Otepää Vallavalitsuse infoturbepoliitika

Määrusega kehtestatakse Otepää Vallavalitsuse (edaspidi vallavalitsus) infoturbepoliitika põhimõtted, mida on kohustatud täitma vallavalitsuse kui ametiasutuse teenistujad, töövõtu- või muu lepingu alusel teenust osutavad isikud ning kõik teised isikud, kes osalevad asutuse töös.

(1) Infoturbe põhieesmärgid on

1) kaitsta infovarasid ohtude eest;

2) tagada andmete väärtuste ja omaduste säilimine;

3) tagada asutuse infosüsteemide käideldavus;

4) minimeerida riske;

5) tagada vallavalitsuse igapäevane turvaline asjaajamine ja infovahetus.

(2) Infoturbepoliitika eesmärk on kehtestada üldised suunised infoturbe eesmärkide saavutamiseks.

(3) Turvameetmed peavad tagama õigusaktidest tulenevate turvanõuete täitmise ja asjaajamise piisava turvalisuse ning olema samas majanduslikult põhjendatud ja nende mõju asutuse tegevuse efektiivsusele peab olema võimalikult väike.

(4) Infoturbe korraldamisel juhindutakse infosüsteemide kolmeastmelise etalonturbe süsteemi (edaspidi ISKE) rakenduskavast ja rakendatakse ISKE meetmeid.

Infoturbe kirjeldamisel kasutatakse mõisteid järgmises tähenduses

1) infovara – informatsioon, andmed ja nende töötlemiseks vajalikud infotehnoloogilised rakendused ning tehnilised vahendid;

2) infoturve – turvameetmete loomise, valimise ja rakendamise protsesside kogum;

3) infosüsteem – andmeid töötlev, salvestav või edastav tehniline süsteem koos tema normaalseks talitluseks vajalike vahendite, ressursside ja protsessidega;

4) andmekogu – infosüsteemis töödeldavate korrastatud andmete kogum;

5) ISKE − infosüsteemide kolmeastmelise etalonturbe süsteem on infoturbe metoodika, mida rakendatakse andmekogude pidamisel kasutatavatele infosüsteemidele ning nendega seotud infovaradele turvalisuse tagamiseks;

6) varundamine – meetmete komplekt võimaldamaks programme või andmeid taastada teadaoleva hetkeseisuni.

(1) Üldvastutus infoturbe tagamise eest on vallavanemal, kes kehtestab infoturvet reguleerivad juhised ning rakendab infoturbe juhtimise süsteemi oma asutuses.

(2) Infoturbealast tööd korraldab ja koordineerib ISKE koordinaator.

(3) Iga infovara kasutaja vastutab infoturbe meetmete rakendamise eest, täidab infoturbe nõudeid ja rakendab asjakohaseid turvameetmeid.

(4) Kõigi tasandite vahetud juhid kontrollivad, et alluvad täidaks infoturbe nõudeid.

(5) Infoturvalise keskkonna loomisel osalevad kõik teenistujad, kes vastavalt oma rollile ja tööülesannetele osalevad infoturbe protsessis. Konkreetsete ISKE turvameetmete rakendamise eest vastutajad määratakse vallavanema käskkirjaga või vastava korraga või kajastatakse vastavalt vajadusele ametnike ametijuhendites.

(6) Avastatud turvaintsidentidest teavitatakse kokkulepitud teavitusskeemide kaudu.

(7) Tahtliku infoturbenõuete eiramise, infovarade mittesihipärase kasutamise või avastatud turvaintsidendist teatamata jätmise eest vastutab nõudeid rikkunud isik.

(1) Turvariskide hindamisel rakendatakse ISKE metoodikat. Ohuallikateks infosüsteemidele võivad olla

1) puudused infrastruktuuris – ebapiisav kaitse füüsiliste ohtude eest (näiteks kuum, külm, elektrikatkestus, vesi) või turbe füüsiliste meetmete osaline rakendamine;

2) puudused infotehnoloogias – süsteemide või seadmete tõrked (näiteks serveririke või võrguühenduse katkestus); seadmete paigutus; süsteemide jõudlus; ülepingutatud turvameetmed;

3) puudused töös −vead, mida töötajad teevad turvanõuete järgimisel (näiteks antakse edasi ligipääsuõigusi või taotletakse tarbetuid ligipääsuõigusi);

4) puudused töökorralduses – juhtumid, kus järgitakse turvanõuete täitmise reegleid puudulikult või ei täideta neid; kasutusjuhendid või süsteemikirjeldused on ebaselged või puuduvad; süsteemile juurdepääsu reguleerimise vahend ehk parool on nõrk või ebapiisav; arvutisse on paigaldatud volitamata tarkvara;

5) turvaründed;

6) vääramatu jõud.

(2) Riskide minimeerimiseks vastuvõetavale tasemele võetakse kasutusele järgmised meetmed

1) füüsilised meetmed ruumidele (näiteks uste, akende, seinte ja lukkudega seotud abinõud);

2) organisatsioonilised meetmed teenistujatele (näiteks protseduurireeglid, korrad ja eeskirjad turvanõuete täitmiseks);

3) infotehnoloogilised meetmed infosüsteemidele ja andmekogudele (näiteks ligipääsuõiguste andmise ja kasutamisega, viirusetõrjega, krüpteerimisega, varukoopiate tegemise ja ID-kaardi kasutamisega seotud abinõud).

(1) Ligipääs ruumidele tuleb tagada korraldatud tööalase vajaduse ja vastutuse alusel.

(2) Infoturbe seisukohalt olulised ruumid peavad olema valvestatud.

(3) Ruumide varuvõtmeid tuleb hoida lukustatud kapis või viisil, mis välistab kõrvaliste isikute juurdepääsu.

(4) Eraldi lukustatavas tööruumis tuleb väljumisel aknad sulgeda ja uks lukustada.

(5) Töövälisel ajal valvatakse hooneid ja ruume nii füüsiliselt kui ka elektrooniliselt. Vajadusel rakendatakse turvameetmeid ka territooriumi kaitseks.

(6) Eriruume (serveri- ja tehnoruumid jne) ei tohi märgistada üldarusaadavalt ega kanda avalikele viitadele või avalikku majajuhti. Eriruumid peavad olema pidevalt lukustatud.

(7) Väline hoolde- ja remondipersonal lubatakse asutuse ruumidesse ainult koos saatjaga.

(1) Enne teenistuja tööle asumist tutvustatakse talle asutuse infoturbe põhimõtteid ja -reegleid.

(2) Teenistuja infoturbega seotud õigused, kohustused ja vastutus määratakse ametijuhendis, infoturbe juhendites ja/või muudes asjakohastes eeskirjades.

(3) Teenistujaid teavitatakse nende töövaldkonda puudutavatest infoturbe meetodite muutustest ja turvaintsidentidest viivitamatult.

(4) Infoturbe tagamiseks organisatsioonis korraldatakse teenistujatele regulaarselt koolitusi.

(5) Kui teenistuja lahkub ametist, siis tagastab ta viimasel tööpäeval tööandjale kõik varad ja pääsuvahendid, mis olid tema valduses. Teenistuja ligipääsuõigused infosüsteemidele tühistatakse viivitamatult.

(1) Ligipääs infovaradele tagatakse vaid volitatud kasutajatele.

(2) Pääsuõiguste jagamisel lähtutakse ametialase teadmisvajaduse põhimõttest.

(3) Pääsuõigusi jagavad isikud või osakonnad võtavad kasutusele protseduurid, reeglid või muud mehhanismid, mis tagavad pääsuõiguste tühistamise, kui teenistuja ülesanded muutuvad, ta kaotab usalduse või tema töösuhe lõppeb.

(4) Reeglid, mille järgi valitakse salasõna, selle kehtivus ja muud parameetrid, kehtestatakse kas infosüsteemi kasutamise korra või mõne muu juhendmaterjaliga.

(5) Tööülesannete täitmisel väljaspool vallavalitsuse poolt määratud töötegemise kohta (kaugtöö) tuleb järgida asutuse infosüsteemide kasutamise korda ning töökorralduse reegleid. Töökoha ressurssidega võib ühendust pidada ainult krüpteeritud andmeside kaudu.

(6) Kaugtööl kasutatav tööalane teave tuleb hoida kättesaamatuna kolmandatele isikutele, sealhulgas pereliikmetele.

(7) Kaugtööl kasutatavad arvutid ja seadmed peavad vastama asutuse infoturbe nõuetele.

(8) Asutusesiseseks kasutamiseks mõeldud info edastamisel läbi välisvõrkude peab see olema krüpteeritud.

(9) Krüpteerimise detailid sätestatakse infosüsteemide kasutamise korras.

(1) Andmete varundamine ja taastamine reguleeritakse asutuse juhi poolt kehtestatud korras.

(2) Andmekogude varundusnõuded kehtestatakse igale andmekogule eraldi. Muude andmete varundusnõuded kehtestab asutuse juht.

(3) Hävitatavad andmed kustutatakse turvaliselt sellisel viisil, mis välistab nende taastamise.

(1) Turvaintsidentide käsitlemise kord sätestatakse vallavanema käskkirjaga.

(2) Turvaintsidentide käsitlemise korra tõhusust testitakse pärast iga turvaintsidenti, mille lahendamisel selgus, et turvaintsidentide korras oli vajakajäämisi.

(3) Kõik teenistujad teavitavad avastatud turvaintsidendist kokkulepitud teavitusskeemide kaudu ja informeerivad vahetut juhti.

(4) Kui turvaintsidendi lahendamise käigus avastatakse kuriteo, väärteo, distsiplinaarsüüteo või töölepingu rikkumise tunnuseid, antakse juhtum edasi menetlemiseks asjaomase õigusega asutusele või isikule.

(1) Infoturbepoliitika vaadatakse üle vajaduse korral, kuid vähemalt kord aastas.

(2) Infoturbepoliitikat muudetakse kui

1) seda nõuavad auditi tulemused;

2) muudatuse vajadus tuleneb ISKE versioonist;

3) muudatuste vajaduse tingivad olulised tehnilised, organisatsioonilised või õiguslikud muutused või muud sisemised või välised asjaolud.

(1) Infoturbepoliitika rakendamiseks vajalikud rakendusaktid kinnitab ametiasutuse juht. Rakendusaktid peavad tuginema infoturbepoliitikale ja olema kooskõlas õigusaktidega.

(2) Määrus jõustub kolmandal päeval pärast Riigi Teatajas avaldamist.