Peipsiääre Vallavalitsuse infoturbepoliitika

Määrusega kehtestatakse infoturbe poliitika üldised põhimõtted mida on kohustatud täitma Peipsiääre Vallavalitsuse kui ametiasutuse ja vallavalitsuse hallatavate asutuste (edaspidi koos asutus) teenistujad, töötajad, töövõtu- või muu lepingu alusel teenust osutavad isikud ning kõik teised isikud, kes osalevad asutuse töös.

(1) Infoturbe poliitika eesmärk on kehtestada üldised põhimõtted infovarade kaitsmiseks rünnete ja ohtude eest.

(2) Infoturbe põhieesmärgid on

1) kaitsta infovarasid ohtude eest;

2) tagada andmete väärtuste ja omaduste säilimine;

3) tagada asutuse infosüsteemide käideldavus;

4) minimeerida riske;

5) tagada õigusaktidele vastavus.

(3) Andmete tähendus ja väärtus määratakse infosüsteemide kolmeastmelise etalonturbe (edaspidi ISKE) metoodika alusel.

Infoturbe kirjeldamisel kasutatakse mõisteid järgmises tähenduses

1) infovara – informatsioon, andmed ja nende töötlemiseks vajalikud infotehnoloogilised rakendused ning tehnilised vahendid;

2) turvameetmed – organisatsioonilised toimingud ja vahendid, tehnilised protsessid ja tehniliste vahendite rakendamine andmete ja infosüsteemide turvalisuse saavutamiseks ja säilitamiseks;

3) infoturve – turvameetmete loomise, valimise ja rakendamise protsesside kogum;

4) infosüsteem – andmeid töötlev, salvestav või edastav tehniline süsteem koos tema normaalseks talitluseks vajalike vahendite, ressursside ja protsessidega;

5) andmekogu – infosüsteemis töödeldavate korrastatud andmete kogum;

6) ISKE − infoturbe metoodika, mida rakendatakse andmekogude pidamisel kasutatavatele infosüsteemidele ning nendega seotud infovaradele turvalisuse tagamiseks;

7) krüpteerimine – andmete muundamine matemaatilise algoritmi abil;

8) varundamine – meetmete komplekt võimaldamaks programme või andmeid taastada teadaoleva hetkeseisuni;

9) turvaintsident – sündmus või sündmused, millega kaasneb andmete või muude infovarade käideldavuse, tervikluse või konfidentsiaalsuse kadu või tekib oluline oht andmete käideldavuse, tervikluse või konfidentsiaalsuse kao tekkeks;

10) kaugtöö – mobiilne töö; töö tegemine väljaspool ametiruume ehk töö korraldamine ja/või teostamine selliselt, kus infotehnoloogiliste vahendite abil täidetakse tööülesandeid regulaarselt või ajutiselt väljaspool vallavalitsuse poolt määratud töötegemise kohta;

11) infoturbejuht – vallavanema poolt nimetatud isik või määratud asutuse teenistuja, kelle ülesanne on vastutada infoturbe valdkonna eest.

(1) Asutuseväline infoturbeaudit tellitakse vastavalt seadusest tulenevatele nõuetele, aga mitte harvem kui kord kolme aasta jooksul.

(2) Seadusandluse või infoturbeolukorra muutumisel tuleb algatada infoturbe alusdokumentide ja ISKE rakenduskava muutmise protsess.

(3) Vallavalituses kasutatavate andmekogude ja infovarade kohta koostatakse spetsifikatsioon koos määratud turvaklassidega, mille alusel hinnatakse ISKE turvameetmete rakendatust ja koostatakse asjakohane rakendusplaan. Vallavalitsuses kasutatavate andmekogude ja nende turbeastmete loetelu kinnitab vallavanem oma käskkirjaga.

(4) Vallavalitsuse infovarade ja ISKE turvameetmete rakendatus ning riskanalüüs vaadatakse läbi vähemalt kord aastas koos valla eelarve koostamisega, samuti suuremate muutuste ja juhtumite korral.

(1) Vallavalitsus lähtub oma infoturbe rakendamisel info- ja kommunikatsioonitehnoloogia (edaspidi IT) halduse heast tavast ja ISKE juhistest. Turvadokumentide koostamisel kasutatakse ISKE mudeleid ja mõisteid.

(2) Vallavalitsuse infoturbepoliitika järgimine on kohustuslik kõikidele vallavalitsuse struktuuriüksustele kõigis nende füüsilistes asukohtades ning kaugtöö vormis töötamise korral.

(3) Infoturbe põhimõtteid on kohustatud järgima Peipsiääre Vallavalitsuse liikmed, vallavalitsuse ametnikud ja töötajad (edaspidi koos teenistujad), praktikandid, hallatavate asutuste töötajad, ning Peipsiääre Vallavalitsuse lepingulised partnerid, kes on volitatud töötleja rollis.

(4) Infoturbe poliitika alusel koostatakse asutuste infoturvet reguleerivad eeskirjad, juhendmaterjalid, korrad ja muud dokumendid.

(5) Hallatavad asutused ei pea antud poliitikat järgima osas, mis puudutab kitsalt vallavalitsuse tööd ja sisemisi protsesse.

(6) Hallatavas asutuses kehtestab infoturbe eesmärke toetavad korrad ja suunised asutuse juht, lähtudes käesolevast infoturbepoliitikast.

(7) Avastatud turvaintsidentidest teavitatakse kokku lepitud teavitusskeemide kaudu.

(8) Infoturbepoliitika rakendamise teostaja määrab vallavanem.

(9) Infoturbe meetmete rakendamist, riskianalüüside läbiviimist, infoturbealast järelevalvet ja infoturbeintsidentide lahendamist ning nõuetekohast raporteerimist Riigi Infosüsteemi Ametile koordineerib ja teostab infoturbejuht.

(10) Infoturbejuht esitab asutuste töös tuvastatud puuduste likvideerimise ettepanekud ja suunised vastava struktuuriüksuse või hallatava asutuse vastutavale juhile ning vallavanemale.

(1) Igal infovaral on vastutaja, kes määrab infovara turbevajaduse ja korraldab infoturbe nõuete täitmist.

(2) Konkreetsete ISKE turvameetmete rakendamise eest vastutajad määratakse vallavanema käskkirjaga, vastava korraga ja/või kajastuvad vastavalt vajadusele ametnike ametijuhendites.

(3) Iga struktuuriüksuse infoturbe eest vastutab selle üksuse juht.

(4) Infoturbe tagamise ja infoturbepoliitika järgimise eest valla hallatavas asutuses vastutab asutuse juht või tema poolt määratud isik.

(5) Kõik vallavalitsuse ja hallatavate asutuste teenistujad vastutavad oma töövaldkonnas infoturbe tagamiseks kehtestatud kordade täitmise eest.

(6) Vastutavate töötajate eemaloleku ajaks määratud asendajatele tagab töö teostamiseks vajalikud ligipääsud asendatava vahetu juht lähtudes kehtivast pääsuõiguste korrast. Iga infovara kasutaja vastutab infoturbe meetmete rakendamise eest, täidab infoturbe nõudeid ja rakendab asjakohaseid turvameetmeid.

(7) Tahtliku infoturbenõuete eiramise, infovarade mittesihipärase kasutamise või avastatud turvaintsidendist teatamata jätmise eest vastutab nõudeid rikkunud isik.

Turvariskide hindamisel rakendatakse ISKE metoodikat. Ohuallikateks infosüsteemidele võivad olla

1) puudused infrastruktuuris – ebapiisav kaitse füüsiliste ohtude eest (näiteks kuum, külm, elektrikatkestus, vesi) või turbe füüsiliste meetmete osaline rakendamine;

2) puudused infotehnoloogias – süsteemide või seadmete tõrked (näiteks serveririke või võrguühenduse katkestus); seadmete paigutus; süsteemide jõudlus; ülepingutatud turvameetmed;

3) puudused töös −vead, mida töötajad teevad turvanõuete järgimisel (näiteks antakse edasi ligipääsuõigusi või taotletakse tarbetuid ligipääsuõigusi, ei järgita töö- ja eraasjade lahususe põhimõtet);

4) puudused töökorralduses – juhtumid, kus järgitakse turvanõuete täitmise reegleid puudulikult või ei täideta neid; kasutusjuhendid või süsteemikirjeldused on ebaselged või puuduvad; süsteemile juurdepääsu reguleerimise vahend ehk parool on nõrk või ebapiisav; arvutisse on paigaldatud volitamata tarkvara;

5) turvaründed;

6) vääramatu jõud.

(1) Riskide vähendamiseks võetakse kasutusele järgmised meetmed

1) füüsilised meetmed ruumidele (näiteks uste, akende ja lukkudega seotud abinõud);

2) organisatsioonilised meetmed töötajatele (näiteks protseduurireeglid, korrad ja eeskirjad turvanõuete täitmiseks);

3) infotehnoloogilised meetmed infosüsteemidele ja andmekogudele (näiteks ligipääsuõiguste andmise ja kasutamisega, viirusetõrjega, krüpteerimisega, varukoopiate tegemise ja ID-kaardi kasutamisega seotud abinõud).

(2) Andmete töötlemiseks asutuses kasutatakse vaid ametiasutuse poolt lubatud riistvara- ja tarkvarastandardile vastavaid infotehnoloogilisi vahendeid. Asutuse sisevõrku ei tohi ühendada asutusele mittekuuluvaid seadmeid.

(1) Asutuste infovarade riskihaldus põhineb ISKE-l. Selle alusel määratakse turvameetmed, mida tuleb rakendada infovaradele ettenähtud turvataseme saavutamiseks ja säilitamiseks.

(2) Kui mõnda turvameedet ei ole võimalik või otstarbekas rakendada, peab leidma alternatiivse meetme riski vähendamiseks.

(3) Kui infovara omanik või valdaja leiab, et ISKE-põhisest riskianalüüsist ei piisa, koostatakse lisaks detailne riskianalüüs, kus vaadatakse eraldi iga infovarale mõjuvat ohtu, hinnatakse ohu realiseerumise tõenäosust, selgitatakse välja suuremad riskid ja võetakse vajaduse korral kasutusele spetsiifilised meetmed nende vähendamiseks.

(1) Turvaintsidendist või selle ohust peab töötaja koheselt teavitama ametiasutuse infoturbejuhti, IT spetsialisti ja enda vahetut juhti, töövälisel ajal enda vahetut juhti.

(2) Kui turvaintsidendi lahendamise käigus avastatakse kuriteo, väärteo, distsiplinaarsüüteo või töölepingu rikkumise tunnuseid, antakse juhtum edasi menetlemiseks asjaomase õigusega asutusele või isikule.

(3) Turvaintsidentide haldus sätestatakse asutuse juhi käskkirjaga.

(1) Ligipääs infovaradele tagatakse vaid volitatud kasutajatele.

(2) Pääsuõiguste jagamisel lähtutakse ametialase vajaduse põhimõttest.

(3) Pääsuõiguste taotlemisel ja seadistamisel lähtutakse võimalusel kohustuste lahususe printsiibist, kus pääsuõiguste taotleja ei saa olla pääsuõiguste seadistaja. Taotletud ning seadistatud pääsuõigused antakse töötajale asutuse juhi loal.

(4) Pääsuõiguste jagajad võtavad kasutusele protseduurid, reeglid või muud mehhanismid, mis tagavad pääsuõiguste tühistamise, kui töötaja tööülesanded muutuvad, ta kaotab usalduse või tema töösuhe lõppeb.

(5) Reeglid, mille järgi valitakse salasõna, selle kehtivus ja muud parameetrid, kehtestatakse kas infosüsteemi kasutamise korra või mõne teise kohase juhendmaterjaliga.

(1) Asutusesiseseks kasutamiseks mõeldud info edastamisel läbi välisvõrkude peab see olema krüpteeritud.

(2) Krüpteerimise detailid sätestatakse infosüsteemide kasutamise korras.

(1) Kõikidele infosüsteemidele rakendatakse viiruse- ja pahavaratõrjet.

(2) Viiruse- ja pahavaratõrje andmebaase uuendatakse regulaarselt.

(3) Viirustõrjesüsteem peab olema keskhallatav.

(1) Infosüsteemid ja nende muudatused testitakse enne kasutusele võtmist.

(2) Infosüsteemidele rakendatakse vajalikke turvameetmeid.

(1) Andmete varundamine ja taastamine reguleeritakse asutuse juhi poolt kehtestatud korras.

(2) Andmekogude varundusnõuded kehtestatakse igale andmekogule eraldi. Muude andmete varundusnõuded kehtestab asutuse juht.

(3) Hävitatavad andmed kustutatakse turvaliselt sellisel viisil, mis välistab nende taastamise.

(1) Ligipääs ruumidele tagatakse töövajaduse ja vastutuse alusel vastavalt asutuse töökorralduse reeglitele.

(2) Infoturbe seisukohalt olulised ruumid peavad olema valvestatud.

(3) Töövälisel ajal valvatakse hooneid ja ruume nii füüsiliselt kui ka elektrooniliselt. Vajadusel rakendatakse turvameetmeid ka territooriumi kaitseks.

(1) Kaugtööl tuleb järgida asutuse infosüsteemide kasutamise korda ning töökorralduse reegleid. Töökoha ressurssidega võib ühendust pidada ainult krüpteeritud andmeside kaudu.

(2) Kaugtööl kasutatav tööalane teave tuleb hoida kättesaamatuna kolmandatele isikutele, sealhulgas pereliikmetele.

(3) Kaugtööl kasutatavad arvutid ja seadmed peavad vastama asutuse infoturbe nõuetele.

(1) Järelevalvet infoturbepoliitika täitmise üle korraldab infoturbejuht, kes teavitab infoturbeintsidentidest vahetut juhti.

(2) Vallavalitsuse teenistujatel ja hallatavate asutuste juhtidel või neid asendavatel isikutel on kohustus raporteerida tuvastatud infoturbeintsidentidest infoturbejuhile esimesel võimalusel.

(3) Infosüsteemide vastavust infoturbepoliitikale kontrollitakse vastavalt vajadusele sise- ja välisaudititega.

Infoturbe poliitika rakendamiseks vajalikud rakendusaktid kinnitab asutuse juht. Rakendusaktid peavad tuginema infoturbepoliitikale ja olema kooskõlas õigusaktidega.

(1) Infoturbepoliitika regulaarne läbivaatamine tagab selle vastavuse vallavalitsuse infoturbevajadusele.

(2) Infoturbepoliitika läbivaatus toimub kord aastas või peale suuremaid muutusi organisatsioonis, süsteemides või regulatsioonides, või pärast tõsist intsidenti.

(3) Läbivaatust ja värskendamist korraldab infoturbejuht koos vallavalitsuse ja struktuuriüksuste juhtidega.

(4) Muudatustest teavitatakse kõiki ametiasutuse teenistujaid ja hallatavaid asutusi.

Vabariigi Valitsuse 22.06.2017 määruse nr 97 „Alatskivi valla, Kallaste linna, Pala valla, Peipsiääre valla ja Vara valla osas haldusterritoriaalse korralduse ja Vabariigi Valitsuse 3. aprilli 1995. a määruse nr 159 „Eesti territooriumi haldusüksuste nimistu kinnitamine“ muutmine moodustus haldusreformi tulemusel Alatskivi valla, Kallaste linna, Pala valla, Peipsiääre valla ja Vara valla ühinemisel uus omavalitsusüksus Peipsiääre vald, mis Eesti territooriumi haldusjaotuse seaduse § 92 lõike 2 alusel on ühinenud omavalitsusüksuste õigusjärglane. Lähtudes eelmärgitust ning arvestades haldusreformi § 16 lõike 1 ja Eesti territooriumi haldusjaotuse seaduse § 141 lõikeid 41‒42, tunnistada kehtetuks Alatskivi Vallavalitsuse 20.12.2010 määrus nr 11 „Alatskivi Vallavalitsuse infoturbepoliitika“.

Määrus jõustub kolmandal päeval pärast Riigi Teatajas avaldamist.