Riigi Tugiteenuste Keskuse infosüsteemide kasutamise korra kinnitamine

Konfidentsiaalsuskohustuse kinnitus

Mina, ……………….………. (isikukood ……………….), kinnitan, et:

1. Kasutan RTK-s lepingulisi kohustusi täites või seal juhuslikult mulle teatavaks saanud

konfidentsiaalseid andmeid (sh ärisaladust, maksusaladust, riigisaladust, statistikasaladust,

delikaatseid isikuandmeid, ametkondlikuks kasutamiseks mõeldud informatsiooni jms) ainult

tööülesannete täitmise eesmärgil.

2. Kohustun lepingu täitmise käigus või juhuslikult teatavaks saanud konfidentsiaalseid andmeid

hoidma konfidentsiaalsena ning mitte avaldama neid kolmandatele isikutele (välja arvatud

õigusaktides ettenähtud juhtudel).

3. Järgin konfidentsiaalsete andmete kohta õigusaktides sätestatud nõudeid ning täidan RTK-s

kehtestatud organisatsioonilisi, füüsilisi ja infotehnilisi turvameetmeid töödeldavate

konfidentsiaalsete andmete kaitseks juhusliku või tahtliku volitamata muutmise, juhusliku

hävimise, tahtliku hävitamise, õigustatud isikule andmete kättesaadavuse takistamise ning

volitamata töötlemise eest.

4. Olen teadlik, et antud konfidentsiaalsuskohustus kehtib tähtajatult ja selle rikkumise korral

kannan vastutust õigusaktides ettenähtud korras ning olen kohustatud hüvitama kõik kahjud, mis

tekivad RTK-s seoses antud konfidentsiaalsuskohustuse rikkumisega.

/allkirjastatud digitaalselt/

Nimi

Riigi Tugiteenuste Keskus Protsessi omanik: RMIT infoturbejuht Tähis: K8

Kinnitamise kuupäev: 23.04.2020 Versioon nr: 6

Korra haldur: Marek Ilves Avaldatud: siseveebis Lk. 1 / 10

RIIGI TUGITEENUSTE KESKUSE INFOSÜSTEEMIDE KASUTAMISE

KORD

Sisukord: 1. Üldpõhimõtted ......................................................................................................................................................... 1

2. Mõisted .................................................................................................................................................................... 2

3. Infosüsteemi kasutaja kohustused ........................................................................................................................... 3

4. Piirangud infosüsteemi kasutamisel ........................................................................................................................ 5

5. IT-vahendi taotlemine ja kasutamine ...................................................................................................................... 6

6. Infosüsteemi kasutaja õigused ................................................................................................................................. 6

7. Kasutajanimed ja salasõnad ..................................................................................................................................... 7

8. Kasutajaõiguste andmine ja kehtetuks tunnistamine ............................................................................................... 7

9. Infosüsteemi intsidentide lahendamine ................................................................................................................... 8

10. Infoturbeintsidentide käsitlemine ........................................................................................................................... 8

11. Mobiilsete seadmete kasutamine ............................................................................................................................. 9

12. Tingimused võõrarvuti ja isiku, kes ei ole asutuse töötaja, lubamiseks asutuse sisevõrku ..................................... 9

1. Üldpõhimõtted

1.1. Sisu ja eesmärk: Riigi Tugiteenuste Keskusele (edaspidi RTK) osutab teenusleppe alusel

infotehnoloogia- ja kommunikatsiooniteenuseid (IKT teenuseid) Rahandusministeeriumi

Infotehnoloogiakeskus (edaspidi RMIT). Käesolev kord reguleerib RMIT-i IKT teenuste

kasutamise põhimõtteid ja korda RTK-s. Korra eesmärk on tagada infosüsteemide otstarbekas

ja turvaline kasutamine RTK-ga avalik-õiguslikus teenistus- ja usaldussuhtes olevate

ametnike või eraõiguslikus töösuhtes olevate töölepingulistele töötajate (edaspidi läbivalt

kasutatud töötajad) poolt. Lisaks käesolevale korrale on infosüsteemide ja rakenduste

kasutamise põhimõtted kirjeldatud erinevates juhistes, mis on koondatud ja kättesaadavad

RMIT teadmusbaasist.

1.2. Kasutusulatus: kord laieneb kõigile RTK töötajatele ja kehtib nii RTK füüsilistes

asukohtades kui ka väljaspool füüsilisi asukohti sisevõrgu ressursse, infosüsteeme,

andmebaase ja seadmeid kasutades. Käesoleva korra sätteid kohaldatakse ka

infosüsteemiväliste rakenduste, registrite, andmekogude ja andmebaaside (edaspidi välised

rakendused) kasutamise korral, kui vastavate väliste rakenduste kasutamise kordades ei ole

sätestatud teisiti.

1.3. Vastutajad: protsessi omanik on RMIT infoturbejuht, kes vastutab infosüsteemide

kasutamise põhimõtete koostamise, muutmise ja teenuse kasutajat muudatustest teavitamise

eest, RTK poolt on korra halduriks ja kontaktisikuks teenusepakkujaga suhtlemisel

majandustarkvara arenduse osakonna juhataja, kes vastutab korra ajakohasena hoidmise ja

RTK-le sobivaks modifitseerimise eest. Korra rakendamise eest vastutavad kõik RTK

töötajad.

1.4. Korra lisa: K8 L1 Infosüsteemide kasutamise konfidentsiaalsuse leping

Riigi Tugiteenuste Keskus Protsessi omanik: RMIT infoturbejuht Tähis: K8

Kinnitamise kuupäev: 23.04.2020 Versioon nr: 6

Korra haldur: Marek Ilves Avaldatud: siseveebis Lk. 2 / 10

2

1.5. Viited: 1.5.1 Avaliku teabe seadus (AvTS)

https://www.riigiteataja.ee/akt/122032011010?leiaKehtiv

1.5.2 Isikuandmete kaitse seadus (IKS)

https://www.riigiteataja.ee/akt/112072014051?leiaKehtiv

1.5.3 RTK ja RMITi vaheline koostöö kokkulepe (teenuslepe)

1.5.4 RTK teenuste, sh rakenduste, kirjeldused (teenuskaardid)

1.5.5 Rahandusministeeriumi kantsleri käskkirjaga kinnitatud juhis „Infoliikumine

kriisiolukordades“ http://intranet.rm.sise/index.php?id=23906&op=article_view

1.5.6 RTK töö- ja teenistussuhete haldamise kord

1.5.7 RTK töökoha tellimise ankeet 1.6. Kontaktid:

- IT kasutajatoe iseteenindusportaal https://kasutajatugi.rmit.ee

- RMIT IT Kasutajatugi 880 0800, [email protected]

2. Mõisted

2.1. Andmekogu – organiseeritud ja püsiv otsinguvõimalusega andme- ja teabekogum; näiteks

andmebaas, failisüsteem, fail, arvutustabel, kataloog, kartoteek, toimikukogum, kõigi

ettevõttes käibivate andmete kogum.

2.2. Andmete töötlemine – andmete kogumine, salvestamine, korrastamine, säilitamine,

muutmine, nende kohta päringute teostamine, nendest väljavõtete tegemine, andmete

kasutamine, üleandmine, ühendamine, sulgemine, kustutamine või hävitamine või mitu

eeltoodud toimingut.

2.3. Arvuti – lauaarvuti, mobiilne seade ning terminali töökoht.

2.4. Arvutitöökoha profiil – struktuurüksus(t)ele või töötaja(te)le kokku pandud riist- ja

tarkvara kogum, kasutaja õigused ning juurdepääsud.

2.5. E-posti server – RMIT poolt hallatav Exchange server, mida RTK kasutab e-kirjade

saatmiseks, kalendrite halduseks jne.

2.6. ISKE – infosüsteemide kolmeastmeline etalonturbe süsteem, mis seisneb infoturbe

eesmärkidele vastavate turvaklasside määramises ja nendele vastavate turvameetmete

valimises ning mille rakendamise eesmärk on tagada infosüsteemides töödeldavatele

andmetele piisava tasemega turvalisus.

2.7. Infosüsteem – inimestest, tark- ja riistvarast koosnev süsteem, mis töötleb ja tõlgendab

infot.

2.8. Infosüsteemi kasutaja – RTK töötaja, kellele töö- või teenistusülesannetest tulenevalt ja

nende täitmiseks on antud õigused asutuse siserakenduste ja väliste rakenduste

kasutamiseks. Kaugkasutaja on infosüsteemi kasutaja, kes töötab infosüsteemis väljaspool

asutust. Kasutajat ja kaugkasutajat nimetatakse edaspidi koos ja ühiselt kasutajaks.

2.9. Infosüsteemi omanik – struktuuriüksus, kelle huvides on antud infosüsteem loodud või

kasutusele võetud.

2.10. Infoturbeintsident – realiseerunud oht, mis põhjustab RTK-le ja/või RTK infovarale

kahju, mis võib olla: rahaline, konfidentsiaalsete andmete lekkimine, andmete hävimine,

tööseisak, asutuse maine kahjustamine.

2.11. Intsident – planeerimata teenuse katkestus või selle kvaliteedi langus ning samuti seadme

või rakenduse tõrge, mis pole veel teenusele mõju avaldanud.

Riigi Tugiteenuste Keskus Protsessi omanik: RMIT infoturbejuht Tähis: K8

Kinnitamise kuupäev: 23.04.2020 Versioon nr: 6

Korra haldur: Marek Ilves Avaldatud: siseveebis Lk. 3 / 10

3

2.12. IT teenus – infotehnoloogiat kasutav ja äriprotsesse toetav teenus, mis on inimeste,

protsesside ja tehnoloogiate kombinatsioon ning mis peab olema kirjeldatud teenustaseme

kokkuleppes.

2.13. Kasutajatugi – RMIT IT kasutajatugi.

2.14. Krüpteerimine – informatsiooni kaitsmise võimalus, muutes andmed loetamatuks ja

kasutamiskõlbmatuks inimesele, kellel puudub vastav dekrüpteerimisvõti.

2.15. Kaugtöö – asutuse sisemiste infosüsteemide, va e-posti ja kalendrisüsteemi, kasutamine

väljaspool asutuse füüsilist kohtvõrku.

2.16. Mobiilne seade – sülearvuti, nutitelefon, tahvelarvuti ning nende hübriidseadmed.

2.17. OWA – Outlook Web App – veebipõhine kasutajaliides RTK e-posti ja kalendrisüsteemi

kasutamiseks.

2.18. P2P – arvutisüsteem, kus informatsiooni jagamine käib otse kasutajalt kasutajale, ilma

selleks keskset taristut kasutamata (näiteks bittorrent, kazaa jne).

2.19. Probleem – ühe või mitme intsidendi tekkimise põhjus või mingisugune puudus teenuse

või rakenduse toimivuses.

2.20. Rakendus – tarkvara (või selle osa), mis pakub IT teenusele vajalikku funktsionaalsust, nt

andmete salvestamist, kodeerimist, sorteerimist, kuvamist, edastamist, väljastamist jms

süstemaatilisi operatsioone.

2.21. Teadmusbaas – RMIT süsteem info ja juhendmaterjalide kogumiseks ning

lahendajatele ja kasutajatele jagamiseks, et hõlbustada pöördumiste lahendamist.

2.22. Teenuslepe – RTK ja RMITi vaheline infotehnoloogia- ja kommunikatsiooniteenuste

(edaspidi IKT, lühemalt IT) tingimuste ning tasemete koostöö kokkulepe.

2.23. Tööseisak – olukord, kus töö on häiritud kauem kui vastavale rakendusele omistatud

ISKE klassi järgi maksimaalne lubatud seisaku aeg infotehnoloogiliste rakendustega

toetatud ärikriitilistes töölõikudes ja mis puudutavad kogu RTK-d või RTK allüksust.

Juhul kui rakendusele pole ISKE klassi määratud, loetakse tööseisakuks enam kui 30

minutilist katkestust, mis puudutab tervet RTK-d, osakonda või talitust ühtselt.

2.24. Võõrarvuti - arvuti, mis ei ole RMIT poolt väljastatud või mis ei ole süsteemi haldaja

nõuetele vastavalt installeeritud ja seadistatud.

3. Infosüsteemi kasutaja kohustused

Töötaja on kohustatud: 3.1. täitma kõiki kehtivaid andmekaitse- ja autoriõigusealaseid õigusakte ning järgima asutuses

kehtivaid andme- ja varade kaitset käsitlevaid standardeid, protseduure ja kordasid ning

sellekohaseid poliitikaid;

3.2. kasutama infosüsteeme ja võrguressursse ainult töö- või teenistusülesannete täitmiseks

ning mitte koormama sisevõrku mittetööalaste failide ja tegevustega, regulaarselt

korrastama endaga seotud elektronposti ja failiserveris asuvaid andmeid, kustutades

ebaolulise sisuga kirjad ja failid;

3.3. kasutama tööalast informatsiooni sisaldavaid andmekandjaid ja tehnilisi vahendeid

üldjuhul tööandja kasutatavates ruumides, välja arvatud juhul, kui nende kasutamine

väljaspool tööandja ruume on vahetu juhiga kokkulepitud (nt alaline või osaline kaugtöö)

või vajalik töö- või teenistusülesannete täitmiseks (nt lähetus);

3.4. arvuti juurest lahkudes lukustama selle salasõnaga või PIN koodiga;

3.5. eemaldama ID-kaardi või digi-ID kaardilugejast, kui infosüsteemi kasutamiseks on vajalik

ID-kaardiga autentimine, peale infosüsteemi kasutamise lõppu;

3.6. krüpteerima ID kaardi või muu selleks ette nähtud vahendiga välisele andmekandjale

(CDd, DVDd, mobiiltelefon, USB mälupulk jms) salvestatavat asutusesiseseks

Riigi Tugiteenuste Keskus Protsessi omanik: RMIT infoturbejuht Tähis: K8

Kinnitamise kuupäev: 23.04.2020 Versioon nr: 6

Korra haldur: Marek Ilves Avaldatud: siseveebis Lk. 4 / 10

4

kasutamiseks mõeldud informatsiooni sisaldavad andmed, mille avalikuks saamine

kahjustaks RTK-d või RTK partnereid/kliente kooskõlas Avaliku teabe seaduse ja

Isikuandmete kaitse seadusega;

3.7. salvestama asutusesiseseks kasutamiseks mõeldud informatsiooni andmekandjatele ainult

töö- või teenistusülesannete täitmiseks;

3.8. teavitama rakenduste või tehniliste vahendite kasutamisel tekkivatest intsidentidest

koheselt kasutajatuge;

3.9. teavitama infoturbeintsidendist või selle ohust koheselt tööajal kasutajatuge ja

infoturbejuhti, väljaspool tööaega Maksu- ja Tolliameti teabejuhtimiskeskust;

3.10. hoidma tööandja võrgus kõiki olulisi tööalaseid faile, pöörates erilist tähelepanu ja jälgides

nende olemasolu sisevõrgus andmetele, mille kadumine võib põhjustada asutusele olulist

kahju;

3.11. tagama tootekeskkonna rakendustesse sisestavate andmete õigsuse ning mitte sisestama

tootekeskkonna rakendustesse andmeid testimise eesmärgil;

3.12. hoidma saladuses temale antud salasõnasid (vt käesoleva korra peatükk 7);

3.13. kustutama isiklikku teavet sisaldavad e-kirjad või salvestama need kausta „Isiklik“.

Väljaspool „Isiklik“ kausta asuva e-postiga on infoturbejuhil tööalasest vajadusest

tulenevalt õigus ette teatamata tutvuda või taotleda kasutajatoelt kirjavahetusele

juurdepääsu kasutaja vahetule juhile;

3.14. ühendama sülearvuti vähemalt üks kord kuus RTK sisevõrku (va tahvelarvutid, mis ei

kasuta Windows operatsioonisüsteemi) ning paigaldama uuendused;

3.15. arvestama, et tema võrguliiklus logitakse ja salvestatakse. Infoturbejuhil ja infoturbe

spetsialistil on tööalasest vajadusest tulenevalt õigus ette teatamata tutvuda kasutaja

võrguliikluse logidega;

3.16. arvestama, et infosüsteemi kasutamist reguleerivate õigusaktide mittetäitmine võib tuua

kaasa kriminaal-, väärteo- või distsiplinaarkaristuse. Kontrolli infosüsteemi kasutamise üle

viivad läbi vahetud juhid ja infoturbejuht. Infosüsteemi kasutamise reeglite eiramise

kahtluse korral on infoturbejuhil järelkontrolli käigus õigus kontrollida teenistujale

väljastatud arvutit (sh arvutisse salvestatud ja installeeritud programme ning asutuse e-

posti sisu);

3.17. kooskõlastama RTK ja klientide andmete kasutamise koolitöödes (lõputööd,

praktikakokkuvõtted jms) vahetu juhi ja andmete omanikuga;

3.18. teavitama teenistuja kasutuses oleva IT-vahendi vargusest, kaotamisest või kahjustumisest

esimesel võimalusel kasutajatuge ja struktuuriüksuse juhti, IT-vahendi varguse korral

esitada avaldus ka politseile ja välismaal viibides võtma avalduse esitamise kohta vastava

tõendi;

3.19. kustutama esimesel võimalusel oma varastatud või kaotatud nutitelefoni või tahvelarvuti

sisu läbi OWA juhul, kui seade on seadistatud sünkroniseerima andmeid tööandja e-posti

serveriga;

3.20. kooskõlastama RTK arvuti kaasa võtmise Vene Föderatsiooni, Valgevene Rahvavabariiki

või Korea Rahvademokraatlikku Vabariiki eelnevalt infoturbejuhiga;

3.21. majandustarkvara arenduse osakonna arvestusteenuse pakkumisega seotud töötajate

erinõuded:

- irdmeedia ühendamine majandustarkvara arenduse osakonna töötaja arvuti külge on

keelatud;

- P2P failivahetus on keelatud;

- ekraanipildi jagamine RMV-väliste teenuste kaudu on keelatud.

Riigi Tugiteenuste Keskus Protsessi omanik: RMIT infoturbejuht Tähis: K8

Kinnitamise kuupäev: 23.04.2020 Versioon nr: 6

Korra haldur: Marek Ilves Avaldatud: siseveebis Lk. 5 / 10

5

4. Piirangud infosüsteemi kasutamisel

Töötajal on keelatud: 4.1. vaadata, kasutada või väljastada asutusesisest teavet, mis ei ole avalik või otseselt seotud

tema töö- või teenistusülesannete täitmisega;

4.2. lubada selleks volitust mitteomavatel isikutel ligipääsu töötaja kasutuses olevatele

tehnilistele vahenditele, andmekandjatele ja rakendustele;

4.3. edastada või hoida väljaspool RTK-d asuval andmekandjal krüpteerimata kujul

juurdepääsupiiranguga informatsiooni;

4.4. muuta ise arvuti tarkvara konfiguratsiooni või laadida Internetist või andmekandjalt oma

arvutisse või võrguserverisse (v.a. juhul, kui see tegevus kuulub töötaja töö- või

teenistusülesannete hulka):

- mistahes tarkvara, sh mänge, programme, programmiuuendusi jms;

- ebaseaduslikult omandatud autoriõigusega kaitstud elektroonses vormis andmeid

(muusika, tekst, pildid, filmid jms);

- erootilise või pornograafilise sisuga materjale;

4.5. külastada veebilehekülgi, mille kasutamine töötaja poolt võib tuua kaasa RTK maine

kahjustumise;

4.6. avada ise arvuti ja selle lisaseadmete korpuseid ning eemaldada või lisada komponente v.a

juhul kui selline tegevus kuulub töötaja töö- või teenistusülesannete hulka;

4.7. kasutada IT-vahendit viisil, mis võib kaasa tuua materiaalse kahju tekkimise,

juurdepääsupiiranguga teabe avalikuks tulemise või informatsiooni hävinemise;

4.8. ühendada ükskõik milliseid võrguseadmeid iseseisvalt ilma infoturbejuhi loata RTK

sisevõrku, va. kui selline tegevus kuulub töötaja töö- või teenistusülesannete hulka;

4.9. kasutada RTK võrgus ilma infoturbejuhi loata võrgu või arvutite skaneerimise,

pealtkuulamise või muid võrguliiklust segavaid rakendusi või seadmeid;

4.10. lülitada välja arvuti viirusetõrje- või tulemüüritarkvara;

4.11. muuta ise arvuti tarkvara- või võrgukonfiguratsiooni või installeerida uusi võrguühendusi,

v.a juhul kui selline tegevus kuulub töötaja töö- või teenistusülesannete hulka;

4.12. avada kahtlusi tekitava pealkirjaga ja/või kahtlustäratavalt e-posti aadressilt saabuvat e-

posti, selles sisalduvaid manuseid või linke või käivitada sellega kaasas olevaid

programme ning skripte, v.a juhul kui selline tegevus kuulub töötaja töö- või

teenistusülesannete hulka selleks ette nähtud sisevõrgust eraldatud arvutis;

4.13. salvestada asutusesiseseks kasutamiseks mõeldud informatsiooni kataloogi või

andmekandjatele, kus see võib olla kättesaadav selleks volitust mitte omavatele isikutele;

4.14. ühendada mitte-RTK päritoluga andmekandjaid (telefonid, mälupulgad jne) RTK

arvutitesse või RTK kohtvõrku ilma kasutajatoe määratud isiku poolt andmekandja

viirusetõrjega üle kontrollimiseta;

4.15. kasutada infosüsteemi mõne muu kasutaja õigustes, v.a. juhul, kui see tegevus kuulub

töötaja töö- või teenistusülesannete hulka;

4.16. kasutada oma tööalast e-posti aadressi RTK-välistes postiloendites ja foorumites või

mõnel muul viisil avalikustada oma e-posti aadressi nii, et see on kergesti kättesaadav

reklaami, rämpsposti jms asutuse tööga mitte seotud e-kirjade saatjatele, v.a. juhul, kui see

tegevus kuulub töötaja töö- või teenistusülesannete hulka;

4.17. kasutada tööalase informatsiooni saatmiseks ja vastuvõtmiseks asutuseväliseid e-posti

aadresse ning suunata oma tööalast e-posti RTK-välistele e-posti aadressidele;

4.18. kasutada RTK e-posti aadressi rämpsposti saatmiseks;

Riigi Tugiteenuste Keskus Protsessi omanik: RMIT infoturbejuht Tähis: K8

Kinnitamise kuupäev: 23.04.2020 Versioon nr: 6

Korra haldur: Marek Ilves Avaldatud: siseveebis Lk. 6 / 10

6

4.19. saata RTK-st välja e-postiga krüpteerimata kujul informatsiooni, mis on avaliku teabe

seaduse mõistes piiratud juurdepääsuga teave;

4.20. saata e-postiga suuremaid manuseid kui 20 MB;

4.21. saata e-postiga käivitatavaid ning süsteemseid faile, näiteks: exe, vbs, pif, scr, bat, cmd,

com, cpl, dll jms, v.a juhul kui selline tegevus kuulub töötaja töö- või teenistusülesannete

hulka.

5. IT-vahendi taotlemine ja kasutamine

5.1. Kasutaja struktuuriüksuse juht taotleb arvuti väljastamist kasutajatoe vahendusel, lähtudes

RTK töö- ja teenistussuhete haldamise korras seatud põhimõtetest ja täites korra lisaks

oleva töökoha tellimise ankeedi;

5.2. kasutaja on kohustatud temale e-posti teel IT varade registrilt saabunud kinnituslingil

kinnitama, et ta on IT-vahendi kätte saanud ning teadlik sellega seonduvatest kohustustest.

IT-vahendi tagastamisel saab kasutaja e-posti teel IT varade registrist vastavasisulise

teavituse;

5.3. kasutajakonto luuakse kujul eesnimi.perenimi;

5.4. e-posti konto luuakse kujul [email protected]. Mitme ees-ja perenimega teenistuja

puhul kasutatakse kõiki ees- ja perenimesid. Samanimeliste teenistujate puhul lisatakse

hiljem tööle tulnud inimese perekonnanime lõppu number;

5.5. vaikeseadetes on igale kasutajale failiserveris loodud nimeline kataloog kettaruumiga 2

GB, mille suurus on argumenteeritud põhjenduse korral muudetav. Kataloogis ei ole

lubatud hoida eraotstarbelist infot;

5.6. vaikeseadetes on e-posti lubatud kogumaht 1,6 GB, mille suurus on argumenteeritud

põhjenduse korral muudetav. E-postkast on mõeldud ainult tööalase kirjavahetuse jaoks;

5.7. printimisteenuse kasutamisel on soovitav ressursi kokkuhoiuks kasutada ökonoomseid

meetodeid, sh. kahepoolset printimist. Enne printerile dokumendi saatmist on soovitav

veenduda, kas väljaprinditav tekst või materjal vastavad kasutaja ootustele;

5.8. töötaja kasutusse antud arvuteid ja lisaseadmeid tuleb kohelda heaperemehelikult, sh.

puhastada neid tolmust ja mustusest selleks ette nähtud vahenditega;

5.9. infosüsteemi kaugtöö tavakasutaja profiil kaasneb sülearvutiga. Lisaõiguste saamiseks

peab teenistuja struktuurüksuse juht elektroonsel teel esitama taotluse koos põhjendusega

kasutajatoele. Kasutajatugi kooskõlastab taotluse infoturbejuhiga. Infosüsteemi kaugtöö

taotlus rahuldatakse ainult sisuliselt põhjendatud vajaduse korral;

5.10. kaugligipääsuks kasutatava arvuti väljastab üldjuhul RMIT, erandid kinnitab infoturbejuht.

6. Infosüsteemi kasutaja õigused

Töötajal on õigus: 6.1. kasutada info- ja kommunikatsioonitehnoloogia vahendeid ulatuses, mis on vajalik tema

otseste töö- või teenistusülesannete täitmiseks;

6.2. saada arvutitöökoht koos tööks vajaliku riist- ja tarkvaraga;

6.3. pääseda ligi IT teenustele ja infosüsteemidele vastavalt oma töö- või teenistusülesannetele;

6.4. pöörduda kasutajatoe poole infotehnoloogilistele intsidentidele lahenduse saamiseks;

6.5. saada kasutajatoelt rakenduste alast informatsiooni, juhendmaterjale ja vajadusel

täiendavat informatsiooni intsidentide põhjuste ja lahenduste kohta;

6.6. esitada ettepanekuid infosüsteemide turvalisuse tõstmise, efektiivsema toimimise või muu

töökorraldusliku muudatuse kohta.

Riigi Tugiteenuste Keskus Protsessi omanik: RMIT infoturbejuht Tähis: K8

Kinnitamise kuupäev: 23.04.2020 Versioon nr: 6

Korra haldur: Marek Ilves Avaldatud: siseveebis Lk. 7 / 10

7

7. Kasutajanimed ja salasõnad

7.1. Arvutitöökohale ja arvutivõrgule juurdepääsuks kasutatakse kasutajanime ja salasõna;

7.2. iga töötaja võib omada ühes rakenduses ühte kasutajanime ja salasõna, v.a juhul, kui

mitme konto omamine on vajalik töö- või teenistusülesannete täitmiseks;

7.3. iga töötaja kasutajanimed ja salasõnad on unikaalsed ja seotud vastava töötaja isikuga;

7.4. iga töötaja peab ajutise salasõna vahetama esmakordsel sisenemisel, kui see on tehniliselt

võimalik. Sama põhimõte kehtib ka rakenduste kasutamisel;

7.5. töötaja peab tagama, et salasõna on teada ainult temale;

7.6. kui salasõna on saanud teatavaks kõrvalistele isikutele või on kahtlus, et see on võinud

juhtuda, on töötaja kohustatud salasõna koheselt muutma või laskma salasõnaga seotud

kasutajaõigused kehtetuks tunnistada.

7.7. salasõnu tuleb muuta perioodiliselt vähemalt kord kvartalis või kui infosüsteem sellest

teavitab;

7.8. salasõnadeks ei tohi olla:

- kergesti ära arvatavad, järjestikuseid tähti sisaldavad vms viisil ebaturvalised

kombinatsioonid, mis võivad hõlbustada kasutajakonto volitamata kasutamist;

- sõnastikes esinevad sõnad k.a võõrkeeltes;

- sõnad, mis koosnevad kasutajat isikustada võimaldavatest andmetest (nimed,

mootorsõiduki registreerimismärgid, telefoninumbrid, isikukoodid, sihtnumbrid

jne) kas õiget- või tagurpidi kirjutatult;

7.9. kasutatavate salasõnade pikkus peab olema vähemalt 12 (kaksteist) märki;

7.10. salasõna peab sisaldama 4 (neljast) elemendist (suurtäht, väiketäht, number, sümbol (! “ #

¤ % & ( ) = ? \ } ] [ { $ @ ’ - . , * _ : ; < > +) vähemalt 3 elemendi kombinatsiooni;

7.11. kasutajatunnus lukustatakse peale 5 (viit) nurjunud sisselogimiskatset 3 minutiks;

7.12. RTK-s kasutuselolevaid salasõnasid ei ole lubatud kasutada RTK-välistes teenustes ja

rakendustes, jäädvustada ühelegi andmekandjale krüpteerimata kujul või dokumenteerida

ega teatavaks teha ühelegi teisele isikule sh saata krüpteerimata kujul e-mailiga;

7.13. intsidentidest kasutajaõiguste, kasutajanimede ja salasõnadega tuleb teavitada

kasutajatuge. Intsidentidest teavitamisel on keelatud saata või öelda salasõnasid.

8. Kasutajaõiguste andmine ja kehtetuks tunnistamine

8.1. Töötaja tohib omada vaid tema töö- või teenistusülesannete täitmiseks otseselt vajalikke

kasutajaõigusi. Välistele rakendustele antakse kasutajaõigused vastavalt rakenduste

omanikega sõlmitud lepingutele;

8.2. kõigi taotletavate õiguste kohta peab õiguste taotlemise taotluses olema märgitud lühidalt,

milliste töö- või teenistusülesannete täitmiseks läheb teenistujal konkreetset õigust vaja.

Õiguste taotlus tuleb edastada e-kirja teel kasutajatoele;

8.3. kasutajaõiguste taotluse esitaja peab olema veendunud, et teenistuja või isik, kellele

õiguseid taotletakse, omab ülevaadet õigustega seonduvatest kasutusjuhenditest ja on

teadlik õiguste kasutamisega kaasnevatest riskidest ning oskab neid maandada;

8.4. infosüsteemide rakenduse kasutajaõiguse saamiseks (juhul, kui vastava rakenduse

kasutajaõiguste saamiseks ei ole sätestatud spetsiifilisi nõudeid) peab töötaja

struktuuriüksuse juht elektroonsel teel esitama taotluse koos põhjendusega kasutajatoele;

8.5. arvuti lokaalse administreerimise õiguse saamiseks esitab töötaja vahetu juht põhjendatud

taotluse kasutajatoele. Kasutajatugi kooskõlastab taotluse infoturbejuhiga;

Riigi Tugiteenuste Keskus Protsessi omanik: RMIT infoturbejuht Tähis: K8

Kinnitamise kuupäev: 23.04.2020 Versioon nr: 6

Korra haldur: Marek Ilves Avaldatud: siseveebis Lk. 8 / 10

8

8.6. infosüsteemi rakenduste testimise kasutajaõiguste saamiseks esitab taotleja

struktuurüksuse juht kasutajatoele e-kirja teel taotluse. Juhul kui testimine toimub

reaalsete isikustatud andmetega, peab taotluse eelnevalt kooskõlastama infoturbejuht;

8.7. RTK-sse praktikale asunud isikute infosüsteemide rakenduste kasutajaõigused tellib

kasutajatoelt töötaja, kes on praktikale asunud isiku juhendaja. Kasutajaõiguste taotlusse

tuleb märkida õiguste kehtivuse algus- ja lõpukuupäev. Lõpukuupäeva saabudes peab

konto automaatselt lukustuma;

8.8. kui töötaja ei vaja töö- või teenistusülesannete täitmiseks enam infosüsteemi

kasutajaõigust ja juhul, kui vastava rakenduse kasutajaõiguste saamiseks ei ole sätestatud

spetsiifilisi nõudeid, edastab töötaja vahetu juht koheselt sellekohase teate e-kirja teel

kasutajatoele, kes korraldab vastava kasutajaõiguse kehtetuks tunnistamise;

8.9. töötaja töölt lahkumisest, teenistus- või töösuhte peatamisest (va puhkusel või

töövõimetuslehel

8.10. isikute kasutajaõiguste kehtetuks tunnistamise vajadusest teavitab juhendaja viibimisest)

või töötaja üleviimisest teise struktuuriüksusesse teavitab struktuurüksuse juht, kelle kätte

on jõudnud vastava teenistuja avaldus, elektroonsel teel kasutajatoele vähemalt 3 (kolm)

tööpäeva enne teenistuja töölt lahkumise, teenistus- või töösuhte peatamise või üleviimise

(v.a üleviimised, mis kestavad vähem kui 30 kalendripäeva) kuupäeva;

8.11. RTK-s praktika lõpetanud elektroonsel teel kasutajatuge vähemalt 3 (kolm) tööpäeva enne

praktika lõppemise kuupäeva;

8.12. infoturbejuht ja infoturbespetsialist kontrollivad töötajatele antud õiguste õiguspärast,

põhjendatud kasutamist ja sulgemist;

8.13. infoturbejuhil on õigus põhjendatud kahtluse korral nõuda kasutajatoelt kahtlustäratavate

õiguste kohest sulgemist, teavitades sellest vastavat struktuuriüksuse juhti.

9. Infosüsteemi intsidentide lahendamine

9.1. Kasutajatoele intsidendi teatamisel peab töötaja edastama järgneva informatsiooni:

- töötaja ees- ja perenimi, telefoni number;

- rakenduse või infosüsteemi nimetus, kus intsident tekkis;

- intsidendi tekkimise kuupäev, kellaaeg ja asukoht (aadress, tööruumi number);

- korrektne kirjeldus tekkinud veasituatsioonist;

- veateade ekraanilt, lisades võimalusel ekraanipildi failina;

- lisades võimalusel näite konkreetsete andmetega (isikukood/registrikood, summad,

kuupäevad jm);

- kui tegemist on varaga, siis vara inventarinumbri;

9.2. kui tegemist on veakahtlusega, siis tuleb lisada teatele kirjeldus õigeks peetavast

lahendusest.

10. Infoturbeintsidentide käsitlemine

10.1. Tööajal peavad RTK töötajad teavitama infoturbeintsidendist RMIT kasutajatuge ja

infoturbejuhti. Kiiruse huvides tuleb infoturbeintsidendist teatada koheselt telefoni teel.

Väljaspool tööaega peavad töötajad teavitama valitsemisalal toimunud

infoturbeintsidendist Maksu- ja Tolliameti teabejuhtimiskeskust;

10.2. infoturbeintsidendist teatamisel peab töötaja teatama:

- oma ees- ja perenime, osakonna ning telefoninumbri;

- infoturbeintsidendi või selle ohu kirjelduse;

Riigi Tugiteenuste Keskus Protsessi omanik: RMIT infoturbejuht Tähis: K8

Kinnitamise kuupäev: 23.04.2020 Versioon nr: 6

Korra haldur: Marek Ilves Avaldatud: siseveebis Lk. 9 / 10

9

- infoturbeintsidendi tekkimise kuupäeva, kellaaja ning asukoha (aadress, kabineti

number);

- infoturbeintsidendi hinnangulise tõsiduse;

10.3. infoturbeintsidendi toimumise teate vastu võtnud töötaja tuvastab intsidendi toimumise

fakti ning intsidendi tõsiduse ja organiseerib koos vastava infosüsteemi omaniku ja

haldajaga intsidendi või selle ohu kõrvaldamise. Kõigist infoturbeintsidentidest peab

intsidendi vastuvõtnud teenistuja teavitama infoturbejuhti koheselt, kasutades selleks

kokkulepitud suhtluskanaleid (telefon, SMS, e-post jne);

10.4. infoturbeintsidendi järelkontrolli vajaduse otsustab infoturbejuht ning viib selle vajadusel

läbi;

10.5. infoturbejuht esitab infoturbeintsidentide kohta läbi viidud järelkontrollide kokkuvõtte

peadirektorile ning teeb muudatusettepanekud intsidentide kordumise vältimiseks;

10.6. kõik RTK töötajad on kohustatud igakülgselt kaasa aitama infoturbeintsidendi põhjuste

väljaselgitamisele.

11. Mobiilsete seadmete kasutamine

11.1. RMIT hallatava mobiilse seadme viirusetõrje, tulemüüri ja salvestusseadme krüpteerimise

tarkvara ei ole lubatud välja lülitada v.a juhul kui selline tegevus kuulub töötaja töö- või

teenistusülesannete hulka. Kui töötajal tekib kahtlus, et RMIT hallatav mobiilne seade ei

oma eelnevalt nimetatud tarkvara, peab töötaja tagastama seadme viivitamatult

kasutajatoele, kes installeerib nimetatud tarkvara. Juhul, kui RMIT hallataval mobiilsel

seadmel ei ole automaatset viirusetõrje tarkvara uuendamise süsteemi, tuleb seade

viivitamatult tagastada kasutajatoele selle paigaldamiseks. Antud punkti tulemüüri

tarkvara kohustus ei laiene mobiilsetele seadmetele, kus süsteemitarkvara tootja pole ette

näinud tulemüüri paigaldust;

11.2. töötaja on kohustatud:

- mobiilse seadme kasutamisel väljaspool RTK kasutatavaid ruume mitte jätma

seadet järelevalveta;

- kandma reisimisel mobiilset seadet käsipakina;

- hoiduma mobiilse seadme kasutamisest mis tahes viisil, mis võib tuua kaasa

materiaalse kahju tekkimise, juurdepääsupiiranguga teabe teatavaks saamise

kolmandatele isikutele või informatsiooni hävinemise.

12. Tingimused võõrarvuti ja isiku, kes ei ole asutuse töötaja, lubamiseks asutuse sisevõrku

12.1. Võõrarvuti RTK sisevõrku ühendamiseks peab arvuti omanik kooskõlastatult vahetu

juhiga esitama vastavasisulise taotluse e-kirja teel kasutajatoele;

12.2. taotlus peab sisaldama:

- taotluse esitaja ees- ja perenime ning kontaktandmeid (telefon, e-posti aadress);

- ajavahemikku, millal arvuti on RTK sisevõrku ühendatud;

- põhjendust, milleks on vajalik arvuti ühendamine RTK sisevõrku;

12.3. võõrarvuti RTK sisevõrku lubamise taotluse rahuldamiseks peavad olema täidetud

järgmised tingimused:

- vahetu juhi kooskõlastus;

- infoturbejuhi kooskõlastus;

- arvuti peab olema üle vaadatud kasutajatoe poolt;

Riigi Tugiteenuste Keskus Protsessi omanik: RMIT infoturbejuht Tähis: K8

Kinnitamise kuupäev: 23.04.2020 Versioon nr: 6

Korra haldur: Marek Ilves Avaldatud: siseveebis Lk. 10 / 10

10

- kasutajatoe poolt peab olema fikseeritud arvuti RTK sisevõrku ühendamise

ajavahemik;

- arvutil peab olema töötav automaatselt uuenev viirusetõrje tarkvara;

- arvutisse ei tohi olla installeeritud nuhkvara või võrgu liiklust pealt kuulavaid

programme või võrgu skännereid v.a. infoturbejuhi loal;

12.4. isiku, kes ei ole RTK (edaspidi isik) töötaja, juurdepääsu lubamiseks RTK arvutitöökoha

kaudu sisevõrku ilma infosüsteemi kasutajaõigusteta, peab vastav osakonnajuhataja

esitama kirjaliku taotluse e-kirja teel kasutajatoele. Taotlus peab sisaldama:

- juurdepääsu sooviva isiku kontaktandmed (ees- ja perenimi, isikukood, telefon, e-

posti aadress);

- arvuti asukohta, mida isik kasutab (tööruumi nr);

- ajavahemikku juurdepääsuks, tähtaja saabudes peab konto automaatselt lukustuma;

- põhjendust, milleks on juurdepääs vajalik;

- konkreetset infosüsteemi või andmebaasi, mida kasutatakse, kui taotletakse

ligipääsu isikuandmetele või piiratud juurdepääsuga teabele;

12.5. isiku juurdepääsu lubamiseks RTK sisevõrku peavad olema täidetud järgmised

tingimused:

- infoturbejuhi kooskõlastus;

- teenistuja, kelle töökoha arvutit isik kasutab, peab fikseerima kirjalikult konkreetse

arvuti asukoha (ruumi nr), mida isik kasutab ja RTK sisevõrgus viibimise

ajavahemiku;

- kui soovitakse ligipääsu isikuandmetele või piiratud juurdepääsuga teabele, peab

olema isiku poolt allkirjastatud konfidentsiaalsuskokkulepe väliskasutajale lisas 1

toodud vormil ja infoturbejuhi luba;

12.6. RTK infosüsteemi kasutajaõiguste taotlemine isikule toimub vastavalt käesoleva korra

peatükile 8;

KÄSKKIRI

23.04.2020 nr 1.1-2 / 0032

Riigi Tugiteenuste Keskuse infosüsteemide

kasutamise korra kinnitamine

Riigihalduse ministri 14.11.2017. a määruse nr 84 „Riigi Tugiteenuste Keskuse põhimäärus“ § 20 lg 1 p 7 alusel:

1. kinnitan Riigi Tugiteenuste Keskuse infosüsteemide kasutamise korra. 2. tunnistan kehtetuks Riigi Tugiteenuste Keskuse peadirektori 11.12.2018 a. käskkirja nr

1.1-2 / 0049 „Riigi Tugiteenuste Keskuse infosüsteemide kasutamise korra muutmine“.

3. Käskkiri jõustub selle allkirjastamise hetkest.

(allkirjastatud digitaalselt)

Tarmo Leppoja

Peadirektor

Teatavaks teha: RTK töötajad

Koostaja: Helina Loid-Kudu