Käskkiri

Lisa 1

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

1 / 4

TEHNILINE KIRJELDUS „Litsentsid ja tehniline tugi“

HANKIJA: Tarbijakaitse ja Tehnilise Järelevalve Amet (TTJA)

HANKE EESMÄRK: Hanke eesmärgiks on Tarbijakaitse ja Tehnilise Järelevalve Ametile

sõlmida kolme aastane raamleping, mille esemeks on automaatse raadiosignaalide

tuvastustarkvara Skudra täiustamine, mis sisaldab endas tehnilist tuge, täiendavate litsentside

soetamist ja tarkvara arendustöid. Käesolev lisa kajastab raadiosignaalide tuvastustarkvara

litsentside soetust ja tehnilist tuge.

A) Skudra tarkvara litsents

Jk Omadus Parameetrid

1. Litsentsi otstarve Elektroonilise side seaduses

sätestatud raadiosageduste

kasutamise üle riikliku

järelevalve teostamiseks,

tarkvara aktiveerimise USB

litsentsipulk.

2. Aktiveeritavad tarkvarad Skudra Patrol,

Skudra Target.

3. Litsentsi ajaline kehtivus Tähtajatu

4. Ühe litsentsiga juhitavate vastuvõtjate arv

(kaasaarvatud suunamäärajad)

3 raadiosageduslikku vastuvõtjat

üheaegselt.

5. Tarkvarauuendused Toetab kõiki uusi versioone.

6. Operatsioonisüsteemi tugi Windows 11 ja uuem.

7. Tehniline tugi Litsentsi soetusega kaasneb 12

kuuline tehniline tugi.

8 Litsentside kogus pakkumises Eraldi välja tuua järgnevate

litsentsikoguste hinnad:

a) 1 litsents

b) 5 litsentsi

c) 10 litsentsi

d) 15 litsentsi

B) Skudra tehniline tugi

Jk

Omadus Parameetrid

1. Tehnilise toe otstarve Tarnija tagab Skudra Serveri

süsteemi ning Patrol ja Target

tarkvarakomponentide

töövõime,

tarkvarauuendused,

Lisa 1

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

2 / 4

veaparandused ning kasutaja-

ja tehnilise toe osutamise.

2. Tehniline tugi 1) Tarkvarauuendused ja

versioonitäiendused on

kättesaadavad;

2) Tarnija teostab tõrgete

korral vigade ja anomaaliate

tuvastamist ning nende

kõrvaldamist;

3) Tarnija pakub kasutajatuge

ja tehnilise toe osutamist, sh

konsultatsioone süsteemi

seadistamisel, kasutamisel ja

tõrkeolukordade

lahendamisel.

3. Tehnilise toe reageerimiseaeg Tööpäevadel 08:00 – 17:00,

lisaks kriitilise probleemi

korral töövälisel ajal.

4. Tehnilise toe keskkond E-post, Teams, mobiilkõne,

kaughaldus, kohapeal TTJA

kontoris Tallinnas.

5. Tehnilise toe keel Inglise keel.

6. Süsteemitõrgete ja vigade lahendamise aeg 0 kuni 72 h.

7. Ligipääs kaughaldussüsteemile Tarnijale tagatakse lepingu

kehtivuse perioodiks ligipääs

TTJA monitooringuvõrgu

Skudra serverile turvalise

VPN-lahenduse kaudu, mis

võimaldab diagnostikat ja

hooldust.

8. Tehnilise toe periood 1 aasta.

9. Õigused Tarnijal on õigus teostada

süsteemis ette teavitamata

diagnostikat ja hooldust, mis

ei takista süsteemi tööd.

Lisa 1

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

3 / 4

UNOFFICIAL TRANLATION FROM ESTONIAN

TECHNICAL SPECIFICATION

CONTRACTING AUTHORITY: Consumer Protection and Technical Regulatory Authority

(TTJA)

OBJECTIVE OF THE PROCUREMENT: The purpose of the procurement is to conclude a

three-year framework agreement for the Consumer Protection and Technical Regulatory

Authority concerning the improvement of the automatic radio signal detection software Skudra.

This includes technical support, acquisition of additional licenses, and software development.

This annex outlines the procurement of licenses and maintenance for the radio signal detection

software.

A) Skudra Software License

No. Feature Parameters

1. Purpose of the license For national supervision of radio

frequency usage as stipulated in

the Electronic Communications

Act; software activation via

USB license dongle.

2. Activatable software Skudra Patrol,

Skudra Target.

3. License validity Perpetual.

4. Number of receivers per license (incl.

direction finders)

Up to 3 radio frequency

receivers simultaneously.

5. Software updates Supports all new versions.

6. Operating system support Windows 11 and newer.

7. Technical support Includes 12-month technical

support with license purchase.

8. Number of licences offered Provide the prices for the

following license quantities

separately:

a) 1 license

b) 5 licenses

c) 10 licenses

d) 15 licenses

B) Skudra Technical Support

No.

Feature Parameters

1.

Purpose of technical support

The supplier ensures the

operability of the Skudra

Lisa 1

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

4 / 4

Server system and Patrol and

Target components, provides

software updates, bug fixes,

and user and technical

support.

2. Technical support includes 1) Availability of software

updates and upgrades.

2) Fault and anomaly

detection and resolution.

3) User and technical

support, including

consultations on system

configuration, use, and

troubleshooting.

3. Technical support response time Working days 08:00–17:00,

and additionally outside

working hours in case of a

critical issue.

4. Technical support environment Email, Teams, mobile call,

remote management, on-site

support at the TTJA

(CPTRA) office in Tallinn.

5. Language of technical support English

6. System fault and bug resolution time 0 to 72 h.

7. Access to the remote management system During the contract period,

the supplier shall be granted

access to the TTJA

monitoring network’s Skudra

server via a secure VPN

solution for diagnostics and

maintenance.

8. Technical support period 1 year.

9. Rights The supplier has the right to

perform diagnostics and

maintenance in the system

without prior notice, provided

it does not disrupt system

operation.

Lisa 2

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

TEHNILINE KIRJELDUS „Ühiskasutusplatvorm“

HANKIJA: Tarbijakaitse ja Tehnilise Järelevalve Amet (TTJA)

HANKE EESMÄRK: Hanke eesmärgiks on Tarbijakaitse ja Tehnilise Järelevalve Ametile

sõlmida kolme aastane raamleping, mille esemeks on automaatse raadiosignaalide

tuvastustarkvara Skudra täiustamine, mis sisaldab endas tehnilist tuge, täiendavate litsentside

soetamist ja tarkvara arendustöid. Käesolev lisa kajastab Skudra tarkvara arendust uue

ühiskasutusplatvormi loomiseks.

TTJA raadiomonitooringu ühiskasutuse platvorm

Lokaator

Projekti defineerimine

Selle projekti eesmärk on luua veebiplatvorm, mis võimaldab Eesti riigiasutustele

kaugelt ligipääsu TTJA (Tarbijakaitse ja Tehnilise Järelevalve Amet)

raadiomonitooringujaamadele. Platvormi kasutajateks on eeldatavalt 5 kuni 10

riigiasutust.

Platvorm

Platvorm võimaldab TTJA raadiomonitooringujaamadele kaugelt ligipääsu väljastpoolt

domeenivõrku.

Platvorm on süsteem, mis jagab raadiomonitooringu informatsiooni TTJA sisemistele

kasutajatele ja välistele kasutajatele, sisaldab kasutajate andmebaasi ning kasutajate

haldamist.

Platvormi kasutajaliides on veebipõhine.

Turvalisus ja üldnõuded

1. Platvormi turvameetmed üldnõuded peavad olema vastavuses:

1.1. Eesti infoturbestandardiga (E-ITS); vt Lisa 5 E-ITS Nõuded infoturbe halduse

süsteemile, 2022. Information System Authority. „Eesti infoturbe standard (E-

ITS)“. Viimati uuendatud 18.10.2024. https://www.ria.ee/en/cyber-

security/management-state-information-security-measures/information-

security-standard-e-its;

1.2. Etalonturbe mudelid veebirakendustele; vt Lisa 6 E-ITS Etalonturbe kataloog,

peatükk APP.3.1 Veebirakendused, lk 233-238. Riigi Infosüsteemi Amet. Eesti

infoturbe standard (E-ITS): Etalonturbe kataloog – APP.3.1 Veebirakendused.

Viimati uuendatud 27.12.2023. Kättesaadav:

https://eits.ria.ee/et/versioon/2023/eits-poohidokumendid/etalonturbe-

kataloog/app-rakendused/app3-voorguteenused/app31-veebirakendused;

Lisa 2

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

1.3. Etalonturbe mudelid veebiserverile; vt Lisa 6: E-ITS Etalonturbe kataloog,

peatükk APP.3.2 Veebiserver, lk 238–242. Riigi Infosüsteemi Amet. Eesti

infoturbe standard (E-ITS): Etalonturbe kataloog – APP.3.2 Veebiserver. Viimati

uuendatud 27.12.2023. Kättesaadav:

https://eits.ria.ee/et/versioon/2023/eits-poohidokumendid/etalonturbe-

kataloog/app-rakendused/app3-voorguteenused/app32-veebiserver

1.4. Kliimaministeeriumi haldusala mittefunktsionaalsete nõuetega; vt Lisa 7: KliM

haldusala tehnoloogiline profiil, 4.09.2024, lk 1–6 ning Lisa 8: KeMIT

Mittefunktsionaalsed nõuded, 4.09.2024. Keskkonnaministeeriumi

Infotehnoloogiakeskus. KliM haldusala tehnoloogiline profiil. Versioon 6.

Jõustumise kuupäev: 30.08.2024. Kättesaadav:

https://kemit.ee/tehnoloogia

2. Platvormi keel on inglise keel.

Autentimine ja kasutajahaldus

Kasutajateks on Eesti avaliku sektori asutused, kes vajavad raadioeetri olukorra

ülevaadet.

3. Kõiki kasutajaõigusi haldavad TTJA administraatori õigustes olevad kasutajad.

4. TTJA-l on õigus luua kontosid kõikidel tasemetel ning tal on ka volitus

administreerivate kasutajate loomiseks.

5. Kasutajate koguarv iga asutuse kohta on vaikimisi 5 kasutajat. Vajadusel saab

TTJA administraator kasutajate arvu muuta joonis 1;

6. Kasutaja autentimine toimub ID kaardi, Mobiil ID, Smart ID põhiselt Riigi

Infosüsteemi Ameti (RIA) teenuse TARA või GovSSO kaudu. Viit TARA teenuse

kirjeldusele ja näitele: https://www.ria.ee/en/state-information-system/electronic-

identity-eid-and-trust-services/central-authentication-services

GitHub - e-gov/TARA-Login: TARA login service, https://github.com/e-gov/TARA-

GovSSO-ExampleClient;

7. Platvorm peab sisaldama kasutajate haldamise süsteemi (liidest) kus:

6.1 Kasutajate tasemed on rakendatud vastavalt;

6.1.1 Administraator – mida saab teha: saab lisada, eemaldada, modifitseerida

administraatoreid, kohalike administraatoreid, kasutajaid. Lisada uusi

monitooringuseadmeid, lõpetada kasutajasessioone. Saab lisada,

eemaldada, peatada asutusi. Saab juhtida monitooringujaamade

vastuvõtjaid, antenne ja antennipöörajaid. Saab luua, eemaldada ja

muuta enda monitooringuvastuvõtja eelseadistusi;

6.1.2 Kohalik administraator – mida saab teha: saab lisada, eemaldada, muuta

kohalikke administraatoreid / kasutajaid. Saab juhtida

monitooringujaamade vastuvõtjaid, antenne ja antennipöörajaid. Saab

luua, eemaldada ja muuta monitooringuvastuvõtja eelseadistusi;

Lisa 2

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

6.1.3 Kasutaja – mida saab teha: saab juhtida monitooringujaamade

vastuvõtjaid, antenne ja antennipöörajaid. Saab luua, eemaldada ja

muuta monitooringuvastuvõtja eelseadistusi;

6.2 Kohalikud administraatorid saavad näha enda asutuse kasutajaid, ei saa näha

ega hallata teiste asutuste ega TTJA kasutajaid ega administraatoreid;

6.3 Administraatorid saavad näha kõiki võrgus olevaid ja mitte võrgus olevaid

(online/offline) kasutajaid, kaasa arvatud teiste asutuste kasutajaid, kohalik

administraator näeb ainul enda asutuse online/offline kasutajaid;

6.4 Administraator saab lisada, eemaldada ja seadistada monitooringujaamade

seadmeid – joonis 2 (raadiovastuvõtjad, suunamäärajad, antennipöörajad).

joonis 1 Kasutajate haldamise diagramm

Lisa 2

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

joonis 2 Seadmete haldamise diagramm

Lisa 2

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

Kasutajaliides

8. Platvormi kasutajaliides on rakendatud veebiserveri rakendusena – (avaneb

veebilehitsejas). Platvormi ühenduste skeemi näide joonis 3.

joonis 3 Platvormi ühenduste skeemi näide

9. Monitooringujaama kasutaja saab töötada aktiivse kasutajana (saab juhtida jaama)

või jälgijana. Kui monitooringujaam on hõivatud ühe kasutaja poolt aktiivse kasutaja

õigustega, siis teistel kasutajatel on samaaegselt võimalik kasutada sama jaama

jälgija õigustega (ei saa jaama juhtida). Jälgida on võimalik juhul kui aktiivne

kasutaja on sessiooni alguses märkinud, et sessioon on jälgitav. Jälgija näeb

täpselt sama ekraani mida aktiivne kasutaja, aga ei saa midagi juhtida.

10. Kõik kasutajad näevad monitooringujaama kasutajate arvu hetkeseisu ning

järjekorras ootavate kasutajate arvu, järjekorra numbrit, kes soovivad kasutada

jaama aktiivse kasutajana.

11. Aktiivse kasutaja sessioon kestab vaikimisi 0.5h. Sessioon pikeneb automaatselt

juhul kui järjekorras ei ole teisi kasutajaid ootel. See võimaldab ennetada seda, et

jaam ei jääks lukustatud ühele kasutajale. Administraatori õigustega kasutaja saab

sessiooni vaikimisi kestusaega muuta.

12. Jaama aktiivse sessiooni (ilma järjekorrata) ülevõtmine või katkestamine on

erandkorras lubatud, juhul kui see on vältimatult vajalik. Seda toimingut tohib teha

ainult TTJA administraatori õigustega kasutaja või vastava asutuse volitatud

kohaliku administraatori õigustega kasutaja.

Mõõtmise funktsionaalsus

13. Kasutaja saab juhtida monitooringujaama vastuvõtjat „vastuvõtja“ režiimis

(Receiver mode) - (vaata peatükki 20, 21), „panoraamskanner“ režiimis (Panorama

Lisa 2

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

scan mode) - (vaata peatükki 22, 23) või „raadiosuuna määraja“ režiimis (Direction

Finding mode) (vaata peatükki 27-29).

14. Raadiovastuvõtja režiimis on jaama häälestamine kasutajaliideses lihtsustatud

seadistustega - lihtsustatud mõõterežiim (simplified settings). Kasutaja saab valida

konfiguratsiooni eelseadistuste menüüst sobiva seadistuse (vaata peatükki14).

Kommentaar: Näiteks kasutaja saab valida „näita VHF mereside sagedusriba“,

„lennunduse sagedusriba“, või mõnda muud sagedusriba - joonis 4, suurenda sisse

– välja nupud (zoom in, zoom out), jne.

15. Lihtsustatud mõõterežiimis on valikus enimlevinud sagedusalade eelseadistused,

mis on järgmised:

15.1. FM Raadio;

15.2. Lennuside raadio;

15.3. Liikuv maaside/mereside;

15.4. Mobiilside võrgud;

15.5. Segaja tuvastamine;

15.6. 2,4 GHz Wifi sagedusriba;

15.7. GNSS L1.

16. Lihtsustatud mõõterežiimis saab kasutaja luua enda eelseadistusi – joonis 4:

joonis 4 Raadiovastuvõtja eelseadistuste näide

17. Vastuvõtja kesksagedust (Center frequency) saab muuta klikkides sagedus-spektri;

18. Kasutajaliides võimaldab juhtida kahte erinevat tüüpi monitooringujaama seadmeid

– joonis 5.

18.1. Raadiosuuna määraja;

18.2. Pööratava suundantenniga raadiovastuvõtja.

Lisa 2

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

joonis 5 Kahte erinevat tüüpi seadmete ühendusskeem

Raadiovastuvõtja juhtimine

19. Kasutajaliidese vaates on juhtimisnupud (Control bar), spektriaken, feekosk

diagrammi aken ja antennipööraja juhtimise aken. Kasutaja saab aktiveerida ja

deaktiveerida aknaid vastavalt vajadusele. Vajadusel saab muuta akende suurust;

20. Platvorm peab võimaldama juhtida järgmisi seadmeid:

20.1. Rohde&Schwarz EM200;

20.2. Rohde&Schwarz DDF255;

20.3. Rohde&Schwarz EB200;

20.4. Siemens tööstuskontroller S7-1200 (java- and json skriptid – Lisa 4).

Raadiovastuvõtja režiim - Receiver mode

21. Vasuvõtja režiimis saab kasutaja monitoorida (seirata) raadioeetrit vastuvõtja

reaalaja sagedusriba ulatuses. Samuti saab dekodeerida ja kuulata helisignaale.

22. Häälestatavad parameetrid vastuvõtja režiimis:

22.1. Antenni valik;

22.2. Kesksagedus – numbriline sisestusaken või klikkides sagedusspektri

aknas soovitud sagedusel;

22.3. Sagedusspektri akna ribalaius (span size) – ripploend

22.4. Lisada, eemaldada sagedusspektri markereid;

22.5. Valida modulatsiooni tüüpi – AM (6 kHz), FM (15/16 kHz), WFM (120

kHz);

Lisa 2

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

22.6. Helisignaal – ON, OFF, (Häälestatav nivoo liugur);

22.7. Müralukusti – ON, OFF, (Häälestatav nivoo liugur);

22.8. Spektri mähisjoone režiimid – Maksimumi joon, kirjuta üle, keskmista

(MAX hold, clear/write, AVG);

22.9. Attenuaator, mõõteaeg ja teised spetsiifilised parameetrid häälestatakse

vastuvõtjas automaatselt. RS eelvõimendi on normaalreziimil.

Panoraamskanneri režiim

23. Panoraamskanner võimaldab monitoorida (seirata) laiemat sagedusriba kui

vastuvõtja reaalaja sagedusriba. Ei võimalda dekodeerida ega kuulata

helisignaale;

24. Häälestatavad parameetrid panoraamskanneri režiimis:

24.1. Start ja stopp sagedus – numbrilised sisestusaknad;

24.2. Sagedussammu suurus - ripploend;

24.3. Käivita ja peata skaneerimine – nupud;

24.4. Spektri mähisjoone režiimid – Maksimumi joon, miinimumi joon (MAX-,

MIN hold);

Antennipööraja juhtimine

25. Antennipööraja juhtimine võimaldab kasutajal näha ja muuta vastuvõtuantenni

suunanurka ja polarisatsiooni. Kasutaja saab aktiveerida kaardiakna kus on näha

antenni positsioon maakaardil;

26. Antennipööraja kontrolleri juhtimise kirjeldus asub Lisas 4;

27. Antennipööraja juhtimise häälestatavad parameetrid on järgmised:

27.1. Antenni asimuudinurk – Numbriline sisestusaken (0 … 360°), Start -

Stopp nupud;

27.2. Antenna Polarization – HOR, VER, Change button.

Suunamääraja juhtimine

28. Suunamääraja režiim (DF) on võimalik siis kui monitooringujaamal on vastav

võimekus olemas. Vastuvõtja juhtimine on sama, mis vastuvõtja režiimilgi – see on

kirjeldatud punktides 18 … 21;

29. DF režiim võimaldab kasutajal tuvastada raadiosignaali suunda elektrooniliselt,

ilma antenni pööramata. Tulemuseks kuvatakse numbriliselt raadiosignaali asimuut

vastuvõtuantenni suhtes või kuvatakse vektorina maakaardil. Kasutaja saab

aktiveerida või deaktiveerida kaardiakna.

30. DF režiimi häälestatavad parameetrid:

1. DF režiim – pidev, lävinivooga, normaalrežiim;

2. DF lävinivoo – häälestatav nivoo liugur;

3. DF aeg – ripploend;

4. DF sagedusriba (BW) – ripploend.

Lisa 2

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

Staatuse monitoorimine

Eesmärk on anda ülevaade, et millises konditsioonis iga monitooringujaam parasjagu

on.

31. Staatuse monitooringu funktsionaalsus annab monitooringujaamade ülevaate

reaalajas. Jaama staatus kuvatakse maakaardi vaates ja tabeli vaates;

32. Implementeeritud staatuste nimekiri:

32.1. Ühendatud (Online) – monitooringujaam on saadaval ja ei ole hõivatud;

32.2. Hõivatud (Busy) – monitooringujaam on teise kasutaja poolt hõivatud;

32.3. Hõivatud, jälgitav (Busy, observable) – monitooringujaam on teise

kasutaja poolt hõivatud, aga on jälgitav;

32.4. Ühenduseta (Offline) – monitooringujaam ei ole saadaval.

33. Administraator saab käsitsi määrata jaama staatust „hõivatud“ või „ühenduseta“;

34. Staatuse monitoorimise aknas saab kasutaja valida endale tööjaama, tööjaam

avatakse uues aknas.

Laiendatud funktsionaalsus.

35. Monitooringujaama konfigureerimisel (häälestamisel) kasutajaliideses, kasutaja

saab valida lihtsustatud (eelseadistustega) või detailse (täiustatud parameetritega)

juhtimisrežiimi;

36. Täiustatud režiim võimaldab kasutajal muuta kõiki parameetreid, mida vastuvõtja

toetab;

37. Kasutaja saab teha sagedusspektrist kuvatõmmiseid, samuti veekoskdiagrammist;

38. Kasutaja saab salvestada raadioeetrist vastuvõetud sagedusriba põhiriba

kompleks IQ signaalina (baseband complex IQ);

39. Kasutajatel on piiratud juurdepääs Skudra serveri logifailidele.

Lisa 2

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

UNOFFICIAL TRANLATION FROM ESTONIAN

TECHNICAL SPECIFICATION „Sharing platform“

CONTRACTING AUTHORITY: Consumer Protection and Technical Regulatory Authority

(TTJA)

OBJECTIVE OF THE PROCUREMENT: The purpose of the procurement is to conclude a

three-year framework agreement for the Consumer Protection and Technical Regulatory

Authority concerning the improvement of the automatic radio signal detection software Skudra.

This includes technical support, acquisition of additional licenses, and software development.

This annex outlines the technical specifications of Skudra software development in order to

create raadio monitooring system sharing platform.

Terms of reference for the TTJA radio monitoring

system sharing platform Locator

Project definition

The purpose of the project is to create a web platform which allows users from outside

of TTJA (Estonian Consumer Protection and technical Regulatory Authority) to connect

into TTJA radiofrequency monitoring network, control monitoring stations and receive

real time monitoring results. The platform is expected to have between 5 and 10

government agencies as users.

Platform

Platform allows remote access to the TTJA radio monitoring stations from outside of

domain network.

This platform is defined as a system, which shares radio monitoring information

between TTJA internal and external networkusers. And includes user management

with user database:

The platform user interface is web based.

Security and general requirements

1. The security measures of the platforms must comply with:

1.1. The Estonian Information Security Standard (E-ITS): See Appendix 5: Lisa 5

E-ITS Nõuded infoturbe halduse süsteemile, 2022. Information System

Authority. “Estonian Information Security Standard (E-ITS).” Last updated:

18.10.2024. Available at: https://www.ria.ee/en/cyber-security/management-

state-information-security-measures/information-security-standard-e-its;

Lisa 2

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

1.2. Etalon security models for web application: See Appendix 6: Lisa 6 E-ITS

Etalonturbe kataloog, Chapter APP.3.1 Web Applications, pp. 233-238.

Information System Authority. Estonian Information Security Standard (E-ITS):

Etalon security models for web application - APP.3.1 Web Applications. Last

updated: 27.12.2023. Available at:

https://eits.ria.ee/et/versioon/2023/eits-poohidokumendid/etalonturbe-

kataloog/app-rakendused/app3-voorguteenused/app31-veebirakendused

1.3. Etalon security models for web server: See Appendix 6: E-ITS Etalonturbe

kataloog, Chapter APP.3.2 Web Server, pp. 238-242. Information System

Authority. Estonian Information Security Standard (E-ITS): E-ITS Etalon turbe

kataloog - APP.3.2 Web Server. Last updated: 27.12.2023. Available at:

https://eits.ria.ee/et/versioon/2023/eits-poohidokumendid/etalonturbe-

kataloog/app-rakendused/app3-voorguteenused/app32-veebiserver

2. The language for the platform is English.

Authentication and user management

Users are Estonian public sector institutions that need to control the situation on the

radio ether.

3. All user permissions are managed by users with TTJA administrator rights;;

4. TTJA has the right to create accounts at all levels and is also authorized to create

administrative users.

5. The right to use the platform is granted on a per-person basis, with 5 users per

institution. The maximum number of users per institution can be changed by

administrator figure 1;

6. User authentication is performed using the ID, Mobile ID, Smart ID service of the

Estonian Information System Authority – TARA or GovSSO. Description for the

authentication solution is found at https://www.ria.ee/en/state-information-

system/electronic-identity-eid-and-trust-services/central-authentication-services

GitHub - e-gov/TARA-Login: TARA login service, https://github.com/e-gov/TARA-

GovSSO-ExampleClient;

7. The platform must have user management system where:

6.5 User levels are implemented accordingly:

6.5.1 Administrator - what can do - can create modify and delete

administrators, local administrators, users.Add and remove devices

(receivers,antennas and antenna rotators). Add, remove or stop

instances. Close user sessions. Can control monitoring station receivers,

antennas and rotators, can create and edit receiver presets;

6.5.2 Local Administrator - what can do - can create modify and delete local

administrators/users, can control monitoring station receivers, antennas

and rotators, can create and edit receiver presets;

6.5.3 User - what can do - can control monitoring station receivers, antennas

and rotators, can create and edit own receiver presets.

Lisa 2

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

6.6 Local administrators can see the user in his institution and cannot see or

manage the list of users of other institutions;

6.7 Administrator can see all online / offline users including other institution users.

TTJA local administrator can check by name only TTJA users;

6.8 Administrator can add, remove and configure monitoring station devices

figure 2 (receivers, direction finders, antenna rotators).

Figure 6 User management plan

Lisa 2

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

Figure 7 Device management plan

Lisa 2

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

User interface

8. The platform's user interface is implemented on a webserver application - (opens

in a web browser). Example if platform connections schematic in figure 3;

figure 8 Platform connections schematic example

9. A user of the monitoring station can operate either as an active user (with control

over the station) or as an observer. If the monitoring station is occupied by one user

with active user rights, other users can simultaneously access the same station with

observer rights (without control capabilities). Observation is possible only if the

active user has marked the session as observable at the start (checkbox). The

observer sees exactly the same screen as the active user but cannot control

anything.;

10. All users can see the current number of users on the monitoring station, the number

of users waiting in queue, and their queue number, who wish to use the station as

an active user.;

11. The active user session lasts by default 0.5h. The session is automatically extended

if there are no other users in the queue. This helps prevent the station from

remaining locked to a single user. A user with administrative rights can modify the

default session duration.;

12. Taking over or terminating an active session on the station (without queuing) is

permitted only in exceptional cases when strictly necessary. This action

(disconnecting the active user) may only be performed by a user with TTJA

administrative rights or by a locally authorized user with administrative rights from

the respective institution.;

Lisa 2

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

Measurement functionality

13. The user can control the stations in Receiver mode (see paragraphs 20, 21),

Panorama scan mode (see paragraphs 22, 23) or in Direction Finding mode (see

paragraphs 27-29);

14. In Receiver mode simplified settings are used and user can also select the

configuration presets (see paraghraph 14). Comment: For example, you can select

“display VHF marine, aviation or other frequency range” figure 4, zoom in, zoom

out buttons, etc;

15. Simple measurement mode has configuration presets for typical scenarios which

are:

15.1. FM Radio;

15.2. Aviation radio;

15.3. Land mobile/maritime radio;

15.4. Mobile network;

15.5. Jammer Detection;

15.6. 2,4 GHz Wifi band;

15.7. GNSS L1.

16. In simple measurement mode user can create his own presets and save them -

figure 4;

figure 9 Receiver presets example

17. Clicking on the spectrum window changes the centre frequency;

18. Two different types of stations (nodes) can be controlled via the user interface –

figure 5.

18.1. Radio direction finder;

18.2. Radio receiver with directional antenna.

Lisa 2

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

figure 10 Two type of nodes

Receiver Control

19. In the UI view are control bar, spectrum window, waterfall window and antenna

rotator control window. The user can activate and deactivate windows as needed,

as well as resize them;

20. The platform must be able to control the following receivers and equipment:

20.1. Rohde&Schwarz EM200;

20.2. Rohde&Schwarz DDF255;

20.3. Rohde&Schwarz EB200;

20.4. Siemens industrial controller S7-1200 (java- and json scripts included in

Annex 4).

Receiver mode

21. Receiver mode allows user to monitor the receiver's real-time bandwidth of the

radio ether. Also allows to decode and listen audio signals;

22. Adjustable parameters in Receiver mode:

22.1. Antenna selection;

22.2. Centre frequency – Via the numeric input box or by click on the spectrum

screen;

22.3. Frequency spectrum window span size – drop down list;

22.4. Add, remove frequency marker;

22.5. Select modulation type – AM (6 kHz), FM (15/16 kHz), WFM (120 kHz);

Lisa 2

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

22.6. Audio signal – ON, OFF, (Adjustable volume slider);

22.7. Squelch – ON, OFF, Adjustable level slider;

22.8. Trace line modes – MAX hold, clear/write, AVG;

22.9. Attenuator, measurement time and other specific parameters are

adjusted automatically. Gain amp is in Normal mode.

Panorama Scan mode

23. Panorama scan allows monitoring of a wider frequency band. Does not allow

decoding of audio signals;

24. Adjustable parameters in Panorama scan mode:

24.1. Start and Stop frequency – Numeric input boxes;

24.2. Frequency step size - Drop-down list;

24.3. Run and Stop scan – buttons;

24.4. Trace line modes - MIN and MAX hold.

Antenna Rotator control

25. Antenna Rotator control allows user to change and see the direction and

polarization of the receiving antenna. The user can activate the map view window,

which shows the antenna current direction;

26. Antenna Rotator control interface description is in Annex 4;

27. Adjustable parameters in Antenna Rotator:

27.1. Antenna azimuth angle – Numeric input box (0 … 360°), Start - Stop

button;

27.2. Antenna Polarization – HOR, VER, Change button.

Direction finding control

28. Direction finding (DF) mode is available on a station with direction finding capability.

The control of this receiver is the same as described above;

29. DF mode allows the user to detect the direction of the radio signal electronically,

without changing the direction of the antenna. DF requires the station to have the

appropriate capability. The result (azimuth) is displayed numerically or on a map.

User can activate or deactivate the map;

30. Adjustable parameters in DF mode:

30.1. DF mode – Continues, Gate, Norm;

30.2. DF squelch – Adjustable level slider;

30.3. DF time – Drop down menu;

30.4. DF bandwidth (BW) – Drop down list.

Status monitoring

The purpose is to give an overview in which condition are the monitoring network

instances (monitoring sites)

Lisa 2

Hankedokumentide „Tuvastustarkvara Skudra täiendamine“ juurde

31. Status monitoring functionality gives real-time status of monitoring sites. The status

is indicated on a map and table view;

32. Implemented list of status:

32.1. Online – monitoring station is available and not occupied;

32.2. Busy – monitoring station is occupied by another user;

32.3. Busy, observable – monitoring station is occupied by another user, but

obserable;

32.4. Offline – monitoring station is not available.

33. Administrator has the possibility to manually set the status to “busy” or “offline”;

34. From the status monitoring screen the user can select the station for operation and

the station is opened in another tab;

Extended functionality

35. When configuring (tuning) the monitoring station in the user interface, you can

choose between simple (preset) or detailed (advanced) mode;

36. Advanced mode allows user to select all parameters that the receiver supports;

37. User can take screenshots of the radio spectrum and trace spectrum line (trace

line) with a waterfall (record);

38. User can record baseband complex IQ;

39. Users have limited accessibility to Skudra server logfiles.

Lisa 3

Raamlepingu projekt

Raamleping nr …

Tarbijakaitse ja Tehnilise Järelevalve Amet, registrikood 70003218, asukoht Endla 10a,

Tallinn 10122, mida esindab peadirektor Kristi Talving (edaspidi “Teenuse saaja” või

“TTJA”)

ja

…, registrikood …, asukoht …, mida põhikirja/volikirja alusel esindab juhatuse liige/…

… (edaspidi „Teenuse osutaja“)

keda edaspidi nimetatakse üheskoos kui Pooled ja eraldi kui Pool,

võttes arvesse, et:

- Teenuse saaja korraldas väljakuulutamiseta läbirääkimistega riigihanke

„Tuvastustarkvara Skudra täiendamine“;

- Teenuse saaja tunnistas hankemenetluses pp.kk.aaaa protokolliga nr … edukaks

Teenuse osutaja pakkumuse,

sõlmisid käesoleva raamlepingu (edaspidi „Leping“) alljärgnevas:

1. Lepingu dokumendid 1.1. Lepingu dokumendid koosnevad käesolevast Lepingust, Lepingu lisadest ning

Lepingu võimalikest muudatustest, milles lepitakse kokku pärast Lepingu

allkirjastamist.

1.2. Lepingu allkirjastamise hetkel on sellel järgnevad lisad:

1.2.1. Lisa 1 – TTJA pp.kk.aaaa pakkumuse kutse;

1.2.2. Lisa 2 – Teenuse osutaja pp.kk.aaaa pakkumus.

2. Lepingu ese ja eesmärk

2.1. Lepingu esemeks on esemeks on automaatse raadiosignaalide tuvastustarkvara

Skudra täiustamine, mis sisaldab endas tehnilist tuge, täiendavate litsentside

soetamist ja tarkvara arendustöid.

2.2. Käesoleva Lepingu alusel osutab Teenuse osutaja TTJA-le teenuseid ja teostab

arendustöid, mis on määratletud lisa 1 tehnilistes kirjeldustes ning täpsustatud lisas

2 (edaspidi ühiselt „Teenused“).

2.3. Käesolev Leping on raamleping riigihangete seaduse tähenduses. Lepingus

sätestatakse tingimused, mille alusel sõlmitakse hankelepingu(d) Lepingu

kehtivuse jooksul. Leping ei too kaasa kohustust sõlmida hankelepinguid.

2.4. Kui raamlepingu alusel sõlmitud hankelepingu tingimused erinevad käesoleva

Lepingu tingimustest, peavad need olema TTJA jaoks soodsamad.

3. Hankelepingu sõlmimise kord 3.1. TTJA esitab Teenuse osutajale e-posti teel tellitavate Teenuste kirjelduse ning

tingimused, millele tellitavad Teenused peavad vastama, samuti Teenuste

osutamisega seotud tähtaja (edaspidi „Tööde kirjeldus“).

Lisa 3

Raamlepingu projekt

3.2. Teenuse osutaja koostab ja edastab TTJA-le e-posti teel pakkumuse (edaspidi

„Pakkumus“) viie tööpäeva jooksul alates Tööde kirjelduse edastamisest. TTJA

võib määrata Pakkumuse esitamiseks pikema tähtaja, kui see on vajalik, ning see

märgitakse Tööde Kirjelduses.

3.3. Pärast punktis 3.2 nimetatud tähtaja möödumist esitatud Pakkumusi ei arvestata.

3.4. Pakkumus peab vastama kõigile Tööde kirjelduses esitatud tingimustele,

Lepingule ning sisaldama kogu vajalikku teavet.

3.5. Pakkumuse summa peab tuginema Lisas 2 sätestatud hindadele.

3.6. Pakkumuses esitatud summa (km-ta) on lõplik ja peab sisaldama kõiki kulusid,

mis on vajalikud Pakkumuse täitmiseks.

3.7. TTJA vaatab Pakkumuse läbi viie tööpäeva jooksul alates selle esitamisest,

kontrollib selle vastavust Tööde kirjeldusele ning Lepingu tingimustele ja

otsustab, kas võtta Pakkumus vastu ning sõlmida hankeleping, või lükata

Pakkumus tagasi.

3.8. TTJA teavitab Teenuse osutajat oma otsusest e-posti teel. Kui TTJA otsustab

Pakkumuse vastu võtta, sõlmitakse Poolte vahel kirjalik hankeleping. Tööde

kirjeldus ja Pakkumus saavad hankelepingu lahutamatuks osaks.

3.8.1. Juhul kui Pakkumuse summa on kuni 14999,99 eurot (ilma km-ta), võivad

Pooled lugeda hankelepingu sõlmituks lihtsustatud korras. Sellisel juhul on

hankelepinguks Teenuse osutaja esitatud Pakkumus ja TTJA poolt

Pakkumusele esitatud kinnitus. Poolte esindajad või Lepingus märgitud

kontaktisikud allkirjastavad Pakkumuse ja Pakkumusele esitatud kinnituse

üheskoos.

4. Hankelepingu täitmine 4.1. Hankelepingu täitmisel järgitakse Tööde kirjelduses ja Pakkumuses sätestatud

tingimusi ning tähtaegu.

4.2. Teenuse osutaja vastutab Teenuste osutamisel heade äritavade ja õigusaktide

järgimise eest. Kui hankelepingu täitmiseks on vajalikud load vms, kohustub

Teenuse osutaja need eelnevalt hankima ning selliste lubade vms hankimine ei tohi

kaasa tuua täiendavaid kulusid TTJA-le.

4.3. Teenuse osutaja täidab oma lepingulisi kohustusi vastavalt käesolevas Lepingus

ja/või hankelepingus sätestatud tingimustele ning parima tava kohaselt kehtivatele

nõuetele, standarditele ja normidele.

4.4. Hankelepingu täitmise käigus on TTJA-l õigus kontrollida tööde ja teenuste

kvaliteeti, mahtu ja vastavust Lepingus ja/või hankelepingus sätestatud

tingimustele.

4.5. Teenuse osutaja on kohustatud viivitamata teavitama TTJA-d kõikidest

probleemidest, mis takistavad või võivad takistada Lepingu ja/või hankelepingu

alusel osutatavate Teenuste täitmist.

4.6. Teenuse osutaja tagab TTJA mõistliku kaasamise Teenuste osutamise protsessi,

vältimaks ajakavast kõrvalekaldeid ja muid negatiivseid tagajärgi.

5. Teenuste üleandmine 5.1. Teenuse osutaja poolt osutatud Teenused antakse TTJA-le üle või täidetakse

vastavalt käesolevas Lepingus ja hankelepingus kokkulepitud tingimustele.

Lisa 3

Raamlepingu projekt

5.2. Teenuse osutaja koostab Teenuste üleandmise ja vastuvõtmise akti, milles

kirjeldatakse üleantavaid Teenuseid ja teostatud tegevusi (edaspidi „Akt“).

5.3. TTJA vaatab Teenuse oustaja poolt esitatud Akti üle 5 tööpäeva jooksul arvates

Akti esitamisest TTJA-le. Kui Teenused vastavad käesoleva Lepingu ja

hankelepingu tingimustele, võtab TTJA Teenused vastu, allkirjastab

vastavasisulise üleandmis-vastuvõtmise akti ning teavitab sellest e-kirja teel

Teenuse osutaja kontaktisikut. Juhul, kui TTJA ei ole esitanud Teenuse oustajale

kirjalikke pretensioone 5 tööpäeva jooksul arvates Akti TTJA-le esitamise päevast,

on Teenuse osutaja õigustatud lugema Teenused vastuvõetuks.

5.4. Juhul, kui TTJA-l on pretensioone Teenuse kvaliteedi või Lepingu ja/või

hankelepingu tingimustele vastavuse osas, teavitab ta sellest Teenuse osutajat e-

kirja teel ning osutab konkreetsele puudusele lõplikus Teenuses ja määrab

mõistliku tähtaja puuduse kõrvaldamiseks või uue, Lepingu tingimustele vastava

Teenuse osutamiseks.

5.5. Kui Teenuse osutaja ei kõrvalda puudusi määratud tähtajaks, on TTJA-l õigus

hoiduda hankelepingust tulenevate maksete tegemisest kuni puuduste

kõrvaldamiseni.

5.6. Pärast puuduste ja vigade likvideerimist koostatakse üleandmise-vastuvõtmise akt

Poolte vahel vastavalt punktile 5.3.

5.7. Poolte poolt allkirjastatud Teenuste üleandmise-vastuvõtmise akt on aluseks

TTJA-le arve esitamiseks, välja arvatud kui hankelepingus ei ole kokku lepitud

teisiti.

6. Tasu väljamaksmise tähtaeg ja kord

6.1. TTJA tasub Teenuse osutajale Teenuste eest vastavalt Lepingule, hankelepingule

ja väljastatud arvele pärast punktis 5.3 nimetatud Akti allkirjastamist.

6.2. Teenuste eest tasumise tähtaeg arvel ei tohi olla lühem kui 21 kalendripäeva alates

arve esitamisest.

6.3. Arve tuleb saata aadressile [email protected] ja koopia aadressile [email protected]

masinloetavas vormis PDF-failina, või masintöödeldaval kujul vastavalt kehtivale

e-arve standardile.

6.4. Arve loetakse kättesaaduks alates päevast, mil arve registreeritakse TTJA

süsteemis.

6.5. Arvel tuleb märkida kontaktisiku nimi, hankelepingu number ning viide Aktile ja

osutatud Teenustele.

7. Kontaktisikud ja teabevahetuse kord 7.1. Tellija kontaktisik Lepinguga ja hankelepinguga seotud küsimustes, kellel on muu

hulgas õigus võtta vastu Teenused, on: Erko Kulu, telefon: 6672120, e-post:

[email protected].

7.2. Teenuse osutaja kontaktisik Lepinguga ja hankelepinguga seotud küsimustes,

kellel on muu hulgas õigus anda üle Teenused, on: …, telefon …, e-post: ….

7.3. Lepingus nimetatud Poolte kontaktisikutel on Lepingu ja/või hankelepingu

täitmise käigus õigus esitada vastastikku järelepärimisi, edastada Lepingu ja/või

hankelepingu täitmisega seotud vajalikku informatsiooni ja dokumentatsiooni,

kontrollida Lepingu ja/või hankelepingu täitmise käiku ja ajakavast kinnipidamist,

Lisa 3

Raamlepingu projekt

küsida juhiseid, vastu võtta hankelepingu täitmise käigus koostatavaid

kokkuvõtteid ja muid kirjalikke dokumente, samuti teha muid Lepingus ja/või

hankelepingus sätestamata toiminguid, mis on vajalikud Lepingu ja/või

hankelepingu eesmärgi saavutamiseks.

7.4. Lepingus nimetatud Poolte kontaktisikutel ei ole õigust Lepingu ega hankelepingu

muutmiseks, v.a. juhul, kui Pool on andnud oma kontaktisikule eraldi sellekohase

volikirja.

7.5. Informatiivsed teated võib edastada telefoni teel. Juhul, kui teate edastamisel on

õiguslikud tagajärjed, peab teade olema edastatud kirjalikult Lepingus nimetatud

postiaadressile või Poole esindaja poolt allkirjastatuna Lepingus nimetatud e-posti

aadressile.

7.6. Lepingu Pool on kohustatud vastust eeldavale teatele vastama 3 tööpäeva jooksul

selle kätte saamisest arvates, kui teates ei ole vastamiseks ette nähtud pikemat

tähtaega.

7.7. Poole teade loetakse teise Poole poolt kätte saaduks:

7.7.1. samal päeval, kui teade on saadetud elektroonilisel teel kontaktisiku e-posti

aadressile tööpäeval enne kella 15.00;

7.7.2. järgmisel tööpäeval, kui teade on saadetud elektroonilisel teel kontaktisiku

e-posti aadressile tööpäeval pärast kella 15.00

7.7.3. järgmisel tööpäeval, kui teade on saadetud elektroonilisel teel kontaktisiku

e-posti aadressile puhkepäeval.

8. Konfidentsiaalsus ja isikuandmete töötlemine

8.1. Pooled on kohustatud Lepingu ja/või hankelepingu kehtivuse ajal ning tähtajatult

pärast Lepingu ja/või hankelepingu lõppemist mitte avaldama üksteist puudutavat

ega Lepingu ja/või hankelepingu täitmise käigus saadud konfidentsiaalset infot.

Konfidentsiaalse info all mõistavad Pooled teineteisele antud igasugust infot, sh

ärisaladust, intellektuaalset omandit, isikuandmeid, mis ei ole kolmandatele

isikutele üldises korras kättesaadav, samuti infot, mida nad on saanud

kolmandatelt isikutelt, kui Pool teab või peaks teadma, et info on konfidentsiaalne.

Kahtluse korral eeldatakse informatsiooni konfidentsiaalsust.

8.2. Pooled ei loe konfidentsiaalseks infot, mis on avalikustatud juba enne selle andmist

teisele Poolele või mis avalikustatakse Pooltest sõltumatult, välja arvatud juhul,

kui Poolel on võimalik avalikustamist ära hoida.

8.3. Töövõtja kohustub kasutama konfidentsiaalset informatsiooni üksnes Lepingu

ja/või hankelepingu kehtivuse ajal, Lepingust ja/või hankelepingust tulenevate

kohustuste täitmiseks ning vastavalt Lepingus ja/või hankelepingus sätestatule.

8.4. Pooled toimivad isikuandmete töötlemisel vastavalt isikuandmete kaitse

üldmäärusele ja isikuandmete kaitse seadusele. Pooled loevad isikuandmeteks

mistahes andmed tuvastatud või tuvastatava füüsilise isiku kohta, sõltumata sellest,

millisel kujul või millises vormis need andmed on. Pooled kohustuvad kohaldama

asjakohaseid infoturbe meetmeid, sh isikuandmete kaitse üldmääruse artiklis 32

sätestatud isikuandmete turvalisuse tagamise meetmeid, tagamaks

konfidentsiaalse info kaitse. Vastavasisulise nõude saamisel teeb Pool mõistliku

aja jooksul teisele Poolele kättesaadavaks kogu teabe, mis on vajalik tõendamaks

asjakohaste tehniliste ja korralduslike meetmete rakendamist.

Lisa 3

Raamlepingu projekt

9. Autoriõigused 9.1. Intellektuaalomandi õigused hõlmavad kõiki autoriõigusi ja sellega seotud õigusi,

mis tulenevad Lepingu ja/või hankelepingu täitmisest.

9.2. Kui hankelepingus ei ole kokku lepitud teisiti, kohaldavad Pooled intellektuaalse

omandiga seonduvalt järgmisi punkte:

9.2.1. Teenuse osutaja poolt Teenuse osutamise käigus loodust tulenev

intellektuaalne omand kuulub Teenuse osutajale.

9.2.2. Teenuse annab TTJA-le lihtlitsentsi Teenuse osutamise käigus loodu

kasutamiseks kogu autoriõiguste kehtivuse ajaks, kasutusvajaduse ära

langemiseni ning ilma territoriaalsete piiranguteta.

9.2.3. Juhul, kui kolmas isik esitab TTJA-le autoriõigustega seonduvaid nõudmisi,

hüvitab Teenuse osutaja TTJA-le kõik sellistest nõudmistest tulenevad kahjud

ja kulud.

9.3. Pooled annavad üle ja võtavad vastu Lepingus nimetatud intellektuaalse omandi

õigused ilma, et selleks oleks vaja teha täiendavaid tahteavaldusi või sõlmida

täiendavaid lepinguid, isegi juhul, kui vastavad õigused tekivad või lähevad üle

tulevikus. Pool on kohustatud väljastama kirjaliku kinnituse teisele Poolele

eelnimetatud õiguse üleandmise kohta 7 kalendripäeva jooksul alates Poolelt

vastava nõude saamisest.

9.4. Tasu autoriõiguste eest sisaldub hankelepingus märgitud tasus. Teenuse osutajal

puudub õigus täiendavate tasude ja maksete nõudmiseks.

10. Vastutus 10.1. Lepingust ja/või hankelepingust tulenevate kohustuste täitmata jätmisega

või mittenõuetekohase täitmisega teisele Poolele tekitatud otsese varalise kahju

hüvitab kahju tekitanud Pool teise Poole nõudel.

10.2. Hankelepingust tulenevate rahaliste kohustuste täitmisega viivitamise

korral on Poolel õigus nõuda kohustust rikkunud Poolelt viivist iga viivitatud

päeva eest tähtaegselt tasumata summast 0,15% päevas.

10.3. Juhul, kui TTJA-st mitteolenevatel põhjustel ei osuta Teenuse osutaja

Teenuseid tähtaegselt, on TTJA-l õigus nõuda Teenuse osutajalt leppetrahvi 0,5%

hankelepingus märgitud tasust iga viivitatud kalendripäeva eest, maksimaalselt

kuni 15% hankelepingus märgitud tasust.

10.4. Kui Teenuste osutamine kaldub kõrvale kokkulepitud ajakavast, ei ole

Teenuse osutajal õigust nõuda kahju hüvitamist, välja arvatud juhul, kui kahju on

tekkinud TTJA otsese süü tõttu.

10.5. Kui Teenuse osutaja viivitus on põhjustatud TTJA-st, on Teenuse osutajal

õigus nõuda mõistlikku ajakava ja/või tähtaegade pikendamist. Teenuse osutaja

kohustub viivitamata teavitama TTJA-d viivitusest või selle võimalikkusest ja

tagajärgedest taasesitamist võimaldavas vormis.

10.6. Kui Pool rikub punktis 8 ja/või 9 nimetatud kohustusi, on teisel Poolel õigus

nõuda rikkumise eest leppetrahvi summas 2000 eurot iga rikkumise kohta.

10.7. TTJA peatab maksete tegemise Teenuse osutajale täielikult või osaliselt,

kui:

10.7.1. Teenuse osutaja ei täida Lepingut ja/või hankelepingut;

Lisa 3

Raamlepingu projekt

10.7.2. Lepingu ja/või hankelepingu täitmise käigus või Teenustes ilmnevad

olulised puudused või muud olulised kohustuste rikkumised.

10.8. Teenuse osutaja võib peatada Teenuste osutamise täielikult või osaliselt,

kui:

10.8.1. TTJA viivitab hankelepingu alusel tasumisele kuuluva tasu maksmisega

enam kui 30 kalendripäeva.

10.9. Poolte vahelised erimeelsused Teenuste täitmisel, sealhulgas puuduste

kõrvaldamisel, lahendatakse esmalt Lepingu ja/või hankelepingu sätteid ja

eesmärke arvesse võttes.

10.10. Leppetrahvi nõudmine ei välista TTJA õigust kasutada teisi seadusega

ettenähtud õiguskaitsevahendeid, sh nõuda Lepingu täitmist ja/või kahju

hüvitamist. Leppetrahvi maksmine ja kahju hüvitamine ei vabasta Lepingut

rikkunud Poolt oma lepinguliste kohustuste edasisest täitmisest.

10.11. Leppetrahvinõue või teade leppetrahvinõude esitamise kavatsuse kohta

tuleb esitada 30 kalendripäeva jooksul kohustuse rikkumise avastamisest arvates.

Leppetrahvid ja viivised tuleb tasuda 14 kalendripäeva jooksul arvates vastava

nõude saamisest.

10.12. Pooltel on vastastikuse tasaarveldamise võimalus.

11. Lepingu jõustumine, muutmine ja lõpetamine 11.1. Leping jõustub pärast selle allkirjastamist viimase Poole poolt ja kehtib 36

kuud või kuni hankelepingute alusel tasutud 450 000 euro (käibemaksuta)

kogusumma täitumiseni või kuni Lepingu ennetähtaegse lõpetamiseni, välja

arvatud need sätted, mis oma olemusest lähtuvalt reguleerivad Pooltevahelisi

suhteid ka pärast Lepingu lõpetamist.

11.2. Lepingut ja/või hankelepingut võib muuta üksnes Poolte kirjalikul

kokkuleppel ja muudatused vormistatakse Lepingu lisana. Muudatused jõustuvad

pärast Poolte poolt allkirjastamist või Poolte poolt muudatuses märgitud tähtajal.

Lepingu muutmisel järgivad Pooled riigihangete seaduse §-s 123 sätestatud

tingimusi.

11.3. Poolte kontaktandmete muutumisest tuleb teist Poolt teavitada mõistliku aja

jooksul. Kontaktandmete muutmist ei loeta Lepingu muutmiseks punkti 11.2

mõistes.

11.4. Kumbki Pool võib Lepingu ja/või hankelepingu erakorraliselt ilma

etteteatamistähtajata üles öelda, kui ilmneb, et kõiki asjaolusid arvesse võttes ja

Poolte huve arvestades ei või oodata, et Lepingut ja/või hankelepingut üles öelda

sooviv Pool jätkaks Lepingu ja/või hankelepingu täitmist, eelkõige kui Pool on

jätnud Lepingust ja/või hankelepingust tuleneva kohustuse täitmata ega ole täitnud

vastavat kohustust temale antud täiendava tähtaja jooksul.

11.5. Lepingu ülesütlemise kohta edastab Pool teisele Poolele vastavalt punktile

7.5. kirjaliku Lepingu ülesütlemise avalduse.

11.6. Lepingu ja/või hankelepingu ülesütlemise korral on Teenuse osutajal õigus

nõuda tasu üksnes nende Teenuste eest, mis on tegelikult osutatud ja TTJA poolt

vastu võetud kuni Lepingu ja/või hankelepingu kehtivuse viimase kuupäevani.

Lisa 3

Raamlepingu projekt

11.7. Juhul kui Lepingu alusel sõlmitud hankeleping öeldakse üles

ennetähtaegselt, ei too see endaga kaasa käesoleva Lepingu ülesütlemist, välja

arvatud juhul kui hankelepingut üles ütlev Pool ütleb üles ka käesoleva Lepingu.

12. Lõppsätted

12.1. Pooled ei tohi Lepingust tulenevaid õigusi ja kohustusi kolmandale isikule

üle anda ilma teise Poole eelneva kirjaliku nõusolekuta.

12.2. Lepingust tulenevad vaidlused lahendatakse läbirääkimiste teel.

Kokkuleppe mittesaavutamisel lahendatakse vaidlus Eesti Vabariigi õigusaktidega

sätestatud korras.

12.3. Lepinguga reguleerimata küsimustes juhinduvad pooled Eesti Vabariigis

kehtivatest õigusaktidest.

12.4. Poolte esindajad kinnitavad, et neil on kõik õigused ja piisavad volitused

sõlmida Leping esindatava nimel kooskõlas õigusaktidega ja neile teadaolevalt ei

esine ühtegi takistust Lepinguga võetud ja selles sätestatud kohustuste täitmiseks.

12.5. Lepingu sisu on avalik teave.

Poolte allkirjad:

TTJA Teenuse osutaja

(allkirjastatud digitaalselt) (allkirjastatud digitaalselt)

Kristi Talving ….

peadirektor ….

1

Ettevõtlus- ja infotehnoloogiaministri 16.12.2022. a määrus

nr 101 „Eesti infoturbestandard“ Lisa 1

(muudetud sõnastuses)

Eesti infoturbestandard

Nõuded infoturbe halduse süsteemile

2

Sisukord 1 Sissejuhatus ___________________________________________________________ 3

1.1 Käsitlusala ______________________________________________________________ 3

1.2 Sihtgrupp _______________________________________________________________ 3

1.3 Normiviited _____________________________________________________________ 3

2 Kasutatud terminid______________________________________________________ 4

3 Jaotiste lühiülevaade ____________________________________________________ 7

4 E-ITSi olemus ___________________________________________________________ 8

4.1 Infoturbe halduse süsteem _________________________________________________ 8

5 Infoturbeprotsessist üldiselt _____________________________________________ 10

5.1 Infoturbeprotsessi algatamisest üldiselt _____________________________________ 10

5.2 Tippjuhtkonna kohustumus _______________________________________________ 10

6 Infoturbeprotsessi kavandamine ja plaanimine ______________________________ 11

6.1 Infoturvapolii�ka _______________________________________________________ 11

6.2 Infoturvaeesmärgid ______________________________________________________ 12

6.3 Infoturbeprotsessi korraldus ______________________________________________ 13

6.4 Infoturbealane koolitus __________________________________________________ 13

6.5 Ressursside eraldamine __________________________________________________ 13

6.6 Juhtkonna kinnitus ______________________________________________________ 14

6.7 Infoturbeprotsessi dokumenteerimine ______________________________________ 14

7 Infoturbeprotsessi riskihaldus ____________________________________________ 15

7.1 Riskihaldusest üldiselt ___________________________________________________ 15

7.2 Etalonturbe modelleerimine ______________________________________________ 15

7.3 Etalonturbe väline riskihaldus _____________________________________________ 16

8 Infoturvameetmete rakendamine _________________________________________ 17

9 Infoturbe käigushoid ___________________________________________________ 18

10 Infoturbeprotsessi täiustamine ___________________________________________ 19

10.1 Infoturbeprotsessi täiustamisest üldiselt _____________________________________ 19

10.2 Sõltumatu läbivaatus ____________________________________________________ 19

11 E-ITS auditeerimine ____________________________________________________ 20

12 Lisateave _____________________________________________________________ 21

3

1 Sissejuhatus Eesti infoturbestandard (edaspidi standard või E-ITS) on eestikeelne ja Eesti õigusruumile vastav alus infoturbe käsitlemiseks. E-ITSi aluseks on Saksa päritolu BSI IT-Grundschutz etalonturbe meetod. E-ITSi koostamisel on arvestatud vajadusega saavutada vastavus standardi EVS-EN ISO/IEC 27001 nõuetega.

1.1 Käsitlusala Dokument „E-ITS Nõuded infoturbe halduse süsteemile” esitab nõuded ning juhised organisatsiooni infoturbe halduse süsteemi (ingl Information Security Management System, ISMS) rajamiseks, evitamiseks, käigushoiuks ja täiustamiseks. E-ITSile vastavuse saavutamiseks tuleb täita jaotistes 5–10 esitatud nõuded. E-ITSiga ei korraldata riigisaladuse ega salastatud välisteabe turvet.

1.2 Sihtgrupp ISMSi nõuete dokumendi peamised sihtgrupid on:

• standardi evitajad: infoturbejuhid, äriprotsessijuhid, üksuste juhid, IT-töötajad; • audiitorid; • konsultandid.

Standardi osi saab kasutada käsiraamatuna IT-süsteemide arenduses, halduses või õppeprotsessides.

1.3 Normiviited Dokumendi lahutamatu osa on E-ITSi etalonturbe kataloog, millesse on koondatud parimad tavad infoturbeprotsessi loomiseks ja käigushoidmiseks.

4

2 Kasutatud terminid Mõistepesade kaupa on esitatud E-ITSis kasutatud terminite ja lühendite vasted, mis hõlbustavad kasutajal dokumendis orienteerumist. Tabel 1. Terminite selgitused

Nr Termin või lühend

Lähtekeeles (inglise või

saksa)

Lühike definitsioon

1 konfidentsiaalsus confidentiality teabe kättesaamatus või paljastamatus volitamata isikutele, olemitele või protsessidele

Üks kolmest infoturbe põhikomponendist, märgitakse tähega C lühendis C-I-A.

2 terviklus integrity teabe õigsus ja täielikkus, lubamatute muudatuste puudumine, hõlmab ka autentsust ja salgamatust

Üks kolmest infoturbe põhikomponendist, märgitakse tähega I lühendis C-I-A.

3 käideldavus availability teabe omadus olla volitatud olemi nõudel õigel ajal kättesaadav ja kasutuskõlblik

Üks kolmest infoturbe põhikomponendist, märgitakse tähega A lühendis C-I-A.

4 kahju loss soovimatu muutuse mõõt, riskianalüüsi aluskomponent, esmane infoturbevajadust otsustav tegur

5 alusohud ingliskeelne termin puudub

standardi väljatöötaja poolt riskide kaalutlemisel kasutatud ohud; etalonturbe meetmete koostamise alus

6 risk risk ohu võime tekitada organisatsioonile kahju

7 ISMS

infoturbe halduse süsteem

Information Security Management System

süsteem, mis koosneb poliitikatest, protseduuridest, juhistest ning nendega seotud ressurssidest ja tegevustest, mida organisatsioon kollektiivselt haldab, et kaitsta oma infovarasid

ISMS on suunatud ärieesmärkide saavutamisele ning kujutab endast süstemaatilist lähenemist infoturbe rajamisele, käigushoiule, seirele, hooldamisele ja täiustamisele. See põhineb riski kaalutlemisel ja selle aktsepteerimisel tasemetele, mis tagavad riskide toimiva käsitluse ja halduse.

8 infoturvapoliitika information security policy

organisatsiooni keskne infoturbealane dokument, mis sätestab arengusuunad ja taotletavad sihid, määrab lubatu ja lubamatu

9 käsitlusala scope ISMSi kontekstis: organisatsiooni kaitstavad elemendid, nagu taristu, töö korraldus, personal, tehnilised komponendid

10 kaitseala* Informations- verbund (saksa)

turbekontseptsiooni koostamise ja rakendamise käsitlusala

Organisatsioon liigitab kaitsealasse kogumi sihtobjekte, mida turbeprotsess hakkab edaspidi kaitsma.

11 sihtobjekt* Zielobjekt (saksa)

kaitseala allosa – igasugune infosüsteemi kuuluv kaitsetarbega vara, nagu äriprotsess, rakendus, IT-lahenduse komponent, komponendirühm, hoone, kinnistu, allüksus.

Sihtobjektile vastendatakse etalonmoodul(id).

12 protsess process omavahel seotud või interakteeruvate tegevuste kogum, mis muundab lähtematerjali tulemiteks

5

13 äriprotsess business process

organisatsiooni tegevuse element, mingi eesmärgi saavutamisele suunatud tegevuste, toimingute või protseduuride kogum

Äriprotsessi tulemusena võidakse luua sise- või väliskliendile väärtust toodete või teenustena.

14 kaitsetarve protection requirement (ingl), Schutzbedarf (saksa)

vara väärtusest tulenev vajadus seda kaitsta

Kaitsetarve on andmete ja teabe vajadus kaitsta neid kahju eest, mille võib tekitada konfidentsiaalsuse, tervikluse või käideldavuse või kõigi kolme rikkumine.

E-ITSi kontekstis laieneb kaitsetarve ka äriprotsessile, mille korral hinnatakse kaitsetarvet, lähtudes kahjustsenaariumitest (nt õigusaktide, eeskirjade või lepingute rikkumine; teabelise enesemääramisõiguse rikkumine; isiku füüsilise puutumatuse rikkumine; ülesannete täitmise võime kahjustamine; negatiivsed sisemised või välised toimed; rahalised tagajärjed).

Kaitsetarvet väljendatakse kolmeastmelises skaalas: „normaalne“, „suur“ või „väga suur“. Kuna kaitsetarbe määramine on organisatsiooni riskihalduse osa, siis riskihalduse metoodikas määratleb organisatsioon ise kaitsetarbe kahjustsenaariumid ja täpsustab skaalat enda kontekstist ja tegelikest potentsiaalsetest mõjudest lähtuvalt.

15 normaalne kaitsetarve

– kaitsetarbe skaala määrang, kus võimaliku kahjustuse toime on piiratud ja ohjatav Sellise kaitsetarbe korral on etalonturbe meetmed asjakohased ja nende rakendamisest üldjuhul piisab.

16 suur kaitsetarve – kaitsetarbe skaala määrang, kus võimaliku kahjustuse toimed võivad olla tõsised Sellise kaitsetarbe korral ei pruugi etalonturbe meetmetest alati piisata. Tuleb läbida etalonturbe väline riskianalüüs ja vajaduse korral määrata lisaturvameetmed.

17 väga suur kaitsetarve

– kaitsetarbe skaala määrang, kus kahjustuse toimed võivad ulatuda katastroofilise tasemeni, ähvardades organisatsiooni olemasolu või ülesannete täitmise täielikku katkemist

Sellise kaitsetarbe korral ei piisa etalonturbe meetmetest kindlasti. Riskianalüüs on kohustuslik, konkreetsele ohule eraldi tuleb määrata asjakohased turvameetmed.

18 meetme teostatuse määr

– märge infoturbe meetmete rakendusplaanis, mis väljendab meetme käsitlusviisi ja teostuse hetkestaatust

19 turbeviis – meetod E-ITSi standardil põhineva infoturbe halduse süsteemi rajamiseks

Turbeviisi valikul lähtutakse regulatsioonidest (lähtudes õigusaktidest, asjakohasest eeskirjadest ja standarditest) ja kaitsetarbest, aga ka organisatsiooni infoturbe küpsusest.

Organisatsioonil on võimalik valida turbeviisiks:

a) põhiturve, kui kaitsetarve on normaalne. Põhiturbe rakendamine on eelduseks standardturbe rakendamisele;

b) standardturve, kui kaitsetarve on suur või väga suur;

c) tuumikuturve kaitseala osale, kus kaitsetarve on suur või väga suur, ent kogu organisatsioonile pole võimalik standardturvet rakendada.

20 teave – teadmus inimesele sobival kujul inimsuhtluses

6

Eesti keel eristab teavet informatsioonist kui teadmuse masinale sobivast kujust (inglise keeles vahet teha ei saa). Seejuures puudub andmetel kontekst ja tähendus, teabel ja informatsioonil on see olemas.

21 infoturbe meetmete rakendusplaan (IMR)

– dokument, milles loetletakse ja kirjeldatakse infoturbe halduse süsteemile kohaldatavaid turvameetmeid, põhjendatakse meetmete teostamise valikuid ning määratakse vastutajad ja tähtajad

22 vastutaja responsibility, responsible (ingl)

E-ITSi tähenduses roll, mille täitjale on parimate tavade kohaselt määratud infoturbe meetmete rakendamise ülesanne

E-ITSis kasutatakse terminit „vastutaja“, sealhulgas ka terminit „lisavastutaja“ meetme rakendamisel, et tööülesannete jagamisel siduda rolli vastutus soovitusliku ametikoha nimetusega organisatsioonis .

* etalonturbe spetsiifiline mõiste

7

3 Jaotiste lühiülevaade Jaotises 4 kirjeldatakse E-ITSi standardit ning selgitatakse selle suhet riskihaldusega ja standardiga EVS-EN ISO/IEC 27001. Lisaks esitatakse infoturbe halduse süsteemi lühikirjeldus. Jaotises 5 esitatakse nõuded infoturbeprotsessi tsükli igakordsele algatamisele ja juhtkonna kohustumusele. Jaotises 6 esitatakse nõuded infoturbe protsessi kavandamisele ja plaanimisele ning selle korraldamise struktuuridele. Jaotises 7 esitatakse nõuded infoturbe halduse süsteemi riskihaldusele, sh etalonturbe modelleerimisele ja täiendavale välisele riskihaldusele. Jaotises 8 esitatakse nõuded riskihalduse abil väljaselgitatud meetmete rakendamisele. Jaotises 9 esitakse nõuded infoturbeprotsessi pidevaks käigushoidmiseks. Jaotises 10 esitatakse nõuded infoturbe protsessi täiustamiseks ja sõltumatu läbivaatuse korraldamiseks. Jaotises 11 kirjeldatakse võimalusi infoturbe halduse süsteemi toimimisele välise kinnituse saamiseks – auditeerimist. Jaotis 12 loetleb viited rakendaja jaoks vajalikule lisateabele.

8

4 E-ITSi olemus E-ITSi eesmärk on tagada avalike ülesannete täitmiseks kasutatavate äriprotsesside ja infosüsteemide kõikehõlmav kaitse ning saavutada infoturbe ühtlane tase nende kõigis osades kogu elutsükli jooksul. E-ITSi haldab Riigi Infosüsteemi Amet. E-ITS on eestikeelne. E-ITS vaadatakse läbi ja uuendatakse üks kord aastas. E-ITSil on riiklik tugi ja kooskõla teiste Eesti õigusaktidega. E-ITSi põhimeetod on BSI IT-Grundschutz päritolu etalonturve. E-ITSi lähenemine infoturbele põhineb tegevusriskide haldamisel. E-ITSi etalonturve lõimituna riskihaldusega Toimingud jagunevad kaheks:

1. Äriprotsesside toimimiseks vajalikud sihtobjektid seatakse vastavusse etalonmoodulitega, mille tulemusel tüüpsete ohtude riskikäsitlus toimub tüüpmeetmete rakendamisega. Sellega saavutatakse toimiv turbehaldus enamikus organisatsiooni äriprotsessides.

2. Äriprotsesside toimimiseks vajalike ebatüüpsete1 etalonturbesse sobimatute või normaalselt kõrgema kaitsetarbega sihtobjektide osas sooritatakse etalonturbe väline riskianalüüs täiemahulise riskihalduse abil. Kasutatava metoodika kinnitab organisatsiooni juhtkond. Ebatüüpsetele sihtobjektidele rakendatakse infoturbe meetmeid vastavalt etalonturbe välise riskihalduse tulemustele.

E-ITSi rakendatust tõendatakse välisaudiitori hinnanguga. Auditeerimise vajadus võib tuleneda õigusaktis, valdkonna standardis või lepingus sätestatud kohustusest. Auditeerida võib ka organisatsiooni enda soovil. E-ITSi rakendamisega standardturbe ulatuses saavutatakse vastavus rahvusvahelise standardiga EVS-EN ISO/IEC 27001. See vastavus võimaldab E-ITSi rakendajatel oma kaitsealale taotleda rahvusvahelist tunnustamist ISO/IEC 27001 sertifikaadiga. Siinjuures, ISO/IEC 27001 vastavussertifikaat ilma E-ITSi rakendusplaanita E-ITSi rakendatust ei kinnita.

4.1 Infoturbe halduse süsteem Infoturbe halduse süsteem (ingl Information Security Management System, ISMS) on organisatsiooni juhtimise osa, mis tegeleb infoturbe rajamise, evitamise, käigushoiu ja pideva täiustamisega. ISMS hõlmab:

• organisatsiooni struktuuri, protsesse, protseduure ja tavasid; • poliitikaid ja plaanimistegevusi; • kohustusi; • ressursse ja varasid.

Infoturbe halduse süsteemi protsesse ja sooritatavaid tegevusi kujutab joonis 1. ISMSi tegevusi sooritatakse vajadusel paralleelselt. Infoturbe täiustamise käigus naastakse iga kord protsessi algusesse. Infoturbe kontseptsiooni koostamisel lähtutakse E-ITSi etalonturbe

1 Ebatüüpne ja vahetut riskikäsitlust nõudev sihtobjekt on vähemalt üks järgmistest: a) sihtobjekti

kaitsetarve osutub infoturbe ühe või enama põhikomponendi (C-I-A) osas suureks või väga suureks; b) sihtobjekti ei õnnestu vastendada ühegagi olemasolevatest moodulitest, enamasti uudsuse või erilisuse tõttu; c) sihtobjekti kasutusviis erineb etalonmoodulis kirjeldatust.

9

kataloogi meetmetest ja vajadusel etalonturbe välisest riskihalduse käigus tuvastatud riskikäsitlusmeetmetest. ISMSi teostusjuhised on esitatud E-ITSi etalonturbe kataloogis, moodulis ISMS.1 „Turbehaldus”.

Joonis 1. ISMS-i käivitamise ja uuendamise tegevused

10

5 Infoturbeprotsessist üldiselt 5.1 Infoturbeprotsessi algatamisest üldiselt 5.1.1 Infoturve lähtub organisatsiooni eesmärkidest ja tegutsemisviisidest. Infoturbe

eestvedaja (ingl leadership) on organisatsiooni struktuuris kõrgeim juhtimistasand ehk tippjuhtkond. Infoturbeprotsessi algatab tippjuhtkond ja nimetab infoturbejuhi rolli täitja. Infoturbejuht korraldab organisatsiooni infoturbetegevust. Infoturbejuhi nimetamata jätmise korral täidab seda rolli juhtkond.

5.1.2 Infoturve keskendub teabe ja sellest sõltuvate äriprotsesside kaitsmisele ning sellest tulenevalt infotöötluse või infotehnoloogia kaitsmisele. Seetõttu kirjeldab organisatsioon esmalt äriprotsessid ja alles siis võtab arvele oma äriprotsessidega seotud varad ja määrab kaitseala koos sihtobjektidega.

5.2 Tippjuhtkonna kohustumus 5.2.1 Kuna organisatsiooni äriprotsesside toimimise eest vastutab tippjuhtkond, siis

tippjuhtkond vastutab ka äriprotsesse ohustavate sündmuste käsitlemise, sh infoturbe halduse eest. Infoturbealase vastutuse võtmist tippjuhtkonnas nimetatakse juhtkonna kohustumuseks (ingl commitment).

5.2.2 Tippjuhtkonna kaasatus tagab infoturbe lõimitusse kaitseala kõigisse protsessidesse ja infoturbe jätkusuutlikkuse. Tippjuhtkond vastutab infoturbe elluviimise, käigushoidmise ja täiendamise eest. Selleks määrab juhtkond turbealased õigused ja kohustused ning eraldab ressursid.

5.2.3 Tippjuhtkond peab saama infoturbe kohta regulaarselt, õigeaegselt ja sobivas ulatuses järgmist teavet:

a) organisatsiooni ja selle teabe turvariskid ning nendega seotud toimed ja kulud;

b) turvaintsidentide toime äriprotsessidele;

c) regulatsioonidest (nt õigusaktid, eeskirjad, standardid) ja lepingutest tulenevad turvanõuded;

d) tegevusalale tüüpilised infoturbe protseduurid;

e) infoturbe hetkeseis ja sellest tulenevad tegevussoovitused (infoturbe meetmete rakendusplaan);

f) infoturbeprotsessi täiendusettepanekud (sh sõltumatu läbivaatuse ja auditeerimise tulemid);

g) huvipooltega seotud kohustused ja tagasiside.

5.2.4 Infoturbealaseid tegevusi plaanib ja koordineerib infoturbejuht.

5.2.5 Äriprotsessi infoturbe meetmete rakendamist korraldab protsessijuht. Rakendatav infoturve peab olema normaalse tööprotsessi osa ning olema kooskõlas töö eesmärkidega.

5.2.6 Infoturbeprotsessi peavad olema kaasatud kõik töötajad. Töötajate motiveerimiseks ja koolitamiseks kaasatakse ISMSi rakendamisse personaliosakond ja protsessijuhid.

11

6 Infoturbeprotsessi kavandamine ja plaanimine

6.1 Infoturvapoliitika 6.1.1 Infoturvapoliitika on organisatsiooni infoturbe juhtdokument, milles esitatakse

infoturbealane kohustumus ning sõnastatakse organisatsiooni infoturbe sihid (ingl goal), vajadused ja põhimõtted (ingl principle). Infoturvapoliitika põhimõtteid kasutatakse organisatsiooni väärtuste kaitseks.

6.1.2 Organisatsiooni kaitstavad väärtused tuletatakse üldisest keskkonnast ja organisatsiooni põhieesmärkidest. Põhieesmärgid tulenevad ettevõtte puhul ärieesmärkidest, avaliku sektori asutuse puhul põhikirjast või põhimäärusest.

6.1.3 Organisatsiooni väärtustena võetakse arvesse vähemalt järgmist:

a) toimingute, sealhulgas teabekäitluse kõrge usaldatavus (käideldavus, terviklus, konfidentsiaalsus jne);

b) organisatsioonisisene ja -väline hea maine;

c) investeering tehnoloogiasse, teabesse, tööprotsessidesse ja teadmusse;

d) töödeldav informatsioon (selle suur või korvamatu väärtus vajab kaitset, sh isikuandmed);

e) regulatsioonide (õigusaktide, eeskirjade, standardite) ja lepingute nõuete täitmine;

f) inimeste füüsiline ja vaimne heaolu.

6.1.4 Organisatsiooni infoturvapoliitika koostamisel arvestatakse:

a) organisatsiooni eesmärke ja strateegiat;

b) organisatsiooni struktuuri;

c) organisatsiooni olemasolevaid haldussüsteeme, nt kvaliteedihaldus, riskihaldus, keskkonnahaldus;

d) õigusalaseid raamtingimusi, sh kohalikud ja rahvusvahelised õigusaktid, valdkondlikud määrused;

e) klientide, tarnijate, partnerite jt huvipoolte nõudeid;

f) tegevusala turvastandardeid ja -praktikaid.

6.1.5 Infoturvapoliitika sisaldab infoturvaeesmärke või loob raami infoturvaeesmärkide püstitamiseks.

6.1.6 Infoturvapoliitika kinnitab juhtkond. Infoturvapoliitika tehakse teatavaks töötajatele ja vajaduse korral teistele huvipooltele.

6.1.7 Organisatsioon vaatab infoturvapoliitika perioodiliselt või oluliste muutuste korral üle ja ajakohastab vajadusel.

12

Joonis 2 esitab infoturvapoliitika põhilised elemendid.

6.2 Infoturvaeesmärgid 6.2.1 Infoturvaeesmärgid (ingl security objective) lähtuvad infoturbe tähtsusest

organisatsioonile, on realistlikud, praktilised (seotud toimingutega), põhjendatud, arusaadavad ja võimaluse korral mõõdetavad. Infoturvaeesmärkidele on määratud eesmärgi saavutamise tähtaeg.

6.2.2 Organisatsioon kasutab infoturvaeesmärkide sõnastamisel järgmist teavet:

a) äriprotsessid, protsessijuhid, protsesside kirjeldus ja äriprotsesside seosed organisatsiooni eesmärkidega;

b) äriprotsesside omavahelised seosed ja sõltuvused;

c) äriprotsessidega seotud varad ja kaitstavad sihtobjektid;

d) äriprotsesside ja alusteabe kaitsetarvet konfidentsiaalsuse, tervikluse ja käideldavuse ning vajadusel teiste infoturbe komponentide kohta;

e) organisatsiooni tegevusriskid, nt turu hetkeseis, konkurentsiolukord, geopoliitiline olukord ja muud turuspetsiifilised sõltuvused;

f) olemasolev infoturbedokumentatsioon.

6.2.3 Eelnimetatud teabe kogumiseks organisatsioon:

a) kirjeldab äriprotsessid ja võtab arvele varad;

b) määrab organisatsiooni infoturbe kaitseala ja sihtobjektid;

c) valib etalonturbe korral turbeviisi (põhi-, standard-, tuumikuturve);

d) määrab sihtobjektide kaitsetarbe skaalal „normaalne“, „suur“, „väga suur“;

e) dokumenteerib infoturvaeesmärgid ja määrab eesmärkide saavutamise ajaraamid.

6.2.4 Organisatsioon sõnastab infoturvaeesmärgid, vaatab neid regulaarselt läbi ja vajadusel ajakohastab.

Joonis 2. Infoturvapoliitika põhilised elemendid

13

6.3 Infoturbeprotsessi korraldus 6.3.1 Infoturbeprotsessi rakendamiseks ja edendamiseks loob organisatsioon

turbekorraldus- ja teavitusstruktuuri.

6.3.2 Infoturbe korraldusstruktuuriga määrab juhtkond:

a) rollid ja vajadusel rollipädevusnõuded;

b) rollide täitjad;

c) volitused ja vastutusalad.

6.3.3 Organisatsioon tagab rollitäitjate pädevuse ja vajalike pädevustõendite säilitamise.

6.3.4 Organisatsioon tuvastab sisemised ja välised infoturbealase teavituse vajadused ning määrab teavitusviisid, osalevad rollid jm tingimused.

6.3.5 Turbekorraldus tehakse töötajatele teatavaks.

Joonis 3. Infoturbe korraldusstruktuuri näidis

NÄIDE. Joonisel 3 on kujutatud üht võimalust, kuidas infoturbealane töö organisatsioonis korraldada. Igal äriprotsessil on protsessijuht. IT-koordineerimiskomisjon on korralduslik foorum, kus arutatakse IT-teenuste ja infoturbeaspektidega seonduvat. IT-turbejuht on nõutud vaid suurtes organisatsioonides, kus infoturbealase töö koordineerimine vajab eristamist IT-lahenduste turvastrateegiate täideviimisest. Halli värviga on märgitud elemendid, mida väiksem organisatsioon ei pruugi vajada.

6.4 Infoturbealane koolitus 6.4.1 Vastavuses infoturvapoliitika eesmärkidega tagab organisatsioon kõikide töötajate

vajaliku infoturbealase pädevuse ja pädevuse uuendamise.

6.4.2 Regulaarsete infoturvet käsitlevate koolituste eesmärk on motiveerida töötajaid järgima infoturvanõudeid, käsitlema teavet ja töövahendeid korrektselt, vältima riskikäitumist ja asjakohaselt reageerima infoturbeintsidentidele.

6.5 Ressursside eraldamine Juhtkond eraldab rahalised ja mitterahalised ressursid infoturbeprotsessi elluviimiseks. Juhtkond aktsepteerib töötajate põhitööga kaasnevaid infoturbekohustusi.

14

6.6 Juhtkonna kinnitus Juhtkond kinnitab infoturvapoliitika, turvaeesmärgid ja infoturbele ressursside eraldamise.

6.7 Infoturbeprotsessi dokumenteerimine 6.7.1 Dokumenteerimise abil tagatakse infoturbeprotsessi jätkusuutlikkus ja jälgitavus.

Dokumendid tuleb koostada taasesitamist ja ajakohastamist võimaldavas vormis ning versioonihaldusega kaetud viisil. Tuleb tagada, et käibelt on kõrvaldatud vananenud dokumendid ja versioonid.

6.7.2 Organisatsioon kehtestab dokumentide koostamise, vormistamise ja hoidmise reeglid.

6.7.3 Poliitikad ja eeskirjad vaadatakse üle vähemalt üks kord aastas ning muudatused kinnitab juhtkond. Korrad ja protseduurijuhendid hoitakse tegelike protsessidega kooskõlas.

6.7.4 Organisatsioon loob ja säilitab tegevusdokumentatsiooni, mis tekib või luuakse infoturbeprotsessi käigus.

6.7.5 Dokumenteeritakse:

a) infoturbeprotsessi alusdokumendid ja nende väljatöötamise kulg konteksti jäädvustamiseks,

b) otsused, sh infoturbe meetmete rakendusplaan, et tagada otsuste ja meetmete rakendamise käigu jälitatavus (ingl traceability),

c) infoturbesündmused sisendiks riskihaldusse infoturbe täiustamiseks,

d) organisatsiooni reaktsioon sündmustele ja otsustele, et näidata parandusmeetmete toimivust,

e) muu teave, mida organisatsioon ise peab vajalikuks säilitada infoturbe halduse toimivuse huvides.

6.7.6 Infoturbeprotsessi dokumentatsioon on volitatuile kättesaadav ja kaitstud kõrvalise juurdepääsu eest.

15

7 Infoturbeprotsessi riskihaldus 7.1 Riskihaldusest üldiselt 7.1.1 Etalonturbe kontseptsioon lähtub põhimõttest, et infoturvaohud ja kaitstavad varad on

erinevate organisatsioonide puhul tüüpsed. E-ITSi etalonturbe kataloog esitab moodulitesse koondatud eelanalüüsitud meetmekomplektid, mis katavad tüüpsete sihtobjektide riskihalduse ja infoturvavajadused. Tervikliku turbe saavutamiseks rakendatakse ebatüüpsetele ja kõrgendatud kaitsetarbega („suur“ ja „väga suur“) sihtobjektidele etalonturbe välist riskihaldust.

7.1.2 Organisatsioon määrab kaitsetarbe määramise põhimõtted, sh organisatsioonile kohandatud kahjustsenaariumid, riski aktsepteerimise kriteeriumid, kaitsetarbe komponendid (vähemalt konfidentsiaalsus, terviklus, käideldavus ehk C-I-A) ja täpsustab kaitsetarbe määramise skaala, lähtudes organisatsiooni eripäradest.

7.1.3 Kaitsealasse kuuluvate sihtobjektide kaitsetarve tuvastatakse ja dokumenteeritakse, sh määratakse kaitsetarve väljast tellitavatele teenustele (tarneahel).

7.1.4 Riskihalduse käik ja tuvastatud või määratud meetmete rakendamise otsused dokumenteeritakse korratavuse ja võrreldavuse eesmärgil.

7.2 Etalonturbe modelleerimine 7.2.1 Organisatsioon vastendab kaitsealasse kuuluva iga sihtobjekti etalonturbe kataloogi

ühe või mitme mooduliga. Moodulite rakendamise järjekord määratakse lähtuvalt organisatsiooni infoturvapoliitikast ja reaalsetest vajadustest.

7.2.2 Moodulist sihtobjekti turvameetmete tuvastamisel arvestatakse:

a) turbeviisi (põhiturve, standardturve või tuumikuturve);

b) sihtobjekti kaitsetarvet;

c) meetme seost infoturbeprotsessi ja sihtobjekti elutsükliga.

7.2.3 Etalonturbe kataloogi protsessimoodulrühmade kõik moodulid kaasatakse rakendusplaani. Mooduli käsitlemata jätmine peab olema põhjendatud.

7.2.4 Süsteemimoodulid rakendatakse vastavuses kaitseala määratlusega.

7.2.5 Kui organisatsioon on normaalse kaitsetarbe korral valinud turbeviisiks põhiturbe, tuleb etalonturbe meetmete rakendamisel tagada esmajärjekorras põhimeetmete rakendamine. Pideva infoturbe täiendamise protsessi eesmärk on standardturbe rakendamine. Väljajätud põhiturbest tuleb põhjendada, lähtudes eelkõige riskide aktsepteerimise kriteeriumitest.

7.2.6 Standardturbe puhul rakendatakse lisaks esmajärjekorras rakendatud põhimeetmetele ka standardmeetmed ja veendutakse etalonturbe välise riskihaldusega etalonturbe meetmete piisavuses. Vajadusel rakendatakse olenevalt kaitsetarbest kõrgmeetmed ja etalonturbe välised lisameetmed. Väljajätud põhimeetmetest ja standardmeetmetest põhjendatakse, lähtudes eelkõige riskide aktsepteerimise kriteeriumitest.

16

7.3 Etalonturbe väline riskihaldus 7.3.1 Organisatsioon suunab etalonturbe välisesse riskihaldusse sihtobjektid, mille jaoks

puudub etalonturbe kataloogis sobiv moodul. Lisaks suunatakse välisesse riskihaldusse sihtobjektid, mille puhul on täidetud üks järgmistest tingimustest:

a) kaitsetarve on suur või väga suur;

b) kaitsetarve on määramata või ebaselge;

c) kasutusviisid ei ole vastavuses etalonturbe kataloogi moodulite kirjeldustega;

d) etalonturbe kataloogi meetmed osutuvad turvaeesmärkide täitmisel puudulikuks (jääkrisk pole aktsepteeritav);

e) kui sihtobjektist sõltub samaaegselt mitme organisatsiooni jaoks olulise äriprotsessi toimimine.

7.3.2 Organisatsioon määrab etalonturbe välise riskihalduse protsessi. Riskihalduse asjaolud, kulg ja tulemused dokumenteeritakse.

7.3.3 Etalonturbe väline riskihaldus määrab sihtobjektidele lisaturvameetmeid, lähtudes sihtobjekti kaitsetarbest ja infoturvaeesmärkidest.

17

8 Infoturvameetmete rakendamine 8.1 Tehnilised meetmed rakendatakse kõigile kaitseala sihtobjektidele.

8.2 Organisatsioonilised meetmed lõimitakse organisatsiooni kõigisse protsessidesse.

8.3 Meetmete rakendamise eest vastutab vastava protsessi juht või etalonturbe kataloogis nimetatud vastutaja rolli täitja. Rakendamist koordineerib ja nõustab infoturbejuht.

8.4 Organisatsioon hindab tuvastatud ja määratud meetmete:

a) ressursside ühekordseid ja korduvaid kulusid;

b) sobivust, teostatavust, piisavust, võimalikku toime efektiivsust ja meetmete omavahelisi mõjusid.

8.5 Infoturvaeesmärkide järgi määrab organisatsioon eelnevalt tuvastatud info põhjal infoturbe meetmete rakendusplaanis (IMR) vähemalt:

a) rakendatavad turvameetmed koos nimetuse ja identifikaatoritega, sh etalonturbe välise riskihalduse käigus määratud lisameetmed;

b) meetme teostatuse määra;

c) meetme rakendamise puhul selgitus ajakohase ülevaate ja hilisema jälitatavuse eesmärgil, kuidas meede on organisatsioonis rakendatud; meetme mitterakendamisel selle kohaldamata jätmise põhjendus; meetme osalise rakendamise puhul täpsustav selgitus, milliste äriprotsesside, varade või alammeetme osas on meede täitmata.

d) meetme rakendamise eest vastutajad;

e) meetmete rakendamise või meetme järgmise sisulise ülevaatuse tähtajad.

8.6 Organisatsiooni juhtkond teadvustab ja aktsepteerib regulaarselt jääkriskid ning nende alusel kinnitab rakendusplaani.

8.7 Meetmed rakendatakse vastavalt rakendusplaanile.

8.8 Organisatsioon tagab meetmetes kirjeldatud korduvate ja regulaarsete tegevuste tõendatavuse, võrreldavuse, järjepidevuse ja õigeaegsuse.

18

9 Infoturbe käigushoid 9.1 Organisatsioon tagab infoturbeprotsessi ning -turvameetmete pideva ja jätkusuutliku

toimimise. Jälgitakse ja mõõdetakse:

a) infoturvaeesmärkide saavutatust ja -meetmete sobivust ning tõhusust;

b) ressursside kasutamist.

9.2 Organisatsioon reageerib muutustele organisatsiooni eesmärkides, regulatsioonide nõuetes ja lepingulistes kohustustes ning ümbritsevas infoturbeolukorras. Protsessijuhid tagavad infoturvet puudutava teabe õigeaegse edastamise asjakohaste rollide täitjatele.

9.3 Seiratakse protsesside ja süsteemide töö käigus tekkinud teavet. Olulistele infoturbe sündmustele reageeritakse ja need registreeritakse.

9.4 Seire, ülevaatuste ja kontrollide dokumenteeritud tulemusi ja järeldusi kasutab organisatsioon riskihalduses ettepanekute koostamiseks infoturbeprotsessi ja - meetmete täiustamiseks ning muutmiseks.

9.5 Infoturbeprotsessi käigus ilmnenud asjaoludest ja nende muutumisest teavitatakse vajalikus ulatuses:

a) organisatsiooni juhtkonda, b) määratud rollide täitjaid, c) organisatsiooni töötajaid, d) teisi huvipooli.

19

10 Infoturbeprotsessi täiustamine 10.1 Infoturbeprotsessi täiustamisest üldiselt 10.1.1 Organisatsioon kontrollib perioodiliselt infoturbeprotsessi, infoturvapoliitika ja

infoturvaeesmärkide sobivust ja asjakohasust.

10.1.2 Infoturbeprotsessi täiustamise põhjused on muu hulgas järgmised:

a) organisatsiooni eesmärkide ja nõuete muutused;

b) infoturvapoliitika ja infoturvaeesmärkide muutused;

c) turvaolukorra muutused;

d) regulatsioonide ja standardite muutused;

e) kaitseala ja kaitsetarbe olulised muutused;

f) infoturbeprotsessi käigus ilmnenud asjaolud, sh intsidentide, läbivaatuste, auditeerimiste järeldused ja ettepanekud.

10.1.3 Organisatsiooni juhtkond teeb otsused infoturbe täiustamiseks, tuginedes punktis 5.2.3 nimetatud teabele.

10.2 Sõltumatu läbivaatus 10.2.1 Organisatsioon korraldab regulaarselt infoturbeprotsessi tulemite ja seisundi

sõltumatu läbivaatuse. Sõltumatuks läbivaatuseks võib olla käsitlusala hõlmav siseaudit.

10.2.2 Sõltumatul läbivaatusel hinnatakse organisatsiooni infoturbehalduse vastavust:

a) siinse dokumendiga;

b) organisatsiooni infoturvapoliitikaga.

10.2.3 Sõltumatu läbivaatuse elluviijaks on vastavalt infoturvapoliitikale kas siseaudiitor, siseaudiitori rollitäitja (nt välisaudiitor) või käsitlusala suhtes asjakohase pädevusega sõltumatu töötaja. Läbivaatusel välditakse kontrollija ja rakendaja rollide huvikonflikti.

10.2.4 Organisatsioon määrab sõltumatu läbivaatuse käsitlusala ja eesmärgid. Läbivaatuse elluviimisel arvestatakse:

a) organisatsiooni eesmärke;

b) regulatsioonide nõudeid ja lepingulisi kohustusi;

c) organisatsiooni infoturvapoliitikat ja -eesmärke;

d) varasemate läbivaatuste tulemusi.

10.2.5 Läbivaatuse tulemused ja ettepanekud dokumenteeritakse täiustamise ja jälitatavuse eesmärgil. Tulemusi arvestatakse organisatsiooni protsesside täiustamisel.

20

11 E-ITS auditeerimine 11.1 Auditeerimine viiakse läbi vastavalt E-ITSi auditeerimisjuhendile.

11.2 E-ITSi rakendatust auditeeritakse:

a) kohustuslikult – regulatsioonidest lähtuvalt või

b) lepingukohustuse täitmiseks või

c) vabatahtlikult – vastavalt organisatsiooni eesmärkidele ja infoturvapoliitikale.

11.3 E-ITSi auditeerimise nõuded, sh elluviija (välisaudiitori pädevus), sageduse jm, tulenevad regulatsioonidest.

11.4 Audiitori hinnang on tõend organisatsiooni infoturbe toimivuse kohta.

21

12 Lisateave Järgmistest allikatest leiab abi infoturbeprotsessi korraldamiseks. E-ITSi

Etalonturbe kataloog Auditeerimisjuhend Rakendusjuhend Riskihaldusjuhend Alusohtude kataloog Seletav sõnaraamat

EVS-EN ISO/IEC 27001 BSI IT Grundschutz – https://www.bsi.bund.de/EN/Topics/ITGrundschutz/itgrundschutz_node.html

1

Ettevõtlus- ja infotehnoloogiaministri määrus „Ettevõtlus- ja infotehnoloogiaministri

16. detsembri 2022 määruse nr 101 „Eesti infoturbestandard“ muutmine“

Lisa 2

Eesti infoturbestandard

Etalonturbe kataloog

E-ITS MOODULITE SISUKORD ISMS.1 Turbehaldus...................................................................................................................5

ORP.1 Infoturbe korraldus........................................................................................................13

ORP.2 Personal.........................................................................................................................16

ORP.3 Infoturbe teadlikkuse tõstmine ja koolitus....................................................................20

ORP.4 Identiteedi- ja õiguste haldus........................................................................................25

ORP.5 Vastavusehaldus (nõuete haldus)..................................................................................31

CON.1 Krüptokontseptsioon....................................................................................................34

CON.2 Isikuandmete kaitse......................................................................................................39

CON.3 Andmevarunduse kontseptsioon..................................................................................50

CON.6 Andmete kustutus ja hävitamine..................................................................................57

CON.7 Välislähetuste infoturve...............................................................................................61

CON.8 Tarkvaraarendus...........................................................................................................67

CON.9 Teabevahetus................................................................................................................74

CON.10 Veebirakenduste arendus............................................................................................78

OPS.1.1.1 IT-haldus üldiselt.....................................................................................................84

OPS.1.1.2 IT-süsteemide haldus...............................................................................................93

OPS.1.1.3 Paiga- ja muudatusehaldus......................................................................................99

OPS.1.1.4 Kaitse kahjurprogrammide eest............................................................................104

OPS.1.1.5 Logimine...............................................................................................................108

OPS.1.1.6 Tarkvara testimine ja kasutuselevõtt.....................................................................112

OPS.1.1.7 Süsteemihaldus......................................................................................................116

OPS.1.2.2 Arhiveerimine.......................................................................................................124

OPS.1.2.4 Kaugtöö.................................................................................................................131

OPS.1.2.5 Kaughooldus.........................................................................................................135

OPS.1.2.6 Kellade sünkroniseerimine NTP-serveriga...........................................................141

OPS.2.2 Pilvteenuste kasutamine...........................................................................................145

OPS.2.3 Väljasttellimine........................................................................................................152

OPS.3.2 Teenuseandja infoturve............................................................................................160

DER.1 Turvaintsidentide avastamine.....................................................................................167

DER.2.1 Turvaintsidentide käsitlus........................................................................................172

DER.2.2 IT-kriminalistika võimaldamine..............................................................................178

DER.2.3 Ulatuslike turvaintsidentide lahendamine...............................................................182

DER.3.1 Auditid ja läbivaatused............................................................................................186

DER.3.2 Infoturbe vastavusauditid........................................................................................194

DER.4 Avariihaldus................................................................................................................198

APP.1.1 Kontoritarkvara........................................................................................................202

APP.1.2 Veebibrauser.............................................................................................................206

2

APP.1.4 Mobiilirakendused (äpid).........................................................................................209

APP.2.1 Kataloogiteenus üldiselt...........................................................................................213

APP.2.2 Active Directory Domain Services...........................................................................218

APP.2.3 OpenLDAP...............................................................................................................230

APP.3.1 Veebirakendused.......................................................................................................233

APP.3.2 Veebiserver...............................................................................................................238

APP.3.3 Failiserver.................................................................................................................242

APP.3.4 Samba.......................................................................................................................246

APP.3.6 DNS-server...............................................................................................................250

APP.4.3 Andmebaasisüsteemid..............................................................................................256

APP.4.4 Kubernetes................................................................................................................262

APP.5.2 Microsoft Exchange ja Outlook................................................................................268

APP.5.3 E-posti server ja klient üldiselt.................................................................................273

APP.5.4 Ühendatud side- ja koostöölahendused (UCC)........................................................278

APP.6 Tarkvara üldiselt..........................................................................................................286

APP.7 Tellimustarkvara arendus.............................................................................................292

APP.EE.1 X-tee andmeteenus................................................................................................296

SYS.1.1 Server üldiselt..........................................................................................................304

SYS.1.2.2 Windows Server 2012...........................................................................................314

SYS.1.2.3 Windows Server....................................................................................................318

SYS.1.3 Linuxi ja Unixi server..............................................................................................322

SYS.1.5 Virtualiseerimissüsteem...........................................................................................325

SYS.1.6 Konteinerdus............................................................................................................332

SYS.1.8 Salvestilahendused...................................................................................................340

SYS.1.9 Terminaliserver........................................................................................................346

SYS.2.1 Klientarvuti üldiselt.................................................................................................354

SYS.2.2.3 Windows 10 ja Windows 11..................................................................................365

SYS.2.3 Linuxi ja Unixi klient...............................................................................................371

SYS.2.4 macOS-i klient..........................................................................................................375

SYS.3.1 Sülearvutid...............................................................................................................379

SYS.3.2.1 Nutitelefon ja tahvelarvuti üldiselt........................................................................385

SYS.3.2.2 Mobiilseadmete haldus (MDM)............................................................................393

SYS.3.2.3 Organisatsiooni iOS..............................................................................................397

SYS.3.2.4 Android.................................................................................................................401

SYS.3.3 Mobiiltelefon............................................................................................................404

SYS.4.1 Printer ja kontorikombain........................................................................................410

SYS.4.3 Sardsüsteemid (embedded systems).........................................................................416

SYS.4.4 Esemevõrgu (IoT) seade üldiselt..............................................................................423

3

SYS.4.5 Irdandmekandjad......................................................................................................430

SYS.EE.1 X-tee turvaserver...................................................................................................434

SYS.EE.2 eID komponendid..................................................................................................443

IND: TÖÖSTUSE IT..............................................................................................................451

IND.1 Käidu- ja protsessijuhtimissüsteemid..........................................................................451

IND.2.1 Tööstusautomaatika komponendid üldiselt..............................................................461

IND.2.2 Programmeeritavad kontrollerid..............................................................................465

IND.2.3 Andurid ja täiturid....................................................................................................467

IND.2.4 Robotseadmed..........................................................................................................468

IND.2.7 Ohutusautomaatika...................................................................................................469

IND.3.2 Käidutehnoloogia komponentide kaughooldus........................................................474

NET.1.1 Võrgu arhitektuur ja lahendus..................................................................................480

NET 1.2 Võrguhaldus.............................................................................................................489

NET.2.1 Raadiokohtvõrgu käitamine.....................................................................................496

NET.2.2 Raadiokohtvõrgu kasutamine...................................................................................504

NET.3.1 Ruuter ja kommutaator............................................................................................507

NET.3.2 Tulemüür..................................................................................................................513

NET.3.3 Virtuaalne privaatvõrk (VPN)..................................................................................520

NET.3.4 Võrkupääsu reguleerimine (NAC)...........................................................................524

NET.4.1 Telefonikeskjaam.....................................................................................................533

NET.4.2 IP-telefon (VoIP)......................................................................................................539

INF: TARISTU.......................................................................................................................545

INF.1 Hoone üldiselt..............................................................................................................545

INF.2 Serveriruum ja andmekeskus.......................................................................................555

INF.5 Tehnilise taristu ruum või kapp....................................................................................563

INF.6 Andmekandjate arhiiv..................................................................................................569

INF.7 Bürootöökoht................................................................................................................573

INF.8 Kodutöökoht.................................................................................................................576

INF.9 Mobiiltöökoht...............................................................................................................579

INF.10 Koosoleku-, ürituse- ja koolitusruum.........................................................................584

INF.11 Sõidukite IT-komponendid.........................................................................................588

INF.12 Kaabeldus...................................................................................................................594

INF.13 Hoonete tehniline haldus............................................................................................602

INF.14 Hooneautomaatikasüsteemid......................................................................................613

4

ISMS: Turbehaldus

ISMS.1 Turbehaldus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed infoturbe halduse süsteemi (ingl Information Security Management System, ISMS) rajamiseks ning täiustamiseks. Esitada juhised turbekontseptsiooni väljatöötamiseks.

1.2 Vastutus Turbehalduse meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad

Organisatsiooni juhtkond, ülemus.

1.3 Piirangud Moodul põhineb etalonturbe metoodikal ja Eesti Infoturbestandardi nõuete dokumendil (Eesti Infoturbestandard. Nõuded infoturbe halduse süsteemile). Infoturbega seotud personalimeetmeid käsitletakse mooduligrupis ORP.2 Personal.

2 Ohud

2.1 Isikliku vastutuse puudumine turbeprotsessis Kui organisatsiooni turbeprotsessis ei ole töökohustused piisava täpsusega määratud, puudub töötajal isiklik vastutus infoturbe tagamise eest. Töötajad enamasti väldivad lisakohustusi, mistõttu jäävad turvameetmed rakendamata.

2.2 Puudulik toetus organisatsiooni juhtkonnalt Juhul, kui infoturbejuht ei kuulu organisatsiooni juhtkonda, on tal raske nõuda infoturbe meetmete rakendamist kõrgemal positsioonil olevatelt isikutelt. Töötajad ei täida infoturbe nõudeid, kui juhtkond ise eeskuju ei näita.

2.3 Ebapiisav kava infoturbe strateegia elluviimiseks Turbekontseptsioonis sisalduvaid strateegilisi eesmärke võidakse pidada pelgalt kavatsuste deklaratsiooniks ja nende elluviimiseks ei eraldata piisavalt ressursse.

2.4 Ebaoptimaalsed investeeringud Oludes, kus organisatsiooni juhtkond pole teadlik infoturbe tegelikust olukorrast, infoturbe tagamiseks piisavaid ressursse kas ei eraldata või ei kasutata neid parimal viisil. Puudused ressursside jaotamisel võivad põhjustada üleinvesteerimist ühes lõigus kui teistes lõikudes on ressursipuudus. Ülemäära kallite ja keerukate tehniliste turbelahendustega võib kaasneda uusi turvanõrkusi.

5

2.5 Turvameetmete rakendamata jätmine Kui organisatsioon pole seadnud selgeid infoturbe eesmärke, saab infoturbe vajadust organisatsioonis tõlgendada mitmeti. Kui infoturvet ei peeta vajalikuks või piisavalt oluliseks, jäävad turvameetmed rakendamata.

2.6 Turbeprotsessi ajakohastamata jätmine Kui organisatsioon pidevalt ei panusta turbeprotsessi läbivaatamisse ja parendamisse, siis organisatsiooni turvatase langeb või aegamööda asendub ohtliku näilise turvalisusega. Väheneb organisatsiooni vastupanuvõime uutele infoturbe ohtudele.

2.7 Seaduste ja lepingute mittetäitmine Kui organisatsiooni töötajatel on puudulikud teadmised õigusaktidest, siis võidakse nende nõudeid tahtmatult rikkuda. Lepingutes sätestatud turvatingimuste mittetäitmine võib kaasa tuua leppetrahve või isegi lepingu lõpetamise ning ärisuhete katkestamise.

2.8 Äriprotsesside häirivad turvaintsidendid Turvasündmus (mida sageli täiendab asjaolude halb kokkusattumus) võib vallandada turvaintsidendi, millel on organisatsiooni olulistele äriprotsessidele negatiivne mõju. Isegi kui turvaintsident ei saa avalikkusele teatavaks, võib see halvendada suhteid äripartnerite ja klientidega.

2.9 Ebamajanduslik ressursikasutus puuduliku turbehalduse tõttu Turvatoodete ebaühtlase ja koordineerimata rakendamise korral kasutatakse raha ja tööjõudu ebaotstarbekalt. Puuduliku turbehalduse korral võivad organisatsioonile suurimat lisandväärtust toovad protsessid jääda piisava infoturbe investeeringuta.

3 Meetmed

3.1 Elutsükkel

Kavandamine

ISMS.1.M1 Infoturbe üldvastutuse võtmine juhtkonnatasemel

Evitus

ISMS.1.M2 Turvaeesmärgid ja turbe strateegia

ISMS.1.M3 Infoturvapoliitika

ISMS.1.M4 Infoturbejuhi määramine

ISMS.1.M5 Leping välise infoturbejuhi kasutamiseks

ISMS.1.M6 Infoturbekorralduse rajamine

ISMS.1.M7 Turvameetmete määramine

ISMS.1.M13 Turbeprotsessi dokumenteerimine

Käitus

ISMS.1.M8 Töötajate lõimimine turbeprotsessi

ISMS.1.M9 Infoturbe lõimimine organisatsiooniülestesse protsessidesse

ISMS.1.M10 Turbekontseptsioon

ISMS.1.M11 Infoturbe käigushoid

6

ISMS.1.M12 Infoturbearuanded juhtkonnale

ISMS.1.M15 Infoturberessursside ökonoomne kasutus

ISMS.1.M16 Täpsustavate turvapoliitikate väljatöötamine

Lisanduvad kõrgmeetmed

ISMS.1.M17 Kindlustuslepingute sõlmimine

3.2 Põhimeetmed

ISMS.1.M1 Infoturbe üldvastutuse võtmine juhtkonnatasemel [organisatsiooni juhtkond]

a. Organisatsiooni juhtkond võtab üldvastutuse organisatsiooni infoturbe eest. Juhtkonna kohustumus on kõigile asjaosalistele nähtav ja selgelt arusaadav.

b. Juhtkond algatab turbeprotsessi, juhib ja kontrollib protsessi ning on infoturbe korraldamisel eeskujuks.

c. Organisatsiooni juhtkond:

 määrab infoturbega seotud rollid ja ülesanded;

 tagab infoturbe töötajate pädevuse;

 tagab infoturbega seotud ülesannete täitmiseks vajalikud ressursid.

d. Organisatsiooni juhtkonda teavitatakse infoturbe olukorrast regulaarselt.

ISMS.1.M2 Turvaeesmärgid ja turbe strateegia [organisatsiooni juhtkond]

a. Arvestades organisatsiooni eesmärke, äriprotsesse ja muud olulist teavet, määrab organisatsiooni juhtkond turvaeesmärgid ja turbe strateegia.

b. Turvaeesmärgid ja turbe strateegia on dokumenteeritud. Eesmärgid on realistlikud, praktilised, põhjendatud ja arusaadavad.

c. Organisatsiooni juhtkond vaatab turbe strateegiat regulaarselt üle, tagamaks, et strateegia on endiselt sobiv ja ajakohane.

ISMS.1.M3 Infoturvapoliitika [organisatsiooni juhtkond]

a. Organisatsiooni juhtkond piiritleb üheselt ja selgelt infoturbe kaitseala.

b. Organisatsiooni juhtkond kinnitab ja kehtestab infoturvapoliitika (ingl information security policy).

c. Infoturvapoliitikas on kajastatud vähemalt järgmised aspektid:

 infoturbe tähtsus ning tähendus organisatsioonile;

 turbe strateegia põhielemendid;

 juhtkonna kohustumus;

 turbeprotsessi rakendamise korralduslikud alused;

 tulemuslikkuse hindamise põhimõtted.

d. Infoturvapoliitika seostab turvaeesmärgid organisatsiooni eesmärkidega arusaadaval ja iga töötajat motiveerival viisil.

7

e. Infoturvapoliitika tehakse teatavaks kõigile töötajatele ja organisatsiooni partneritele, vajadusel ka avalikkusele. Juurdepääs olulisele teabele võimaldatakse töötajatele ja partneritele üksnes pärast poliitika aktsepteerimist.

f. Infoturvapoliitikat ajakohastatakse regulaarselt (vähemalt kord aastas) või oluliste muudatuste puhul IT-süsteemides, organisatsiooni eesmärkides või turbe strateegias.

ISMS.1.M4 Infoturbejuhi määramine [organisatsiooni juhtkond]

a. Organisatsiooni juhtkond määrab infoturbe eest vastutava isiku - infoturbejuhi, kelle kohustused hõlmavad järgmist:

 infoturbeprotsessi juhtimine ja koordineerimine;

 juhtkonna toetamine infoturvapoliitika kehtestamisel;

 turbekontseptsiooni(de) väljatöötamine ning koordineerimine;

 infoturvapoliitika(te) ja -meetmete jõustamine;

 turvameetmete rakendusplaani väljatöötamine, elluviimise algatamine ja kontrollimine;

 juhtkonna pidev teavitamine infoturbe hetkeseisust;

 infoturbe projektide koordineerimine;

 infoturbeintsidentide menetlemine;

 infoturbeteadlikkuse suurendamine, koolituste korraldamine.

b. Organisatsiooni juhtkond tagab infoturbejuhile tööks vajalikud tingimused ja ligipääsud teabele ning objektidele.

c. Infoturbejuhi erialane kvalifikatsioon on piisav ning infoturbejuhile on tagatud võimalused oma teadmiste täiendamiseks.

d. Infoturbejuhi kompetents ja isikuomadused lisaks erialastele oskustele on järgnevad:

 organisatsiooni eesmärkide ja äriprotsesside tundmine;

 koostöövõime, meeskonnatöö oskused;

 iseseisvalt töötamise võime;

 tahe ennast erialaselt täiendada;

 enesekehtestamise oskus;

 projektijuhtimise kogemus.

e. Infoturbejuht teeb oma ülesannete täitmisel koostööd andmekaitsespetsialisti ning väliste regulaatoritega.

f. Infoturbejuht on kaasatud IT projektidesse ning IT-süsteemide arendusprotsessi.

ISMS.1.M5 Leping välise infoturbejuhi kasutamiseks [organisatsiooni juhtkond]

a. Kui infoturbejuhi rolli ei saa täita oma töötajaga, siis hangitakse infoturbejuht teenusena väljastpoolt organisatsiooni.

b. Välisel infoturbejuhil on vajalik kvalifikatsioon.

c. Infoturbejuhi teenuseleping sisaldab infoturbejuhi tööülesandeid ning nendega seotud õigusi ja kohustusi. Sätestatud on vähemalt järgmised aspektid:

 kvalifikatsiooninõuded;

 tööülesanded;

8

 minimaalsed ressursid ülesannete täitmiseks;

 teatamis- ja aruandlusahel, kontaktisikud;

 töökohad, tööruumid, kohaloleku- ja kättesaadavusajad;

 pääsuõigused;

 aruandluskohustus;

 koostöökohustus teenuse ostjaga.

d. Välise infoturbejuhiga on sõlmitud konfidentsiaalsusleping.

e. Infoturbejuhi teenuselepingus kajastatakse lepingulise suhte kogu elutsükkel, sealhulgas:

 töid teostavate isikute asendamise kord;

 huvide konflikti määratlus ja lahendusviisid;

 lepingu rikkumise tagajärjed;

 lepingulise suhte lõpetamise kord;

 lepingu täitmisega seotud kulud.

ISMS.1.M6 Infoturbekorralduse rajamine [organisatsiooni juhtkond]

a. Organisatsiooni juhtkond kehtestab infoturbe korralduse organisatsioonis, määrab turvaeesmärkide saavutamiseks vajalikud rollid, tagab ressursid ning nimetab piisava kvalifikatsiooniga isikud nende rollide täitmiseks.

b. Infoturbe erinevate aspektide haldamiseks teevad koostööd:

 infoturbejuht;

 IT-juht;

 äriüksuste juhid;

 andmekaitsespetsialist.

c. Turbehalduse ülesanded on sõnastatud arusaadavalt, kohustused on selgelt määratud.

d. Kõigile olulist infoturbe rolli täitvatele isikutele on kehtestatud asendamise kord.

e. Infoturbekorralduse suhtlusteed on plaanitud, kirjeldatud, korraldatud ja teatavaks tehtud. Rollide kirjeldused sisaldavad, keda ja millises ulatuses tuleb infoturbe sündmustest teavitada.

f. Infoturbekorralduse sobivust ja toimivust kontrollitakse regulaarselt, vajadusel kohandatakse seda vastavalt muutunud tingimustele.

ISMS.1.M7 Turvameetmete määramine

a. Määratud on turvaeesmärkidest ja kaitsetarbest tulenevad turvameetmed, mis vastavad järgmistele põhinõuetele:

 turvameetmete valik võtab arvesse toimivust, tõhusust ja majanduslikku otstarbekust;

 meetmete valik on põhjendatud ning aluskaalutlusteni tagasijälitatav;

 määratud on turvameetmete eest vastutavad isikud;

 meetme rakendamise kirjeldus on esitatud turbeülesande täitmiseks vajaliku täpsusega.

b. Rakendatavad turvameetmed on süsteemselt dokumenteeritud, vajadusel meetme rakenduse kirjeldust ajakohastatakse.

9

c. Määratud, kuid rakendamata jäetud meetme puhul:

 on läbi viidud täiendav riskianalüüs, mis on aluseks juhtkonnale riski aktsepteerimise või mitteaktsepteerimise osas;

 on dokumenteeritud mitterakendamise põhjus ja asjaolud.

ISMS.1.M8 Töötajate lõimimine turbeprotsessi [ülemus]

a. Töötajad on kaasatud turbeprotsessi. Töötajad on teadlikud infoturbe ohtudest, tunnevad turvameetmeid ning oskavad neid tööülesannete täitmisel järgida.

b. Töötajatel on võimalik osaleda turvameetmete kavandamisel ja rakendamisel.

c. Enne turvapoliitika ja turvameetmete jõustamist selgitatakse töötajatele meetmete rakendamise vajalikkust.

d. Turvameetmete rakendamine mõjutab töötajate igapäevatööd võimalikult vähesel määral.

e. Töötajaid on teavitatud infoturvapoliitikate mittejärgimise ja turvameetmete eiramise võimalikest tagajärgedest.

ISMS.1.M9 Infoturbe lõimimine organisatsiooniülestesse protsessidesse [organisatsiooni juhtkond]

a. Infoturve on integreeritud kõigisse organisatsiooni äri- ja tugiprotsessidesse, äriprotsesside varadele infoturbe meetmete rakendamiseks on määratud vastutajad.

b. Infoturbe aspekte arvestatakse nii uute äriprotsesside juurutamisel kui olemasolevate äriprotsesside muutmisel.

c. Infoturbe haldus organisatsioonis on kooskõlas muude turvalisuse ja riskihaldusega seotud valdkondadega.

d. Infoturbejuht on alati ja vajalikul määral kaasatud infoturvet sisaldavate valdkondlike otsuste tegemisse.

ISMS.1.M10 Turbekontseptsioon

a. Infoturbe strateegia elluviimiseks ja infoturbe eesmärkide täitmiseks on välja töötatud turbekontseptsioon (ingl security concept). Turbekontseptsioon on turbeprotsessi alusdokument. Organisatsioonis võib olla samaaegselt mitu erinevat turbekontseptsiooni, mis rakenduvad organisatsiooni eri osadele.

b. Turbekontseptsiooni koostamisel arvestatakse infotehnoloogiast sõltuvaid äriprotsesse ja neid negatiivselt mõjutada võivaid riske.

c. Turbekontseptsioon määratleb vähemalt järgmist:

 kaitseala ja sellesse kuuluvad varad;

 kaitstavad äriprotsessid;

 äriprotsesside ja andmete kaitsetarve;

 turvameetmete modelleerimise protsess (sh meetmete prioriteedid ja teostusjärjekord, vt ISMS.1.M7 Turvameetmete määramine);

 riskianalüüsi läbiviimise korraldus;

 turbeprotsesside dokumenteerimise kohustus;

 infoturbe koolituste korraldus;

 infoturbe aruandluse korraldus.

10

d. Turbekontseptsioon arvestab asjakohaseid normdokumente ja õigusakte.

ISMS.1.M11 Infoturbe käigushoid

a. Turbeprotsessi, turbekontseptsiooni, infoturvapoliitika ja infoturbekorralduse toimivust, täielikkust ja ajakohasust kontrollitakse regulaarselt.

b. Regulaarseteks turvaläbivaatusteks on planeeritud, kes, millal, milliseid konkreetseid valdkondi ja turvameetmeid kontrollib. Läbivaatusi viivad läbi asjakohase kvalifikatsiooniga ning sõltumatud isikud.

c. Turvameetmeid ja turbekontseptsiooni vaadatakse üle lisaks regulaarsetele turvaläbivaatustele ka juhtumipõhiselt, kui:

 lisandub uusi äriprotsesse, rakendusi ja IT-komponente;

 tehakse olulisi taristumuudatusi;

 viiakse läbi suuremaid korralduslikke muudatusi;

 ohud oluliselt muutuvad;

 ilmnevad olulised nõrkused või intsidendid.

d. Turvaläbivaatuse tulemused dokumenteeritakse ning lahknevuste põhjused selgitatakse. Läbivaatuse käigus ilmnenud puuduste parandusmeetmed dokumenteeritakse.

e. Leitud puudused kõrvaldatakse, vajadusel korrigeeritakse turvameetmeid või turbe kontseptsiooni.

f. Väliste kontrollijate puhul lepitakse kokku kohustused ja aruandlus ning sõlmitakse konfidentsiaalsuslepe.

ISMS.1.M12 Infoturbearuanded juhtkonnale [organisatsiooni juhtkond]

a. Juhtkonnale esitatakse regulaarselt aruandeid infoturbe olukorrast, eelkõige riskiseisu ning turbeprotsessi toimivuse ja tõhususe kohta.

b. Infoturbearuanne esitatakse lisaks sündmusepõhiselt, nt pärast turvaintsidenti või turbeprotsessi olulises punktis.

c. Juhtkonnale esitatavad aruanded sisaldavad olulist ja asjakohast teavet, probleeme, edusamme ja täiustamise võimalusi. Aruannetes sisalduvad ka parandusettepanekud koos prioriteetide ja hinnangutega realiseerimise aja ja töömahu kohta.

d. Juhtkonna otsused turvameetmete, jääkriskide ja turbeprotsesside muutmise kohta on jälitatavalt dokumenteeritud.

ISMS.1.M13 Turbeprotsessi dokumenteerimine

a. Turbeprotsessi protseduurid, olulised otsused ja tegevuste tulemused on dokumenteeritud. Kindlasti dokumenteeritakse järgmine:

 aruanded juhtkonnale (vt ISMS.1.M12 Infoturbearuanded juhtkonnale);

 turbeprotsessi korralduse dokumentatsioon;

 turbetegevuste dokumentatsioon;

 turvaintsidentide dokumentatsioon;

 tehniline dokumentatsioon (nt tehnilised juhendid, testimistulemid, rakenduste kasutusload);

 protsessijuhendid töötajatele.

11

b. On olemas reeglistik dokumentatsiooni koostamiseks, hoidmiseks ning dokumentatsiooni ajakohasuse ja konfidentsiaalsuse tagamiseks.

c. Olemasolevate dokumentide kehtivad versioonid on lugejate sihtgrupile kergesti kättesaadavad. Samade dokumentide eelmised versioonid on arhiveeritud ning kättesaadaval ühes kohas.

ISMS.1.M15 Infoturberessursside ökonoomne kasutus [organisatsiooni juhtkond]

a. Infoturberessursside kasutamisel arvestatakse majanduslikke aspekte. Turvameetmete ressursivajadus esitatakse numbriliselt.

b. Organisatsiooni juhtkond eraldab vajalikud infoturberessursid (raha, tööjõud, vahendid).

c. Infoturbe jaoks plaanitud ressursid on kättesaadavad õigeaegselt. Töötajatel on turbega seotud ülesannete täitmiseks piisavalt aega ja võimalusi.

d. Töökoormuse tippajal või eriülesannete täitmiseks saab kaasata lisatööjõudu.

3.4 Standardmeetmed

ISMS.1.M16 Täpsustavate turvapoliitikate väljatöötamine

a. Kitsama käsitlusalaga turvapoliitikad koostatakse vähemalt järgmistes valdkondades:

• võrguhaldus;

• tulemüüri haldus;

• kahjurvaratõrje;

• andmevarundus ja arhiveerimine;

• e-post ja rühmatarkvara;

• mobiilseadmete kasutamine;

• teenuste väljasttellimine.

3.4 Kõrgmeetmed

ISMS.1.M17 Kindlustuslepingute sõlmimine (A)

a. Jääkriskide hindamise osana on hinnatud vajadus järgmiste kindlustusliikide järele:

 tule ja loodusjõudude kahju kindlustus;

 finantskahjude kindlustus;

 varakindlustus;

 õnnetusjuhtumikindlustus;

 vastutuskindlustus;

 tsiviilvastutuskindlustus.

b. Olemasolevate kindlustuslepingute otstarbekust ja toimivust kontrollitakse regulaarselt.

4 Lisateave

Lühend Publikatsioon

12

[RT] Vabariigi Valitsuse määrus „Infoturbe juhtimise süsteem“ , vastu võetud 15.03.2012, https://www.riigiteataja.ee/akt/119032012004?leiaKehtiv

ORP: Organisatsioon ja personal

ORP.1 Infoturbe korraldus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed infoturbe korralduse sobitamiseks organisatsiooniga, infoturbe juhtimiseks ja käigushoiuks. Moodul reguleerib infoturbe protsesside haldust ja infoturbe rollide jaotust organisatsioonis.

1.2 Vastutus „Infoturbe korraldus“ meetmete täitmise eest vastutab organisatsiooni juhtkond.

Lisavastutajad

Haldusosakond, tehnikatalitus, IT-talitus, infoturbejuht, töötaja.

1.3 Piirangud

Moodul käsitleb turbekorralduse üldmeetmeid. Täiendavad korraldusmeetmed esitatakse kitsama käsitlusalaga moodulites.

2 Ohud

2.1 Puuduvad või puudulikud eeskirjad Kui infoturbe meetmeid ei ole kehtestatud või meetmete rakendamise juhised ei ole arusaadavalt dokumenteeritud, jäävad vajalikud turvameetmed sisuliselt rakendamata. Eeskirjade puudulikkus ja vastutajate puudumine võivad kaasa tuua suuri kahjusid. Seda eriti olukordade tõttu, mis nõuavad viivitamatut tegutsemist. Probleeme põhjustavad ka ajakohastamata, reaalseid olusid eiravad või arusaamatult esitatud eeskirjad.

2.2 Eeskirjade rikkumine Kehtestatud eeskirjadest üleastumine töötaja poolt võib rikkuda teabe, äriprotsesside või IT- süsteemide konfidentsiaalsust, terviklust või käideldavust. Olenevalt teabe või süsteemide kaitsetarbest ja turvareeglite rikkujale antud pääsuõigustest võib kahju osutuda ulatuslikuks. Nõuete järgimata jätmine andmetöötluses võib põhjustada andmekadu. Kui pääsuõiguste halduse protseduure ei järgita, võib see kaasa tuua volitamata juurdepääsu IT-süsteemidele.

2.3 Puuduvad, ebasobivad või ühildamatud töövahendid Vajalike töövahendite puudumine ja rikutud või amortiseerunud töövahendid võivad organisatsiooni äriprotsesse märkimisväärselt takistada. Näiteks kaotab puhvertoiteallika

13

(ingl uninterruptable power supply, UPS) aku aja jooksul osa oma mahutavusest ning ei suuda elektrikatkestuse puhul IT-seadmete elektrivarustust tagada. Töövahendi hankimisel võib uus töövahend osutuda olemasoleva vanema tehnoloogilise keskkonnaga ühildamatuks.

2.4 Ohud abi- ja välispersonali tõttu Organisatsioonivälistelt isikutelt ei saa vaikimisi eeldada, et nad neile kättesaadavat teavet ja IT-vahendeid kasutaksid lähtudes organisatsioonis kehtestatud kordadest. Külastajad, koristajad ja muud välised töötajad võivad teabe turvalisust, äriprotsesse ja süsteeme mitmel viisil ohustada, alates tehniliste vahendite asjatundmatust kasutamisest ja IT-süsteemi võimaluste proovimisest kuni dokumentide ja IT-vahendite varguseni.

3 Meetmed

3.1 Elutsükkel

Kavandamine

ORP.1.M1 Kohustuste ja eeskirjade kehtestamine

ORP.1.M2 Teabe, rakenduste ja IT-komponentide eest vastutajate määramine

ORP1.M4 Tegevus- ja kontrollikohustuste lahusus

ORP.1.M16 IT-vahendite turvalise kasutamise eeskiri

Evitus

ORP.1.M8 Töövahendite ja seadmete haldus

Käitus

ORP.1.M3 Organisatsiooniväliste isikute järelevalve või saatmine

ORP.1.M13 Kolimise turve

ORP.1.M15 Infoturbe kontaktisik

Lisanduvad kõrgmeetmed

ORP.1.M17 Nutitelefonide kaasas kandmise piiramine

3.2 Põhimeetmed

ORP.1.M1 Kohustuste ja eeskirjade kehtestamine

a. Organisatsioonis on määratud infoturbega seotud ülesanded ning kohustused.

b. Eeskirjadega kehtestatakse turbe korraldus vähemalt järgmistes valdkondades:

 varundus ja arhiveerimine;

 andmekandjate käitus;

 hoolde- ja remonditööd;

 andmekaitse;

 avariivalmendus.

c. Eeskirjad tehakse teatavaks kõigile töötajaile ning neid vaadatakse regulaarselt üle.

14

ORP.1.M2 Teabe, rakenduste ja IT-komponentide eest vastutajate määramine

a. Turvalisuse eest vastutajad on määratud kogu teabe ning kõigi äriprotsesside, rakenduste ja IT-komponentide osas.

b. Infoturbe meetmete rakendamise kohustused on selgelt sõnastatud ja määratud, meetmete rakendamist kontrollitakse regulaarselt.

c. Töötajad teavad, kes ja mil viisil infoturbe meetmete rakendamise eest vastutavad.

ORP.1.M3 Organisatsiooniväliste isikute järelevalve või saatmine [töötaja, haldusosakond]

a. Organisatsioonivälised isikud liiguvad organisatsiooni ruumes koos töötajast saatjaga.

b. Väliste töötajate viibimine kõrgendatud kaitsetarbega aladel on lubatud ainult organisatsiooni töötaja otsesel järelevalvel.

c. Töötajaid on juhendatud mitte jätma väliseid isikuid organisatsiooni ruumidesse ilma järelevalveta.

ORP.1.M4 Tegevus- ja kontrollikohustuste lahusus

a. Organisatsioonis tagatakse infoturbe toimingu sooritaja ning toimingu kontrollija rollide lahusus ning neid rolle täidavad erinevad töötajad.

b. Tegevus- ja kontrollikohustuste lahusus kehtib ka töötaja asendamise korral.

ORP.1.M15 Infoturbe kontaktisik [infoturbejuht]

a. Organisatsioonis on turvaküsimuste lahendamiseks määratud isik(ud), kelle poole töötajad võivad kõikide infoturbe teemaliste küsimustega pöörduda.

b. Töötajaid julgustatakse turvaintsidendi kahtluse korral teavitama sellest kohe, vajaduse korral anonüümselt.

c. Infoturbe kontaktisik ja teavitamisteed on kõigile töötajatele teada või vajadusel kergesti leitavad.

3.3 Standardmeetmed

ORP.1.M8 Töövahendite ja seadmete haldus [IT-talitus, haldusosakond]

a. Organisatsioonis on ülevaade kõigist töövahenditest ja seadmetest, mis võivad infoturbe olukorda mõjutada. Lisaks IT-süsteemide ja tööstusautomaatika komponentidele kuulu- vad seadmete hulka ka esemevõrgu (ingl Internet of Things – IoT) seadmed.

b. Töövahendite ja seadmete hankimisel arvestatakse nende ühilduvust ja turvalisust. Või- malusel testitakse uusi seadmeid enne nende soetamist.

c. Töövahendid ja seadmed (ka nende kulumaterjalid, seonduv tarkvara, andmekandjad jms) võetakse arvele (nt varade registris).

d. Töövahendite ja seadmete turvaliseks kasutuselt kõrvaldamiseks on koostatud juhendid ja soetatud vajalikud vahendid (nt dokumendipurusti). Andmekandjad kõrvaldatakse vas- tavalt moodulile CON.6. Andmete kustutus ja hävitamine.

ORP.1.M13 Kolimise turve [IT-haldus, tehnikatalitus, haldusosakond]

a. Enne plaanitud kolimist töötatakse välja või ajakohastatakse kolimisplaan, kus muuhulgas määratletakse töötajate kohustused.

b. Töötajaid teavitatakse turvameetmetest, mida on vaja järgida kolimise eel, ajal ja järel.

15

c. Enne kolimist varundatakse andmed ja märgistatakse ümberpaigutatavad varad.

d. Kolimise käigus rakendatakse juurdepääsu kontrolle, väline personal liigub lähtekohas ja sihtkohas ainult organisatsiooni töötaja saatel.

e. Pärast kolimist kontrollitakse, kas kolimisel transporditud seadmed jm varad on täielikult, kahjustusteta ning muutmata kujul kohale jõudnud.

f. Enne töötajate tööle asumist uude kohta luuakse vajalik taristu, paigaldatakse ning tes- titakse IT- ja automaatikaseadmed ning veendutakse kasutajakontode toimimises.

ORP.1.M16 IT-vahendite turvalise kasutamise eeskiri [infoturbejuht, kasutaja]

a. Organisatsioonis on kehtestatud IT-vahendite turvalise kasutamise eeskiri.

b. IT-vahendite turvalise kasutamise eeskiri sisaldab vähemalt järgmist:

• organisatsiooni turvaeesmärgid; • olulised mõisted ja nende selgitused; • infoturbe rollid ja tööülesanded; • infoturbe kontaktid ja teavitusteed; • rakendatavad turvameetmed.

c. IT-vahendite turvalise kasutamise eeskiri on kõikidele töötajatele teatavaks tehtud ning on vajadusel kergesti leitav (nt siseveebist).

d. Uus töötaja kinnitab enne IT-vahendite kasutuselevõttu kirjalikult, et on eeskirjaga tutvu- nud.

e. IT- vahendite turvalise kasutamise eeskirja vaadatakse üle perioodiliselt ning pärast olu- liste muudatuste tegemist IT-süsteemides.

3.4 Kõrgmeetmed

ORP.1.M17 Nutitelefonide kaasas kandmise piiramine [haldusosakond, infoturbejuht] (C)

a. Mobiiltelefonide kaasa võtmine konfidentsiaalsetele koosolekutele ja kõrget konfident- siaalsustaset eeldavatele töökohtadele on keelatud.

b. Vajadusel kasutatakse turvaalale sisenejate mobiilsideseadmete avastamiseks detektor- seadet.

ORP.2 Personal

1 Kirjeldus

1.1 Eesmärk Esitada meetmed personaliosakonnale ja juhtidele, et oma töötajad ning välised töötajad tegutseks organisatsiooni turvaeesmärke silmas pidades.

1.2 Vastutus „Personal“ meetmete täitmise eest vastutab personaliosakond.

Lisavastutajad

IT-talitus, ülemus.

16

1.3 Piirangud Moodulis käsitletavad meetmed on üldised. Konkreetse funktsiooniga seotud personalimeetmed esitatakse asjakohastes moodulites.

2 Ohud

2.1 Personali piisamatus Vajaliku hulga ja nõutava kvalifikatsiooniga personali piisamatus viib selleni, et ettenähtud tööülesandeid ei ole võimalik õigeaegselt ja terviklikult täita. Suureneb hooletusest tehtud vigade arv.

2.2 Nõuete puudulik tundmine Kui infoturbe meetmeid ei ole kehtestatud või meetmete rakendamise juhised ei ole arusaadavalt dokumenteeritud, jäävad vajalikud turvameetmed sisuliselt rakendamata. Kui kehtestatud poliitikaid ja eeskirju pole kõigile töötajatele tutvustatud, siis ei saa ka eeldada, et kõik töötajad neid järgiksid.

2.3 Hooletus andmete kasutamisel Organisatsioonis määratud korralduslikke ja/või tehnilisi turvameetmeteid võidakse isiklikust mugavusest või muretusest tingituna ignoreerida või neist mööda minna. Sotsiaalvõrkudes ja töökeskkonnas samade paroolide kasutamine võib viia IT-süsteemide kuritarvitamiseni parooli äraarvamise kaudu. IT-seadmete ja tarkvara manipuleerimine või väärkasutamine võib kaasa tuua tundlike andmete lekkimise või IT-süsteemide kahjustumise. Olenevalt teabe või süsteemide kaitsetarbest ja pääsuõiguste ulatusest võib kehtestatud eeskirjade eiramine kaasa tuua ulatusliku kahju.

2.4 Ebapiisav töötajate kvalifikatsioon Paljud igapäevased IT-probleemid ja intsidendid on põhjustatud asjaolust, et töötajad ei oma antud töö tegemiseks piisavat kvalifikatsiooni või on töötajate koolitus olnud ebapiisav. Aegunud teadmiste ja puuduliku arvutioskuse tõttu ei pruugita infoturbe rikkeid tähele panna ega normaalsest erinevale tarkvara käitumisele õigeaegselt tähelepanu juhtida. Teist töötajat asendav isik võib jätta tööprotsessis olulise tegevuse tegemata või teha seda valesti. See võib põhjustada IT-süsteemis töös tõrkeid või tekitada infoturbe intsidendi.

3 Meetmed

3.1 Elutsükkel

Kavandamine

ORP.2.M1 Uue töötaja sisseelamise kord

ORP.2.M2 Töötaja lahkumise protseduur

ORP.2.M14 Tööülesannete ja kohustuste kehtestamine

Käitus

ORP.2.M3 Töötaja asendamise kord

ORP.2.M4 Asendamise kord välise töötaja puhul

ORP.2.M5 Konfidentsiaalsusleping väliste töötajate kasutamisel

17

ORP.2.M7 Kandidaadi usaldusväärsuse kontrollimine

ORP.2.M15 Piisava kvalifikatsiooniga töötajad

Lisanduvad kõrgmeetmed

ORP.2.M11 Turvakultuuri analüüs

ORP.2.M13 Taustakontroll

3.2 Põhimeetmed

ORP.2.M1 Uue töötaja sisseelamise kord [ülemus]

a. Uute töötajate sisseelamise kord sisaldab infoturbe nõuete, tavade ja tegevusjuhiste tutvustamist.

b. On koostatud kontroll-loend, mis sisaldab kõiki uue töötaja töö alustamiseks vajalikke tegevusi.

c. Töötajatele selgitatakse igapäevaseid tööprotseduure, infoturvameetmeid ning nende mõju äriprotsessile ja töökeskkonnale.

d. Uuele töötajale on määratud sisseelamise perioodiks kontaktisik (mentor), kes aitab teda kõigis ettetulevates küsimustes.

ORP.2.M2 Töötaja lahkumise protseduur [ülemus, IT-talitus]

a. Enne töötaja lahkumist või üleviimist teisele ametikohale koolitatakse välja tema tööüles- annete jätkaja. Soovitatavalt teeb seda lahkuv töötaja. Kui tööülesandeid ei saa otse üle anda, on uue töötaja jaoks loodud üksikasjalik tööülesannete juhend.

b. Lahkuv töötaja annab organisatsioonile üle kõik töösuhte ajal saadud dokumendid, võt- med ja seadmed, samuti töötõendi ning pääsukaardid.

c. Endise töötaja pääsuõigused IT-süsteemides suletakse õigeaegselt.

d. Töötaja üleviimisel teisele ametikohale kohandatakse töötaja pääsuõigused ja tema käes olevate organisatsiooni varade valik vastavaks muutunud tööülesannetega.

e. Enne töölt lahkumist juhitakse selgesõnaliselt veel kord töötaja tähelepanu konfidentsiaal- suskohustusele ja võimaliku huvide konflikti ärahoidmisele.

f. Töötaja lahkumisest teavitatakse asjakohaseid töötajaid, sealhulgas turvapersonali.

g. Vajadusel ajakohastatakse eriolukorra- jm tegevuskavad, kuhu lahkuv töötaja või teisele ametikohale üleviidav töötaja oli kaasatud.

h. Tegevuste koordineerimiseks töötaja lahkumise korral kasutatakse sarnaselt töölevõtmis- ele asjakohast kontroll-loendit.

ORP.2.M3 Töötaja asendamise kord [ülemus]

a. Juhtkond on koostanud töötaja asendamise korra ja loonud eeldused selle järgimiseks. Asendamise kord eksisteerib tööülesannetele kõigis olulistes äriprotsessides.

b. Töötaja asendamise korras kirjeldatakse ülesannete jaotus töötaja asendamisel.

c. Asendaja nimetamisel veendutakse, et tal on olemas asendamiseks vajalikud teadmised. Vajadusel asendajat koolitatakse ja tööprotseduurid dokumenteeritakse sellise täpsusega, et ka vähemate teadmistega isik saaks asendamisega hakkama.

d. Kui erandjuhul ei saa konkreetsele töötajale pädevat asendajat määrata ega koolitada, otsustatakse, kas saab töötaja asendamiseks kasutada organisatsioonivälist tööjõudu.

18

ORP.2.M4 Asendamise kord välise töötaja puhul

a. Kui töötaja asendamiseks kasutatakse välist töötajat, siis kohustub ta täitma organisatsiooni poliitikaid ja sise-eeskirju sarnaselt organisatsiooni töötajatega.

b. Lühiajaliselt või ühekordselt kaasatud välist töötajat käsitletakse külastajana, keda kaitse- vajadusega alas üksinda ei jäeta.

c. Pikemaks ajaks värvatud väliseid töötajaid õpetatakse ja koolitatakse tööülesandeid täit- ma sarnaselt organisatsiooni töötajatega. Ka välistele töötajatele kehtib töötaja asen- damise kord (vt ORP.2.M3 Töötaja asendamise kord).

d. Töölt lahkumise korral annab väline töötaja oma töö tulemi üle ja tema juurdepääsu- õigused suletakse sarnaselt organisatsiooni oma töötajaga.

ORP.2.M5 Konfidentsiaalsusleping väliste töötajate kasutamisel

a. Organisatsioonivälise isikuga sõlmitakse kirjalik konfidentsiaalsusleping enne, kui talle antakse juurdepääs konfidentsiaalsele teabele.

b. Konfidentsiaalsuslepingus on määratud vähemalt järgmine:

 millist teavet käsitletakse konfidentsiaalsena;

 millised nõuded kehtivad konfidentsiaalse teabe kasutamisel ja edastamisel;

 kui kaua konfidentsiaalsusleping kehtib;

 kuidas reguleeritakse teabe omandiõigusi;

 millised on lepingu rikkumise tagajärjed.

ORP.2.M14 Tööülesannete ja kohustuste kehtestamine [ülemus]

a. Kõik töötajad on selgesõnaliselt kohustunud järgima asjakohaseid õigusakte, organisatsiooni poliitikaid ja sise-eeskirju.

b. Töötaja tööülesanded ja kohustused on dokumenteeritud ja neid on töötajale tutvustatud. Töötajad kinnitavad nõuete järgimist, allkirjastades vastava kontroll-loetelu.

c. Töötajad teavad, et töötamise käigus saadav teave on ette nähtud ainult organisatsioonisiseseks kasutamiseks, kui see ei ole teisiti tähistatud.

d. Töötajad on kohustatud organisatsiooni varasid ja andmeid kaitsma ka pärast tööaega ja väljaspool organisatsiooni territooriumi.

ORP.2.M15 Piisava kvalifikatsiooniga töötajad [ülemus]

a. Töötajad saavad regulaarselt tegevusalale vastavat koolitust ja täiendõpet.

b. Töötajate täiendõpet soositakse ja töötajaid motiveeritakse ennast pidevalt arendama.

c. Uute töötajate otsimisel on nõutav haridus, kvalifikatsioon ja oskused selgelt kirjeldatud.

d. Töötajate vastavust ametikohale ja vastava ametikohale vajaliku kvalifikatsiooni kirjelduste õigsust kontrollitakse perioodiliselt.

3.3 Standardmeetmed

ORP.2.M7 Kandidaadi usaldusväärsuse kontrollimine

a. Personalivalikul osalejad kontrollivad enne töölevõtmist nõuetekohase hoolsusega kandi- daadi esitatud andmete tõepärasust.

19

b. Eriti hoolikalt kontrollitakse esitatud elulookirjelduse täielikkust, usutavust ja õigsust. Olulisi fakte kontrollitakse täiendavate tõendite küsimise ja esitamise teel.

3.4 Kõrgmeetmed

ORP.2.M11 Turvakultuuri analüüs (C-I-A)

a. Turvameetmete rakendamisel arvestatakse organisatsiooni töötajaid, nende tausta, teadmisi ning IT-süsteemide kasutamise kogemusi. Turvalisust parandatakse analüüsides töötajate turvakäitumist.

b. Turvaintsidentide toimivaks ja tõhusaks käsitlemiseks soodustatakse usalduslikku ja avatud suhtluskultuuri, mis võimaldab turvaintsidentidest kohe teatada ja neile lahendused leida.

c. Suurema organisatsiooni korral analüüsitakse, kas turvakultuuri võivad mõjutada riikidevahelised, piirkondlikud või üksustevahelised kultuurilised erinevused.

ORP.2.M13 Töötaja taustakontroll (C-I-A)

a. Suure kaitsetarbega valdkondades tehakse lisaks töötajate usaldatavuse põhikontrollile (vt ORP.2.M7 Töötajate usaldatavuse kontrollimine) seadusega lubatud piires täiendav taustakontroll, nt küsides kinnitust kriminaalkaristatuse puudumise kohta.

b. Teatud ametikohtadele kandideerimine ja ametikohal töötamine on lubatud ainult juhul, kui töötaja on taotlenud kehtiva seadusandluse kohase riigisaladusele juurdepääsu loa.

ORP.3 Infoturbe teadlikkuse tõstmine ja koolitus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed töötajate turvateadlikkuse tõstmiseks ja töötajate koolitusplaani koostamiseks, arvestades organisatsiooni spetsiifikat ja töötajatele vajalikke teadmisi ja oskusi.

1.2 Vastutus Infoturbe teadlikkuse tõstmise ja koolituse meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad

Personaliosakond, IT-talitus, organisatsiooni juhtkond, ülemus.

1.3 Piirangud Moodul ORP.3 Infoturbe teadlikkuse tõstmine ja koolitus käsitleb infoturbe valdkonda. Muudel teemadel kavandab, plaanib ja viib koolitusi läbi organisatsiooni personaliosakond või koolituste koordinaator.

20

2 Ohud

2.1 Turvanõuete puudulik tundmine Turvaintsidendi põhjuseks on sageli turvanõuete järgimata jätmine. Nõuete puuduliku tundmise tulemusena tekkinud turvanõrkused võivad ohustada töödeldava teabe konfidentsiaalsust, käideldavust ja terviklust.

2.2 Puudulik infoturvateadlikkus Kui töötajad ei ole infoturbe meetmetest piisavalt teadlikud, kannatab organisatsiooni turvakultuur ja turvaeesmärkide täitmine. Töötajad ei suuda luua konkreetseid seoseid oma töökeskkonnaga, sest neile ei ole selgitatud turvameetmete olulisust.

2.3 Teadvustuse ja koolituse vähene tulemuslikkus Teadvustus- ja koolitustegevuse vähese tulemuslikkuse põhjusteks on juhtkonna puudulik toetus, koolituse ebaselged eesmärgid, puudused koolituste läbiviimisel või ressursside vähesus. Kui organisatsioon töötajate teadlikkuse suurendamist ja koolitamist piisavalt ei tähtsusta, siis võib vähene turvateadlikkus otseselt takistada tööülesannete täitmist.

2.4 Puudlik koolitus turvafunktsioonide alal Sageli ei rakenda töötajad organisatsioonis kasutusele võetud turvarakendusi ja -funktsioone oskamatuse tõttu. Puudulik teadmine turvafunktsioonidest võib põhjustada tarkvara kasutusvigu ja seisakuid. Väärkasutuse mõju võib oluliste IT-süsteemide korral olla märkimisväärne.

2.5 Avastamata jäänud turvasündmused IT- ja automaatikakomponentide igapäevases töös võib esineda palju häireid ja rikkeid. Piisamatu koolituse tõttu ei suuda töötajad turvaintsidentidel ja tehnilistel riketel vahet teha, turvaintsidentidele ei reageerita ja nõrkused jäävad parandamata. See võib pärssida äriprotsesse, tekitada rahalist kahju või tuua kaasa õigusaktidest tulenevaid sanktsioone.

2.6 Turvameetmete eiramine Töötaja hooletuse või kiirustamine tõttu on oht, et konfidentsiaalsed dokumendid jäävad avatuna lauale, uksed jäävad lukustamata, aknad jäävad avatuks või arvutiekraan lukustamata.

2.7 Hooletus teabe töötlemisel Kui organisatsioonis kehtestatud turvameetmeid eiratakse, näiteks paroole kuvari peale kleebitud sedelile kirjutades, siis muutuvad ka parimad tehnilised turvameetmed ebatõhusaks. Kui konfidentsiaalse teabega dokumendid jäetakse printerisse või visatakse prügikasti, millele igaüks ligi pääseb, ei ole failide krüpteerimisest kõvakettal kasu.

2.8 Infoturbe puudulik omaksvõtmine Organisatsioonis võidakse infoturbenõudeid mitte omaks võtta ega tajuda turvameetmete rakendamise olulisust. Mitteomaksvõtmine võib näiteks olla tingitud organisatsioonikultuurist („nii on meil alati olnud“) või juhtkonna eeskuju puudumisest. Töötajate vastuseis turvameetmetele võib tekkida ka ebamõistlike või ülepingutatud turvanõuete tõttu.

2.9 Suhtlusrünne Suhtlusründe (ingl social engineering) tulemusel võib ründaja saada teabele või IT- süsteemidele lubamatu juurdepääsu, luues kontakte telefoni, e-posti või sotsiaalvõrgu kaudu

21

ning kasutades ära inimeste abivalmidust. Kui töötaja sellist ründeviisi piisaval määral ei tunne, siis osavalt suheldes suunatakse töötaja toimima lubamatul viisil. Suhtlusründe tulemusena võib ründaja hankida konfidentsiaalset teavet, levitada kahjurtarkvara või koguni sundida töötajat väidetavale äripartnerile raha üle kandma.

3 Meetmed

3.1 Elutsükkel

Kavandamine

ORP.3.M1 Juhtkonna teadlikkuse suurendamine infoturbe alal

ORP.3.M3 Infotehnoloogia turvalise kasutamise juhendamine

ORP.3.M4 Infoturbe teadvustus- ja koolitusplaan

Käitus

ORP.3.M6 Infoturbe teadvustus- ja koolitusmeetmete kavandamine ja rakendamine

ORP.3.M7 Infoturbe halduse meetodeid käsitlevad koolitused

Parendamine ja täiustamine

ORP.3.M8 Õpitulemuste mõõtmine ja hindamine

Lisanduvad kõrgmeetmed

ORP.3.M9 Ohustatud isikute ja organisatsioonide erikoolitus

3.2 Põhimeetmed

ORP.3.M1 Juhtkonna teadlikkuse suurendamine infoturbe alal [ülemus, organisatsiooni juhtkond]

a. Juhtkonda teavitatakse regulaarselt infoturbe riskidest, nendega seotud võimalikest kah- judest ja mõjust äriprotsessile.

b. Juhtkond on teadlik õigusaktidega kehtestatud infoturbenõuetest.

c. Juhtkond on kursis infoturbe rakendamise praktikatega teistes sarnastes organisatsiooni- des ning infoturbe protsesside sertifitseerimise võimalustega.

d. Organisatsiooni juhtkond toetab töötajatele korraldatavaid turvalisuse tõstmise kampaa- niaid ning muude koolitusmeetmete rakendamist.

e. Juhtivtöötajad näitavad infoturbes eeskuju, järgides turvameetmeid ise ja juhtides teiste töötajate tähelepanu meetmetest kinnipidamise vajalikkusele.

ORP.3.M3 Infotehnoloogia turvalise kasutamise juhendamine [ülemus, personaliosakond, IT-talitus]

a. Töötajad on läbinud küberhügieeni baasteadmise koolituse ja tõendanud oma teadmisi vastava testi sooritamisega.

b. Töötajatele ja organisatsioonivälistele kasutajatele on selgitatud, kuidas IT-, tööstusauto- maatika- ja esemevõrgu komponente turvaliselt kasutada ja millised on kasutamisega seotud õigused ja kohustused.

22

c. Organisatsioon on koostanud eeskirjad IT-, tööstusautomaatika ja esemevõrgu kom- ponentide turvaliseks kasutamiseks. Eeskirjad on arusaadavad ja ajakohased, kohustuste selgeks määratlemiseks on need kinnitatud juhtkonnas.

d. Eeskirjade või kasutusjuhiste muutmisel tagatakse, et muudatused tehakse kasutajatele teatavaks.

3.3 Standardmeetmed

ORP.3.M4 Infoturbe teadvustus- ja koolitusplaan

a. Töötajate teadlikkuse suurendamiseks on välja töötatud ja juhtkonna poolt kinnitatud infoturbe teadvustus- ja koolitusplaan.

b. Infoturbe teadvustus- ja koolitusplaanide koostamisel võetakse arvesse konkreetsete sihtrühmade vajadusi. Ühte sihtrühma koondatakse sarnase erialatausta, teadmiste või ülesannetega töötajad. Praktikas moodustatakse sihtrühmi ka struktuuriüksuste alusel.

c. Infoturbe teadvustus- ja koolitusprogrammi ajakohasust kontrollitakse regulaarselt, va- jaduste muutumise korral koolitusprogrammi kohandatakse või täiustatakse.

ORP.3.M6 Infoturbe teadvustus- ja koolitusmeetmete kavandamine ja rakendamine

a. Töötajate infoturbe koolituse kavandamisel lähtutakse töötajate tööülesannetest ja vastutusalast. Koolituse sisu on piisav kehtivate turvanõuete ja -meetmete rakendamiseks.

b. Kõik töötajad on läbinud oma tööülesannetele ja vastutusalale vastava infoturbe kooli- tuse.

ORP.3.M7 Infoturbe halduse meetodeid käsitlevad koolitused

a. Infoturbe eest vastutavad isikud on läbinud infoturbe halduse ja infoturbe standardi rakendamise koolituse.

b. Infoturbe halduse koolitused peavad sisaldama näiteid ja praktilisi harjutusi, sh elulisi näiteid infoturbe standardi rakendamisest.

ORP.3.M8 Õpitulemuste mõõtmine ja hindamine [personaliosakond]

a. Infoturbe valdkonna õpitulemusi mõõdetakse ja hinnatakse sihtrühmapõhiselt, et teha kindlaks, millisel määral on infoturbe teadvustus- ja koolitusplaanis ettenähtud eesmärgid saavutatud (vt ORP.3.M4 Infoturbe teadvustus- ja koolitusplaan).

b. Õpitulemuste hindamisel mõõdetakse nii teadvustus- ja koolitusplaani kvalitatiivseid kui kvantitatiivseid aspekte, kasutades selleks koolituste hindamislehti, koolituse lõputeste, töötajate küsitlusi või perioodilisi teadmiste kontrolle (nt RIA Kübertest, https://www.ria.ee/kuberturvalisus/kuberruumi-analuus-ja-ennetus/kubertest ).

c. Personaliosakond teeb koolituse sisu ja efektiivsuse hindamisel koostööd infoturbejuhi, andmekaitsespetsialisti, töökeskkonnavoliniku, tuleohutuse eest vastutava isiku ja teiste oluliste võtmeisikutega.

d. Õpitulemuste mõõtmise tulemusi arvestatakse infoturbe teadvustus- ja koolitusplaani muutmisel ja täiustamisel.

23

3.4 Kõrgmeetmed

ORP.3.M9 Ohustatud isikute ja organisatsioonide erikoolitus (C-I-A) a. Eriti ohustatud isikud (nt kriitilise funktsiooni täitjad) ning eriti turvatundlike

organisatsioonide töötajad on läbinud põhjaliku koolituse ohtude, ohu realiseerumise korral tegutsemise ja ettevaatusmeetmete kohta.

b. Õppematerjalide kinnistamise meetmed valitakse sobivalt organisatsiooni kultuuri ja suurusega, näiteks võib korraldada töötajatele simulatsiooniõppuseid pingeolukorras tegutsemise harjutamiseks.

4 Lisateave

4.1 Näide sihtrühmadele määratud koolitusmoodulitest.

X-ga tähistatakse seda, et konkreetset moodulit soovitatakse asjakohasele rollile. Numbriga 0 tähistatakse valikulisi koolitusmooduleid, mille korral otsustatakse mooduli valimine igal üksikjuhul eraldi.

Moodul 1. Infoturbe alused

Moodul 2. Infoturve töötamiskohal

Moodul 3. Seadused ja eeskirjad

Moodul 4. Organisatsiooni infoturbe kontseptsioon

Moodul 5. Riskihaldus

Moodul 6. Infoturbe haldus

Moodul 7. IT-süsteemid

Moodul 8. Tegevusala

Moodul 9. Turvameetmete tehniline teostus

Moodul 10. Avariivalmendus / eriolukorra tegevuskava

Moodul 11. Uued suundumused IT-valdkonnas

Moodul 12. Infoturbe äriline külg

Moodul 13. Taristu turve

Moodul →

funktsioon ↓

1 2 3 4 5 6 7 8 9 10 11 12 13

Ülemus X X X X O X

Turbehaldus X X X X X X X X X X X X X

Andmekaitsespetsi alist

X X X X X O

Taristu eest vastutav isik

X X X X X O X X

Kasutaja X X

24

Süsteemiülem X X X X X X X X X O

Tabel. Soovitatavad koolitusmoodulid funktsioonide järgi

Selles näites kuuluvad moodulid 1 ja 2 kõigi töötajate baaskoolitussse ning need peavad teadlikkuse suurendamise meetmetega täpselt kokku sobima. Muud moodulid näitavad, milliseid valdkondi koolitatakse sihtgrupi tööülesannetest olenevalt.

ORP.4 Identiteedi- ja õiguste haldus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed identiteedi- ja õiguste halduse korraldamiseks. Nii kasutajad kui IT- komponendid peaksid saama juurdepääsu üksnes vajalikele IT-ressurssidele ja informatsioonile.

1.2 Vastutus Identiteedi- ja õiguste halduse meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Kasutaja, infoturbejuht, organisatsiooni juhtkond.

1.3 Piirangud Identiteedi- ja õiguste halduse meetmed IT-süsteemi komponentides, operatsioonisüsteemides või kataloogiteenustes esitatakse vastavates moodulites (nt SYS.1.3 Linuxi ja Unixi server, SYS.1.2.2 Windows Server 2012; APP.2.1 Kataloogiteenus üldiselt, APP2.2 Active Directory).

2 Ohud

2.1 Identiteedihalduse protsesside puudumine või puudulikkus Kui identiteedi- ja õiguste halduse protsessid on puudulikud või kui protseduure ei järgita, ei saa vastutav süsteemiülem personalimuudatuste kohta piisavat teavet. Selle tulemusena võib lahkunud töötaja kasutajakonto jääda sulgemata ja ta võib edaspidigi tundlikule teabele või pilvrakendustele juurde pääseda. Samuti võivad teise osakonda siirdunud töötajal säilida tema endised õigused.

2.2 Kasutaja õiguste keskse peatamise võimaluse puudumine Töötajal võib erinevatesse IT-süsteemidesse juurdepääsuks olla mitmeid kasutajakontosid. Kui IT-süsteemide juurdepääsudest puudub keskne ülevaade, siis ei saa süsteemiülemad ründe või paroolivarguse korral töötaja kõiki õigusi kohe peatada. Samuti võib töötaja lahkumisel jääda mõni juurdepääs sulgemata.

2.3 Pääsuõiguste puudulik haldamine Kui eri struktuuriüksustes vastutavad õiguste andmise eest erinevad isikud ja pääsuõiguste haldus on halvasti korraldatud, võib pääsuõiguste saamine osutuda põhjendamatult

25

keeruliseks või vastupidi, on tehtud liiga lihtsaks. Ühel juhul võivad puuduvad õigused takistada igapäevatööd, teisel võib mittevajalik pääsuõigus tekitada turvariski.

3 Meetmed

3.1 Elutsükkel

Kavandamine

ORP.4.M1 Kasutajakontode halduse eeskiri

ORP.4.M2 Õiguste andmine, muutmine ja tühistamine

ORP.4.M3 Kasutajate õiguste dokumenteerimine

ORP.4.M4 Kohustuste jaotamine ja kohustuste lahusus

ORP.4.M8 Paroolide kasutamise kord

ORP.4. M11 Paroolide lähtestamine ja muutmine

ORP.4.M12 IT-süsteemide ja rakenduste autentimiskord

ORP.4.M13 Sobivate autentimismehhanismide valimine

ORP.4.M22 Parooli kvaliteedinõuete kehtestamine

ORP.4.M23 Nõuded paroole töötlevatele IT-süsteemidele

Evitus

ORP.4.M5 Füüsilise ligipääsu haldamine

ORP.4.M6 IT-vahenditele juurdepääsu haldamine

ORP.4.M7 Andmetele juurdepääsu haldamine

ORP.4.M16 IT-süsteemidele juurdepääsu reguleerimine

ORP.4.M17 Sobiv identiteedi- ja õiguste halduse süsteem

Käitus

ORP.4.M9 Tuvastamine ja autentimine

ORP.4.M10 Eeliskontode kaitsmine

ORP.4.M14 Kasutajakontode kasutamise kontrollimine

ORP.4.M15 Identiteedi- ja õiguste halduse protseduurid

ORP.4.M18 Keskse autentimisteenuse kasutamine

ORP.4.M19 Töötajate juhendamine autentimisprotseduuride ja -mehhanismide kasutamisel

Lisanduvad kõrgmeetmed

ORP.4.M20 Identiteedi- ja õiguste halduse süsteemi avariivalmendus

ORP.4.M21 Mitmikautentimine

ORP.4.M24 Nelja silma põhimõtte rakendamine IT-halduses

3.2 Põhimeetmed

ORP.4.M1 Kasutajakontode halduse eeskiri [infoturbejuht]

a. Organisatsioon on koostanud ja kinnitanud kasutajakontode halduse eeskirja.

26

b. Kasutajakonto määratakse identideedipõhiselt, kasutajakonto on seotud konkreetse kasu- tajaga.

c. IT-süsteemi standardseades määratud isikustamata haldus- ja külaliskontod, mida reaalselt ei kasutata, desaktiveeritakse või kustutatakse.

d. Kasutajakontod, mida ei ole kaua aega kasutatud, desaktiveeritakse.

e. Kasutajarühmad määratakse rollipõhiselt.

ORP.4.M2 Õiguste andmine, muutmine ja tühistamine

a. IT-süsteemi kasutajakonto luuakse ja pääsuõigused antakse üksnes tööalase vajaduse alusel, kasutades minimaalsuse põhimõtet.

b. Muudatuste korral personali koosseisus tühistatakse pääsuõigused, mida enam ei vajata.

c. Mittevajalike kasutajakontode kustutamine on lubatud ainult erandjuhtudel ning ainult siis kui samade kasutajatunnuste taaskasutamine ei tekita probleeme identiteedihaldusega (nt AD/LDAP teenust kasutavates süsteemides).

d. Õigused määratakse vastavalt kasutaja rollile.

e. Tavapärasest suuremaid õigusi antakse töötajatele ülemuse taotluse alusel ning pärast va- jadust kinnitavate ja täpsustavate põhjenduse esitamist.

ORP.4.M3 Kasutajate õiguste dokumenteerimine

a. Kasutajakontod, moodustatud kasutajarühmad ja õiguste profiilid dokumenteeritakse.

b. Kasutajakontode, moodustatud kasutajarühmade ja õiguseprofiilide dokumentatsiooni ajakohasust ja vastavust kasutaja tööülesannete ning infoturbe nõuetega kontrollitakse re- gulaarselt.

c. Kasutajate õiguste dokumentatsioon on kaitstud lubamatu andmepääsu eest.

d. Elektroonilisel kujul talletatav kasutajate õiguste dokumentatsioon varundatakse vastavalt varundusprotseduurile.

ORP.4.M4 Kohustuste jaotamine ja kohustuste lahusus [organisatsiooni juhtkond]

a. Organisatsioon on määranud kohustused ja tööülesanded, kus infotehnoloogia kasutamine on vajalik.

b. On määratud, milliseid kohustusi või tööülesandeid ei saa täita sama isik.

c. Tööülesandeid määrates järgitakse kohustuste lahususe põhimõtteid, tööülesannete oma- vahelisi rollikonflikte arvestatakse täiendavate kontrollide kehtestamisel.

ORP.4.M5 Füüsilise ligipääsu haldamine [haldusosakond]

a. Organisatsioon on määranud töötaja kohustuste ja tööülesannete täitmiseks vajalikud füü- silise ligipääsu õigused.

b. Sissepääsuvahendina kasutatavate pääsmike (ingl security token) väljaandmine või kehte- tuks muutmine dokumenteeritakse.

c. Kõiki füüsilise ligipääsu õigusega isikuid juhendatakse sissepääsuvahendeid õigesti kasu- tama.

d. Isiku pikema äraoleku korral tema ligipääsuõigused ajutiselt peatatakse.

27

ORP.4.M6 IT-vahenditele juurdepääsu haldamine

a. Organisatsioon on määranud töötaja kohustuste ja tööülesannete täitmiseks vajalikud IT- vahendite juurdepääsuõigused.

b. Juurdepääsuvahendina kasutatavate kiipkaartide vm pääsmike väljaandmine või kehtetuks muutmine dokumenteeritakse.

c. Kõiki juurdepääsuõigusega isikuid juhendatakse juurdepääsuvahendeid õigesti kasutama.

d. Isiku pikema äraoleku korral tema juurdepääsuõigused ajutiselt peatatakse.

ORP.4.M7 Andmetele juurdepääsu haldamine [infoturbejuht]

a. Organisatsioon on määranud isiku kohustuste ja tööülesannete täitmiseks vajalikud and- mete juurdepääsuõigused.

b. Kui andmetele juurdepääsuks kasutatakse pääsmikku, siis selle väljaandmine või kehte- tuks muutmine dokumenteeritakse.

c. Kõiki andmepääsuõigusega isikuid juhendatakse juurdepääsuvahendeid õigesti kasutama.

d. Isiku pikema äraoleku korral andmetele juurdepääs ajutiselt peatatakse.

ORP.4.M8 Paroolide kasutamise kord [kasutaja, infoturbejuht]

a. Organisatsioonis on kehtestatud paroolide kasutamise kord (vt ka ORP.4.M22 Parooli kvaliteedinõuete kehtestamine ja ORP.4.M23 Nõuded paroole töötlevatele IT-süs- teemidele).

b. Paroolide kasutamise kord sätestab selgelt kasutaja kohustuse hoida paroole teiste eest salajas.

c. Paroole muudetakse regulaarselt, mõistliku ajavahemiku järel.

d. Kui on kahtlus, et volitamata isikud on parooli teada saanud, muudetakse parool koheselt.

e. On keelatud kasutada paroole, mis on hõlpsasti äraarvatavad või mis on välja toodud avaldatud enimkasutatud paroolide nimekirjades.

f. Sama parooli ei tohi kasutada rohkem kui üks kord.

g. Iga IT-süsteemi või rakenduse jaoks kasutatakse erinevat parooli.

h. Parooli talletamine kirjalikult on lubatud ainult erandjuhtudel, neid hoitakse turvalises asukohas.

i. Elektroonilise paroolihalduri kasutamine on lubatud ainult juhul, kui paroolihalduri kasu- tamiseks on läbi viidud turvaanalüüs ja kasutus on infoturbejuhiga kooskõlastatud. Eriti ettevaatlik tuleb olla paroolihaldurite puhul, mis sünkroniseerivad andmeid kolmanda osapoole pilveteenusega.

j. Kui IT-süsteemides saab kehtestada parooli keerukusreegleid, tuleb keerukusreeglid jõus- tada.

k. Kui IT-süsteem seda võimaldab, kasutatakse ainult parooliga autentimise asemel mit- mikautentimist.

ORP.4.M9 Tuvastamine ja autentimine

a. Juurdepääs kõigile IT-süsteemidele ja teenustele on kaitstud kasutajate (sh ka teised IT- süsteemid) tuvastamise ja autentimisega.

b. Parooliga juurdepääsuvahendi kasutamisel muudetakse parool juurdepääsuvahendi esma- kordsel kasutamisel.

28

ORP.4.M22 Parooli kvaliteedinõuete kehtestamine [infoturbejuht, kasutaja]

a. Nõuded parooli kvaliteedile on kehtestatud arvestades IT-süsteemide kaitsetarvet ja kasutajate profiili.

b. Parool peab olema piisavalt keerukas, et parooli ei saaks ära arvata.

c. Soovitatav on kasutada vähemalt 12 tähemärgi pikkuseid paroole.

d. Parool ei tohi olla nii keeruline, et kasutaja ei suuda seda regulaarse kasutuse puhul mõistlike pingutustega meelde jätta.

ORP.4.M23 Nõuded paroole töötlevatele IT-süsteemidele

a. IT-süsteemis või rakenduses ei talletata paroole avateksti kujul.

b. Võrgustatud IT-süsteemide ja rakenduste paroole edastatakse ainult krüpteeritult. See meede kehtib ka sisevõrgus kasutatavate rakenduste puhul.

c. IT-süsteemi või rakenduse nõutud paroolivahetusel on alati konkreetne põhjus.

d. IT-süsteemi või rakenduse standardsete kasutaja- ja süsteemikontode paroolid on muude- tud esimesel võimalusel. Vaikeparoolid asendatakse piisavalt tugevate paroolidega, vaiki- misi sisselogimissseaded muudetakse.

e. Edutu sisselogimiskatse puhul ei tohi IT- süsteem anda vihjet, kas vale on parool või kasutajanimi.

3.3 Standardmeetmed

ORP.4.M10 Eeliskontode kaitsmine

a. Eeliskontode (ingl privileged account) kaitseks väliste ründajate eest ja õiguste volitamatu laiendamise eest kasutatakse mitmikautentimist (ingl multifactor authentication).

ORP.4.M11 Paroolide lähtestamine ja muutmine

a. Paroolide lähtestamiseks või muutmiseks on organisatsioonis kehtestatud piisavalt turva- lised protseduurid.

b. Paroolide lähtestamise ja muutmisega seotud tugipersonal on asjakohaselt koolitatud.

c. Suurema kaitsetarbe puhuks on olemas tegevuskava parooli turvaliseks muutmiseks ja edastamiseks ilma tugipersonali osaluseta.

ORP.4.M12 IT-süsteemide ja rakenduste autentimiskord [infoturbejuht]

a. Organisatsioonis on iga IT-süsteemi ja rakenduse jaoks määratud autentimisnõuded ja kehtestatud autentimiskord.

b. Autentimisandmeid hoitakse krüpteerituna.

c. Autentimisandmeid edastatakse üle andmesidevõrkude krüpteeritult.

ORP.4.M13 Sobivate autentimismehhanismide valimine [infoturbejuht]

a. Organisatsioonis kasutatakse kaitsetarbele vastavaid tuvastus- ja autentimismehhanisme.

b. IT-süsteemide või rakenduste autentimisandmeid kaitstakse kogu nende töötlemise ajal volitamata juurdepääsu, muutmise ja hävitamise eest.

c. Pärast ebaõnnestunud sisselogimiskatseid suurendab IT-süsteem või rakendus ajavahe- mikku, mille möödudes on lubatud teha uus sisselogimine.

29

d. IT-süsteemis või rakenduses on võimalik määrata ebaõnnestunud sisselogimiskatsete arv, pärast mida IT-süsteemi või rakenduse kasutajakonto lukustatakse.

ORP.4.M14 Kasutajakontode kasutuse kontrollimine

a. Regulaarselt kontrollitakse, kas IT-süsteemide kasutajad kasutavad oma kasutajakontot ning logivad end pärast ülesande täitmist alati süsteemist välja.

b. IT-süsteemi sisenemine teise füüsilise kasutaja kasutajanimega on rangelt keelatud.

ORP.4.M15 Identiteedi- ja õiguste halduse protseduurid

a. Organisatsioonis on koostatud ja rakendatud protseduurid:

 pääsupoliitikate haldamiseks;

 kasutajakontode ja kasutajarühmade haldamiseks;

 õiguste profiilide ja kasutajarollide haldamiseks.

ORP.4.M16 IT-süsteemidele juurdepääsu reguleerimine

a. IT-süsteemidele juurdepääsu andmisel lähtutakse kehtestatud pääsupoliitikatest.

b. Kasutatakse töötaja ülesannetele vastavaid standardseid õiguste profiile.

c. Iga IT-süsteemi juurdepääsude haldamiseks on kehtestatud protseduurid.

d. Kasutajale lubatakse juurdepääs IT-süsteemidele ja teenustele pärast kasutaja tuvastamist ja autentimist.

ORP.4.M17 Sobiv identiteedi- ja õiguste halduse süsteem [infoturbejuht]

a. Identiteedi- ja pääsuõiguste halduse süsteem:

 on sobitatud organisatsiooni ja selle äriprotsessidega ning vastab nende kaitsetarbele:

 vastab organisatsioonis kehtivatele pääsuhalduse nõuetele;

 võimaldab ellu viia kohustuste lahususe põhimõtet.

b. Identiteedi- ja pääsuõiguste halduse süsteemi kaitstakse siseste ja väliste rünnete eest.

ORP.4.M18 Keskse autentimisteenuse kasutamine [infoturbejuht]

a. Ühtse identiteedi- ja õiguste halduse rakendamiseks kasutatakse keskset ainulogimisega autentimisteenust (ingl single sign-on access).

b. Enne teenuse kasutuselevõttu on kavandatud ja dokumenteeritud keskse autentimisteenuse turvanõuded.

ORP.4.M19 Töötajate juhendamine autentimisprotseduuride ja -mehhanismide kasutamisel [kasutaja, IT-talitus]

a. Töötajatele tutvustatakse autentimise korda ja juhendatakse, kuidas autentimisprotseduure õigesti kasutada.

b. Autentimiseks on koostatud kõigile töötajaile arusaadavad juhised.

30

3.4 Kõrgmeetmed

ORP.4.M20 Identiteedi- ja õiguste halduse süsteemi avariivalmendus [organisatsiooni juhtkond, infoturbejuht](C-I-A)

a. Talitluspidevuse tagamiseks tuvastatakse identiteedi- ja õiguste halduse süsteemi turva- kriitilisus äriprotsesside vaates ning kontrollitakse identiteedi- ja õiguste halduse süsteemi avariiolukorraks valmisolekut.

b. Avariiolukordade puhul tegutsemiseks on koostatud kasutajaõiguste erikontseptsioon ja määratud avariiolukorras rakendatavad õiguseprofiilid vastavalt töötajate hädaolukorras teistsuguseks muutuvatele kohustustele.

ORP.4.M21 Mitmikautentimine [IT-talitus] (C)

a. Suure kaitsetarbe korral kasutakse autentimiseks turvalist mitmikautentimist, nt ID-kaardi või tookeni (ingl token) abil.

ORP.4.M24 Nelja silma põhimõtte rakendamine IT-halduses [IT-talitus] (C)

a. Suure kaitsetarbega haldustegevuste läbiviimiseks kasutatakse kahte administraatorit.

b. Mitmikautentimise korral on autentimisvahendid administraatorite vahel jagatud. Ainult parooli kasutamise puhul on parool jagatud kaheks osaks, millest kumbki administraator teab ainult oma osa.

ORP.5 Vastavusehaldus (nõuete haldus)

1 Kirjeldus

1.1 Eesmärk Esitada meetmed organisatsiooni eesmärkidel, õigusaktidel, lepingutel ja poliitikatel põhinevate turvanõuete kehtestamiseks ja järgimiseks.

1.2 Vastutus Vastavusehalduse meetmete täitmise eest vastutab vastavushaldur.

Lisavastutajad

Infoturbejuht, organisatsiooni juhtkond, haldusosakond, ülemus.

1.3 Piirangud Selles moodulis käsitletakse infoturbe vastavusehaldust üldiselt, konkreetseid valdkonnakohaseid õigusakte ja üksikuid lepinguid meetmetes ei käsitleta.

2 Ohud

2.1 Seaduse- või lepingusätete rikkumine Infoturvameetmete puuduliku rakendamise tulemusena võidakse kas kogemata või tahtlikult rikkuda seaduse- või lepingusätteid.

31

2.2 Teabe lubamatu avaldamine Kui töötaja eirab kehtestatud turvanõudeid, võib konfidentsiaalne teave lekkida.

2.3 Suhtluspartneri identiteedi puudulik kontrollimine Suhtlemisel e-kanalite vahendusel jäetakse suhtluspartneri identiteedi samasus enamasti tuvastamata. Seda kas peetakse ebaviisakaks või on see tehniliselt keerukas. Alusetult eeldatakse, et vestluse või e-kirja sisu on konfidentsiaalne ning et teave ei satu valedesse kätesse.

2.4 Siseteabe kogemata avaldamine Teabe edastamisel, nt telefoni teel või irdmäluseadme ning e-kirja vahendusel, võib juhtuda, et peale soovitud teabe avaldatakse kogemata ka midagi soovimatut. Kui töötaja kasutab pilvteenust hooletult, võib ta tahtmatult lekitada konfidentsiaalset teavet.

3 Meetmed

3.1 Elutsükkel

Kavandamine

ORP.5.M1 Õiguslike raamtingimuste piiritlemine

ORP.5.M4 Vastavusehalduse kavandamine ja korraldamine

Käitus

ORP.5.M2 Õiguslike raamtingimuste järgimine

ORP.5.M5 Erandite haldus

Parendamine ja täiustamine

ORP.5.M8 Vastavusehalduse regulaarne läbivaatus

Lisanduvad kõrgmeetmed

ORP.5.M9 Teabe tagantjärele muutmise kaitse

ORP.5.M10 Informatsiooni turvamärgendus

ORP.5.M11 Krüptograafia õiguslike kitsenduste väljaselgitamine

3.2 Põhimeetmed

ORP.5.M1 Õiguslike raamtingimuste piiritlemine [haldusosakond, ülemus, organisatsiooni juhtkond]

a. Organisatsioonis on välja töötatud protsess kõigi turbehaldusele mõju avaldavate õigusak- tide, lepingute ja muude nõuete väljaselgitamiseks. Asjakohased nõuded dokumen- teeritakse.

b. Tuvastatud õiguslikke raamtingimusi võetakse arvesse äriprotsesside, rakenduste ja IT- süsteemide kavandamisel ning IT-komponentide hankimisel.

c. Õiguslikke raamtingimusi kontrollitakse ja dokumenteeritud nõudeid uuendatakse re- gulaarselt.

d. Õigusaktidest tulenevaid erinõudeid arvestatakse eriti järgmistes valdkondades:

32

 isikuandmete kaitse;

 ärisaladuse kaitse;

 intellektuaalomandi kaitse;

 krüptograafia kasutamine;

 IT-süsteemide logimine ja seire;

 andmete pikaajaline säilitamine;

 tegutsemine eriolukorras.

ORP.5.M2 Õiguslike raamtingimuste järgimine [ülemus, haldusosakond, organisatsiooni juhtkond]

a. Äriprotsesside kujundamisel või IT-süsteemide väljatöötamisel arvestatakse õiguslikest raamtingimustest tulenevaid infoturbe nõudeid juba kavandamise ja disaini etappides.

b. Õigusaktide nõuete järgimise üldvastutus on organisatsiooni juhtkonnal.

c. Õiguslike raamtingimuste järgimise ja õigusaktide nõuete täitmise eest vastutavad konk- reetsed, kinnitatud tööülesannetega töötajad.

d. Mittevastavuste kõrvaldamiseks rakendatakse sobivaid meetmeid.

3.3 Standardmeetmed

ORP.5.M4 Vastavusehalduse kavandamine ja korraldus [organisatsiooni juhtkond]

a. Iga konkreetse valdkonna õigusaktide nõuetest ülevaate tagamiseks on määratud vastutavad isikud ja nende vastavusehalduse ülesanded.

b. Vastavusnõuetest tehakse sihtrühmadele struktureeritud kokkuvõtted.

c. Vastavusnõuetest tulenevad täiendavad infoturvameetmed integreeritakse eeskirjadesse ja kordadesse koostöös infoturbejuhiga.

d. Vastavusehalduse infoturvameetmete rakendamist kontrollitakse regulaarselt.

ORP.5.M5 Erandite haldus [infoturbejuht]

a. Erandjuhtudel võib turvapoliitika järgimises teha mööndusi. Erandite tegemine turvapolii- tikast põhjendatakse ja viiakse läbi riskihindamine.

b. Erandid kooskõlastatakse juhtkonnaga, kõigist eranditest säilitatakse ülevaade.

c. Tähtajaliste erandite puhul kontrollitakse regulaarselt erandite jätkuvat vajadust.

ORP.5.M8 Vastavusehalduse regulaarne läbivaatus

a. Vastavushalduse ning sellest tulenevate meetmete tõhususe ja toimivuse läbivaatust teha- kse regulaarselt (vt DER.3.1 Auditid ja läbivaatused).

b. Regulaarsel läbivaatusel kontrollitakse töökorralduse ja äriprotsesside vastavust muutu- vatele vastavusehalduse nõuetele.

3.4 Kõrgmeetmed Moodulis kõrgmeetmed puuduvad.

33

CON: Kontseptsioonid ja metoodikad

CON.1 Krüptokontseptsioon

1 Kirjeldus

1.1 Eesmärk Esitada krüptograafiliste vahendite kasutamise korralduslikud meetmed ning juhised krüptokontseptsiooni koostamiseks.

1.2 Vastutus Krüptokontseptsiooni meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad

Vastutav spetsialist, IT-talitus.

1.3 Piirangud Krüptograafiliste vahendite (krüptograafilist funktsiooni täitev riist- või tarkvaraüksus) käitamisega seotud IT protseduurid esitatakse mooduligrupis OPS.1.1 IT-põhitööd. Üksikute rakenduste või IT-süsteemide kaitsmist krüptograafia abil kirjeldatakse vastavate rakenduste moodulites.

2 Ohud

2.1 Puudulik võtmehaldus Puuduliku võtmehalduse tulemusena võib paljastuda konfidentsiaalne teave. Kui protsessijuhendi puudumise tõttu on krüpteeritud andmed ja krüptovõtmed ekslikult paigutatud samale andmekandjale, saavad sümmeetrilise krüptoprotseduuri korral kõik andmekandjale või sidekanalile juurdepääsu omavad isikud andmeid dekrüpteerida.

Puudulik võtmehaldus võib ohustada andmete käideldavust, nt kui krüptovõtme või sertifikaadi kehtivusaeg on läbi saanud ja krüptovahendeid ei ole õigeaegselt uuendatud.

2.2 Õiguslike raamtingimuste rikkumine krüptomoodulite rakendamisel Õiguslikud raamtingimused krüptograafiliste vahendite rakendamisel võivad riigiti erineda. Mõnes riigis ei tohi krüptomooduleid (ingl cryptographic module) ilma riikliku loata kasutusele võtta või on riigis piiratud suure murdmiskindlusega krüptograafiaga toodete eksport. Kui andmekaitse regulatsioon nõuab isikuandmete kaitseks selliste krüptograafiliste protseduuride kasutamist, mida teise riigi seadused ei toeta, muutub andmekaitse subjektide vaheline andmevahetus võimatuks.

2.3 Andmete konfidentsiaalsuse või tervikluse kadu kasutamisvigade tõttu Kui organisatsioon võtab kasutusele krüptograafilise vahendi, mille kasutamine on liiga keerukas või see ei ole intuitiivne, võivad kasutajad krüptograafiliste vahendite kasutamisest loobuda ja selle asemel edastada andmeid avateksti kujul. See võimaldab ründajatel pealt kuulata edastatavaid andmeid.

34

2.4 Krüptograafilise vahendi tarkvaravead või turvanõrkused Krüptomehhanismide turvalisust võivad vähendada nõrkused või vead krüptograafiliste vahendite tarkvaras. Näiteks võivad krüptomooduli poolt genereeritud juhuarvud olla prognoositavad, mistõttu juhuarvuga seotud krüptovõtme rekonstrueerimine lihtsustub oluliselt. Krüptograafilist funktsiooni täitva riist- või tarkvara turvanõrkusi saab ründaja ära kasutada elutähtsate süsteemide manipuleerimiseks ja andmete volitamata muutmiseks.

2.5 Krüptomooduli tõrge Tehniliste defektide, elektrikatkestuste või tahtliku hävitamise tõttu võib tekkida tõrge riistvaralises krüptomoodulis. Seetõttu pole krüpteeritud andmeid niikaua võimalik kasutada kuni asendatakse dekrüpteerimiseks vajalik riistvara. Organisatsiooni ärikriitilised protsessid võivad seiskuda.

2.6 Ebaturvalised krüptograafilised vahendid Ebaturvaliste või aegunud krüptoalgoritmide murdmiseks ei ole tarvis kalleid ressursse. Isegi kui organisatsioonisiseselt kasutatakse üksnes turvalisi ja sertifitseeritud tooteid, võib teabevahetus osutuda murtavaks juhul, kui organisatsiooniväline suhtluspartner ajakohaseid krüptograafilisi vahendeid ei kasuta.

2.7 Viga krüpteeritud andmetes või krüptovõtmes Kui pärast andmete krüpteerimist krüptogrammi muudetakse, ei ole krüpteeritud teksti võimalik dekrüpteerida. Ainuüksi ühe biti vahetumine krüptovõtmes muudab krüpteeritud andmete dekrüpteerimise võimatuks. Kui andmetest ei ole tehtud varukoopiat, muutuvad kõik andmed kättesaamatuks.

2.8 Krüptovõtme paljastamine Krüptomehhanismi turvalisus oleneb sellest, kas krüptovõtmed jäävad konfidentsiaalseks. Ründaja proovib enamasti tuvastada kasutatud võtit. Teades võtit ja krüptomehhanismi, on ründajal võimalik andmed dekrüpteerida. Selleks võib ründaja üritada taastada krüptovõtit kasutatud seadme mälutõmmisest (ingl memory dump), otsida seda konfiguratsioonifailidest või andmete varukoopiatest. Krüpteeritud kõvaketta korral võib ründaja kõvaketta dekrüpteerimiseks paigaldada klaviatuuri ja arvuti vahele paroolile juurdepääsu saamiseks klahvilogeri (ingl keylogger).

2.9 Võltsitud sertifikaat Sertifikaate kasutatakse avaliku krüptovõtme konkreetse isiku privaatvõtmega sidumiseks, mis on omakorda krüptograafiliselt kaitstud digitaalsignatuuri abil. Kui sertifikaat on võltsitud, seotakse digitaalsignatuurid sertifikaadis nimetatud isikuga vääralt või krüpteeritakse ja edastatakse andmed ebaturvalise võtmega.

3 Meetmed

3.1 Elutsükkel

Kavandamine

CON.1.M1 Krüptomehhanismide kasutuselevõtu kavandamine

CON.1.M9 Krüptograafiliste vahendite valikukriteeriumite kehtestamine

35

Käitus

CON.1.M2 Andmete turvalisuse tagamine krüptomehhanismide kasutamisel

CON.1.M4 Turvaline võtmehaldus

CON.1.M10 Krüptokontseptsioon

CON.1.M15 Reageerimine krüptomehhanismide nõrgenemisele

CON.1.M19 Kasutatavate krüptograafiliste vahendite loend

Kõrvaldamine

CON.1.M5 Krüptovõtmete turvaline kustutus ja hävitamine

Lisanduvad kõrgmeetmed

CON.1.M11 Krüptograafiliste funktsioonidega riistvara testimine

CON.1.M16 Riistvaraliste krüptomoodulite füüsiline turve

CON.1.M17 Kiirguseturbe meetmed

CON.1.M18 Krüptograafiliste funktsioonidega riistvara asendus

CON.1.M20 Krüptograafiliste funktsioonidega riist- ja tarkvara manipuleerimise tuvastamine

3.2 Põhimeetmed

CON.1.M1 Krüptomehhanismide kasutuselevõtu kavandamine [vastutav spetsialist]

a. Krüptomehhamismide valimisel eelistatakse sõltumatutes uuringutes heakskiidetud krüptoalgoritme, mida on põhjalikult kontrollitud ja mis on teadaolevate turvanõrkusteta.

b. Krüptograafilises vahendis kasutatakse hetkel soovitatavaid võtmepikkusi.

c. Võtme pikkuse määramisel arvestatakse selle sobivust krüptovõtme plaanitud kasutusajaga. Pikemate kasutusaegade puhul on soovitatav võtme pikkust suurendada.

CON.1.M2 Andmete turvalisuse tagamine krüptomehhanismide kasutamisel [IT- talitus]

a. Krüpteeritud andmete varundamisel on krüptovõtmed kaitstud lubamatu juurdepääsu eest.

b. Pika kasutuskestusega krüptovõtmeid hoitakse väljaspool kasutatavat IT-süsteemi paiknevas võrguühenduseta asukohas.

c. Krüpteeritud andmete pikaajalisel säilitamisel on tagatud andmetele juurdepääs. Krüpteerimiseks kasutatud krüptoalgoritmide ja võtmepikkuste vastavust hetkel soovitavatele väärtustele kontrollitakse regulaarselt.

d. Kasutusest võetud krüptograafilised vahendid on arhiveeritud ning vastav riist- ja tarkvarakonfiguratsioon on varundatud.

CON.1.M4 Turvaline võtmehaldus

a. Krüptograafiliste vahendite krüptovõtmete halduseks on kehtestatud sobiv võtmehaldussüsteem ja loodud turvaline keskkond.

b. Võtmehaldussüsteem käsitleb krüptovõtmete tervikluse ja autentsuse säilitamist kogu võtme elutsükli (võtmete loomine, säilitamine, uuendamine, hävitamine) vältel.

36

c. Krüptovõtmete loomisel on kasutatud sobivat võtmegeneraatorit ja turvalist keskkonda.

d. Kolmandate poolte genereeritud võtmete kasutamisel kontrollitakse võtmeandmete päritolu ja terviklust. Kontrollimatu võtmehoidlaga krüptograafilisi vahendeid ei kasutata.

e. Krüptograafiliste vahendite vaikevõtmed (va avaliku võtme sertifikaadid) on asendatud.

f. Võimalusel kasutatakse krüptovõtit ainult üheks kasutusotstarbeks. Krüpteerimiseks ja signatuuride moodustamiseks kasutatakse erinevaid võtmeid.

g. Salajased võtmed (ingl secret key) on kaitstud volitamata juurdepääsu eest ja nende transpordil kasutatakse turvalisi edastuskanaleid.

h. Krüptovõtmeid muudetakse vastavalt IT-süsteemi nõuetele ja fikseeritud sagedusega.

i. Salajaste võtmete ja privaatvõtmete (ingl private key) avalikuks tuleku puhuks on loodud protseduurid intsidendi käsitlemiseks.

3.3 Standardmeetmed

CON.1.M5 Krüptovõtmete turvaline kustutus ja hävitamine [IT-talitus]

a. Kasutusest võetud krüptovõtmed ja sertifikaadid kustutatakse turvaliselt ja hävitatakse.

b. Krüptovõtmete turvalise kustutuse ja hävitamise protseduurid on dokumenteeritud krüptokontseptsioonis.

CON.1.M9 Krüptograafiliste vahendite valikukriteeriumite kehtestamine [vastutav spetsialist]

a. Enne krüptograafiliste vahendi valimist määratakse, millistele nõuetele peab toode vastama. Seejuures pööratakse tähelepanu järgmistele aspektidele:

 funktsionaalsus;

 koostalitlusvõime;

 majanduslik otstarbekus;

 töö- ja tõrkekindlus;

 tehnilised aspektid;

 personali- ja korralduslikud aspektid;

 kasutatavad krüptomehhanismid, -algoritmid ja võtmepikkused;

 andmekaitse nõuded;

 õiguslikud raamtingimused (sh rahvusvahelised õiguslikud aspektid).

b. Kasutusotstarbe ja käituskoha alusel otsustatakse, kas on vajalik kasutada ainult sertifitseeritud krüptovahendeid.

CON.1.M10 Krüptokontseptsioon

a. Organisatsiooni krüptokontseptsiooni loomisel on lähtutud organisatsiooni üldisest turvapoliitikast. Krüptokontseptsioon esitab kasutatavate krüptomehhanismide ja krüptograafiliste vahendite tehnilised ja korralduslikud nõuded.

b. Krüptokontseptsioonis on sätestatud vähemalt järgmine:

 vastutus krüptograafiliste vahendite eest;

 krüptograafiliste vahendite turvaline konfigureerimine ja nõutavad tehnilised parameetrid;

37

 krüptograafiliste vahendite testimine;

 krüptograafiliste vahendite turvaline kasutamine;

 krüptograafiliste vahendite turvaline haldus;

 krüptovõtmete haldus (sh võtmete turvaline varundamine);

 krüptograafiliste vahendite asendamine;

krüptograafiliste vahendite turvaline kustutus ja hävitamine.

c. Krüptograafiliste vahendite kasutajatele on koostatud õppematerjalid, tegevusjuhised ning loodud teavitusteed probleemidest ja turvasündmustest teavitamiseks.

d. Asjassepuutuvad töötajad järgivad tegevusjuhiseid.

e. Krüptokontseptsiooni täitmist kontrollitakse regulaarselt. Kontrollitulemused dokumenteeritakse. Vajadusel krüptokontseptsioon ajakohastatakse.

CON.1.M15 Reageerimine krüptomehhanismide nõrgenemisele

a. Usaldusväärsetele allikatele tuginedes kontrollib organisatsioon vähemalt korra aastas kõigi kasutatavate krüptograafiliste vahendite, meetodite ja parameetrite ajakohasust ja turvalisust.

b. Krüptomehhanismi turvanõrkuste ilmnemiseks on koostatud protseduur, mis taastab krüptomehhanismi nõutava turvataseme või asendab nõrgenenud krüptograafilise vahendi sobiva alternatiiviga.

CON.1.M19 Kasutatavate krüptograafiliste vahendite loend [IT-talitus]

a. Organisatsioon on loonud kasutatavate krüptograafiliste vahendite (sh krüptograafiliste funktsioonidega riist- ja tarkvara) loendi. Loend sisaldab vähemalt järgmist:

 IT-süsteemid, mis antud krüptograafilist vahendit kasutavad;

 krüptograafilise vahendi kasutamise eesmärk (nt arvuti kõvaketta krüpteerimine);

 krüptograafilised meetodid ja krüptomehhanismid;

 krüptograafilise vahendi turvaparameetrid (nt võtme pikkus).

3.4 Kõrgmeetmed

CON.1.M11 Krüptograafiliste funktsioonidega riistvara testimine (C-I) [IT-talitus]

a. Krüptograafiliste funktsioonidega riistvara kasutuselevõtu eel luuakse uued krüptovõtmed ja kontrollitakse, kas krüptograafilised funktsioonid toimivad ootuspäraselt.

b. Krüptograafiliste funktsioonidega riistvara testimisprotseduurid on kirjeldatud krüptokontseptsioonis.

c. IT-süsteemi muudatuste järgselt testitakse kasutavate krüptograafiliste funktsioonide toimivust.

d. Krüptograafiliste funktsioonidega riistvara konfiguratsiooni õigsust kontrollitakse regulaarselt.

e. Võimalusel kasutatakse krüptograafiliste funktsioonidega riistvara, mis võimaldab läbi viia eneseteste.

38

CON.1.M16 Riistvaraliste krüptomoodulite füüsiline turve (C-I) [IT-talitus]

a. On rakendatud meetmed krüptograafiliste funktsioonidega riistvarale volitamata füüsilise juurdepääsu tõkestamiseks.

CON.1.M17 Kiirguseturbe meetmed (C) [IT-talitus]

a. Lähtuvalt teabe konfidentsiaalsusvajadusest võetakse kiirguseturbe parendamiseks kasutusele täiendavad meetmed.

b. Kiirguseturbe meetmed ja meetmete rakendamise lävendid on dokumenteeritud krüptokontseptsioonis.

CON.1.M18 Krüptograafiliste funktsioonidega riistvara asendus (C-I-A) [IT-talitus]

a. Krüptograafiliste funktsioonidega riistvara asendamiseks on olemas asendusriistvara, nt piisav varu mitmikautentimiseks kasutatavaid riistvaralisi krüptopääsmikke (ingl cryptographic token).

b. On olemas krüptograafiliste funktsioonidega riistvara asendamist kirjeldavad juhendid.

CON.1.M20 Krüptograafiliste funktsioonidega riist- ja tarkvara manipuleerimise tuvastamine (C-I)

a. Kasutusele võetud krüptomooduleid ei saa märkamatult välja lülitada ega ignoreerida.

b. Krüptograafilisi funktsioone täitvate riist- või tarkvaraüksuste toimimist seiratakse võimalike manipuleerimiskatsete tuvastamiseks.

4 Lisateave

Lühend Publikatsioon

[BSI] BSI TR-02102-1 „Cryptographic Mechanisms Recommendations and Key Lengths“

https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Publications/ TechGuidelines/TG02102/BSI-TR-02102-1.pdf?__blob=publicationFile&v=6

CON.2 Isikuandmete kaitse

1 Kirjeldus

1.1 Eesmärk Esitada organisatsioonile meetmed füüsiliste isikute (andmesubjektide) põhiõiguste kaitseks isikuandmete töötlemisel.

Turvameetmete rakendamine äriprotsesside kaitseks tagab andmeid töötleva organisatsiooni turvalisuse, kuid see ei pruugi ilma täiendavaid meetmeid rakendamata olla piisav füüsiliste isikute (andmesubjektide) kaitsmiseks isikuandmete väärkasutuse eest.

1.2 Vastutus Isikuandmete kaitse meetmete rakendamise eest vastutab organisatsiooni juhtkond.

39

Lisavastutajad

IT-talitus, infoturbejuht, testija, personaliosakond, andmekaitsespetsialist.

1.2 Piirangud Õigusaktidest tulenevate andmekaitsenormide, sh isikuandmete töötlemise põhimõtete järgimine on andmetöötleja kohustus.

Andmekaitsespetsialisti ülesandeks on analüüsida ja kontrollida isikuandmete töötlemise toimingute õiguspärasust organisatsioonis, andes talle seoses tema kohustustega nõu ja soovitusi. Sel põhjusel ei ole andmekaitse spetsialisti tegevusi vastutajana järgnevates moodulites välja toodud.

Moodulis esitatavaid meetmeid rakendatakse isikuandmeid salvestatavatele ja talletavatele sihtobjektidele.

Täiendavalt tuleb isikuandmete kaitseks rakendada asjakohaseid meetmeid järgnevatest moodulitest:

 ORP.2 Personal

 ORP.4 Identideedi- ja õiguste haldus

 ORP.5 Vastavusehaldus (nõuete haldus)

 CON.1 Krüptokontseptsioon

 CON.3 Andmevarunduse kontseptsioon

 CON.6 Andmete kustutus ja hävitamine

 CON.8 Tarkvaraarendus

 CON.9 Teabevahetus

 OPS.1.1.3 Paiga- ja muudatusehaldus

 OPS.1.1.4 Kaitse kahjurprogrammide eest

 OPS.1.1.5 Logimine

 OPS.1.1.6 Tarkvara testimine ja kasutuselevõtt

 OPS.1.2.2 Arhiveerimine

 OPS.2.2 Pilvteenuste kasutamine

 OPS.2.3 Väljasttellimine

 OPS.3.2 Teenuseandja infoturve

 DER.1 Turvaintsidentide avastamine

 DER.2.1 Turvaintsidentide käsitlus

 DER.3.1 Auditid ja läbivaatused

 NET.3.2 Tulemüür

 NET.3.3 Virtuaalne privaatvõrk (VPN)

2 Ohud

2.1 Andmekaitseregulatsioonide eiramine Euroopa Liidu isikuandmete kaitse üldmäärus ehk IKÜM (ingl General Data Protection Regulation, GDPR), isikuandmete kaitse seadus ning teatud juhtudel ka muud seadusandlikud

40

aktid esitavad nõuded isikuandmete töötlemisele. Õigusaktide eesmärk on füüsiliste isikute (andmesubjektide) õiguseid kaitsta.

Oht füüsilistele isikutele tekib, kui organisatsioon eirab andmekaitsenõudeid, nt töödeldes andmeid eesmärgita või suuremas ulatuses kui on eesmärgi täitmiseks vajalik, õigusliku aluseta, läbipaistmatult, turvameetmeid rakendamata või ilma andmesubjekti sekkumisvõimaluseta. Lisaks organisatsiooni poolt isikutele tekitatud kahjude hüvitamisele on isikuandmete kaitse üldmäärusest tulenevalt võimalik andmekaitsenõuete rikkujat trahvida kuni 20 000 000 euro ulatuses või ettevõtja puhul kuni 4% tema eelneva majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb on suurem.

2.2 Puudulikud andmetöötlusprotseduurid Andmete väärkasutamise oht kasvab, kui organisatsioonis puuduvad protseduurid IT- süsteemidele ja andmetele õiguspärase juurdepääsu tagamiseks või kui töötajatel on juurdepääs isikuandmetele, mida ei ole konkreetsete tööülesannete täitmiseks vaja.

Kui andmete kasutamist ei kontrollita või kui andmete töötluse faktid ei ole logide ega dokumentatsiooni abil tõendatavad, võib suureneda andmete väärkasutamine.

Kui andmetöötlusjuhendid ei sätesta, kuidas ja millises ulatuses organisatsiooni töötajad tohivad isikuandmeid vaadata, muuta või edastada, võib töötaja selge ja üheselt mõistetava juhendi puudumise tõttu isikuandmete töötlemise käigus eksida.

2.3 Puudulikud ressursid Kui organisatsioon hindab isikuandmete kaitsevajadust liiga madalaks ja ei eralda isikuandmete kaitseks piisavalt tööjõudu, vahendeid jm vajalikke ressursse, jäävad isikuandmete kaitse korralduslikud ja tehnilised meetmed kas osaliselt või täielikult rakendamata. Tulemus ei pruugi tagada isikuandmete piisavat kaitset, seadusest tulenevad nõuded jäävad täitmata.

Ressursside puuduse põhjuseks on tihtipeale organisatsiooni juhtkonna ükskõiksus või teadmatus andmekaitsereeglite ja andmekaitse vajalikkuse osas.

2.4 Puudulik privaatsus Isikuandmete töötlemine võib riivata andmesubjekti õigust perekonna- ja eraelu puutumatusele.

Eriti intensiivne riive võib tekkida, kui töödeldakse eriliigilisi isikuandmeid ehk isikuandmeid, mis paljastavad rassilist ja etnilist päritolu, poliitilisi vaateid, religioosseid või maailmavaatelisi tõekspidamisi ning ametiühingusse kuulumist, samuti geneetilisi andmeid, andmeid tervise, seksuaalelu ning biomeetria kohta.

Puudulik privaatsus tähendab isikuandmete töötlemist, millega seotud tegevused või tegevusetus, rakendamisest tulenevad tagajärjed, sealhulgas kõrgendatud oht isikuandmetega seotud rikkumise toimepanemisele, põhjustavad andmesubjekti perekonna- ja eraelu puutumatuse riive. Näiteks on õigusrikkumine inimese andmete vaatamine andmekogus ilma selleks tegevuseks õiguslikku alust omamata.

2.5 Isikuandmete konfidentsiaalsuse kadu Isikuandmete töötlemisel on alati oht, et andmed satuvad volitamata isikute kätte. See võib juhtuda näiteks andmebaasi turvalisuse rikkumise, häkkerite rünnaku või füüsilise andmekandja kaotamise tõttu. Andmelekete tagajärjel võidakse isikuandmeid kuritarvitada, need võivad saada aluseks isiku identiteedivargusele või muudele ebaseaduslikele, isiku enesemääramise õigusi kahjustavatele tegevustele.

41

2.6 Ebatäpsete andmete töötlemine Isikuandmete töötlemisel on oht, et andmed muutuvad ebatäpseks, ebaõigeks või aegunuks. See võib juhtuda inimese enda eksimuste või IT-süsteemis tekkivate vigade tõttu. Andmete masstöötlusel on selliseid vigu väga keeruline tuvastada. Isiku kohta käivate ekslike andmete töötlemine võib viia ebaõigete otsuste tegemiseni ja võib mõjutada inimeste õigusi, vabadusi ja huve.

2.7 Andmetöötleja mainekahju Töötajate, klientide või partnerite isikuandmete lekkimine organisatsiooni enda süül võib organisatsiooni mainet tugevasti kahjustada. Kliendid võivad loobuda lepingutest, mis on organisatsiooniga sõlmitud ning see avaldub käibe vähenemisest tuleneva rahalise kahjuna. Töötajad ja partnerid kaotavad organisatsiooni vastu usalduse.

3 Meetmed

3.1 Elutsükkel

Kavandamine

CON.2.M1 Isikuandmete kaitse kavandamine

CON.2.M2 Andmekaitsespetsialisti (andmekaitseametniku) määramine

CON.2.M3 Isikuandmete töötluse kaardistamine

Evitus

CON.2.M4 Andmekaitsepoliitika ja andmekaitsejuhiste väljatöötamine

CON.2.M7 Andmekaitsetingimuste dokumenteerimine

Käitus

CON.2.M5 Organisatsiooni töötajate teadlikkuse tõstmine

CON.2.M6 Isikuandmete töötlemise õigus- ja eesmärgipärasuse ning minimaalsuse tagamine

CON.2.M8 Andmesubjekti õiguste tagamine

CON.2.M9 Isikuandmete pseudonüümimine ja anonüümimine

CON.2.M10 Isikuandmetele juurdepääsu piiramine

CON.2.M11 Isikuandmete korrakohane säilitamine

CON.2.M12 Isikuandmete kaitse tehniliste meetmete rakendamine

CON.2.M13 Andmekaitsealased mõjuhinnangud

CON.2.M14 Volitatud töötlejate haldus

CON.2.M15 Isikuandmete turvaline krüpteerimine

CON.2.M16 Isikuandmete säilitamise eeskiri

CON.2.M17 Keskne pääsuhalduse süsteem

CON.2.M18 Isikuandmete töötlemise turve

CON.2.M19 Andmetöötluse toimingute logimine

CON.2.M20 Andmetöötluse asukohtade füüsiline turvalisus

CON.2.M21 Võrguturbe tagamine

42

CON.2.M22 Lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtete rakendamine rakendustes

CON.2.M23 Isikuandmeid sisaldavate rakenduste testimine

CON.2.M24 Privaatsusseadistused veebilehtedel

CON.2.M25 Isikuandmete kustutamine töötaja lahkumisel

CON.2.M26 Andmekaitseauditi läbiviimine

Lisanduvad kõrgmeetmed

CON.2.M27 Tähtajalised juurdepääsuõigused

CON.2.M28 Isikuandmete töötlemise automaatseire

CON.2.M29 Juurdepääsupiirangute klassifikaator

CON.2.M30 Isikuandmete automaatne tuvastamine

CON.2.M31 Digitaalsete õiguste halduse süsteem

3.2 Põhimeetmed

CON.2.M1 Isikuandmete kaitse kavandamine

a. Organisatsioonis on analüüsitud töödeldavate isikuandmete asukohti, liike ja kaitsetarvet.

b. Organisatsioon on kaardistanud ning dokumenteerinud seadusandlusest ning kolmandate pooltega sõlmitud lepingutest tulenevad andmekaitsenõuded.

c. Organisatsioon on tuvastanud isikuandmete kaitse meetmete rakendamise kohustuse ja määranud isikuandmete kaitse meetmete eest vastutajad.

CON.2.M2 Andmekaitsespetsialisti (andmekaitseametniku) määramine

a. Organisatsiooni juhtkond on määranud andmekaitsespetsialisti, kui isikuandmete kaitse üldmääruse (IKÜM) artikkel 37, isikuandmete kaitse seaduse § 40 või muu asjakohane õigusakt seda nõuab.

b. Organisatsioon tagab, et andmekaitsespetsialist saab oma teadmisi regulaarselt uuendada (koolitused) ning võimaluse olla kursis andmekaitse-alaste arengute ja sündmustega.

c. Organisatsioon tagab andmekaitsespetsialisti nõuetekohase ja õigeaegse kaasamise kõikidesse isikuandmete kaitsega seotud küsimustesse.

CON.2.M3 Isikuandmete töötluse kaardistamine

a. Organisatsioon on kaardistanud isikuandmete töötlemise kogu andmete elutsükli ulatuses.

b. Kaardistamise tulemused on dokumenteeritud isikuandmete töötlemise ülevaates.

CON.2.M4 Andmekaitsepoliitika ja andmekaitsejuhiste väljatöötamine

a. Organisatsioon on välja töötanud ja kehtestanud andmekaitsepoliitika ja andmekaitsejuhised.

b. Andmekaitsepoliitikas on kirjeldatud isikuandmetele juurdepääsu andmise ning andmete kogumise, töötlemise, säilitamise ja kustutamise põhimõtted.

c. Andmekaitsepoliitika sätestab organisatsiooni töötajate vastutuse isikuandmete kaitse tagamisel.

43

d. Andmekaitsejuhised sisaldavad organisatsiooni töötajatele suunatud tegevusjuhiseid isikuandmete turvalisust mõjutavate intsidentidele ja andmesubjektide pöördumistele reageerimiseks.

CON.2.M5 Organisatsiooni töötajate teadlikkuse tõstmine [andmekaitsespetsialist, infoturbejuht, personaliosakond]

a. Organisatsioon korraldab regulaarselt andmekaitsealaseid koolitusi, kaasates selleks vajadusel ka väliseid eksperte.

b. Organisatsioon viib läbi küberhügieeni koolitusi (nt ekraaniluku kasutamine arvuti juurest lahkudes).

c. Organisatsiooni töötajate teadmisi kontrollitakse regulaarsete testidega, mis sisaldavad andmekaitsealaseid küsimusi ja tüüpjuhtumite lahendamist.

CON.2.M6 Isikuandmete töötlemise õigus- ja eesmärgipärasuse ning minimaalsuse tagamine

a. Organisatsioon töötleb isikuandmeid ainult IKÜM artikkel 6 sätestatud õigusliku aluse olemasolul või lähtudes isikuandmete kaitse seaduse §-st 15.

b. Organisatsioon töötleb isikuandmeid ainult kindlaksmääratud eesmärkidel ning ulatuses, mis on nende eesmärkide täitmiseks vajalik.

CON.2.M7 Andmekaitsetingimuste dokumenteerimine

a. Organisatsioon on koostanud andmekaitsetingimused vastavalt IKÜM artiklitele 5 lg 1 p. a ja lg 2, 12-22 ning pp. 39, 58-72 või vastavalt isikuandmete kaitse seaduse §-le 23.

b. Andmekaitsetingimused on töötajatele ja teistele andmesubjektidele arusaadavad ja vajadusel kergesti kättesaadavad.

CON.2.M8 Andmesubjekti õiguste tagamine

a. Organisatsioon tagab, et andmesubjektide IKÜM-st tulenevaid õigusi on IT-süsteemides tehniliselt võimalik rakendada.

b. Andmesubjektidele antakse selget ja arusaadavat teavet nende õiguste kohta.

c. Õiguste rakendamine on andmesubjekti jaoks lihtne.

CON.2.M9 Isikuandmete pseudonüümimine ja anonüümimine

a. Organisatsioon minimeerib isikuandmete töötlemisel isikuga otseselt või kaudselt seostatavate andmete kasutamist.

b. Võimalusel isikuandmed pseudonüümitakse (meetod, kus isikuandmed asendatakse andmete töötlemisel unikaalse identifikaatori või koodiga, mis ei võimalda isikut otseselt tuvastada) või anonüümitakse (meetod, mille käigus isikuandmeid muudetakse sellisel viisil, et neid ei ole võimalik enam konkreetse isikuga seostada ei otseselt ega kaudselt).

c. Statistilises andmetetöötluses kasutatakse võimalusel ainult anonüümitud isikuandmeid.

CON.2.M10 Isikuandmetele juurdepääsu piiramine [IT-talitus]

a. Isikuandmetele juurdepääsu andmisel lähtutakse minimaalsuse printsiibist, st töötajale antakse juurdepääs ainult sellele osale IT-süsteemist ja andmetest, mis töötajal on tööülesannete täitmiseks vajalik.

b. Juurdepääsu piiramine hõlmab nii füüsilise juurdepääsu kui pääsuõiguste piiramist.

44

CON.2.M11 Isikuandmete korrakohane säilitamine

a. Organisatsioon on määranud säilitustähtajad kõikidele säilitavatele isikuandmetele.

b. Säilitamise eesmärk ja säilitustähtajad on kooskõlas asjakohaste õigusaktidega.

c. Organisatsioon säilitab isikuandmeid ainult nii kaua, kui see on vajalik säilitamise eesmärgi saavutamiseks.

d. Kui säilitamise eesmärk on täidetud või kui isikuandmed ei ole enam vajalikud, korraldab organisatsioon nende isikuandmete turvalise hävitamise.

CON.2.M12 Isikuandmete kaitse tehniliste meetmete rakendamine [IT-talitus]

a. Organisatsioon on isikuandmetele volitamata juurdepääsu takistamiseks võtnud IT- süsteemides kasutusele turvalised autentimismeetodid (vt ORP4 Identiteedi- ja õiguste haldus).

b. Organisatsioon on võrguliikluse kaitseks paigaldanud tulemüüri ja piiranud mittevajaliku võrguliikluse (vt NET.3.2 Tulemüür).

c. Isikuandmete töötlemisel (sh. nende saatmisel) organisatsioon krüpteerib isikuandmed, kui see on asjakohane.

d. Isikuandmete töötluse tegevused ja asjaolud logitakse (vt OPS 1.1.5 Logimine).

e. Isikuandmete varundamine toimub regulaarselt. Varukoopiaid säilitatakse varundatavatest andmetest eemal asuvas asukohas. (vt CON.3 Andmevarunduse kontseptsioon).

f. Organisatsioon kontrollib ja testib regulaarselt isikuandmete töötlemisel tehniliste meetmete rakendamist, et veenduda nende tõhususes, turvalisuses ning vastavuses IKÜM-i. isikuandmete kaitse seaduse ja käesoleva standardiga.

3.3 Standardmeetmed

CON.2.M13 Andmekaitsealased mõjuhinnangud

a. Organisatsioon on läbi viinud andmekaitsealase mõjuhinnangu, kui see on IKÜM artiklist 35 või isikuandmete kaitse seaduse §-st 38 tulenevalt nõutud. Andmekaitsespetsialist on mõjuhinnangu koostamisel nõustavas rollis.

b. Andmekaitsespetsialist või organisatsiooni juhtkond on koostanud mõjuhinnangu läbi- viimise juhendi, mille alusel oskavad mõjuhinnangut läbi viia ka ilma eelneva põhjaliku ettevalmistuseta töötajad.

CON.2.M14 Volitatud töötlejate haldus

a. Organisatsioon on volitatud töötlejatega sõlminud IKÜM artiklile 28 või isikuandmete kaitse seaduse §-le 30 vastavad andmetöötluslepingud. Andmetöötluslepingut ei sõlmita, kui andmeid töödeldakse liidu või liikmesriigi õiguse kohase siduva õigusakti alusel.

b. Organisatsioon on kontrollinud, et volitatud töötlejad rakendavad nõutavaid turvameetmeid isikuandmete töötlemisel ja järgivad isikuandmete töötlemise põhimõtteid. Vajadusel viib vastutav töötleja läbi vastavuse auditeid.

c. Organisatsioon on valinud volitatud töötlejaid hoolikalt, kasutades üksnes neid volitatud töötlejaid, kes annavad konkreetse andmetöötluse riskitasemele vastavad piisavad tagatised, eelkõige seoses erialaste teadmiste, usaldusväärsuse ja vahenditega, et nad suudavad rakendada tehnilisi ja korralduslikke meetmeid, mis vastavad IKÜMi või isikuandmete kaitse seaduse nõuetele, sealhulgas töötlemise turvalisusele kehtestatud nõuetele.

45

d. Organisatsioon on volitatud töötlejate kaasamisel vaadanud üle nende andmekaitsetingimused, protseduurid ja turvameetmed ning on veendunud, et need vastavad IKÜMis või isikuandmete kaitse seaduses sätestatud nõuetele.

e. Isikuandmete kaitse nõuete muutumise korral tagab organisatsioon, et volitatud töötlejad oleksid muudatustest teadlikud. Kui organisatsiooni ja volitatud töötleja vahel on sõlmitud andmetöötlusleping, siis vajaduse korral seda uuendatakse.

CON.2.M15 Isikuandmete turvaline krüpteerimine [IT-talitus]

a. Organisatsioon on juurutanud turvalise võtmehaldusprotseduuri ning kasutab isikuandmete turvalisuse tagamiseks tugevat ja usaldusväärset krüpteerimisalgoritmi.

b. Organisatsioon tagab, et asjakohasel juhul toimub krüpteerimine juba andmete kogumise või edastamise ajal.

c. Organisatsioon tagab, et krüpteeritud isikuandmete dekrüpteerimise võimalus oleks rangelt piiratud vaid selleks volitatud isikutele.

d. Organisatsiooni töötajaid peab koolitama ja teavitama krüpteerimise parimate tavade teemal ja tagama, et töötajad oskavad krüptovahendeid isikuandmete kaitseks korrektselt kasutada.

CON.2.M16 Isikuandmete säilitamise eeskiri

a. Organisatsioon on koostanud eeskirja, mis kirjeldab, kuidas ja kui kaua erinevaid isikuandmeid säilitatakse ning kuidas toimub isikuandmete hävitamine.

b. Eeskiri sisaldab säilitusperioode kõigile varundatud või arhiveeritud isikuandmetele.

c. Organisatsioon kasutab säilitamistähtaegade jälgimiseks automaatseid teavitusi või automaatset kustutamist.

d. Organisatsioon auditeerib andmete säilitamise tähtaegade järgimist regulaarselt.

CON.2.M17 Keskne pääsuhalduse süsteem [IT-talitus]

a. Organisatsioon kasutab keskset pääsuhalduste süsteemi, mille abil organisatsioon haldab töötajate juurdepääsu isikuandmetele.

b. Organisatsioon logib töötajate tegevusi, et tuvastada isikuandmete väärkasutamist, kiirendada reageerimist turvasündmustele ning vähendada andmelekke riski.

c. Organisatsioon korraldab juurdepääsuõiguste ülevaatuse vähemalt kord aastas. Liigsed pääsuõigused eemaldatakse.

CON.2.M18 Isikuandmete töötlemise turve [IT-talitus, infoturbejuht]

a. Organisatsioon kasutab tundlikele isikuandmetele juurdepääsu andmisel mitmikautentimist (ingl multifactor authentication), eesmärgiga tagada ainult volitatud isikute juurdepääs.

b. Kaugtöötamiseks on organisatsioonis kasutusel virtuaalne privaatvõrk (ingl virtual private network, VPN). VPN tagab turvalise ja krüpteeritud ühenduse organisatsiooni sisevõrguga, võimaldades töötajatel turvaliselt juurde pääseda isikuandmetele väljastpoolt organisatsiooni võrku.

c. Tundliku teabe kaitsmiseks kõrvaliste pilkude eest kasutatakse ekraanifiltrit. Ekraanifilter on olemas pidevalt sülearvutiga kaugtööd tegevatel töötajatel.

46

CON.2.M19 Andmetöötluse toimingute logimine [IT-talitus]

a. Kõik isikuandmete töötlemise toimingud logitakse.

b. Andmetöötluse logid sisaldavad järgmist:

 kes isikuandmeid töötles;

 millal isikuandmeid töödeldi;

 mis isikuandmeid töödeldi;

 milliseid toiminguid isikuandmetega tehti (toimingute all peetakse silmas kõiki andmetöötluse vorme sh. vaatamised, muutmised, allalaadimised, kustutamised).

c. Kui andmetöötluses on kaasatud kolmandaid osapooli (sh. volitatud, kaasvastutavaid töötlejaid), siis lepitakse kokku selged rollid andmetöötluslogide talletamiseks ja juurdepääsuks.

d. Andmetöötluslogidele on rakendatud automaatne logianalüsaator, mis aitab tuvastada võimalikke andmekaitsealaseid rikkumisi.

e. Organisatsioon on kehtestanud protseduuri andmetöötluslogide ülevaatamiseks. Andmetöötluslogisid kontrollitakse regulaarselt ning vajadusel juhtumipõhiselt.

f. Andmetöötluslogisid säilitatakse minimaalsuse ja eesmärgipärasuse põhimõtteid silmas pidades. Eelkõige on oluline, et andmetöötluslogisid ei säilitataks ebamõistlikult kaua, kuid siiski piisavalt kaua, et saaks tuvastada võimalikke rikkumisi.

g. Andmetöötluslogidele on sätestatud säilitamistähtajad, mille lõppedes need kustutatakse automaatselt.

CON.2.M20 Andmetöötluse asukohtade füüsiline turvalisus

a. Organisatsioon on isikuandmete turvaliseks töötlemiseks ja säilitamiseks määranud piiratud pääsuga alad (näiteks lukustatud ruumid või serveriruumid).

b. Organisatsioon on kehtestanud ruumidele juurdepääsu reeglid ja rakendanud selle jõustamiseks tehnilised juurdepääsu- ja valvesüsteemid (nt elektrooniline lukustussüsteem, uksekaart, biomeetriline autentimine, valvekaamerad).

c. Organisatsioon viib regulaarselt läbi ülevaatusi füüsiliste turvameetmete efektiivsuse hindamiseks (sh. uste ja lukkude seisukorra kontrolli, valvesüsteemide testimist, videoseire toimimise kontrolli, uksekaardi logide kontrolli jne).

d. Organisatsioon on koostanud protseduurid külaliste haldamiseks, kes sisenevad organisatsiooni aladele, kus töödeldakse isikuandmeid. See hõlmab nii külaliste registreerimist, külastuste eelnevat kooskõlastamist, külaliste juhendamist organisatsiooni reeglite osas ning külastaja saatmist (st. külastaja liigub organisatsioonis ainult koos organisatsiooni töötajast saatjaga).

CON.2.M21 Võrguturbe tagamine [IT-talitus]

a. Organisatsioon kasutab võrgurünnete ja isikuandmetega tehtavate ebaharilike tegevuste tuvastamiseks ja ennetamiseks sissetungituvastuse ja -tõrje süsteeme (IDS, IPS).

b. Isikuandmete saatmiseks üle avaliku võrgu kasutatakse turvalisi, krüpteeritud protokolle.

CON.2.M22 Lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtete rakendamine rakendustes

a. Rakendustes, mis põhinevad isikuandmete töötlemisel või mille käigus töödeldakse isikuandmeid, arvestatakse lõimitud andmekaitse (ingl data protection by design) ja

47

vaikimisi andmekaitse (ingl data protection by default) põhimõtteid juba rakenduse valimise ja väljatöötamise kavandamise etappides.

b. Rakendustele kehtestatud andmekaitsenõuete täitmist järgitakse ja kontrollitakse rakenduse kogu eluea vältel.

c. Rakendustes kasutatakse ainult töötlemise eesmärgi täitmiseks vajalikke isikuandmeid.

CON.2.M23 Isikuandmeid sisaldavate rakenduste testimine [testija]

a. Organisatsioon on koostanud põhimõtted rakenduste testimise läbiviimiseks, milles keelatakse isikuandmete avaldamine, volitamata juurdepääs isikuandmetele ning piiratakse testijate tegevust isikuandmetega seotud süsteemides. Testimise all peetakse silmas nii rakenduste kasutuselevõtueelset testimist kui rakenduse läbistustestimisi turvanõrkuste avastamiseks.

b. Testimise läbiviimiseks on sõlmitud lepingud, mis selgitavad testimise ulatust, eesmärke ja testimisel lubatud tegevusi. Eesmärk on tagada vastutuse selgus ning kaitsta isikuandmete konfidentsiaalsust ja privaatsust.

c. Enne testimise läbiviimist tehakse kindlaks testimiseks hädavajalikud isikuandmed, võimalusel need andmed anonüümitakse või pseudonüümitakse.

d. Võimalusel antakse testijatele IT-süsteemi regulaarsest kasutajast piiratumad õigused. Testijal on juurdepääs ainult neile ressurssidele, mis on vajalikud testimise läbiviimiseks.

e. Organisatsioon tagab, et pärast testimise lõppu kõik testijate poolt talletatud isikuandmed turvaliselt kustutatakse. Selleks sõlmitakse vastavad lepingud (sh. andmetöötlusleping).

f. Pärast testimist teostab organisatsioon järelkontrolli, et hinnata andmekaitse ja turvameetmete tõhusust.

CON.2.M24 Privaatsusseadistused veebilehtedel

a. Organisatsiooni veebilehel kasutatavad küpsised (ingl cookie) ja jälgimisvahendid on kooskõlas IKÜM-i ja teiste asjakohaste õigusaktidega.

b. Veebilehe külastajatele on kasutavate küpsiste ja jälgimisvahendite kohta antud selge ja üheselt mõistetav teave. Kui on nõutud, küsitakse küpsiste kasutamiseks veebilehe külastajalt nõusolekut.

c. Veebilehe külastajatel on võimalik kontrollida ja hallata oma küpsiste eelistusi.

d. Organisatsioon on veebilehel avalikustanud andmekaitsetingimused, mis kirjeldavad, milliseid isikuandmeid kogutakse (sh. küpsised), kuidas neid töödeldakse, millistel eesmärkidel, kaua säilitatakse ja kuidas privaatsust kaitstakse. Täiendavate andmekaitsetingimuste elementide koostamisel tuleb lähtuda IKÜMi artiklitest 12-22.

e. Organisatsioon rakendab veebilehtedel isikuandmete kaitseks turvameetmeid.

f. Organisatsioon rakendab isikuandmeid sisaldaval veebilehel turvalist andmeedastusprotokolli HTTPS.

g. Veebilehe või võrguühenduse kaitseks kasutavate kolmandate osapoolte teenuste (näiteks: Google Analytics, Matomo, CloudFare) kasutamine on andmekaitsetingimustes välja toodud.

h. Organisatsioon on teinud kõik selleks, et volitatud töötlejad rakendaksid isikuandmete kaitseks asjakohaseid turvameetmeid.

48

CON.2.M25 Isikuandmete kustutamine töötaja lahkumisel [personaliosakond]

a. Organisatsioon on kehtestanud eeskirjad isikuandmete käitlemiseks ja kustutamiseks arvutitöökohtadel.

b. Eeskiri sisaldab sätteid lahkuva töötaja võimaluste kohta saada kätte oma isiklikud dokumendid (sh. isikuandmed), mida ta on tööandja IT-süsteemides hoiustanud. Eeskiri võiks näiteks sätestada, et töötaja hoiab oma isikuandmeid ja isiklikke dokumente ainult selleks markeeritud kaustas.

c. Eeskiri hõlmab lahkuva töötaja andmetest organisatsioonile vajalike andmete kättesaamist (nt e-postkastist organisatsiooni jaoks oluliste kirjade või dokumentide kättesaamine).

d. Töötaja organisatsioonist lahkumisel kustutatakse talle personaalseks kasutuseks antavatelt seadmetelt ja andmekandjatelt (sh irdandmekandjad) isikuandmed.

e. Lahkunud töötaja isikuandmeid hoiab organisatsioon alles seadusandlusest tulenevas mahus ning sätestatud säilitustähtaja jooksul.

CON.2.M26 Andmekaitseauditi läbiviimine

a. Organisatsioon viib läbi regulaarseid sõltumatuid läbivaatusi või auditeid, et hinnata organisatsiooni isikuandmete kaitse tegelikku olukorda ning tuvastada võimalikud riskid ja puudused.

b. Andmekaitseaudit viiakse läbi vähemalt kord nelja aasta jooksul.

3.3 Kõrgmeetmed

CON.2.M27 Tähtajalised juurdepääsuõigused (C)

a. Organisatsioon rakendab tähtajalisi juurdepääsuõigusi, et tagada juurdepääsuõiguste õiguspärasus ning vähendada isikuandmete volitamata töötlemise riski.

b. Juurdepääsuõiguste tähtaegade määramisel lähtutakse minimaalsuse printsiibist, eelkõige seetõttu, et organisatsiooni töötajad võivad vahetuda ja see meede aitab vältida organisatsioonist lahkunud töötajate juurdepääsu isikuandmetele.

CON.2.M28 Isikuandmete töötlemise automaatseire (C)

a. Organisatsioon kasutab automaatset isikuandmete töötlemise seiresüsteemi, mis tuvastab isikuandmed, mida soovitakse organisatsioonist välja saata, saadab selle kohta volitatud isikutele teavituse ja vajadusel blokeerib isikuandmete saatmise.

b. Teavituse saabudes hinnatakse, kas isikuandmete saatmine on õiguspärane ja vajalik.

CON.2.M29 Juurdepääsupiirangute klassifikaatorite süsteem (C)

a. Organisatsioon (avalikus sektoris) rakendab juurdepääsupiirangute klassifikaatorite süsteemi, mis hõlbustab dokumentidele avaliku teabe seadusest tuleneva juurdepääsupiirangu määramist vastavalt dokumendi sisule.

b. Juurdepääsupiirangute klassifikaatorite süsteem suudab muuhulgas automaatselt tuvastada, kas dokumentides sisaldub isikuandmeid või peaks dokument olema konfidentsiaalne mõnel muul põhjusel.

CON.2.M30 Isikuandmete automaatne tuvastamine (C)

a. Organisatsioon kasutab automaatset süsteemi, mis suudab tuvastada organisatsiooni võrguliikluses ja infosüsteemides isikuandmeid (sh IKÜMi mõistes eriliiki isikuandmeid) ning neid klassifitseerida ilma kasutaja sekkumiseta.

49

b. Eriliiki andmete asukohad on automaatselt kaardistatud. Organisatsioon on rakendatud eriliiki isikuandmete kaitseks tugevdatud turvameetmed.

CON.2.M31 Digitaalsete õiguste halduse süsteem (C-I-A)

a. Organisatsioon on privaatsfuse tagamiseks kasutusele võtnud digitaalsete õiguste halduse süsteemi, mis võimaldab erinevatele kaustadele, IT-süsteemidele ja dokumentidele määrata rangelt vajaduspõhiseid õigusi. Näiteks on võimalik määrata, et teatud töötajad saavad dokumenti ainult vaadata ja muutmine (sh. allalaadimine) nõuab täiendavaid õigusi.

4 Lisateave

Lühend Publikatsioon

[IKÜM] Isikuandmete kaitse üldmäärus

https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX%3A02016R0679- 20160504

[IKS] Isikuandmete kaitse seadus

https://www.riigiteataja.ee/akt/104012019011?leiaKehtiv

[AKI] Isikuandmete töötleja üldjuhend (2018, uuendatud 2019)

https://www.aki.ee/sites/default/files/dokumendid/ isikuandmete_tootleja_uldjuhend.pdf

[ISO27701] EVS-EN ISO/IEC 27701

[CNIL] Mõjuhinnangute läbiviimiseks loodud tarkvara https://www.cnil.fr/en/privacy-impact-assessment-pia

CON.3 Andmevarunduse kontseptsioon

1 Kirjeldus

1.1 Eesmärk Esitada juhised organisatsiooni andmevarunduse kontseptsiooni koostamiseks ja rakendamiseks andmete kaitseks.

1.2 Vastutus Andmevarunduse kontseptsiooni meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad

IT-talitus, vastutav spetsialist, töötaja.

50

1.3 Piirangud Elektrooniliste dokumentide pikaajalise talletamise hoiu- ja hooldusmeetmed on esitatud moodulis OPS.1.2.2 Arhiveerimine. Süsteemi- ja rakendusspetsiifilised logimismeetmed on esitatud asjakohastes moodulites, nt SYS.1.1 Server üldiselt, APP.3.2 Veebiserver ja NET.3.2 Tulemüür.

Andmete kustutamisel ja varukoopiate hävitamisel lähtutakse moodulist CON.6 Andmete kustutus ja hävitamine.

2 Ohud

2.1 Andmevarunduse puudumine Andmevarunduse puudumisel võib andmekadu (nt kahjurvara, tehniliste tõrgete või tulekahju tõttu) organisatsioonile kaasa tuua korvamatut kahju.

2.2 Taaste testimise puudumine Kui andmete varukoopiast taastamiseks ei viida läbi regulaarseid taasteteste, puudub kindlus, et andmed on tegeliku taastevajaduse korral ja kokkulepitud aja jooksul taastatavad.

2.3 Varukoopiate andmekandjate ebaturvaline säilitus Kui varukoopiaid sisaldavaid andmekandjaid hoitakse ebaturvalises kohas, võib ründaja andmekandjaile juurde pääseda, andmeid varastada või manipuleerida. Varunduseks kasutatavad andmekandjad võivad sobimatute hoiu- ja keskkonnatingimuste tõttu muutuda kasutuskõlbmatuks.

2.4 Dokumentatsiooni puudumine või puudulikkus Kui varundusprotseduure ei dokumenteerita või seda tehakse puudulikult, võib taastamine oodatust kauem aega võtta või ebaõnnestuda.

2.5 Õigusaktide nõuete eiramine Kui andmevarundusel ei järgita õigusaktide nõudeid, võib pärast andmetega toimunud intsidenti (andmevargus, andmete hävimine) järgneda trahv või kahjunõue.

2.6 Ebaturvaline pilvteenuse tarnija Kui organisatsioon varundab andmeid pilves, võib ründaja juurde pääseda varukoopiatele. Pilve varundatud andmeid ei pruugi saada piisavalt kiiresti taastada.

2.7 Andmekandja salvestusmahu piisamatus Kui andmekandjatel ei ole piisavalt salvestusmahtu, võib ühel hetkel andmevarundus seiskuda. Varundustarkvara võib automaatselt üle kirjutada vanemad ja võib-olla veel vajalikud andmevarundused.

2.8 Andmevarunduse kontseptsiooni puudulikkus Kui varundusprotseduuride jaoks ei ole koostatud andmevarunduskontseptsiooni või kontseptsioonist ei peeta kinni (nt varundatakse andmeid liiga harva või on andmete reaalne taasteaeg suurem kui organisatsioonis kokku lepitud), on andmete taastamine raskendatud.

Piisavalt kaitsmata varukoopiad võimaldavad ründajal saada väheste pingutustega oma valdusesse kõik organisatsiooni jaoks olulised andmed.

Kui varundatud andmed on krüpteeritud, aga koos andmetega on kaotsi läinud ka andmetega koos talletatud dekrüpteerimiseks vajalik võti, osutub taastamine võimatuks.

51

2.9 Andmete salvestuskiiruse piisamatus Varundatava andmemahu lisandumisel pikeneb andmete varundamiseks kuluv aeg. Halvimal juhul võib enne andmete plaanipärase varundamise lõppemist juba käivituda järgmine andmevarundus. See võib kaasa tuua erinevaid probleeme, nt käsiloleva andmevarundusprotsessi pooleli jäämist või varundussüsteemi koormuse kasvu, kuna korraga töötab mitu andmevarundusprotsessi.

2.10 Lunavara rünne Lunavara (ingl ransomware) on kahjurvara erivorm, mis krüpteerib nakatunud IT-süsteemide andmed. Seejärel nõuavad ründajad ohvrilt andmete dekrüpteerimiseks lunaraha maksmist. Kui andmetest ei ole tehtud varukoopiat, lähevad krüpteeritud andmed kaotsi või neid saab tagasi ainult nõutud lunaraha eest. Kuid isegi pärast lunaraha maksmist pole mingit garantiid, et andmed tagasi saadakse.

Paljud lunavaravormid otsivad kõiki kirjutusjuurdepääsuga võrgukettaid. Seega lunavara ei mõjuta mitte ainult algselt nakatunud IT-süsteemi, vaid kõiki salvestuskohti, millele IT- süsteemidel on juurdepääs. Kui varukoopiaid sisaldavad andmekandjaid piisavalt ei kaitsta, võib lunavararünne mõjutada otseselt ka varukoopiate käideldavust.

3 Meetmed

3.1 Elutsükkel

Kavandamine

CON.3.M1 Andmevarunduse mõjurite piiritlemine

CON.3.M2 Andmevarunduseeskiri

CON.3.M4 Andmevarundusplaanid

CON.3.M6 Andmevarunduse kontseptsioon

Soetamine

CON.3.M7 Sobiva andmevarundussüsteemi soetamine

Evitus

CON.3.M9 Tingimuste tagamine kaugvarunduseks

Käitus

CON.3.M5 Regulaarne andmevarundus

CON.3.M12 Varunduseks kasutatavate andmekandjate turvaline säilitus

CON.3.M14 Varukoopiate turve

CON.3.M15 Varunduse regulaarne testimine

Lisanduvad kõrgmeetmed

CON.3.M13 Krüptograafia rakendamine andmevarundusel

52

3.2 Põhimeetmed

CON.3.M1 Andmevarunduse mõjurite piiritlemine [vastutav spetsialist, IT-talitus]

a. IT-süsteemide ja vajadusel ka olulise tähtsusega üksikute IT-rakenduste jaoks on koostatud varundatavate andmete register ja määratud andmevarunduse mõjurid. Andmevarunduse mõjurite määramisel osalevad IT-süsteemide ja IT-rakenduste äripoole omanikud.

b. Andmevarunduse mõjuritena on määratud vähemalt järgnev:

 varundatavate andmete koosseis;

 varundatavate andmete käideldavus-, terviklus-, ja konfidentsiaalsusnõuded;

 seadusandlusest tulenevad nõuded;

 vajalik andmemaht;

 andmete säilitusaeg;

 nõutav varunduse sagedus;

 lubatav taasteaeg;

 nõuded andmete kustutamiseks ja andmekandjate hävitamiseks.

c. Vajaliku andmemahu hindamisel arvestatakse eeldatava andmemahu suurenemisega tulevikus.

d. Varunduse sagedus määratakse andmete muudatuste ja lisanduste sageduse ja maksimaalse lubatava andmekao hinnangu alusel.

e. Varundavate andmete lubatav taasteaeg määratakse tuginedes IT-süsteemi maksimaalselt talutavale seisuajale (ingl maximum tolerable downtime, MTD).

f. Varundatud andmetele kehtivad samad konfidentsiaalsusnõuded kui andmetele töösüsteemis.

g. Andmevarunduse mõjurid on dokumenteeritud. Uute nõuete lisandumisel või olemasolevate nõuete muutumisel uuendatakse dokumentatsiooni.

CON.3.M2 Andmevarunduseeskiri [vastutav spetsialist, IT-talitus]

a. IT-talitus koostab andmevarunduse protseduure sisaldava andmevarunduseeskirja.

b. Andmevarunduseeskirja koostamisel arvestatakse andmevarunduse mõjuritega (CON.3.1 Andmevarunduse mõjurite piiritlemine).

c. Andmevarunduseeskiri sisaldab iga IT-süsteemi ja andmestiku kohta vähemalt järgmist:

 andmevarunduse tüüp;

 varundusviis ja andmekandja;

 protseduurid andmete varundamiseks ja taastamiseks;

 varundussagedus ja hetk;

 säilituskoht;

 andmekandjate transpordi- ja hoiutingimused;

 säilitusajad;

 vastutused varunduse rakendamise eest.

d. Andmed varundatakse käiduandmetest eraldi paiknevale andmekandjale.

53

e. Suurema kaitsevajadusega andmekandjad on sisevõrgu või IT-süsteemiga ühendatud ainult andmete varundamise või taastamise ajal.

f. Virtuaaltaristu olemasolul määratakse, millises ulatuses toetutakse serveri hetktõmmistel (ingl snapshot) põhinevale andmevarundusele.

CON.3.M4 Andmevarundusplaanid

a. On koostatud andmevarundusplaanid erinevate andme- ja tarkvaratüüpide varundamiseks.

b. Andmevarundusplaanides kirjeldatud varunduse ja andmetaaste põhimõtted, sealhulgas:

 riist- ja tarkvara, mida varundamisel kasutatakse;

 riist- ja tarkvara konfiguratsioon;

 andmete varundamise ja taastamise järjekord;

 säilitavate andmete põlvkondade arv.

c. Andmevarundusplaanid arvestavad vähemalt järgmist:

 soetatud või omatarkvara varundatakse täieliku varundusega ühe andmete põlvena;

 süsteemiandmed varundatakse vähemalt kord kuus ühe andmete põlvena;

 rakendusandmed varundatakse vähemalt kord nädalas täieliku varundusega ja säilitatakse vähemalt kolm andmete põlve;

 logiandmed varundatakse vähemalt kord kuus täieliku varundusega ja säilitatakse vähemalt kolm andmete põlve.

CON.3.M5 Regulaarne andmevarundus [IT-talitus, töötaja]

a. Andmeid varundatakse andmevarundusplaanis ja andmevarunduseeskirjas toodud regulaarsusega.

b. Töötajaid teavitatakse andmevarunduse korraldusest.

c. Andmevarunduse protsessiga seotud töötajaid teavad, millised on nende ülesanded.

d. Töötajad täidavad neile määratud andmevarunduse ülesandeid.

CON.3.M12 Varunduseks kasutatavate andmekandjate turvaline säilitus [IT-talitus]

a. Varunduseks kasutatavaid andmekandjaid hoitakse lähtesüsteemist eraldi asuvas hoiustuskohas.

b. Samas hoones hoiustamise puhul asuvad varundatud andmed tuletõkkega eraldatud hooneosas.

c. Hoiukoha keskkonnatingimused on sobivad andmekandjate pikaajaliseks säilitamiseks.

d. Andmete turvaline säilitus on tagatud vähemalt nõutud andmesäilitustähtaegade ulatuses.

CON.3.M14 Varukoopiate turve [IT-talitus]

a. Varunduseks kasutatavaid andmekandjaid kaitstakse lubamatu juurdepääsu eest.

b. Juurdepääs andmekandjatele on üksnes selleks volitatud isikutel.

c. Varunduseks kasutatavad andmekandjad on kaitstud lubamatu ülekirjutamise eest.

d. Varunduse andmekandjatele antakse kirjutusõigus ainult andmete varundamiseks või autoriseeritud haldustoimingute läbiviimiseks.

54

CON.3.M15 Varunduse regulaarne testimine [IT-talitus]

a. Andmevarunduse toimimist ja varundatud andmete taastamist testitakse regulaarselt.

b. Andmete taastamine jääb ajaliselt lubatava taasteaja piiresse ja toimub veatult.

3.3 Standardmeetmed

CON.3.M6 Andmevarunduse kontseptsioon [vastutav spetsialist, IT-talitus]

a. On koostatud andmevarunduse kontseptsioon, mis on kooskõlas organisatsiooni ärijätkuvusplaaniga (ingl business continuity plan, BCP) ja lubatava andmete kaoga peale taastamist (ingl recovery point objective, RPO).

b. Andmevarunduse kontseptsiooni väljatöötamisel on arvestatud kõigi oluliste IT- süsteemide ja rakendustega ning andmevarunduse mõjuritega.

c. Andmevarunduse kontseptsioon on vastutajatega kooskõlastatud.

d. Töötajad tunnevad andmevarunduse kontseptsiooni vähemalt tööülesannete täitmiseks vajalikul määral.

e. Andmevarunduse kontseptsioon ja sellega seonduvad dokumendid on turvaliselt varundatud ja kasutatavad ka juhul, kui olulised IT-süsteemid (sh dokumendihaldussüsteem) ei ole juurdepääsetavad.

f. Andmevarunduse kontseptsiooni rakendamist kontrollitakse regulaarselt.

CON.3.M7 Sobiva andmevarundussüsteemi soetamine [IT-talitus]

a. Enne andmevarundussüsteemi hankimist on koostatud andmevarundussüsteemi valiku kriteeriumid.

b. Andmevarundussüsteem vastab järgmistele andmevarunduse kontseptsioonist tulenevatele nõuetele:

 tuvastab vale või vigase andmekandja;

 töötab raskusteta olemasoleva riistvaraga;

 võimaldab automaatset ajastust;

 võimaldab ühele või mitmele kasutajale automaatteadete saatmist;

 võimaldab andmekandja turvet parooliga või krüpteerimisega;

 võimaldab andmete tihendust (ingl compression);

 võimaldab andmeid andmeloendite alusel kategoriseerida;

 võimaldab andmeid valida loomis- või muutmisaja alusel;

 suudab teha täisvarundust (ingl full backup) ja inkrementvarundust (ingl incremental backup);

 võimaldab automaatselt võrrelda varukoopiat originaaliga;

 võimaldab taastada andmeid algsesse või valitud asukohta;

 lubab samanimeliste failide taastet.

CON.3.M9 Tingimuste tagamine kaugvarunduseks [IT-talitus]

a. Välise salvestuskoha kasutamisel võrgustatud andmevarunduseks (ingl online backup) sõlmitakse teenusekvaliteedi tagamiseks teenusetasemelepe (ingl service level agreement, SLA) ja lepitakse kokku andmete füüsiline asukoht.

55

b. Varukoopiatele juurdepääs võimalik ainult turvalise autentimisega.

c. Varukoopias sisalduvad andmed on krüpteeritud nii varunduskohas kui andmete ülekandmisel.

d. Võrguühenduse kvaliteet võimaldab varundada ja taastada andmeid lubatavate varundus- ja taasteaegade piires.

3.4 Kõrgmeetmed

CON.3.M13 Krüptograafia rakendamine andmevarundusel (C-I) [IT-talitus]

a. Varundatavad andmed on andmete konfidentsiaalsuse ja tervikluse tagamiseks krüpteeritud.

b. Krüptomehhanismi valikul on arvestatud, et andmed oleks taastatavad ka pikema aja möödumisel.

c. Krüptovõtmete kaitse ja säilimine tagatakse turvalise võtmehalduse protseduuridega (vt CON.1.M2 Andmevarundus krüptovahendi kasutamisel).

4 Lisateave Andmevarunduse kontseptsiooni tüüpsisukord

1. Määratlused g. Rakendusandmed, süsteemiandmed, tarkvara, logiandmed h. Täielik varundus, inkrementvarundus

2. Ohud  Organisatsiooni sõltuvus andmete seisust  Tüüpilised ohud (koolitamatus, ühiskasutus, viirused, häkkerid, toitekatkestus, kettarike)  Kahjude põhjused ja kahjujuhtumid organisatsioonis

3. Mõjurid IT-süsteemide haaval

• Varundatavate andmete spetsifikatsioon

• IT-rakenduse ja andmete käideldavusnõuded

• Ressursid andmete taasteks, sh varukoopia puudumisel

• Andmemahud

• Muutumismahud

• Säilitusajad

• Andmete konfidentsiaalsustarve

• Andmete terviklustarve

• IT kasutaja oskused ja andmetöötlusspetsiifilised võimed 4. Andmevarundusplaan IT-süsteemide haaval Määrangud andmeliikide järgi ja taasteprotseduurid:

• Varundusviis

• Varunduse sagedus ja aeg

• Põlvkondade arv

• Andmekandja

• Vastutus andmevarunduse eest

• Varuandmete säilituskoht

• Nõuded andmevarundusarhiivile

• Edastus ja transport

• Taasteajad

56

• Varundusarhiveerimise tingimused

• Lepingu sõlmimine (välise arhiivi puhul)

• Varundustsükkel

• Andmete kataloog

• Varuandmete kustutus

• Tarbetute andmekandjate hävitamine

• Lugemisseadmete töövõime tagamine 5. Varunduse minimaalkontseptsioon 6. Töötajate kohustumus andmevarunduse alal 7. Taasteharjutused

CON.6 Andmete kustutus ja hävitamine

1 Kirjeldus

1.1 Eesmärk Esitada meetmed andmete turvaliseks kustutamiseks ning juhised andmete hävitamise eeskirjade koostamiseks.

1.2 Vastutus Andmete kustutuse ja hävitamise meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad

Andmekaitsespetsialist, vastutav spetsialist, IT-talitus, töötaja, haldusosakond.

1.3 Piirangud Moodul hõlmab üksnes kustutuse ja hävitamise üldisi korralduslikke nõudeid. Kustutuse ja hävitamisega on seotud moodulid CON.3 Andmevarunduse kontseptsioon, OPS 1.2.2 Arhiveerimine, CON.9 Teabevahetus

2 Ohud

2.1 Kustutuse ja hävitamise eeskirja puudumine või puudulik dokumenteerimine Kui töötajaid ei ole juhendatud andmeid turvaliselt kustutama, võib andmekandjatele jääda alles loetaval kujul andmeid. Kasutuselt kõrvaldatud andmekandjad ja IT-süsteemid ei pruugi olla enam organisatsiooni kontrolli all, sellisel juhul on andmelekke oht veelgi suurem. Tundlikud andmed võivad andmekandjalt sattuda kolmandate isikute kätte. Hooletuse tõttu isikuandmete lekitamine võib tuua organisatsioonile kaasa olulise mainekahju ja rahatrahvi.

2.2 Konfidentsiaalsuse kadu andmekandjate jääkteabe tõttu Enamikes failsüsteemides ei hävita lihtsa kustutusfunktsiooni kasutamine kasutaja poolt kustutamiseks märgitud faile. Failisüsteemi haldusteabest kustutatakse üksnes failiviited ja failiga seotud andmeruum märgitakse vabaks. Andmeruumi tegelik sisu andmekandjal aga säilib ja seda saab sobivate vahendite abil taastada.

Arvuti saalefailid (ingl swap file) ja ajutiste failide kataloogid võivad muuhulgas sisaldada konfidentsiaalseid andmeid (nt paroolid ja krüptovõtmed) ja rakenduste tööfaile (nt.

57

sirvimisajalugu). Saalefailide ja ajutiste failide sisu on võimalik lugeda, kui krüpteerimata kõvaketas eemaldada ja paigaldada teise IT-seadmesse.

2.3 Ebausaldusväärse kõrvaldusteenuse kasutamine Kui andmekandjate turvaline kustutamine või hävitamine (sh ka paberdokumentide hävitamine) on usaldatud välisele teenuseandjale, võib teenuseandja hooletus põhjustada andmekandjate varguse kas otse teenuseandja ruumidest või hävitamiseelsest kogumispunktidest.

Andmekandjalt kustutamata jäänud või mittetäielikult kustutatud konfidentsiaalsed andmed (nt eriliiki isikuandmed) võivad sattuda volitamata isikute kätte ka juhul kui kõrvaldusteenuse tarnija ei ole kasutanud vahendeid või protseduure, mis tagavad andmete täieliku kustutamise.

2.4 Defektsete andmekandjate väär käsitlemine Kui tavakasutajal ei õnnestu enam andmekandjalt andmeid laadida, ei tähenda see veel seda, et andmed on andmekandjalt lõplikult hävinud. Kui sellised defektsed andmekandjad visatakse tavalisse prügikasti, võivad need sattuda ründaja kätte, kellel õnnestub spetsiaalsete vahendite abil andmed osaliselt või tervenisti taastada.

Kui defektne andmekandja tagastatakse tarnijale või arvutipoodi, asendatakse see tavaliselt garantiikorras uue andmekandjaga. Tihti jäetakse tagastatud andmekandjatelt andmed turvaliselt kustutamata või andmekandja hävitamata, mistõttu eksisteerib oht, et andmed võivad sattuda volitamata isikute kätte.

3 Meetmed

3.1 Elutsükkel

Kavandamine

CON.6.M1 Andmete kustutuse ja hävitamise kord

CON.6.M2 Kaitset vajavate töövahendite ja andmekandjate turvaline kasutuselt kõrvaldamine

CON.6.M4 Protseduurid andmekandjate turvaliseks hävitamiseks

CON.6.M11 Andmekandjate hävitamise tellimine väliselt teenuseandjalt

Evitus

CON.6.M8 Andmete kustutuse juhised töötajatele

CON.6.M12 Protseduurid andmete turvaliseks kustutuseks

CON.6.M13 Defektsete andmekandjate hävitamise juhised

Lisanduvad kõrgmeetmed

CON.6.M14 Andmekandjate turvalise hävitamise täiendavad juhised

3.2 Põhimeetmed

CON.6.M1 Andmete kustutuse ja hävitamise kord [haldusosakond, vastutav spetsialist, andmekaitsespetsialist, IT-talitus]

a. Organisatsioon on kehtestanud andmete kustutuse ja hävitamise korra.

58

b. Iga allüksus määrab, milliseid tööalaseid andmeid ja millistel tingimustel kustutatakse või kasutuselt kõrvaldatakse.

c. Andmete minimaalsete ja maksimaalsete säilitustähtaegade määramisel järgitakse seadusandlusest tulenevaid nõudeid. Isikuandmete säilitamise ja kustutuse protseduurid on kooskõlastatud andmekaitsespetsialistiga.

d. On määratud andmete kustutuse ja hävitamise eest vastutajad, vajadusel kasutatakse spetsiaalset välisteenust.

CON.6.M2 Kaitset vajavate töövahendite ja andmekandjate turvaline kasutuselt kõrvaldamine

a. Enne andmekandjate ja töövahendite kasutuselt kõrvaldamist kustutatakse või hävitatakse turvaliselt nendes sisalduvad andmed.

b. Andmekandjate kasutuselt kõrvaldamisel järgitakse kehtestatud eeskirju ja juhiseid (vt CON.6.M12 Protseduurid andmete turvaliseks kustutuseks.

c. Andmekandjate ja töövahendite kõrvaldamiseks on loodud organisatsiooni territooriumile kõrvaliste isikute juurdepääsu eest kaitstud kogumiskohad.

CON.6.M11 Andmekandjate hävitamise tellimine väliselt teenuseandjalt [hankeosakond]

a. Väliste teenuseandjate osalusel toimuv andmekandjate kõrvaldamise ja hävitamise protseduur on turvaline ja arusaadav. Kasutatakse sobivaid ja turvalisi hävitus- või kustutusvahendeid.

b. Hävitamise väljasttellimisel hoitakse hävitamisele kuuluvaid andmekandjaid kuni äraviimiseni organisatsiooni territooriumil, kaitstuna lubamatu juurdepääsu eest.

c. Andmekandjate äravedu turvatakse lähtuvalt andmete kaitsetarbest.

d. Kõrvaldamise ja hävitamise eest vastutavaid väliseid ettevõtteid kontrollitakse ettenähtud nõuetele vastavuse osas regulaarselt.

e. Teenusetarnijale ja selle personalile kohandatakse moodulis OPS.2.3 Väljasttellimine kirjeldatud põhimeetmeid.

CON.6.M12 Protseduurid andmete turvaliseks kustutuseks

a. Tulenevalt andmekandja tüübist ja andmete kaitsetarbest rakendatakse andmete kustutusel järgnevaid protseduure:

 kui ülekirjutataval andmekandjal pole andmed krüpteeritud, kirjutatakse andmekandjad mitmekordselt ja täies ulatuses üle, kasutades juhuslike andmete generaatorit (nt PRNG Stream);

 kui andmed andmekandjal on krüpteeritud, hävitatakse krüptovõtmed. Krüptovõtmete hävitamine toimub krüptokontseptsioonis kirjeldatud protseduurireeglite kohaselt.

b. Nutitelefonide ja teiste nutiseadmete andmete kustutamiseks lähtestatakse seadmed tehaseseadetesse ning teostatakse esmane alglaadimine ja -seadistus.

c. Nutivõrgu (IoT) seadmed lähtestatakse tehaseseadetesse, kõik seadmes talletatud pääsuandmed kirjutatakse üle või kustutatakse.

d. IT-seadmetesse integreeritud andmekandjate sisu kustutatakse kasutades seadme vastavat funktsionaalsust.

59

3.3 Standardmeetmed

CON.6.M4 Protseduurid andmekandjate turvaliseks hävitamiseks

a. Enne andmekandjate hävitamist kontrollitakse, kas andmekandjalt on võimalik andmed tõhusalt ja turvaliselt kustutada (vt. CON.6.M12 Protseduurid andmete turvaliseks kustutuseks).

b. Kasutusel olevate andmekandjate hävitamiseks on koostatud sobivad protseduurid. Erinevat tüüpi andmekandjate hävitamisel kasutatakse selleks sobivaid vahendeid.

c. Vastutavad töötajad on teadlikud, mis protseduuri ja mis vahendeid tuleb andmekandja hävitamiseks kasutada.

d. Regulaarselt kontrollitakse, kas hävitusprotseduurid ja -vahendid vastavad hetke tehnoloogiatasemele ja kas need on endiselt piisavalt turvalised.

CON.6.M8 Andmete kustutuse juhised töötajatele [töötaja, IT-talitus, andmekaitsespetsialist]

a. On koostatud andmete kustutuse ja hävitamise kirjalikud juhised, mis hõlmavad kõiki andmekandjaid, rakendusi, IT-süsteeme ja muid teavet sisaldada võivaid töövahendeid (nt nutiseadmed).

b. Andmete kustutuse ja hävitamise juhised tehakse teatavaks kõigile töötajatele. Regulaarselt ja pisteliselt kontrollitakse, kas töötajad juhiseid järgivad.

c. Teabe kustutuse ja hävitamise juhiseid ajakohastatakse vastavalt vajadusele.

CON.6.M13 Defektsete andmekandjate hävitamise juhised

a. Kui andmeid pole andmekandja defekti tõttu võimalik andmekandjalt turvaliselt kustutada, hävitatakse andmekandja füüsiliselt.

b. Erikokkuleppel teenuseandjaga (nt andmekandja paranduse teostajaga) võib andmekandja hävitamise läbi viia ka teenuseandja. Teenuseandja peab sellisel juhul järgima kõiki andmekandja turvalise hävitamise nõudeid.

3.4 Kõrgmeetmed

CON.6.M14 Andmekandjate turvalise hävitamise täiendavad juhised (C)

a. Andmekandjate hävitamine toimub tõendatult vastavuses tunnustatud valdkondlike normide või standarditega (nt standardisari ISO/IEC 21964).

4 Lisateave

Lühend Publikatsioon

[ISO 21964]

[NIST]

standardisari ISO/IEC 21964

NIST Special Publication 800-88 „Guidelines for Media Sanitization“

60

CON.7 Välislähetuste infoturve

1 Kirjeldus

1.1 Eesmärk Esitada meetmed digitaalsete andmete ja paberkandjal oleva teabe turvalisuse tagamiseks töötaja välislähetusel viibimisel ning abistada vastutavaid isikuid välislähetuste turvameetmete kehtestamisel. Moodulis käsitletakse spetsiifiliselt välisreisidel ametitööks vajalikke protseduurilisi, tehnilisi ja korralduslikke meetmeid.

1.2 Vastutus Välislähetuste infoturbe meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad

Kasutaja, IT-talitus, personaliosakond.

1.3 Piirangud Moodulis ei käsitleta lokaalseid IT-süsteeme, mille turvameetmed on kirjeldatud mooduligruppides NET Võrgud ja side, SYS IT-süsteemid ja APP Rakendused. Klientarvuti turbe teemasid üldisemalt käsitletakse moodulites SYS.2.1 Klientarvuti üldiselt, NET.3.3 Virtuaalne privaatvõrk (VPN) ja SYS.3.2.2 Mobiilseadmete haldus (MDM).

2 Ohud

2.1 Teabe pealtkuulamine ja luuramine / Majandusspionaaž Võõrastes ruumides ja IT-keskkondades võidakse vestlusi, telefonikõnesid või andmeedastust pealt kuulata.

Välisriigis reisides võib tekkida olukord, kus kõrvaline isik saab töötaja mobiilseadmele füüsilise juurdepääsu. Ründaja võib seadme sisu märkamatult kopeerida, andmeid lugeda või neid manipuleerida.

Teatud riikidesse reisimisel võidakse nõuda sülearvutisse ja muudesse kaasaskantavatesse IT- seadmetesse salvestatud andmete läbivaatust. Seejuures on oht, et konfidentsiaalseid andmeid või isikuandmeid mitte üksnes ei vaadata, vaid ka kopeeritakse ja salvestatakse.

Majandusspionaaži eesmärgil võib ründaja ära kasutada töötaja mobiilseadmesse integreeritud kaameraid ja mikrofone.

2.2 Kaitset vajava teabe avaldamine ja väärkasutus (elektrooniline ja füüsiline) Välislähetusel võib kergesti juhtuda, et ametireisija jätab konfidentsiaalsed paber- või digitaalkujul dokumendid avaliku kasutusega ruumi või hotellituppa.

Kasutaja lõppseadmeid võib ohustada tundmatute IT-süsteemide ja raadiovõrkudega ühendamine. Arvutis kasutatavad võõrad andmekandjad võivad sisaldada kahjurprogramme.

2.3 Identiteedi teesklus Ründaja võib teeselda teise inimese identiteeti, seda nii füüsilises kui digitaalses suhtluses (teeskluse, võltsimise, kaaperduse, vahendusründe vms abil). Välismaiseid äripartnereid ei

61

tunne töötaja sageli isiklikult. Seetõttu võib töötaja pimesi usaldada inimest, kes taustainfot teades ennast teise isikuna esitleb.

2.4 Turvateadlikkuse puudumine ja hooletus teabega tegelemisel Andmekandjad võivad ajutiselt jääda järelevalveta, näiteks nõupidamise vaheajal nõupidamisruumi või reisijakupeesse.

Töötajad võivad kingitusena vastu võetud andmekandjad mõtlematult ühendada oma sülearvutiga.

Ühissõidukis või näiteks ärilõuna ajal on võimalik ärikriitilistel teemadel peetavat vestlust pealt kuulata.

2.5 Kohalike õigusaktide või eeskirjade rikkumine Sihtkohariigi õigusaktid jvõi eeskirjad (nt andmekaitse, teavitamiskohustused, vastutus, kolmandate juurdepääs) ei ole välisreisil viibivale töötajale sageli teada, seetõttu riigis kehtestatud nõudeid ei täideta.

2.6 Sundimine, väljapressimine, inimrööv ja korruptsioon Reisivate isikute füüsilist turvalisust võidakse välisreisidel rikkuda, kasutades sundimist, väljapressimist või inimröövi. Ründe sihtmärgiks on sageli tippjuhtkond.

Poliitilistest, ideoloogilistest või majanduslikest eesmärkidest lähtuv ründaja võib pakkuda konfidentsiaalse teabe eest raha või muid hüvesid.

2.7 Teave lubamatust allikast / väljamõeldis Välisriigis töötamise ajal on võimalik reisivale isikule tema petmiseks esitada valet ja manipuleeritud teavet. See võib mõjutada ärilisi otsuseid ja äriprotsesside toimimist.

2.8 Seadmete, andmekandjate ja dokumentide vargus või kaotamine Mobiilsed seadmed või dokumendid võivad kaotsi minna või neid võidakse varastada, mistõttu satub ohtu ka neis sisalduv tundlik teave.

3 Meetmed

3.1 Elutsükkel

Kavandamine

CON.7.M1 Välislähetuste turbe eeskiri

CON.7.M3 Riigispetsiifiliste õigusaktide, reisi- ja keskkonnatingimuste väljaselgitamine

Evitus

CON.7.M2 Töötajate teadlikkuse suurendamine

CON.7.M10 Mobiilsete IT-seadmete ja andmekandjate krüpteerimine

CON.7.M11 Varguskaitsevahendid

CON.7.M14 E-posti turve

Käitus

CON.7.M4 Ekraanifiltri kasutamine

CON.7.M5 Ekraaniluku kasutamine

62

CON.7.M7 Turvaline kaugjuurdepääs

CON.7.M8 Avalike raadiokohtvõrkude turvaline kasutamine

CON.7.M9 Andmekandjate turvaline käitlus

CON.7.M12 Kaitset vajavate materjalide ja dokumentide turvaline hävitamine

CON.7.M13 Andmete ja andmekandjate turvaline kaasavõtmine

Avariivalmendus

CON.7.M6 Õigeaegne intsidendist teatamine

Lisanduvad kõrgmeetmed

CON.7.M15 Mobiilsete IT-seadmete kiirguseturve

CON.7.M16 Tervikluse kaitse meetodid ja vahendid

CON.7.M17 Spetsialiseeritud reisiseadmed

CON.7.M18 Pääsuõiguste kitsendamine välismaareiside ajaks

3.2 Põhimeetmed

CON.7.M1 Välislähetuste infoturbe eeskiri

a. Infoturbe nõuded välisriigis viibimisel on kehtestatud välislähetuste infoturbe eeskirjas.

b. Välislähetuste infoturbe eeskirjas käsitletakse vähemalt järgmist:

 teabe turvalisuse olemus välisreisil, turbe eesmärgid ja käsitlusala;

 juhtkonna, infoturbejuhi ja reisiva töötaja vastutus;

 IT-süsteemi kaotuse, varguse või teabelekke käsitlus;

 töötajate teadlikkuse suurendamine ja koolitus;

 IT-seadmete kaitse (nt krüpteerimine, viirusetõrje, automaatne lukustus);

 andmete ja andmekandjate kaitse;

 andmete ja andmekandjate või dokumentide turvaline kustutus;

 side ja andmevahetuse turve;

 andmete kaasavõtmise ja kogumise õigused;

 24/7 kasutajatugi küsimuste esitamiseks ja intsidentide lahendamiseks.

c. Mobiilseid IT-seadmeid kasutavatele, välislähetustel käivatele töötajatele koostatakse infoturbe aspekte käsitlev teabeleht.

CON.7.M2 Töötajate teadlikkuse suurendamine

a. Töötajatele on välislähetuste infoturbe eeskirja tutvustatud.

b. Töötajatele tunnevad ja järgivad infotehnoloogia vastutustundliku kasutamise reegleid välisreisidel, sh:

 kinnitamata riist- ja tarkvara kasutamise keeld;

 suhtlus oma organisatsiooni ja äripartneritega;

 ettevaatlikkus pakutavate kingituste vastuvõtmisel;

 digitaalmälu sisaldavate kingituste kasutamise keeld;

63

 paroolide ja juurdepääsupiirangute kasutamine;

 ebaturvalise võrgu kasutamise keeld.

c. Töötajad viiakse kurssi sihtkoha õigusaktide ja keskkonnatingimustega, sh:

 sihtriigispetsiifilised õigusnormid;

 riigispetsiifilised reisi- ja keskkonnatingimused;

 nõuanded turvaliseks käitumiseks.

CON.7.M3 Riigispetsiifiliste õigusaktide, reisi- ja keskkonnatingimuste väljaselgitamine [personaliosakond]

a. Enne reisi algust tutvutakse riigikohaste õigusaktide ja kliimatingimustega ja koostatakse töötajatele vastav infomaterjal.

b. Organisatsioon hindab sihtkoha riski- ja turvataset ning keskkonnatingimusi ning otsustab täiendavate kaitsemeetmete vajaduse (nt töötajate vaktsineerimine).

c. Organisatsioon töötab välja ja rakendab meetmed seadmete kaitsmiseks keerulistes reisi- ja keskkonnatingimustes.

CON.7.M4 Ekraanifiltri kasutamine [kasutaja]

a. Mobiilse IT-seadme ekraanil kuvatava teabe kaitseks kasutatakse kogu ekraani katvat ekraanifiltrit.

CON.7.M5 Ekraaniluku kasutamine [kasutaja]

a. Seadmetel kasutatakse turvalist, pääsukoodi või parooliga kaitstud ekraanilukku.

b. Ekraanilukk rakendub lühikese kasutuspausi korral automaatselt. Piisav lukustusviivitus sülearvutitele ja nutiseadmetele on määratud välislähetuste infoturbe eeskirjas.

CON.7.M6 Õigeaegne intsidendist teatamine [kasutaja]

a. Töötajad teavitavad organsatsiooni IT-seadme või andmekandja kaotusest või vargusest esimesel võimalusel, kokkulepitud teavituskanalite ja kontaktisikute kaudu.

b. Hinnatakse IT-seadme või andmekandja kaotuse mõju ja rakendatakse sobivaid meetmeid:

 muudetakse seadme juurdepääsu seadistus;

 teavitatakse konfidentsiaalse teabe kaotamisest võimalikke riskiosalisi;

 blokeeritakse mõjutatud kasutajakontod ja VPN-ühendused;

 vastava funktsionaalsuse olemasolul kaugblokeeritakse ja/või lähtestatakse seade;

 kaotatu leidmise korral kontrollitakse, kas seda on manipuleeritud.

CON.7.M7 Turvaline kaugjuurdepääs [IT-talitus, kasutaja]

a. Organisatsiooni võrku ühendumiseks luuakse välisreisil viibivatele töötajatele eelseadistatud VPN-iga ja turvalise autentimismehhanismiga kaugjuurdepääsu võimalus.

b. Kaugjuurdepääsu võimalusega IT-seadmeid kasutavad üksnes selleks volitatud isikud.

c. Kaugjuurdepääsuga seadmetes on tarkvara, eelkõige veebirakendused, ajakohastatud ja turvaliselt konfigureeritud.

d. Mobiilsetesse IT-seadmetesse on paigaldatud kitsendavalt seadistatud personaaltulemüür.

64

CON.7.M8 Avalike raadiokohtvõrkude turvaline kasutamine [kasutaja]

a. Avalikus raadiokohtvõrgus kasutatakse virtuaalset privaatvõrku (ingl virtual private network, VPN) või sellega võrreldavaid turvamehhanisme (vt NET.3.3 Virtuaalne privaatvõrk (VPN), CON.7.M7 Turvaline kaugjuurdepääs).

b. Avalike raadiokohtvõrkude kasutamisel järgitakse reegleid WLAN-võrgu pääsupunktide turvaliseks kasutamiseks (vt. NET.2.2 Raadiokohtvõrgu kasutamine. INF.9 Mobiiltöökoht).

CON.7.M9 Andmekandjate turvaline käitlus [kasutaja]

a. Enne mobiilsete andmekandjate kasutamist kontrollitakse, et need ei oleks kahjurvaraga nakatatud.

b. Edasiantavate andmekandjate puhul on veendutud, et neil ei ole tundlikku teavet.

c. Andmekandja kõrvaldamisel kustutatakse andmed andmekandjalt, arvestades järgmist:

 andmekandja tühjendatakse täielikult, erinevalt tavalisest kustutusest kustutatakse lisaks andmeviitadele ka viidatavad andmed;

 krüpteeritud andmete kustutamisel kustutatakse turvaliselt ka krüptovõtmed;

 mälupulgal või muul pooljuhtkandjal kustutatakse andmed vähemalt kahe ülekirjutusega.

CON.7.M10 Mobiilsete IT-seadmete ja andmekandjate krüpteerimine [kasutaja, IT- talitus]

a. Tundliku teabe kaitseks on mobiilsed IT-seadmed ja andmekandjad organisatsioonis kehtestatud korra kohaselt krüpteeritud.

b. Krüptovõtmeid hoitakse krüpteeritud seadmest eraldi.

c. Andmete krüpteerimisel arvestatakse välisriigi õigusnorme.

CON.7.M12 Kaitset vajavate materjalide ja dokumentide turvaline hävitamine [kasutaja]

a. Töötajad on välisriigis viibides kohustatud tarbetud andmekandjad või dokumendid nende äraviskamise asemel turvaliselt hävitama.

b. Kui reisil olles puuduvad turvalise hävituse võimalused või kui on tegemist eriti tundlikku teavet sisaldavate dokumentide või andmekandjatega, hoitakse need tagasipöördumiseni alles ja seejärel hävitatakse turvalisel viisil.

c. Võõraste andmehävitusseadmete (paberipurusti) kasutamisel kontrollitakse kasutuselt kõrvaldamise õnnestumist.

3.3 Standardmeetmed

CON.7.M11 Varguskaitsevahendid [kasutaja]

a. Mobiilsete IT-seadmete kaitseks rakendatakse varguskaitsevahendeid (nt mehhaanilist või elektroonilist lukustust).

b. Varguskaitsevahendite soetamine ja kasutamine on kooskõlas organisatsiooni turvapoliitikatega ja majanduslikult põhjendatud.

65

CON.7.M13 Andmete ja andmekandjate turvaline kaasavõtmine [kasutaja]

a. Enne reisi algust kustutatakse või eemaldatakse kaasavõetavatest IT-seadmetest tarbetud andmed (vt CON.7 M9 Andmekandjate turvaline käitlus).

b. Töötaja on teadlik, mis andmekandjaid tohib välisreisidele kaasa võtta ja milliste turvameetmetega peab seejuures arvestama.

c. Andmete kaitsetarbe määrangust tulenevalt võib andmete välisriiki kaasavõtmiseks kehtestada täiendavaid nõudeid (vt CON.7.M10 Mobiilsete IT-seadmete ja andmekandjate krüpteerimine).

d. IT seadmete transpordil rakendatakse järgmisi meetmeid:

 seadmeid transporditakse mitte pagasina, vaid käsipagasis;

 välditakse järelevalveta jätmist ja unustamist;

 seadmed kaitstakse paroolidega, kaitsetarbega andmed krüpteeritakse;

 omatakse ülevaadet seadmete hetkeasukohast.

CON.7.M14 E-posti turve [kasutaja, IT-talitus]

a. E-posti lahenduse turvalisuse tagamiseks kasutatakse otspunktkrüpteeringut.

b. Välditakse organisatsiooni e-posti kasutamist avalikes arvutites (nt hotellides või internetikohvikutes).

3.4 Kõrgmeetmed

CON.7.M15 Mobiilsete IT-seadmete kiirguseturve (C)

a. Väga suure kaitsetarbe korral kasutatakse juhtmega ühendatavaid välisseadmeid.

b. Kasutatakse seadmeid, mille kiirguseturvalisus on sertifitseeritud.

CON.7.M16 Tervikluse kaitse meetodid ja vahendid (I) [kasutaja]

a. Andmete edastamisel kasutatakse andmete tervikluse tagamiseks kontrollkoodide (nt CRC) võrdlemist.

b. Tundliku teabe tervikluse säilitamiseks kasutatakse digitaalsignatuure ja ajatempleid.

CON.7.M17 Spetsialiseeritud reisiseadmed (C-I-A) [IT-talitus]

a. Välislähetustel kasutatakse selleks otstarbeks eelkonfigureeritud seadmeid.

b. Reisimiseks ettevalmistatud seadmes on vastavalt minimaalsuspõhimõttele võimalik kasutada üksnes vajalikke funktsioone.

CON.7.M18 Pääsuõiguste kitsendamine välismaareiside ajaks (C-I) [IT-talitus]

a. Välisriigis asuvale töötajale tagatakse igapäevase töö jaoks vajalikud pääsuõigused. Liigsed pääsuõigused reisi kestel peatatakse, vajadusel piiratakse ajutiselt töötaja juurdepääs sisevõrgule.

b. Välisriigis viibimise aja jooksul piiratakse kasutajakeskkonnas võimalusi kasutada funktsioone ja käivitada toiminguid, mis ei ole kasutaja ülesannete täitmiseks vajalikud (nt skriptide käivitamine).

66

CON.8 Tarkvaraarendus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed organisatsiooni tellitud või organisatsioonis arendatava tarkvaralahenduse infoturbe haldamiseks ja tarkvara turvalisuse tagamiseks. Moodulis olevad meetmed on kasutatavad nii projektipõhise tarkvara erilahenduse loomiseks kui aastaid kasutusel olnud pärandtarkvara pidevaks kohandamiseks.

1.2 Vastutus Tarkvaraarenduse meetmete täitmise eest vastutab vastutav spetsialist.

Lisavastutajad

Arendaja, IT-talitus, testija, haldusosakond.

1.3 Piirangud Moodul käsitleb tarkvaraarenduse infoturvet tellija/teostaja koostöö vaatest ega anna terviklikku ülevaadet kogu tarkvaraarenduse protsessist. Meetmed täiendavad moodulis APP.7 Tellimustarkvara arendus esitatud tellijapoolset vaadet tarkvaraarenduse infoturbe nõuetele ja turvariskide vähendamisele. Seadusandlusest tulenevad nõudeid tarkvaraarendusele käsitletakse moodulis ORP.5 Vastavusehaldus (nõuete haldus). Tarkvaramuudatuste haldust käsitletakse moodulis OPS.1.1.3 Paiga- ja muudatusehaldus. Tarkvara vastuvõtmist ja käidukeskkonda paigaldamist käsitletakse moodulis OPS.1.1.6 Tarkvara testimine ja kasutuselevõtt. Kui kavandatav tarkvara sisaldab andmete krüpteerimist, arvestatakse täiendavate meetmetega moodulist CON.1 Krüptokontseptsioon.

2 Ohud

2.1 Ebasobiv tarkvaraarendusmetoodika Tarkvaraarendusmetoodika sätestab arendusprotsessi käigus läbiviidavad tegevused, sealhulgas formuleerib arendusprojekti etapid, nende järjestuse ja tingimused, mille täitmisel liigutakse edasi järgmisesse etappi. Ebasobiv tarkvaraarendusmetoodika mõjutab kogu arendusprotsessi toimimist, kui projekti olulised infoturbe aspektid jäävad piisava tähelepanuta ja vastupidi, liiga palju väärtuslikku projektiaega kulub ebaoluliste detailide peale. Seetõttu kannatab projekti efektiivsus ja üldine kvaliteet. Kui oluline infoturbe funktsionaalsus on jäänud tarkvaratootest välja või selle toimimist pole piisavalt testitud, ei pruugi arendatav tarkvara vastata püstitatud infoturbe nõuetele.

2.2 Ebasobiva tarkvaraarenduskeskkonna valimine Kui tarkvaraarenduskeskkonna valikul on jäetud arvestamata vajalik funktsionaalsus ja nõutavad laiendusvõimalused, tekib arendusetapis tõsiseid probleeme kui vajalik funktsionaalsus arenduskeskkonnas puudub või see ei vasta esitatud nõuetele.

Kui iga arendaja võib ise valida endale sobiva arenduskeskkonna ja harjumuspärased arendusvahendid, võib tekkida ühilduvusprobleeme tarkvara erinevate moodulite ühendamisel või tarkvara kompileerimisel. Samuti võivad vähem testitud arenduskeskkonnad või -tööriistad sisaldada vigu või nõrkusi, mille tagajärjel tekkinud koodivigu on hilisemas arendusfaasis väga keeruline parandada.

67

2.3 Ebapiisav kvaliteedihaldus Ebapiisav kvaliteedihaldus (ingl quality assurance) võib kaasa tuua arendusprojekti venimise üle lõpptähtaja või halvemal juhul nurjata terve projekti. Kui tarkvaraarenduses puudub pidev seire tarkvara lubamatu manipuleerimise või arendusprotsessi tervikliku ja piisava turvalisuse üle, võib tarkvaratootesse sisse jääda olulisi turvanõrkusi. Tihti on nii, et kvaliteedihaldust suudetakse rakendada organisatsioonisisestele tarkvaraarendusprojektidele, kuid välise teenuseandja poolt tehtud arendustööd samal tasemel ei hinnata.

2.4 Puuduv või puudulik dokumentatsioon Kui tarkvaraarenduses kasutatav töödokumentatsioon on disainikavandite tasemel ja ei sisalda vajalikku detailsust, jäävad tarkvaravead õigeaegselt avastamata. Puudulik dokumentatsioon takistab oluliselt hilisemate tarkvaramuudatuste või edasiarenduste kavandamist ja läbiviimist. Vähene dokumenteeritus muudab keeruliseks tarkvara hoolduse ja haldamise protseduurid pärast tarkvara juurutamist. Halduse käigus võib administraator teadmatusest teha vea, mis võib halvemal juhul põhjustada andmekao või katkestuse tarkvaraga seotud äriprotsessis.

2.5 Ebapiisav arenduskeskkonna turve Ebaturvaline ja juurdepääsupiiranguteta arenduskeskkond võimaldab tarkvara manipuleerida. Arendaja või väliste volitamata isikute poolt tehtud volitamata tarkvaramuudatusi on hiljem raske tuvastada. Kui pole tagantjärele tuvastatav, kes ja millal midagi tarkvarakoodis muutis, pole võimalik ründajat tabada.

Kui lähtekood pole volitamata muudatuste eest kaitstud ja samal ajal puudub ka versioonihaldus, on ründajal võimalik lähtekood kas osaliselt või täielikult hävitada. Samasuguse mõjuga võib olla arendaja inimlik eksimus või tehniline rike. Lähtekoodis tehtud muudatuste taastamine juhul, kui puudub värskelt tehtud varukoopia, on äärmiselt töömahukas ning võib tekitada uusi vigu.

2.6 Tarkvara kavandamise vead Mida rohkem funktsionaalsust tarkvara sisaldab, seda keerukamaks muutub tarkvara lähtekoodi haldamine. Kui tarkvara ei tugine läbimõeldud tarkvaraarhitektuuril, on hiljem tarkvaratoodet keeruline muuta. On oht, et kõiki teadaolevaid turvanõrkusi ei suudeta parandada piisavalt kiiresti.

Pärandtarkvara (ingl legacy software) ei olnud algselt mõeldud kasutamiseks ega disainitud töötamaks tänapäevaste riistvara- ja operatsioonisüsteemidega. Seetõttu tuleb selliseid süsteeme pidevalt kohandada, kuid kõiki turvanõrkusi sellistes tarkvaratoodetes on äärmiselt keeruline kõrvaldada.

2.7 Puudulikud tarkvara testimis- ja vastuvõtuprotseduurid Kui tarkvara enne käidukeskkonnas kasutuselevõttu piisavalt ei testita või kui puuduvad korrektsed tarkvara vastuvõtmise ja kinnitamise protseduurid, võib vastu võetud tarkvara sisaldada turvanõrkusi ja vigu tarkvara funktsionaalsuses. Sellised vead võivad käidukeskkonnas mõjutada ka teiste IT-süsteemide toimimist, millega antud tarkvaratoode on liidestatud.

Kui arenduse käigus on testimata jäänud infoturbe funktsionaalsus, võib juhtuda, et antud funktsionaalsus vastu võetud lõpptootes ei toimi. Tulemuseks on, et tarkvara ei vasta püstitatud infoturbe nõuetele. Eksisteerib oht, et andmetele on juurdepääs volitamata isikutel ning andmeid saab manipuleerida, hävitada või lekitada.

68

2.8 Tootmiskeskkonna andmete kasutamine tarkvara testimisel Kui arendus- või testkeskkondades kasutatakse reaalseid, tootmiskeskkonnast võetud andmeid, on võimalik, et konfidentsiaalsetele andmetele saavad juurdepääsu volitamata isikud. Oluline kahju võib tekkida anonüümimata isikuandmete kasutamisest testkeskkonnas.

Kui testimist tehakse otse tootmiskeskkonnas, võib testimisel tehtud operatsioonid või tarkvara vea tõttu põhjustatud muutus, mida ei õnnestu tagasi võtta (nt andmetabeli sisu muutmine) mõjutada andmete terviklust erinevate andmebaaside vahel.

3 Meetmed

3.1 Elutsükkel

Kavandamine

CON.8.M1 Tarkvaraarenduse rollide ja vastutuste määramine

CON.8.M2 Sobiva tarkvaraarendusmetoodika valimine

CON.8.M3 Sobiva tarkvaraarenduskeskkonna valimine

CON.8.M11 Tarkvaraarenduste läbiviimise korra koostamine

Evitus

CON.8.M14 Tarkvaraarendajate infoturbealane koolitus

CON.8.M21 Tarkvara riskide kaalutlemine

CON.8.M22 Turvaline tarkvaraarhitektuur

Käitus

CON.8.M5 Turvaline süsteemi kavandamine

CON.8.M6 Usaldusväärsetest allikatest pärinevate tarkvarateekide kasutamine

CON.8.M7 Tarkvara testimine tarkvaraarenduse käigus

CON.8.M8 Tarkvaramuudatuste, paikade ja uuendite turvaline paigaldamine

CON.8.M10 Lähtekoodi versioonihaldus

CON.8.M12 Detailne tarkvara dokumentatsioon

CON.8.M16 Tarkvaraarenduse järelevalve

CON.8.M20 Väliste tarkvarakomponentide kontrollimine

Lisanduvad kõrgmeetmed

CON.8.M17 Usalduväärsete arendusvahendite valimine

CON.8.M18 Regulaarsed arenduskeskkonna turvaauditid

CON.8.M19 Arenduskeskkonna tervikluskontrollid

3.2 Põhimeetmed

CON.8.M2 Sobiva tarkvaraarendusmetoodika valimine

a. Tarkvaraarenduseks on valitud sobiv tarkvaraarendusmetoodika ja metoodikale vastav protsessimudel.

b. Projektiplaani koostamisel ja elluviimisel on järgitud valitud tarkvaraarendusmetoodikat.

69

c. Tarkvaraarenduse protsessimudel sisaldab infoturbe nõudeid. Arendusprotsessi käigus on infoturbe nõuetega arvestatud.

d. Töötajad on läbinud tarkvaraarendusmetoodika rakendamise koolituse.

CON.8.M3 Sobiva tarkvaraarenduskeskkonna valimine

a. Enne tarkvaraarenduskeskkonna valimist on dokumenteeritud nõuded, millele tarkvaraarenduskeskkond ja -tööriistad peavad vastama ning määratud tööriistade valikukriteeriumid. Nõuded on kinnitanud tarkvaraarenduse eest vastutav töötaja.

b. Kasutusele võetud tarkvaraarenduskeskkond vastab kehtestatud nõuetele.

CON.8.M5 Turvaline süsteemi kavandamine

a. Arenduses oleva tarkvara puhul on arvestatud järgmisi turvalise süsteemide kavandamise (ingl system design) reegleid:

 andmete sisestamisel kontrollitakse ja valideeritakse andmed enne nende edasist töötlemist IT-süsteemis;

 klient-server rakenduste puhul tehakse andmete lõplik valideerimine ja kinnitamine alati serveris;

 tarkvara tüüpseadistus ja parameetrite vaikeväärtused võimaldavad tarkvara turvaliselt kasutada;

 tarkvarakomponendi vea või tõrke puhul ei muutu kättesaadavaks kaitset vajavad andmed;

 tarkvara vajab kasutamiseks võimalikult vähe süsteemiprivileege;

 kaitset vajavate andmete edastamisel ja talletamisel kasutatakse krüptokontseptsioonile (vt CON.1 Krüptokontseptsioon) vastavaid krüptoprotsesse ja –tooteid;

 kasutatakse turvalisi ja usaldusväärseid ning kaitsetarbele vastavaid kasutajate autentimise ja pääsuõiguste andmise mehhanisme;

 autentimiseks kasutatavatest salasõnadest tohib tarkvaras talletada ainult turvalisi parooliräsisid (ingl password hash);

 infoturbe sündmused logitakse tarkvaras tõendusväärtusega ja kujul, mis võimaldab sündmusi vajadusel tagantjärele analüüsida;

 käidukeskkonnas toimimiseks mittevajalik teave (nt liigsed kommentaarid) on tarkvara programmikoodist ja konfiguratsioonifailidest eemaldatud.

b. Süsteemide kavandamise reeglid on dokumenteeritud. Tarkvaraarendajad on kehtestatud süsteemi kavandamise reeglitest teadlikud.

c. Süsteemi kavandamise reeglitest kinnipidamist kontrollitakse tarkvara arendusprotsessi käigus ja enne tarkvara kasutuseks kinnitamist.

CON.8.M6 Usaldusväärsetest allikatest pärinevate tarkvarateekide kasutamine

a. Enne väliste tarkvarateekide arendusprotsessis käitamist kontrollitakse kasutatud allikate usaldusväärsust ja teekide terviklust.

CON.8.M7 Tarkvara testimine tarkvaraarenduse käigus [testija, arendaja]

a. Tarkvara testimine ja koodi läbivaatus (ingl code review) viiakse läbi enne tellijapoolset tarkvara vastuvõtutestimist (ingl acceptance test) ja kasutamiseks kinnitamist.

70

b. Tarkvara testimise ja koodi läbivaatuse protsessi on kaasatud tellija või tellija esindaja.

c. Juba arenduse käigus testitakse tarkvara vastavust funktsionaalsetele nõuetele (nõuded, mida tarkvara peab täitma, ingl functional requirements) ja mittefunktsionaalsetele nõuetele (nõuded, millele tarkvara peab vastama, ingl non-functional requirements).

d. Arenduse käigus testitakse tarkvara käitumist vigaste ja lubatavatest sisendväärtustest erinevate sisendväärtuste ning andmetüüpide korral (ingl negative testing).

e. Testimisel kasutatav testandmestik on hoolikalt valitud ja kaitstud volitamata muudatuste eest.

f. Võimalusel kasutatakse tarkvara testimiseks automaatseid töövahendeid (nt koodianalüsaatorit).

g. Tarkvara testimine viiakse läbi arendus- ja testkeskkondades, mis on käidukeskkonnast (ingl production environment) eraldatud.

h. Tarkvaraarenduse käigus testitakse, kas tarkvarale esitatud nõuded on asjakohased ja õigesti dimensioneeritud.

CON.8.M8 Tarkvaramuudatuste, paikade ja uuendite turvaline paigaldamine [arendaja]

a. Tarkvara turvakriitilised paigad ja uuendid töötab arendaja välja ja need edastatakse tellijale ilma viivituseta.

b. Pärast välistes tarkvarateekides tehtud turvakriitilisi muudatusi teostab arendaja tarkvaras vajalikud muudatused ja edastab tellijale vastavad paigad.

c. Tarkvaramuudatusi, paiku ja uuendeid kaitstakse volitamata muudatuste eest installipaketi kontrollkoodi (ingl checksum) või digiallkirja abil.

CON.8.M10 Lähtekoodi versioonihaldus

a. Tarkvara lähtekoodi (ingl source code) turvalisuse tagamiseks ja koodimuudatuste haldamiseks on rakendatud sobivad versioonihalduse tööriistad.

b. Koodis tehtud muudatused salvestatakse versioonihalduse käigus eraldi versioonina. Vajadusel on võimalik tehtud muudatusi tagasi võtta (taastada muudatuse-eelne lähtekoodi versioon).

c. Andmevarunduse kontseptsioon arvestab tarkvara versiooni muutusi. Enne ja pärast uue tarkvaraversiooni paigaldamist varundatakse tarkvaras kasutatavad andmed.

CON.8.M20 Väliste tarkvarakomponentide kontrollimine

a. Kõik välised tarkvarakomponendid (sh teegid), mille turvalisuses ei saa olla täielikult kindel, läbivad enne kasutuselevõttu turvatestimise.

b. Võimalike tarkvarakonfliktide ärahoidmiseks testitakse kõiki väliseid tarkvarakomponente enne nende esmakordset rakendamist.

c. Väliste tarkvarakomponentide tervikluse tagamiseks kontrollitakse komponentide kontrollkoode ja/või digitaalseid sertifikaate.

d. Tarkvara arendamisel kasutatakse väliste tarkvarakomponentide viimaseid heakskiidetud versioone, aegunud tarkvarakomponente ei kasutata.

71

3.3 Standardmeetmed

CON.8.M1 Tarkvaraarenduse rollide ja vastutuste määramine [haldusosakond]

a. Organisatsioonis on määratud tarkvara arendusprotsessi juhtimise üldine vastutaja.

b. Organisatsioonis on määratud vastutajad järgmiste tarkvaraarenduse tegevuste eest:

 nõuete koostamine, nõuetehaldus ja muudatuste haldus;

 tarkvara kavandamine ja tarkvara arhitektuur;

 tarkvaraarenduse infoturve;

 spetsiifilised tarkvaraarenduse tegevused (nt testimine).

c. Iga tarkvaraarendusprojekti raames on määratud arendusprojekti infoturbe eest vastutav isik.

CON.8.M11 Tarkvaraarenduste läbiviimise korra koostamine

a. Organisatsioon on kehtestanud tarkvaraarenduste läbiviimise korra. Kord sisaldab antud moodulis käsitletud meetmeid, mis vastavad organisatsiooni spetsiifikale.

b. Tarkvaraarenduse läbiviimise korda rakendatakse kõikide tarkvaraarenduste puhul.

c. Välistele arendajatele on tarkvaraarenduste läbiviimise korra järgimine lepinguline kohustus.

d. Tarkvaraarenduste läbiviimise korda ajakohastatakse vastavalt vajadusele.

CON.8.M12 Detailne tarkvara dokumentatsioon

a. Tarkvaratoote kohta on olemas üksikasjalik ja põhjalik dokumentatsioon.

b. Tarkvara dokumentatsioon hõlmab vähemalt järgmist:

 tarkvara funktsionaalsuse kirjeldust;

 kasutusjuhendeid tarkvara kasutajatele;

 tarkvaraarhitektuuri kirjeldust ja jooniseid;

 tarkvara liidestuste spetsifikatsioone;

 tarkvarateekide dokumentatsiooni;

 kasutatud krüptomehhanismide spetsifikatsiooni;

 tarkvara installimise, seadistamise ja haldamise juhendeid tarkvara haldajatele.

c. Tarkvara dokumentatsiooni detailsus on piisav, et nõutava tasemega tehniline ekspert suudaks dokumentatsioonile tuginedes tarkvaratoote halduse ja arendamise üle võtta.

d. Valitud tarkvaraarendusmetoodika ja protsessimudel sisaldab tarkvara dokumentatsiooni loomist ja selle pidevat ajakohastamist.

CON.8.M14 Tarkvaraarendajate infoturbealane koolitus

a. Tarkvaraarendajatel on infoturbealased baasteadmised ja nad on kursis infoturbe üldiste trendidega.

b. Tarkvaraarendajad on läbinud organisatsioonispetsiifilise koolituse, milles käsitletakse vähemalt järgmist:

 tarkvara nõuete (sh infoturbe nõuete) analüüs;

 projektijuhtimine üldiselt ja eriti tarkvaraarenduses;

72

 riskijuhtimine ning ohtude modelleerimine tarkvaraarenduses;

 tarkvaraarenduse kvaliteedijuhtimine ja kvaliteedi tagamine;

 tarkvaraarendusmeetodid ja protsessimudelid;

 tarkvaraarhitektuur;

 tarkvara testimine;

 tarkvara muudatuste juhtimine;

 infoturbe nõuded organisatsioonis ja valdkondlikud turbeaspektid.

CON.8.M16 Tarkvaraarenduse järelevalve

a. Tarkvaraarenduse juhtimiseks on välja töötatud valitud tarkvaraarendusmetoodikaga sobiv projektijuhtimismudel. Projektijuhtimismudeli üheks osaks on arendusprojektide järelevalve funktsioon.

b. Tarkvaraarenduse järelevalve teostajatel on piisav kvalifikatsioon tarkvara elutsükli kõikide etappide hindamiseks.

c. Tarkvaraarenduse projektijuhtimismudel on kooskõlas organisatsiooniülese riskijuhtimissüsteemiga.

d. Arendusprojektidele on määratud kvaliteedieesmärgid.

CON.8.M21 Tarkvara riskide kaalutlemine

a. Tarkvaratoote arendamise esimeses etapis on läbi viidud tarkvara riskide kaalutlemine.

b. Tarkvara riskide kaalutlemisel lähtutakse tarkvara kasutava organisatsiooni kaitsetarbest, tarkvara nõuetekataloogist ja tarkvara toimimise kontekstist.

c. Tarkvara riskide kaalutlemise käigus koostatakse võimalikud ohustsenaariumid, tuvastatakse nendega seotud riskid, hinnatakse ohtude realiseerumise tõenäosust ja võimalikku mõju.

CON.8.M22 Turvaline tarkvaraarhitektuur

a. Tarkvaraarhitektuuri valimisel on arvestatud tarkvara nõuetekataloogiga ja riskide kaalutlemise tulemustega.

b. Tarkvaraarhitektuur võimaldab tarkvara loomisel turvalise süsteemi kavandamise põhimõtete (vt CON.8.M5 Turvaline süsteemi kavandamine) rakendamist.

c. Võimalusel arvestatakse tarkvara väljatöötamisel tarkvara vastavust tulevikustandarditele ja vastupidavust uutele võimalikele ründemeetoditele.

d. Valitud tarkvaraarhitektuur võimaldab ka tulevikus tarkvara hõlpsasti hooldada ja edasi arendada.

3.4 Kõrgmeetmed

CON.8.M17 Usalduväärsete arendusvahendite valimine (C-I-A)

a. Tarkvara arendamisel kasutatakse ainult vajalikke ja tõestatud turvaomadustega arendustööriistu.

b. Arenduses kasutatava riistvara- ja tarkvaratootjate vastavus infoturbe nõuetele on kontrollitav.

73

CON.8.M18 Regulaarsed arenduskeskkonna turvaauditid (C-I-A)

a. Tarkvara arendus- ja testkeskkonna turvameetmete rakendamise hindamiseks viiakse läbi regulaarseid turvaauditeid.

CON.8.M19 Arenduskeskkonna tervikluskontrollid (I) [IT-talitus]

a. Arenduskeskkonna tervikluse tagamiseks ja manipuleerimise vältimiseks kasutatakse sobivaid krüptoprotsesse (nt failide kontrollsummasid).

b. Terviklushäirete kiireks tuvastamiseks on väärpositiivsete (ingl false positive) häireteadete hulk viidud võimalikult väikseks.

4 Lisateave

Lühend Publikatsioon

[ISO 25000]

[ISO 25001]

[ISO 25010]

[NIST 800-160]

EVS-ISO/IEC 25000

ISO/IEC 25001

ISO/IEC 25010

National Institute of Standards and Technologie, NIST 800-160 „Systems Security Engineering, Considerations for a Multidisciplinary Approach in the Engineering of Trustworthy Secure Systems“

CON.9 Teabevahetus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed IT-süsteemide ja väliste poolte vaheliseks turvaliseks teabevahetuseks.

1.2 Vastutus Andmevahetuse mooduli meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad

Kasutaja, vastutav spetsialist, haldusosakond.

1.3 Piirangud Võrguühenduste turvet käsitletakse mooduligrupis NET. Irdandmekandjate kasutamiseks andmete edastuseks käsitletakse moodulis SYS.4.5 Irdandmekandjad.

74

2 Ohud

2.1 Teabe puudumine ettenähtud ajal Teabe puudumine ettenähtud ajal võib oluliselt kahjustada äriprotsesse või põhjustada väärate juhtimisotsuste vastuvõtmist. Kui andmeid ei suudeta õigeaegselt töödelda või neid otsuste tegemiseks ette valmistada, jäävad ärieesmärgid täitmata.

Andmevahetusprotsessis võivad tekkida häired, samuti võib protsess katkeda tehnilistel põhjustel. Andmeseanssi võidakse põhjendamatult edasi lükata, andmete edastus võib võtta oodatust rohkem aega. Andmeliideste ja riistvara tõrked võivad põhjustada andmevahetuse täieliku katkemise.

2.2 Teabe volitamata avalikustamine Teabevahetusel võivad andmed ja seeläbi ja konfidentsiaalne teave sattuda valedesse kätesse või ei jõua teave soovitud adressaadini. Teabe vastuvõtja võimalused teabe volitamata avalikustamist ära hoida on piiratud. Teabe väärkasutamise oht on suurem, kui teabevahetuse osapooled pole sõlminud konfidentsiaalsuslepingut.

2.3 Väära või sisemise teabe edastamine Kui kasutajad ei ole piisavalt koolitatud või nad ei ole teabe edasiandmisel piisavalt tähelepanelikud, võib tundlik teave saada kättesaadavaks volitamata isikutele. Kui andmekandja antakse edasi ilma andmekandjale eelnevalt salvestatud andmeid turvaliselt kustutamata, on sellised näiliselt kustutatud andmed saajale juurdepääsetavad.

Samuti võib juhtuda, et konfidentsiaalsed dokumendid saadetakse kogemata valele vastuvõtjale või on saadetavas kirjas jäänud sisemiseks kasutuseks mõeldud kommentaarid kustutamata.

2.4 Andmete lubamatu kopeerimine või muutmine Kui andmete või andmekandja edasisaatmisel kasutatakse ebaturvalisi kanaleid, on võimalik andmeid nende edastamise ajal märkamatult kopeerida. Ründaja võib suhtlust pealt kuulata ka andmevahetuseks kasutatavas sidevõrgus. Kui ründajal on ligipääs, saab ta andmeid edastamise ajal ka muuta, manipuleerida või lisada andmetele pahavara.

2.5 Ebapiisavate krüptovahendite kasutamine Kui krüpteerimiseks valitakse kergesti äraarvatav võti või kui krüptovõtme saatmiseks suhtluspartnerile ei kasutata turvalisi kanaleid, võivad konfidentsiaalsed andmed lekkida.

3 Nõuded

3.1 Elutsükkel

Kavandamine

CON.9.M1 Lubatavate teabevahetuspartnerite määramine

CON.9.M2 Teabevahetuse kord

Evitus

CON.9.M3 Teabevahetuse koolitus töötajatele

CON.9.M4 Välise teabevahetuse lepped

75

Käitus

CON.9.M5 Jääkteabe kõrvaldamine failidest enne edasiandmist

CON.9.M6 Saatja ja saaja IT-süsteemide ühilduvuse kontroll

CON.9.M7 Edasiantavate andmete varundamine

CON.9.M8 Krüpteerimine ja digitaalsignatuurid

Lisanduvad kõrgmeetmed

CON.9.M9 Konfidentsiaalsuslepingu sõlmimine

3.2 Põhimeetmed

CON.9.M1 Lubatavate teabevahetuspartnerite määramine [haldusosakond, kasutaja]

a. Organisatsioon on määranud, mis teavet ja millistele partneritele ja mis andmevahetuskanalite kaudu on lubatud edastada.

b. Enne info edastamist välisele partnerile veendutakse vastuvõtja õigustes seda teavet vastu võtta ja edasi töödelda.

c. Teabe saajat teavitatakse, milleks ja kuidas seda teavet tohib kasutada.

CON.9.M2 Teabevahetuse kord [haldusosakond, kasutaja]

a. Organisatsioon on kehtestanud kõiki suulise ja elektroonilise teabevahetuse vorme hõlmava teabevahetuse korra.

b. Organisatsioon on kehtestanud teabe kaitsetarbe määramise juhised ja kaitsetarbele vastavad meetmed teabe kaitsmiseks.

c. Enne konfidentsiaalse teabe edastamist teavitatakse teabevahetuspartnerit, et teave on mõeldud kasutamiseks ainult edastamisel ettenähtud eesmärgil.

d. Organisatsioon on määranud, milliste andmevahetuskanalite ja -keskkondade kasutamine ei ole lubatud.

CON.9.M3 Teabevahetuse koolitus töötajatele [vastutav spetsialist]

a. Töötajad tunnevad teabevahetuse eeskirja ja oskavad konfidentsiaalset ning sisemiseks kasutamiseks mõeldud teavet käidelda.

b. Töötajad on teadlikud, millist teavet, millal, kus ja kuidas on lubatud edastada.

c. Töötajad läbinud koolituse andmete kaitsmiseks IT-vahendite abil (nt krüpteerimine või kontrollkoodide kasutamine).

3.3 Standardmeetmed

CON.9.M4 Välise teabevahetuse lepped [haldusosakond]

a. Regulaarseks teabevahetuseks väliste partneritega on kokku lepitud järgmised tingimused:

 kas ja millist teavet tuleb kaitsta;

 millised on teabevahetusteed;

 konfidentsiaalsusnõuded (vt ka CON.9.M9 Konfidentsiaalsuslepingu sõlmimine);

 nõutav turvatase ja kuidas seda tõendatakse;

 tegutsemine turvaintsidentide korral;

76

 vaidluste lahendamise kord;

 õiguslikud raamtingimused.

b. On kokku lepitud teabevahetuse korraldus olukorras, kui tavapärane suhtlus on häiritud.

CON.9.M5 Jääkteabe kõrvaldamine failidest enne edasiandmist [kasutaja]

a. Kasutajaid on jääkteabe kõrvaldamise vajadustest ja viisidest teavitatud. Kasutajad on läbinud vastava koolituse.

b. Enne failide edastamist kontrollitakse, kas failid ei sisalda avaldamisele mittekuuluvat jääkteavet, nagu kommentaarid, muudatuste ajalugu või liigsed metaandmed.

c. Tuvastatud jääkteave kustutatakse, vajadusel muudetakse selleks failivormingut.

d. Jääkteabe puudumist edastatud failides kontrollitakse pisteliselt.

CON.9.M6 Saatja ja saaja IT-süsteemide ühilduvuse kontroll

a. Enne andmekandja saatmist kontrollitakse saatja ja saaja IT-süsteemide ja -toodete ühilduvust järgnevas:

 seadmete füüsiline kokkusobivus;

 kasutatav märgikood (nt ASCII);

 operatsioonisüsteem ja failisüsteemi vormingud;

 rakendustarkvara;

 turvatarkvara ja turvaparameetrid.

b. Lahknevused kõrvaldatakse andmete konverteerimisega ja/või andmekandja asendamisega.

CON.9.M7 Edasiantavate andmete varundamine [kasutaja]

a. Kui edasiantavad andmed asuvad üksnes andmekandjal ning andmeid ei saa taastada muudest andmeallikatest, tehakse andmekandjast ajutine varukoopia.

CON.9.M8 Krüpteerimine ja digitaalsignatuurid [kasutaja]

a. Võimalusel krüpteeritakse konfidentsiaalne teave enne selle edastamist.

b. Suure terviklustarbega teavet kaitstakse digitaalsignatuuriga.

c. Andmete krüpteerimiseks valitakse kaitsetarbele vastav, nii saatjale kui ka saajale sobiv krüptomehhanism.

3.4 Kõrgmeetmed

CON.9.M9 Konfidentsiaalsuslepingu sõlmimine (C) [haldusosakond, kasutaja]

a. Konfidentsiaalse teabe edastuseks on selle saajaga sõlmitud leping, mis määrab:

 milline teave on konfidentsiaalne ja kui kaua;

 kellel on lubatud juurdepääs konfidentsiaalsele teabele;

 kuidas konfidentsiaalset teavet on lubatud hoida;

 millised on omandiõigused teabele ja saaja õigused teavet kasutada;

 millised on konfidentsiaalsuslepingu rikkumise tagajärjed.

77

CON.10 Veebirakenduste arendus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed turvaliste dünaamiliste (muutuva sisuga) veebirakenduste arendamiseks ning veebirakendustes töödeldavate andmete kaitsmiseks.

1.2 Vastutus Veebirakenduste arendamise meetmete täitmise eest vastutab arendaja.

Lisavastutajad

Antud moodulis lisavastutajad puuduvad.

1.3 Piirangud Veebirakenduste turvalise kasutamisega seotud meetmed on kirjeldatud moodulis APP.3.1 Veebirakendused. Turvalise tarkvaraarenduse üldmeetmed on kirjeldatud moodulis CON.8 Tarkvaraarendus.

2 Ohud

2.1 Puudulik autentimine ja kasutusõiguste andmine Kui ründajal õnnestub veebirakenduse autentimisest mööda hiilida, saab ta veebirakendust volitamata kasutada. Kui veebirakendus sisaldab tundlikke andmeid, võib see organisatsioonile kaasa tuua ulatusliku finants- ja mainekahju. Kui ründajal õnnestub veebirakendusse sisse logida veebirakenduses laiendatud kasutusõigusi omava kasutajana, avaneb tal andmete varastamiseks, manipuleerimiseks või kustutamiseks veelgi rohkem võimalusi.

Kui veebirakenduse kasutajaõiguste andmine, volitamine ja ressursside jagamine on ebaturvaliselt kavandatud ja puudulikult realiseeritud, võib veebirakenduse kasutaja (ning kasutajana esinev ründaja) saada volitamata juurdepääsu turvakriitilistele andmetele.

2.2 Puudulik sisendite ja väljundite valideerimine Kui veebirakenduses töödeldakse manipuleeritud sisendandmeid, ei pruugita seda õigeaegselt märgata. Ründajal võimalik sisendandmeid manipuleerides veebirakenduse kaitsemehhanismidest mööda pääseda ja käivitada käske otse süsteemi või andmebaasi tasandil. Kui andmeid enne väljastamist ei kontrollita, võib andmetes sisalduv kahjurkood (nt kahjuliku toimega Javascript’i käsud) levida seotud IT-süsteemidesse.

2.3 Veebirakenduse puuduv või puudulik tõrkehaldus Tihti jäävad väiksemad anomaaliad veebirakenduse töös registreerimata ja nendega ei tegeleta. Kui veebirakenduse töös esinevaid tõrkeid ja vigu õigeaegselt ei avastata ja nende kõrvaldamisega ei tegeleta, võib see probleemi kasvades hakata mõjutama rakenduse tööd või muuta rakenduse kasutajatele kättesaamatuks. Veebirakenduse viga võib kaasa tuua suuremahulise andmekao. Viga vahemällu salvestatud andmetes võib mõjutada andmete terviklust. Vigane turvamehhanism võib põhjustada volitamata juurdepääsu andmetele.

78

2.4 Puudulik turvasündmuste logimine Veebirakenduse turvasündmuste ebapiisaval logimisel ei ole võimalik hiljem turvasündmusi tuvastada ja nende tekkepõhjuseid välja selgitada. Kuna intsidendi põhjus jääb välja selgitamata, on raskendatud meetmete rakendamine sarnaste intsidentide ärahoidmiseks tulevikus.

Kui rakenduses esinevaid vigu ja võimalikule ründele viitavaid konfiguratsioonimuudatusi ei logita, võivad need jääda märkamata.

2.5 Tundliku taustainfo avaldamine veebirakenduses Teatud päringutele veebiserveri ja veebirakenduse poolt vastuseks väljastatavad andmed võivad sisaldada ründajale vajalikku teavet veebiserveri, operatsioonisüsteemi ja tarkvara versiooni ja konfiguratsiooni kohta. Ründaja saab IT-komponentide teadaolevaid nõrkusi ära kasutada veebirakenduse sihtründe (ingl targeted attack) plaanimiseks.

2.6 Automaatsete ründevahendite kasutamine Ründaja võib veebirakenduse töö tõkestamiseks või andmetele juurdepääsu saamiseks lasta automaatselt genereerida suure hulga korduvaid päringuid, mida veebirakendus peab suutma töödelda. Veebirakenduse vastu suunatud teenusetõkestusrünne (ingl denial-of-service attack) võib tekitada veebirakenduse ülekoormuse ja muuta rakenduse kasutajaile kättesaamatuks. Ründevahendi poolt genereeritud korduvate sisselogimiskatsete abil on võimalik püüda ära arvata rakenduse kasutajanimede (kui rakendus annab selle kohta tagasisidet) ja salasõnade kombinatsioone ehk korralda jõurünnet (ingl brute-force attack) või koostada kehtivate kasutajanimede loendeid.

2.7 Puudulik seansihaldus Puuduliku seansihalduse puhul saab ründaja ilma pääsuõigusi omamata kaaperdada teise kasutaja poolt algatatud seansi. Kui ründajal õnnestub kindlaks teha rakenduses laialdasi õigusi omava eeliskasutaja seansiidentifikaator (ingl session ID), on tal võimalik lubatud kasutajana tegutseda. Seansipette (ingl session fixation) korral laseb ründaja kõigepealt veebirakendusel määrata seansiidentifikaatori ja seejärel edastatakse see mõnele volitatud kasutajale (nt e-posti lingiga). Kui volitatud kasutaja kasutab seda linki ja veebirakenduses end ründaja edastatud seansiidentifikaatoriga autendib, saab ründaja veebirakendust temale teadaolevaks saanud seansiidentifikaatoriga seansi ning volitatud kasutaja õiguste piires kasutada.

3 Meetmed

3.1 Elutsükkel

Kavandamine

CON.10.M11 Veebirakenduse turvaline tarkvaraarhitektuur

CON.10.M9 Kaitse SQL-süsti eest

Evitus

CON.10.M1 Turvaline autentimine veebirakenduses

CON.10.M2 Veebirakenduse juurdepääsu reguleerimine

CON.10.M4 Veebirakenduse sisu kasutamise piiramine

CON.10.M5 Andmete üleslaadimise piiramine

79

CON.10.M6 Kaitse veebirakenduste volitamata automaatse kasutamise eest

CON.10.M14 Veebirakenduste turvaline HTTP-konfiguratsioon

CON.10.M16 Mitmikautentimise kasutamine

Käitus

CON.10.M3 Turvaline seansihaldus

CON.10.M7 Konfidentsiaalsete andmete kaitse

CON.10.M8 Sisendite valideerimine ja väljundite kodeerimine

CON.10.M10 Tundliku taustainfo avaldamise piiramine

CON.10.M12 Oluliste muudatuste kinnitamine

CON.10.M13 Veebirakenduse tõrketöötlus

CON.10.M15 Päringuvõltsingu takistamine

Lisanduvad kõrgmeetmed

CON.10.M17 Ressursside blokeerimise takistamine

CON.10.M18 Tundlike andmete krüptograafiline turve

3.2 Põhimeetmed

CON.10.M1 Turvaline autentimine veebirakenduses

a. Veebirakenduse sisule juurdepääs võimaldatakse ainult kasutaja autentimise kaudu ning on reguleeritud turvaliste ja asjakohaste autentimismeetoditega.

b. Valitud autentimismeetodid on asjakohased ja turvalised ning nende valik on dokumenteeritud.

c. Võimaluse korral on autentimiseks kasutusel tsentraalselt hallatavad autentimiskomponendid (näiteks riigi autentimisteenus TARA).

d. Kasutaja autentimisandmeid on lubatud veebirakenduses salvestada ainult pärast kaasnevate riskide kaalumist ja teadvustamist. Kasutajalt nõutakse enne oma autentimisandmete salvestamist riskidega tutvumist ja üheselt mõistetavat („opt-in“) nõusolekut.

e. Veebirakenduses on määratud ebaõnnestunud logimiskatsete lubatud arv. Pärast selle ületamist rakendatakse täiendavaid turvaprotseduure (nt tõkestatakse kasutaja juurdepääs määratud ajaks).

CON.10.M2 Veebirakenduse juurdepääsu reguleerimine

a. Kasutaja pääsuõigused on vajadusekohaselt piiratud.

b. Õiguste mehhanism tagab, et kasutajad saavad teha üksnes oma õigustega lubatud toiminguid.

c. Kasutajate pääsuõigusi hallatakse tsentraalses ja usaldusväärses IT-süsteemis.

d. Pääsuõiguste süsteemi vea korral veebirakendusele juurdepääs keelatakse.

e. Pääsu reguleerimine hõlmab lisaks rakenduse ressurssidele ja funktsioonidele ka URL- kutseid ja objektiviiteid.

80

CON.10.M3 Turvaline seansihaldus

a. Seansiidentifikaatorite (ingl session ID) loomisel, edastamisel ja klientarvutisse salvestamisel on tagatud seansiidentifikaatorite turvalisus.

b. Seansiidentifikaatorid genereeritakse juhuslikkuse põhimõttel ja piisava entroopiaga. Võimalusel kasutatakse veebirakenduse taristu seansiidentifikaatorite genereerimise funktsiooni. Selleks on veebirakenduse taristu turvaliselt konfigureeritud.

c. Veebirakendus võimaldab kasutajatel pooleliolevat seanssi kontrollitult ja üheselt mõistetavalt lõpetada. Pärast kasutaja uut sisselogimist asendatakse seansiidentifikaator uuega.

d. Seansi kestusele on määratud ülempiir. Mitteaktiivsed seansid lõpetatakse pärast määratud jõudeolekuaega automaatselt.

e. Pärast seansi lõppemist kustutatakse kõik seansiandmed nii serveri kui kliendi poolel.

CON.10.M4 Veebirakenduse sisu kasutamise piiramine

a. Veebirakendus väljastab kasutajatele üksnes ettenähtud ja lubatavaid andmeid ja sisu.

b. Veebirakendusest edasisuunamise sihtkohad asuvad usaldusväärses domeenis.

c. Edasisuunamise funktsionaalsus kasutajatele on veebirakenduses piiratud.

d. Kasutaja lahkumisel usaldatavast domeenist kasutajat informeeritakse.

CON.10.M5 Andmete üleslaadimise piiramine

a. Kasutaja saab salvestada faile ainult ettemääratud viisil.

b. Kasutaja ei saa veebirakenduses seadistatud andmesalvestuse asukohta muuta.

c. Veebirakenduse failide üleslaadimise funktsioon on piiratud.

CON.10.M6 Kaitse veebirakenduste volitamata automaatse kasutamise eest

a. Veebirakendus on kaitstud automatiseeritud juurdepääsu eest.

b. Turvamehhanismide rakendamisel on arvestatud, et turvamehhanismid ei piiraks volitatud kasutajate toiminguid ülemäära.

c. Veebirakenduse RSS-söödete (ingl RSS feed) või teiste automatiseeritud funktsioonide olemasolul arvestatakse neid turvamehhanismide seadistamisel.

CON.10.M7 Konfidentsiaalsete andmete kaitse

a. Klientarvutist serverisse edastatakse andmeid ainult HTTP meetodiga POST.

b. Klientarvutisse ei salvestata ega ajutiselt puhverdata tundlikke andmeid.

c. Vormidel olevaid konfidentsiaalseid andmeid ei hoita brauseris avateksti kujul.

d. Veebirakenduse pääsuandmeid on serveris kaitstud piisavalt tugeva krüpteeringuga. Autentimisandmetest hoitakse serveris ainult parooli „soolatud“ räsi (ingl salted hash).

e. Veebirakenduse lähtekoodi kaitstakse lubamatu juurdepääsu eest.

CON.10.M8 Sisendite valideerimine ja väljundite kodeerimine

a. Veebirakendusse edastatud sisendandmeid käsitletakse potentsiaalselt ohtlike andmetena, mida peab enne edasist töötlust filtreerima ja valideerima.

b. Kõiki sisendandmeid, sh sekundaarandmeid (nt seansiidentifikaatorid) valideeritakse serveris asuvas usaldusväärses IT-süsteemis.

81

c. Vigaseid sisestusi ei töödelda võimaluse korral automaatselt. Kui seda ei saa vältida, muudetakse sisendandmed turvaliseks.

d. Ohtlikud sümbolid varjestatakse viisil, et nende edasine interpreteerimine või käivitamine sihtsüsteemis osutuks võimatuks.

CON.10.M9 Kaitse SQL-süsti eest

a. SQL-süsti (ingl SQL injection) välistamiseks edastatakse andmed veebirakendusest andmebaasisüsteemi (DBMS) salvestatud protseduuride (ingl stored procedures) või SQL-valmislausetega.

b. Kui salvestatud protseduure ega SQL-valmislauseid ei saa kasutada, siis kaitstakse SQL- päringuid muul viisil.

CON.10.M10 Tundliku taustainfo avaldamise piiramine

a. Veebilehed ja veebirakenduste vastusteated ei sisaldada informatsiooni, mis ründajat abistaks turvamehhanismidest mööda hiilida. Selleks tagatakse, et:

 edastatakse üksnes neutraalseid veateateid;

 ei paljastata turbega seotud kommentaare ega toote- või versiooniandmeid;

 turvadokumentatsioonile on võimalik üksnes piiratud juurdepääs;

 ebavajalikke faile kustutatakse regulaarselt;

 väliste otsingumootoritega kasutatakse veebirakendust ettenähtud viisil;

 välditakse teabe jagamist salvestusteede kohta;

 veebirakenduse konfiguratsioonifailid ei asu veebisaidi juurkataloogis.

3.3 Standardmeetmed

CON.10.M11 Veebirakenduse turvaline tarkvaraarhitektuur

a. Veebirakenduse tarkvaraarhitektuur koos kõikide komponentide ja sõltuvustega on dokumenteeritud. Tarkvaraarhitektuuri dokumentatsiooni uuendatakse ja kohandatakse vastavalt vajadusele.

b. Veebirakenduse arendamisel lähtutakse kinnitatud tarkvaraarhitektuuri dokumentatsioonist. Dokumentatsiooni detailsus on piisav arendajatel tekkivate küsimuste lahendamiseks.

c. Tarkvaraarhitektuuri dokumentatsioonis on välja toodud ka rakendusevälised, kuid rakenduse tööks vajatavad komponendid.

d. Tarkvaraarhitektuuri kavandamisel on arvestatud, milliste komponentide jaoks milliseid turvamehhanisme rakendatakse, kuidas veebirakendus on olemasolevasse taristusse integreeritud ning milliseid krüpteerimisfunktsioone ja -protseduure kasutatakse.

CON.10.M12 Oluliste muudatuste kinnitamine

a. Enne oluliste muudatuse tegemist veebirakenduses nõutakse kasutaja kinnitust, mis on realiseeritud kasutaja salasõna uuesti sisestamisega. Mitmikautentimise (ingl multifactor authentication) puhul piisab täiendava autentimisteguri sisestamisest.

b. Kui salasõna uuesti sisestamist tegevuse kinnitamiseks ei saa rakendada, kasutatakse mõnda muud autentimismeetodit.

82

c. Kasutajaid teavitatakse toimunud muudatustest veebirakendusevälise sidekanali kaudu.

CON.10.M13 Veebirakenduse tõrketöötlus

a. Veebirakenduse töö ajal tekkinud tõrgete lahendamisel säilitatakse veebirakenduse terviklus.

b. Veebirakendus logib kõik tekkinud veateated.

c. Tõrke tõttu pooleli jäänud toiming katkestatakse ja juurdepääs ressurssidele tõkestatakse.

d. Eelnevalt reserveeritud veebirakenduse ressursid vabastatakse tõrketöötluse käigus.

e. Võimaluse korral teostab tõrketöötluse veebirakendus ise.

CON.10.M14 Veebirakenduste turvaline HTTP-konfiguratsioon

a. Kaitseks klõpsurööv-rünnete (ingl clickjacking) ja skriptisüsti (ingl cross-site scripting) eest on veebirakenduses määratud sobivad HTTP-vastusepäise sätted (nt X-FRAME- OPTIONS: deny).

b. Veebirakendus kasutab vähemalt järgmisi HTTP-päiseid:

 Content-Security-Policy (CSP);

 Strict-Transport-Security (HSTS);

 Content-Type;

 X-Content-Type-Options;

 Cache-Control.

c. Veebirakendus on HTTP-päistega seadistatud sedavõrd päringuid piiravaks kui võimalik.

d. Küpsistele (ingl cookie) on määratud atribuudid secure, SameSite ja httponly.

CON.10.M15 Päringuvõltsingu takistamine

a. Veebirakendus toetab päringuvõltsingu (ingl cross-site request forgery) takistamise turvamehhanisme, mis eristavad kasutaja kavatsetud ja korralisi veebilehepäringuid soovimatutest päringutest või volituseta käskudest.

b. Kontrollitakse, kas kaitstud ressurssidele ja funktsioonidele juurde pääsemiseks on lisaks seansiidentifikaatorile vaja mingit lisanduvat volitustõendit.

c. Kasutaja kavatsetud päringu tõendamiseks kontrollitakse täiendavalt HTTP-päringu autentsust.

CON.10.M16 Mitmikautentimise kasutamine

a. Võimalusel rakendatakse veebirakenduse kasutajate autentimisel mitmikautentimist.

3.4 Kõrgmeetmed

CON.10.M17 Ressursside blokeerimise takistamine (A)

a. Ummistusrünnete (ingl denial-of-service attack) ärahoidmiseks välditakse ressursimahukaid tüüptoiminguid.

b. Kui ressursimahukaid tüüptoiminguid ei saa välistada, rakendatakse nende kaitseks spetsiaalseid turvameetmeid.

c. Jälgitakse ja ollakse valmis võimalikuks veebirakenduse logide ületäitumiseks.

83

CON.10.M18 Tundlike andmete krüptograafiline turve (C-I)

a. Veebirakenduse tundlikud andmed on kaitstud piisavat kaitset pakkuvate krüptomehhanismidega.

OPS.1: Oma käidutööd

OPS.1.1: IT-põhitööd

OPS.1.1.1 IT-haldus üldiselt

1 Kirjeldus

1.1 Eesmärk Kehtestada infoturbe meetmed lahutamatu osana kõigis IT-halduse põhiaspektides (IT-varade haldamine, IT-hanked, IT käitamine, muudatuste haldus, seire, intsidentide haldus ja IT kasutusest kõrvaldamine).

1.2 Vastutus IT-halduse meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Lisavastutajad puuduvad.

1.3 Piirangud Moodul käsitleb IT-halduse valdkonnaüleseid infoturbe aspekte. IT-haldus ei keskendu ainult infotehnoloogiale, vaid selle turvalisele integreerimisele organisatsiooni äriprotsessidesse. Moodul ei asenda IT-halduse parimaid tavasid koondavaid raamistikke, nt ITIL (Information Technology Infrastructure Library) või standardeid (standardisari EVS-ISO/IEC 20000).

IT-halduse valdkondlikke turvameetmeid käsitletakse mooduligrupi OPS.1.1 IT-põhitööd järgnevates moodulites, eelkõige moodulites OPS.1.1.2 IT-süsteemide haldus, OPS.1.1.3 Paiga- ja muudatusehaldus ja OPS.1.1.7 Süsteemihaldus.

Võrguhalduse meetmed kirjeldatakse moodulis NET.1.2 Võrguhaldus. Pääsuõiguste haldust käsitletakse moodulis ORP.4 Identiteedi- ja õiguste haldus ning IT-süsteemide kaughaldust moodulis OPS.1.2.5 Kaughooldus.

Andmete varundamist ja arhiveerimist käsitletakse moodulites CON.3 Andmevarunduse kontseptsioon ja OPS.1.2.2 Arhiveerimine.

IT-halduse aspekte erandlikes olukordades toimetulekuks käsitletakse moodulites DER.1 Turvaintsidentide avastamine, DER.2.1 Turvaintsidentide käsitlus ja DER.2.3 Ulatuslike turvaintsidentide lahendamine.

Kolmandate poolte haldusülesannete täitmist käsitlevad moodulid OPS.2.3 Väljasttellimine ja OPS.3.2 Teenuseandja infoturve.

84

Antud moodul ei käsitle DevOps metoodika eriaspekte ega infoturbe meetmete rakendamist IT projektide läbiviimisel.

2 Ohud

2.1 Kvalifitseeritud tööjõu puudumine IT-halduse sujuvast toimimisest sõltub organisatsiooni äriprotsesside toimimine. Kvalifitseeritud töötajate puudumisel võib katkeda IT-halduse protsesside järjepidevus, pikenevad ooteajad ja sagenevad IT-töötajate inimlikest eksimustest tingitud vead.

Tööjõu puudus nõrgendab oluliselt IT-halduse infoturbe aspekte. Näiteks ei ole võimalik töötajate vähesuses tõttu korraldada piisavat seiret ja tegevuslogide analüüsi.

Vajaliku oskusteabe koondumine ainult mõnede töötajate valdusesse tekitab sõltuvuse üksikutest inimesest. Võtmeisiku lahkumise korral tekivad probleemid IT-süsteemide käideldavuse tagamisel.

2.2 IT-halduse dokumentatsiooni puudulikkus IT- halduse protseduuride läbiviimine ebapiisavatele, vananenud või volitamata muudetud protsessijuhenditele tuginedes võib põhjustada katkestusi IT-süsteemide töös, andmete lekkimist või tervikluse kadu. Ka toimunud intsidentide tagajärgede likvideerimine võtab oluliselt rohkem aega, sest puuduvad detailsed tegevusjuhised IT-süsteemide ja seonduvate andmete taastamiseks.

Kui IT-haldusesse on kaasatud väliseid osapooled, võib puudulik tegevuste juhtimine põhjustada tundliku teabe lekkimist.

2.3 Piiratud ressursid IT-halduses Kui puuduvad vajalikud tööriistad IT-halduse protsesside läbiviimiseks ja automatiseerimiseks, kannatab IT-halduse kvaliteet ja efektiivsus ja seeläbi organisatsiooni äriprotsesside toimimine. Tõrgete kõrvaldamiseks kuluv aeg pikeneb, töötajad on tegevuses äriprotsesside parendamise asemel „tulekahjude kustutamisega“.

Ressursside puudumisel ei ole võimalik luua taristut käidukeskkonnas tehtavate muudatuste testimiseks ja IT-haldusprotsesside parendamiseks.

2.4 Eelisõiguste või konfidentsiaalse teabe kuritarvitus IT-halduri eelisõigustega kasutajakonto kuritarvitamise teel on võimalik ligi pääseda konfidentsiaalsele teabele ja manipuleerida ärikriitilisi andmeid. Volitamata isikud võivad eeliskontole ligi pääseda läbi halduri vastu suunatud kalastamis- (ingl phishing) või suhtlusrünnete (ingl social engineering).

Kui IT-halduri organisatsioonist lahkumisel ei suleta tema kontosid või ei muudeta sisselogimisandmeid, võib ta jätkata IT-süsteemidesse sisselogimist, seades niiviisi ohtu IT- süsteemide turvalisuse.

Konfidentsiaalse teabe lekke võib põhjustada ka IT-halduri inimlik eksimus, näiteks kui ta jätab laokile oma pääsukaardi või väljatrükitud IT-süsteemi konfiguratsiooniandmed.

2.5 Volitamata juurdepääs IT-seadmetele Kui IT-halduseks kasutavatele arvutitele või IT-seadmetele pääsevad ligi volitamata isikud (nt asuvad seadmed lukustamata ruumis), eksisteerib oht, et neid seadmeid kasutatakse erinevate IT-süsteemide vastu suunatud rünnete algatamiseks. Oht on suurem, kui IT-halduse jaoks

85

vajalikud kasutajakontod ja andmesideliidesed on nõrgalt kaitstud, näiteks nõuavad ainult parooli sisestamist.

2.6 IT-haldustoimingute salgamine või võltsimine Kui IT-haldur esitab haldustoimingute kohta valeinformatsiooni (nt salgab, et oluline protseduur jäi tegemata), võib see ohustada IT-süsteemi käideldavust ja IT-süsteemis olevate andmete turvalisust.

Kui IT-haldurile saadetakse valeinformatsiooni (nt manipuleeritud e-kirjaga) süsteemi oleku või edasiste tegevuste kohta, võib ta tegelikku olukorda valesti hinnata ja käivitada protseduure, mis muudavad IT-süsteemi kasutajale kättesaamatuks või ohustavad IT-süsteemi turvalisust muul viisil.

2.7 Haldustoimingute tegemata jätmine Kui IT-halduse toiminguid ei viida läbi vastavalt kehtestatud nõuetele ja protsessijuhenditele, võib kahjustuda IT-süsteemide käideldavus ja terviklus.

Sageli jäetakse IT-komponentide soetamisel arvestamata nende hilisem hooldus- ja haldusvajadus. IT-komponendid võivad asuda kohtades, kus neile ligipääs on raskendatud või pole kasutusele võetud haldamiseks vajalikke haldusliideseid.

Samuti võib IT-süsteemide turvalisus ohtu sattuda kui IT-halduse toiminguid viiakse läbi hoolimatult või ebakorrektselt.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.1.1.M1 IT-halduse ülesannete ja kohustuste määramine

OPS.1.1.1.M2 IT-halduse rollide ja kasutusõiguste määratlemine

OPS.1.1.1.M3 IT-halduse juhendite koostamine

OPS.1.1.1.M4 IT-halduseks vajalike ressursside tagamine

Evitus

OPS.1.1.1.M11 Teenusetasemelepete sõlmimine

OPS.1.1.1.M12 IT-halduse protsesside määratlemine

OPS.1.1.1.M14 IT-halduse kavandamine IT-komponentide soetamisel

OPS.1.1.1.M15 IT-halduse tööriistade turvaline soetamine ja kasutamine

Käitus

OPS.1.1.1.M5 Turvaliste tüüpkonfiguratsioonide määratlemine

OPS.1.1.1.M6 Keskne IT-varade haldus

OPS.1.1.1.M7 Turvalised IT-halduse protseduurid

OPS.1.1.1.M8 IT-halduse regulaarne kontrollimine

OPS.1.1.1.M9 IT-halduse regulaarne seire

OPS.1.1.1.M10 IT-komponentide turvanõrkuste loend

OPS.1.1.1.M13 IT-halduse tööriistade ja dokumentatsiooni turve

86

OPS.1.1.1.M16 IT-halduse personali väljaõpe

OPS.1.1.1.M18 Väliste teenuseandjate kasutamine IT-halduses

OPS.1.1.1.M19 IT-komponentide regulaarne hooldus

OPS.1.1.1.M20 IT-komponentide turvanõrkuste seire

Avariivalmendus

OPS.1.1.1.M17 IT-halduse korraldamine avariiolukorras

Lisanduvad kõrgmeetmed

OPS.1.1.1.M21 IT-halduse tööriistade kasutamise seire

OPS.1.1.1.M22 Automatiseeritud turvatestimine

OPS.1.1.1.M23 IT-komponentide läbistustestimine

OPS.1.1.1.M24 IT-halduse protseduuride detailne logimine

OPS.1.1.1.M25 IT-halduse tööriistade autonoomsuse tagamine

OPS.1.1.1.M26 IT-komponentide ennetav hooldus

3.2 Põhimeetmed

OPS.1.1.1.M1IT-halduse ülesannete ja kohustuste määramine

a. Kõikide IT-komponentide puhul on määratletud vajalikud IT-halduse toimingud.

b. On määratud IT-komponentide halduse eest vastutavad IT-haldurid.

c. Organisatsioon on määranud IT-halduse suhtluskanalid ja kinnitanud organisatsiooniüksuste vahelise aruandluse, sh suhtluskanalid intsidentide eskaleerimiseks.

OPS.1.1.1.M2IT-halduse rollide ja kasutusõiguste määratlemine

a. IT-komponentidele on määratud komponendi halduseks kasutatavad rollid ja halduseks vajalikud õigused ja volitused.

b. On loodud IT-halduse rollikontseptsioon, millega eraldatakse IT-halduseks kasutatavad rollid igapäevase IT-tavakasutaja rollidest.

c. Igapäevaste IT-tegevuste jaoks ei kasutata IT-halduri õigustega kasutajakontot.

d. Ühiskasutuses olevaid kasutajakontosid on lubatud luua ja kasutada ainult põhjendatud erandjuhtudel.

e. Rollide ja halduskontode pääsuõiguste asjakohasust kontrollitakse perioodiliselt. IT- halduse rolle, kontosid ja pääsuõigusi uuendatakse vastavalt vajadusele.

f. Lahkunud töötajate kasutajakontod eemaldatakse IT-komponentidest esimesel võimalusel.

g. IT-komponendi kasutusest kõrvaldamisel kustutatakse sellega seotud rollid ja halduskontod.

3.3 Standardmeetmed

OPS.1.1.1.M3IT-halduse juhendite koostamine

a. Käitatavate IT-komponentide haldustööd on kirjeldatud IT-halduse juhendites.

87

b. IT halduse juhendites käsitletakse vähemalt järgmist:

 hallatava IT-komponendi andmed;

 vajalikud haldusvahendid ja -tööriistad;

 IT-komponendi konfiguratsioon;

 konfiguratsioonis sisalduvate turvaseadistuste kohandused;

 IT-halduse rollid ja kontod;

 IT-komponentide testimine;

 seire, logimine ja automaatteavitused;

 andmete varundamine ja taasteplaanid;

 IT-intsidentide käsitlemise kord;

 regulaarsed ja plaanivälised haldustegevused.

c. IT halduse juhendid on volitatud isikutele igal ajal kättesaadavad.

d. IT-halduse juhendite aja- ja asjakohasust kontrollitakse perioodiliselt. Juhendeid uuendatakse vastavalt vajadusele.

OPS.1.1.1.M4 IT-halduseks vajalike ressursside tagamine

a. Piisavate ressursside leidmiseks on analüüsitud IT-halduse toimingute mahtu, vajalikke ressursse, tööjõudu ja oskusteavet.

b. IT-halduseks on olemas piisaval hulgal vajaliku oskusteabega töötajaid. Personaliressursi kavandamisel on arvestatud reserviga, mis on vajalik lühiajaliste töölt eemalolekute ja ajutiste suurema personalivajadusega perioodide kompenseerimiseks.

c. IT-halduseks on olemas piisaval hulgal materiaalseid ressursse.

d. Ressursivajadusi hinnatakse perioodiliselt. IT-halduse ressursse kohandatakse vastavalt ärivajadustele ja kehtivatele nõuetele.

OPS.1.1.1.M5 Turvaliste tüüpkonfiguratsioonide määratlemine

a. IT-halduse juhendites on koostatud ja dokumenteeritud tüüpsete IT-komponentide tugevdatud turvet sisaldavad tüüpkonfiguratsioonid.

b. Virtualiseeritud IT-platvormides, milles käitatakse teisi IT-komponente, on välja töötatud ja rakendatud kõigile IT-komponentidele sobivad turvaseadistused.

c. IT-komponentide konfiguratsioonid vastavad organisatsiooni turvanõuetele ning arvestavad tootjapoolseid soovitusi komponentide turvaliseks seadistuseks.

d. Tüüpkonfiguratsioone testitakse enne nende juurutamist käidukeskkonnas (ingl operational environment).

e. Tüüpkonfiguratsioonide aja- ja asjakohasust kontrollitakse regulaarselt. Tüüpkonfiguratsioone muudetakse vastavalt tehnoloogilise keskkonna ja riskihinnangute muutumisele.

f. Tüüpkonfiguratsioonid sisaldavad versiooninumbrit ning teostatud muudatusi kirjeldavat muutelugu.

88

OPS.1.1.1.M6 Keskne IT-varade haldus

a. IT-halduse protseduurid sisaldavad olemasolevatest IT-varadest ülevaate saamist ja varade perioodilise inventuuri läbiviimist.

b. Kõik käidukeskkonda paigaldatud, testimiseks kasutatavad ning varus olevad IT- komponendid on registreeritud varade keskset haldust võimaldavas varahaldussüsteemis.

c. Varahaldussüsteemis on andmed ka olemasolevate, kuid kasutusest maha võetud IT- varade kohta.

OPS.1.1.1.M7 Turvalised IT-halduse protseduurid

a. IT-halduse protseduuridele on kehtestatud kvaliteedinõuded ning on määratud kriteeriumid IT-halduse toimingute nõuetele vastavuse mõõtmiseks.

b. IT-komponente testitakse enne nende käidukeskkonda paigaldamist ning pärast oluliste muudatuste rakendamist. Vajalikud testid ja nende läbiviimise kord on kirjeldatud IT- halduse juhendites.

c. IT-talitusel on valmisolek kasutatavate IT-komponentide asendamiseks varukomponentidega. Selleks on olemas vajalikud ressursid ja tarnelepingud.

d. IT-halduse käigus tehtud tööd on sobival ja arusaadaval viisil dokumenteeritud. Soovitatav on kasutada selleks spetsiaalset tarkvara, nt IT Helpdeski rakendust.

e. Süstemaatiliselt jälgitakse IT-halduse protseduuride kvaliteeti ning kasutajate rahulolu.

f. Süstemaatiliselt kontrollitakse teenusetasemelepete (ingl service level agreement, SLA) ning tegevuslepete (ingl operational level agreement, OLA) järgimist.

OPS.1.1.1.M8 IT-halduse regulaarne kontrollimine

a. Regulaarselt kontrollitakse, kas:

 IT-halduse protseduure kohaldatakse kõikidele käidukeskkonna IT-komponentidele;

 IT-komponentide konfiguratsioonid vastavad ettenähtud tüüpkonfiguratsioonidele;

 IT-halduse protsess on integreeritud kõikidesse organisatsiooni äriprotsessidesse.

OPS.1.1.1.M9IT-halduse regulaarne seire

a. IT-komponentide seiret teostatakse keskse, IT-talituse juhtkonnas kinnitatud seireplaani alusel.

b. Olulistele IT-komponentide parameetritele on määratud lävendid, millest hälbimine käivitab IT-haldurite automaatse teavituse.

c. IT-talitus on IT-halduse seire tulemustest teavitamiseks määranud suhtluskanalid, määratlenud aruandluse sisu ning koostanud avariiolukordadest teavitamise korra.

d. Seireandmete põhjal on võimalik jälgida IT-komponentide hetkeolukorda ning oluliste parameetrite muutumist ajas. Seiretulemused on üheks sisendiks IT-süsteemides tehtavate muudatuste kavandamiseks.

e. Seireandmeid edastatakse ainult turvaliste sidekanalite kaudu.

f. IT-süsteemide kaetust IT-halduse seireplaaniga kontrollitakse perioodiliselt. IT-halduse seireplaani ajakohastatakse vastavalt vajadusele.

OPS.1.1.1.M10 IT-komponentide turvanõrkuste loend

a. IT-komponentide teadaolevad turvanõrkused registreeritakse keskses turvanõrkuste loendis.

89

b. Turvanõrkuste loendi pidamine ja turvanõrkuste käsitlus on osa IT-halduse protsessist.

c. Turvanõrkuste käsitluse käigus dokumenteeritakse:

 kas eksisteerib turvauuend, mis parandaks IT-komponendi teadaoleva turvanõrkuse;

 mis ajaks on IT-komponendi turbepaik paigaldatud;

 kas IT-komponent tuleb turvanõrkuste tõttu kasutusest kõrvaldada ja/või asendada;

 kuidas toimub IT-komponendi eraldamine juhul kui IT-komponendi uuendamine või asendamine pole võimalik.

OPS.1.1.1.M11 Teenusetasemelepete sõlmimine

a. IT-talitus on sõlminud oma klientidega IT-komponentide kaitsetarvet arvestavad teenusetasemelepped (ingl service level agreement, SLA) või tegevuslepped (operational level agreement, OLA).

b. Teenusetasemelepete tingimuste määramisel on arvestatud organisatsiooniüksuste ja äriprotsesside sõltuvusi IT-komponendi toimimisest ning äriprotsesside kaitsetarvet.

c. Teenusetasemelepetes määratletud rolle ja vastavaid kohustusi täidetakse.

OPS.1.1.1.M12 IT-halduse protsesside määratlemine

a. IT-talitus on määratlenud ja kinnitanud IT-halduse protsessid.

b. Iga IT-halduse protsessi kohta on kirjeldatud:

 protsessi algataja ja protsessis osalejad;

 protsessis sisalduvad IT-halduse tegevused;

 liidestused (sh sisendid ja väljundid) teiste IT-halduse protsesside või äriprotsessidega;

c. IT-talituse töötajad tunnevad IT-halduse protsesse ja järgivad tööprotseduure.

d. IT- halduse protsessi läbimise tõestusmaterjalid dokumenteeritakse. Üksikute protsessietappide läbimist logitakse vastavalt vajadusele.

e. On loodud tegevusjuhised olukordadeks, mis väljuvad tüüpsete IT-halduse protsesside raamest. Dokumenteeritud on vähemalt:

 tegevusjuhend juhuks, kui IT-halduse protsessi pole võimalik läbi viia;

 juhised veaolukorra ja protsessi tahtliku manipuleerimise korral tegutsemiseks.

OPS.1.1.1.M13 IT-halduse tööriistade ja dokumentatsiooni turve

a. IT-halduses kasutatavatele seadmetele, tööriistadele ja juhenditele on juurdepääs ainult volitatud IT-talituse töötajatel.

b. IT-halduseks vajalikud ressursid ja dokumentatsioon on volitatud isikutele vajadusel kättesaadavad.

c. Kui IT-halduse toiminguid tehakse otse käidukeskkonnas (ingl operational environment), edastatakse tundlikke andmeid ainult turvaliste protokollide kaudu.

d. IT- halduse tööriistade kasutamist seiratakse ja neile kohandatakse paigahaldust (vt OPS.1.1.3 Paiga- ja muudatusehaldus).

90

OPS.1.1.1.M14 IT-halduse kavandamine IT-komponentide soetamisel

a. IT-süsteemide kavandamisel ja IT-komponentide hankimisel on arvestatud nende toimimise tagamiseks vajalike IT-haldustööde mahtu ning organisatsiooni IT-halduse protsessidest tulenevaid nõudeid.

b. IT-haldusvajaduse analüüsis on arvestatud kavandavate IT-süsteemide keerukust (ingl complexity).

OPS.1.1.1.M15 IT-halduse tööriistade turvaline soetamine ja kasutamine

a. IT-halduse ressursside kavandamisel ning haldustööriistade soetamisel ja kasutamisel lähtutakse IT-komponentide halduse reaalsest vajadusest.

b. IT-halduse protsessid ja vajalikud ressursid on organisatsiooni kõigi äriüksustega kooskõlastatud.

c. IT-halduse võrk on asutuse teistest võrkudest vähemalt loogiliselt eraldatud (vt NET.1.1 Võrgu arhitektuur ja lahendus). Ressursside täiendav segmentimine otsustatakse, lähtudes IT-halduse tööriistade funktsionaalsetest sõltuvustest, infoturvapoliitikast ja andmete kaitsetarbest.

OPS.1.1.1.M16 IT-halduse personali väljaõpe

a. IT-halduse töötajate koolitusplaani koostamisel arvestatakse, et IT-komponendi haldamiseks vajalikud oskused ja kvalifikatsioon oleks mitmel töötajal.

b. Koolitustel käsitletavad teemad katavad vähemalt järgmist:

 tüüpkonfiguratsioonid ja infoturbe tugevdamine (ingl hardening);

 kasutatavate IT-komponentide ja haldustööriistade spetsiifilised turvaseaded;

 haldustööriistade tüüpsed veaolukorrad ja nende lahendamine;

 IT-halduse protsesside vahelised seosed ja liidestused.

c. Uute IT-komponentide soetamisel kavandatakse koolitused asjakohaste IT-halduse protseduuride omandamiseks.

OPS.1.1.1.M17 IT-halduse korraldamine avariiolukorras

a. On määratletud tingimused, mille täitumisel rakendub IT-halduses avarii korral tegutsemise kord.

b. IT-süsteemide pikaajalise katkestuse või avarii korral tegutsemiseks on koostatud IT- halduse avariiteatmik.

c. IT-halduse avariiteatmik määratleb, millised IT-komponendid on vajalikud organisatsiooni toimimiseks minimaalsel lubataval tasemel ning milliste IT-komponentide tugi tagatakse eelisjärjekorras.

d. Avarii korral tegutsemise juhised sisaldavad vähemalt järgmist:

 toibumisplaanid (ingl disaster recovery plan) avariiolukorrast väljumiseks;

 IT-komponentide taastamise juhised;

 tegevusjuhised kriitiliste äriprotsesside pikaajalise katkestuse mõju leevendamiseks.

OPS.1.1.1.M18 Väliste teenuseandjate kasutamine IT-halduses

a. IT-haldusega seotud väliste teenuseandjate tegevus on reguleeritud lepingute ja teenusetasemelepetega (SLA).

91

b. Teenuseandjaga on kokku lepitud suhtluskanalid ja teenuse üksikasjalik sisu. Eriti oluline on see siis kui kitsas teenusevaldkonnas kasutatakse mitmeid teenuseandjaid.

c. Teenuseandja tegevused fikseeritakse. Teenuseandja tegevuste vastavust kokkulepitule kontrollitakse regulaarselt.

OPS.1.1.1.M19 IT-komponentide regulaarne hooldus

a. IT-komponente hooldatakse regulaarselt. Teostatud hooldus- ja parendustööd dokumenteeritakse.

b. On määratud IT-komponendi hoolduse eest vastutavad isikud.

c. Hooldustööde läbiviimisel arvestatakse kehtestatud infoturbe nõudeid.

d. Väliste hooldusspetsialistide tööd on eelnevalt asjaosalistega kooskõlastatud. On määratud kontaktisik, kes kolmandate poolte hooldustegevusi koordineerib ning vajadusel kontrollib ja kinnitab tööde läbiviimise.

OPS.1.1.1.M20 IT-komponentide turvanõrkuste seire

a. IT-haldurid jälgivad ja analüüsivad regulaarselt infot kasutatavate IT-komponentide teadaolevate nõrkuste ning turvapaikade väljalaske kohta.

b. IT-komponente testitakse turvanõrkuste olemasolu suhtes. Iga IT-komponendi jaoks on määratud sobiv testimise ulatus, sügavus ja metoodika. Testimisel tuvastatud turvanõrkused registreeritakse.

c. Teadaolevad riistvara, operatsioonisüsteemide ja rakenduste nõrkused parandatakse esimesel võimalusel. Kui nõrkuse parandamiseks ei ole tootja väljastanud turvapaika, kasutatakse IT-süsteemi kaitseks täiendavaid turvameetmeid.

d. Ilma tootjapoolse toeta ja teadaolevate turvanõrkustega riistvara, operatsioonisüsteemid, rakendused ja teenused kõrvaldatakse kasutusest.

3.4 Kõrgmeetmed

OPS.1.1.1.M21 IT-halduse tööriistade kasutamise seire (C-I-A)

a. IT-komponentide haldustööriistade kasutamist jälgitakse organisatsiooniüleste turvaseire vahenditega.

b. Turvasündmuste reaalajaliseks ja keskseks tuvastamiseks on IT-halduse tööriistad integreeritud automatiseeritud sissetungituvastuse süsteemi (ingl intrusion detection system, IDS) seireandmestikuga.

OPS.1.1.1.M22 Automatiseeritud turvatestimine (C-I-A)

a. Turvanõrkuste avastamiseks testitakse IT-komponente regulaarselt automatiseeritud testimistööriistadega.

b. Nõrkuseotsingu (ingl vulnerability scanning) tulemused logitakse automaatselt ning need on kättesaadavad teistele asjakohastele tööriistadele.

c. Kriitilise turvanõrkuse avastamisel saadetakse volitatud töötajatele automaatteavitus.

OPS.1.1.1.M23 IT-komponentide läbistustestimine (C-I-A)

a. Organisatsiooniülese turvatestimise kontseptsiooni alusel viiakse läbi IT-komponentide regulaarset läbistustestimist (ingl penetration testing).

92

OPS.1.1.1.M24 IT-halduse protseduuride detailne logimine (C-I-A)

a. Kõik IT-halduse protseduurid logitakse jälgitavalt ja tõendatavalt.

OPS.1.1.1.M25 IT-halduse tööriistade autonoomsuse tagamine (C-I-A)

a. IT-halduse tööriistu on võimalik kasutada ka võrguühenduse katkestuse või mõne muu välise mõjutuse korral.

b. IT-halduse tööriistade omavahelised sõltuvused on võimalikult minimeeritud. Tööriistade konfigureerimisel välditakse olukordi, mille puhul ühe tööriista rike põhjustab häireid teise tööriista toimimises.

OPS.1.1.1.M26 IT-komponentide ennetav hooldus (I-A)

a. IT-komponentide hooldused plaanitakse ja viiakse läbi vähendatud ajavahemike järel, ennetades sellega võimalike tõrgete teket.

4 Lisateave

Lühend Publikatsioon

[ITIL] The Information Technology Infrastructure Library (ITIL) framework, https://www.axelos.com/certifications/itil-service-management

[ISO] Standardisari EVS-ISO/IEC 20000

OPS.1.1.2 IT-süsteemide haldus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed IT-süsteemide ja võrkude turvaliseks halduseks. IT-süsteemide haldamiseks on vaja IT-süsteemis eeliskontot. Haldustoimingute tulemusena võib muutuda hallatavate IT- komponentide konfiguratsioon.

1.2 Vastutus IT-süsteemide halduse meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Personaliosakond.

1.3 Piirangud Moodulis on esitatud IT-süsteemide halduse üldmeetmed. Pääsuõiguste haldust käsitletakse moodulis ORP.4 Identiteedi- ja õiguste haldus, muudatuste haldust käsitletakse moodulis OPS.1.1.3 Paiga-ja muudatusehaldus. IT-süsteemide kaughaldust käsitletakse moodulis OPS.1.2.5 Kaughooldus.

93

IT-halduse turvet aitavad tagada meetmed moodulitest NET.1.2 Võrguhaldus ja OPS.1.1.7 Süsteemihaldus.

Kolmandate poolte haldusülesannete täitmist käsitlevad moodulid OPS.2.3 Väljasttellimine ja OPS.3.2 Teenuseandja infoturve. IT-süsteemide haldust veaolukorras käsitletakse mooduligrupis DER.2 Turvaintsidentide haldus.

IT-halduse korraldamise üldiseid aspekte käsitletakse moodulis OPS.1.1.1 IT-haldus üldiselt.

2 Ohud

2.1 Kohustuste reguleerimatusest tingitud probleemid Kui IT-süsteemide halduse ülesanded (nt kavandamise, installimise, dokumenteerimise, paigahalduse või järelevalve osas) pole selgelt määratud või kui IT-süsteemide halduse kord ei ole töötajatele teada või arusaadav, võivad turbe jaoks olulised tegevused jääda ellu viimata

2.2 Puudulik dokumentatsioon Kui dokumenteeritud teave IT-komponentide kohta ei vasta tegelikule olukorrale, on raskendatud haldustoimingute korrektne plaanimine ja teostus. Eelnevad konfiguratsioonimuudatused võivad kaotsi minna. Haldustööde käigus ilmnenud ootamatud asjaolud võivad oluliselt pikendada toimingute läbiviimise aega. Halvemal juhul võib väär konfiguratsioon põhjustada turvaintsidendi.

2.3 Eeliskasutaja õiguste kuritarvitus Dokumentidele ja andmebaasis asuvatele andmetele juurdepääsu omavad isikud võivad oma suuremaid õigusi enda või kõrvaliste isikute huvides ära kasutada. Kui organisatsioonist lahkunud IT-halduril on jäänud kasutajaõigused korrektselt eemaldamata, võib ta tehtud eksimust kuritarvitada. IT-haldurit võidakse andmetele juurdepääsu saamise nimel survestada või muul viisil mõjutada.

2.4 Tundliku teabe leke Kui IT-süsteemidega seotud tundlik teave (nt IT-komponentidele juurdepääsuinfo või IT- komponentide konfiguratsioonid) ei ole piisavalt kaitstud, võib teave sattuda volitamata isikute kätte, kellel on võimalus seda manipuleerida või kasutada organisatsiooni IT- süsteemide vastu suunatud rünnete kavandamiseks.

2.5 Pädevuse puudumine Sageli on keerulise IT-süsteemi haldamise oskused ja vajalikud teadmised ainult ühel IT- halduril. Kui talle ei ole vastava väljaõppega asendajat, võib IT-halduri lahkumise korral tekkida probleeme IT-süsteemi nõuetekohase ja turvalise töö tagamisega. Probleeme IT- süsteemide halduses võib põhjustada ka pädevate töötajate haigestumine või ette kavandamata töölt eemalviibimine.

2.6 Haldusvahendite ebapiisav kaitse Rünnet IT-süsteemile lihtsustavad IT-halduri poolt IT-süsteemi konfigureerimisel tehtud hooletusvead. IT-süsteemi kaitseks mõeldud turvameetmed võivad jääda rakendamata IT halduri mugavuse või mõne muu põhjuse tõttu. Näiteks kasutatakse IT-halduseks samu tekstiredaktoreid või SSH-kliente, mida kasutatakse ka teiste tööülesannete tarbeks. Vähene turvateadlikkus, haldurite ajanappus ja protseduuride puudumine loovad nõrkusi, mida ründaja saab kergelt ära kasutada.

94

2.7 IT-süsteemi halduse vead IT-süsteemi haldustoimingute läbiviimisel ei saa kunagi välistada IT-halduri tehtud inimlikku eksimust. Nt võib IT-haldur omavahel segi ajada lahtiolevad konsooliaknad ja sisestada vale käsurea. Vigasel haldustoimingul võivad olla kaugeleulatuvad negatiivsed tagajärjed.

2.8 IT-süsteemide töö häirimine Haldustoimingute läbiviimine mõjutab tavaliselt IT-süsteemide tööd. Kui IT-süsteemide halduse toiminguid tehes ei arvestata nende mõju samaaegsele IT-süsteemide kasutamisele ja toiminguid ei ajastata töövälisele ajale, võidakse äriprotsessi olulisel määral häirida.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.1.2.M2 IT-haldurite asendamise kord

OPS.1.1.2.M7 IT-halduri kohustuste määramine

OPS.1.1.2.M21 IT-süsteemide halduse rollide määramine

OPS.1.1.2.M23 IT-süsteemide halduse rollide ja kasutajaõiguste määramise põhimõtted

OPS.1.1.2.M27 Alternatiivlahendus kesksele IT-süsteemide halduse tööriistale

Evitus

OPS.1.1.2.M5 IT-süsteemide halduse toimingute tõendamine

OPS.1.1.2.M16 Halduspääsu tehniline eraldamine

Käitus

OPS.1.1.2.M4 IT-haldurina töötamise lõpetamine

OPS.1.1.2.M6 Halduskontode turve

OPS.1.1.2.M8 Rakenduste haldus

OPS.1.1.2.M11 Haldustegevuste dokumenteerimine

OPS.1.1.2.M22 IT-süsteemide halduse eraldamine tavatöödest

OPS.1.1.2.M24 IT-süsteemide halduse toimingute kontrollimine

OPS.1.1.2.M25 IT-süsteemide halduse toimingute läbiviimise ajastamine

OPS.1.1.2.M26 IT-komponentide konfiguratsiooni varundamine

OPS.1.1.2.M28 IT-süsteemide haldustoimingute logimine

Lisanduvad kõrgmeetmed

OPS.1.1.2.M17 IT-haldurite nelja silma põhimõte

OPS.1.1.2.M18 Haldustoimingute täielik logimine

OPS.1.1.2.M19 Kõrgkäideldavuse tagamine

OPS.1.1.2.M29 IT-halduse tööriistade toimimise seire

OPS.1.1.2.M30 IT-halduse süsteemide integreerimine turvateabe halduse süsteemiga

95

3.2 Põhimeetmed

OPS.1.1.2.M2IT-haldurite asendamise kord

a. IT-süsteemide halduritele on määratud asendajad, kellel on IT-süsteemide halduse jaoks sobiv kvalifikatsioon ja kes tunnevad konkreetseid süsteeme või on läbinud asjakohase koolituse.

b. Asendajate nimed ja kontaktandmed on dokumenteeritud.

c. On kehtestatud protseduur asendajale pääsuõiguste andmiseks.

d. Juurdepääs IT-süsteemide halduskontodele eriolukorras võimaldatakse ainult volitatud isikutele. Selleks vajalikke pääsuandmeid hoitakse volitatud isikutele kättesaadavas ja turvalises asukohas.

OPS.1.1.2.M4IT-haldurina töötamise lõpetamine [personaliosakond]

a. IT-halduri vabastamisel tööülesannete täitmisest blokeeritakse kohe kõik temaga seotud personaliseeritud halduskontod ja eemaldatakse pääsuõigused (sh juurdepääsud välistele teenustele).

b. Lahkunud IT-haldurile teadaolevad paroolid, pääsukoodid ja salajased krüptovõtmed vahetatakse.

c. Kui töölt lahkunud IT-haldur oli määratud kolmandate poolte kontaktisikuks (nt lepinguga või halduskontaktina), siis teavitatakse asjaomaseid pooli tema lahkumisest ja määratakse uus kontaktisik.

d. Meetmeid rakendatakse ka juhul, kui IT-halduri ülesanded olid määratud ettevõttevälisele isikule.

OPS.1.1.2.M5IT-süsteemide halduse toimingute tõendamine

a. Igal IT-halduril ja IT-halduri asendajal on personaalne eeliskonto (ingl privileged account), mida ta kasutab üksnes haldustoiminguteks.

b. Haldustoiminguid tehakse üksnes personaalselt määratud halduskontoga.

c. Kõik haldustoimingud (sh mida tehti, millal ja kelle poolt) on tagantjärele tuvastatavad.

OPS.1.1.2.M6Halduskontode turve

a. Halduskontosid kaitstakse sobivate autentimismehhanismidega. Kui selleks kasutatakse paroole, siis samu paroole ei kasutata muudes haldustsoonides. Suurema kaitsetarbe korral on rakendatud mitmikautentimine (ingl multifactor authetication).

b. Igapäevaste töökohustuste täitmiseks on IT-halduril tavaõigustega kasutajakonto, eeliskontot igapäevaste töökohustuste täitmiseks ei kasutata.

c. Juurdepääs IT-süsteemi haldusliidesele ja haldusfunktsioonidele on ainult IT-halduritel.

d. Kui IT-süsteemi halduseks ei kasutata lokaalset konsooli, on halduskontode kasutamine kaitstud turvaliste võrguprotokollide (nt SSH, TLS) ja piisava tugevusega krüpteerimisega.

OPS.1.1.2.M21 IT-süsteemide halduse rollide määramine

a. On määratud IT-süsteemide halduse rollid. Rollide määramisel on arvestatud IT- süsteemist tulenevaid vajadusi ja kasutajaõiguste minimaalsuse põhimõtet.

b. Rollide määramisel on arvestatud IT-süsteemi kaitsetarvet, nt tuleks kaaluda operatsioonisüsteemi ja rakenduste halduse rollide eraldamist.

96

OPS.1.1.2.M22 IT-süsteemide halduse eraldamine tavatöödest a. IT-halduse tööriistad on selgelt eristatavad tavatööks kasutatavatest tööriistadest. b. IT-halduse rakendusi ei kasutada peale IT haldustoimingute teiste tööülesannete

täitmiseks. c. IT-halduseks kasutatavad kasutajakontod ning sisselogimiseks vajalikud paroolid on

erinevad muudest kontodest ja paroolidest.

3.3 Standardmeetmed

OPS.1.1.2.M7IT-halduri kohustuste määramine

a. Tööülesannete jaotamisel mitme IT-halduri vahel on kõik tööülesanded kaetud ja vastusalad selgelt eristatud.

b. Igale IT-süsteemile ja rakendusele on määratud vastutav haldur.

c. IT-halduri kohustuste määramisel on arvestatud rollide lahususe nõuet. Halduri rolli ei saa teatud rollidega (nt IT-audiitor) ühildada.

d. IT-halduri õigusi ja kohustusi ajakohastatakse regulaarselt IT-halduri ametijuhendis.

OPS.1.1.2.M8Rakenduste haldus

a. Rakenduse- ja süsteemihaldurite vaheline ülesannete jaotus on määratletud ja dokumenteeritud.

b. Võimalikud kokkupuutekohad rakenduste ja IT süsteemide halduse eest vastutavate isikute tööjaotuses on omavahel kooskõlastatud (nt töötajate asendamise korral).

c. Kui IT-halduril on vajalik sekkuda rakenduse käitamisse (nt versioonivahetusel), kooskõlastatakse see eelnevalt rakenduse kasutajatega, arvestades kasutajate vajadusi.

OPS.1.1.2.M11 Haldustegevuste dokumenteerimine

a. Kõik halduse käigus tehtud IT-süsteemi muudatused dokumenteeritakse. Dokumentatsioonist on arusaadav, milliseid muudatusi ja millal on tehtud, kes muudatused tegi ning mis on muudatuse põhjus.

b. Teave muudatuste kohta peab IT-halduri eemaloleku korral olema kättesaadav ka asendajatele.

OPS.1.1.2.M16 Halduspääsu tehniline eraldamine

a. Haldusliidestele juurdepääs on eraldatud tehniliste meetmetega (nt lubatud ühest konkreetsest võrgusegmendist).

b. Haldusrühma mittekuuluvatel isikutel haldusliidestele juurdepääs puudub.

c. Halduspääs teises turvatsoonis asuvale IT-süsteemile on loodud vastava turvatsooni hüppeserveri kaudu. Muud juurdepääsuvõimalused teistest süsteemidest või võrgusegmentidest on tõkestatud.

d. Haldusliidesed ei tohi olla juurdepääsetavad otse välisest võrgust.

OPS.1.1.2.M23 IT-süsteemide halduse rollide ja kasutajaõiguste määramise põhimõtted

a. Organisatsioon on kehtestanud IT-süsteemide halduse rollide ja kasutajaõiguste määramise põhimõtted.

b. IT-süsteemide halduse rollide ja kasutajaõiguste määramise põhimõtted sätestavad, kuidas toimub rolli:

97

 taotlemine;

 loomine;

 kaasnevate õiguste määramine;

 sidumine konkreetse isikuga.

OPS.1.1.2.M24 IT-süsteemide halduse toimingute kontrollimine

a. Enne IT-süsteemi haldustoimingutega alustamist veendutakse, et kavandatu vastavad püstitatud lähteülesandele.

b. Enne IT-süsteemi haldustoimingutega alustamist kontrollitakse, kas kavandatud toimingud ei mõjuta negatiivselt IT-halduse tööriistade kasutamist.

c. Pärast IT-süsteemi haldustoimingute lõpetamist veendutakse, kas hallatava IT- komponendi konfiguratsioon vastab soovitud sihtseisundile.

d. Kõrgendatud turbevajadusega IT-süsteemi haldustegevusi kontrollib tegevuste läbiviijast erinev isik.

OPS.1.1.2.M25 IT-halduse toimingute läbiviimise ajastamine

a. IT- halduse toimingud viiakse läbi sellest eelnevalt IT-süsteemi kasutajaid ette teavitades ja/või kavandatud hooldusaknas määratud ajaperioodi jooksul.

OPS.1.1.2.M26 IT-komponentide konfiguratsiooni varundamine

a. Enne IT-komponendi haldustoimingute alustamist veendutakse, et IT-komponendi kehtivast konfiguratsioonist on olemas varukoopia.

b. Enne võimalike negatiivsete tagajärgedega haldustoimingut varundatakse IT-komponendi konfiguratsioon täiendavalt vahetult enne toiminguga alustamist.

OPS.1.1.2.M27 Alternatiivlahendus kesksele IT-halduse tööriistale

a. Keskset IT-halduse tööriista on vajadusel võimalik asendada asjakohastele haldusvõrkudele juurdepääsu tagamisega läbi turvalise hüppeserveri (ingl jump server).

b. Kui hüppeserverit ei kasutata, tagatakse haldustoimingute läbiviimiseks IT-komponendile otsene füüsiline juurdepääs.

OPS.1.1.2.M28 IT-süsteemide haldustoimingute logimine

a. Kõik halduskontoga tehtud tegevused ja pääsukatsed logitakse. Logitud andmete terviklust kaitstakse.

b. IT-süsteemide haldustoimingute logisid säilitatakse piisavalt pika ajavahemiku jooksul.

3.4 Kõrgmeetmed

OPS.1.1.2.M17 IT-haldurite nelja silma põhimõte (C-I)

a. Juurdepääs turvakriitilistele süsteemidele on reguleeritud nii, et selleks on alati vaja kahte töötajat (nt halduskonto parooli jaotamisega kaheks osaks, millest kumbki pool on teada ainult ühele IT-halduritest).

b. Haldusprotseduuride läbiviimisel täidab üks IT-haldur ettenähtud haldusülesandeid ja teine kontrollib tema tegevust.

98

OPS.1.1.2.M18 Haldustoimingute täielik logimine (C-I)

a. Turvakriitilistes süsteemides logitakse lisaks IT-halduri tegevustele ka kõik IT- süsteemiülema rakendatud käsud ja käivitatud funktsioonid.

b. IT-süsteemiülematel ei ole salvestatud logifailide muutmise ega kustutamise õigusi.

c. Logifaile säilitatakse terviklikult ning kaitsetarbele vastava ajavahemiku jooksul.

OPS.1.1.2.M19 Kõrgkäideldavuse tagamine (A)

a. On tagatud IT-süsteemide haldustööriistade liiasus.

b. IT-süsteemi haldustööriista võimaliku rikke korral on IT-süsteemide haldustoiminguid võimalik läbi viia ilma oluliste piiranguteta.

OPS.1.1.2.M29 IT-süsteemide halduse tööriistade toimimise seire (A)

a. IT-süsteemide halduse tööriistadele on kehtestatud käideldavuse nõuded.

b. IT-halduse tööriistade käideldavusparameetreid seiratakse regulaarselt, hälvete ilmnemisel teavitatakse vastutavat IT-haldurit.

OPS.1.1.2.M30 IT-süsteemide halduse integreerimine turvateabe halduse süsteemiga (C- I-A)

a. IT-süsteemide haldustoimingute logimine on liidestatud turvateabe ja -sündmuste halduse (ingl security information and event management, SIEM) süsteemiga.

OPS.1.1.3 Paiga- ja muudatusehaldus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed organisatsiooni paiga- ja muudatusehalduse protseduuride kohaldamiseks, juhtimiseks ja optimeerimiseks.

1.2 Vastutus Paiga- ja muudatusehalduse meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Vastutav spetsialist.

1.3 Piirangud

Moodul käsitleb tarkvarauuendite paigaldamist ning muudatuste halduse infoturbega seotud aspekte. Konkreetsete IT-süsteemide uuendamist käsitletakse mooduligruppides SYS ja APP. Paikade ja muudatuste testimist ja käidukeskkonda paigaldamist käsitletakse moodulis OPS.1.1.6 Tarkvara testimine ja kasutuselevõtt. Tarkvaraarenduse käigus tehtavaid muudatusi kirjeldatakse moodulis CON.8 Tarkvaraarendus.

99

2 Ohud

2.1 Puudulikult kehtestatud kohustused Ebaselged, määramata või kattuvad töökohustused paiga- ja muudatusehalduses põhjustavad protsessi aeglustumist ja eksimusi. Paikade ja muudatuste ennatlik kinnitamine ilma neid testimata ja kõiki aspekte arvestamata võib IT-süsteemide turvalisust märkimisväärselt mõjutada. Kui turvapaiku ei paigaldata või seda tehakse liiga hilja, võib see mõjutada IT- süsteemide konfidentsiaalsust ja terviklust.

2.2 Puudulik teabevahetus muudatuste haldamisel Kui paiga- ja muudatusehaldus ei ole organisatsioonis reguleeritud ja asjaomased isikud piisaval määral ei suhtle, võib see põhjustada valesid otsuseid või muudatuste paigaldamisega hilinemist. Puuduliku teabevahetuse korral muutub IT-haldus ebatõhusaks ja tekivad turvanõrkused. Eelnevalt teadvustamata muudatus võib tekitada tööseisaku, kuna kasutaja ei oska muutunud olukorras tegutseda.

2.3 Äriprotsessidega mittearvestamine Kontrollimatud muudatused võivad ohustada äriprotsesside toimimist ja põhjustada mõjutatud IT-süsteemides ulatuslikke tõrkeid. Kui muudatust pole kavandatud ja testitud koos asjaomaste põhiüksustega, võidakse hinnata muudatuste mõju, prioriteetsust ja oodatavat turvataset valesti. Tulem ei pruugi vastata tegelikele ärivajadustele.

2.4 Piiratud ressursid paiga- ja muudatusehalduses Kui paiga- ja muudatusehalduseks puuduvad sobivad töötajad, võib IT-üksuse ja äriüksuste vaheline koostöö kahjustuda. Ressursside puudumisel ei ole võimalik luua nõuetekohast test- ja käidukeskkonna taristut. Töötajate nappus muutub eriti oluliseks juhtudel, kui tegutseda tuleb viivitamata, näiteks avariipaikade paigaldamisel.

2.5 Probleemid paikade ja muudatuste automaatse paigaldamisega Paigahaldustarkvara tsentraalsel kasutamisel võidakse väljastada kogu IT-süsteemi ulatuses vigaseid uuendeid, põhjustades ulatuslikke turvaprobleeme.

Kui IT-seadmed ei ole kohtvõrgus püsivalt kättesaadavad, võib kindlal ajavahemikul turvapaiku paigaldav süsteem jätta osad seadmed ajakohastamata.

2.6 Puudulikud taastevõimalused paiga- ja muudatusehalduses Kui paikasid või muudatusi paigaldatakse ilma taastevõimalust ette nägemata, ei ole võimalik vea ilmnedes IT-süsteemi kiiresti parandada. Sama oht on ka siis, kui tarkvara taasteprotseduurid ei ole tõhusad või need kõigil juhtudel ei toimi.

2.7 Paikade ja muudatuste prioriteetsuse väär hindamine Muudatuste prioriteetsuse määramisega eksimisel võidakse olulised paigad installida alles viimases järjekorras, mistõttu seonduv turvarisk püsib kauem. Paiga- ja muudatusehalduse tööriistas võib esineda vigu, mis põhjustavad paiga või muudatuse kohta puuduliku või vale teabe esitamist.

2.8 Andmete ja tööriistade manipuleerimine muudatuste haldamisel Kui ründaja suudab tsentraalsed paiga- ja muudatusehalduse tööriistad üle võtta, saab ta levitada manipuleeritud tarkvara ühekorraga paljudesse IT-süsteemidesse. Kui neid tööriistu haldab väline partner, siis saab rünnet algatada ka partneri võrgust.

100

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.1.3.M1 Paiga- ja muudatusehalduse kord

OPS.1.1.3.M2 Vastutuse määramine

OPS.1.1.3.M5 Muutmistaotluste käsitlus

OPS.1.1.3.M8 Paiga- ja muudatusehalduse tööriistade turvaline rakendamine

Evitus

OPS.1.1.3.M9 Uue riistvara testimise ja kasutuselevõtu protseduurid

OPS.1.1.3.M11 Infotöötluse pidev dokumenteerimine

Käitus

OPS.1.1.3.M3 Automaatuuenduste turvaline seadistus

OPS.1.1.3.M6 Muudatuste kooskõlastamine

OPS.1.1.3.M7 Muudatusehalduse sobitamine äriprotsessidega

OPS.1.1.3.M10 Tarkvarapakettide tervikluse ja autentsuse tagamine

OPS.1.1.3.M15 IT-süsteemide regulaarne uuendamine

Lisanduvad kõrgmeetmed

OPS.1.1.3.M12 Muudatusehalduse tööriistade kasutamine

OPS.1.1.3.M13 Muudatuste tulemuslikkuse hindamine

OPS.1.1.3.M14 Muudatuste sünkroniseerimine

3.2 Põhimeetmed

OPS.1.1.3.M1Paiga- ja muudatusehalduse kord [vastutav spetsialist]

a. IT-komponentide, tarkvara ja konfiguratsiooniandmete muudatuste läbiviimiseks on kehtestatud paiga- ja muudatusehalduse kord.

b. Paiga- ja muudatusehalduse kord reguleerib, kuidas tarkvara paikade (ingl patch) ja uuendite (ingl update) paigaldamist plaanitakse, kooskõlastatakse ja dokumenteeritakse.

c. Paikasid ja uuendeid testitakse enne nende rakendamist (vt OPS.1.1.6 Tarkvara testimine ja kasutuselevõtt).

d. Paikade ja uuendite paigaldamise ebaõnnestumise puhuks on koostatud muudatuste tagasivõtmise protseduur.

e. Suuremate muudatuste korral kaasatakse muudatuse kavandamisse infoturbejuht. Taotletava turvataseme säilimine tagatakse nii muudatuse tegemise ajal kui ka pärast muudatuse elluviimist.

OPS.1.1.3.M2Vastutuse määramine

a. Kõigis äriprotsessides on määratud paiga- ja muudatusehalduse eest vastutajad.

b. Paiga- ja muudatusehalduse eest vastutaja klassifitseerib ja aktsepteerib muutmistaotlused (ingl change request) ja koordineerib muudatuste läbiviimist.

101

c. Keeruka IT-taristuga organisatsioonis toetab vastutajat kindla aja tagant kogunev muutenõukogu (ingl change advisory board), kuhu peale muudatuste tehnilise rakendamisega seotud isikute kuuluvad ka organisatsiooni põhiüksuste esindajad.

OPS.1.1.3.M3Automaatuuenduste turvaline seadistus

a. Uute toodete kasutuselevõtul kontrollitakse, millised uuendusmehhanismid neis on ja kuidas neid konfigureeritakse. Automaatuuendused seadistatakse vastavalt organisatsiooni paigahalduse nõuetele.

b. Vajadusel tõkestatakse uuendite päringud avalikust uuendusserverist ja blokeeritakse uuendite installimise automaatne käivitus.

c. Võimalusel võetakse kasutusele organisatsioonisisene uuendusserver (nt Windows Server Update Services, WSUS). Uuendusserver suhtleb sel juhul otse tootja serveritega ja laadib soovitud uuendid paigaldamiseks sobival hetkel.

d. Mobiilsetele seadmetele, mis võivad tihti asuda väljaspool ettevõtte võrku, laetakse turvapaigad otse tootja uuendusserverist ning võimalikult kiiresti pärast uuendi ilmutamist.

OPS.1.1.3.M15 IT-süsteemide regulaarne uuendamine

a. Põhivara (ingl firmware), operatsioonisüsteeme ja rakendusi uuendatakse regulaarselt. Uuendamine viiakse läbi võimalikult kiiresti pärast turvauuendi ilmutamist ja testimist.

b. Paikasid ja muudatusi paigaldatakse vastavalt prioriteetsusele ja rakendamise kiireloomulisusele.

c. Uuendite paigaldamise järgselt kontrollitakse, kas kõik vajalikud seadmed ja rakendused on uuendused saanud.

d. Kui turvauuend otsustatakse mitte paigaldada, siis vastav otsus ja mittepaigaldamise põhjendus dokumenteeritakse.

e. Tootja tarkvaratoe lõppemisel analüüsitakse, kuidas edasiste turvapaikade puudumine mõjutab seadmete või rakenduste turvalist kasutamist. Ebaturvalised seadmed või rakendused kõrvaldatakse kasutusest.

3.3 Standardmeetmed

OPS.1.1.3.M5Muutmistaotluste käsitlus [vastutav spetsialist]

a. Muutmistaotlusi (ingl Request for Changes, RfC) esitatakse, registreeritakse ja dokumenteeritakse vastavalt paiga- ja muudatusehalduse korrale.

b. Muudatuste kavandamisel hinnatakse, kuidas võib muudatus mõjutada organisatsiooni toimimist, määratakse tehnilised ja inimressursid ning teostamise tähtajad.

c. Muudatuse läbiviimise eest vastutaja kontrollib, kas muutmistaotluse juures on piisavalt arvestatud infoturbe aspekte.

OPS.1.1.3.M6 Muudatuste kooskõlastamine

a. Muudatuste kooskõlastusprotsessi on kaasatud kõik asjassepuutuvad sihtrühmad, sh infoturve.

b. Muudatusega hõlmatud sihtrühmadel on võimalik muudatuste kohta oma arvamust avaldada, et vältida sihtrühma seisukohalt soovimatuid muudatusi.

c. Aegkriitilisi muudatusi on võimalik kinnitada lihtsustatud korras.

102

OPS.1.1.3.M7 Muudatusehalduse sobitamine äriprotsessidega

a. Muudatuse kavandamisel arvestatakse eelkõige organisatsiooni põhitegevuslikke vajadusi ja mõju äriprotsessidele, sh infoturbe seisukohast.

b. Kõiki muudatusest mõjutatavaid üksusi teavitatakse aegsasti eelseisvatest muudatustest.

c. Muudatuse tegemiseks valitakse aeg nii, et äriprotsesse võimalikult vähe häiritaks. Kui äriprotsessi katkestamine on vältimatu, arvestatakse otsustamisel katkestuse võimalike mõjudega.

d. Organisatsiooni juhtkonnal on õigus vajadusel riist- ja tarkvara muudatuste prioriteete ja planeeritud täitmistähtaegu muuta.

OPS.1.1.3.M8Paiga- ja muudatusehalduse tööriistade turvaline rakendamine

a. Paiga- ja muudatusehalduse tööriistade valimisel võetakse arvesse erinevate tarkvaraplatvormide toetust, uuendite väljastamise sagedust ja nende verifitseerimist, konfiguratsiooni paindlikkust ja muudatuste tagasipööramise võimekust.

b. On kehtestatud paiga- ja muudatusehalduse tööriistade turvanõuded, mis käsitlevad tööriistade turvalist haldust ja logimise, andmevarunduse ning avariivalmenduse nõudeid.

OPS.1.1.3.M9Uue riistvara testimise ja kasutuselevõtu protseduurid

a. Uut riistvara testitakse enne kasutuselevõttu spetsiaalselt selleks otstarbeks loodud, käidukeskkonnast eraldatud testkeskkonnas.

b. Testimise käigus kontrollitakse toote funktsionaalsust, ühilduvust ja soovimatute kõrvaltoimete puudumist. Testimiseesmärgid valitakse sõltuvalt riistvara iseloomust.

c. Riistvara testimistulemused ja kasutuselevõtuks kinnitamise tulemused dokumenteeritakse.

d. Kui testimise ja kinnitusprotseduuri läbimisest hoolimata avastatakse kasutamisel riistvara vigu, algatatakse veaparandusprotsess.

OPS.1.1.3.M10 Tarkvaratoodete tervikluse ja autentsuse tagamine

a. Tarkvara ja selle uuendeid hangitakse ainult teadaolevalt usaldusväärsetest allikatest.

b. Enne paketi installimist kontrollitakse selle autentsust näiteks kontrollkoodi (ingl checksum) või signatuuri põhjal.

c. Organisatsioonis on olemas tervikluse ja autentsuse kontrolliks vajalikud kontrollivahendid.

OPS.1.1.3.M11 Infotöötluse pidev dokumenteerimine

a. Organisatsioonis on kehtestatud kord IT-süsteemides tehtud muudatuste dokumenteerimiseks.

b. Olemas on ajakohane dokumentatsioon IT-rakenduste ja IT-komponentide konfiguratsiooni, lisatud komponentide, kasutajate, andmevarunduse, avastatud ja kõrvaldatud rikete ja vigade ning teostatud hooldetoimingute kohta.

3.4 Kõrgmeetmed

OPS.1.1.3.M12 Muudatusehalduse tööriistade kasutamine (A)

a. Muudatusehalduse tööriista valimisel on arvestatud muudatuste paigaldamise jõudlusega ja võimekusega vea ilmnemisel taastada muudatuseelne olukord paralleelselt paljudes tööjaamades või serverites.

103

b. Paiga- või muudatusehalduse tööriist võimaldab paigaldamise vajadusel teadlikult katkestada. Uuendite paigaldamise katkestamist on eelnevalt testitud.

OPS.1.1.3.M13 Muudatuste tulemuslikkuse hindamine [vastutav spetsialist] (I-A)

a. Muudatuse tulemuslikkuse hindamiseks viiakse läbi muudatusejärgset olukorda muudatusele eelneva olukorraga võrdlev järeltestimine.

b. Järeltestimist teevad kasutajad, kes tunnevad organisatsiooni äriprotsesse, kehtivaid kvaliteedi- ja turvanõudeid ja oskavad tuvastada ning hinnata võimalikke vigu.

c. Järeltestimise tulemused dokumenteeritakse.

OPS.1.1.3.M14 Muudatuste sünkroniseerimine (C-I-A)

a. Paigad ja muudatused paigaldatakse kõigisse IT-süsteemidesse võimalikult kiiresti ja korraga.

b. On olemas protseduur ja vahendid, mis võimaldavad kontrollida muudatuste jõudmist kõigisse sihtkohtadesse.

c. Vältimatult hilinevad muudatused (nt mobiilsetes IT-süsteemides) tehakse esimesel võimalusel.

OPS.1.1.4 Kaitse kahjurprogrammide eest

1 Kirjeldus

1.1 Eesmärk Esitada meetmed kahjurprogrammide vastase kaitse korraldamiseks.

1.2 Vastutus „Kaitse kahjurprogrammide eest“ meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Kasutaja.

1.3 Piirangud Spetsiifilised nõuded organisatsiooni konkreetsete IT-süsteemide kaitsmiseks kahjurprogrammide eest on esitatud asjakohastes SYS moodulites (nt SYS.2.2.3 Windows 10 klient).

Tuvastatud kahjurprogramme eemaldamist ja IT-süsteemide taastamist käsitletakse moodulites DER.2.1 Turvaintsidentide käsitlus ja DER.2.3 Ulatuslike turvaintsidentide lahendamine.

Kasutajate koolitust käsitletakse moodulis ORP.3 Infoturbe teadlikkuse tõstmine ja koolitus.

2 Ohud

2.1 Tarkvara nõrkused ja kahjurkoodi allalaadimine Kui IT-süsteemid ei ole kahjurprogrammide vastu vajalikul määral kaitstud (nt paikade õigeaegse paigaldamise ja rakenduste turvalise konfigureerimisega), võib ründaja kasutada

104

tarkvara nõrkusi kahjurkoodi paigaldamiseks. Ainuüksi kahjurveebisaidi külastamisest piisab brauseri või mõne installitud pistikprogrammi (nt Java või Adobe Flash) nõrkuse ärakasutamiseks ja IT-süsteemi nakatamiseks. Eriti ohustatud on IT-süsteemid, mida regulaarselt ei uuendata (nt paljud nutitelefonid).

2.2 Väljapressimine lunavaraga Levinud kahjurvara (ingl malware) tüüp on lunavara (ingl ransomware), mis krüpteerib nakatatud IT-süsteemis asuvad andmed. Selleks kasutavad ründajad krüpteerimismeetodeid, kus dekrüpteerimine on võimalik ainult ründajale teadaoleva võtme abil. Võti avaldatakse alles pärast suure rahasumma ründajatele ülekandmist. Kui kahjurvara eest puudub tõhus kaitse ja kasutusele ei ole võetud täiendavaid meetmeid (nt andmevarundus), võib lunavararünne põhjustada suurt finants- ja mainekahju.

2.3 Siht- ja suhtlusründed Sageli kasutatakse organisatsioonide ründamiseks kohandatud kahjurprogramme, mida viirusetõrjeprogrammid ei suuda veel tuvastada. Ründe käigus meelitatakse näiteks juhtivtöötajaid suhtlusründe (ingl social engineering) abil avama kahjulikke e-kirja manuseid. Kui ründajal on õnnestunud sellisel viisil üks arvuti nakatada, saab ta selle kaudu organisatsioonis oma tegevust laiendada.

2.4 Bottnetid Kahjurprogrammide kaudu võivad organisatsiooni IT-süsteemides levida ka robotvõrgud ehk bottnetid (ingl botnet). Ründaja, kes kontrollib robotvõrgus tuhandeid arvuteid, võib robotvõrku kasutada erinevate eesmärkide täitmiseks, näiteks spämmi saatmiseks või teenusetõkestusründe käivitamiseks. Isegi, kui otsene negatiivne mõju organisatsiooni teenuste ja IT-süsteemide käideldavusele ja terviklusele puudub, on tegemist seaduserikkumisega, millega kaasneb mainekahju.

2.5 Tootmissüsteemide ja esemevõrgu seadmete nakatamine Peale tavapäraste IT-süsteemide rünnatakse kahjurprogrammidega üha enam ka seadmeid, mis esmapilgul ei tundu tavapärase sihtmärgina. Näiteks võib ründaja spioneerimiseks nakatada Interneti kaudu juurdepääsetava valvekaamera või bottneti osana kasutada võrguga ühendatud nutivalgusteid, kui need ei ole kahjurvara eest piisavalt kaitstud. Tööstuslikke juhtimissüsteeme kahjurprogrammiga manipuleerides võib ründaja rikkuda vara või tekitada pikaajalisi töökatkestusi.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.1.4.M1 Kahjurprogrammide tõrje kontseptsioon

OPS.1.1.4.M7 Kasutajate teadlikkuse suurendamine

Soetamine

OPS.1.1.4.M3 Kahjurvaratõrje tarkvara valimine lõppseadmetele

Evitus

OPS.1.1.4.M2 Süsteemikohaste turvamehhanismide kasutamine

105

OPS.1.1.4.M5 Kahjurvaratõrje tarkvara rakendamine

Käitus

OPS.1.1.4.M6 Viirusetõrjeprogrammide ja viiruse käekirja andmestike ajakohastamine

OPS.1.1.4.M9 Kahjurprogrammiga nakatumisest teatamine

Lisanduvad kõrgmeetmed

OPS.1.1.4.M10 Spetsiaalse analüüsikeskkonna kasutamine

OPS.1.1.4.M11 Mitme skaneerimismootori rakendamine

OPS.1.1.4.M12 Andmekandjalüüside rakendamine

OPS.1.1.4.M13 Ebausaldusväärsete failide käitlus

OPS.1.1.4.M14 Infoturbe toodete valimine ja kasutuselevõtt sihtrünnete tõrjeks

3.2 Põhimeetmed

OPS.1.1.4.M1Kahjurprogrammide tõrje kontseptsioon

a. On koostatud kontseptsioon, mis määrab, milliseid IT-süsteeme kahjurprogrammide eest kaitstakse ja kuidas.

b. IT-süsteemide kasutamist välditakse seni, kuni neid on võimalik kahjurvara eest usaldatavalt kaitsta.

c. Kahjurprogrammide tõrje kontseptsiooni vaadatakse üle regulaarselt, vajadusel kontseptsioon uuendatakse.

OPS.1.1.4.M2Süsteemikohaste turvamehhanismide kasutamine

a. On teada, millised turvamehhanismid on kasutatavatesse IT-süsteemidesse lisatud.

b. Kõik IT-süsteemi turvamehhanismid on kasutusele võetud, välja arvatud juhul, kui on olemas vähemalt samaväärne asendusmehhanism või kui turvamehhanismi mitterakendamiseks on mõjuvad põhjused.

c. Turvamehhanismide teadliku mitterakendamise juhud dokumenteeritakse koos asjakohase põhjendusega.

OPS.1.1.4.M3Kahjurvaratõrje tarkvara valimine lõppseadmetele

a. Kahjurvaratõrje tarkvara valimisel on lähtutud kasutatavatest platvormidest, muudest olemasolevatest turvamehhanismidest, kahjurvaratõrje tarkvara eeldatavast jõudlusest ja avastusvõimest.

b. Lõppseadmetes kasutatakse ärikasutuseks kohandatud, kehtiva hooldus- ja tugiteenusega tooteid.

c. Kahjurvaratõrje tarkvara valimisel arvestatakse andmekaitse- ja konfidentsiaalsusnõudeid.

OPS.1.1.4.M5Kahjurvaratõrje tarkvara rakendamine

a. Kahjurvaratõrje tarkvara on enne kasutuselevõtuks kinnitamist testitud.

b. Kahjurvaratõrje tarkvara on konfigureeritud vastavalt kasutuskeskkonnale.

c. Kui mõni toote turvafunktsioon on välja lülitatud, peab olema selleks dokumenteeritud põhjendus.

106

d. Kasutaja õigused teha kahjurvaratõrje tarkvara turvaseadetes muudatusi on piiratud.

OPS.1.1.4.M6 Viirusetõrjeprogrammide ja viiruse käekirja andmestike ajakohastamine

a. Viirusetõrjeprogrammi ja viiruse käekirja (ingl virus signature) andmestikke uuendatakse regulaarselt, vastavalt tarkvara valmistaja soovitustele.

b. Viirusetõrjeprogrammi uuenduste korral tutvutakse muudatuste dokumentatsiooniga ning vajadusel muudetakse tarkvara konfiguratsiooni.

OPS.1.1.4.M7Kasutajate teadlikkuse suurendamine [kasutaja]

a. Kasutajatele selgitatakse regulaarselt kahjurvaraga seotud võimalikke ohte.

b. Kasutajatele on edastatud juhised kahjurvaraga seotud ohtude vältimiseks.

c. Kasutajad teavad, et ebausaldusväärsetest allikatest pärinevaid faile ei tohi avada.

d. Kasutajad on kohustatud kahjurprogrammiga nakatumisest või nakatumiskahtlusest teavitama organisatsiooni määratud kontaktisikut.

3.3 Standardmeetmed

OPS.1.1.4.M9Kahjurprogrammiga nakatumisest teatamine

a. Kahjurprogrammi avastamisel edastab kahjurvaratõrje rakendus sündmusest teate kesksesse käsitluskohta ja blokeerib nakatatud programmi.

b. Vastutav töötaja otsustab, kas kahjurprogrammi teade võib tähendada turvaintsidenti ja millised on edasised tegevused.

c. On loodud protseduur kahjurvaratõrje rakenduse sündmuseteadete ja hoiatuste käsitluseks.

d. On dokumenteeritud ja testitud tegevuskava kahjurprogrammide eemaldamiseks ja nakatuseelse olukorra taastamiseks.

3.4 Kõrgmeetmed

OPS.1.1.4.M10 Spetsiaalse analüüsikeskkonna kasutamine (C-I-A)

a. Nakatuskahtlusega failide automatiseeritud analüüsiks kasutatakse tunnustatud veebipõhiseid viiruskontrolli tööriistu.

b. Eesti riigiasutuste andmesidevõrgu kasutajad ja erasektori koostööpartnerid kasutavad e- kirjaga saabunud kahtlaste manuste ja teiste ebakindla päritoluga failide kontrollimiseks veebipõhist tööriista aadressil irma.cert.ee.

OPS.1.1.4.M11 Mitme skaneerimismootori rakendamine (C-I-A)

a. Suurema kaitsetarbega süsteemides on avastusvõime tõstmiseks rakendatud erinevaid skaneerimismootoreid kasutavad kahjurvaratõrje vahendid.

OPS.1.1.4.M12 Andmekandjalüüside rakendamine (C-I-A)

a. Enne väliselt osapoolelt saadud andmekandja ühendamist organisatsiooni IT-süsteemiga kontrollitakse andmekandjat selleks otstarbeks konfigureeritud arvutil.

OPS.1.1.4.M13 Ebausaldusväärsete failide käitlus (C-I-A)

a. Ebausaldusväärseid faile avatakse ainult selleks otstarbeks konfigureeritud, teistest IT- süsteemidest isoleeritud arvutis.

107

b. Kahtlaste failide sisu viiakse edasiseks töötluseks turvalisse vormingusse või prinditakse välja.

OPS.1.1.4.M14 Infoturbe toodete valimine ja kasutuselevõtt sihtrünnete tõrjeks (C-I-A)

a. Suurema kaitsetarbe korral valitakse kasutamiseks tavapärastest toodetest turvalisemad, täiendava kaitsefunktsionaalsusega tooted.

b. Enne kasutamiseks kinnitamist testitakse valitud toote turvatoimet ja ühilduvust ettevalmistatud testkeskkonnas.

OPS.1.1.5 Logimine

1 Kirjeldus

1.1 Eesmärk Esitada meetmed logiandmete turvaliseks kogumiseks, talletamiseks, analüüsimiseks ja nõuetekohaseks kõrvaldamiseks.

1.2 Vastutus Logimise meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Vastutav spetsialist.

1.3 Piirangud Spetsiifiliste IT-süsteemide ja rakenduste logimist ja nende kaitset käsitletakse täiendavalt teemakohastes moodulites (nt operatsioonisüsteemi sündmuste logimist käsitletakse moodulites SYS.1.1 Server üldiselt ja SYS.2.1 Klientarvuti üldiselt). Logiandmete arhiveerimist käsitletakse moodulis OPS.1.2.2 Arhiveerimine. Isikuandmete käitlemise meetmed on esitatud moodulis CON.2 Isikuandmete kaitse. IT-süsteemide logide kasutamist turvaintsidentide avastamiseks ja käsitlemiseks kirjeldatakse moodulites DER.1 Turvaintsidentide avastamine ja DER.2 Turvaintsidentide haldus.

2 Ohud

2.1 Puuduv või piisamatu logimine Kui IT-süsteemide konfigureerimisel on logimine jäetud aktiveerimata või logimine pole võimalik, jäävad turvasündmused registreerimata ja ründed tuvastamata. Rünnet ei tuvastata ka juhul, kui logimist rakendatakse, kuid logiandmeid ei analüüsita. Samuti jääb rünne tuvastamata, kui logiandmed ei sisalda vajalikku ja asjakohast teavet.

2.2 Asjassepuutuvate logiandmete puudulik valimine Suure hulga logiteadete reaalajas analüüsimine nõuab palju arvuti- ja inimressursse. Kui kogutud andmetest ainult väike osa informatiivne, muutub logiandmete analüüsimine info ülekülluse tõttu ajamahukaks. Kui IT-süsteemi või logitaristu töömälu või kõvaketta maht on ebapiisav, võib juhtuda, et olulist teavet sisaldavad logiandmed kirjutatakse üle või kustutatakse enneaegselt.

108

2.3 Sünkroniseerimata aeg logimisel Kui organisatsiooni kõikide IT-süsteemide kellaaegasid ei sünkroniseerita, siis erinevate IT- süsteemide logiandmed omavahel ei korreleeru ning võivad põhjustada ekslikke sündmusteateid. Selliselt kogutud logiandmeid on keeruline analüüsida ning neid logisid ei pruugi olla võimalik kasutada IT-kriminalistikas asitõenditena.

2.4 Logimise halb plaanimine Kui logimist ei ole üksikasjalikult plaanitud, võivad IT-süsteemid jääda järelevalveta ning nende IT-süsteemidega seotud turvasündmused jäävad tuvastamata. Kui isikuandmete kasutamist ei logita, võivad andmekaitserikkumised jääda avastamata.

2.5 Logiandmete konfidentsiaalsuse ja tervikluse kadu Teatud IT-süsteemid tekitavad füüsiliste isikutega seostatavaid logiandmeid. Kui logiandmeid, mis sisaldavad kasutajanimesid, IP-aadresse, e-posti aadresse ja arvutinimesid, ei edastata krüpteeritult ega talletata turvaliselt, saab neid andmeid kopeerida ja pealt kuulata. Ründaja saab juurdepääsu konfidentsiaalsele teabele või kasutada kogutud isikuandmeid organisatsiooni struktuuri tundmaõppimiseks ja rünnete sihipärasemaks suunamiseks.

2.6 Valesti konfigureeritud logimine Kui IT-süsteemi logimisreeglid on valesti konfigureeritud, võib oluline teave jääda logimata. Kui logitakse liigseid andmeid (nt isikuandmeid juhul, kui selleks vajadus puudub), võib organisatsioon rikkuda õigusaktide nõudeid. Kui logiandmeid ei saa teiste andmetega seostada, on logide analüüs raskendatud ning turvaintsidendid võivad jääda avastamata.

2.7 Andmeallikate tõrge Kui IT-süsteemid vajalikke logiandmeid ei edasta, pole võimalik logiandmete põhjal turvaintsidente avastada. Andmeallikate tõrgete põhjuseks võivad olla riist- ja tarkvara vead, aga ka puudulikult hallatud IT-süsteemid. Kui andmeallikate tõrked jäävad märkamata, jääb organisatsiooni turvalisusest petlik mulje. Infiltreerunud ründaja võib jääda pikaks ajaks märkamatuks.

2.8 Liiga väike logitaristu Komplekssete infosüsteemide puhul suurenevad vastavalt ka logimisele esitatavad nõuded. Kui logitaristu ei võimalda talletada ja analüüsida tuleb väga palju logiandmeid. Kui logitaristu seda ei võimalda, ei saa turvasündmusi analüüsida või tehakse seda ebapiisavalt.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.1.5.M1 Logimise eeskiri

OPS.1.1.5.M3 Sündmuste logimise konfigureerimine

OPS.1.1.5.M6 Keskse logitaristu rajamine

Käitus

OPS.1.1.5.M4 Kellade sünkroniseerimine

OPS.1.1.5.M5 Õiguslike raamtingimuste täitmine

109

OPS.1.1.5.M8 Logiandmete arhiveerimine

OPS.1.1.5.M9 Logiandmete valmendus analüüsimiseks

OPS.1.1.5.M10 Logiandmete kaitse lubamatu juurdepääsu eest

Lisanduvad kõrgmeetmed

OPS.1.1.5.M11 Logimisjõudluse suurendamine

OPS.1.1.5.M12 Logiandmete krüpteerimine

OPS.1.1.5.M13 Kõrgkäideldav logimissüsteem

OPS.1.1.5.ME1 Logide räsiaheldamine

3.2 Põhimeetmed

OPS.1.1.5.M1Logimise eeskiri [vastutav spetsialist]

a. Organisatsioonis on kehtestatud infoturvapoliitikaga vastavuses olev logimise eeskiri, mis sätestab, kuidas logimist turvaliselt plaanida, korraldada ja rakendada.

b. Logimise eeskiri määrab kaitsetarbest lähtuvalt, millises ulatuses ja milliseid IT-süsteeme ja rakendusi logitakse.

c. Kõrvalekalded logimise eeskirjast kooskõlastatakse infoturbejuhiga ja dokumenteeritakse.

d. Eeskirja täitmist kontrollitakse regulaarselt, tulemused dokumenteeritakse.

OPS.1.1.5.M3Sündmuste logimise konfigureerimine

a. Kõik IT-süsteemide ja rakenduste turvasündmused logitakse.

b. Logimise eeskirjaga hõlmatud IT-süsteemide ja rakenduste sisemised logimisfunktsioonid on kasutusele võetud.

c. Logimise toimimist ja korrektsust kontrollitakse regulaarselt, logimise eeskirjas määratud sagedusega.

d. Kui turvasündmusi ei saa IT-süsteemi või rakenduse siseselt logida, on kasutusele võetud kompenseerivad meetmed (nt võrgutaseme sündmuste logimine) vastavalt IT-süsteemi või rakenduse valmistaja soovitustele.

OPS.1.1.5.M4 Kellade sünkroonimine

a. Logitavate IT-süsteemide ja rakenduste süsteemiajad on alati sünkroniseeritud.

b. Logides on kasutusel ühtne ajavorming, vt NET.1.2 Võrguhaldus.

OPS.1.1.5.M5Õiguslike raamtingimuste täitmine [infoturbejuht]

a. Logimisel järgitakse andmekaitse ja muude asjakohaste õigusaktide nõudeid (vt CON.2 Andmekaitse).

b. Logiandmeid kustutatakse ettenähtud protseduuri kohaselt.

c. Logiandmete lubamatu kustutamine või muutmine on tõkestatud tehniliste meetmetega.

3.3 Standardmeetmed

OPS.1.1.5.M6 Keskse logitaristu rajamine

a. Kõik ärikriitiliste IT-süsteemide turbe jaoks olulised logiandmed talletatakse keskses logiserveris või logiserverite taristus.

110

b. Logide salvestamiseks antakse juurdepääs logiserverite võrgusegmendile ainult määratud logiserveri klientidele (vt NET.1.1Võrgu arhitektuur ja lahendus).

c. Lisaks turvasündmustele (vt OPS.1.1.5.M3 Logimise konfigureerimine) logitakse keskses logitaristus ka võimalikele vigadele viitavaid sündmusi (nt süsteemi liigne koormamine või tavapäratute operatsioonide käitamine).

d. Logimise laiendamise puhul on logitaristusse võimalik lisada täiendavaid ressursse.

e. Logitaristu rajamisel organisatsioonist väljapoole kasutatakse usaldusväärse ja spetsialiseerunud teenuseandja teenuseid.

OPS.1.1.5.M8 Logiandmete arhiveerimine

a. Logiandmed arhiveeritakse kooskõlas logimise eeskirjaga (vt OPS.1.1.5.M1 Logimise eeskiri). Arhiveerimisel arvestatakse asjakohaste õigusaktide nõuetega (vt OPS.1.2.2 Arhiveerimine).

OPS.1.1.5.M9 Logiandmete valmendus analüüsimiseks

a. Kasutatav logimisrakendus võimaldab töödeldud logiandmeid analüüsida.

b. Logiandmete töötlus ja analüüsimine toimub kooskõlas logimise eeskirjaga (vt OPS.1.1.5.M1 Logimise eeskiri).

c. Logiandmete analüüsil arvestatakse organisatsiooni infoturvapoliitikat ja andmetöötluse õiguslikke aluseid.

d. Logiandmed säilitatakse algsel kujul.

OPS.1.1.5.M10 Logiandmete kaitse lubamatu juurdepääsu eest

a. Kõik logiandmed talletatakse ja neid kaitstakse volitamata juurdepääsu eest, pääsuõigused logiandmetele dokumenteeritakse.

b. IT-süsteemide ja rakenduste haldurid ei saa logiandmeid muuta ega kustutada.

3.4 Kõrgmeetmed

OPS.1.1.5.M11 Logimisjõudluse suurendamine (C-I-A)

a. Logimisjõudlus on piisav tsentraalsesse asukohta kogutud logiandmestiku võimalikult reaalajas toimuva analüüsi läbiviimiseks. Selleks salvestatakse logiandmeid võimalikult lühikeste ajavahemike tagant.

b. Suure kaitsetarbe puhul laiendatakse logitavate sündmuste tüüpe ja hulka.

c. Suure kaitsetarbe puhul ei kasutata IT-süsteeme ja rakendusi, mida ei saa logida tsentraalsesse asukohta.

OPS.1.1.5.M12 Logiandmete krüpteerimine (C-I)

a. Logiandmed edastatakse ainult krüpteeritult.

b. Salvestatavad logiandmed signeeritakse digitaalselt.

c. Arhiveeritud ja väljaspool logitaristut hoitavad logiandmed on alati krüpteeritud (vt CON.1 Krüptokontseptsioon).

OPS.1.1.5.M13 Kõrgkäideldav logimissüsteem [infoturbejuht] (A)

a. Logitaristu rajamisel on arvestatud kõrgkäideldavuse nõuetega.

111

OPS.1.1.5.ME1 Logide räsiaheldamine (I)

a. Logide tervikluse tagamiseks kasutatakse plokiahela tehnoloogiat (ingl blockchain technology), mille puhul logikirjete lokaalsed ajatemplid seotakse kronoloogilises järjekorras krüptograafiliselt kaitstud räsiahelasse (ingl hash chain).

b. Logide räsiahel on usaldatavalt seotud ning välistab logiandmete volitamata muutmise.

c. Logide räsiahela terviklust kontrollib volitatud töötaja regulaarselt.

4 Lisateave

Lühend Publikatsioon

[NIST] NIST, Special Publication 800-92 „Guide to Computer Security Log Management“

OPS.1.1.6 Tarkvara testimine ja kasutuselevõtt

1 Kirjeldus

1.1 Eesmärk Esitada tarkvara testimise ja kasutuselevõtu soovituslikud protseduurid ning meetmed kasutusele võetava tarkvara tehnilistele ja korralduslikele turvanõuetele vastavuse tagamiseks.

1.2 Vastutus Tarkvara testimise ja kasutuselevõtu meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Personaliosakond, andmekaitsespetsialist, vastutav spetsialist, testija.

1.3 Piirangud Mooduli meetmeid rakendatakse koos meetmetega moodulitest CON.8 Tarkvaraarendus ja APP.6 Tarkvara üldiselt. Tarkvara testimist pärast muudatuste elluviimist käsitleb moodul OPS.1.1.3 Paiga- ja muudatusehaldus.

2 Ohud

2.1 Tarkvara testimine tööandmetega Kuigi tarkvara testimine tööandmetega on mugav, võivad tarkvara testimisse kaasatud isikud seejuures näha konfidentsiaalseid töö- või isikuandmeid. Kui testimiseks kasutatakse käidukeskkonna (ingl operational environment) andmeid, mitte andmete koopiaid, võidakse neid andmeid tahtmatult muuta või kustutada. Kui tööandmeid kasutatakse IT-süsteemide integratsiooni testimisel, võib testandmete töötlus mõjutada tahtmatult toiminguid tegelike andmetega teistes süsteemides.

112

2.2 Puuduv või piisamatu testimisprotseduur Kui uut tarkvara ei testita või kui seda tehakse piisamatult, võivad tarkvara- või installimisvead jääda märkamata. Kui muudatusi või uuendeid piisavalt ei testita, võivad tekkida tõsised käideldavus- ja terviklusprobleemid. Näiteks eelnevalt testimata andmebaasisüsteemi uuendi laadimine võib põhjustada andmekao.

2.3 Puuduv või piisamatu kinnitusprotseduur Puuduva või piisamatu kinnitusprotseduuri tulemusena võidakse kasutusele võtta tehniliselt puudulik tarkvara. Tarkvarast võivad puududa vajalikud funktsioonid või on jäänud lähtekoodi sisse mittevajalikke komponente. Samuti ei pruugi kinnitamata tarkvara ühilduda muude kasutusel olevate rakendustega.

2.4 Testide ja testimistulemuste puudulik dokumenteerimine Kui tarkvara testimise dokumentatsioon on puudulik, ei ole hiljem võimalik tuvastada, millist funktsionaalsust testiti ja milliseid tegevusi testimisel tehti. Kui tuvastatud tarkvaravigu või puuduvaid funktsioone dokumenteeriti puudulikult, kanduvad vead üle käidukeskkonna IT- süsteemidesse.

2.5 Kinnituskriteeriumide puudulik dokumenteerimine Kui kinnituskriteeriumid ei ole üheselt kokku lepitud ja dokumenteeritud, võidakse paigaldamiseks kinnitada vigu sisaldav tarkvaraversioon. Vead võivad ilmneda alles käidukeskkonnas ning põhjustada tarkvaraprojekti valmimisega hilinemise ja rahalise kahju.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.1.6.M1 Tarkvara testimise kavandamine

OPS.1.1.6.M7 Personali valimine tarkvara testijaks

OPS.1.1.6.M10 Testimise vastuvõtu kord

Evitus

OPS.1.1.6.M6 Tarkvara testija juhendamine

OPS.1.1.6.M13 Testkeskkonna lahutamine käidukeskkonnast

Käitus

OPS.1.1.6.M2 Tarkvara funktsionaaltestimine

OPS.1.1.6.M3 Testimistulemuste analüüsimine

OPS.1.1.6.M4 Tarkvara kinnitamine

OPS.1.1.6.M5 Mittefunktsionaalsete testide tegemine

OPS.1.1.6.M11 Testandmete anonüümimine või pseudonüümimine

OPS.1.1.6.M12 Regressioontestimine

OPS.1.1.6.M15 Paigaldamise ja seadistamise juhendi järgimine

Lisanduvad kõrgmeetmed

OPS.1.1.6.M14 Läbistustestide sooritamine

113

OPS.1.1.6.M16 Testija taustakontroll

3.2 Põhimeetmed

OPS.1.1.6.M1Tarkvara testimise kavandamine

a. Kaitsetarbest, tehnilistest võimalustest ja testimiskeskkonnast lähtudes määratakse enne tarkvara testimist testimise raamtingimused.

b. Testimisel tuginetakse testimise raamtingimustele ja tarkvara spetsifikatsioonile.

c. Testilood katavad tarkvara kogu funktsionaalsust.

d. Testkeskkond on käidukeskkonnaga võimalikult sarnane.

e. Testimise käigus kontrollitakse tarkvara funktsioneerimist kõigis kavandatud kasutuskeskkondades (nt eri tüüpi seadmetes) ja toetatavates operatsioonisüsteemides.

OPS.1.1.6.M2Tarkvara funktsionaaltestimine [testija]

a. Kõiki tarkvara funktsioone kontrollitakse tarkvara funktsionaaltestimisega (ingl functional testing). Funktsionaaltestimise käigus veendutakse tarkvara nõuetekohases toimimises.

b. Funktsioonide testimine ei avalda mõju tarkvara edasisele toimimisele.

OPS.1.1.6.M3Testimistulemuste analüüsimine [testija]

a. Testimistulemuste analüüsi käigus võrreldakse testimisel saadud tegelikke väärtusi oodatavate tulemustega.

b. Testimistulemuste analüüsi tulemused dokumenteeritakse.

OPS.1.1.6.M4Tarkvara kinnitamine [vastutav spetsialist]

a. Kinnitav struktuuriüksus kontrollib, kas tarkvara testiti nõuetekohaselt ja kas testimise tulemused vastavad eelnevalt kindlaks määratud tingimustele.

b. Pärast edukat tarkvara testimist kinnitatakse tarkvara kasutuselevõtt dokumenteeritud otsusega.

OPS.1.1.6.M5Mittefunktsionaalsete testide tegemine [testija]

a. Mittefunktsionaalsete testidega (ingl non-functional testing) testitakse tarkvara jõudlust, kvaliteedinäitajaid ja turvalisust.

b. Turvakriitiliste funktsioonide olemasolul on turvatestide läbiviimine kohustuslik.

c. Valitud testilood ja testimise tulemused dokumenteeritakse.

OPS.1.1.6.M11 Testandmete anonüümimine või pseudonüümimine [andmekaitsespetsialist, testija]

a. Tundlike andmete põhjal koostatud tarkvara testandmed on testkeskkonnas andmete avalikustamise eest piisavalt kaitstud.

b. Kõik füüsiliste isikutega seotud testandmed on vähemalt pseudonüümitud. Kui testandmetest on võimalik tuletada seost isikuga, otsustatakse nende andmete kasutamine koos andmekaitsespetsialistiga.

c. Võimaluse korral kõik füüsiliste isikutega seotud testandmed anonüümitakse.

114

3.3 Standardmeetmed

OPS.1.1.6.M6Tarkvara testija juhendamine [vastutav spetsialist]

a. IT-talitus annab tarkvara testijale piisava ajavaruga teada eelseisva testimise tüübi ja testimisobjekte puudutava teabe.

b. Testijat teavitatakse tarkvara kasutusviisidest ja võimalikest täiendavatest nõuetest.

OPS.1.1.6.M7 Personali valimine tarkvara testijaks [vastutav spetsialist, personaliosakond]

a. Tarkvara testija valimisel arvestatakse vajalikku erialast kvalifikatsiooni ning teadmisi kasutatavatest programmeerimiskeeltest, arenduskeskkondadest ja testimismeetoditest.

b. Lähtekoodi ülevaatust teevad testijad, kes ei osalenud sama tarkvaramooduli programmeerimisel.

OPS.1.1.6.M10 Testimise vastuvõtu kord

a. On kehtestatud testimise vastuvõtu kord, mis määrab:

 kohustuslikud testid;

 oodatavad tulemused;

 testimise vastuvõtu kriteeriumid.

b. On kehtestatud protseduur testimise vastuvõtust keeldumise korral tegutsemiseks.

OPS.1.1.6.M12 Regressioontestimine [testija]

a. Pärast tarkvara muutmist viiakse tarkvara ühilduvuse kontrollimiseks ja võimalike uute vigade avastamiseks läbi täiemahuline regressioontestimine (ingl regression test).

b. Valitud testimisjuhtumid ja testimistulemused dokumenteeritakse. Testimisjuhtumite väljajätmist põhjendatakse kirjalikult.

OPS.1.1.6.M13 Testkeskkonna lahutamine käidukeskkonnast

a. Tarkvara testitakse ainult selleks ettenähtud test- ja käidueelses (ingl prelive) keskkonnas.

b. Test- ja käidueelne keskkond on käidukeskkonnast (ingl operational environment) lahutatud ja käidukeskkonnast selgelt eristatavad.

c. Testkeskkonna arhitektuur ja tehnilised parameetrid on dokumenteeritud.

OPS.1.1.6.M15 Paigaldamise ja seadistamise juhendi järgimine [testija]

a. Testkeskkonna ettevalmistamisel on järgitud tarkvara paigaldamise ja seadistamise juhendit (vt APP.6 Tarkvara üldiselt).

3.4 Kõrgmeetmed

OPS.1.1.6.M14 Läbistustestide sooritamine [testija] (C-I-A)

a. On koostatud läbistustestimise (ingl penetration testing) juhend, mis määrab testimismeetodid ja tulemuskriteeriumid.

b. Läbiviidud läbistustestimised vastavad läbistustestimise juhendile.

c. Läbistustestimise käigus tuvastatud nõrkused liigitatakse vastavalt riskiastmele ja dokumenteeritakse.

d. Tuvastatud olulised nõrkused kõrvaldatakse enne tarkvara kasutuselevõttu.

115

OPS.1.1.6.M16 Testija taustakontroll [personaliosakond] (C)

a. Suure kaitsetarbega valdkondades viiakse läbi enne testimislepingu sõlmimist testimisettevõtte ja testimises osalevate testijate täiendav taustakontroll.

b. Salastatud teavet sisaldava IT-süsteemi või tarkvara testijad omavad kehtiva seadusandluse kohast riigisaladusele juurdepääsu luba.

OPS.1.1.7 Süsteemihaldus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed süsteemihalduse lahenduse, selle komponentide ja hallatavate IT- süsteemide turvaliseks konfigureerimiseks, seireks ja andmevahetuseks. Süsteemihaldust kasutatakse integreeritud ja hallatavate süsteemide keskseks haldamiseks. Süsteemihalduse lahenduse moodustab keskhalduslahenduse, hallatavate IT-süsteemide ja andmesideliideste ühtne tervik.

1.2 Vastutus Süsteemihalduse meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Lisavastutajad puuduvad.

1.3 Piirangud IT-süsteemide halduse üldised meetmed on kirjeldatud moodulis OPS.1.1.2 IT-süsteemide haldus.

Võrguhalduse meetmeid käsitletakse moodulis NET.1.2 Võrguhaldus. IT-süsteemide turvalist liidestamist süsteemihaldusega käsitletakse mooduligrupi SYS süsteemikohastes moodulites. Meetmed süsteemihalduse lahenduse logimiseks ja varundamiseks on esitatud moodulites OPS.1.1.5 Logimine ja OPS.1.2.2 Arhiveerimine.

Süsteemihalduse lahenduse muudatuste haldust käsitletakse moodulis OPS.1.1.3 Paiga- ja muudatusehaldus. Meetmed IT-süsteemide kaughalduseks on esitatud moodulis OPS.1.2.5 Kaughooldus.

2 Ohud

2.1 Volitamata juurdepääs süsteemihalduse lahendusele Süsteemihalduse lahendus on ründajate jaoks prioriteetne sihtmärk, sest tänu süsteemihalduse lahenduse laialdastele juurdepääsuõigustele saab ründaja kontrollida ja manipuleerida kõiki hallatud IT-süsteeme. Ründajal on võimalik saada juurdepääs tundlikule teabele või häirida äriprotsesse, mida hallatud süsteemid toetavad.

Kui ründaja muudab keskses konfiguratsioonihaldusserveris olevaid konfiguratsioonifaile, rakendatakse vastavad muudatused kõikides hallatud IT-süsteemides. Näiteks saab nii klientarvutitesse installida lunavara, mis krüpteerib kõikide hallatavate tööjaamade sisu.

116

2.2 Vead süsteemihalduse automatiseerimisel Süsteemihalduse protsesside automatiseerimisel tehtud vead (nt skriptides) võivad muuta hallatavad süsteemid töövõimetuks või oluliselt kahjustada IT-süsteemide turvalisust. Tänu automatiseerimisele võib tehtud viga mõjutada väga lühikese aja jooksul suurt hulka IT- süsteeme, sh kriitilisi IT-süsteeme, mille kõrge käideldavus on äriliselt väga oluline.

2.3 Süsteemihalduse komponentide andmeside häirimine Suunatud rünne või juhuslik häiring süsteemihalduse komponentide vahelises andmesides võib rikkuda hallatavate IT-süsteemide terviklust ja piirata IT-teenuste kättesaadavust.

Süsteemihalduse side pealtkuulamisel ja manipuleerimisel saab ründaja mõjutada hallatavate IT-süsteemide toimimist ja vaadata IT-süsteemide vahel edastatavaid andmeid.

2.4 Puudulik kellade sünkroniseerimine Kui süsteemihalduse komponentide süsteemiajad ei ole sünkroniseeritud, on turvaintsidentide haldus raskendatud. Kasutatavad logiandmed ei pruugi olla omavahel korrelatsioonis, mistõttu jääb potentsiaalne turvaintsident avastamata.

Kui andmevahetusprotokoll kasutab side kehtivuse hindamiseks ajatempleid, võib kehtivuskinnituse andmine olla osapoolte erinevate süsteemiaegade tõttu häiritud.

2.5 Süsteemihalduse lahendusega mitteühilduvad IT-süsteemid Süsteemihalduse lahendusega mitteühilduvaid süsteeme ei saa kavandatud ulatuses keskselt hallata. Võib tekkida olukord, mil IT-süsteemid pole kättesaadavad või neis esinevaid tõrkeid ei raporteerita kesksesse haldussüsteemi. IT-süsteemid võivad jääda ilma keskselt rakendatavatest süsteemiuuenditest või haldusliideste konfiguratsioonimuudatustest.

2.6 Juurdepääsu puudumine süsteemihalduse lahendusele Kui volitatud kasutajal (halduril) pole võimalik vajalikul hetkel süsteemihalduse lahendusele juurde pääseda, võib see kaasa tuua hallatavate IT-süsteemide mittetoimimise.

Toimunud IT- intsident võib eskaleeruda ja selle mõju suureneda, kui intsidenti ei saa süsteemihalduse vahenditega ohjata. Haldur ei saa juurdepääsu katkemisel teha IT-süsteemide tõrkeotsingut ja läbi viia kavandatud haldustoiminguid, nt paigaldada süsteemidele turvauuendeid.

2.7 Ühenduse katkemine süsteemihalduse lahenduse ja hallatavate süsteemide vahel Ühenduse katkemine hallatavate süsteemidega võib kahjustada IT-teenuste kättesaadavust ja/või IT-süsteemide terviklust. Kahju suurus sõltub sidekatkestuse ulatusest ja katkestuse ajalisest kestvusest. Ühenduse puudumisest tingitud tõrkeid on keeruline analüüsida ja ilmnevaid vigu on raske parandada.

2.8 Süsteemihalduse ja võrguhalduse ebapiisav koordineerimine Kui võrguhalduses kavandatavaid muudatusi süsteemihalduse eest vastutajatega eelnevalt ei kooskõlastata, võib võrgus tehtud muudatus tulla ootamatuna ning süsteemihaldust negatiivselt mõjutada. Vastuolud võrgu ja IT-süsteemide konfiguratsioonis võivad muuta hallatavad IT-süsteemid süsteemihalduse lahendusele kättesaamatuks, kaasnevad tõrked võivad tekitada hulga veateateid ja prognoosimatute tagajärgedega sündmusi.

117

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.1.7.M1 Süsteemihalduse nõuete määratlemine

OPS.1.1.7.M2 Süsteemihalduse lahenduse kavandamine

OPS.1.1.7.M7 Süsteemihalduse turvaeeskiri

OPS.1.1.7.M8 Süsteemihalduse kontseptsioon

Evitus

OPS.1.1.7.M9 Süsteemihalduse rakendusplaan

OPS.1.1.7.M10 Süsteemihalduse turvalise käituse juhised

OPS.1.1.7.M13 Lubatud haldusliideste määramine

Käitus

OPS.1.1.7.M3 Kellade sünkroniseerimine

OPS.1.1.7.M4 Süsteemihalduse andmeside kaitse

OPS.1.1.7.M5 Süsteemihalduse lahenduse ja hallatavate IT-süsteemide vastastikune autentimine

OPS.1.1.7.M6 Süsteemihalduse lahenduse juurdepääsu turve

OPS.1.1.7.M11 Süsteemihalduse regulaarne lahknevusanalüüs

OPS.1.1.7.M12 Keskne süsteemihalduse toimingute käivitamine

OPS.1.1.7.M14 Keskne hallatavate IT-süsteemide konfiguratsioonihaldus

OPS.1.1.7.M15 Süsteemihalduse lahenduse seire, logimine ja teavitused

OPS.1.1.7.M17 Süsteemihalduse andmevahetuse piiramine

OPS.1.1.7.M18 Süsteemihalduse lahenduse seisundi kontroll

OPS.1.1.7.M19 Süsteemihalduse lahenduse andmeside turve

Avariivalmendus

OPS.1.1.7.M16 Süsteemihalduse integreerimine avariivalmendusega

Lisanduvad kõrgmeetmed

OPS.1.1.7.M20 Kõrgkäideldav süsteemihalduse lahendus

OPS.1.1.7.M21 Süsteemihalduse võrgu füüsiline eraldamine

OPS.1.1.7.M22 Süsteemihalduse integreerimine turvateabe halduse süsteemiga

OPS.1.1.7.M23 Kellade sünkroniseerimine erinevate asukohtade vahel

OPS.1.1.7.M24 Hallatavate süsteemide turvakonfiguratsiooni kontrollimine

OPS.1.1.7.M25 Süsteemihalduse lahenduse kasutajasessioonide logimine

OPS.1.1.7.M26 Süsteemihalduse lahendusele juurdepääsu piiramine

118

3.2 Põhimeetmed

OPS.1.1.7.M1Süsteemihalduse nõuete määratlemine

a. Organisatsioon on määratlenud süsteemihalduse (ingl systems management) nõuded, sh turvanõuded, arvestades kõiki süsteemihalduse protsesse.

b. On kehtestatud süsteemihalduse taristu tehnilised nõuded.

c. On määratletud hallatavad IT-süsteemid ja dokumenteeritud hallatavate IT-süsteemide liidestused süsteemihalduse keskse komponendiga.

OPS.1.1.7.M2Süsteemihalduse lahenduse kavandamine

a. Süsteemihalduse lahenduse kavandamise tulemina on dokumenteeritud:

 süsteemihalduse nõuete detailanalüüs;

 süsteemihalduse lahenduse üldkontseptsioon;

 terviklik projektiplaan süsteemihalduse lahenduse juurutamiseks;

 projekti etappide lõpetamise eeldused ja läbiviidavad kvaliteedikontrollid.

b. Süsteemihalduse lahenduse turbe kavandamisel on arvestatud vähemalt järgmisi aspekte:

 süsteemihalduse lahendusega kaetud võrgusegmendid;

 süsteemihalduse lahenduse turvaline juurdepääs;

 autentimine ja volitamine hallatavates IT-süsteemides;

 võrguühendused ja võrguprotokollid süsteemihalduse lahenduse komponentide vaheliseks andmesideks;

 süsteemihalduse sündmuste logimine ja logide integreerimine keskse logihalduslahendusega;

 süsteemihalduse lahenduse tootja või arendaja tugiteenuste olemasolu kavandatud kasutusaja vältel;

 süsteemihalduse lahenduse uuendite paigaldamine, sh hallatavatesse IT- süsteemidesse;

 süsteemihalduse lahenduse aruandlus ja liidestamine teiste IT-süsteemidega;

 hallatavatele IT-süsteemidele esitatavad turvanõuded.

OPS.1.1.7.M3 Kellade sünkroniseerimine

a. Süsteemihalduse lahenduse kesksete komponentide ning hallatavate IT-süsteemide kellaaeg on sünkroniseeritud.

b. Kellade sünkroniseerimiseks kasutatakse sobivat võrguaja protokolli.

OPS.1.1.7.M4Süsteemihalduse andmeside kaitse

a. Süsteemihalduse lahenduse ja hallatavate süsteemide vahelise andmeside loomisel kasutatakse turvalisi võrguprotokolle (nt SSH, TLS).

b. Kui turvalisi võrguprotokolle ei saa kasutada, toimub süsteemihalduse lahenduse andmeside tavavõrgust eraldatud spetsiaalses haldusvõrgus (vt NET.1.1 Võrgu arhitektuur ja lahendus). Haldusvõrgu puudumisel rakendatakse virtuaalset privaatvõrku (ingl virtual private network, VPN) või sellega võrreldava turvatasemega andmesidelahendust.

119

OPS.1.1.7.M5Süsteemihalduse lahenduse ja hallatavate IT-süsteemide vastastikune autentimine

a. Süsteemihalduse lahenduse ja hallatavate IT-süsteemide vaheline autentimine on vastastikune (toimub mõlemas suunas).

b. Süsteemihalduse lahenduse komponentide autentimismehhanismid on kooskõlas organisatsiooni üldise autentimispõhimõtetega.

c. Autentimisel kasutatakse turvalisi protokolle.

OPS.1.1.7.M6Süsteemihalduse lahenduse juurdepääsu turve

a. Kasutajate juurdepääs süsteemihalduse lahendusele on turvatud asjakohaste kasutaja autentimis- ja volitusmehhanismidega.

b. Kasutaja autentimisel krüpteeritakse edastatavad andmed.

c. Kasutajate autentimise autentimismehhanismi valikuprotsess on dokumenteeritud.

d. Kasutusele võetud krüptomehhanismide ja krüptovõtmete tugevust kontrollitakse regulaarselt.

e. Süsteemihalduse lahenduse volitusmehhanism võimaldab kasutajatel teha ainult toiminguid, milleks kasutajad on volitatud.

3.3 Standardmeetmed

OPS.1.1.7.M7Süsteemihalduse turvaeeskiri

a. Süsteemihalduse turvalisuse tagamiseks on koostatud süsteemihalduse turvaeeskiri.

b. Süsteemihalduse turvaeeskiri sisaldab vähemalt järgmist:

 valdkonnad ja IT-süsteemid, millele keskne süsteemihalduse lahendus rakendub;

 süsteemihalduse automatiseeritud protsessid ja tegevused;

 süsteemihalduse lahenduses sisalduva konfiguratsioonihalduse kirjeldus (nt versioonihaldus);

 pääsu reguleerimise spetsifikatsioonid;

 logimise nõuded;

 nõuded automatiseeritud tegevuste (nt skriptide kasutamise) kvaliteedi kontrollimiseks;

 nõuded andmeside turvalisuse tagamiseks;

 võrgu segmenteerimise reeglid (juhul kui segmenteerimist kasutatakse);

 süsteemihalduse lahenduse võrguspetsifikatsioon (IP-aadressid, DNS jne).

c. Süsteemihalduse turvaeeskiri on volitatud töötajatele kättesaadav. Süsteemihaldusega tegelevad töötajad järgivad süsteemihalduse turvaeeskirja.

d. Süsteemihalduse turvaeeskirja täitmist kontrollitakse regulaarselt. Kontrolli tulemused dokumenteeritakse.

OPS.1.1.7.M8Süsteemihalduse kontseptsioon

a. Organisatsioon on koostanud süsteemihalduse turvanõudeid (vt. OPS.1.1.7.M1 Süsteemihalduse nõuete määratlemine ja OPS.1.1.7.M7 Süsteemihalduse turvaeeskiri) arvestava süsteemihalduse kontseptsiooni.

b. Süsteemihalduse kontseptsioon sisaldab vähemalt järgmist:

120

 süsteemihalduse meetodid, tehnikad ja tööriistad;

 süsteemihalduse lahenduse juurdepääsu reguleerimine;

 andmeside turbe meetmed;

 süsteemihalduse lahenduse komponentide paigutus võrgusegmentides;

 süsteemihalduse lahenduse komponentide seire ja automaatsed teavitused;

 süsteemihalduse lahenduse logimine;

 automatiseeritud tegevuste (nt konfiguratsioonihaldus) spetsifikatsioonid;

 automatiseeritud tegevuste väljatöötamine ja testimine;

 tegevused ja teavituskanalid tõrgete ja turvaintsidentide puhul tegutsemiseks;

 süsteemihalduse andmete integreerimine organisatsiooni muude protsessidega;

 süsteemihalduse integreerimine organisatsiooniülese avariivalmenduse kontseptsiooniga;

 süsteemihalduse lahenduse rakendamiseks ja käitamiseks vajalikud ressursid, sh vajalik inimressurss ja nõuded võrgu jõudlusele.

OPS.1.1.7.M9Süsteemihalduse rakendusplaan

a. Süsteemihalduse lahenduse evitamiseks on koostatud detailne rakendusplaan, mis arvestab kõiki süsteemihalduse turvaeeskirjas ja kontseptsioonis sisalduvaid nõudeid.

OPS.1.1.7.M10 Süsteemihalduse turvalise käituse juhised

a. On koostatud juhised süsteemihalduse lahenduse turvaliseks käituseks.

b. Süsteemihalduse turvalisuse käituse juhised arvestavad kõiki süsteemihalduse lahendusele ja baastaristule kehtestatud turvanõudeid.

OPS.1.1.7.M11 Süsteemihalduse regulaarne lahknevusanalüüs

a. Süsteemihalduse lahenduse ja hallatavate IT-süsteemide andmete terviklust kontrollitakse regulaarselt.

b. Süsteemihalduse lahendusega hallatavate IT-süsteemide konfiguratsioonid vastavad keskselt kavandatud konfiguratsioonidele.

c. Süsteemihalduse lahenduse skriptide ja muude automaatsed tegevuste tulemite õigsust kontrollitakse regulaarselt.

OPS.1.1.7.M12 Keskne süsteemihalduse toimingute käivitamine

a. Hallatavates IT-süsteemides saab süsteemihalduse toiminguid käivitada ainult süsteemihalduse lahendus.

b. Süsteemihalduse lahendusega hallatud IT- süsteemides on aktiveeritud ainult vajalikud haldusfunktsioonid.

OPS.1.1.7.M13 Lubatud haldusliideste määramine

a. Haldusjuurdepääs hallatavatele süsteemidele on lubatud ainult määratud süsteemihalduse lahenduse liideste kaudu.

b. Erandjuhtudel (nt avariiolukorras, mil süsteemihalduse lahendus ei toimi) on võimalik hallatavaid IT-süsteeme konfigureerida ka otsejuurdepääsu kaudu.

121

c. Otsejuurdepääsu kasutamise juhud ning süsteemihalduse lahenduse väliselt tehtud konfiguratsioonimuudatused dokumenteeritakse. Tehtud muudatused kajastatakse hiljem süsteemihalduse lahenduses.

OPS.1.1.7.M14 Keskne hallatavate IT-süsteemide konfiguratsioonihaldus

a. Hallatavate IT-süsteemide konfiguratsioone hallatakse süsteemihalduse lahenduse osana käsitletavas konfiguratsioonihalduse süsteemis.

b. Keskse konfiguratsioonihalduse süsteemi andmed on alati täielikud ja ajakohased. Andmete muudatused versioonitakse, tehtud muudatusi on võimalik jälitada. Konfiguratsioonihalduse andmed on lisatud regulaarselt tehtavasse varukoopiasse.

c. Juurdepääs konfiguratsioonihalduse andmetele on lubatud ainult volitatud tarbijatele.

d. Keskse konfiguratsioonihalduse toimimist ja süsteemis sisalduvate andmete õigsust kontrollitakse regulaarselt.

e. Kõik liidesed süsteemihalduse lahenduse ning hallatavate IT-süsteemide vahel on dokumenteeritud keskses konfiguratsioonihalduse süsteemis. Seotud osapooled kooskõlastavad liideste funktsionaalsed muudatused enne muudatuste rakendamist.

f. Hallatavate süsteemide konfiguratsiooniandmeid on võimalik üle võrgu jagada ning aktiveerida automaatselt, ilma viivituseta ja IT-teenuseid katkestamata.

OPS.1.1.7.M15 Süsteemihalduse lahenduse seire, logimine ja teavitused

a. Süsteemihalduse lahenduse ja hallatavate süsteemide jõudluse ja käideldavuse näite seiratakse, arvestades eelnevalt määratud läviväärtusi. Läviväärtuse ületamisest teavitatakse vastutavaid töötajaid automaatselt.

b. Süsteemihalduse veaanalüüsi läbiviimisel arvestatakse lisaks teiste süsteemide seiretulemusi ja häireteateid (nt. süsteemihalduse tõrge võib olla põhjustatud toimunud võrguhäiringust).

c. Olulised sündmused hallatavates süsteemides ja süsteemihalduse lahenduses edastatakse automaatselt kesksesse logihaldussüsteemi (vt OPS.1.1.5 Logimine).

d. Olulise sündmuse määratlemisel on kaalutletud järgmisi aspekte:

 hallatavate IT-süsteemide tõrge (nt käideldavuse kadu);

 süsteemihalduse lahenduse tõrge;

 riistvara või IT-taristu komponendi talitlushäire;

 ebaõnnestunud sisselogimise katse süsteemihalduse lahendusse;

 ebaõnnestunud sisselogimise katse hallatavasse IT-süsteemi;

 hallatavate süsteemi kriitiline seisund (nt ülekoormus);

 süsteemihalduse lahenduse kriitiline seisund.

e. Süsteemihalduse lahenduse automaatsed häireteated edastatakse ilma viivituseta.

OPS.1.1.7.M16 Süsteemihalduse integreerimine avariivalmendusega

a. Süsteemihalduse lahendus on integreeritud organisatsiooni avariivalmenduse kontseptsiooniga.

b. Süsteemihalduse lahenduse ja kõikide hallatavate süsteemide konfiguratsiooniandmed on varundatud, andmete taaste on lisatud taasteplaanidesse.

122

OPS.1.1.7.M17 Süsteemihalduse andmevahetuse piiramine

a. Andmevahetus süsteemihalduse kasutajate, süsteemihalduse lahenduse komponentide ja hallatavate IT-süsteemide vahel on piiratud minimaalselt vajaliku määrani.

b. Andmeside piiramiseks kasutatakse sobivaid andmefiltreerimist võimaldavaid tööriistu.

OPS.1.1.7.M18 Süsteemihalduse lahenduse seisundi kontroll

a. Süsteemihalduse lahenduse seisundi vastavust määratud normaalolukorrale kontrollitakse regulaarselt.

b. Lahknevuse tuvastamisel taastatakse süsteemihalduse lahenduse normaalolukord esimesel võimalusel.

OPS.1.1.7.M19 Süsteemihalduse lahenduse andmeside turve

a. Süsteemihalduse lahenduse ja hallatavate süsteemide vaheline andmeside on krüpteeritud.

b. Kasutusele võetud krüptomehhanismide ja krüptovõtmete tugevust kontrollitakse regulaarselt.

3.4 Kõrgmeetmed

OPS.1.1.7.M20 Kõrgkäideldav süsteemihalduse lahendus (A)

d. Süsteemihalduse lahenduse käideldavuse tõstmiseks kasutatakse dubleeritud süsteemikomponente ja liiasusega (ingl redundancy) kavandatud arvutivõrku.

OPS.1.1.7.M21 Süsteemihalduse võrgu füüsiline eraldamine (C-I)

a. Süsteemihalduse võrk on muudeks tööülesanneteks kasutatavast võrgust füüsiliselt eraldatud.

OPS.1.1.7.M22 Süsteemihalduse integreerimine turvateabe halduse süsteemiga (C-I-A)

a. Süsteemihalduse lahenduse turvasündmuste logimine on liidestatud turvateabe ja - sündmuste halduse (ingl security information and event management, SIEM) süsteemiga.

b. Süsteemihalduse lahenduse valikul arvestatakse SIEM süsteemiga liidestamise võimalusi ning toetatud andmeliideseid ja -formaate.

c. Süsteemihalduse lahendus on võimalike turvanõrkuste tuvastamiseks kaetud automaatse seirega.

OPS.1.1.7.M23 Kellade sünkroniseerimine erinevate asukohtade vahel (C-I-A)

a. Süsteemihalduse lahenduse komponentide ja hallatavate IT-süsteemide kellad on kõigis organisatsiooni asukohtades sünkroniseeritud kokkulepitud etalonaja allikaga.

OPS.1.1.7.M24 Hallatavate süsteemide turvakonfiguratsiooni kontrollimine (C-I-A)

a. Süsteemihalduse lahenduse ja hallatavate süsteemide turvakonfiguratsioone kontrollitakse regulaarselt.

b. Määratud normaalolekust kõrvalekallete ja võimalike turvanõrkuste avastamiseks kasutatakse sobivaid tuvastamissüsteeme.

OPS.1.1.7.M25 Süsteemihalduse lahenduse kasutajasessioonide logimine (C-I)

a. Kogu süsteemihalduse lahenduse andmevahetus (sh kõik süsteemikäsud) logitakse.

123

b. Kõiki süsteemihalduse lahenduse süsteemikäsud läbivad automaatse kontrolli, anomaaliate ja tavapärasest erinevast käitumismustrite tuvastamisel saadetakse automaatteavitus.

OPS.1.1.7.M26 Süsteemihalduse lahendusele juurdepääsu piiramine (C-I)

a. Süsteemihalduse lahenduse haldusjuurdepääs on võimalik ainult selleks otstarbeks loodud hüppeserveri (ingl jump server) kaudu.

OPS 1.2: Abitegevused

OPS.1.2.2 Arhiveerimine

1 Kirjeldus

1.1 Eesmärk Esitada meetmed dokumentide muutmatul kujul pikaajaliseks, turvaliseks ja ennistatavaks säilitamiseks. Moodul sisaldab meetmeid arhiivisüsteemi turvaliseks kavandamiseks, rajamiseks ja käigus hoidmiseks.

1.2 Vastutus Arhiveerimise meetmete täitmise eest vastutab vastutav spetsialist.

Lisavastutajad

Kasutaja, IT-talitus.

1.3 Piirangud Operatiivse andmevarundusega seotud meetmed on esitatud moodulis CON.3 Andmevarunduse kontseptsioon. Andmevarunduslahenduste turvalist kasutamist käsitlevad meetmed on esitatud moodulites APP.4.3 Relatsioonbaasisüsteemid, SYS.1.1 Server üldiselt ja SYS.1.8 Salvestilahendused.

2 Ohud

2.1 Andmekandjate sobimatus pikaajaliseks säilitamiseks Aja möödudes võivad andmekandjad füüsiliselt ja tehnoloogiliselt vananeda ning seetõttu kasutuskõlbmatuteks muutuda. Kui andmete migreerimine pole asjakohaselt korraldatud, võivad tekkida aja jooksul probleemid kasutatavate andmevormingute ühilduvusega.

2.2 Arhiivisüsteemi puudulikud liigituskriteeriumid Ebasobivate liigituskriteeriumide või piisamatu indekseerimise korral võib arhiveeritud dokumentide otsing või tunnuse järgi koondamine osutuda väga keeruliseks. Dokumentide otstarve ei ole aja möödudes enam selgelt määratav. Samuti on oht, et dokumentide liigituskriteeriumid ei ole vastavuses andmete säilitamise eesmärkidega.

124

2.3 Arhiivipääsude puudulik dokumenteerimine Piisava logimise puudumisel võivad lubamatud juurdepääsukatsed arhiivile jääda avastamata. Ründaja võib märkamatult saada juurdepääsu arhiivis talletatavale teabele, andmeid kopeerida või muuta.

2.4 Paberandmete puudulik ülekandmine elektroonilisse arhiivi Dokumentide skannimisel võidakse talletatavate andmete välisilmet ja sisu moonutada. Samuti võivad dokumendid kaotsi minna. Kui dokumentide olulised osad jäävad skannimata, siis võidakse neid ekslikult tõlgendada.

2.5 Krüpteerimisprotseduuride puudulik uuendamine arhiveerimisel Kui arhiivi krüpteerimisprotseduure tõendusväärtuse säilimiseks regulaarselt ei kohandata, kaob krüpteerimiskaitse usaldatavus. Vananenud ning ebaturvalise signatuuri puhul saab kahelda dokumendi tervikluses, krüpteeritud andmeid ei saa enam kohtus asitõendina kasutada. Kui krüptoalgoritm ei vasta tänapäeva nõuetele, võib kannatada ka krüpteeritud dokumendi konfidentsiaalsus. Sertifikaatide muutmisel (nt Eesti ID-kaardi sertifikaadi muudatuse tõttu) võib andmete hilisem dekrüpteerimine osutuda võimatuks.

2.6 Puudulik järelevalve arhiveerimise üle Kui arhiveerimisprotsessi toimimist ei kontrollita või seda tehakse liiga üldiselt, ei pruugi protsess vastata kehtestatud turvanõuetele. Dokumentide tervikluse või konfidentsiaalsuse rikkumine võib organisatsioonile kaasa tuua õiguslikke ja majanduslikke tagajärgi.

2.7 Õiguslike raamtingimuste rikkumine arhiveerimisel Elektrooniliste dokumentide arhiveerimisel õiguslike raamtingimuste arvestamata jätmine võib kaasa tuua tsiviil- või karistusõiguslikke sanktsioone (nt maksu-, eelarve- või muudel õiguslikel põhjustel kehtestatud säilitustähtaegade eiramise korral).

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.2.2.M1 Elektroonilise arhiveerimise mõjurite väljaselgitamine

OPS.1.2.2.M2 Arhiveerimise kontseptsiooni väljatöötamine

Evitus

OPS.1.2.2.M3 Arhiivisüsteemi ja arhiivimeediumite hoiu sobiv korraldus

OPS.1.2.2.M11 Arhiivisüsteemi haldajate koolitus

OPS.1.2.2.M17 Sobiva arhiivisüsteemi valimine

OPS.1.2.2.M18 Sobivad arhiivimeediumid

Käitus

OPS.1.2.2.M4 Andmete ühtne indekseerimine arhiveerimisel

OPS.1.2.2.M5 Arhiveeritavate andmestike asjakohane valmendus

OPS.1.2.2.M6 Arhiivisüsteemi indeksiandmebaasi tervikluse kaitse

OPS.1.2.2.M8 Arhiivipöörduste logimine

125

OPS.1.2.2.M10 Arhiivisüsteemi kasutamise eeskirja väljatöötamine

OPS.1.2.2.M12 Arhiivimeediumi salvestusressursside seire

OPS.1.2.2.M13 Arhiveerimisprotsesside regulaarne läbivaatus

OPS.1.2.2.M19 Arhiveerimise ja taaste regulaarne kontroll

Migreerimine

OPS.1.2.2.M9 Arhiveerimiseks sobiva andmevormingu valimine

OPS.1.2.2.M14 Arhiivisüsteemide turu regulaarne jälgimine

OPS.1.2.2.M15 Krüptomehhanismide ajakohastus arhiveerimisel

OPS.1.2.2.M16 Arhiivisüsteemi tehniliste komponentide uuendamine

Avariivalmendus

OPS.1.2.2.M7 Süsteemi- ja arhiiviandmete regulaarne varundamine

Lisanduvad kõrgmeetmed

OPS.1.2.2.M20 Krüptoprotseduuride dubleerimine

OPS.1.2.2.M21 Dokumentide turvaline üleviimine elektroonilisse arhiivi

3.2 Põhimeetmed

OPS.1.2.2.M1Elektroonilise arhiveerimise mõjurite väljaselgitamine

a. Enne arhiveerimiskontseptsiooni koostamist on välja selgitatud võimalikud tehnilised mõjurid, sealhulgas:

• IT-keskkond;

• turvamehhanismid;

• oodatavad andmemahud ja reaktsiooniajad;

• failivormingud;

• muudatuste mahud ja põlvkondade arv;

• ressursitarve.

b. On välja selgitatud elektroonilise arhiveerimise õiguslikud ja korralduslikud mõjurid, sealhulgas:

• arhiveerimise õiguslikud alused;

• minimaalsed ja maksimaalsed säilitusajad;

• pääsuõigused;

• pöörduste sagedus;

• liidestused;

• ergonoomika.

c. On koostatud ja kinnitatud elektroonilise arhiveerimise konfidentsiaalsus-, terviklus-, käideldavus- ja autentsusnõuded.

126

OPS.1.2.2.M2Arhiveerimiskontseptsiooni väljatöötamine

a. On välja töötatud arhiveerimiskontseptsioon, mis kirjeldab, milliseid eeskirju on vaja järgida, kes on vastutajad, milliseid andmeid ja millisel kujul tuleb arhiveerida ning millised on vajalikud turvameetmed.

b. Arhiveerimiskontseptsiooni dokumenteerimisel on arvestatud moodulis OPS.1.2.2.M1 Elektroonilise arhiveerimise mõjurite väljaselgitamine kirjeldatud mõjureid.

c. Arhiveerimiskontseptsioon on kinnitatud organisatsiooni juhtkonnas.

d. Arhiveerimiskontseptsioon vaadatakse regulaarselt üle. Vajadusel kohandatakse arhiveerimiskontseptsioon muutunud olukorraga.

OPS.1.2.2.M3Arhiivisüsteemi ja arhiivimeediumite hoiu sobiv korraldus [IT-talitus]

a. Arhiivisüsteemid ja nendega seotud IT-komponendid on paigutatud turvatud ruumidesse. Olenevalt salvestus- või arhiivisüsteemi tüübist ja suurusest on rakendatud meetmed moodulitest INF.1 Hoone üldiselt, INF.2 Serveriruum ja andmekeskus ja INF.6 Andmekandjate arhiiv.

b. Arhiivisüsteemidele ligipääs, sh ruumidesse sisenemisõigus on ainult volitatud isikutel.

c. Arhiivimeediumite pikaajaliseks säilitamiseks tagatakse arhiivisüsteemi füüsiline turvalisus ja sobivad keskkonnatingimused.

OPS.1.2.2.M4Andmete ühtne indekseerimine arhiveerimisel [IT-talitus, kasutaja]

a. Kõik arhiivis säilitatavad andmed, dokumendid ja andmekirjed indekseeritakse, et need oleksid hilisemates otsingupäringutes kiiresti leitavad.

b. Kontseptsiooni väljatöötamise käigus määratakse ühtne arhiivi indeksiteabe struktuur.

c. Indeksisüsteemi toimimist kontrollitakse pisteliste otsingutega.

OPS.1.2.2.M5Arhiveeritavate andmestike asjakohane valmendus [IT-talitus]

a. Kogu arhiveerimisperioodi jooksul on tagatud kasutatud andmevormingute ja salvestuskandjate failisüsteemide tugi ja kasutatavus.

b. Arhiveeritud andmed on tehniliste raskusteta loetavad, reprodutseeritavad ja tõendusjõulised.

c. Krüpteerimiseks ja tõendusväärtuse säilitamiseks kasutatavad krüptomehhanismid vastavad hetkel nõutavale tasemele.

d. Salvestatud andmed on vajadusel võimalik teisendada kehtivasse andmevormingusse või migreerida uutele salvestuskandjatele, IT-riistvarasse või IT-tarkvarasse.

OPS.1.2.2.M6Arhiivisüsteemi indeksiandmebaasi tervikluse kaitse [IT-talitus]

a. Indeksiandmebaasi terviklust kontrollitakse regulaarselt. Tervikluse kahjustumine kõrvaldatakse viivitamata, sellekohased andmed dokumenteeritakse.

b. Indeksiandmebaasi varundatakse regulaarselt, varunduse taastatavust kontrollitakse pärast igat varundust.

c. Suurte arhiivibaaside puhul indeksiandmebaasid dubleeritakse.

OPS.1.2.2.M7Süsteemi- ja arhiiviandmete regulaarne varundamine [IT-talitus]

a. Kõiki arhiiviandmeid, indeksiandmebaase ja asjakohaseid süsteemiandmeid varundatakse varunduskontseptsioonis määratud perioodilisusega (vt CON.3 Andmevarunduse kontseptsioon).

127

OPS.1.2.2.M8Arhiivipöörduste logimine [IT-talitus]

a. Kõikide arhiivipöörduste puhul logitakse pöördumise kuupäev, kellaaeg, kasutaja, arhiivipöörduse põhjus, klientsüsteem, tehtud toimingud ning vigade esinemisel ka veateated.

b. Arhiivipöördumiste logiandmeid analüüsitakse võimalike kõrvalekallete tuvastamiseks regulaarselt. Kõrvalekalde tuvastamisel algatatakse intsidendikäsitluse protsess.

c. Kriitilisi sündmusi, nagu andmete kustutamine või andmekandja arhiivisüsteemist eemaldamine, kontrollitakse kohe pärast vastava logikirje tekkimist.

d. Arhiivipöördumiste logiandmeid säilitatakse arhiveerimiskontseptsioonis määratud säilitustähtaja jooksul.

OPS.1.2.2.M9Arhiveerimiseks sobiva andmevormingu valimine [IT-talitus]

a. Logiandmete arhiveerimisel kasutatakse standardseid, elektrooniliselt töödeldavaid andmevorminguid, mille süntaks ja semantika on laiemalt avaldatud.

b. Valitud lahendus tagab andmete võimalikult pikaajalise säilitamise.

c. Valitud andmevormingud võimaldavad reprodutseerida arhiveeritud materjali tõetruul algkujul.

d. Dokumentide tõendusväärtuse säilitamise ja muutmiskindla arhiveerimise tagamiseks sobilik vorming on PDF (ver A-2a või /A-2u), mis võimaldab dokumendi ühesuguse esituse erineva riist- ja tarkvaralise konfiguratsiooniga arvutites.

e. Pildimaterjalide tõendusväärtuse säilitamise ja muutmiskindla arhiveerimise tagamiseks kasutatakse kadudeta reprodutseerimist võimaldavaid vorminguid ja pilditihendusprotseduure, selleks sobilikud vormingud on TIFF (ver 6) või PNG (ver 1.2).

f. Audio- ja videofailide arhiivivorminguteks on sobilikud WAV, FLAC (ver 1.21), AVI (pakkimata), MOV (pakkimata) ja MPEG-4 (koodek H.264) vormingud.

g. Digiallkirjastatud dokumendi konteinerite arhiveerimiseks kasutatakse andmevormingut ASICE.

3.3 Standardmeetmed

OPS.1.2.2.M10 Arhiivisüsteemi kasutamise eeskiri [IT-talitus]

a. Organisatsioonis on kehtestatud arhiivisüsteemi kasutamise eeskiri, mis hõlmab järgnevat:

• käituse ja halduse rollide lahusus ja vastutused;

• kokkulepitud teenusetase;

• pääsuõiguste haldus;

• andmete ja andmekandjate käitluse protseduurid;

• arhiivisüsteemi ja keskkonna järelevalve;

• andmete varundamise protseduurid;

• arhiivitoimingute logimine;

• arhiivisüsteemi muudatuste haldus.

b. Arhiivisüsteemi haldajad järgivad arhiivisüsteemi kasutamise eeskirja.

128

OPS.1.2.2.M11 Arhiivisüsteemi haldajate koolitus [IT-talitus]

a. Arhiivisüsteemi haldajaid koolitatakse vähemalt järgmistel teemadel:

• kasutuselevõetud arhiivisüsteemi ja selle operatsioonisüsteemi arhitektuur ja turvamehhanismid;

• arhiivisüsteemi installimine ja hooldus;

• andmete ja andmekandjate käitlemise kord;

• haldustoimingute dokumenteerimine;

• konfigureerimis-, uuendus-, ja kõrvaldusprotseduurid;

• eeskirjast lahknevuste käsitlemine.

b. Koolitus ja sellest osavõtt dokumenteeritakse.

c. Arhiivisüsteemi muudatuste korral korraldatakse haldajatele täiendkoolitusi.

OPS.1.2.2.M12 Arhiivimeediumi salvestusressursside seire [IT-talitus]

a. Arhiivimeediumi vaba salvestusmahtu kontrollitakse vahetult enne salvestust.

b. Kui vaba salvestusmaht väheneb alla määratud piirmäära, teavitatakse sellest süsteemi haldajat.

c. Salvestusmahu suurendamiseks on olemas varuressurss ja koostatud protseduur selle kasutusele võtmiseks.

OPS.1.2.2.M13 Arhiveerimisprotsessi regulaarne läbivaatus

a. Arhiveerimisprotsessi õigsust ja nõuetekohasust kontrollitakse regulaarselt.

b. Läbivaatuse läbiviimiseks koostatakse küsimuste kontroll-loetelu, lähtudes arhiveerimiskontseptsioonist (vt OPS.1.2.2.M2 Arhiveerimiskontseptsiooni väljatöötamine) ja arhiivisüsteemi kasutamise eeskirjast (vt OPS.1.2.2.M10 Arhiivisüsteemi kasutamise eeskiri).

c. Läbivaatuse käigus tuvastatud kõrvalekallete ja nõrkustega tegeletakse esimesel võimalusel.

OPS.1.2.2.M14 Arhiivisüsteemide turu regulaarne jälgimine [IT-talitus]

a. Arhiivisüsteemide turu ja arengute jälgimisel pööratakse tähelepanu järgmistele aspektidele:

• standardite muutumine või lisandumine;

• muudatused kasutusel oleva süsteemi valmistaja toodangus;

• teated avastatud nõrkustest, näiteks krüptoalgoritmides;

• teated krüptoalgoritmide kaitsevõime vähenemise ohust;

• seniste andmevormingute muutumine ja uute ilmumine.

b. On määratud vähemalt üks töötaja, kes jälgib regulaarselt ülalnimetatud teavet, hindab selle olulisust ja vajadusel soovitab parendustegevusi.

OPS.1.2.2.M15 Krüptomehhanismide ajakohastus arhiveerimisel [IT-talitus]

a. Regulaarselt kontrollitakse algoritmide, võtmete, krüptotoodete ja protseduuride ajakohasust ja vastavust kehtivatele standarditele (vt CON.1.M1 Krüptovahendi valimise kord).

129

b. On kehtestatud turvaprotseduur krüptomehhanismi nõrgenemise puhuks (nt krüpteeritakse nõrgenenud krüptomehhanismiga arhiiviandmed uuesti, kasutades turvalisemat krüptoalgoritmi).

OPS.1.2.2.M16 Arhiivisüsteemi tehniliste komponentide uuendamine [IT-talitus]

a. Arhiivisüsteemi tehnilist ajakohasust kontrollitakse ( vt OPS.1.2.2.M14 Arhiivisüsteemide turu regulaarne jälgimine) regulaarselt.

b. Uute komponentide sobivust testitakse enne nende kasutuselevõttu.

c. On kehtestatud migratsiooniprotseduur üleminekuks uutele vormingutele või vahenditele.

d. Kõik arhiivisüsteemi komponentide muudatused, konverteerimised, testimised ja asenduskavad dokumenteeritakse.

OPS.1.2.2.M17 Sobiva arhiivisüsteemi valimine [IT-talitus]

a. Arhiivisüsteemi valimisel lähtutakse koostatud arhiveerimiskontseptsioonist (vt OPS.1.2.2.M2 Arhiveerimiskontseptsiooni väljatöötamine).

b. Arhiveerimisüsteemi valimisel arvestatakse järgmist:

• dokumentide ja andmete versioonihalduse tugi;

• funktsioonide ja protsesside vastavus standardile ISO 14721;

• pääsu reguleerimise mehhanism mitmeastmelise õiguste süsteemiga;

• logimine, vt OPS.1.2.2.M8 Arhiivipöörduste logimine;

• järelevalvele pääsu korraldus;

• süsteemi laiendatavus;

• pöördusaeg;

• piisav salvestusmaht;

• käsitsi tehtavate operatsioonide võimalikkus;

• vaba salvestusmahu automaatkontroll ja mahupiiri alarm;

• ühilduvus muude komponentide ja süsteemidega;

• krüptomehhanismid või nende tugi.

OPS.1.2.2.M18 Sobivad arhiivimeediumid [IT-talitus]

a. Arhiivimeediumite valimisel arvestatakse arhiivimeediumi vastavust nõutavale andmemahule, maksimaalsele lubatud pöördusajale ja samaaegsete pöördumiste arvule.

b. Arhiivimeediumi eeldatav tööiga võimaldab arhiveerimist nõutud säilitusaja jooksul.

OPS.1.2.2.M19 Arhiveerimise ja taaste regulaarne kontroll [IT-talitus]

a. Arhiveerimisprotsessi toimimist kontrollitakse logiandmete või arhiivimeediumite regulaarsete ülevaatustega.

b. Arhiivimeediumi loetavust ja terviklust testitakse vähemalt kord aastas.

c. Arhiivisüsteemi riistvarakomponentide (eriti arhiivi mehaaniliste osade) töövõimet kontrollitakse regulaarselt.

d. Vigade ja eelmääratud sündmuste (nt andmete kopeerimine) ilmnemisel teavitatakse määratud töötajaid toimunud sündmusest automaatselt.

e. Avastatud vigade ja ilmnenud tõrgete käsitluseks on kehtestatud protseduur.

130

3.4 Kõrgmeetmed

OPS.1.2.2.M20 Krüptoprotseduuride dubleerimine [IT-talitus] (C-I)

a. Arhiiviandmete pikaajaliseks säilitamiseks kasutatakse üksnes kehtivate standardite ja normide kohaseid krüptoprotseduure.

b. Arhiveeritavaid andmeid töödeldakse paralleelselt vähemalt kahe erineva krüptoprotseduuriga.

OPS.1.2.2.M21 Dokumentide turvaline üleviimine elektroonilisse arhiivi (C-I)

a. Paberdokumentide skaneerimiseks on määratud rollid ja kohustused.

b. Skaneerimise väljasttellimisel on teenuselepingus määratud kohustuslikud turvanõuded.

c. On koostatud protseduur dokumentide skaneerimiseks ettevalmistamiseks.

d. Paberdokumentide elektrooniline kuju vastab sisult ja esitusvormilt originaalile.

4 Lisateave

Lühend Publikatsioon

[RT] Vabariigi Valitsuse määrus „Arhiivieeskiri“ , vastu võetud 22.11.2011, https://www.riigiteataja.ee/akt/129122011229?leiaKehtiv

OPS.1.2.4 Kaugtöö

1 Kirjeldus

1.1 Eesmärk Esitada meetmed kaugtöö raames talletatava, töödeldava ja edastatava teabe kaitseks.

1.2 Vastutus Kaugtöö meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad

IT-talitus, töötaja, personaliosakond, ülemus.

1.3 Piirangud Kaugtöökoha taristu turbe meetmed esitatakse moodulis INF.8 Kodutöökoht. Täiendavad meetmed esitatakse moodulis INF.9 Mobiiltöökoht.

131

2 Ohud

2.1 Kaugtöökoha eeskirja puudumine või puudulikkus Kaugtöökoha eeskirja puudumisel ei pruugi töötaja oma kohustusi täpselt teada. Kui töötaja ei oska kaugtöökohal infoturbe intsidenti ära tunda või ei tea, keda sellest teavitada, võib konfidentsiaalne teave sattuda võõrastesse kätesse.

2.2 Teenistusliku kaugtööarvuti lubamatu privaatkasutus Tööandja otsese kontrolli alt väljas olevasse arvutisse võidakse paigaldada tundmatu päritoluga tarkvara. Kasutaja hoolimatuse tõttu võib arvutisse sattuda kahjurvara. Arvutile võivad ligi pääseda lisaks kaugtöötajale ka tema pereliikmed ja külalised.

2.3 Viivitused kaugtöötaja kättesaamatuse tõttu Kui kaugtöötajaga pole kokku lepitud kindlaid aegu, millal töötaja peab olema kättesaadav, võib ta osutuda vajalikul hetkel kättesaamatuks. See võib tuua kaasa viivitusi tööprotsessis. Sõltuvalt organisatsioonist võib see oluliselt mõjutada tervet äriprotsessi.

2.4 Teabe mittejõudmine töötajani Kaugtöötajal on vähem võimalusi osaleda tööalases teabevahetuses. Seetõttu kahaneb seotus organisatsiooni äriprotsessidega ja väheneb kaugtöötaja jõudlus. Kui ei ole tagatud teabe liikumine, ei jõua kaugtöötajale kohale ka olulised infoturbe teated.

2.7 Turvameetmete eiramine Kaugtöökoha järelevalvevõimaluse piiratuse tõttu võib juhtuda, et töötaja ei rakenda soovitatud või kohustuslikke turvameetmeid või ei tee seda täies mahus. Turvameetmete mitterakendamisest kaugtöökohas võib tekkida kahju, mida tavaolukorras oleks võimalik vältida. Konfidentsiaalne teave võib sattuda volitamata isikute kätte.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.2.4.M1 Kaugtöö eeskiri

OPS.1.2.4.M6 Kaugtöö turbekontseptsioon

OPS.1.2.4.M7 Sidevahendite kasutamise kord

OPS.1.2.4.M9 Kaugtöökoha kasutajatugi ja hooldus

OPS.1.2.4.M10 Kaugtöökoha nõuete analüüs

Evitus

OPS.1.2.4.M2 Kaugtööarvuti turve

Käitus

OPS.1.2.4.M5 Kaugtöötajate teadlikkuse tõstmine ja koolitus

OPS.1.2.3.M8 Regulaarne teabevahetus organisatsiooniga

132

3.2 Põhimeetmed

OPS.1.2.4.M1Kaugtöö eeskiri [ülemus, personaliosakond]

e. Töötajatele järgimiseks on koostatud ja tehtud töötajatele kättesaadavaks kaugtöö korraldust reguleeriv eeskiri.

f. Kaugtöö eeskirjas on arvestatud järgmisi turvaaspekte:

c. konfidentsiaalse teabe käitlus;

d. andmekaitsenõuded;

e. andmevarundus ja andmete sünkroniseerimine;

f. andmeside kasutamine;

g. kaugpääsuõigused;

h. dokumentide ja andmekandjate transport ja säilitamine;

i. turvasündmustest teatamise kord.

g. On koostatud töökaitse õiguslikke aspekte arvestavad, tööandja ja töötaja vahelised kaugtöö kokkulepped, milles on määratletud vähemalt järgmine:

d. kaugtöö vabatahtlikkus;

e. töövahendid;

f. tööaeg ja kättesaadavus;

g. reageerimisajad, näiteks e-kirjade lugemise sagedus;

h. ületunnitöö, lisatasud ja täiendavate kulude tasumine;

i. materiaalne vastutus;

j. kaugtöö lõpetamine.

h. Kaugtöö eeskirja vaadatakse üle ja seda ajakohastatakse regulaarselt.

OPS.1.2.4.M2 Kaugtööarvuti turve

a. Kaugtööarvutit kasutatakse ainult määratud otstarbeks (nt ei tohi kasutaja installida kaugtööarvutisse heakskiitmata tarkvara).

b. Kaugtööarvutit kasutab ainult selleks volitatud isik. Volitatud isikuteks on kaugtöötaja ja kaugtööarvutite haldur.

c. Kaugtööarvuti turvameetmed sõltuvad töödeldavate andmete kaitsetarbest. Rakendatud on vähemalt järgmised meetmed:

• turvalised identifitseerimis- ja autentimismehhanismid, mis reageerivad vigasele sisestusele juurdepääsu ajutise sulgemisega;

• automaatne ekraanilukk, mida saab avada alles pärast uut identifitseerimist ja autentimist;

• turvakriitiliste parameetrite miinimumnõuded (nt paroolinõuded) tagavad piisava turvalisuse;

• arvutis tehakse regulaarset andmevarundust;

• logimise sisu ja maht on rikete ja turvasündmuste avastamiseks piisav;

• arvuti kõvaketas on krüpteeritud;

• arvutis on vahendid failide krüpteerimiseks;

133

• arvuti süsteemikonfiguratsioon on seatud maksimaalselt turvaliseks.

OPS.1.2.4.M5Kaugtöötajate teadlikkuse tõstmine ja koolitus

• Kaugtöötajad on läbinud kaugtöö turvameetmete alase koolituse.

• Kaugtöötaja koolitusel on käsitletud järgmisi aspekte:

a. kaugtöö ohud;

b. tööalaste dokumentide turvaline hoidmine;

c. kaugtöökoha füüsiline turve;

d. võrguturve;

e. andmekandjate turvaline kasutamine;

f. lihtsamad hooldetööd ja probleemilahendused.

• Kaugtöötajate koolitamisel järgitakse meetmeid moodulist ORP.3 Infoturbe teadlikkuse tõstmine ja koolitus.

• Kaugtöötaja koolitust korratakse regulaarselt.

3.3 Standardmeetmed

OPS.1.2.4.M6Kaugtöö turbekontseptsioon

a. On koostatud kaugtöö turbekontseptsioon, mis esitab kaugtöökoha kaitsetarbe, turvaeesmärgid ja turvanõuded.

b. Kaugtöö turbekontseptsioonis dokumenteeritakse vähemalt järgmine:

• andmete, dokumentide ja andmekandjate käitluse kord;

• organisatsiooni ja kaugtöökoha vahelise side korraldamine;

• autentimismehhanismid;

• võrguühenduste kasutamise kord;

• andmevahetuse kord;

• andmevarunduse kord.

c. Kaugtöö turbekontseptsioon on kooskõlas organisatsiooni üldise turbekontseptsiooniga.

d. Kontseptsiooni ajakohastatakse regulaarselt.

OPS.1.2.4.M7Sidevahendite kasutamise kord [IT-talitus, töötaja]

a. Sidevahendite kasutamise raamtingimused on määratud kaugtöö turbekontseptsioonis.

b. Sidevahendite kasutamise korras on määratud vähemalt:

c. teabevahetuseks kasutatavad sidevõimalused (sh sõnumiside, telefon, e-post);

d. andmete edastamiseks kasutatavad teenused;

e. videokonverentsiteenuste kasutamine;

f. teabevahetuse turvameetmed;

g. digiallkirjastamise kasutamine;

h. juhised avalike Interneti-teenuste kasutamisel tööks ja isiklikuks tarbeks.

OPS.1.2.4.M8Regulaarne teabevahetus organisatsiooniga [ülemus, töötaja]

a. On korraldatud kaugtöötaja regulaarne teabevahetus organisatsiooni ja kaastöötajatega.

134

b. Tööalased teadaanded ja teave infoturbe muudatuste kohta jõuab kaugtöötajani operatiivselt ja viivitusteta.

c. Kõik kaastöötajad teavad, kuidas kaugtöötajaga ühendust võtta.

OPS.1.2.4.M9 Kaugtöökoha kasutajatugi ja hooldus [IT-talitus, töötaja]

a. Kaugtöökoha arvuti tark- ja riistvara probleemide lahendamiseks on loodud kasutajatoe funktsioon ja määratud kontaktisikud.

b. Kasutajatoel on teada kaugtöökoha arvuti riist-ja tarkvara konfiguratsioon.

c. Kaughooldust tehakse eelnevalt kokkulepitud ajal. Kaugligipääs arvutile võimaldatakse ainult kaughoolduse ajaks ning selleks volitatud töötajale.

d. Kokku on lepitud, kuidas toimub IT-vahendite transport hoolduseks.

OPS.1.2.4.M10 Kaugtöökoha nõuete analüüs [IT-talitus]

• Enne kaugtöökohtade loomist on läbi viidud nõuete analüüs, mis sisaldab vähemalt järgmist:

• konfidentsiaalsusnõuded kaugtöökohas käideldavale teabele;

• organisatsioonile juurdepääsu saamise eesmärgid;

• andmeliikluse maht kaugtöökoha ja organisatsiooni vahel;

• sisevõrguteenuste kasutamise vajadused;

• Interneti kasutamise vajadused;

a. nõuded dokumentide ja andmekandjate transportimisele:

b. kaugtöökoha riist- ja tarkvarakomponentide vajadus ja valik (kooskõlastatakse IT- haldusega).

• Konkreetse kaugtöökoha nõuded dokumenteeritakse ja kooskõlastatakse IT-juhiga.

3.4 Kõrgmeetmed Antud moodulis kõrgmeetmed puuduvad.

OPS.1.2.5 Kaughooldus

1 Kirjeldus

1.1 Eesmärk Esitada meetmed aktiivse ja passiivse kaughoolduse käigus salvestatava, töödeldava ja edastatava teabe ning hooldusliideste kaitseks.

1.2 Vastutus Kaughoolduse meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Kasutaja.

135

1.3 Piirangud Moodulis ei käsitleta kõiki kaughoolduse tegevusi, seega tuleb lisaks arvestada meetmeid moodulitest OPS.1.1.3 Paiga- ja muudatusehaldus, ORP.3 Infoturbe teadlikkuse tõstmine ja koolitus, CON.1 Krüptokontseptsioon ja CON.3 Andmevarunduse kontseptsioon.

Samuti tuleb rakendada meetmeid moodulitest OPS.2 Käidutööd teenusena ja OPS.3 Teenuseandja käidutööd. Pilvteenuste puhul tuleb lisaks arvestada moodulit OPS.2.2 Pilvteenuste kasutamine.

IT-süsteemide keskhaldust käsitletakse moodulites OPS.1.1.2 IT-süsteemide haldus ja OPS.1.1.7 Süsteemihaldus.

Käidutehnoloogia süsteemide kaughooldust käsitletakse moodulis IND.3.2 Käidutehnoloogia komponentide kaughooldus.

2 Ohud

2.1 Kaughoolduse eeskirjade puudulik järgimine Kui asjaosalised ei tunne või ei järgi kaughoolduse eeskirju, võidakse hooldustööde käigus teha vigu. Kuna kaughooldust tegevatel töötajatel on ka tavapärasest suuremad õigused, võib tähelepanematusest või mugavusest tingitud eksimus kaasa tuua olulise kahju. Turvameetmete eiramine kaughoolduse käigus on raskesti tuvastatav ning sellest tingitud turvanõrkuste ärakasutamisel tehtud ründeid on raske avastada ja tõrjuda.

2.2 Kaughoolduse kavandamise ja reguleerimise puudumine või puudulikkus Kui kaughoolduse kavandamisel tehakse vigu ega arvestata võimalike turvanõrkustega, võidakse mõjutada mitte ainult ühe IT-süsteemi, vaid organisatsiooni kõikide IT-süsteemide turvalisust. Kaughooldusega seotud turvanõrkused võivad esineda nõrkades sideprotokollides, paigahalduse protsessides, krüpto- ja autentimismehhanismides.

2.3 Väär autentimine kaughoolduses Ebaturvaliste autentimismehhanismide kasutamise tagajärjel võib kaughooldusarvuti või - tööriistade haldusõiguse saada volitamata isik. See võib kaasa tuua IT-süsteemide ja rakenduste lubamatuid konfiguratsioonimuutusi, andmete kustutamise või konfidentsiaalse teabe lekke. Risk on veelgi suurem, kui kaughooldust teostab väline partner.

2.4 Tegemata või väär kaughooldus Kui pidevat hooldust vajavatele IT-süsteemidele jäetakse kaughooldus tegemata, võib see halvimal juhul muuta IT-süsteemi kasutuskõlbmatuks.

Kaughoolduse käigus tehtud vead võivad IT-süsteemide käitamisel põhjustada tõrkeid. Kui hooldus hilineb või seda tehakse vääralt, võivad teadaolevad turvanõrkused jääda parandamata.

2.5 Ebaturvaliste protokollide kasutamine kaughoolduses Kui kaughoolduse andmeside on krüpteerimata või kui kahe lõpp-punkti või võrgu vahel tunneli loomiseks kasutatakse ebaturvalisi protokolle, näiteks IPSec, SSH või SSL/TLS aegunud versioone, ei ole andmeside turvalisus piisavalt tagatud.

136

2.6 Kaughooldusfunktsioonide kontrollimatu kasutamine Kui kaughooldustöid tegevate isikute tööülesanded pole lepinguga reguleeritud või dokumenteeritud, võivad kaughoolduse tegijad oma volitusi ületada ja IT-süsteemile kahju tekitada.

2.7 Võrgustatud kaughooldusteenuse lubamatu kasutamine Kui IT-süsteemide kaughoolduseks on võimaldatud juurdepääs veebibrauserist läbi kolmanda osapoole veebiserveris asuva, võrgustatud teenuse (ingl online service), siis puudub süsteemiülematel kontroll selle üle, kes, millal ja mis otstarbel seda ühendust kasutab. IT- süsteemi ja serveri vaheline andmesidekanal on pidevalt avatud. Krüpteerimata andmeside puhul on võimalik saadetavaid andmeid manipuleerida.

2.8 Integreeritud kaughoolduskomponentide lubamatu kasutamine Kui IT-süsteemide käitamisel ei arvestata IT-süsteemi integreeritud kaughoolduse funktsionaalsust ega piirata selle kasutamist, võib süsteemidele ja andmetele tekkida volitamata juurdepääs. IT-süsteemidesse integreeritud kaughoolduskomponentide funktsionaalsus pole tihti piisavalt dokumenteeritud, need võivad sisaldada turvanõrkusi ja võimaldada möödapääsu võrgu ja operatsioonisüsteemi tasandil rakendatud turbemehhanismidest.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.2.5.M1 Kaughoolduse rakendamise kava

OPS.1.2.5.M6 Kaughoolduse eeskiri

OPS.1.2.5.M7 Kaughoolduse dokumentatsioon

Soetamine

OPS.1.2.5.M9 Sobivate kaughooldustööriistade valimine

Evitus

OPS.1.2.5.M3 Sideühenduste turve kaughooldusel

OPS.1.2.5.M5 Võrgustatud hooldusteenuste turvaline rakendamine

OPS.1.2.5.M8 Turvalised kaughoolduse protokollid

OPS.1.2.5.M10 Kaughooldustööriistade turvaline kasutamine

OPS.1.2.5.M17 Kaughoolduse autentimismehhanismid

OPS.1.2.5.M19 Kaughooldus välisteenusena

Käitus

OPS.1.2.5.M2 Turvaline ühenduse loomine kaughooldusel

OPS.1.2.5.M20 Kaughoolduse turvaline läbiviimine

OPS.1.2.5.M24 Integreeritud kaughooldusfunktsioonide turve

OPS.1.2.5.M25 Väljaspoolt haldusvõrku tehtava kaughoolduse piiramine

137

Avariivalmendus

OPS.1.2.5.M21 Avariiplaan kaughoolduse tõrke puhuks

Lisanduvad kõrgmeetmed

OPS.1.2.5.M14 Kaughoolduskliendi turvaline seadistus

OPS.1.2.5.M22 Kaughoolduse sidevõrkude liiasus

3.2 Põhimeetmed

OPS.1.2.5.M1Kaughoolduse rakendamise kava

a. Kaughoolduse kavandamisel on arvestatud organisatsiooni vajadusi ja kaughoolduse tehnilisi ning korralduslikke aspekte.

b. Kaughoolduse rakendamise kavas on määratud:

 kaitsetarve ja turvaeesmärgid;

 vastutused kaughoolduse teostamisel;

 õiguslikud ja korralduslikud kitsendused;

 kaughoolduse kanalid;

 teenuseandja kasutamine;

 võrgueraldusnõuded.

c. Suurema kaitsetarbe korral on kaughooldus võimaldatud ainult läbi spetsiaalse haldusvõrgu.

OPS.1.2.5.M2Turvaline ühenduse loomine kaughooldusel [kasutaja]

a. Kaughoolduse ühenduse saab algatada ainult IT-süsteemi kasutaja ehk hooldatav pool.

b. Kaughoolduse alustamisel autenditakse väline hooldaja turvaliselt. Kui ühendus kaughoolduskohaga mingil põhjusel katkeb, on uus juurdepääs võimalik ainult ennast uuesti autentides.

OPS.1.2.5.M3Sideühenduste turve kaughooldusel

a. Pääsuõigused ja sideühenduste loomise võimalused on piiratud minimaalsuse põhimõtte alusel.

b. Andmevahetus kaughooldusserveri ja -kliendi vahel krüpteeritakse.

c. Pärast kaugpääsu kasutamise lõpetamist suletakse (desaktiveeritakse) kõik kasutatud sideühendused.

d. Kaughooldustööriistad paigaldatakse ainult tööjaamadesse, mida kasutatakse kaughoolduseks.

e. Andmeedastuse jälitatavuse tagamiseks andmevahetus logitakse.

3.3 Standardmeetmed

OPS.1.2.5.M5Võrgustatud hooldusteenuste turvaline rakendamine [kasutaja]

a. Kaughooldus võrgustatud teenuse (ingl online service) kaudu on üldjuhul keelatud ja blokeeritud.

138

b. Võrgustatud hooldusteenuseid rakendatakse ainult põhjendatud erandina, võimalikud kasutusjuhud on reguleeritud, kasutamine registreeritakse ning kinnitatakse.

c. Klientarvutite automaatne ühendumine võrgustatud teenustega on keelatud, ühenduse takistamiseks rakendatakse tehnilisi meetmeid.

OPS.1.2.5.M6 Kaughoolduse eeskiri

a. Kaughoolduse nõuded on dokumenteeritud infoturvapoliitikas. Eraldi kaughoolduse eeskirja olemasolul on sellele infoturvapoliitikas viidatud.

b. Kaughoolduse eeskirjaga on tutvunud kõik osapooled, kes osalevad kaughoolduse kava väljatöötamisel, elluviimisel, kasutamisel ja kasutamise lõpetamisel.

c. Kaughoolduse eeskirja järgimist kontrollitakse regulaarselt.

OPS.1.2.5.M7Kaughoolduse dokumentatsioon

a. Kaughoolduse dokumentatsioon on piisav ja ajakohane.

b. Kaughoolduse dokumentatsioon sisaldab vähemalt järgmist:

 hooldatavate IT-süsteemide konfiguratsioonid;

 süsteemide kasutajad ja nende õigusteprofiilid;

 lisandunud riist-ja tarkvarakomponendid;

 andmevarunduse ja andmekandjate käituse protseduurid;

 avastatud ja kõrvaldatud rikete kirjeldused.

c. Dokumentatsiooni hoitakse turvaliselt. Volitatud isikutel on vajadusel võimalik dokumentatsioonile kiiresti juurde pääseda.

OPS.1.2.5.M8Turvalised kaughoolduse protokollid

a. Kaughoolduseks kasutatakse ajakohaseid ja turvaliseks loetud sideprotokolle.

b. Andmevahetus on krüpteeritud. Tunneldamiseks kasutatakse kaitsetarbele vastavaid krüpteerimisprotseduure (vähemalt SSH v2, TLS 1.2, SNMP v3, IPSec IKEv2-ga).

c. Kaughoolduseks kasutatakse sideprotokolle, mis võimaldavad tuvastada edastatavates andmetes juhuslikke häireid ning neid automaatselt kõrvaldada. Saaja kinnitab andmete vastuvõttu.

d. Kasutatavate protokollide ajakohasuse tagamiseks jälgitakse regulaarselt teavet avastatud nõrkuste kohta.

OPS.1.2.5.M9Sobivate kaughooldustööriistade valimine

a. Kaughooldustööriistade valimisel arvestatakse meedet OPS.2.4.M1 Kaughoolduse rakendamise kava.

b. Kaughooldustööriistad valitakse organisatsiooni käitus-, turva- ja andmekaitsenõuetel põhineva analüüsi ja kaasneva riskihinnangu alusel.

c. Kõik kaughooldustööriistade hankimise otsused kooskõlastatakse hankimise, süsteemide ja rakenduste eest vastutajate ning turbehaldusega.

OPS.1.2.5.M10 Kaughooldustööriistade turvaline kasutamine [kasutaja]

a. Kaughooldustööriistade kasutamiseks on koostatud kasutusjuhendid koos näidisprotseduuride kirjeldustega.

b. Kasutajad on läbinud kaughooldustööriistade kasutamise koolituse.

139

c. Kaughooldustööriistadega seotud tehniliste küsimuste lahendamiseks on määratud kontaktisik.

OPS.1.2.5.M17 Kaughoolduse autentimismehhanismid

a. Kaughooldussessiooni alustamiseks kasutatakse mitmikautentimist (ingl multifactor authentication).

b. Autentimismeetodi valik ja selle valimise põhjused on dokumenteeritud.

OPS.1.2.5.M19 Kaughooldus välisteenusena

a. Kõik välise teenuseandja poolt kaughooldusena tehtud muudatused (nt konfigureerimisseadetes, lähtekoodis) dokumenteeritakse. Muudatuste dokumentatsioon antakse üle kaughooldatavale organisatsioonile.

b. Välise teenuseandja töötajad kohustuvad täitma lepingus kokku lepitud nõudeid, sealhulgas konfidentsiaalsusleppeid.

c. Välise teenuseandja töötajate tehtavaid hooldustoiminguid jälgitakse ja võimalusel need salvestatakse. Organisatsioonis on määratud kaughoolduse seire eest vastutaja.

d. Kaughooldus algatatakse ainult sisevõrgust ja ainult kindlaks perioodiks.

e. Kaughoolduspääs välisele teenuseandjale antakse minimaalsuse põhimõtte alusel.

f. Välise teenuseandja töötajad autendivad ennast alati isikustatud kasutajana.

g. Kaughooldust saab mistahes ajal sisevõrgust katkestada.

h. Kaughoolduse tegemisel kolmandate kaudu rakendatakse lisaks mooduli OPS.2.3 Väljasttellimine meetmeid.

OPS.1.2.5.M20 Kaughoolduse turvaline läbiviimine

a. Kaughooldust teostatakse eelneva teavituse ja kinnituse alusel.

b. Kaughoolduspääs antakse ainult alles pärast tulemuslikku autentimist.

c. Kaughoolduseks ei anta täielikke haldusõigusi. Kaughooldajal puudub ligipääs IT- süsteemidele, mida hoolduseks vaja ei ole.

d. Andmevahetust kaughooldusserveri ja -kliendi vahel kontrollitakse tulemüüri abil. Kasutusel on ummistusrünnete avastamise ja tõrje meetmed.

e. Kõik kaughooldustoimingud, kaughoolduse algus, lõpp ja asjaosalised registreeritakse ja logitakse.

OPS.1.2.5.M21 Avariiplaan kaughoolduse tõrke puhuks

a. On välja töötatud avariiplaan tõrgetest tuleneva kahju minimeerimiseks, hooldustoimingute tagasivõtmiseks ning tavapärase töö kiireks taasteks.

b. Avariiplaani koostamisel ja testimisel rakendatakse meetmeid moodulist DER.4 Avariihaldus.

OPS.1.2.5.M24 Integreeritud kaughooldusfunktsioonide turve

a. IT-süsteemide hankimisel hinnatakse integreeritud kaughooldusfunktsioonide võimalusi ja turvalisust.

b. Juhul kui IT-süsteemidesse integreeritud kaughooldusfunktsioone ei kasutata või kui need võivad sisaldada turvanõrkusi, on integreeritud kaughooldusfunktsioonid desaktiveeritud.

140

c. IT-süsteemi komponentidele, mille kaughooldus on realiseeritud püsivara tasemel, on juurdepääs ainult eraldiseisvast haldusvõrgust.

OPS.1.2.5.M25 Väljaspoolt haldusvõrku tehtava kaughoolduse piiramine

a. Võimalusel välditakse kaughooldust väljastpoolt haldusvõrku asuvast seadmest.

b. Kaughoolduse teostamine väljaspool haldusvõrku asuvast klientseadmest on lubatud ainult läbi haldusvõrgus asuva hüppeserveri (ingl jump server).

c. Hüppeserveri juurdepääs on lubatud ainult usaldusväärsetele ja vastavava vajadusega klientseadmetele.

3.4 Kõrgmeetmed

OPS.1.2.5.M14 Kaughoolduskliendi turvaline seadistus (C)

a. Kaughoolduseks kasutatakse ainult kaughoolduse teostamiseks ettevalmistatud klientseadmeid.

b. Kaughoolduse klientseadmesse paigaldatud kaughooldustööriistade kõik funktsioonid ja komponendid, mis ei ole hooldustööde läbiviimiseks vajalikud, on desaktiveeritud.

c. Kaughooldustööriistad ja tööjaamad, milles neid kasutatakse, on turvaliselt konfigureeritud ja seadistatud.

d. Kaughoolduse klientseadme andmesideühendus on piiratud. Lubatud on ainult hooldustööde läbiviimiseks vajalikud andmesideühendused.

e. Kaughoolduseks kasutatakse spetsiaalselt selleks otstarbeks loodud kasutajakontot.

OPS.1.2.5.M22 Kaughoolduse sidevõrkude liiasus (A)

a. Kaughoolduse tegemiseks avariiolukorras on võimalik IT-süsteemile juurdepääsuks kasutada varusideühendust (nt. 4G mobiilsidevõrku).

OPS.1.2.6 Kellade sünkroniseerimine NTP-serveriga

1 Kirjeldus

1.1 Eesmärk Esitada meetmed NTP-serveri (NTP- Network Time Protocol) ja NTP-klientseadmete kellade turvaliseks sünkroniseerimiseks ning usaldusväärse ja täpse kellaaja tagamiseks kõigis seotud IT-süsteemides.

1.2 Vastutus Kellade sünkroniseerimise meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Lisavastutajad puuduvad.

1.3 Piirangud Moodulis esitatud meetmed rakenduvad kõigile NTP-d kasutavatele IT-süsteemidele.

Serveritele kehtestatud üldisi turvameetmeid käsitletakse moodulis SYS.1.1 Server üldiselt, klientarvutitele kohalduvad meetmed on esitatud moodulis SYS.2.1 Klientarvuti üldiselt.

141

2 Ohud

2.1 Viga NTP-serveri rakendamisel Võib juhtuda, et kõik IT-süsteemid ei ole täpse ajateabe saamiseks NTP-serveriga ühendatud. Näiteks võib NTP-serveri ja klientide ühenduse katkestada võrgu kavandamisel või segmenteerimisel tehtud viga. Sageli ei tuvastata kellade erinevust enne kui see on põhjustanud IT-intsidendi, nt kui automatiseeritud toimingud käivituvad valel ajal.

2.2 Väär kellaaeg või kellaaja puudumine NTP-server võib olla ajutiselt kättesaamatu või edastada valet ajateavet.

Kui IT-süsteem ei saa NTP-serveritega pikema aja vältel ühendust, siis võivad NTP- klientseadmete süsteemiajad muutuda ebatäpseks. Kui NTP-server annab NTP-klientidele vale ajateabe, kasutatakse tegelikkusest erinevat kellaaega ka kõigis klientarvuti rakendustes. Kui logiandmetes kasutatavad kellaajad on IT-süsteemides erinevad, ei anna IT-süsteemide logide korreleerimine soovitud tulemust.

Vale ajateave võib põhjustada häireid IT-teenustes, nt sertifikaadipõhiste või ühekordseid paroole kasutavate teenuste toimimises. Seetõttu ei saa kasutajad enam IT-süsteemidesse ega võrguteenustesse sisse logida.

2.3 Vastuoluline ajateave Erinevatest allikatest pärinev ajateave võib olla vastuolus. Kui IT-süsteem kasutab kella sünkroniseerimiseks mitmeid NTP-servereid, võib NTP-serverite kellaaegades olla erinevus. Kellaaegade märgataval erinemisel ei suuda IT-süsteem kindlaks teha, milline esitatud ajateave on õige. Kellaaegade erinevus võib põhjustada tõrkeid IT-süsteemis, andmete valesti tõlgendamist ja häireid andmevahetuses teiste IT-süsteemidega.

2.4 NTP andmeside manipuleerimine Võrguründe puhul on ründajal võimalik NTP andmesidet manipuleerida, nt muuta võrgupakettide ajateavet andmete edastamise ajal või suunata NTP päringud ümber enda määratud serverisse. Sel viisil saab ründaja NTP-klientide süsteemiaega muuta ning seda kasutada ajaliselt piiratud või antud hetkeks aegunud pääsuõiguste kuritarvitamiseks.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.1.2.6.M1 NTP kasutuselevõtu kavandamine

OPS.1.2.6.M2 Väliste NTP-serverite turvaline kasutamine

Evitus

OPS.1.2.6.M3 NTP-serveri turvaline konfigureerimine

OPS.1.2.6.M4 Soovimatute ajateabe allikate keelamine

OPS.1.2.6.M7 NTP-klientide turvaline konfigureerimine

Käitus

OPS.1.2.6.M5 NTP käitamine klient-server režiimis

OPS.1.2.6.M6 Võrgusiseste NTP-serverite seire

142

OPS.1.2.6.M8 Turvalise protokolli kasutamine kellade sünkroniseerimisel

Lisanduvad kõrgmeetmed

OPS.1.2.6.M9 Erinevate täpse ajateabe allikate kasutamine

OPS.1.2.6.M10 Ainult võrgusiseste NTP-serverite kasutamine

OPS.1.2.6.M11 NTP-serverite liiasuse tagamine

OPS.1.2.6.M12 NTP-serverite autentsuse tagamine

3.2 Põhimeetmed

OPS.1.2.6.M1NTP kasutuselevõtu kavandamine

a. Organisatsioon on kaardistanud täpset ajateavet vajavad IT-süsteemid ja dokumenteerinud IT-süsteemide nõuded ajateabe täpsuse ja kättesaadavuse osas.

b. NTP (Network Time Protocol) kasutuselevõtul on dokumenteeritud, milliseid NTP-ser- vereid ja milliste NTP-klientide poolt kasutatakse.

c. On määratud, kas NTP-serverid töötavad klient-server või leviedastusrežiimis (ingl Broadcast Mode).

OPS.1.2.6.M2Väliste NTP-serverite turvaline kasutamine

a. Enne väljastpoolt kohtvõrku asuva NTP-serveri kasutuselevõttu analüüsitakse teenuseandja usaldusväärsust ja NTP-serveri töökindlust.

b. IT-süsteemide kellade sünkroniseerimisel väljastpoolt kohtvõrku on lubatud kasutada ainult usaldusväärseid NTP-servereid.

c. Välise NTP-serveri kasutamisel järgitakse NTP-serveri operaatori kehtestatud kasutustingimusi.

OPS.1.2.6.M3 NTP-serveri turvaline konfigureerimine

a. NTP-serveri konfiguratsiooniteavet saavad küsida ainult volitatud NTP-kliendid.

b. NTP-serveri konfiguratsiooni muutmine on lubatud ainult volitatud kasutajatel ning sel- gesõnaliselt määratletud juhtudel.

c. Organisatsioonisisese täpse kellaja allika puudumisel on võrgusisene NTP-server konfi- gureeritud saama regulaarset ja täpset ajateavet väliselt NTP-serverilt.

OPS.1.2.6.M4Soovimatute ajateabe allikate keelamine

a. NTP-klientide seadistustes on IT süsteemide kellade sünkroniseerimine võimaldatud vaid lubatud ajateabe allikatega, muud ajateabe allikad on seadistustes blokeeritud.

3.3 Standardmeetmed

OPS.1.2.6.M5NTP käitamine klient-server režiimis

a. NTP-serverid on konfigureeritud suhtluseks klient-server režiimis. NTP-server edastab ajateavet ainult vastustena aktiivsete NTP-klientide päringutele.

OPS.1.2.6.M6Võrgusiseste NTP-serverite seire

a. Organisatsiooni arvutivõrgus asuvate NTP-serverite käideldavust, ressursikasutust ja kellaaja korrektsust seiratakse regulaarselt.

143

b. NTP-serverina toimiva IT-seadme puhul logitakse vähemalt järgmist:

 ootamatud taaskäivitused;

 NTP-teenuse ootamatud taaskäivitused;

 NTP-teenuse tõrked;

 anomaalsed ajateabe näidud.

c. NTP-serveri töötamisel leviedastusrežiimis (ingl Broadcast Mode) seiratakse ajateabe hälvete avastamiseks täiendavalt NTP-klientide kellaaja õigsust.

OPS.1.2.6.M7NTP-klientide turvaline konfigureerimine

a. On üheselt määratud ja konfigureeritud, millisest allikast võtab IT-süsteem ajateavet IT- süsteemi käivitusel ja taaskäivitusel ning pärast NTP-teenuse taaskäivitust.

b. On määratud, kuidas NTP-kliendid reageerivad oodatust oluliselt erinevale ajateabele, väärat vastuvõetud ajateavet ignoreeritakse.

c. NTP-klientidele on tagatud piisav ajateave ka juhul, kui NTP-server piirab ajapäringutele vastamist või keelab päringute saatmise.

OPS.1.2.6.M8 Turvalise protokolli kasutamine kellade sünkroniseerimisel

a. IT-süsteemide kellade sünkroniseerimisel kasutatakse turvalisi andmevahetusprotokolle.

3.4 Kõrgmeetmed

OPS.1.2.6.M9 Erinevate täpse ajateabe allikate kasutamine (A)

a. Kõrget ajalist täpsust nõudva põhiprotsessiga organisatsioon kasutab oma arvutivõrgus rohkem kui ühte Stratum 1 NTP-serverit.

b. Iga Stratum 1 NTP-server on primaarse ja täpse kellaaja saamiseks ilma arvutivõrgu vahenduseta otse ühendatud sõltumatu riistvaralise (Stratum 0) ajateabe allikaga, nt GPS- või raadiokellaga.

OPS.1.2.6.M10 Ainult võrgusiseste NTP-serverite kasutamine (I)

a. Sisevõrku ühendatud IT-süsteemid (NTP-kliendid) kasutavad oma kellade sünkroniseerimiseks eranditult võrgusiseseid NTP-servereid.

OPS.1.2.6.M11 NTP-serverite liiasuse tagamine (A)

a. Kõrget ajalist täpsust nõudvate protsessidega organisatsiooni IT-süsteemid hangivad ajateavet vähemalt neljalt sõltumatult NTP-serverilt.

OPS.1.2.6.M12 NTP-serverite autentsuse tagamine (I)

a. NTP-klient veendub enne andmevahetust NTP-serveri autentsuses. NTP-klient aktsepteerib ainult autenditud NTP-serverilt saadud ajateavet.

b. Autentimise nõue kehtib ka NTP-serveritele, mis jagavad ajateavet alama taseme NTP- serveritele.

144

OPS.2: Käidutööd teenusena

OPS.2.2 Pilvteenuste kasutamine

1 Kirjeldus

1.1 Eesmärk Esitada meetmed pilvteenuste turvaliseks kasutuselevõtuks ja kasutamiseks.

1.2 Vastutus Pilvteenuste kasutamise meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Andmekaitsespetsialist, vastutav spetsialist, organisatsiooni juhtkond, personaliosakond.

1.3 Piirangud Mooduli meetmed täiendavad väljasttellimist (vt OPS.2.3 Väljasttellimine) pilvteenustele omaste erisustega (sama infrastruktuuri kasutatakse paljude klientide teenindamiseks). Teenuseandjapoolsed meetmed on kirjeldatud moodulis OPS.3.2 Teenuseandja infoturve. Pilvteenuste kasutamise moodulis ei käsitleta ka pilvteenuste vastavate rakendusliideste (ingl Application Programming Interface, API) spetsiifilisi turvameetmeid. Meetmed sõltuvad tarbitavast pilvteenusest, seega võib meetmete valik teenuseti erineda.

2 Ohud

2.1 Pilvteenuste strateegia puudumine või puudulikkus Puuduva või piisamatu pilvteenuste strateegia korral võib juhtuda, et organisatsioon teeb otsuse sobimatu pilvteenuse või teenuseandja kasuks. Valitud pilvteenus ei pruugi organisatsiooni infotehnoloogia ja äriprotsessidega ühilduda ega vastata nõutud kaitsetarbe tasemele.

2.2 Sõltuvus pilvteenuseandjast (kontrolli kaotamine) Välise pilvteenuse kasutamisel sõltub organisatsioon pilvteenuseandjast ega oma täit kontrolli äriprotsesside ja nende turvalisusega seotud teabe üle. Organisatsioon ei tea, kas pilvteenuseandja rakendab turvameetmeid nõuetekohaselt. Väliste pilvteenuste kasutamine toob tihti kaasa organisatsiooni infoturbe ja IT alase oskusteabe vähenemise.

2.3 Puudulik nõuete haldus pilvteenuste kasutamisel Kui organisatsioon otsustab hakata kasutama pilvteenust, kaasnevad sellega kasutajate suured ootused paremale jõudlusele või funktsionaalsusele. Samas on organisatsiooni juhtkonna eesmärk sageli seotud kulude vähendamisega. Kui pilvteenuse nõuete määratlemisel ei arvestata kõikide osapoolte arvamust, võib juhtuda, et pilvteenusele üleminek ei pruugi tuua soovitud lisandväärtust.

2.4 Õigusaktide nõuete rikkumine Rahvusvahelised pilvteenuse pakkujad lähtuvad sageli kolmandate riikide õigusaktidest. Pilvteenuse kliendid ei pruugi õiguslikele raamtingimustele piisavat tähelepanu pöörata.

145

Seetõttu võidakse teadmatusest rikkuda kohalike õigusaktide nõudeid ja ohustada välisteenuse teabe turvalisust.

2.5 Simultaanteeninduse võime puudumine pilvteenuse andjal Pilvtöötlusel kasutavad erinevad kliendid enamasti ühist taristut (nt IT-süsteemid, võrgud ja rakendused). Kui eri klientide ressursid ei ole üksteisest piisavalt turvaliselt lahutatud, võib klient saada lubamatu juurdepääsu teise kliendi andmetele.

2.6 Pilvteenuse andjaga sõlmitud lepingu puudulikkus Kui pilvteenuse andja lepingus on vastutusalasid, ülesandeid, tulemusnäitajaid või kulusid ebapiisavalt või ebaselgelt kirjeldatud, võib juhtuda, et pilvteenuse andja kas tahtmatult või puuduvate ressursside tõttu kõiki vajalikke turvameetmeid ei rakenda. Pilvteenuse klienti võivad negatiivselt mõjutada lepingus määratlemata asjaolud. Näiteks kui ei ole teada teenuseandja sõltuvus kolmandast poolest, võib see negatiivselt mõjutada organisatsiooni infoturvet ning teenuse kvaliteeti.

2.7 Pilvteenustele migreerimise puudulik kavandamine Ebapiisav pilvteenusele ülemineku plaan seab ohtu andmete turvalisuse. Kui organisatsioon loobub migratsiooni testandmetega testimisest ja väiksemahulisest pilootprojektist, on oht, et pärast täismahulist migratsiooni teenused nõutaval viisil ei tööta.

2.8 Pilvteenuste puudulik integreerimine omaenda IT-süsteemidega Kui pilvteenuseid ei integreerita organisatsiooni IT-taristusse sobival viisil või tehakse seda puudulikult, ei saa kasutajad pilvteenust täies mahus kasutada. Kokkulepitud funktsionaalsus ja jõudlus võivad jääda saavutamata, tekivad häired äriprotsessi töös. Puudulik integratsioon organisatsiooni infotehnoloogiaga võib põhjustada märkimisväärseid turvanõrkusi.

2.9 Pilvteenuse kasutamise lõpetamise puudulik reguleerimine Kui lepingu lõpetamine on puudulikult kokku lepitud, võib see organisatsioonile kaasa tuua märkimisväärse kahju. Piisava sisemise valmisolekuta on organisatsioonil keeruline pilvteenust kiiresti teisele teenuseandjale üle anda või oma organisatsiooni IT-süsteemidega lõimida. Kui teenuse üleandmine ajaliselt venib ja kõiki andmeid ei suudeta üle viia, võivad tekkida tööseisakud ja andmekadu.

2.10 Pilvteenuste halduse raamistiku puudulikkus Pilvteenuse kasutuselevõtt muudab sageli teenusega seotud rollide jaotust (nt võivad süsteemiülematest saada teenusehaldurid). Muutused pilvteenuse halduses võivad ajutiselt mõjutada teenuse kvaliteeti. Kui töötajaile uusi ülesandeid tutvustavat koolitust ei tehta või seda tehakse piisamatult, võivad tekkida teenusehäired ja probleemid teenuse haldamisega.

2.11 Avariivalmenduse kontseptsiooni puudulikkus Pilvteenuse osalise või täieliku katkestuse korral võivad ootamatud olukorrad ja puudused avariivalmenduse kontseptsioonis põhjustada seisakuaja pikenemist. Kui teenuse ostja ja teenuseandja pole kokku leppinud, kuidas avariistsenaariumi korral tegutsetakse (nt kui riiklikul tasemel otsustatakse välisühendused sulgeda), pikeneb taasteaeg veelgi.

2.12 Pilvteenuse andja süsteemi tõrge Kui pilvteenuse andja juures toimub IT-süsteemide tõrge, mõjutab see ka pilvteenuse klienti, halvemal juhul katkeb teenus täielikult. Samasuguse tulemuseni viivad tõrked liidestuses pilvteenuse andja ja kliendi vahel või juhul, kui pilvtöötluse platvormi vastu sooritatakse tulemuslik rünne.

146

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.2.2.M1 Pilvteenuste strateegia

OPS.2.2.M2 Pilvteenuste turvapoliitika

OPS.2.2.M3 Pilvteenuste loendi koostamine

OPS.2.2.M4 Vastutusalade ja liidestuste määramine

OPS.2.2.M5 Pilvteenusele migreerimise kava

OPS.2.2.M6 Pilvteenusega liitumise tegevusplaan

OPS.2.2.M7 Pilvteenuste turbe programm

Soetamine

OPS.2.2.M8 Pilvteenuse andja hoolikas valimine

Evitus

OPS.2.2.M9 Kliendi vajadustele vastav pilvteenuse leping

OPS.2.2.M10 Turvaline migratsioon pilvteenusele

Käitus

OPS.2.2.M12 Infoturve pilvteenuste kasutamisel

OPS.2.2.M13 Pilvteenuste turbe piisavuse tõendamine

Kõrvaldamine

OPS.2.2.M14 Pilvteenuselepingu korrakohane lõpetamine

Avariivalmendus

OPS.2.2.M11 Pilvteenuse avariivalmenduse programm

Lisanduvad kõrgmeetmed

OPS.2.2.M15 Pilvteenuse ülekantavuse tagamine

OPS.2.2.M16 Andmete täiendav varundamine

OPS.2.2.M17 Krüpteerimine pilvteenuse kasutamisel

OPS.2.2.M18 Liidendusteenuste korrakohane kasutamine

OPS.2.2.M19 Töötajate taustakontroll

3.2 Põhimeetmed

OPS.2.2.M1 Pilvteenuste strateegia [vastutav spetsialist, organisatsiooni juhtkond, andmekaitse spetsialist]

a. On kehtestatud pilvteenuste strateegia, mis on kooskõlas organisatsiooni eesmärkidega ja kus on dokumenteeritud:

 pilvteenuste eesmärgid, eelised ja riskid;

147

 pilvteenuste kasutamisega seotud õiguslikud, korralduslikud, majanduslikud ja tehnilised raamtingimused;

 eeldatavad pilvteenused ja nende kasutusviisid;

 pilvteenuste lõpetamise tingimused.

b. Iga kavandatava pilvteenuse kohta viiakse läbi teostatavuse, tasuvuse ja turvalisuse analüüs.

c. Pilvteenuste kasutuselevõtuks koostatakse etapiviisiline teenuse kasutuselevõtu plaan.

OPS.2.2.M2 Pilvteenuste turvapoliitika [vastutav spetsialist]

a. Pilvteenuste strateegiast (vt OPS.2.2.M1 Pilvteenuste strateegia) lähtuvalt on koostatud pilvteenuste turvapoliitika.

b. Turvanõuete määramisel on lähtutud teenuse kaitsetarbest ja korralduslikest, tehnilistest ning õiguslikest raamtingimustest.

c. Rahvusvaheliselt tegutsevate teenuseandjate puhul on arvestatud riigipõhist spetsiifikat ja õigusaktidest tulenevaid nõudeid.

OPS.2.2.M3 Pilvteenuste loendi koostamine [vastutav spetsialist]

a. Kõik kavandatavad ja kasutatavad pilvteenused dokumenteeritakse ühtsetel alustel.

b. Iga pilvteenuse kohta on esitatud vähemalt järgmised andmed:

 teenuse nimetus ja tähis;

 teenuse eesmärk;

 teenuse parameetrid ja/või lepinguline teenusetase;

 teenuse ajaraamid;

 arveldusandmed;

 pääsuõigused ja autentimismeetod;

 kontaktisikud.

OPS.2.2.M4 Vastutusalade ja liidestuste määramine [vastutav spetsialist]

a. Määratletakse ja dokumenteeritakse pilvteenuse kasutamisega seotud vastutusalad ja teenusepoolte tegevused.

b. Valitakse ja dokumenteeritakse pilvteenuse rakenduseks vajalikud IT-komponendid (nt. andmete varundussüsteem) ning riist- ja tarkvaraline liidestus.

3.3 Standardmeetmed

OPS.2.2.M5 Pilvteenusele migreerimise kava [vastutav spetsialist]

a. Pilvteenusele siirdumiseks koostatakse pilvteenusele migreerimise kava, mis määrab:

 rollid ja kohustused;

 IT-keskkonna ja käiduprotseduuride ettevalmistuse;

 testimis- ja üleviimisprotseduurid;

 teenusetaseme ja turvataseme vastavuskontrolli;

 pilvteenusest loobumise protseduurid.

148

b. Pilvteenusele üleminekul hinnatakse pilvteenuse mõju olemasolevale IT-keskkonnale ja organisatsiooni tööprotsessidele, kavandatakse liidestused olemasolevate IT-süsteemidega ja plaanitakse täiendavad koolitused.

OPS.2.2.M6 Pilvteenusega liitumise tegevusplaan

a. Pilvteenuse kasutuselevõtuks koostatakse teenusega liitumise tegevusplaan, mis sisaldab vähemalt järgmisi tegevusi:

 liidestuste ettevalmistus ja käivitamine;

 võrguühenduste sobivus ja kontroll;

 teenuse halduse korraldus;

 andmete haldus.

b. Pilvteenusega liitumise tegevusplaan on dokumenteeritud, tegevusplaani uuendatakse regulaarselt.

OPS.2.2.M7 Pilvteenuste turbe programm

a. Pilvteenuste turvapoliitika (vt OPS.2.2.M2 Pilvteenuste turvapoliitika) põhjal on koostatud pilvteenuste turbe programm, mis käsitleb pilvespetsiifilisi riske (nt sõltuvus pilvteenuse andjast, simultaanteenindus, fikseeritud andmevormingud, andmetele juurdepääs).

b. Pilvteenuste turbe programm on kooskõlas pilvteenuse andja ja võrgutarnijaga sõlmitud lepingutega ning teenuse kasutustingimustega.

OPS.2.2.M8 Pilvteenuse andja valimise kriteeriumid [organisatsiooni juhtkond]

a. Pilvteenuse andja valimiseks koostatakse pilvteenuste loendi (vt OPS.2.2.M3 Pilvteenuste loendi koostamine) andmeid sisaldav ja neid täiendav nõuete spetsifikatsioon.

b. Pilvteenuse andja valimisel arvestatakse järgmisi aspekte:

 teenuseandja maine;

 teenuseandja tegevusvaldkond ja spetsialiseerumine pilvteenustele;

 turuanalüüsid ja soovitused;

 teenuseandja asukoht ja jurisdiktsioon;

 teenuse jõudlus ja käideldavus;

 kliendisõbralikkus;

 alltöövõtjate kasutamine;

 lepingutingimuste sobivus;

 teenuse lõpetamine;

 tasuvus.

c. Pilvteenuse andjalt saadud teenusekirjelduste õigsust ja sertifikaatide kehtivust kontrollitakse, küsides teenuseandjalt täiendavat teavet.

OPS.2.2.M9 Kliendi vajadustele vastav pilvteenuse leping [organisatsiooni juhtkond]

a. Organisatsiooni ja pilvteenuse andja vahelises lepingus on määratud alljärgnev:

 õiguslikud raamtingimused;

149

 pilvteenusega seotud teabe liik ja maht;

 teenuse jõudlus ja kvaliteet;

 turvanõuded;

 teenuse saamise koht;

 allhankijad või muud kolmandad pooled;

 nõuded pilvteenuse andja personalile;

 suhtlusteed ja kontaktisikud;

 töökorraldus, vastutused ja pääsuõigused;

 muudatuste kord;

 teenuse testimine ja seire;

 tõrke- ja intsidendikäsitlus;

 lepingu lõpetamine, järeltoimingud, andmete kustutus.

OPS.2.2.M10 Turvaline migratsioon pilvteenusele [vastutav spetsialist]

a. Migratsioonil pilvteenusele arvestatakse eelnevalt väljatöötatud kava (vt OPS.2.2.M5 Pilvteenusele migreerimise kava) ja turbe programmi (vt OPS.2.2.M7 Pilvteenuste turbe programm).

b. Enne tegelikku kasutuselevõttu testitakse migratsiooni toimimist testkeskkonnas.

c. Pärast IT-süsteemide migreerimist käidukeskkonda (ingl operational environment) kontrollitakse teenuse vastavust lepingu tingimustele.

OPS.2.2.M11 Pilvteenuse avariivalmenduse programm

a. Kasutuselevõetud pilvteenuste jaoks on välja töötatud avariivalmenduse programm, mis sätestab:

 kontaktisikud;

 avariikäsitluse korra, vastutused, toimingud ja dokumenteerimise;

 andmete, liideste, vahendite ja taristu varunduse;

 vajalikud tehnilised vahendid;

 avariikäsitluse õppuste korraldamise.

OPS.2.2.M12 Infoturve pilvteenuste kasutamisel

a. Pilvteenuste dokumentatsiooni ja kasutusjuhiseid ajakohastatakse regulaarselt.

b. Pilvteenuse vastavust teenuselepingus kokku lepitud tingimustele ja turvanõuetele kontrollitakse regulaarselt.

c. Pilvteenuste turbe programmi (vt OPS.2.2.M7 Pilvteenuste turbe programm) järgimist ja selle ajakohasust kontrollitakse regulaarselt.

d. Pilvteenuste haldurid järgivad moodulites ORP.3 Infoturbe teadlikkuse suurendamine ja koolitus ja OPS.1.1.2 IT-süsteemide haldus toodud meetmeid.

e. Andmevarunduse toimimist kontrollitakse regulaarselt.

f. Avariikäsitlust harjutatakse koostöös teenuseandjaga regulaarselt.

150

OPS.2.2.M13 Pilvteenuste turbe piisavuse tõendamine

a. Pilvteenuse andja tõendab infoturbe vastavust õigusaktidest tulenevatele nõuetele ja/või rahvusvaheliselt tunnustatud kriteeriumidele, esitades vastavad sertifikaadid, akrediteeringud või auditite tulemused.

b. Tõendusmaterjali hindamisel kontrollitakse, kas sertifikaatide kehtivusala hõlmab kasutatavat pilvteenust.

c. Pilvteenuse puhul allhankijate kasutamisel nõutakse samade kriteeriumide täitmise tõendamist ka nendelt.

OPS.2.2.M14 Pilvteenuselepingu korrakohane lõpetamine [vastutav spetsialist, organisatsiooni juhtkond]

a. Pilvteenuselepingu lõppemise puhuks on kehtestatud protseduurid üleminekuks sisemisele teenusele või teisele pilvteenuseandjale, täites kõiki seniseid teenusenõudeid.

b. Pilvteenusepingu lõppemisel tagatakse, et see ei mõjuta negatiivselt organisatsiooni äriprotsesside jätkuvust.

c. Pilvteenuselepingus on lepingu lõppemise puhuks määratletud:

 lepingupoolte omandiõigused teenusevahenditele;

 teenuse dokumentatsiooni ja vajalike andmete üleandmine kliendile;

 kliendi andmete turvaline kõrvaldamine teenuseandja käsutusest.

3.4 Kõrgmeetmed

OPS.2.2.M15 Pilvteenuse ülekantavuse tagamine [vastutav spetsialist] (A)

a. Pilvteenuse andja vahetamiseks või siseteenusele üleminekuks on kehtestatud kriteeriumid, mis sisaldavad porditavusnõudeid ja teenuse ülekantavuse testimise kohustuse.

b. Vajalik porditavus on pilvteenuse lepingu kohaselt võimalik (vt OPS.2.2.M9 Kliendi vajadustele vastav pilvteenuse leping).

OPS.2.2.M16 Andmete täiendav varundamine [vastutav spetsialist] (I-A)

a. Pilvteenuselepingus on esitatud teenuseandjale andmevarunduse detailsed nõuded.

b. Pilvteenuselepinguga on määratletud kliendi õigus täiendava andmevarunduse tegemiseks.

c. On otsustatud, kas pilvteenuse andja andmevarundusele lisaks tehakse ka omapoolset andmete varundamist.

OPS.2.2.M17 Krüpteerimine pilvteenuse kasutamisel (I-A)

a. Kõiki käideldavaid andmeid vahetatakse pilvteenuse andja ja organisatsiooni vahel krüpteeritult.

b. Andmete krüpteerimiseks nende salvestus- või töötluskohas on kokku lepitud, kas andmed krüpteerib pilvteenust kasutav organisatsioon (enne nende edastamist pilvteenuse andjale) või krüpteeritakse edastatavad andmed pilvteenuse andja IT-süsteemides.

c. Kui andmed krüpteerib pilvteenuse andja, määratakse lubatud krüpteerimismehhanismid, võtme pikkused ja turvalise võtmehalduse nõuded pilvteenuselepingus.

d. Kui andmeid krüpteerib organisatsioon, kooskõlastatakse see eelnevalt teenuseandjaga. Meetme rakendamisel järgitakse ka moodulit CON.1 Krüptokontseptsioon.

151

OPS.2.2.M18 Liidendusteenuste korrakohane kasutamine [vastutav spetsialist] (C-I-A)

a. Kui pilvteenuste jaoks kasutatakse liidendusteenuseid (ingl Federation Service), edastatakse kesksest kataloogiteenusest saadud identsustõendiga (nt SAML-pilet (SAML- Security Assertion Markup Language)) pilvteenuse andjale üksnes vajalikku teavet.

b. Kasutajate õigusi kontrollitakse regulaarselt ja identsustõendi saavad ainult volitatud kasutajad.

OPS.2.2.M19 Pilvteenuse andja töötajate taustakontroll [personaliosakond] (C-I-A)

a. Pilvteenuse andjaga on lepitud kokku personali kvalifikatsiooni ja usaldusväärsuse kontrollimise nõuetes ja kriteeriumides.

b. Pilvteenuse andja tõendab kliendile oma töötajate usaldatavust ja vastavust kliendi kriteeriumidele.

4 Lisateave

Lühend Publikatsioon

[CSA] Cloud Security Alliance, „Security Guidance for Critical Areas of Focus in Cloud

Computing“

[NIST] NIST Special Publication 800-144 „Guidelines on Security and Privacy in Public Cloud Computing“

OPS.2.3 Väljasttellimine

1 Kirjeldus

1.1 Eesmärk Esitada meetmed väljasttellimise (ingl outsourcing) turvaeesmärkide saavutamiseks ja infoturbe parendamiseks kogu allhanke elutsükli kestel.

1.2 Vastutus Väljasttellimise meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Hankeosakond, vastutav spetsialist, organisatsiooni juhtkond, avariiülem, personaliosakond, haldusosakond.

1.3 Piirangud Moodulis käsitletakse väljasttellimise turvariske allhanke tellija seisukohast. Teenuseandja vaade on esitatud moodulis OPS.3.2 Teenuseandja infoturve.

Väljasttellimisena käsitletakse antud moodulis IT allhankeid. Hanked, mis käsitlevad infotehnoloogiat ainult osaliselt, vajavad täiendavat turvaanalüüsi.

152

Moodul ei käsitle teenuseandjaga suhtlemise andmevahetuskanalite turvet. Pilvteenuseid käsitletakse moodulis OPS.2.2 Pilvteenuste kasutamine. Nõudeid teenuseandja töötajatele ning füüsilisele turbele käsitletakse mooduligruppides ORP. Organisatsioon ja personal ja INF.Taristu.

2 Ohud

2.1 Väljasttellimise strateegia puudumine Kui väljasttellimise kavandamisel ei esitata teenuseandjale infoturbe nõudeid ega kirjeldata hanke objektiga seotud turbevajadusi kogu objekti elutsükli jooksul, võib infoturbe tegelik olukord teenuseandja juures osutuda tellija äriprotsesside jaoks ebapiisavaks. Eksisteerib oht, et tellija äriprotsessid võivad saada kahjustada ning tundlik teave võib lekkida.

2.2 Ärikriitiliste protsesside kontrolli puudulikkus Kui osa vajalikest teadmistest ja oskustest läheb üle teenuseandjale, kaotab organisatsioon täieliku kontrolli oma võtmetähtsusega äriprotsesside üle. Protsesse pole võimalik piisavalt kiiresti ja adekvaatselt juhtida. Äriprotsessi katkemisel võivad tekkida probleemid äriprotsessi õigeaegse ja nõutaval kujul taastamisega.

2.3 Sõltuvus teenuseandjast Otsus kasutada väljasttellimist võib viia organisatsiooni teenuseandjast täielikku sõltuvusse, põhjustades oskusteabe kaotust ja äriprotsessi üle kontrolli kadumist. Rakendatavad turvameetmed ei pruugi olla vastavuses tegeliku kaitsetarbega. Klient ei pruugi puudujääke teenuseandja infoturbes ise märgata. Teenuseandja võib tekkinud olukorda oma huvides ära kasutada (nt tõsta märkimisväärselt teenuse hinda).

2.4 Teenuseandja ebapiisav infoturbe tase Kui väljasttellimisel ei esitata teenuseandjale infoturbe nõudeid, võib teenuseandja IT- süsteemid või teenus ise sisaldada turvanõrkusi, mida ründajal on võimalik organisatsiooni IT-süsteemide ründamiseks ära kasutada. Teenuseandja süül tekkinud intsidendil võivad olla organisatsiooni jaoks otsesed rahalised tagajärjed, samuti tekib mainekahju.

2.5 Ebapiisav kontroll hangitava teenuse üle Kui sisseostetavaid teenuseid või protsesse juhitakse ebapiisavalt, väheneb protsesside läbipaistvus ja hallatavus. Teenuse tellijal puudub kontroll teenuseandja protsesside ja tegevuste üle. Organisatsioon ei saa tagada, et allhanke protsessis teenuseandja rakendab vajalikku hoolsust, et tagada teenuse kvaliteet ja nõutav turvatase.

2.6 Teenust reguleerivate lepete puudulikkus Teenuseandjaga sõlmitud lepped ei pruugi sisaldada kõiki teenuseandja kohustusi ja kõiki rakendamisele kuuluvaid turvameetmeid. Turvanõuete dokumenteerimata jätmine võib takistada hilisemaid nõudeid teenuseandjale. Näiteks, kui leping seda ei reguleeri, ei pruugi teenuseandja kinni pidada kliendi teavitamiskohustusest. Rakendamata turvameetmed võivad kaasa tuua ka õigusaktide nõuete eiramise. Puudulikud turvameetmed teenuseandjaga sõlmitud lepingus on risk äriprotsessi käideldavusele ja andmete konfidentsiaalsusele.

2.7 Pääsuõiguste halduse puudulikkus Sõltuvalt hanke objektist võivad teenuseandja töötajad vajada pääsuõigusi organisatsiooni IT- süsteemidele, andmetele või ruumidele. Kui pääsuõiguste andmine, haldamine ja kontrollimine on teenuseandja poolelt halvasti korraldatud, võivad ohtu sattuda klientide

153

andmed. Teenuseandja töötajatele kontrollimatult pääsuõiguste andmine soodustab antud õiguste ärakasutamist teabe kopeerimise või manipuleerimise eesmärgil.

2.8 Teenuseandja allhangete kontrollimatus Teenuseandja võib omakorda teenuse pakkumiseks vajalikke ressursse hankida oma allhankijatelt. Kogu protsess muutub täiendavate osapoolte lisandumise tõttu seeläbi keerumaks ja vähem läbipaistvamaks. Kontroll teenuseandja üle väheneb. Täiendavalt lisandunud partnerettevõtete töötajad ei pruugi teada ega järgida algselt kokkulepitud turvanõudeid.

2.9 Sooritusindikaatorite (KPI) puudumine Organisatsioon peab saama kontrollida, kas väljasttellitav teenus on teenuseandja poolt nõuetekohaselt ellu viidud ja hallatud. Kui teenustaseme mõõtmiseks puuduvad kvalitatiivsed või kvantitatiivsed sooritusindikaatorid (ingl key performance indicator, KPI) või need ei anna sisulisi vastuseid teenuse kvaliteedi ega turvanõuete täitmise osas, võib teenuse kvaliteet aja jooksul langeda. Samuti ei ole võimalik kontrollida ja aru saada, kas teenuseandja täidab kokkulepitud turvanõudeid.

2.10 Puudulikud sätted väljasttellimise lõpetamiseks Kui teenuslepped ei sätestata täpseid teenuse lõpetamise tingimusi, võib juhtuda, et teenuse klient ei saa lepingut ilma märkimisväärsete kuludeta lõpetada. Teenuseandja poolt soovitud liiga lühike lepingu ülesütlemise tähtaeg võib sundida klienti kiiresti otsustama uue ning sobimatu teenuseandja kasuks. Samuti võivad teenuse lõpetamisega kaasneda erinevad turvaprobleemid. Puudulik andmete (sh varundatud andmete) kustutamise kord võib põhjustada konfidentsiaalsete andmete lekke.

2.11 Väljastellitavate teenuste puudulik avariihaldus Avariiolukorra tekkides või kriisi puhkedes võivad väljasttellitud teenused katkeda. Tavaolukorras hästi toimivate protsesside taastamine ei pruugi avariiolukorras õnnestuda. Häiringuid ja avariiolukorrad on tavaliselt ootamatud ja neid pole võimalik lõpuni kontrollida. Kaasnev teenusekatkestus toob kaasa vahetuid negatiivseid ärilisi tagajärgi. Kannatajateks osutuvad kõik seotud ettevõtted, nii need, kellelt teenust ostetakse ja kellele ise teenuseid pakutakse. Selline kaskaadina kasvav efekt omab allhangete kontekstis märkimisväärset mõju.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.2.3.M1 Turvanõuded väljasttellitavale teenusele

OPS.2.3.M2 Riskipõhine lähenemine hangete korraldamisel

OPS.2.3.M8 Väljasttellimise strateegia koostamine

OPS.2.3.M9 Hankepoliitika kehtestamine

Evitus

OPS.2.3.M3 Teenuseandja valimise kriteeriumid

OPS.2.3.M4 Teenuselepingu vastavus kliendi nõuetele

154

OPS.2.3.M5 Teenuseandja simultaanteeninduse võimekuse hindamine

OPS.2.3.M6 Väljasttellitava teenuse turbe põhimõtted

OPS.2.3.M10 Vastutavate kontaktisikute määramine

OPS.2.3.M13 Huvide konflikti vältimine teenuselepingu sõlmimisel

OPS.2.3.M14 Laiendatud nõuded teenuselepingule

Käitus

OPS.2.3.M7 Välisteenuselepingu korrakohane lõpetamine

OPS.2.3.M11 Väljasttellitud teenuste register

OPS.2.3.M12 Väljasttellitud teenuste aruandlus

OPS.2.3.M15 Teenuseandja ja kliendi turvaline võrguühendus

OPS.2.3.M16 Teenuseandja infoturbe läbivaatus

OPS.2.3.M17 Teenuseandja personali kasutamise kord

OPS.2.3.M18 Teenuseandjaga sõlmitud lepete läbivaatus

OPS.2.3.M19 Alternatiivsete teenuseandjate kaardistamine

Avariivalmendus

OPS.2.3.M20 Avariivalmendus väljasttellimisel

Lisanduvad kõrgmeetmed

OPS.2.3.M21 Tarkvara lähtekoodi hoiustuslepingute sõlmimine

OPS.2.3.M22 Ühiste avariiõppuste läbiviimine

OPS.2.3.M23 Tundlike andmete krüpteerimine

OPS.2.3.M24 Teenuseandja töötajate taustakontroll

OPS.2.3.M25 Teenuseandja andmete aedikkäitus

3.2 Põhimeetmed

OPS.2.3.M1 Turvanõuded väljasttellitavale teenusele [vastutav spetsialist]

a. Kõikidele väljasttellitavatele teenustele on kehtestatud kaitsetarbe määramisele ja/või ärimõjude hindamisele (ingl business impact assessment, BIA) põhinevad turvanõuded.

b. Teenuse turvanõuete määramisel on arvestatud, mis andmeid töödeldakse ning milline peab olema andmevahetusprotseduuride ja -liideste turve.

c. Väljasttellitava teenuse turvanõuete määramisel on arvestatud äriprotsesside vahelist sõltuvust ning protsesside sisendeid ja väljundeid.

OPS.2.3.M2 Riskipõhine lähenemine hangete korraldamisel

a. Teenuse väljasttellimise võimalikkus otsustatakse riskipõhiselt, eelnevalt määratud kaitsetarbe ja riskiprofiili alusel.

b. Väljasttellitava teenuse jätkuvat vastavust lubatud riskiprofiilile kontrollitakse regulaarselt.

155

OPS.2.3.M3 Teenuseandja valimise kriteeriumid [vastutav spetsialist, hankeosakond]

a. Teenuseandja valimiseks on koostatud turvanõudeid sisaldav nõuete profiil.

b. On kehtestatud järgmised teenuseandja valimise ja hindamise kriteeriumid:

 teenuse sobivus ja läbipaistvus;

 teenuse vastavus kliendi turvanõuetele;

 teenuseandja maine ja soovitused;

 teenuseandja ärikultuur (välismaise teenuseandja korral);

 teenuseandja personali kvalifikatsioon.

c. Teenuseandja valimisel hinnatakse võimalike huvide konfliktide olemasolu.

d. Teenuseandja jätkuvat vastavust teenuseandja valimise kriteeriumitele kontrollitakse regulaarselt.

OPS.2.3.M4 Teenuselepingu vastavus kliendi nõuetele

a. Kõik väljasttellitava teenuse aspektid lepitakse teenuseandjaga kirjalikult kokku teenuselepingus. Teenuselepingute tarbeks on loodud ühtne lepinguvorm.

b. Teenuselepingus määratletud lepingupartnerite infoturbealased õigused ja kohustused lähtuvad eelnevalt kaardistatud riskidest (vt OPS.2.3.M1 Turvanõuded väljasttellitavale teenusele).

c. Teenuseleping sätestab väljasttellitava teenuse haldusega seotud üksikasjad, näiteks taristu kasutustingimused, alltöövõtu lubamine või mittelubamine, töötajatele püstitatud nõuded, isikuandmete kaitse, huvide konflikti vältimine ning tõrgete ja intsidentide käsitlus.

d. Teenuseandja tagab nõuete täitmise kontrollimiseks vajalikud teabe saamise ja juurdepääsu õigused ning vajadusel ka auditeerimisvõimalused.

e. Vajadusel sõlmitakse tundlike andmete kaitseks teenuseandjaga konfidentsiaalsuslepe (ingl non-disclosure agreement, NDA).

OPS.2.3.M5 Teenuseandja simultaanteeninduse võimekuse hindamine

a. Teenuseandja tagab erinevatele klientidele sarnaste teenuste pakkumisel kliendi andmete turvalise eraldatuse ning esitab sellekohase kinnituse.

b. Kliendi nõudel esitab teenuseandja tehnilise kirjelduse, kuidas kliendi andmeid kaitstakse ning kuidas need on eraldatud avalikest ja teiste klientide andmetest.

OPS.2.3.M6 Väljasttellitava teenuse turbe põhimõtted

a. Teenuseandja on rakendanud infoturbe halduse süsteemi (ingl information security management system, ISMS) vähemalt väljasttellitava teenuse ulatuses.

b. Organisatsioon on määratlenud ja teenuseandjaga kokku leppinud E-ITS moodulid ja infoturbe meetmed, mida teenuseandja on kohustatud rakendama.

c. Teenuseandja on teenuse käsitlusala ulatuses tõendatavalt rakendanud E-ITS infoturbe meetmed kõigist asjakohastest E-ITS moodulitest. Teenuseandja valitud E-ITS turbeviis vastab tellija poolt esitatud kaitsetarbe määrangutele.

d. Infoturbe meetmete rakendatust tõendab teenuseandja välise audiitori poolt väljastatud E- ITS auditi järeldusotsusega või akrediteeritud sertifitseerimisasutuse poolt väljastatud ISO

156

27001 sertifikaadiga. Auditi järeldusotsuses või sertifikaadil esitatud auditi käsitlusala hõlmab kõiki väljasttellitava teenusega seotud äriprotsesse ja tugiteenuseid.

e. E-ITS auditi järeldusotsuse või kehtiva ISO 27001 sertifikaadi puudumisel veendub organisatsioon (kui teenuse tarbija) selles, et tema poolt esitatud ning rakendamisele kuuluvad infoturbe meetmed on teenuseandja poolt rakendatud.

f. Organisatsioonil on lepingujärgne õigus teenuseandja juures läbi viia infoturbe läbivaatusi ja auditeid või tellida nende läbiviimine sõltumatult kolmandalt poolelt.

OPS.2.3.M7 Välisteenuselepingu korrakohane lõpetamine [vastutav spetsialist, hankeosakond]

a. Teenuselepingus lepitakse kokku lepingu korralise lõpetamise tingimused (nt etteteatamise tähtaeg). Tingimustekohane teenuse lõpetamine ei mõjuta kliendi tööprotsesside jätkuvust.

b. Teenuselepingus lepitakse kokku lepingu erakorralise lõpetamise tingimused.

c. Teenuseleping määrab poolte õigused ja kohustused lepingu lõppemisel, sealhulgas teenuseandja kohustuse tema valduses olevad kliendi andmed turvaliselt üle anda või kustutada.

d. On kokku lepitud, kuidas toimub andmete, tarkvara ja riistvara tagastamine. Tagastamisel järgitakse seadusandlusest tulenevaid nõudeid.

e. On kokku lepitud, kuidas toimub teenuseandjaga lepingulise suhte lõppemisel kasutajakontode sulgemine ja pääsuõiguste eemaldamine.

3.3 Standardmeetmed

OPS.2.3.M8 Väljasttellimise strateegia koostamine [organisatsiooni juhtkond]

a. Organisatsioonis on kehtestatud majanduslikke, tehnilisi, korralduslikke ja õiguslikke raamtingimusi ning infoturbe aspekte käsitlev väljasttellimise strateegia.

b. Väljasttellimise strateegias on kirjeldatud väljasttellimise eesmärgid, võimalused ja riskid.

c. Väljasttellitava teenuse kliendil on vajalikud võimed, pädevus ja ressursid teenuse infoturbenõuete määramiseks ja kontrollimiseks.

OPS.2.3.M9 Hankepoliitika kehtestamine [organisatsiooni juhtkond]

a. Väljasttellimise strateegiast (vt OPS.2.3.M8 Väljasttellimise strateegia) lähtudes on koostatud ja kinnitatud organisatsiooni hankepoliitika.

b. Hankepoliitika arvestab organisatsiooni infoturbe vajadusi ja sisaldab tüüpseid nõudeid teenuseandjaga sõlmitavatele lepingutele (vt OPS.2.3.M4. Teenuselepingu vastavus kliendi nõuetele).

c. Hankepoliitika sätestab, kuidas toimub väljasttellitava teenuse testimine ja kasutusevõtuks kinnitamine.

d. Hankepoliitikas on määratud, kas või mis tingimustel on teenusandjal lubatud kasutada oma teenuse tarnimisel alltöövõtjaid.

OPS.2.3.M10 Vastutavate kontaktisikute määramine [personaliosakond]

a. Iga väljastellitava teenuse jaoks on määratud organisatsioonisisesed ja -välised suhtluspartnerid, nende õigused ja edastatava teabe sisu.

157

b. Mõlemad pooled kontrollivad suhtluspartneri volituste olemasolu ja kehtivust. Suhtluspartnerite andmed on ajakohased ja dokumenteeritud.

OPS.2.3.M11 Väljasttellitud teenuste register

a. Väljasttellimise eest vastutaja koondab allhankeid käsitleva dokumentatsiooni väljasttellitud teenuste registrisse.

b. Väljasttellitud teenuste register sisaldab teavet teenuseandjate, peamiste sooritusindikaatorite (ingl key process indicator, KPI), protsesside ärikriitilisuse, sõlmitud lepete ning teenusemuudatuste kohta.

OPS.2.3.M12 Väljasttellitud teenuste aruandlus

a. Väljasttellimise eest vastutaja koostab juhtkonnale perioodiliselt aruandeid teenuse hetkeseisust ja võimalikest kitsaskohtadest.

b. Teenuste aruandlus sisaldab teavet toimunud infoturbe sündmuste ja intsidentide kohta.

OPS.2.3.M13 Huvide konflikti vältimine teenuselepingu sõlmimisel [organisatsiooni juhtkond]

a. Teenuselepingu tingimuste läbirääkimisel osalevad organisatsiooni erinevate valdkondade esindajad.

b. Teenuselepingu koostamisel on välditud võimalikku äripoole ja infoturbe huvide konflikti.

OPS.2.3.M14 Laiendatud nõuded teenuselepingule

a. Teenuselepingus on määratud, millistele objektidele ja võrguteenustele tohib teenuseandja kliendi võrgus juurde pääseda.

b. Teenuse peamised sooritusindikaatorid (KPI) on dokumenteeritud teenuselepingu osana. Kui teenus ei vasta kokkulepitud sooritusindikaatoritele, on võimalik teenuseandjale kehtestada sanktsioone (nt leppetrahv).

c. Teenuseleping sisaldab erinevaid võimalusi väljastellitava teenuse lõpetamiseks ning seonduvaid protseduure kliendi andmete ja varade tagastamiseks.

d. Teenuseleping sisaldab osapoolte kohustusi ja käitumisjuhiseid avariiolukorras tegutsemiseks.

OPS.2.3.M15 Teenuseandja ja kliendi turvaline võrguühendus

a. Enne teenuseandja kliendi võrku lubamist on kokku lepitud ja dokumenteeritud:

 ühenduse kasutamise korralduslikud ja tehnilised tingimused;

 ühenduse kaitsetarve ja turvameetmed;

 poolte konfidentsiaalsuskohustused;

 eritingimused välismaise teenuseandja puhul.

b. Teenuseandja ja klient on määranud võrguühendusega seotud organisatoorsete ja tehniliste küsimuste lahendamiseks kontaktisikud.

c. Teenuseandja ja klient on leppinud kokku võrguühenduse intsidentidest teavitusteed ning intsidentide käsitlemise korra.

158

OPS.2.3.M16 Teenuseandja infoturbe läbivaatus

a. Teenuselepingus määratletud turvanõuete rakendamist teenuseandja juures kontrollitakse regulaarselt.

b. Teenuseandja infoturbe läbivaatuste tulemused dokumenteeritakse.

OPS.2.3.M17 Teenuseandja personali kasutamise kord

a. Enne teenusega alustamist selgitatakse teenuseandja töötajatele kliendi juures kehtivaid nõudeid. Teenuseandja töötajad kinnitavad allkirjaga oma kohustust kliendi juures kehtivaid nõudeid järgida.

b. Teenuseandja ja kliendi vahel on kokku lepitud teenuseandja töötajate asendamise ja nendega töösuhte lõpetamise protseduurid.

c. Kliendi territooriumil lühiajaliselt või ühekordselt viibivat välispersonali käsitletakse sarnaselt külastajaga.

OPS.2.3.M18 Teenuseandjaga sõlmitud lepete läbivaatus

a. Teenuseandjaga sõlmitud lepetes sisalduvate turvameetmete asja- ja -ajakohasust hinnatakse regulaarselt. Ebapiisavate turvameetmete ilmnedes täiendatakse teenuseandjaga sõlmitud leppeid.

b. Teenuseandjaga sõlmitud lepped vaadatakse üle ja vajadusel täiendatakse pärast infoturbe intsidenti, riskimaastiku olulise muutumise ja seadusandluses tehtavate muudatuste puhul.

OPS.2.3.M19 Alternatiivsete teenuseandjate kaardistamine

a. Väljastellitava teenuse korralise või erakorralise lõpetamise puhuks on koostatud tegevuskavad teenuse migreerimiseks alternatiivsele teenuseandjale.

b. On kaardistatud potentsiaalsed teenuseandjad, kellel on teenuse üleandmiseks sobiv ettevõtte profiil ja piisav infoturbe tase.

OPS.2.3.M20 Avariivalmendus väljasttellimisel [avariiülem]

a. Väljasttellitava teenuse jaoks töötatakse välja avariivalmenduse plaan, mis hõlmab teenusepoolte IT-komponentide, liidestuste ja sidekanalite taastet.

b. Väljasttellitava teenuse avariivalmenduse plaanis dokumenteeritakse teenusepoolte vastutus, kontaktisikud ja protseduurid.

c. Organisatsioon kontrollib teenuseandja avariimeetmete rakendamist, selleks korraldavad teenusepooled ühiseid intsidendikäsitluse õppuseid.

3.4 Kõrgmeetmed

OPS.2.3.M21 Tarkvara lähtekoodi hoiustuslepingute sõlmimine (I-A)

a. Teenuseandjalt tarkvara tellimisel on kaalutud tarkvara lähtekoodi (ingl source code) jm olulise materjali usaldatavale hoiule andmise (ingl escrow) vajadust.

b. Hoiustusleping reguleerib vähemalt järgnevat:

 tarkvara kasutus- ja muutmisõigused;

 lähtekoodi avaldamise juhud;

 lähtekoodi asjakohane säilitus ja turve;

 lähtekoodi deponeerimise kord ja sagedus.

159

OPS.2.3.M22 Ühiste avariiõppuste läbiviimine [avariiülem] (A)

a. Organisatsioon viib koos teenuseandjatega läbi ühiseid avariiõppuseid.

b. Avariihalduse õppuse tulemite analüüsi kasutatakse avariihalduse kontseptsiooni ja pooltevahelise koostöö parendamiseks.

c. Teenuseandjatega ühiselt läbiviidavaid avariiõppuseid korraldatakse regulaarselt.

OPS.2.3.M23 Tundlike andmete krüpteerimine (C)

a. Teenuseandja ja kliendi vahelises andmevahetuses edastatakse tundlikud andmed krüpteeritult.

b. Andmekandjale salvestatud andmeid kaitstakse volitamata juurdepääsu eest andmete või andmekandja krüpteerimisega.

c. Võimalusel kasutatakse riiklikult heaks kiidetud ning sertifitseeritud krüpteerimistarkvara.

OPS.2.3.M24 Teenuseandja töötajate taustakontroll [personaliosakond] (C-I-A)

a. Teenuselepingus kehtestavad teenusepooled teenuseandja töötajate turvakontrolli läbiviimise kriteeriumid.

b. Teenusepooled lepivad kokku, milliseid turvakontrolle tehakse ja kumb pool taustakontrolli läbi viib.

OPS.2.3.M25 Teenuseandja andmete aedikkäitus (C-I-A)

a. Teenuseandjalt sissetulevatele andmetele rakendatakse aedikkäitust (ingl sandboxing).

b. Saabuvate e-kirjade manused avatakse kõigepealt aedikus (ingl sandbox).

c. Tarkvara väljatöötava teenuseandja rakendusi ja uuendeid (ingl update) testitakse esmalt aedikus.

OPS.3: Teenuseandja käidutööd

OPS.3.2 Teenuseandja infoturve

1 Kirjeldus

1.1 Eesmärk Esitada meetmed teenuseandja infoturbe kavandamiseks, rakendamiseks, juhtimiseks ja kontrollimiseks ning nõutava turbetaseme hoidmiseks teenuseandja vaatest. Teenuse pakkumisega seotud riskid ei tohi ohustada teenuse kasutajaid. Üldine vastutus teenuse turbe eest jääb teenuse kasutajale.

1.2 Vastutus Teenuseandja infoturbe meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Avariiülem, personaliosakond.

160

1.3 Piirangud Teenustena käsitletakse antud moodulis IT-teenuseid.

Moodul sisaldab teenuseandjale kohalduvaid turvameetmeid. Teenusesaaja vaadet käsitletakse moodulis OPS.2.3 Väljasttellimine. Seda tuleb silmas pidada ka juhul, kui teenuseandja ise kasutab väljasttellimist.

Moodulis ei käsitleta teenuseandja ja väljasttellitava teenuse kliendi vaheliste sidekanalite turvet.

2 Ohud

2.1 Teenuseandja puudulik infoturbe haldus Puudulikult kehtestatud või nõuetele mittevastav teenuseandja infoturbe haldus väljendub infoturbe valdkonna eest vastutuse puudumises, puudulikus juhtkonnapoolses toetuses ja turbeprotsessi läbipaistmatuses. Puuduliku infoturbe halduse korral ei suuda teenuseandja teenust kasutava organisatsiooni infoturbe nõudeid täita. Teenuseandja infoturbealane suutmatus kujutab ohtu kõigile teenust kasutavatele organisatsioonidele.

2.2 Teenuseandja puudulik avariihaldus Teenuseandja IT-süsteemides toimuvad häired ja katkestused võivad mõjutada teenuse kasutajate protsesside tavapärast toimimist. Kui teenuseandja pole avariiolukordadeks piisavalt valmistunud, võib teenuste taastamine võtta kauem aega ja klientide äriprotsessid olla häiritud suuremal määral, kui teenuselepingutes kokku lepitud.

2.3 Puudulikud teenuselepingud teenuse saajatega Kui kaitsetarve ja sellel põhinevad andmete ja süsteemide turvanõuded ei ole kliendi ja teenuseandja vahel kokku lepitud, võivad kliendi andmed jääda vajaliku kaitseta. Kui turvanõuded pole teenuselepetes määratletud, puudub osapooltel alus turvarikete puhul teisele poolele rahaliste nõuete esitamiseks.

2.4 Teenuseandja IT-süsteemidega liidestuse nõrkused Kui väljasttellitava teenuse kliendi ja teenuseandja vaheline IT-liidestus ei ole piisavalt kaitstud, võivad tekkida teenusekatkestused ja esineda andmekadu. Ründaja võib kaitseta või halvasti kaitstud andmeliideseid kasutada ründe algatamiseks. Samuti pole välistatud kõrvaliste isikute volitamata juurdepääs andmetele. Kui osapooled ei ole kokku leppinud avariiprotseduurides, võib see mõjutada avariiolukordade lahendamise tõhusust.

2.5 Teenuse saaja sõltuvus teenuseandjast Väljasttellimine võib teenuse saaja viia teenuseandjast täielikku sõltuvusse, põhjustades oskusteabe kaotust ja äriprotsessi üle kontrolli kadumist. Teenuseandja saab tekkinud olukorda oma huvides ära kasutada. Teenuse kvaliteet võib langeda, teenuseandja rakendatavad turvameetmed ei pruugi olla enam vastavuses teenuselepingus kokku lepitud turvnõuete ja teenuse saaja tegeliku kaitsetarbega. See mõjutab pooltevahelisi suhteid ja kaasa tuua mainekahju ning lepingu rikkumisest tulenevaid rahalisi tagajärgi.

2.6 Pääsuõiguste puudulik haldamine Kui pääsuõiguste andmine, haldamine ja kontrollimine on teenuseandja juures halvasti korraldatud, võib kliendi töötajatele õiguste andmine ajaliselt venida või tehakse õiguste andmisel vigu.

161

Kui teenuseandja IT-talitus annab klientidele liigseid õiguseid, võidakse seetõttu saada juurdepääs ka teiste klientide andmetele. Andmete konfidentsiaalsuse ja tervikluse rikkumine võib teenuseandjale tähendada nõudeid lepingu rikkumisega kaasnevate kahjude korvamiseks.

2.7 Simultaanteeninduse võime puudumine teenuseandjal Kui erinevate klientide IT-süsteemid ja andmed ei ole üksteisest piisavalt turvaliselt lahutatud, kaasneb oht, et üks klient pääseb juurde teise kliendi andmetele. Samuti peab teenuseandja otsustama, millise kliendi huvisid ta eelisjärjekorras kaitseb. Kui asjassepuutuvad kliendid on omavahel konkurendid, võib see tuua kaasa teenuseandja jaoks väga ebamugavaid olukordi.

2.8 Teenuseandja sõltuvus allhankijatest Kui teenuseandja kasutab väljasttellimist, võib teenuseandjal tekkida sõltuvus oma partnerite poolt pakutavate teenuste toimimisest. Teenuseandja ei oma äriprotsesside üle täielikku kontrolli, häired allhangete toimimises mõjutavad negatiivselt ka väljapoole pakutavate teenuste kvaliteeti. Teenuseandjal võib tekkida lepingu mittetäitmisest tulenev finants- ja mainekahju.

2.9 Teenuselepingu lõpetamise puudulik kord Kui teenuselepingu lõpetamise kord on puudulik, võivad tekkida probleemid andmete kliendile üleandmisega. Näiteks erakorralisel lepingu lõpetamisel võivad andmed jääda kliendile terviklikult ja nõuetekohaselt üleandmata. Kui andmed jäävad teenusandja juures kustutamata, pole tagatud andmete turvaline säilitamine ning andmed võivad sattuda volitamata isikute kätte. Andmete pikaajalisel hoidmisel tekib oht rikkuda seadusest tulenevaid andmete säilitustähtaegu.

3 Meetmed

3.1 Elutsükkel

Kavandamine

OPS.3.2.M1 Teenuste turbe kavandamine

OPS.3.2.M2 Teenuselepingu tüüptingimused

OPS.3.2.M3 Turvanõuded allhankijate kasutamisel

OPS.3.2.M8 Teenuse osutamise põhimõtted

Evitus

OPS.3.2.M5 Teenuste turvakontseptsioon

OPS.3.2.M7 Allhankijate asendamise kord

OPS.3.2.M10 Turvaliste suhtluskanalite loomine ja kontaktisikute määramine

OPS.3.2.M13 Turvalised andmesidekanalid

OPS.3.2.M18 Allhankija töötajate teadlikkuse tõstmine

Käitus

OPS.3.2.M4 Klientide andmete eraldamise põhimõtted

OPS.3.2.M6 Teenuselepingu korralise ning erakorralise lõpetamise kord

162

OPS.3.2.M9 Teenuselepingute perioodiline läbivaatus

OPS.3.2.M12 Teenuseandja protsesside ja IT-süsteemide riskianalüüs

OPS.3.2.M14 Teenuseandja protsesside ja IT-süsteemide seire

OPS.3.2.M15 Klientidele esitatavad aruanded

OPS.3.2.M16 Teenuse tarneahela läbipaistvuse tagamine

OPS.3.2.M17 Pääsu reguleerimine

Avariivalmendus

OPS.3.2.M11 Teenuste avariivalmenduse plaan

Lisanduvad kõrgmeetmed

OPS.3.2.M19 Teenuseandja töötajate taustakontroll

OPS.3.2.M20 Andmesidekanalite ja salvestatud andmete krüpteerimine

OPS.3.2.M21 Ühised avarii- ja kriisiõppused

3.2 Põhimeetmed

OPS.3.2.M1 Teenuste turbe kavandamine

a. Teenuseandja on teenuste kavandamisel arvestanud teenuse saajate infoturbe vajadusi.

b. Teenuseandja on võimeline klientidele tagama nende poolt soovitud minimaalselt lubatava infoturbe taseme.

c. Teenus on vastavuse seadusandlusest tulenevate (sh andmekaitse) nõuetega.

OPS.3.2.M2 Teenuselepingu tüüptingimused

a. Teenuseandja on välja töötanud teenuselepingu tüüptingimused.

b. Teenuselepingu tüüptingimused sisaldavad vähemalt järgmist:

 teenuse kasutamise üldised turvanõuded;

 tundlike andmete kaitse põhimõtted ja vajadusel vastava lepingu (ingl non-disclosure agreement, NDA) sõlmimine;

 teenuseandja õigused ja piirangud alltöövõtu (nt kolmandate poolte pilvteenused) kasutamiseks;

 kliendi õigus läbi viia teenuseandja infoturbe nõuete täitmise kontrollimiseks infoturbe ülevaatusi või auditeid;

 teabevahetuse kord;

 teenusetasemete kirjeldused.

c. Teenuseandja on välja töötanud tüüptingimusi sisaldavad teenuselepingu vormid.

d. Teenuselepingu tüüptingimusi rakendatakse kõigis klientidega sõlmitud teenuselepingutes.

OPS.3.2.M3 Turvanõuded allhankijate kasutamisel

a. Väljasttellimise kasutamisel teenuseandja poolt on tagatud kliendiga sõlmitud teenuselepingus sätestatud tingimuste täitmine ja nõutava turvataseme säilitamine.

163

b. Kliendile osutatava teenuse toimimiseks vajalike tööde üleandmisel allhankijale sõlmitakse teenuseandja ja allhankija vahel leping, milles kirjeldatakse üleantavad tööülesanded ja seonduvad turvanõuded.

c. Kliendil on õigus tutvuda teenuseandja ja tema allhankijate vaheliste lepetega kliendile osutatava teenuse osas.

OPS.3.2.M4 Klientide andmete eraldamise põhimõtted

a. Teenuseandja on välja töötanud ja dokumenteerinud vahendid ja protseduurid, millega teenuseandja IT-süsteemides on erinevate klientide andmed ja käitluskeskkonnad üksteisest piisavalt turvaliselt eraldatud.

b. Teenuseandja on rakendanud kaitsetarbele vastavad meetmed klientide andmete eraldamiseks IT-süsteemides.

c. Kliendil on soovi korral võimalik tutvuda, milliste vahendite ja protseduuridega tagatakse andmete eraldatus teiste klientide andmetest.

OPS.3.2.M5 Teenuste turvakontseptsioon

a. Teenuseandja on koostanud kõiki klientidele pakutavaid teenuseid hõlmava turvakontseptsiooni.

b. Turvakontseptsioon sisaldab kõiki üldiseid turvameetmeid ja üksikutele teenustele kohaldatavaid täiendavaid turvameetmeid.

c. Enne teenuselepingu sõlmimist kooskõlastatakse teenuse turvakontseptsioon kliendiga. Klient võib vajadusel teha temale osutatava teenuse osas muudatusettepanekuid.

d. Kliendiga kooskõlastatud teenuse turvakontseptsioon ja teabe klassifitseerimise reeglid on osa kliendiga sõlmitavast teenuselepingust.

e. Teenuseandja kontrollib teenuste turvakontseptsiooni elluviimist ja meetmete rakendamist regulaarselt.

OPS.3.2.M6 Teenuselepingu korralise ning erakorralise lõpetamise kord

a. Teenuselepingus on kokku lepitud lepingu korralise lõpetamise tingimused.

b. Teenuselepingus on kokku lepitud lepingu erakorralise lõpetamise tingimused eesmärgil, et lepingu lõpetamine ei mõjutaks negatiivselt kliendi ega teenuseandja äriprotsesse.

c. Teenuselepingus on sätestatud teenuse andmisel kasutatud riist-ja tarkvara omandiõigus ja nende kasutamise jätkumise tingimused pärast lepingu lõpetamist.

d. Teenuselepingus on dokumenteeritud lepingu lõpetamisel üleantava teabe, andmete ja riistvara tagastamise protseduurid.

e. Kui ei ole teisiti kokku lepitud, kustutatakse teenuseandja juures edasi hoiustatavad kliendi andmed turvaliselt pärast seadusest tuleneva säilitustähtaja täitumist. Andmete kustutamise fakt dokumenteeritakse.

f. Lepingu lõppemisel vaadatakse üle teenuseandja ja kliendi töötajate pääsuõigused, mittevajalikud pääsuõigused eemaldatakse.

164

3.3 Standardmeetmed

OPS.3.2.M7 Allhankijate asendamise kord

a. Allhankijate teenuseid kasutav teenuseandja on koostanud alternatiivsete allhankijate loendi.

b. Allhankijaga sõlmitud lepingu korralisel või erakorralisel lõpetamisel on teenuseandjal võimalik ilma negatiivsete mõjutusteta ja olulise viivituseta tegevused üle anda teisele allhankijale või loobuda allhankija kasutamisest.

OPS.3.2.M8 Teenuse osutamise põhimõtted

a. Teenuseandja on dokumenteerinud põhimõtted teenuste loomiseks, testimiseks ja kasutusele võtuks.

b. Teenuseandja on määranud, kas teenuse osutamisel on lubatud kaasata väliseid partnereid (teenuseandja allhankijaid).

c. Teenuseandja on loonud protsessi teenusega seonduvate riskide (sh allhanke riskide) hindamiseks.

OPS.3.2.M9 Teenuselepingute perioodiline läbivaatus

a. Teenuselepingutes sätestatud turvameetmete täitmist ja turvameetmete jätkuvat asjakohasust kontrollitakse perioodiliselt ja/või sündmusepõhiselt. Ebapiisavate turvameetmetega kliendilepingud ajakohastatakse.

b. Teenuselepingutes sisalduvad turvanõuded vaadatakse täiendavalt üle teenusega seotud riskihinnangute ja seadusandlike aktide muutmisel. Vajadusel täiendatakse turvanõudeid.

OPS.3.2.M10 Turvaliste suhtluskanalite loomine ja kontaktisikute määramine

a. Teenuseandja loob andmevahetuseks klientidega turvalised suhtluskanalid.

b. Teenuseandja ja klient on kokku leppinud ja dokumenteerinud, millist teavet suhtluspartnerite vahel edastatakse ning kes on poolte kontaktisikud.

c. Määratud kontaktisikute volituste kehtivust kontrollitakse regulaarselt.

d. Teenuseandja ja klient on leppinud kokku turvaintsidentide teavitusteedes, kontaktisikutes ning intsidentide lahendamise korras.

OPS.3.2.M11 Teenuste avariivalmenduse plaan [avariiülem]

a. On koostatud teenuste avariivalmenduse plaan, mis hõlmab mõlema teenusepoole asjakohaseid protsesse, komponente ja teenuseliideseid.

b. Avariivalmenduse plaan on kooskõlastatud teenuse kliendiga.

OPS.3.2.M12 Teenuseandja protsesside ja IT-süsteemide riskianalüüs

a. Enne uute rakenduste, IT-süsteemide või protsesside klientidele kättesaadavaks tegemist on teenuseandja läbi viinud riskianalüüsi ja määranud sobivad riskikäsitlusmeetmed.

b. Riskianalüüsi tulemid dokumenteeritakse ja neid kasutatakse infoturbe edasiseks täiustamiseks.

OPS.3.2.M13 Turvalised andmesidekanalid

a. Enne andmevahetuse alustamist lepitakse kokku ja dokumenteeritakse:

 kasutatavad rakendused;

165

 kasutatavad andmevormingud;

 andmete käideldavuskriteeriumid (siinhulgas päringutele reageerimise aeg);

 teabevahetuse turbe meetmed (vt CON.9 Teabevahetus);

 turvamehhanismid (viirusetõrje, krüpteerimine, signeerimine, võtmehaldus jms).

b. Enne andmevahetuse käivitamist kontrollitakse andmesidekanaleid võimalike turvanõrkuste avastamiseks ning veendutakse nõutava turvataseme saavutamises.

c. Andmevahetuse toimimist testitakse enne teenuse kasutamist testandmetega.

OPS.3.2.M14Teenuseandja protsesside ja IT-süsteemide seire

a. Klientidele osutavate teenustega seotud protsesside ja IT-süsteemide toimimist seiratakse pidevalt.

OPS.3.2.M15 Klientidele esitatavad aruanded

a. Kliendiga on kokku lepitud tüüparuande formaat ja kasutatavad suhtluskanalid.

b. Teenuseandja esitab kliendile kindlaksmääratud ajavahemike järel aruande teenuse toimimisest.

c. Eelseisvatest muudatustest teenusega seotud protsessides teavitatakse kliente võimalikult varajases etapis.

OPS.3.2.M16 Teenuse tarneahela läbipaistvuse tagamine

a. Teenuseandja on dokumenteerinud allhankijate osalusega protsessid, peamised tulemusnäitajad, teenuse osutamisega seotud allhankijad ja nendega sõlmitud lepingud.

b. Teenuseandja kontrollib regulaarselt allhankijatega seotud dokumentatsiooni aja- ja asjakohasust. Allhankijatega sõlmitud lepingute muudatused dokumenteeritakse.

OPS.3.2.M17 Pääsu reguleerimine

a. Teenuseandja ja kliendi töötajate sissepääsu ruumidesse, süsteemidesse ja võrkudesse ning juurdepääsu andmetele ja tarkvarale reguleeritakse sobivate korralduslike ja tehniliste vahenditega.

b. Pääsuõigused on jagatud minimaalsuse põhimõttel vastavalt tööalastele vajadustele.

c. Audiitoritele tagatakse nende tööks vajalikud pääsuõigused.

OPS.3.2.M18 Allhankija töötajate teadlikkuse tõstmine

a. Allhankija töötajaid on juhendatud nende tööülesannete täitmise osas ning teavitatud kehtivatest infoturbe nõuetest ja infoturvet reguleerivatest dokumentidest.

b. Allhankija töötajad on kinnitanud, et kohustuvad järgima neile eelnevalt tutvumiseks esitatud eeskirju, protseduurireegleid, infoturbe nõudeid ja konfidentsiaalsuslepinguid.

c. Kõrgendatud turvanõuete puhul kontrollitakse allhankijate töötajate tausta ja vastavust teenuseandja või kliendi kehtestatud kvalifikatsiooninõuetele.

3.4 Kõrgmeetmed

OPS.3.2.M19 Teenuseandja töötajate taustakontroll [personaliosakond] (C-I-A)

a. Teenuseandja kontrollib enne töölepingu sõlmimist uute töötajate ja allhankija personali usaldusväärsust.

166

b. Teenusepooled lepivad kokku teenuseandja töötajate taustakontrolli läbiviimise kriteeriumid.

OPS.3.2.M20 Andmesidekanalite ja salvestatud andmete krüpteerimine (C)

a. Andmete turvaliseks edastamiseks ning nende hoidmiseks teenuseandja juures on kokku lepitud andmete kaitsetarbel põhinevad turvalised krüpteerimismehhanismid.

b. Krüpteerimismehhanismi toimimist kontrollitakse regulaarselt.

OPS.3.2.M21 Ühised avarii- ja kriisiõppused (A)

a. Teenuseandja viib teenuse klientidega koostöös regulaarselt läbi ühiseid avarii- ja kriisiõppuseid.

b. Ühisõppuste tulemusi kasutatakse teenuste avariivalmendusplaani (vt OPS.3.2.M11 Teenuste avariivalmenduse plaan) ja ühiste avariiprotseduuride täiustamiseks.

DER: Avastamine ja reageerimine

DER.1 Turvaintsidentide avastamine

1 Kirjeldus

1.1 Eesmärk Esitada meetmed turvasündmusega seonduvate andmete kogumiseks, seostamiseks ja hindamiseks, et tagada turvaintsidentide terviklik ja õigeaegne avastamine.

1.2 Vastutus Turvaintsidentide avastamise meetmete täitmise eest vastutab IT-talitus.

Lisavastutajad

Kasutaja, vastutav spetsialist, töötaja, ülemus.

1.3 Piirangud Moodul ei käsitle kõiki turvaintsidentide avastamisega seotud aspekte. Kohustuste lahusust käsitletakse moodulis ORP.1 Infoturbe korraldus. Sündmuste logimise meetmed on esitatud moodulis OPS.1.1.5 Logimine. Turvaintsidentide andmekaitse aspekte käsitletakse moodulis CON.2 Isikuandmete kaitse. Sissetungitõrje süsteeme käsitletakse moodulites OPS.1.1.4 Kaitse kahjurvara eest ja NET.3.2 Tulemüür.

2 Ohud

2.1 Õigusaktide sätete eiramine Turvaintsidentide avastamiseks ja logiandmete analüüsiks kasutatavad tehnilised lahendused võivad koguda konfidentsiaalset teavet ja tundlikke isikuandmeid (nt töötajate tegevuste jälgimisel saadud teave). Selline isikuandmete töötlemine võib olla vastuolus isikuandmete kaitse üldmääruse ja isikuandmete kaitse seaduse sätetega.

167

2.2 Vastutajate puudulik kvalifikatsioon Kui vastutajad ei suuda puuduliku koolituse tõttu eristada turvasündmusi organisatsiooni igapäevases IT-töös sageli esinevatest tõrgetest ja vigadest, võivad turvaintsidendid jääda märkamata.

2.3 Sissetungituvastuse süsteemide puudulik seadistus Kui sissetungituvastuse süsteemid on valesti seadistatud, võib see tekitada rohkelt ebaolulisi hoiatusteateid. Turvaintsidendile viitavat teavitust ei suudeta neist eristada ja võimalik rünne võib jääda tuvastamata.

2.4 Teabe puudumine kaitstava IT-süsteemi kohta Kui kasutatava IT-süsteemi kohta pole piisavalt teavet, on tõenäoline, et IT-süsteemi olulisi komponente ei suudeta piisavalt kaitsta ning need jäävad avastussüsteemide poolt katmata. Arvutivõrku tunginud ründaja tegevus võib jääda pikaks ajaks märkamatuks.

2.5 Avastussüsteemide vähene kasutamine Kui avastussüsteeme ei kasutata ning IT-süsteemide ja rakenduste turvasündmuste avastusfunktsioone ei aktiveerita, on ründajal oluliselt lihtsam võrku sisse tungida. Oht on veelgi suurem, kui võrk on segmentimata ja võrkudevahelist liiklust ei monitoorita. Ründaja tegevus võrgus jääb märkamatuks.

2.6 Ebapiisav inimressurss Kui logiandmete ja ründevektorite analüüsimiseks ei jätku inimressurssi või kui töötajad ei jälgi väliseid teabeallikaid turvanõrkuste kohta, võivad turvasündmused jääda tuvastamata või avastatakse intsident alles pärast olulise kahju tekkimist. Kui turvanõrkused organisatsiooni IT-süsteemides jäävad õigeaegselt parandamata, on ründajal võimalik kasutada turvanõrkust organisatsioonivastase ründe sooritamiseks.

3 Meetmed

3.1 Elutsükkel

Kavandamine

DER.1.M1 Turvaintsidentide avastamise eeskiri

DER.1.M2 Logiandmete analüüsi õiguspärasus

DER.1.M3 Turvasündmustest teavitamise kord

DER.1.M4 Töötajate teadlikkuse tõstmine

DER.1.M7 Vastutajate koolitus

Käitus

DER.1.M5 IT-süsteemi avastusfunktsioonide rakendamine

DER.1.M6 Logiandmete pidev seire ja analüüs

DER.1.M9 Täiendavad avastussüsteemid

DER.1.M11 Keskne logimistaristu turvasündmuste analüüsiks

Parendamine

DER.1.M12 Välisallikate teabe analüüs

168

DER.1.M13 Regulaarne avastussüsteemide läbivaatus

Lisanduvad kõrgmeetmed

DER.1.M10 TLS- ja SSH-proksid

DER.1.M14 Logiandmete analüüsile spetsialiseerunud töötajad

DER.1.M15 Reaalajas toimuv sündmuseteadete keskhaldus

DER.1.M16 Avastussüsteemide rakendamine kaitsetarbe alusel

DER.1.M17 Automaatne reageerimine turvasündmustele

DER.1.M18 Regulaarne tervikluse kontroll

3.2 Põhimeetmed

DER.1.M1 Turvaintsidentide avastamise eeskiri

a. Organisatsiooni üldisest turvapoliitikast lähtudes on koostatud eeskiri, milles on kirjeldatud turvaintsidentide õigeaegseks avastamiseks vajalikud plaanimis- ja operatiivtegevused.

b. Turvaintsidentide avastamise eest vastutajad on eeskirjast teadlikud ja võtavad selle oma tegevuse aluseks. Eeskirja muudatused ja eeskirjast lahknevused kooskõlastatakse infoturbejuhiga ja dokumenteeritakse.

c. Turvaintsidentide avastamise eeskirja järgimist kontrollitakse regulaarselt, kontrolli tulemused dokumenteeritakse.

DER.1.M2 Logiandmete analüüsi õiguspärasus

a. Logiandmete analüüsiks on koostatud juhend, milles on esitatud kohaldatavad õigusaktide nõuded. Juhendit ajakohastatakse õiguslike raamtingimuste muutumisel.

b. Logiandmete analüüsimisel ja avastussüsteemide kasutamisel järgitakse andmekaitsealaste ja muude kohalduvate õigusaktide (nt töösuhete korraldamist reguleerivate seaduste) nõudeid.

DER.1.M3 Turvasündmustest teavitamise kord

a. Organisatsioonis on kehtestatud turvasündmustest teavitamise kord, kus dokumenteeritakse teavitusteed ja adressaadid eri liiki intsidentide puhuks, teavitatavad isikud, isikute kättesaadavus ja intsidendi kiireloomulisusest sõltuv sidekanali valik.

b. Töötajad on teadlikud oma ülesannetest ja kohustustest. Turvasündmuse kahtluse korral teavitatakse sellest koheselt turvasündmustest teavitamise korras määratud isikuid, kasutades korras esitatud teavitusteid ja sidekanaleid.

c. Kasutusele võetud teavitusteede toimimist testitakse regulaarselt, vajadusel turvasündmustest teavitamise kord ajakohastatakse.

DER.1.M4 Töötajate teadlikkuse tõstmine [ülemus, kasutaja, töötaja]

a. Töötajad on võimelised turvaintsidenti ära tundma ja on motiveeritud sellest teatama.

b. Töötajatele on selgitatud, et klientide või IT-süsteemide saadetud sündmuseteateid ei tohi jätta tähelepanuta ega teateid ignoreerida.

c. Töötajad teavad, kellele tuleb turvasündmuse info edastada ja milliseid teavitusteid seejuures kasutada (vt DER.2.1 Turvaintsidentide käsitlus).

169

DER.1.M5 IT-süsteemi avastusfunktsioonide rakendamine [vastutav spetsialist]

a. Kui kasutataval IT-süsteemil on funktsioonid, mida saab turvaintsidentide avastamiseks rakendada, on need aktiveeritud.

b. Turvasündmuse korral analüüsitakse mõjutatud IT-süsteemi sündmuseteateid, võimalusel hinnatakse ka muudes IT-süsteemidest samal ajal logitud sündmusi.

c. Sündmuseteadete kogumist IT-süsteemides kontrollitakse regulaarselt.

d. Võimaluse korral sündmuseteadete edastus automatiseeritakse. Kahjurkoodi avastamise skanner edastab vastutavatele isikutele turvasündmuse teate edasiseks analüüsiks automaatselt.

3.3 Standardmeetmed DER.1.M6 Logiandmete pidev jälgimine ja analüüs

a. Organisatsioonis on määratud logiandmete pideva jälgimise ja analüüsi eest vastutavad töötajad.

b. Turvaintsidentide avastamiseks on koostatud IT-süsteemide põhised logiandmete analüüsi juhised.

c. On olemas piisav inimressurss logiandmete pideva jälgimise ja analüüsi teostamiseks.

DER.1.M7 Vastutajate koolitus [ülemus]

a. Sündmuseteadete analüüsi eest vastutajail on vajalik kvalifikatsioon ja läbitud vastav koolitus.

b. IT-süsteemide või rakenduste hankimisel arvestatakse eelarves turvasündmustega tegelevate töötajate koolitusvajadusega.

DER.1.M9 Täiendavad avastussüsteemid [vastutav spetsialist]

a. Võrguskeemi (vt NET.1.1 Võrgu arhitektuur ja lahendus) alusel on määratud, milliseid võrgusegmente kaitstakse täiendavate avastussüsteemide abil.

b. Turvaintsidentide avastamise tõhustamiseks rakendatakse täiendavaid avastussüsteeme ja andureid.

c. Sissetungituvastuse süsteeme (ingl intrusion detection system, IDS) hallatakse tsentraalselt.

d. Välisvõrgu ja sisevõrgu segmentide vahelise liikluse kaitseks kasutatakse võrkutungi tuvastuse süsteemi (ingl network intrusion detection system, NIDS).

DER.1.M11 Keskne logimistaristu turvasündmuste analüüsiks [vastutav spetsialist]

a. IT-süsteemidest kogutud sündmuseteated hoiustatakse keskses logimistaristus (vt OPS.1.1.5 Logimine).

b. Logimistaristu võimaldab mitmetest allikatest edastatud sündmuseteateid sünkroniseerida, korreleerida, analüüsida ja talletada.

c. Kogutud sündmuseteateid analüüsitakse kõrvalekallete avastamiseks regulaarselt.

d. Logimistaristus talletatud turvasündmusi on võimalik analüüsida ka tagantjärele.

DER.1.M12 Välisallikate teabe analüüs [vastutav spetsialist]

a. IT-süsteemidega seotud turvanõrkuste kohta hangitakse teavet kvalifitseeritud välisallikatest, asjakohane teave jõuab õigete töötajateni.

170

b. Kvalifitseeritud allikatest pärinevat teabe asjakohasust hinnatakse, vajadusel muudetakse turvaintsidentide avastamise ja käsitluse protsessi (vt ka DER.2.1. Turvaintsidentide käsitlus).

DER.1.M13 Regulaarne avastussüsteemide läbivaatus

a. Avastussüsteemide ja nendes rakendatavate meetmete ajakohasust ning toimivust kontrollitakse regulaarselt.

b. Läbivaatuse tulemused dokumenteeritakse ja neid võrreldakse eelmiste läbivaatuste tulemustega. Kõrvalekaldeid kontrollitakse.

3.4 Kõrgmeetmed

DER.1.M10 TLS- ja SSH-proksid [vastutav spetsialist] (C)

a. Välisvõrku üleminekul kasutatakse TLS- ja SSH-proksit, mis katkestavad krüpteeritud ühenduse ja võimaldavad edastatavaid andmeid kahjurvara suhtes kontrollida.

b. TLS- ja SSH-proksides kasutakse turvasündmuste automaatset avastamist ja teavitamist.

DER.1.M14 Logiandmete analüüsile spetsialiseerunud töötajad (C-l)

a. Logiandmete analüüsile spetsialiseerunud töötajad on vajaliku kvalifikatsiooniga ja saanud erialast täiendkoolitust.

b. Spetsiifilisi teadmisi nõudva logianalüütikaga (nt kriminalistika valdkonnas) tegelevad selleks spetsialiseerunud töötajad.

DER.1.M15 Reaalajas toimuv sündmuseteadete keskhaldus (C-I-A)

a. Turvasündmuste tuvastamiseks, seoste loomiseks ja turbega seotud asjaolude nähtavaks muutmiseks kasutakse tsentraalsel tarkvaralahendusel põhinevat automaatanalüüsi.

b. Kogutavad logiandmed on terviklikud ja neid saab automaatselt analüüsida.

c. Logianalüüsi tehakse pidevalt ja reaalajas, analüüsiparameetrite etteantud läviväärtuste ületamisel alarmeeritakse määratud töötajat sündmusest automaatselt.

d. Analüüsiparameetreid ja otsustuskriteeriume korrigeeritakse regulaarselt, uute parameetrite rakendamisel analüüsitakse ka eelnevalt kontrollitud andmeid.

DER.1.M16 Avastussüsteemide rakendamine kaitsetarbe alusel (C-I-A)

a. Suurema kaitsetarbega IT-süsteeme kaitstakse avastussüsteemidega, millel on tehniline võimekus ja suutlikkus suurema kaitsetarbe tingimustes opereerimiseks.

DER.1.M17 Automaatne reageerimine turvasündmustele (C-I)

a. Kasutusele on võetud automaatne sissetungitõrje süsteem (ingl intrusion prevention sys- tem, IPS), mis on võimeline:

b. tuvastama ründeid, väärkasutusi ja rikkumisi;

c. teatama turvasündmustest automaatselt;

d. reageerima turvasündmusele automaatse kaitsetoiminguga.

DER.1.M18 Regulaarne tervikluse kontroll (C-I)

a. Regulaarselt kontrollitakse kõigi avastussüsteemide korrasolekut ja kasutajate õigusi süsteemis.

171

b. Automaatselt kontrollitakse failide terviklust ja alarmeeritakse tervikluse kao korral.

DER.2: Turvaintsidentide haldus

DER.2.1 Turvaintsidentide käsitlus

1 Kirjeldus

1.1 Eesmärk Esitada juhised turvaintsidentide süstemaatiliseks käsitlemiseks.

1.2 Vastutus Turvaintsidentide käsitluse meetmete täitmise eest vastutab infoturbejuht.

Lisavastutajad

Andmekaitsespetsialist, vastutav spetsialist, IT-talitus, organisatsiooni juhtkond, avariiülem.

1.3 Piirangud Moodul ei käsitle kõiki turvaintsidentidega seotud toiminguid. Intsidentide avastamise meetmed esitatakse moodulis DER.1 Turvaintsidentide avastamine. Esmast kriminalistikauuringut käsitletakse moodulis DER.2.2 IT-kriminalistika võimaldamine ja kinnisründe intsidendile järgnevat tegevust moodulis DER.2.3 Ulatuslike turvaintsidentide lahendamine. Intsidendi tulemusena tekkinud avariiolukorras tegutsemist käsitletakse moodulis DER.4 Avariihaldus.

2 Ohud

2.1 Turvaintsidentide puudulik käsitlus Kui turvaintsidentidele reageeritakse ebasobival viisil või meetmeid kiiresti ei rakendata, võib ründaja turvanõrkust ära kasutada pikema perioodi jooksul. Väärad otsused turvaintsidentide käsitluses võivad tekitada väga suurt kahju, sealhulgas ka asjatuid kahjusid kolmandatele osapooltele. Näited juhtumitest, mis viitavad turvaintsidentide puudulikule käsitlemisele:

 tulemüüri logifailid sisaldavad kahtlasi kirjeid;

 intsidendist teavitamisega venitatakse;

 kontoris toimunud varguse käsitlemisel ei arvestata, et varastatud sülearvutis võis olla konfidentsiaalseid andmeid.

2.2 Tõendusjälgede hävitamine turvaintsidendi käsitlusel Turvaintsidentide hoolimatu käsitluse korral võivad olulised tõendusjäljed enne asjaolude väljaselgitamist või hilisemat kohtumenetlust hävida või puudub andmetel piisav tõendusväärtus. Näited tõendusjälgede hävimisest:

 Kasutaja sulges aktiveerunud kahjurkoodiga arvuti, mistõttu ei saa koguda täiendavat infot aktiivsete protsesside ja põhimällu laetud komponentide kohta;

172

 Serveri haldur kustutas serveri koormust tõstva protsessi tulemusena tekkinud ajutised failid ilma nende sisu analüüsimata;

 Serveri haldur otsustas kohe pärast intsidendi avastamist installida serverisse puuduvad turvapaigad ja uuendid.

3 Meetmed

3.1 Elutsükkel

Kavandamine

DER.2.1.M1 Turvaintsidendi määratlemine

DER.2.1.M2 Turvaintsidentide käsitluse juhend

DER.2.1.M3 Vastutuste ja kontaktisikute määramine

DER.2.1.M7 Turvaintsidentide käsitluse metoodika

DER.2.1.M8 Turvaintsidentide käsitluse töörühm

DER.2.1.M9 Turvaintsidentidest teavitamise juhend

DER.2.1.M11 Turvaintsidentide hindamine

DER.2.1.M14 Turvaintsidentidest teavitamise eskalatsiooniplaan

Käitus

DER.2.1.M4 Turvaintsidendist teavitamise kord

DER.2.1.M5 Turvaintsidendi lahendamise kord

DER.2.1.M10 Turvaintsidentide toime piiramine

DER.2.1.M12 Turvaintsidentide ja IT-intsidentide käsitluse ühendamine

DER.2.1.M13 Turbe- ja avariihalduse integreerimine

DER.2.1.M15 IT-talituse töötajate valmidus turvaintsidentide käsitluseks

DER.2.1.M16 Turvaintsidentide käsitluse dokumenteerimine

Avariivalmendus

DER.2.1.M6 Töökeskkonna taastamine pärast turvaintsidenti

Täiustamine

DER.2.1.M17 Turvaintsidentide järeltoimingud

DER.2.1.M18 Protsessi täiustamine kogemuste ja välisarengute põhjal

Lisanduvad kõrgmeetmed

DER.2.1.M19 Turvaintsidentide käsitluse prioriteedid

DER.2.1.M20 Organisatsiooni turvaintsidentidest teatamise keskus

DER.2.1.M21 Ekspertrühm turvaintsidentide käsitluseks

DER.2.1.M22 Turvaintsidentide käsitluse korralduse läbivaatus

173

3.2 Põhimeetmed

DER.2.1.M1 Turvaintsidendi määratlemine

a. Organisatsioon on määranud, millised intsidendid on turvaintsidendid. Turvaintsident on IT-tõrgetest selgesti eristatav.

b. Turvaintsidentide käsitlusse kaasatud töötajad teavad turvaintsidendi määratlust.

c. Turvaintsidendi määratluse ja käsitluse aluseks võetakse konkreetsete äriprotsesside, IT- süsteemide ja rakenduste kaitsetarve.

DER.2.1.M2 Turvaintsidentide käsitluse juhend

a. Turvaintsidentide käsitluseks on koostatud protseduurijuhend. Juhendis on määratud käsitlusala, millele juhend laieneb.

b. Juhend sisaldab praktilisi ja sihtrühmakohaseid tegevusjuhiseid käitumiseks turvaintsidendi toimumise puhul.

c. Juhend tehakse teatavaks kõigile töötajatele.

d. Turvaintsidentide käsitlemise juhendit vaadatakse üle ja ajakohastatakse regulaarselt.

DER.2.1.M3 Vastutuste ja kontaktisikute määramine

a. Turvaintsidentide käsitlusega seotud vastutus ja kohustused rakenduvad kõikidele töötajatele.

b. Turvaintsidentidega tegelevad töötajad on läbinud vastava koolituse.

c. Organisatsioonis on määratud, kes ja mis alustel saab otsustada kriminalistikauuringu algatamise.

d. Töötajad teavad eri tüüpi turvaintsidentide kontaktisikuid, vastav teave on ajakohane ja töötajatele kättesaadav.

DER.2.1.M4 Turvaintsidendist teavitamise kord [organisatsiooni juhtkond, IT-talitus, andmekaitsespetsialist, avariiülem]

a. Turvaintsidendi ilmnemisel teavitatakse sellest organisatsioonisiseseid ja -väliseid asjaosalisi viivitamata ning turvaintsidentide käsitluse juhendi kohaselt.

b. Igakordselt otsustatakse, kas intsidendi lahendamisse kaasatakse lisaks ka andmekaitsespetsialist, jurist või organisatsiooni juhtkond.

c. Kui turvaintsidentidest tuleb teavitada väliseid ametiasutusi (CERT-EE, politsei, Andmekaitse Inspektsioon), tehakse seda teavitamiskohustustes määratud perioodi jooksul, teavitamiseks kasutatakse turvalisi suhtlusteid.

DER.2.1.M5 Turvaintsidendi lahendamise kord [IT-talitus]

a. Turvaintsidendi lahendamiseks isoleeritakse mõjutatud komponendid, intsident dokumenteeritakse ja selgitatakse välja selle põhjus.

b. Vajadusel kaasatakse turvaintsidendi eri teemavaldkondadega seotud küsimuste lahendamiseks organisatsioonisiseseid või -väliseid spetsialiste. Selleks on loodud turvalised suhtlusteed.

c. Intsidendi lahendamise käigus taastatakse võimalikult kiiresti intsidendile eelnenud normaalolukord (vt DER.2.1.M6 Töökeskkonna taastamine pärast turvaintsidenti).

174

DER.2.1.M6 Töökeskkonna taastamine pärast turvaintsidenti [IT-talitus]

a. Turvaintsidendi analüüsimiseks eraldatakse intsidendist mõjutatud seadmed võrgust.

b. Intsidendi käsitlemiseks vajalikud andmed varundatakse andmete hilisemaks analüüsiks.

c. Võimalike mõjude ja muutuste avastamiseks kontrollitakse mõjutatud seadme operatsioonisüsteemi ja kõiki rakendusi, paigaldatakse puuduvad turvapaigad ja uuendid.

d. Intsidendijärgsel andmete ennistamisel kontrollitakse andmete õigsust ja terviklust. Varundatud andmete taastamisel veendutakse, et need ei ole turvaintsidendist mõjutatud.

e. Enne mõjutatud seadmete taaskasutuselevõttu muudetakse kõik seadmes kasutatud paroolid, viiakse läbi turvatestimine ja kontrollitakse koos kasutajaga komponendi funktsioneerimist.

f. Uute või korduvate anomaaliate avastamiseks seiratakse pärast töökeskkonna taastamist mõjutatud ja ennistatud seadmete võrguliiklust

3.3 Standardmeetmed

DER.2.1.M7 Turvaintsidentide käsitluse metoodika [organisatsiooni juhtkond]

a. Turvaintsidentide käsitlemise juhendis ( vt DER.2.1.M2 Turvaintsidentide käsitluse juhend) on dokumenteeritud metoodika ja protseduurid eri liiki turvaintsidentide käsitlemiseks.

b. Organisatsiooni juhtkond on turvaintsidentide käsitluse metoodika kinnitanud ja kasutajatele teatavaks teinud.

c. Turvaintsidentide käsitluse metoodikat kontrollitakse ja ajakohastatakse regulaarselt.

DER.2.1.M8 Turvaintsidentide käsitluse töörühm

a. Turvaintsidentide käsitluseks moodustatakse töörühm, töörühma koosseisu võidakse olenevalt intsidendi liigist muuta.

b. Töörühma liikmetele on eelnevalt määratud konkreetne roll ja ülesanded, mida nad on valmis vajadusel täitma.

c. Turvaintsidentide käsitluse töörühma koosseisu muudetakse vastavalt vajadusele.

DER.2.1.M9 Turvaintsidentidest teavitamise juhend

a. Intsidentidest teavitamiseks koostatakse juhend, mis sätestab vähemalt järgmist:

 lubatavad ja sobivad teavitusteed eri liiki intsidentide puhuks;

 isikute nimekiri, keda informeeritakse kindlasti ja keda vajadusel;

 kelle kaudu, millises järjekorras ja millise täpsusega teave liigub;

 kes edastab turvaintsidentidega seotud teavet kolmandatele pooltele.

DER.2.1.M10 Turvaintsidentide toime piiramine [avariiülem, IT-talitus]

a. Turvaintsidendi põhjuste analüüsiga paralleelselt kogutakse intsidendi mõju hindamiseks vajalikku teavet.

b. Kõige tõenäolisemate intsidendistsenaariumide jaoks on koostatud intsidendi käsitlemise tegevuskava.

175

DER.2.1.M11 Turvaintsidentide hindamine [IT-talitus]

a. Turbehalduse ja intsidendihalduse funktsioonidele on kehtestatud turvaintsidentide ja muude häiringute (nt IT-rikete) hindamiseks ja liigitamiseks ühtne protseduur.

DER.2.1.M12 Turvaintsidentide ja IT-intsidentide käsitluse ühendamine [avariiülem]

a. Organisatsioon on analüüsinud turvaintsidentide ja IT-intsidentide kokkupuutekohti ning määratlenud ressursid, mida kasutatakse mõlemat tüüpi intsidentide puhul.

b. IT-intsidentide lahendajatele on selgitatud turvaintsidentide käsitluse erisusi.

c. Turbehalduse töötajatel on IT-intsidentide haldusvahendile lugemisõigusega ligipääs.

DER.2.1.M13 Turbe- ja avariihalduse integreerimine [avariiülem]

a. Kui turvaintsidendi tulemusel on käivitatud avariihalduse protsess, koordineerib intsidendi lahendamist avariiülem.

b. Vajadusel kaasatakse intsidendi lahendamisse täiendavaid, spetsiifiliste oskustega spetsialiste.

DER.2.1.M14 Turvaintsidentidest teavitamise eskalatsiooniplaan [IT-talitus]

a. Lisaks kommunikatsiooniplaanile (vt DER.2.1.M9 Turvaintsidentidest teavitamise juhend) luuakse turvaintsidentidest teavitamise eskalatsiooniplaan, mis kooskõlastatakse infoturbejuhiga.

b. Turvaintsidentidest teavitamise eskalatsiooniplaan sisaldab tegevusjuhiseid, keda ja mis juhtudel intsidendi lahendamiseks täiendavalt kaasata.

c. Eskalatsiooniplaani rakendamiseks valitakse vahendid ja teavitusteed, mis on kättesaadavad ka eriolukorras ning sobivad konfidentsiaalse teabe jagamiseks.

d. Turvaintsidentidest teavitamise eskalatsiooniplaani testitakse regulaarselt. Vajadusel eskalatsiooniplaan ajakohastatakse.

DER.2.1.M15 IT-talituse töötajate valmidus turvaintsidentide käsitluseks [IT-talitus]

a. IT-talituse töötajad teavad oma hallatavate süsteemide kaitsetarvet.

b. IT-talituse töötajatel on turvaintsidentide tuvastamiseks vajalikud vahendid ja kontroll- küsimustikud.

c. IT-talituse töötajad on tutvunud turvaintsidentide käsitluse juhendiga ning läbinud vajalike vahendite kasutamise koolituse.

DER.2.1.M16 Turvaintsidentide käsitluse dokumenteerimine

a. Turvaintsidendid dokumenteeritakse ühtse tüüpprotseduuri kohaselt.

b. Turvaintsidendi dokumenteerimisel fikseeritakse kõik käsitluse käigus tehtud tegevused koos läbiviimise ajaga ning talletatakse mõjutatud komponentide logiandmed.

c. Turvaintsidendi käsitluse raport arhiveeritakse viisil, mis tagab selle tervikluse ja konfidentsiaalsuse.

DER.2.1.M17 Turvaintsidentide järeltoimingud

a. Turvaintsidendi käsitluse järgselt hinnatakse:

 kui kiiresti turvaintsident tuvastati ja lahendati;

 kas teavitusteed toimisid;

176

 kas oli piisavalt andmeid mõjuhinnangu läbiviimiseks;

 kas avastamismeetmed ja käsitlusmeetmed olid tõhusad.

b. Varasemate turvaintsidentide kogemusi kasutatakse sarnaste turvaintsidentide käsitlemise tegevuskava koostamiseks. Tegevuskava muudatused tehakse sihtrühmadele teatavaks.