Antsla Vallavalitsuse infoturbe poliitika

(1) Infoturbe poliitika määratleb Antsla Vallavalitsuse (edaspidi vallavalitsus) suunised infovarade turvalisuse tagamisel, et piisavate turvameetmete rakendamisega vältida infovarade ja asutuse maine kahjustumist.

(2) Infoturbe poliitika järgib info- ja kommunikatsioonitehnoloogia (edaspidi IKT) häid tavasid, parimaid praktikaid ja infosüsteemide kolmeastmelise etalonturbe süsteemi (edaspidi ISKE) suuniseid, mudeleid ja mõisteid.

(3) Infoturbe eesmärgiks on teabe säilimine ja terviklikkus, selle kaitsmine ohtude eest, et tagada talituse jätkuvus, aga samuti konfidentsiaalsus nõutaval tasemel. Valitud turvameetmed peavad tagama õigusaktidest tulenevate turvanõuete täitmise, olema majanduslikult põhjendatud ja mõju asutuse tegevuse efektiivsusele peab olema võimalikult väike.

(4) Infoturbe põhimõtteid on kohustatud järgima vallavalitsuse ametnikud ja töötajad (edaspidi teenistujad), praktikandid, ning vallavalitsuse lepingulised partnerid, kes on volitatud töötleja rollis. Infoturbe poliitika järgimine on kohustuslik kõikidele teenistujatele ja töötajatele kõigis nende füüsilistes asukohtades või kaugtöö vormis töötamise korral.

(1) Üldvastutus infoturbe tagamise eest on asutuse juhil.

(2) Infoturbe meetmete rakendamist koordineerib ja teostab infoturbe eest vastutaja (määratakse vallavanema käskkirjaga).

(3) Kõik vallavalitsuse teenistujad vastutavad oma töövaldkonnas infoturbe tagamiseks kehtestatud kordade täitmise eest.

(4) Tahtliku infoturbe nõuete eiramise, infovarade mittesihipärase kasutamise või avastatud turvaintsidendist teatamata jätmise eest vastutab nõudeid rikkunud isik.

Infoturbe kirjeldamisel kasutatakse mõisteid järgmises tähenduses

1) infovara – andmed ja nende töötlemiseks vajalikud infotehnoloogilised rakendused ning tehnilised vahendid;

2) turvameetmed – organisatsioonilised toimingud ja vahendid, tehnilised protsessid ja tehniliste vahendite rakendamine andmete ja infosüsteemide turvalisuse saavutamiseks ja säilitamiseks;

3) infoturve – turvameetmete loomise, valimise ja rakendamise protsesside kogum;

4) infosüsteem – andmeid töötlev, salvestav või edastav tehniline süsteem koos tema normaalseks talitluseks vajalike vahendite, ressursside ja protsessidega;

5) andmekogu – infosüsteemis töödeldavate korrastatud andmete kogum;

6) ISKE (infosüsteemide kolmeastmeline etalonturbe süsteem) − infoturbe metoodika, mida rakendatakse infovarale ja mis sisaldab juhised ning turvameetmete kataloogi, kuidas korraldada infoturbe haldust, määrata infovarade turbevajadust ja turvameetmeid;

7) turbeintsident – sündmus või sündmused, millega kaasneb andmete või muude infovarade käideldavuse, tervikluse või konfidentsiaalsuse kadu või tekib oluline oht selle tekkeks;

8) andmete käideldavus - andmete kättesaadavus ja kasutatavus, nende käepärast olek, kehtivus

9) andmete terviklus - veendumus andmete õigsuses, nende puutumatus, terviklus, täielikkus;

10) andmete konfidentsiaalsus - andmete salastatus, nende usalduslik käitlemine.

11) krüpteerimine – andmete muutmine loetamatuks kõrvaliste isikute jaoks.

12) varundamine – andmetest varukoopiate tegemine, et võimaldada hilisem andmete taastamine.

(1) Kõik infoturvet puudutavad muudatused tuleb kooskõlastada infoturbe eest vastutajaga.

(2) Asutuste infovarade kaitse tuleb tagada vastavalt nende väärtusele ja Eesti Vabariigis kehtivatele õigusaktidele.

(3) Infoturbe korraldamise eelduseks on, et mitte ükski turvameede ei loo kunagi absoluutset turvalisust, need vaid vähendavad turvariski, st tõenäosust, et andmete terviklus, käideldavus või konfidentsiaalsus saavad kahjustatud. Infosüsteemi turvalisus loetakse piisavaks, kui jääkrisk on asutuse jaoks aktsepteeritaval tasemel (võrreldes varade väärtusega ja turvameetmete maksumusega). Kui infosüsteemi funktsionaalsus on asutuse tegevuses kriitilise tähtsusega, infosüsteemi asendus- ja arenduskulud on ebamõistlikult suured või kui infovarasid ähvardab kõrge risk, viiakse vajadusel läbi detailne riskianalüüs.

(4) Asutus on kohustatud tagama kõikide enda käsutuses olevate infovarade kaitse vastavalt ohtude realiseerumise tõenäosusele ja kaitstavate varade väärtusele.

(5) Asutuse teenistujate teadlikkuse tõstmine ja motiveerimine on infoturbe peamine tagatis. Asutus viib vajadusel läbi asutuste teenistujatele infoturbealaseid teavitusi ja koolitusi.

(6) Infoturbe nõuetega tuleb arvestada infosüsteemide kõikides arendamise etappides, samuti nende soetamisel.

(7) IT-spetsialist planeerib ja teostab turvaauditeid ning põhjendatud vajadusel viib läbi erakorralisi kontrolle.

(8) Infoturbeintsidendi või intsidendiohu ilmnemise korral peab teenistuja sellest viivitamatult teatama IT-spetsialistile.

(9) Kõik infoturbeintsidendid fikseeritakse ja vajadusel teavitab IT-spetsialist Riigi Infosüsteemi Ametit (edaspidi RIA).

(10) Kõigi infoturbeintsidentide osas korraldab IT-spetsialist menetluse, mille eesmärgiks on tuvastada intsidendi põhjused, tagajärjed ja leida lahendused tulevikus sarnaste intsidentide vältimiseks.

(11) Infosüsteemide vastavust infoturbe poliitikale kontrollitakse vastavalt vajadusele sise- ja välisaudititega.

(1) Infovarade üle peab arvestust IT-spetsialist.

(2) Infovarade kaitse tuleb tagada vähemalt ISKE meetme tasemel L.

(1) Turvariskide hindamisel rakendatakse ISKE metoodikat.

(2) Ohuallikateks infosüsteemidele võivad olla

1) puudused infrastruktuuris –ebapiisav kaitse füüsiliste ohtude eest (näiteks kuum, külm, elektrikatkestus, vesi) või turbe füüsiliste meetmete osaline rakendamine;

2) puudused infotehnoloogias –süsteemide või seadmete tõrked (näiteks serveririke või võrguühenduse katkestus); seadmete paigutus; süsteemide jõudlus; ülepingutatud turvameetmed;

3) puudused töös −vead, mida töötajad teevad turvanõuete järgimisel (näiteks antakse edasi ligipääsuõigusi või taotletakse tarbetuid ligipääsuõigusi, ei järgita töö-ja eraasjade lahususe põhimõtet, ei lukustata töökohalt eemal olles arvutiekraani);

4) puudused töökorralduses –juhtumid, kus järgitakse turvanõuete täitmise reegleid puudulikult või ei täideta neid; kasutusjuhendid või süsteemikirjeldused on ebaselged või puuduvad; süsteemile juurdepääsu reguleerimise vahend ehk parool on nõrk või ebapiisav; arvutisse on paigaldatud volitamata tarkvara;

5) turvaründed;

6) vääramatu jõud.

(1) Riskide vähendamiseks võetakse kasutusele järgmised meetmed

1) füüsilised meetmed ruumidele (näiteks uste, akende ja lukkudega seotud abinõud);

2) organisatsioonilised meetmed töötajatele (näiteks protseduurireeglid, korrad ja eeskirjad turvanõuete täitmiseks);

3) infotehnoloogilised meetmed infosüsteemidele ja andmekogudele (näiteks ligipääsuõiguste andmise ja kasutamisega, viirusetõrjega, krüpteerimisega, varukoopiate tegemise ja ID-kaardi, Digi-ID, Mobiil-ID ning Smart-ID kasutamisega seotud abinõud).

(2) Andmete töötlemiseks asutuses kasutatakse vaid ametiasutuse poolt lubatud riistvara-ja tarkvarastandardile vastavaid infotehnoloogilisi vahendeid. Asutuse sisevõrku ei tohi

1) ühendada asutusele mittekuuluvaid seadmeid;

2) iseseisvalt alla laadida ja paigaldada tarkvara;

3) külastada sobimatuid veebilehekülgi.

(1) Käesoleva infoturbe poliitika rakendamisel lähtutakse valdkonnaga haakuvatest vallavalitsuse kehtestatud suunistest ja kordadest ning seadustest tulenevatest kohustustest.

(2) Infoturbe eesmärke toetavad korrad ja suunised kehtestab asutuse juht, lähtudes käesolevast infoturbe poliitikast.

(1) Üldturvet korraldab asutuse juhi poolt määratud teenistuja.

(2) Asutuse üldturbe põhimõtted sätestatakse vallavalitsuse töökorraldusreeglitega.

(3) Teenistujatele rakenduvad üldturbe tagamise juhised kehtestatakse töökorraldusreeglitega ning vajadusel ametijuhendites.

(4) Asutuse olulistes ruumides peab olema paigaldatud valvesignalisatsioon ning tagatud reageerimisvõimekus häirele.

(5) Riist- ja tarkvara paigaldamise, infosüsteemi lülitamise, konfigureerimise ja haldamisega tegeleb asutuse IT-spetsialist või teenusepakkuja, kelle üle teostab järelvalvet IT-spetsialist.

(6) Väline hoolde- ja remondipersonal lubatakse asutuse ruumidesse ainult koos vallavalituse teenistujaga, kes on määratud vastaval alal vastutajaks.

(1) Andmekaitse eesmärk on tagada andmete töötlemise turvalisuse vastavus kehtivatele õigusaktidele.

(2) Vallavalitsuse vastutav töötleja rakendab ohule vastava turvalisuse taseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid, mis lähtuvad käesolevast poliitikast.

(3) Asutusesiseseks kasutamiseks määratud informatsiooni edastamine ebaturvalisi kanaleid pidi toimub läbi piisavalt tugeva krüpteerimise.

(4) Vallavalitsus kaasab andmetöötluse turvalisuse tagamiseks ja turbemeetmete ülevaatuseks vajadusel andmekaitse- ja küberturvalisuse asutusi.

(5) Andmetöötluse mõjuhinnangute ja riskianalüüsi läbiviimist koordineerib ja teostab vallavalitsuse andmekaitsespetsialist.

(6) Andmete töötlemise põhimõtted on sätestatud andmete töötlemise korraga, mis seondub käesoleva infoturbe poliitikaga.

(7) Kõigile andmekogudele on määratud omanik.

(8) Andmete haldamise nende omaniku nimel ja vastavalt andmete omaniku poolt esitatud tingimustele korraldab vastutav teenistuja.

(9) Asutustevaheline dokumentide ja andmekandjate üleandmine ning vastuvõtmine korraldatakse kooskõlas infoturbe poliitikaga ja dokumenteeritakse.

(1) Ligipääs infovaradele tagatakse vaid volitatud kasutajatele.

(2) Pääsuõiguste jagamisel lähtutakse ametialase vajaduse põhimõttest.

(3) Pääsuõiguste taotlemisel ja seadistamisel lähtutakse võimalusel kohustuste lahususe printsiibist, kus pääsuõiguste taotleja ei saa olla pääsuõiguste andja. Taotletud ning seadistatud pääsuõigused antakse töötajale asutuse juhi käskkirjaga.

(4) Pääsuõiguste jagajad võtavad kasutusele protseduurid, reeglid või muud mehhanismid, mis tagavad pääsuõiguste tühistamise, kui töötaja tööülesanded muutuvad, ta kaotab usalduse või tema töösuhe lõppeb.

(5) Reeglid, mille järgi valitakse kasutajatunnus ja salasõna, selle kehtivus ja muud parameetrid, kehtestatakse kas infosüsteemi kasutamise korra või mõne teise kohase juhendmaterjaliga.

(1) Asutusesiseseks kasutamiseks tunnistatud andmed, mis sattuvad väljapoole vallavalitsuse ruume seadmete kõvaketastel, e-kirja teel suhtluses kolmandate osapooltega, eemaldatavatel andmekandjatel või muul viisil peavad olema krüpteeritud.

(2) Süsteemilogid tuleb säilitada vähemalt neli nädalat ja nende läbivaatus toimub vajaduspõhiselt või turvaintsidentide korral.

(3) Säilitamisaja ületanud asutusesiseseks kasutamiseks tunnistatud paberdokumendid ning füüsilised andmekandjad kuuluvad hävitamisele.

(4) Seadmete remonti saatmisel, utiliseerimisel, kolmandatele osapooltele võõrandamisel tuleb kõik püsimälu kandjad (sisemised, välimised) eemaldada või andmed kustutada moel, mis ei võimaldaks neid taastada, kui andmed sisaldavad asutusesiseseks kasutamiseks mõeldud infot ja pole krüpteeritud nõuete kohaselt.

(5) Töökohtades ja e-posti süsteemis peab olema rakendatud viirustõrje.

(6) Kaugtöö puhul võimaldatakse vallavalitsuse hallatavatele infosüsteemidele ligipääsud krüpteeritud ja autenditud ühenduse loomise teel.

(1) Andmete varundamine reguleeritakse asutuse andmete varundamise korras.

(2) Andmekogude varundusnõuded kehtestatakse igale andmekogule eraldi. Muude andmete varundusnõuded kehtestab asutuse juht.

(3) Hävitatavad andmed kustutatakse turvaliselt sellisel viisil, mis välistab nende taastamise.

(4) Varundatud andmete hoidmisel rakendatakse ISKE turvameetmeid, lähtudes varundatud andmete maksimaalsest turvaklassist.

Kõikidele infosüsteemidele ja edastatavatele andmetele rakendatakse viirusetõrjet, mille andmebaase uuendatakse perioodiliselt.

(1) Konfidentsiaalsuskohustus kehtib konfidentsiaalse teabe kohta ega sõltu isiku teenistuskohast ja töötegemise asukohast. Konfidentsiaalsuskohustus kohaldub ka neile teenistujatele ja praktikantidele, kellel puuduvad otsesed infovara kasutamise volitused.

(2) Kui teenistuja või praktikant tegutseb lepingu alusel, peab leping sisaldama konfidentsiaalsuskohustuse sätteid.

(3) Kui lepingulisi kohustusi täidab teine organisatsioon või asutus (kolmas osapool), peab asutuse ja kolmanda poole vahel sõlmitud leping sisaldama konfidentsiaalsuskohustuse sätteid. Pooled allkirjastavad lepingu enne, kui lepingu täitjale võimaldatakse juurdepääs infovarale.

(1) Infoturbe poliitika regulaarne läbivaatamine tagab selle vastavuse vallavalitsuse infoturbevajadusele.

(2) Infoturbe poliitika läbivaatus toimub kord aastas või peale suuremaid muutusi organisatsioonis, süsteemides või regulatsioonides, või pärast tõsist intsidenti.

(3) Läbivaatust ja värskendamist korraldab infoturbejuht koos vallavalitsuse ja struktuuriüksuste juhtidega.

(4) Muudatustest teavitatakse kõiki töötajaid.

Määrus jõustub kolmandal päeval pärast Riigi Teatajas avaldamist.