Saare Vallavalitsus — Saare Vallavalitsuse infoturbe poliitika — RT IV, 2014, 39

Määrus kehtestatakse „Kohaliku omavalitsuse korralduse seaduse“ § 30 lõike 1 punkti 3, Avaliku teabe seaduse § 439 lõike 3 ja Vabariigi Valitsuse määruse nr 252 „Infosüsteemide turvameetmete süsteem“ § 2 alusel. 1. Infoturbe poliitika mõiste ja rakendusala

1.1. Infoturbe poliitika on juhiste ja meetmete kogum, mis reguleerib infovarade haldust, kaitset ja jaotamist vallavalitsuses.

1.2. Infoturbe poliitikat rakendatakse koostoimes muude infovarade kasutamist, haldamist, kaitset ja jaotamist, töökorraldust ning asjaajamist reguleerivate õigusaktidega.

1.3. Infoturbe poliitika hõlmab personali, infrastruktuuri, andmeid ja dokumentatsiooni, IT- riistvara, tarkvara ja sidesüsteeme.

1.4. Infoturbe poliitikas kasutatakse mõisteid infosüsteemide kolmeastmelise etalonturbe süsteemi rakendusjuhendi tähenduses, välja arvatud juhul, kui käesolevas dokumendis on sätestatud teisiti.

2. Infoturbe eesmärgid

2.1. Infoturbe eesmärgiks on töödeldava informatsiooni tervikluse, käideldavuse ja konfidentsiaalsuse tagamine.

2.2. Informatsiooni terviklus, käideldavus ja konfidentsiaalsus tagatakse andmebaaside turvaklassidele vastavate meetmete rakendamisega, mis võimaldab ohtude realiseerumisel häireteta oma ülesandeid täita.

3. Infoturbe organisatsioon ja vastutus

3.1. Infoturbe poliitika ja turvanõuete rakendamise tagab

3.1.1. vallavolikogus ja selle struktuuriüksustes vallavolikogu esimees;

3.1.2. vallavalitsuses ja selle struktuuriüksustes üldisena vallavanem;

3.1.3. infoturbealast tööd korraldab ja koordineerib ISKE koordinaator.

3.2. IT riistvara, tarkvara ja sidesüsteemide osas tagab infoturbe poliitika ja turvanõuete rakendamise IT spetsialist.

3.3. Konkreetsete turvameetmete rakendamise eest vastutajad määratakse vallavanema käskkirjaga sisekorra eeskirjas ja/või kajastuvad ametnike ametijuhendites.

3.4. Iga töötaja vastutab tema tegevuse suhtes kehtestatud ja rakendatud turvanõuete rikkumise eest ning talle pandud ülesannete täitmata jätmise eest. Rikkumist või ülesannete täitmata jätmist käsitletakse töötaja töökohustuste rikkumisena, millele antakse hinnang seaduses sätestatud korras.

4. Andmete turvatasemed ja turbe vastavuse kontroll

4.1. Asutustes töödeldavatel andmetel on sõltuvalt nende turbevajadusest erinevad turvatasemed ehk turvaklassid. Turvaklassi järgi määratakse infovaradele turbeaste. Rakendatavad turvameetmed sõltuvad turbeastmest. Infovarade kaitse tuleb tagada vähemalt ISKE meetme tasemel L.

4.2. Andmete turvaklassid ja turbeastmed ning asutustes rakendatavate turvameetmete loetelu on toodud ISKE tööriistas, milles fikseeritakse meetmed ja kuhu sisestatakse info meetmete täitmise kohta.

4.3. ISKE tööriista kinnitab vallavalitsus.

4.4. Kehtivad turvameetmed vaadatakse üle vastavalt vajadusele, kuid mitte harvemini kui kord aastas ja hinnatakse nende otstarbekust ja efektiivsust.

4.5. Turvameetmete rakendamise süsteemi kohta viiakse läbi sõltumatu audit vastavalt vajadusele, kuid mitte harvemini kui kord kolme aasta jooksul.

5. Riistvara ja tarkvara turve

5.1. Riist - ja tarkvara hanked viib üldjuhul läbi vallakantselei.

5.2. Vallavalitsuses tegeleb riist- ja tarkvara paigaldamise, infosüsteemi lülitamise, konfigureerimise ja haldamisega ainult IT spetsialist.

5.3. Enne uue infotehnoloogilise lahenduse kasutuselevõttu viib IT spetsialist läbi riskianalüüsi ja hindab selle mõju terviksüsteemile.

5.4. IT spetsialist testib tarkvara enne kasutuselevõtmist.

5.5. Testimiseks kasutatakse testsüsteeme, mis on isoleeritud vallavalitsuse infosüsteemist, välja arvatud juhul, kui testimine ei mõjuta infosüsteemi andmete käideldavust, terviklust ega konfidentsiaalsust.

5.6. Riistvara või tarkvara pääsuõiguste süsteemis ei kasutata tootja poolt määratud algparoole.

5.7. Täpsemad nõuded riistvara ja tarkvara soetamisele, haldamisele, kasutamisele ning tarkvara arendamisele kehtestab vallavalitsus.

6. Pääsuhaldus

6.1. Juurdepääs infovaradele antakse ainult lähtuvalt tööalasest vajadusest.

6.2. Kõikidele infosüsteemi kasutajatele määratakse kasutajaprofiil.

6.3. Töötajate pääsuõiguste vastavust tegelikele vajadustele kontrollitakse vähemalt kord aastas.

7. Kasutajatunnuste ja paroolide haldus

7.1. Kasutajatunnus on isikustatud.

7.2. Tarkvara peab tagama paroolile esitatavate nõuete täitmise.

7.3. Serverite ja võrguseadmete administraatori tasemel pääsuõigust tagavad paroolid deponeeritakse nii, et oleks tagatud nende turvalisus ja piiratud juurdepääs.

7.4. Töösuhte lõppemisel lõpetatakse viivitamatult kasutajatunnusega seotud õigused.

7.5. Nõuded kasutajatunnuse andmisele, kasutajaõiguste lõpetamisele ja nõuded paroolidele kehtestab vallavalitsus.

8. Logimine

8.1. Logid peavad võimaldama tuvastada lubatavaid ja lubamatuid infosüsteemi poole pöördumisi või pöörduskatseid, nende täpset aega ja lähtekohta.

8.2. IT spetsialist kontrollib logisid regulaarselt arvutivõrgu ja serverite toimimise tagamiseks. Muudel juhtudel kontrollitakse logisid põhjendatud vajadusel ja/või turvaintsidentide korral vallasekretäri otsusel.

9. Viirusetõrjetarkvara

9.1. Viirustõrje programmid peavad hõlmama kogu infosüsteemi.

9.2. Viirusetõrje programmid peavad töötama reaalajas.

9.3. Kasutatakse viirusetõrjeprogrammi, mis tagab viirusekirjelduste igapäevase uuendamise.

10. Töökohaarvutite turve

10.1. Töökohaarvutid peavad olema varustatud personaal-tulemüüriga, mis vaikimisi tõkestab sisenevad ühendused.

10.2. Töökohaarvutid peavad olema seadistatud algkäivituma ainult kõvakettalt või võrgust, välistatud peab olema töökohaarvuti käivitamine eemaldatavalt andmekandjalt.

10.3. Sülearvutid peavad olema kaitstud BIOS-i salasõnaga.

11. Serverite turve

11.1. Avalikke teenuseid tagavad serverid peavad olema kaitstud tulemüüriga.

11.2. Serverid peavad olema varustatud katkematu vooluallikaga (v.a. testserverid).

11.3. Keskmise käideldavusnõudega andmekogude käideldavuse tagamiseks tuleb varuks hoida piisavat varuriistvara.

11.4. Kui ühe kasutaja poolt serveri salvestusmahu ülemäärane hõivamine võib takistada teiste kasutajate tööd, piiratakse serveris kasutajatele kättesaadavat salvestusmahtu salvestuskvootidega.

12. Printerite ja multifunktsionaalsete seadmete turve

12.1. Võrguprinterid paigaldatakse võimalusel asukohta, kus nad on kasutajate järelevalve all.

12.2. Kui võrguprinter paigaldatakse üldkäidavasse kohta, peab printer võimaldama väljatrükki kasutaja autentimisega.

12.3. Kui võrguprinteril kasutatakse tööde salvestamist sisseehitatud kõvakettale, peab kõvaketta sisu olema krüpteeritud.

12.4. Kui multifunktsionaalse seadme faksifunktsiooni ei kasutata, siis faksimoodulit telefoniliiniga ei ühendata.

12.5. Printeri või multifunktsionaalse seadme kasutusest kõrvaldamisel taastatakse seadme vaikekonfiguratsioon ning kustutatakse seadme sisemisele kõvakettale salvestatud andmed.

13. Võrgu turve

13.1. Võrgunduse infrastruktuur

13.1.1. Sisevõrgu ja välisvõrgu vaheline liiklus käib läbi turvalüüsi. Keelatud on selliste sisevõrgu ja välisvõrgu vaheliste võrguühenduste loomine, mis võimaldavad sisevõrgu ja välisvõrgu vahelisel liiklusel turvalüüsist mööda minna.

13.1.2. Võrk jagatakse vajaduse järgi väiksemateks alamvõrkudeks ning see peab olema sobiva topograafia ja topoloogiaga.

13.1.3. Olulisemad võrguseadmed varustatakse katkematu vooluallikaga.

13.2. Internet

13.2.1. Asutuse sisevõrgus olevatest arvutitest võimaldatakse internetiteenuste kasutamist.

13.2.2. Infoturbe huvides võib IT spetsialist põhjendatud juhul vallasekretäri otsusel vallavalitsuse sisevõrgus olevatest arvutitest internetiteenuste poole pöördumisi jälgida või piirata.

13.3. E-post

13.3.1. Asutustest välja saadetud e-kirjad peavad võimaldama saatja tuvastamist ning sisaldama saatja ees- ja perekonnanime.

13.3.2. Sisenevad ja väljuvad kirjad allutatakse viiruse - ja rämpsposti kontrollile.

13.3.3. Meiliklient konfigureeritakse nii, et kirja manusfaile ei käivitataks kogemata, käivitus peab nõudma kinnitust.

13.3.4. Infoturbe nõuete või infosüsteemi kasutamise nõuete rikkumise kahtluse korral võib IT spetsialist põhjendatud vajadusel vallasekretäri otsusel töötajat sellest eelnevalt teavitamata lugeda töötaja elektronposti (sh turvakoopiatelt) ning esitab selle vallavanemale.

14. Krüpteerimine ja digitaalallkirjastamine

14.1. Arvutites tagatakse krüpteerimise ja digitaalallkirjastamise vahendite ja tarkvara olemasolu.

14.2. Asutusesiseseks kasutamiseks mõeldud andmeid tohib elektrooniliselt edastada väljapoole asutuse sisevõrku ainult krüpteeritult või krüpteeritud kanalit kasutades.

14.3. Asutustes ei kasutata rakendusi, mis saadavad parooli üle avaliku võrgu krüpteerimata kujul.

14.4. Asutusesiseseks kasutamiseks mõeldud andmeid võib töökohaarvutites hoida vaid krüpteeritult.

14.5. Asutusesiseseks kasutamiseks mõeldud andmeid võib välistele andmekandjatele (näiteks mälupulk) salvestada ainult krüpteeritult.

15. Ruumide turve

15.1. Ruumides tuleb rakendada sissepääsupiiranguid ja sissemurdmisvastaseid kaitsesüsteeme.

15.2. Juurdepääs ruumidele antakse tööalasest vajadusest lähtuvalt.

15.3. Hoonete sissepääsud peavad väljaspool tööaega olema lukustatud.

15.4. Ruumides peavad olema valvesignalisatsioon ja automaatne tuletõrjesignalisatsioon.

15.5. Valvesüsteem peab turvaalarmi automaatselt edastama turvateenuse osutajale.

15.6. Ruumide varuvõtmeid hoitakse viisil, mis tagab nende säilimise ja välistab võtmetele kolmandate isikute juurdepääsu.

15.7. Võtmete ja valvesignalisatsiooni koodide üle kirjaliku arvestuse pidamist korraldab vallasekretär.

15.8. Töösuhte lõppemisel tagatakse viimase tööpäeva lõpuks kõikide töötaja valduses olevate pääsulubade tagastamine ja/või tühistamine.

15.9. Serveri-, arhiivi- ja tehnoruume ei märgistata üldarusaadavalt ega kanta viitadele või majajuhti.

15.10. Eriruumide asukoha valikul tuleb tagada nende ruumide spetsiifikast tulenevate turvanõuete täitmine.

15.11. Serveriruumis peab olema tagatud õhutemperatuuri ja –niiskuse reguleerimine.

15.12. Serveriruumil peab olema tugevdatud ehituslik turve, see peab olema varustatud valve- ja tuletõrjesignalisatsiooniga ning kustutiga.

15.13. Serveriruum peab olema pidevalt lukustatud.

15.14. Välist hoolde- ja remondipersonali tohib lubada töid teostama pärast lepingute allakirjutamist, kus on määratud hoolde- ja remonditööde teostajate kohustused ja vastutus.

15.15. Välise hoolde- ja remondipersonali kasutamise korral peab olema takistatud nende juurdepääs asutusesiseseks kasutamiseks mõeldud andmetele.

15.16. Täpsemad juhised töötajate tegevusele tööruumides kehtestatakse sisekorra eeskirjas.

16. Personali teavitus ja koolitus

16.1. Uue töötaja töölevõtul tutvustatakse töötajale infoturvet reguleerivaid kordasid.

16.2. Uuele töötajale tagatakse enne tarkvara tegelikku kasutamist esmane tarkvara kasutamise ja infoturbealane koolitus.

16.3. Töötajaid instrueeritakse esmaste tulekustutusvahendite kasutamisel.

17. Dokumentide ja andmekandjate turve

17.1. Juurdepääs paberdokumentidele ja elektroonilistele dokumentidele võimaldatakse töötajatele tööalasest vajadusest lähtuvalt.

17.2. Mittevajalikud paberil töödokumendid tuleb hävitada, elektroonilised töödokumendid tuleb kustutada.

17.3. Asutusesiseseks kasutamiseks mõeldud andmeid sisaldavatelt andmekandjatelt tuleb andmed enne kandjate utiliseerimist, (garantii)remonti andmist või renditud riistvara tagastamist täielikult kustutada.

17.4. Infosüsteem peab tehniliselt tagama, et asutusesiseseks kasutamiseks mõeldud andmed ei oleks kättesaadavad avalikus veebis.

17.5. Asutusesiseseks kasutamiseks mõeldud dokumente, neid andmeid sisaldavaid andmekandjaid hoitakse lukustatud kapis või sahtlis.

18. Tegevuse katkematus

18.1. Infosüsteemi serverites paiknevatest andmetest teeb IT spetsialist turvakoopiaid.

18.2. Turvakoopiaid ei pea tegema andmetest, mida on võimalik taastada muudest allikatest (näiteks alla laadida internetist, genereerida automaatselt olemasolevate andmete põhjal vms).

18.3. Infosüsteemi andmete varundamist vallavalitsuses korraldab IT spetsialist.

18.4. Turvakoopiate taaste usaldatavust testib IT spetsialist regulaarselt.

18.5. Turvakoopiate tegemise sageduse, turvakoopiate säilitamise, varundusseadmete hoolduse, turvakoopiate kontrolli ning turvakoopiatelt andmete taastamise korra kehtestab vallavalitsus.

19. Kaugtöö

19.1. Kaugtöö tegemine on lubatud ainult krüpteeritud ühenduse kaudu ja järgides muid asutuses kehtestatud turvanõudeid.

19.2. Kui kaugtöö tegemisel kasutatakse töötaja isiklikku arvutit, peavad olema tagatud järgmiste turvanõuete täitmine

19.2.1. Windows operatsioonisüsteemiga arvutis peab olema paigaldatud ajakohaste viirusekirjeldustega viirusetõrjetarkvara.

19.2.2. Arvuti peab olema varustatud personaal-tulemüüriga, mis vaikimisi tõkestab sisenevad ühendused.

19.2.3. Sülearvuti peab olema kaitstud BIOSi salasõnaga.

21. Turvaintsidentidest teavitamine

21.1. Turvaintsident on sündmus, kus ei ole täidetud andmete käideldavuse ja/või konfidentsiaalsuse ja/või tervikluse nõuded.

21.2. Turvaintsidendi korral tuleb

21.2.1. koheselt teavitada oma struktuuriüksuse juhti või vallavalitsuse hallatava asutuse juhti. IT-alase turvaintsidendi korral teavitada IT spetsialisti;

21.2.2. rakendada vastavaid abinõusid edasiste kahjude vähendamiseks;

21.2.3. algatada uurimine ja hinnata turvaintsidendi ulatust ning mõju asutusele;

21.2.4. koostada aruanded turvaintsidentide kohta.

22. Infoturbe poliitika muutmine

22.1. Infoturbe poliitika vaadatakse üle kord aastas.

22.2. Infoturbe poliitikat muudetakse, kui

22.2.1. seda nõuavad turvaseire tulemused;

22.2.2. muudatuse vajadus tuleneb etalonturbe kataloogi uue versiooni ilmumisest;

22.2.3. muudatuste vajaduse tingivad olulised tehnilised, organisatsioonilised, õiguslikud muutused või muud sisemised või välised asjaolud.