manipuleerimise korral tegutsemiseks.

OPS.1.1.1.M13 IT-halduse tööriistade ja dokumentatsiooni turve

a. IT-halduses kasutatavatele seadmetele, tööriistadele ja juhenditele on juurdepääs ainult volitatud IT-talituse töötajatel.

b. IT-halduseks vajalikud ressursid ja dokumentatsioon on volitatud isikutele vajadusel kättesaadavad.

c. Kui IT-halduse toiminguid tehakse otse käidukeskkonnas (ingl operational environment), edastatakse tundlikke andmeid ainult turvaliste protokollide kaudu.

d. IT- halduse tööriistade kasutamist seiratakse ja neile kohandatakse paigahaldust (vt OPS.1.1.3 Paiga- ja muudatusehaldus).

OPS.1.1.1.M14 IT-halduse kavandamine IT-komponentide soetamisel

a. IT-süsteemide kavandamisel ja IT-komponentide hankimisel on arvestatud nende toimimise tagamiseks vajalike IT-haldustööde mahtu ning organisatsiooni IT-halduse protsessidest tulenevaid nõudeid.

b. IT-haldusvajaduse analüüsis on arvestatud kavandavate IT-süsteemide keerukust (ingl complexity).

OPS.1.1.1.M15 IT-halduse tööriistade turvaline soetamine ja kasutamine

a. IT-halduse ressursside kavandamisel ning haldustööriistade soetamisel ja kasutamisel lähtutakse IT-komponentide halduse reaalsest vajadusest.

b. IT-halduse protsessid ja vajalikud ressursid on organisatsiooni kõigi äriüksustega kooskõlastatud.

c. IT-halduse võrk on asutuse teistest võrkudest vähemalt loogiliselt eraldatud (vt NET.1.1 Võrgu arhitektuur ja lahendus). Ressursside täiendav segmentimine otsustatakse, lähtudes IT-halduse tööriistade funktsionaalsetest sõltuvustest, infoturvapoliitikast ja andmete kaitsetarbest.

OPS.1.1.1.M16 IT-halduse personali väljaõpe

a. IT-halduse töötajate koolitusplaani koostamisel arvestatakse, et IT-komponendi haldamiseks vajalikud oskused ja kvalifikatsioon oleks mitmel töötajal.

b. Koolitustel käsitletavad teemad katavad vähemalt järgmist:

 tüüpkonfiguratsioonid ja infoturbe tugevdamine (ingl hardening);

91

 kasutatavate IT-komponentide ja haldustööriistade spetsiifilised turvaseaded;

 haldustööriistade tüüpsed veaolukorrad ja nende lahendamine;

 IT-halduse protsesside vahelised seosed ja liidestused.

c. Uute IT-komponentide soetamisel kavandatakse koolitused asjakohaste IT-halduse protseduuride omandamiseks.

OPS.1.1.1.M17 IT-halduse korraldamine avariiolukorras

a. On määratletud tingimused, mille täitumisel rakendub IT-halduses avarii korral tegutsemise kord.

b. IT-süsteemide pikaajalise katkestuse või avarii korral tegutsemiseks on koostatud IT- halduse avariiteatmik.

c. IT-halduse avariiteatmik määratleb, millised IT-komponendid on vajalikud organisatsiooni toimimiseks minimaalsel lubataval tasemel ning milliste IT-komponentide tugi tagatakse eelisjärjekorras.

d. Avarii korral tegutsemise juhised sisaldavad vähemalt järgmist:

 toibumisplaanid (ingl disaster recovery plan) avariiolukorrast väljumiseks;

 IT-komponentide taastamise juhised;

 tegevusjuhised kriitiliste äriprotsesside pikaajalise katkestuse mõju leevendamiseks.

OPS.1.1.1.M18 Väliste teenuseandjate kasutamine IT-halduses

a. IT-haldusega seotud väliste teenuseandjate tegevus on reguleeritud lepingute ja teenusetasemelepetega (SLA).

b. Teenuseandjaga on kokku lepitud suhtluskanalid ja teenuse üksikasjalik sisu. Eriti oluline on see siis kui kitsas teenusevaldkonnas kasutatakse mitmeid teenuseandjaid.

c. Teenuseandja tegevused fikseeritakse. Teenuseandja tegevuste vastavust kokkulepitule kontrollitakse regulaarselt.

OPS.1.1.1.M19 IT-komponentide regulaarne hooldus

a. IT-komponente hooldatakse regulaarselt. Teostatud hooldus- ja parendustööd dokumenteeritakse.

b. On määratud IT-komponendi hoolduse eest vastutavad isikud.

c. Hooldustööde läbiviimisel arvestatakse kehtestatud infoturbe nõudeid.

d. Väliste hooldusspetsialistide tööd on eelnevalt asjaosalistega kooskõlastatud. On määratud kontaktisik, kes kolmandate poolte hooldustegevusi koordineerib ning vajadusel kontrollib ja kinnitab tööde läbiviimise.

OPS.1.1.1.M20 IT-komponentide turvanõrkuste seire

a. IT-haldurid jälgivad ja analüüsivad regulaarselt infot kasutatavate IT-komponentide teadaolevate nõrkuste ning turvapaikade väljalaske kohta.

b. IT-komponente testitakse turvanõrkuste olemasolu suhtes. Iga IT-komponendi jaoks on määratud sobiv testimise ulatus, sügavus ja metoodika. Testimisel tuvastatud turvanõrkused registreeritakse.

c. Teadaolevad riistvara, operatsioonisüsteemide ja rakenduste nõrkused parandatakse esimesel võimalusel. Kui nõrkuse parandamiseks ei ole tootja väljastanud turvapaika, kasutatakse IT-süsteemi kaitseks täiendavaid turvameetmeid.

92

d. Ilma tootjapoolse toeta ja teadaolevate turvanõrkustega riistvara, operatsioonisüsteemid, rakendused ja teenused kõrvaldatakse kasutusest.

3.4 Kõrgmeetmed

OPS.1.1.1.M21 IT-halduse tööriistade kasutamise seire (C-I-A)

a. IT-komponentide haldustööriistade kasutamist jälgitakse organisatsiooniüleste turvaseire vahenditega.

b. Turvasündmuste reaalajaliseks ja keskseks tuvastamiseks on IT-halduse tööriistad integreeritud automatiseeritud sissetungituvastuse süsteemi (ingl intrusion detection system, IDS) seireandmestikuga.

OPS.1.1.1.M22 Automatiseeritud turvatestimine (C-I-A)

a. Turvanõrkuste avastamiseks testitakse IT-komponente regulaarselt automatiseeritud testimistööriistadega.

b. Nõrkuseotsingu (ingl vulnerability scanning) tulemused logitakse automaatselt ning need on kättesaadavad teistele asjakohastele tööriistadele.

c. Kriitilise turvanõrkuse avastamisel saadetakse volitatud töötajatele automaatteavitus.

OPS.1.1.1.M23 IT-komponentide läbistustestimine (C-I-A)

a. Organisatsiooniülese turvatestimise kontseptsiooni alusel viiakse läbi IT-komponentide regulaarset läbistustestimist (ingl penetration testing).

OPS.1.1.1.M24 IT-halduse protseduuride detailne logimine (C-I-A)

a. Kõik IT-halduse protseduurid logitakse jälgitavalt ja tõendatavalt.

OPS.1.1.1.M25 IT-halduse tööriistade autonoomsuse tagamine (C-I-A)

a. IT-halduse tööriistu on võimalik kasutada ka võrguühenduse katkestuse või mõne muu välise mõjutuse korral.

b. IT-halduse tööriistade omavahelised sõltuvused on võimalikult minimeeritud. Tööriistade konfigureerimisel välditakse olukordi, mille puhul ühe tööriista rike põhjustab häireid teise tööriista toimimises.

OPS.1.1.1.M26 IT-komponentide ennetav hooldus (I-A)

a. IT-komponentide hooldused plaanitakse ja viiakse läbi vähendatud ajavahemike järel, ennetades sellega võimalike tõrgete teket.

4 Lisateave

Lühend Publikatsioon

[ITIL] The Information Technology Infrastructure Library (ITIL) framework, https://www.axelos.com/certifications/itil-service-management

[ISO] EVS-ISO/IEC 20000, Infotehnoloogia.Teenusehaldus

93

OPS.1.1.2 IT-süsteemide haldus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed IT-süsteemide ja võrkude turvaliseks halduseks. IT-süsteemide haldamiseks on vaja IT-süsteemis eeliskontot. Haldustoimingute tulemusena võib muutuda hallatavate IT- komponentide konfiguratsioon.

1.2 Vastutus IT-süsteemide halduse meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Personaliosakond.

1.3 Piirangud Moodulis on esitatud IT-süsteemide halduse üldmeetmed. Pääsuõiguste haldust käsitletakse moodulis ORP.4 Identiteedi- ja õiguste haldus, muudatuste haldust käsitletakse moodulis OPS.1.1.3 Paiga-ja muudatusehaldus. IT-süsteemide kaughaldust käsitletakse moodulis OPS.1.2.5 Kaughooldus.

IT-halduse turvet aitavad tagada meetmed moodulitest NET.1.2 Võrguhaldus ja OPS.1.1.7 Süsteemihaldus.

Kolmandate poolte haldusülesannete täitmist käsitlevad moodulid OPS.2.3 Väljasttellimine ja OPS.3.2 Teenuseandja infoturve. IT-süsteemide haldust veaolukorras käsitletakse mooduligrupis DER.2 Turvaintsidentide haldus.

IT-halduse korraldamise üldiseid aspekte käsitletakse moodulis OPS.1.1.1 IT-haldus üldiselt.

2 Ohud

2.1 Kohustuste reguleerimatusest tingitud probleemid Kui IT-süsteemide halduse ülesanded (nt kavandamise, installimise, dokumenteerimise, paigahalduse või järelevalve osas) pole selgelt määratud või kui IT-süsteemide halduse kord ei ole töötajatele teada või arusaadav, võivad turbe jaoks olulised tegevused jääda ellu viimata

2.2 Puudulik dokumentatsioon Kui dokumenteeritud teave IT-komponentide kohta ei vasta tegelikule olukorrale, on raskendatud haldustoimingute korrektne plaanimine ja teostus. Eelnevad konfiguratsioonimuudatused võivad kaotsi minna. Haldustööde käigus ilmnenud ootamatud asjaolud võivad oluliselt pikendada toimingute läbiviimise aega. Halvemal juhul võib väär konfiguratsioon põhjustada turvaintsidendi.

2.3 Eeliskasutaja õiguste kuritarvitus Dokumentidele ja andmebaasis asuvatele andmetele juurdepääsu omavad isikud võivad oma suuremaid õigusi enda või kõrvaliste isikute huvides ära kasutada. Kui organisatsioonist lahkunud IT-halduril on jäänud kasutajaõigused korrektselt eemaldamata, võib ta tehtud

94

eksimust kuritarvitada. IT-haldurit võidakse andmetele juurdepääsu saamise nimel survestada või muul viisil mõjutada.

2.4 Tundliku teabe leke Kui IT-süsteemidega seotud tundlik teave (nt IT-komponentidele juurdepääsuinfo või IT- komponentide konfiguratsioonid) ei ole piisavalt kaitstud, võib teave sattuda volitamata isikute kätte, kellel on võimalus seda manipuleerida või kasutada organisatsiooni IT- süsteemide vastu suunatud rünnete kavandamiseks.

2.5 Pädevuse puudumine Sageli on keerulise IT-süsteemi haldamise oskused ja vajalikud teadmised ainult ühel IT- halduril. Kui talle ei ole vastava väljaõppega asendajat, võib IT-halduri lahkumise korral tekkida probleeme IT-süsteemi nõuetekohase ja turvalise töö tagamisega. Probleeme IT- süsteemide halduses võib põhjustada ka pädevate töötajate haigestumine või ette kavandamata töölt eemalviibimine.

2.6 Haldusvahendite ebapiisav kaitse Rünnet IT-süsteemile lihtsustavad IT-halduri poolt IT-süsteemi konfigureerimisel tehtud hooletusvead. IT-süsteemi kaitseks mõeldud turvameetmed võivad jääda rakendamata IT halduri mugavuse või mõne muu põhjuse tõttu. Näiteks kasutatakse IT-halduseks samu tekstiredaktoreid või SSH-kliente, mida kasutatakse ka teiste tööülesannete tarbeks. Vähene turvateadlikkus, haldurite ajanappus ja protseduuride puudumine loovad nõrkusi, mida ründaja saab kergelt ära kasutada.

2.7 IT-süsteemi halduse vead IT-süsteemi haldustoimingute läbiviimisel ei saa kunagi välistada IT-halduri tehtud inimlikku eksimust. Nt võib IT-haldur omavahel segi ajada lahtiolevad konsooliaknad ja sisestada vale käsurea. Vigasel haldustoimingul võivad olla kaugeleulatuvad negatiivsed tagajärjed.

2.8 IT-süsteemide töö häirimine Haldustoimingute läbiviimine mõjutab tavaliselt IT-süsteemide tööd. Kui IT-süsteemide halduse toiminguid tehes ei arvestata nende mõju samaaegsele IT-süsteemide kasutamisele ja toiminguid ei ajastata töövälisele ajale, võidakse äriprotsessi olulisel määral häirida.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.1.2.M2 IT-haldurite asendamise kord

OPS.1.1.2.M7 IT-halduri kohustuste määramine

OPS.1.1.2.M21 IT-süsteemide halduse rollide määramine

OPS.1.1.2.M23 IT-süsteemide halduse rollide ja kasutajaõiguste määramise põhimõtted

OPS.1.1.2.M27 Alternatiivlahendus kesksele IT-süsteemide halduse tööriistale

Evitus

OPS.1.1.2.M5 IT-süsteemide halduse toimingute tõendamine

OPS.1.1.2.M16 Halduspääsu tehniline eraldamine

95

Käitus

OPS.1.1.2.M4 IT-haldurina töötamise lõpetamine

OPS.1.1.2.M6 Halduskontode turve

OPS.1.1.2.M8 Rakenduste haldus

OPS.1.1.2.M11 Haldustegevuste dokumenteerimine

OPS.1.1.2.M22 IT-süsteemide halduse eraldamine tavatöödest

OPS.1.1.2.M24 IT-süsteemide halduse toimingute kontrollimine

OPS.1.1.2.M25 IT-süsteemide halduse toimingute läbiviimise ajastamine

OPS.1.1.2.M26 IT-komponentide konfiguratsiooni varundamine

OPS.1.1.2.M28 IT-süsteemide haldustoimingute logimine

Lisanduvad kõrgmeetmed

OPS.1.1.2.M17 IT-haldurite nelja silma põhimõte

OPS.1.1.2.M18 Haldustoimingute täielik logimine

OPS.1.1.2.M19 Kõrgkäideldavuse tagamine

OPS.1.1.2.M29 IT-halduse tööriistade toimimise seire

OPS.1.1.2.M30 IT-halduse süsteemide integreerimine turvateabe halduse süsteemiga

3.2 Põhimeetmed

OPS.1.1.2.M2IT-haldurite asendamise kord

a. IT-süsteemide halduritele on määratud asendajad, kellel on IT-süsteemide halduse jaoks sobiv kvalifikatsioon ja kes tunnevad konkreetseid süsteeme või on läbinud asjakohase koolituse.

b. Asendajate nimed ja kontaktandmed on dokumenteeritud.

c. On kehtestatud protseduur asendajale pääsuõiguste andmiseks.

d. Juurdepääs IT-süsteemide halduskontodele eriolukorras võimaldatakse ainult volitatud isikutele. Selleks vajalikke pääsuandmeid hoitakse volitatud isikutele kättesaadavas ja turvalises asukohas.

OPS.1.1.2.M4IT-haldurina töötamise lõpetamine [personaliosakond]

a. IT-halduri vabastamisel tööülesannete täitmisest blokeeritakse kohe kõik temaga seotud personaliseeritud halduskontod ja eemaldatakse pääsuõigused (sh juurdepääsud välistele teenustele).

b. Lahkunud IT-haldurile teadaolevad paroolid, pääsukoodid ja salajased krüptovõtmed vahetatakse.

c. Kui töölt lahkunud IT-haldur oli määratud kolmandate poolte kontaktisikuks (nt lepinguga või halduskontaktina), siis teavitatakse asjaomaseid pooli tema lahkumisest ja määratakse uus kontaktisik.

d. Meetmeid rakendatakse ka juhul, kui IT-halduri ülesanded olid määratud ettevõttevälisele isikule.

96

OPS.1.1.2.M5IT-süsteemide halduse toimingute tõendamine

a. Igal IT-halduril ja IT-halduri asendajal on personaalne eeliskonto (ingl privileged account), mida ta kasutab üksnes haldustoiminguteks.

b. Haldustoiminguid tehakse üksnes personaalselt määratud halduskontoga.

c. Kõik haldustoimingud (sh mida tehti, millal ja kelle poolt) on tagantjärele tuvastatavad.

OPS.1.1.2.M6Halduskontode turve

a. Halduskontosid kaitstakse sobivate autentimismehhanismidega. Kui selleks kasutatakse paroole, siis samu paroole ei kasutata muudes haldustsoonides. Suurema kaitsetarbe korral on rakendatud mitmikautentimine (ingl multifactor authetication).

b. Igapäevaste töökohustuste täitmiseks on IT-halduril tavaõigustega kasutajakonto, eeliskontot igapäevaste töökohustuste täitmiseks ei kasutata.

c. Juurdepääs IT-süsteemi haldusliidesele ja haldusfunktsioonidele on ainult IT-halduritel.

d. Kui IT-süsteemi halduseks ei kasutata lokaalset konsooli, on halduskontode kasutamine kaitstud turvaliste võrguprotokollide (nt SSH, TLS) ja piisava tugevusega krüpteerimisega.

OPS.1.1.2.M21 IT-süsteemide halduse rollide määramine

a. On määratud IT-süsteemide halduse rollid. Rollide määramisel on arvestatud IT- süsteemist tulenevaid vajadusi ja kasutajaõiguste minimaalsuse põhimõtet.

b. Rollide määramisel on arvestatud IT-süsteemi kaitsetarvet, nt tuleks kaaluda operatsioonisüsteemi ja rakenduste halduse rollide eraldamist.

OPS.1.1.2.M22 IT-süsteemide halduse eraldamine tavatöödest a. IT-halduse tööriistad on selgelt eristatavad tavatööks kasutatavatest tööriistadest. b. IT-halduse rakendusi ei kasutada peale IT haldustoimingute teiste tööülesannete

täitmiseks. c. IT-halduseks kasutatavad kasutajakontod ning sisselogimiseks vajalikud paroolid on

erinevad muudest kontodest ja paroolidest.

3.3 Standardmeetmed

OPS.1.1.2.M7IT-halduri kohustuste määramine

a. Tööülesannete jaotamisel mitme IT-halduri vahel on kõik tööülesanded kaetud ja vastusalad selgelt eristatud.

b. Igale IT-süsteemile ja rakendusele on määratud vastutav haldur.

c. IT-halduri kohustuste määramisel on arvestatud rollide lahususe nõuet. Halduri rolli ei saa teatud rollidega (nt IT-audiitor) ühildada.

d. IT-halduri õigusi ja kohustusi ajakohastatakse regulaarselt IT-halduri ametijuhendis.

OPS.1.1.2.M8Rakenduste haldus

a. Rakenduse- ja süsteemihaldurite vaheline ülesannete jaotus on määratletud ja dokumenteeritud.

b. Võimalikud kokkupuutekohad rakenduste ja IT süsteemide halduse eest vastutavate isikute tööjaotuses on omavahel kooskõlastatud (nt töötajate asendamise korral).

97

c. Kui IT-halduril on vajalik sekkuda rakenduse käitamisse (nt versioonivahetusel), kooskõlastatakse see eelnevalt rakenduse kasutajatega, arvestades kasutajate vajadusi.

OPS.1.1.2.M11 Haldustegevuste dokumenteerimine

a. Kõik halduse käigus tehtud IT-süsteemi muudatused dokumenteeritakse. Dokumentatsioonist on arusaadav, milliseid muudatusi ja millal on tehtud, kes muudatused tegi ning mis on muudatuse põhjus.

b. Teave muudatuste kohta peab IT-halduri eemaloleku korral olema kättesaadav ka asendajatele.

OPS.1.1.2.M16 Halduspääsu tehniline eraldamine

a. Haldusliidestele juurdepääs on eraldatud tehniliste meetmetega (nt lubatud ühest konkreetsest võrgusegmendist).

b. Haldusrühma mittekuuluvatel isikutel haldusliidestele juurdepääs puudub.

c. Halduspääs teises turvatsoonis asuvale IT-süsteemile on loodud vastava turvatsooni hüppeserveri kaudu. Muud juurdepääsuvõimalused teistest süsteemidest või võrgusegmentidest on tõkestatud.

d. Haldusliidesed ei tohi olla juurdepääsetavad otse välisest võrgust.

OPS.1.1.2.M23 IT-süsteemide halduse rollide ja kasutajaõiguste määramise põhimõtted

a. Organisatsioon on kehtestanud IT-süsteemide halduse rollide ja kasutajaõiguste määramise põhimõtted.

b. IT-süsteemide halduse rollide ja kasutajaõiguste määramise põhimõtted sätestavad, kuidas toimub rolli:

 taotlemine;

 loomine;

 kaasnevate õiguste määramine;

 sidumine konkreetse isikuga.

OPS.1.1.2.M24 IT-süsteemide halduse toimingute kontrollimine

a. Enne IT-süsteemi haldustoimingutega alustamist veendutakse, et kavandatu vastavad püstitatud lähteülesandele.

b. Enne IT-süsteemi haldustoimingutega alustamist kontrollitakse, kas kavandatud toimingud ei mõjuta negatiivselt IT-halduse tööriistade kasutamist.

c. Pärast IT-süsteemi haldustoimingute lõpetamist veendutakse, kas hallatava IT- komponendi konfiguratsioon vastab soovitud sihtseisundile.

d. Kõrgendatud turbevajadusega IT-süsteemi haldustegevusi kontrollib tegevuste läbiviijast erinev isik.

OPS.1.1.2.M25 IT-halduse toimingute läbiviimise ajastamine

a. IT- halduse toimingud viiakse läbi sellest eelnevalt IT-süsteemi kasutajaid ette teavitades ja/või kavandatud hooldusaknas määratud ajaperioodi jooksul.

OPS.1.1.2.M26 IT-komponentide konfiguratsiooni varundamine

a. Enne IT-komponendi haldustoimingute alustamist veendutakse, et IT-komponendi kehtivast konfiguratsioonist on olemas varukoopia.

98

b. Enne võimalike negatiivsete tagajärgedega haldustoimingut varundatakse IT-komponendi konfiguratsioon täiendavalt vahetult enne toiminguga alustamist.

OPS.1.1.2.M27 Alternatiivlahendus kesksele IT-halduse tööriistale

a. Keskset IT-halduse tööriista on vajadusel võimalik asendada asjakohastele haldusvõrkudele juurdepääsu tagamisega läbi turvalise hüppeserveri (ingl jump server).

b. Kui hüppeserverit ei kasutata, tagatakse haldustoimingute läbiviimiseks IT-komponendile otsene füüsiline juurdepääs.

OPS.1.1.2.M28 IT-süsteemide haldustoimingute logimine

a. Kõik halduskontoga tehtud tegevused ja pääsukatsed logitakse. Logitud andmete terviklust kaitstakse.

b. IT-süsteemide haldustoimingute logisid säilitatakse piisavalt pika ajavahemiku jooksul.

3.4 Kõrgmeetmed

OPS.1.1.2.M17 IT-haldurite nelja silma põhimõte (C-I)

a. Juurdepääs turvakriitilistele süsteemidele on reguleeritud nii, et selleks on alati vaja kahte töötajat (nt halduskonto parooli jaotamisega kaheks osaks, millest kumbki pool on teada ainult ühele IT-halduritest).

b. Haldusprotseduuride läbiviimisel täidab üks IT-haldur ettenähtud haldusülesandeid ja teine kontrollib tema tegevust.

OPS.1.1.2.M18 Haldustoimingute täielik logimine (C-I)

a. Turvakriitilistes süsteemides logitakse lisaks IT-halduri tegevustele ka kõik IT- süsteemiülema rakendatud käsud ja käivitatud funktsioonid.

b. IT-süsteemiülematel ei ole salvestatud logifailide muutmise ega kustutamise õigusi.

c. Logifaile säilitatakse terviklikult ning kaitsetarbele vastava ajavahemiku jooksul.

OPS.1.1.2.M19 Kõrgkäideldavuse tagamine (A)

a. On tagatud IT-süsteemide haldustööriistade liiasus.

b. IT-süsteemi haldustööriista võimaliku rikke korral on IT-süsteemide haldustoiminguid võimalik läbi viia ilma oluliste piiranguteta.

OPS.1.1.2.M29 IT-süsteemide halduse tööriistade toimimise seire (A)

a. IT-süsteemide halduse tööriistadele on kehtestatud käideldavuse nõuded.

b. IT-halduse tööriistade käideldavusparameetreid seiratakse regulaarselt, hälvete ilmnemisel teavitatakse vastutavat IT-haldurit.

OPS.1.1.2.M30 IT-süsteemide halduse integreerimine turvateabe halduse süsteemiga (C- I-A)

a. IT-süsteemide haldustoimingute logimine on liidestatud turvateabe ja -sündmuste halduse (ingl security information and event management, SIEM) süsteemiga.

99

OPS.1.1.3 Paiga- ja muudatusehaldus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed organisatsiooni paiga- ja muudatusehalduse protseduuride kohaldamiseks, juhtimiseks ja optimeerimiseks.

1.2 Vastutus Paiga- ja muudatusehalduse meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Vastutav spetsialist.

1.3 Piirangud

Moodul käsitleb tarkvarauuendite paigaldamist ning muudatuste halduse infoturbega seotud aspekte. Konkreetsete IT-süsteemide uuendamist käsitletakse mooduligruppides SYS ja APP. Paikade ja muudatuste testimist ja käidukeskkonda paigaldamist käsitletakse moodulis OPS.1.1.6 Tarkvara testimine ja kasutuselevõtt. Tarkvaraarenduse käigus tehtavaid muudatusi kirjeldatakse moodulis CON.8 Tarkvaraarendus.

2 Ohud

2.1 Puudulikult kehtestatud kohustused Ebaselged, määramata või kattuvad töökohustused paiga- ja muudatusehalduses põhjustavad protsessi aeglustumist ja eksimusi. Paikade ja muudatuste ennatlik kinnitamine ilma neid testimata ja kõiki aspekte arvestamata võib IT-süsteemide turvalisust märkimisväärselt mõjutada. Kui turvapaiku ei paigaldata või seda tehakse liiga hilja, võib see mõjutada IT- süsteemide konfidentsiaalsust ja terviklust.

2.2 Puudulik teabevahetus muudatuste haldamisel Kui paiga- ja muudatusehaldus ei ole organisatsioonis reguleeritud ja asjaomased isikud piisaval määral ei suhtle, võib see põhjustada valesid otsuseid või muudatuste paigaldamisega hilinemist. Puuduliku teabevahetuse korral muutub IT-haldus ebatõhusaks ja tekivad turvanõrkused. Eelnevalt teadvustamata muudatus võib tekitada tööseisaku, kuna kasutaja ei oska muutunud olukorras tegutseda.

2.3 Äriprotsessidega mittearvestamine Kontrollimatud muudatused võivad ohustada äriprotsesside toimimist ja põhjustada mõjutatud IT-süsteemides ulatuslikke tõrkeid. Kui muudatust pole kavandatud ja testitud koos asjaomaste põhiüksustega, võidakse hinnata muudatuste mõju, prioriteetsust ja oodatavat turvataset valesti. Tulem ei pruugi vastata tegelikele ärivajadustele.

2.4 Piiratud ressursid paiga- ja muudatusehalduses Kui paiga- ja muudatusehalduseks puuduvad sobivad töötajad, võib IT-üksuse ja äriüksuste vaheline koostöö kahjustuda. Ressursside puudumisel ei ole võimalik luua nõuetekohast test- ja käidukeskkonna taristut. Töötajate nappus muutub eriti oluliseks juhtudel, kui tegutseda tuleb viivitamata, näiteks avariipaikade paigaldamisel.

100

2.5 Probleemid paikade ja muudatuste automaatse paigaldamisega Paigahaldustarkvara tsentraalsel kasutamisel võidakse väljastada kogu IT-süsteemi ulatuses vigaseid uuendeid, põhjustades ulatuslikke turvaprobleeme.

Kui IT-seadmed ei ole kohtvõrgus püsivalt kättesaadavad, võib kindlal ajavahemikul turvapaiku paigaldav süsteem jätta osad seadmed ajakohastamata.

2.6 Puudulikud taastevõimalused paiga- ja muudatusehalduses Kui paikasid või muudatusi paigaldatakse ilma taastevõimalust ette nägemata, ei ole võimalik vea ilmnedes IT-süsteemi kiiresti parandada. Sama oht on ka siis, kui tarkvara taasteprotseduurid ei ole tõhusad või need kõigil juhtudel ei toimi.

2.7 Paikade ja muudatuste prioriteetsuse väär hindamine Muudatuste prioriteetsuse määramisega eksimisel võidakse olulised paigad installida alles viimases järjekorras, mistõttu seonduv turvarisk püsib kauem. Paiga- ja muudatusehalduse tööriistas võib esineda vigu, mis põhjustavad paiga või muudatuse kohta puuduliku või vale teabe esitamist.

2.8 Andmete ja tööriistade manipuleerimine muudatuste haldamisel Kui ründaja suudab tsentraalsed paiga- ja muudatusehalduse tööriistad üle võtta, saab ta levitada manipuleeritud tarkvara ühekorraga paljudesse IT-süsteemidesse. Kui neid tööriistu haldab väline partner, siis saab rünnet algatada ka partneri võrgust.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.1.3.M1 Paiga- ja muudatusehalduse kord

OPS.1.1.3.M2 Vastutuse määramine

OPS.1.1.3.M5 Muutmistaotluste käsitlus

OPS.1.1.3.M8 Paiga- ja muudatusehalduse tööriistade turvaline rakendamine

Evitus

OPS.1.1.3.M9 Uue riistvara testimise ja kasutuselevõtu protseduurid

OPS.1.1.3.M11 Infotöötluse pidev dokumenteerimine

Käitus

OPS.1.1.3.M3 Automaatuuenduste turvaline seadistus

OPS.1.1.3.M6 Muudatuste kooskõlastamine

OPS.1.1.3.M7 Muudatusehalduse sobitamine äriprotsessidega

OPS.1.1.3.M10 Tarkvarapakettide tervikluse ja autentsuse tagamine

OPS.1.1.3.M15 IT-süsteemide regulaarne uuendamine

Lisanduvad kõrgmeetmed

OPS.1.1.3.M12 Muudatusehalduse tööriistade kasutamine

OPS.1.1.3.M13 Muudatuste tulemuslikkuse hindamine

101

OPS.1.1.3.M14 Muudatuste sünkroniseerimine

3.2 Põhimeetmed

OPS.1.1.3.M1Paiga- ja muudatusehalduse kord [vastutav spetsialist]

a. IT-komponentide, tarkvara ja konfiguratsiooniandmete muudatuste läbiviimiseks on kehtestatud paiga- ja muudatusehalduse kord.

b. Paiga- ja muudatusehalduse kord reguleerib, kuidas tarkvara paikade (ingl patch) ja uuendite (ingl update) paigaldamist plaanitakse, kooskõlastatakse ja dokumenteeritakse.

c. Paikasid ja uuendeid testitakse enne nende rakendamist (vt OPS.1.1.6 Tarkvara testimine ja kasutuselevõtt).

d. Paikade ja uuendite paigaldamise ebaõnnestumise puhuks on koostatud muudatuste tagasivõtmise protseduur.

e. Suuremate muudatuste korral kaasatakse muudatuse kavandamisse infoturbejuht. Taotletava turvataseme säilimine tagatakse nii muudatuse tegemise ajal kui ka pärast muudatuse elluviimist.

OPS.1.1.3.M2Vastutuse määramine

a. Kõigis äriprotsessides on määratud paiga- ja muudatusehalduse eest vastutajad.

b. Paiga- ja muudatusehalduse eest vastutaja klassifitseerib ja aktsepteerib muutmistaotlused (ingl change request) ja koordineerib muudatuste läbiviimist.

c. Keeruka IT-taristuga organisatsioonis toetab vastutajat kindla aja tagant kogunev muutenõukogu (ingl change advisory board), kuhu peale muudatuste tehnilise rakendamisega seotud isikute kuuluvad ka organisatsiooni põhiüksuste esindajad.

OPS.1.1.3.M3Automaatuuenduste turvaline seadistus

a. Uute toodete kasutuselevõtul kontrollitakse, millised uuendusmehhanismid neis on ja kuidas neid konfigureeritakse. Automaatuuendused seadistatakse vastavalt organisatsiooni paigahalduse nõuetele.

b. Vajadusel tõkestatakse uuendite päringud avalikust uuendusserverist ja blokeeritakse uuendite installimise automaatne käivitus.

c. Võimalusel võetakse kasutusele organisatsioonisisene uuendusserver (nt Windows Server Update Services, WSUS). Uuendusserver suhtleb sel juhul otse tootja serveritega ja laadib soovitud uuendid paigaldamiseks sobival hetkel.

d. Mobiilsetele seadmetele, mis võivad tihti asuda väljaspool ettevõtte võrku, laetakse turvapaigad otse tootja uuendusserverist ning võimalikult kiiresti pärast uuendi ilmutamist.

OPS.1.1.3.M15 IT-süsteemide regulaarne uuendamine

a. Põhivara (ingl firmware), operatsioonisüsteeme ja rakendusi uuendatakse regulaarselt. Uuendamine viiakse läbi võimalikult kiiresti pärast turvauuendi ilmutamist ja testimist.

b. Paikasid ja muudatusi paigaldatakse vastavalt prioriteetsusele ja rakendamise kiireloomulisusele.

c. Uuendite paigaldamise järgselt kontrollitakse, kas kõik vajalikud seadmed ja rakendused on uuendused saanud.

d. Kui turvauuend otsustatakse mitte paigaldada, siis vastav otsus ja mittepaigaldamise põhjendus dokumenteeritakse.

102

e. Tootja tarkvaratoe lõppemisel analüüsitakse, kuidas edasiste turvapaikade puudumine mõjutab seadmete või rakenduste turvalist kasutamist. Ebaturvalised seadmed või rakendused kõrvaldatakse kasutusest.

3.3 Standardmeetmed

OPS.1.1.3.M5Muutmistaotluste käsitlus [vastutav spetsialist]

a. Muutmistaotlusi (ingl Request for Changes, RfC) esitatakse, registreeritakse ja dokumenteeritakse vastavalt paiga- ja muudatusehalduse korrale.

b. Muudatuste kavandamisel hinnatakse, kuidas võib muudatus mõjutada organisatsiooni toimimist, määratakse tehnilised ja inimressursid ning teostamise tähtajad.

c. Muudatuse läbiviimise eest vastutaja kontrollib, kas muutmistaotluse juures on piisavalt arvestatud infoturbe aspekte.

OPS.1.1.3.M6 Muudatuste kooskõlastamine

a. Muudatuste kooskõlastusprotsessi on kaasatud kõik asjassepuutuvad sihtrühmad, sh infoturve.

b. Muudatusega hõlmatud sihtrühmadel on võimalik muudatuste kohta oma arvamust avaldada, et vältida sihtrühma seisukohalt soovimatuid muudatusi.

c. Aegkriitilisi muudatusi on võimalik kinnitada lihtsustatud korras.

OPS.1.1.3.M7 Muudatusehalduse sobitamine äriprotsessidega

a. Muudatuse kavandamisel arvestatakse eelkõige organisatsiooni põhitegevuslikke vajadusi ja mõju äriprotsessidele, sh infoturbe seisukohast.

b. Kõiki muudatusest mõjutatavaid üksusi teavitatakse aegsasti eelseisvatest muudatustest.

c. Muudatuse tegemiseks valitakse aeg nii, et äriprotsesse võimalikult vähe häiritaks. Kui äriprotsessi katkestamine on vältimatu, arvestatakse otsustamisel katkestuse võimalike mõjudega.

d. Organisatsiooni juhtkonnal on õigus vajadusel riist- ja tarkvara muudatuste prioriteete ja planeeritud täitmistähtaegu muuta.

OPS.1.1.3.M8Paiga- ja muudatusehalduse tööriistade turvaline rakendamine

a. Paiga- ja muudatusehalduse tööriistade valimisel võetakse arvesse erinevate tarkvaraplatvormide toetust, uuendite väljastamise sagedust ja nende verifitseerimist, konfiguratsiooni paindlikkust ja muudatuste tagasipööramise võimekust.

b. On kehtestatud paiga- ja muudatusehalduse tööriistade turvanõuded, mis käsitlevad tööriistade turvalist haldust ja logimise, andmevarunduse ning avariivalmenduse nõudeid.

OPS.1.1.3.M9Uue riistvara testimise ja kasutuselevõtu protseduurid

a. Uut riistvara testitakse enne kasutuselevõttu spetsiaalselt selleks otstarbeks loodud, käidukeskkonnast eraldatud testkeskkonnas.

b. Testimise käigus kontrollitakse toote funktsionaalsust, ühilduvust ja soovimatute kõrvaltoimete puudumist. Testimiseesmärgid valitakse sõltuvalt riistvara iseloomust.

c. Riistvara testimistulemused ja kasutuselevõtuks kinnitamise tulemused dokumenteeritakse.

103

d. Kui testimise ja kinnitusprotseduuri läbimisest hoolimata avastatakse kasutamisel riistvara vigu, algatatakse veaparandusprotsess.

OPS.1.1.3.M10 Tarkvaratoodete tervikluse ja autentsuse tagamine

a. Tarkvara ja selle uuendeid hangitakse ainult teadaolevalt usaldusväärsetest allikatest.

b. Enne paketi installimist kontrollitakse selle autentsust näiteks kontrollkoodi (ingl checksum) või signatuuri põhjal.

c. Organisatsioonis on olemas tervikluse ja autentsuse kontrolliks vajalikud kontrollivahendid.

OPS.1.1.3.M11 Infotöötluse pidev dokumenteerimine

a. Organisatsioonis on kehtestatud kord IT-süsteemides tehtud muudatuste dokumenteerimiseks.

b. Olemas on ajakohane dokumentatsioon IT-rakenduste ja IT-komponentide konfiguratsiooni, lisatud komponentide, kasutajate, andmevarunduse, avastatud ja kõrvaldatud rikete ja vigade ning teostatud hooldetoimingute kohta.

3.4 Kõrgmeetmed

OPS.1.1.3.M12 Muudatusehalduse tööriistade kasutamine (A)

a. Muudatusehalduse tööriista valimisel on arvestatud muudatuste paigaldamise jõudlusega ja võimekusega vea ilmnemisel taastada muudatuseelne olukord paralleelselt paljudes tööjaamades või serverites.

b. Paiga- või muudatusehalduse tööriist võimaldab paigaldamise vajadusel teadlikult katkestada. Uuendite paigaldamise katkestamist on eelnevalt testitud.

OPS.1.1.3.M13 Muudatuste tulemuslikkuse hindamine [vastutav spetsialist] (I-A)

a. Muudatuse tulemuslikkuse hindamiseks viiakse läbi muudatusejärgset olukorda muudatusele eelneva olukorraga võrdlev järeltestimine.

b. Järeltestimist teevad kasutajad, kes tunnevad organisatsiooni äriprotsesse, kehtivaid kvaliteedi- ja turvanõudeid ja oskavad tuvastada ning hinnata võimalikke vigu.

c. Järeltestimise tulemused dokumenteeritakse.

OPS.1.1.3.M14 Muudatuste sünkroniseerimine (C-I-A)

a. Paigad ja muudatused paigaldatakse kõigisse IT-süsteemidesse võimalikult kiiresti ja korraga.

b. On olemas protseduur ja vahendid, mis võimaldavad kontrollida muudatuste jõudmist kõigisse sihtkohtadesse.

c. Vältimatult hilinevad muudatused (nt mobiilsetes IT-süsteemides) tehakse esimesel võimalusel.

104

OPS.1.1.4 Kaitse kahjurprogrammide eest

1 Kirjeldus

1.1 Eesmärk Esitada meetmed kahjurprogrammide vastase kaitse korraldamiseks.

1.2 Vastutus „Kaitse kahjurprogrammide eest“ meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Kasutaja.

1.3 Piirangud Spetsiifilised nõuded organisatsiooni konkreetsete IT-süsteemide kaitsmiseks kahjurprogrammide eest on esitatud asjakohastes SYS moodulites (nt SYS.2.2.3 Windows 10 klient).

Tuvastatud kahjurprogramme eemaldamist ja IT-süsteemide taastamist käsitletakse moodulites DER.2.1 Turvaintsidentide käsitlus ja DER.2.3 Ulatuslike turvaintsidentide lahendamine.

Kasutajate koolitust käsitletakse moodulis ORP.3 Infoturbe teadlikkuse tõstmine ja koolitus.

2 Ohud

2.1 Tarkvara nõrkused ja kahjurkoodi allalaadimine Kui IT-süsteemid ei ole kahjurprogrammide vastu vajalikul määral kaitstud (nt paikade õigeaegse paigaldamise ja rakenduste turvalise konfigureerimisega), võib ründaja kasutada tarkvara nõrkusi kahjurkoodi paigaldamiseks. Ainuüksi kahjurveebisaidi külastamisest piisab brauseri või mõne installitud pistikprogrammi (nt Java või Adobe Flash) nõrkuse ärakasutamiseks ja IT-süsteemi nakatamiseks. Eriti ohustatud on IT-süsteemid, mida regulaarselt ei uuendata (nt paljud nutitelefonid).

2.2 Väljapressimine lunavaraga Levinud kahjurvara (ingl malware) tüüp on lunavara (ingl ransomware), mis krüpteerib nakatatud IT-süsteemis asuvad andmed. Selleks kasutavad ründajad krüpteerimismeetodeid, kus dekrüpteerimine on võimalik ainult ründajale teadaoleva võtme abil. Võti avaldatakse alles pärast suure rahasumma ründajatele ülekandmist. Kui kahjurvara eest puudub tõhus kaitse ja kasutusele ei ole võetud täiendavaid meetmeid (nt andmevarundus), võib lunavararünne põhjustada suurt finants- ja mainekahju.

2.3 Siht- ja suhtlusründed Sageli kasutatakse organisatsioonide ründamiseks kohandatud kahjurprogramme, mida viirusetõrjeprogrammid ei suuda veel tuvastada. Ründe käigus meelitatakse näiteks juhtivtöötajaid suhtlusründe (ingl social engineering) abil avama kahjulikke e-kirja manuseid. Kui ründajal on õnnestunud sellisel viisil üks arvuti nakatada, saab ta selle kaudu organisatsioonis oma tegevust laiendada.

105

2.4 Bottnetid Kahjurprogrammide kaudu võivad organisatsiooni IT-süsteemides levida ka robotvõrgud ehk bottnetid (ingl botnet). Ründaja, kes kontrollib robotvõrgus tuhandeid arvuteid, võib robotvõrku kasutada erinevate eesmärkide täitmiseks, näiteks spämmi saatmiseks või teenusetõkestusründe käivitamiseks. Isegi, kui otsene negatiivne mõju organisatsiooni teenuste ja IT-süsteemide käideldavusele ja terviklusele puudub, on tegemist seaduserikkumisega, millega kaasneb mainekahju.

2.5 Tootmissüsteemide ja esemevõrgu seadmete nakatamine Peale tavapäraste IT-süsteemide rünnatakse kahjurprogrammidega üha enam ka seadmeid, mis esmapilgul ei tundu tavapärase sihtmärgina. Näiteks võib ründaja spioneerimiseks nakatada Interneti kaudu juurdepääsetava valvekaamera või bottneti osana kasutada võrguga ühendatud nutivalgusteid, kui need ei ole kahjurvara eest piisavalt kaitstud. Tööstuslikke juhtimissüsteeme kahjurprogrammiga manipuleerides võib ründaja rikkuda vara või tekitada pikaajalisi töökatkestusi.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.1.4.M1 Kahjurprogrammide tõrje kontseptsioon

OPS.1.1.4.M7 Kasutajate teadlikkuse suurendamine

Soetamine

OPS.1.1.4.M3 Kahjurvaratõrje tarkvara valimine lõppseadmetele

Evitus

OPS.1.1.4.M2 Süsteemikohaste turvamehhanismide kasutamine

OPS.1.1.4.M5 Kahjurvaratõrje tarkvara rakendamine

Käitus

OPS.1.1.4.M6 Viirusetõrjeprogrammide ja viiruse käekirja andmestike ajakohastamine

OPS.1.1.4.M9 Kahjurprogrammiga nakatumisest teatamine

Lisanduvad kõrgmeetmed

OPS.1.1.4.M10 Spetsiaalse analüüsikeskkonna kasutamine

OPS.1.1.4.M11 Mitme skaneerimismootori rakendamine

OPS.1.1.4.M12 Andmekandjalüüside rakendamine

OPS.1.1.4.M13 Ebausaldusväärsete failide käitlus

OPS.1.1.4.M14 Infoturbe toodete valimine ja kasutuselevõtt sihtrünnete tõrjeks

106

3.2 Põhimeetmed

OPS.1.1.4.M1Kahjurprogrammide tõrje kontseptsioon

a. On koostatud kontseptsioon, mis määrab, milliseid IT-süsteeme kahjurprogrammide eest kaitstakse ja kuidas.

b. IT-süsteemide kasutamist välditakse seni, kuni neid on võimalik kahjurvara eest usaldatavalt kaitsta.

c. Kahjurprogrammide tõrje kontseptsiooni vaadatakse üle regulaarselt, vajadusel kontseptsioon uuendatakse.

OPS.1.1.4.M2Süsteemikohaste turvamehhanismide kasutamine

a. On teada, millised turvamehhanismid on kasutatavatesse IT-süsteemidesse lisatud.

b. Kõik IT-süsteemi turvamehhanismid on kasutusele võetud, välja arvatud juhul, kui on olemas vähemalt samaväärne asendusmehhanism või kui turvamehhanismi mitterakendamiseks on mõjuvad põhjused.

c. Turvamehhanismide teadliku mitterakendamise juhud dokumenteeritakse koos asjakohase põhjendusega.

OPS.1.1.4.M3Kahjurvaratõrje tarkvara valimine lõppseadmetele

a. Kahjurvaratõrje tarkvara valimisel on lähtutud kasutatavatest platvormidest, muudest olemasolevatest turvamehhanismidest, kahjurvaratõrje tarkvara eeldatavast jõudlusest ja avastusvõimest.

b. Lõppseadmetes kasutatakse ärikasutuseks kohandatud, kehtiva hooldus- ja tugiteenusega tooteid.

c. Kahjurvaratõrje tarkvara valimisel arvestatakse andmekaitse- ja konfidentsiaalsusnõudeid.

OPS.1.1.4.M5Kahjurvaratõrje tarkvara rakendamine

a. Kahjurvaratõrje tarkvara on enne kasutuselevõtuks kinnitamist testitud.

b. Kahjurvaratõrje tarkvara on konfigureeritud vastavalt kasutuskeskkonnale.

c. Kui mõni toote turvafunktsioon on välja lülitatud, peab olema selleks dokumenteeritud põhjendus.

d. Kasutaja õigused teha kahjurvaratõrje tarkvara turvaseadetes muudatusi on piiratud.

OPS.1.1.4.M6 Viirusetõrjeprogrammide ja viiruse käekirja andmestike ajakohastamine

a. Viirusetõrjeprogrammi ja viiruse käekirja (ingl virus signature) andmestikke uuendatakse regulaarselt, vastavalt tarkvara valmistaja soovitustele.

b. Viirusetõrjeprogrammi uuenduste korral tutvutakse muudatuste dokumentatsiooniga ning vajadusel muudetakse tarkvara konfiguratsiooni.

OPS.1.1.4.M7Kasutajate teadlikkuse suurendamine [kasutaja]

a. Kasutajatele selgitatakse regulaarselt kahjurvaraga seotud võimalikke ohte.

b. Kasutajatele on edastatud juhised kahjurvaraga seotud ohtude vältimiseks.

c. Kasutajad teavad, et ebausaldusväärsetest allikatest pärinevaid faile ei tohi avada.

d. Kasutajad on kohustatud kahjurprogrammiga nakatumisest või nakatumiskahtlusest teavitama organisatsiooni määratud kontaktisikut.

107

3.3 Standardmeetmed

OPS.1.1.4.M9Kahjurprogrammiga nakatumisest teatamine

a. Kahjurprogrammi avastamisel edastab kahjurvaratõrje rakendus sündmusest teate kesksesse käsitluskohta ja blokeerib nakatatud programmi.

b. Vastutav töötaja otsustab, kas kahjurprogrammi teade võib tähendada turvaintsidenti ja millised on edasised tegevused.

c. On loodud protseduur kahjurvaratõrje rakenduse sündmuseteadete ja hoiatuste käsitluseks.

d. On dokumenteeritud ja testitud tegevuskava kahjurprogrammide eemaldamiseks ja nakatuseelse olukorra taastamiseks.

3.4 Kõrgmeetmed

OPS.1.1.4.M10 Spetsiaalse analüüsikeskkonna kasutamine (C-I-A)

a. Nakatuskahtlusega failide automatiseeritud analüüsiks kasutatakse tunnustatud veebipõhiseid viiruskontrolli tööriistu.

b. Eesti riigiasutuste andmesidevõrgu kasutajad ja erasektori koostööpartnerid kasutavad e- kirjaga saabunud kahtlaste manuste ja teiste ebakindla päritoluga failide kontrollimiseks veebipõhist tööriista aadressil irma.cert.ee.

OPS.1.1.4.M11 Mitme skaneerimismootori rakendamine (C-I-A)

a. Suurema kaitsetarbega süsteemides on avastusvõime tõstmiseks rakendatud erinevaid skaneerimismootoreid kasutavad kahjurvaratõrje vahendid.

OPS.1.1.4.M12 Andmekandjalüüside rakendamine (C-I-A)

a. Enne väliselt osapoolelt saadud andmekandja ühendamist organisatsiooni IT-süsteemiga kontrollitakse andmekandjat selleks otstarbeks konfigureeritud arvutil.

OPS.1.1.4.M13 Ebausaldusväärsete failide käitlus (C-I-A)

a. Ebausaldusväärseid faile avatakse ainult selleks otstarbeks konfigureeritud, teistest IT- süsteemidest isoleeritud arvutis.

b. Kahtlaste failide sisu viiakse edasiseks töötluseks turvalisse vormingusse või prinditakse välja.

OPS.1.1.4.M14 Infoturbe toodete valimine ja kasutuselevõtt sihtrünnete tõrjeks (C-I-A)

a. Suurema kaitsetarbe korral valitakse kasutamiseks tavapärastest toodetest turvalisemad, täiendava kaitsefunktsionaalsusega tooted.

b. Enne kasutamiseks kinnitamist testitakse valitud toote turvatoimet ja ühilduvust ettevalmistatud testkeskkonnas.

108

OPS.1.1.5 Logimine

1 Kirjeldus

1.1 Eesmärk Esitada meetmed logiandmete turvaliseks kogumiseks, talletamiseks, analüüsimiseks ja nõuetekohaseks kõrvaldamiseks.

1.2 Vastutus Logimise meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Vastutav spetsialist.

1.3 Piirangud Spetsiifiliste IT-süsteemide ja rakenduste logimist ja nende kaitset käsitletakse täiendavalt teemakohastes moodulites (nt operatsioonisüsteemi sündmuste logimist käsitletakse moodulites SYS.1.1 Server üldiselt ja SYS.2.1 Klientarvuti üldiselt). Logiandmete arhiveerimist käsitletakse moodulis OPS.1.2.2 Arhiveerimine. Isikuandmete käitlemise meetmed on esitatud moodulis CON.2 Isikuandmete kaitse. IT-süsteemide logide kasutamist turvaintsidentide avastamiseks ja käsitlemiseks kirjeldatakse moodulites DER.1 Turvaintsidentide avastamine ja DER.2 Turvaintsidentide haldus.

2 Ohud

2.1 Puuduv või piisamatu logimine Kui IT-süsteemide konfigureerimisel on logimine jäetud aktiveerimata või logimine pole võimalik, jäävad turvasündmused registreerimata ja ründed tuvastamata. Rünnet ei tuvastata ka juhul, kui logimist rakendatakse, kuid logiandmeid ei analüüsita. Samuti jääb rünne tuvastamata, kui logiandmed ei sisalda vajalikku ja asjakohast teavet.

2.2 Asjassepuutuvate logiandmete puudulik valimine Suure hulga logiteadete reaalajas analüüsimine nõuab palju arvuti- ja inimressursse. Kui kogutud andmetest ainult väike osa informatiivne, muutub logiandmete analüüsimine info ülekülluse tõttu ajamahukaks. Kui IT-süsteemi või logitaristu töömälu või kõvaketta maht on ebapiisav, võib juhtuda, et olulist teavet sisaldavad logiandmed kirjutatakse üle või kustutatakse enneaegselt.

2.3 Sünkroniseerimata aeg logimisel Kui organisatsiooni kõikide IT-süsteemide kellaaegasid ei sünkroniseerita, siis erinevate IT- süsteemide logiandmed omavahel ei korreleeru ning võivad põhjustada ekslikke sündmusteateid. Selliselt kogutud logiandmeid on keeruline analüüsida ning neid logisid ei pruugi olla võimalik kasutada IT-kriminalistikas asitõenditena.

2.4 Logimise halb plaanimine Kui logimist ei ole üksikasjalikult plaanitud, võivad IT-süsteemid jääda järelevalveta ning nende IT-süsteemidega seotud turvasündmused jäävad tuvastamata. Kui isikuandmete kasutamist ei logita, võivad andmekaitserikkumised jääda avastamata.

109

2.5 Logiandmete konfidentsiaalsuse ja tervikluse kadu Teatud IT-süsteemid tekitavad füüsiliste isikutega seostatavaid logiandmeid. Kui logiandmeid, mis sisaldavad kasutajanimesid, IP-aadresse, e-posti aadresse ja arvutinimesid, ei edastata krüpteeritult ega talletata turvaliselt, saab neid andmeid kopeerida ja pealt kuulata. Ründaja saab juurdepääsu konfidentsiaalsele teabele või kasutada kogutud isikuandmeid organisatsiooni struktuuri tundmaõppimiseks ja rünnete sihipärasemaks suunamiseks.

2.6 Valesti konfigureeritud logimine Kui IT-süsteemi logimisreeglid on valesti konfigureeritud, võib oluline teave jääda logimata. Kui logitakse liigseid andmeid (nt isikuandmeid juhul, kui selleks vajadus puudub), võib organisatsioon rikkuda õigusaktide nõudeid. Kui logiandmeid ei saa teiste andmetega seostada, on logide analüüs raskendatud ning turvaintsidendid võivad jääda avastamata.

2.7 Andmeallikate tõrge Kui IT-süsteemid vajalikke logiandmeid ei edasta, pole võimalik logiandmete põhjal turvaintsidente avastada. Andmeallikate tõrgete põhjuseks võivad olla riist- ja tarkvara vead, aga ka puudulikult hallatud IT-süsteemid. Kui andmeallikate tõrked jäävad märkamata, jääb organisatsiooni turvalisusest petlik mulje. Infiltreerunud ründaja võib jääda pikaks ajaks märkamatuks.

2.8 Liiga väike logitaristu Komplekssete infosüsteemide puhul suurenevad vastavalt ka logimisele esitatavad nõuded. Kui logitaristu ei võimalda talletada ja analüüsida tuleb väga palju logiandmeid. Kui logitaristu seda ei võimalda, ei saa turvasündmusi analüüsida või tehakse seda ebapiisavalt.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.1.5.M1 Logimise eeskiri

OPS.1.1.5.M3 Sündmuste logimise konfigureerimine

OPS.1.1.5.M6 Keskse logitaristu rajamine

Käitus

OPS.1.1.5.M4 Aja sünkroniseerimine

OPS.1.1.5.M5 Õiguslike raamtingimuste täitmine

OPS.1.1.5.M8 Logiandmete arhiveerimine

OPS.1.1.5.M9 Logiandmete valmendus analüüsimiseks

OPS.1.1.5.M10 Logiandmete kaitse lubamatu juurdepääsu eest

Lisanduvad kõrgmeetmed

OPS.1.1.5.M11 Logimisjõudluse suurendamine

OPS.1.1.5.M12 Logiandmete krüpteerimine

OPS.1.1.5.M13 Kõrgkäideldav logimissüsteem

OPS.1.1.5.ME1 Logide räsiaheldamine

110

3.2 Põhimeetmed

OPS.1.1.5.M1Logimise eeskiri [vastutav spetsialist]

a. Organisatsioonis on kehtestatud infoturvapoliitikaga vastavuses olev logimise eeskiri, mis sätestab, kuidas logimist turvaliselt plaanida, korraldada ja rakendada.

b. Logimise eeskiri määrab kaitsetarbest lähtuvalt, millises ulatuses ja milliseid IT-süsteeme ja rakendusi logitakse.

c. Kõrvalekalded logimise eeskirjast kooskõlastatakse infoturbejuhiga ja dokumenteeritakse.

d. Eeskirja täitmist kontrollitakse regulaarselt, tulemused dokumenteeritakse.

OPS.1.1.5.M3Sündmuste logimise konfigureerimine

a. Kõik IT-süsteemide ja rakenduste turvasündmused logitakse.

b. Logimise eeskirjaga hõlmatud IT-süsteemide ja rakenduste sisemised logimisfunktsioonid on kasutusele võetud.

c. Logimise toimimist ja korrektsust kontrollitakse regulaarselt, logimise eeskirjas määratud sagedusega.

d. Kui turvasündmusi ei saa IT-süsteemi või rakenduse siseselt logida, on kasutusele võetud kompenseerivad meetmed (nt võrgutaseme sündmuste logimine) vastavalt IT-süsteemi või rakenduse valmistaja soovitustele.

OPS.1.1.5.M4 Aja sünkroniseerimine

a. Logitavate IT-süsteemide ja rakenduste süsteemiajad on alati sünkroniseeritud.

b. Logides on kasutusel ühtne ajavorming, vt NET.1.2 Võrguhaldus.

OPS.1.1.5.M5Õiguslike raamtingimuste täitmine [infoturbejuht]

a. Logimisel järgitakse andmekaitse ja muude asjakohaste õigusaktide nõudeid (vt CON.2 Andmekaitse).

b. Logiandmeid kustutatakse ettenähtud protseduuri kohaselt.

c. Logiandmete lubamatu kustutamine või muutmine on tõkestatud tehniliste meetmetega.

3.3 Standardmeetmed

OPS.1.1.5.M6 Keskse logitaristu rajamine

a. Kõik ärikriitiliste IT-süsteemide turbe jaoks olulised logiandmed talletatakse keskses logiserveris või logiserverite taristus.

b. Logide salvestamiseks antakse juurdepääs logiserverite võrgusegmendile ainult määratud logiserveri klientidele (vt NET.1.1Võrgu arhitektuur ja lahendus).

c. Lisaks turvasündmustele (vt OPS.1.1.5.M3 Logimise konfigureerimine) logitakse keskses logitaristus ka võimalikele vigadele viitavaid sündmusi (nt süsteemi liigne koormamine või tavapäratute operatsioonide käitamine).

d. Logimise laiendamise puhul on logitaristusse võimalik lisada täiendavaid ressursse.

e. Logitaristu rajamisel organisatsioonist väljapoole kasutatakse usaldusväärse ja spetsialiseerunud teenuseandja teenuseid.

111

OPS.1.1.5.M8 Logiandmete arhiveerimine

a. Logiandmed arhiveeritakse kooskõlas logimise eeskirjaga (vt OPS.1.1.5.M1 Logimise eeskiri). Arhiveerimisel arvestatakse asjakohaste õigusaktide nõuetega (vt OPS.1.2.2 Arhiveerimine).

OPS.1.1.5.M9 Logiandmete valmendus analüüsimiseks

a. Kasutatav logimisrakendus võimaldab töödeldud logiandmeid analüüsida.

b. Logiandmete töötlus ja analüüsimine toimub kooskõlas logimise eeskirjaga (vt OPS.1.1.5.M1 Logimise eeskiri).

c. Logiandmete analüüsil arvestatakse organisatsiooni infoturvapoliitikat ja andmetöötluse õiguslikke aluseid.

d. Logiandmed säilitatakse algsel kujul.

OPS.1.1.5.M10 Logiandmete kaitse lubamatu juurdepääsu eest

a. Kõik logiandmed talletatakse ja neid kaitstakse volitamata juurdepääsu eest, pääsuõigused logiandmetele dokumenteeritakse.

b. IT-süsteemide ja rakenduste haldurid ei saa logiandmeid muuta ega kustutada.

3.4 Kõrgmeetmed

OPS.1.1.5.M11 Logimisjõudluse suurendamine (C-I-A)

a. Logimisjõudlus on piisav tsentraalsesse asukohta kogutud logiandmestiku võimalikult reaalajas toimuva analüüsi läbiviimiseks. Selleks salvestatakse logiandmeid võimalikult lühikeste ajavahemike tagant.

b. Suure kaitsetarbe puhul laiendatakse logitavate sündmuste tüüpe ja hulka.

c. Suure kaitsetarbe puhul ei kasutata IT-süsteeme ja rakendusi, mida ei saa logida tsentraalsesse asukohta.

OPS.1.1.5.M12 Logiandmete krüpteerimine (C-I)

a. Logiandmed edastatakse ainult krüpteeritult.

b. Salvestatavad logiandmed signeeritakse digitaalselt.

c. Arhiveeritud ja väljaspool logitaristut hoitavad logiandmed on alati krüpteeritud (vt CON.1 Krüptokontseptsioon).

OPS.1.1.5.M13 Kõrgkäideldav logimissüsteem [infoturbejuht] (A)

a. Logitaristu rajamisel on arvestatud kõrgkäideldavuse nõuetega.

OPS.1.1.5.ME1 Logide räsiaheldamine (I)

a. Logide tervikluse tagamiseks kasutatakse plokiahela tehnoloogiat (ingl blockchain technology), mille puhul logikirjete lokaalsed ajatemplid seotakse kronoloogilises järjekorras krüptograafiliselt kaitstud räsiahelasse (ingl hash chain).

b. Logide räsiahel on usaldatavalt seotud ning välistab logiandmete volitamata muutmise.

c. Logide räsiahela terviklust kontrollib volitatud töötaja regulaarselt.

4 Lisateave

112

Lühend Publikatsioon

[NIST] NIST, Special Publication 800-92 „Guide to Computer Security Log Management“

OPS.1.1.6 Tarkvara testimine ja kasutuselevõtt

1 Kirjeldus

1.1 Eesmärk Esitada tarkvara testimise ja kasutuselevõtu soovituslikud protseduurid ning meetmed kasutusele võetava tarkvara tehnilistele ja korralduslikele turvanõuetele vastavuse tagamiseks.

1.2 Vastutus Tarkvara testimise ja kasutuselevõtu meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Personaliosakond, andmekaitsespetsialist, vastutav spetsialist, testija.

1.3 Piirangud Mooduli meetmeid rakendatakse koos meetmetega moodulitest CON.8 Tarkvaraarendus ja APP.6 Tarkvara üldiselt. Tarkvara testimist pärast muudatuste elluviimist käsitleb moodul OPS.1.1.3 Paiga- ja muudatusehaldus.

2 Ohud

2.1 Tarkvara testimine tööandmetega Kuigi tarkvara testimine tööandmetega on mugav, võivad tarkvara testimisse kaasatud isikud seejuures näha konfidentsiaalseid töö- või isikuandmeid. Kui testimiseks kasutatakse käidukeskkonna (ingl operational environment) andmeid, mitte andmete koopiaid, võidakse neid andmeid tahtmatult muuta või kustutada. Kui tööandmeid kasutatakse IT-süsteemide integratsiooni testimisel, võib testandmete töötlus mõjutada tahtmatult toiminguid tegelike andmetega teistes süsteemides.

2.2 Puuduv või piisamatu testimisprotseduur Kui uut tarkvara ei testita või kui seda tehakse piisamatult, võivad tarkvara- või installimisvead jääda märkamata. Kui muudatusi või uuendeid piisavalt ei testita, võivad tekkida tõsised käideldavus- ja terviklusprobleemid. Näiteks eelnevalt testimata andmebaasisüsteemi uuendi laadimine võib põhjustada andmekao.

2.3 Puuduv või piisamatu kinnitusprotseduur Puuduva või piisamatu kinnitusprotseduuri tulemusena võidakse kasutusele võtta tehniliselt puudulik tarkvara. Tarkvarast võivad puududa vajalikud funktsioonid või on jäänud lähtekoodi sisse mittevajalikke komponente. Samuti ei pruugi kinnitamata tarkvara ühilduda muude kasutusel olevate rakendustega.

113

2.4 Testide ja testimistulemuste puudulik dokumenteerimine Kui tarkvara testimise dokumentatsioon on puudulik, ei ole hiljem võimalik tuvastada, millist funktsionaalsust testiti ja milliseid tegevusi testimisel tehti. Kui tuvastatud tarkvaravigu või puuduvaid funktsioone dokumenteeriti puudulikult, kanduvad vead üle käidukeskkonna IT- süsteemidesse.

2.5 Kinnituskriteeriumide puudulik dokumenteerimine Kui kinnituskriteeriumid ei ole üheselt kokku lepitud ja dokumenteeritud, võidakse paigaldamiseks kinnitada vigu sisaldav tarkvaraversioon. Vead võivad ilmneda alles käidukeskkonnas ning põhjustada tarkvaraprojekti valmimisega hilinemise ja rahalise kahju.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.1.6.M1 Tarkvara testimise kavandamine

OPS.1.1.6.M7 Personali valimine tarkvara testijaks

OPS.1.1.6.M10 Testimise vastuvõtu kord

Evitus

OPS.1.1.6.M6 Tarkvara testija juhendamine

OPS.1.1.6.M13 Testkeskkonna lahutamine käidukeskkonnast

Käitus

OPS.1.1.6.M2 Tarkvara funktsionaaltestimine

OPS.1.1.6.M3 Testimistulemuste analüüsimine

OPS.1.1.6.M4 Tarkvara kinnitamine

OPS.1.1.6.M5 Mittefunktsionaalsete testide tegemine

OPS.1.1.6.M11 Testandmete anonüümimine või pseudonüümimine

OPS.1.1.6.M12 Regressioontestimine

OPS.1.1.6.M15 Paigaldamise ja seadistamise juhendi järgimine

Lisanduvad kõrgmeetmed

OPS.1.1.6.M14 Läbistustestide sooritamine

OPS.1.1.6.M16 Testija taustakontroll

3.2 Põhimeetmed

OPS.1.1.6.M1Tarkvara testimise kavandamine

a. Kaitsetarbest, tehnilistest võimalustest ja testimiskeskkonnast lähtudes määratakse enne tarkvara testimist testimise raamtingimused.

b. Testimisel tuginetakse testimise raamtingimustele ja tarkvara spetsifikatsioonile.

c. Testilood katavad tarkvara kogu funktsionaalsust.

114

d. Testkeskkond on käidukeskkonnaga võimalikult sarnane.

e. Testimise käigus kontrollitakse tarkvara funktsioneerimist kõigis kavandatud kasutuskeskkondades (nt eri tüüpi seadmetes) ja toetatavates operatsioonisüsteemides.

OPS.1.1.6.M2Tarkvara funktsionaaltestimine [testija]

a. Kõiki tarkvara funktsioone kontrollitakse tarkvara funktsionaaltestimisega (ingl functional testing). Funktsionaaltestimise käigus veendutakse tarkvara nõuetekohases toimimises.

b. Funktsioonide testimine ei avalda mõju tarkvara edasisele toimimisele.

OPS.1.1.6.M3Testimistulemuste analüüsimine [testija]

a. Testimistulemuste analüüsi käigus võrreldakse testimisel saadud tegelikke väärtusi oodatavate tulemustega.

b. Testimistulemuste analüüsi tulemused dokumenteeritakse.

OPS.1.1.6.M4Tarkvara kinnitamine [vastutav spetsialist]

a. Kinnitav struktuuriüksus kontrollib, kas tarkvara testiti nõuetekohaselt ja kas testimise tulemused vastavad eelnevalt kindlaks määratud tingimustele.

b. Pärast edukat tarkvara testimist kinnitatakse tarkvara kasutuselevõtt dokumenteeritud otsusega.

OPS.1.1.6.M5Mittefunktsionaalsete testide tegemine [testija]

a. Mittefunktsionaalsete testidega (ingl non-functional testing) testitakse tarkvara jõudlust, kvaliteedinäitajaid ja turvalisust.

b. Turvakriitiliste funktsioonide olemasolul on turvatestide läbiviimine kohustuslik.

c. Valitud testilood ja testimise tulemused dokumenteeritakse.

OPS.1.1.6.M11 Testandmete anonüümimine või pseudonüümimine [andmekaitsespetsialist, testija]

a. Tundlike andmete põhjal koostatud tarkvara testandmed on testkeskkonnas andmete avalikustamise eest piisavalt kaitstud.

b. Kõik füüsiliste isikutega seotud testandmed on vähemalt pseudonüümitud. Kui testandmetest on võimalik tuletada seost isikuga, otsustatakse nende andmete kasutamine koos andmekaitsespetsialistiga.

c. Võimaluse korral kõik füüsiliste isikutega seotud testandmed anonüümitakse.

3.3 Standardmeetmed

OPS.1.1.6.M6Tarkvara testija juhendamine [vastutav spetsialist]

a. IT-talitus annab tarkvara testijale piisava ajavaruga teada eelseisva testimise tüübi ja testimisobjekte puudutava teabe.

b. Testijat teavitatakse tarkvara kasutusviisidest ja võimalikest täiendavatest nõuetest.

OPS.1.1.6.M7 Personali valimine tarkvara testijaks [vastutav spetsialist, personaliosakond]

a. Tarkvara testija valimisel arvestatakse vajalikku erialast kvalifikatsiooni ning teadmisi kasutatavatest programmeerimiskeeltest, arenduskeskkondadest ja testimismeetoditest.

115

b. Lähtekoodi ülevaatust teevad testijad, kes ei osalenud sama tarkvaramooduli programmeerimisel.

OPS.1.1.6.M10 Testimise vastuvõtu kord

a. On kehtestatud testimise vastuvõtu kord, mis määrab:

 kohustuslikud testid;

 oodatavad tulemused;

 testimise vastuvõtu kriteeriumid.

b. On kehtestatud protseduur testimise vastuvõtust keeldumise korral tegutsemiseks.

OPS.1.1.6.M12 Regressioontestimine [testija]

a. Pärast tarkvara muutmist viiakse tarkvara ühilduvuse kontrollimiseks ja võimalike uute vigade avastamiseks läbi täiemahuline regressioontestimine (ingl regression test).

b. Valitud testimisjuhtumid ja testimistulemused dokumenteeritakse. Testimisjuhtumite väljajätmist põhjendatakse kirjalikult.

OPS.1.1.6.M13 Testkeskkonna lahutamine käidukeskkonnast

a. Tarkvara testitakse ainult selleks ettenähtud test- ja käidueelses (ingl prelive) keskkonnas.

b. Test- ja käidueelne keskkond on käidukeskkonnast (ingl operational environment) lahutatud ja käidukeskkonnast selgelt eristatavad.

c. Testkeskkonna arhitektuur ja tehnilised parameetrid on dokumenteeritud.

OPS.1.1.6.M15 Paigaldamise ja seadistamise juhendi järgimine [testija]

a. Testkeskkonna ettevalmistamisel on järgitud tarkvara paigaldamise ja seadistamise juhendit (vt APP.6 Tarkvara üldiselt).

3.4 Kõrgmeetmed

OPS.1.1.6.M14 Läbistustestide sooritamine [testija] (C-I-A)

a. On koostatud läbistustestimise (ingl penetration testing) juhend, mis määrab testimismeetodid ja tulemuskriteeriumid.

b. Läbiviidud läbistustestimised vastavad läbistustestimise juhendile.

c. Läbistustestimise käigus tuvastatud nõrkused liigitatakse vastavalt riskiastmele ja dokumenteeritakse.

d. Tuvastatud olulised nõrkused kõrvaldatakse enne tarkvara kasutuselevõttu.

OPS.1.1.6.M16 Testija taustakontroll [personaliosakond] (C)

a. Suure kaitsetarbega valdkondades viiakse läbi enne testimislepingu sõlmimist testimisettevõtte ja testimises osalevate testijate täiendav taustakontroll.

b. Salastatud teavet sisaldava IT-süsteemi või tarkvara testijad omavad kehtiva seadusandluse kohast riigisaladusele juurdepääsu luba.

116

OPS.1.1.7 Süsteemihaldus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed süsteemihalduse lahenduse, selle komponentide ja hallatavate IT- süsteemide turvaliseks konfigureerimiseks, seireks ja andmevahetuseks. Süsteemihaldust kasutatakse integreeritud ja hallatavate süsteemide keskseks haldamiseks. Süsteemihalduse lahenduse moodustab keskhalduslahenduse, hallatavate IT-süsteemide ja andmesideliideste ühtne tervik.

1.2 Vastutus Süsteemihalduse meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Lisavastutajad puuduvad.

1.3 Piirangud IT-süsteemide halduse üldised meetmed on kirjeldatud moodulis OPS.1.1.2 IT-süsteemide haldus.

Võrguhalduse meetmeid käsitletakse moodulis NET.1.2 Võrguhaldus. IT-süsteemide turvalist liidestamist süsteemihaldusega käsitletakse mooduligrupi SYS süsteemikohastes moodulites. Meetmed süsteemihalduse lahenduse logimiseks ja varundamiseks on esitatud moodulites OPS.1.1.5 Logimine ja OPS.1.2.2 Arhiveerimine.

Süsteemihalduse lahenduse muudatuste haldust käsitletakse moodulis OPS.1.1.3 Paiga- ja muudatusehaldus. Meetmed IT-süsteemide kaughalduseks on esitatud moodulis OPS.1.2.5 Kaughooldus.

2 Ohud

2.1 Volitamata juurdepääs süsteemihalduse lahendusele Süsteemihalduse lahendus on ründajate jaoks prioriteetne sihtmärk, sest tänu süsteemihalduse lahenduse laialdastele juurdepääsuõigustele saab ründaja kontrollida ja manipuleerida kõiki hallatud IT-süsteeme. Ründajal on võimalik saada juurdepääs tundlikule teabele või häirida äriprotsesse, mida hallatud süsteemid toetavad.

Kui ründaja muudab keskses konfiguratsioonihaldusserveris olevaid konfiguratsioonifaile, rakendatakse vastavad muudatused kõikides hallatud IT-süsteemides. Näiteks saab nii klientarvutitesse installida lunavara, mis krüpteerib kõikide hallatavate tööjaamade sisu.

2.2 Vead süsteemihalduse automatiseerimisel Süsteemihalduse protsesside automatiseerimisel tehtud vead (nt skriptides) võivad muuta hallatavad süsteemid töövõimetuks või oluliselt kahjustada IT-süsteemide turvalisust. Tänu automatiseerimisele võib tehtud viga mõjutada väga lühikese aja jooksul suurt hulka IT- süsteeme, sh kriitilisi IT-süsteeme, mille kõrge käideldavus on äriliselt väga oluline.

2.3 Süsteemihalduse komponentide andmeside häirimine Suunatud rünne või juhuslik häiring süsteemihalduse komponentide vahelises andmesides võib rikkuda hallatavate IT-süsteemide terviklust ja piirata IT-teenuste kättesaadavust.

117

Süsteemihalduse side pealtkuulamisel ja manipuleerimisel saab ründaja mõjutada hallatavate IT-süsteemide toimimist ja vaadata IT-süsteemide vahel edastatavaid andmeid.

2.4 Puudulik kellade sünkroniseerimine Kui süsteemihalduse komponentide süsteemiajad ei ole sünkroniseeritud, on turvaintsidentide haldus raskendatud. Kasutatavad logiandmed ei pruugi olla omavahel korrelatsioonis, mistõttu jääb potentsiaalne turvaintsident avastamata.

Kui andmevahetusprotokoll kasutab side kehtivuse hindamiseks ajatempleid, võib kehtivuskinnituse andmine olla osapoolte erinevate süsteemiaegade tõttu häiritud.

2.5 Süsteemihalduse lahendusega mitteühilduvad IT-süsteemid Süsteemihalduse lahendusega mitteühilduvaid süsteeme ei saa kavandatud ulatuses keskselt hallata. Võib tekkida olukord, mil IT-süsteemid pole kättesaadavad või neis esinevaid tõrkeid ei raporteerita kesksesse haldussüsteemi. IT-süsteemid võivad jääda ilma keskselt rakendatavatest süsteemiuuenditest või haldusliideste konfiguratsioonimuudatustest.

2.6 Juurdepääsu puudumine süsteemihalduse lahendusele Kui volitatud kasutajal (halduril) pole võimalik vajalikul hetkel süsteemihalduse lahendusele juurde pääseda, võib see kaasa tuua hallatavate IT-süsteemide mittetoimimise.

Toimunud IT- intsident võib eskaleeruda ja selle mõju suureneda, kui intsidenti ei saa süsteemihalduse vahenditega ohjata. Haldur ei saa juurdepääsu katkemisel teha IT-süsteemide tõrkeotsingut ja läbi viia kavandatud haldustoiminguid, nt paigaldada süsteemidele turvauuendeid.

2.7 Ühenduse katkemine süsteemihalduse lahenduse ja hallatavate süsteemide vahel Ühenduse katkemine hallatavate süsteemidega võib kahjustada IT-teenuste kättesaadavust ja/ või IT-süsteemide terviklust. Kahju suurus sõltub sidekatkestuse ulatusest ja katkestuse ajalisest kestvusest. Ühenduse puudumisest tingitud tõrkeid on keeruline analüüsida ja ilmnevaid vigu on raske parandada.

2.8 Süsteemihalduse ja võrguhalduse ebapiisav koordineerimine Kui võrguhalduses kavandatavaid muudatusi süsteemihalduse eest vastutajatega eelnevalt ei kooskõlastata, võib võrgus tehtud muudatus tulla ootamatuna ning süsteemihaldust negatiivselt mõjutada. Vastuolud võrgu ja IT-süsteemide konfiguratsioonis võivad muuta hallatavad IT-süsteemid süsteemihalduse lahendusele kättesaamatuks, kaasnevad tõrked võivad tekitada hulga veateateid ja prognoosimatute tagajärgedega sündmusi.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.1.7.M1 Süsteemihalduse nõuete määratlemine

OPS.1.1.7.M2 Süsteemihalduse lahenduse kavandamine

OPS.1.1.7.M7 Süsteemihalduse turvaeeskiri

OPS.1.1.7.M8 Süsteemihalduse kontseptsioon

118

Evitus

OPS.1.1.7.M9 Süsteemihalduse rakendusplaan

OPS.1.1.7.M10 Süsteemihalduse turvalise käituse juhised

OPS.1.1.7.M13 Lubatud haldusliideste määramine

Käitus

OPS.1.1.7.M3 Kellade sünkroniseerimine

OPS.1.1.7.M4 Süsteemihalduse andmeside kaitse

OPS.1.1.7.M5 Süsteemihalduse lahenduse ja hallatavate IT-süsteemide vastastikune autentimine

OPS.1.1.7.M6 Süsteemihalduse lahenduse juurdepääsu turve

OPS.1.1.7.M11 Süsteemihalduse regulaarne lahknevusanalüüs

OPS.1.1.7.M12 Keskne süsteemihalduse toimingute käivitamine

OPS.1.1.7.M14 Keskne hallatavate IT-süsteemide konfiguratsioonihaldus

OPS.1.1.7.M15 Süsteemihalduse lahenduse seire, logimine ja teavitused

OPS.1.1.7.M17 Süsteemihalduse andmevahetuse piiramine

OPS.1.1.7.M18 Süsteemihalduse lahenduse seisundi kontroll

OPS.1.1.7.M19 Süsteemihalduse lahenduse andmeside turve

Avariivalmendus

OPS.1.1.7.M16 Süsteemihalduse integreerimine avariivalmendusega

Lisanduvad kõrgmeetmed

OPS.1.1.7.M20 Kõrgkäideldav süsteemihalduse lahendus

OPS.1.1.7.M21 Süsteemihalduse võrgu füüsiline eraldamine

OPS.1.1.7.M22 Süsteemihalduse integreerimine turvateabe halduse süsteemiga

OPS.1.1.7.M23 Kellade sünkroniseerimine erinevate asukohtade vahel

OPS.1.1.7.M24 Hallatavate süsteemide turvakonfiguratsiooni kontrollimine

OPS.1.1.7.M25 Süsteemihalduse lahenduse kasutajasessioonide logimine

OPS.1.1.7.M26 Süsteemihalduse lahendusele juurdepääsu piiramine

3.2 Põhimeetmed

OPS.1.1.7.M1Süsteemihalduse nõuete määratlemine

a. Organisatsioon on määratlenud süsteemihalduse (ingl systems management) nõuded, sh turvanõuded, arvestades kõiki süsteemihalduse protsesse.

b. On kehtestatud süsteemihalduse taristu tehnilised nõuded.

c. On määratletud hallatavad IT-süsteemid ja dokumenteeritud hallatavate IT-süsteemide liidestused süsteemihalduse keskse komponendiga.

OPS.1.1.7.M2Süsteemihalduse lahenduse kavandamine

a. Süsteemihalduse lahenduse kavandamise tulemina on dokumenteeritud:

119

 süsteemihalduse nõuete detailanalüüs;

 süsteemihalduse lahenduse üldkontseptsioon;

 terviklik projektiplaan süsteemihalduse lahenduse juurutamiseks;

 projekti etappide lõpetamise eeldused ja läbiviidavad kvaliteedikontrollid.

b. Süsteemihalduse lahenduse turbe kavandamisel on arvestatud vähemalt järgmisi aspekte:

 süsteemihalduse lahendusega kaetud võrgusegmendid;

 süsteemihalduse lahenduse turvaline juurdepääs;

 autentimine ja volitamine hallatavates IT-süsteemides;

 võrguühendused ja võrguprotokollid süsteemihalduse lahenduse komponentide vaheliseks andmesideks;

 süsteemihalduse sündmuste logimine ja logide integreerimine keskse logihalduslahendusega;

 süsteemihalduse lahenduse tootja või arendaja tugiteenuste olemasolu kavandatud kasutusaja vältel;

 süsteemihalduse lahenduse uuendite paigaldamine, sh hallatavatesse IT- süsteemidesse;

 süsteemihalduse lahenduse aruandlus ja liidestamine teiste IT-süsteemidega;

 hallatavatele IT-süsteemidele esitatavad turvanõuded.

OPS.1.1.7.M3 Kellade sünkroniseerimine

a. Süsteemihalduse lahenduse kesksete komponentide ning hallatavate IT-süsteemide kellaaeg on sünkroniseeritud.

b. Kellade sünkroniseerimiseks kasutatakse sobivat võrguaja protokolli.

OPS.1.1.7.M4Süsteemihalduse andmeside kaitse

a. Süsteemihalduse lahenduse ja hallatavate süsteemide vahelise andmeside loomisel kasutatakse turvalisi võrguprotokolle (nt SSH, TLS).

b. Kui turvalisi võrguprotokolle ei saa kasutada, toimub süsteemihalduse lahenduse andmeside tavavõrgust eraldatud spetsiaalses haldusvõrgus (vt NET.1.1 Võrgu arhitektuur ja lahendus). Haldusvõrgu puudumisel rakendatakse virtuaalset privaatvõrku (ingl virtual private network, VPN) või sellega võrreldava turvatasemega andmesidelahendust.

OPS.1.1.7.M5Süsteemihalduse lahenduse ja hallatavate IT-süsteemide vastastikune autentimine

a. Süsteemihalduse lahenduse ja hallatavate IT-süsteemide vaheline autentimine on vastastikune (toimub mõlemas suunas).

b. Süsteemihalduse lahenduse komponentide autentimismehhanismid on kooskõlas organisatsiooni üldise autentimispõhimõtetega.

c. Autentimisel kasutatakse turvalisi protokolle.

OPS.1.1.7.M6Süsteemihalduse lahenduse juurdepääsu turve

a. Kasutajate juurdepääs süsteemihalduse lahendusele on turvatud asjakohaste kasutaja autentimis- ja volitusmehhanismidega.

120

b. Kasutaja autentimisel krüpteeritakse edastatavad andmed.

c. Kasutajate autentimise autentimismehhanismi valikuprotsess on dokumenteeritud.

d. Kasutusele võetud krüptomehhanismide ja krüptovõtmete tugevust kontrollitakse regulaarselt.

e. Süsteemihalduse lahenduse volitusmehhanism võimaldab kasutajatel teha ainult toiminguid, milleks kasutajad on volitatud.

3.3 Standardmeetmed

OPS.1.1.7.M7Süsteemihalduse turvaeeskiri

a. Süsteemihalduse turvalisuse tagamiseks on koostatud süsteemihalduse turvaeeskiri.

b. Süsteemihalduse turvaeeskiri sisaldab vähemalt järgmist:

 valdkonnad ja IT-süsteemid, millele keskne süsteemihalduse lahendus rakendub;

 süsteemihalduse automatiseeritud protsessid ja tegevused;

 süsteemihalduse lahenduses sisalduva konfiguratsioonihalduse kirjeldus (nt versioonihaldus);

 pääsu reguleerimise spetsifikatsioonid;

 logimise nõuded;

 nõuded automatiseeritud tegevuste (nt skriptide kasutamise) kvaliteedi kontrollimiseks;

 nõuded andmeside turvalisuse tagamiseks;

 võrgu segmenteerimise reeglid (juhul kui segmenteerimist kasutatakse);

 süsteemihalduse lahenduse võrguspetsifikatsioon (IP-aadressid, DNS jne).

c. Süsteemihalduse turvaeeskiri on volitatud töötajatele kättesaadav. Süsteemihaldusega tegelevad töötajad järgivad süsteemihalduse turvaeeskirja.

d. Süsteemihalduse turvaeeskirja täitmist kontrollitakse regulaarselt. Kontrolli tulemused dokumenteeritakse.

OPS.1.1.7.M8Süsteemihalduse kontseptsioon

a. Organisatsioon on koostanud süsteemihalduse turvanõudeid (vt. OPS.1.1.7.M1 Süsteemihalduse nõuete määratlemine ja OPS.1.1.7.M7 Süsteemihalduse turvaeeskiri) arvestava süsteemihalduse kontseptsiooni.

b. Süsteemihalduse kontseptsioon sisaldab vähemalt järgmist:

 süsteemihalduse meetodid, tehnikad ja tööriistad;

 süsteemihalduse lahenduse juurdepääsu reguleerimine

 andmeside turbe meetmed;

 süsteemihalduse lahenduse komponentide paigutus võrgusegmentides;

 süsteemihalduse lahenduse komponentide seire ja automaatsed teavitused;

 süsteemihalduse lahenduse logimine;

 automatiseeritud tegevuste (nt konfiguratsioonihaldus) spetsifikatsioonid;

 automatiseeritud tegevuste väljatöötamine ja testimine;

121

 tegevused ja teavituskanalid tõrgete ja turvaintsidentide puhul tegutsemiseks;

 süsteemihalduse andmete integreerimine organisatsiooni muude protsessidega;

 süsteemihalduse integreerimine organisatsiooniülese avariivalmenduse kontseptsiooniga;

 süsteemihalduse lahenduse rakendamiseks ja käitamiseks vajalikud ressursid, sh vajalik inimressurss ja nõuded võrgu jõudlusele.

OPS.1.1.7.M9Süsteemihalduse rakendusplaan

a. Süsteemihalduse lahenduse evitamiseks on koostatud detailne rakendusplaan, mis arvestab kõiki süsteemihalduse turvaeeskirjas ja kontseptsioonis sisalduvaid nõudeid.

OPS.1.1.7.M10 Süsteemihalduse turvalise käituse juhised

a. On koostatud juhised süsteemihalduse lahenduse turvaliseks käituseks.

b. Süsteemihalduse turvalisuse käituse juhised arvestavad kõiki süsteemihalduse lahendusele ja baastaristule kehtestatud turvanõudeid.

OPS.1.1.7.M11 Süsteemihalduse regulaarne lahknevusanalüüs

a. Süsteemihalduse lahenduse ja hallatavate IT-süsteemide andmete terviklust kontrollitakse regulaarselt.

b. Süsteemihalduse lahendusega hallatavate IT-süsteemide konfiguratsioonid vastavad keskselt kavandatud konfiguratsioonidele.

c. Süsteemihalduse lahenduse skriptide ja muude automaatsed tegevuste tulemite õigsust kontrollitakse regulaarselt.

OPS.1.1.7.M12 Keskne süsteemihalduse toimingute käivitamine

a. Hallatavates IT-süsteemides saab süsteemihalduse toiminguid käivitada ainult süsteemihalduse lahendus.

b. Süsteemihalduse lahendusega hallatud IT- süsteemides on aktiveeritud ainult vajalikud haldusfunktsioonid.

OPS.1.1.7.M13 Lubatud haldusliideste määramine

a. Haldusjuurdepääs hallatavatele süsteemidele on lubatud ainult määratud süsteemihalduse lahenduse liideste kaudu.

b. Erandjuhtudel (nt avariiolukorras, mil süsteemihalduse lahendus ei toimi) on võimalik hallatavaid IT-süsteeme konfigureerida ka otsejuurdepääsu kaudu.

c. Otsejuurdepääsu kasutamise juhud ning süsteemihalduse lahenduse väliselt tehtud konfiguratsioonimuudatused dokumenteeritakse. Tehtud muudatused kajastatakse hiljem süsteemihalduse lahenduses.

OPS.1.1.7.M14 Keskne hallatavate IT-süsteemide konfiguratsioonihaldus

a. Hallatavate IT-süsteemide konfiguratsioone hallatakse süsteemihalduse lahenduse osana käsitletavas konfiguratsioonihalduse süsteemis.

b. Keskse konfiguratsioonihalduse süsteemi andmed on alati täielikud ja ajakohased. Andmete muudatused versioonitakse, tehtud muudatusi on võimalik jälitada. Konfiguratsioonihalduse andmed on lisatud regulaarselt tehtavasse varukoopiasse.

c. Juurdepääs konfiguratsioonihalduse andmetele on lubatud ainult volitatud tarbijatele.

122

d. Keskse konfiguratsioonihalduse toimimist ja süsteemis sisalduvate andmete õigsust kontrollitakse regulaarselt.

e. Kõik liidesed süsteemihalduse lahenduse ning hallatavate IT-süsteemide vahel on dokumenteeritud keskses konfiguratsioonihalduse süsteemis. Seotud osapooled kooskõlastavad liideste funktsionaalsed muudatused enne muudatuste rakendamist.

f. Hallatavate süsteemide konfiguratsiooniandmeid on võimalik üle võrgu jagada ning aktiveerida automaatselt, ilma viivituseta ja IT-teenuseid katkestamata.

OPS.1.1.7.M15 Süsteemihalduse lahenduse seire, logimine ja teavitused

a. Süsteemihalduse lahenduse ja hallatavate süsteemide jõudluse ja käideldavuse näite seiratakse, arvestades eelnevalt määratud läviväärtusi. Läviväärtuse ületamisest teavitatakse vastutavaid töötajaid automaatselt.

b. Süsteemihalduse veaanalüüsi läbiviimisel arvestatakse lisaks teiste süsteemide seiretulemusi ja häireteateid (nt. süsteemihalduse tõrge võib olla põhjustatud toimunud võrguhäiringust).

c. Olulised sündmused hallatavates süsteemides ja süsteemihalduse lahenduses edastatakse automaatselt kesksesse logihaldussüsteemi (vt OPS.1.1.5 Logimine).

d. Olulise sündmuse määratlemisel on kaalutletud järgmisi aspekte:

 hallatavate IT-süsteemide tõrge (nt käideldavuse kadu);

 süsteemihalduse lahenduse tõrge;

 riistvara või IT-taristu komponendi talitlushäire;

 ebaõnnestunud sisselogimise katse süsteemihalduse lahendusse;

 ebaõnnestunud sisselogimise katse hallatavasse IT-süsteemi;

 hallatavate süsteemi kriitiline seisund (nt ülekoormus);

 süsteemihalduse lahenduse kriitiline seisund.

e. Süsteemihalduse lahenduse automaatsed häireteated edastatakse ilma viivituseta.

OPS.1.1.7.M16 Süsteemihalduse integreerimine avariivalmendusega

a. Süsteemihalduse lahendus on integreeritud organisatsiooni avariivalmenduse kontseptsiooniga.

b. Süsteemihalduse lahenduse ja kõikide hallatavate süsteemide konfiguratsiooniandmed on varundatud, andmete taaste on lisatud taasteplaanidesse.

OPS.1.1.7.M17 Süsteemihalduse andmevahetuse piiramine

a. Andmevahetus süsteemihalduse kasutajate, süsteemihalduse lahenduse komponentide ja hallatavate IT-süsteemide vahel on piiratud minimaalselt vajaliku määrani.

b. Andmeside piiramiseks kasutatakse sobivaid andmefiltreerimist võimaldavaid tööriistu.

OPS.1.1.7.M18 Süsteemihalduse lahenduse seisundi kontroll

a. Süsteemihalduse lahenduse seisundi vastavust määratud normaalolukorrale kontrollitakse regulaarselt.

b. Lahknevuse tuvastamisel taastatakse süsteemihalduse lahenduse normaalolukord esimesel võimalusel.

123

OPS.1.1.7.M19 Süsteemihalduse lahenduse andmeside turve

a. Süsteemihalduse lahenduse ja hallatavate süsteemide vaheline andmeside on krüpteeritud.

b. Kasutusele võetud krüptomehhanismide ja krüptovõtmete tugevust kontrollitakse regulaarselt.

3.4 Kõrgmeetmed

OPS.1.1.7.M20 Kõrgkäideldav süsteemihalduse lahendus (A)

d. Süsteemihalduse lahenduse käideldavuse tõstmiseks kasutatakse dubleeritud süsteemikomponente ja liiasusega (ingl redundancy) kavandatud arvutivõrku.

OPS.1.1.7.M21 Süsteemihalduse võrgu füüsiline eraldamine (C-I)

a. Süsteemihalduse võrk on muudeks tööülesanneteks kasutatavast võrgust füüsiliselt eraldatud.

OPS.1.1.7.M22 Süsteemihalduse integreerimine turvateabe halduse süsteemiga (C-I-A)

a. Süsteemihalduse lahenduse turvasündmuste logimine on liidestatud turvateabe ja - sündmuste halduse (ingl security information and event management, SIEM) süsteemiga.

b. Süsteemihalduse lahenduse valikul arvestatakse SIEM süsteemiga liidestamise võimalusi ning toetatud andmeliideseid ja -formaate.

c. Süsteemihalduse lahendus on võimalike turvanõrkuste tuvastamiseks kaetud automaatse seirega.

OPS.1.1.7.M23 Kellade sünkroniseerimine erinevate asukohtade vahel (C-I-A)

a. Süsteemihalduse lahenduse komponentide ja hallatavate IT-süsteemide kellad on kõigis organisatsiooni asukohtades sünkroniseeritud kokkulepitud etalonaja allikaga.

OPS.1.1.7.M24 Hallatavate süsteemide turvakonfiguratsiooni kontrollimine (C-I-A)

a. Süsteemihalduse lahenduse ja hallatavate süsteemide turvakonfiguratsioone kontrollitakse regulaarselt.

b. Määratud normaalolekust kõrvalekallete ja võimalike turvanõrkuste avastamiseks kasutatakse sobivaid tuvastamissüsteeme.

OPS.1.1.7.M25 Süsteemihalduse lahenduse kasutajasessioonide logimine (C-I)

a. Kogu süsteemihalduse lahenduse andmevahetus (sh kõik süsteemikäsud) logitakse.

b. Kõiki süsteemihalduse lahenduse süsteemikäsud läbivad automaatse kontrolli, anomaaliate ja tavapärasest erinevast käitumismustrite tuvastamisel saadetakse automaatteavitus.

OPS.1.1.7.M26 Süsteemihalduse lahendusele juurdepääsu piiramine (C-I)

a. Süsteemihalduse lahenduse haldusjuurdepääs on võimalik ainult selleks otstarbeks loodud hüppeserveri (ingl jump server) kaudu.

124

OPS 1.2: Abitegevused

OPS.1.2.2 Arhiveerimine

1 Kirjeldus

1.1 Eesmärk Esitada meetmed dokumentide muutmatul kujul pikaajaliseks, turvaliseks ja ennistatavaks säilitamiseks. Moodul sisaldab meetmeid arhiivisüsteemi turvaliseks kavandamiseks, rajamiseks ja käigus hoidmiseks.

1.2 Vastutus Arhiveerimise meetmete täitmise eest vastutab vastutav spetsialist.

Lisavastutajad

Kasutaja, IT-talitus.

1.3 Piirangud Operatiivse andmevarundusega seotud meetmed on esitatud moodulis CON.3 Andmevarunduse kontseptsioon. Andmevarunduslahenduste turvalist kasutamist käsitlevad meetmed on esitatud moodulites APP.4.3 Relatsioonbaasisüsteemid, SYS.1.1 Server üldiselt ja SYS.1.8 Salvestilahendused.

2 Ohud

2.1 Andmekandjate sobimatus pikaajaliseks säilitamiseks Aja möödudes võivad andmekandjad füüsiliselt ja tehnoloogiliselt vananeda ning seetõttu kasutuskõlbmatuteks muutuda. Kui andmete migreerimine pole asjakohaselt korraldatud, võivad tekkida aja jooksul probleemid kasutatavate andmevormingute ühilduvusega.

2.2 Arhiivisüsteemi puudulikud liigituskriteeriumid Ebasobivate liigituskriteeriumide või piisamatu indekseerimise korral võib arhiveeritud dokumentide otsing või tunnuse järgi koondamine osutuda väga keeruliseks. Dokumentide otstarve ei ole aja möödudes enam selgelt määratav. Samuti on oht, et dokumentide liigituskriteeriumid ei ole vastavuses andmete säilitamise eesmärkidega.

2.3 Arhiivipääsude puudulik dokumenteerimine Piisava logimise puudumisel võivad lubamatud juurdepääsukatsed arhiivile jääda avastamata. Ründaja võib märkamatult saada juurdepääsu arhiivis talletatavale teabele, andmeid kopeerida või muuta.

2.4 Paberandmete puudulik ülekandmine elektroonilisse arhiivi Dokumentide skannimisel võidakse talletatavate andmete välisilmet ja sisu moonutada. Samuti võivad dokumendid kaotsi minna. Kui dokumentide olulised osad jäävad skannimata, siis võidakse neid ekslikult tõlgendada.

125

2.5 Krüpteerimisprotseduuride puudulik uuendamine arhiveerimisel Kui arhiivi krüpteerimisprotseduure tõendusväärtuse säilimiseks regulaarselt ei kohandata, kaob krüpteerimiskaitse usaldatavus. Vananenud ning ebaturvalise signatuuri puhul saab kahelda dokumendi tervikluses, krüpteeritud andmeid ei saa enam kohtus asitõendina kasutada. Kui krüptoalgoritm ei vasta tänapäeva nõuetele, võib kannatada ka krüpteeritud dokumendi konfidentsiaalsus. Sertifikaatide muutmisel (nt Eesti ID-kaardi sertifikaadi muudatuse tõttu) võib andmete hilisem dekrüpteerimine osutuda võimatuks.

2.6 Puudulik järelevalve arhiveerimise üle Kui arhiveerimisprotsessi toimimist ei kontrollita või seda tehakse liiga üldiselt, ei pruugi protsess vastata kehtestatud turvanõuetele. Dokumentide tervikluse või konfidentsiaalsuse rikkumine võib organisatsioonile kaasa tuua õiguslikke ja majanduslikke tagajärgi.

2.7 Õiguslike raamtingimuste rikkumine arhiveerimisel Elektrooniliste dokumentide arhiveerimisel õiguslike raamtingimuste arvestamata jätmine võib kaasa tuua tsiviil- või karistusõiguslikke sanktsioone (nt maksu-, eelarve- või muudel õiguslikel põhjustel kehtestatud säilitustähtaegade eiramise korral).

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.2.2.M1 Elektroonilise arhiveerimise mõjurite väljaselgitamine

OPS.1.2.2.M2 Arhiveerimise kontseptsiooni väljatöötamine

Evitus

OPS.1.2.2.M3 Arhiivisüsteemi ja arhiivimeediumite hoiu sobiv korraldus

OPS.1.2.2.M11 Arhiivisüsteemi haldajate koolitus

OPS.1.2.2.M17 Sobiva arhiivisüsteemi valimine

OPS.1.2.2.M18 Sobivad arhiivimeediumid

Käitus

OPS.1.2.2.M4 Andmete ühtne indekseerimine arhiveerimisel

OPS.1.2.2.M5 Arhiveeritavate andmestike asjakohane valmendus

OPS.1.2.2.M6 Arhiivisüsteemi indeksiandmebaasi tervikluse kaitse

OPS.1.2.2.M8 Arhiivipöörduste logimine

OPS.1.2.2.M10 Arhiivisüsteemi kasutamise eeskirja väljatöötamine

OPS.1.2.2.M12 Arhiivimeediumi salvestusressursside seire

OPS.1.2.2.M13 Arhiveerimisprotsesside regulaarne läbivaatus

OPS.1.2.2.M19 Arhiveerimise ja taaste regulaarne kontroll

Migreerimine

OPS.1.2.2.M9 Arhiveerimiseks sobiva andmevormingu valimine

OPS.1.2.2.M14 Arhiivisüsteemide turu regulaarne jälgimine

126

OPS.1.2.2.M15 Krüptomehhanismide ajakohastus arhiveerimisel

OPS.1.2.2.M16 Arhiivisüsteemi tehniliste komponentide uuendamine

Avariivalmendus

OPS.1.2.2.M7 Süsteemi- ja arhiiviandmete regulaarne varundamine

Lisanduvad kõrgmeetmed

OPS.1.2.2.M20 Krüptoprotseduuride dubleerimine

OPS.1.2.2.M21 Dokumentide turvaline üleviimine elektroonilisse arhiivi

3.2 Põhimeetmed

OPS.1.2.2.M1Elektroonilise arhiveerimise mõjurite väljaselgitamine

a. Enne arhiveerimiskontseptsiooni koostamist on välja selgitatud võimalikud tehnilised mõjurid, sealhulgas:

• IT-keskkond;

• turvamehhanismid;

• oodatavad andmemahud ja reaktsiooniajad;

• failivormingud;

• muudatuste mahud ja põlvkondade arv;

• ressursitarve.

b. On välja selgitatud elektroonilise arhiveerimise õiguslikud ja korralduslikud mõjurid, sealhulgas:

• arhiveerimise õiguslikud alused;

• minimaalsed ja maksimaalsed säilitusajad;

• pääsuõigused;

• pöörduste sagedus;

• liidestused;

• ergonoomika.

c. On koostatud ja kinnitatud elektroonilise arhiveerimise konfidentsiaalsus-, terviklus-, käideldavus- ja autentsusnõuded.

OPS.1.2.2.M2Arhiveerimiskontseptsiooni väljatöötamine

a. On välja töötatud arhiveerimiskontseptsioon, mis kirjeldab, milliseid eeskirju on vaja järgida, kes on vastutajad, milliseid andmeid ja millisel kujul tuleb arhiveerida ning millised on vajalikud turvameetmed.

b. Arhiveerimiskontseptsiooni dokumenteerimisel on arvestatud moodulis OPS.1.2.2.M1 Elektroonilise arhiveerimise mõjurite väljaselgitamine kirjeldatud mõjureid.

c. Arhiveerimiskontseptsioon on kinnitatud organisatsiooni juhtkonnas.

d. Arhiveerimiskontseptsioon vaadatakse regulaarselt üle. Vajadusel kohandatakse arhiveerimiskontseptsioon muutunud olukorraga.

127

OPS.1.2.2.M3Arhiivisüsteemi ja arhiivimeediumite hoiu sobiv korraldus [IT-talitus]

a. Arhiivisüsteemid ja nendega seotud IT-komponendid on paigutatud turvatud ruumidesse. Olenevalt salvestus- või arhiivisüsteemi tüübist ja suurusest on rakendatud meetmed moodulitest INF.1 Hoone üldiselt, INF.2 Serveriruum ja andmekeskus ja INF.6 Andmekandjate arhiiv.

b. Arhiivisüsteemidele ligipääs, sh ruumidesse sisenemisõigus on ainult volitatud isikutel.

c. Arhiivimeediumite pikaajaliseks säilitamiseks tagatakse arhiivisüsteemi füüsiline turvalisus ja sobivad keskkonnatingimused.

OPS.1.2.2.M4Andmete ühtne indekseerimine arhiveerimisel [IT-talitus, kasutaja]

a. Kõik arhiivis säilitatavad andmed, dokumendid ja andmekirjed indekseeritakse, et need oleksid hilisemates otsingupäringutes kiiresti leitavad.

b. Kontseptsiooni väljatöötamise käigus määratakse ühtne arhiivi indeksiteabe struktuur.

c. Indeksisüsteemi toimimist kontrollitakse pisteliste otsingutega.

OPS.1.2.2.M5Arhiveeritavate andmestike asjakohane valmendus [IT-talitus]

a. Kogu arhiveerimisperioodi jooksul on tagatud kasutatud andmevormingute ja salvestuskandjate failisüsteemide tugi ja kasutatavus.

b. Arhiveeritud andmed on tehniliste raskusteta loetavad, reprodutseeritavad ja tõendusjõulised.

c. Krüpteerimiseks ja tõendusväärtuse säilitamiseks kasutatavad krüptomehhanismid vastavad hetkel nõutavale tasemele.

d. Salvestatud andmed on vajadusel võimalik teisendada kehtivasse andmevormingusse või migreerida uutele salvestuskandjatele, IT-riistvarasse või IT-tarkvarasse.

OPS.1.2.2.M6Arhiivisüsteemi indeksiandmebaasi tervikluse kaitse [IT-talitus]

a. Indeksiandmebaasi terviklust kontrollitakse regulaarselt. Tervikluse kahjustumine kõrvaldatakse viivitamata, sellekohased andmed dokumenteeritakse.

b. Indeksiandmebaasi varundatakse regulaarselt, varunduse taastatavust kontrollitakse pärast igat varundust.

c. Suurte arhiivibaaside puhul indeksiandmebaasid dubleeritakse.

OPS.1.2.2.M7Süsteemi- ja arhiiviandmete regulaarne varundamine [IT-talitus]

a. Kõiki arhiiviandmeid, indeksiandmebaase ja asjakohaseid süsteemiandmeid varundatakse varunduskontseptsioonis määratud perioodilisusega (vt CON.3 Andmevarunduse kontseptsioon).

OPS.1.2.2.M8Arhiivipöörduste logimine [IT-talitus]

a. Kõikide arhiivipöörduste puhul logitakse pöördumise kuupäev, kellaaeg, kasutaja, arhiivipöörduse põhjus, klientsüsteem, tehtud toimingud ning vigade esinemisel ka veateated.

b. Arhiivipöördumiste logiandmeid analüüsitakse võimalike kõrvalekallete tuvastamiseks regulaarselt. Kõrvalekalde tuvastamisel algatatakse intsidendikäsitluse protsess.

c. Kriitilisi sündmusi, nagu andmete kustutamine või andmekandja arhiivisüsteemist eemaldamine, kontrollitakse kohe pärast vastava logikirje tekkimist.

128

d. Arhiivipöördumiste logiandmeid säilitatakse arhiveerimiskontseptsioonis määratud säilitustähtaja jooksul.

OPS.1.2.2.M9Arhiveerimiseks sobiva andmevormingu valimine [IT-talitus]

a. Logiandmete arhiveerimisel kasutatakse standardseid, elektrooniliselt töödeldavaid andmevorminguid, mille süntaks ja semantika on laiemalt avaldatud.

b. Valitud lahendus tagab andmete võimalikult pikaajalise säilitamise.

c. Valitud andmevormingud võimaldavad reprodutseerida arhiveeritud materjali tõetruul algkujul.

d. Dokumentide tõendusväärtuse säilitamise ja muutmiskindla arhiveerimise tagamiseks sobilik vorming on PDF (ver A-2a või /A-2u), mis võimaldab dokumendi ühesuguse esituse erineva riist- ja tarkvaralise konfiguratsiooniga arvutites.

e. Pildimaterjalide tõendusväärtuse säilitamise ja muutmiskindla arhiveerimise tagamiseks kasutatakse kadudeta reprodutseerimist võimaldavaid vorminguid ja pilditihendusprotseduure, selleks sobilikud vormingud on TIFF (ver 6) või PNG (ver 1.2).

f. Audio- ja videofailide arhiivivorminguteks on sobilikud WAV, FLAC (ver 1.21), AVI (pakkimata), MOV (pakkimata) ja MPEG-4 (koodek H.264) vormingud.

g. Digiallkirjastatud dokumendi konteinerite arhiveerimiseks kasutatakse andmevormingut ASICE.

3.3 Standardmeetmed

OPS.1.2.2.M10 Arhiivisüsteemi kasutamise eeskiri [IT-talitus]

a. Organisatsioonis on kehtestatud arhiivisüsteemi kasutamise eeskiri, mis hõlmab järgnevat:

• käituse ja halduse rollide lahusus ja vastutused;

• kokkulepitud teenusetase;

• pääsuõiguste haldus;

• andmete ja andmekandjate käitluse protseduurid;

• arhiivisüsteemi ja keskkonna järelevalve;

• andmete varundamise protseduurid;

• arhiivitoimingute logimine;

• arhiivisüsteemi muudatuste haldus.

b. Arhiivisüsteemi haldajad järgivad arhiivisüsteemi kasutamise eeskirja.

OPS.1.2.2.M11 Arhiivisüsteemi haldajate koolitus [IT-talitus]

a. Arhiivisüsteemi haldajaid koolitatakse vähemalt järgmistel teemadel:

• kasutuselevõetud arhiivisüsteemi ja selle operatsioonisüsteemi arhitektuur ja turvamehhanismid;

• arhiivisüsteemi installimine ja hooldus;

• andmete ja andmekandjate käitlemise kord;

• haldustoimingute dokumenteerimine;

• konfigureerimis-, uuendus-, ja kõrvaldusprotseduurid;

• eeskirjast lahknevuste käsitlemine.

129

b. Koolitus ja sellest osavõtt dokumenteeritakse.

c. Arhiivisüsteemi muudatuste korral korraldatakse haldajatele täiendkoolitusi.

OPS.1.2.2.M12 Arhiivimeediumi salvestusressursside seire [IT-talitus]

a. Arhiivimeediumi vaba salvestusmahtu kontrollitakse vahetult enne salvestust.

b. Kui vaba salvestusmaht väheneb alla määratud piirmäära, teavitatakse sellest süsteemi haldajat.

c. Salvestusmahu suurendamiseks on olemas varuressurss ja koostatud protseduur selle kasutusele võtmiseks.

OPS.1.2.2.M13 Arhiveerimisprotsessi regulaarne läbivaatus

a. Arhiveerimisprotsessi õigsust ja nõuetekohasust kontrollitakse regulaarselt.

b. Läbivaatuse läbiviimiseks koostatakse küsimuste kontroll-loetelu, lähtudes arhiveerimiskontseptsioonist (vt OPS.1.2.2.M2 Arhiveerimiskontseptsiooni väljatöötamine) ja arhiivisüsteemi kasutamise eeskirjast (vt OPS.1.2.2.M10 Arhiivisüsteemi kasutamise eeskiri).

c. Läbivaatuse käigus tuvastatud kõrvalekallete ja nõrkustega tegeletakse esimesel võimalusel.

OPS.1.2.2.M14 Arhiivisüsteemide turu regulaarne jälgimine [IT-talitus]

a. Arhiivisüsteemide turu ja arengute jälgimisel pööratakse tähelepanu järgmistele aspektidele:

• standardite muutumine või lisandumine;

• muudatused kasutusel oleva süsteemi valmistaja toodangus;

• teated avastatud nõrkustest, näiteks krüptoalgoritmides;

• teated krüptoalgoritmide kaitsevõime vähenemise ohust;

• seniste andmevormingute muutumine ja uute ilmumine.

b. On määratud vähemalt üks töötaja, kes jälgib regulaarselt ülalnimetatud teavet, hindab selle olulisust ja vajadusel soovitab parendustegevusi.

OPS.1.2.2.M15 Krüptomehhanismide ajakohastus arhiveerimisel [IT-talitus]

a. Regulaarselt kontrollitakse algoritmide, võtmete, krüptotoodete ja protseduuride ajakohasust ja vastavust kehtivatele standarditele (vt CON.1.M1 Krüptovahendi valimise kord).

b. On kehtestatud turvaprotseduur krüptomehhanismi nõrgenemise puhuks (nt krüpteeritakse nõrgenenud krüptomehhanismiga arhiiviandmed uuesti, kasutades turvalisemat krüptoalgoritmi).

OPS.1.2.2.M16 Arhiivisüsteemi tehniliste komponentide uuendamine [IT-talitus]

a. Arhiivisüsteemi tehnilist ajakohasust kontrollitakse ( vt OPS.1.2.2.M14 Arhiivisüsteemide turu regulaarne jälgimine) regulaarselt.

b. Uute komponentide sobivust testitakse enne nende kasutuselevõttu.

c. On kehtestatud migratsiooniprotseduur üleminekuks uutele vormingutele või vahenditele.

d. Kõik arhiivisüsteemi komponentide muudatused, konverteerimised, testimised ja asenduskavad dokumenteeritakse.

130

OPS.1.2.2.M17 Sobiva arhiivisüsteemi valimine [IT-talitus]

a. Arhiivisüsteemi valimisel lähtutakse koostatud arhiveerimiskontseptsioonist (vt OPS.1.2.2.M2 Arhiveerimiskontseptsiooni väljatöötamine).

b. Arhiveerimisüsteemi valimisel arvestatakse järgmist:

• dokumentide ja andmete versioonihalduse tugi;

• funktsioonide ja protsesside vastavus standardile ISO 14721;

• pääsu reguleerimise mehhanism mitmeastmelise õiguste süsteemiga;

• logimine, vt OPS.1.2.2.M8 Arhiivipöörduste logimine;

• järelevalvele pääsu korraldus;

• süsteemi laiendatavus;

• pöördusaeg;

• piisav salvestusmaht;

• käsitsi tehtavate operatsioonide võimalikkus;

• vaba salvestusmahu automaatkontroll ja mahupiiri alarm;

• ühilduvus muude komponentide ja süsteemidega;

• krüptomehhanismid või nende tugi.

OPS.1.2.2.M18 Sobivad arhiivimeediumid [IT-talitus]

a. Arhiivimeediumite valimisel arvestatakse arhiivimeediumi vastavust nõutavale andmemahule, maksimaalsele lubatud pöördusajale ja samaaegsete pöördumiste arvule.

b. Arhiivimeediumi eeldatav tööiga võimaldab arhiveerimist nõutud säilitusaja jooksul.

OPS.1.2.2.M19 Arhiveerimise ja taaste regulaarne kontroll [IT-talitus]

a. Arhiveerimisprotsessi toimimist kontrollitakse logiandmete või arhiivimeediumite regulaarsete ülevaatustega.

b. Arhiivimeediumi loetavust ja terviklust testitakse vähemalt kord aastas.

c. Arhiivisüsteemi riistvarakomponentide (eriti arhiivi mehaaniliste osade) töövõimet kontrollitakse regulaarselt.

d. Vigade ja eelmääratud sündmuste (nt andmete kopeerimine) ilmnemisel teavitatakse määratud töötajaid toimunud sündmusest automaatselt.

e. Avastatud vigade ja ilmnenud tõrgete käsitluseks on kehtestatud protseduur.

3.4 Kõrgmeetmed

OPS.1.2.2.M20 Krüptoprotseduuride dubleerimine [IT-talitus] (C-I)

a. Arhiiviandmete pikaajaliseks säilitamiseks kasutatakse üksnes kehtivate standardite ja normide kohaseid krüptoprotseduure.

b. Arhiveeritavaid andmeid töödeldakse paralleelselt vähemalt kahe erineva krüptoprotseduuriga.

OPS.1.2.2.M21 Dokumentide turvaline üleviimine elektroonilisse arhiivi (C-I)

a. Paberdokumentide skaneerimiseks on määratud rollid ja kohustused.

131

b. Skaneerimise väljasttellimisel on teenuselepingus määratud kohustuslikud turvanõuded.

c. On koostatud protseduur dokumentide skaneerimiseks ettevalmistamiseks.

d. Paberdokumentide elektrooniline kuju vastab sisult ja esitusvormilt originaalile.

4 Lisateave

Lühend Publikatsioon

[RT] Vabariigi Valitsuse määrus „Arhiivieeskiri“ , vastu võetud 22.11.2011, https://www.riigiteataja.ee/akt/129122011229?leiaKehtiv

OPS.1.2.4 Kaugtöö

1 Kirjeldus

1.1 Eesmärk Esitada meetmed kaugtöö raames talletatava, töödeldava ja edastatava teabe kaitseks.

1.2 Vastutus Kaugtöö meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad

IT-talitus, töötaja, personaliosakond, ülemus.

1.3 Piirangud Kaugtöökoha taristu turbe meetmed esitatakse moodulis INF.8 Kodutöökoht. Täiendavad meetmed esitatakse moodulis INF.9 Mobiiltöökoht.

2 Ohud

2.1 Kaugtöökoha eeskirja puudumine või puudulikkus Kaugtöökoha eeskirja puudumisel ei pruugi töötaja oma kohustusi täpselt teada. Kui töötaja ei oska kaugtöökohal infoturbe intsidenti ära tunda või ei tea, keda sellest teavitada, võib konfidentsiaalne teave sattuda võõrastesse kätesse.

2.2 Teenistusliku kaugtööarvuti lubamatu privaatkasutus Tööandja otsese kontrolli alt väljas olevasse arvutisse võidakse paigaldada tundmatu päritoluga tarkvara. Kasutaja hoolimatuse tõttu võib arvutisse sattuda kahjurvara. Arvutile võivad ligi pääseda lisaks kaugtöötajale ka tema pereliikmed ja külalised.

2.3 Viivitused kaugtöötaja kättesaamatuse tõttu Kui kaugtöötajaga pole kokku lepitud kindlaid aegu, millal töötaja peab olema kättesaadav, võib ta osutuda vajalikul hetkel kättesaamatuks. See võib tuua kaasa viivitusi tööprotsessis. Sõltuvalt organisatsioonist võib see oluliselt mõjutada tervet äriprotsessi.

132

2.4 Teabe mittejõudmine töötajani Kaugtöötajal on vähem võimalusi osaleda tööalases teabevahetuses. Seetõttu kahaneb seotus organisatsiooni äriprotsessidega ja väheneb kaugtöötaja jõudlus. Kui ei ole tagatud teabe liikumine, ei jõua kaugtöötajale kohale ka olulised infoturbe teated.

2.7 Turvameetmete eiramine Kaugtöökoha järelevalvevõimaluse piiratuse tõttu võib juhtuda, et töötaja ei rakenda soovitatud või kohustuslikke turvameetmeid või ei tee seda täies mahus. Turvameetmete mitterakendamisest kaugtöökohas võib tekkida kahju, mida tavaolukorras oleks võimalik vältida. Konfidentsiaalne teave võib sattuda volitamata isikute kätte.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.2.4.M1 Kaugtöö eeskiri

OPS.1.2.4.M6 Kaugtöö turbekontseptsioon

OPS.1.2.4.M7 Sidevahendite kasutamise kord

OPS.1.2.4.M9 Kaugtöökoha kasutajatugi ja hooldus

OPS.1.2.4.M10 Kaugtöökoha nõuete analüüs

Evitus

OPS.1.2.4.M2 Kaugtööarvuti turve

Käitus

OPS.1.2.4.M5 Kaugtöötajate teadlikkuse tõstmine ja koolitus

OPS.1.2.3.M8 Regulaarne teabevahetus organisatsiooniga

3.2 Põhimeetmed

OPS.1.2.4.M1Kaugtöö eeskiri [ülemus, personaliosakond]

e. Töötajatele järgimiseks on koostatud ja tehtud töötajatele kättesaadavaks kaugtöö korraldust reguleeriv eeskiri.

f. Kaugtöö eeskirjas on arvestatud järgmisi turvaaspekte:

c. konfidentsiaalse teabe käitlus;

d. andmekaitsenõuded;

e. andmevarundus ja andmete sünkroniseerimine;

f. andmeside kasutamine;

g. kaugpääsuõigused;

h. dokumentide ja andmekandjate transport ja säilitamine;

i. turvasündmustest teatamise kord.

g. On koostatud töökaitse õiguslikke aspekte arvestavad, tööandja ja töötaja vahelised kaugtöö kokkulepped, milles on määratletud vähemalt järgmine:

133

d. kaugtöö vabatahtlikkus;

e. töövahendid;

f. tööaeg ja kättesaadavus;

g. reageerimisajad, näiteks e-kirjade lugemise sagedus;

h. ületunnitöö, lisatasud ja täiendavate kulude tasumine;

i. materiaalne vastutus;

j. kaugtöö lõpetamine.

h. Kaugtöö eeskirja vaadatakse üle ja seda ajakohastatakse regulaarselt.

OPS.1.2.4.M2 Kaugtööarvuti turve

a. Kaugtööarvutit kasutatakse ainult määratud otstarbeks (nt ei tohi kasutaja installida kaugtööarvutisse heakskiitmata tarkvara).

b. Kaugtööarvutit kasutab ainult selleks volitatud isik. Volitatud isikuteks on kaugtöötaja ja kaugtööarvutite haldur.

c. Kaugtööarvuti turvameetmed sõltuvad töödeldavate andmete kaitsetarbest. Rakendatud on vähemalt järgmised meetmed:

• turvalised identifitseerimis- ja autentimismehhanismid, mis reageerivad vigasele sisestusele juurdepääsu ajutise sulgemisega;

• automaatne ekraanilukk, mida saab avada alles pärast uut identifitseerimist ja autentimist;

• turvakriitiliste parameetrite miinimumnõuded (nt paroolinõuded) tagavad piisava turvalisuse;

• arvutis tehakse regulaarset andmevarundust;

• logimise sisu ja maht on rikete ja turvasündmuste avastamiseks piisav;

• arvuti kõvaketas on krüpteeritud;

• arvutis on vahendid failide krüpteerimiseks;

• arvuti süsteemikonfiguratsioon on seatud maksimaalselt turvaliseks.

OPS.1.2.4.M5Kaugtöötajate teadlikkuse tõstmine ja koolitus

• Kaugtöötajad on läbinud kaugtöö turvameetmete alase koolituse.

• Kaugtöötaja koolitusel on käsitletud järgmisi aspekte:

a. kaugtöö ohud;

b. tööalaste dokumentide turvaline hoidmine;

c. kaugtöökoha füüsiline turve;

d. võrguturve;

e. andmekandjate turvaline kasutamine;

f. lihtsamad hooldetööd ja probleemilahendused.

• Kaugtöötajate koolitamisel järgitakse meetmeid moodulist ORP.3 Infoturbe teadlikkuse tõstmine ja koolitus.

• Kaugtöötaja koolitust korratakse regulaarselt.

134

3.3 Standardmeetmed

OPS.1.2.4.M6Kaugtöö turbekontseptsioon

a. On koostatud kaugtöö turbekontseptsioon, mis esitab kaugtöökoha kaitsetarbe, turvaeesmärgid ja turvanõuded.

b. Kaugtöö turbekontseptsioonis dokumenteeritakse vähemalt järgmine:

• andmete, dokumentide ja andmekandjate käitluse kord;

• organisatsiooni ja kaugtöökoha vahelise side korraldamine;

• autentimismehhanismid;

• võrguühenduste kasutamise kord;

• andmevahetuse kord;

• andmevarunduse kord.

c. Kaugtöö turbekontseptsioon on kooskõlas organisatsiooni üldise turbekontseptsiooniga.

d. Kontseptsiooni ajakohastatakse regulaarselt.

OPS.1.2.4.M7Sidevahendite kasutamise kord [IT-talitus, töötaja]

a. Sidevahendite kasutamise raamtingimused on määratud kaugtöö turbekontseptsioonis.

b. Sidevahendite kasutamise korras on määratud vähemalt:

c. teabevahetuseks kasutatavad sidevõimalused (sh sõnumiside, telefon, e-post);

d. andmete edastamiseks kasutatavad teenused;

e. videokonverentsiteenuste kasutamine;

f. teabevahetuse turvameetmed;

g. digiallkirjastamise kasutamine;

h. juhised avalike Interneti-teenuste kasutamisel tööks ja isiklikuks tarbeks.

OPS.1.2.4.M8Regulaarne teabevahetus organisatsiooniga [ülemus, töötaja]

a. On korraldatud kaugtöötaja regulaarne teabevahetus organisatsiooni ja kaastöötajatega.

b. Tööalased teadaanded ja teave infoturbe muudatuste kohta jõuab kaugtöötajani operatiivselt ja viivitusteta.

c. Kõik kaastöötajad teavad, kuidas kaugtöötajaga ühendust võtta.

OPS.1.2.4.M9 Kaugtöökoha kasutajatugi ja hooldus [IT-talitus, töötaja]

a. Kaugtöökoha arvuti tark- ja riistvara probleemide lahendamiseks on loodud kasutajatoe funktsioon ja määratud kontaktisikud.

b. Kasutajatoel on teada kaugtöökoha arvuti riist-ja tarkvara konfiguratsioon.

c. Kaughooldust tehakse eelnevalt kokkulepitud ajal. Kaugligipääs arvutile võimaldatakse ainult kaughoolduse ajaks ning selleks volitatud töötajale.

d. Kokku on lepitud, kuidas toimub IT-vahendite transport hoolduseks.

OPS.1.2.4.M10 Kaugtöökoha nõuete analüüs [IT-talitus]

• Enne kaugtöökohtade loomist on läbi viidud nõuete analüüs, mis sisaldab vähemalt järgmist:

• konfidentsiaalsusnõuded kaugtöökohas käideldavale teabele;

135

• organisatsioonile juurdepääsu saamise eesmärgid;

• andmeliikluse maht kaugtöökoha ja organisatsiooni vahel;

• sisevõrguteenuste kasutamise vajadused;

• Interneti kasutamise vajadused;

a. nõuded dokumentide ja andmekandjate transportimisele:

b. kaugtöökoha riist- ja tarkvarakomponentide vajadus ja valik (kooskõlastatakse IT- haldusega).

• Konkreetse kaugtöökoha nõuded dokumenteeritakse ja kooskõlastatakse IT-juhiga.

3.4 Kõrgmeetmed Antud moodulis kõrgmeetmed puuduvad.

OPS.1.2.5 Kaughooldus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed aktiivse ja passiivse kaughoolduse käigus salvestatava, töödeldava ja edastatava teabe ning hooldusliideste kaitseks.

1.2 Vastutus Kaughoolduse meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Kasutaja.

1.3 Piirangud Moodulis ei käsitleta kõiki kaughoolduse tegevusi, seega tuleb lisaks arvestada meetmeid moodulitest OPS.1.1.3 Paiga- ja muudatusehaldus, ORP.3 Infoturbe teadlikkuse tõstmine ja koolitus, CON.1 Krüptokontseptsioon ja CON.3 Andmevarunduse kontseptsioon.

Samuti tuleb rakendada meetmeid moodulitest OPS.2 Käidutööd teenusena ja OPS.3 Teenuseandja käidutööd. Pilvteenuste puhul tuleb lisaks arvestada moodulit OPS.2.2 Pilvteenuste kasutamine.

IT-süsteemide keskhaldust käsitletakse moodulites OPS.1.1.2 IT-süsteemide haldus ja OPS.1.1.7 Süsteemihaldus.

Käidutehnoloogia süsteemide kaughooldust käsitletakse moodulis IND.3.2 Käidutehnoloogia komponentide kaughooldus.

2 Ohud

2.1 Kaughoolduse eeskirjade puudulik järgimine Kui asjaosalised ei tunne või ei järgi kaughoolduse eeskirju, võidakse hooldustööde käigus teha vigu. Kuna kaughooldust tegevatel töötajatel on ka tavapärasest suuremad õigused, võib tähelepanematusest või mugavusest tingitud eksimus kaasa tuua olulise kahju.

136

Turvameetmete eiramine kaughoolduse käigus on raskesti tuvastatav ning sellest tingitud turvanõrkuste ärakasutamisel tehtud ründeid on raske avastada ja tõrjuda.

2.2 Kaughoolduse kavandamise ja reguleerimise puudumine või puudulikkus Kui kaughoolduse kavandamisel tehakse vigu ega arvestata võimalike turvanõrkustega, võidakse mõjutada mitte ainult ühe IT-süsteemi, vaid organisatsiooni kõikide IT-süsteemide turvalisust. Kaughooldusega seotud turvanõrkused võivad esineda nõrkades sideprotokollides, paigahalduse protsessides, krüpto- ja autentimismehhanismides.

2.3 Väär autentimine kaughoolduses Ebaturvaliste autentimismehhanismide kasutamise tagajärjel võib kaughooldusarvuti või - tööriistade haldusõiguse saada volitamata isik. See võib kaasa tuua IT-süsteemide ja rakenduste lubamatuid konfiguratsioonimuutusi, andmete kustutamise või konfidentsiaalse teabe lekke. Risk on veelgi suurem, kui kaughooldust teostab väline partner.

2.4 Tegemata või väär kaughooldus Kui pidevat hooldust vajavatele IT-süsteemidele jäetakse kaughooldus tegemata, võib see halvimal juhul muuta IT-süsteemi kasutuskõlbmatuks.

Kaughoolduse käigus tehtud vead võivad IT-süsteemide käitamisel põhjustada tõrkeid. Kui hooldus hilineb või seda tehakse vääralt, võivad teadaolevad turvanõrkused jääda parandamata.

2.5 Ebaturvaliste protokollide kasutamine kaughoolduses Kui kaughoolduse andmeside on krüpteerimata või kui kahe lõpp-punkti või võrgu vahel tunneli loomiseks kasutatakse ebaturvalisi protokolle, näiteks IPSec, SSH või SSL/TLS aegunud versioone, ei ole andmeside turvalisus piisavalt tagatud.

2.6 Kaughooldusfunktsioonide kontrollimatu kasutamine Kui kaughooldustöid tegevate isikute tööülesanded pole lepinguga reguleeritud või dokumenteeritud, võivad kaughoolduse tegijad oma volitusi ületada ja IT-süsteemile kahju tekitada.

2.7 Võrgustatud kaughooldusteenuse lubamatu kasutamine Kui IT-süsteemide kaughoolduseks on võimaldatud juurdepääs veebibrauserist läbi kolmanda osapoole veebiserveris asuva, võrgustatud teenuse (ingl online service), siis puudub süsteemiülematel kontroll selle üle, kes, millal ja mis otstarbel seda ühendust kasutab. IT- süsteemi ja serveri vaheline andmesidekanal on pidevalt avatud. Krüpteerimata andmeside puhul on võimalik saadetavaid andmeid manipuleerida.

2.8 Integreeritud kaughoolduskomponentide lubamatu kasutamine Kui IT-süsteemide käitamisel ei arvestata IT-süsteemi integreeritud kaughoolduse funktsionaalsust ega piirata selle kasutamist, võib süsteemidele ja andmetele tekkida volitamata juurdepääs. IT-süsteemidesse integreeritud kaughoolduskomponentide funktsionaalsus pole tihti piisavalt dokumenteeritud, need võivad sisaldada turvanõrkusi ja võimaldada möödapääsu võrgu ja operatsioonisüsteemi tasandil rakendatud turbemehhanismidest.

137

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.2.5.M1 Kaughoolduse rakendamise kava

OPS.1.2.5.M6 Kaughoolduse eeskiri

OPS.1.2.5.M7 Kaughoolduse dokumentatsioon

ORP.4 Identiteedi ja õiguste haldus

Soetamine

OPS.1.2.5.M9 Sobivate kaughooldustööriistade valimine

Evitus

OPS.1.2.5.M3 Sideühenduste turve kaughooldusel

OPS.1.2.5.M5 Võrgustatud hooldusteenuste turvaline rakendamine

OPS.1.2.5.M8 Turvalised kaughoolduse protokollid

OPS.1.2.5.M10 Kaughooldustööriistade turvaline kasutamine

OPS.1.2.5.M17 Autentimismehhanismid kaughooldusel

OPS.1.2.5.M19 Kaughooldus kolmandate kaudu

Käitus

OPS.1.2.5.M2 Turvaline ühenduse loomine kaughooldusel

OPS.1.2.5.M20 Kaughoolduse turvaline läbiviimine

OPS.1.2.5.M24 Integreeritud kaughooldusfunktsioonide turve

OPS.1.2.5.M25 Väljaspoolt haldusvõrku tehtava kaughoolduse piiramine

Avariivalmendus

OPS.1.2.5.M21 Avariiplaan kaughoolduse tõrke puhuks

Lisanduvad kõrgmeetmed

OPS.1.2.5.M14 Kaughoolduskliendi turvaline seadistus

OPS.1.2.5.M22 Mobiilsidevõrkude liiasus

3.2 Põhimeetmed

OPS.1.2.5.M1Kaughoolduse rakendamise kava

a. Kaughoolduse kavandamisel on arvestatud organisatsiooni vajadusi ja kaughoolduse tehnilisi ning korralduslikke aspekte.

b. Kaughoolduse rakendamise kavas on määratud:

 kaitsetarve ja turvaeesmärgid;

 vastutused kaughoolduse teostamisel;

 õiguslikud ja korralduslikud kitsendused;

138

 kaughoolduse kanalid;

 teenuseandja kasutamine;

 võrgueraldusnõuded.

c. Suurema kaitsetarbe korral on kaughooldus võimaldatud ainult läbi spetsiaalse haldusvõrgu.

OPS.1.2.5.M2Turvaline ühenduse loomine kaughooldusel [kasutaja]

a. Kaughoolduse ühenduse saab algatada ainult IT-süsteemi kasutaja ehk hooldatav pool.

b. Kaughoolduse alustamisel autenditakse väline hooldaja turvaliselt. Kui ühendus kaughoolduskohaga mingil põhjusel katkeb, on uus juurdepääs võimalik ainult ennast uuesti autentides.

OPS.1.2.5.M3Sideühenduste turve kaughooldusel

a. Pääsuõigused ja sideühenduste loomise võimalused on piiratud minimaalsuse põhimõtte alusel.

b. Andmevahetus kaughooldusserveri ja -kliendi vahel krüpteeritakse.

c. Pärast kaugpääsu kasutamise lõpetamist suletakse (desaktiveeritakse) kõik kasutatud sideühendused.

d. Kaughooldustööriistad paigaldatakse ainult tööjaamadesse, mida kasutatakse kaughoolduseks.

e. Andmeedastuse jälitatavuse tagamiseks andmevahetus logitakse.

3.3 Standardmeetmed

OPS.1.2.5.M5Võrgustatud hooldusteenuste turvaline rakendamine [kasutaja]

a. Kaughooldus võrgustatud teenuse (ingl online service) kaudu on üldjuhul keelatud ja blokeeritud.

b. Võrgustatud hooldusteenuseid rakendatakse ainult põhjendatud erandina, võimalikud kasutusjuhud on reguleeritud, kasutamine registreeritakse ning kinnitatakse.

c. Klientarvutite automaatne ühendumine võrgustatud teenustega on keelatud, ühenduse takistamiseks rakendatakse tehnilisi meetmeid.

OPS.1.2.5.M6 Kaughoolduse eeskiri

a. Kaughoolduse nõuded on dokumenteeritud infoturvapoliitikas. Eraldi kaughoolduse eeskirja olemasolul on sellele infoturvapoliitikas viidatud.

b. Kaughoolduse eeskirjaga on tutvunud kõik osapooled, kes osalevad kaughoolduse kava väljatöötamisel, elluviimisel, kasutamisel ja kasutamise lõpetamisel.

c. Kaughoolduse eeskirja järgimist kontrollitakse regulaarselt.

OPS.1.2.5.M7Kaughoolduse dokumentatsioon

a. Kaughoolduse dokumentatsioon on piisav ja ajakohane.

b. Kaughoolduse dokumentatsioon sisaldab vähemalt järgmist:

 hooldatavate IT-süsteemide konfiguratsioonid;

 süsteemide kasutajad ja nende õigusteprofiilid;

 lisandunud riist-ja tarkvarakomponendid;

139

 andmevarunduse ja andmekandjate käituse protseduurid;

 avastatud ja kõrvaldatud rikete kirjeldused.

c. Dokumentatsiooni hoitakse turvaliselt. Volitatud isikutel on vajadusel võimalik dokumentatsioonile kiiresti juurde pääseda.

OPS.1.2.5.M8Turvalised kaughoolduse protokollid

a. Kaughoolduseks kasutatakse ajakohaseid ja turvaliseks loetud sideprotokolle.

b. Andmevahetus on krüpteeritud. Tunneldamiseks kasutatakse kaitsetarbele vastavaid krüpteerimisprotseduure (vähemalt SSH v2, TLS 1.2, SNMP v3, IPSec IKEv2-ga).

c. Kaughoolduseks kasutatakse sideprotokolle, mis võimaldavad tuvastada edastatavates andmetes juhuslikke häireid ning neid automaatselt kõrvaldada. Saaja kinnitab andmete vastuvõttu.

d. Kasutatavate protokollide ajakohasuse tagamiseks jälgitakse regulaarselt teavet avastatud nõrkuste kohta.

OPS.1.2.5.M9Sobivate kaughooldustööriistade valimine

a. Kaughooldustööriistade valimisel arvestatakse meedet OPS.2.4.M1 Kaughoolduse rakendamise kava.

b. Kaughooldustööriistad valitakse organisatsiooni käitus-, turva- ja andmekaitsenõuetel põhineva analüüsi ja kaasneva riskihinnangu alusel.

c. Kõik kaughooldustööriistade hankimise otsused kooskõlastatakse hankimise, süsteemide ja rakenduste eest vastutajate ning turbehaldusega.

OPS.1.2.5.M10 Kaughooldustööriistade turvaline kasutamine [kasutaja]

a. Kaughooldustööriistade kasutamiseks on koostatud kasutusjuhendid koos näidisprotseduuride kirjeldustega.

b. Kasutajad on läbinud kaughooldustööriistade kasutamise koolituse.

c. Kaughooldustööriistadega seotud tehniliste küsimuste lahendamiseks on määratud kontaktisik.

OPS.1.2.5.M17 Kaughoolduse autentimismehhanismid

a. Kaughooldussessiooni alustamiseks kasutatakse mitmikautentimist (ingl multifactor authentication).

b. Autentimismeetodi valik ja selle valimise põhjused on dokumenteeritud.

OPS.1.2.5.M19 Kaughooldus välisteenusena

a. Kõik välise teenuseandja poolt kaughooldusena tehtud muudatused (nt konfigureerimisseadetes, lähtekoodis) dokumenteeritakse. Muudatuste dokumentatsioon antakse üle kaughooldatavale organisatsioonile.

b. Välise teenuseandja töötajad kohustuvad täitma lepingus kokku lepitud nõudeid, sealhulgas konfidentsiaalsusleppeid.

c. Välise teenuseandja töötajate tehtavaid hooldustoiminguid jälgitakse ja võimalusel need salvestatakse. Organisatsioonis on määratud kaughoolduse seire eest vastutaja.

d. Kaughooldus algatatakse ainult sisevõrgust ja ainult kindlaks perioodiks.

e. Kaughoolduspääs välisele teenuseandjale antakse minimaalsuse põhimõtte alusel.

140

f. Välise teenuseandja töötajad autendivad ennast alati isikustatud kasutajana.

g. Kaughooldust saab mistahes ajal sisevõrgust katkestada.

h. Kaughoolduse tegemisel kolmandate kaudu rakendatakse lisaks mooduli OPS.2.3 Väljasttellimine meetmeid.

OPS.1.2.5.M20 Kaughoolduse turvaline läbiviimine

a. Kaughooldust teostatakse eelneva teavituse ja kinnituse alusel.

b. Kaughoolduspääs antakse ainult alles pärast tulemuslikku autentimist.

c. Kaughoolduseks ei anta täielikke haldusõigusi. Kaughooldajal puudub ligipääs IT- süsteemidele, mida hoolduseks vaja ei ole.

d. Andmevahetust kaughooldusserveri ja -kliendi vahel kontrollitakse tulemüüri abil. Kasutusel on ummistusrünnete avastamise ja tõrje meetmed.

e. Kõik kaughooldustoimingud, kaughoolduse algus, lõpp ja asjaosalised registreeritakse ja logitakse.

OPS.1.2.5.M21 Avariiplaan kaughoolduse tõrke puhuks

a. On välja töötatud avariiplaan tõrgetest tuleneva kahju minimeerimiseks, hooldustoimingute tagasivõtmiseks ning tavapärase töö kiireks taasteks.

b. Avariiplaani koostamisel ja testimisel rakendatakse meetmeid moodulist DER.4 Avariihaldus.

OPS.1.2.5.M24 Integreeritud kaughooldusfunktsioonide turve

a. IT-süsteemide hankimisel hinnatakse integreeritud kaughooldusfunktsioonide võimalusi ja turvalisust.

b. Juhul kui IT-süsteemidesse integreeritud kaughooldusfunktsioone ei kasutata või kui need võivad sisaldada turvanõrkusi, on integreeritud kaughooldusfunktsioonid desaktiveeritud.

c. IT-süsteemi komponentidele, mille kaughooldus on realiseeritud püsivara tasemel, on juurdepääs ainult eraldiseisvast haldusvõrgust.

OPS.1.2.5.M25 Väljaspoolt haldusvõrku tehtava kaughoolduse piiramine

a. Võimalusel välditakse kaughooldust väljastpoolt haldusvõrku asuvast seadmest.

b. Kaughoolduse teostamine väljaspool haldusvõrku asuvast klientseadmest on lubatud ainult läbi haldusvõrgus asuva hüppeserveri (ingl jump server).

c. Hüppeserveri juurdepääs on lubatud ainult usaldusväärsetele ja vastavava vajadusega klientseadmetele.

3.4 Kõrgmeetmed

OPS.1.2.5.M14 Kaughoolduskliendi turvaline seadistus (C)

a. Kaughoolduseks kasutatakse ainult kaughoolduse teostamiseks ettevalmistatud klientseadmeid.

b. Kaughoolduse klientseadmesse paigaldatud kaughooldustööriistade kõik funktsioonid ja komponendid, mis ei ole hooldustööde läbiviimiseks vajalikud, on desaktiveeritud.

c. Kaughooldustööriistad ja tööjaamad, milles neid kasutatakse, on turvaliselt konfigureeritud ja seadistatud.

141

d. Kaughoolduse klientseadme andmesideühendus on piiratud. Lubatud on ainult hooldustööde läbiviimiseks vajalikud andmesideühendused.

e. Kaughoolduseks kasutatakse spetsiaalselt selleks otstarbeks loodud kasutajakontot.

OPS.1.2.5.M22 Kaughoolduse sidevõrkude liiasus (A)

a. Kaughoolduse tegemiseks avariiolukorras on võimalik IT-süsteemile juurdepääsuks kasutada varusideühendust (nt. 4G mobiilsidevõrku).

OPS.1.2.6 Kellade sünkroniseerimine NTP-serveriga

1 Kirjeldus

1.1 Eesmärk Esitada meetmed NTP-serveri (NTP- Network Time Protocol) ja NTP-klientseadmete kellade turvaliseks sünkroniseerimiseks ning usaldusväärse ja täpse kellaaja tagamiseks kõigis seotud IT-süsteemides.

1.2 Vastutus Kellade sünkroniseerimise meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Lisavastutajad puuduvad.

1.3 Piirangud Moodulis esitatud meetmed rakenduvad kõigile NTP-d kasutavatele IT-süsteemidele.

Serveritele kehtestatud üldisi turvameetmeid käsitletakse moodulis SYS.1.1 Server üldiselt, klientarvutitele kohalduvad meetmed on esitatud moodulis SYS.2.1 Klientarvuti üldiselt.

2 Ohud

2.1 Viga NTP-serveri rakendamisel Võib juhtuda, et kõik IT-süsteemid ei ole täpse ajateabe saamiseks NTP-serveriga ühendatud. Näiteks võib NTP-serveri ja klientide ühenduse katkestada võrgu kavandamisel või segmenteerimisel tehtud viga. Sageli ei tuvastata kellade erinevust enne kui see on põhjustanud IT-intsidendi, nt kui automatiseeritud toimingud käivituvad valel ajal.

2.2 Väär kellaaeg või kellaaja puudumine NTP-server võib olla ajutiselt kättesaamatu või edastada valet ajateavet.

Kui IT-süsteem ei saa NTP-serveritega pikema aja vältel ühendust, siis võivad NTP- klientseadmete süsteemiajad muutuda ebatäpseks. Kui NTP-server annab NTP-klientidele vale ajateabe, kasutatakse tegelikkusest erinevat kellaaega ka kõigis klientarvuti rakendustes. Kui logiandmetes kasutatavad kellaajad on IT-süsteemides erinevad, ei anna IT-süsteemide logide korreleerimine soovitud tulemust.

Vale ajateave võib põhjustada häireid IT-teenustes, nt sertifikaadipõhiste või ühekordseid paroole kasutavate teenuste toimimises. Seetõttu ei saa kasutajad enam IT-süsteemidesse ega võrguteenustesse sisse logida.

142

2.3 Vastuoluline ajateave Erinevatest allikatest pärinev ajateave võib olla vastuolus. Kui IT-süsteem kasutab kella sünkroniseerimiseks mitmeid NTP-servereid, võib NTP-serverite kellaaegades olla erinevus. Kellaaegade märgataval erinemisel ei suuda IT-süsteem kindlaks teha, milline esitatud ajateave on õige. Kellaaegade erinevus võib põhjustada tõrkeid IT-süsteemis, andmete valesti tõlgendamist ja häireid andmevahetuses teiste IT-süsteemidega.

2.4 NTP andmeside manipuleerimine Võrguründe puhul on ründajal võimalik NTP andmesidet manipuleerida, nt muuta võrgupakettide ajateavet andmete edastamise ajal või suunata NTP päringud ümber enda määratud serverisse. Sel viisil saab ründaja NTP-klientide süsteemiaega muuta ning seda kasutada ajaliselt piiratud või antud hetkeks aegunud pääsuõiguste kuritarvitamiseks.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.2.6.M1 NTP kasutuselevõtu kavandamine

OPS.1.2.6.M2 Väliste NTP-serverite turvaline kasutamine

Evitus

OPS.1.2.6.M3 NTP-serveri turvaline konfigureerimine

OPS.1.2.6.M4 Soovimatute ajateabe allikate keelamine

OPS.1.2.6.M7 NTP-klientide turvaline konfigureerimine

Käitus

OPS.1.2.6.M5 NTP käitamine klient-server režiimis

OPS.1.2.6.M6 Võrgusiseste NTP-serverite seire

OPS.1.2.6.M8 Turvalise protokolli kasutamine kellade sünkroniseerimisel

Lisanduvad kõrgmeetmed

OPS.1.2.6.M9 Erinevate täpse ajateabe allikate kasutamine

OPS.1.2.6.M10 Ainult võrgusiseste NTP-serverite kasutamine

OPS.1.2.6.M11 NTP-serverite liiasuse tagamine

OPS.1.2.6.M12 NTP-serverite autentsuse tagamine

3.2 Põhimeetmed

OPS.1.2.6.M1NTP kasutuselevõtu kavandamine

a. Organisatsioon on kaardistanud täpset ajateavet vajavad IT-süsteemid ja dokumenteerinud IT-süsteemide nõuded ajateabe täpsuse ja kättesaadavuse osas.

b. NTP (Network Time Protocol) kasutuselevõtul on dokumenteeritud, milliseid NTP-ser- vereid ja milliste NTP-klientide poolt kasutatakse.

143

c. On määratud, kas NTP-serverid töötavad klient-server või leviedastusrežiimis (ingl Broadcast Mode).

OPS.1.2.6.M2Väliste NTP-serverite turvaline kasutamine

a. Enne väljastpoolt kohtvõrku asuva NTP-serveri kasutuselevõttu analüüsitakse teenuseandja usaldusväärsust ja NTP-serveri töökindlust.

b. IT-süsteemide kellade sünkroniseerimisel väljastpoolt kohtvõrku on lubatud kasutada ainult usaldusväärseid NTP-servereid.

c. Välise NTP-serveri kasutamisel järgitakse NTP-serveri operaatori kehtestatud kasutustingimusi.

OPS.1.2.6.M3 NTP-serveri turvaline konfigureerimine

a. NTP-serveri konfiguratsiooniteavet saavad küsida ainult volitatud NTP-kliendid.

b. NTP-serveri konfiguratsiooni muutmine on lubatud ainult volitatud kasutajatel ning sel- gesõnaliselt määratletud juhtudel.

c. Organisatsioonisisese täpse kellaja allika puudumisel on võrgusisene NTP-server konfi- gureeritud saama regulaarset ja täpset ajateavet väliselt NTP-serverilt.

OPS.1.2.6.M4Soovimatute ajateabe allikate keelamine

a. NTP-klientide seadistustes on IT süsteemide kellade sünkroniseerimine võimaldatud vaid lubatud ajateabe allikatega, muud ajateabe allikad on seadistustes blokeeritud.

3.3 Standardmeetmed

OPS.1.2.6.M5NTP käitamine klient-server režiimis

a. NTP-serverid on konfigureeritud suhtluseks klient-server režiimis. NTP-server edastab ajateavet ainult vastustena aktiivsete NTP-klientide päringutele.

OPS.1.2.6.M6Võrgusiseste NTP-serverite seire

a. Organisatsiooni arvutivõrgus asuvate NTP-serverite käideldavust, ressursikasutust ja kellaaja korrektsust seiratakse regulaarselt.

b. NTP-serverina toimiva IT-seadme puhul logitakse vähemalt järgmist:

 ootamatud taaskäivitused;

 NTP-teenuse ootamatud taaskäivitused;

 NTP-teenuse tõrked;

 anomaalsed ajateabe näidud.

c. NTP-serveri töötamisel leviedastusrežiimis (ingl Broadcast Mode) seiratakse ajateabe hälvete avastamiseks täiendavalt NTP-klientide kellaaja õigsust.

OPS.1.2.6.M7NTP-klientide turvaline konfigureerimine

a. On üheselt määratud ja konfigureeritud, millisest allikast võtab IT-süsteem ajateavet IT- süsteemi käivitusel ja taaskäivitusel ning pärast NTP-teenuse taaskäivitust.

b. On määratud, kuidas NTP-kliendid reageerivad oodatust oluliselt erinevale ajateabele, väärat vastuvõetud ajateavet ignoreeritakse.

c. NTP-klientidele on tagatud piisav ajateave ka juhul, kui NTP-server piirab ajapäringutele vastamist või keelab päringute saatmise.

144

OPS.1.2.6.M8 Turvalise protokolli kasutamine kellade sünkroniseerimisel

a. IT-süsteemide kellade sünkroniseerimisel kasutatakse turvalisi andmevahetusprotokolle.

3.4 Kõrgmeetmed

OPS.1.2.6.M9 Erinevate täpse ajateabe allikate kasutamine (A)

a. Kõrget ajalist täpsust nõudva põhiprotsessiga organisatsioon kasutab oma arvutivõrgus rohkem kui ühte Stratum 1 NTP-serverit.

b. Iga Stratum 1 NTP-server on primaarse ja täpse kellaaja saamiseks ilma arvutivõrgu vahenduseta otse ühendatud sõltumatu riistvaralise (Stratum 0) ajateabe allikaga, nt GPS- või raadiokellaga.

OPS.1.2.6.M10 Ainult võrgusiseste NTP-serverite kasutamine (I)

a. Sisevõrku ühendatud IT-süsteemid (NTP-kliendid) kasutavad oma kellade sünkroniseerimiseks eranditult võrgusiseseid NTP-servereid.

OPS.1.2.6.M11 NTP-serverite liiasuse tagamine (A)

a. Kõrget ajalist täpsust nõudvate protsessidega organisatsiooni IT-süsteemid hangivad ajateavet vähemalt neljalt sõltumatult NTP-serverilt.

OPS.1.2.6.M12 NTP-serverite autentsuse tagamine (I)

a. NTP-klient veendub enne andmevahetust NTP-serveri autentsuses. NTP-klient aktsepteerib ainult autenditud NTP-serverilt saadud ajateavet.

b. Autentimise nõue kehtib ka NTP-serveritele, mis jagavad ajateavet alama taseme NTP- serveritele.

OPS.2: Käidutööd teenusena

OPS.2.2 Pilvteenuste kasutamine

1 Kirjeldus

1.1 Eesmärk Esitada meetmed pilvteenuste turvaliseks kasutuselevõtuks ja kasutamiseks.

1.2 Vastutus Pilvteenuste kasutamise meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Andmekaitsespetsialist, vastutav spetsialist, organisatsiooni juhtkond, personaliosakond.

1.3 Piirangud Mooduli meetmed täiendavad väljasttellimist (vt OPS.2.3 Väljasttellimine) pilvteenustele omaste erisustega (sama infrastruktuuri kasutatakse paljude klientide teenindamiseks). Teenuseandjapoolsed meetmed on kirjeldatud moodulis OPS.3.2 Teenuseandja infoturve. Pilvteenuste kasutamise moodulis ei käsitleta ka pilvteenuste vastavate rakendusliideste (ingl

145

Application Programming Interface, API) spetsiifilisi turvameetmeid. Meetmed sõltuvad tarbitavast pilvteenusest, seega võib meetmete valik teenuseti erineda.

2 Ohud

2.1 Pilvteenuste strateegia puudumine või puudulikkus Puuduva või piisamatu pilvteenuste strateegia korral võib juhtuda, et organisatsioon teeb otsuse sobimatu pilvteenuse või teenuseandja kasuks. Valitud pilvteenus ei pruugi organisatsiooni infotehnoloogia ja äriprotsessidega ühilduda ega vastata nõutud kaitsetarbe tasemele.

2.2 Sõltuvus pilvteenuseandjast (kontrolli kaotamine) Välise pilvteenuse kasutamisel sõltub organisatsioon pilvteenuseandjast ega oma täit kontrolli äriprotsesside ja nende turvalisusega seotud teabe üle. Organisatsioon ei tea, kas pilvteenuseandja rakendab turvameetmeid nõuetekohaselt. Väliste pilvteenuste kasutamine toob tihti kaasa organisatsiooni infoturbe ja IT alase oskusteabe vähenemise.

2.3 Puudulik nõuete haldus pilvteenuste kasutamisel Kui organisatsioon otsustab hakata kasutama pilvteenust, kaasnevad sellega kasutajate suured ootused paremale jõudlusele või funktsionaalsusele. Samas on organisatsiooni juhtkonna eesmärk sageli seotud kulude vähendamisega. Kui pilvteenuse nõuete määratlemisel ei arvestata kõikide osapoolte arvamust, võib juhtuda, et pilvteenusele üleminek ei pruugi tuua soovitud lisandväärtust.

2.4 Õigusaktide nõuete rikkumine Rahvusvahelised pilvteenuse pakkujad lähtuvad sageli kolmandate riikide õigusaktidest. Pilvteenuse kliendid ei pruugi õiguslikele raamtingimustele piisavat tähelepanu pöörata. Seetõttu võidakse teadmatusest rikkuda kohalike õigusaktide nõudeid ja ohustada välisteenuse teabe turvalisust.

2.5 Simultaanteeninduse võime puudumine pilvteenuse andjal Pilvtöötlusel kasutavad erinevad kliendid enamasti ühist taristut (nt IT-süsteemid, võrgud ja rakendused). Kui eri klientide ressursid ei ole üksteisest piisavalt turvaliselt lahutatud, võib klient saada lubamatu juurdepääsu teise kliendi andmetele.

2.6 Pilvteenuse andjaga sõlmitud lepingu puudulikkus Kui pilvteenuse andja lepingus on vastutusalasid, ülesandeid, tulemusnäitajaid või kulusid ebapiisavalt või ebaselgelt kirjeldatud, võib juhtuda, et pilvteenuse andja kas tahtmatult või puuduvate ressursside tõttu kõiki vajalikke turvameetmeid ei rakenda. Pilvteenuse klienti võivad negatiivselt mõjutada lepingus määratlemata asjaolud. Näiteks kui ei ole teada teenuseandja sõltuvus kolmandast poolest, võib see negatiivselt mõjutada organisatsiooni infoturvet ning teenuse kvaliteeti.

2.7 Pilvteenustele migreerimise puudulik kavandamine Ebapiisav pilvteenusele ülemineku plaan seab ohtu andmete turvalisuse. Kui organisatsioon loobub migratsiooni testandmetega testimisest ja väiksemahulisest pilootprojektist, on oht, et pärast täismahulist migratsiooni teenused nõutaval viisil ei tööta.

146

2.8 Pilvteenuste puudulik integreerimine omaenda IT-süsteemidega Kui pilvteenuseid ei integreerita organisatsiooni IT-taristusse sobival viisil või tehakse seda puudulikult, ei saa kasutajad pilvteenust täies mahus kasutada. Kokkulepitud funktsionaalsus ja jõudlus võivad jääda saavutamata, tekivad häired äriprotsessi töös. Puudulik integratsioon organisatsiooni infotehnoloogiaga võib põhjustada märkimisväärseid turvanõrkusi.

2.9 Pilvteenuse kasutamise lõpetamise puudulik reguleerimine Kui lepingu lõpetamine on puudulikult kokku lepitud, võib see organisatsioonile kaasa tuua märkimisväärse kahju. Piisava sisemise valmisolekuta on organisatsioonil keeruline pilvteenust kiiresti teisele teenuseandjale üle anda või oma organisatsiooni IT-süsteemidega lõimida. Kui teenuse üleandmine ajaliselt venib ja kõiki andmeid ei suudeta üle viia, võivad tekkida tööseisakud ja andmekadu.

2.10 Pilvteenuste halduse raamistiku puudulikkus Pilvteenuse kasutuselevõtt muudab sageli teenusega seotud rollide jaotust (nt võivad süsteemiülematest saada teenusehaldurid). Muutused pilvteenuse halduses võivad ajutiselt mõjutada teenuse kvaliteeti. Kui töötajaile uusi ülesandeid tutvustavat koolitust ei tehta või seda tehakse piisamatult, võivad tekkida teenusehäired ja probleemid teenuse haldamisega.

2.11 Avariivalmenduse kontseptsiooni puudulikkus Pilvteenuse osalise või täieliku katkestuse korral võivad ootamatud olukorrad ja puudused avariivalmenduse kontseptsioonis põhjustada seisakuaja pikenemist. Kui teenuse ostja ja teenuseandja pole kokku leppinud, kuidas avariistsenaariumi korral tegutsetakse (nt kui riiklikul tasemel otsustatakse välisühendused sulgeda), pikeneb taasteaeg veelgi.

2.12 Pilvteenuse andja süsteemi tõrge Kui pilvteenuse andja juures toimub IT-süsteemide tõrge, mõjutab see ka pilvteenuse klienti, halvemal juhul katkeb teenus täielikult. Samasuguse tulemuseni viivad tõrked liidestuses pilvteenuse andja ja kliendi vahel või juhul, kui pilvtöötluse platvormi vastu sooritatakse tulemuslik rünne.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.2.2.M1 Pilvteenuste strateegia

OPS.2.2.M2 Pilvteenuste turvapoliitika

OPS.2.2.M3 Pilvteenuste loendi koostamine

OPS.2.2.M4 Vastutusalade ja liidestuste määramine

OPS.2.2.M5 Pilvteenusele migreerimise kava

OPS.2.2.M6 Pilvteenusega liitumise tegevusplaan

OPS.2.2.M7 Pilvteenuste turbe programm

Soetamine

OPS.2.2.M8 Pilvteenuse andja hoolikas valimine

147

Evitus

OPS.2.2.M9 Kliendi vajadustele vastav pilvteenuse leping

OPS.2.2.M10 Turvaline migratsioon pilvteenusele

Käitus

OPS.2.2.M12 Infoturve pilvteenuste kasutamisel

OPS.2.2.M13 Pilvteenuste turbe piisavuse tõendamine

Kõrvaldamine

OPS.2.2.M14 Pilvteenuselepingu korrakohane lõpetamine

Avariivalmendus

OPS.2.2.M11 Pilvteenuse avariivalmenduse programm

Lisanduvad kõrgmeetmed

OPS.2.2.M15 Pilvteenuse ülekantavuse tagamine

OPS.2.2.M16 Andmete täiendav varundamine

OPS.2.2.M17 Krüpteerimine pilvteenuse kasutamisel

OPS.2.2.M18 Liidendusteenuste korrakohane kasutamine

OPS.2.2.M19 Töötajate taustakontroll

3.2 Põhimeetmed

OPS.2.2.M1 Pilvteenuste strateegia [vastutav spetsialist, organisatsiooni juhtkond, andmekaitse spetsialist]

a. On kehtestatud pilvteenuste strateegia, mis on kooskõlas organisatsiooni eesmärkidega ja kus on dokumenteeritud:

 pilvteenuste eesmärgid, eelised ja riskid;

 pilvteenuste kasutamisega seotud õiguslikud, korralduslikud, majanduslikud ja tehnilised raamtingimused;

 eeldatavad pilvteenused ja nende kasutusviisid;

 pilvteenuste lõpetamise tingimused.

b. Iga kavandatava pilvteenuse kohta viiakse läbi teostatavuse, tasuvuse ja turvalisuse analüüs.

c. Pilvteenuste kasutuselevõtuks koostatakse etapiviisiline teenuse kasutuselevõtu plaan.

OPS.2.2.M2 Pilvteenuste turvapoliitika [vastutav spetsialist]

a. Pilvteenuste strateegiast (vt OPS.2.2.M1 Pilvteenuste strateegia) lähtuvalt on koostatud pilvteenuste turvapoliitika.

b. Turvanõuete määramisel on lähtutud teenuse kaitsetarbest ja korralduslikest, tehnilistest ning õiguslikest raamtingimustest.

c. Rahvusvaheliselt tegutsevate teenuseandjate puhul on arvestatud riigipõhist spetsiifikat ja regulatsioonidest tulenevaid nõudeid.

148

OPS.2.2.M3 Pilvteenuste loendi koostamine [vastutav spetsialist]

a. Kõik kavandatavad ja kasutatavad pilvteenused dokumenteeritakse ühtsetel alustel.

b. Iga pilvteenuse kohta on esitatud vähemalt järgmised andmed:

 teenuse nimetus ja tähis;

 teenuse eesmärk;

 teenuse parameetrid ja/või lepinguline teenusetase;

 teenuse ajaraamid;

 arveldusandmed;

 pääsuõigused ja autentimismeetod;

 kontaktisikud.

OPS.2.2.M4 Vastutusalade ja liidestuste määramine [vastutav spetsialist]

a. Määratletakse ja dokumenteeritakse pilvteenuse kasutamisega seotud vastutusalad ja teenusepoolte tegevused.

b. Valitakse ja dokumenteeritakse pilvteenuse rakenduseks vajalikud IT-komponendid (nt. andmete varundussüsteem) ning riist- ja tarkvaraline liidestus.

3.3 Standardmeetmed

OPS.2.2.M5 Pilvteenusele migreerimise kava [vastutav spetsialist]

a. Pilvteenusele siirdumiseks koostatakse pilvteenusele migreerimise kava, mis määrab:

 rollid ja kohustused;

 IT-keskkonna ja käiduprotseduuride ettevalmistuse;

 testimis- ja üleviimisprotseduurid;

 teenusetaseme ja turvataseme vastavuskontrolli;

 pilvteenusest loobumise protseduurid.

b. Pilvteenusele üleminekul hinnatakse pilvteenuse mõju olemasolevale IT-keskkonnale ja organisatsiooni tööprotsessidele, kavandatakse liidestused olemasolevate IT-süsteemidega ja plaanitakse täiendavad koolitused.

OPS.2.2.M6 Pilvteenusega liitumise tegevusplaan

a. Pilvteenuse kasutuselevõtuks koostatakse teenusega liitumise tegevusplaan, mis sisaldab vähemalt järgmisi tegevusi:

 liidestuste ettevalmistus ja käivitamine;

 võrguühenduste sobivus ja kontroll;

 teenuse halduse korraldus;

 andmete haldus.

b. Pilvteenusega liitumise tegevusplaan on dokumenteeritud, tegevusplaani uuendatakse regulaarselt.

OPS.2.2.M7 Pilvteenuste turbe programm

a. Pilvteenuste turvapoliitika (vt OPS.2.2.M2 Pilvteenuste turvapoliitika) põhjal on koostatud pilvteenuste turbe programm, mis käsitleb pilvespetsiifilisi riske (nt sõltuvus

149

pilvteenuse andjast, simultaanteenindus, fikseeritud andmevormingud, andmetele juurdepääs).

b. Pilvteenuste turbe programm on kooskõlas pilvteenuse andja ja võrgutarnijaga sõlmitud lepingutega ning teenuse kasutustingimustega.

OPS.2.2.M8 Pilvteenuse andja valimise kriteeriumid [organisatsiooni juhtkond]

a. Pilvteenuse andja valimiseks koostatakse pilvteenuste loendi (vt OPS.2.2.M3 Pilvteenuste loendi koostamine) andmeid sisaldav ja neid täiendav nõuete spetsifikatsioon.

b. Pilvteenuse andja valimisel arvestatakse järgmisi aspekte:

 teenuseandja maine;

 teenuseandja tegevusvaldkond ja spetsialiseerumine pilvteenustele;

 avalikud turuanalüüsid ja soovitused;

 teenuseandja asukoht ja jurisdiktsioon;

 teenuse jõudlus ja käideldavus;

 kliendisõbralikkus;

 alltöövõtjate kasutamine;

 lepingutingimuste sobivus;

 teenuse lõpetamine;

 tasuvus.

c. Pilvteenuse andjalt saadud teenusekirjelduste õigsust ja sertifikaatide kehtivust kontrollitakse, küsides teenuseandjalt täiendavat teavet.

OPS.2.2.M9 Kliendi vajadustele vastav pilvteenuse leping [organisatsiooni juhtkond]

a. Organisatsiooni ja pilvteenuse andja vahelises lepingus on määratud alljärgnev:

 õiguslikud raamtingimused;

 pilvteenusega seotud teabe liik ja maht;

 teenuse jõudlus ja kvaliteet;

 turvanõuded;

 teenuse saamise koht;

 allhankijad või muud kolmandad pooled;

 nõuded pilvteenuse andja personalile;

 suhtlusteed ja kontaktisikud;

 töökorraldus, vastutused ja pääsuõigused;

 muudatuste kord;

 teenuse testimine ja seire;

 tõrke- ja intsidendikäsitlus;

 lepingu lõpetamine, järeltoimingud, andmete kustutus.

150

OPS.2.2.M10 Turvaline migratsioon pilvteenusele [vastutav spetsialist]

a. Migratsioonil pilvteenusele arvestatakse eelnevalt väljatöötatud kava (vt OPS.2.2.M5 Pilvteenusele migreerimise kava) ja turbe programmi (vt OPS.2.2.M7 Pilvteenuste turbe programm).

b. Enne tegelikku kasutuselevõttu testitakse migratsiooni toimimist testkeskkonnas.

c. Pärast IT-süsteemide migreerimist käidukeskkonda (ingl operational environment) kontrollitakse teenuse vastavust lepingu tingimustele.

OPS.2.2.M11 Pilvteenuse avariivalmenduse programm

a. Kasutuselevõetud pilvteenuste jaoks on välja töötatud avariivalmenduse programm, mis sätestab:

 kontaktisikud;

 avariikäsitluse korra, vastutused, toimingud ja dokumenteerimise;

 andmete, liideste, vahendite ja taristu varunduse;

 vajalikud tehnilised vahendid;

 avariikäsitluse õppuste korraldamise.

OPS.2.2.M12 Infoturve pilvteenuste kasutamisel

a. Pilvteenuste dokumentatsiooni ja kasutusjuhiseid ajakohastatakse regulaarselt.

b. Pilvteenuse vastavust teenuselepingus kokku lepitud tingimustele ja turvanõuetele kontrollitakse regulaarselt.

c. Pilvteenuste turbe programmi (vt OPS.2.2.M7 Pilvteenuste turbe programm) järgimist ja selle ajakohasust kontrollitakse regulaarselt.

d. Pilvteenuste haldurid järgivad moodulites ORP.3 Infoturbe teadlikkuse suurendamine ja koolitus ja OPS.1.1.2 IT-süsteemide haldus toodud meetmeid.

e. Andmevarunduse toimimist kontrollitakse regulaarselt.

f. Avariikäsitlust harjutatakse koostöös teenuseandjaga regulaarselt.

OPS.2.2.M13 Pilvteenuste turbe piisavuse tõendamine

a. Pilvteenuse andja tõendab infoturbe vastavust regulatsioonidest tulenevatele nõuetele ja/või rahvusvaheliselt tunnustatud kriteeriumidele, esitades vastavad sertifikaadid, akrediteeringud või auditite tulemused.

b. Tõendusmaterjali hindamisel kontrollitakse, kas sertifikaatide kehtivusala hõlmab kasutatavat pilvteenust.

c. Pilvteenuse puhul allhankijate kasutamisel nõutakse samade kriteeriumide täitmise tõendamist ka nendelt.

OPS.2.2.M14 Pilvteenuselepingu korrakohane lõpetamine [vastutav spetsialist, organisatsiooni juhtkond]

a. Pilvteenuselepingu lõppemise puhuks on kehtestatud protseduurid üleminekuks sisemisele teenusele või teisele pilvteenuseandjale, täites kõiki seniseid teenusenõudeid.

b. Pilvteenusepingu lõppemisel tagatakse, et see ei mõjuta negatiivselt organisatsiooni äriprotsesside jätkuvust.

c. Pilvteenuselepingus on lepingu lõppemise puhuks määratletud:

151

 lepingupoolte omandiõigused teenusevahenditele;

 teenuse dokumentatsiooni ja vajalike andmete üleandmine kliendile;

 kliendi andmete turvaline kõrvaldamine teenuseandja käsutusest.

3.4 Kõrgmeetmed

OPS.2.2.M15 Pilvteenuse ülekantavuse tagamine [vastutav spetsialist] (A)

a. Pilvteenuse andja vahetamiseks või siseteenusele üleminekuks on kehtestatud kriteeriumid, mis sisaldavad porditavusnõudeid ja teenuse ülekantavuse testimise kohustuse.

b. Vajalik porditavus on pilvteenuse lepingu kohaselt võimalik (vt OPS.2.2.M9 Kliendi vajadustele vastav pilvteenuse leping).

OPS.2.2.M16 Andmete täiendav varundamine [vastutav spetsialist] (I-A)

a. Pilvteenuselepingus on esitatud teenuseandjale andmevarunduse detailsed nõuded.

b. Pilvteenuselepinguga on määratletud kliendi õigus täiendava andmevarunduse tegemiseks.

c. On otsustatud, kas pilvteenuse andja andmevarundusele lisaks tehakse ka omapoolset andmete varundamist.

OPS.2.2.M17 Krüpteerimine pilvteenuse kasutamisel (I-A)

a. Kõiki käideldavaid andmeid vahetatakse pilvteenuse andja ja organisatsiooni vahel krüpteeritult.

b. Andmete krüpteerimiseks nende salvestus- või töötluskohas on kokku lepitud, kas andmed krüpteerib pilvteenust kasutav organisatsioon (enne nende edastamist pilvteenuse andjale) või krüpteeritakse edastatavad andmed pilvteenuse andja IT-süsteemides.

c. Kui andmed krüpteerib pilvteenuse andja, määratakse lubatud krüpteerimismehhanismid, võtme pikkused ja turvalise võtmehalduse nõuded pilvteenuselepingus.

d. Kui andmeid krüpteerib organisatsioon, kooskõlastatakse see eelnevalt teenuseandjaga. Meetme rakendamisel järgitakse ka moodulit CON.1 Krüptokontseptsioon.

OPS.2.2.M18 Liidendusteenuste korrakohane kasutamine [vastutav spetsialist] (C-I-A)

a. Kui pilvteenuste jaoks kasutatakse liidendusteenuseid (ingl Federation Service), edastatakse kesksest kataloogiteenusest saadud identsustõendiga (nt SAML-pilet (SAML- Security Assertion Markup Language)) pilvteenuse andjale üksnes vajalikku teavet.

b. Kasutajate õigusi kontrollitakse regulaarselt ja identsustõendi saavad ainult volitatud kasutajad.

OPS.2.2.M19 Pilvteenuse andja töötajate taustakontroll [personaliosakond] (C-I-A)

a. Pilvteenuse andjaga on lepitud kokku personali kvalifikatsiooni ja usaldusväärsuse kontrollimise nõuetes ja kriteeriumides.

b. Pilvteenuse andja tõendab kliendile oma töötajate usaldatavust ja vastavust kliendi kriteeriumidele.

4 Lisateave

152

Lühend Publikatsioon

[CSA] Cloud Security Alliance, „Security Guidance for Critical Areas of Focus in Cloud

Computing“

[NIST] NIST Special Publication 800-144 „Guidelines on Security and Privacy in Public Cloud Computing“

OPS.2.3 Väljasttellimine

1 Kirjeldus

1.1 Eesmärk Esitada meetmed väljasttellimise (ingl outsourcing) turvaeesmärkide saavutamiseks ja infoturbe parendamiseks kogu allhanke elutsükli kestel.

1.2 Vastutus Väljasttellimise meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Hankeosakond, vastutav spetsialist, organisatsiooni juhtkond, avariiülem, personaliosakond, haldusosakond.

1.3 Piirangud Moodulis käsitletakse väljasttellimise turvariske allhanke tellija seisukohast. Teenuseandja vaade on esitatud moodulis OPS.3.2 Teenuseandja infoturve.

Väljasttellimisena käsitletakse antud moodulis IT allhankeid. Hanked, mis käsitlevad infotehnoloogiat ainult osaliselt, vajavad täiendavat turvaanalüüsi.

Moodul ei käsitle teenuseandjaga suhtlemise andmevahetuskanalite turvet. Pilvteenuseid käsitletakse moodulis OPS.2.2 Pilvteenuste kasutamine. Nõudeid teenuseandja töötajatele ning füüsilisele turbele käsitletakse mooduligruppides ORP. Organisatsioon ja personal ja INF.Taristu.

2 Ohud

2.1 Väljasttellimise strateegia puudumine Kui väljasttellimise kavandamisel ei esitata teenuseandjale infoturbe nõudeid ega kirjeldata hanke objektiga seotud turbevajadusi kogu objekti elutsükli jooksul, võib infoturbe tegelik olukord teenuseandja juures osutuda tellija äriprotsesside jaoks ebapiisavaks. Eksisteerib oht, et tellija äriprotsessid võivad saada kahjustada ning tundlik teave võib lekkida.

2.2 Ärikriitiliste protsesside kontrolli puudulikkus Kui osa vajalikest teadmistest ja oskustest läheb üle teenuseandjale, kaotab organisatsioon täieliku kontrolli oma võtmetähtsusega äriprotsesside üle. Protsesse pole võimalik piisavalt

153

kiiresti ja adekvaatselt juhtida. Äriprotsessi katkemisel võivad tekkida probleemid äriprotsessi õigeaegse ja nõutaval kujul taastamisega.

2.3 Sõltuvus teenuseandjast Otsus kasutada väljasttellimist võib viia organisatsiooni teenuseandjast täielikku sõltuvusse, põhjustades oskusteabe kaotust ja äriprotsessi üle kontrolli kadumist. Rakendatavad turvameetmed ei pruugi olla vastavuses tegeliku kaitsetarbega. Klient ei pruugi puudujääke teenuseandja infoturbes ise märgata. Teenuseandja võib tekkinud olukorda oma huvides ära kasutada (nt tõsta märkimisväärselt teenuse hinda).

2.4 Teenuseandja ebapiisav infoturbe tase Kui väljasttellimisel ei esitata teenuseandjale infoturbe nõudeid, võib teenuseandja IT- süsteemid või teenus ise sisaldada turvanõrkusi, mida ründajal on võimalik organisatsiooni IT-süsteemide ründamiseks ära kasutada. Teenuseandja süül tekkinud intsidendil võivad olla organisatsiooni jaoks otsesed rahalised tagajärjed, samuti tekib mainekahju.

2.5 Ebapiisav kontroll hangitava teenuse üle Kui sisseostetavaid teenuseid või protsesse juhitakse ebapiisavalt, väheneb protsesside läbipaistvus ja hallatavus. Teenuse tellijal puudub kontroll teenuseandja protsesside ja tegevuste üle. Organisatsioon ei saa tagada, et allhanke protsessis teenuseandja rakendab vajalikku hoolsust, et tagada teenuse kvaliteet ja nõutav turvatase.

2.6 Teenust reguleerivate lepete puudulikkus Teenuseandjaga sõlmitud lepped ei pruugi sisaldada kõiki teenuseandja kohustusi ja kõiki rakendamisele kuuluvaid turvameetmeid. Turvanõuete dokumenteerimata jätmine võib takistada hilisemaid nõudeid teenuseandjale. Näiteks, kui leping seda ei reguleeri, ei pruugi teenuseandja kinni pidada kliendi teavitamiskohustusest. Rakendamata turvameetmed võivad kaasa tuua ka õigusaktide nõuete eiramise. Puudulikud turvameetmed teenuseandjaga sõlmitud lepingus on risk äriprotsessi käideldavusele ja andmete konfidentsiaalsusele.

2.7 Pääsuõiguste halduse puudulikkus Sõltuvalt hanke objektist võivad teenuseandja töötajad vajada pääsuõigusi organisatsiooni IT- süsteemidele, andmetele või ruumidele. Kui pääsuõiguste andmine, haldamine ja kontrollimine on teenuseandja poolelt halvasti korraldatud, võivad ohtu sattuda klientide andmed. Teenuseandja töötajatele kontrollimatult pääsuõiguste andmine soodustab antud õiguste ärakasutamist teabe kopeerimise või manipuleerimise eesmärgil.

2.8 Teenuseandja allhangete kontrollimatus Teenuseandja võib omakorda teenuse pakkumiseks vajalikke ressursse hankida oma allhankijatelt. Kogu protsess muutub täiendavate osapoolte lisandumise tõttu seeläbi keerumaks ja vähem läbipaistvamaks. Kontroll teenuseandja üle väheneb. Täiendavalt lisandunud partnerettevõtete töötajad ei pruugi teada ega järgida algselt kokkulepitud turvanõudeid.

2.9 Sooritusindikaatorite (KPI) puudumine Organisatsioon peab saama kontrollida, kas väljasttellitav teenus on teenuseandja poolt nõuetekohaselt ellu viidud ja hallatud. Kui teenustaseme mõõtmiseks puuduvad kvalitatiivsed või kvantitatiivsed sooritusindikaatorid (ingl key performance indicator, KPI) või ei ole teenustaset võimalik adekvaatselt mõõta, võib teenuse kvaliteet aja jooksul langeda. Samuti ei ole võimalik kontrollida ja aru saada, kas teenuseandja täidab kokkulepitud turvanõudeid.

154

2.10 Puudulikud sätted väljasttellimise lõpetamiseks Kui teenuslepped ei sätestata täpseid teenuse lõpetamise tingimusi, võib juhtuda, et teenuse klient ei saa lepingut ilma märkimisväärsete kuludeta lõpetada. Teenuseandja poolt soovitud liiga lühike lepingu ülesütlemise tähtaeg võib sundida klienti kiiresti otsustama uue ning sobimatu teenuseandja kasuks. Samuti võivad teenuse lõpetamisega kaasneda erinevad turvaprobleemid. Puudulik andmete (sh varundatud andmete) kustutamise kord võib põhjustada konfidentsiaalsete andmete lekke.

2.11 Väljastellitavate teenuste puudulik avariihaldus Avariiolukorra tekkides või kriisi puhkedes võivad väljasttellitud teenused katkeda. Tavaolukorras hästi toimivate protsesside taastamine ei pruugi avariiolukorras õnnestuda. Häiringuid ja avariiolukorrad on tavaliselt ootamatud ja neid pole võimalik lõpuni kontrollida. Kaasnev teenusekatkestus toob kaasa vahetuid negatiivseid ärilisi tagajärgi. Kannatajateks osutuvad kõik seotud ettevõtted, nii need, kellelt teenust ostetakse ja kellele ise teenuseid pakutakse. Selline kaskaadina kasvav efekt omab allhangete kontekstis märkimisväärset mõju.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.2.3.M1 Turvanõuded väljasttellitavale teenusele

OPS.2.3.M2 Riskipõhine lähenemine hangete korraldamisel

OPS.2.3.M8 Väljasttellimise strateegia koostamine

OPS.2.3.M9 Hankepoliitika kehtestamine

Evitus

OPS.2.3.M3 Teenuseandja valimise kriteeriumid

OPS.2.3.M4 Teenuselepingu vastavus kliendi nõuetele

OPS.2.3.M5 Teenuseandja simultaanteeninduse võimekuse hindamine

OPS.2.3.M6 Väljasttellitava teenuse turbe põhimõtted

OPS.2.3.M10 Vastutavate kontaktisikute määramine

OPS.2.3.M13 Huvide konflikti vältimine teenuselepingu sõlmimisel

OPS.2.3.M14 Laiendatud nõuded teenuselepingule

Käitus

OPS.2.3.M7 Välisteenuselepingu korrakohane lõpetamine

OPS.2.3.M11 Väljasttellitud teenuste register

OPS.2.3.M12 Väljasttellitud teenuste aruandlus

OPS.2.3.M15 Teenuseandja ja kliendi turvaline võrguühendus

OPS.2.3.M16 Teenuseandja infoturbe läbivaatus

OPS.2.3.M17 Teenuseandja personali kasutamise kord

OPS.2.3.M18 Teenuseandjaga sõlmitud lepete läbivaatus

155

OPS.2.3.M19 Alternatiivsete teenuseandjate kaardistamine

Avariivalmendus

OPS.2.3.M20 Avariivalmendus väljasttellimisel

Lisanduvad kõrgmeetmed

OPS.2.3.M21 Tarkvara lähtekoodi hoiustuslepingute sõlmimine

OPS.2.3.M22 Ühiste avariiõppuste läbiviimine

OPS.2.3.M23 Tundlike andmete krüpteerimine

OPS.2.3.M24 Teenuseandja töötajate taustakontroll

OPS.2.3.M25 Teenuseandja andmete aedikkäitus

3.2 Põhimeetmed

OPS.2.3.M1 Turvanõuded väljasttellitavale teenusele [vastutav spetsialist]

a. Kõikidele väljasttellitavatele teenustele on kehtestatud kaitsetarbe määramisele ja/või ärimõjude hindamisele (ingl business impact assessment, BIA) põhinevad turvanõuded.

b. Teenuse turvanõuete määramisel on arvestatud, mis andmeid töödeldakse ning milline peab olema andmevahetusprotseduuride ja -liideste turve.

c. Väljasttellitava teenuse turvanõuete määramisel on arvestatud äriprotsesside vahelist sõltuvust ning protsesside sisendeid ja väljundeid.

OPS.2.3.M2 Riskipõhine lähenemine hangete korraldamisel

a. Teenuse väljasttellimise võimalikkus otsustatakse riskipõhiselt, eelnevalt määratud kaitsetarbe ja riskiprofiili alusel.

b. Väljasttellitava teenuse jätkuvat vastavust lubatud riskiprofiilile kontrollitakse regulaarselt.

OPS.2.3.M3 Teenuseandja valimise kriteeriumid [vastutav spetsialist, hankeosakond]

a. Teenuseandja valimiseks on koostatud turvanõudeid sisaldav nõuete profiil.

b. On kehtestatud järgmised teenuseandja valimise ja hindamise kriteeriumid:

 teenuse sobivus ja läbipaistvus;

 teenuse vastavus kliendi turvanõuetele;

 teenuseandja maine ja soovitused;

 teenuseandja ärikultuur (välismaise teenuseandja korral);

 teenuseandja personali kvalifikatsioon.

c. Teenuseandja valimisel hinnatakse võimalike huvide konfliktide olemasolu.

d. Teenuseandja jätkuvat vastavust teenuseandja valimise kriteeriumitele kontrollitakse regulaarselt.

OPS.2.3.M4 Teenuselepingu vastavus kliendi nõuetele

a. Kõik väljasttellitava teenuse aspektid lepitakse teenuseandjaga kirjalikult kokku teenuselepingus. Teenuselepingute tarbeks on loodud ühtne lepinguvorm.

156

b. Teenuselepingus määratletud lepingupartnerite infoturbealased õigused ja kohustused lähtuvad eelnevalt kaardistatud riskidest (vt OPS.2.3.M1 Turvanõuded väljasttellitavale teenusele).

c. Teenuseleping sätestab väljasttellitava teenuse haldusega seotud üksikasjad, näiteks taristu kasutustingimused, alltöövõtu lubamine või mittelubamine, töötajatele püstitatud nõuded, isikuandmete kaitse, huvide konflikti vältimine ning tõrgete ja intsidentide käsitlus.

d. Teenuseandja tagab nõuete täitmise kontrollimiseks vajalikud teabe saamise ja juurdepääsu õigused ning vajadusel ka auditeerimisvõimalused.

e. Vajadusel sõlmitakse tundlike andmete kaitseks teenuseandjaga konfidentsiaalsuslepe (ingl non-disclosure agreement, NDA).

OPS.2.3.M5 Teenuseandja simultaanteeninduse võimekuse hindamine

a. Teenuseandja tagab erinevatele klientidele sarnaste teenuste pakkumisel kliendi andmete turvalise eraldatuse ning esitab sellekohase kinnituse.

b. Kliendi nõudel esitab teenuseandja tehnilise kirjelduse, kuidas kliendi andmeid kaitstakse ning kuidas need on eraldatud avalikest ja teiste klientide andmetest.

OPS.2.3.M6 Väljasttellitava teenuse turbe põhimõtted

a. Teenuseandja on rakendanud infoturbe halduse süsteemi (ingl information security management system, ISMS) vähemalt väljasttellitava teenuse ulatuses.

b. Organisatsioon on määratlenud ja teenuseandjaga kokku leppinud E-ITS moodulid ja infoturbe meetmed, mida teenuseandja on kohustatud rakendama.

c. Teenuseandja on teenuse käsitlusala ulatuses tõendatavalt rakendanud E-ITS infoturbe meetmed kõigist asjakohastest E-ITS moodulitest. Valitud turbeviis vastab tellija poolt esitatud kaitsetarbe määrangutele. Alternatiivlahendusena võib teenuseandja rakendada infoturbestandardit ISO 27001.

d. Infoturbe meetmete rakendatust tõendab teenuseandja välise audiitori poolt väljastatud E- ITS auditi järeldusotsusega või ISO27001 sertifikaadiga. Auditi järeldusotsuses või sertifikaadil esitatud auditi käsitlusala hõlmab kõiki väljasttellitava teenusega seotud äriprotsesse ja tugiteenuseid.

e. E-ITS auditi järeldusotsuse või ISO27001 sertifikaadi puudumisel veendub organisatsioon (kui teenuse tarbija) selles, et tema poolt esitatud ning rakendamisele kuuluvad infoturbe meetmed on teenuseandja poolt rakendatud.

f. Organisatsioonil on lepingujärgne õigus teenuseandja juures läbi viia infoturbe läbivaatusi ja auditeid või tellida nende läbiviimine sõltumatult kolmandalt poolelt.

OPS.2.3.M7 Välisteenuselepingu korrakohane lõpetamine [vastutav spetsialist, hankeosakond]

a. Teenuselepingus lepitakse kokku lepingu korralise lõpetamise tingimused (nt etteteatamise tähtaeg). Tingimustekohane teenuse lõpetamine ei mõjuta kliendi tööprotsesside jätkuvust.

b. Teenuselepingus lepitakse kokku lepingu erakorralise lõpetamise tingimused.

c. Teenuseleping määrab poolte õigused ja kohustused lepingu lõppemisel, sealhulgas teenuseandja kohustuse tema valduses olevad kliendi andmed turvaliselt üle anda või kustutada.

157

d. On kokku lepitud, kuidas toimub andmete, tarkvara ja riistvara tagastamine. Tagastamisel järgitakse seadusandlusest tulenevaid nõudeid.

e. On kokku lepitud, kuidas toimub teenuseandjaga lepingulise suhte lõppemisel kasutajakontode sulgemine ja pääsuõiguste eemaldamine.

3.3 Standardmeetmed

OPS.2.3.M8 Väljasttellimise strateegia koostamine [organisatsiooni juhtkond]

a. Organisatsioonis on kehtestatud majanduslikke, tehnilisi, korralduslikke ja õiguslikke raamtingimusi ning infoturbe aspekte käsitlev väljasttellimise strateegia.

b. Väljasttellimise strateegias on kirjeldatud väljasttellimise eesmärgid, võimalused ja riskid.

c. Väljasttellitava teenuse kliendil on vajalikud võimed, pädevus ja ressursid teenuse infoturbenõuete määramiseks ja kontrollimiseks.

OPS.2.3.M9 Hankepoliitika kehtestamine [organisatsiooni juhtkond]

a. Väljasttellimise strateegiast (vt OPS.2.3.M8 Väljasttellimise strateegia) lähtudes on koostatud ja kinnitatud organisatsiooni hankepoliitika.

b. Hankepoliitika arvestab organisatsiooni infoturbe vajadusi ja sisaldab tüüpseid nõudeid teenuseandjaga sõlmitavatele lepingutele (vt OPS.2.3.M4. Teenuselepingu vastavus kliendi nõuetele).

c. Hankepoliitika sätestab, kuidas toimub väljasttellitava teenuse testimine ja kasutusevõtuks kinnitamine.

d. Hankepoliitikas on määratud, kas või mis tingimustel on teenusandjal lubatud kasutada oma teenuse tarnimisel alltöövõtjaid.

OPS.2.3.M10 Vastutavate kontaktisikute määramine [personaliosakond]

a. Iga väljastellitava teenuse jaoks on määratud organisatsioonisisesed ja -välised suhtluspartnerid, nende õigused ja edastatava teabe sisu.

b. Mõlemad pooled kontrollivad suhtluspartneri volituste olemasolu ja kehtivust. Suhtluspartnerite andmed on ajakohased ja dokumenteeritud.

OPS.2.3.M11 Väljasttellitud teenuste register

a. Väljasttellimise eest vastutaja koondab allhankeid käsitleva dokumentatsiooni väljasttellitud teenuste registrisse.

b. Väljasttellitud teenuste register sisaldab teavet teenuseandjate, peamiste sooritusindikaatorite (ingl key process indicator, KPI), protsesside ärikriitilisuse, sõlmitud lepete ning teenusemuudatuste kohta.

OPS.2.3.M12 Väljasttellitud teenuste aruandlus

a. Väljasttellimise eest vastutaja koostab juhtkonnale perioodiliselt aruandeid teenuse hetkeseisust ja võimalikest kitsaskohtadest.

b. Teenuste aruandlus sisaldab teavet toimunud infoturbe sündmuste ja intsidentide kohta.

158

OPS.2.3.M13 Huvide konflikti vältimine teenuselepingu sõlmimisel [organisatsiooni juhtkond]

a. Teenuselepingu tingimuste läbirääkimisel osalevad organisatsiooni erinevate valdkondade esindajad.

b. Teenuselepingu koostamisel on välditud võimalikku äripoole ja infoturbe huvide konflikti.

OPS.2.3.M14 Laiendatud nõuded teenuselepingule

a. Teenuselepingus on määratud, millistele objektidele ja võrguteenustele tohib teenuseandja kliendi võrgus juurde pääseda.

b. Teenuse peamised sooritusindikaatorid (KPI) on dokumenteeritud teenuselepingu osana. Kui teenus ei vasta kokkulepitud sooritusindikaatoritele, on võimalik teenuseandjale kehtestada sanktsioone (nt leppetrahv).

c. Teenuseleping sisaldab erinevaid võimalusi väljastellitava teenuse lõpetamiseks ning seonduvaid protseduure kliendi andmete ja varade tagastamiseks.

d. Teenuseleping sisaldab osapoolte kohustusi ja käitumisjuhiseid avariiolukorras tegutsemiseks.

OPS.2.3.M15 Teenuseandja ja kliendi turvaline võrguühendus

a. Enne teenuseandja kliendi võrku lubamist on kokku lepitud ja dokumenteeritud:

 ühenduse kasutamise korralduslikud ja tehnilised tingimused;

 ühenduse kaitsetarve ja turvameetmed;

 poolte konfidentsiaalsuskohustused;

 eritingimused välismaise teenuseandja puhul.

b. Teenuseandja ja klient on määranud võrguühendusega seotud organisatoorsete ja tehniliste küsimuste lahendamiseks kontaktisikud.

c. Teenuseandja ja klient on leppinud kokku võrguühenduse intsidentidest teavitusteed ning intsidentide käsitlemise korra.

OPS.2.3.M16 Teenuseandja infoturbe läbivaatus

a. Teenuselepingus määratletud turvanõuete rakendamist teenuseandja juures kontrollitakse regulaarselt.

b. Teenuseandja infoturbe läbivaatuste tulemused dokumenteeritakse.

OPS.2.3.M17 Teenuseandja personali kasutamise kord

a. Enne teenusega alustamist selgitatakse teenuseandja töötajatele kliendi juures kehtivaid nõudeid. Teenuseandja töötajad kinnitavad allkirjaga oma kohustust kliendi juures kehtivaid nõudeid järgida.

b. Teenuseandja ja kliendi vahel on kokku lepitud teenuseandja töötajate asendamise ja nendega töösuhte lõpetamise protseduurid.

c. Kliendi territooriumil lühiajaliselt või ühekordselt viibivat välispersonali käsitletakse sarnaselt külastajaga.

159

OPS.2.3.M18 Teenuseandjaga sõlmitud lepete läbivaatus

a. Teenuseandjaga sõlmitud lepetes sisalduvate turvameetmete asja- ja -ajakohasust hinnatakse regulaarselt. Ebapiisavate turvameetmete ilmnedes täiendatakse teenuseandjaga sõlmitud leppeid.

b. Teenuseandjaga sõlmitud lepped vaadatakse üle ja vajadusel täiendatakse pärast infoturbe intsidenti, riskimaastiku olulise muutumise ja seadusandluses tehtavate muudatuste puhul.

OPS.2.3.M19 Alternatiivsete teenuseandjate kaardistamine

a. Väljastellitava teenuse korralise või erakorralise lõpetamise puhuks on koostatud tegevuskavad teenuse migreerimiseks alternatiivsele teenuseandjale.

b. On kaardistatud potentsiaalsed teenuseandjad, kellel on teenuse üleandmiseks sobiv ettevõtte profiil ja piisav infoturbe tase.

OPS.2.3.M20 Avariivalmendus väljasttellimisel [avariiülem]

a. Väljasttellitava teenuse jaoks töötatakse välja avariivalmenduse plaan, mis hõlmab teenusepoolte IT-komponentide, liidestuste ja sidekanalite taastet.

b. Väljasttellitava teenuse avariivalmenduse plaanis dokumenteeritakse teenusepoolte vastutus, kontaktisikud ja protseduurid.

c. Organisatsioon kontrollib teenuseandja avariimeetmete rakendamist, selleks korraldavad teenusepooled ühiseid intsidendikäsitluse õppuseid.

3.4 Kõrgmeetmed

OPS.2.3.M21 Tarkvara lähtekoodi hoiustuslepingute sõlmimine (I-A)

a. Teenuseandjalt tarkvara tellimisel on kaalutud tarkvara lähtekoodi (ingl source code) jm olulise materjali usaldatavale hoiule andmise (ingl escrow) vajadust.

b. Hoiustusleping reguleerib vähemalt järgnevat:

 tarkvara kasutus- ja muutmisõigused;

 lähtekoodi avaldamise juhud;

 lähtekoodi asjakohane säilitus ja turve;

 lähtekoodi deponeerimise kord ja sagedus.

OPS.2.3.M22 Ühiste avariiõppuste läbiviimine [avariiülem] (A)

a. Organisatsioon viib koos teenuseandjatega läbi ühiseid avariiõppuseid.

b. Avariihalduse õppuse tulemite analüüsi kasutatakse avariihalduse kontseptsiooni ja pooltevahelise koostöö parendamiseks.

c. Teenuseandjatega ühiselt läbiviidavaid avariiõppuseid korraldatakse regulaarselt.

OPS.2.3.M23 Tundlike andmete krüpteerimine (C)

a. Teenuseandja ja kliendi vahelises andmevahetuses edastatakse tundlikud andmed krüpteeritult.

b. Andmekandjale salvestatud andmeid kaitstakse volitamata juurdepääsu eest andmete või andmekandja krüpteerimisega.

160

c. Võimalusel kasutatakse riiklikult heaks kiidetud ning sertifitseeritud krüpteerimistarkvara.

OPS.2.3.M24 Teenuseandja töötajate taustakontroll [personaliosakond] (C-I-A)

a. Teenuselepingus kehtestavad teenusepooled teenuseandja töötajate turvakontrolli läbiviimise kriteeriumid.

b. Teenusepooled lepivad kokku, milliseid turvakontrolle tehakse ja kumb pool taustakontrolli läbi viib.

OPS.2.3.M25 Teenuseandja andmete aedikkäitus (C-I-A)

a. Teenuseandjalt sissetulevatele andmetele rakendatakse aedikkäitust (ingl sandboxing).

b. Saabuvate e-kirjade manused avatakse kõigepealt aedikus (ingl sandbox).

c. Tarkvara väljatöötava teenuseandja rakendusi ja uuendeid (ingl update) testitakse esmalt aedikus.

OPS.3: Teenuseandja käidutööd

OPS.3.2 Teenuseandja infoturve

1 Kirjeldus

1.1 Eesmärk Esitada meetmed teenuseandja infoturbe kavandamiseks, rakendamiseks, juhtimiseks ja kontrollimiseks ning nõutava turbetaseme hoidmiseks teenuseandja vaatest. Teenuse pakkumisega seotud riskid ei tohi ohustada teenuse kasutajaid. Üldine vastutus teenuse turbe eest jääb teenuse kasutajale.

1.2 Vastutus Teenuseandja infoturbe meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Avariiülem, personaliosakond.

1.3 Piirangud Teenustena käsitletakse antud moodulis IT-teenuseid.

Moodul sisaldab teenuseandjale kohalduvaid turvameetmeid. Teenusesaaja vaadet käsitletakse moodulis OPS.2.3 Väljasttellimine. Seda tuleb silmas pidada ka juhul, kui teenuseandja ise kasutab väljasttellimist.

Moodulis ei käsitleta teenuseandja ja väljasttellitava teenuse kliendi vaheliste sidekanalite turvet.

161

2 Ohud

2.1 Teenuseandja puudulik infoturbe haldus Puudulikult kehtestatud või nõuetele mittevastav teenuseandja infoturbe haldus väljendub infoturbe valdkonna eest vastutuse puudumises, puudulikus juhtkonnapoolses toetuses ja turbeprotsessi läbipaistmatuses. Puuduliku infoturbe halduse korral ei suuda teenuseandja teenust kasutava organisatsiooni infoturbe nõudeid täita. Teenuseandja infoturbealane suutmatus kujutab ohtu kõigile teenust kasutavatele organisatsioonidele.

2.2 Teenuseandja puudulik avariihaldus Teenuseandja IT-süsteemides toimuvad häired ja katkestused võivad mõjutada teenuse kasutajate protsesside tavapärast toimimist. Kui teenuseandja pole avariiolukordadeks piisavalt valmistunud, võib teenuste taastamine võtta kauem aega ja klientide äriprotsessid olla häiritud suuremal määral, kui teenuselepingutes kokku lepitud.

2.3 Puudulikud teenuselepingud teenuse saajatega Kui kaitsetarve ja sellel põhinevad andmete ja süsteemide turvanõuded ei ole kliendi ja teenuseandja vahel kokku lepitud, võivad kliendi andmed jääda vajaliku kaitseta. Kui turvanõuded pole teenuselepetes määratletud, puudub osapooltel alus turvarikete puhul teisele poolele rahaliste nõuete esitamiseks.

2.4 Teenuseandja IT-süsteemidega liidestuse nõrkused Kui väljasttellitava teenuse kliendi ja teenuseandja vaheline IT-liidestus ei ole piisavalt kaitstud, võivad tekkida teenusekatkestused ja esineda andmekadu. Ründaja võib kaitseta või halvasti kaitstud andmeliideseid kasutada ründe algatamiseks. Samuti pole välistatud kõrvaliste isikute volitamata juurdepääs andmetele. Kui osapooled ei ole kokku leppinud avariiprotseduurides, võib see mõjutada avariiolukordade lahendamise tõhusust.

2.5 Teenuse saaja sõltuvus teenuseandjast Väljasttellimine võib teenuse saaja viia teenuseandjast täielikku sõltuvusse, põhjustades oskusteabe kaotust ja äriprotsessi üle kontrolli kadumist. Teenuseandja saab tekkinud olukorda oma huvides ära kasutada. Teenuse kvaliteet võib langeda, teenuseandja rakendatavad turvameetmed ei pruugi olla enam vastavuses teenuselepingus kokku lepitud turvnõuete ja teenuse saaja tegeliku kaitsetarbega. See mõjutab pooltevahelisi suhteid ja kaasa tuua mainekahju ning lepingu rikkumisest tulenevaid rahalisi tagajärgi.

2.6 Pääsuõiguste puudulik haldamine Kui pääsuõiguste andmine, haldamine ja kontrollimine on teenuseandja juures halvasti korraldatud, võib kliendi töötajatele õiguste andmine ajaliselt venida või tehakse õiguste andmisel vigu.

Kui teenuseandja IT-talitus annab klientidele liigseid õiguseid, võidakse seetõttu saada juurdepääs ka teiste klientide andmetele. Andmete konfidentsiaalsuse ja tervikluse rikkumine võib teenuseandjale tähendada nõudeid lepingu rikkumisega kaasnevate kahjude korvamiseks.

2.7 Simultaanteeninduse võime puudumine teenuseandjal Kui erinevate klientide IT-süsteemid ja andmed ei ole üksteisest piisavalt turvaliselt lahutatud, kaasneb oht, et üks klient pääseb juurde teise kliendi andmetele. Samuti peab teenuseandja otsustama, millise kliendi huvisid ta eelisjärjekorras kaitseb. Kui

162

asjassepuutuvad kliendid on omavahel konkurendid, võib see tuua kaasa teenuseandja jaoks väga ebamugavaid olukordi.

2.8 Teenuseandja sõltuvus allhankijatest Kui teenuseandja kasutab väljasttellimist, võib teenuseandjal tekkida sõltuvus oma partnerite poolt pakutavate teenuste toimimisest. Teenuseandja ei oma äriprotsesside üle täielikku kontrolli, häired allhangete toimimises mõjutavad negatiivselt ka väljapoole pakutavate teenuste kvaliteeti. Teenuseandjal võib tekkida lepingu mittetäitmisest tulenev finants- ja mainekahju.

2.9 Teenuselepingu lõpetamise puudulik kord Kui teenuselepingu lõpetamise kord on puudulik, võivad tekkida probleemid andmete kliendile üleandmisega. Näiteks erakorralisel lepingu lõpetamisel võivad andmed jääda kliendile terviklikult ja nõuetekohaselt üleandmata. Kui andmed jäävad teenusandja juures kustutamata, pole tagatud andmete turvaline säilitamine ning andmed võivad sattuda volitamata isikute kätte. Andmete pikaajalisel hoidmisel tekib oht rikkuda seadusest tulenevaid andmete säilitustähtaegu.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.3.2.M1 Teenuste turbe kavandamine

OPS.3.2.M2 Teenuselepingu tüüptingimused

OPS.3.2.M3 Turvanõuded allhankijate kasutamisel

OPS.3.2.M8 Teenuse osutamise põhimõtted

Evitus

OPS.3.2.M5 Teenuste turvakontseptsioon

OPS.3.2.M7 Allhankijate asendamise kord

OPS.3.2.M10 Turvaliste suhtluskanalite loomine ja kontaktisikute määramine

OPS.3.2.M13 Turvalised andmesidekanalid

OPS.3.2.M18 Allhankija töötajate teadlikkuse tõstmine

Käitus

OPS.3.2.M4 Klientide andmete eraldamise põhimõtted

OPS.3.2.M6 Teenuselepingu korralise ning erakorralise lõpetamise kord

OPS.3.2.M9 Teenuselepingute perioodiline läbivaatus

OPS.3.2.M12 Teenuseandja protsesside ja IT-süsteemide riskianalüüs

OPS.3.2.M14 Teenuseandja protsesside ja IT-süsteemide seire

OPS.3.2.M15 Klientidele esitatavad aruanded

OPS.3.2.M16 Teenuse tarneahela läbipaistvuse tagamine

OPS.3.2.M17 Pääsu reguleerimine

163

Avariivalmendus

OPS.3.2.M11 Teenuste avariivalmenduse plaan

Lisanduvad kõrgmeetmed

OPS.3.2.M19 Teenuseandja töötajate taustakontroll

OPS.3.2.M20 Andmesidekanalite ja salvestatud andmete krüpteerimine

OPS.3.2.M21 Ühised avarii- ja kriisiõppused

3.2 Põhimeetmed

OPS.3.2.M1 Teenuste turbe kavandamine

a. Teenuseandja on teenuste kavandamisel arvestanud teenuse saajate infoturbe vajadusi.

b. Teenuseandja on võimeline klientidele tagama nende poolt soovitud minimaalselt lubatava infoturbe taseme.

c. Teenus on vastavuse seadusandlusest tulenevate (sh andmekaitse) nõuetega.

OPS.3.2.M2 Teenuselepingu tüüptingimused

a. Teenuseandja on välja töötanud teenuselepingu tüüptingimused.

b. Teenuselepingu tüüptingimused sisaldavad vähemalt järgmist:

 teenuse kasutamise üldised turvanõuded;

 tundlike andmete kaitse põhimõtted ja vajadusel vastava lepingu (ingl non-disclosure agreement, NDA) sõlmimine;

 teenuseandja õigused ja piirangud alltöövõtu (nt kolmandate poolte pilvteenused) kasutamiseks;

 kliendi õigus läbi viia teenuseandja infoturbe nõuete täitmise kontrollimiseks infoturbe ülevaatusi või auditeid;

 teabevahetuse kord;

 teenusetasemete kirjeldused.

c. Teenuseandja on välja töötanud tüüptingimusi sisaldavad teenuselepingu vormid.

d. Teenuselepingu tüüptingimusi rakendatakse kõigis klientidega sõlmitud teenuselepingutes.

OPS.3.2.M3 Turvanõuded allhankijate kasutamisel

a. Väljasttellimise kasutamisel teenuseandja poolt on tagatud kliendiga sõlmitud teenuselepingus sätestatud tingimuste täitmine ja nõutava turvataseme säilitamine.

b. Kliendile osutatava teenuse toimimiseks vajalike tööde üleandmisel allhankijale sõlmitakse teenuseandja ja allhankija vahel leping, milles kirjeldatakse üleantavad tööülesanded ja seonduvad turvanõuded.

c. Kliendil on õigus tutvuda teenuseandja ja tema allhankijate vaheliste lepetega kliendile osutatava teenuse osas.

164

OPS.3.2.M4 Klientide andmete eraldamise põhimõtted

a. Teenuseandja on välja töötanud ja dokumenteerinud vahendid ja protseduurid, millega teenuseandja IT-süsteemides on erinevate klientide andmed ja käitluskeskkonnad üksteisest piisavalt turvaliselt eraldatud.

b. Teenuseandja on rakendanud kaitsetarbele vastavad meetmed klientide andmete eraldamiseks IT-süsteemides.

c. Kliendil on soovi korral võimalik tutvuda, milliste vahendite ja protseduuridega tagatakse andmete eraldatus teiste klientide andmetest.

OPS.3.2.M5 Teenuste turvakontseptsioon

a. Teenuseandja on koostanud kõiki klientidele pakutavaid teenuseid hõlmava turvakontseptsiooni.

b. Turvakontseptsioon sisaldab kõiki üldiseid turvameetmeid ja üksikutele teenustele kohaldatavaid täiendavaid turvameetmeid.

c. Enne teenuselepingu sõlmimist kooskõlastatakse teenuse turvakontseptsioon kliendiga. Klient võib vajadusel teha temale osutatava teenuse osas muudatusettepanekuid.

d. Kliendiga kooskõlastatud teenuse turvakontseptsioon ja teabe klassifitseerimise reeglid on osa kliendiga sõlmitavast teenuselepingust.

e. Teenuseandja kontrollib teenuste turvakontseptsiooni elluviimist ja meetmete rakendamist regulaarselt.

OPS.3.2.M6 Teenuselepingu korralise ning erakorralise lõpetamise kord

a. Teenuselepingus on kokku lepitud lepingu korralise lõpetamise tingimused.

b. Teenuselepingus on kokku lepitud lepingu erakorralise lõpetamise tingimused eesmärgil, et lepingu lõpetamine ei mõjutaks negatiivselt kliendi ega teenuseandja äriprotsesse.

c. Teenuselepingus on sätestatud teenuse andmisel kasutatud riist-ja tarkvara omandiõigus ja nende kasutamise jätkumise tingimused pärast lepingu lõpetamist.

d. Teenuselepingus on dokumenteeritud lepingu lõpetamisel üleantava teabe, andmete ja riistvara tagastamise protseduurid.

e. Kui ei ole teisiti kokku lepitud, kustutatakse teenuseandja juures edasi hoiustatavad kliendi andmed turvaliselt pärast seadusest tuleneva säilitustähtaja täitumist. Andmete kustutamise fakt dokumenteeritakse.

f. Lepingu lõppemisel vaadatakse üle teenuseandja ja kliendi töötajate pääsuõigused, mittevajalikud pääsuõigused eemaldatakse.

3.3 Standardmeetmed

OPS.3.2.M7 Allhankijate asendamise kord

a. Allhankijate teenuseid kasutav teenuseandja on koostanud alternatiivsete allhankijate loendi.

b. Allhankijaga sõlmitud lepingu korralisel või erakorralisel lõpetamisel on teenuseandjal võimalik ilma negatiivsete mõjutusteta ja olulise viivituseta tegevused üle anda teisele allhankijale või loobuda allhankija kasutamisest.

165

OPS.3.2.M8 Teenuse osutamise põhimõtted

a. Teenuseandja on dokumenteerinud põhimõtted teenuste loomiseks, testimiseks ja kasutusele võtuks.

b. Teenuseandja on määranud, kas teenuse osutamisel on lubatud kaasata väliseid partnereid (teenuseandja allhankijaid).

c. Teenuseandja on loonud protsessi teenusega seonduvate riskide (sh allhanke riskide) hindamiseks.

OPS.3.2.M9 Teenuselepingute perioodiline läbivaatus

a. Teenuselepingutes sätestatud turvameetmete täitmist ja turvameetmete jätkuvat asjakohasust kontrollitakse perioodiliselt ja/või sündmusepõhiselt. Ebapiisavate turvameetmetega kliendilepingud ajakohastatakse.

b. Teenuselepingutes sisalduvad turvanõuded vaadatakse täiendavalt üle teenusega seotud riskihinnangute ja seadusandlike aktide muutmisel. Vajadusel täiendatakse turvanõudeid.

OPS.3.2.M10 Turvaliste suhtluskanalite loomine ja kontaktisikute määramine

a. Teenuseandja loob andmevahetuseks klientidega turvalised suhtluskanalid.

b. Teenuseandja ja klient on kokku leppinud ja dokumenteerinud, millist teavet suhtluspartnerite vahel edastatakse ning kes on poolte kontaktisikud.

c. Määratud kontaktisikute volituste kehtivust kontrollitakse regulaarselt.

d. Teenuseandja ja klient on leppinud kokku andmekaitse intsidentide teavitusteedes, kontaktisikutes ning intsidentide lahendamise korras.

OPS.3.2.M11 Teenuste avariivalmenduse plaan [avariiülem]

a. On koostatud teenuste avariivalmenduse plaan, mis hõlmab mõlema teenusepoole asjakohaseid protsesse, komponente ja teenuseliideseid.

b. Avariivalmenduse plaan on kooskõlastatud teenuse kliendiga.

OPS.3.2.M12 Teenuseandja protsesside ja IT-süsteemide riskianalüüs

a. Enne uute rakenduste, IT-süsteemide või protsesside klientidele kättesaadavaks tegemist on teenuseandja läbi viinud riskianalüüsi ja määranud sobivad riskikäsitlusmeetmed.

b. Riskianalüüsi tulemid dokumenteeritakse ja neid kasutatakse infoturbe edasiseks täiustamiseks.

OPS.3.2.M13 Turvalised andmesidekanalid

a. Enne andmevahetuse alustamist lepitakse kokku ja dokumenteeritakse:

 kasutatavad rakendused;

 kasutatavad andmevormingud;

 andmete käideldavuskriteeriumid (siinhulgas päringutele reageerimise aeg);

 teabevahetuse turbe meetmed (vt CON.9 Teabevahetus);

 turvamehhanismid (viirusetõrje, krüpteerimine, signeerimine, võtmehaldus jms).

b. Enne andmevahetuse käivitamist kontrollitakse andmesidekanaleid võimalike turvanõrkuste avastamiseks ning veendutakse nõutava turvataseme saavutamises.

c. Andmevahetuse toimimist testitakse enne teenuse kasutamist testandmetega.

166

d. Teenuseandja ja klient on leppinud kokku turvaintsidentide teavitusteedes, kontaktisikutes ning intsidentide lahendamise korras.

OPS.3.2.M14Teenuseandja protsesside ja IT-süsteemide seire

a. Klientidele osutavate teenustega seotud protsesside ja IT-süsteemide toimimist seiratakse pidevalt.

OPS.3.2.M15 Klientidele esitatavad aruanded

a. Kliendiga on kokku lepitud tüüparuande formaat ja kasutatavad suhtluskanalid.

b. Teenuseandja esitab kliendile kindlaksmääratud ajavahemike järel aruande teenuse toimimisest.

c. Eelseisvatest muudatustest teenusega seotud protsessides teavitatakse kliente võimalikult varajases etapis.

OPS.3.2.M16 Teenuse tarneahela läbipaistvuse tagamine

a. Teenuseandja on dokumenteerinud allhankijate osalusega protsessid, peamised tulemusnäitajad, teenuse osutamisega seotud allhankijad ja nendega sõlmitud lepingud.

b. Teenuseandja kontrollib regulaarselt allhankijatega seotud dokumentatsiooni aja- ja asjakohasust. Allhankijatega sõlmitud lepingute muudatused dokumenteeritakse.

OPS.3.2.M17 Pääsu reguleerimine

a. Teenuseandja ja kliendi töötajate sissepääsu ruumidesse, süsteemidesse ja võrkudesse ning juurdepääsu andmetele ja tarkvarale reguleeritakse sobivate korralduslike ja tehniliste vahenditega.

b. Pääsuõigused on jagatud minimaalsuse põhimõttel vastavalt tööalastele vajadustele.

c. Audiitoritele tagatakse nende tööks vajalikud pääsuõigused.

OPS.3.2.M18 Allhankija töötajate teadlikkuse tõstmine

a. Allhankija töötajaid on juhendatud nende tööülesannete täitmise osas ning teavitatud kehtivatest infoturbe nõuetest ja infoturvet reguleerivatest dokumentidest.

b. Allhankija töötajad on kinnitanud, et kohustuvad järgima neile eelnevalt tutvumiseks esitatud eeskirju, protseduurireegleid, infoturbe nõudeid ja konfidentsiaalsuslepinguid.

c. Kõrgendatud turvanõuete puhul kontrollitakse allhankijate töötajate tausta ja vastavust teenuseandja või kliendi kehtestatud kvalifikatsiooninõuetele.

3.4 Kõrgmeetmed

OPS.3.2.M19 Teenuseandja töötajate taustakontroll [personaliosakond] (C-I-A)

a. Teenuseandja kontrollib enne töölepingu sõlmimist uute töötajate ja allhankija personali usaldusväärsust.

b. Teenusepooled lepivad kokku teenuseandja töötajate taustakontrolli läbiviimise kriteeriumid.

OPS.3.2.M20 Andmesidekanalite ja salvestatud andmete krüpteerimine (C)

a. Andmete turvaliseks edastamiseks ning nende hoidmiseks teenuseandja juures on kokku lepitud andmete kaitsetarbel põhinevad turvalised krüpteerimismehhanismid.

b. Krüpteerimismehhanismi toimimist kontrollitakse regulaarselt.

167

OPS.3.2.M21 Ühised avarii- ja kriisiõppused (A)

a. Teenuseandja viib teenuse klientidega koostöös regulaarselt läbi ühiseid avarii- ja kriisiõppuseid.

b. Ühisõppuste tulemusi kasutatakse teenuste avariivalmendusplaani (vt OPS.3.2.M11 Teenuste avariivalmenduse plaan) ja ühiste avariiprotseduuride täiustamiseks.

DER: Avastamine ja reageerimine

DER.1 Turvaintsidentide avastamine

1 Kirjeldus

1.1 Eesmärk Esitada meetmed turvasündmusega seonduvate andmete kogumiseks, seostamiseks ja hindamiseks, et tagada turvaintsidentide terviklik ja õigeaegne avastamine.

1.2 Vastutus Turvaintsidentide avastamise meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Kasutaja, vastutav spetsialist, töötaja, ülemus.

1.3 Piirangud Moodul ei käsitle kõiki turvaintsidentide avastamisega seotud aspekte. Kohustuste lahusust käsitletakse moodulis ORP.1 Infoturbe korraldus. Sündmuste logimise meetmed on esitatud moodulis OPS.1.1.5 Logimine. Turvaintsidentide andmekaitse aspekte käsitletakse moodulis CON.2 Isikuandmete kaitse. Sissetungitõrje süsteeme käsitletakse moodulites OPS.1.1.4 Kaitse kahjurvara eest ja NET.3.2 Tulemüür.

2 Ohud

2.1 Õigusaktide sätete eiramine Turvaintsidentide avastamiseks ja logiandmete analüüsiks kasutatavad tehnilised lahendused võivad koguda konfidentsiaalset teavet ja tundlikke isikuandmeid (nt töötajate tegevuste jälgimisel saadud teave). Selline isikuandmete töötlemine võib olla vastuolus isikuandmete kaitse üldmääruse ja isikuandmete kaitse seaduse sätetega.

2.2 Vastutajate puudulik kvalifikatsioon Kui vastutajad ei suuda puuduliku koolituse tõttu eristada turvasündmusi organisatsiooni igapäevases IT-töös sageli esinevatest tõrgetest ja vigadest, võivad turvaintsidendid jääda märkamata.

168

2.3 Sissetungituvastuse süsteemide puudulik seadistus Kui sissetungituvastuse süsteemid on valesti seadistatud, võib see tekitada rohkelt ebaolulisi hoiatusteateid. Turvaintsidendile viitavat teavitust ei suudeta neist eristada ja võimalik rünne võib jääda tuvastamata.

2.4 Teabe puudumine kaitstava IT-süsteemi kohta Kui kasutatava IT-süsteemi kohta pole piisavalt teavet, on tõenäoline, et IT-süsteemi olulisi komponente ei suudeta piisavalt kaitsta ning need jäävad avastussüsteemide poolt katmata. Arvutivõrku tunginud ründaja tegevus võib jääda pikaks ajaks märkamatuks.

2.5 Avastussüsteemide vähene kasutamine Kui avastussüsteeme ei kasutata ning IT-süsteemide ja rakenduste turvasündmuste avastusfunktsioone ei aktiveerita, on ründajal oluliselt lihtsam võrku sisse tungida. Oht on veelgi suurem, kui võrk on segmentimata ja võrkudevahelist liiklust ei monitoorita. Ründaja tegevus võrgus jääb märkamatuks.

2.6 Ebapiisav inimressurss Kui logiandmete ja ründevektorite analüüsimiseks ei jätku inimressurssi või kui töötajad ei jälgi väliseid teabeallikaid turvanõrkuste kohta, võivad turvasündmused jääda tuvastamata või avastatakse intsident alles pärast olulise kahju tekkimist. Kui turvanõrkused organisatsiooni IT-süsteemides jäävad õigeaegselt parandamata, on ründajal võimalik kasutada turvanõrkust organisatsioonivastase ründe sooritamiseks.

3 Meetmed

3.1 Elutsükkel

Kavandamine

DER.1.M1 Turvaintsidentide avastamise eeskiri

DER.1.M2 Logiandmete analüüsi õiguspärasus

DER.1.M3 Turvasündmustest teavitamise kord

DER.1.M4 Töötajate teadlikkuse tõstmine

DER.1.M7 Vastutajate koolitus

Käitus

DER.1.M5 IT-süsteemi avastusfunktsioonide rakendamine

DER.1.M6 Logiandmete pidev seire ja analüüs

DER.1.M9 Täiendavad avastussüsteemid

DER.1.M11 Keskne logimistaristu turvasündmuste analüüsiks

Parendamine

DER.1.M12 Välisallikate teabe analüüs

DER.1.M13 Regulaarne avastussüsteemide läbivaatus

Lisanduvad kõrgmeetmed

DER.1.M10 TLS- ja SSH-proksid

DER.1.M14 Logiandmete analüüsile spetsialiseerunud töötajad

169

DER.1.M15 Reaalajas toimuv sündmuseteadete keskhaldus

DER.1.M16 Avastussüsteemide rakendamine kaitsetarbe alusel

DER.1.M17 Automaatne reageerimine turvasündmustele

DER.1.M18 Regulaarne tervikluse kontroll

3.2 Põhimeetmed

DER.1.M1 Turvaintsidentide avastamise eeskiri

a. Organisatsiooni üldisest turvapoliitikast lähtudes on koostatud eeskiri, milles on kirjeldatud turvaintsidentide õigeaegseks avastamiseks vajalikud plaanimis- ja operatiivtegevused.

b. Turvaintsidentide avastamise eest vastutajad on eeskirjast teadlikud ja võtavad selle oma tegevuse aluseks. Eeskirja muudatused ja eeskirjast lahknevused kooskõlastatakse infoturbejuhiga ja dokumenteeritakse.

c. Turvaintsidentide avastamise eeskirja järgimist kontrollitakse regulaarselt, kontrolli tulemused dokumenteeritakse.

DER.1.M2 Logiandmete analüüsi õiguspärasus

a. Logiandmete analüüsiks on koostatud juhend, milles on esitatud kohaldatavad õigusaktide nõuded. Juhendit ajakohastatakse õiguslike raamtingimuste muutumisel.

b. Logiandmete analüüsimisel ja avastussüsteemide kasutamisel järgitakse andmekaitsealaste ja muude kohalduvate õigusaktide (nt töösuhete korraldamist reguleerivate seaduste) nõudeid.

DER.1.M3 Turvasündmustest teavitamise kord

a. Organisatsioonis on kehtestatud turvasündmustest teavitamise kord, kus dokumenteeritakse teavitusteed ja adressaadid eri liiki intsidentide puhuks, teavitatavad isikud, isikute kättesaadavus ja intsidendi kiireloomulisusest sõltuv sidekanali valik.

b. Töötajad on teadlikud oma ülesannetest ja kohustustest. Turvasündmuse kahtluse korral teavitatakse sellest koheselt turvasündmustest teavitamise korras määratud isikuid, kasutades korras esitatud teavitusteid ja sidekanaleid.

c. Kasutusele võetud teavitusteede toimimist testitakse regulaarselt, vajadusel turvasündmustest teavitamise kord ajakohastatakse.

DER.1.M4 Töötajate teadlikkuse tõstmine [ülemus, kasutaja, töötaja]

a. Töötajad on võimelised turvaintsidenti ära tundma ja on motiveeritud sellest teatama.

b. Töötajatele on selgitatud, et klientide või IT-süsteemide saadetud sündmuseteateid ei tohi jätta tähelepanuta ega teateid ignoreerida.

c. Töötajad teavad, kellele tuleb turvasündmuse info edastada ja milliseid teavitusteid seejuures kasutada (vt DER.2.1 Turvaintsidentide käsitlus).

DER.1.M5 IT-süsteemi avastusfunktsioonide rakendamine [vastutav spetsialist]

a. Kui kasutataval IT-süsteemil on funktsioonid, mida saab turvaintsidentide avastamiseks rakendada, on need aktiveeritud.

b. Turvasündmuse korral analüüsitakse mõjutatud IT-süsteemi sündmuseteateid, võimalusel hinnatakse ka muudes IT-süsteemidest samal ajal logitud sündmusi.

170

c. Sündmuseteadete kogumist IT-süsteemides kontrollitakse regulaarselt.

d. Võimaluse korral sündmuseteadete edastus automatiseeritakse. Kahjurkoodi avastamise skanner edastab vastutavatele isikutele turvasündmuse teate edasiseks analüüsiks automaatselt.

3.3 Standardmeetmed DER.1.M6 Logiandmete pidev jälgimine ja analüüs

a. Organisatsioonis on määratud logiandmete pideva jälgimise ja analüüsi eest vastutavad töötajad.

b. Turvaintsidentide avastamiseks on koostatud IT-süsteemide põhised logiandmete analüüsi juhised.

c. On olemas piisav inimressurss logiandmete pideva jälgimise ja analüüsi teostamiseks.

DER.1.M7 Vastutajate koolitus [ülemus]

a. Sündmuseteadete analüüsi eest vastutajail on vajalik kvalifikatsioon ja läbitud vastav koolitus.

b. IT-süsteemide või rakenduste hankimisel arvestatakse eelarves turvasündmustega tegelevate töötajate koolitusvajadusega.

DER.1.M9 Täiendavad avastussüsteemid [vastutav spetsialist]

a. Võrguskeemi (vt NET.1.1 Võrgu arhitektuur ja lahendus) alusel on määratud, milliseid võrgusegmente kaitstakse täiendavate avastussüsteemide abil.

b. Turvaintsidentide avastamise tõhustamiseks rakendatakse täiendavaid avastussüsteeme ja andureid.

c. Sissetungituvastuse süsteeme (ingl intrusion detection system, IDS) hallatakse tsentraalselt.

d. Välisvõrgu ja sisevõrgu segmentide vahelise liikluse kaitseks kasutatakse võrkutungi tuvastuse süsteemi (ingl network intrusion detection system, NIDS).

DER.1.M11 Keskne logimistaristu turvasündmuste analüüsiks [vastutav spetsialist]

a. IT-süsteemidest kogutud sündmuseteated hoiustatakse keskses logimistaristus (vt OPS.1.1.5 Logimine).

b. Logimistaristu võimaldab mitmetest allikatest edastatud sündmuseteateid sünkroniseerida, korreleerida, analüüsida ja talletada.

c. Kogutud sündmuseteateid analüüsitakse kõrvalekallete avastamiseks regulaarselt.

d. Logimistaristus talletatud turvasündmusi on võimalik analüüsida ka tagantjärele.

DER.1.M12 Välisallikate teabe analüüs [vastutav spetsialist]

a. IT-süsteemidega seotud turvanõrkuste kohta hangitakse teavet kvalifitseeritud välisallikatest, asjakohane teave jõuab õigete töötajateni.

b. Kvalifitseeritud allikatest pärinevat teabe asjakohasust hinnatakse, vajadusel muudetakse turvaintsidentide avastamise ja käsitluse protsessi (vt ka DER.2.1. Turvaintsidentide käsitlus).

171

DER.1.M13 Regulaarne avastussüsteemide läbivaatus

a. Avastussüsteemide ja nendes rakendatavate meetmete ajakohasust ning toimivust kontrollitakse regulaarselt.

b. Läbivaatuse tulemused dokumenteeritakse ja neid võrreldakse eelmiste läbivaatuste tulemustega. Kõrvalekaldeid kontrollitakse.

3.4 Kõrgmeetmed

DER.1.M10 TLS- ja SSH-proksid [vastutav spetsialist] (C)

a. Välisvõrku üleminekul kasutatakse TLS- ja SSH-proksit, mis katkestavad krüpteeritud ühenduse ja võimaldavad edastatavaid andmeid kahjurvara suhtes kontrollida.

b. TLS- ja SSH-proksides kasutakse turvasündmuste automaatset avastamist ja teavitamist.

DER.1.M14 Logiandmete analüüsile spetsialiseerunud töötajad (C-l)

a. Logiandmete analüüsile spetsialiseerunud töötajad on vajaliku kvalifikatsiooniga ja saanud erialast täiendkoolitust.

b. Spetsiifilisi teadmisi nõudva logianalüütikaga (nt kriminalistika valdkonnas) tegelevad selleks spetsialiseerunud töötajad.

DER.1.M15 Reaalajas toimuv sündmuseteadete keskhaldus (C-I-A)

a. Turvasündmuste tuvastamiseks, seoste loomiseks ja turbega seotud asjaolude nähtavaks muutmiseks kasutakse tsentraalsel tarkvaralahendusel põhinevat automaatanalüüsi.

b. Kogutavad logiandmed on terviklikud ja neid saab automaatselt analüüsida.

c. Logianalüüsi tehakse pidevalt ja reaalajas, analüüsiparameetrite etteantud läviväärtuste ületamisel alarmeeritakse määratud töötajat sündmusest automaatselt.

d. Analüüsiparameetreid ja otsustuskriteeriume korrigeeritakse regulaarselt, uute parameetrite rakendamisel analüüsitakse ka eelnevalt kontrollitud andmeid.

DER.1.M16 Avastussüsteemide rakendamine kaitsetarbe alusel (C-I-A)

a. Suurema kaitsetarbega IT-süsteeme kaitstakse avastussüsteemidega, millel on tehniline võimekus ja suutlikkus suurema kaitsetarbe tingimustes opereerimiseks.

DER.1.M17 Automaatne reageerimine turvasündmustele (C-I)

a. Kasutusele on võetud automaatne sissetungitõrje süsteem (ingl intrusion prevention sys- tem, IPS), mis on võimeline:

b. tuvastama ründeid, väärkasutusi ja rikkumisi;

c. teatama turvasündmustest automaatselt;

d. reageerima turvasündmusele automaatse kaitsetoiminguga.

DER.1.M18 Regulaarne tervikluse kontroll (C-I)

a. Regulaarselt kontrollitakse kõigi avastussüsteemide korrasolekut ja kasutajate õigusi süsteemis.

b. Automaatselt kontrollitakse failide terviklust ja alarmeeritakse tervikluse kao korral.

172

DER.2: Turvaintsidentide haldus

DER.2.1 Turvaintsidentide käsitlus

1 Kirjeldus

1.1 Eesmärk Esitada juhised turvaintsidentide süstemaatiliseks käsitlemiseks.

1.2 Vastutus Turvaintsidentide käsitluse meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad

Andmekaitsespetsialist, vastutav spetsialist, IT-talitus, organisatsiooni juhtkond, avariiülem.

1.3 Piirangud Moodul ei käsitle kõiki turvaintsidentidega seotud toiminguid. Intsidentide avastamise meetmed esitatakse moodulis DER.1 Turvaintsidentide avastamine. Esmast kriminalistikauuringut käsitletakse moodulis DER.2.2 IT-kriminalistika võimaldamine ja kinnisründe intsidendile järgnevat tegevust moodulis DER.2.3 Ulatuslike turvaintsidentide lahendamine. Intsidendi tulemusena tekkinud avariiolukorras tegutsemist käsitletakse moodulis DER.4 Avariihaldus.

2 Ohud

2.1 Turvaintsidentide puudulik käsitlus Kui turvaintsidentidele reageeritakse ebasobival viisil või meetmeid kiiresti ei rakendata, võib ründaja turvanõrkust ära kasutada pikema perioodi jooksul. Väärad otsused turvaintsidentide käsitluses võivad tekitada väga suurt kahju, sealhulgas ka asjatuid kahjusid kolmandatele osapooltele. Näited juhtumitest, mis viitavad turvaintsidentide puudulikule käsitlemisele:

 tulemüüri logifailid sisaldavad kahtlasi kirjeid;

 intsidendist teavitamisega venitatakse;

 kontoris toimunud varguse käsitlemisel ei arvestata, et varastatud sülearvutis võis olla konfidentsiaalseid andmeid.

2.2 Tõendusjälgede hävitamine turvaintsidendi käsitlusel Turvaintsidentide hoolimatu käsitluse korral võivad olulised tõendusjäljed enne asjaolude väljaselgitamist või hilisemat kohtumenetlust hävida või puudub andmetel piisav tõendusväärtus. Näited tõendusjälgede hävimisest:

 Kasutaja sulges aktiveerunud kahjurkoodiga arvuti, mistõttu ei saa koguda täiendavat infot aktiivsete protsesside ja põhimällu laetud komponentide kohta;

 Serveri haldur kustutas serveri koormust tõstva protsessi tulemusena tekkinud ajutised failid ilma nende sisu analüüsimata;

173

 Serveri haldur otsustas kohe pärast intsidendi avastamist installida serverisse puuduvad turvapaigad ja uuendid.

3 Meetmed

3.1 Elutsükkel

Kavandamine

DER.2.1.M1 Turvaintsidendi määratlemine

DER.2.1.M2 Turvaintsidentide käsitluse juhend

DER.2.1.M3 Vastutuste ja kontaktisikute määramine

DER.2.1.M7 Turvaintsidentide käsitluse metoodika

DER.2.1.M8 Turvaintsidentide käsitluse töörühm

DER.2.1.M9 Turvaintsidentidest teavitamise juhend

DER.2.1.M11 Turvaintsidentide hindamine

DER.2.1.M14 Turvaintsidentide eskalatsiooniplaan

Käitus

DER.2.1.M4 Turvaintsidendist teavitamise kord

DER.2.1.M5 Turvaintsidendi lahendamise kord

DER.2.1.M10 Turvaintsidentide toime piiramine

DER.2.1.M12 Turvaintsidentide ning IT-intsidentide käsitluse ühendamine

DER.2.1.M13 Turbe- ja avariihalduse integreerimine

DER.2.1.M15 IT-talituse töötajate valmidus turvaintsidentide käsitluseks

DER.2.1.M16 Turvaintsidentide käsitluse dokumenteerimine

Avariivalmendus

DER.2.1.M6 Töökeskkonna taastamine pärast turvaintsidenti

Täiustamine

DER.2.1.M17 Turvaintsidentide järeltoimingud

DER.2.1.M18 Protsessi täiustamine kogemuste ja välisarengute põhjal

Lisanduvad kõrgmeetmed

DER.2.1.M19 Turvaintsidentide käsitlusprioriteedid

DER.2.1.M20 Organisatsiooni turvaintsidentide teatamiskeskus

DER.2.1.M21 Ekspertrühm turvaintsidentide käsitluseks

DER.2.1.M22 Turvaintsidentide käsitluse korralduse läbivaatus

174

3.2 Põhimeetmed

DER.2.1.M1 Turvaintsidendi määratlemine

a. Organisatsioon on määratud, millised intsidendid on turvaintsidendid. Turvaintsident on IT-tõrgetest selgesti eristatav.

b. Turvaintsidentide käsitlusse kaasatud töötajad teavad turvaintsidendi määratlust.

c. Turvaintsidendi määratluse ja käsitluse aluseks võetakse konkreetsete äriprotsesside, IT- süsteemide ja rakenduste kaitsetarve.

DER.2.1.M2 Turvaintsidentide käsitluse juhend

a. Turvaintsidentide käsitluseks on koostatud protseduurijuhend. Juhendis on määratud käsitlusala, millele juhend laieneb.

b. Juhend sisaldab praktilisi ja sihtrühmakohaseid tegevusjuhiseid käitumiseks turvaintsidendi toimumise puhul.

c. Juhend tehakse teatavaks kõigile töötajatele.

d. Turvaintsidentide käsitlemise juhendit vaadatakse üle ja ajakohastatakse regulaarselt.

DER.2.1.M3 Vastutuste ja kontaktisikute määramine

a. Turvaintsidentide käsitlusega seotud vastutus ja kohustused rakenduvad kõikidele töötajatele.

b. Turvaintsidentidega tegelevad töötajad on läbinud vastava koolituse.

c. Organisatsioonis on määratud, kes ja mis alustel saab otsustada kriminalistikauuringu algatamise.

d. Töötajad teavad eri tüüpi turvaintsidentide kontaktisikuid, vastav teave on ajakohane ja töötajatele kättesaadav.

DER.2.1.M4 Turvaintsidendist teavitamise kord [organisatsiooni juhtkond, IT-talitus, andmekaitsespetsialist, avariiülem]

a. Turvaintsidendi ilmnemisel teavitatakse sellest organisatsioonisiseseid ja -väliseid asjaosalisi viivitamata ning turvaintsidentide käsitluse juhendi kohaselt.

b. Igakordselt otsustatakse, kas intsidendi lahendamisse kaasatakse lisaks ka andmekaitsespetsialist, jurist või organisatsiooni juhtkond.

c. Kui turvaintsidentidest tuleb teavitada väliseid ametiasutusi (CERT-EE, politsei, Andmekaitse Inspektsioon), tehakse seda teavitamiskohustustes määratud perioodi jooksul, teavitamiseks kasutatakse turvalisi suhtlusteid.

DER.2.1.M5 Turvaintsidendi lahendamise kord [IT-talitus]

a. Turvaintsidendi lahendamiseks isoleeritakse mõjutatud komponendid, intsident dokumenteeritakse ja selgitatakse välja selle põhjus.

b. Vajadusel kaasatakse turvaintsidendi eri teemavaldkondadega seotud küsimuste lahendamiseks organisatsioonisiseseid või -väliseid spetsialiste. Selleks on loodud turvalised suhtlusteed.

c. Intsidendi lahendamise käigus taastatakse võimalikult kiiresti intsidendile eelnenud normaalolukord (vt DER.2.1.M6 Töökeskkonna taastamine pärast turvaintsidenti).

175

DER.2.1.M6 Töökeskkonna taastamine pärast turvaintsidenti [IT-talitus]

a. Turvaintsidendi analüüsimiseks eraldatakse intsidendist mõjutatud seadmed võrgust.

b. Intsidendi käsitlemiseks vajalikud andmed varundatakse andmete hilisemaks analüüsiks.

c. Võimalike mõjude ja muutuste avastamiseks kontrollitakse mõjutatud seadme operatsioonisüsteemi ja kõiki rakendusi, paigaldatakse puuduvad turvapaigad ja uuendid.

d. Intsidendijärgsel andmete ennistamisel kontrollitakse andmete õigsust ja terviklust. Varundatud andmete taastamisel veendutakse, et need ei ole turvaintsidendist mõjutatud.

e. Enne mõjutatud seadmete taaskasutuselevõttu muudetakse kõik seadmes kasutatud paroolid, viiakse läbi turvatestimine ja kontrollitakse koos kasutajaga komponendi funktsioneerimist.

f. Uute või korduvate anomaaliate avastamiseks seiratakse pärast töökeskkonna taastamist mõjutatud ja ennistatud seadmete võrguliiklust

3.3 Standardmeetmed

DER.2.1.M7 Turvaintsidentide käsitluse metoodika [organisatsiooni juhtkond]

a. Turvaintsidentide käsitlemise juhendis ( vt DER.2.1.M2 Turvaintsidentide käsitluse juhend) on dokumenteeritud metoodika ja protseduurid eri liiki turvaintsidentide käsitlemiseks.

b. Organisatsiooni juhtkond on turvaintsidentide käsitluse metoodika kinnitanud ja kasutajatele teatavaks teinud.

c. Turvaintsidentide käsitluse metoodikat kontrollitakse ja ajakohastatakse regulaarselt.

DER.2.1.M8 Turvaintsidentide käsitluse töörühm

a. Turvaintsidentide käsitluseks moodustatakse töörühm, töörühma koosseisu võidakse olenevalt intsidendi liigist muuta.

b. Töörühma liikmetele on eelnevalt määratud konkreetne roll ja ülesanded, mida nad on valmis vajadusel täitma.

c. Turvaintsidentide käsitluse töörühma koosseisu muudetakse vastavalt vajadusele.

DER.2.1.M9 Turvaintsidentidest teavitamise juhend

a. Intsidentidest teavitamiseks koostatakse juhend, mis sätestab vähemalt järgmist:

 lubatavad ja sobivad teavitusteed eri liiki intsidentide puhuks;

 isikute nimekiri, keda informeeritakse kindlasti ja keda vajadusel;

 kelle kaudu, millises järjekorras ja millise täpsusega teave liigub;

 kes edastab turvaintsidentidega seotud teavet kolmandatele pooltele.

DER.2.1.M10 Turvaintsidentide toime piiramine [avariiülem, IT-talitus]

a. Turvaintsidendi põhjuste analüüsiga paralleelselt kogutakse intsidendi mõju hindamiseks vajalikku teavet.

b. Kõige tõenäolisemate intsidendistsenaariumide jaoks on koostatud intsidendi käsitlemise tegevuskava.

176

DER.2.1.M11 Turvaintsidentide hindamine [IT-talitus]

a. Turbehalduse ja intsidendihalduse funktsioonidele on kehtestatud turvaintsidentide ja muude häiringute (nt IT-rikete) hindamiseks ja liigitamiseks ühtne protseduur.

DER.2.1.M12 Turvaintsidentide ja IT-intsidentide käsitluse ühendamine [avariiülem]

a. Organisatsioon on analüüsinud turvaintsidentide ja IT-intsidentide kokkupuutekohti ning määratlenud ressursid, mida kasutatakse mõlemat tüüpi intsidentide puhul.

b. IT-intsidentide lahendajatele on selgitatud turvaintsidentide käsitluse erisusi.

c. Turbehalduse töötajatel on IT-intsidentide haldusvahendile lugemisõigusega ligipääs.

DER.2.1.M13 Turbe- ja avariihalduse integreerimine [avariiülem]

a. Kui turvaintsidendi tulemusel on käivitatud avariihalduse protsess, koordineerib intsidendi lahendamist avariiülem.

b. Vajadusel kaasatakse intsidendi lahendamisse täiendavaid, spetsiifiliste oskustega spetsialiste.

DER.2.1.M14 Turvaintsidentidest teavitamise eskalatsiooniplaan [IT-talitus]

a. Lisaks kommunikatsiooniplaanile (vt DER.2.1.M9 Turvaintsidentidest teavitamise juhend) luuakse turvaintsidentidest teavitamise eskalatsiooniplaan, mis kooskõlastatakse infoturbejuhiga.

b. Turvaintsidentidest teavitamise eskalatsiooniplaan sisaldab tegevusjuhiseid, keda ja mis juhtudel intsidendi lahendamiseks täiendavalt kaasata.

c. Eskalatsiooniplaani rakendamiseks valitakse vahendid ja teavitusteed, mis on kättesaadavad ka eriolukorras ning sobivad konfidentsiaalse teabe jagamiseks.

d. Turvaintsidentidest teavitamise eskalatsiooniplaani testitakse regulaarselt. Vajadusel eskalatsiooniplaan ajakohastatakse.

DER.2.1.M15 IT-talituse töötajate valmidus turvaintsidentide käsitluseks [IT-talitus]

a. IT-talituse töötajad teavad oma hallatavate süsteemide kaitsetarvet.

b. IT-talituse töötajatel on turvaintsidentide tuvastamiseks vajalikud vahendid ja kontroll- küsimustikud.

c. IT-talituse töötajad on tutvunud turvaintsidentide käsitluse juhendiga ning läbinud vajalike vahendite kasutamise koolituse.

DER.2.1.M16 Turvaintsidentide käsitluse dokumenteerimine

a. Turvaintsidendid dokumenteeritakse ühtse tüüpprotseduuri kohaselt.

b. Turvaintsidendi dokumenteerimisel fikseeritakse kõik käsitluse käigus tehtud tegevused koos läbiviimise ajaga ning talletatakse mõjutatud komponentide logiandmed.

c. Turvaintsidendi käsitluse raport arhiveeritakse viisil, mis tagab selle tervikluse ja konfidentsiaalsuse.

DER.2.1.M17 Turvaintsidentide järeltoimingud

a. Turvaintsidendi käsitluse järgselt hinnatakse:

 kui kiiresti turvaintsident tuvastati ja lahendati;

 kas teavitusteed toimisid;

177

 kas oli piisavalt andmeid mõjuhinnangu läbiviimiseks;

 kas avastamismeetmed ja käsitlusmeetmed olid tõhusad.

b. Varasemate turvaintsidentide kogemusi kasutatakse sarnaste turvaintsidentide käsitlemise tegevuskava koostamiseks. Tegevuskava muudatused tehakse sihtrühmadele teatavaks.

c. Juhtkonda teavitatakse toimunud turvaintsidendist ja selle käsitluse tulemustest.

DER.2.1.M18 Protsessi täiustamine kogemuste ja välisarengute põhjal [vastutav spetsialist]

a. Turvaintsidentide käsitluse täiustamiseks küsitakse turvaintsidentide lahendamisel kaasatud olnud isikute arvamusi ja vastutajate tagasisidet.

b. Pärast IT-süsteemides ja intsidendihalduses toimunud muudatusi ajakohastatakse intsidentide avastamis- ja haldusvahendeid ning juhendeid.

3.4 Kõrgmeetmed

DER.2.1.M19 Turvaintsidentide käsitluse prioriteedid [organisatsiooni juhtkond] (C-I- A)

a. Äriprotsesside erinevast kaalukusest tulenevalt määratakse intsidentide käsitluse prioriteedid.

b. Turvaintsidentide käsitluse prioriteedid kinnitab organisatsiooni juhtkond. Sarnastel alustel prioriteete kasutatakse ka IT- intsidendihalduses.

c. Turvaintsidentide käsitlusega seotud otsustajad tunnevad ja kasutavad prioriteete, arvestades ka turvaintsidendile antud esmast hinnangut (vt DER.2.1.M11 Turvaintsidentide hindamine).

DER.2.1.M20 Organisatsiooni turvaintsidentidest teatamise keskus (C-I-A)

a. Organisatsioon on loonud turvaintsidentidest teatamise keskuse.

b. Turvaintsidentidest teatamise keskus reageerib intsidenditeadetele tavapärasel tööajal ilma viivituseta.

c. Turvaintsidentidest teatamise keskuse töötajad on saanud piisava infoturbe koolituse.