Eelnõu arvamuse avaldamine

1

„Ettevõtlus- ja infotehnoloogiaministri

16. detsembri 2022 määruse

nr 101 „Eesti infoturbestandard“

Lisa 1

(muudetud sõnastuses)

Eesti infoturbestandard

Nõuded infoturbe halduse süsteemile

2

Sisukord 1. Sissejuhatus ............................................................................................................................ 3

1.1. Käsitlusala ....................................................................................................................... 3 1.2. Sihtgrupp ......................................................................................................................... 3 1.3. Normiviited ..................................................................................................................... 3

2. Kasutatud terminid ................................................................................................................. 3

3. Jaotiste lühiülevaade .............................................................................................................. 7

4. E-ITS olemus .......................................................................................................................... 8

4.1. Infoturbe halduse süsteem ............................................................................................... 8 5. Infoturbeprotsessist üldiselt .................................................................................................... 9

5.1. Infoturbeprotsessi algatamisest üldiselt........................................................................... 9 5.2. Tippjuhtkonna kohustumus ............................................................................................. 9

6. Infoturbeprotsessi kavandamine ja plaanimine .................................................................... 10

6.1. Infoturvapoliitika ........................................................................................................... 10 6.2. Infoturvaeesmärgid ........................................................................................................ 11 6.3. Infoturbeprotsessi korraldus .......................................................................................... 11 6.4. Infoturbealane koolitus .................................................................................................. 12 6.5. Ressursside eraldamine ................................................................................................. 12 6.6. Juhtkonna kinnitus ......................................................................................................... 12 6.7. Infoturbeprotsessi dokumenteerimine ........................................................................... 12 7. Infoturbeprotsessi riskihaldus........................................................................................... 13 7.1 Kaitsetarbe määramine ................................................................................................... 13 7.2. Etalonturbe modelleerimine .......................................................................................... 13 7.3. Etalonturbe väline riskihaldus ....................................................................................... 14 8. Infoturvameetmete rakendamine ...................................................................................... 14 9. Infoturbe käigushoid......................................................................................................... 14 10. Infoturbeprotsessi täiustamine ........................................................................................ 15 11. E-ITS auditeerimine ....................................................................................................... 16

3

1. Sissejuhatus Eesti infoturbestandard on eestikeelne ja Eesti õigusruumile vastav alus infoturbe

käsitlemiseks. Eesti infoturbestandardi aluseks on Saksa päritolu BSI IT-Grundschutz

etalonturbe meetod.

1.1. Käsitlusala Käesolev lisa esitab nõuded ning juhised küberturvalisuse seaduse § 3 lõigetes 1 ja 4 nimetatud

juriidilisele isikule, riigi- või kohaliku omavalitsuse asutusele, hallatavatele asutusele,

riigitulundusasutusele, avalik-õiguslik juriidilisele isikule või nende struktuuriüksusele

(edaspidi koos organisatsioon) infoturbe halduse süsteemi (ingl Information Security

Management System, ISMS) rajamiseks, evitamiseks, käigushoidmiseks ja täiustamiseks.

Eesti infoturbestandardiga vastavuse saavutamiseks tuleb täita jaotistes 5–10 esitatud nõuded.

Eesti infoturbestandard ei korraldata riigisaladuse ega salastatud välisteabe turvet.

1.2. Sihtgrupp Infoturbe halduse süsteemi nõuete dokumendi peamised sihtgrupid on:

 Eesti infoturbestandardi rakendajad: infoturbejuhid, äriprotsessijuhid, üksuste juhid,

infotehnoloogia valdkonna töötajad;

 audiitorid;

 konsultandid.

1.3. Normiviited Käesolev lisa toimib koosmõjus etalonturbe kataloogiga (edaspidi koos E-ITS), millesse on

koondatud parimad tavad infoturbeprotsessi loomiseks ja käigushoidmiseks.

2. Kasutatud terminid

Nr Termin või

lühend

Lähtekeeles (inglise / saksa) Lühike definitsioon

1 konfidentsiaa

lsus

confidentiality teabe kättesaamatus või

paljastamatus volitamata

isikutele, olemitele või

protsessidele. Üks kolmest

infoturbe põhikomponendist,

märgitakse tähega C lühendis C-

I-A.

2 terviklus integrity teabe õigsus ja täielikkus,

lubamatute muudatuste

puudumine, hõlmab ka

autentsust ja salgamatust. Üks

kolmest infoturbe

põhikomponendist, märgitakse

tähega I lühendis C-I-A.

3 käideldavus availability teabe omadus olla volitatud

olemi nõudel õigel ajal

kättesaadav ja kasutuskõlblik.

Üks kolmest infoturbe

4

põhikomponendist, märgitakse

tähega A lühendis C-I-A.

4 kahju loss soovimatu muutuse mõõt,

riskianalüüsi aluskomponent,

esmane infoturbevajadust

otsustav tegur

5 alusohud - riskide kaalutlemisel kasutatud

ohud; etalonturbe meetmete

koostamise alus

6 risk risk ohu võimekus tekitada

organisatsioonile kahju.

7 infoturbe

halduse

süsteem

Information Security

Management System (edaspidi

ISMS)

süsteem, mis koosneb

poliitikatest, protseduuridest,

juhistest ning nendega seotud

ressurssidest ja tegevustest, mida

organisatsioon kollektiivselt

haldab, et kaitsta oma infovarasid

infoturbe halduse süsteemis on

suunatud ärieesmärkide

saavutamisele ning kujutab

endast süstemaatilist lähenemist

infoturbe rajamisele,

käigushoiule, seirele,

hooldamisele ja täiustamisele.

See põhineb riski kaalutlemisel

ja selle aktsepteerimisel

tasemetele, mis tagavad riskide

toimiva käsitluse ja halduse.

8 infoturvapolii

tika

Information Security Policy organisatsiooni keskne

infoturbealane dokument, mis

sätestab arengusuunad ja

taotletavad sihid, määrab lubatu

ja lubamatu

9 käsitlusala scope Infoturbe halduse süsteemi

kontekstis: organisatsiooni

kaitstavad elemendid, nagu

taristu, töö korraldus, personal,

tehnilised komponendid

10 kaitseala* Informations-verbund (saksa) turbekontseptsiooni koostamise

ja rakendamise käsitlusala.

Organisatsioon liigitab

kaitsealasse kogumi sihtobjekte,

mida turbeprotsess hakkab

edaspidi kaitsma.

11 sihtobjekt* Zielobjekt (saksa) kaitseala allosa – igasugune

infosüsteemi kuuluv

kaitsetarbega vara, nagu

äriprotsess, rakendus, IT-

lahenduse komponent,

komponendirühm, hoone,

5

kinnistu, allüksus. Sihtobjektile

vastendatakse etalonmoodul(id).

12 protsess process omavahel seotud või

interakteeruvate tegevuste

kogum, mis muundab

lähtematerjali tulemiteks.

13 äriprotsess business process organisatsiooni tegevuse

element, mingi eesmärgi

saavutamisele suunatud

tegevuste, toimingute või

protseduuride kogum.

Äriprotsessi tulemusena

võidakse luua sise- või

väliskliendile väärtust toodete

või teenustena.

14 kaitsetarve protection

requirement (ingl), Schutzbedarf

(saksa.k)

vara väärtusest tulenev vajadus

seda kaitsta. Kaitsetarve on

andmete ja teabe vajadus kaitsta

neid kahju eest, mille võib

tekitada konfidentsiaalsuse,

tervikluse või käideldavuse või

kõigi kolme rikkumine. E-ITSi

kontekstis laieneb kaitsetarve ka

äriprotsessile, mille korral

hinnatakse kaitsetarvet, lähtudes

kahjustsenaariumitest (nt

õigusaktide, eeskirjade või

lepingute rikkumine; teabelise

enesemääramisõiguse

rikkumine; isiku füüsilise

puutumatuse rikkumine;

ülesannete täitmise võime

kahjustamine; negatiivsed

sisemised või välised toimed;

rahalised tagajärjed).

Kaitsetarvet väljendatakse

kolmeastmelises skaalas:

„normaalne“, „suur“ või „väga

suur“. Kuna kaitsetarbe

määramine on

organisatsiooniriskihalduse osa,

siis riskihalduse metoodikas

määratleb organisatsioon ise

kaitsetarbe kahjustsenaariumid ja

täpsustab skaalat enda

kontekstist ja tegelikest

potentsiaalsetest mõjudest

lähtuvalt.

15 normaalne

kaitsetarve

- kaitsetarbe skaala määrang, kus

võimaliku kahjustuse toime on

6

piiratud ja ohjatav. Sellise

kaitsetarbe korral on etalonturbe

meetmed asjakohased ja nende

rakendamisest üldjuhul piisab.

16 suur

kaitsetarve

- kaitsetarbe skaala määrang, kus

võimaliku kahjustuse toimed

võivad olla tõsised. Sellise

kaitsetarbe korral ei pruugi

etalonturbe meetmetest alati

piisata. Tuleb läbida etalonturbe

väline riskianalüüs ja vajaduse

korral määrata

lisaturvameetmed.

17 väga suur

kaitsetarve

- kaitsetarbe skaala määrang, kus

kahjustuse toimed võivad ulatuda

katastroofilise tasemeni,

ähvardades organisatsiooni

olemasolu või ülesannete

täitmise täielikku katkemist.

Sellise kaitsetarbe korral ei piisa

etalonturbe meetmetest kindlasti.

Riskianalüüs on kohustuslik,

konkreetsele ohule eraldi tuleb

määrata asjakohased

turvameetmed.

18 meetme

teostatuse

määr

- märge infoturbe meetmete

rakendusplaanis, mis väljendab

meetme käsitlusviisi ja teostuse

hetkestaatust.

19 turbeviis - meetod E-ITSi standardil

põhineva infoturbe halduse

süsteemi rajamiseks. Turbeviisi

valikul lähtutakse

regulatsioonidest, lähtudes

õigusaktidest, asjakohasest

eeskirjadest ja standarditest ja

kaitsetarbest, aga ka

organisatsiooni infoturbe

küpsusest.

Organisatsioonil on võimalik

valida turbeviisiks:

a) põhiturve, kui kaitsetarve on

normaalne. Põhiturbe

rakendamine on eelduseks

standardturbe rakendamisele;

b) standardturve, kui kaitsetarve

on suur või väga suur;

c) tuumikuturve kaitseala osale,

kus kaitsetarve on suur või väga

7

suur, ent kogu organisatsioonile

pole võimalik standardturvet

rakendada.

20 teave - teadmus inimesele sobival kujul

inimsuhtluses. Eesti keel eristab

teavet informatsioonist kui

teadmuse masinale sobivast

kujust. Seejuures puudub

andmetel kontekst ja tähendus,

teabel ja informatsioonil on see

olemas.

21 infoturbe

meetmete

rakendusplaa

n (IMR)

- dokument, milles loetletakse ja

kirjeldatakse infoturbe halduse

süsteemile kohaldatavaid

turvameetmeid, põhjendatakse

meetmete teostamise valikuid

ning määratakse vastutajad ja

tähtajad

22 vastutaja responsibility, responsible E-ITSi tähenduses roll, mille

täitjale on parimate tavade

kohaselt määratud infoturbe

meetmete rakendamise ülesanne

E-ITSis kasutatakse terminit

„vastutaja“, sealhulgas ka

terminit „lisavastutaja“ meetme

rakendamisel, et tööülesannete

jagamisel siduda rolli vastutus

soovitusliku ametikoha

nimetusega organisatsioonis.

(*) – etalonturbe spetsiifiline mõiste

3. Jaotiste lühiülevaade Jaotises 4 kirjeldatakse E-ITSi ning selgitatakse selle suhet riskihaldusega ja standardiga EVS-

EN ISO/IEC 27001. Lisaks esitatakse infoturbe halduse süsteemi lühikirjeldus.

Jaotises 5 esitatakse nõuded infoturbeprotsessi tsükli igakordsele algatamisele ja juhtkonna

kohustumusele.

Jaotises 6 esitatakse nõuded infoturbe protsessi kavandamisele ja plaanimisele ning selle

korraldamise struktuuridele.

Jaotises 7 esitatakse nõuded infoturbe halduse süsteemi riskihaldusele, sealhulgas etalonturbe

modelleerimisele ja täiendavale välisele riskihaldusele.

Jaotises 8 esitatakse nõuded riskihalduse abil väljaselgitatud meetmete rakendamisele.

Jaotises 9 esitakse nõuded infoturbeprotsessi pidevaks käigushoidmiseks.

Jaotises 10 esitatakse nõuded infoturbe protsessi täiustamiseks ja sõltumatu läbivaatuse

korraldamiseks.

Jaotises 11 kirjeldatakse võimalusi infoturbe halduse süsteemi toimimisele välise kinnituse

saamiseks – auditeerimist.

Jaotis 12 loetleb viited rakendaja jaoks vajalikule lisateabele.

8

4. E-ITS olemus E-ITSi eesmärk on tagada avalike ülesannete täitmiseks kasutatavate äriprotsesside ja

infosüsteemide kõikehõlmav kaitse ning saavutada infoturbe ühtlane tase nende kõigis osades

kogu elutsükli jooksul.

E-ITSi põhimeetod on BSI IT-Grundschutz päritolu etalonturve. E-ITSi lähenemine infoturbele

põhineb tegevusriskide haldamisel.

E-ITSi etalonturve lõimituna riskihaldusega Toimingud jagunevad kaheks:

1. Äriprotsesside toimimiseks vajalikud sihtobjektid seatakse vastavusse

etalonmoodulitega, mille tulemusel tüüpsete ohtude riskikäsitlus toimub tüüpmeetmete

rakendamisega. Sellega saavutatakse toimiv turbehaldus enamikus organisatsiooni

äriprotsessides.

2. Äriprotsesside toimimiseks vajalike ebatüüpsete etalonturbesse sobimatute või

normaalselt kõrgema kaitsetarbega sihtobjektide osas sooritatakse etalonturbe väline

riskianalüüs täiemahulise riskihalduse abil. Kasutatava metoodika kinnitab

organisatsiooni juhtkond. Ebatüüpsetele sihtobjektidele rakendatakse infoturbe

meetmeid vastavalt etalonturbe välise riskihalduse tulemustele.

E-ITSi rakendatust tõendatakse välisaudiitori hinnanguga. Auditeerimise vajadus võib tuleneda

õigusaktis, valdkonna standardis või lepingus sätestatud kohustusest. Auditeerida võib ka

organisatsiooni enda soovil.

E-ITSi rakendamisega standardturbe ulatuses saavutatakse üldine vastavus Eesti standardiga

EVS-EN ISO/IEC 27001 või rahvusvahelise standardiga EN ISO/IEC 27001.

(*) - Ebatüüpne ja vahetut riskikäsitlust nõudev sihtobjekt on vähemalt üks järgmistest: a)

sihtobjekti kaitsetarve osutub infoturbe ühe või enama põhikomponendi (C I A) osas suureks

või väga suureks; b) sihtobjekti ei õnnestu vastendada ühegagi olemasolevatest moodulitest,

enamasti uudsuse või erilisuse tõttu; c) sihtobjekti kasutusviis erineb etalonmoodulis

kirjeldatust.

4.1. Infoturbe halduse süsteem ISMS on organisatsiooni juhtimise osa, mis tegeleb infoturbe rajamise, evitamise, käigushoiu

ja pideva täiustamisega.

ISMS hõlmab:

 organisatsiooni struktuuri, protsesse, protseduure ja tavasid;

 poliitikaid ja plaanimistegevusi;

 kohustusi;

 ressursse ja varasid.

Infoturbe halduse süsteemi protsesse ja sooritatavaid tegevusi kujutab Joonis 1. ISMSi tegevusi

sooritatakse vajadusel paralleelselt. Infoturbe täiustamise käigus naastakse iga kord protsessi

algusesse. Infoturbe kontseptsiooni koostamisel lähtutakse E-ITSi kataloogi meetmetest ja

vajadusel etalonturbe välisest riskihalduse käigus tuvastatud riskikäsitlusmeetmetest.

ISMSi teostusjuhised on esitatud etalonturbe kataloogis, moodulis ISMS.1 „Turbehaldus”.

9

Joonis 1. Infoturbe halduse süsteemi käivitamise ja uuendamise tegevused

5. Infoturbeprotsessist üldiselt

5.1. Infoturbeprotsessi algatamisest üldiselt 5.1.1 Infoturve lähtub organisatsiooni eesmärkidest ja tegutsemisviisidest. Infoturbe eestvedaja

(ingl leadership) on organisatsiooni struktuuris kõrgeim juhtimistasand (tippjuhtkond).

Infoturbeprotsessi algatab tippjuhtkond ja nimetab infoturbejuhi rolli täitja. Infoturbejuht

korraldab organisatsiooni infoturbetegevust. Infoturbejuhi nimetamata jätmise korral täidab

seda rolli juhtkond.

5.1.2 Infoturve keskendub teabe ja sellest sõltuvate äriprotsesside kaitsmisele ning sellest

tulenevalt infotöötluse või infotehnoloogia kaitsmisele. Seetõttu kirjeldab organisatsioon

esmalt äriprotsessid ja alles siis võtab arvele oma äriprotsessidega seotud varad ja määrab

kaitseala koos sihtobjektidega.

5.2. Tippjuhtkonna kohustumus 5.2.1 Kuna organisatsiooni äriprotsesside toimimise eest vastutab tippjuhtkond, siis

tippjuhtkond vastutab ka äriprotsesse ohustavate sündmuste käsitlemise, sh infoturbe halduse

eest. Infoturbealase vastutuse võtmist tippjuhtkonnas nimetatakse juhtkonna kohustumuseks

(ingl commitment).

5.2.2 Tippjuhtkonna kaasatus tagab infoturbe lõimitusse kaitseala kõigisse protsessidesse ja

infoturbe jätkusuutlikkuse. Tippjuhtkond vastutab infoturbe elluviimise, käigushoidmise ja

täiendamise eest. Selleks määrab juhtkond turbealased õigused ja kohustused ning eraldab

ressursid.

5.2.3 Tippjuhtkond peab saama infoturbe kohta regulaarselt, õigeaegselt ja sobivas ulatuses

järgmist teavet:

a) organisatsiooni ja selle teabe turvariskid ning nendega seotud toimed ja kulud;

b) turvaintsidentide toime äriprotsessidele;

c) regulatsioonidest (nt õigusaktid, eeskirjad, standardid) ja lepingutest tulenevad turvanõuded

d) tegevusalale tüüpilised infoturbe protseduurid;

e) infoturbe hetkeseis ja sellest tulenevad tegevussoovitused (infoturbe meetmete

rakendusplaan);

10

f) infoturbeprotsessi täiendusettepanekud (sh sõltumatu läbivaatuse ja auditeerimise tulemid);

g) huvipooltega seotud kohustused ja tagasiside.

5.2.4 Infoturbealaseid tegevusi plaanib ja koordineerib infoturbejuht.

5.2.5 Äriprotsessi infoturbe meetmete rakendamist korraldab protsessijuht. Rakendatav

infoturve peab olema normaalse tööprotsessi osa ning olema kooskõlas töö eesmärkidega.

5.2.6 Infoturbeprotsessi peavad olema kaasatud kõik töötajad. Töötajate motiveerimiseks ja

koolitamiseks kaasatakse ISMSi rakendamisse personaliosakond ja protsessijuhid..

6. Infoturbeprotsessi kavandamine ja plaanimine

6.1. Infoturvapoliitika 6.1.1 Infoturvapoliitika on organisatsiooni infoturbe juhtdokument, milles esitatakse

infoturbealane kohustumus ning sõnastatakse organisatsiooni infoturbe sihid (ingl goal),

vajadused ja põhimõtted (ingl principle). Infoturvapoliitika põhimõtteid kasutatakse

organisatsiooni väärtuste kaitseks.

6.1.2 Organisatsiooni kaitstavad väärtused tuletatakse üldisest keskkonnast ja organisatsiooni

põhieesmärkidest. Põhieesmärgid tulenevad ettevõtte puhul ärieesmärkidest, avaliku sektori

asutuse puhul põhikirjast või põhimäärusest.

6.1.3 Organisatsiooni väärtustena võetakse arvesse vähemalt järgmist:

a) toimingute, sealhulgas teabekäitluse kõrge usaldatavus (käideldavus, terviklus,

konfidentsiaalsus jne);

b) organisatsioonisisene ja -väline hea maine;

c) investeering tehnoloogiasse, teabesse, tööprotsessidesse ja teadmusse;

d) töödeldav informatsioon (selle suur või korvamatu väärtus vajab kaitset, sh isikuandmed);

e) regulatsioonide (õigusaktide, eeskirjade, standardite) ja lepingute nõuete täitmine;

f) inimeste füüsiline ja vaimne heaolu.

6.1.4 Organisatsiooni infoturvapoliitika koostamisel arvestatakse:

a) organisatsiooni eesmärke ja strateegiat;

b) organisatsiooni struktuuri;

c) organisatsiooni olemasolevaid haldussüsteeme, nt kvaliteedihaldus, riskihaldus,

keskkonnahaldus;

d) õigusalaseid raamtingimusi, sh kohalikud ja rahvusvahelised õigusaktid, valdkondlikud

määrused;

e) klientide, tarnijate, partnerite jt huvipoolte nõudeid;

f) tegevusala turvastandardeid ja -praktikaid.

6.1.5 Infoturvapoliitika sisaldab infoturvaeesmärke või loob raami infoturvaeesmärkide

püstitamiseks.

6.1.6 Infoturvapoliitika kinnitab juhtkond. Infoturvapoliitika tehakse teatavaks töötajatele ning

vajadusel teistele huvipooltele.

6.1.7 Organisatsioon vaatab infoturvapoliitika perioodiliselt või oluliste muutuste korral üle ja

ajakohastab vajadusel.

11

Joonis 2. Infoturvapoliitika põhilised elemendid

Joonis 2 esitab infoturvapoliitika põhilised elemendid.

6.2. Infoturvaeesmärgid 6.2.1 Infoturvaeesmärgid (ingl security objective) lähtuvad infoturbe tähtsusest

organisatsioonile, on realistlikud, praktilised (seotud toimingutega), põhjendatud, arusaadavad

ja võimaluse korral mõõdetavad. Infoturvaeesmärkidele on määratud eesmärgi saavutamise

tähtaeg.

6.2.2 Organisatsioon kasutab infoturvaeesmärkide sõnastamisel järgmist teavet:

a) äriprotsessid, protsessijuhid, protsesside kirjeldus ja äriprotsesside seosed organisatsiooni

eesmärkidega;

b) äriprotsesside omavahelised seosed ja sõltuvused;

c) äriprotsessidega seotud varad ja kaitstavad sihtobjektid;

d) äriprotsesside ja alusteabe kaitsetarvet konfidentsiaalsuse, tervikluse ja käideldavuse ning

vajadusel teiste infoturbe komponentide kohta;

e) organisatsiooni tegevusriskid, nt turu hetkeseis, konkurentsiolukord, geopoliitiline olukord

ja muud turuspetsiifilised sõltuvused;

f) olemasolev infoturbedokumentatsioon.

6.2.3 Eelnimetatud teabe kogumiseks organisatsioon:

a) kirjeldab äriprotsessid ja võtab arvele varad;

b) määrab organisatsiooni infoturbe kaitseala ja sihtobjektid;

c) valib etalonturbe korral turbeviisi (põhi-, standard-, tuumikuturve);

d) määrab sihtobjektide kaitsetarbe skaalal „normaalne“, „suur“, „väga suur“;

e) dokumenteerib infoturvaeesmärgid ja määrab eesmärkide saavutamise ajaraamid.

6.2.4 Organisatsioon sõnastab infoturvaeesmärgid, vaatab neid regulaarselt läbi ja vajadusel

ajakohastab.

6.3. Infoturbeprotsessi korraldus 6.3.1 Infoturbeprotsessi rakendamiseks ja edendamiseks loob organisatsioon turbekorraldus- ja

teavitusstruktuuri.

6.3.2 Infoturbe korraldusstruktuuriga määrab juhtkond:

a) rollid ja vajadusel rollipädevusnõuded;

b) rollide täitjad;

c) volitused ja vastutusalad.

6.3.3 Organisatsioon tagab rollitäitjate pädevuse ja vajalike pädevustõendite säilitamise.

12

6.3.4 Organisatsioon tuvastab sisemised ja välised infoturbealase teavituse vajadused ning

määrab teavitusviisid, osalevad rollid jm tingimused.

6.3.5 Turbekorraldus tehakse töötajatele teatavaks.

Joonis 3. Infoturbe korraldusstruktuuri näidis

NÄIDE. Joonisel 3 on kujutatud üht võimalust, kuidas infoturbealane töö organisatsioonis

korraldada. Igal äriprotsessil on protsessijuht. IT-koordineerimiskomisjon on korralduslik

foorum, kus arutatakse IT-teenuste ja infoturbeaspektidega seonduvat. IT-turbejuht on nõutud

vaid suurtes organisatsioonides, kus infoturbealase töö koordineerimine vajab eristamist IT-

lahenduste turvastrateegiate täideviimisest. Halli värviga on märgitud elemendid, mida

väiksem organisatsioon ei pruugi vajada.

6.4. Infoturbealane koolitus 6.4.1 Vastavuses infoturvapoliitika eesmärkidega tagab organisatsioon kõikide töötajate

vajaliku infoturbealase pädevuse ja pädevuse uuendamise.

6.4.2 Regulaarsete infoturvet käsitlevate koolituste eesmärk on motiveerida töötajaid järgima

infoturvanõudeid, käsitlema teavet ja töövahendeid korrektselt, vältima riskikäitumist ja

asjakohaselt reageerima infoturbeintsidentidele.

6.5. Ressursside eraldamine Juhtkond eraldab rahalised ja mitterahalised ressursid infoturbeprotsessi elluviimiseks.

Juhtkond aktsepteerib töötajate põhitööga kaasnevaid infoturbekohustusi.

6.6. Juhtkonna kinnitus Juhtkond kinnitab infoturvapoliitika, turvaeesmärgid ja infoturbele ressursside eraldamise.

6.7. Infoturbeprotsessi dokumenteerimine 6.7.1 Dokumenteerimise abil tagatakse infoturbeprotsessi jätkusuutlikkus ja jälgitavus.

Dokumendid tuleb koostada taasesitamist ja ajakohastamist võimaldavas vormis ning

versioonihaldusega kaetud viisil. Tuleb tagada, et käibelt on kõrvaldatud vananenud

dokumendid ja versioonid

6.7.2 Organisatsioon kehtestab dokumentide koostamise, vormistamise ja hoidmise reeglid.

6.7.3 Poliitikad ja eeskirjad vaadatakse üle vähemalt üks kord aastas ning muudatused kinnitab

juhtkond. Korrad ja protseduurijuhendid hoitakse tegelike protsessidega kooskõlas.

6.7.4 Organisatsioon loob ja säilitab tegevusdokumentatsiooni, mis tekib või luuakse

infoturbeprotsessi käigus.

6.7.5 Dokumenteeritakse:

a) infoturbeprotsessi alusdokumendid ja nende väljatöötamise kulg konteksti jäädvustamiseks;

13

b) otsused, sh infoturbe meetmete rakendusplaan, et tagada otsuste ja meetmete rakendamise

käigu jälitatavus (ingl traceability);

c) infoturbesündmused sisendiks riskihaldusse infoturbe täiustamiseks;

d) organisatsiooni reaktsioon sündmustele ja otsustele, et näidata parandusmeetmete toimivust;

e) muu teave, mida organisatsioon ise peab vajalikuks säilitada infoturbe halduse toimivuse

huvides.

6.7.6 Infoturbeprotsessi dokumentatsioon on volitatuile kättesaadav ja kaitstud kõrvalise

juurdepääsu eest.

7. Infoturbeprotsessi riskihaldus

7.1 Kaitsetarbe määramine 7.1.1 Etalonturbe kontseptsioon lähtub põhimõttest, et infoturvaohud ja kaitstavad varad on

erinevate organisatsioonide puhul tüüpsed. E-ITSi etalonturbe kataloog esitab moodulitesse

koondatud eelanalüüsitud meetmekomplektid, mis katavad tüüpsete sihtobjektide riskihalduse

ja infoturvavajadused. Tervikliku turbe saavutamiseks rakendatakse ebatüüpsetele ja

kõrgendatud kaitsetarbega („suur“ ja „väga suur“) sihtobjektidele etalonturbe välist

riskihaldust.

7.1.2 Organisatsioon määrab kaitsetarbe määramise põhimõtted, sh organisatsioonile

kohandatud kahjustsenaariumid, riski aktsepteerimise kriteeriumid, kaitsetarbe komponendid

(vähemalt konfidentsiaalsus, terviklus, käideldavus ehk C-I-A) ja täpsustab kaitsetarbe

määramise skaala, lähtudes organisatsiooni eripäradest.

7.1.3 Kaitsealasse kuuluvate sihtobjektide kaitsetarve tuvastatakse ja dokumenteeritakse, sh

määratakse kaitsetarve väljast tellitavatele teenustele (tarneahel).

7.1.4 Riskihalduse käik ja tuvastatud või määratud meetmete rakendamise otsused

dokumenteeritakse korratavuse ja võrreldavuse eesmärgil.

7.2. Etalonturbe modelleerimine 7.2.1 Organisatsioon vastendab kaitsealasse kuuluva iga sihtobjekti etalonturbe kataloogi ühe

või mitme mooduliga. Moodulite rakendamise järjekord määratakse lähtuvalt organisatsiooni

infoturvapoliitikast ja reaalsetest vajadustest.

7.2.2 Moodulist sihtobjekti turvameetmete tuvastamisel arvestatakse:

a) turbeviisi (põhiturve, standardturve või tuumikuturve);

b) sihtobjekti kaitsetarvet;

c) meetme seost infoturbeprotsessi ja sihtobjekti elutsükliga.

7.2.3 Etalonturbe kataloogi protsessimoodulrühmade kõik moodulid kaasatakse

rakendusplaani. Mooduli käsitlemata jätmine peab olema põhjendatud.

7.2.4 Süsteemimoodulid rakendatakse vastavuses kaitseala määratlusega.

7.2.5 Kui organisatsioon on normaalse kaitsetarbe korral valinud turbeviisiks põhiturbe, tuleb

etalonturbe meetmete rakendamisel tagada esmajärjekorras põhimeetmete rakendamine. Pideva

infoturbe täiendamise protsessi eesmärk on standardturbe rakendamine. Väljajätud põhiturbest

tuleb põhjendada, lähtudes eelkõige riskide aktsepteerimise kriteeriumitest.

7.2.6 Standardturbe puhul rakendatakse lisaks esmajärjekorras rakendatud põhimeetmetele ka

standardmeetmed ja veendutakse etalonturbe välise riskihaldusega etalonturbe meetmete

piisavuses. Vajadusel rakendatakse olenevalt kaitsetarbest kõrgmeetmed ja etalonturbe välised

lisameetmed. Väljajätud põhimeetmetest ja standardmeetmetest põhjendatakse, lähtudes

eelkõige riskide aktsepteerimise kriteeriumitest.

14

7.3. Etalonturbe väline riskihaldus 7.3.1 Organisatsioon suunab etalonturbe välisesse riskihaldusse sihtobjektid, mille jaoks

puudub etalonturbe kataloogis sobiv moodul. Lisaks suunatakse välisesse riskihaldusse

sihtobjektid, kui sihtobjektid, mille puhul on täidetud üks järgmistest tingimustest:

a) kaitsetarve on suur või väga suur;

b) kaitsetarve on määramata või ebaselge;

c) kasutusviisid ei ole vastavuses etalonturbe kataloogi moodulite kirjeldustega;

d) etalonturbe kataloogi meetmed osutuvad turvaeesmärkide täitmisel puudulikuks (jääkrisk ei

ole aktsepteeritav;

e) kui sihtobjektist sõltub samaaegselt mitme organisatsiooni jaoks olulise äriprotsessi

toimimine.

7.3.2 Organisatsioon määrab etalonturbe välise riskihalduse protsessi. Riskihalduse asjaolud,

kulg ja tulemused dokumenteeritakse.

7.3.3 Etalonturbe väline riskihaldus määrab sihtobjektidele lisaturvameetmeid, lähtudes

sihtobjekti kaitsetarbest ja infoturvaeesmärkidest.

8. Infoturvameetmete rakendamine 8.1 Tehnilised meetmed rakendatakse kõigile kaitseala sihtobjektidele.

8.2 Organisatsioonilised meetmed lõimitakse organisatsiooni kõigisse protsessidesse.

8.3 Meetmete rakendamise eest vastutab vastava protsessi juht või etalonturbe kataloogis

nimetatud vastutaja rolli täitja. Rakendamist koordineerib ja nõustab infoturbejuht.

8.4 Organisatsioon hindab tuvastatud ja määratud meetmete:

a) ressursside ühekordseid ja korduvaid kulusid;

b) sobivust, teostatavust, piisavust, võimalikku toime efektiivsust ja meetmete omavahelisi

mõjusid.

8.5 Infoturvaeesmärkide järgi määrab organisatsioon eelnevalt tuvastatud info põhjal infoturbe

meetmete rakendusplaanis (IMR) vähemalt:

a) rakendatavad turvameetmed koos nimetuse ja identifikaatoritega, sh etalonturbe välise

riskihalduse käigus määratud lisameetmed;

b) meetme teostatuse määra;

c) meetme rakendamise puhul selgitus ajakohase ülevaate ja hilisema jälitatavuse eesmärgil,

kuidas meede on organisatsioonis rakendatud; meetme mitterakendamisel selle kohaldamata

jätmise põhjendus; meetme osalise rakendamise puhul täpsustav selgitus, milliste

äriprotsesside, varade või alammeetme osas on meede täitmata;

d) meetme rakendamise eest vastutajad;

e) meetmete rakendamise või meetme järgmise sisulise ülevaatuse tähtajad.

8.6 Organisatsiooni juhtkond teadvustab ja aktsepteerib regulaarselt jääkriskid ning nende

alusel kinnitab rakendusplaani.

8.7 Meetmed rakendatakse vastavalt rakendusplaanile.

8.8 Organisatsioon tagab meetmetes kirjeldatud korduvate ja regulaarsete tegevuste

tõendatavuse, võrreldavuse, järjepidevuse ja õigeaegsuse.

9. Infoturbe käigushoid 9.1 Organisatsioon tagab infoturbeprotsessi ning -turvameetmete pideva ja jätkusuutliku

toimimise. Jälgitakse ja mõõdetakse:

a) infoturvaeesmärkide saavutatust ja -meetmete sobivust ning tõhusust;

b) ressursside kasutamist.

15

9.2 Organisatsioon reageerib muutustele organisatsiooni eesmärkides, regulatsioonide nõuetes

ja lepingulistes kohustustes ning ümbritsevas infoturbeolukorras. Protsessijuhid tagavad

infoturvet puudutava teabe õigeaegse edastamise asjakohaste rollide täitjatele.

9.3 Seiratakse protsesside ja süsteemide töö käigus tekkinud teavet. Olulistele infoturbe

sündmustele reageeritakse ja need registreeritakse.

9.4 Seire, ülevaatuste ja kontrollide dokumenteeritud tulemusi ja järeldusi kasutab

organisatsioon riskihalduses ettepanekute koostamiseks infoturbeprotsessi ja -meetmete

täiustamiseks ning muutmiseks.

9.5 Infoturbeprotsessi käigus ilmnenud asjaoludest ja nende muutumisest teavitatakse vajalikus

ulatuses:

a) organisatsiooni juhtkonda;

b) määratud rollide täitjaid;

c) organisatsiooni töötajaid;

d) teisi huvipooli.

10. Infoturbeprotsessi täiustamine

10.1. Infoturbe parendamine 10.1.1 Organisatsioon kontrollib perioodiliselt infoturbeprotsessi, infoturvapoliitika ja

infoturvaeesmärkide sobivust ja asjakohasust.

10.1.2 Infoturbeprotsessi täiustamise põhjused on muu hulgas järgmised:

a) organisatsiooni eesmärkide ja nõuete muutused;

b) infoturvapoliitika ja infoturvaeesmärkide muutused;

c) turvaolukorra muutused;

d) regulatsioonide ja standardite muutused;

e) kaitseala ja kaitsetarbe olulised muutused;

f) infoturbeprotsessi käigus ilmnenud asjaolud, sh intsidentide, läbivaatuste, auditeerimiste

järeldused ja ettepanekud.

10.1.3 Organisatsiooni juhtkond teeb otsused infoturbe täiustamiseks, tuginedes punktis 5.2.3

nimetatud teabele.

10.2. Sõltumatu läbivaatus 10.2.1 Organisatsioon korraldab regulaarselt infoturbeprotsessi tulemite ja seisundi sõltumatu

läbivaatuse. Sõltumatuks läbivaatuseks võib olla ka käsitlusala hõlmav siseaudit.

10.2.2 Sõltumatul läbivaatusel hinnatakse organisatsiooni infoturbehalduse vastavust:

a) siinse dokumendiga;

b) organisatsiooni infoturvapoliitikaga.

10.2.3 Sõltumatu läbivaatuse elluviijaks on vastavalt infoturvapoliitikale kas siseaudiitor,

siseaudiitori rollitäitja (nt välisaudiitor) või käsitlusala suhtes asjakohase pädevusega sõltumatu

töötaja. Sõltumatul läbivaatusel välditakse kontrollija ja rakendaja rollide huvikonflikti.

10.2.4 Organisatsioon määrab sõltumatu läbivaatuse käsitlusala ja eesmärgid. Läbivaatuse

elluviimisel arvestatakse:

a) organisatsiooni eesmärke;

b) regulatsioonide nõudeid ja lepingulisi kohustusi;

c) organisatsiooni infoturvapoliitikat ja -eesmärke;

d) varasemate läbivaatuste tulemusi.

10.2.5 Läbivaatuste tulemused ja ettepanekud dokumenteeritakse täiustamise ja jälitatavuse

eesmärgil. Tulemusi arvestatakse organisatsiooni protsesside täiustamisel.

16

11. E-ITS auditeerimine 11.1 E-ITS auditi eesmärk on hinnata, kas organisatsiooni infoturbe halduse süsteem ning selle

raames rakendatud meetmed on vastavuses antud dokumendiga ning on piisavad

organisatsiooni äriprotsesside kaitseks ja organisatsiooni eesmärkide täitmiseks

11.2 Infoturbe halduse süsteemi auditeerimine viiakse läbi vastavalt määruse lisas 3 toodud

auditeerimiseeskirjale.

11.3 Infoturbe halduse süsteemi rakendatust auditeeritakse:

a) kohustuslikult – regulatsioonidest lähtuvalt või

b) lepingukohustuste täitmiseks või

c) vabatahtlikult – vastavalt organisatsiooni eesmärkidele ja infoturvapoliitikale.

11.4 Audiitori järelotsus on tõend organisatsiooni infoturbe toimivuse kohta.

põh„Ettevõtlus- ja infotehnoloogiaministri

16. detsembri 2022 määruse

nr 101 „Eesti infoturbestandard“

Lisa 2

(muudetud sõnastuses)

Eesti infoturbestandard

Etalonturbe kataloog

2

Sisukord

ISMS: TURBEHALDUS ....................................................................................................................................... 5

ISMS.1 TURBEHALDUS ............................................................................................................................................ 5

ORP: ORGANISATSIOON JA PERSONAL .......................................................................................................... 13

ORP.1 INFOTURBE KORRALDUS ............................................................................................................................... 13 ORP.2 PERSONAL................................................................................................................................................. 17 ORP.3 INFOTURBE TEADLIKKUSE TÕSTMINE JA KOOLITUS .............................................................................................. 21 ORP.4 IDENTITEEDI- JA ÕIGUSTE HALDUS .................................................................................................................. 25 ORP.5 VASTAVUSEHALDUS (NÕUETE HALDUS) ........................................................................................................... 33

CON: KONTSEPTSIOONID JA METOODIKAD ................................................................................................... 35

CON.1 KRÜPTOKONTSEPTSIOON ............................................................................................................................. 35 CON.2 ISIKUANDMETE KAITSE ................................................................................................................................ 41 CON.3 ANDMEVARUNDUSE KONTSEPTSIOON ............................................................................................................ 53 CON.6 ANDMETE KUSTUTUS JA HÄVITAMINE ............................................................................................................. 58 CON.7 VÄLISLÄHETUSTE INFOTURVE ........................................................................................................................ 62 CON.8 TARKVARAARENDUS ................................................................................................................................... 68 CON.9 TEABEVAHETUS ......................................................................................................................................... 76 CON.10 VEEBIRAKENDUSTE ARENDUS ...................................................................................................................... 79

OPS: KÄIDUTÖÖD .......................................................................................................................................... 86

OPS.1 OMA KÄIDUTÖÖD ....................................................................................................................................... 86 OPS.1.1 IT-PÕHITÖÖD .......................................................................................................................................... 86 OPS.1.1.1 IT-HALDUS ÜLDISELT ............................................................................................................................. 86 OPS.1.1.2 IT-SÜSTEEMIDE HALDUS ......................................................................................................................... 96 OPS.1.1.3 PAIGA- JA MUUDATUSEHALDUS ............................................................................................................. 103 OPS.1.1.4 KAITSE KAHJURPROGRAMMIDE EEST ....................................................................................................... 108 OPS.1.1.5 LOGIMINE ......................................................................................................................................... 113 OPS.1.1.6 TARKVARA TESTIMINE JA KASUTUSELEVÕTT .............................................................................................. 117 OPS.1.1.7 SÜSTEEMIHALDUS ............................................................................................................................... 122 OPS.1.2 ABITEGEVUSED ...................................................................................................................................... 130 OPS.1.2.2 ARHIVEERIMINE .................................................................................................................................. 130 OPS.1.2.4 KAUGTÖÖ ......................................................................................................................................... 138 OPS.1.2.5 KAUGHOOLDUS .................................................................................................................................. 142 OPS.1.2.6 KELLADE SÜNKRONISEERIMINE NTP-SERVERIGA ........................................................................................ 149 OPS.2 KÄIDUTÖÖD TEENUSENA ............................................................................................................................ 152 OPS.2.2 PILVTEENUSTE KASUTAMINE .................................................................................................................... 152 OPS.2.3 VÄLJASTTELLIMINE ................................................................................................................................. 160 OPS.3 TEENUSEANDJA KÄIDUTÖÖD ....................................................................................................................... 169 OPS.3.2 TEENUSEANDJA INFOTURVE ..................................................................................................................... 169

DER: AVASTAMINE JA REAGEERIMINE ......................................................................................................... 177

DER.1 TURVAINTSIDENTIDE AVASTAMINE ............................................................................................................... 177 DER.2 TURVAINTSIDENTIDE HALDUS ...................................................................................................................... 183 DER.2.1 TURVAINTSIDENTIDE KÄSITLUS .................................................................................................................. 183 DER.2.2 IT-KRIMINALISTIKA VÕIMALDAMINE ........................................................................................................... 189 DER.2.3 ULATUSLIKE TURVAINTSIDENTIDE LAHENDAMINE .......................................................................................... 193 DER.3 INFOTURBE HINDAMINE ............................................................................................................................. 198 DER.3.1 AUDITID JA LÄBIVAATUSED....................................................................................................................... 198 DER.3.2 INFOTURBE VASTAVUSAUDITID ................................................................................................................. 205 DER.4 AVARIIHALDUS ......................................................................................................................................... 209

INF: TARISTU ................................................................................................................................................ 214

3

INF.1 HOONE ÜLDISELT ....................................................................................................................................... 214 INF.2 SERVERIRUUM JA ANDMEKESKUS .................................................................................................................. 225 INF.5 TEHNILISE TARISTU RUUM VÕI KAPP ............................................................................................................... 233 INF.6 ANDMEKANDJATE ARHIIV ............................................................................................................................ 241 INF.7 BÜROOTÖÖKOHT ....................................................................................................................................... 244 INF.8 KODUTÖÖKOHT ......................................................................................................................................... 247 INF.9 MOBIILTÖÖKOHT ....................................................................................................................................... 251 INF.10 KOOSOLEKU-, ÜRITUSE- JA KOOLITUSRUUM ................................................................................................... 256 INF.11 SÕIDUKITE IT-KOMPONENDID .................................................................................................................... 260 INF.12 KAABELDUS ............................................................................................................................................ 266 INF.13 HOONETE TEHNILINE HALDUS ..................................................................................................................... 273 INF.14 HOONEAUTOMAATIKASÜSTEEMID ............................................................................................................... 285

NET: VÕRGUD JA SIDE .................................................................................................................................. 298

NET.1 VÕRGUD JA SIDE ....................................................................................................................................... 298 NET.1.1 VÕRGU ARHITEKTUUR JA LAHENDUS .......................................................................................................... 298 NET.1.2 VÕRGUHALDUS ..................................................................................................................................... 308 NET.2 RAADIOVÕRGUD ....................................................................................................................................... 315 NET.2.1 RAADIOKOHTVÕRGU KÄITAMINE ............................................................................................................... 315 NET.2.2 RAADIOKOHTVÕRGU KASUTAMINE ............................................................................................................ 323 NET.3 VÕRGUKOMPONENDID .............................................................................................................................. 326 NET.3.1 RUUTER JA KOMMUTAATOR ..................................................................................................................... 326 NET.3.2 TULEMÜÜR ........................................................................................................................................... 333 NET.3.3 VIRTUAALNE PRIVAATVÕRK (VPN) ............................................................................................................ 340 NET.3.4 VÕRKUPÄÄSU REGULEERIMINE (NAC) ....................................................................................................... 344 NET.4 SIDE ....................................................................................................................................................... 354 NET.4.1 TELEFONIKESKJAAM................................................................................................................................ 354 NET.4.2 IP-TELEFON (VOIP) ................................................................................................................................ 360

SYS: IT-SÜSTEEMID ...................................................................................................................................... 365

SYS.1 SERVER .................................................................................................................................................... 365 SYS.1.1 SERVER ÜLDISELT .................................................................................................................................... 365 SYS.1.2 WINDOWS SERVER ................................................................................................................................. 376 SYS.1.2.2 WINDOWS SERVER 2012 ..................................................................................................................... 376 SYS.1.2.3 WINDOWS SERVER .............................................................................................................................. 381 SYS.1.3 LINUXI JA UNIXI SERVER ........................................................................................................................... 384 SYS.1.5 VIRTUALISEERIMISSÜSTEEM ...................................................................................................................... 388 SYS.1.6 KONTEINERDUS ...................................................................................................................................... 395 SYS.1.8 SALVESTILAHENDUSED ............................................................................................................................. 403 SYS.1.9 TERMINALISERVER .................................................................................................................................. 411 SYS.2 KLIENTARVUTID ......................................................................................................................................... 418 SYS.2.1 KLIENTARVUTI ÜLDISELT ........................................................................................................................... 418 SYS.2.2 WINDOWS KLIENDID ............................................................................................................................... 430 SYS.2.2.3 WINDOWS 10 JA WINDOWS 11 ............................................................................................................. 430 SYS.2.3 LINUXI JA UNIXI KLIENT ............................................................................................................................ 436 SYS.2.4 MACOS-I KLIENT..................................................................................................................................... 441 SYS.2.5 KLIENDI VIRTUALISEERIMINE ..................................................................................................................... 446 SYS.3 MOBIILSEADMED ....................................................................................................................................... 452 SYS.3.1 SÜLEARVUTID ........................................................................................................................................ 452 SYS.3.2 NUTITELEFON JA TAHVELARVUTI ................................................................................................................ 458 SYS.3.2.1 NUTITELEFON JA TAHVELARVUTI ÜLDISELT................................................................................................. 458 SYS.3.2.2 MOBIILSEADMETE HALDUS (MDM) ........................................................................................................ 467 SYS.3.2.3 ORGANISATSIOONI IOS ......................................................................................................................... 472 SYS.3.2.4 ANDROID ........................................................................................................................................... 476 SYS.3.3 MOBIILTELEFON ..................................................................................................................................... 479 SYS.4 MUUD SÜSTEEMID ..................................................................................................................................... 485 SYS.4.1 PRINTER JA KONTORIKOMBAIN .................................................................................................................. 485

4

SYS.4.3 SARDSÜSTEEMID (EMBEDDED SYSTEMS) ...................................................................................................... 491 SYS.4.4 ESEMEVÕRGU (IOT) SEADE ÜLDISELT .......................................................................................................... 499 SYS.4.5 IRDANDMEKANDJAD ................................................................................................................................ 506 SYS.EE EESTI IT-SÜSTEEMID ................................................................................................................................. 511 SYS.EE.1 X-TEE TURVASERVER .............................................................................................................................. 511 SYS.EE.2 EID KOMPONENDID ............................................................................................................................... 519

APP: RAKENDUSED ...................................................................................................................................... 527

APP.1 KLIENTRAKENDUSED .................................................................................................................................. 527 APP.1.1 KONTORITARKVARA ................................................................................................................................ 527 APP.1.2 VEEBIBRAUSER ...................................................................................................................................... 531 APP.1.4 MOBIILIRAKENDUSED (ÄPID) .................................................................................................................... 535 APP.2 KATALOOGITEENUSED ................................................................................................................................ 539 APP.2.1 KATALOOGITEENUS ÜLDISELT.................................................................................................................... 539 APP.2.2 ACTIVE DIRECTORY DOMAIN SERVICES ....................................................................................................... 545 APP.2.3 OPENLDAP .......................................................................................................................................... 553 APP.3 VÕRGUTEENUSED ..................................................................................................................................... 557 APP.3.1 VEEBIRAKENDUSED ................................................................................................................................ 557 APP.3.2 VEEBISERVER ........................................................................................................................................ 561 APP.3.3 FAILISERVER .......................................................................................................................................... 567 APP.3.4 SAMBA ................................................................................................................................................ 571 APP.3.6 DNS-SERVER ........................................................................................................................................ 575 APP.4 ÄRIRAKENDUSED ...................................................................................................................................... 581 APP.4.3 ANDMEBAASISÜSTEEMID ......................................................................................................................... 581 APP.4.4 KUBERNETES ......................................................................................................................................... 587 APP.5 RÜHMATARKVARA .................................................................................................................................... 594 APP.5.2 MICROSOFT EXCHANGE JA OUTLOOK ......................................................................................................... 594 APP.5.3 E-POSTI SERVER JA KLIENT ÜLDISELT ........................................................................................................... 598 APP.5.4 ÜHENDATUD SIDE- JA KOOSTÖÖLAHENDUSED (UCC) .................................................................................... 604 APP.6 TARKVARA ÜLDISELT .................................................................................................................................. 611 APP.7 TELLIMUSTARKVARA ARENDUS ..................................................................................................................... 618 APP.EE EESTI RAKENDUSED ................................................................................................................................. 622 APP.EE.1 X-TEE ANDMETEENUS ........................................................................................................................... 622 APP.EE.2 TEHISINTELLEKTISÜSTEEMID ................................................................................................................... 630

IND: TÖÖSTUSE IT ........................................................................................................................................ 639

IND.1 KÄIDU- JA PROTSESSIJUHTIMISSÜSTEEMID ...................................................................................................... 639 IND.2 TÖÖSTUSAUTOMAATIKA ............................................................................................................................. 650 IND.2.1 TÖÖSTUSAUTOMAATIKA KOMPONENDID ÜLDISELT ........................................................................................ 650 IND.2.2 PROGRAMMEERITAVAD KONTROLLERID ...................................................................................................... 655 IND.2.3 ANDURID JA TÄITURID ............................................................................................................................. 656 IND.2.4 ROBOTSEADMED .................................................................................................................................... 658 IND.2.7 OHUTUSAUTOMAATIKA ........................................................................................................................... 659 IND.3 KÄIDUTEHNOLOOGIA VÕRGUD ..................................................................................................................... 663 IND.3.2 KÄIDUTEHNOLOOGIA KOMPONENTIDE KAUGHOOLDUS ................................................................................... 663

5

ISMS: Turbehaldus

ISMS.1 Turbehaldus

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed infoturbe halduse süsteemi (ingl Information Security Management System,

edaspidi ISMS) rajamiseks ning täiustamiseks. Esitada juhised turbekontseptsiooni

väljatöötamiseks.

1.2. Vastutus

Turbehalduse meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad: teenuse osutaja ja küberturvalisuse seaduse § 3 lõikes 4 nimetatud riigi- või

kohaliku omavalitsuse asutuse, hallatav asutuse, riigitulundusasutuse, avalik-õiguslik

juriidilise isiku või nende struktuuriüksuse (edaspidi koos organisatsioon) juhtkond, ülemus.

1.3. Piirangud

Moodul põhineb etalonturbe metoodikal ja määruse lisas 1 toodud infoturbe halduse süsteemi

nõuetel (edaspidi nõuded infoturbe halduse süsteemile). Infoturbega seotud personalimeetmeid

käsitletakse mooduligrupis ORP.2 Personal.

2. Ohud

2.1. Isikliku vastutuse puudumine turbeprotsessis

Kui organisatsiooni turbeprotsessis ei ole töökohustused piisava täpsusega määratud, puudub

töötajal isiklik vastutus infoturbe tagamise eest. Töötajad enamasti väldivad lisakohustusi,

mistõttu jäävad turvameetmed rakendamata.

2.2. Puudulik toetus organisatsiooni juhtkonnalt

Infoturbejuht ei kuulu organisatsiooni juhtkonda, mille tulemusel on tal raske nõuda infoturbe

meetmete rakendamist kõrgemal positsioonil olevatelt isikutelt. Töötajad ei täida infoturbe

nõudeid, kui juhtkond ise eeskuju ei näita.

2.3. Ebapiisav kava infoturbe strateegia elluviimiseks

Turbekontseptsioonis sisalduvaid strateegilisi eesmärke võidakse pidada pelgalt kavatsuste

deklaratsiooniks ja nende elluviimiseks ei eraldata piisavalt ressursse.

2.4. Ebaoptimaalsed investeeringud

6

Oludes, kus organisatsiooni juhtkond ei ole teadlik infoturbe tegelikust olukorrast, infoturbe

tagamiseks piisavaid ressursse kas ei eraldata või ei kasutata neid parimal viisil. Puudused

ressursside jaotamisel võivad põhjustada üleinvesteerimist ühes lõigus kui teistes lõikudes on

ressursipuudus. Ülemäära kallite ja keerukate tehniliste turbelahendustega võib kaasneda uusi

turvanõrkusi.

2.5. Turvameetmete rakendamata jätmine

Kui organisatsioon ei ole seadnud selgeid infoturbe eesmärke, saab infoturbe vajadust

organisatsioonis tõlgendada mitmeti. Kui infoturvet ei peeta vajalikuks või piisavalt oluliseks,

jäävad turvameetmed rakendamata.

2.6. Turbeprotsessi ajakohastamata jätmine

Kui organisatsioon pidevalt ei panusta turbeprotsessi läbivaatamisse ja parendamisse, siis

organisatsiooni turvatase langeb või aegamööda asendub ohtliku näilise turvalisusega.

Väheneb organisatsiooni vastupanuvõime uutele infoturbe ohtudele.

2.7. Seaduste ja lepingute mittetäitmine

Kui organisatsiooni töötajatel on puudulikud teadmised õigusaktidest, siis võidakse nende

nõudeid tahtmatult rikkuda. Lepingutes sätestatud turvatingimuste mittetäitmine võib kaasa

tuua leppetrahve või isegi lepingu lõpetamise ning ärisuhete katkestamise.

2.8. Äriprotsesside häirivad turvaintsidendid

Turvasündmus, mida sageli täiendab asjaolude halb kokkusattumus, võib vallandada

turvaintsidendi, millel on organisatsiooni olulistele äriprotsessidele negatiivne mõju. Isegi kui

turvaintsident ei saa avalikkusele teatavaks, võib see halvendada suhteid äripartnerite ja

klientidega.

2.9. Ebamajanduslik ressursikasutus puuduliku turbehalduse tõttu

Turvatoodete ebaühtlase ja koordineerimata rakendamise korral kasutatakse raha ja tööjõudu

ebaotstarbekalt. Puuduliku turbehalduse korral võivad organisatsioonile suurimat

lisandväärtust toovad protsessid jääda piisava infoturbe investeeringuta.

3. Meetmed

3.1. Elutsükkel

Kavandamine

ISMS.1.M1 Infoturbe üldvastutuse võtmine juhtkonnatasemel

ISMS.1.M10 Turbekontseptsioon

Evitus

ISMS.1.M2 Infoturbe eesmärgid

ISMS.1.M3 Infoturvapoliitika

7

ISMS.1.M4 Infoturbejuhi määramine

ISMS.1.M5 Leping välise infoturbejuhi kasutamiseks

ISMS.1.M6 Infoturbekorralduse rajamine

ISMS.1.M7 Turvameetmete määramine

ISMS.1.M13 Turbeprotsessi dokumenteerimine

ISMS.1.M17 Kindlustuslepingute sõlmimine

Käitus

ISMS.1.M8 Töötajate lõimimine turbeprotsessi

ISMS.1.M9 Infoturbe lõimimine organisatsiooniülestesse protsessidesse

ISMS.1.M11 Infoturbe käigushoid

ISMS.1.M15 Infoturberessursside ökonoomne kasutus

ISMS.1.M16 Täpsustavate turvapoliitikate väljatöötamine

Parendamine

ISMS.1.M12 Infoturbearuanded juhtkonnale

3.2. Põhimeetmed

ISMS.1.M1 Infoturbe üldvastutuse võtmine juhtkonnatasemel [organisatsiooni

juhtkond]

a. Organisatsiooni juhtkond võtab üldvastutuse organisatsiooni infoturbe eest. Juhtkonna

kohustumus on kõigile asjaosalistele nähtav ja selgelt arusaadav.

b. Juhtkond algatab turbeprotsessi, juhib ja kontrollib protsessi ning on infoturbe korraldamisel

eeskujuks.

c. Organisatsiooni juhtkond:

• määrab infoturbega seotud rollid ja ülesanded;

• tagab infoturbe töötajate pädevuse;

• tagab infoturbega seotud ülesannete täitmiseks vajalikud ressursid.

d. Organisatsiooni juhtkonda teavitatakse infoturbe olukorrast regulaarselt.

ISMS.1.M2 Infoturbe eesmärgid [organisatsiooni juhtkond]

a. Arvestades organisatsiooni eesmärke, äriprotsesse ja muud olulist teavet, määrab

organisatsiooni juhtkond infoturbe eesmärgid.

b. Infoturbe eesmärgid on dokumenteeritud. Eesmärgid on realistlikud, praktilised,

põhjendatud ja arusaadavad.

c. Organisatsiooni juhtkond vaatab turvaeesmärke regulaarselt üle, tagamaks, et eesmärgid on

endiselt sobivad ja ajakohased.

ISMS.1.M3 Infoturvapoliitika [organisatsiooni juhtkond]

a. Organisatsiooni juhtkond piiritleb üheselt ja selgelt infoturbe kaitseala.

8

b. Organisatsiooni juhtkond kinnitab ja kehtestab infoturvapoliitika.

c. Infoturvapoliitikas kajastatakse vähemalt järgmised aspektid:

• infoturbe tähtsus ning tähendus organisatsioonile;

• turbe strateegia põhielemendid;

• juhtkonna kohustumus;

• turbeprotsessi rakendamise korralduslikud alused;

• tulemuslikkuse hindamise põhimõtted.

d. Infoturvapoliitika seostab turvaeesmärgid organisatsiooni eesmärkidega arusaadaval ja iga

töötajat motiveerival viisil.

e. Infoturvapoliitika tehakse teatavaks kõigile töötajatele ja organisatsiooni partneritele,

vajadusel ka avalikkusele. Juurdepääs olulisele teabele võimaldatakse töötajatele ja partneritele

üksnes pärast poliitika aktsepteerimist.

f. Infoturvapoliitikat ajakohastatakse regulaarselt või oluliste muudatuste puhul

infotehnoloogia (edaspidi IT) süsteemides, organisatsiooni eesmärkides või turbe strateegias.

ISMS.1.M4 Infoturbejuhi määramine [organisatsiooni juhtkond]

a. Organisatsiooni juhtkond määrab infoturbe eest vastutava isiku - infoturbejuhi, kelle

kohustused hõlmavad vähemalt järgmist:

• infoturbeprotsessi juhtimine ja koordineerimine;

• juhtkonna toetamine infoturvapoliitika kehtestamisel;

• turbekontseptsiooni väljatöötamine ning koordineerimine;

• infoturvapoliitika ja -meetmete jõustamine;

• turvameetmete rakendusplaani väljatöötamine, elluviimise algatamine ja kontrollimine;

• juhtkonna pidev teavitamine infoturbe hetkeseisust;

• infoturbe projektide koordineerimine;

• infoturbeintsidentide menetlemine;

• infoturbeteadlikkuse suurendamine, koolituste korraldamine.

b. Organisatsiooni juhtkond tagab infoturbejuhile tööks vajalikud tingimused ja ligipääsud

teabele ning objektidele.

c. Infoturbejuhi erialane kvalifikatsioon on piisav ning infoturbejuhile on tagatud võimalused

oma teadmiste täiendamiseks.

d. Infoturbejuhi kompetents ja isikuomadused lisaks erialastele oskustele on järgnevad:

• organisatsiooni eesmärkide ja äriprotsesside tundmine;

• koostöövõime, meeskonnatöö oskused;

• iseseisvalt töötamise võime;

• tahe ennast erialaselt täiendada;

• enesekehtestamise oskus;

• projektijuhtimise kogemus.

e. Infoturbejuht teeb oma ülesannete täitmisel koostööd andmekaitsespetsialisti ning väliste

regulaatoritega.

9

f. Infoturbejuht on kaasatud IT projektidesse ning IT-süsteemide arendusprotsessi.

ISMS.1.M5 Leping välise infoturbejuhi kasutamiseks [organisatsiooni juhtkond]

a. Kui infoturbejuhi rolli ei saa täita oma töötajaga, siis hangitakse infoturbejuht teenusena

väljastpoolt organisatsiooni.

b. Välisel infoturbejuhil on vajalik kvalifikatsioon.

c. Infoturbejuhi teenuseleping sisaldab infoturbejuhi tööülesandeid ning nendega seotud õigusi

ja kohustusi. Sätestatud on vähemalt järgmised aspektid:

• kvalifikatsiooninõuded;

• tööülesanded;

• minimaalsed ressursid ülesannete täitmiseks;

• teatamis- ja aruandlusahel, kontaktisikud;

• töökohad, tööruumid, kohaloleku- ja kättesaadavusajad;

• pääsuõigused;

• aruandluskohustus;

• koostöökohustus teenuse ostjaga.

d. Välise infoturbejuhiga on sõlmitud konfidentsiaalsusleping.

e. Infoturbejuhi teenuselepingus kajastatakse lepingulise suhte kogu elutsükkel, sealhulgas:

• töid teostavate isikute asendamise kord;

• huvide konflikti määratlus ja lahendusviisid;

• lepingu rikkumise tagajärjed;

• lepingulise suhte lõpetamise kord;

• lepingu täitmisega seotud kulud.

ISMS.1.M6 Infoturbekorralduse rajamine [organisatsiooni juhtkond]

a. Organisatsiooni juhtkond kehtestab infoturbe korralduse organisatsioonis ja tagab selleks

vajalikud ressursid (raha, tööjõud, vahendid jms).

b. Organisatsiooni juhtkond määrab turvaeesmärkide saavutamiseks vajalikud rollid ning

nimetab piisava kvalifikatsiooniga isikud nende rollide täitmiseks.

c. Infoturbe erinevate aspektide haldamiseks teevad koostööd:

• infoturbejuht;

• IT-juht;

• äriüksuste juhid;

• andmekaitsespetsialist.

d. Turbehalduse ülesanded on sõnastatud arusaadavalt, kohustused on selgelt määratud.

e. Kõigile olulist infoturbe rolli täitvatele isikutele on kehtestatud asendamise kord.

f. Infoturbekorralduse suhtlusteed on plaanitud, kirjeldatud, korraldatud ja teatavaks tehtud.

Rollide kirjeldused sisaldavad, keda ja millises ulatuses tuleb infoturbe sündmustest teavitada.

10

ISMS.1.M7 Turvameetmete määramine

a. Määratud on turvaeesmärkidest ja kaitsetarbest tulenevad turvameetmed, mis vastavad

järgmistele põhinõuetele:

• turvameetmete valik võtab arvesse toimivust, tõhusust ja majanduslikku otstarbekust;

• meetmete valik on põhjendatud ning aluskaalutlusteni tagasijälitatav;

• määratud on turvameetmete eest vastutavad isikud;

• meetme rakendamise kirjeldus on esitatud turbeülesande täitmiseks vajaliku täpsusega.

b. Rakendatavad turvameetmed on süsteemselt dokumenteeritud, vajadusel meetme rakenduse

kirjeldust ajakohastatakse.

c. Määratud, kuid rakendamata jäetud meetme puhul:

• on tehtud täiendav riskianalüüs, mis on aluseks juhtkonnale riski aktsepteerimise või

mitteaktsepteerimise osas;

• on dokumenteeritud mitterakendamise põhjus ja asjaolud.

ISMS.1.M8 Töötajate lõimimine turbeprotsessi [ülemus]

a. Töötajad on kaasatud turbeprotsessi. Töötajad on teadlikud infoturbe ohtudest, tunnevad

turvameetmeid ning oskavad neid tööülesannete täitmisel järgida.

b. Töötajatel on võimalik osaleda turvameetmete kavandamisel ja rakendamisel.

c. Enne turvapoliitika ja turvameetmete jõustamist selgitatakse töötajatele meetmete

rakendamise vajalikkust.

d. Turvameetmete rakendamine mõjutab töötajate igapäevatööd võimalikult vähesel määral.

e. Töötajaid on teavitatud infoturvapoliitikate mittejärgimise ja turvameetmete eiramise

võimalikest tagajärgedest.

ISMS.1.M9 Infoturbe lõimimine organisatsiooniülestesse protsessidesse [organisatsiooni

juhtkond]

a. Infoturve on integreeritud kõigisse organisatsiooni äri- ja tugiprotsessidesse, äriprotsesside

varadele infoturbe meetmete rakendamiseks on määratud vastutajad.

b. Infoturbe aspekte arvestatakse nii uute äriprotsesside juurutamisel kui olemasolevate

äriprotsesside muutmisel.

c. Infoturbe haldus organisatsioonis on kooskõlas muude turvalisuse ja riskihaldusega seotud

valdkondadega.

d. Infoturbejuht on alati ja vajalikul määral kaasatud infoturvet sisaldavate valdkondlike otsuste

tegemisse.

11

ISMS.1.M10 Turbekontseptsioon

a. Infoturbe strateegia elluviimiseks ja infoturbe eesmärkide täitmiseks on välja töötatud

turbekontseptsioon (ingl security concept). Turbekontseptsioon on turbeprotsessi

alusdokument. Organisatsioonis võib olla samaaegselt mitu erinevat turbekontseptsiooni, mis

rakenduvad organisatsiooni eri osadele.

b. Turbekontseptsiooni koostamisel arvestatakse infotehnoloogiast sõltuvaid äriprotsesse ja

neid negatiivselt mõjutada võivaid riske.

c. Turbekontseptsioon määratleb vähemalt järgmist:

• kaitseala ja sellesse kuuluvad varad;

• kaitstavad äriprotsessid;

• äriprotsesside ja andmete kaitsetarve;

• turvameetmete modelleerimise protsess (sh meetmete prioriteedid ja teostusjärjekord, vt

ISMS.1.M7 Turvameetmete määramine);

• riskianalüüsi korraldus;

• turbeprotsesside dokumenteerimise kohustus;

• infoturbe koolituste korraldus;

• infoturbe aruandluse korraldus.

d. Turbekontseptsioon arvestab asjakohaseid normdokumente ja õigusakte.

ISMS.1.M11 Infoturbe käigushoid

a. Turbeprotsessi, turbekontseptsiooni, infoturvapoliitika ja infoturbekorralduse toimivust,

täielikkust ja ajakohasust kontrollitakse regulaarselt.

b. Regulaarseteks turvaläbivaatusteks on planeeritud, kes, millal, milliseid konkreetseid

valdkondi ja turvameetmeid kontrollib. Läbivaatusi teevad asjakohase kvalifikatsiooniga ning

sõltumatud isikud.

c. Turvameetmeid ja turbekontseptsiooni vaadatakse üle lisaks regulaarsetele

turvaläbivaatustele ka juhtumipõhiselt, kui:

• lisandub uusi äriprotsesse, rakendusi ja IT-komponente;

• tehakse olulisi taristumuudatusi;

• tehakse suuremaid korralduslikke muudatusi;

• ohud oluliselt muutuvad;

• ilmnevad olulised nõrkused või intsidendid.

d. Turvaläbivaatuse tulemused dokumenteeritakse ning lahknevuste põhjused selgitatakse.

Läbivaatuse käigus ilmnenud puuduste parandusmeetmed dokumenteeritakse.

e. Väliste kontrollijate puhul lepitakse kokku kohustused ja aruandlus ning sõlmitakse

konfidentsiaalsuslepe.

ISMS.1.M12 Infoturbearuanded juhtkonnale [organisatsiooni juhtkond]

a. Juhtkonnale esitatakse regulaarselt aruandeid infoturbe olukorrast, eelkõige riskiseisu ning

turbeprotsessi toimivuse ja tõhususe kohta.

12

b. Infoturbearuanne esitatakse lisaks sündmusepõhiselt, nt pärast turvaintsidenti või

turbeprotsessi olulises punktis.

c. Juhtkonnale esitatavad aruanded sisaldavad olulist ja asjakohast teavet, probleeme,

edusamme ja täiustamise võimalusi. Aruannetes sisalduvad ka parandusettepanekud koos

prioriteetide ja hinnangutega realiseerimise aja ja töömahu kohta.

d. Juhtkonna otsused turvameetmete, jääkriskide ja turbeprotsesside muutmise kohta on

jälitatavalt dokumenteeritud.

ISMS.1.M13 Turbeprotsessi dokumenteerimine

a. Turbeprotsessi protseduurid, olulised otsused ja tegevuste tulemused on dokumenteeritud.

Kindlasti dokumenteeritakse järgmine:

• aruanded juhtkonnale (vt ISMS.1.M12 Infoturbearuanded juhtkonnale);

• turbeprotsessi korralduse dokumentatsioon;

• turbetegevuste dokumentatsioon;

• turvaintsidentide dokumentatsioon;

• tehniline dokumentatsioon (nt tehnilised juhendid, testimistulemid, rakenduste kasutusload);

• protsessijuhendid töötajatele.

b. On olemas reeglistik dokumentatsiooni koostamiseks, hoidmiseks ning dokumentatsiooni

ajakohasuse ja konfidentsiaalsuse tagamiseks.

c. Olemasolevate dokumentide kehtivad versioonid on lugejate sihtgrupile kergesti

kättesaadavad. Samade dokumentide eelmised versioonid on arhiveeritud ning kättesaadaval

ühes kohas.

ISMS.1.M15 Infoturberessursside ökonoomne kasutus [organisatsiooni juhtkond]

a. Infoturberessursside kasutamisel arvestatakse majanduslikke aspekte. Turvameetmete

ressursivajadus esitatakse numbriliselt.

b. Infoturbe jaoks plaanitud ressursid on kättesaadavad õigeaegselt. Töötajatel on turbega

seotud ülesannete täitmiseks piisavalt aega ja võimalusi.

c. Töökoormuse tippajal või eriülesannete täitmiseks saab kaasata lisatööjõudu.

3.3. Standardmeetmed

ISMS.1.M16 Täpsustavate turvapoliitikate väljatöötamine

a. Kitsama käsitlusalaga turvapoliitika koostatakse vähemalt järgmistes valdkondades:

• võrguhaldus;

• tulemüüri haldus;

• kahjurvaratõrje;

• andmevarundus ja arhiveerimine;

• e-post ja rühmatarkvara;

• mobiilseadmete kasutamine;

13

• teenuste väljasttellimine.

3.4. Kõrgmeetmed

ISMS.1.M17 Kindlustuslepingute sõlmimine (A)

a. Jääkriskide hindamise osana on hinnatud vajadus järgmiste kindlustusliikide järele:

• tule ja loodusjõudude kahju kindlustus;

• finantskahjude kindlustus;

• varakindlustus;

• õnnetusjuhtumikindlustus;

• vastutuskindlustus;

• tsiviilvastutuskindlustus.

b. Olemasolevate kindlustuslepingute otstarbekust ja toimivust kontrollitakse regulaarselt.

ORP: Organisatsioon ja personal

ORP.1 Infoturbe korraldus

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed infoturbe korralduse sobitamiseks organisatsiooniga, infoturbe juhtimiseks

ja käigushoiuks. Moodul reguleerib infoturbe protsesside haldust ja infoturbe rollide jaotust

organisatsioonis.

1.2. Vastutus

Infoturbe korralduse meetmete täitmise eest vastutab organisatsiooni juhtkond.

Lisavastutajad: Haldusosakond, tehnikatalitus, IT-talitus, infoturbejuht, töötaja.

1.3. Piirangud

Moodul käsitleb turbekorralduse üldmeetmeid. Täiendavad korraldusmeetmed esitatakse

kitsama käsitlusalaga moodulites.

2. Ohud

2.1. Puuduvad või puudulikud eeskirjad

Kui infoturbe meetmeid ei ole kehtestatud või meetmete rakendamise juhised ei ole

arusaadavalt dokumenteeritud, jäävad vajalikud turvameetmed sisuliselt rakendamata.

Eeskirjade puudulikkus ja vastutajate puudumine võivad kaasa tuua suuri kahjusid. Seda eriti

olukordade tõttu, mis nõuavad viivitamatut tegutsemist. Probleeme põhjustavad ka

ajakohastamata, reaalseid olusid eiravad või arusaamatult esitatud eeskirjad.

14

2.2. Eeskirjade rikkumine

Kehtestatud eeskirjadest üleastumine töötaja poolt võib rikkuda teabe, äriprotsesside või IT-

süsteemide konfidentsiaalsust, terviklust või käideldavust. Olenevalt teabe või süsteemide

kaitsetarbest ja turvareeglite rikkujale antud pääsuõigustest võib kahju osutuda ulatuslikuks.

Nõuete järgimata jätmine andmetöötluses võib põhjustada andmekadu. Kui pääsuõiguste

halduse protseduure ei järgita, võib see kaasa tuua volitamata juurdepääsu IT-süsteemidele.

2.3. Puuduvad, ebasobivad või ühildamatud töövahendid

Vajalike töövahendite puudumine ja rikutud või amortiseerunud töövahendid võivad

organisatsiooni äriprotsesse märkimisväärselt takistada. Näiteks kaotab puhvertoiteallika (ingl

uninterruptable power supply, edaspidi ka UPS) aku aja jooksul osa oma mahutavusest ning ei

suuda elektrikatkestuse puhul IT-seadmete elektrivarustust tagada. Töövahendi hankimisel

võib uus töövahend osutuda olemasoleva vanema tehnoloogilise keskkonnaga ühildamatuks.

2.4. Ohud abi- ja välispersonali tõttu

Organisatsioonivälistelt isikutelt ei saa vaikimisi eeldada, et nad neile kättesaadavat teavet ja

IT-vahendeid kasutaksid lähtudes organisatsioonis kehtestatud kordadest. Külastajad,

koristajad ja muud välised töötajad võivad teabe turvalisust, äriprotsesse ja süsteeme mitmel

viisil ohustada, alates tehniliste vahendite asjatundmatust kasutamisest ja IT-süsteemi

võimaluste proovimisest kuni dokumentide ja IT-vahendite varguseni.

3. Meetmed

3.1. Elutsükkel

Kavandamine

ORP.1.M1 Kohustuste ja eeskirjade kehtestamine

ORP.1.M2 Teabe, rakenduste ja IT-komponentide eest vastutajate määramine

ORP.1.M4 Tegevus- ja kontrollikohustuste lahusus

ORP.1.M16 IT-vahendite turvalise kasutamise eeskiri

Evitus

ORP.1.M8 Töövahendite ja seadmete haldus

Käitus

ORP.1.M3 Organisatsiooniväliste isikute järelevalve või saatmine

ORP.1.M15 Infoturbe kontaktisik

ORP.1.M13 Kolimise turve

ORP.1.M17 Nutitelefonide kaasas kandmise piiramine

3.2. Põhimeetmed

ORP.1.M1 Kohustuste ja eeskirjade kehtestamine

a. Organisatsioonis on määratud infoturbega seotud ülesanded ning kohustused.

15

b. Eeskirjadega kehtestatakse turbe korraldus vähemalt järgmistes valdkondades:

• varundus ja arhiveerimine;

• andmekandjate käitus;

• hoolde- ja remonditööd;

• andmekaitse;

• avariivalmendus.

c. Eeskirjad tehakse teatavaks kõigile töötajaile ning neid vaadatakse regulaarselt üle.

ORP.1.M2 Teabe, rakenduste ja IT-komponentide eest vastutajate määramine

a. Turvalisuse eest vastutajad on määratud kogu teabe ning kõigi äriprotsesside, rakenduste ja

IT-komponentide osas.

b. Infoturbe meetmete rakendamise kohustused on selgelt sõnastatud ja määratud, meetmete

rakendamist kontrollitakse regulaarselt.

c. Töötajad teavad, kes ja mil viisil infoturbe meetmete rakendamise eest vastutavad.

ORP.1.M3 Organisatsiooniväliste isikute järelevalve või saatmine [töötaja,

haldusosakond]

a. Organisatsioonivälised isikud liiguvad organisatsiooni ruumes koos töötajast saatjaga.

b. Väliste töötajate viibimine kõrgendatud kaitsetarbega aladel on lubatud ainult

organisatsiooni töötaja otsesel järelevalvel.

c. Töötajaid on juhendatud mitte jätma väliseid isikuid organisatsiooni ruumidesse ilma

järelevalveta.

ORP.1.M4 Tegevus- ja kontrollikohustuste lahusus

a. Organisatsioonis tagatakse infoturbe toimingu sooritaja ning toimingu kontrollija rollide

lahusus ning neid rolle täidavad erinevad töötajad.

b. Tegevus- ja kontrollikohustuste lahusus kehtib ka töötaja asendamise korral.

ORP.1.M15 Infoturbe kontaktisik [infoturbejuht]

a. Organisatsioonis on turvaküsimuste lahendamiseks määratud isik(ud), kelle poole töötajad

võivad kõikide infoturbe teemaliste küsimustega pöörduda.

b. Töötajaid julgustatakse turvaintsidendi kahtluse korral teavitama sellest kohe, vajaduse

korral anonüümselt.

c. Infoturbe kontaktisik ja teavitamisteed on kõigile töötajatele teada või vajadusel kergesti

leitavad.

3.3. Standardmeetmed

16

ORP.1.M8 Töövahendite ja seadmete haldus [IT-talitus, haldusosakond]

a. Organisatsioonis on ülevaade kõigist töövahenditest ja seadmetest, mis võivad infoturbe

olukorda mõjutada. Lisaks IT-süsteemide ja tööstusautomaatika komponentidele kuuluvad

seadmete hulka ka esemevõrgu (ingl Internet of Things - IoT) seadmed.

b. Töövahendite ja seadmete hankimisel arvestatakse nende ühilduvust ja turvalisust.

Võimalusel testitakse uusi seadmeid enne nende soetamist.

c. Töövahendid ja seadmed (ka nende kulumaterjalid, seonduv tarkvara, andmekandjad jms)

võetakse arvele (nt varade registris).

d. Töövahendite ja seadmete turvaliseks kasutuselt kõrvaldamiseks on koostatud juhendid ja

soetatud vajalikud vahendid (nt dokumendipurusti). Andmekandjad kõrvaldatakse vastavalt

moodulile CON.6. Andmete kustutus ja hävitamine.

ORP.1.M16 IT-vahendite turvalise kasutamise eeskiri [infoturbejuht, kasutaja]

a. Organisatsioonis on kehtestatud IT-vahendite turvalise kasutamise eeskiri.

b. IT-vahendite turvalise kasutamise eeskiri sisaldab vähemalt järgmist:

• organisatsiooni turvaeesmärgid;

• olulised mõisted ja nende selgitused;

• infoturbe rollid ja tööülesanded;

• infoturbe kontaktid ja teavitusteed;

• rakendatavad turvameetmed.

c. IT-vahendite turvalise kasutamise eeskiri on kõikidele töötajatele teatavaks tehtud ning on

vajadusel kergesti leitav (nt siseveebist).

d. Uus töötaja kinnitab enne IT-vahendite kasutuselevõttu kirjalikult, et on eeskirjaga tutvunud.

e. IT- vahendite turvalise kasutamise eeskirja vaadatakse üle perioodiliselt ning pärast oluliste

muudatuste tegemist IT-süsteemides.

ORP.1.M13 Kolimise turve [IT-talitus, tehnikatalitus, haldusosakond]

a. Enne plaanitud kolimist töötatakse välja või ajakohastatakse kolimisplaan, kus muuhulgas

määratletakse töötajate kohustused.

b. Töötajaid informeeritakse turvameetmetest, mida on vaja järgida kolimise eel, ajal ja järel.

c. Enne kolimist varundatakse andmed ja märgistatakse üheselt kolitav materjal.

d. Kolimise käigus rakendatakse juurdepääsu kontrolle, väline personal liigub lähtekohas ja

sihtkohas ainult oma töötaja saatel.

e. Pärast kolimist kontrollitakse, kas kolimisel transporditud esemed on täielikult ja

kahjustusteta ning muutmata kujul kohale jõudnud.

17

f. Enne töötajate tööle asumist uude kohta luuakse vajalik taristu, paigaldatakse ning testitakse

IT- ja automaatikaseadmed ning veendutakse kasutajakontode toimimises.

3.4. Kõrgmeetmed

ORP.1.M17 Nutitelefonide kaasas kandmise piiramine [haldusosakond, infoturbejuht]

(C)

a. Mobiiltelefonide kaasa võtmine konfidentsiaalsetele koosolekutele ja kõrget

konfidentsiaalsustaset eeldavatele töökohtadele on keelatud.

b. Vajadusel kasutatakse turvaalale sisenejate mobiilsideseadmete avastamiseks

detektorseadet.

ORP.2 Personal

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed personaliosakonnale ja juhtidele, et oma töötajad ning välised töötajad

tegutseks organisatsiooni turvaeesmärke silmas pidades.

1.2. Vastutus

„Personal“ meetmete täitmise eest vastutab personaliosakond.

Lisavastutajad: IT-talitus, ülemus.

1.3. Piirangud

Moodulis käsitletavad meetmed on üldised. Konkreetse funktsiooniga seotud

personalimeetmed esitatakse asjakohastes moodulites.

2. Ohud

2.1. Personali piisamatus

Vajaliku hulga ja nõutava kvalifikatsiooniga personali piisamatus viib selleni, et ettenähtud

tööülesandeid ei ole võimalik õigeaegselt ja terviklikult täita. Suureneb hooletusest tehtud

vigade arv.

2.2. Nõuete puudulik tundmine

Kui infoturbe meetmeid ei ole kehtestatud või meetmete rakendamise juhised ei ole

arusaadavalt dokumenteeritud, jäävad vajalikud turvameetmed sisuliselt rakendamata. Kui

kehtestatud poliitikaid ja eeskirju ei ole kõigile töötajatele tutvustatud, siis ei saa ka eeldada,

et kõik töötajad neid järgiksid.

18

2.3. Hooletus andmete kasutamisel

Organisatsioonis määratud korralduslikke ja tehnilisi turvameetmeteid võidakse isiklikust

mugavusest või muretusest tingituna ignoreerida või neist mööda minna. Sotsiaalvõrkudes ja

töökeskkonnas samade paroolide kasutamine võib viia IT-süsteemide kuritarvitamiseni parooli

äraarvamise kaudu. IT-seadmete ja tarkvara manipuleerimine või väärkasutamine võib kaasa

tuua tundlike andmete lekkimise või IT-süsteemide kahjustumise. Olenevalt teabe või

süsteemide kaitsetarbest ja pääsuõiguste ulatusest võib kehtestatud eeskirjade eiramine kaasa

tuua ulatusliku kahju.

2.4. Ebapiisav töötajate kvalifikatsioon

Paljud igapäevased IT-probleemid ja intsidendid on põhjustatud asjaolust, et töötajad ei oma

antud töö tegemiseks piisavat kvalifikatsiooni või on töötajate koolitus olnud ebapiisav.

Aegunud teadmiste ja puuduliku arvutioskuse tõttu ei pruugita infoturbe rikkeid tähele panna

ega normaalsest erinevale tarkvara käitumisele õigeaegselt tähelepanu juhtida. Teist töötajat

asendav isik võib jätta tööprotsessis olulise tegevuse tegemata või teha seda valesti. See võib

põhjustada IT-süsteemis töös tõrkeid või tekitada infoturbe intsidendi.

3. Meetmed

3.1. Elutsükkel

Kavandamine

ORP.2.M1 Uue töötaja sisseelamise kord

ORP.2.M2 Töötaja lahkumise protseduur

ORP.2.M14 Tööülesannete ja kohustuste kehtestamine

ORP.2.M11 Turvakultuuri analüüs

Käitus

ORP.2.M3 Töötaja asendamise kord

ORP.2.M4 Asendamise kord välise töötaja puhul

ORP.2.M5 Konfidentsiaalsusleping väliste töötajate kasutamisel

ORP.2.M15 Piisava kvalifikatsiooniga töötajad

ORP.2.M7 Kandidaadi usaldusväärsuse kontrollimine

ORP.2.M13 Töötaja taustakontroll

3.2. Põhimeetmed

ORP.2.M1 Uue töötaja sisseelamise kord [ülemus]

a. Uute töötajate sisseelamise kord sisaldab infoturbe nõuete, tavade ja tegevusjuhiste

tutvustamist.

b. On koostatud kontroll-loend, mis sisaldab kõiki uue töötaja töö alustamiseks vajalikke

tegevusi.

c. Töötajatele selgitatakse igapäevaseid tööprotseduure, infoturvameetmeid ning nende mõju

äriprotsessile ja töökeskkonnale.

19

d. Uuele töötajale on määratud sisseelamise perioodiks kontaktisik (mentor), kes aitab teda

kõigis ettetulevates küsimustes.

ORP.2.M2 Töötaja lahkumise protseduur [ülemus, IT-talitus]

a. Enne töötaja lahkumist või üleviimist teisele ametikohale koolitatakse välja tema

tööülesannete jätkaja. Soovitatavalt teeb seda lahkuv töötaja. Kui tööülesandeid ei saa otse üle

anda, on uue töötaja jaoks loodud üksikasjalik tööülesannete juhend.

b. Lahkuv töötaja annab organisatsioonile üle kõik töösuhte ajal saadud dokumendid, võtmed

ja seadmed, samuti töötõendi ning pääsukaardid.

c. Endise töötaja pääsuõigused IT-süsteemides suletakse õigeaegselt.

d. Töötaja üleviimisel teisele ametikohale kohandatakse töötaja pääsuõigused ja tema käes

olevate organisatsiooni varade valik vastavaks muutunud tööülesannetega.

e. Enne töölt lahkumist juhitakse selgesõnaliselt veel kord töötaja tähelepanu

konfidentsiaalsuskohustusele ja võimaliku huvide konflikti ärahoidmisele.

f. Töötaja lahkumisest teavitatakse asjakohaseid töötajaid, sealhulgas turvapersonali.

g. Vajadusel ajakohastatakse eriolukorra- jm tegevuskavad, kuhu lahkuv töötaja või teisele

ametikohale üleviidav töötaja oli kaasatud.

h. Tegevuste koordineerimiseks töötaja lahkumise korral kasutatakse sarnaselt töölevõtmisele

asjakohast kontroll-loendit.

ORP.2.M3 Töötaja asendamise kord [ülemus]

a. Juhtkond on koostanud töötaja asendamise korra ja loonud eeldused selle järgimiseks.

Asendamise kord eksisteerib tööülesannetele kõigis olulistes äriprotsessides.

b. Töötaja asendamise korras kirjeldatakse ülesannete jaotus töötaja asendamisel.

c. Asendaja nimetamisel veendutakse, et tal on olemas asendamiseks vajalikud teadmised.

Vajadusel asendajat koolitatakse ja tööprotseduurid dokumenteeritakse sellise täpsusega, et ka

vähemate teadmistega isik saaks asendamisega hakkama.

d. Kui erandjuhul ei saa konkreetsele töötajale pädevat asendajat määrata ega koolitada,

otsustatakse, kas saab töötaja asendamiseks kasutada organisatsioonivälist tööjõudu.

ORP.2.M4 Asendamise kord välise töötaja puhul

a. Kui töötaja asendamiseks kasutatakse välist töötajat, siis kohustub ta täitma organisatsiooni

poliitikaid ja sise-eeskirju sarnaselt organisatsiooni töötajatega.

b. Lühiajaliselt või ühekordselt kaasatud välist töötajat käsitletakse külastajana, keda

kaitsevajadusega alas üksinda ei jäeta.

20

c. Pikemaks ajaks värvatud väliseid töötajaid õpetatakse ja koolitatakse tööülesandeid täitma

sarnaselt organisatsiooni töötajatega. Ka välistele töötajatele kehtib töötaja asendamise kord

(vt ORP.2.M3 Töötaja asendamise kord).

d. Töölt lahkumise korral annab väline töötaja oma töö tulemi üle ja tema juurdepääsuõigused

suletakse sarnaselt organisatsiooni oma töötajaga.

ORP.2.M5 Konfidentsiaalsusleping väliste töötajate kasutamisel

a. Organisatsioonivälise isikuga sõlmitakse kirjalik konfidentsiaalsusleping enne, kui talle

antakse juurdepääs konfidentsiaalsele teabele.

b. Konfidentsiaalsuslepingus on määratud vähemalt järgmine:

• millist teavet käsitletakse konfidentsiaalsena;

• millised nõuded kehtivad konfidentsiaalse teabe kasutamisel ja edastamisel;

• kui kaua konfidentsiaalsusleping kehtib;

• kuidas reguleeritakse teabe omandiõigusi;

• millised on lepingu rikkumise tagajärjed.

ORP.2.M14 Tööülesannete ja kohustuste kehtestamine [ülemus]

a. Kõik töötajad on selgesõnaliselt kohustunud järgima asjakohaseid õigusakte, organisatsiooni

poliitikaid ja sise-eeskirju.

b. Töötaja tööülesanded ja kohustused on dokumenteeritud ja neid on töötajale tutvustatud.

Töötajad kinnitavad nõuete järgimist, allkirjastades vastava kontroll-loetelu.

c. Töötajad teavad, et töötamise käigus saadav teave on ette nähtud ainult

organisatsioonisiseseks kasutamiseks, kui see ei ole teisiti tähistatud.

d. Töötajad on kohustatud organisatsiooni varasid ja andmeid kaitsma ka pärast tööaega ja

väljaspool organisatsiooni territooriumi.

ORP.2.M15 Piisava kvalifikatsiooniga töötajad [ülemus]

a. Töötajad saavad regulaarselt tegevusalale vastavat koolitust ja täiendõpet.

b. Töötajate täiendõpet soositakse ja töötajaid motiveeritakse ennast pidevalt arendama.

c. Uute töötajate otsimisel on nõutav haridus, kvalifikatsioon ja oskused selgelt kirjeldatud.

d. Töötajate vastavust ametikohale ja vastava ametikohale vajaliku kvalifikatsiooni kirjelduste

õigsust kontrollitakse perioodiliselt.

3.3. Standardmeetmed

ORP.2.M7 Kandidaadi usaldusväärsuse kontrollimine

a. Personalivalikul osalejad kontrollivad enne töölevõtmist nõuetekohase hoolsusega

kandidaadi esitatud andmete tõepärasust.

21

b. Eriti hoolikalt kontrollitakse esitatud elulookirjelduse täielikkust, usutavust ja õigsust.

Olulisi fakte kontrollitakse täiendavate tõendite küsimise ja esitamise teel.

3.4. Kõrgmeetmed

ORP.2.M11 Turvakultuuri analüüs (C-I-A)

a. Turvameetmete rakendamisel arvestatakse organisatsiooni töötajaid, nende tausta, teadmisi

ning IT-süsteemide kasutamise kogemusi. Turvalisust parandatakse analüüsides töötajate

turvakäitumist.

b. Turvaintsidentide toimivaks ja tõhusaks käsitlemiseks soodustatakse usalduslikku ja avatud

suhtluskultuuri, mis võimaldab turvaintsidentidest kohe teatada ja neile lahendused leida.

c. Suurema organisatsiooni korral analüüsitakse, kas turvakultuuri võivad mõjutada

riikidevahelised, piirkondlikud või üksustevahelised kultuurilised erinevused.

ORP.2.M13 Töötaja taustakontroll (C-I-A)

a. Suure kaitsetarbega valdkondades tehakse lisaks töötajate usaldatavuse põhikontrollile (vt

ORP.2.M7 Töötajate usaldatavuse kontrollimine) seadusega lubatud piires täiendav

taustakontroll, nt küsides kinnitust kriminaalkaristatuse puudumise kohta.

b. Teatud ametikohtadele kandideerimine ja ametikohal töötamine on lubatud ainult juhul, kui

töötaja on taotlenud kehtiva seadusandluse kohase riigisaladusele juurdepääsu loa.

ORP.3 Infoturbe teadlikkuse tõstmine ja koolitus

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed töötajate turvateadlikkuse tõstmiseks ja töötajate koolitusplaani

koostamiseks, arvestades organisatsiooni spetsiifikat ja töötajatele vajalikke teadmisi ja oskusi.

1.2. Vastutus

Infoturbe teadlikkuse tõstmise ja koolituse meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad: Personaliosakond, IT-talitus, organisatsiooni juhtkond, ülemus.

1.3. Piirangud

Moodul ORP.3 Infoturbe teadlikkuse tõstmine ja koolitus käsitleb infoturbe valdkonda.

Muudel teemadel kavandab, plaanib ja viib koolitusi läbi organisatsiooni personaliosakond või

koolituste koordinaator.

22

2. Ohud

2.1. Turvanõuete puudulik tundmine

Turvaintsidendi põhjuseks on sageli turvanõuete järgimata jätmine. Nõuete puuduliku

tundmise tulemusena tekkinud turvanõrkused võivad ohustada töödeldava teabe

konfidentsiaalsust, käideldavust ja terviklust.

2.2. Puudulik infoturvateadlikkus

Kui töötajad ei ole infoturbe meetmetest piisavalt teadlikud, kannatab organisatsiooni

turvakultuur ja turvaeesmärkide täitmine. Töötajad ei suuda luua konkreetseid seoseid oma

töökeskkonnaga, sest neile ei ole selgitatud turvameetmete olulisust.

2.3. Teadvustuse ja koolituse vähene tulemuslikkus

Teadvustus- ja koolitustegevuse vähese tulemuslikkuse põhjusteks on juhtkonna puudulik

toetus, koolituse ebaselged eesmärgid, puudused koolituste läbiviimisel või ressursside

vähesus. Kui organisatsioon töötajate teadlikkuse suurendamist ja koolitamist piisavalt ei

tähtsusta, siis võib vähene turvateadlikkus otseselt takistada tööülesannete täitmist.

2.4. Puudlik koolitus turvafunktsioonide alal

Sageli ei rakenda töötajad organisatsioonis kasutusele võetud turvarakendusi ja -funktsioone

oskamatuse tõttu. Puudulik teadmine turvafunktsioonidest võib põhjustada tarkvara

kasutusvigu ja seisakuid. Väärkasutuse mõju võib oluliste IT-süsteemide korral olla

märkimisväärne.

2.5. Avastamata jäänud turvasündmused

IT- ja automaatikakomponentide igapäevases töös võib esineda palju häireid ja rikkeid.

Piisamatu koolituse tõttu ei suuda töötajad turvaintsidentidel ja tehnilistel riketel vahet teha,

turvaintsidentidele ei reageerita ja nõrkused jäävad parandamata. See võib pärssida

äriprotsesse, tekitada rahalist kahju või tuua kaasa õigusaktidest tulenevaid sanktsioone.

2.6. Turvameetmete eiramine

Töötaja hooletuse või kiirustamine tõttu on oht, et konfidentsiaalsed dokumendid jäävad

avatuna lauale, uksed jäävad lukustamata, aknad jäävad avatuks või arvutiekraan lukustamata.

2.7. Hooletus teabe töötlemisel

Kui organisatsioonis kehtestatud turvameetmeid eiratakse, näiteks paroole kuvari peale

kleebitud sedelile kirjutades, siis muutuvad ka parimad tehnilised turvameetmed ebatõhusaks.

Kui konfidentsiaalse teabega dokumendid jäetakse printerisse või visatakse prügikasti, millele

igaüks ligi pääseb, ei ole failide krüpteerimisest kõvakettal kasu.

2.8. Infoturbe puudulik omaksvõtmine

23

Organisatsioonis võidakse infoturbenõudeid mitte omaks võtta ega tajuda turvameetmete

rakendamise olulisust. Mitteomaksvõtmine võib näiteks olla tingitud organisatsioonikultuurist

(„nii on meil alati olnud“) või juhtkonna eeskuju puudumisest. Töötajate vastuseis

turvameetmetele võib tekkida ka ebamõistlike või ülepingutatud turvanõuete tõttu.

2.9. Suhtlusrünne

Suhtlusründe (ingl social engineering) tulemusel võib ründaja saada teabele või IT-

süsteemidele lubamatu juurdepääsu, luues kontakte telefoni, e-posti või sotsiaalvõrgu kaudu

ning kasutades ära inimeste abivalmidust. Kui töötaja sellist ründeviisi piisaval määral ei tunne,

siis osavalt suheldes suunatakse töötaja toimima lubamatul viisil. Suhtlusründe tulemusena

võib ründaja hankida konfidentsiaalset teavet, levitada kahjurtarkvara või koguni sundida

töötajat väidetavale äripartnerile raha üle kandma.

3. Meetmed

3.1. Elutsükkel

Kavandamine

ORP.3.M1 Juhtkonna teadlikkuse suurendamine infoturbe alal

ORP.3.M3 Infotehnoloogia turvalise kasutamise juhendamine

ORP.3.M4 Infoturbe teadvustus- ja koolitusplaan

Käitus

ORP.3.M6 Infoturbe teadvustus- ja koolitusmeetmete kavandamine ja rakendamine

ORP.3.M7 Infoturbe halduse meetodeid käsitlevad koolitused

ORP.3.M9 Ohustatud isikute ja organisatsioonide erikoolitus

Parendamine

ORP.3.M8 Õpitulemuste mõõtmine ja hindamine

3.2. Põhimeetmed

ORP.3.M1 Juhtkonna teadlikkuse suurendamine infoturbe alal [ülemus, organisatsiooni

juhtkond]

a. Juhtkonda teavitatakse regulaarselt infoturbe riskidest, nendega seotud võimalikest

kahjudest ja mõjust äriprotsessile.

b. Juhtkond on teadlik õigusaktidega kehtestatud infoturbenõuetest.

c. Juhtkond on kursis infoturbe rakendamise praktikatega teistes sarnastes organisatsioonides

ning infoturbe protsesside sertifitseerimise võimalustega.

d. Organisatsiooni juhtkond toetab töötajatele korraldatavaid turvalisuse tõstmise kampaaniaid

ning muude koolitusmeetmete rakendamist.

e. Juhtivtöötajad näitavad infoturbes eeskuju, järgides turvameetmeid ise ja juhtides teiste

töötajate tähelepanu meetmetest kinnipidamise vajalikkusele.

24

ORP.3.M3 Infotehnoloogia turvalise kasutamise juhendamine [ülemus,

personaliosakond, IT-talitus]

a. Töötajad on läbinud küberhügieeni baasteadmise koolituse ja tõendanud oma teadmisi

vastava testi sooritamisega.

b. Töötajatele ja organisatsioonivälistele kasutajatele on selgitatud, kuidas IT-,

tööstusautomaatika- ja esemevõrgu komponente turvaliselt kasutada ja millised on

kasutamisega seotud õigused ja kohustused.

c. Organisatsioon on koostanud eeskirjad IT-, tööstusautomaatika ja esemevõrgu

komponentide turvaliseks kasutamiseks. Eeskirjad on arusaadavad ja ajakohased, kohustuste

selgeks määratlemiseks on need kinnitatud juhtkonnas.

d. Eeskirjade või kasutusjuhiste muutmisel tagatakse, et muudatused tehakse kasutajatele

teatavaks.

3.3. Standardmeetmed

ORP.3.M4 Infoturbe teadvustus- ja koolitusplaan

a. Töötajate teadlikkuse suurendamiseks on välja töötatud ja juhtkonna poolt kinnitatud

infoturbe teadvustus- ja koolitusplaan.

b. Infoturbe teadvustus- ja koolitusplaanide koostamisel võetakse arvesse konkreetsete

sihtrühmade vajadusi. Ühte sihtrühma koondatakse sarnase erialatausta, teadmiste või

ülesannetega töötajad. Praktikas moodustatakse sihtrühmi ka struktuuriüksuste alusel.

c. Infoturbe teadvustus- ja koolitusprogrammi ajakohasust kontrollitakse regulaarselt,

vajaduste muutumise korral koolitusprogrammi kohandatakse või täiustatakse.

ORP.3.M6 Infoturbe teadvustus- ja koolitusmeetmete kavandamine ja rakendamine

a. Töötajate infoturbe koolituse kavandamisel lähtutakse töötajate tööülesannetest ja

vastutusalast. Koolituse sisu on piisav kehtivate turvanõuete ja -meetmete rakendamiseks.

b. Kõik töötajad on läbinud oma tööülesannetele ja vastutusalale vastava infoturbe koolituse.

ORP.3.M7 Infoturbe halduse meetodeid käsitlevad koolitused

a. Infoturbe eest vastutavad isikud on läbinud infoturbe halduse ja infoturbe standardi

rakendamise koolituse.

b. Infoturbe halduse koolitused peavad sisaldama näiteid ja praktilisi harjutusi, sh elulisi näiteid

infoturbe standardi rakendamisest.

25

ORP.3.M8 Õpitulemuste mõõtmine ja hindamine [personaliosakond]

a. Infoturbe valdkonna õpitulemusi mõõdetakse ja hinnatakse sihtrühmapõhiselt, et teha

kindlaks, millisel määral on infoturbe teadvustus- ja koolitusplaanis ettenähtud eesmärgid

saavutatud (vt ORP.3.M4 Infoturbe teadvustus- ja koolitusplaan).

b. Õpitulemuste hindamisel mõõdetakse nii teadvustus- ja koolitusplaani kvalitatiivseid kui

kvantitatiivseid aspekte, kasutades selleks koolituste hindamislehti, koolituse lõputeste,

töötajate küsitlusi või perioodilisi teadmiste kontrolle.

c. Personaliosakond teeb koolituse sisu ja efektiivsuse hindamisel koostööd infoturbejuhi,

andmekaitsespetsialisti, töökeskkonnavoliniku, tuleohutuse eest vastutava isiku ja teiste

oluliste võtmeisikutega.

d. Õpitulemuste mõõtmise tulemusi arvestatakse infoturbe teadvustus- ja koolitusplaani

muutmisel ja täiustamisel.

3.4. Kõrgmeetmed

ORP.3.M9 Ohustatud isikute ja organisatsioonide erikoolitus (C-I-A)

a. Eriti ohustatud isikud (nt kriitilise funktsiooni täitjad) ning eriti turvatundlike

organisatsioonide töötajad on läbinud põhjaliku koolituse ohtude, ohu realiseerumise korral

tegutsemise ja ettevaatusmeetmete kohta.

b. Õppematerjalide kinnistamise meetmed valitakse sobivalt organisatsiooni kultuuri ja

suurusega, näiteks võib korraldada töötajatele simulatsiooniõppuseid pingeolukorras

tegutsemise harjutamiseks.

ORP.4 Identiteedi- ja õiguste haldus

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed identiteedi- ja õiguste halduse korraldamiseks. Nii kasutajad kui IT-

komponendid peaksid saama juurdepääsu üksnes vajalikele IT-ressurssidele ja

informatsioonile.

1.2. Vastutus

Identiteedi- ja õiguste halduse meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad: Kasutaja, infoturbejuht, juhtkond.

1.3. Piirangud

26

Identiteedi- ja õiguste halduse meetmed IT-süsteemi komponentides, operatsioonisüsteemides

või kataloogiteenustes esitatakse vastavates moodulites (nt SYS.1.3 Linuxi ja Unixi server,

SYS.1.2.2 Windows Server 2012, APP.2.1 Kataloogiteenus üldiselt, APP2.2 Active Directory

Domain Services).

2. Ohud

2.1. Identiteedihalduse protsesside puudumine või puudulikkus

Kui identiteedi- ja õiguste halduse protsessid on puudulikud või kui protseduure ei järgita, ei

saa vastutav süsteemiülem personalimuudatuste kohta piisavat teavet. Selle tulemusena võib

lahkunud töötaja kasutajakonto jääda sulgemata ja ta võib edaspidigi tundlikule teabele või

pilvrakendustele juurde pääseda. Samuti võivad teise osakonda siirdunud töötajal säilida tema

endised õigused.

2.2. Kasutaja õiguste keskse peatamise võimaluse puudumine

Töötajal võib erinevatesse IT-süsteemidesse juurdepääsuks olla mitmeid kasutajakontosid. Kui

IT-süsteemide juurdepääsudest puudub keskne ülevaade, siis ei saa süsteemiülemad ründe või

paroolivarguse korral töötaja kõiki õigusi kohe peatada. Samuti võib töötaja lahkumisel jääda

mõni juurdepääs sulgemata.

2.3. Pääsuõiguste puudulik haldamine

Kui eri struktuuriüksustes vastutavad õiguste andmise eest erinevad isikud ja pääsuõiguste

haldus on halvasti korraldatud, võib pääsuõiguste saamine osutuda põhjendamatult keeruliseks

või vastupidi, on tehtud liiga lihtsaks. Ühel juhul võivad puuduvad õigused takistada

igapäevatööd, teisel võib mittevajalik pääsuõigus tekitada turvariski.

3. Meetmed

3.1. Elutsükkel

Kavandamine

ORP.4.M1 Kasutajakontode halduse eeskiri

ORP.4.M2 Õiguste andmine, muutmine ja tühistamine

ORP.4.M3 Kasutajate õiguste dokumenteerimine

ORP.4.M4 Kohustuste jaotamine ja kohustuste lahusus

ORP.4.M8 Paroolide kasutamise kord

ORP.4.M22 Parooli kvaliteedinõuete kehtestamine

ORP.4.M23 Nõuded paroole töötlevatele IT-süsteemidele

ORP.4.M11 Paroolide lähtestamine ja muutmine

ORP.4.M12 IT-süsteemide ja rakenduste autentimiskord

ORP.4.M13 Sobivate autentimismehhanismide valimine

Evitus

ORP.4.M5 Füüsilise ligipääsu haldamine

ORP.4.M6 IT-vahenditele juurdepääsu haldamine

27

ORP.4.M7 Andmetele juurdepääsu haldamine

ORP.4.M16 IT-süsteemidele juurdepääsu reguleerimine

ORP.4.M17 Sobiv identiteedi- ja õiguste halduse süsteem

Käitus

ORP.4.M9 Tuvastamine ja autentimine

ORP.4.M10 Eeliskontode kaitsmine

ORP.4.M14 Kasutajakontode kasutuse kontrollimine

ORP.4.M15 Identiteedi- ja õiguste halduse protseduurid

ORP.4.M18 Keskse autentimisteenuse kasutamine

ORP.4.M19 Töötajate juhendamine autentimisprotseduuride ja -mehhanismide kasutamisel

ORP.4.M20 Identiteedi- ja õiguste halduse süsteemi avariivalmendus

ORP.4.M21 Mitmikautentimine

ORP.4.M24 Nelja silma põhimõtte rakendamine IT-halduses

3.2. Põhimeetmed

ORP.4.M1 Kasutajakontode halduse eeskiri [infoturbejuht]

a. Organisatsioon on koostanud ja kinnitanud kasutajakontode halduse eeskirja.

b. Kasutajakonto määratakse identideedipõhiselt, kasutajakonto on seotud konkreetse

kasutajaga.

c. IT-süsteemi standardseades määratud isikustamata haldus- ja külaliskontod, mida reaalselt

ei kasutata, desaktiveeritakse või kustutatakse.

d. Kasutajakontod, mida ei ole kaua aega kasutatud, desaktiveeritakse.

e. Kasutajarühmad määratakse rollipõhiselt.

ORP.4.M2 Õiguste andmine, muutmine ja tühistamine

a. IT-süsteemi kasutajakonto luuakse ja pääsuõigused antakse üksnes tööalase vajaduse alusel,

kasutades minimaalsuse põhimõtet.

b. Muudatuste korral personali koosseisus tühistatakse pääsuõigused, mida enam ei vajata.

c. Mittevajalike kasutajakontode kustutamine on lubatud ainult erandjuhtudel ning ainult siis

kui samade kasutajatunnuste taaskasutamine ei tekita probleeme identiteedihaldusega (nt

AD/LDAP teenust kasutavates süsteemides).

d. Õigused määratakse vastavalt kasutaja rollile.

e. Tavapärasest suuremaid õigusi antakse töötajatele ülemuse taotluse alusel ning pärast

vajadust kinnitavate ja täpsustavate põhjenduse esitamist.

ORP.4.M3 Kasutajate õiguste dokumenteerimine

a. Kasutajakontod, moodustatud kasutajarühmad ja õiguste profiilid dokumenteeritakse.

28

b. Kasutajakontode, moodustatud kasutajarühmade ja õiguseprofiilide dokumentatsiooni

ajakohasust ja vastavust kasutaja tööülesannete ning infoturbe nõuetega kontrollitakse

regulaarselt.

c. Kasutajate õiguste dokumentatsioon on kaitstud lubamatu andmepääsu eest.

d. Elektroonilisel kujul talletatav kasutajate õiguste dokumentatsioon varundatakse vastavalt

varundusprotseduurile.

ORP.4.M4 Kohustuste jaotamine ja kohustuste lahusus [organisatsiooni juhtkond]

a. Organisatsioon on määranud kohustused ja tööülesanded, kus infotehnoloogia kasutamine

on vajalik.

b. On määratud, milliseid kohustusi või tööülesandeid ei saa täita sama isik.

c. Tööülesandeid määrates järgitakse kohustuste lahususe põhimõtteid, tööülesannete

omavahelisi rollikonflikte arvestatakse täiendavate kontrollide kehtestamisel.

ORP.4.M5 Füüsilise ligipääsu haldamine [haldusosakond]

a. Organisatsioon on määranud töötaja kohustuste ja tööülesannete täitmiseks vajalikud

füüsilise ligipääsu õigused.

b. Sissepääsuvahendina kasutatavate pääsmike (ingl security token) väljaandmine või

kehtetuks muutmine dokumenteeritakse.

c. Kõiki füüsilise ligipääsu õigusega isikuid juhendatakse sissepääsuvahendeid õigesti

kasutama.

d. Isiku pikema äraoleku korral tema ligipääsuõigused ajutiselt peatatakse.

ORP.4.M6 IT-vahenditele juurdepääsu haldamine

a. Organisatsioon on määranud töötaja kohustuste ja tööülesannete täitmiseks vajalikud IT-

vahendite juurdepääsuõigused.

b. Juurdepääsuvahendina kasutatavate kiipkaartide vm pääsmike väljaandmine või kehtetuks

muutmine dokumenteeritakse.

c. Kõiki juurdepääsuõigusega isikuid juhendatakse juurdepääsuvahendeid õigesti kasutama.

d. Isiku pikema äraoleku korral tema juurdepääsuõigused ajutiselt peatatakse.

ORP.4.M7 Andmetele juurdepääsu haldamine [infoturbejuht]

a. Organisatsioon on määranud isiku kohustuste ja tööülesannete täitmiseks vajalikud andmete

juurdepääsuõigused.

29

b. Kui andmetele juurdepääsuks kasutatakse pääsmikku, siis selle väljaandmine või kehtetuks

muutmine dokumenteeritakse.

c. Kõiki andmepääsuõigusega isikuid juhendatakse juurdepääsuvahendeid õigesti kasutama.

d. Isiku pikema äraoleku korral andmetele juurdepääs ajutiselt peatatakse.

ORP.4.M8 Paroolide kasutamise kord [kasutaja, infoturbejuht]

a. Organisatsioonis on kehtestatud paroolide kasutamise kord (vt ka ORP.4.M22 Parooli

kvaliteedinõuete kehtestamine ja ORP.4.M23 Nõuded paroole töötlevatele IT-süsteemidele).

b. Paroolide kasutamise kord sätestab selgelt kasutaja kohustuse hoida paroole teiste eest

salajas.

c. Paroole muudetakse regulaarselt, mõistliku ajavahemiku järel.

d. Kui on kahtlus, et volitamata isikud on parooli teada saanud, muudetakse parool koheselt.

e. On keelatud kasutada paroole, mis on hõlpsasti äraarvatavad või mis on välja toodud

avaldatud enimkasutatud paroolide nimekirjades.

f. Sama parooli ei tohi kasutada rohkem kui üks kord.

g. Iga IT-süsteemi või rakenduse jaoks kasutatakse erinevat parooli.

h. Parooli talletamine kirjalikult on lubatud ainult erandjuhtudel, neid hoitakse turvalises

asukohas.

i. Elektroonilise paroolihalduri kasutamine on lubatud ainult juhul, kui paroolihalduri

kasutamiseks on läbi viidud turvaanalüüs ja kasutus on infoturbejuhiga kooskõlastatud. Eriti

ettevaatlik tuleb olla paroolihaldurite puhul, mis sünkroniseerivad andmeid kolmanda osapoole

pilvteenusega.

j. Kui IT-süsteemides saab kehtestada parooli keerukusreegleid, tuleb keerukusreeglid

jõustada.

k. Kui IT-süsteem seda võimaldab, kasutatakse ainult parooliga autentimise asemel

mitmikautentimist.

ORP.4.M9 Tuvastamine ja autentimine

a. Juurdepääs kõigile IT-süsteemidele ja teenustele on kaitstud kasutajate (sh ka teised IT-

süsteemid) tuvastamise ja autentimisega.

b. Parooliga juurdepääsuvahendi kasutamisel muudetakse parool juurdepääsuvahendi

esmakordsel kasutamisel.

30

ORP.4.M22 Parooli kvaliteedinõuete kehtestamine [infoturbejuht, kasutaja]

a. Nõuded parooli kvaliteedile on kehtestatud arvestades IT-süsteemide kaitsetarvet ja

kasutajate profiili.

b. Parool peab olema piisavalt keerukas, et parooli ei saaks ära arvata.

c. Soovitatav on kasutada vähemalt 12 tähemärgi pikkuseid paroole.

d. Parool ei tohi olla nii keeruline, et kasutaja ei suuda seda regulaarse kasutuse puhul mõistlike

pingutustega meelde jätta.

ORP.4.M23 Nõuded paroole töötlevatele IT-süsteemidele

a. IT-süsteemis või rakenduses ei talletata paroole avateksti kujul.

b. Võrgustatud IT-süsteemide ja rakenduste paroole edastatakse ainult krüpteeritult. See meede

kehtib ka sisevõrgus kasutatavate rakenduste puhul.

c. IT-süsteemi või rakenduse nõutud paroolivahetusel on alati konkreetne põhjus.

d. IT-süsteemi või rakenduse standardsete kasutaja- ja süsteemikontode paroolid on muudetud

esimesel võimalusel. Vaikeparoolid asendatakse piisavalt tugevate paroolidega, vaikimisi

sisselogimissseaded muudetakse.

e. Edutu sisselogimiskatse puhul ei tohi IT- süsteem anda vihjet, kas vale on parool või

kasutajanimi.

ORP.4.M10 Eeliskontode kaitsmine

a. Eeliskontode (ingl privileged account) kaitseks väliste ründajate eest ja õiguste volitamatu

laiendamise eest kasutatakse mitmikautentimist (ingl multifactor authentication).

b. Eeliskontot kasutatakse ainult IT-süsteemide haldustööde läbiviimiseks. Haldur ei kasuta

eeliskontot oma teisteks igapäevasteks tegevusteks.

3.3. Standardmeetmed

ORP.4.M11 Paroolide lähtestamine ja muutmine

a. Paroolide lähtestamiseks või muutmiseks on organisatsioonis kehtestatud piisavalt turvalised

protseduurid.

b. Paroolide lähtestamise ja muutmisega seotud tugipersonal on asjakohaselt koolitatud.

c. Suurema kaitsetarbe puhuks on olemas tegevuskava parooli turvaliseks muutmiseks ja

edastamiseks ilma tugipersonali osaluseta.

31

ORP.4.M12 IT-süsteemide ja rakenduste autentimiskord [infoturbejuht]

a. Organisatsioonis on iga IT-süsteemi ja rakenduse jaoks määratud autentimisnõuded ja

kehtestatud autentimiskord.

b. Autentimisandmeid hoitakse krüpteerituna.

c. Autentimisandmeid edastatakse üle andmesidevõrkude krüpteeritult.

ORP.4.M13 Sobivate autentimismehhanismide valimine [infoturbejuht]

a. Organisatsioonis kasutatakse kaitsetarbele vastavaid tuvastus- ja autentimismehhanisme.

b. IT-süsteemide või rakenduste autentimisandmeid kaitstakse kogu nende töötlemise ajal

volitamata juurdepääsu, muutmise ja hävitamise eest.

c. Pärast ebaõnnestunud sisselogimiskatseid suurendab IT-süsteem või rakendus

ajavahemikku, mille möödudes on lubatud teha uus sisselogimine.

d. IT-süsteemis või rakenduses on võimalik määrata ebaõnnestunud sisselogimiskatsete arv,

pärast mida IT-süsteemi või rakenduse kasutajakonto lukustatakse.

ORP.4.M14 Kasutajakontode kasutuse kontrollimine

a. Regulaarselt kontrollitakse, kas IT-süsteemide kasutajad kasutavad oma kasutajakontot ning

logivad end pärast ülesande täitmist alati süsteemist välja.

b. IT-süsteemi sisenemine teise füüsilise kasutaja kasutajanimega on rangelt keelatud.

ORP.4.M15 Identiteedi- ja õiguste halduse protseduurid

a. Organisatsioonis on koostatud ja rakendatud protseduurid:

• pääsupoliitikate haldamiseks;

• kasutajakontode ja kasutajarühmade haldamiseks;

• õiguste profiilide ja kasutajarollide haldamiseks.

ORP.4.M16 IT-süsteemidele juurdepääsu reguleerimine

a. IT-süsteemidele juurdepääsu andmisel lähtutakse kehtestatud pääsupoliitikatest.

b. Kasutatakse töötaja ülesannetele vastavaid standardseid õiguste profiile.

c. Iga IT-süsteemi juurdepääsude haldamiseks on kehtestatud protseduurid.

d. Kasutajale lubatakse juurdepääs IT-süsteemidele ja teenustele pärast kasutaja tuvastamist ja

autentimist.

ORP.4.M17 Sobiv identiteedi- ja õiguste halduse süsteem [infoturbejuht]

a. Identiteedi- ja pääsuõiguste halduse süsteem:

32

• on sobitatud organisatsiooni ja selle äriprotsessidega ning vastab nende kaitsetarbele;

• vastab organisatsioonis kehtivatele pääsuhalduse nõuetele;

• võimaldab ellu viia kohustuste lahususe põhimõtet.

b. Identiteedi- ja pääsuõiguste halduse süsteemi kaitstakse siseste ja väliste rünnete eest.

ORP.4.M18 Keskse autentimisteenuse kasutamine [infoturbejuht]

a. Ühtse identiteedi- ja õiguste halduse rakendamiseks kasutatakse keskset ainulogimisega

autentimisteenust (ingl single sign-on access).

b. Enne teenuse kasutuselevõttu on kavandatud ja dokumenteeritud keskse autentimisteenuse

turvanõuded.

ORP.4.M19 Töötajate juhendamine autentimisprotseduuride ja -mehhanismide

kasutamisel [kasutaja]

a. Töötajatele tutvustatakse autentimise korda ja juhendatakse, kuidas autentimisprotseduure

õigesti kasutada.

b. Autentimiseks on koostatud kõigile töötajaile arusaadavad juhised.

3.4. Kõrgmeetmed

ORP.4.M20 Identiteedi- ja õiguste halduse süsteemi avariivalmendus (C-I-A)

[organisatsiooni juhtkond, infoturbejuht]

a. Talitluspidevuse tagamiseks tuvastatakse identiteedi- ja õiguste halduse süsteemi

turvakriitilisus äriprotsesside vaates ning kontrollitakse identiteedi- ja õiguste halduse süsteemi

avariiolukorraks valmisolekut.

b. Avariiolukordade puhul tegutsemiseks on koostatud kasutajaõiguste erikontseptsioon ja

määratud avariiolukorras rakendatavad õiguseprofiilid vastavalt töötajate hädaolukorras

teistsuguseks muutuvatele kohustustele.

ORP.4.M21 Mitmikautentimine (C)

a. Suure kaitsetarbe korral kasutakse autentimiseks turvalist mitmikautentimist, nt ID-kaardi

või tookeni (ingl token) abil.

ORP.4.M24 Nelja silma põhimõtte rakendamine IT-halduses (C)

a. Suure kaitsetarbega haldustegevuste läbiviimiseks kasutatakse kahte administraatorit.

b. Mitmikautentimise korral on autentimisvahendid administraatorite vahel jagatud. Ainult

parooli kasutamise puhul on parool jagatud kaheks osaks, millest kumbki administraator teab

ainult oma osa.

33

ORP.5 Vastavusehaldus (nõuete haldus)

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed organisatsiooni eesmärkidel, õigusaktidel, lepingutel ja poliitikatel

põhinevate turvanõuete kehtestamiseks ja järgimiseks.

1.2. Vastutus

Vastavusehalduse meetmete täitmise eest vastutab vastavushaldur.

Lisavastutajad: Infoturbejuht, organisatsiooni juhtkond, haldusosakond, ülemus.

1.3. Piirangud

Selles moodulis käsitletakse infoturbe vastavusehaldust üldiselt, konkreetseid

valdkonnakohaseid õigusakte ja üksikuid lepinguid meetmetes ei käsitleta.

2. Ohud

2.1. Seaduse- või lepingusätete rikkumine

Infoturvameetmete puuduliku rakendamise tulemusena võidakse kas kogemata või tahtlikult

rikkuda seaduse- või lepingusätteid.

2.2. Teabe lubamatu avaldamine

Kui töötaja eirab kehtestatud turvanõudeid, võib konfidentsiaalne teave lekkida.

2.3. Suhtluspartneri identiteedi puudulik kontrollimine

Suhtlemisel e-kanalite vahendusel jäetakse suhtluspartneri identiteedi samasus enamasti

tuvastamata. Seda kas peetakse ebaviisakaks või on see tehniliselt keerukas. Alusetult

eeldatakse, et vestluse või e-kirja sisu on konfidentsiaalne ning et teave ei satu valedesse

kätesse.

2.4. Siseteabe kogemata avaldamine

Teabe edastamisel, nt telefoni teel või irdmäluseadme ning e-kirja vahendusel, võib juhtuda, et

peale soovitud teabe avaldatakse kogemata ka midagi soovimatut. Kui töötaja kasutab

pilvteenust hooletult, võib ta tahtmatult lekitada konfidentsiaalset teavet.

3. Meetmed

3.1. Elutsükkel

34

Kavandamine

ORP.5.M1 Õiguslike raamtingimuste piiritlemine

ORP.5.M4 Vastavusehalduse kavandamine ja korraldus

Käitus

ORP.5.M2 Õiguslike raamtingimuste järgimine

ORP.5.M5 Erandite haldus

Parendamine

ORP.5.M8 Vastavusehalduse regulaarne läbivaatus

3.2. Põhimeetmed

ORP.5.M1 Õiguslike raamtingimuste piiritlemine [haldusosakond, ülemus,

organisatsiooni juhtkond]

a. Organisatsioonis on välja töötatud protsess kõigi turbehaldusele mõju avaldavate

õigusaktide, lepingute ja muude nõuete väljaselgitamiseks. Asjakohased nõuded

dokumenteeritakse.

b. Tuvastatud õiguslikke raamtingimusi võetakse arvesse äriprotsesside, rakenduste ja IT-

süsteemide kavandamisel ning IT-komponentide hankimisel.

c. Õiguslikke raamtingimusi kontrollitakse ja dokumenteeritud nõudeid uuendatakse

regulaarselt.

d. Õigusaktidest tulenevaid erinõudeid arvestatakse eriti järgmistes valdkondades:

• isikuandmete kaitse;

• ärisaladuse kaitse;

• intellektuaalomandi kaitse;

• krüptograafia kasutamine;

• IT-süsteemide logimine ja seire;

• andmete pikaajaline säilitamine;

• tegutsemine eriolukorras.

ORP.5.M2 Õiguslike raamtingimuste järgimine [ülemus, haldusosakond, organisatsiooni

juhtkond]

a. Äriprotsesside kujundamisel või IT-süsteemide väljatöötamisel arvestatakse õiguslikest

raamtingimustest tulenevaid infoturbe nõudeid juba kavandamise ja disaini etappides.

b. Õigusaktide nõuete järgimise üldvastutus on organisatsiooni juhtkonnal.

c. Õiguslike raamtingimuste järgimise ja õigusaktide nõuete täitmise eest vastutavad

konkreetsed, kinnitatud tööülesannetega töötajad.

d. Mittevastavuste kõrvaldamiseks rakendatakse sobivaid meetmeid.

3.3. Standardmeetmed

35

ORP.5.M4 Vastavusehalduse kavandamine ja korraldus [organisatsiooni juhtkond]

a. Iga konkreetse valdkonna õigusaktide nõuetest ülevaate tagamiseks on määratud vastutavad

isikud ja nende vastavusehalduse ülesanded.

b. Vastavusnõuetest tehakse sihtrühmadele struktureeritud kokkuvõtted.

c. Vastavusnõuetest tulenevad täiendavad infoturvameetmed integreeritakse eeskirjadesse ja

kordadesse koostöös infoturbejuhiga.

d. Vastavusehalduse infoturvameetmete rakendamist kontrollitakse regulaarselt.

ORP.5.M5 Erandite haldus [infoturbejuht]

a. Erandjuhtudel võib turvapoliitika järgimises teha mööndusi. Erandite tegemine

turvapoliitikast põhjendatakse ja viiakse läbi riskihindamine.

b. Erandid kooskõlastatakse juhtkonnaga, kõigist eranditest säilitatakse ülevaade.

c. Tähtajaliste erandite puhul kontrollitakse regulaarselt erandite jätkuvat vajadust.

ORP.5.M8 Vastavusehalduse regulaarne läbivaatus

a. Vastavushalduse ning sellest tulenevate meetmete tõhususe ja toimivuse läbivaatust tehakse

regulaarselt (vt DER.3.1 Auditid ja läbivaatused).

b. Regulaarsel läbivaatusel kontrollitakse töökorralduse ja äriprotsesside vastavust

muutuvatele vastavusehalduse nõuetele.

3.4. Kõrgmeetmed

Moodulis kõrgmeetmed puuduvad.

CON: Kontseptsioonid ja metoodikad

CON.1 Krüptokontseptsioon

1. Kirjeldus

1.1. Eesmärk

Esitada krüptograafiliste vahendite kasutamise korralduslikud meetmed ning juhised

krüptokontseptsiooni koostamiseks.

1.2. Vastutus

36

Krüptokontseptsiooni meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad: Vastutav spetsialist, IT-talitus.

1.3. Piirangud

Krüptograafiliste vahendite (krüptograafilist funktsiooni täitev riist- või tarkvaraüksus)

käitamisega seotud IT protseduurid esitatakse mooduligrupis OPS.1.1 IT-põhitööd. Üksikute

rakenduste või IT-süsteemide kaitsmist krüptograafia abil kirjeldatakse vastavate rakenduste

moodulites.

2. Ohud

2.1. Puudulik võtmehaldus

Puuduliku võtmehalduse tulemusena võib paljastuda konfidentsiaalne teave. Kui

protsessijuhendi puudumise tõttu on krüpteeritud andmed ja krüptovõtmed ekslikult paigutatud

samale andmekandjale, saavad sümmeetrilise krüptoprotseduuri korral kõik andmekandjale või

sidekanalile juurdepääsu omavad isikud andmeid dekrüpteerida.

2.2. Õiguslike raamtingimuste rikkumine krüptomoodulite rakendamisel

Õiguslikud raamtingimused krüptograafiliste vahendite rakendamisel võivad riigiti erineda.

Mõnes riigis ei tohi krüptomooduleid (ingl cryptographic module) ilma riikliku loata

kasutusele võtta või on riigis piiratud suure murdmiskindlusega krüptograafiaga toodete

eksport. Kui andmekaitse regulatsioon nõuab isikuandmete kaitseks selliste krüptograafiliste

protseduuride kasutamist, mida teise riigi seadused ei toeta, muutub andmekaitse subjektide

vaheline andmevahetus võimatuks.

2.3. Andmete konfidentsiaalsuse või tervikluse kadu kasutamisvigade tõttu

Kui organisatsioon võtab kasutusele krüptograafilise vahendi, mille kasutamine on liiga

keerukas või see ei ole intuitiivne, võivad kasutajad krüptograafiliste vahendite kasutamisest

loobuda ja selle asemel edastada andmeid avateksti kujul. See võimaldab ründajatel pealt

kuulata edastatavaid andmeid.

2.4. Krüptograafilise vahendi tarkvaravead või turvanõrkused

Krüptomehhanismide turvalisust võivad vähendada nõrkused või vead krüptograafiliste

vahendite tarkvaras. Näiteks võivad krüptomooduli poolt genereeritud juhuarvud olla

prognoositavad, mistõttu juhuarvuga seotud krüptovõtme rekonstrueerimine lihtsustub

oluliselt. Krüptograafilist funktsiooni täitva riist- või tarkvara turvanõrkusi saab ründaja ära

kasutada elutähtsate süsteemide manipuleerimiseks ja andmete volitamata muutmiseks.

2.5. Krüptomooduli tõrge

Tehniliste defektide, elektrikatkestuste või tahtliku hävitamise tõttu võib tekkida tõrge

riistvaralises krüptomoodulis. Seetõttu ei ole krüpteeritud andmeid niikaua võimalik kasutada

kuni asendatakse dekrüpteerimiseks vajalik riistvara. Organisatsiooni ärikriitilised protsessid

võivad seiskuda.

37

2.6. Ebaturvalised krüptograafilised vahendid

Ebaturvaliste või aegunud krüptoalgoritmide murdmiseks ei ole tarvis kalleid ressursse. Isegi

kui organisatsioonisiseselt kasutatakse üksnes turvalisi ja sertifitseeritud tooteid, võib

teabevahetus osutuda murtavaks juhul, kui organisatsiooniväline suhtluspartner ajakohaseid

krüptograafilisi vahendeid ei kasuta.

2.7. Viga krüpteeritud andmetes või krüptovõtmes

Kui pärast andmete krüpteerimist krüptogrammi muudetakse, ei ole krüpteeritud teksti

võimalik dekrüpteerida. Ainuüksi ühe biti vahetumine krüptovõtmes muudab krüpteeritud

andmete dekrüpteerimise võimatuks. Kui andmetest ei ole tehtud varukoopiat, muutuvad kõik

andmed kättesaamatuks.

2.8. Krüptovõtme paljastamine

Krüptomehhanismi turvalisus oleneb sellest, kas krüptovõtmed jäävad konfidentsiaalseks.

Ründaja proovib enamasti tuvastada kasutatud võtit. Teades võtit ja krüptomehhanismi, on

ründajal võimalik andmed dekrüpteerida. Selleks võib ründaja üritada taastada krüptovõtit

kasutatud seadme mälutõmmisest (ingl memory dump), otsida seda konfiguratsioonifailidest

või andmete varukoopiatest. Krüpteeritud kõvaketta korral võib ründaja kõvaketta

dekrüpteerimiseks paigaldada klaviatuuri ja arvuti vahele paroolile juurdepääsu saamiseks

klahvilogeri (ingl keylogger).

2.9. Võltsitud sertifikaat

Sertifikaate kasutatakse avaliku krüptovõtme konkreetse isiku privaatvõtmega sidumiseks, mis

on omakorda krüptograafiliselt kaitstud digitaalsignatuuri abil. Kui sertifikaat on võltsitud,

seotakse digitaalsignatuurid sertifikaadis nimetatud isikuga vääralt või krüpteeritakse ja

edastatakse andmed ebaturvalise võtmega.

3. Meetmed

3.1. Elutsükkel

Kavandamine

CON.1.M1 Krüptomehhanismide kasutuselevõtu kavandamine

CON.1.M9 Krüptograafiliste vahendite valikukriteeriumite kehtestamine

Evitus

CON.1.M11 Krüptograafiliste funktsioonidega riistvara testimine

Käitus

CON.1.M2 Andmete turvalisuse tagamine krüptomehhanismide kasutamisel

CON.1.M4 Turvaline võtmehaldus

CON.1.M10 Krüptokontseptsioon

CON.1.M15 Reageerimine krüptomehhanismide nõrgenemisele

CON.1.M19 Kasutatavate krüptograafiliste vahendite loend

CON.1.M16 Riistvaraliste krüptomoodulite füüsiline turve

38

CON.1.M18 Krüptograafiliste funktsioonidega riistvara asendus

CON.1.M20 Krüptograafiliste funktsioonidega riist- ja tarkvara manipuleerimise tuvastamine

Parendamine

CON.1.M17 Kiirguseturbe meetmed

Kõrvaldamine

CON.1.M5 Krüptovõtmete turvaline kustutus ja hävitamine

3.2. Põhimeetmed

CON.1.M1 Krüptomehhanismide kasutuselevõtu kavandamine [vastutav spetsialist]

a. Krüptomehhamismide valimisel eelistatakse sõltumatutes uuringutes heakskiidetud

krüptoalgoritme, mida on põhjalikult kontrollitud ja mis on teadaolevate turvanõrkusteta.

b. Krüptograafilises vahendis kasutatakse hetkel soovitatavaid võtmepikkusi.

c. Võtme pikkuse määramisel arvestatakse selle sobivust krüptovõtme plaanitud kasutusajaga.

Pikemate kasutusaegade puhul on soovitatav võtme pikkust suurendada.

CON.1.M2 Andmete turvalisuse tagamine krüptomehhanismide kasutamisel [IT-talitus]

a. Krüpteeritud andmete varundamisel on krüptovõtmed kaitstud lubamatu juurdepääsu eest.

b. Pika kasutuskestusega krüptovõtmeid hoitakse väljaspool kasutatavat IT-süsteemi paiknevas

võrguühenduseta asukohas.

c. Krüpteeritud andmete pikaajalisel säilitamisel on tagatud andmetele juurdepääs.

Krüpteerimiseks kasutatud krüptoalgoritmide ja võtmepikkuste vastavust hetkel soovitavatele

väärtustele kontrollitakse regulaarselt.

d. Kasutusest võetud krüptograafilised vahendid on arhiveeritud ning vastav riist- ja

tarkvarakonfiguratsioon on varundatud.

CON.1.M4 Turvaline võtmehaldus

a. Krüptograafiliste vahendite krüptovõtmete halduseks on kehtestatud sobiv

võtmehaldussüsteem ja loodud turvaline keskkond.

b. Võtmehaldussüsteem käsitleb krüptovõtmete tervikluse ja autentsuse säilitamist kogu võtme

elutsükli (võtmete loomine, säilitamine, uuendamine, hävitamine) vältel.

c. Krüptovõtmete loomisel on kasutatud sobivat võtmegeneraatorit ja turvalist keskkonda.

d. Kolmandate poolte genereeritud võtmete kasutamisel kontrollitakse võtmeandmete päritolu

ja terviklust. Kontrollimatu võtmehoidlaga krüptograafilisi vahendeid ei kasutata.

e. Krüptograafiliste vahendite vaikevõtmed (va avaliku võtme sertifikaadid) on asendatud.

39

f. Võimalusel kasutatakse krüptovõtit ainult üheks kasutusotstarbeks. Krüpteerimiseks ja

signatuuride moodustamiseks kasutatakse erinevaid võtmeid.

g. Salajased võtmed (ingl secret key) on kaitstud volitamata juurdepääsu eest ja nende

transpordil kasutatakse turvalisi edastuskanaleid.

h. Krüptovõtmeid muudetakse vastavalt IT-süsteemi nõuetele ja fikseeritud sagedusega.

i. Salajaste võtmete ja privaatvõtmete (ingl private key) avalikuks tuleku puhuks on loodud

protseduurid intsidendi käsitlemiseks.

3.3. Standardmeetmed

CON.1.M5 Krüptovõtmete turvaline kustutus ja hävitamine [IT-talitus]

a. Kasutusest võetud krüptovõtmed ja sertifikaadid kustutatakse turvaliselt ja hävitatakse.

b. Krüptovõtmete turvalise kustutuse ja hävitamise protseduurid on dokumenteeritud

krüptokontseptsioonis.

CON.1.M9 Krüptograafiliste vahendite valikukriteeriumite kehtestamine [vastutav

spetsialist]

a. Enne krüptograafiliste vahendi valimist määratakse, millistele nõuetele peab toode vastama.

Seejuures pööratakse tähelepanu järgmistele aspektidele:

• funktsionaalsus;

• koostalitlusvõime;

• majanduslik otstarbekus;

• töö- ja tõrkekindlus;

• tehnilised aspektid;

• personali- ja korralduslikud aspektid;

• kasutatavad krüptomehhanismid, -algoritmid ja võtmepikkused;

• andmekaitse nõuded;

• õiguslikud raamtingimused (sh rahvusvahelised õiguslikud aspektid).

b. Kasutusotstarbe ja käituskoha alusel otsustatakse, kas on vajalik kasutada ainult

sertifitseeritud krüptovahendeid.

CON.1.M10 Krüptokontseptsioon

a. Organisatsiooni krüptokontseptsiooni loomisel on lähtutud organisatsiooni üldisest

turvapoliitikast. Krüptokontseptsioon esitab kasutatavate krüptomehhanismide ja

krüptograafiliste vahendite tehnilised ja korralduslikud nõuded.

b. Krüptokontseptsioonis on sätestatud vähemalt järgmine:

• vastutus krüptograafiliste vahendite eest;

• krüptograafiliste vahendite turvaline konfigureerimine ja nõutavad tehnilised parameetrid;

• krüptograafiliste vahendite testimine;

• krüptograafiliste vahendite turvaline kasutamine;

• krüptograafiliste vahendite turvaline haldus;

40

• krüptovõtmete haldus (sh võtmete turvaline varundamine);

• krüptograafiliste vahendite asendamine;

• krüptograafiliste vahendite turvaline kustutus ja hävitamine.

c. Krüptograafiliste vahendite kasutajatele on koostatud õppematerjalid, tegevusjuhised ning

loodud teavitusteed probleemidest ja turvasündmustest teavitamiseks.

d. Asjassepuutuvad töötajad järgivad tegevusjuhiseid.

e. Krüptokontseptsiooni täitmist kontrollitakse regulaarselt. Kontrollitulemused

dokumenteeritakse. Vajadusel krüptokontseptsioon ajakohastatakse.

CON.1.M15 Reageerimine krüptomehhanismide nõrgenemisele

a. Usaldusväärsetele allikatele tuginedes kontrollib organisatsioon vähemalt korra aastas kõigi

kasutatavate krüptograafiliste vahendite, meetodite ja parameetrite ajakohasust ja turvalisust.

b. Krüptomehhanismi turvanõrkuste ilmnemiseks on koostatud protseduur, mis taastab

krüptomehhanismi nõutava turvataseme või asendab nõrgenenud krüptograafilise vahendi

sobiva alternatiiviga.

CON.1.M19 Kasutatavate krüptograafiliste vahendite loend [IT-talitus]

a. Organisatsioon on loonud kasutatavate krüptograafiliste vahendite (s krüptograafiliste

funktsioonidega riist- ja tarkvara) loendi. Loend sisaldab vähemalt järgmist:

• IT-süsteemid, mis antud krüptograafilist vahendit kasutavad;

• krüptograafilise vahendi kasutamise eesmärk (n arvuti kõvaketta krüpteerimine);

• krüptograafilised meetodid ja krüptomehhanismid;

• krüptograafilise vahendi turvaparameetrid (n võtme pikkus).

3.4. Kõrgmeetmed

CON.1.M11 Krüptograafiliste funktsioonidega riistvara testimine (C-I) [IT-talitus]

a. Krüptograafiliste funktsioonidega riistvara kasutuselevõtu eel luuakse uued krüptovõtmed

ja kontrollitakse, kas krüptograafilised funktsioonid toimivad ootuspäraselt.

b. Krüptograafiliste funktsioonidega riistvara testimisprotseduurid on kirjeldatud

krüptokontseptsioonis.

c. IT-süsteemi muudatuste järgselt testitakse kasutavate krüptograafiliste funktsioonide

toimivust.

d. Krüptograafiliste funktsioonidega riistvara konfiguratsiooni õigsust kontrollitakse

regulaarselt.

e. Võimalusel kasutatakse krüptograafiliste funktsioonidega riistvara, mis võimaldab läbi viia

eneseteste.

41

CON.1.M16 Riistvaraliste krüptomoodulite füüsiline turve (C-I) [IT-talitus]

a. On rakendatud meetmed krüptograafiliste funktsioonidega riistvarale volitamata füüsilise

juurdepääsu tõkestamiseks.

CON.1.M17 Kiirguseturbe meetmed (C) [IT-talitus]

a. Lähtuvalt teabe konfidentsiaalsusvajadusest võetakse kiirguseturbe parendamiseks

kasutusele täiendavad meetmed.

b. Kiirguseturbe meetmed ja meetmete rakendamise lävendid on dokumenteeritud

krüptokontseptsioonis.

CON.1.M18 Krüptograafiliste funktsioonidega riistvara asendus (C-I-A) [IT-talitus]

a. Krüptograafiliste funktsioonidega riistvara asendamiseks on olemas asendusriistvara, nt

piisav varu mitmikautentimiseks kasutatavaid riistvaralisi krüptopääsmikke (ingl

cryptographic token).

b. On olemas krüptograafiliste funktsioonidega riistvara asendamist kirjeldavad juhendid.

CON.1.M20 Krüptograafiliste funktsioonidega riist- ja tarkvara manipuleerimise

tuvastamine (C-I)

a. Kasutusele võetud krüptomooduleid ei saa märkamatult välja lülitada ega ignoreerida.

b. Krüptograafilisi funktsioone täitvate riist- või tarkvaraüksuste toimimist seiratakse

võimalike manipuleerimiskatsete tuvastamiseks.

CON.2 Isikuandmete kaitse

1. Kirjeldus

1.1. Eesmärk

Esitada organisatsioonile meetmed füüsiliste isikute (andmesubjektide) põhiõiguste kaitseks

isikuandmete töötlemisel.

Turvameetmete rakendamine äriprotsesside kaitseks tagab andmeid töötleva organisatsiooni

turvalisuse, kuid see ei pruugi ilma täiendavaid meetmeid rakendamata olla piisav füüsiliste

isikute (andmesubjektide) kaitsmiseks isikuandmete väärkasutuse eest.

1.2. Vastutus

Isikuandmete kaitse meetmete rakendamise eest vastutab organisatsiooni juhtkond.

Lisavastutajad: IT-talitus, infoturbejuht, testija, personaliosakond, andmekaitsespetsialist.

1.3. Piirangud

42

Õigusaktidest tulenevate andmekaitsenormide, sh isikuandmete töötlemise põhimõtete

järgimine on andmetöötleja kohustus.

Andmekaitsespetsialisti ülesandeks on analüüsida ja kontrollida isikuandmete töötlemise

toimingute õiguspärasust organisatsioonis, andes talle seoses tema kohustustega nõu ja

soovitusi. Sel põhjusel ei ole andmekaitse spetsialisti tegevusi vastutajana järgnevates

moodulites välja toodud.

Moodulis esitatavaid meetmeid rakendatakse isikuandmeid salvestatavatele ja talletavatele

sihtobjektidele.

Täiendavalt tuleb isikuandmete kaitseks rakendada asjakohaseid meetmeid järgnevatest

moodulitest:

 ORP.2 Personal

 ORP.4 Identideedi- ja õiguste haldus

 ORP.5 Vastavusehaldus (nõuete haldus)

 CON.1 Krüptokontseptsioon

 CON.3 Andmevarunduse kontseptsioon

 CON.6 Andmete kustutus ja hävitamine

 CON.8 Tarkvaraarendus

 CON.9 Teabevahetus

 OPS.1.1.3 Paiga- ja muudatusehaldus

 OPS.1.1.4 Kaitse kahjurprogrammide eest

 OPS.1.1.5 Logimine

 OPS.1.1.6 Tarkvara testimine ja kasutuselevõtt

 OPS.1.2.2 Arhiveerimine

 OPS.2.2 Pilvteenuste kasutamine

 OPS.2.3 Väljasttellimine

 OPS.3.2 Teenuseandja infoturve

 DER.1 Turvaintsidentide avastamine

 DER.2.1 Turvaintsidentide käsitlus

 DER.3.1 Auditid ja läbivaatused

 NET.3.2 Tulemüür

 NET.3.3 Virtuaalne privaatvõrk (VPN)

2. Ohud

2.1. Andmekaitseregulatsioonide eiramine

Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse

kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ

kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (inglinglise keeles General

Data Protection Regulation, GDPR, edaspidi IKÜM), isikuandmete kaitse seadus ning teatud

juhtudel ka muud seadusandlikud aktid esitavad nõuded isikuandmete töötlemisele.

Õigusaktide eesmärk on füüsiliste isikute (andmesubjektide) õiguseid kaitsta.

2.2. Puudulikud andmetöötlusprotseduurid

Andmete väärkasutamise oht kasvab, kui organisatsioonis puuduvad protseduurid IT-

süsteemidele ja andmetele õiguspärase juurdepääsu tagamiseks või kui töötajatel on juurdepääs

isikuandmetele, mida ei ole konkreetsete tööülesannete täitmiseks vaja.

43

2.3. Puudulikud ressursid

Kui organisatsioon hindab isikuandmete kaitsevajadust liiga madalaks ja ei eralda

isikuandmete kaitseks piisavalt tööjõudu, vahendeid jm vajalikke ressursse, jäävad

isikuandmete kaitse korralduslikud ja tehnilised meetmed kas osaliselt või täielikult

rakendamata. Tulemus ei pruugi tagada isikuandmete piisavat kaitset, seadusest tulenevad

nõuded jäävad täitmata.

2.4. Puudulik privaatsus

Isikuandmete töötlemine võib riivata andmesubjekti õigust perekonna- ja eraelu

puutumatusele.

2.5. Isikuandmete konfidentsiaalsuse kadu

Isikuandmete töötlemisel on alati oht, et andmed satuvad volitamata isikute kätte. See võib

juhtuda näiteks andmebaasi turvalisuse rikkumise, häkkerite rünnaku või füüsilise

andmekandja kaotamise tõttu. Andmelekete tagajärjel võidakse isikuandmeid kuritarvitada,

need võivad saada aluseks isiku identiteedivargusele või muudele ebaseaduslikele, isiku

enesemääramise õigusi kahjustavatele tegevustele.

2.6. Ebatäpsete andmete töötlemine

Isikuandmete töötlemisel on oht, et andmed muutuvad ebatäpseks, ebaõigeks või aegunuks.

See võib juhtuda inimese enda eksimuste või IT-süsteemis tekkivate vigade tõttu. Andmete

masstöötlusel on selliseid vigu väga keeruline tuvastada. Isiku kohta käivate ekslike andmete

töötlemine võib viia ebaõigete otsuste tegemiseni ja võib mõjutada inimeste õigusi, vabadusi

ja huve.

2.7. Andmetöötleja mainekahju

Töötajate, klientide või partnerite isikuandmete lekkimine organisatsiooni enda süül võib

organisatsiooni mainet tugevasti kahjustada. Kliendid võivad loobuda lepingutest, mis on

organisatsiooniga sõlmitud ning see avaldub käibe vähenemisest tuleneva rahalise kahjuna.

Töötajad ja partnerid kaotavad organisatsiooni vastu usalduse.

3. Meetmed

3.1 Elutsükkel

Kavandamine

CON.2.M1 Isikuandmete kaitse kavandamine

CON.2.M2 Andmekaitsespetsialisti (andmekaitseametniku) määramine

CON.2.M3 Isikuandmete töötluse kaardistamine

Evitus

CON.2.M4 Andmekaitsepoliitika ja andmekaitsejuhiste väljatöötamine

CON.2.M7 Andmekaitsetingimuste dokumenteerimine

44

CON.2.M29 Juurdepääsupiirangute klassifikaatorite süsteem

Käitus

CON.2.M5 Organisatsiooni töötajate teadlikkuse tõstmine

CON.2.M6 Isikuandmete töötlemise õigus- ja eesmärgipärasuse ning minimaalsuse

tagamine

CON.2.M8 Andmesubjekti õiguste tagamine

CON.2.M9 Isikuandmete pseudonüümimine ja anonüümimine

CON.2.M10 Isikuandmetele juurdepääsu piiramine

CON.2.M11 Isikuandmete korrakohane säilitamine

CON.2.M12 Isikuandmete kaitse tehniliste meetmete rakendamine

CON.2.M13 Andmekaitsealased mõjuhinnangud

CON.2.M14 Volitatud töötlejate haldus

CON.2.M15 Isikuandmete turvaline krüpteerimine

CON.2.M16 Isikuandmete säilitamise eeskiri

CON.2.M17 Keskne pääsuhalduse süsteem

CON.2.M18 Isikuandmete töötlemise turve

CON.2.M19 Andmetöötluse toimingute logimine

CON.2.M20 Andmetöötluse asukohtade füüsiline turvalisus

CON.2.M21 Võrguturbe tagamine

CON.2.M22 Lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtete rakendamine

rakendustes

CON.2.M23 Isikuandmeid sisaldavate rakenduste testimine

CON.2.M24 Privaatsusseadistused veebilehtedel

CON.2.M25 Isikuandmete kustutamine töötaja lahkumisel

CON.2.M27 Tähtajalised juurdepääsuõigused

CON.2.M30 Isikuandmete automaatne tuvastamine

CON.2.M31 Digitaalsete õiguste halduse süsteem

Seire

CON.2.M28 Isikuandmete töötlemise automaatseire

Parendamine

CON.2.M26 Andmekaitseauditi läbiviimine

3.2 Põhimeetmed

CON.2.M1 Isikuandmete kaitse kavandamine

a. Organisatsioonis on analüüsitud töödeldavate isikuandmete asukohti, liike ja kaitsetarvet.

b. Organisatsioon on kaardistanud ning dokumenteerinud õigusaktidest ning kolmandate

pooltega sõlmitud lepingutest tulenevad andmekaitsenõuded.

c. Organisatsioon on tuvastanud isikuandmete kaitse meetmete rakendamise kohustuse ja

määranud isikuandmete kaitse meetmete eest vastutajad.

45

CON.2.M2 Andmekaitsespetsialisti (andmekaitseametniku) määramine

a. Organisatsiooni juhtkond on määranud andmekaitsespetsialisti, kui IKÜM artikkel 37,

isikuandmete kaitse seaduse § 40 või muu asjakohane õigusakt seda nõuab.

b. Organisatsioon tagab, et andmekaitsespetsialist saab oma teadmisi regulaarselt uuendada

(koolitused) ning võimaluse olla kursis andmekaitse-alaste arengute ja sündmustega.

c. Organisatsioon tagab andmekaitsespetsialisti nõuetekohase ja õigeaegse kaasamise

kõikidesse isikuandmete kaitsega seotud küsimustesse.

CON.2.M3 Isikuandmete töötluse kaardistamine

a. Organisatsioon on kaardistanud isikuandmete töötlemise kogu andmete elutsükli ulatuses.

b. Kaardistamise tulemused on dokumenteeritud isikuandmete töötlemise ülevaates.

CON.2.M4 Andmekaitsepoliitika ja andmekaitsejuhiste väljatöötamine

a. Organisatsioon on välja töötanud ja kehtestanud andmekaitsepoliitika ja andmekaitsejuhised.

b. Andmekaitsepoliitikas on kirjeldatud isikuandmetele juurdepääsu andmise ning andmete

kogumise, töötlemise, säilitamise ja kustutamise põhimõtted.

c. Andmekaitsepoliitika sätestab organisatsiooni töötajate vastutuse isikuandmete kaitse

tagamisel.

d. Andmekaitsejuhised sisaldavad organisatsiooni töötajatele suunatud tegevusjuhiseid

isikuandmete turvalisust mõjutavate intsidentidele ja andmesubjektide pöördumistele

reageerimiseks.

CON.2.M5 Organisatsiooni töötajate teadlikkuse tõstmine [andmekaitsespetsialist,

infoturbejuht, personaliosakond]

a. Organisatsioon korraldab regulaarselt andmekaitsealaseid koolitusi, kaasates selleks

vajadusel ka väliseid eksperte.

b. Organisatsioon korraldab küberhügieeni koolitusi (nt ekraaniluku kasutamine arvuti juurest

lahkudes).

c. Organisatsiooni töötajate teadmisi kontrollitakse regulaarsete testidega, mis sisaldavad

andmekaitsealaseid küsimusi ja tüüpjuhtumite lahendamist.

CON.2.M6 Isikuandmete töötlemise õigus- ja eesmärgipärasuse ning minimaalsuse

tagamine

a. Organisatsioon töötleb isikuandmeid ainult asjakohase sätestatud õigusliku aluse olemasolul.

b. Organisatsioon töötleb isikuandmeid ainult kindlaksmääratud eesmärkidel ning ulatuses, mis

on nende eesmärkide täitmiseks vajalik.

46

CON.2.M7 Andmekaitsetingimuste dokumenteerimine

a. Organisatsioon on koostanud andmekaitsetingimused vastavalt IKÜM artikli 5 lõike 1

punktile a ja lõigetele 2, 12-22 ning arvestades põhjenduspunkte 39, 58-72 või vastavalt

isikuandmete kaitse seaduse §-le 23 või vastavalt muule asjaomasele seadusele.

b. Andmekaitsetingimused on töötajatele ja teistele andmesubjektidele arusaadavad ja

vajadusel kergesti kättesaadavad.

CON.2.M8 Andmesubjekti õiguste tagamine

a. Organisatsioon tagab, et andmesubjektide IKÜM-st või seadusest tulenevaid õigusi on IT-

süsteemides tehniliselt võimalik rakendada.

b. Andmesubjektidele antakse selget ja arusaadavat teavet nende õiguste kohta.

c. Õiguste rakendamine on andmesubjekti jaoks lihtne.

CON.2.M9 Isikuandmete pseudonüümimine ja anonüümimine

a. Organisatsioon minimeerib isikuandmete töötlemisel isikuga otseselt või kaudselt

seostatavate andmete kasutamist.

b. Võimalusel isikuandmed pseudonüümitakse (meetod, kus isikuandmed asendatakse

andmete töötlemisel unikaalse identifikaatori või koodiga, mis ei võimalda isikut otseselt

tuvastada) või anonüümitakse (meetod, mille käigus isikuandmeid muudetakse sellisel viisil,

et neid ei ole võimalik enam konkreetse isikuga seostada ei otseselt ega kaudselt).

c. Statistilises andmetetöötluses kasutatakse võimalusel ainult anonüümitud isikuandmeid.

CON.2.M10 Isikuandmetele juurdepääsu piiramine [IT-talitus]

a. Isikuandmetele juurdepääsu andmisel lähtutakse minimaalsuse printsiibist, st töötajale

antakse juurdepääs ainult sellele osale IT-süsteemist ja andmetest, mis töötajal on

tööülesannete täitmiseks vajalik.

b. Juurdepääsu piiramine hõlmab nii füüsilise juurdepääsu kui pääsuõiguste piiramist.

CON.2.M11 Isikuandmete korrakohane säilitamine

a. Organisatsioon on määranud säilitustähtajad kõikidele säilitavatele isikuandmetele.

b. Säilitamise eesmärk ja säilitustähtajad on kooskõlas asjakohaste õigusaktidega.

c. Organisatsioon säilitab isikuandmeid ainult nii kaua, kui see on vajalik säilitamise eesmärgi

saavutamiseks.

d. Kui säilitamise eesmärk on täidetud või kui isikuandmed ei ole enam vajalikud, korraldab

organisatsioon nende isikuandmete turvalise hävitamise.

47

CON.2.M12 Isikuandmete kaitse tehniliste meetmete rakendamine [IT-talitus]

a. Organisatsioon on isikuandmetele volitamata juurdepääsu takistamiseks võtnud IT-

süsteemides kasutusele turvalised autentimismeetodid (vt ORP4 Identiteedi- ja õiguste

haldus).

b. Organisatsioon on võrguliikluse kaitseks paigaldanud tulemüüri ja piiranud mittevajaliku

võrguliikluse (vt NET.3.2 Tulemüür).

c. Isikuandmete töötlemisel (sh. nende saatmisel) organisatsioon krüpteerib isikuandmed, kui

see on asjakohane.

d. Isikuandmete töötluse tegevused ja asjaolud logitakse (vt OPS 1.1.5 Logimine).

e. Isikuandmete varundamine toimub regulaarselt. Varukoopiaid säilitatakse varundatavatest

andmetest eemal asuvas asukohas. (vt CON.3 Andmevarunduse kontseptsioon).

f. Organisatsioon kontrollib ja testib regulaarselt isikuandmete töötlemisel tehniliste meetmete

rakendamist, et veenduda nende tõhususes, turvalisuses ning vastavuses IKÜM-i, isikuandmete

kaitse seaduse või muu asjaomase seaduse ja asjaomase standardiga.

3.3 Standardmeetmed

CON.2.M13 Andmekaitsealased mõjuhinnangud

a. Organisatsioon on koostanud andmekaitsealase mõjuhinnangu, kui see on IKÜM artiklist 35

või isikuandmete kaitse seaduse §-st 38 või muus asjaomasest seadusest tulenevalt nõutav.

Andmekaitsespetsialist on mõjuhinnangu koostamisel nõustavas rollis.

b. Andmekaitsespetsialist või organisatsiooni juhtkond on kehtestanud mõjuhinnangu

koostamise juhendi, mille alusel oskavad mõjuhinnangut teha ka ilma eelneva põhjaliku

ettevalmistuseta töötajad.

CON.2.M14 Volitatud töötlejate haldus

a. Organisatsioon on volitatud töötlejaga sõlminud IKÜMist või seadusest või muust

õigusaktist tuleneva andmetöötluslepingu. Andmetöötluslepingut ei sõlmita, kui andmeid

töödeldakse Euroopa Liidu või selle liikmesriigi õiguse kohase siduva õigusakti alusel.

b. Organisatsioon on kontrollinud, et volitatud töötlejad rakendavad nõutavaid turvameetmeid

isikuandmete töötlemisel ja järgivad isikuandmete töötlemise põhimõtteid.

c. Organisatsioon on valinud volitatud töötlejaid hoolikalt, tehes põhjalikke taustauuringuid ja

veendudes nende pädevuses ning kogemustes andmekaitse valdkonnas.

d. Organisatsioon on volitatud töötlejate kaasamisel vaadanud üle nende

andmekaitsetingimused, protseduurid ja turvameetmed ning on veendunud, et need vastavad

IKÜM-is või asjaomases õigusaktis sätestatud nõuetele.

48

e. Organisatsioon kontrollib volitatud töötlejate tegevuse vastavust IKÜM-is või muust

õigusaktist tulenevate nõuetega. Vastav audit viiakse läbi minimaalselt kord nelja aasta jooksul

ja seda võib teha koos üldise andmekaitseauditiga.

f. Isikuandmete kaitse nõuete muutumisel veendub organisatsioon, et volitatud töötlejad

oleksid muudatustest teadlikud ning sõlmitud andmetöötluslepingud vastaksid uutele nõuetele.

Vajadusel andmetöötluslepingud uuendatakse.

CON.2.M15 Isikuandmete turvaline krüpteerimine [IT-talitus]

a. Organisatsioon on juurutanud turvalise võtmehaldusprotseduuri ning kasutab isikuandmete

turvalisuse tagamiseks tugevat ja usaldusväärset krüpteerimisalgoritmi.

b. Organisatsioon tagab, et asjakohasel juhul toimub krüpteerimine juba andmete kogumise või

edastamise ajal.

c. Organisatsioon tagab, et krüpteeritud isikuandmete dekrüpteerimise võimalus oleks rangelt

piiratud vaid selleks volitatud isikutele.

d. Organisatsiooni töötajaid peab koolitama ja teavitama krüpteerimise parimate tavade teemal

ja tagama, et töötajad oskavad krüptovahendeid isikuandmete kaitseks korrektselt kasutada.

CON.2.M16 Isikuandmete säilitamise eeskiri

a. Organisatsioon on koostanud eeskirja, mis kirjeldab, kuidas ja kui kaua erinevaid

isikuandmeid säilitatakse ning kuidas toimub isikuandmete kustutamine või andmekandjate

hävitamine.

b. Eeskiri sisaldab säilitusperioode kõigile varundatud või arhiveeritud isikuandmetele.

c. Organisatsioon kasutab säilitamistähtaegade jälgimiseks automaatseid teavitusi või

automaatset kustutamist.

d. Organisatsioon auditeerib andmete säilitamise tähtaegade järgimist regulaarselt.

CON.2.M17 Keskne pääsuhalduse süsteem [IT-talitus]

a. Organisatsioon kasutab keskset pääsuhalduste süsteemi, mille abil organisatsioon haldab

töötajate juurdepääsu isikuandmetele.

b. Organisatsioon logib töötajate tegevusi, et tuvastada isikuandmete väärkasutamist,

kiirendada reageerimist turvasündmustele ning vähendada andmelekke riski.

c. Organisatsioon korraldab juurdepääsuõiguste ülevaatuse vähemalt kord aastas. Liigsed

pääsuõigused eemaldatakse.

CON.2.M18 Isikuandmete töötlemise turve [IT-talitus, infoturbejuht]

a. Organisatsioon kasutab tundlikele isikuandmetele juurdepääsu andmisel mitmikautentimist

(ingl multifactor authentication), eesmärgiga tagada ainult volitatud isikute juurdepääs.

49

b. Kaugtöötamiseks on organisatsioonis kasutusel virtuaalne privaatvõrk (ingl virtual private

network, VPN). VPN tagab turvalise ja krüpteeritud ühenduse organisatsiooni sisevõrguga,

võimaldades töötajatel turvaliselt juurde pääseda isikuandmetele väljastpoolt organisatsiooni

võrku.

c. Tundliku teabe kaitsmiseks kõrvaliste pilkude eest kasutatakse ekraanifiltrit. Ekraanifilter

on olemas pidevalt sülearvutiga kaugtööd tegevatel töötajatel.

CON.2.M19 Andmetöötluse toimingute logimine [IT-talitus]

a. Kõik isikuandmete töötlemise toimingud logitakse.

b. Andmetöötluse logid sisaldavad järgmist:

• kes isikuandmeid töötles;

• millal isikuandmeid töödeldi;

• mis isikuandmeid töödeldi;

• milliseid toiminguid isikuandmetega tehti (toimingute all peetakse silmas kõiki

andmetöötluse vorme, sh. vaatamised, muutmised, allalaadimised, kustutamised).

c. Kui andmetöötluses on kaasatud kolmandaid osapooli (sh. volitatud, kaasvastutavaid

töötlejaid), siis lepitakse kokku selged rollid andmetöötluslogide talletamiseks ja

juurdepääsuks.

d. Andmetöötluslogidele on rakendatud automaatne logianalüsaator, mis aitab tuvastada

võimalikke andmekaitsealaseid rikkumisi.

e. Organisatsioon on kehtestanud protseduuri andmetöötluslogide ülevaatamiseks.

Andmetöötluslogisid kontrollitakse regulaarselt ning vajadusel juhtumipõhiselt.

f. Andmetöötluslogisid säilitatakse minimaalsuse ja eesmärgipärasuse põhimõtteid silmas

pidades. Eelkõige on oluline, et andmetöötluslogisid ei säilitataks ebamõistlikult kaua, kuid

siiski piisavalt kaua, et saaks tuvastada võimalikke rikkumisi.

g. Andmetöötluslogidele on sätestatud säilitamistähtajad, mille lõppedes need kustutatakse

automaatselt.

CON.2.M20 Andmetöötluse asukohtade füüsiline turvalisus

a. Organisatsioon on isikuandmete turvaliseks töötlemiseks ja säilitamiseks määranud piiratud

pääsuga alad (näiteks lukustatud ruumid või serveriruumid).

b. Organisatsioon on kehtestanud ruumidele juurdepääsu reeglid ja rakendanud selle

jõustamiseks tehnilised juurdepääsu- ja valvesüsteemid (nt elektrooniline lukustussüsteem,

uksekaart, biomeetriline autentimine, valvekaamerad).

c. Organisatsioon viib regulaarselt läbi ülevaatusi füüsiliste turvameetmete efektiivsuse

hindamiseks (sh. uste ja lukkude seisukorra kontrolli, valvesüsteemide testimist, videoseire

toimimise kontrolli, uksekaardi logide kontrolli jne).

50

d. Organisatsioon on koostanud protseduurid külaliste haldamiseks, kes sisenevad

organisatsiooni aladele, kus töödeldakse isikuandmeid. See hõlmab nii külaliste

registreerimist, külastuste eelnevat kooskõlastamist, külaliste juhendamist organisatsiooni

reeglite osas ning külastaja saatmist (st. külastaja liigub organisatsioonis ainult koos

organisatsiooni töötajast saatjaga).

CON.2.M21 Võrguturbe tagamine [IT-talitus]

a. Organisatsioon kasutab võrgurünnete ja isikuandmetega tehtavate ebaharilike tegevuste

tuvastamiseks ja ennetamiseks sissetungituvastuse ja -tõrje süsteeme (IDS, IPS).

b. Isikuandmete saatmiseks üle avaliku võrgu kasutatakse turvalisi, krüpteeritud protokolle.

CON.2.M22 Lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtete rakendamine

rakendustes

a. Rakendustes, mis põhinevad isikuandmete töötlemisel või mille käigus töödeldakse

isikuandmeid, arvestatakse lõimitud andmekaitse (ingl data protection by design) ja vaikimisi

andmekaitse (ingl data protection by default) põhimõtteid juba rakenduse valimise ja

väljatöötamise kavandamise etappides.

b. Rakendustele kehtestatud andmekaitsenõuete täitmist järgitakse ja kontrollitakse rakenduse

kogu eluea vältel.

c. Rakendustes kasutatakse ainult töötlemise eesmärgi täitmiseks vajalikke isikuandmeid.

CON.2.M23 Isikuandmeid sisaldavate rakenduste testimine [testija]

a. Organisatsioon on koostanud põhimõtted rakenduste testimise läbiviimiseks, milles

keelatakse isikuandmete avaldamine, volitamata juurdepääs isikuandmetele ning piiratakse

testijate tegevust isikuandmetega seotud süsteemides. Testimise all peetakse silmas nii

rakenduste kasutuselevõtueelset testimist kui rakenduse läbistustestimisi turvanõrkuste

avastamiseks.

b. Testimise läbiviimiseks on sõlmitud lepingud, mis selgitavad testimise ulatust, eesmärke ja

testimisel lubatud tegevusi. Eesmärk on tagada vastutuse selgus ning kaitsta isikuandmete

konfidentsiaalsust ja privaatsust.

c. Enne testimise läbiviimist tehakse kindlaks testimiseks hädavajalikud isikuandmed,

võimalusel need andmed anonüümitakse või pseudonüümitakse.

d. Võimalusel antakse testijatele IT-süsteemi regulaarsest kasutajast piiratumad õigused.

Testijal on juurdepääs ainult neile ressurssidele, mis on vajalikud testimise läbiviimiseks.

e. Organisatsioon tagab, et pärast testimise lõppu kõik testijate poolt talletatud isikuandmed

turvaliselt kustutatakse. Selleks sõlmitakse vastavad lepingud (sh. andmetöötlusleping).

f. Pärast testimist teostab organisatsioon järelkontrolli, et hinnata andmekaitse ja

turvameetmete tõhusust.

51

CON.2.M24 Privaatsusseadistused veebilehtedel

a. Organisatsiooni veebilehel kasutatavad küpsised (ingl cookie) ja jälgimisvahendid on

kooskõlas isikuandmete kaitse üldmääruse ja teiste asjakohaste õigusaktidega.

b. Veebilehe külastajatele on kasutavate küpsiste ja jälgimisvahendite kohta antud selge ja

üheselt mõistetav teave. Kui on nõutud, küsitakse küpsiste kasutamiseks veebilehe külastajalt

nõusolekut.

c. Veebilehe külastajatel on võimalik kontrollida ja hallata oma küpsiste eelistusi.

d. Organisatsioon on veebilehel avalikustanud andmekaitsetingimused, mis kirjeldavad,

milliseid isikuandmeid kogutakse (sh. küpsised), kuidas neid töödeldakse, millistel

eesmärkidel, kaua säilitatakse ja kuidas privaatsust kaitstakse. Täiendavate

andmekaitsetingimuste elementide koostamisel tuleb lähtuda IKÜM artiklitest 12-22 või

asjaomasest seadusest.

e. Organisatsioon rakendab veebilehtedel isikuandmete kaitseks turvameetmeid.

f. Organisatsioon rakendab isikuandmeid sisaldaval veebilehel turvalist

andmeedastusprotokolli HTTPS.

g. Veebilehe või võrguühenduse kaitseks kasutavate kolmandate osapoolte teenuste (nt Google

Analytics, Matomo, CloudFare) kasutamine on andmekaitsetingimustes välja toodud.

h. Organisatsioon on teinud kõik selleks, et volitatud töötlejad rakendaksid isikuandmete

kaitseks asjakohaseid turvameetmeid.

CON.2.M25 Isikuandmete kustutamine töötaja lahkumisel [personaliosakond]

a. Organisatsioon on kehtestanud eeskirjad isikuandmete käitlemiseks ja kustutamiseks

arvutitöökohtadel.

b. Eeskiri sisaldab sätteid lahkuva töötaja võimaluste kohta saada kätte oma isiklikud

dokumendid (sh. isikuandmed), mida ta on tööandja IT-süsteemides hoiustanud. Eeskiri võiks

näiteks sätestada, et töötaja hoiab oma isikuandmeid ja isiklikke dokumente ainult selleks

markeeritud kaustas.

c. Eeskiri hõlmab lahkuva töötaja andmetest organisatsioonile vajalike andmete kättesaamist

(nt e-postkastist organisatsiooni jaoks oluliste kirjade või dokumentide kättesaamine).

d. Töötaja organisatsioonist lahkumisel kustutatakse talle personaalseks kasutuseks antavatelt

seadmetelt ja andmekandjatelt (sh irdandmekandjad) isikuandmed.

e. Lahkunud töötaja isikuandmeid hoiab organisatsioon alles õigusaktidest tulenevas ulatuses

ning tähtaja jooksul.

52

CON.2.M26 Andmekaitseauditi läbiviimine

a. Organisatsioon viib läbi regulaarseid sõltumatuid läbivaatusi või auditeid, et hinnata

organisatsiooni isikuandmete kaitse tegelikku olukorda ning tuvastada võimalikud riskid ja

puudused.

b. Andmekaitseaudit viiakse läbi vähemalt kord nelja aasta jooksul.

3.4. Kõrgmeetmed

CON.2.M27 Tähtajalised juurdepääsuõigused (C)

a. Organisatsioon rakendab tähtajalisi juurdepääsuõigusi, et tagada juurdepääsuõiguste

õiguspärasus ning vähendada isikuandmete volitamata töötlemise riski.

b. Juurdepääsuõiguste tähtaegade määramisel lähtutakse minimaalsuse printsiibist, eelkõige

seetõttu, et organisatsiooni töötajad võivad vahetuda ja see meede aitab vältida

organisatsioonist lahkunud töötajate juurdepääsu isikuandmetele.

CON.2.M28 Isikuandmete töötlemise automaatseire (C)

a. Organisatsioon kasutab automaatset isikuandmete töötlemise seiresüsteemi, mis tuvastab

isikuandmed, mida soovitakse organisatsioonist välja saata, saadab selle kohta volitatud

isikutele teavituse ja vajadusel blokeerib isikuandmete saatmise.

b. Teavituse saabudes hinnatakse, kas isikuandmete saatmine on õiguspärane ja vajalik.

CON.2.M29 Juurdepääsupiirangute klassifikaatorite süsteem (C)

a. Organisatsioon (avalikus sektoris) rakendab juurdepääsupiirangute klassifikaatorite

süsteemi, mis hõlbustab dokumentidele avaliku teabe seadusest tuleneva juurdepääsupiirangu

määramist vastavalt dokumendi sisule.

b. Juurdepääsupiirangute klassifikaatorite süsteem suudab muuhulgas automaatselt tuvastada,

kas dokumentides sisaldub isikuandmeid või peaks dokument olema konfidentsiaalne mõnel

muul põhjusel.

CON.2.M30 Isikuandmete automaatne tuvastamine (C)

a. Organisatsioon kasutab automaatset süsteemi, mis suudab tuvastada organisatsiooni

võrguliikluses ja infosüsteemides isikuandmeid (sh IKÜM mõistes eriliiki isikuandmeid) ning

neid klassifitseerida ilma kasutaja sekkumiseta.

b. Eriliiki andmete asukohad on automaatselt kaardistatud. Organisatsioon on rakendatud

eriliiki isikuandmete kaitseks tugevdatud turvameetmed.

CON.2.M31 Digitaalsete õiguste halduse süsteem (C-I-A)

a. Organisatsioon on privaatsuse tagamiseks kasutusele võtnud digitaalsete õiguste halduse

süsteemi, mis võimaldab erinevatele kaustadele, IT-süsteemidele ja dokumentidele määrata

53

rangelt vajaduspõhiseid õigusi. Näiteks on võimalik määrata, et teatud töötajad saavad

dokumenti ainult vaadata ja muutmine (sh. allalaadimine) nõuab täiendavaid õigusi.

CON.3 Andmevarunduse kontseptsioon

1. Kirjeldus

1.1. Eesmärk

Esitada juhised organisatsiooni andmevarunduse kontseptsiooni koostamiseks ja

rakendamiseks andmete kaitseks.

1.2. Vastutus

Andmevarunduse kontseptsiooni meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad: IT-talitus, vastutav spetsialist, töötaja.

1.3. Piirangud

Elektrooniliste dokumentide pikaajalise talletamise hoiu- ja hooldusmeetmed on esitatud

moodulis OPS.1.2.2 Arhiveerimine. Süsteemi- ja rakendusspetsiifilised logimismeetmed on

esitatud asjakohastes moodulites SYS.1.1 Server üldiselt, APP.3.2 Veebiserver ja NET.3.2

Tulemüür.

Andmete kustutamisel ja varukoopiate hävitamisel lähtutakse moodulist CON.6 Andmete

kustutus ja hävitamine.

2. Ohud

2.1. Andmevarunduse puudumine

Andmevarunduse puudumisel võib andmekadu (nt kahjurvara, tehniliste tõrgete või tulekahju

tõttu) organisatsioonile kaasa tuua korvamatut kahju.

2.2. Taaste testimise puudumine

Kui andmete varukoopiast taastamiseks ei viida läbi regulaarseid taasteteste, puudub kindlus,

et andmed on tegeliku taastevajaduse korral ja kokkulepitud aja jooksul taastatavad.

2.3. Varukoopiate andmekandjate ebaturvaline säilitus

Kui varukoopiaid sisaldavaid andmekandjaid hoitakse ebaturvalises kohas, võib ründaja

andmekandjaile juurde pääseda, andmeid varastada või manipuleerida. Varunduseks

kasutatavad andmekandjad võivad sobimatute hoiu- ja keskkonnatingimuste tõttu muutuda

kasutuskõlbmatuks.

2.4. Dokumentatsiooni puudumine või puudulikkus

54

Kui varundusprotseduure ei dokumenteerita või seda tehakse puudulikult, võib taastamine

oodatust kauem aega võtta või ebaõnnestuda.

2.5. Õigusaktide nõuete eiramine

Kui andmevarundusel ei järgita õigusaktide nõudeid, võib pärast andmetega toimunud

intsidenti (andmevargus, andmete hävimine) järgneda trahv või kahjunõue.

2.6. Ebaturvaline pilvteenuse tarnija

Kui organisatsioon varundab andmeid pilves, võib ründaja juurde pääseda varukoopiatele.

Pilve varundatud andmeid ei pruugi saada piisavalt kiiresti taastada.

2.7. Andmekandja salvestusmahu piisamatus

Kui andmekandjatel ei ole piisavalt salvestusmahtu, võib ühel hetkel andmevarundus seiskuda.

Varundustarkvara võib automaatselt üle kirjutada vanemad ja võib-olla veel vajalikud

andmevarundused.

2.8. Andmevarunduse kontseptsiooni puudulikkus

Kui varundusprotseduuride jaoks ei ole koostatud andmevarunduskontseptsiooni või

kontseptsioonist ei peeta kinni (nt varundatakse andmeid liiga harva või on andmete reaalne

taasteaeg suurem kui organisatsioonis kokku lepitud), on andmete taastamine raskendatud.

2.9. Andmete salvestuskiiruse piisamatus

Varundatava andmemahu lisandumisel pikeneb andmete varundamiseks kuluv aeg. Halvimal

juhul võib enne andmete plaanipärase varundamise lõppemist juba käivituda järgmine

andmevarundus. See võib kaasa tuua erinevaid probleeme, nt käsiloleva

andmevarundusprotsessi pooleli jäämist või varundussüsteemi koormuse kasvu, kuna korraga

töötab mitu andmevarundusprotsessi.

2.10. Lunavara rünne

Lunavara on kahjurvara erivorm, mis krüpteerib nakatunud IT-süsteemide andmed. Seejärel

nõuavad ründajad ohvrilt andmete dekrüpteerimiseks lunaraha maksmist. Kui andmetest ei ole

tehtud varukoopiat, lähevad krüpteeritud andmed kaotsi või neid saab tagasi ainult nõutud

lunaraha eest. Kuid isegi pärast lunaraha maksmist ei ole mingit garantiid, et andmed tagasi

saadakse.

3. Meetmed

3.1. Elutsükkel

Kavandamine

CON.3.M1 Andmevarunduse mõjurite piiritlemine

CON.3.M2 Andmevarunduseeskiri

55

CON.3.M4 Andmevarundusplaanid

CON.3.M6 Andmevarunduse kontseptsioon

Evitus

CON.3.M7 Sobiva andmevarundussüsteemi soetamine

CON.3.M9 Tingimuste tagamine kaugvarunduseks

Käitus

CON.3.M5 Regulaarne andmevarundus

CON.3.M12 Varunduseks kasutatavate andmekandjate turvaline säilitus

CON.3.M14 Varukoopiate turve

CON.3.M15 Varunduse regulaarne testimine

CON.3.M13 Krüptograafia rakendamine andmevarundusel

3.2. Põhimeetmed

CON.3.M1 Andmevarunduse mõjurite piiritlemine [vastutav spetsialist, IT-talitus]

a. IT-süsteemide ja vajadusel ka olulise tähtsusega üksikute IT-rakenduste jaoks on koostatud

varundatavate andmete register ja määratud andmevarunduse mõjurid. Andmevarunduse

mõjurite määramisel osalevad IT-süsteemide ja IT-rakenduste äripoole omanikud.

b. Andmevarunduse mõjuritena on määratud vähemalt järgnev:

• varundatavate andmete koosseis;

• varundatavate andmete käideldavus-, terviklus-, ja konfidentsiaalsusnõuded;

• õigusaktidest tulenevad nõuded;

• vajalik andmemaht;

• andmete säilitusaeg;

• nõutav varunduse sagedus;

• lubatav taasteaeg;

• nõuded andmete kustutamiseks ja andmekandjate hävitamiseks.

c. Vajaliku andmemahu hindamisel arvestatakse eeldatava andmemahu suurenemisega

tulevikus.

d. Varunduse sagedus määratakse andmete muudatuste ja lisanduste sageduse ja maksimaalse

lubatava andmekao hinnangu alusel.

e. Varundavate andmete lubatav taasteaeg määratakse tuginedes IT-süsteemi maksimaalselt

talutavale seisuajale (ingl maximum tolerable downtime, MTD).

f. Varundatud andmetele kehtivad samad konfidentsiaalsusnõuded kui andmetele

töösüsteemis.

g. Andmevarunduse mõjurid on dokumenteeritud. Uute nõuete lisandumisel või olemasolevate

nõuete muutumisel uuendatakse dokumentatsiooni.

CON.3.M2 Andmevarunduseeskiri [vastutav spetsialist, IT-talitus]

a. IT-talitus koostab andmevarunduse protseduure sisaldava andmevarunduseeskirja.

56

b. Andmevarunduseeskirja koostamisel arvestatakse andmevarunduse mõjuritega (CON.3.M1

Andmevarunduse mõjurite piiritlemine).

c. Andmevarunduseeskiri sisaldab iga IT-süsteemi ja andmestiku kohta vähemalt järgmist:

• andmevarunduse tüüp;

• varundusviis ja andmekandja;

• protseduurid andmete varundamiseks ja taastamiseks;

• varundussagedus ja hetk;

• säilituskoht;

• andmekandjate transpordi- ja hoiutingimused;

• säilitusajad;

• vastutused varunduse rakendamise eest.

d. Andmed varundatakse käiduandmetest eraldi paiknevale andmekandjale.

e. Suurema kaitsevajadusega andmekandjad on sisevõrgu või IT-süsteemiga ühendatud ainult

andmete varundamise või taastamise ajal.

f. Virtualiseerimistaristu olemasolul määratakse, millises ulatuses toetutakse serveri

hetktõmmistel (ingl snapshot) põhinevale andmevarundusele.

CON.3.M4 Andmevarundusplaanid

a. On koostatud andmevarundusplaanid erinevate andme- ja tarkvaratüüpide varundamiseks.

b. Andmevarundusplaanides kirjeldatud varunduse ja andmetaaste põhimõtted, sealhulgas:

• riist- ja tarkvara, mida varundamisel kasutatakse;

• riist- ja tarkvara konfiguratsioon;

• andmete varundamise ja taastamise järjekord;

• säilitavate andmete põlvkondade arv.

c. Andmevarundusplaanid arvestavad vähemalt järgmist:

• soetatud või omatarkvara varundatakse täieliku varundusega ühe andmete põlvena;

• süsteemiandmed varundatakse vähemalt kord kuus ühe andmete põlvena;

• rakendusandmed varundatakse vähemalt kord nädalas täieliku varundusega ja säilitatakse

vähemalt kolm andmete põlve;

• logiandmed varundatakse vähemalt kord kuus täieliku varundusega ja säilitatakse vähemalt

kolm andmete põlve.

CON.3.M5 Regulaarne andmevarundus [IT-talitus, töötaja]

a. Andmeid varundatakse andmevarundusplaanis ja andmevarunduseeskirjas toodud

regulaarsusega.

b. Töötajaid teavitatakse andmevarunduse korraldusest.

c. Andmevarunduse protsessiga seotud töötajaid teavad, millised on nende ülesanded.

d. Töötajad täidavad neile määratud andmevarunduse ülesandeid.

57

CON.3.M12 Varunduseks kasutatavate andmekandjate turvaline säilitus [IT-talitus]

a. Varunduseks kasutatavaid andmekandjaid hoitakse lähtesüsteemist eraldi asuvas

hoiustuskohas.

b. Samas hoones hoiustamise puhul asuvad varundatud andmed tuletõkkega eraldatud

hooneosas.

c. Hoiukoha keskkonnatingimused on sobivad andmekandjate pikaajaliseks säilitamiseks.

d. Andmete turvaline säilitus on tagatud vähemalt nõutud andmesäilitustähtaegade ulatuses.

CON.3.M14 Varukoopiate turve [IT-talitus]

a. Varunduseks kasutatavaid andmekandjaid kaitstakse lubamatu juurdepääsu eest.

b. Juurdepääs andmekandjatele on üksnes selleks volitatud isikutel.

c. Varunduseks kasutatavad andmekandjad on kaitstud lubamatu ülekirjutamise eest.

d. Varunduse andmekandjatele antakse kirjutusõigus ainult andmete varundamiseks või

autoriseeritud haldustoimingute läbiviimiseks.

CON.3.M15 Varunduse regulaarne testimine [IT-talitus]

a. Andmevarunduse toimimist ja varundatud andmete taastamist testitakse regulaarselt.

b. Andmete taastamine jääb ajaliselt lubatava taasteaja piiresse ja toimub veatult.

3.3 Standardmeetmed

CON.3.M6 Andmevarunduse kontseptsioon [vastutav spetsialist, IT-talitus]

a. On koostatud andmevarunduse kontseptsioon, mis on kooskõlas organisatsiooni

ärijätkuvusplaaniga (ingl business continuity plan, BCP) ja lubatava andmete kaoga peale

taastamist (ingl recovery point objective, RPO).

b. Andmevarunduse kontseptsiooni väljatöötamisel on arvestatud kõigi oluliste IT-süsteemide

ja rakendustega ning andmevarunduse mõjuritega.

c. Andmevarunduse kontseptsioon on vastutajatega kooskõlastatud.

d. Töötajad tunnevad andmevarunduse kontseptsiooni vähemalt tööülesannete täitmiseks

vajalikul määral.

e. Andmevarunduse kontseptsioon ja sellega seonduvad dokumendid on turvaliselt varundatud

ja kasutatavad ka juhul, kui olulised IT-süsteemid (sh dokumendihaldussüsteem) ei ole

juurdepääsetavad.

f. Andmevarunduse kontseptsiooni rakendamist kontrollitakse regulaarselt.

58

CON.3.M7 Sobiva andmevarundussüsteemi soetamine [IT-talitus]

a. Enne andmevarundussüsteemi hankimist on koostatud andmevarundussüsteemi valiku

kriteeriumid.

b. Andmevarundussüsteem vastab järgmistele andmevarunduse kontseptsioonist tulenevatele

nõuetele:

• tuvastab vale või vigase andmekandja;

• töötab raskusteta olemasoleva riistvaraga;

• võimaldab automaatset ajastust;

• võimaldab ühele või mitmele kasutajale automaatteadete saatmist;

• võimaldab andmekandja turvet parooliga või krüpteerimisega;

• võimaldab andmete tihendust (ingl compression);

• võimaldab andmeid andmeloendite alusel kategoriseerida;

• võimaldab andmeid valida loomis- või muutmisaja alusel;

• suudab teha täisvarundust (ingl full backup) ja inkrementvarundust (ingl incremental backup);

• võimaldab automaatselt võrrelda varukoopiat originaaliga;

• võimaldab taastada andmeid algsesse või valitud asukohta;

• lubab samanimeliste failide taastet.

CON.3.M9 Tingimuste tagamine kaugvarunduseks [IT-talitus]

a. Välise salvestuskoha kasutamisel võrgustatud andmevarunduseks (ingl online backup)

sõlmitakse teenusekvaliteedi tagamiseks teenusetasemelepe (ingl service level agreement,

SLA) ja lepitakse kokku andmete füüsiline asukoht.

b. Varukoopiatele juurdepääs võimalik ainult turvalise autentimisega.

c. Varukoopias sisalduvad andmed on krüpteeritud nii varunduskohas kui andmete

ülekandmisel.

d. Võrguühenduse kvaliteet võimaldab varundada ja taastada andmeid lubatavate varundus- ja

taasteaegade piires.

3.4 Kõrgmeetmed

CON.3.M13 Krüptograafia rakendamine andmevarundusel (C-I) [IT-talitus]

a. Varundatavad andmed on andmete konfidentsiaalsuse ja tervikluse tagamiseks krüpteeritud.

b. Krüptomehhanismi valikul on arvestatud, et andmed oleks taastatavad ka pikema aja

möödumisel.

c. Krüptovõtmete kaitse ja säilimine tagatakse turvalise võtmehalduse protseduuridega (vt

CON.1.M2 Andmevarundus krüptovahendi kasutamisel).

CON.6 Andmete kustutus ja hävitamine

59

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed andmete turvaliseks kustutamiseks ning juhised andmete hävitamise

eeskirjade koostamiseks.

1.2. Vastutus

Andmete kustutuse ja hävitamise meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad: Andmekaitsespetsialist, vastutav spetsialist, IT-talitus, töötaja,

haldusosakond.

1.3. Piirangud

Moodul hõlmab üksnes kustutuse ja hävitamise üldisi korralduslikke nõudeid. Kustutuse ja

hävitamisega on seotud moodulid CON.3 Andmevarunduse kontseptsioon, OPS 1.2.2

Arhiveerimine, CON.9 Teabevahetus.

2. Ohud

2.1. Kustutuse ja hävitamise eeskirja puudumine või puudulik

dokumenteerimine

Kui töötajaid ei ole juhendatud andmeid turvaliselt kustutama, võib andmekandjatele jääda

alles loetaval kujul andmeid. Kasutuselt kõrvaldatud andmekandjad ja IT-süsteemid ei pruugi

olla enam organisatsiooni kontrolli all, sellisel juhul on andmelekke oht veelgi suurem.

Tundlikud andmed võivad andmekandjalt sattuda kolmandate isikute kätte. Hooletuse tõttu

isikuandmete lekitamine võib tuua organisatsioonile kaasa olulise mainekahju ja rahatrahvi.

2.2. Konfidentsiaalsuse kadu andmekandjate jääkteabe tõttu

Enamikes failsüsteemides ei hävita lihtsa kustutusfunktsiooni kasutamine kasutaja poolt

kustutamiseks märgitud faile. Failisüsteemi haldusteabest kustutatakse üksnes failiviited ja

failiga seotud andmeruum märgitakse vabaks. Andmeruumi tegelik sisu andmekandjal aga

säilib ja seda saab sobivate vahendite abil taastada.

2.3. Ebausaldusväärse kõrvaldusteenuse kasutamine

Kui andmekandjate turvaline kustutamine või hävitamine (sh ka paberdokumentide

hävitamine) on usaldatud välisele teenuseandjale, võib teenuseandja hooletus põhjustada

andmekandjate varguse kas otse teenuseandja ruumidest või hävitamiseelsest

kogumispunktidest.

2.4. Defektsete andmekandjate väär käsitlemine

Kui tavakasutajal ei õnnestu enam andmekandjalt andmeid laadida, ei tähenda see veel seda,

et andmed on andmekandjalt lõplikult hävinud. Kui sellised defektsed andmekandjad visatakse

60

tavalisse prügikasti, võivad need sattuda ründaja kätte, kellel õnnestub spetsiaalsete vahendite

abil andmed osaliselt või tervenisti taastada.

3. Meetmed

3.1. Elutsükkel

Kavandamine

CON.6.M1 Andmete kustutuse ja hävitamise kord

CON.6.M2 Kaitset vajavate töövahendite ja andmekandjate turvaline kasutuselt kõrvaldamine

CON.6.M11 Andmekandjate hävitamise tellimine väliselt teenuseandjalt

CON.6.M4 Protseduurid andmekandjate turvaliseks hävitamiseks

Evitus

CON.6.M8 Andmete kustutuse juhised töötajatele

CON.6.M13 Defektsete andmekandjate hävitamise juhised

CON.6.M14 Andmekandjate turvalise hävitamise täiendavad juhised

Käitus

CON.6.M12 Protseduurid andmete turvaliseks kustutuseks

3.2. Põhimeetmed

CON.6.M1 Andmete kustutuse ja hävitamise kord [haldusosakond, vastutav spetsialist,

andmekaitsespetsialist, IT-talitus]

a. Organisatsioon on kehtestanud andmete kustutuse ja hävitamise korra.

b. Iga allüksus määrab, milliseid tööalaseid andmeid ja millistel tingimustel kustutatakse või

kasutuselt kõrvaldatakse.

c. Andmete minimaalsete ja maksimaalsete säilitustähtaegade määramisel järgitakse seadusest

tulenevaid nõudeid. Isikuandmete säilitamise ja kustutuse protseduurid on kooskõlastatud

andmekaitsespetsialistiga.

d. On määratud andmete kustutuse ja hävitamise eest vastutajad, vajadusel kasutatakse

spetsiaalset välisteenust.

CON.6.M2 Kaitset vajavate töövahendite ja andmekandjate turvaline kasutuselt

kõrvaldamine

a. Enne andmekandjate ja töövahendite kasutuselt kõrvaldamist kustutatakse või hävitatakse

turvaliselt nendes sisalduvad andmed.

b. Andmekandjate kasutuselt kõrvaldamisel järgitakse kehtestatud eeskirju ja juhiseid (vt

CON.6.M12 Protseduurid andmete turvaliseks kustutuseks).

c. Andmekandjate ja töövahendite kõrvaldamiseks on loodud organisatsiooni territooriumile

kõrvaliste isikute juurdepääsu eest kaitstud kogumiskohad.

61

CON.6.M11 Andmekandjate hävitamise tellimine väliselt teenuseandjalt [hankeosakond]

a. Väliste teenuseandjate osalusel toimuv andmekandjate kõrvaldamise ja hävitamise

protseduur on turvaline ja arusaadav. Kasutatakse sobivaid ja turvalisi hävitus- või

kustutusvahendeid.

b. Hävitamise väljasttellimisel hoitakse hävitamisele kuuluvaid andmekandjaid kuni

äraviimiseni organisatsiooni territooriumil, kaitstuna lubamatu juurdepääsu eest.

c. Andmekandjate äravedu turvatakse lähtuvalt andmete kaitsetarbest.

d. Kõrvaldamise ja hävitamise eest vastutavaid väliseid ettevõtteid kontrollitakse ettenähtud

nõuetele vastavuse osas regulaarselt.

e. Teenusetarnijale ja selle personalile kohandatakse moodulis OPS.2.3 Väljasttellimine,

kirjeldatud põhimeetmeid.

CON.6.M12 Protseduurid andmete turvaliseks kustamiseks

a. Tulenevalt andmekandja tüübist ja andmete kaitsetarbest rakendatakse andmete kustutamisel

järgnevaid protseduure:

• kui ülekirjutataval andmekandjal ei ole andmed krüpteeritud, kirjutatakse andmekandjad

mitmekordselt ja täies ulatuses üle, kasutades juhuslike andmete generaatorit (nt PRNG

Stream);

• kui andmed andmekandjal on krüpteeritud, hävitatakse krüptovõtmed. Krüptovõtmete

hävitamine toimub krüptokontseptsioonis kirjeldatud protseduurireeglite kohaselt.

b. Nutitelefonide ja teiste nutiseadmete andmete kustutamiseks lähtestatakse seadmed

tehaseseadetesse ning teostatakse esmane alglaadimine ja -seadistus.

c. Nutivõrgu (IoT) seadmed lähtestatakse tehaseseadetesse, kõik seadmes talletatud

pääsuandmed kirjutatakse üle või kustutatakse.

d. IT-seadmetesse integreeritud andmekandjate sisu kustutatakse kasutades seadme vastavat

funktsionaalsust.

3.3 Standardmeetmed

CON.6.M4 Protseduurid andmekandjate turvaliseks hävitamiseks

a. Enne andmekandjate hävitamist kontrollitakse, kas andmekandjalt on võimalik andmed

tõhusalt ja turvaliselt kustutada (vt. CON.6.M12 Protseduurid andmete turvaliseks

kustutuseks).

b. Kasutusel olevate andmekandjate hävitamiseks on koostatud sobivad protseduurid. Erinevat

tüüpi andmekandjate hävitamisel kasutatakse selleks sobivaid vahendeid.

c. Vastutavad töötajad on teadlikud, mis protseduuri ja mis vahendeid tuleb andmekandja

hävitamiseks kasutada.

62

d. Regulaarselt kontrollitakse, kas hävitusprotseduurid ja -vahendid vastavad hetke

tehnoloogiatasemele ja kas need on endiselt piisavalt turvalised.

CON.6.M8 Andmete kustutuse juhised töötajatele [töötaja, IT-talitus,

andmekaitsespetsialist]

a. On koostatud andmete kustutuse ja hävitamise kirjalikud juhised, mis hõlmavad kõiki

andmekandjaid, rakendusi, IT-süsteeme ja muid teavet sisaldada võivaid töövahendeid (nt

nutiseadmed).

b. Andmete kustutuse ja hävitamise juhised tehakse teatavaks kõigile töötajatele. Regulaarselt

ja pisteliselt kontrollitakse, kas töötajad juhiseid järgivad.

c. Teabe kustutuse ja hävitamise juhiseid ajakohastatakse vastavalt vajadusele.

CON.6.M13 Defektsete andmekandjate hävitamise juhised

a. Kui andmeid pole andmekandja defekti tõttu võimalik andmekandjalt turvaliselt kustutada,

hävitatakse andmekandja füüsiliselt.

b. Erikokkuleppel teenuseandjaga (nt andmekandja paranduse teostajaga) võib andmekandja

hävitamise läbi viia ka teenuseandja. Teenuseandja peab sellisel juhul järgima kõiki

andmekandja turvalise hävitamise nõudeid.

3.4 Kõrgmeetmed

CON.6.M14 Andmekandjate turvalise hävitamise täiendavad juhised (C)

a. Andmekandjate hävitamine toimub tõendatult vastavuses tunnustatud valdkondlike normide

või standarditega (nt ISO/IEC 21964).

CON.7 Välislähetuste infoturve

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed digitaalsete andmete ja paberkandjal oleva teabe turvalisuse tagamiseks

töötaja välislähetusel viibimisel ning abistada vastutavaid isikuid välislähetuste turvameetmete

kehtestamisel. Moodulis käsitletakse spetsiifiliselt välisreisidel ametitööks vajalikke

protseduurilisi, tehnilisi ja korralduslikke meetmeid.

1.2. Vastutus

Välislähetuste infoturbe meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad: Kasutaja, IT-talitus, personaliosakond.

63

1.3. Piirangud

Moodulis ei käsitleta lokaalseid IT-süsteeme, mille turvameetmed on kirjeldatud

mooduligruppides NET Võrgud ja side, SYS IT-süsteemid ja APP Rakendused. Klientarvuti

turbe teemasid üldisemalt käsitletakse moodulites SYS.2.1 Klientarvuti üldiselt, NET.3.3

Virtuaalne privaatvõrk (VPN) ja SYS.3.2.2 Mobiilseadmete haldus (MDM).

2. Ohud

2.1. Teabe pealtkuulamine ja luuramine / Majandusspionaaž

Võõrastes ruumides ja IT-keskkondades võidakse vestlusi, telefonikõnesid või andmeedastust

pealt kuulata.

2.2. Kaitset vajava teabe avaldamine ja väärkasutus (elektrooniline ja

füüsiline)

Välislähetusel võib kergesti juhtuda, et ametireisija jätab konfidentsiaalsed paber- või

digitaalkujul dokumendid avaliku kasutusega ruumi või hotellituppa.

2.3. Identiteedi teesklus

Ründaja võib teeselda teise inimese identiteeti, seda nii füüsilises kui digitaalses suhtluses

(teeskluse, võltsimise, kaaperduse, vahendusründe vms abil). Välismaiseid äripartnereid ei

tunne töötaja sageli isiklikult. Seetõttu võib töötaja pimesi usaldada inimest, kes taustainfot

teades ennast teise isikuna esitleb.

2.4. Turvateadlikkuse puudumine ja hooletus teabega tegelemisel

Andmekandjad võivad ajutiselt jääda järelevalveta, näiteks nõupidamise vaheajal

nõupidamisruumi või reisijakupeesse.

2.5. Kohalike õigusaktide või eeskirjade rikkumine

Sihtkohariigi õigusaktid või eeskirjad (nt andmekaitse, teavitamiskohustused, vastutus,

kolmandate juurdepääs) ei ole välisreisil viibivale töötajale sageli teada, seetõttu riigis

kehtestatud nõudeid ei täideta.

2.6. Sundimine, väljapressimine, inimrööv ja korruptsioon

Reisivate isikute füüsilist turvalisust võidakse välisreisidel rikkuda, kasutades sundimist,

väljapressimist või inimröövi. Ründe sihtmärgiks on sageli tippjuhtkond.

2.7. Teave lubamatust allikast / väljamõeldis

Välisriigis töötamise ajal on võimalik reisivale isikule tema petmiseks esitada valet ja

manipuleeritud teavet. See võib mõjutada ärilisi otsuseid ja äriprotsesside toimimist.

64

2.8. Seadmete, andmekandjate ja dokumentide vargus või kaotamine

Mobiilsed seadmed või dokumendid võivad kaotsi minna või neid võidakse varastada, mistõttu

satub ohtu ka neis sisalduv tundlik teave.

3. Meetmed

3.1. Elutsükkel

Kavandamine

CON.7.M1 Välislähetuste infoturbe eeskiri

CON.7.M3 Riigispetsiifiliste õigusaktide, reisi- ja keskkonnatingimuste väljaselgitamine

Evitus

CON.7.M2 Töötajate teadlikkuse suurendamine

CON.7.M10 Mobiilsete IT-seadmete ja andmekandjate krüpteerimine

CON.7.M11 Varguskaitsevahendid

CON.7.M14 E-posti turve

Käitus

CON.7.M4 Ekraanifiltri kasutamine

CON.7.M5 Ekraaniluku kasutamine

CON.7.M6 Õigeaegne intsidendist teatamine

CON.7.M7 Turvaline kaugjuurdepääs

CON.7.M8 Avalike raadiokohtvõrkude turvaline kasutamine

CON.7.M9 Andmekandjate turvaline käitlus

CON.7.M12 Kaitset vajavate materjalide ja dokumentide turvaline hävitamine

CON.7.M13 Andmete ja andmekandjate turvaline kaasavõtmine

CON.7.M15 Mobiilsete IT-seadmete kiirguseturve

CON.7.M16 Tervikluse kaitse meetodid ja vahendid

CON.7.M17 Spetsialiseeritud reisiseadmed

CON.7.M18 Pääsuõiguste kitsendamine välismaareiside ajaks

3.2. Põhimeetmed

CON.7.M1 Välislähetuste infoturbe eeskiri

a. Infoturbe nõuded välisriigis viibimisel on kehtestatud välislähetuste infoturbe eeskirjas.

b. Välislähetuste infoturbe eeskirjas käsitletakse vähemalt järgmist:

• teabe turvalisuse olemus välisreisil, turbe eesmärgid ja käsitlusala;

• juhtkonna, infoturbejuhi ja reisiva töötaja vastutus;

• IT-süsteemi kaotuse, varguse või teabelekke käsitlus;

• töötajate teadlikkuse suurendamine ja koolitus;

• IT-seadmete kaitse (nt krüpteerimine, viirusetõrje, automaatne lukustus);

• andmete ja andmekandjate kaitse;

• andmete ja andmekandjate või dokumentide turvaline kustutus;

• side ja andmevahetuse turve;

• andmete kaasavõtmise ja kogumise õigused;

65

• 24/7 kasutajatugi küsimuste esitamiseks ja intsidentide lahendamiseks.

c. Mobiilseid IT-seadmeid kasutavatele, välislähetustel käivatele töötajatele koostatakse

infoturbe aspekte käsitlev teabeleht.

CON.7.M2 Töötajate teadlikkuse suurendamine

a. Töötajatele on välislähetuste infoturbe eeskirja tutvustatud.

b. Töötajatele tunnevad ja järgivad infotehnoloogia vastutustundliku kasutamise reegleid

välisreisidel, sealhulgas:

• kinnitamata riist- ja tarkvara kasutamise keeld;

• suhtlus oma organisatsiooni ja äripartneritega;

• ettevaatlikkus pakutavate kingituste vastuvõtmisel;

• digitaalmälu sisaldavate kingituste kasutamise keeld;

• paroolide ja juurdepääsupiirangute kasutamine;

• ebaturvalise võrgu kasutamise keeld.

c. Töötajad viiakse kurssi sihtkoha õigusaktide ja keskkonnatingimustega, sh:

• sihtriigispetsiifilised õigusnormid;

• riigispetsiifilised reisi- ja keskkonnatingimused;

• nõuanded turvaliseks käitumiseks.

CON.7.M3 Riigispetsiifiliste õigusaktide, reisi- ja keskkonnatingimuste väljaselgitamine

[personaliosakond]

a. Enne reisi algust tutvutakse riigikohaste õigusaktide ja kliimatingimustega ja koostatakse

töötajatele vastav infomaterjal.

b. Organisatsioon hindab sihtkoha riski- ja turvataset ning keskkonnatingimusi ning otsustab

täiendavate kaitsemeetmete vajaduse (nt töötajate vaktsineerimine).

c. Organisatsioon töötab välja ja rakendab meetmed seadmete kaitsmiseks keerulistes reisi- ja

keskkonnatingimustes.

CON.7.M4 Ekraanifiltri kasutamine [kasutaja]

a. Mobiilse IT-seadme ekraanil kuvatava teabe kaitseks kasutatakse kogu ekraani katvat

ekraanifiltrit.

CON.7.M5 Ekraaniluku kasutamine [kasutaja]

a. Seadmetel kasutatakse turvalist, pääsukoodi või parooliga kaitstud ekraanilukku.

b. Ekraanilukk rakendub lühikese kasutuspausi korral automaatselt. Piisav lukustusviivitus

sülearvutitele ja nutiseadmetele on määratud välislähetuste infoturbe eeskirjas.

66

CON.7.M6 Õigeaegne intsidendist teatamine [kasutaja]

a. Töötajad teavitavad organsatsiooni IT-seadme või andmekandja kaotusest või vargusest

esimesel võimalusel, kokkulepitud teavituskanalite ja kontaktisikute kaudu.

b. Hinnatakse IT-seadme või andmekandja kaotuse mõju ja rakendatakse sobivaid meetmeid:

• muudetakse seadme juurdepääsu seadistus;

• teavitatakse konfidentsiaalse teabe kaotamisest võimalikke riskiosalisi;

• blokeeritakse mõjutatud kasutajakontod ja VPN-ühendused;

• vastava funktsionaalsuse olemasolul kaugblokeeritakse ja lähtestatakse seade;

• kaotatu leidmise korral kontrollitakse, kas seda on manipuleeritud.

CON.7.M7 Turvaline kaugjuurdepääs [IT-talitus, kasutaja]

a. Organisatsiooni võrku ühendumiseks luuakse välisreisil viibivatele töötajatele eelseadistatud

VPN-iga ja turvalise autentimismehhanismiga kaugjuurdepääsu võimalus.

b. Kaugjuurdepääsu võimalusega IT-seadmeid kasutavad üksnes selleks volitatud isikud.

c. Kaugjuurdepääsuga seadmetes on tarkvara, eelkõige veebirakendused, ajakohastatud ja

turvaliselt konfigureeritud.

d. Mobiilsetesse IT-seadmetesse on paigaldatud kitsendavalt seadistatud personaaltulemüür.

CON.7.M8 Avalike raadiokohtvõrkude turvaline kasutamine [kasutaja]

a. Avalikus raadiokohtvõrgus kasutatakse virtuaalset privaatvõrku (ingl virtual private

network, VPN) või sellega võrreldavaid turvamehhanisme (vt NET.3.3 Virtuaalne privaatvõrk

(VPN), CON.7.M7 Turvaline kaugjuurdepääs).

b. Avalike raadiokohtvõrkude kasutamisel järgitakse reegleid WLAN-võrgu pääsupunktide

turvaliseks kasutamiseks (vt. NET.2.2 Raadiokohtvõrgu kasutamine, INF.9 Mobiiltöökoht).

CON.7.M9 Andmekandjate turvaline käitlus [kasutaja]

a. Enne mobiilsete andmekandjate kasutamist kontrollitakse, et need ei oleks kahjurvaraga

nakatatud.

b. Edasiantavate andmekandjate puhul on veendutud, et neil ei ole tundlikku teavet.

c. Andmekandja kõrvaldamisel kustutatakse andmed andmekandjalt, arvestades järgmist:

• andmekandja tühjendatakse täielikult, erinevalt tavalisest kustutusest kustutatakse lisaks

andmeviitadele ka viidatavad andmed;

• krüpteeritud andmete kustutamisel kustutatakse turvaliselt ka krüptovõtmed;

• mälupulgal või muul pooljuhtkandjal kustutatakse andmed vähemalt kahe ülekirjutusega.

67

CON.7.M10 Mobiilsete IT-seadmete ja andmekandjate krüpteerimine [kasutaja, IT-

talitus]

a. Tundliku teabe kaitseks on mobiilsed IT-seadmed ja andmekandjad organisatsioonis

kehtestatud korra kohaselt krüpteeritud.

b. Krüptovõtmeid hoitakse krüpteeritud seadmest eraldi.

c. Andmete krüpteerimisel arvestatakse välisriigi õigusnorme.

CON.7.M12 Kaitset vajavate materjalide ja dokumentide turvaline hävitamine

[kasutaja]

a. Töötajad on välisriigis viibides kohustatud tarbetud andmekandjad või dokumendid nende

äraviskamise asemel turvaliselt hävitama.

b. Kui reisil olles puuduvad turvalise hävituse võimalused või kui on tegemist eriti tundlikku

teavet sisaldavate dokumentide või andmekandjatega, hoitakse need tagasipöördumiseni alles

ja seejärel hävitatakse turvalisel viisil.

c. Võõraste andmehävitusseadmete (paberipurusti) kasutamisel kontrollitakse kasutuselt

kõrvaldamise õnnestumist.

3.3. Standardmeetmed

CON.7.M11 Varguskaitsevahendid [kasutaja]

a. Mobiilsete IT-seadmete kaitseks rakendatakse varguskaitsevahendeid (nt mehhaanilist või

elektroonilist lukustust).

b. Varguskaitsevahendite soetamine ja kasutamine on kooskõlas organisatsiooni

turvapoliitikatega ja majanduslikult põhjendatud.

CON.7.M13 Andmete ja andmekandjate turvaline kaasavõtmine [kasutaja]

a. Enne reisi algust kustutatakse või eemaldatakse kaasavõetavatest IT-seadmetest tarbetud

andmed (vt CON.7.M9 Andmekandjate turvaline käitlus).

b. Töötaja on teadlik, mis andmekandjaid tohib välisreisidele kaasa võtta ja milliste

turvameetmetega peab seejuures arvestama.

c. Andmete kaitsetarbe määrangust tulenevalt võib andmete välisriiki kaasavõtmiseks

kehtestada täiendavaid nõudeid (vt CON.7.M10 Mobiilsete IT-seadmete ja andmekandjate

krüpteerimine).

d. IT seadmete transpordil rakendatakse järgmisi meetmeid:

• seadmeid transporditakse mitte pagasina, vaid käsipagasis;

• välditakse seadme järelevalveta jätmist ja unustamist;

• seadmed kaitstakse paroolidega, kaitsetarbega andmed krüpteeritakse;

• omatakse ülevaadet seadmete hetkeasukohast.

68

CON.7.M14 E-posti turve [kasutaja, IT-talitus]

a. E-posti lahenduse turvalisuse tagamiseks kasutatakse otspunktkrüpteeringut.

b. Välditakse organisatsiooni e-posti kasutamist avalikes arvutites (nt hotellides või

internetikohvikutes).

3.4. Kõrgmeetmed

CON.7.M15 Mobiilsete IT-seadmete kiirguseturve (C)

a. Väga suure kaitsetarbe korral kasutatakse juhtmega ühendatavaid välisseadmeid.

b. Kasutatakse seadmeid, mille kiirguseturvalisus on sertifitseeritud.

CON.7.M16 Tervikluse kaitse meetodid ja vahendid (I) [kasutaja]

a. Andmete edastamisel kasutatakse andmete tervikluse tagamiseks kontrollkoodide (nt CRC)

võrdlemist.

b. Tundliku teabe tervikluse säilitamiseks kasutatakse digitaalsignatuure ja ajatempleid.

CON.7.M17 Spetsialiseeritud reisiseadmed (C-I-A) [IT-talitus]

a. Välislähetustel kasutatakse selleks otstarbeks eelkonfigureeritud seadmeid.

b. Reisimiseks ettevalmistatud seadmes on vastavalt minimaalsuspõhimõttele võimalik

kasutada üksnes vajalikke funktsioone.

CON.7.M18 Pääsuõiguste kitsendamine välismaareiside ajaks (C-I) [IT-talitus]

a. Välisriigis asuvale töötajale tagatakse igapäevase töö jaoks vajalikud pääsuõigused. Liigsed

pääsuõigused reisi kestel peatatakse, vajadusel piiratakse ajutiselt töötaja juurdepääs

sisevõrgule.

b. Välisriigis viibimise aja jooksul piiratakse kasutajakeskkonnas võimalusi kasutada

funktsioone ja käivitada toiminguid, mis ei ole kasutaja ülesannete täitmiseks vajalikud (nt

skriptide käivitamine).

CON.8 Tarkvaraarendus

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed organisatsiooni tellitud või organisatsioonis arendatava tarkvaralahenduse

infoturbe haldamiseks ja tarkvara turvalisuse tagamiseks. Moodulis olevad meetmed on

69

kasutatavad nii projektipõhise tarkvara erilahenduse loomiseks kui aastaid kasutusel olnud

pärandtarkvara pidevaks kohandamiseks.

1.2. Vastutus

Tarkvaraarenduse meetmete täitmise eest vastutab vastutav spetsialist.

Lisavastutajad: Arendaja, IT-talitus, testija, haldusosakond.

1.3. Piirangud

Moodul käsitleb tarkvaraarenduse infoturvet tellija/teostaja koostöö vaatest ega anna

terviklikku ülevaadet kogu tarkvaraarenduse protsessist. Meetmed täiendavad moodulis APP.7

Tellimustarkvara arendus esitatud tellijapoolset vaadet tarkvaraarenduse infoturbe nõuetele ja

turvariskide vähendamisele.

Õigusaktidest tulenevad nõudeid tarkvaraarendusele käsitletakse moodulis ORP.5

Vastavusehaldus (nõuete haldus). Tarkvaramuudatuste haldust käsitletakse moodulis

OPS.1.1.3 Paiga- ja muudatusehaldus. Tarkvara vastuvõtmist ja käidukeskkonda paigaldamist

käsitletakse moodulis OPS.1.1.6 Tarkvara testimine ja kasutuselevõtt. Kui kavandatav tarkvara

sisaldab andmete krüpteerimist, arvestatakse täiendavate meetmetega moodulist CON.1

Krüptokontseptsioon

2. Ohud

2.1. Ebasobiv tarkvaraarendusmetoodika

Tarkvaraarendusmetoodika sätestab arendusprotsessi käigus läbiviidavad tegevused,

sealhulgas formuleerib arendusprojekti etapid, nende järjestuse ja tingimused, mille täitmisel

liigutakse edasi järgmisesse etappi.

2.2. Ebasobiva tarkvaraarenduskeskkonna valimine

Kui tarkvaraarenduskeskkonna valikul on jäetud arvestamata vajalik funktsionaalsus ja

nõutavad laiendusvõimalused, tekib arendusetapis tõsiseid probleeme kui vajalik

funktsionaalsus arenduskeskkonnas puudub või see ei vasta esitatud nõuetele.

2.3. Ebapiisav kvaliteedihaldus

Ebapiisav kvaliteedihaldus (ingl quality assurance) võib kaasa tuua arendusprojekti venimise

üle lõpptähtaja või halvemal juhul nurjata terve projekti. Kui tarkvaraarenduses puudub pidev

seire tarkvara lubamatu manipuleerimise või arendusprotsessi tervikliku ja piisava turvalisuse

üle, võib tarkvaratootesse sisse jääda olulisi turvanõrkusi. Tihti on nii, et kvaliteedihaldust

suudetakse rakendada organisatsioonisisestele tarkvaraarendusprojektidele, kuid välise

teenuseandja poolt tehtud arendustööd samal tasemel ei hinnata.

2.4. Puuduv või puudulik dokumentatsioon

Kui tarkvaraarenduses kasutatav töödokumentatsioon on disainikavandite tasemel ja ei sisalda

vajalikku detailsust, jäävad tarkvaravead õigeaegselt avastamata. Puudulik dokumentatsioon

70

takistab oluliselt hilisemate tarkvaramuudatuste või edasiarenduste kavandamist ja läbiviimist.

Vähene dokumenteeritus muudab keeruliseks tarkvara hoolduse ja haldamise protseduurid

pärast tarkvara juurutamist. Halduse käigus võib administraator teadmatusest teha vea, mis

võib halvemal juhul põhjustada andmekao või katkestuse tarkvaraga seotud äriprotsessis.

2.5. Ebapiisav arenduskeskkonna turve

Ebaturvaline ja juurdepääsupiiranguteta arenduskeskkond võimaldab tarkvara manipuleerida.

Arendaja või väliste volitamata isikute poolt tehtud volitamata tarkvaramuudatusi on hiljem

raske tuvastada. Kui pole tagantjärele tuvastatav, kes ja millal midagi tarkvarakoodis muutis,

pole võimalik ründajat tabada.

2.6. Tarkvara kavandamise vead

Mida rohkem funktsionaalsust tarkvara sisaldab, seda keerukamaks muutub tarkvara

lähtekoodi (inglise keeles source code) haldamine. Kui tarkvara ei tugine läbimõeldud

tarkvaraarhitektuuril, on hiljem tarkvaratoodet keeruline muuta. On oht, et kõiki teadaolevaid

turvanõrkusi ei suudeta parandada piisavalt kiiresti.

2.7. Puudulikud tarkvara testimis- ja vastuvõtuprotseduurid

Kui tarkvara enne käidukeskkonnas kasutuselevõttu piisavalt ei testita või kui puuduvad

korrektsed tarkvara vastuvõtmise ja kinnitamise protseduurid, võib vastu võetud tarkvara

sisaldada turvanõrkusi ja vigu tarkvara funktsionaalsuses. Sellised vead võivad

käidukeskkonnas mõjutada ka teiste IT-süsteemide toimimist, millega antud tarkvaratoode on

liidestatud.

2.8. Tootmiskeskkonna andmete kasutamine tarkvara testimisel

Kui arendus- või testkeskkondades kasutatakse reaalseid, tootmiskeskkonnast võetud andmeid,

on võimalik, et konfidentsiaalsetele andmetele saavad juurdepääsu volitamata isikud. Oluline

kahju võib tekkida anonüümimata isikuandmete kasutamisest testkeskkonnas.

3. Meetmed

3.1. Elutsükkel

Kavandamine

CON.8.M2 Sobiva tarkvaraarendusmetoodika valimine

CON.8.M3 Sobiva tarkvaraarenduskeskkonna valimine

CON.8.M1 Tarkvaraarenduse rollide ja vastutuste määramine

CON.8.M11 Tarkvaraarenduste läbiviimise korra koostamine

CON.8.M17 Usalduväärsete arendusvahendite valimine

Evitus

CON.8.M14 Tarkvaraarendajate infoturbealane koolitus

CON.8.M21 Tarkvara riskide kaalutlemine

CON.8.M22 Turvaline tarkvaraarhitektuur

71

Käitus

CON.8.M5 Turvaline süsteemi kavandamine

CON.8.M6 Usaldusväärsetest allikatest pärinevate tarkvarateekide kasutamine

CON.8.M7 Tarkvara testimine tarkvaraarenduse käigus

CON.8.M8 Tarkvaramuudatuste, paikade ja uuendite turvaline paigaldamine

CON.8.M10 Lähtekoodi versioonihaldus

CON.8.M20 Väliste tarkvarakomponentide kontrollimine

CON.8.M12 Detailne tarkvara dokumentatsioon

CON.8.M16 Tarkvaraarenduse järelevalve

CON.8.M19 Arenduskeskkonna tervikluskontrollid

Parendamine

CON.8.M18 Regulaarsed arenduskeskkonna turvaauditid

3.2. Põhimeetmed

CON.8.M2 Sobiva tarkvaraarendusmetoodika valimine

a. Tarkvaraarenduseks on valitud sobiv tarkvaraarendusmetoodika ja metoodikale vastav

protsessimudel.

b. Projektiplaani koostamisel ja elluviimisel on järgitud valitud tarkvaraarendusmetoodikat.

c. Tarkvaraarenduse protsessimudel sisaldab infoturbe nõudeid. Arendusprotsessi käigus on

infoturbe nõuetega arvestatud.

d. Töötajad on läbinud tarkvaraarendusmetoodika rakendamise koolituse.

CON.8.M3 Sobiva tarkvaraarenduskeskkonna valimine

a. Enne tarkvaraarenduskeskkonna valimist on dokumenteeritud nõuded, millele

tarkvaraarenduskeskkond ja -tööriistad peavad vastama ning määratud tööriistade

valikukriteeriumid. Nõuded on kinnitanud tarkvaraarenduse eest vastutav töötaja.

b. Kasutusele võetud tarkvaraarenduskeskkond vastab kehtestatud nõuetele.

CON.8.M5 Turvaline süsteemi kavandamine

a. Arenduses oleva tarkvara puhul on arvestatud järgmisi turvalise süsteemide kavandamise

(ingl system design) reegleid:

• andmete sisestamisel kontrollitakse ja valideeritakse andmed enne nende edasist töötlemist

IT-süsteemis;

• klient-server rakenduste puhul tehakse andmete lõplik valideerimine ja kinnitamine alati

serveris;

• tarkvara tüüpseadistus ja parameetrite vaikeväärtused võimaldavad tarkvara turvaliselt

kasutada;

• tarkvarakomponendi vea või tõrke puhul ei muutu kättesaadavaks kaitset vajavad andmed;

• rakendus on väliste teenuste tõrke suhtes vastupanuvõimeline (ing resilient), vajadusel

rakendatakse kompenseerivaid meetmeid (näiteks andmete puhverdamine);

72

• tarkvara vajab kasutamiseks võimalikult vähe süsteemiprivileege;

• kaitset vajavate andmete edastamisel ja talletamisel kasutatakse krüptokontseptsioonile (vt

CON.1 Krüptokontseptsioon) vastavaid krüptoprotsesse ja -tooteid;

• kasutatakse turvalisi ja usaldusväärseid ning kaitsetarbele vastavaid kasutajate autentimise ja

pääsuõiguste andmise mehhanisme;

• autentimiseks kasutatavatest salasõnadest tohib tarkvaras talletada ainult turvalisi

parooliräsisid (ingl password hash);

• infoturbe sündmused logitakse tarkvaras tõendusväärtusega ja kujul, mis võimaldab sündmusi

vajadusel tagantjärele analüüsida;

• käidukeskkonnas toimimiseks mittevajalik teave (nt liigsed kommentaarid) on tarkvara

programmikoodist ja konfiguratsioonifailidest eemaldatud;

• tarkvara avalik liides on sisemistest administreerimis-, haldus- jms. liidestest selgelt

eraldatud;

• eraldipaigaldatavate komponentide vahelistel liidestel on vähemalt TLS võimekus, vajadusel

ka mTLS võimekus (vastastikune autentimine sertifikaatide abil);

• teenuse URL ei tohi sisaldada konfidentsiaalseid andmeid (näiteks isikuandmed,

sessioonivõti).

b. Süsteemide kavandamise reeglid on dokumenteeritud. Tarkvaraarendajad on kehtestatud

süsteemi kavandamise reeglitest teadlikud.

c. Süsteemi kavandamise reeglitest kinnipidamist kontrollitakse tarkvara arendusprotsessi

käigus ja enne tarkvara kasutuseks kinnitamist.

CON.8.M6 Usaldusväärsetest allikatest pärinevate tarkvarateekide kasutamine

a. Enne väliste tarkvarateekide arendusprotsessis käitamist kontrollitakse kasutatud allikate

usaldusväärsust ja teekide terviklust.

CON.8.M7 Tarkvara testimine tarkvaraarenduse käigus [testija, arendaja]

a. Tarkvara testimine ja koodi läbivaatus (ingl code review) viiakse läbi enne tellijapoolset

tarkvara vastuvõtutestimist (ingl acceptance test) ja kasutamiseks kinnitamist.

b. Tarkvara testimise ja koodi läbivaatuse protsessi on kaasatud tellija või tellija esindaja.

c. Juba arenduse käigus testitakse tarkvara vastavust funktsionaalsetele nõuetele (nõuded, mida

tarkvara peab täitma, ingl functional requirements) ja mittefunktsionaalsetele nõuetele

(nõuded, millele tarkvara peab vastama, ingl non-functional requirements).

d. Arenduse käigus testitakse tarkvara käitumist vigaste ja lubatavatest sisendväärtustest

erinevate sisendväärtuste ning andmetüüpide korral (ingl negative testing).

e. Testimisel kasutatav testandmestik on hoolikalt valitud ja kaitstud volitamata muudatuste

eest.

f. Võimalusel kasutatakse tarkvara testimiseks automaatseid töövahendeid (nt

koodianalüsaatorit).

73

g. Tarkvara testimine viiakse läbi arendus- ja testkeskkondades, mis on käidukeskkonnast (ingl

production environment) eraldatud.

h. Tarkvaraarenduse käigus testitakse, kas tarkvarale esitatud nõuded on asjakohased ja õigesti

dimensioneeritud.

CON.8.M8 Tarkvaramuudatuste, paikade ja uuendite turvaline paigaldamine [arendaja]

a. Tarkvara turvakriitilised paigad ja uuendid töötab arendaja välja ja need edastatakse tellijale

ilma viivituseta.

b. Pärast välistes tarkvarateekides tehtud turvakriitilisi muudatusi teostab arendaja tarkvaras

vajalikud muudatused ja edastab tellijale vastavad paigad.

c. Tarkvaramuudatusi, paiku ja uuendeid kaitstakse volitamata muudatuste eest installipaketi

kontrollkoodi (ingl checksum) või digiallkirja abil.

CON.8.M10 Lähtekoodi versioonihaldus

a. Tarkvara lähtekoodi (ingl source code) turvalisuse tagamiseks ja koodimuudatuste

haldamiseks on rakendatud sobivad versioonihalduse tööriistad.

b. Koodis tehtud muudatused salvestatakse versioonihalduse käigus eraldi versioonina.

Vajadusel on võimalik tehtud muudatusi tagasi võtta (taastada muudatuse-eelne lähtekoodi

versioon).

c. Andmevarunduse kontseptsioon arvestab tarkvara versiooni muutusi. Enne ja pärast uue

tarkvaraversiooni paigaldamist varundatakse tarkvaras kasutatavad andmed.

CON.8.M20 Väliste tarkvarakomponentide kontrollimine

a. Kõik välised tarkvarakomponendid (sh teegid), mille turvalisuses ei saa olla täielikult kindel,

läbivad enne kasutuselevõttu turvatestimise.

b. Võimalike tarkvarakonfliktide ärahoidmiseks testitakse kõiki väliseid tarkvarakomponente

enne nende esmakordset rakendamist.

c. Väliste tarkvarakomponentide tervikluse tagamiseks kontrollitakse komponentide

kontrollkoode ja digitaalseid sertifikaate.

d. Tarkvara arendamisel kasutatakse väliste tarkvarakomponentide viimaseid heakskiidetud

versioone, aegunud tarkvarakomponente ei kasutata.

3.3 Standardmeetmed

CON.8.M1 Tarkvaraarenduse rollide ja vastutuste määramine [haldusosakond]

a. Organisatsioonis on määratud tarkvara arendusprotsessi juhtimise üldine vastutaja.

b. Organisatsioonis on määratud vastutajad järgmiste tarkvaraarenduse tegevuste eest:

74

• nõuete koostamine, nõuetehaldus ja muudatuste haldus;

• tarkvara kavandamine ja tarkvara arhitektuur;

• tarkvaraarenduse infoturve;

• spetsiifilised tarkvaraarenduse tegevused (nt testimine).

c. Iga tarkvaraarendusprojekti raames on määratud arendusprojekti infoturbe eest vastutav isik.

CON.8.M11 Tarkvaraarenduste läbiviimise korra koostamine

a. Organisatsioon on kehtestanud tarkvaraarenduste läbiviimise korra. Kord sisaldab antud

moodulis käsitletud meetmeid, mis vastavad organisatsiooni spetsiifikale.

b. Tarkvaraarenduse läbiviimise korda rakendatakse kõikide tarkvaraarenduste puhul.

c. Välistele arendajatele on tarkvaraarenduste läbiviimise korra järgimine lepinguline kohustus.

d. Tarkvaraarenduste läbiviimise korda ajakohastatakse vastavalt vajadusele.

CON.8.M12 Detailne tarkvara dokumentatsioon

a. Tarkvaratoote kohta on olemas üksikasjalik ja põhjalik dokumentatsioon.

b. Tarkvara dokumentatsioon hõlmab vähemalt järgmist:

• tarkvara funktsionaalsuse kirjeldust;

• kasutusjuhendeid tarkvara kasutajatele;

• tarkvaraarhitektuuri kirjeldust ja jooniseid;

• tarkvara liidestuste spetsifikatsioone (näiteks REST API);

• rakenduse välissõltuvuste (sh väliste komponentide ja teenuste) dokumentatsiooni;

• kasutatud krüptomehhanismide spetsifikatsiooni;

• tarkvara (sh väliste komponentide ja teenuste) installimise, seadistamise ja haldamise

juhendeid tarkvara haldajatele.

c. Tarkvara dokumentatsiooni detailsus on piisav, et nõutava tasemega tehniline ekspert

suudaks dokumentatsioonile tuginedes tarkvaratoote halduse ja arendamise üle võtta.

d. Valitud tarkvaraarendusmetoodika ja protsessimudel sisaldab tarkvara dokumentatsiooni

loomist ja selle pidevat ajakohastamist.

CON.8.M14 Tarkvaraarendajate infoturbealane koolitus

a. Tarkvaraarendajatel on infoturbealased baasteadmised ja nad on kursis infoturbe üldiste

trendidega.

b. Tarkvaraarendajad on läbinud organisatsioonispetsiifilise koolituse, milles käsitletakse

vähemalt järgmist:

• tarkvara nõuete (sh infoturbe nõuete) analüüs;

• projektijuhtimine üldiselt ja eriti tarkvaraarenduses;

• riskijuhtimine ning ohtude modelleerimine tarkvaraarenduses;

• tarkvaraarenduse kvaliteedijuhtimine ja kvaliteedi tagamine;

• tarkvaraarendusmeetodid ja protsessimudelid;

75

• tarkvaraarhitektuur;

• tarkvara testimine;

• tarkvara muudatuste juhtimine;

• infoturbe nõuded organisatsioonis ja valdkondlikud turbeaspektid.

CON.8.M16 Tarkvaraarenduse järelevalve

a. Tarkvaraarenduse juhtimiseks on välja töötatud valitud tarkvaraarendusmetoodikaga sobiv

projektijuhtimismudel. Projektijuhtimismudeli üheks osaks on arendusprojektide järelevalve

funktsioon.

b. Tarkvaraarenduse järelevalve teostajatel on piisav kvalifikatsioon tarkvara elutsükli kõikide

etappide hindamiseks.

c. Tarkvaraarenduse projektijuhtimismudel on kooskõlas organisatsiooniülese

riskijuhtimissüsteemiga.

d. Arendusprojektidele on määratud kvaliteedieesmärgid.

CON.8.M21 Tarkvara riskide kaalutlemine

a. Tarkvaratoote arendamise esimeses etapis on läbi viidud tarkvara riskide kaalutlemine.

b. Tarkvara riskide kaalutlemisel lähtutakse tarkvara kasutava organisatsiooni kaitsetarbest,

tarkvara nõuetekataloogist ja tarkvara toimimise kontekstist.

c. Tarkvara riskide kaalutlemise käigus koostatakse võimalikud ohustsenaariumid,

tuvastatakse nendega seotud riskid, hinnatakse ohtude realiseerumise tõenäosust ja võimalikku

mõju.

CON.8.M22 Turvaline tarkvaraarhitektuur

a. Tarkvaraarhitektuuri valimisel on arvestatud tarkvara nõuetekataloogiga ja riskide

kaalutlemise tulemustega.

b. Tarkvaraarhitektuur võimaldab tarkvara loomisel turvalise süsteemi kavandamise

põhimõtete (vt CON.8.M5 Turvaline süsteemi kavandamine) rakendamist.

c. Võimalusel arvestatakse tarkvara väljatöötamisel tarkvara vastavust tulevikustandarditele ja

vastupidavust uutele võimalikele ründemeetoditele.

d. Valitud tarkvaraarhitektuur võimaldab ka tulevikus tarkvara hõlpsasti hooldada ja edasi

arendada.

3.4. Kõrgmeetmed

CON.8.M17 Usaldusväärsete arendusvahendite valimine (C-I-A)

a. Tarkvara arendamisel kasutatakse ainult vajalikke ja tõestatud turvaomadustega

arendustööriistu.

76

b. Arenduses kasutatava riistvara- ja tarkvaratootjate vastavus infoturbe nõuetele on

kontrollitav.

CON.8.M18 Regulaarsed arenduskeskkonna turvaauditid (C-I-A)

a. Tarkvara arendus- ja testkeskkonna turvameetmete rakendamise hindamiseks viiakse läbi

regulaarseid turvaauditeid.

CON.8.M19 Arenduskeskkonna tervikluskontrollid (I) [IT-talitus]

a. Arenduskeskkonna tervikluse tagamiseks ja manipuleerimise vältimiseks kasutatakse

sobivaid krüptoprotsesse (nt failide kontrollsummasid).

b. Terviklushäirete kiireks tuvastamiseks on väärpositiivsete (ingl false positive) häireteadete

hulk viidud võimalikult väikseks.

CON.9 Teabevahetus

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed IT-süsteemide ja väliste poolte vaheliseks turvaliseks teabevahetuseks.

1.2. Vastutus

Andmevahetuse mooduli meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad: Kasutaja, vastutav spetsialist, haldusosakond.

1.3. Piirangud

Võrguühenduste turvet käsitletakse mooduligrupis NET. Irdandmekandjate kasutamiseks

andmete edastuseks käsitletakse moodulis SYS.4.5 Irdandmekandjad.

2. Ohud

2.1. Teabe puudumine ettenähtud ajal

Teabe puudumine ettenähtud ajal võib oluliselt kahjustada äriprotsesse või põhjustada väärate

juhtimisotsuste vastuvõtmist. Kui andmeid ei suudeta õigeaegselt töödelda või neid otsuste

tegemiseks ette valmistada, jäävad ärieesmärgid täitmata.

2.2. Teabe volitamata avalikustamine

77

Teabevahetusel võivad andmed ja seeläbi ja konfidentsiaalne teave sattuda valedesse kätesse

või ei jõua teave soovitud adressaadini. Teabe vastuvõtja võimalused teabe volitamata

avalikustamist ära hoida on piiratud.

2.3. Väära või sisemise teabe edastamine

Kui kasutajad ei ole piisavalt koolitatud või nad ei ole teabe edasiandmisel piisavalt

tähelepanelikud, võib tundlik teave saada kättesaadavaks volitamata isikutele. Kui

andmekandja antakse edasi ilma andmekandjale eelnevalt salvestatud andmeid turvaliselt

kustutamata, on sellised näiliselt kustutatud andmed saajale juurdepääsetavad.

2.4. Andmete lubamatu kopeerimine või muutmine

Kui andmete või andmekandja edasisaatmisel kasutatakse ebaturvalisi kanaleid, on võimalik

andmeid nende edastamise ajal märkamatult kopeerida. Ründaja võib suhtlust pealt kuulata ka

andmevahetuseks kasutatavas sidevõrgus. Kui ründajal on ligipääs, saab ta andmeid

edastamise ajal ka muuta, manipuleerida või lisada andmetele pahavara.

2.5. Ebapiisavate krüptovahendite kasutamine

Kui krüpteerimiseks valitakse kergesti äraarvatav võti või kui krüptovõtme saatmiseks

suhtluspartnerile ei kasutata turvalisi kanaleid, võivad konfidentsiaalsed andmed lekkida.

3. Meetmed

3.1. Elutsükkel

Kavandamine

CON.9.M1 Lubatavate teabevahetuspartnerite määramine

CON.9.M2 Teabevahetuse kord

Evitus

CON.9.M3 Teabevahetuse koolitus töötajatele

CON.9.M4 Välise teabevahetuse lepped

CON.9.M9 Konfidentsiaalsuslepingu sõlmimine

Käitus

CON.9.M5 Jääkteabe kõrvaldamine failidest enne edasiandmist

CON.9.M6 Saatja ja saaja IT-süsteemide ühilduvuse kontroll

CON.9.M7 Edasiantavate andmete varundamine

CON.9.M8 Krüpteerimine ja digitaalsignatuurid

3.2. Põhimeetmed

CON.9.M1 Lubatavate teabevahetuspartnerite määramine [haldusosakond, kasutaja]

a. Organisatsioon on määranud, mis teavet ja millistele partneritele ja mis

andmevahetuskanalite kaudu on lubatud edastada.

78

b. Enne teabe edastamist välisele partnerile veendutakse vastuvõtja õigustes seda teavet vastu

võtta ja edasi töödelda.

c. Teabe saajat teavitatakse, milleks ja kuidas seda teavet tohib kasutada.

CON.9.M2 Teabevahetuse kord [haldusosakond, kasutaja]

a. Organisatsioon on kehtestanud kõiki suulise ja elektroonilise teabevahetuse vorme hõlmava

teabevahetuse korra.

b. Organisatsioon on kehtestanud teabe kaitsetarbe määramise juhised ja kaitsetarbele vastavad

meetmed teabe kaitsmiseks.

c. Enne konfidentsiaalse teabe edastamist teavitatakse teabevahetuspartnerit, et teave on

mõeldud kasutamiseks ainult edastamisel ettenähtud eesmärgil.

d. Organisatsioon on määranud, milliste andmevahetuskanalite ja -keskkondade kasutamine ei

ole lubatud.

CON.9.M3 Teabevahetuse koolitus töötajatele [vastutav spetsialist]

a. Töötajad tunnevad teabevahetuse eeskirja ja oskavad konfidentsiaalset ning sisemiseks

kasutamiseks mõeldud teavet käidelda.

b. Töötajad on teadlikud, millist teavet, millal, kus ja kuidas on lubatud edastada.

c. Töötajad läbinud koolituse andmete kaitsmiseks IT-vahendite abil (nt krüpteerimine või

kontrollkoodide kasutamine).

3.3. Standardmeetmed

CON.9.M4 Välise teabevahetuse lepped [haldusosakond]

a. Regulaarseks teabevahetuseks väliste partneritega on kokku lepitud järgmised tingimused:

• kas ja millist teavet tuleb kaitsta;

• millised on teabevahetusteed;

• konfidentsiaalsusnõuded (vt ka CON.9.M9 Konfidentsiaalsuslepingu sõlmimine);

• nõutav turvatase ja kuidas seda tõendatakse;

• tegutsemine turvaintsidentide korral;

• vaidluste lahendamise kord;

• õiguslikud raamtingimused.

b. On kokku lepitud teabevahetuse korraldus olukorras, kui tavapärane suhtlus on häiritud.

CON.9.M5 Jääkteabe kõrvaldamine failidest enne edasiandmist [kasutaja]

a. Kasutajaid on jääkteabe kõrvaldamise vajadustest ja viisidest teavitatud. Kasutajad on

läbinud vastava koolituse.

79

b. Enne failide edastamist kontrollitakse, kas failid ei sisalda avaldamisele mittekuuluvat

jääkteavet, nagu kommentaarid, muudatuste ajalugu või liigsed metaandmed.

c. Tuvastatud jääkteave kustutatakse, vajadusel muudetakse selleks failivormingut.

d. Jääkteabe puudumist edastatud failides kontrollitakse pisteliselt.

CON.9.M6 Saatja ja saaja IT-süsteemide ühilduvuse kontroll

a. Enne andmekandja saatmist kontrollitakse saatja ja saaja IT-süsteemide ja -toodete

ühilduvust järgnevas:

• seadmete füüsiline kokkusobivus;

• kasutatav märgikood (nt ASCII);

• operatsioonisüsteem ja failisüsteemi vormingud;

• rakendustarkvara;

• turvatarkvara ja turvaparameetrid.

b. Lahknevused kõrvaldatakse andmete konverteerimisega ja andmekandja asendamisega.

CON.9.M7 Edasiantavate andmete varundamine [kasutaja]

a. Kui edasiantavad andmed asuvad üksnes andmekandjal ning andmeid ei saa taastada

muudest andmeallikatest, tehakse andmekandjast ajutine varukoopia.

CON.9.M8 Krüpteerimine ja digitaalsignatuurid [kasutaja]

a. Võimalusel krüpteeritakse konfidentsiaalne teave enne selle edastamist.

b. Suure terviklustarbega teavet kaitstakse digitaalsignatuuriga.

c. Andmete krüpteerimiseks valitakse kaitsetarbele vastav, nii saatjale kui ka saajale sobiv

krüptomehhanism.

3.4 Kõrgmeetmed

CON.9.M9 Konfidentsiaalsuslepingu sõlmimine (C) [haldusosakond, kasutaja]

a. Konfidentsiaalse teabe edastuseks on selle saajaga sõlmitud leping, mis määrab:

• milline teave on konfidentsiaalne ja kui kaua;

• kellel on lubatud juurdepääs konfidentsiaalsele teabele;

• kuidas konfidentsiaalset teavet on lubatud hoida;

• millised on omandiõigused teabele ja saaja õigused teavet kasutada;

• millised on konfidentsiaalsuslepingu rikkumise tagajärjed.

CON.10 Veebirakenduste arendus

1. Kirjeldus

80

1.1. Eesmärk

Esitada meetmed turvaliste dünaamiliste (muutuva sisuga) veebirakenduste arendamiseks ning

veebirakendustes töödeldavate andmete kaitsmiseks.

1.2. Vastutus

Veebirakenduste arendamise meetmete täitmise eest vastutab arendaja.

Lisavastutajad: Antud moodulis lisavastutajad puuduvad.

1.3. Piirangud

Veebirakenduste turvalise kasutamisega seotud meetmed on kirjeldatud moodulis APP.3.1

Veebirakendused. Turvalise tarkvaraarenduse üldmeetmed on kirjeldatud moodulis CON.8

Tarkvaraarendus.

2. Ohud

2.1. Puudulik autentimine ja kasutusõiguste andmine

Kui ründajal õnnestub veebirakenduse autentimisest mööda hiilida, saab ta veebirakendust

volitamata kasutada. Kui veebirakendus sisaldab tundlikke andmeid, võib see organisatsioonile

kaasa tuua ulatusliku finants- ja mainekahju. Kui ründajal õnnestub veebirakendusse sisse

logida veebirakenduses laiendatud kasutusõigusi omava kasutajana, avaneb tal andmete

varastamiseks, manipuleerimiseks või kustutamiseks veelgi rohkem võimalusi.

2.2. Puudulik sisendite ja väljundite valideerimine

Kui veebirakenduses töödeldakse manipuleeritud sisendandmeid, ei pruugita seda õigeaegselt

märgata. Ründajal võimalik sisendandmeid manipuleerides veebirakenduse

kaitsemehhanismidest mööda pääseda ja käivitada käske otse süsteemi või andmebaasi

tasandil. Kui andmeid enne väljastamist ei kontrollita, võib andmetes sisalduv kahjurkood (nt

kahjuliku toimega Javascript'i käsud) levida seotud IT-süsteemidesse.

2.3. Veebirakenduse puuduv või puudulik tõrkehaldus

Tihti jäävad väiksemad anomaaliad veebirakenduse töös registreerimata ja nendega ei tegeleta.

Kui veebirakenduse töös esinevaid tõrkeid ja vigu õigeaegselt ei avastata ja nende

kõrvaldamisega ei tegeleta, võib see probleemi kasvades hakata mõjutama rakenduse tööd või

muuta rakenduse kasutajatele kättesaamatuks. Veebirakenduse viga võib kaasa tuua

suuremahulise andmekao. Viga vahemällu salvestatud andmetes võib mõjutada andmete

terviklust. Vigane turvamehhanism võib põhjustada volitamata juurdepääsu andmetele.

2.4. Puudulik turvasündmuste logimine

Veebirakenduse turvasündmuste ebapiisaval logimisel ei ole võimalik hiljem turvasündmusi

tuvastada ja nende tekkepõhjuseid välja selgitada. Kuna intsidendi põhjus jääb välja

selgitamata, on raskendatud meetmete rakendamine sarnaste intsidentide ärahoidmiseks

tulevikus.

81

2.5. Tundliku taustainfo avaldamine veebirakenduses

Teatud päringutele veebiserveri ja veebirakenduse poolt vastuseks väljastatavad andmed

võivad sisaldada ründajale vajalikku teavet veebiserveri, operatsioonisüsteemi ja tarkvara

versiooni ja konfiguratsiooni kohta. Ründaja saab IT-komponentide teadaolevaid nõrkusi ära

kasutada veebirakenduse sihtründe (ingl targeted attack) plaanimiseks.

2.6. Automaatsete ründevahendite kasutamine

Ründaja võib veebirakenduse töö tõkestamiseks või andmetele juurdepääsu saamiseks lasta

automaatselt genereerida suure hulga korduvaid päringuid, mida veebirakendus peab suutma

töödelda. Veebirakenduse vastu suunatud teenusetõkestusrünne (ingl denial-of-service attack)

võib tekitada veebirakenduse ülekoormuse ja muuta rakenduse kasutajaile kättesaamatuks.

Ründevahendi poolt genereeritud korduvate sisselogimiskatsete abil on võimalik püüda ära

arvata rakenduse kasutajanimede (kui rakendus annab selle kohta tagasisidet) ja salasõnade

kombinatsioone ehk korralda jõurünnet (ingl brute-force attack) või koostada kehtivate

kasutajanimede loendeid.

2.7. Puudulik seansihaldus

Puuduliku seansihalduse puhul saab ründaja ilma pääsuõigusi omamata kaaperdada teise

kasutaja poolt algatatud seansi. Kui ründajal õnnestub kindlaks teha rakenduses laialdasi õigusi

omava eeliskasutaja seansiidentifikaator (ingl session ID), on tal võimalik lubatud kasutajana

tegutseda. Seansipette (ingl session fixation) korral laseb ründaja kõigepealt veebirakendusel

määrata seansiidentifikaatori ja seejärel edastatakse see mõnele volitatud kasutajale (nt e-posti

lingiga). Kui volitatud kasutaja kasutab seda linki ja veebirakenduses end ründaja edastatud

seansiidentifikaatoriga autendib, saab ründaja veebirakendust temale teadaolevaks saanud

seansiidentifikaatoriga seansi ning volitatud kasutaja õiguste piires kasutada.

3. Meetmed

3.1. Elutsükkel

Kavandamine

CON.10.M9 Kaitse SQL-süsti eest

CON.10.M11 Veebirakenduse turvaline tarkvaraarhitektuur

Evitus

CON.10.M1 Turvaline autentimine veebirakenduses

CON.10.M2 Veebirakenduse juurdepääsu reguleerimine

CON.10.M4 Veebirakenduse sisu kasutamise piiramine

CON.10.M5 Andmete üleslaadimise piiramine

CON.10.M6 Kaitse veebirakenduste volitamata automaatse kasutamise eest

CON.10.M14 Veebirakenduste turvaline HTTP-konfiguratsioon

CON.10.M16 Mitmikautentimise kasutamine

Käitus

CON.10.M3 Turvaline seansihaldus

CON.10.M7 Konfidentsiaalsete andmete kaitse

82

CON.10.M8 Sisendite valideerimine ja väljundite kodeerimine

CON.10.M10 Tundliku taustainfo avaldamise piiramine

CON.10.M12 Oluliste muudatuste kinnitamine

CON.10.M13 Veebirakenduse tõrketöötlus

CON.10.M15 Päringuvõltsingu takistamine

CON.10.M17 Ressursside blokeerimise takistamine

CON.10.M18 Tundlike andmete krüptograafiline turve

3.2. Põhimeetmed

CON.10.M1 Turvaline autentimine veebirakenduses

a. Veebirakenduse sisule juurdepääs võimaldatakse ainult kasutaja autentimise kaudu ning on

reguleeritud turvaliste ja asjakohaste autentimismeetoditega.

b. Valitud autentimismeetodid on asjakohased ja turvalised ning nende valik on

dokumenteeritud.

c. Võimaluse korral on autentimiseks kasutusel tsentraalselt hallatavad

autentimiskomponendid (näiteks riigi autentimisteenus TARA).

d. Kasutaja autentimisandmeid on lubatud veebirakenduses salvestada ainult pärast kaasnevate

riskide kaalumist ja teadvustamist. Kasutajalt nõutakse enne oma autentimisandmete

salvestamist riskidega tutvumist ja üheselt mõistetavat („opt-in“) nõusolekut.

e. Veebirakenduses on määratud ebaõnnestunud logimiskatsete lubatud arv. Pärast selle

ületamist rakendatakse täiendavaid turvaprotseduure (nt tõkestatakse kasutaja juurdepääs

määratud ajaks).

CON.10.M2 Veebirakenduse juurdepääsu reguleerimine

a. Kasutaja pääsuõigused on vajadusekohaselt piiratud.

b. Õiguste mehhanism tagab, et kasutajad saavad teha üksnes oma õigustega lubatud

toiminguid.

c. Kasutajate pääsuõigusi hallatakse tsentraalses ja usaldusväärses IT-süsteemis.

d. Pääsuõiguste süsteemi vea korral veebirakendusele juurdepääs keelatakse.

e. Pääsu reguleerimine hõlmab lisaks rakenduse ressurssidele ja funktsioonidele ka URL-

kutseid ja objektiviiteid.

CON.10.M3 Turvaline seansihaldus

a. Seansiidentifikaatorite (ingl session ID) loomisel, edastamisel ja klientarvutisse

salvestamisel on tagatud seansiidentifikaatorite turvalisus.

83

b. Seansiidentifikaatorid genereeritakse juhuslikkuse põhimõttel ja piisava entroopiaga.

Võimalusel kasutatakse veebirakenduse taristu seansiidentifikaatorite genereerimise

funktsiooni. Selleks on veebirakenduse taristu turvaliselt konfigureeritud.

c. Veebirakendus võimaldab kasutajatel pooleliolevat seanssi kontrollitult ja üheselt

mõistetavalt lõpetada. Pärast kasutaja uut sisselogimist asendatakse seansiidentifikaator uuega.

d. Seansi kestusele on määratud ülempiir. Mitteaktiivsed seansid lõpetatakse pärast määratud

jõudeolekuaega automaatselt.

e. Pärast seansi lõppemist kustutatakse kõik seansiandmed nii serveri kui kliendi poolel. Vaata

meedet: APP.3.1.M4 Andmete ja sisu kasutamise piiramine

CON.10.M4 Veebirakenduse sisu kasutamise piiramine

CON.10.M5 Andmete üleslaadimise piiramine

a. Kasutaja saab salvestada faile ainult ettemääratud viisil.

b. Kasutaja ei saa veebirakenduses seadistatud andmesalvestuse asukohta muuta.

c. Veebirakenduse failide üleslaadimise funktsioon on piiratud.

CON.10.M6 Kaitse veebirakenduste volitamata automaatse kasutamise eest

a. Veebirakendus on kaitstud automatiseeritud juurdepääsu eest.

b. Turvamehhanismide rakendamisel on arvestatud, et turvamehhanismid ei piiraks volitatud

kasutajate toiminguid ülemäära.

c. Veebirakenduse RSS-söödete (ingl RSS feed) või teiste automatiseeritud funktsioonide

olemasolul arvestatakse neid turvamehhanismide seadistamisel.

CON.10.M7 Konfidentsiaalsete andmete kaitse

a. Klientarvutist serverisse edastatakse andmeid ainult HTTP meetodiga POST.

b. Klientarvutisse ei salvestata ega ajutiselt puhverdata tundlikke andmeid.

c. Vormidel olevaid konfidentsiaalseid andmeid ei hoita brauseris avateksti kujul.

d. Veebirakenduse pääsuandmeid on serveris kaitstud piisavalt tugeva krüpteeringuga.

Autentimisandmetest hoitakse serveris ainult parooli „soolatud“ räsi (ingl salted hash).

e. Veebirakenduse lähtekoodi kaitstakse lubamatu juurdepääsu eest.

CON.10.M8 Sisendite valideerimine ja väljundite kodeerimine

a. Veebirakendusse edastatud sisendandmeid käsitletakse potentsiaalselt ohtlike andmetena,

mida peab enne edasist töötlust filtreerima ja valideerima.

84

b. Kõiki sisendandmeid, sh sekundaarandmeid (nt seansiidentifikaatorid) valideeritakse

serveris asuvas usaldusväärses IT-süsteemis. Kasutaja sisendi kontrolle tehakse alati

tagarakenduses (ingl backend), vajadusel ka kliendiliideses (ingl frontend).

c. Vigaseid sisestusi ei töödelda võimaluse korral automaatselt. Kui seda ei saa vältida,

muudetakse sisendandmed turvaliseks.

d. Ohtlikud sümbolid varjestatakse viisil, et nende edasine interpreteerimine või käivitamine

sihtsüsteemis osutuks võimatuks.

CON.10.M9 Kaitse SQL-süsti eest

a. SQL-süsti (ingl SQL injection) välistamiseks edastatakse andmed veebirakendusest

andmebaasisüsteemi (DBMS) salvestatud protseduuride (ingl stored procedures) või SQL-

valmislausetega.

b. Kui salvestatud protseduure ega SQL-valmislauseid ei saa kasutada, siis kaitstakse SQL-

päringuid muul viisil.

CON.10.M10 Tundliku taustainfo avaldamise piiramine

a. Veebilehed ja veebirakenduste vastusteated ei sisaldada informatsiooni, mis ründajat

abistaks turvamehhanismidest mööda hiilida. Selleks tagatakse, et:

• edastatakse üksnes neutraalseid veateateid;

• ei paljastata turbega seotud kommentaare ega toote- või versiooniandmeid;

• turvadokumentatsioonile on võimalik üksnes piiratud juurdepääs;

• ebavajalikke faile kustutatakse regulaarselt;

• väliste otsingumootoritega kasutatakse veebirakendust ettenähtud viisil;

• välditakse teabe jagamist salvestusteede kohta;

• veebirakenduse konfiguratsioonifailid ei asu veebisaidi juurkataloogis.

3.3 Standardmeetmed

CON.10.M11 Veebirakenduse turvaline tarkvaraarhitektuur

a. Veebirakenduse tarkvaraarhitektuur koos kõikide komponentide ja sõltuvustega on

dokumenteeritud. Tarkvaraarhitektuuri dokumentatsiooni uuendatakse ja kohandatakse

vastavalt vajadusele.

b. Veebirakenduse arendamisel lähtutakse kinnitatud tarkvaraarhitektuuri dokumentatsioonist.

Dokumentatsiooni detailsus on piisav arendajatel tekkivate küsimuste lahendamiseks.

c. Tarkvaraarhitektuuri dokumentatsioonis on välja toodud ka rakendusevälised, kuid

rakenduse tööks vajatavad komponendid.

d. Tarkvaraarhitektuuri kavandamisel on arvestatud, milliste komponentide jaoks milliseid

turvamehhanisme rakendatakse, kuidas veebirakendus on olemasolevasse taristusse

integreeritud ning milliseid krüpteerimisfunktsioone ja -protseduure kasutatakse.

85

CON.10.M12 Oluliste muudatuste kinnitamine

a. Enne oluliste muudatuse tegemist veebirakenduses nõutakse kasutaja kinnitust, mis on

realiseeritud kasutaja salasõna uuesti sisestamisega. Mitmikautentimise (ingl multifactor

authentication) puhul piisab täiendava autentimisteguri sisestamisest.

b. Kui salasõna uuesti sisestamist tegevuse kinnitamiseks ei saa rakendada, kasutatakse mõnda

muud autentimismeetodit.

c. Kasutajaid teavitatakse toimunud muudatustest veebirakendusevälise sidekanali kaudu.

CON.10.M13 Veebirakenduse tõrketöötlus

a. Veebirakenduse töö ajal tekkinud tõrgete lahendamisel säilitatakse veebirakenduse terviklus.

b. Veebirakendus logib kõik tekkinud veateated.

c. Tõrke tõttu pooleli jäänud toiming katkestatakse ja juurdepääs ressurssidele tõkestatakse.

d. Eelnevalt reserveeritud veebirakenduse ressursid vabastatakse tõrketöötluse käigus.

e. Võimaluse korral teostab tõrketöötluse veebirakendus ise.

CON.10.M14 Veebirakenduste turvaline HTTP-konfiguratsioon

a. Kaitseks klõpsurööv-rünnete (ingl clickjacking) ja skriptisüsti (ingl cross-site scripting) eest

on veebirakenduses määratud sobivad HTTP-vastusepäise sätted (nt X-FRAME-OPTIONS:

deny).

b. Veebirakendus kasutab vähemalt järgmisi HTTP-päiseid:

• Content-Security-Policy (CSP);

• Strict-Transport-Security (HSTS);

• Content-Type;

• X-Content-Type-Options;

• Cache-Control.

c. Veebirakendus on HTTP-päistega seadistatud sedavõrd päringuid piiravaks kui võimalik.

d. Küpsistele (ingl cookie) on määratud atribuudid secure, SameSite ja httponly.

e. Vaata ka meede:

• APP.3.1.M12 Veebirakenduste turvaline konfigureerimine

CON.10.M15 Päringuvõltsingu takistamine

a. Veebirakendus toetab päringuvõltsingu (ingl cross-site request forgery, CSRF) takistamise

turvamehhanisme, mis eristavad kasutaja kavatsetud ja korralisi veebilehepäringuid

soovimatutest päringutest või volituseta käskudest.

86

b. Kontrollitakse, kas kaitstud ressurssidele ja funktsioonidele juurde pääsemiseks on lisaks

seansiidentifikaatorile vaja mingit lisanduvat volitustõendit.

c. Kasutaja kavatsetud päringu tõendamiseks kontrollitakse täiendavalt HTTP-päringu

autentsust.

CON.10.M16 Mitmikautentimise kasutamine

a. Võimalusel rakendatakse veebirakenduse kasutajate autentimisel mitmikautentimist.

3.4 Kõrgmeetmed

CON.10.M17 Ressursside blokeerimise takistamine (A)

a. Ummistusrünnete (ingl denial-of-service attack) ärahoidmiseks välditakse ressursimahukaid

tüüptoiminguid.

b. Kui ressursimahukaid tüüptoiminguid ei saa välistada, rakendatakse nende kaitseks

spetsiaalseid turvameetmeid.

c. Jälgitakse ja ollakse valmis võimalikuks veebirakenduse logide ületäitumiseks.

CON.10.M18 Tundlike andmete krüptograafiline turve (C-I)

a. Veebirakenduse tundlikud andmed on kaitstud piisavat kaitset pakkuvate

krüptomehhanismidega.

OPS: Käidutööd

OPS.1 Oma käidutööd

OPS.1.1 IT-põhitööd

OPS.1.1.1 IT-haldus üldiselt

1. Kirjeldus

1.1. Eesmärk

Kehtestada infoturbe meetmed lahutamatu osana kõigis IT-halduse põhiaspektides (IT-varade

haldamine, IT-hanked, IT käitamine, muudatuste haldus, seire, intsidentide haldus ja IT

kasutusest kõrvaldamine).

1.2. Vastutus

87

IT-halduse meetmete täitmise eest vastutab IT-talitus.

1.3. Piirangud

Moodul käsitleb IT-halduse valdkonnaüleseid infoturbe aspekte. IT-haldus ei keskendu ainult

infotehnoloogiale, vaid selle turvalisele integreerimisele organisatsiooni äriprotsessidesse.

Moodul ei asenda IT-halduse parimaid tavasid koondavaid raamistikke, nt ITIL (ingl

Information Technology Infrastructure Library) või standardeid (standardisari EVS-ISO/IEC

20000).

IT-halduse valdkondlikke turvameetmeid käsitletakse mooduligrupi OPS.1.1 IT-põhitööd

järgnevates moodulites, eelkõige moodulites OPS.1.1.2 IT-süsteemide haldus, OPS.1.1.3

Paiga- ja muudatusehaldus ja OPS.1.1.7 Süsteemihaldus.

Võrguhalduse meetmed kirjeldatakse moodulis NET.1.2 Võrguhaldus. Pääsuõiguste haldust

käsitletakse moodulis ORP.4 Identiteedi- ja õiguste haldus ning IT-süsteemide kaughaldust

moodulis OPS.1.2.5 Kaughooldus.

Andmete varundamist ja arhiveerimist käsitletakse moodulites CON.3 Andmevarunduse

kontseptsioon ja OPS.1.2.2 Arhiveerimine.

IT-halduse aspekte erandlikes olukordades toimetulekuks käsitletakse moodulites DER.1

Turvaintsidentide avastamine, DER.2.1 Turvaintsidentide käsitlus ja DER.2.3 Ulatuslike

turvaintsidentide lahendamine.

Kolmandate poolte haldusülesannete täitmist käsitlevad moodulid OPS.2.3 Väljasttellimine ja

OPS.3.2 Teenuseandja infoturve.

Antud moodul ei käsitle DevOps metoodika eriaspekte ega infoturbe meetmete rakendamist

IT-projektide läbiviimisel.

2. Ohud

2.1. Kvalifitseeritud tööjõu puudumine

IT-halduse sujuvast toimimisest sõltub organisatsiooni äriprotsesside toimimine.

Kvalifitseeritud töötajate puudumisel võib katkeda IT-halduse protsesside järjepidevus,

pikenevad ooteajad ja sagenevad IT-töötajate inimlikest eksimustest tingitud vead.

2.2. IT-halduse dokumentatsiooni puudulikkus

IT- halduse protseduuride läbiviimine ebapiisavatele, vananenud või volitamata muudetud

protsessijuhenditele tuginedes võib põhjustada katkestusi IT-süsteemide töös, andmete

lekkimist või tervikluse kadu. Ka toimunud intsidentide tagajärgede likvideerimine võtab

oluliselt rohkem aega, sest puuduvad detailsed tegevusjuhised IT-süsteemide ja seonduvate

andmete taastamiseks.

2.3. Piiratud ressursid IT-halduses

Kui puuduvad vajalikud tööriistad IT-halduse protsesside läbiviimiseks ja

automatiseerimiseks, kannatab IT-halduse kvaliteet ja efektiivsus ja seeläbi organisatsiooni

äriprotsesside toimimine. Tõrgete kõrvaldamiseks kuluv aeg pikeneb, töötajad on tegevuses

äriprotsesside parendamise asemel „tulekahjude kustutamisega“.

2.4. Eelisõiguste või konfidentsiaalse teabe kuritarvitus

88

IT-halduri eelisõigustega kasutajakonto kuritarvitamise teel on võimalik ligi pääseda

konfidentsiaalsele teabele ja manipuleerida ärikriitilisi andmeid. Volitamata isikud võivad

eeliskontole ligi pääseda läbi halduri vastu suunatud kalastamis- (ingl phishing) või

suhtlusrünnete (ingl social engineering).

2.5. Volitamata juurdepääs IT-seadmetele

Kui IT-halduseks kasutavatele arvutitele või IT-seadmetele pääsevad ligi volitamata isikud (nt

asuvad seadmed lukustamata ruumis), eksisteerib oht, et neid seadmeid kasutatakse erinevate

IT-süsteemide vastu suunatud rünnete algatamiseks. Oht on suurem, kui IT-halduse jaoks

vajalikud kasutajakontod ja andmesideliidesed on nõrgalt kaitstud, näiteks nõuavad ainult

parooli sisestamist

2.6. IT-haldustoimingute salgamine või võltsimine

Kui IT-haldur esitab haldustoimingute kohta valeinformatsiooni (nt salgab, et oluline

protseduur jäi tegemata), võib see ohustada IT-süsteemi käideldavust ja IT-süsteemis olevate

andmete turvalisust.

2.7. Haldustoimingute tegemata jätmine

Kui IT-halduse toiminguid ei viida läbi vastavalt kehtestatud nõuetele ja protsessijuhenditele,

võib kahjustuda IT-süsteemide käideldavus ja terviklus.

3. Meetmed

3.1. Elutsükkel

Kavandamine

OPS.1.1.1.M2 IT-halduse rollide ja kasutusõiguste määratlemine

OPS.1.1.1.M3 IT-halduse juhendite koostamine

OPS.1.1.1.M4 IT-halduseks vajalike ressursside tagamine

OPS.1.1.1.M17 IT-halduse korraldamine avariiolukorras

Evitus

OPS.1.1.1.M1 IT-halduse ülesannete ja kohustuste määramine

OPS.1.1.1.M11 Teenusetasemelepete sõlmimine

OPS.1.1.1.M12 IT-halduse protsesside määratlemine

OPS.1.1.1.M14 IT-halduse kavandamine IT-komponentide soetamisel

OPS.1.1.1.M15 IT-halduse tööriistade turvaline soetamine ja kasutamine

Käitus

OPS.1.1.1.M5 Turvaliste tüüpkonfiguratsioonide määratlemine

OPS.1.1.1.M6 Keskne IT-varade haldus

OPS.1.1.1.M7 Turvalised IT-halduse protseduurid

OPS.1.1.1.M8 IT-halduse regulaarne kontrollimine

OPS.1.1.1.M10 IT-komponentide turvanõrkuste loend

OPS.1.1.1.M13 IT-halduse tööriistade ja dokumentatsiooni turve

OPS.1.1.1.M16 IT-halduse personali väljaõpe

89

OPS.1.1.1.M18 Väliste teenuseandjate kasutamine IT-halduses

OPS.1.1.1.M19 IT-komponentide regulaarne hooldus

OPS.1.1.1.M22 Automatiseeritud turvatestimine

OPS.1.1.1.M23 IT-komponentide läbistustestimine

OPS.1.1.1.M24 IT-halduse protseduuride detailne logimine

OPS.1.1.1.M25 IT-halduse tööriistade autonoomsuse tagamine

OPS.1.1.1.M26 IT-komponentide ennetav hooldus

Seire

OPS.1.1.1.M9 IT-halduse regulaarne seire

OPS.1.1.1.M20 IT-komponentide turvanõrkuste seire

OPS.1.1.1.M21 IT-halduse tööriistade kasutamise seire

3.2 Põhimeetmed

OPS.1.1.1.M1 IT-halduse ülesannete ja kohustuste määramine

a. Kõikide IT-komponentide puhul on määratletud vajalikud IT-halduse toimingud.

b. On määratud IT-komponentide halduse eest vastutavad IT-haldurid.

c. Organisatsioon on määranud IT-halduse suhtluskanalid ja kinnitanud organisatsiooniüksuste

vahelise aruandluse, sh suhtluskanalid intsidentide eskaleerimiseks.

OPS.1.1.1.M2 IT-halduse rollide ja kasutusõiguste määratlemine

a. IT-komponentidele on määratud komponendi halduseks kasutatavad rollid ja halduseks

vajalikud õigused ja volitused.

b. On loodud IT-halduse rollikontseptsioon, millega eraldatakse IT-halduseks kasutatavad

rollid igapäevase IT-tavakasutaja rollidest.

c. Igapäevaste IT-tegevuste jaoks ei kasutata IT-halduri õigustega kasutajakontot.

d. Ühiskasutuses olevaid kasutajakontosid on lubatud luua ja kasutada ainult põhjendatud

erandjuhtudel.

e. Rollide ja halduskontode pääsuõiguste asjakohasust kontrollitakse perioodiliselt. IT-halduse

rolle, kontosid ja pääsuõigusi uuendatakse vastavalt vajadusele.

f. Lahkunud töötajate kasutajakontod eemaldatakse IT-komponentidest esimesel võimalusel.

g. IT-komponendi kasutusest kõrvaldamisel kustutatakse sellega seotud rollid ja halduskontod.

3.3. Standardmeetmed

OPS.1.1.1.M3 IT-halduse juhendite koostamine

a. Käitatavate IT-komponentide haldustööd on kirjeldatud IT-halduse juhendites.

90

b. IT-halduse juhendites käsitletakse vähemalt järgmist:

• hallatava IT-komponendi andmed;

• vajalikud haldusvahendid ja -tööriistad;

• IT-komponendi konfiguratsioon;

• konfiguratsioonis sisalduvate turvaseadistuste kohandused;

• IT-halduse rollid ja kontod;

• IT-komponentide testimine;

• seire, logimine ja automaatteavitused;

• andmete varundamine ja taasteplaanid;

• IT-intsidentide käsitlemise kord;

• regulaarsed ja plaanivälised haldustegevused.

c. IT-halduse juhendid on volitatud isikutele igal ajal kättesaadavad.

d. IT-halduse juhendite aja- ja asjakohasust kontrollitakse perioodiliselt. Juhendeid

uuendatakse vastavalt vajadusele.

OPS.1.1.1.M4 IT-halduseks vajalike ressursside tagamine

a. Piisavate ressursside leidmiseks on analüüsitud IT-halduse toimingute mahtu, vajalikke

ressursse, tööjõudu ja oskusteavet.

b. IT-halduseks on olemas piisaval hulgal vajaliku oskusteabega töötajaid. Personaliressursi

kavandamisel on arvestatud reserviga, mis on vajalik lühiajaliste töölt eemalolekute ja ajutiste

suurema personalivajadusega perioodide kompenseerimiseks.

c. IT-halduseks on olemas piisaval hulgal materiaalseid ressursse.

d. Ressursivajadusi hinnatakse perioodiliselt. IT-halduse ressursse kohandatakse vastavalt

ärivajadustele ja kehtivatele nõuetele.

OPS.1.1.1.M5 Turvaliste tüüpkonfiguratsioonide määratlemine

a. IT-halduse juhendites on koostatud ja dokumenteeritud tüüpsete IT-komponentide

tugevdatud turvet sisaldavad tüüpkonfiguratsioonid.

b. Virtualiseeritud IT-platvormides, milles käitatakse teisi IT-komponente, on välja töötatud ja

rakendatud kõigile IT-komponentidele sobivad turvaseadistused.

c. IT-komponentide konfiguratsioonid vastavad organisatsiooni turvanõuetele ning arvestavad

tootjapoolseid soovitusi komponentide turvaliseks seadistuseks.

d. Tüüpkonfiguratsioone testitakse enne nende juurutamist käidukeskkonnas (ingl operational

environment).

e. Tüüpkonfiguratsioonide aja- ja asjakohasust kontrollitakse regulaarselt.

Tüüpkonfiguratsioone muudetakse vastavalt tehnoloogilise keskkonna ja riskihinnangute

muutumisele.

91

f. Tüüpkonfiguratsioonid sisaldavad versiooninumbrit ning teostatud muudatusi kirjeldavat

muutelugu.

OPS.1.1.1.M6 Keskne IT-varade haldus

a. IT-halduse protseduurid sisaldavad olemasolevatest IT-varadest ülevaate saamist ja varade

perioodilise inventuuri läbiviimist.

b. Kõik käidukeskkonda paigaldatud, testimiseks kasutatavad ning varus olevad IT-

komponendid on registreeritud varade keskset haldust võimaldavas varahaldussüsteemis.

c. Varahaldussüsteemis on andmed ka olemasolevate, kuid kasutusest maha võetud IT-varade

kohta.

OPS.1.1.1.M7 Turvalised IT-halduse protseduurid

a. IT-halduse protseduuridele on kehtestatud kvaliteedinõuded ning on määratud kriteeriumid

IT-halduse toimingute nõuetele vastavuse mõõtmiseks.

b. IT-komponente testitakse enne nende käidukeskkonda paigaldamist ning pärast oluliste

muudatuste rakendamist. Vajalikud testid ja nende läbiviimise kord on kirjeldatud IT-halduse

juhendites.

c. IT-talitusel on valmisolek kasutatavate IT-komponentide asendamiseks

varukomponentidega. Selleks on olemas vajalikud ressursid ja tarnelepingud.

d. IT-halduse käigus tehtud tööd on sobival ja arusaadaval viisil dokumenteeritud. Soovitatav

on kasutada selleks spetsiaalset tarkvara, nt IT Helpdeski rakendust.

e. Süstemaatiliselt jälgitakse IT-halduse protseduuride kvaliteeti ning kasutajate rahulolu.

f. Süstemaatiliselt kontrollitakse teenusetasemelepete (ingl service level agreement, SLA) ning

tegevuslepete (ingl operational level agreement, OLA) järgimist.

OPS.1.1.1.M8 IT-halduse regulaarne kontrollimine

a. Regulaarselt kontrollitakse, kas:

• IT-halduse protseduure kohaldatakse kõikidele käidukeskkonna IT-komponentidele;

• IT-komponentide konfiguratsioonid vastavad ettenähtud tüüpkonfiguratsioonidele;

• IT-halduse protsess on integreeritud kõikidesse organisatsiooni äriprotsessidesse.

OPS.1.1.1.M9 IT-halduse regulaarne seire

a. IT-komponentide seiret teostatakse keskse, IT-talituse juhtkonnas kinnitatud seireplaani

alusel.

b. Olulistele IT-komponentide parameetritele on määratud lävendid, millest hälbimine käivitab

IT-haldurite automaatse teavituse.

92

c. IT-talitus on IT-halduse seire tulemustest teavitamiseks määranud suhtluskanalid,

määratlenud aruandluse sisu ning koostanud avariiolukordadest teavitamise korra.

d. Seireandmete põhjal on võimalik jälgida IT-komponentide hetkeolukorda ning oluliste

parameetrite muutumist ajas. Seiretulemused on üheks sisendiks IT-süsteemides tehtavate

muudatuste kavandamiseks.

e. Seireandmeid edastatakse ainult turvaliste sidekanalite kaudu.

f. IT-süsteemide kaetust IT-halduse seireplaaniga kontrollitakse perioodiliselt. IT-halduse

seireplaani ajakohastatakse vastavalt vajadusele.

OPS.1.1.1.M10 IT-komponentide turvanõrkuste loend

a. IT-komponentide teadaolevad turvanõrkused registreeritakse keskses turvanõrkuste loendis.

b. Turvanõrkuste loendi pidamine ja turvanõrkuste käsitlus on osa IT-halduse protsessist.

c. Turvanõrkuste käsitluse käigus dokumenteeritakse:

• kas eksisteerib turvauuend, mis parandaks IT-komponendi teadaoleva turvanõrkuse;

• mis ajaks on IT-komponendi turbepaik paigaldatud;

• kas IT-komponent tuleb turvanõrkuste tõttu kasutusest kõrvaldada ja asendada;

• kuidas toimub IT-komponendi eraldamine juhul kui IT-komponendi uuendamine või

asendamine ei ole võimalik.

OPS.1.1.1.M11 Teenusetasemelepete sõlmimine

a. IT-talitus on sõlminud oma klientidega IT-komponentide kaitsetarvet arvestavad

teenusetasemelepped (ingl service level agreement, SLA) või tegevuslepped (ingl operational

level agreement, OLA).

b. Teenusetasemelepete tingimuste määramisel on arvestatud organisatsiooniüksuste ja

äriprotsesside sõltuvusi IT-komponendi toimimisest ning äriprotsesside kaitsetarvet.

c. Teenusetasemelepetes määratletud rolle ja vastavaid kohustusi täidetakse.

OPS.1.1.1.M12 IT-halduse protsesside määratlemine

a. IT-talitus on määratlenud ja kinnitanud IT-halduse protsessid.

b. Iga IT-halduse protsessi kohta on kirjeldatud:

• protsessi algataja ja protsessis osalejad;

• protsessis sisalduvad IT-halduse tegevused;

• liidestused (sh sisendid ja väljundid) teiste IT-halduse protsesside või äriprotsessidega.

c. IT-talituse töötajad tunnevad IT-halduse protsesse ja järgivad tööprotseduure.

d. IT-halduse protsessi läbimise tõestusmaterjalid dokumenteeritakse. Üksikute

protsessietappide läbimist logitakse vastavalt vajadusele.

93

e. On loodud tegevusjuhised olukordadeks, mis väljuvad tüüpsete IT-halduse protsesside

raamest. Dokumenteeritud on vähemalt:

• tegevusjuhend juhuks, kui IT-halduse protsess ei ole võimalik;

• juhised veaolukorra ja protsessi tahtliku manipuleerimise korral tegutsemiseks.

OPS.1.1.1.M13 IT-halduse tööriistade ja dokumentatsiooni turve

a. IT-halduses kasutatavatele seadmetele, tööriistadele ja juhenditele on juurdepääs ainult

volitatud IT-talituse töötajatel.

b. IT-halduseks vajalikud ressursid ja dokumentatsioon on volitatud isikutele vajadusel

kättesaadavad.

c. Kui IT-halduse toiminguid tehakse otse käidukeskkonnas (ingl operational environment),

edastatakse tundlikke andmeid ainult turvaliste protokollide kaudu.

d. IT- halduse tööriistade kasutamist seiratakse ja neile kohandatakse paigahaldust (vt

OPS.1.1.3 Paiga- ja muudatusehaldus).

OPS.1.1.1.M14 IT-halduse kavandamine IT-komponentide soetamisel

a. IT-süsteemide kavandamisel ja IT-komponentide hankimisel on arvestatud nende toimimise

tagamiseks vajalike IT-haldustööde mahtu ning organisatsiooni IT-halduse protsessidest

tulenevaid nõudeid.

b. IT-haldusvajaduse analüüsis on arvestatud kavandavate IT-süsteemide keerukust (ingl

complexity).

OPS.1.1.1.M15 IT-halduse tööriistade turvaline soetamine ja kasutamine

a. IT-halduse ressursside kavandamisel ning haldustööriistade soetamisel ja kasutamisel

lähtutakse IT-komponentide halduse reaalsest vajadusest.

b. IT-halduse protsessid ja vajalikud ressursid on organisatsiooni kõigi äriüksustega

kooskõlastatud.

c. IT-halduse võrk on asutuse teistest võrkudest vähemalt loogiliselt eraldatud (vt NET.1.1

Võrgu arhitektuur ja lahendus). Ressursside täiendav segmentimine otsustatakse, lähtudes IT-

halduse tööriistade funktsionaalsetest sõltuvustest, infoturvapoliitikast ja andmete

kaitsetarbest.

OPS.1.1.1.M16 IT-halduse personali väljaõpe

a. IT-halduse töötajate koolitusplaani koostamisel arvestatakse, et IT-komponendi haldamiseks

vajalikud oskused ja kvalifikatsioon oleks mitmel töötajal.

b. Koolitustel käsitletavad teemad katavad vähemalt järgmist:

• tüüpkonfiguratsioonid ja infoturbe tugevdamine (ingl hardening);

• kasutatavate IT-komponentide ja haldustööriistade spetsiifilised turvaseaded;

• haldustööriistade tüüpsed veaolukorrad ja nende lahendamine;

94

• IT-halduse protsesside vahelised seosed ja liidestused.

c. Uute IT-komponentide soetamisel kavandatakse koolitused asjakohaste IT-halduse

protseduuride omandamiseks.

OPS.1.1.1.M17 IT-halduse korraldamine avariiolukorras

a. On määratletud tingimused, mille täitumisel rakendub IT-halduses avarii korral tegutsemise

kord.

b. IT-süsteemide pikaajalise katkestuse või avarii korral tegutsemiseks on koostatud IT-halduse

avariiteatmik.

c. IT-halduse avariiteatmik määratleb, millised IT-komponendid on vajalikud organisatsiooni

toimimiseks minimaalsel lubataval tasemel ning milliste IT-komponentide tugi tagatakse

eelisjärjekorras.

d. Avarii korral tegutsemise juhised sisaldavad vähemalt järgmist:

• toibumisplaanid (ingl disaster recovery plan) avariiolukorrast väljumiseks;

• IT-komponentide taastamise juhised;

• tegevusjuhised kriitiliste äriprotsesside pikaajalise katkestuse mõju leevendamiseks.

OPS.1.1.1.M18 Väliste teenuseandjate kasutamine IT-halduses

a. IT-haldusega seotud väliste teenuseandjate tegevus on reguleeritud lepingute ja

teenusetasemelepetega (SLA).

b. Teenuseandjaga on kokku lepitud suhtluskanalid ja teenuse üksikasjalik sisu. Eriti oluline

on see siis kui kitsas teenusevaldkonnas kasutatakse mitmeid teenuseandjaid.

c. Teenuseandja tegevused fikseeritakse. Teenuseandja tegevuste vastavust kokkulepitule

kontrollitakse regulaarselt.

OPS.1.1.1.M19 IT-komponentide regulaarne hooldus

a. IT-komponente hooldatakse regulaarselt. Teostatud hooldus- ja parendustööd

dokumenteeritakse.

b. On määratud IT-komponendi hoolduse eest vastutavad isikud.

c. Hooldustööde läbiviimisel arvestatakse kehtestatud infoturbe nõudeid.

d. Väliste hooldusspetsialistide tööd on eelnevalt asjaosalistega kooskõlastatud. On määratud

kontaktisik, kes kolmandate poolte hooldustegevusi koordineerib ning vajadusel kontrollib ja

kinnitab tööde läbiviimise.

OPS.1.1.1.M20 IT-komponentide turvanõrkuste seire

a. IT-haldurid jälgivad ja analüüsivad regulaarselt infot kasutatavate IT-komponentide

teadaolevate nõrkuste ning turvapaikade väljalaske kohta.

95

b. IT-komponente testitakse turvanõrkuste olemasolu suhtes. Iga IT-komponendi jaoks on

määratud sobiv testimise ulatus, sügavus ja metoodika. Testimisel tuvastatud turvanõrkused

registreeritakse.

c. Teadaolevad riistvara, operatsioonisüsteemide ja rakenduste nõrkused parandatakse

esimesel võimalusel. Kui nõrkuse parandamiseks ei ole tootja väljastanud turvapaika,

kasutatakse IT-süsteemi kaitseks täiendavaid turvameetmeid.

d. Ilma tootjapoolse toeta ja teadaolevate turvanõrkustega riistvara, operatsioonisüsteemid,

rakendused ja teenused kõrvaldatakse kasutusest.

3.4. Kõrgmeetmed

OPS.1.1.1.M21 IT-halduse tööriistade kasutamise seire (C-I-A)

a. IT-komponentide haldustööriistade kasutamist jälgitakse organisatsiooniüleste turvaseire

vahenditega.

b. Turvasündmuste reaalajaliseks ja keskseks tuvastamiseks on IT-halduse tööriistad

integreeritud automatiseeritud sissetungituvastuse süsteemi (ingl intrusion detection system,

IDS) seireandmestikuga.

OPS.1.1.1.M22 Automatiseeritud turvatestimine (C-I-A)

a. Turvanõrkuste avastamiseks testitakse IT-komponente regulaarselt automatiseeritud

testimistööriistadega.

b. Nõrkuseotsingu (ingl vulnerability scanning) tulemused logitakse automaatselt ning need on

kättesaadavad teistele asjakohastele tööriistadele.

c. Kriitilise turvanõrkuse avastamisel saadetakse volitatud töötajatele automaatteavitus.

OPS.1.1.1.M23 IT-komponentide läbistustestimine (C-I-A)

a. Organisatsiooniülese turvatestimise kontseptsiooni alusel viiakse läbi IT-komponentide

regulaarset läbistustestimist (ingl penetration testing).

OPS.1.1.1.M24 IT-halduse protseduuride detailne logimine (C-I-A)

a. Kõik IT-halduse protseduurid logitakse jälgitavalt ja tõendatavalt.

OPS.1.1.1.M25 IT-halduse tööriistade autonoomsuse tagamine (C-I-A)

a. IT-halduse tööriistu on võimalik kasutada ka võrguühenduse katkestuse või mõne muu välise

mõjutuse korral.

b. IT-halduse tööriistade omavahelised sõltuvused on võimalikult minimeeritud. Tööriistade

konfigureerimisel välditakse olukordi, mille puhul ühe tööriista rike põhjustab häireid teise

tööriista toimimises.

96

OPS.1.1.1.M26 IT-komponentide ennetav hooldus (I-A)

a. IT-komponentide hooldused plaanitakse ja viiakse läbi vähendatud ajavahemike järel,

ennetades sellega võimalike tõrgete teket.

OPS.1.1.2 IT-süsteemide haldus

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed IT-süsteemide ja võrkude turvaliseks halduseks. IT-süsteemide haldamiseks

on vaja IT-süsteemis eeliskontot. Haldustoimingute tulemusena võib muutuda hallatavate IT-

komponentide konfiguratsioon.

1.2 Vastutus

IT-halduse meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad: Personaliosakond.

1.3. Piirangud

Moodulis on esitatud IT-halduse üldmeetmed.

Pääsuõiguste haldust käsitletakse moodulis ORP.4 Identiteedi ja õiguste haldus, muudatuste

haldust käsitletakse moodulis OPS.1.1.3 Paiga- ja muudatusehaldus. IT-süsteemide

kaughaldust käsitletakse moodulis OPS.1.2.5 Kaughooldus.

IT-halduse turvet aitavad tagada meetmed moodulitest NET.1.2 Võrguhaldus ja OPS.1.1.7

Süsteemihaldus

Kolmandate poolte haldusülesannete täitmist käsitlevad moodulid OPS.2.3 Väljasttellimine ja

OPS.3.2 Teenuseandja infoturve. IT-süsteemide haldust veaolukorras käsitletakse

mooduligrupis DER.2 Turvaintsidentide haldus.

IT-halduse korraldamise üldiseid aspekte käsitletakse moodulis OPS.1.1.1 IT-haldus üldiselt.

2. Ohud

2.1. Kohustuste reguleerimatusest tingitud probleemid

Kui IT-halduse ülesanded (nt kavandamise, installimise, dokumenteerimise, paigahalduse või

järelevalve osas) pole selgelt määratud või kui IT-halduse kord ei ole töötajatele teada või

arusaadav, võivad turbe jaoks olulised tegevused jääda ellu viimata.

2.2. Puudulik dokumentatsio

Kui dokumenteeritud teave IT-komponentide kohta ei vasta tegelikule olukorrale, on

raskendatud haldustoimingute korrektne plaanimine ja teostus. Eelnevad

konfiguratsioonimuudatused võivad kaotsi minna. Haldustööde käigus ilmnenud ootamatud

97

asjaolud võivad oluliselt pikendada toimingute läbiviimise aega. Halvemal juhul võib väär

konfiguratsioon põhjustada turvaintsidendi.

2.3. Eeliskasutaja õiguste kuritarvitus

Dokumentidele ja andmebaasis asuvatele andmetele juurdepääsu omavad isikud võivad oma

suuremaid õigusi enda või kõrvaliste isikute huvides ära kasutada. Kui organisatsioonist

lahkunud IT-halduril on jäänud kasutajaõigused korrektselt eemaldamata, võib ta tehtud

eksimust kuritarvitada. IT-haldurit võidakse andmetele juurdepääsu saamise nimel survestada

või muul viisil mõjutada.

2.4. Tundliku teabe leke

Kui IT-süsteemidega seotud tundlik teave (nt IT-komponentidele juurdepääsuinfo või IT-

komponentide konfiguratsioonid) ei ole piisavalt kaitstud, võib teave sattuda volitamata isikute

kätte, kellel on võimalus seda manipuleerida või kasutada organisatsiooni IT-süsteemide vastu

suunatud rünnete kavandamiseks.

2.5. Pädevuse puudumine

Sageli on keerulise IT-süsteemi haldamise oskused ja vajalikud teadmised ainult ühel IT-

halduril. Kui talle ei ole vastava väljaõppega asendajat, võib IT-halduri lahkumise korral

tekkida probleeme IT-süsteemi nõuetekohase ja turvalise töö tagamisega. Probleeme IT-

süsteemide halduses võib põhjustada ka pädevate töötajate haigestumine või ette kavandamata

töölt eemalviibimine.

2.6. Haldusvahendite ebapiisav kaitse

Rünnet IT-süsteemile lihtsustavad IT-halduri poolt IT-süsteemi konfigureerimisel tehtud

hooletusvead. IT-süsteemi kaitseks mõeldud turvameetmed võivad jääda rakendamata IT

halduri mugavuse või mõne muu põhjuse tõttu. Näiteks kasutatakse IT-halduseks samu

tekstiredaktoreid või SSH-kliente, mida kasutatakse ka teiste tööülesannete tarbeks. Vähene

turvateadlikkus, haldurite ajanappus ja protseduuride puudumine loovad nõrkusi, mida ründaja

saab kergelt ära kasutada.

2.7. IT-süsteemi halduse vead

IT-süsteemi haldustoimingute läbiviimisel ei saa kunagi välistada IT-halduri tehtud inimlikku

eksimust. Nt võib IT-haldur omavahel segi ajada lahtiolevad konsooliaknad ja sisestada vale

käsurea. Vigasel haldustoimingul võivad olla kaugeleulatuvad negatiivsed tagajärjed.

2.8. IT-süsteemide töö häirimine

Haldustoimingute läbiviimine mõjutab tavaliselt IT-süsteemide tööd.Kui IT-süsteemide

halduse toiminguid tehes ei arvestata nende mõju samaaegsele IT-süsteemide kasutamisele ja

toiminguid ei ajastata töövälisele ajale, võidakse äriprotsessi olulisel määral häirida.

3. Meetmed

98

3.1. Elutsükkel

Kavandamine

OPS.1.1.2.M2 IT-haldurite asendamise kord

OPS.1.1.2.M21 IT-süsteemide halduse rollide määramine

OPS.1.1.2.M7 IT-halduri kohustuste määramine

OPS.1.1.2.M23 IT-süsteemide halduse rollide ja kasutajaõiguste määramise põhimõtted

OPS.1.1.2.M27 Alternatiivlahendus kesksele IT-halduse tööriistale

Evitus

OPS.1.1.2.M5 IT-süsteemide halduse toimingute tõendamine

OPS.1.1.2.M16 Halduspääsu tehniline eraldamine

Käitus

OPS.1.1.2.M4 IT-haldurina töötamise lõpetamine

OPS.1.1.2.M6 Halduskontode turve

OPS.1.1.2.M22 IT-süsteemide halduse eraldamine tavatöödest

OPS.1.1.2.M8 Rakenduste haldus

OPS.1.1.2.M11 Haldustegevuste dokumenteerimine

OPS.1.1.2.M20 Seadmete korrakohane kasutuselevõtt

OPS.1.1.2.M24 IT-süsteemide halduse toimingute kontrollimine

OPS.1.1.2.M25 IT-halduse toimingute läbiviimise ajastamine

OPS.1.1.2.M26 IT-komponentide konfiguratsiooni varundamine

OPS.1.1.2.M28 IT-süsteemide haldustoimingute logimine

OPS.1.1.2.M18 Haldustoimingute täielik logimine

OPS.1.1.2.M17 IT-haldurite nelja silma põhimõte

OPS.1.1.2.M19 Kõrgkäideldavuse tagamine

OPS.1.1.2.M30 IT-süsteemide halduse integreerimine turvateabe halduse süsteemiga

Seire

OPS.1.1.2.M29 IT-süsteemide halduse tööriistade toimimise seire

3.2. Põhimeetmed

OPS.1.1.2.M2 IT-haldurite asendamise kord

a. IT-süsteemide halduritele on määratud asendajad, kellel on IT-süsteemide halduse jaoks

sobiv kvalifikatsioon ja kes tunnevad konkreetseid süsteeme või on läbinud asjakohase

koolituse.

b. Asendajate nimed ja kontaktandmed on dokumenteeritud.

c. On kehtestatud protseduur asendajale pääsuõiguste andmiseks.

d. Juurdepääs IT-süsteemide halduskontodele eriolukorras võimaldatakse ainult volitatud

isikutele. Selleks vajalikke pääsuandmeid hoitakse volitatud isikutele kättesaadavas ja

turvalises asukohas.

99

OPS.1.1.2.M4 IT-haldurina töötamise lõpetamine [personaliosakond]

a. IT-halduri vabastamisel tööülesannete täitmisest blokeeritakse kohe kõik temaga seotud

personaliseeritud halduskontod ja eemaldatakse pääsuõigused (sh juurdepääsud välistele

teenustele).

b. Lahkunud IT-haldurile teadaolevad paroolid, pääsukoodid ja salajased krüptovõtmed

vahetatakse.

c. Kui töölt lahkunud IT-haldur oli määratud kolmandate poolte kontaktisikuks (nt lepinguga

või halduskontaktina), siis teavitatakse asjaomaseid pooli tema lahkumisest ja määratakse uus

kontaktisik.

d. Meetmeid rakendatakse ka juhul, kui IT-halduri ülesanded olid määratud ettevõttevälisele

isikule.

OPS.1.1.2.M5 IT-süsteemide halduse toimingute tõendamine

a. Igal IT-halduril ja IT-halduri asendajal on personaalne eeliskonto (ingl privileged account),

mida ta kasutab üksnes haldustoiminguteks.

b. Haldustoiminguid tehakse üksnes personaalselt määratud halduskontoga.

c. Kõik haldustoimingud (sh mida tehti, millal ja kelle poolt) on tagantjärele tuvastatavad.

OPS.1.1.2.M6 Halduskontode turve

a. Halduskontosid kaitstakse sobivate autentimismehhanismidega. Kui selleks kasutatakse

paroole, siis samu paroole ei kasutata muudes haldustsoonides. Suurema kaitsetarbe korral on

rakendatud mitmikautentimine (ingl multifactor authetication).

b. Igapäevaste töökohustuste täitmiseks on IT-halduril tavaõigustega kasutajakonto,

eeliskontot igapäevaste töökohustuste täitmiseks ei kasutata.

c. Juurdepääs IT-süsteemi haldusliidesele ja haldusfunktsioonidele on ainult IT-halduritel.

d. Kui halduseks ei kasutata lokaalset konsooli, on halduskontode kasutamine kaitstud

turvaliste võrguprotokollide (nt SSH, TLS) ja piisava tugevusega krüpteerimisega.

OPS.1.1.2.M21 IT-süsteemide halduse rollide määramine

a. On määratud IT-süsteemide halduse rollid. Rollide määramisel on arvestatud IT-süsteemist

tulenevaid vajadusi ja kasutajaõiguste minimaalsuse põhimõtet.

b. Rollide määramisel on arvestatud IT-süsteemi kaitsetarvet, nt tuleks kaaluda

operatsioonisüsteemi ja rakenduste halduse rollide eraldamist.

OPS.1.1.2.M22 IT-süsteemide halduse eraldamine tavatöödest

a. IT-halduse tööriistad on selgelt eristatavad tavatööks kasutatavatest tööriistadest.

100

b. IT-halduse rakendusi ei kasutada peale IT haldustoimingute teiste tööülesannete täitmiseks.

c. IT-halduseks kasutatavad kasutajakontod ning sisselogimiseks vajalikud paroolid on

erinevad muudest kontodest ja paroolidest.

3.3. Standardmeetmed

OPS.1.1.2.M7 IT-halduri kohustuste määramine

a. Tööülesannete jaotamisel mitme IT-halduri vahel on kõik tööülesanded kaetud ja vastusalad

selgelt eristatud.

b. Igale IT-süsteemile ja rakendusele on määratud vastutav haldur.

c. IT-halduri kohustuste määramisel on arvestatud rollide lahususe nõuet. Halduri rolli ei saa

teatud rollidega (nt IT-audiitor) ühildada.

d. IT-halduri õigusi ja kohustusi ajakohastatakse regulaarselt IT-halduri ametijuhendis.

OPS.1.1.2.M8 Rakenduste haldus

a. Rakenduse- ja süsteemihaldurite vaheline ülesannete jaotus on määratletud ja

dokumenteeritud.

b. Võimalikud kokkupuutekohad rakenduste ja IT süsteemide halduse eest vastutavate isikute

tööjaotuses on omavahel kooskõlastatud (nt töötajate asendamise korral).

c. Kui IT-halduril on vajalik sekkuda rakenduse käitamisse (nt versioonivahetusel),

kooskõlastatakse see eelnevalt rakenduse kasutajatega, arvestades kasutajate vajadusi.

OPS.1.1.2.M11 Haldustegevuste dokumenteerimine

a. Kõik IT-süsteemi haldusega seotud muudatused dokumenteeritakse. Dokumentatsioonist on

arusaadav, milliseid muudatusi ja millal on tehtud, kes muudatused tegi ning mis on muudatuse

põhjus.

b. Teave muudatuste kohta peab IT-halduri eemaloleku korral olema kättesaadav ka

asendajatele.

OPS.1.1.2.M16 Halduspääsu tehniline eraldamine

a. Haldusliidestele juurdepääs on eraldatud tehniliste meetmetega (nt lubatud ühest

konkreetsest võrgusegmendist).

b. Haldusrühma mittekuuluvatel isikutel haldusliidestele juurdepääs puudub.

c. Halduspääs teises turvatsoonis asuvale IT-süsteemile on loodud vastava turvatsooni

hüppeserveri kaudu. Muud juurdepääsuvõimalused teistest süsteemidest või

võrgusegmentidest on tõkestatud.

101

d. Haldusliidesed ei tohi olla juurdepääsetavad otse välisest võrgust.

OPS.1.1.2.M20 Seadmete korrakohane kasutuselevõtt

a. Organisatsioonis on ülevaade kõigist seadmetest, mis võivad infoturbe olukorda mõjutada.

Seadmete register vastab tegelikule olukorrale.

b. Lisaks IT-süsteemide ja tööstusautomaatika komponentidele on registrisse kantud ka

esemevõrgu (ingl Internet of Things, IoT) seadmed.

c. Seadmete hankimisel arvestatakse nende ühilduvust ja turvalisust. Võimalusel testitakse uusi

seadmeid enne nende soetamist.

d. Enne kasutuselevõttu läbivad seadmed kooskõlastusprotseduuri, mille käigus seadmed

märgistatakse ja registreeritakse (nt varade registris).

OPS.1.1.2.M23 IT-süsteemide halduse rollide ja kasutajaõiguste määramise põhimõtted

a. Organisatsioon on kehtestanud IT-süsteemide halduse rollide ja kasutajaõiguste määramise

põhimõtted.

b. IT-süsteemide halduse rollide ja kasutajaõiguste määramise põhimõtted sätestavad, kuidas

toimub rolli:

• taotlemine;

• loomine;

• kaasnevate õiguste määramine;

• sidumine konkreetse isikuga.

OPS.1.1.2.M24 IT-süsteemide halduse toimingute kontrollimine

a. Enne IT-süsteemi haldustoimingutega alustamist veendutakse, et kavandatu vastavad

püstitatud lähteülesandele.

b. Enne IT-süsteemi haldustoimingutega alustamist kontrollitakse, kas kavandatud toimingud

ei mõjuta negatiivselt IT-halduse tööriistade kasutamist.

c. Pärast IT-süsteemi haldustoimingute lõpetamist veendutakse, kas hallatava IT-komponendi

konfiguratsioon vastab soovitud sihtseisundile.

d. Kõrgendatud turbevajadusega IT-süsteemi haldustegevusi kontrollib tegevuste läbiviijast

erinev isik.

OPS.1.1.2.M25 IT-halduse toimingute läbiviimise ajastamine

a. IT- halduse toimingud viiakse läbi sellest eelnevalt IT-süsteemi kasutajaid ette teavitades

ja/või kavandatud hooldusaknas määratud ajaperioodi jooksul.

102

OPS.1.1.2.M26 IT-komponentide konfiguratsiooni varundamine

a. Enne IT-komponendi haldustoimingute alustamist veendutakse, et IT-komponendi kehtivast

konfiguratsioonist on olemas varukoopia.

b. Enne võimalike negatiivsete tagajärgedega haldustoimingut varundatakse IT-komponendi

konfiguratsioon täiendavalt vahetult enne toiminguga alustamist.

OPS.1.1.2.M27 Alternatiivlahendus kesksele IT-halduse tööriistale

a. Keskset IT-halduse tööriista on vajadusel võimalik asendada asjakohastele haldusvõrkudele

juurdepääsu tagamisega läbi turvalise hüppeserveri (ingl jump server).

b. Kui hüppeserverit ei kasutata, tagatakse haldustoimingute läbiviimiseks IT-komponendile

otsene füüsiline juurdepääs.

OPS.1.1.2.M28 IT-süsteemide haldustoimingute logimine

a. Kõik halduskontoga tehtud tegevused ja pääsukatsed logitakse. Logitud andmete terviklust

kaitstakse.

b. IT-süsteemide haldustoimingute logisid säilitatakse piisavalt pika ajavahemiku jooksul.

3.4 Kõrgmeetmed

OPS.1.1.2.M18 Haldustoimingute täielik logimine (C-I)

a. Turvakriitilistes süsteemides logitakse lisaks süsteemi sisselogimistele ka kõik

süsteemiülema rakendatud käsud ja käivitatud funktsioonid.

b. IT-süsteemiülematel ei ole salvestatud logifailide muutmise ega kustutamise õigusi.

c. Logifaile säilitatakse terviklikult ning kaitsetarbele vastava ajavahemiku jooksul.

OPS.1.1.2.M17 IT-haldurite nelja silma põhimõte (C-I)

a. Juurdepääs turvakriitilistele süsteemidele on reguleeritud nii, et selleks on alati vaja kahte

töötajat (nt halduskonto parooli jaotamisega kaheks osaks, millest kumbki pool on teada ainult

ühele IT-halduritest).

b. Haldusprotseduuride läbiviimisel täidab üks IT-haldur ettenähtud haldusülesandeid ja teine

kontrollib tema tegevust.

OPS.1.1.2.M19 Kõrgkäideldavuse tagamine (A)

a. On tagatud IT-süsteemide haldustööriistade liiasus.

b. IT-süsteemi haldustööriista võimaliku rikke korral on IT-süsteemide haldustoiminguid

võimalik läbi viia ilma oluliste piiranguteta.

103

OPS.1.1.2.M29 IT-süsteemide halduse tööriistade toimimise seire (A)

a. IT-süsteemide halduse tööriistadele on kehtestatud käideldavuse nõuded.

b. IT-halduse tööriistade käideldavusparameetreid seiratakse regulaarselt, hälvete ilmnemisel

teavitatakse vastutavat IT-haldurit.

OPS.1.1.2.M30 IT-süsteemide halduse integreerimine turvateabe halduse süsteemiga (C-

I-A)

a. IT-süsteemide haldustoimingute logimine on liidestatud turvateabe ja -sündmuste halduse

(ingl security information and event management, SIEM) süsteemiga.

OPS.1.1.3 Paiga- ja muudatusehaldus

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed organisatsiooni paiga- ja muudatusehalduse protseduuride kohaldamiseks,

juhtimiseks ja optimeerimiseks.

1.2. Vastutus

Paiga- ja muudatusehalduse meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad: Vastutav spetsialist.

1.3. Piirangud

Moodul käsitleb tarkvarauuendite paigaldamist ning muudatuste halduse infoturbega seotud

aspekte. Konkreetsete IT-süsteemide uuendamist käsitletakse mooduligruppides SYS ja APP.

Paikade ja muudatuste testimist ja käidukeskkonda paigaldamist käsitletakse moodulis

OPS.1.1.6 Tarkvara testimine ja kasutuselevõtt. Tarkvaraarenduse käigus tehtavaid muudatusi

kirjeldatakse moodulis CON.8 Tarkvaraarendus.

2. Ohud

2.1. Puudulikult kehtestatud kohustused

Ebaselged, määramata või kattuvad töökohustused paiga- ja muudatusehalduses põhjustavad

protsessi aeglustumist ning eksimusi. Paikade ja muudatuste ennatlik kinnitamine ilma neid

testimata ning kõiki aspekte arvestamata võib IT-süsteemide turvalisust märkimisväärselt

mõjutada. Kui turvapaiku ei paigaldata või seda tehakse liiga hilja, võib see mõjutada IT-

süsteemide konfidentsiaalsust ja terviklust.

2.2. Puudulik teabevahetus muudatuste haldamisel

104

Kui paiga- ja muudatusehaldus ei ole organisatsioonis reguleeritud ja asjaomased isikud

piisaval määral ei suhtle, võib see põhjustada valesid otsuseid või muudatuste paigaldamisega

hilinemist. Puuduliku teabevahetuse korral muutub IT-haldus ebatõhusaks ja tekivad

turvanõrkused. Eelnevalt teadvustamata muudatus võib tekitada tööseisaku, kuna kasutaja ei

oska muutunud olukorras tegutseda.

2.3. Äriprotsessidega mittearvestamine

Kontrollimatud muudatused võivad ohustada äriprotsesside toimimist ja põhjustada mõjutatud

IT-süsteemides ulatuslikke tõrkeid. Kui muudatust ei ole kavandatud ja testitud koos

asjaomaste põhiüksustega, võidakse hinnata muudatuste mõju, prioriteetsust ja oodatavat

turvataset valesti. Tulem ei pruugi vastata tegelikele ärivajadustele.

2.4. Piiratud ressursid paiga- ja muudatusehalduses

Kui paiga- ja muudatusehalduseks puuduvad sobivad töötajad, võib IT-üksuse ja äriüksuste

vaheline koostöö kahjustuda. Ressursside puudumisel ei ole võimalik luua nõuetekohast test-

ja käidukeskkonna taristut. Töötajate nappus muutub eriti oluliseks juhtudel, kui tegutseda

tuleb viivitamata, näiteks avariipaikade paigaldamisel.

2.5. Probleemid paikade ja muudatuste automaatse paigaldamisega

Paigahaldustarkvara tsentraalsel kasutamisel võidakse väljastada kogu IT-süsteemi ulatuses

vigaseid uuendeid, põhjustades ulatuslikke turvaprobleeme.

2.6. Puudulikud taastevõimalused paiga- ja muudatusehalduses

Kui paikasid või muudatusi paigaldatakse ilma taastevõimalust ette nägemata, ei ole võimalik

vea ilmnedes IT-süsteemi kiiresti parandada. Sama oht on ka siis, kui tarkvara

taasteprotseduurid ei ole tõhusad või need kõigil juhtudel ei toimi.

2.7. Paikade ja muudatuste prioriteetsuse väär hindamine

Muudatuste prioriteetsuse määramisega eksimisel võidakse olulised paigad installida alles

viimases järjekorras, mistõttu seonduv turvarisk püsib kauem. Paiga- ja muudatusehalduse

tööriistas võib esineda vigu, mis põhjustavad paiga või muudatuse kohta puuduliku või vale

teabe esitamist.

2.8. Andmete ja tööriistade manipuleerimine muudatuste haldamisel

Kui ründaja suudab tsentraalsed paiga- ja muudatusehalduse tööriistad üle võtta, saab ta

levitada manipuleeritud tarkvara ühekorraga paljudesse IT-süsteemidesse. Kui neid tööriistu

haldab väline partner, siis saab rünnet algatada ka partneri võrgust.

3. Meetmed

3.1. Elutsükkel

105

Kavandamine

OPS.1.1.3.M1 Paiga- ja muudatusehalduse kord

OPS.1.1.3.M2 Vastutuse määramine

OPS.1.1.3.M5 Muutmistaotluste käsitlus

OPS.1.1.3.M8 Paiga- ja muudatusehalduse tööriistade turvaline rakendamine

OPS.1.1.3.M12 Muudatusehalduse tööriistade kasutamine

Evitus

OPS.1.1.3.M9 Uue riistvara testimise ja kasutuselevõtu protseduurid

OPS.1.1.3.M11 Infotöötluse pidev dokumenteerimine

Käitus

OPS.1.1.3.M3 Automaatuuenduste turvaline seadistus

OPS.1.1.3.M15 IT-süsteemide regulaarne uuendamine

OPS.1.1.3.M6 Muudatuste kooskõlastamine

OPS.1.1.3.M7 Muudatusehalduse sobitamine äriprotsessidega

OPS.1.1.3.M10 Tarkvaratoodete tervikluse ja autentsuse tagamine

OPS.1.1.3.M14 Muudatuste sünkroniseerimine

Parendamine

OPS.1.1.3.M13 Muudatuste tulemuslikkuse hindamine

3.2. Põhimeetmed

OPS.1.1.3.M1 Paiga- ja muudatusehalduse kord [vastutav spetsialist]

a. IT-komponentide, tarkvara ja konfiguratsiooniandmete muudatuste läbiviimiseks on

kehtestatud paiga- ja muudatusehalduse kord.

b. Paiga- ja muudatusehalduse kord reguleerib, kuidas tarkvara paikade (ingl patch) ja uuendite

(ingl update) paigaldamist plaanitakse, kooskõlastatakse ja dokumenteeritakse.

c. Paikasid ja uuendeid testitakse enne nende rakendamist (vt OPS.1.1.6 Tarkvara testimine ja

kasutuselevõtt).

d. Paikade ja uuendite paigaldamise ebaõnnestumise puhuks on koostatud muudatuste

tagasivõtmise protseduur.

e. Suuremate muudatuste korral kaasatakse muudatuse kavandamisse infoturbejuht. Taotletava

turvataseme säilimine tagatakse nii muudatuse tegemise ajal kui ka pärast muudatuse

elluviimist.

OPS.1.1.3.M2 Vastutuse määramine

a. Kõigis äriprotsessides on määratud paiga- ja muudatusehalduse eest vastutajad.

b. Paiga- ja muudatusehalduse eest vastutaja klassifitseerib ja aktsepteerib muutmistaotlused

(ingl change request) ja koordineerib muudatuste läbiviimist.

106

c. Keeruka IT-taristuga organisatsioonis toetab vastutajat kindla aja tagant kogunev

muutenõukogu (ingl change advisory board), kuhu peale muudatuste tehnilise rakendamisega

seotud isikute kuuluvad ka organisatsiooni põhiüksuste esindajad.

OPS.1.1.3.M3 Automaatuuenduste turvaline seadistus

a. Uute toodete kasutuselevõtul kontrollitakse, millised uuendusmehhanismid neis on ja kuidas

neid konfigureeritakse. Automaatuuendused seadistatakse vastavalt organisatsiooni

paigahalduse nõuetele.

b. Vajadusel tõkestatakse uuendite päringud avalikust uuendusserverist ja blokeeritakse

uuendite installimise automaatne käivitus.

c. Võimalusel võetakse kasutusele organisatsioonisisene uuendusserver (nt Windows Server

Update Services, WSUS). Uuendusserver suhtleb sel juhul otse tootja serveritega ja laadib

soovitud uuendid paigaldamiseks sobival hetkel.

d. Mobiilsetele seadmetele, mis võivad tihti asuda väljaspool ettevõtte võrku, laetakse

turvapaigad otse tootja uuendusserverist ning võimalikult kiiresti pärast uuendi ilmutamist.

OPS.1.1.3.M15 IT-süsteemide regulaarne uuendamine

a. Püsivara (ingl firmware), operatsioonisüsteeme ja rakendusi uuendatakse regulaarselt.

Uuendamine viiakse läbi võimalikult kiiresti pärast turvauuendi ilmutamist ja testimist.

b. Paikasid ja muudatusi paigaldatakse vastavalt prioriteetsusele ja rakendamise

kiireloomulisusele.

c. Uuendite paigaldamise järgselt kontrollitakse, kas kõik vajalikud seadmed ja rakendused on

uuendused saanud.

d. Kui turvauuend otsustatakse mitte paigaldada, siis vastav otsus ja mittepaigaldamise

põhjendus dokumenteeritakse.

e. Tootja tarkvaratoe lõppemisel analüüsitakse, kuidas edasiste turvapaikade puudumine

mõjutab seadmete või rakenduste turvalist kasutamist. Ebaturvalised seadmed või rakendused

kõrvaldatakse kasutusest.

3.3. Standardmeetmed

OPS.1.1.3.M5 Muutmistaotluste käsitlus [vastutav spetsialist]

a. Muutmistaotlusi (inglise keeles Request for Changes, RfC) esitatakse, registreeritakse ja

dokumenteeritakse vastavalt paiga- ja muudatusehalduse korrale.

b. Muudatuste kavandamisel hinnatakse, kuidas võib muudatus mõjutada organisatsiooni

toimimist, määratakse tehnilised ja inimressursid ning teostamise tähtajad.

c. Muudatuse tegemise eest vastutaja kontrollib, kas muutmistaotluse juures on piisavalt

arvestatud infoturbe aspekte.

107

OPS.1.1.3.M6 Muudatuste kooskõlastamine

a. Muudatuste kooskõlastusprotsessi on kaasatud kõik asjassepuutuvad sihtrühmad, sh

infoturve.

b. Muudatusega hõlmatud sihtrühmadel on võimalik muudatuste kohta oma arvamust

avaldada, et vältida sihtrühma seisukohalt soovimatuid muudatusi.

c. Aegkriitilisi muudatusi on võimalik kinnitada lihtsustatud korras.

OPS.1.1.3.M7 Muudatusehalduse sobitamine äriprotsessidega

a. Muudatuse kavandamisel arvestatakse eelkõige organisatsiooni põhitegevuslikke vajadusi ja

mõju äriprotsessidele, sh infoturbe seisukohast.

b. Kõiki muudatusest mõjutatavaid üksusi teavitatakse aegsasti eelseisvatest muudatustest.

c. Muudatuse tegemiseks valitakse aeg nii, et äriprotsesse võimalikult vähe häiritaks. Kui

äriprotsessi katkestamine on vältimatu, arvestatakse otsustamisel katkestuse võimalike

mõjudega.

d. Organisatsiooni juhtkonnal on õigus vajadusel riist- ja tarkvara muudatuste prioriteete ja

planeeritud täitmistähtaegu muuta.

OPS.1.1.3.M8 Paiga- ja muudatusehalduse tööriistade turvaline rakendamine

a. Paiga- ja muudatusehalduse tööriistade valimisel võetakse arvesse erinevate

tarkvaraplatvormide toetust, uuendite väljastamise sagedust ja nende verifitseerimist,

konfiguratsiooni paindlikkust ja muudatuste tagasipööramise võimekust.

b. On kehtestatud paiga- ja muudatusehalduse tööriistade turvanõuded, mis käsitlevad

tööriistade turvalist haldust ja logimise, andmevarunduse ning avariivalmenduse nõudeid.

OPS.1.1.3.M9 Uue riistvara testimise ja kasutuselevõtu protseduurid

a. Uut riistvara testitakse enne kasutuselevõttu spetsiaalselt selleks otstarbeks loodud,

käidukeskkonnast eraldatud testkeskkonnas.

b. Testimise käigus kontrollitakse toote funktsionaalsust, ühilduvust ja soovimatute

kõrvaltoimete puudumist. Testimiseesmärgid valitakse sõltuvalt riistvara iseloomust.

c. Riistvara testimistulemused ja kasutuselevõtuks kinnitamise tulemused dokumenteeritakse.

d. Kui testimise ja kinnitusprotseduuri läbimisest hoolimata avastatakse kasutamisel riistvara

vigu, algatatakse veaparandusprotsess.

OPS.1.1.3.M10 Tarkvaratoodete tervikluse ja autentsuse tagamine

a. Tarkvara ja selle uuendeid hangitakse ainult teadaolevalt usaldusväärsetest allikatest.

108

b. Enne paketi installimist kontrollitakse selle autentsust näiteks kontrollkoodi (ingl checksum)

või signatuuri põhjal.

c. Organisatsioonis on olemas tervikluse ja autentsuse kontrolliks vajalikud kontrollivahendid.

OPS.1.1.3.M11 Infotöötluse pidev dokumenteerimine

a. Organisatsioonis on kehtestatud kord IT-süsteemides tehtud muudatuste

dokumenteerimiseks.

b. Olemas on ajakohane dokumentatsioon IT-rakenduste ja IT-komponentide konfiguratsiooni,

lisatud komponentide, kasutajate, andmevarunduse, avastatud ja kõrvaldatud rikete ja vigade

ning teostatud hooldetoimingute kohta.

3.4 Kõrgmeetmed

OPS.1.1.3.M12 Muudatusehalduse tööriistade kasutamine (A)

a. Muudatusehalduse tööriista valimisel on arvestatud muudatuste paigaldamise jõudlusega ja

võimekusega vea ilmnemisel taastada muudatuseelne olukord paralleelselt paljudes

tööjaamades või serverites.

b. Paiga- või muudatusehalduse tööriist võimaldab paigaldamise vajadusel teadlikult

katkestada. Uuendite paigaldamise katkestamist on eelnevalt testitud.

OPS.1.1.3.M13 Muudatuste tulemuslikkuse hindamine [vastutav spetsialist] (I-A)

a. Muudatuse tulemuslikkuse hindamiseks viiakse läbi muudatusejärgset olukorda

muudatusele eelneva olukorraga võrdlev järeltestimine.

b. Järeltestimist teevad kasutajad, kes tunnevad organisatsiooni äriprotsesse, kehtivaid

kvaliteedi- ja turvanõudeid ja oskavad tuvastada ning hinnata võimalikke vigu.

c. Järeltestimise tulemused dokumenteeritakse.

OPS.1.1.3.M14 Muudatuste sünkroniseerimine (C-I-A)

a. Paigad ja muudatused paigaldatakse kõigisse IT-süsteemidesse võimalikult kiiresti ja

korraga.

b. On olemas protseduur ja vahendid, mis võimaldavad kontrollida muudatuste jõudmist

kõigisse sihtkohtadesse.

c. Vältimatult hilinevad muudatused (nt mobiilsetes IT-süsteemides) tehakse esimesel

võimalusel.

OPS.1.1.4 Kaitse kahjurprogrammide eest

109

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed kahjurprogrammide vastase kaitse korraldamiseks.

1.2. Vastutus

„Kaitse kahjurprogrammide eest“ meetmete täitmise eest vastutab IT-talitus. Lisavastutajad:

Kasutaja.

1.3. Piirangud

Spetsiifilised nõuded organisatsiooni konkreetsete IT-süsteemide kaitsmiseks

kahjurprogrammide eest on esitatud asjakohastes SYS moodulites (nt SYS.2.2.3 Windows 10

klient).

Tuvastatud kahjurprogramme eemaldamist ja IT-süsteemide taastamist käsitletakse moodulites

DER.2.1 Turvaintsidentide käsitlus ja DER.2.3 Ulatuslike turvaintsidentide lahendamine.

Kasutajate koolitust käsitletakse moodulis ORP.3 Infoturbe teadlikkuse tõstmine ja koolitus.

2. Ohud

2.1. Tarkvara nõrkused ja kahjurkoodi allalaadimine

Kui IT-süsteemid ei ole kahjurprogrammide vastu vajalikul määral kaitstud (nt paikade

õigeaegse paigaldamise ja rakenduste turvalise konfigureerimisega), võib ründaja kasutada

tarkvara nõrkusi kahjurkoodi paigaldamiseks. Ainuüksi kahjurveebisaidi külastamisest piisab

brauseri või mõne installitud pistikprogrammi (nt Java või Adobe Flash) nõrkuse

ärakasutamiseks ja IT-süsteemi nakatamiseks. Eriti ohustatud on IT-süsteemid, mida

regulaarselt ei uuendata (nt paljud nutitelefonid).

2.2. Väljapressimine lunavaraga

Levinud kahjurvara (ingl malware) tüüp on lunavara (ingl ransomware), mis krüpteerib

nakatatud IT-süsteemis asuvad andmed. Selleks kasutavad ründajad krüpteerimismeetodeid,

kus dekrüpteerimine on võimalik ainult ründajale teadaoleva võtme abil. Võti avaldatakse alles

pärast suure rahasumma ründajatele ülekandmist. Kui kahjurvara eest puudub tõhus kaitse ja

kasutusele ei ole võetud täiendavaid meetmeid (nt andmevarundus), võib lunavararünne

põhjustada suurt finants- ja mainekahju.

2.3. Siht- ja suhtlusründed

Sageli kasutatakse organisatsioonide ründamiseks kohandatud kahjurprogramme, mida

viirusetõrjeprogrammid ei suuda veel tuvastada. Ründe käigus meelitatakse näiteks

juhtivtöötajaid suhtlusründe (ingl social engineering) abil avama kahjulikke e-kirja manuseid.

Kui ründajal on õnnestunud sellisel viisil üks arvuti nakatada, saab ta selle kaudu

organisatsioonis oma tegevust laiendada.

110

2.4. Bottnetid

Kahjurprogrammide kaudu võivad organisatsiooni IT-süsteemides levida ka robotvõrgud ehk

bottnetid (ingl botnet). Ründaja, kes kontrollib robotvõrgus tuhandeid arvuteid, võib

robotvõrku kasutada erinevate eesmärkide täitmiseks, näiteks spämmi saatmiseks või

teenusetõkestusründe käivitamiseks. Isegi, kui otsene negatiivne mõju organisatsiooni teenuste

ja IT-süsteemide käideldavusele ja terviklusele puudub, on tegemist seaduserikkumisega,

millega kaasneb mainekahju.

2.5. Tootmissüsteemide ja esemevõrgu seadmete nakatamine

Peale tavapäraste IT-süsteemide rünnatakse kahjurprogrammidega üha enam ka seadmeid, mis

esmapilgul ei tundu tavapärase sihtmärgina. Näiteks võib ründaja spioneerimiseks nakatada

Interneti kaudu juurdepääsetava valvekaamera või bottneti osana kasutada võrguga ühendatud

nutivalgusteid, kui need ei ole kahjurvara eest piisavalt kaitstud. Tööstuslikke

juhtimissüsteeme kahjurprogrammiga manipuleerides võib ründaja rikkuda vara või tekitada

pikaajalisi töökatkestusi.

3. Meetmed

3.1. Elutsükkel

Kavandamine

OPS.1.1.4.M1 Kahjurprogrammide tõrje kontseptsioon

OPS.1.1.4.M7 Kasutajate teadlikkuse suurendamine

OPS.1.1.4.M14 Infoturbe toodete valimine ja kasutuselevõtt sihtrünnete tõrjeks

Evitus

OPS.1.1.4.M2 Süsteemikohaste turvamehhanismide kasutamine

OPS.1.1.4.M3 Kahjurvaratõrje tarkvara valimine lõppseadmetele

OPS.1.1.4.M5 Kahjurvaratõrje tarkvara rakendamine

Käitus

OPS.1.1.4.M6 Viirusetõrjeprogrammide ja viiruse käekirja andmestike ajakohastamine

OPS.1.1.4.M9 Kahjurprogrammiga nakatumisest teatamine

OPS.1.1.4.M10 Spetsiaalse analüüsikeskkonna kasutamine

OPS.1.1.4.M11 Mitme skaneerimismootori rakendamine

OPS.1.1.4.M12 Andmekandjalüüside rakendamine

OPS.1.1.4.M13 Ebausaldusväärsete failide käitlus

3.2. Põhimeetmed

OPS.1.1.4.M1 Kahjurprogrammide tõrje kontseptsioon

a. On koostatud kontseptsioon, mis määrab, milliseid IT-süsteeme kahjurprogrammide eest

kaitstakse ja kuidas.

b. IT-süsteemide kasutamist välditakse seni, kuni neid on võimalik kahjurvara eest usaldatavalt

kaitsta.

111

c. Kahjurprogrammide tõrje kontseptsiooni vaadatakse üle regulaarselt, vajadusel

kontseptsioon uuendatakse.

OPS.1.1.4.M2 Süsteemikohaste turvamehhanismide kasutamine

a. On teada, millised turvamehhanismid on kasutatavatesse IT-süsteemidesse lisatud.

b. Kõik IT-süsteemi turvamehhanismid on kasutusele võetud, välja arvatud juhul, kui on

olemas vähemalt samaväärne asendusmehhanism või kui turvamehhanismi

mitterakendamiseks on mõjuvad põhjused.

c. Turvamehhanismide teadliku mitterakendamise juhud dokumenteeritakse koos asjakohase

põhjendusega.

OPS.1.1.4.M3 Kahjurvaratõrje tarkvara valimine lõppseadmetele

a. Kahjurvaratõrje tarkvara valimisel on lähtutud kasutatavatest platvormidest, muudest

olemasolevatest turvamehhanismidest, kahjurvaratõrje tarkvara eeldatavast jõudlusest ja

avastusvõimest.

b. Lõppseadmetes kasutatakse ärikasutuseks kohandatud, kehtiva hooldus- ja tugiteenusega

tooteid.

c. Kahjurvaratõrje tarkvara valimisel arvestatakse andmekaitse- ja konfidentsiaalsusnõudeid.

OPS.1.1.4.M5 Kahjurvaratõrje tarkvara rakendamine

a. Kahjurvaratõrje tarkvara on enne kasutuselevõtuks kinnitamist testitud.

b. Kahjurvaratõrje tarkvara on konfigureeritud vastavalt kasutuskeskkonnale.

c. Kui mõni toote turvafunktsioon on välja lülitatud, peab olema selleks dokumenteeritud

põhjendus.

d. Kasutaja õigused teha kahjurvaratõrje tarkvara turvaseadetes muudatusi on piiratud.

OPS.1.1.4.M6 Viirusetõrjeprogrammide ja viiruse käekirja andmestike ajakohastamine

a. Viirusetõrjeprogrammi ja viiruse käekirja (ingl virus signature) andmestikke uuendatakse

regulaarselt, vastavalt tarkvara valmistaja soovitustele.

b. Viirusetõrjeprogrammi uuenduste korral tutvutakse muudatuste dokumentatsiooniga ning

vajadusel muudetakse tarkvara konfiguratsiooni.

OPS.1.1.4.M7 Kasutajate teadlikkuse suurendamine [kasutaja]

a. Kasutajatele selgitatakse regulaarselt kahjurvaraga seotud võimalikke ohte.

b. Kasutajatele on edastatud juhised kahjurvaraga seotud ohtude vältimiseks.

112

c. Kasutajad teavad, et ebausaldusväärsetest allikatest pärinevaid faile ei tohi avada.

d. Kasutajad on kohustatud kahjurprogrammiga nakatumisest või nakatumiskahtlusest

teavitama organisatsiooni poolt määratud kontaktisikut.

3.3. Standardmeetmed

OPS.1.1.4.M9 Kahjurprogrammiga nakatumisest teatamine

a. Kahjurprogrammi avastamisel edastab kahjurvaratõrje rakendus sündmusest teate kesksesse

käsitluskohta ja blokeerib nakatatud programmi.

b. Vastutav töötaja otsustab, kas kahjurprogrammi teade võib tähendada turvaintsidenti ja

millised on edasised tegevused.

c. On loodud protseduur kahjurvaratõrje rakenduse sündmuseteadete ja hoiatuste käsitluseks.

d. On dokumenteeritud ja testitud tegevuskava kahjurprogrammide eemaldamiseks ja

nakatuseelse olukorra taastamiseks.

3.4. Kõrgmeetmed

OPS.1.1.4.M10 Spetsiaalse analüüsikeskkonna kasutamine (C-I-A)

a. Nakatuskahtlusega failide automatiseeritud analüüsiks kasutatakse tunnustatud

veebipõhiseid viiruskontrolli tööriistu.

b. Eesti riigiasutuste andmesidevõrgu kasutajad ja erasektori koostööpartnerid kasutavad e-

kirjaga saabunud kahtlaste manuste ja teiste ebakindla päritoluga failide kontrollimiseks

veebipõhist tööriista e-aadressil irma.cert.ee.

OPS.1.1.4.M11 Mitme skaneerimismootori rakendamine (C-I-A)

a. Suurema kaitsetarbega süsteemides on avastusvõime tõstmiseks rakendatud erinevaid

skaneerimismootoreid kasutavad kahjurvaratõrje vahendid.

OPS.1.1.4.M12 Andmekandjalüüside rakendamine (C-I-A)

a. Enne väliselt osapoolelt saadud andmekandja ühendamist organisatsiooni IT-süsteemiga

kontrollitakse andmekandjat selleks otstarbeks konfigureeritud arvutil.

OPS.1.1.4.M13 Ebausaldusväärsete failide käitlus (C-I-A)

a. Ebausaldusväärseid faile avatakse ainult selleks otstarbeks konfigureeritud, teistest IT-

süsteemidest isoleeritud arvutis.

b. Kahtlaste failide sisu viiakse edasiseks töötluseks turvalisse vormingusse või prinditakse

välja.

113

OPS.1.1.4.M14 Infoturbe toodete valimine ja kasutuselevõtt sihtrünnete tõrjeks (C-I-A)

a. Suurema kaitsetarbe korral valitakse kasutamiseks tavapärastest toodetest turvalisemad,

täiendava kaitsefunktsionaalsusega tooted.

b. Enne kasutamiseks kinnitamist testitakse valitud toote turvatoimet ja ühilduvust

ettevalmistatud testkeskkonnas.

OPS.1.1.5 Logimine

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed logiandmete turvaliseks kogumiseks, talletamiseks, analüüsimiseks ja

nõuetekohaseks kõrvaldamiseks.

1.2. Vastutus

Logimise meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad: Vastutav spetsialist.

1.3. Piirangud

Spetsiifiliste IT-süsteemide ja rakenduste logimist ning nende kaitset käsitletakse täiendavalt

teemakohastes moodulites (nt operatsioonisüsteemi sündmuste logimist käsitletakse

moodulites SYS.1.1 Server üldiselt ja SYS.2.1 Klientarvuti üldiselt). Logiandmete

arhiveerimist käsitletakse moodulis OPS.1.2.2 Arhiveerimine. Isikuandmete käitlemise

meetmed on esitatud moodulis CON.2 Isikuandmete kaitse. IT-süsteemide logide kasutamist

turvaintsidentide avastamiseks ja käsitlemiseks kirjeldatakse moodulites DER.1

Turvaintsidentide avastamine ja DER.2 Turvaintsidentide haldus.

2 Ohud

2.1. Puuduv või piisamatu logimine

Kui IT-süsteemide konfigureerimisel on logimine jäetud aktiveerimata või logimine ei ole

võimalik, jäävad turvasündmused registreerimata ja ründed tuvastamata. Rünnet ei tuvastata

ka juhul, kui logimist rakendatakse, kuid logiandmeid ei analüüsita. Samuti jääb rünne

tuvastamata, kui logiandmed ei sisalda vajalikku ja asjakohast teavet.

2.2. Asjassepuutuvate logiandmete puudulik valimine

Suure hulga logiteadete reaalajas analüüsimine nõuab palju arvuti- ja inimressursse. Kui

kogutud andmetest ainult väike osa informatiivne, muutub logiandmete analüüsimine info

ülekülluse tõttu ajamahukaks. Kui IT-süsteemi või logitaristu töömälu või kõvaketta maht on

114

ebapiisav, võib juhtuda, et olulist teavet sisaldavad logiandmed kirjutatakse üle või

kustutatakse enneaegselt.

2.3. Sünkroniseerimata aeg logimisel

Kui organisatsiooni kõikide IT-süsteemide kellaaegasid ei sünkroniseerita, siis erinevate IT-

süsteemide logiandmed omavahel ei korreleeru ning võivad põhjustada ekslikke

sündmusteateid. Selliselt kogutud logiandmeid on keeruline analüüsida ning neid logisid ei

pruugi olla võimalik kasutada IT-kriminalistikas asitõenditena.

2.4. Logimise halb plaanimine

Kui logimist ei ole üksikasjalikult plaanitud, võivad IT-süsteemid jääda järelevalveta ning

nende IT-süsteemidega seotud turvasündmused jäävad tuvastamata. Kui isikuandmete

kasutamist ei logita, võivad andmekaitserikkumised jääda avastamata.

2.5. Logiandmete konfidentsiaalsuse ja tervikluse kadu

Teatud IT-süsteemid tekitavad füüsiliste isikutega seostatavaid logiandmeid. Kui logiandmeid,

mis sisaldavad kasutajanimesid, IP-aadresse, e-posti aadresse ja arvutinimesid, ei edastata

krüpteeritult ega talletata turvaliselt, saab neid andmeid kopeerida ja pealt kuulata. Ründaja

saab juurdepääsu konfidentsiaalsele teabele või kasutada kogutud isikuandmeid

organisatsiooni struktuuri tundmaõppimiseks ja rünnete sihipärasemaks suunamiseks.

2.6. Valesti konfigureeritud logimine

Kui IT-süsteemi logimisreeglid on valesti konfigureeritud, võib oluline teave jääda logimata.

Kui logitakse liigseid andmeid (nt isikuandmeid juhul, kui selleks vajadus puudub), võib

organisatsioon rikkuda õigusaktide nõudeid. Kui logiandmeid ei saa teiste andmetega seostada,

on logide analüüs raskendatud ning turvaintsidendid võivad jääda avastamata.

2.7. Andmeallikate tõrge

Kui IT-süsteemid vajalikke logiandmeid ei edasta, ei ole võimalik logiandmete põhjal

turvaintsidente avastada. Andmeallikate tõrgete põhjuseks võivad olla riist- ja tarkvara vead,

aga ka puudulikult hallatud IT-süsteemid.

2.8. Liiga väike logitaristu

Komplekssete infosüsteemide puhul suurenevad vastavalt ka logimisele esitatavad nõuded.

Kui logitaristu ei võimalda talletada ja analüüsida tuleb väga palju logiandmeid. Kui logitaristu

seda ei võimalda, ei saa turvasündmusi analüüsida või tehakse seda ebapiisavalt.

3. Meetmed

3.1. Elutsükkel

Kavandamine

115

OPS.1.1.5.M1 Logimise eeskiri

OPS.1.1.5.M3 Turvasündmuste logimine

OPS.1.1.5.M6 Keskse logitaristu rajamine

Evitus

OPS.1.1.5.M13 Kõrgkäideldav logimissüsteem

Käitus

OPS.1.1.5.M4 Kellaaja sünkroniseerimine

OPS.1.1.5.M5 Õiguslike raamtingimuste täitmine

OPS.1.1.5.M8 Logiandmete arhiveerimine

OPS.1.1.5.M9 Logiandmete valmendus analüüsimiseks

OPS.1.1.5.M10 Logiandmete kaitse lubamatu juurdepääsu eest

OPS.1.1.5.M11 Logimisjõudluse suurendamine

OPS.1.1.5.M12 Logiandmete krüpteerimine

OPS.1.1.5.ME1 Logide räsiaheldamine

3.2. Põhimeetmed

OPS.1.1.5.M1 Logimise eeskiri [vastutav spetsialist]

a. Organisatsioonis on kehtestatud infoturvapoliitikaga vastavuses olev logimise eeskiri, mis

sätestab, kuidas logimist turvaliselt plaanida, korraldada ja rakendada.

b. Logimise eeskiri määrab kaitsetarbest lähtuvalt vähemalt:

• mis IT-süsteeme ja rakendusi logitakse;

• millised logiandmed logides sisalduvad;

• mis asukohas logisid hoitakse;

• kui kaua logiandmeid säilitatakse;

• kes ja kuidas logiandmetele juurde pääseb.

c. Kõrvalekalded logimise eeskirjast kooskõlastatakse infoturbejuhiga ja dokumenteeritakse.

OPS.1.1.5.M3 Turvasündmuste logimine

a. Kõik IT-süsteemide ja rakenduste turvasündmused logitakse.

b. Kõiki turvalogisid (ingl security log) säilitatakse vähemalt üks aasta.

c. Logimise eeskirjaga hõlmatud IT-süsteemide ja rakenduste sisemised logimisfunktsioonid

on kasutusele võetud.

d. Kui turvasündmusi ei saa IT-süsteemi või rakenduse siseselt logida, on kasutusele võetud

kompenseerivad meetmed (nt võrgutaseme sündmuste logimine) vastavalt IT-süsteemi või

rakenduse valmistaja soovitustele.

e. Logimise toimimist ja korrektsust kontrollitakse regulaarselt, logimise eeskirjas määratud

sagedusega.

116

OPS.1.1.5.M4 Kellaaja sünkroniseerimine

a. Logitavate IT-süsteemide ja rakenduste kellaajad on alati sünkroniseeritud.

b. Logides on kasutusel ühtne ajavorming, vt NET.1.2 Võrguhaldus.

OPS.1.1.5.M5 Õiguslike raamtingimuste täitmine [infoturbejuht]

a. Logimisel järgitakse andmekaitse ja muude asjakohaste õigusaktide nõudeid (vt CON.2

Andmekaitse).

b. Logiandmeid kustutatakse ettenähtud protseduuri kohaselt.

c. Logiandmete lubamatu kustutamine või muutmine on tõkestatud tehniliste meetmetega.

3.3 Standardmeetmed

OPS.1.1.5.M6 Keskse logitaristu rajamine

a. Kõik ärikriitiliste IT-süsteemide turbe jaoks olulised logiandmed talletatakse keskses

logiserveris või logiserverite taristus.

b. Logide salvestamiseks antakse juurdepääs logiserverite võrgusegmendile ainult määratud

logiserveri klientidele (vt NET.1.1 Võrgu arhitektuur ja lahendus).

c. Lisaks turvasündmustele (vt OPS.1.1.5.M3 Turvasündmuste logimine) logitakse keskses

logitaristus ka võimalikele vigadele viitavaid sündmusi (nt süsteemi liigne koormamine või

tavapäratute operatsioonide käitamine).

d. Logimise laiendamise puhul on logitaristusse võimalik lisada täiendavaid ressursse.

e. Logitaristu rajamisel organisatsioonist väljapoole kasutatakse usaldusväärse ja

spetsialiseerunud teenuseandja teenuseid.

OPS.1.1.5.M8 Logiandmete arhiveerimine

a. Logiandmed arhiveeritakse kooskõlas logimise eeskirjaga (vt OPS.1.1.5.M1 Logimise

eeskiri). Arhiveerimisel arvestatakse asjakohaste õigusaktide nõuetega (vt OPS.1.2.2

Arhiveerimine).

OPS.1.1.5.M9 Logiandmete valmendus analüüsimiseks

a. Kasutatav logimisrakendus võimaldab töödeldud logiandmeid analüüsida.

b. Logiandmete töötlus ja analüüsimine toimub kooskõlas logimise eeskirjaga (vt

OPS.1.1.5.M1 Logimise eeskiri).

c. Logiandmete analüüsil arvestatakse organisatsiooni infoturvapoliitikat ja andmetöötluse

õiguslikke aluseid.

117

d. Logiandmed säilitatakse algsel kujul.

OPS.1.1.5.M10 Logiandmete kaitse lubamatu juurdepääsu eest

a. Kõik logiandmed talletatakse ja neid kaitstakse volitamata juurdepääsu eest, pääsuõigused

logiandmetele dokumenteeritakse.

b. IT-süsteemide ja rakenduste haldurid ei saa logiandmeid muuta ega kustutada.

3.4. Kõrgmeetmed

OPS.1.1.5.M11 Logimisjõudluse suurendamine (C-I-A)

a. Logimisjõudlus on piisav tsentraalsesse asukohta kogutud logiandmestiku võimalikult

reaalajas toimuva analüüsi läbiviimiseks. Selleks salvestatakse logiandmeid võimalikult

lühikeste ajavahemike tagant.

b. Ärikriitiliste IT-süsteemide puhul laiendatakse logitavate sündmuste tüüpe ja hulka.

c. Ärikriitiliste IT-süsteemide logiandmeid säilitatakse vähemalt kolm aastat.

OPS.1.1.5.M12 Logiandmete krüpteerimine (C-I)

a. Logiandmed edastatakse ainult krüpteeritult.

b. Salvestatavad logiandmed signeeritakse digitaalselt.

c. Arhiveeritud ja väljaspool logitaristut hoitavad logiandmed on alati krüpteeritud (vt CON.1

Krüptokontseptsioon ).

OPS.1.1.5.M13 Kõrgkäideldav logimissüsteem [infoturbejuht] (A)

a. Logitaristu rajamisel on arvestatud kõrgkäideldavuse nõuetega.

OPS.1.1.5.ME1 Logide räsiaheldamine (I)

a. Logide tervikluse tagamiseks kasutatakse plokiahela tehnoloogiat (ingl blockchain

technology), mille puhul logikirjete lokaalsed ajatemplid seotakse kronoloogilises järjekorras

krüptograafiliselt kaitstud räsiahelasse (ingl hash chain).

b. Logide räsiahel on usaldatavalt seotud ning välistab logiandmete volitamata muutmise.

c. Logide räsiahela terviklust kontrollib volitatud töötaja regulaarselt.

OPS.1.1.6 Tarkvara testimine ja kasutuselevõtt

1. Kirjeldus

118

1.1. Eesmärk

Esitada tarkvara testimise ja kasutuselevõtu soovituslikud protseduurid ning meetmed

kasutusele võetava tarkvara tehnilistele ja korralduslikele turvanõuetele vastavuse tagamiseks.

1.2. Vastutus

Tarkvara testimise ja kasutuselevõtu meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad: Personaliosakond, andmekaitsespetsialist, vastutav spetsialist, testija.

1.3. Piirangud

Mooduli meetmeid rakendatakse koos meetmetega moodulitest CON.8 Tarkvaraarendus ja

APP.6 Tarkvara üldiselt. Tarkvara testimist pärast muudatuste elluviimist käsitleb moodul

OPS.1.1.3 Paiga- ja muudatusehaldus.

2. Ohud

2.1. Tarkvara testimine tööandmetega

Kuigi tarkvara testimine tööandmetega on mugav, võivad tarkvara testimisse kaasatud isikud

seejuures näha konfidentsiaalseid töö- või isikuandmeid. Kui testimiseks kasutatakse

käidukeskkonna (ingl operational environment) andmeid, mitte andmete koopiaid, võidakse

neid andmeid tahtmatult muuta või kustutada. Kui tööandmeid kasutatakse IT-süsteemide

integratsiooni testimisel, võib testandmete töötlus mõjutada tahtmatult toiminguid tegelike

andmetega teistes süsteemides.

2.2. Puuduv või piisamatu testimisprotseduur

Kui uut tarkvara ei testita või kui seda tehakse piisamatult, võivad tarkvara- või installimisvead

jääda märkamata. Kui muudatusi või uuendeid piisavalt ei testita, võivad tekkida tõsised

käideldavus- ja terviklusprobleemid. Näiteks eelnevalt testimata andmebaasisüsteemi uuendi

laadimine võib põhjustada andmekao.

2.3. Puuduv või piisamatu kinnitusprotseduur

Puuduva või piisamatu kinnitusprotseduuri tulemusena võidakse kasutusele võtta tehniliselt

puudulik tarkvara. Tarkvarast võivad puududa vajalikud funktsioonid või on jäänud lähtekoodi

sisse mittevajalikke komponente. Samuti ei pruugi kinnitamata tarkvara ühilduda muude

kasutusel olevate rakendustega.

2.4. Testide ja testimistulemuste puudulik dokumenteerimine

Kui tarkvara testimise dokumentatsioon on puudulik, ei ole hiljem võimalik tuvastada, millist

funktsionaalsust testiti ja milliseid tegevusi testimisel tehti. Kui tuvastatud tarkvaravigu või

puuduvaid funktsioone dokumenteeriti puudulikult, kanduvad vead üle käidukeskkonna IT-

süsteemidesse.

119

2.5. Kinnituskriteeriumide puudulik dokumenteerimine

Kui kinnituskriteeriumid ei ole üheselt kokku lepitud ja dokumenteeritud, võidakse

paigaldamiseks kinnitada vigu sisaldav tarkvaraversioon. Vead võivad ilmneda alles

käidukeskkonnas ning põhjustada tarkvaraprojekti valmimisega hilinemise ja rahalise kahju.

3. Meetmed

3.1. Elutsükkel

Kavandamine

OPS.1.1.6.M1 Tarkvara testimise kavandamine

OPS.1.1.6.M7 Personali valimine tarkvara testijaks

OPS.1.1.6.M10 Testimise vastuvõtu kord

Evitus

OPS.1.1.6.M6 Tarkvara testija juhendamine

OPS.1.1.6.M13 Testkeskkonna lahutamine käidukeskkonnast

Käitus

OPS.1.1.6.M2 Tarkvara funktsionaaltestimine

OPS.1.1.6.M3 Testimistulemuste analüüsimine

OPS.1.1.6.M4 Tarkvara kinnitamine

OPS.1.1.6.M5 Mittefunktsionaalsete testide tegemine

OPS.1.1.6.M11 Testandmete anonüümimine või pseudonüümimine

OPS.1.1.6.M12 Regressioontestimine

OPS.1.1.6.M15 Paigaldamise ja seadistamise juhendi järgimine

OPS.1.1.6.M16 Testija taustakontroll

Parendamine

OPS.1.1.6.M14 Läbistustestide sooritamine

3.2. Põhimeetmed

OPS.1.1.6.M1 Tarkvara testimise kavandamine

a. Kaitsetarbest, tehnilistest võimalustest ja testimiskeskkonnast lähtudes määratakse enne

tarkvara testimist testimise raamtingimused.

b. Testimisel tuginetakse testimise raamtingimustele ja tarkvara spetsifikatsioonile.

c. Testilood katavad tarkvara kogu funktsionaalsust.

d. Testkeskkond on käidukeskkonnaga võimalikult sarnane.

e. Testimise käigus kontrollitakse tarkvara funktsioneerimist kõigis kavandatud

kasutuskeskkondades (nt eri tüüpi seadmetes) ja toetatavates operatsioonisüsteemides.

120

OPS.1.1.6.M2 Tarkvara funktsionaaltestimine [testija]

a. Kõiki tarkvara funktsioone kontrollitakse tarkvara funktsionaaltestimisega (ingl functional

testing). Funktsionaaltestimise käigus veendutakse tarkvara nõuetekohases toimimises.

b. Funktsioonide testimine ei avalda mõju tarkvara edasisele toimimisele.

OPS.1.1.6.M3 Testimistulemuste analüüsimine [testija]

a. Testimistulemuste analüüsi käigus võrreldakse testimisel saadud tegelikke väärtusi

oodatavate tulemustega.

b. Testimistulemuste analüüsi tulemused dokumenteeritakse.

OPS.1.1.6.M4 Tarkvara kinnitamine [vastutav spetsialist]

a. Kinnitav struktuuriüksus kontrollib, kas tarkvara testiti nõuetekohaselt ja kas testimise

tulemused vastavad eelnevalt kindlaks määratud tingimustele.

b. Pärast edukat tarkvara testimist kinnitatakse tarkvara kasutuselevõtt dokumenteeritud

otsusega.

OPS.1.1.6.M5 Mittefunktsionaalsete testide tegemine [testija]

a. Mittefunktsionaalsete testidega (ingl non-functional testing) testitakse tarkvara jõudlust,

kvaliteedinäitajaid ja turvalisust.

b. Turvakriitiliste funktsioonide olemasolul on turvatestide läbiviimine kohustuslik.

c. Valitud testilood ja testimise tulemused dokumenteeritakse.

OPS.1.1.6.M11 Testandmete anonüümimine või pseudonüümimine

[andmekaitsespetsialist, testija]

a. Tundlike andmete põhjal koostatud tarkvara testandmed on testkeskkonnas andmete

avalikustamise eest piisavalt kaitstud.

b. Kõik füüsiliste isikutega seotud testandmed on vähemalt pseudonüümitud. Kui

testandmetest on võimalik tuletada seost isikuga, otsustatakse nende andmete kasutamine koos

andmekaitsespetsialistiga.

c. Võimaluse korral kõik füüsiliste isikutega seotud testandmed anonüümitakse.

3.3. Standardmeetmed

OPS.1.1.6.M6 Tarkvara testija juhendamine [vastutav spetsialist]

a. IT-talitus annab tarkvara testijale piisava ajavaruga teada eelseisva testimise tüübi ja

testimisobjekte puudutava teabe.

121

b. Testijat teavitatakse tarkvara kasutusviisidest ja võimalikest täiendavatest nõuetest.

OPS.1.1.6.M7 Personali valimine tarkvara testijaks [vastutav spetsialist,

personaliosakond]

a. Tarkvara testija valimisel arvestatakse vajalikku erialast kvalifikatsiooni ning teadmisi

kasutatavatest programmeerimiskeeltest, arenduskeskkondadest ja testimismeetoditest.

b. Lähtekoodi ülevaatust teevad testijad, kes ei osalenud sama tarkvaramooduli

programmeerimisel.

OPS.1.1.6.M10 Testimise vastuvõtu kord

a. On kehtestatud testimise vastuvõtu kord, mis määrab:

• kohustuslikud testid;

• oodatavad tulemused;

• testimise vastuvõtu kriteeriumid.

b. On kehtestatud protseduur testimise vastuvõtust keeldumise korral tegutsemiseks.

OPS.1.1.6.M12 Regressioontestimine [testija]

a. Pärast tarkvara muutmist viiakse tarkvara ühilduvuse kontrollimiseks ja võimalike uute

vigade avastamiseks läbi täiemahuline regressioontestimine (ingl regression test).

b. Valitud testimisjuhtumid ja testimistulemused dokumenteeritakse. Testimisjuhtumite

väljajätmist põhjendatakse kirjalikult.

OPS.1.1.6.M13 Testkeskkonna lahutamine käidukeskkonnast

a. Tarkvara testitakse ainult selleks ettenähtud test- ja käidueelses (ingl prelive) keskkonnas.

b. Test- ja käidueelne keskkond on käidukeskkonnast (ingl operational environment) lahutatud

ja käidukeskkonnast selgelt eristatavad.

c. Testkeskkonna arhitektuur ja tehnilised parameetrid on dokumenteeritud.

OPS.1.1.6.M15 Paigaldamise ja seadistamise juhendi järgimine [testija]

a. Testkeskkonna ettevalmistamisel on järgitud tarkvara paigaldamise ja seadistamise juhendit

(vt APP.6 Tarkvara üldiselt).

3.4 Kõrgmeetmed

OPS.1.1.6.M14 Läbistustestide sooritamine [testija] (C-I-A)

a. On koostatud läbistustestimise (ingl penetration testing) juhend, mis määrab

testimismeetodid ja tulemuskriteeriumid.

b. Läbiviidud läbistustestimised vastavad läbistustestimise juhendile.

122

c. Läbistustestimise käigus tuvastatud nõrkused liigitatakse vastavalt riskiastmele ja

dokumenteeritakse.

d. Tuvastatud olulised nõrkused kõrvaldatakse enne tarkvara kasutuselevõttu.

OPS.1.1.6.M16 Testija taustakontroll [personaliosakond] (C)

a. Suure kaitsetarbega valdkondades viiakse läbi enne testimislepingu sõlmimist

testimisettevõtte ja testimises osalevate testijate täiendav taustakontroll.

b. Salastatud teavet sisaldava IT-süsteemi või tarkvara testijad omavad kehtiva seadusandluse

kohast riigisaladusele juurdepääsu luba.

OPS.1.1.7 Süsteemihaldus

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed süsteemihalduse lahenduse, selle komponentide ja hallatavate IT-süsteemide

turvaliseks konfigureerimiseks, seireks ja andmevahetuseks. Süsteemihaldust kasutatakse

integreeritud ja hallatavate süsteemide keskseks haldamiseks. Süsteemihalduse lahenduse

moodustab keskhalduslahenduse, hallatavate IT-süsteemide ja andmesideliideste ühtne tervik.

1.2. Vastutus

Süsteemihalduse meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad: Lisavastutajad: puuduvad.

1.3. Piirangud

IT-süsteemide halduse üldised meetmed on kirjeldatud moodulis OPS.1.1.2 IT-haldus.

Võrguhalduse meetmeid käsitletakse moodulis NET.1.2 Võrguhaldus. IT-süsteemide turvalist

liidestamist süsteemihaldusega käsitletakse mooduligrupi SYS süsteemikohastes moodulites.

Meetmed süsteemihalduse lahenduse logimiseks ja varundamiseks on esitatud moodulites

OPS.1.1.5 Logimine ja OPS.1.2.2 Arhiveerimine.

Süsteemihalduse lahenduse muudatuste haldust käsitletakse moodulis OPS.1.1.3 Paiga- ja

muudatusehaldus. Meetmed IT-süsteemide kaughalduseks on esitatud moodulis OPS.1.2.5

Kaughooldus.

2. Ohud

2.1. Volitamata juurdepääs süsteemihalduse lahendusele

123

Süsteemihalduse lahendus on ründajate jaoks prioriteetne sihtmärk, sest tänu süsteemihalduse

lahenduse laialdastele juurdepääsuõigustele saab ründaja kontrollida ja manipuleerida kõiki

hallatud IT-süsteeme.

2.2. Vead süsteemihalduse automatiseerimisel

Süsteemihalduse protsesside automatiseerimisel tehtud vead (nt skriptides) võivad muuta

hallatavad süsteemid töövõimetuks või oluliselt kahjustada IT-süsteemide turvalisust. Tänu

automatiseerimisele võib tehtud viga mõjutada väga lühikese aja jooksul suurt hulka IT-

süsteeme, sh kriitilisi IT-süsteeme, mille kõrge käideldavus on äriliselt väga oluline.

2.3. Süsteemihalduse komponentide andmeside häirimine

Suunatud rünne või juhuslik häiring süsteemihalduse komponentide vahelises andmesides võib

rikkuda hallatavate IT-süsteemide terviklust ja piirata IT-teenuste kättesaadavust.

2.4. Puudulik kellade sünkroniseerimine

Kui süsteemihalduse komponentide süsteemiajad ei ole sünkroniseeritud, on turvaintsidentide

haldus raskendatud. Kasutatavad logiandmed ei pruugi olla omavahel korrelatsioonis, mistõttu

jääb potentsiaalne turvaintsident avastamata.

2.5. Süsteemihalduse lahendusega mitteühilduvad IT-süsteemid

Süsteemihalduse lahendusega mitteühilduvaid süsteeme ei saa kavandatud ulatuses keskselt

hallata. Võib tekkida olukord, mil IT-süsteemid ei ole kättesaadavad või neis esinevaid tõrkeid

ei raporteerita kesksesse haldussüsteemi. IT-süsteemid võivad jääda ilma keskselt

rakendatavatest süsteemiuuenditest või haldusliideste konfiguratsioonimuudatustest.

2.6. Juurdepääsu puudumine süsteemihalduse lahendusele

Kui volitatud kasutajal (halduril) ei ole võimalik vajalikul hetkel süsteemihalduse lahendusele

juurde pääseda, võib see kaasa tuua hallatavate IT-süsteemide mittetoimimise.

2.7. Ühenduse katkemine süsteemihalduse lahenduse ja hallatavate

süsteemide vahel

Ühenduse katkemine hallatavate süsteemidega võib kahjustada IT-teenuste kättesaadavust ja

IT-süsteemide terviklust. Kahju suurus sõltub sidekatkestuse ulatusest ja katkestuse ajalisest

kestvusest. Ühenduse puudumisest tingitud tõrkeid on keeruline analüüsida ja ilmnevaid vigu

on raske parandada.

2.8. Süsteemihalduse ja võrguhalduse ebapiisav koordineerimine

Kui võrguhalduses kavandatavaid muudatusi süsteemihalduse eest vastutajatega eelnevalt ei

kooskõlastata, võib võrgus tehtud muudatus tulla ootamatuna ning süsteemihaldust negatiivselt

mõjutada. Vastuolud võrgu ja IT-süsteemide konfiguratsioonis võivad muuta hallatavad IT-

süsteemid süsteemihalduse lahendusele kättesaamatuks, kaasnevad tõrked võivad tekitada

hulga veateateid ja prognoosimatute tagajärgedega sündmusi.

124

3. Meetmed

3.1. Elutsükkel

Kavandamine

OPS.1.1.7.M1 Süsteemihalduse nõuete määratlemine

OPS.1.1.7.M2 Süsteemihalduse lahenduse kavandamine

OPS.1.1.7.M7 Süsteemihalduse turvaeeskiri

OPS.1.1.7.M8 Süsteemihalduse kontseptsioon

OPS.1.1.7.M20 Kõrgkäideldav süsteemihalduse lahendus

OPS.1.1.7.M26 Süsteemihalduse lahendusele juurdepääsu piiramine

Evitus

OPS.1.1.7.M9 Süsteemihalduse rakendusplaan

OPS.1.1.7.M10 Süsteemihalduse turvalise käituse juhised

OPS.1.1.7.M13 Lubatud haldusliideste määramine

OPS.1.1.7.M21 Süsteemihalduse võrgu füüsiline eraldamine

OPS.1.1.7.M22 Süsteemihalduse integreerimine turvateabe halduse süsteemiga

Käitus

OPS.1.1.7.M3 Kellade sünkroniseerimine

OPS.1.1.7.M4 Süsteemihalduse andmeside kaitse

OPS.1.1.7.M5 Süsteemihalduse lahenduse ja hallatavate IT-süsteemide vastastikune

autentimine

OPS.1.1.7.M6 Süsteemihalduse lahenduse juurdepääsu turve

OPS.1.1.7.M11 Süsteemihalduse regulaarne lahknevusanalüüs

OPS.1.1.7.M12 Keskne süsteemihalduse toimingute käivitamine

OPS.1.1.7.M14 Keskne hallatavate IT-süsteemide konfiguratsioonihaldus

OPS.1.1.7.M16 Süsteemihalduse integreerimine avariivalmendusega

OPS.1.1.7.M17 Süsteemihalduse andmevahetuse piiramine

OPS.1.1.7.M18 Süsteemihalduse lahenduse seisundi kontroll

OPS.1.1.7.M19 Süsteemihalduse lahenduse andmeside turve

OPS.1.1.7.M23 Kellade sünkroniseerimine erinevate asukohtade vahel

OPS.1.1.7.M24 Hallatavate süsteemide turvakonfiguratsiooni kontrollimine

OPS.1.1.7.M25 Süsteemihalduse lahenduse kasutajasessioonide logimine

Seire

OPS.1.1.7.M15 Süsteemihalduse lahenduse seire, logimine ja teavitused

3.2. Põhimeetmed

OPS.1.1.7.M1 Süsteemihalduse nõuete määratlemine

a. Organisatsioon on määratlenud süsteemihalduse (ingl systems management) nõuded, sh

turvanõuded, arvestades kõiki süsteemihalduse protsesse.

b. On kehtestatud süsteemihalduse taristu tehnilised nõuded.

125

c. On määratletud hallatavad IT-süsteemid ja dokumenteeritud hallatavate IT-süsteemide

liidestused süsteemihalduse keskse komponendiga.

OPS.1.1.7.M2 Süsteemihalduse lahenduse kavandamine

a. Süsteemihalduse lahenduse kavandamise tulemina on dokumenteeritud:

• süsteemihalduse nõuete detailanalüüs;

• süsteemihalduse lahenduse üldkontseptsioon;

• terviklik projektiplaan süsteemihalduse lahenduse juurutamiseks;

• projekti etappide lõpetamise eeldused ja läbiviidavad kvaliteedikontrollid.

b. Süsteemihalduse lahenduse turbe kavandamisel on arvestatud vähemalt järgmisi aspekte:

• süsteemihalduse lahendusega kaetud võrgusegmendid;

• süsteemihalduse lahenduse turvaline juurdepääs;

• autentimine ja volitamine hallatavates IT-süsteemides;

• võrguühendused ja võrguprotokollid süsteemihalduse lahenduse komponentide vaheliseks

andmesideks;

• süsteemihalduse sündmuste logimine ja logide integreerimine keskse logihalduslahendusega;

• süsteemihalduse lahenduse tootja või arendaja tugiteenuste olemasolu kavandatud kasutusaja

vältel;

• süsteemihalduse lahenduse uuendite paigaldamine, sh hallatavatesse IT-süsteemidesse;

• süsteemihalduse lahenduse poolt esitatav aruandlus ja liidestamine teiste IT-süsteemidega;

• hallatavatele IT-süsteemidele esitatavad turvanõuded.

OPS.1.1.7.M3 Kellade sünkroniseerimine

a. Süsteemihalduse lahenduse kesksete komponentide ning hallatavate IT-süsteemide kellaaeg

on sünkroniseeritud.

b. Kellade sünkroniseerimiseks kasutatakse sobivat võrguaja protokolli.

OPS.1.1.7.M4 Süsteemihalduse andmeside kaitse

a. Süsteemihalduse lahenduse ja hallatavate süsteemide vahelise andmeside loomisel

kasutatakse turvalisi võrguprotokolle (nt SSH, TLS).

b. Kui turvalisi võrguprotokolle ei saa kasutada, toimub süsteemihalduse lahenduse andmeside

tavavõrgust eraldatud spetsiaalses haldusvõrgus (vt NET.1.1 Võrgu arhitektuur ja lahendus).

Haldusvõrgu puudumisel rakendatakse virtuaalset privaatvõrku (ingl virtual private network,

VPN) või sellega võrreldava turvatasemega andmesidelahendust.

OPS.1.1.7.M5 Süsteemihalduse lahenduse ja hallatavate IT-süsteemide vastastikune

autentimine

a. Süsteemihalduse lahenduse ja hallatavate IT-süsteemide vaheline autentimine on

vastastikune (toimub mõlemas suunas).

b. Süsteemihalduse lahenduse komponentide autentimismehhanismid on kooskõlas

organisatsiooni üldise autentimispõhimõtetega.

126

c. Autentimisel kasutatakse turvalisi protokolle.

OPS.1.1.7.M6 Süsteemihalduse lahenduse juurdepääsu turve

a. Kasutajate juurdepääs süsteemihalduse lahendusele on turvatud asjakohaste kasutaja

autentimis- ja volitusmehhanismidega.

b. Kasutaja autentimisel krüpteeritakse edastatavad andmed.

c. Kasutajate autentimise autentimismehhanismi valikuprotsess on dokumenteeritud.

d. Kasutusele võetud krüptomehhanismide ja krüptovõtmete tugevust kontrollitakse

regulaarselt.

e. Süsteemihalduse lahenduse volitusmehhanism võimaldab kasutajatel teha ainult toiminguid,

milleks kasutajad on volitatud.

3.3. Standardmeetmed

OPS.1.1.7.M7 Süsteemihalduse turvaeeskiri

a. Süsteemihalduse turvalisuse tagamiseks on koostatud süsteemihalduse turvaeeskiri.

b. Süsteemihalduse turvaeeskiri sisaldab vähemalt järgmist:

• valdkonnad ja IT-süsteemid, millele keskne süsteemihalduse lahendus rakendub;

• süsteemihalduse automatiseeritud protsessid ja tegevused;

• süsteemihalduse lahenduses sisalduva konfiguratsioonihalduse kirjeldus (nt versioonihaldus);

• pääsu reguleerimise spetsifikatsioonid;

• logimise nõuded;

• nõuded automatiseeritud tegevuste (nt skriptide kasutamise) kvaliteedi kontrollimiseks;

• nõuded andmeside turvalisuse tagamiseks;

• võrgu segmenteerimise reeglid (juhul kui segmenteerimist kasutatakse);

• süsteemihalduse lahenduse võrguspetsifikatsioon (IP-aadressid, DNS jne).

c. Süsteemihalduse turvaeeskiri on volitatud töötajatele kättesaadav. Süsteemihaldusega

tegelevad töötajad järgivad süsteemihalduse turvaeeskirja.

d. Süsteemihalduse turvaeeskirja täitmist kontrollitakse regulaarselt. Kontrolli tulemused

dokumenteeritakse.

OPS.1.1.7.M8 Süsteemihalduse kontseptsioon

a. Organisatsioon on koostanud süsteemihalduse turvanõudeid (vt. OPS.1.1.7.M1

Süsteemihalduse nõuete määratlemine ja OPS.1.1.7.M7 Süsteemihalduse turvaeeskiri)

arvestava süsteemihalduse kontseptsiooni.

b. Süsteemihalduse kontseptsioon sisaldab vähemalt järgmist:

• süsteemihalduse meetodid, tehnikad ja tööriistad;

• süsteemihalduse lahenduse juurdepääsu reguleerimine;

• andmeside turbe meetmed;

127

• süsteemihalduse lahenduse komponentide paigutus võrgusegmentides;

• süsteemihalduse lahenduse komponentide seire ja automaatsed teavitused;

• süsteemihalduse lahenduse logimine;

• automatiseeritud tegevuste (nt konfiguratsioonihaldus) spetsifikatsioonid;

• automatiseeritud tegevuste väljatöötamine ja testimine;

• tegevused ja teavituskanalid tõrgete ja turvaintsidentide puhul tegutsemiseks;

• süsteemihalduse andmete integreerimine organisatsiooni muude protsessidega;

• süsteemihalduse integreerimine organisatsiooniülese avariivalmenduse kontseptsiooniga;

• süsteemihalduse lahenduse rakendamiseks ja käitamiseks vajalikud ressursid, sh vajalik

inimressurss ja nõuded võrgu jõudlusele.

OPS.1.1.7.M9 Süsteemihalduse rakendusplaan

a. Süsteemihalduse lahenduse evitamiseks on koostatud detailne rakendusplaan, mis arvestab

kõiki süsteemihalduse turvaeeskirjas ja kontseptsioonis sisalduvaid nõudeid.

OPS.1.1.7.M10 Süsteemihalduse turvalise käituse juhised

a. On koostatud juhised süsteemihalduse lahenduse turvaliseks käituseks.

b. Süsteemihalduse turvalisuse käituse juhised arvestavad kõiki süsteemihalduse lahendusele

ja baastaristule kehtestatud turvanõudeid.

OPS.1.1.7.M11 Süsteemihalduse regulaarne lahknevusanalüüs

a. Süsteemihalduse lahenduse ja hallatavate IT-süsteemide andmete terviklust kontrollitakse

regulaarselt.

b. Süsteemihalduse lahendusega hallatavate IT-süsteemide konfiguratsioonid vastavad

keskselt kavandatud konfiguratsioonidele.

c. Süsteemihalduse lahenduse skriptide ja muude automaatsed tegevuste tulemite õigsust

kontrollitakse regulaarselt.

OPS.1.1.7.M12 Keskne süsteemihalduse toimingute käivitamine

a. Hallatavates IT-süsteemides saab süsteemihalduse toiminguid käivitada ainult

süsteemihalduse lahendus.

b. Süsteemihalduse lahenduse poolt hallatavates IT- süsteemides on aktiveeritud ainult

vajalikud haldusfunktsioonid.

OPS.1.1.7.M13 Lubatud haldusliideste määramine

a. Haldusjuurdepääs hallatavatele süsteemidele on lubatud ainult määratud süsteemihalduse

lahenduse liideste kaudu.

b. Erandjuhtudel (nt avariiolukorras, mil süsteemihalduse lahendus ei toimi) on võimalik

hallatavaid IT-süsteeme konfigureerida ka otsejuurdepääsu kaudu.

128

c. Otsejuurdepääsu kasutamise juhud ning süsteemihalduse lahenduse väliselt tehtud

konfiguratsioonimuudatused dokumenteeritakse. Tehtud muudatused kajastatakse hiljem

süsteemihalduse lahenduses.

OPS.1.1.7.M14 Keskne hallatavate IT-süsteemide konfiguratsioonihaldus

a. Hallatavate IT-süsteemide konfiguratsioone hallatakse süsteemihalduse lahenduse osana

käsitletavas konfiguratsioonihalduse süsteemis.

b. Keskse konfiguratsioonihalduse süsteemi andmed on alati täielikud ja ajakohased. Andmete

muudatused versioonitakse, tehtud muudatusi on võimalik jälitada. Konfiguratsioonihalduse

andmed on lisatud regulaarselt tehtavasse varukoopiasse.

c. Juurdepääs konfiguratsioonihalduse andmetele on lubatud ainult volitatud tarbijatele.

d. Keskse konfiguratsioonihalduse toimimist ja süsteemis sisalduvate andmete õigsust

kontrollitakse regulaarselt.

e. Kõik liidesed süsteemihalduse lahenduse ning hallatavate IT-süsteemide vahel on

dokumenteeritud keskses konfiguratsioonihalduse süsteemis. Seotud osapooled

kooskõlastavad liideste funktsionaalsed muudatused enne muudatuste rakendamist.

f. Hallatavate süsteemide konfiguratsiooniandmeid on võimalik üle võrgu jagada ning

aktiveerida automaatselt, ilma viivituseta ja IT-teenuseid katkestamata.

OPS.1.1.7.M15 Süsteemihalduse lahenduse seire, logimine ja teavitused

a. Süsteemihalduse lahenduse ja hallatavate süsteemide jõudluse ja käideldavuse näite

seiratakse, arvestades eelnevalt määratud läviväärtusi. Läviväärtuse ületamisest teavitatakse

vastutavaid töötajaid automaatselt.

b. Süsteemihalduse veaanalüüsi läbiviimisel arvestatakse lisaks teiste süsteemide seiretulemusi

ja häireteateid (nt süsteemihalduse tõrge võib olla põhjustatud toimunud võrguhäiringust).

c. Olulised sündmused hallatavates süsteemides ja süsteemihalduse lahenduses edastatakse

automaatselt kesksesse logihaldussüsteemi (vt OPS.1.1.5 Logimine).

d. Olulise sündmuse määratlemisel on kaalutletud järgmisi aspekte:

• hallatavate IT-süsteemide tõrge (nt käideldavuse kadu);

• süsteemihalduse lahenduse tõrge;

• riistvara või IT-taristu komponendi talitlushäire;

• ebaõnnestunud sisselogimise katse süsteemihalduse lahendusse;

• ebaõnnestunud sisselogimise katse hallatavasse IT-süsteemi;

• hallatavate süsteemide kriitiline seisund (nt ülekoormus);

• süsteemihalduse lahenduse kriitiline seisund.

e. Süsteemihalduse lahenduse automaatsed häireteated edastatakse ilma viivituseta.

129

OPS.1.1.7.M16 Süsteemihalduse integreerimine avariivalmendusega

a. Süsteemihalduse lahendus on integreeritud organisatsiooni avariivalmenduse

kontseptsiooniga.

b. Süsteemihalduse lahenduse ja kõikide hallatavate süsteemide konfiguratsiooniandmed on

varundatud, andmete taaste on lisatud taasteplaanidesse.

OPS.1.1.7.M17 Süsteemihalduse andmevahetuse piiramine

a. Andmevahetus süsteemihalduse kasutajate, süsteemihalduse lahenduse komponentide ja

hallatavate IT-süsteemide vahel on piiratud minimaalselt vajaliku määrani.

b. Andmeside piiramiseks kasutatakse sobivaid andmefiltreerimist võimaldavaid tööriistu.

OPS.1.1.7.M18 Süsteemihalduse lahenduse seisundi kontroll

a. Süsteemihalduse lahenduse seisundi vastavust määratud normaalolukorrale kontrollitakse

regulaarselt.

b. Lahknevuse tuvastamisel taastatakse süsteemihalduse lahenduse normaalolukord esimesel

võimalusel.

OPS.1.1.7.M19 Süsteemihalduse lahenduse andmeside turve

a. Süsteemihalduse lahenduse ja hallatavate süsteemide vaheline andmeside on krüpteeritud.

b. Kasutusele võetud krüptomehhanismide ja krüptovõtmete tugevust kontrollitakse

regulaarselt.

3.4. Kõrgmeetmed

OPS.1.1.7.M20 Kõrgkäideldav süsteemihalduse lahendus (A)

a. Süsteemihalduse lahenduse käideldavuse tõstmiseks kasutatakse dubleeritud

süsteemikomponente ja liiasusega (ingl redundancy) kavandatud arvutivõrku.

OPS.1.1.7.M21 Süsteemihalduse võrgu füüsiline eraldamine (C-I)

a. Süsteemihalduse võrk on muudeks tööülesanneteks kasutatavast võrgust füüsiliselt

eraldatud.

OPS.1.1.7.M22 Süsteemihalduse integreerimine turvateabe halduse süsteemiga (C-I-A)

a. Süsteemihalduse lahenduse turvasündmuste logimine on liidestatud turvateabe ja -

sündmuste halduse (ingl security information and event management, SIEM) süsteemiga.

b. Süsteemihalduse lahenduse valikul arvestatakse SIEM süsteemiga liidestamise võimalusi

ning toetatud andmeliideseid ja -formaate.

130

c. Süsteemihalduse lahendus on võimalike turvanõrkuste tuvastamiseks kaetud automaatse

seirega.

OPS.1.1.7.M23 Kellade sünkroniseerimine erinevate asukohtade vahel (C-I-A)

a. Süsteemihalduse lahenduse komponentide ja hallatavate IT-süsteemide kellad on kõigis

organisatsiooni asukohtades sünkroniseeritud kokkulepitud etalonaja allikaga.

OPS.1.1.7.M24 Hallatavate süsteemide turvakonfiguratsiooni kontrollimine (C-I-A)

a. Süsteemihalduse lahenduse ja hallatavate süsteemide turvakonfiguratsioone kontrollitakse

regulaarselt.

b. Määratud normaalolekust kõrvalekallete ja võimalike turvanõrkuste avastamiseks

kasutatakse sobivaid tuvastamissüsteeme.

OPS.1.1.7.M25 Süsteemihalduse lahenduse kasutajasessioonide logimine (C-I)

a. Kogu süsteemihalduse lahenduse andmevahetus (sh kõik süsteemikäsud) logitakse.

b. Kõiki süsteemihalduse lahenduse süsteemikäsud läbivad automaatse kontrolli, anomaaliate

ja tavapärasest erinevast käitumismustrite tuvastamisel saadetakse automaatteavitus.

OPS.1.1.7.M26 Süsteemihalduse lahendusele juurdepääsu piiramine (C-I)

a. Süsteemihalduse lahenduse haldusjuurdepääs on võimalik ainult selleks otstarbeks loodud

hüppeserveri (ingl jump server) kaudu.

OPS.1.2 Abitegevused

OPS.1.2.2 Arhiveerimine

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed dokumentide muutmatul kujul pikaajaliseks, turvaliseks ja ennistatavaks

säilitamiseks. Moodul sisaldab meetmeid arhiivisüsteemi turvaliseks kavandamiseks,

rajamiseks ja käigus hoidmiseks.

1.2. Vastutus

Arhiveerimise meetmete täitmise eest vastutab vastutav spetsialist.

Lisavastutajad: Kasutaja, IT-talitus.

1.3. Piirangud

131

Operatiivse andmevarundusega seotud meetmed on esitatud moodulis CON.3

Andmevarunduse kontseptsioon. Andmevarunduslahenduste turvalist kasutamist käsitlevad

meetmed on esitatud moodulites APP.4.3 Relatsioonbaasisüsteemid, SYS.1.1 Server üldiselt

ja SYS.1.8 Salvestilahendused.

2. Ohud

2.1. Andmekandjate sobimatus pikaajaliseks säilitamiseks

Aja möödudes võivad andmekandjad füüsiliselt ja tehnoloogiliselt vananeda ning seetõttu

kasutuskõlbmatuteks muutuda. Kui andmete migreerimine ei ole asjakohaselt korraldatud,

võivad tekkida aja jooksul probleemid kasutatavate andmevormingute ühilduvusega.

2.2. Arhiivisüsteemi puudulikud liigituskriteeriumid

Ebasobivate liigituskriteeriumide või piisamatu indekseerimise korral võib arhiveeritud

dokumentide otsing või tunnuse järgi koondamine osutuda väga keeruliseks. Dokumentide

otstarve ei ole aja möödudes enam selgelt määratav. Samuti on oht, et dokumentide

liigituskriteeriumid ei ole vastavuses andmete säilitamise eesmärkidega.

2.3. Arhiivipääsude puudulik dokumenteerimine

Piisava logimise puudumisel võivad lubamatud juurdepääsukatsed arhiivile jääda avastamata.

Ründaja võib märkamatult saada juurdepääsu arhiivis talletatavale teabele, andmeid kopeerida

või muuta.

2.4. Paberandmete puudulik ülekandmine elektroonilisse arhiivi

Dokumentide skannimisel võidakse talletatavate andmete välisilmet ja sisu moonutada. Samuti

võivad dokumendid kaotsi minna. Kui dokumentide olulised osad jäävad skannimata, siis

võidakse neid ekslikult tõlgendada.

2.5. Krüpteerimisprotseduuride puudulik uuendamine arhiveerimisel

Kui arhiivi krüpteerimisprotseduure tõendusväärtuse säilimiseks regulaarselt ei kohandata,

kaob krüpteerimiskaitse usaldatavus. Vananenud ning ebaturvalise signatuuri puhul saab

kahelda dokumendi tervikluses, krüpteeritud andmeid ei saa enam kohtus asitõendina kasutada.

Kui krüptoalgoritm ei vasta tänapäeva nõuetele, võib kannatada ka krüpteeritud dokumendi

konfidentsiaalsus. Sertifikaatide muutmisel (nt Eesti ID-kaardi sertifikaadi muudatuse tõttu)

võib andmete hilisem dekrüpteerimine osutuda võimatuks.

2.6. Puudulik järelevalve arhiveerimise üle

Kui arhiveerimisprotsessi toimimist ei kontrollita või seda tehakse liiga üldiselt, ei pruugi

protsess vastata kehtestatud turvanõuetele. Dokumentide tervikluse või konfidentsiaalsuse

rikkumine võib organisatsioonile kaasa tuua õiguslikke ja majanduslikke tagajärgi.

2.7. Õiguslike raamtingimuste rikkumine arhiveerimisel

132

Elektrooniliste dokumentide arhiveerimisel õiguslike raamtingimuste arvestamata jätmine võib

kaasa tuua tsiviil- või karistusõiguslikke sanktsioone (nt maksu-, eelarve- või muudel

õiguslikel põhjustel kehtestatud säilitustähtaegade eiramise korral).

3. Meetmed

3.1. Elutsükkel

Kavandamine

OPS.1.2.2.M1 Elektroonilise arhiveerimise mõjurite väljaselgitamine

OPS.1.2.2.M2 Arhiveerimiskontseptsiooni väljatöötamine

Evitus

OPS.1.2.2.M3 Arhiivisüsteemi ja arhiivimeediumite hoiu sobiv korraldus

OPS.1.2.2.M11 Arhiivisüsteemi haldajate koolitus

OPS.1.2.2.M17 Sobiva arhiivisüsteemi valimine

OPS.1.2.2.M18 Sobivad arhiivimeediumid

OPS.1.2.2.M21 Dokumentide turvaline üleviimine elektroonilisse arhiivi

Käitus

OPS.1.2.2.M4 Andmete ühtne indekseerimine arhiveerimisel

OPS.1.2.2.M5 Arhiveeritavate andmestike asjakohane valmendus

OPS.1.2.2.M6 Arhiivisüsteemi indeksiandmebaasi tervikluse kaitse

OPS.1.2.2.M7 Süsteemi- ja arhiiviandmete regulaarne varundamine

OPS.1.2.2.M8 Arhiivipöörduste logimine

OPS.1.2.2.M9 Arhiveerimiseks sobiva andmevormingu valimine

OPS.1.2.2.M10 Arhiivisüsteemi kasutamise eeskiri

OPS.1.2.2.M13 Arhiveerimisprotsessi regulaarne läbivaatus

OPS.1.2.2.M19 Arhiveerimise ja taaste regulaarne kontroll

OPS.1.2.2.M20 Krüptoprotseduuride dubleerimine

Seire

OPS.1.2.2.M12 Arhiivimeediumi salvestusressursside seire

Parendamine

OPS.1.2.2.M14 Arhiivisüsteemide turu regulaarne jälgimine

OPS.1.2.2.M15 Krüptomehhanismide ajakohastus arhiveerimisel

OPS.1.2.2.M16 Arhiivisüsteemi tehniliste komponentide uuendamine

3.2. Põhimeetmed

OPS.1.2.2.M1 Elektroonilise arhiveerimise mõjurite väljaselgitamine

a. Enne arhiveerimiskontseptsiooni koostamist on välja selgitatud võimalikud tehnilised

mõjurid, sealhulgas:

• IT-keskkond;

• turvamehhanismid;

• oodatavad andmemahud ja reaktsiooniajad;

• failivormingud;

133

• muudatuste mahud ja põlvkondade arv;

• ressursitarve.

b. On välja selgitatud elektroonilise arhiveerimise õiguslikud ja korralduslikud mõjurid,

sealhulgas:

• arhiveerimise õiguslikud alused;

• minimaalsed ja maksimaalsed säilitusajad;

• pääsuõigused;

• pöörduste sagedus;

• liidestused;

• ergonoomika.

c. On koostatud ja kinnitatud elektroonilise arhiveerimise konfidentsiaalsus-, terviklus-,

käideldavus- ja autentsusnõuded.

OPS.1.2.2.M2 Arhiveerimiskontseptsiooni väljatöötamine

a. On välja töötatud arhiveerimiskontseptsioon, mis kirjeldab, milliseid eeskirju on vaja

järgida, kes on vastutajad, milliseid andmeid ja millisel kujul tuleb arhiveerida ning millised

on vajalikud turvameetmed.

b. Arhiveerimiskontseptsiooni dokumenteerimisel on arvestatud moodulis OPS.1.2.2.M1

Elektroonilise arhiveerimise mõjurite väljaselgitamine kirjeldatud mõjureid.

c. Arhiveerimiskontseptsioon on organisatsiooni juhtkonna poolt kinnitatud.

d. Arhiveerimiskontseptsioon vaadatakse regulaarselt üle. Vajadusel kohandatakse

arhiveerimiskontseptsioon muutunud olukorraga.

OPS.1.2.2.M3 Arhiivisüsteemi ja arhiivimeediumite hoiu sobiv korraldus [IT-talitus]

a. Arhiivisüsteemid ja nendega seotud IT-komponendid on paigutatud turvatud ruumidesse.

Olenevalt salvestus- või arhiivisüsteemi tüübist ja suurusest on rakendatud meetmed

moodulitest INF.1 Hoone üldiselt, INF.2 Serveriruum ja andmekeskus ja INF.6 Andmekandjate

arhiiv.

b. Arhiivisüsteemidele ligipääs, sealhulgas ruumidesse sisenemisõigus on ainult volitatud

isikutel.

c. Arhiivimeediumite pikaajaliseks säilitamiseks tagatakse arhiivisüsteemi füüsiline turvalisus

ja sobivad keskkonnatingimused.

OPS.1.2.2.M4 Andmete ühtne indekseerimine arhiveerimisel [IT-talitus, kasutaja]

a. Kõik arhiivis säilitatavad andmed, dokumendid ja andmekirjed indekseeritakse, et need

oleksid hilisemates otsingupäringutes kiiresti leitavad.

b. Kontseptsiooni väljatöötamise käigus määratakse ühtne arhiivi indeksiteabe struktuur.

c. Indeksisüsteemi toimimist kontrollitakse pisteliste otsingutega.

134

OPS.1.2.2.M5 Arhiveeritavate andmestike asjakohane valmendus [IT-talitus]

a. Kogu arhiveerimisperioodi jooksul on tagatud kasutatud andmevormingute ja

salvestuskandjate failisüsteemide tugi ja kasutatavus.

b. Arhiveeritud andmed on tehniliste raskusteta loetavad, reprodutseeritavad ja

tõendusjõulised.

c. Krüpteerimiseks ja tõendusväärtuse säilitamiseks kasutatavad krüptomehhanismid vastavad

hetkel nõutavale tasemele.

d. Salvestatud andmed on vajadusel võimalik teisendada kehtivasse andmevormingusse või

migreerida uutele salvestuskandjatele, IT-riistvarasse või IT-tarkvarasse.

OPS.1.2.2.M6 Arhiivisüsteemi indeksiandmebaasi tervikluse kaitse [IT-talitus]

a. Indeksiandmebaasi terviklust kontrollitakse regulaarselt. Tervikluse kahjustumine

kõrvaldatakse viivitamata, sellekohased andmed dokumenteeritakse.

b. Indeksiandmebaasi varundatakse regulaarselt, varunduse taastatavust kontrollitakse pärast

igat varundust.

c. Suurte arhiivibaaside puhul indeksiandmebaasid dubleeritakse.

OPS.1.2.2.M7 Süsteemi- ja arhiiviandmete regulaarne varundamine [IT-talitus]

a. Kõiki arhiiviandmeid, indeksiandmebaase ja asjakohaseid süsteemiandmeid varundatakse

varunduskontseptsioonis määratud perioodilisusega (vt CON.3 Andmevarunduse

kontseptsioon).

OPS.1.2.2.M8 Arhiivipöörduste logimine [IT-talitus]

a. Kõikide arhiivipöörduste puhul logitakse pöördumise kuupäev, kellaaeg, kasutaja,

arhiivipöörduse põhjus, klientsüsteem, tehtud toimingud ning vigade esinemisel ka veateated.

b. Arhiivipöördumiste logiandmeid analüüsitakse võimalike kõrvalekallete tuvastamiseks

regulaarselt. Kõrvalekalde tuvastamisel algatatakse intsidendikäsitluse protsess.

c. Kriitilisi sündmusi, nagu andmete kustutamine või andmekandja arhiivisüsteemist

eemaldamine, kontrollitakse kohe pärast vastava logikirje tekkimist.

d. Arhiivipöördumiste logiandmeid säilitatakse arhiveerimiskontseptsioonis määratud

säilitustähtaja jooksul.

OPS.1.2.2.M9 Arhiveerimiseks sobiva andmevormingu valimine [IT-talitus]

a. Logiandmete arhiveerimisel kasutatakse standardseid, elektrooniliselt töödeldavaid

andmevorminguid, mille süntaks ja semantika on laiemalt avaldatud.

b. Valitud lahendus tagab andmete võimalikult pikaajalise säilitamise.

135

c. Valitud andmevormingud võimaldavad reprodutseerida arhiveeritud materjali tõetruul

algkujul.

d. Dokumentide tõendusväärtuse säilitamise ja muutmiskindla arhiveerimise tagamiseks

sobilik vorming on PDF (versioon A-2a või /A-2u), mis võimaldab dokumendi ühesuguse

esituse erineva riist- ja tarkvaralise konfiguratsiooniga arvutites.

e. Pildimaterjalide tõendusväärtuse säilitamise ja muutmiskindla arhiveerimise tagamiseks

kasutatakse kadudeta reprodutseerimist võimaldavaid vorminguid ja pilditihendusprotseduure,

selleks sobilikud vormingud on TIFF (versioon 6) või PNG (versioon 1.2).

f. Audio- ja videofailide arhiivivorminguteks on sobilikud WAV, FLAC (versioon 1.21), AVI

(pakkimata), MOV (pakkimata) ja MPEG-4 (koodeks H.264) vormingud.

g. Digiallkirjastatud dokumendi konteinerite arhiveerimiseks kasutatakse andmevormingut

ASICE.

3.3. Standardmeetmed

OPS.1.2.2.M10 Arhiivisüsteemi kasutamise eeskiri [IT-talitus]

a. Organisatsioonis on kehtestatud arhiivisüsteemi kasutamise eeskiri, mis hõlmab järgnevat:

• käituse ja halduse rollide lahusus ja vastutused;

• kokkulepitud teenusetase;

• pääsuõiguste haldus;

• andmete ja andmekandjate käitluse protseduurid;

• arhiivisüsteemi ja keskkonna järelevalve;

• andmete varundamise protseduurid;

• arhiivitoimingute logimine;

• arhiivisüsteemi muudatuste haldus.

b. Arhiivisüsteemi haldajad järgivad arhiivisüsteemi kasutamise eeskirja.

OPS.1.2.2.M11 Arhiivisüsteemi haldajate koolitus [IT-talitus]

a. Arhiivisüsteemi haldajaid koolitatakse vähemalt järgmistel teemadel:

• kasutuselevõetud arhiivisüsteemi ja selle operatsioonisüsteemi arhitektuur ja

turvamehhanismid;

• arhiivisüsteemi installimine ja hooldus;

• andmete ja andmekandjate käitlemise kord;

• haldustoimingute dokumenteerimine;

• konfigureerimis-, uuendus-, ja kõrvaldusprotseduurid;

• eeskirjast lahknevuste käsitlemine.

b. Koolitus ja sellest osavõtt dokumenteeritakse.

c. Arhiivisüsteemi muudatuste korral korraldatakse haldajatele täiendkoolitusi.

136

OPS.1.2.2.M12 Arhiivimeediumi salvestusressursside seire [IT-talitus]

a. Arhiivimeediumi vaba salvestusmahtu kontrollitakse vahetult enne salvestust.

b. Kui vaba salvestusmaht väheneb alla määratud piirmäära, teavitatakse sellest süsteemi

haldajat.

c. Salvestusmahu suurendamiseks on olemas varuressurss ja koostatud protseduur selle

kasutusele võtmiseks.

OPS.1.2.2.M13 Arhiveerimisprotsessi regulaarne läbivaatus

a. Arhiveerimisprotsessi õigsust ja nõuetekohasust kontrollitakse regulaarselt.

b. Läbivaatuse läbiviimiseks koostatakse küsimuste kontroll-loetelu, lähtudes

arhiveerimiskontseptsioonist (vt OPS.1.2.2.M2 Arhiveerimiskontseptsiooni väljatöötamine) ja

arhiivisüsteemi kasutamise eeskirjast (vt OPS.1.2.2.M10 Arhiivisüsteemi kasutamise eeskiri).

c. Läbivaatuse käigus tuvastatud kõrvalekallete ja nõrkustega tegeletakse esimesel võimalusel.

OPS.1.2.2.M14 Arhiivisüsteemide turu regulaarne jälgimine [IT-talitus]

a. Arhiivisüsteemide turu ja arengute jälgimisel pööratakse tähelepanu järgmistele aspektidele:

• standardite muutumine või lisandumine;

• muudatused kasutusel oleva süsteemi valmistaja toodangus;

• teated avastatud nõrkustest, näiteks krüptoalgoritmides;

• teated krüptoalgoritmide kaitsevõime vähenemise ohust;

• seniste andmevormingute muutumine ja uute ilmumine.

b. On määratud vähemalt üks töötaja, kes jälgib regulaarselt ülalnimetatud teavet, hindab selle

olulisust ja vajadusel soovitab parendustegevusi.

OPS.1.2.2.M15 Krüptomehhanismide ajakohastus arhiveerimisel [IT-talitus]

a. Regulaarselt kontrollitakse algoritmide, võtmete, krüptotoodete ja protseduuride ajakohasust

ja vastavust kehtivatele standarditele (vt CON.1.M1 Krüptovahendi valimise kord).

b. On kehtestatud turvaprotseduur krüptomehhanismi nõrgenemise puhuks (nt krüpteeritakse

nõrgenenud krüptomehhanismiga arhiiviandmed uuesti, kasutades turvalisemat

krüptoalgoritmi).

OPS.1.2.2.M16 Arhiivisüsteemi tehniliste komponentide uuendamine [IT-talitus]

a. Arhiivisüsteemi tehnilist ajakohasust kontrollitakse ( vt OPS.1.2.2.M14 Arhiivisüsteemide

turu regulaarne jälgimine) regulaarselt.

b. Uute komponentide sobivust testitakse enne nende kasutuselevõttu.

c. On kehtestatud migratsiooniprotseduur üleminekuks uutele vormingutele või vahenditele.

137

d. Kõik arhiivisüsteemi komponentide muudatused, konverteerimised, testimised ja

asenduskavad dokumenteeritakse.

OPS.1.2.2.M17 Sobiva arhiivisüsteemi valimine [IT-talitus]

a. Arhiivisüsteemi valimisel lähtutakse koostatud arhiveerimiskontseptsioonist (vt

OPS.1.2.2.M2 Arhiveerimiskontseptsiooni väljatöötamine).

b. Arhiveerimisüsteemi valimisel arvestatakse järgmist:

• dokumentide ja andmete versioonihalduse tugi;

• funktsioonide ja protsesside vastavus standardile ISO 14721;

• pääsu reguleerimise mehhanism mitmeastmelise õiguste süsteemiga;

• logimine, vt OPS.1.2.2.M8 Arhiivipöörduste logimine;

• järelevalvele pääsu korraldus;

• süsteemi laiendatavus;

• pöördusaeg;

• piisav salvestusmaht;

• käsitsi tehtavate operatsioonide võimalikkus;

• vaba salvestusmahu automaatkontroll ja mahupiiri alarm;

• ühilduvus muude komponentide ja süsteemidega;

• krüptomehhanismid või nende tugi.

OPS.1.2.2.M18 Sobivad arhiivimeediumid [IT-talitus]

a. Arhiivimeediumite valimisel arvestatakse arhiivimeediumi vastavust nõutavale

andmemahule, maksimaalsele lubatud pöördusajale ja samaaegsete pöördumiste arvule.

b. Arhiivimeediumi eeldatav tööiga võimaldab arhiveerimist nõutud säilitusaja jooksul.

OPS.1.2.2.M19 Arhiveerimise ja taaste regulaarne kontroll [IT-talitus]

a. Arhiveerimisprotsessi toimimist kontrollitakse logiandmete või arhiivimeediumite

regulaarsete ülevaatustega.

b. Arhiivimeediumi loetavust ja terviklust testitakse vähemalt kord aastas.

c. Arhiivisüsteemi riistvarakomponentide (eriti arhiivi mehaaniliste osade) töövõimet

kontrollitakse regulaarselt.

d. Vigade ja eelmääratud sündmuste (nt andmete kopeerimine) ilmnemisel teavitatakse

määratud töötajaid toimunud sündmusest automaatselt.

e. Avastatud vigade ja ilmnenud tõrgete käsitluseks on kehtestatud protseduur.

3.4 Kõrgmeetmed

OPS.1.2.2.M20 Krüptoprotseduuride dubleerimine [IT-talitus] (C-I)

a. Arhiiviandmete pikaajaliseks säilitamiseks kasutatakse üksnes kehtivate standardite ja

normide kohaseid krüptoprotseduure.

138

b. Arhiveeritavaid andmeid töödeldakse paralleelselt vähemalt kahe erineva

krüptoprotseduuriga.

OPS.1.2.2.M21 Dokumentide turvaline üleviimine elektroonilisse arhiivi (C-I)

a. Paberdokumentide skaneerimiseks on määratud rollid ja kohustused.

b. Skaneerimise väljasttellimisel on teenuselepingus määratud kohustuslikud turvanõuded.

c. On koostatud protseduur dokumentide skaneerimiseks ettevalmistamiseks.

d. Paberdokumentide elektrooniline kuju vastab sisult ja esitusvormilt originaalile.

OPS.1.2.4 Kaugtöö

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed kaugtöö raames talletatava, töödeldava ja edastatava teabe kaitseks.

1.2. Vastutus

Kaugtöö meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad: IT-talitus, töötaja, personaliosakond, ülemus.

1.3. Piirangud

Kaugtöökoha taristu turbe meetmed esitatakse moodulis INF.8 Kodutöökoht. Täiendavad

meetmed esitatakse moodulis INF.9 Mobiiltöökoht.

2. Ohud

2.1. Kaugtöökoha eeskirja puudumine või puudulikkus

Kaugtöökoha eeskirja puudumisel ei pruugi töötaja oma kohustusi täpselt teada. Kui töötaja ei

oska kaugtöökohal infoturbe intsidenti ära tunda või ei tea, keda sellest teavitada, võib

konfidentsiaalne teave sattuda võõrastesse kätesse.

2.2. Teenistusliku kaugtööarvuti lubamatu privaatkasutus

Tööandja otsese kontrolli alt väljas olevasse arvutisse võidakse paigaldada tundmatu päritoluga

tarkvara. Kasutaja hoolimatuse tõttu võib arvutisse sattuda kahjurvara. Arvutile võivad ligi

pääseda lisaks kaugtöötajale ka tema pereliikmed ja külalised.

2.3. Viivitused kaugtöötaja kättesaamatuse tõttu

139

Kui kaugtöötajaga ei ole kokku lepitud kindlaid aegu, millal töötaja peab olema kättesaadav,

võib ta osutuda vajalikul hetkel kättesaamatuks. See võib tuua kaasa viivitusi tööprotsessis.

Sõltuvalt organisatsioonist võib see oluliselt mõjutada tervet äriprotsessi.

2.4. Teabe mittejõudmine töötajani

Kaugtöötajal on vähem võimalusi osaleda tööalases teabevahetuses. Seetõttu kahaneb seotus

organisatsiooni äriprotsessidega ja väheneb kaugtöötaja jõudlus. Kui ei ole tagatud teabe

liikumine, ei jõua kaugtöötajale kohale ka olulised infoturbe teated.

2.7. Turvameetmete eiramine

Kaugtöökoha järelevalvevõimaluse piiratuse tõttu võib juhtuda, et töötaja ei rakenda soovitatud

või kohustuslikke turvameetmeid või ei tee seda täies mahus. Turvameetmete

mitterakendamisest kaugtöökohas võib tekkida kahju, mida tavaolukorras oleks võimalik

vältida. Konfidentsiaalne teave võib sattuda volitamata isikute kätte.

3. Meetmed

3.1. Elutsükkel

Kavandamine

OPS.1.2.4.M1 Kaugtöö eeskiri

OPS.1.2.4.M6 Kaugtöö turbekontseptsioon

OPS.1.2.4.M7 Sidevahendite kasutamise kord

OPS.1.2.4.M9 Kaugtöökoha kasutajatugi ja hooldus

OPS.1.2.4.M10 Kaugtöökoha nõuete analüüs

Evitus

OPS.1.2.4.M2 Kaugtööarvuti turve

Käitus

OPS.1.2.4.M5 Kaugtöötajate teadlikkuse tõstmine ja koolitus

OPS.1.2.4.M8 Regulaarne teabevahetus organisatsiooniga

3.2. Põhimeetmed

OPS.1.2.4.M1 Kaugtöö eeskiri [ülemus, personaliosakond]

a. Töötajatele järgimiseks on koostatud ja tehtud töötajatele kättesaadavaks kaugtöö korraldust

reguleeriv eeskiri.

b. Kaugtöö eeskirjas on arvestatud järgmisi turvaaspekte:

• konfidentsiaalse teabe käitlus;

• andmekaitsenõuded;

• andmevarundus ja andmete sünkroniseerimine;

• andmeside kasutamine;

• kaugpääsuõigused;

• dokumentide ja andmekandjate transport ja säilitamine;

140

• turvasündmustest teatamise kord.

c. On koostatud töökaitse õiguslikke aspekte arvestavad, tööandja ja töötaja vahelised kaugtöö

kokkulepped, milles on määratletud vähemalt järgmine:

• kaugtöö vabatahtlikkus;

• töövahendid;

• tööaeg ja kättesaadavus;

• reageerimisajad, näiteks e-kirjade lugemise sagedus;

• ületunnitöö, lisatasud ja täiendavate kulude tasumine;

• materiaalne vastutus;

• kaugtöö lõpetamine.

d. Kaugtöö eeskirja vaadatakse üle ja seda ajakohastatakse regulaarselt.

OPS.1.2.4.M2 Kaugtööarvuti turve

a. Kaugtööarvutit kasutatakse ainult määratud otstarbeks (näiteks ei tohi kasutaja installida

kaugtööarvutisse heakskiitmata tarkvara).

b. Kaugtööarvutit kasutab ainult selleks volitatud isik. Volitatud isikuteks on kaugtöötaja ja

kaugtööarvutite haldur.

c. Kaugtööarvuti turvameetmed sõltuvad töödeldavate andmete kaitsetarbest. Rakendatud on

vähemalt järgmised meetmed:

• turvalised identifitseerimis- ja autentimismehhanismid, mis reageerivad vigasele sisestusele

juurdepääsu ajutise sulgemisega;

• automaatne ekraanilukk, mida saab avada alles pärast uut identifitseerimist ja autentimist;

• turvakriitiliste parameetrite miinimumnõuded (nt paroolinõuded) tagavad piisava turvalisuse;

• arvutis tehakse regulaarset andmevarundust;

• logimise sisu ja maht on rikete ja turvasündmuste avastamiseks piisav;

• arvuti kõvaketas on krüpteeritud;

• arvutis on vahendid failide krüpteerimiseks;

• arvuti süsteemikonfiguratsioon on seatud maksimaalselt turvaliseks.

OPS.1.2.4.M5 Kaugtöötajate teadlikkuse tõstmine ja koolitus

a. Kaugtöötajad on läbinud kaugtöö turvameetmete alase koolituse.

b. Kaugtöötaja koolitusel on käsitletud järgmisi aspekte:

• kaugtöö ohud;

• tööalaste dokumentide turvaline hoidmine;

• kaugtöökoha füüsiline turve;

• võrguturve;

• andmekandjate turvaline kasutamine;

• lihtsamad hooldetööd ja probleemilahendused.

c. Kaugtöötajate koolitamisel järgitakse meetmeid moodulist ORP.3 Infoturbe teadlikkuse

tõstmine ja koolitus.

d. Kaugtöötaja koolitust korratakse regulaarselt.

141

3.3. Standardmeetmed

OPS.1.2.4.M6 Kaugtöö turbekontseptsioon

a. On koostatud kaugtöö turbekontseptsioon, mis esitab kaugtöökoha kaitsetarbe,

turvaeesmärgid ja turvanõuded.

b. Kaugtöö turbekontseptsioonis dokumenteeritakse vähemalt järgmine:

• andmete, dokumentide ja andmekandjate käitluse kord;

• organisatsiooni ja kaugtöökoha vahelise side korraldamine;

• autentimismehhanismid;

• võrguühenduste kasutamise kord;

• andmevahetuse kord;

• andmevarunduse kord.

c. Kaugtöö turbekonteptsioon on kooskõlas organisatsiooni üldise turbekontseptsiooniga.

d. Kontseptsiooni ajakohastatakse regulaarselt.

OPS.1.2.4.M7 Sidevahendite kasutamise kord [IT-talitus, töötaja]

a. Sidevahendite kasutamise raamtingimused on määratud kaugtöö turbekontseptsioonis.

b. Sidevahendite kasutamise korras on määratud vähemalt:

• teabevahetuseks kasutatavad sidevõimalused (sh sõnumiside, telefon, e-post);

• andmete edastamiseks kasutatavad teenused;

• videokonverentsiteenuste kasutamine;

• teabevahetuse turvameetmed;

• digiallkirjastamise kasutamine;

• juhised avalike Interneti-teenuste kasutamisel tööks ja isiklikuks tarbeks.

OPS.1.2.4.M8 Regulaarne teabevahetus organisatsiooniga [ülemus, töötaja]

a. On korraldatud kaugtöötaja regulaarne teabevahetus organisatsiooni ja kaastöötajatega.

b. Tööalased teadaanded ja teave infoturbe muudatuste kohta jõuab kaugtöötajani operatiivselt

ja viivitusteta.

c. Kõik kaastöötajad teavad, kuidas kaugtöötajaga ühendust võtta.

OPS.1.2.4.M9 Kaugtöökoha kasutajatugi ja hooldus [IT-talitus, töötaja]

a. Kaugtöökoha arvuti tark- ja riistvara probleemide lahendamiseks on loodud kasutajatoe

funktsioon ja määratud kontaktisikud.

b. Kasutajatoel on teada kaugtöökoha arvuti riist-ja tarkvara konfiguratsioon.

c. Kaughooldust tehakse eelnevalt kokkulepitud ajal. Kaugligipääs arvutile võimaldatakse

ainult kaughoolduse ajaks ning selleks volitatud töötajale.

142

d. Kokku on lepitud, kuidas toimub IT-vahendite transport hoolduseks.

OPS.1.2.4.M10 Kaugtöökoha nõuete analüüs [IT-talitus]

a. Enne kaugtöökohtade loomist on läbi viidud nõuete analüüs, mis sisaldab vähemalt järgmist:

• konfidentsiaalsusnõuded kaugtöökohas käideldavale teabele;

• organisatsioonile juurdepääsu saamise eesmärgid;

• andmeliikluse maht kaugtöökoha ja organisatsiooni vahel;

• sisevõrguteenuste kasutamise vajadused;

• interneti kasutamise vajadused;

• nõuded dokumentide ja andmekandjate transportimisele:

• kaugtöökoha riist- ja tarkvarakomponentide vajadus ja valik (kooskõlastatakse IT-haldusega).

b. Konkreetse kaugtöökoha nõuded dokumenteeritakse ja kooskõlastatakse IT-juhiga.

3.4. Kõrgmeetmed

Moodulis kõrgmeetmed puuduvad.

OPS.1.2.5 Kaughooldus

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed aktiivse ja passiivse kaughoolduse käigus salvestatava, töödeldava ja

edastatava teabe ning hooldusliideste kaitseks.

1.2. Vastutus

Kaughoolduse meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad: Kasutaja.

1.3. Piirangud

Moodulis ei käsitleta kõiki kaughoolduse tegevusi, seega tuleb lisaks arvestada meetmeid

moodulitest OPS.1.1.3 Paiga- ja muudatusehaldus, ORP.3 Infoturbe teadlikkuse tõstmine ja

koolitus, CON.1 Krüptokontseptsioon ja CON.3 Andmevarunduse kontseptsioon.

Samuti tuleb rakendada meetmeid moodulitest OPS.2 Käidutööd teenusena ja OPS.3

Teenuseandja käidutööd. Pilvteenuste puhul tuleb lisaks arvestada moodulit OPS.2.2

Pilvteenuste kasutamine.

IT-süsteemide keskhaldust käsitletakse moodulites OPS.1.1.2 IT-süsteemide haldus ja

OPS.1.1.7 Süsteemihaldus. Käidutehnoloogia süsteemide kaughooldust käsitletakse moodulis

IND.3.2 Käidutehnoloogia komponentide kaughooldus.

2. Ohud

143

2.1. Kaughoolduse eeskirjade puudulik järgimine

Kui asjaosalised ei tunne või ei järgi kaughoolduse eeskirju, võidakse hooldustööde käigus teha

vigu. Kuna kaughooldust tegevatel töötajatel on ka tavapärasest suuremad õigused, võib

tähelepanematusest või mugavusest tingitud eksimus kaasa tuua olulise kahju. Turvameetmete

eiramine kaughoolduse käigus on raskesti tuvastatav ning sellest tingitud turvanõrkuste

ärakasutamisel tehtud ründeid on raske avastada ja tõrjuda.

2.2. Kaughoolduse kavandamise ja reguleerimise puudumine või

puudulikkus

Kui kaughoolduse kavandamisel tehakse vigu ega arvestata võimalike turvanõrkustega,

võidakse mõjutada mitte ainult ühe IT-süsteemi, vaid organisatsiooni kõikide IT-süsteemide

turvalisust. Kaughooldusega seotud turvanõrkused võivad esineda nõrkades sideprotokollides,

paigahalduse protsessides, krüpto- ja autentimismehhanismides.

2.3. Väär autentimine kaughoolduses

Ebaturvaliste autentimismehhanismide kasutamise tagajärjel võib kaughooldusarvuti või -

tööriistade haldusõiguse saada volitamata isik. See võib kaasa tuua IT-süsteemide ja rakenduste

lubamatuid konfiguratsioonimuutusi, andmete kustutamise või konfidentsiaalse teabe lekke.

Risk on veelgi suurem, kui kaughooldust teostab väline partner.

2.4. Tegemata või väär kaughooldus

Kui pidevat hooldust vajavatele IT-süsteemidele jäetakse kaughooldus tegemata, võib see

halvimal juhul muuta IT-süsteemi kasutuskõlbmatuks.

2.5. Ebaturvaliste protokollide kasutamine kaughoolduses

Kui kaughoolduse andmeside on krüpteerimata või kui kahe lõpp-punkti või võrgu vahel

tunneli loomiseks kasutatakse ebaturvalisi protokolle (nt IPSec, SSH või SSL/TLS) aegunud

versioone, ei ole andmeside turvalisus piisavalt tagatud.

2.6. Kaughooldusfunktsioonide kontrollimatu kasutamine

Kui kaughooldustöid tegevate isikute tööülesanded ei ole lepinguga reguleeritud või

dokumenteeritud, võivad kaughoolduse tegijad oma volitusi ületada ja IT-süsteemile kahju

tekitada.

2.7. Võrgustatud kaughooldusteenuse lubamatu kasutamine

Kui IT-süsteemide kaughoolduseks on võimaldatud juurdepääs veebibrauserist läbi kolmanda

osapoole veebiserveris asuva, võrgustatud teenuse (ingl online service), siis puudub

süsteemiülematel kontroll selle üle, kes, millal ja mis otstarbel seda ühendust kasutab. IT-

süsteemi ja serveri vaheline andmesidekanal on pidevalt avatud. Krüpteerimata andmeside

puhul on võimalik saadetavaid andmeid manipuleerida.

144

2.8. Integreeritud kaughoolduskomponentide lubamatu kasutamine

Kui IT-süsteemide käitamisel ei arvestata IT-süsteemi integreeritud kaughoolduse

funktsionaalsust ega piirata selle kasutamist, võib süsteemidele ja andmetele tekkida

volitamata juurdepääs. IT-süsteemidesse integreeritud kaughoolduskomponentide

funktsionaalsus ei ole tihti piisavalt dokumenteeritud, need võivad sisaldada turvanõrkusi ja

võimaldada möödapääsu võrgu ja operatsioonisüsteemi tasandil rakendatud

turbemehhanismidest.

3. Meetmed

3.1. Elutsükkel

Kavandamine

OPS.1.2.5.M1 Kaughoolduse rakendamise kava

OPS.1.2.5.M6 Kaughoolduse eeskiri

OPS.1.2.5.M7 Kaughoolduse dokumentatsioon

OPS.1.2.5.M21 Avariiplaan kaughoolduse tõrke puhuks

OPS.1.2.5.M22 Kaughoolduse sidevõrkude liiasus

Evitus

OPS.1.2.5.M3 Sideühenduste turve kaughooldusel

OPS.1.2.5.M5 Võrgustatud hooldusteenuste turvaline rakendamine

OPS.1.2.5.M8 Turvalised kaughoolduse protokollid

OPS.1.2.5.M9 Sobivate kaughooldustööriistade valimine

OPS.1.2.5.M10 Kaughooldustööriistade turvaline kasutamine

OPS.1.2.5.M17 Kaughoolduse autentimismehhanismid

OPS.1.2.5.M19 Kaughooldus välisteenusena

Käitus

OPS.1.2.5.M2 Turvaline ühenduse loomine kaughooldusel

OPS.1.2.5.M20 Kaughoolduse turvaline läbiviimine

OPS.1.2.5.M24 Integreeritud kaughooldusfunktsioonide turve

OPS.1.2.5.M25 Väljaspoolt haldusvõrku tehtava kaughoolduse piiramine

OPS.1.2.5.M14 Kaughoolduskliendi turvaline seadistus

3.2 Põhimeetmed

OPS.1.2.5.M1 Kaughoolduse rakendamise kava

a. Kaughoolduse kavandamisel on arvestatud organisatsiooni vajadusi ja kaughoolduse

tehnilisi ning korralduslikke aspekte.

b. Kaughoolduse rakendamise kavas on määratud:

• kaitsetarve ja turvaeesmärgid;

• vastutused kaughoolduse teostamisel;

• õiguslikud ja korralduslikud kitsendused;

• kaughoolduse kanalid;

• teenuseandja kasutamine;

145

• võrgueraldusnõuded.

c. Suurema kaitsetarbe korral on kaughooldus võimaldatud ainult läbi spetsiaalse haldusvõrgu.

OPS.1.2.5.M2 Turvaline ühenduse loomine kaughooldusel [kasutaja]

a. Kaughoolduse ühenduse saab algatada ainult IT-süsteemi kasutaja ehk hooldatav pool.

b. Kaughoolduse alustamisel autenditakse väline hooldaja turvaliselt. Kui ühendus

kaughoolduskohaga mingil põhjusel katkeb, on uus juurdepääs võimalik ainult ennast uuesti

autentides.

OPS.1.2.5.M3 Sideühenduste turve kaughooldusel

a. Pääsuõigused ja sideühenduste loomise võimalused on piiratud minimaalsuse põhimõtte

alusel.

b. Andmevahetus kaughooldusserveri ja -kliendi vahel krüpteeritakse.

c. Pärast kaugpääsu kasutamise lõpetamist suletakse (desaktiveeritakse) kõik kasutatud

sideühendused.

d. Kaughooldustööriistad paigaldatakse ainult tööjaamadesse, mida kasutatakse

kaughoolduseks.

e. Andmeedastuse jälitatavuse tagamiseks andmevahetus logitakse.

3.3. Standardmeetmed

OPS.1.2.5.M5 Võrgustatud hooldusteenuste turvaline rakendamine [kasutaja]

a. Kaughooldus võrgustatud teenuse (ingl online service) kaudu on üldjuhul keelatud ja

blokeeritud.

b. Võrgustatud hooldusteenuseid rakendatakse ainult põhjendatud erandina, võimalikud

kasutusjuhud on reguleeritud, kasutamine registreeritakse ning kinnitatakse.

c. Klientarvutite automaatne ühendumine võrgustatud teenustega on keelatud, ühenduse

takistamiseks rakendatakse tehnilisi meetmeid.

OPS.1.2.5.M6 Kaughoolduse eeskiri

a. Kaughoolduse nõuded on dokumenteeritud infoturvapoliitikas. Eraldi kaughoolduse eeskirja

olemasolul on sellele infoturvapoliitikas viidatud.

b. Kaughoolduse eeskirjaga on tutvunud kõik osapooled, kes osalevad kaughoolduse kava

väljatöötamisel, elluviimisel, kasutamisel ja kasutamise lõpetamisel.

c. Kaughoolduse eeskirja järgimist kontrollitakse regulaarselt.

146

OPS.1.2.5.M7 Kaughoolduse dokumentatsioon

a. Kaughoolduse dokumentatsioon on piisav ja ajakohane.

b. Kaughoolduse dokumentatsioon sisaldab vähemalt järgmist:

• hooldatavate IT-süsteemide konfiguratsioonid;

• süsteemide kasutajad ja nende õiguste profiilid;

• lisandunud riist-ja tarkvarakomponendid;

• andmevarunduse ja andmekandjate käituse protseduurid;

• avastatud ja kõrvaldatud rikete kirjeldused.

c. Dokumentatsiooni hoitakse turvaliselt. Volitatud isikutel on vajadusel võimalik

dokumentatsioonile kiiresti juurde pääseda.

OPS.1.2.5.M8 Turvalised kaughoolduse protokollid

a. Kaughoolduseks kasutatakse ajakohaseid ja turvaliseks loetud sideprotokolle.

b. Andmevahetus on krüpteeritud. Tunneldamiseks kasutatakse kaitsetarbele vastavaid

krüpteerimisprotseduure (vähemalt SSH v2, TLS 1.2, SNMP v3, IPSec IKEv2-ga).

c. Kaughoolduseks kasutatakse sideprotokolle, mis võimaldavad tuvastada edastatavates

andmetes juhuslikke häireid ning neid automaatselt kõrvaldada. Saaja kinnitab andmete

vastuvõttu.

d. Kasutatavate protokollide ajakohasuse tagamiseks jälgitakse regulaarselt teavet avastatud

nõrkuste kohta.

OPS.1.2.5.M9 Sobivate kaughooldustööriistade valimine

a. Kaughooldustööriistade valimisel arvestatakse meedet OPS.1.2.5.M1 Kaughoolduse

rakendamise kava.

b. Kaughooldustööriistad valitakse organisatsiooni käitus-, turva- ja andmekaitsenõuetel

põhineva analüüsi ja kaasneva riskihinnangu alusel.

c. Kõik kaughooldustööriistade hankimise otsused kooskõlastatakse hankimise, süsteemide ja

rakenduste eest vastutajate ning turbehaldusega.

OPS.1.2.5.M10 Kaughooldustööriistade turvaline kasutamine [kasutaja]

a. Kaughooldustööriistade kasutamiseks on koostatud kasutusjuhendid koos

näidisprotseduuride kirjeldustega.

b. Kasutajad on läbinud kaughooldustööriistade kasutamise koolituse.

c. Kaughooldustööriistadega seotud tehniliste küsimuste lahendamiseks on määratud

kontaktisik.

147

OPS.1.2.5.M17 Kaughoolduse autentimismehhanismid

a. Kaughooldussessiooni alustamiseks kasutatakse mitmikautentimist (ingl multifactor

authentication).

b. Autentimismeetodi valik ja selle valimise põhjused on dokumenteeritud.

OPS.1.2.5.M19 Kaughooldus välisteenusena

a. Kõik välise teenuseandja poolt kaughooldusena tehtud muudatused (nt

konfigureerimisseadetes, lähtekoodis) dokumenteeritakse. Muudatuste dokumentatsioon

antakse üle kaughooldatavale organisatsioonile.

b. Välise teenuseandja töötajad kohustuvad täitma lepingus kokku lepitud nõudeid, sealhulgas

konfidentsiaalsusleppeid.

c. Välise teenuseandja töötajate tehtavaid hooldustoiminguid jälgitakse ja võimalusel need

salvestatakse. Organisatsioonis on määratud kaughoolduse seire eest vastutaja.

d. Kaughooldus algatatakse ainult sisevõrgust ja ainult kindlaks perioodiks.

e. Kaughoolduspääs välisele teenuseandjale antakse minimaalsuse põhimõtte alusel.

f. Välise teenuseandja töötajad autendivad ennast alati isikustatud kasutajana.

g. Kaughooldust saab mistahes ajal sisevõrgust katkestada.

h. Kaughoolduse tegemisel kolmandate kaudu rakendatakse lisaks mooduli OPS.2.3

Väljasttellimine meetmeid.

OPS.1.2.5.M20 Kaughoolduse turvaline läbiviimine

a. Kaughooldust teostatakse eelneva teavituse ja kinnituse alusel.

b. Kaughoolduspääs antakse ainult alles pärast tulemuslikku autentimist.

c. Kaughoolduseks ei anta täielikke haldusõigusi. Kaughooldajal puudub ligipääs IT-

süsteemidele, mida hoolduseks vaja ei ole.

d. Andmevahetust kaughooldusserveri ja -kliendi vahel kontrollitakse tulemüüri abil.

Kasutusel on ummistusrünnete avastamise ja tõrje meetmed.

e. Kõik kaughooldustoimingud, kaughoolduse algus, lõpp ja asjaosalised registreeritakse ja

logitakse.

OPS.1.2.5.M21 Avariiplaan kaughoolduse tõrke puhuks

a. On välja töötatud avariiplaan tõrgetest tuleneva kahju minimeerimiseks, hooldustoimingute

tagasivõtmiseks ning tavapärase töö kiireks taasteks.

148

b. Avariiplaani koostamisel ja testimisel rakendatakse meetmeid moodulist DER.4

Avariihaldus.

OPS.1.2.5.M24 Integreeritud kaughooldusfunktsioonide turve

a. IT-süsteemide hankimisel hinnatakse integreeritud kaughooldusfunktsioonide võimalusi ja

turvalisust.

b. Juhul kui IT-süsteemidesse integreeritud kaughooldusfunktsioone ei kasutata või kui need

võivad sisaldada turvanõrkusi, on integreeritud kaughooldusfunktsioonid desaktiveeritud.

c. IT-süsteemi komponentidele, mille kaughooldus on realiseeritud püsivara tasemel, on

juurdepääs ainult eraldiseisvast haldusvõrgust.

OPS.1.2.5.M25 Väljaspoolt haldusvõrku tehtava kaughoolduse piiramine

a. Võimalusel välditakse kaughooldust väljastpoolt haldusvõrku asuvast seadmest.

b. Kaughoolduse teostamine väljaspool haldusvõrku asuvast klientseadmest on lubatud ainult

läbi haldusvõrgus asuva hüppeserveri (ingl jump server).

c. Hüppeserveri juurdepääs on lubatud ainult usaldusväärsetele ja vastavava vajadusega

klientseadmetele.

3.4 Kõrgmeetmed

OPS.1.2.5.M14 Kaughoolduskliendi turvaline seadistus (C)

a. Kaughoolduseks kasutatakse ainult kaughoolduse teostamiseks ettevalmistatud

klientseadmeid.

b. Kaughoolduse klientseadmesse paigaldatud kaughooldustööriistade kõik funktsioonid ja

komponendid, mis ei ole hooldustööde läbiviimiseks vajalikud, on desaktiveeritud.

c. Kaughooldustööriistad ja tööjaamad, milles neid kasutatakse, on turvaliselt konfigureeritud

ja seadistatud.

d. Kaughoolduse klientseadme andmesideühendus on piiratud. Lubatud on ainult hooldustööde

läbiviimiseks vajalikud andmesideühendused.

e. Kaughoolduseks kasutatakse spetsiaalselt selleks otstarbeks loodud kasutajakontot.

OPS.1.2.5.M22 Kaughoolduse sidevõrkude liiasus (A)

a. Kaughoolduse tegemiseks avariiolukorras on võimalik IT-süsteemile juurdepääsuks

kasutada varusideühendust (nt 4G mobiilsidevõrku).

149

OPS.1.2.6 Kellade sünkroniseerimine NTP-serveriga

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed NTP-serveri (NTP, Network Time Protocol) ja NTP-klientseadmete kellade

turvaliseks sünkroniseerimiseks ning usaldusväärse ja täpse kellaaja tagamiseks kõigis seotud

IT-süsteemides.

1.2. Vastutus

Kellade sünkroniseerimise meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad: Lisavastutajad: puuduvad.

1.3. Piirangud

Moodulis esitatud meetmed rakenduvad kõigile NTP-d kasutavatele IT-süsteemidele.

Serveritele kehtestatud üldisi turvameetmeid käsitletakse moodulis SYS.1.1 Server üldiselt,

klientarvutitele kohalduvad meetmed on esitatud moodulis SYS.2.1 Klientarvuti üldiselt.

2. Ohud

2.1. Viga NTP-serveri rakendamisel

Võib juhtuda, et kõik IT-süsteemid ei ole täpse ajateabe saamiseks NTP-serveriga ühendatud.

Näiteks võib NTP-serveri ja klientide ühenduse katkestada võrgu kavandamisel või

segmenteerimisel tehtud viga. Sageli ei tuvastata kellade erinevust enne kui see on põhjustanud

IT-intsidendi (nt kui automatiseeritud toimingud käivituvad valel ajal).

2.2. Väär kellaaeg või kellaaja puudumine

NTP-server võib olla ajutiselt kättesaamatu või edastada valet ajateavet.

2.3. Vastuoluline ajateave

Erinevatest allikatest pärinev ajateave võib olla vastuolus. Kui IT-süsteem kasutab kellaaja

sünkroniseerimiseks mitmeid NTP-servereid, võib NTP-serverite kellaaegades olla erinevus.

Kellaaegade märgataval erinemisel ei suuda IT-süsteem kindlaks teha, milline esitatud ajateave

on õige. Kellaaegade erinevus võib põhjustada tõrkeid IT-süsteemis, andmete valesti

tõlgendamist ja häireid andmevahetuses teiste IT-süsteemidega.

2.4. NTP andmeside manipuleerimine

Võrguründe puhul on ründajal võimalik NTP andmesidet manipuleerida, nt muuta

võrgupakettide ajateavet andmete edastamise ajal või suunata NTP päringud ümber enda

määratud serverisse. Sel viisil saab ründaja NTP-klientide süsteemiaega muuta ning seda

kasutada ajaliselt piiratud või antud hetkeks aegunud pääsuõiguste kuritarvitamiseks.

150

3. Meetmed

3.1. Elutsükkel

Kavandamine

OPS.1.2.6.M1 NTP kasutuselevõtu kavandamine

OPS.1.2.6.M2 Väliste NTP-serverite turvaline kasutamine

Evitus

OPS.1.2.6.M3 NTP-serveri turvaline konfigureerimine

OPS.1.2.6.M4 Soovimatute ajateabe allikate keelamine

OPS.1.2.6.M7 NTP-klientide turvaline konfigureerimine

OPS.1.2.6.M9 Erinevate täpse ajateabe allikate kasutamine

Käitus

OPS.1.2.6.M5 NTP käitamine klient-server režiimis

OPS.1.2.6.M8 Turvalise protokolli kasutamine kellade sünkroniseerimisel

OPS.1.2.6.M10 Ainult võrgusiseste NTP-serverite kasutamine

OPS.1.2.6.M11 NTP-serverite liiasuse tagamine

OPS.1.2.6.M12 NTP-serverite autentsuse tagamine

Seire

OPS.1.2.6.M6 Võrgusiseste NTP-serverite seire

3.2. Põhimeetmed

OPS.1.2.6.M1 NTP kasutuselevõtu kavandamine

a. Organisatsioon on kaardistanud täpset ajateavet vajavad IT-süsteemid ja dokumenteerinud

IT-süsteemide nõuded ajateabe täpsuse ja kättesaadavuse osas.

b. NTP (Network Time Protocol) kasutuselevõtul on dokumenteeritud, milliseid NTP-servereid

ja milliste NTP-klientide poolt kasutatakse.

c. On määratud, kas NTP-serverid töötavad klient-server või leviedastusrežiimis (ingl

Broadcast Mode).

OPS.1.2.6.M2 Väliste NTP-serverite turvaline kasutamine

a. Enne väljastpoolt kohtvõrku asuva NTP-serveri kasutuselevõttu analüüsitakse teenuseandja

usaldusväärsust ja NTP-serveri töökindlust.

b. IT-süsteemide kellade sünkroniseerimisel väljastpoolt kohtvõrku on lubatud kasutada ainult

usaldusväärseid NTP-servereid.

c. Välise NTP-serveri kasutamisel järgitakse NTP-serveri operaatori kehtestatud

kasutustingimusi.

151

OPS.1.2.6.M3 NTP-serveri turvaline konfigureerimine

a. NTP-serveri konfiguratsiooniteavet saavad küsida ainult volitatud NTP-kliendid.

b. NTP-serveri konfiguratsiooni muutmine on lubatud ainult volitatud kasutajatel ning

selgesõnaliselt määratletud juhtudel.

c. Organisatsioonisisese täpse kellaja allika puudumisel on võrgusisene NTP-server

konfigureeritud saama regulaarset ja täpset ajateavet väliselt NTP-serverilt.

OPS.1.2.6.M4 Soovimatute ajateabe allikate keelamine

a. NTP-klientide seadistustes on IT süsteemide kellade sünkroniseerimine võimaldatud vaid

lubatud ajateabe allikatega, muud ajateabe allikad on seadistustes blokeeritud.

3.3. Standardmeetmed

OPS.1.2.6.M5 NTP käitamine klient-server režiimis

a. NTP-serverid on konfigureeritud suhtluseks klient-server režiimis. NTP-server edastab

ajateavet ainult vastustena aktiivsete NTP-klientide päringutele.

OPS.1.2.6.M6 Võrgusiseste NTP-serverite seire

a. Organisatsiooni arvutivõrgus asuvate NTP-serverite käideldavust, ressursikasutust ja

kellaaja korrektsust seiratakse regulaarselt.

b. NTP-serverina toimiva IT-seadme puhul logitakse vähemalt järgmist:

• ootamatud taaskäivitused;

• NTP-teenuse ootamatud taaskäivitused;

• NTP-teenuse tõrked;

• anomaalsed ajateabe näidud.

c. NTP-serveri töötamisel leviedastusrežiimis (ingl Broadcast Mode) seiratakse ajateabe

hälvete avastamiseks täiendavalt NTP-klientide kellaaja õigsust.

OPS.1.2.6.M7 NTP-klientide turvaline konfigureerimine

a. On üheselt määratud ja konfigureeritud, millisest allikast võtab IT-süsteem ajateavet IT-

süsteemi käivitusel ja taaskäivitusel ning pärast NTP-teenuse taaskäivitust.

b. On määratud, kuidas NTP-kliendid reageerivad oodatust oluliselt erinevale ajateabele, väärat

vastuvõetud ajateavet ignoreeritakse.

c. NTP-klientidele on tagatud piisav ajateave ka juhul, kui NTP-server piirab ajapäringutele

vastamist või keelab päringute saatmise.

OPS.1.2.6.M8 Turvalise protokolli kasutamine kellade sünkroniseerimisel

a. IT-süsteemide kellade sünkroniseerimisel kasutatakse turvalisi andmevahetusprotokolle.

152

3.4. Kõrgmeetmed

OPS.1.2.6.M9 Erinevate täpse ajateabe allikate kasutamine (A)

a. Kõrget ajalist täpsust nõudva põhiprotsessiga organisatsioon kasutab oma arvutivõrgus

rohkem kui ühte Stratum 1 NTP-serverit.

b. Iga Stratum 1 NTP-server on primaarse ja täpse kellaaja saamiseks ilma arvutivõrgu

vahenduseta otse ühendatud sõltumatu riistvaralise (Stratum 0) ajateabe allikaga, nt GPS- või

raadiokellaga.

OPS.1.2.6.M10 Ainult võrgusiseste NTP-serverite kasutamine (I)

a. Sisevõrku ühendatud IT-süsteemid (NTP-kliendid) kasutavad oma kellade

sünkroniseerimiseks eranditult võrgusiseseid NTP-servereid.

OPS.1.2.6.M11 NTP-serverite liiasuse tagamine (A)

a. Kõrget ajalist täpsust nõudvate protsessidega organisatsiooni IT-süsteemid hangivad

ajateavet vähemalt neljalt sõltumatult NTP-serverilt.

OPS.1.2.6.M12 NTP-serverite autentsuse tagamine (I)

a. NTP-klient veendub enne andmevahetust NTP-serveri autentsuses. NTP-klient aktsepteerib

ainult autenditud NTP-serverilt saadud ajateavet.

b. Autentimise nõue kehtib ka NTP-serveritele, mis jagavad ajateavet alama taseme NTP-

serveritele.

OPS.2 Käidutööd teenusena

OPS.2.2 Pilvteenuste kasutamine

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed pilvteenuste turvaliseks kasutuselevõtuks ja kasutamiseks.

1.2. Vastutus

Pilvteenuste kasutamise meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad: Andmekaitsespetsialist, vastutav spetsialist, organisatsiooni juhtkond,

personaliosakond.

1.3 Piirangud

153

Mooduli meetmed täiendavad väljasttellimist (vt OPS.2.3 Väljasttellimine) pilvteenustele

omaste erisustega (sama infrastruktuuri kasutatakse paljude klientide teenindamiseks).

Teenuseandjapoolsed meetmed on kirjeldatud moodulis OPS.3.2 Teenuseandja infoturve.

Pilvteenuste kasutamise moodulis ei käsitleta ka pilvteenuste vastavate rakendusliideste

(inglise keeles Application Programming Interface, API) spetsiifilisi turvameetmeid.

Meetmed sõltuvad tarbitavast pilvteenusest, seega võib meetmete valik teenuseti erineda.

2. Ohud

2.1. Pilvteenuste strateegia puudumine või puudulikkus

Puuduva või piisamatu pilvteenuste strateegia korral võib juhtuda, et organisatsioon teeb otsuse

sobimatu pilvteenuse või teenuseandja kasuks. Valitud pilvteenus ei pruugi organisatsiooni

infotehnoloogia ja äriprotsessidega ühilduda ega vastata nõutud kaitsetarbe tasemele.

2.2. Sõltuvus pilvteenuseandjast (kontrolli kaotamine)

Välise pilvteenuse kasutamisel sõltub organisatsioon pilvteenuseandjast ega oma täit kontrolli

äriprotsesside ja nende turvalisusega seotud teabe üle. Organisatsioon ei tea, kas

pilvteenuseandja rakendab turvameetmeid nõuetekohaselt. Väliste pilvteenuste kasutamine

toob tihti kaasa organisatsiooni infoturbe ja IT alase oskusteabe vähenemise.

2.3. Puudulik nõuete haldus pilvteenuste kasutamisel

Kui organisatsioon otsustab hakata kasutama pilvteenust, kaasnevad sellega kasutajate suured

ootused paremale jõudlusele või funktsionaalsusele. Samas on organisatsiooni juhtkonna

eesmärk sageli seotud kulude vähendamisega. Kui pilvteenuse nõuete määratlemisel ei

arvestata kõikide osapoolte arvamust, võib juhtuda, et pilvteenusele üleminek ei pruugi tuua

soovitud lisandväärtust.

2.4. Õigusaktide nõuete rikkumine

Rahvusvahelised pilvteenuse pakkujad lähtuvad sageli kolmandate riikide õigusaktidest.

Pilvteenuse kliendid ei pruugi õiguslikele raamtingimustele piisavat tähelepanu pöörata.

Seetõttu võidakse teadmatusest rikkuda kohalike õigusaktide nõudeid ja ohustada välisteenuse

teabe turvalisust.

2.5. Simultaanteeninduse võime puudumine pilvteenuse andjal

Pilvtöötlusel kasutavad erinevad kliendid enamasti ühist taristut (nt IT-süsteemid, võrgud ja

rakendused). Kui eri klientide ressursid ei ole üksteisest piisavalt turvaliselt lahutatud, võib

klient saada lubamatu juurdepääsu teise kliendi andmetele.

2.6. Pilvteenuse andjaga sõlmitud lepingu puudulikkus

Kui pilvteenuse andja lepingus on vastutusalasid, ülesandeid, tulemusnäitajaid või kulusid

ebapiisavalt või ebaselgelt kirjeldatud, võib juhtuda, et pilvteenuse andja kas tahtmatult või

puuduvate ressursside tõttu kõiki vajalikke turvameetmeid ei rakenda. Pilvteenuse klienti

võivad negatiivselt mõjutada lepingus määratlemata asjaolud. Näiteks kui ei ole teada

154

teenuseandja sõltuvus kolmandast poolest, võib see negatiivselt mõjutada organisatsiooni

infoturvet ning teenuse kvaliteeti.

2.7. Pilvteenustele migreerimise puudulik kavandamine

Ebapiisav pilvteenusele ülemineku plaan seab ohtu andmete turvalisuse. Kui organisatsioon

loobub migratsiooni testandmetega testimisest ja väiksemahulisest pilootprojektist, on oht, et

pärast täismahulist migratsiooni teenused nõutaval viisil ei tööta.

2.8. Pilvteenuste puudulik integreerimine omaenda IT-süsteemidega

Kui pilvteenuseid ei integreerita organisatsiooni IT-taristusse sobival viisil või tehakse seda

puudulikult, ei saa kasutajad pilvteenust täies mahus kasutada. Kokkulepitud funktsionaalsus

ja jõudlus võivad jääda saavutamata, tekivad häired äriprotsessi töös. Puudulik integratsioon

organisatsiooni infotehnoloogiaga võib põhjustada märkimisväärseid turvanõrkusi.

2.9. Pilvteenuse kasutamise lõpetamise puudulik reguleerimine

Kui lepingu lõpetamine on puudulikult kokku lepitud, võib see organisatsioonile kaasa tuua

märkimisväärse kahju. Piisava sisemise valmisolekuta on organisatsioonil keeruline

pilvteenust kiiresti teisele teenuseandjale üle anda või oma organisatsiooni IT-süsteemidega

lõimida. Kui teenuse üleandmine ajaliselt venib ja kõiki andmeid ei suudeta üle viia, võivad

tekkida tööseisakud ja andmekadu.

2.10. Pilvteenuste halduse raamistiku puudulikkus

Pilvteenuse kasutuselevõtt muudab sageli teenusega seotud rollide jaotust (nt võivad

süsteemiülematest saada teenusehaldurid). Muutused pilvteenuse halduses võivad ajutiselt

mõjutada teenuse kvaliteeti. Kui töötajaile uusi ülesandeid tutvustavat koolitust ei tehta või

seda tehakse piisamatult, võivad tekkida teenusehäired ja probleemid teenuse haldamisega.

2.11. Avariivalmenduse kontseptsiooni puudulikkus

Pilvteenuse osalise või täieliku katkestuse korral võivad ootamatud olukorrad ja puudused

avariivalmenduse kontseptsioonis põhjustada seisakuaja pikenemist. Kui teenuse ostja ja

teenuseandja pole kokku leppinud, kuidas avariistsenaariumi korral tegutsetakse (nt kui

riiklikul tasemel otsustatakse välisühendused sulgeda), pikeneb taasteaeg veelgi.

2.12. Pilvteenuse andja süsteemi tõrge

Kui pilvteenuse andja juures toimub IT-süsteemide tõrge, mõjutab see ka pilvteenuse klienti,

halvemal juhul katkeb teenus täielikult. Samasuguse tulemuseni viivad tõrked liidestuses

pilvteenuse andja ja kliendi vahel või juhul, kui pilvtöötluse platvormi vastu sooritatakse

tulemuslik rünne.

3. Meetmed

3.1. Elutsükkel

155

Kavandamine

OPS.2.2.M1 Pilvteenuste strateegia

OPS.2.2.M2 Pilvteenuste turvapoliitika

OPS.2.2.M3 Pilvteenuste loendi koostamine

OPS.2.2.M4 Vastutusalade ja liidestuste määramine

OPS.2.2.M5 Pilvteenusele migreerimise kava

OPS.2.2.M6 Pilvteenusega liitumise tegevusplaan

OPS.2.2.M11 Pilvteenuse avariivalmenduse programm

OPS.2.2.M15 Pilvteenuse ülekantavuse tagamine

OPS.2.2.M16 Andmete täiendav varundamine

Evitus

OPS.2.2.M8 Pilvteenuse andja valimise kriteeriumid

OPS.2.2.M9 Kliendi vajadustele vastav pilvteenuse leping

OPS.2.2.M10 Turvaline migratsioon pilvteenusele

OPS.2.2.M19 Pilvteenuse andja töötajate taustakontroll

Käitus

OPS.2.2.M12 Infoturve pilvteenuste kasutamisel

OPS.2.2.M13 Pilvteenuste turbe piisavuse tõendamine

OPS.2.2.M17 Krüpteerimine pilvteenuse kasutamisel

OPS.2.2.M18 Liidendusteenuste korrakohane kasutamine

Kõrvaldamine

OPS.2.2.M14 Pilvteenuselepingu korrakohane lõpetamine

3.2. Põhimeetmed

OPS.2.2.M1 Pilvteenuste strateegia [vastutav spetsialist, organisatsiooni juhtkond,

andmekaitse spetsialist]

a. On kehtestatud pilvteenuste strateegia, mis on kooskõlas organisatsiooni eesmärkidega ja

kus on dokumenteeritud:

• pilvteenuste eesmärgid, eelised ja riskid;

• pilvteenuste kasutamisega seotud õiguslikud, korralduslikud, majanduslikud ja tehnilised

raamtingimused;

• eeldatavad pilvteenused ja nende kasutusviisid;

• mõjutatud äriprotsesside säilenõtkuse (ingl resilience) tagamine pilvteenuste lõpetamisel.

b. Avaliku sektori organisatsioon lähtub pilvteenuste strateegia koostamisel pilvteenuste

kasutamist reguleerivatest seadusandlikest aktidest ja riiklikest kontseptsioonidest (vt

Lisateave).

c. Iga kavandatava pilvteenuse kohta viiakse läbi teostatavuse, tasuvuse ja turvalisuse analüüs.

d. Pilvteenuste kasutuselevõtuks koostatakse etapiviisiline teenuse kasutuselevõtu plaan.

156

OPS.2.2.M2 Pilvteenuste turvapoliitika [vastutav spetsialist]

a. Pilvteenuste strateegiast (vt OPS.2.2.M1 Pilvteenuste strateegia) lähtuvalt on koostatud

pilvteenuste turvapoliitika.

b. Turvanõuete määramisel on lähtutud teenuse kaitsetarbest ja korralduslikest, tehnilistest

ning õiguslikest raamtingimustest.

c. Pilvteenuste turvapoliitika esitab põhimõtted pilvespetsiifiliste riskide käsitlemiseks (nt

sõltuvus pilvteenuse andjast, simultaanteenindus, fikseeritud andmevormingud, andmetele

juurdepääs).

d. Rahvusvaheliselt tegutsevate teenuseandjate puhul on arvestatud riigipõhist spetsiifikat ja

õigusaktidest tulenevaid nõudeid.

OPS.2.2.M3 Pilvteenuste loendi koostamine [vastutav spetsialist]

a. Kõik kavandatavad ja kasutatavad pilvteenused dokumenteeritakse ühtsetel alustel.

b. Iga pilvteenuse kohta on esitatud vähemalt järgmised andmed:

• teenuse nimetus ja tähis;

• teenuse eesmärk;

• pilvteenuse liik, nt tarkvara kui teenus (ingl software as a service, SaaS), platvorm kui teenus

(ingl platform as a service, PaaS);

• teenuse parameetrid ja lepinguline teenusetase;

• teenuse ajaraamid;

• arveldusandmed;

• pääsuõigused ja autentimismeetod;

• kontaktisikud.

OPS.2.2.M4 Vastutusalade ja liidestuste määramine [vastutav spetsialist]

a. Määratletakse ja dokumenteeritakse pilvteenuse kasutamisega seotud vastutusalad ja

teenusepoolte tegevused.

b. Valitakse ja dokumenteeritakse pilvteenuse rakenduseks vajalikud IT-komponendid (nt.

andmete varundussüsteem) ning riist- ja tarkvaraline liidestus.

3.3 Standardmeetmed

OPS.2.2.M5 Pilvteenusele migreerimise kava [vastutav spetsialist]

a. Pilvteenusele siirdumiseks koostatakse pilvteenusele migreerimise kava, mis määrab:

• rollid ja kohustused;

• IT-keskkonna ja käiduprotseduuride ettevalmistuse;

• testimis- ja üleviimisprotseduurid;

• teenusetaseme ja turvataseme vastavuskontrolli;

• pilvteenusest loobumise protseduurid.

157

b. Pilvteenusele üleminekul hinnatakse pilvteenuse mõju olemasolevale IT-keskkonnale ja

organisatsiooni tööprotsessidele, kavandatakse liidestused olemasolevate IT-süsteemidega ja

plaanitakse täiendavad koolitused.

OPS.2.2.M6 Pilvteenusega liitumise tegevusplaan

a. Pilvteenuse kasutuselevõtuks koostatakse teenusega liitumise tegevusplaan, mis sisaldab

vähemalt järgmisi tegevusi:

• liidestuste ettevalmistus ja käivitamine;

• võrguühenduste sobivus ja kontroll;

• teenuse halduse korraldus;

• andmete haldus.

b. Pilvteenusega liitumise tegevusplaan on dokumenteeritud, tegevusplaani uuendatakse

regulaarselt.

OPS.2.2.M8 Pilvteenuse andja valimise kriteeriumid [organisatsiooni juhtkond]

a. Pilvteenuse andja valimiseks koostatakse pilvteenuste loendi (vt OPS.2.2.M3 Pilvteenuste

loendi koostamine) andmeid sisaldav ja neid täiendav nõuete spetsifikatsioon.

b. Pilvteenuse andja valimisel arvestatakse järgmisi aspekte:

• teenuseandja maine;

• teenuseandja tegevusvaldkond ja spetsialiseerumine pilvteenustele;

• avalikud turuanalüüsid ja soovitused;

• teenuseandja asukohariik ja jurisdiktsioon;

• teenuseandja omandi- ja juhtimisstruktuuri läbipaistvus;

• kliendisõbralikkus;

• alltöövõtjate kasutamine;

• lepingutingimuste sobivus;

• teenuse lõpetamise tingimused;

• tasuvus.

c. Pilvteenuse andjalt saadud teenusekirjelduste õigsust ja sertifikaatide kehtivust

kontrollitakse, küsides teenuseandjalt täiendavat teavet.

OPS.2.2.M9 Kliendi vajadustele vastav pilvteenuse leping [organisatsiooni juhtkond]

a. Organisatsiooni ja pilvteenuse andja vahelises lepingus on määratud alljärgnev:

• õiguslikud raamtingimused;

• pilvteenusega seotud teabe liik ja maht;

• teenuse jõudlus ja kvaliteet;

• turvanõuded;

• teenuse saamise koht;

• allhankijad või muud kolmandad pooled;

• nõuded pilvteenuse andja personalile;

• suhtlusteed ja kontaktisikud;

• töökorraldus, vastutused ja pääsuõigused;

• muudatuste kord;

• teenuse testimine ja seire;

158

• tõrke- ja intsidendikäsitlus;

• lepingu lõpetamine, järeltoimingud, andmete kustutus.

b. Pilvteenuse lepingus määratud turvanõuded on vastavuses pilvteenuste turvapoliitikaga (vt

OPS.2.2.M2 Pilvteenuste turvapoliitika).

OPS.2.2.M10 Turvaline migratsioon pilvteenusele [vastutav spetsialist]

a. Migratsioonil pilvteenusele arvestatakse eelnevalt väljatöötatud kava (vt OPS.2.2.M5

Pilvteenusele migreerimise kava) ja turbe programmi (vt OPS.2.2.M7 Pilvteenuste turbe

programm).

b. Enne tegelikku kasutuselevõttu testitakse migratsiooni toimimist testkeskkonnas.

c. Pärast IT-süsteemide migreerimist käidukeskkonda (ingl operational environment)

kontrollitakse teenuse vastavust lepingu tingimustele.

OPS.2.2.M11 Pilvteenuse avariivalmenduse programm

a. Kasutuselevõetud pilvteenuste jaoks on välja töötatud avariivalmenduse programm, mis

sätestab:

• kontaktisikud;

• avariikäsitluse korra, vastutused, toimingud ja dokumenteerimise;

• andmete, liideste, vahendite ja taristu varunduse;

• vajalikud tehnilised vahendid;

• avariikäsitluse õppuste korraldamise.

OPS.2.2.M12 Infoturve pilvteenuste kasutamisel

a. Pilvteenuste dokumentatsiooni ja kasutusjuhiseid ajakohastatakse regulaarselt.

b. Pilvteenuse vastavust teenuselepingus kokku lepitud tingimustele ja turvanõuetele

kontrollitakse regulaarselt.

c. Pilvteenuste turvapoliitika (vt OPS.2.2.M2 Pilvteenuste turvapoliitika) järgimist ja selle

ajakohasust kontrollitakse regulaarselt.

d. Pilvteenuste haldurid järgivad moodulites ORP.3 Infoturbe teadlikkuse suurendamine ja

koolitus ja OPS.1.1.2 IT-süsteemide haldus toodud meetmeid.

e. Andmevarunduse toimimist kontrollitakse regulaarselt.

f. Avariikäsitlust harjutatakse koostöös teenuseandjaga regulaarselt.

OPS.2.2.M13 Pilvteenuste turbe piisavuse tõendamine

a. Pilvteenuse andja tõendab infoturbe vastavust õigusaktidest tulenevatele nõuetele ja

rahvusvaheliselt tunnustatud kriteeriumidele, esitades vastavad sertifikaadid, akrediteeringud

või auditite tulemused.

159

b. Tõendusmaterjali hindamisel kontrollitakse, kas sertifikaatide kehtivusala hõlmab

kasutatavat pilvteenust.

c. Pilvteenuse puhul allhankijate kasutamisel nõutakse samade kriteeriumide täitmise

tõendamist ka nendelt.

OPS.2.2.M14 Pilvteenuselepingu korrakohane lõpetamine [vastutav spetsialist,

organisatsiooni juhtkond]

a. Pilvteenuselepingu lõppemise puhuks on kehtestatud protseduurid üleminekuks sisemisele

teenusele või teisele pilvteenuseandjale, täites kõiki seniseid teenusenõudeid.

b. Pilvteenusepingu lõppemisel tagatakse, et see ei mõjuta negatiivselt organisatsiooni

äriprotsesside jätkuvust.

c. Pilvteenuselepingus on lepingu lõppemise puhuks määratletud:

• lepingupoolte omandiõigused teenusevahenditele;

• teenuse dokumentatsiooni ja vajalike andmete üleandmine kliendile;

• kliendi andmete turvaline kõrvaldamine teenuseandja käsutusest.

OPS.2.2.M17 Krüpteerimine pilvteenuse kasutamisel (I-A)

a. Kõiki käideldavaid andmeid vahetatakse pilvteenuse andja ja organisatsiooni vahel

krüpteeritult.

b. Andmete krüpteerimiseks nende salvestus- või töötluskohas on kokku lepitud, kas andmed

krüpteerib pilvteenust kasutav organisatsioon (enne nende edastamist pilvteenuse andjale) või

krüpteeritakse edastatavad andmed pilvteenuse andja IT-süsteemides.

c. Kui andmed krüpteerib pilvteenuse andja, määratakse lubatud krüpteerimismehhanismid,

võtme pikkused ja turvalise võtmehalduse nõuded pilvteenuselepingus.

d. Kui andmeid krüpteerib organisatsioon, kooskõlastatakse see eelnevalt teenuseandjaga.

Meetme rakendamisel järgitakse ka moodulit CON.1 Krüptokontseptsioon.

3.4. Kõrgmeetmed

OPS.2.2.M15 Pilvteenuse ülekantavuse tagamine [vastutav spetsialist] (A)

a. Pilvteenuse andja vahetamiseks või siseteenusele üleminekuks on kehtestatud kriteeriumid,

mis sisaldavad porditavusnõudeid ja teenuse ülekantavuse testimise kohustuse.

b. Vajalik porditavus on pilvteenuse lepingu kohaselt võimalik (vt OPS.2.2.M9 Kliendi

vajadustele vastav pilvteenuse leping).

OPS.2.2.M16 Andmete täiendav varundamine [vastutav spetsialist] (I-A)

a. Pilvteenuselepingus on esitatud teenuseandjale andmevarunduse detailsed nõuded.

b. Pilvteenuselepinguga on määratletud kliendi õigus täiendava andmevarunduse tegemiseks.

160

c. On otsustatud, kas pilvteenuse andja andmevarundusele lisaks tehakse ka omapoolset

andmete varundamist.

OPS.2.2.M18 Liidendusteenuste korrakohane kasutamine [vastutav spetsialist] (C-I-A)

a. Kui pilvteenuste jaoks kasutatakse liidendusteenuseid (ingl Federation Service), edastatakse

kesksest kataloogiteenusest saadud identsustõendiga (nt SAML-pilet (SAML, Security

Assertion Markup Language)) pilvteenuse andjale üksnes vajalikku teavet.

b. Kasutajate õigusi kontrollitakse regulaarselt ja identsustõendi saavad ainult volitatud

kasutajad.

OPS.2.2.M19 Pilvteenuse andja töötajate taustakontroll [personaliosakond] (C-I-A)

a. Pilvteenuse andjaga on lepitud kokku personali kvalifikatsiooni ja usaldusväärsuse

kontrollimise nõuetes ja kriteeriumides.

b. Pilvteenuse andja tõendab kliendile oma töötajate usaldatavust ja vastavust kliendi

kriteeriumidele.

OPS.2.3 Väljasttellimine

1. Kirjeldus

1.1. Eesmärk

Esitada meetmed väljasttellimise (ingl outsourcing) turvaeesmärkide saavutamiseks ja

infoturbe parendamiseks kogu allhanke elutsükli kestel.

1.2. Vastutus

Väljasttellimise meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad: Hankeosakond, vastutav spetsialist, avariiülem, personaliosakond,

haldusosakond.

1.3. Piirangud

Moodulis käsitletakse väljasttellimise turvariske allhanke tellija seisukohast. Teenuseandja

vaade on esitatud moodulis OPS.3.2 Teenuseandja infoturve. Väljasttellimisena käsitletakse

antud moodulis IT allhankeid. Hanked, mis käsitlevad IT-d ainult osaliselt, vajavad täiendavat

turvaanalüüsi. Moodul ei käsitle teenuseandjaga suhtlemise andmevahetuskanalite turvet.

Pilvteenuseid käsitletakse moodulis OPS.2.2 Pilvteenuste kasutamine. Nõudeid teenuseandja

töötajatele ning füüsilisele turbele käsitletakse mooduligruppides ORP. Organisatsioon ja

personal ja INF.Taristu.

2. Ohud

161

2.1. Väljasttellimise strateegia puudumine

Kui väljasttellimise kavandamisel ei esitata teenuseandjale infoturbe nõudeid ega kirjeldata

hanke objektiga seotud turbevajadusi kogu objekti elutsükli jooksul, võib infoturbe tegelik

olukord teenuseandja juures osutuda tellija äriprotsesside jaoks ebapiisavaks. Eksisteerib oht,

et tellija äriprotsessid võivad saada kahjustada ning tundlik teave võib lekkida.

2.2. Ärikriitiliste protsesside kontrolli puudulikkus

Kui osa vajalikest teadmistest ja oskustest läheb üle teenuseandjale, kaotab organisatsioon