(1) Infoturbepoliitika määratleb Narva Linnavalitsuse ja Narva linna ametiasutuste (edaspidi linnavalitsus) suunised oma infovarade turvalisuse tagamisel. Linnavalitsus püüab vältida oma infovarade ja oma maine kahjustamist, rakendades piisavaid turvameetmeid, võimalike ohtude ilmnemise tõenäolisemates valdkondades, mis aitab kaasa katkestuseta tegevuse tagamisele linnavalitsuse ametiasutustes. Valitud turvameetmed peavad aitama täita õigusaktidest tulenevaid turvanõudeid ning olema majanduslikult õigustatud. Nende toime ei tohi ülemääraselt häirida töötajate tööd. (2) Infoturbepoliitika sõnastab turbe eesmärgid, nende saavutamise suunised, üldise turbekorralduse ja -strateegia ning peamiste turvamehhanismide rakendamise poliitika. (3) Linnavalitsus lähtub oma infoturbe korraldamisel info- ja kommunikatsioonitehnoloogia (edaspidi IT) halduse headest tavadest ja infosüsteemide kolmeastmelisest etalonturbe süsteemi (edaspidi ISKE) juhistest. Turvadokumentide koostamisel kasutatakse ISKE mudeleid ja mõisteid. (4) Linnavalitsuse infoturbepoliitika hõlmab kõiki Linnavalitsuse struktuuriüksusi ja kehtib kõigis Linnavalitsuse struktuuriüksustes. Infoturbe poliitikat korraldab Linnakantselei.
(1) Infoturve – teabe ja infosüsteemide kaitsmine loata juurdepääsu, kasutamise, avaldamise, muutmise või hävitamise eest. (2) Infovara – informatsioon, andmed ja nende töötlemiseks vajalikud rakendused. Andmebaas on korrastatud infokogum sõltumata tüübist. (3) Etalonturve – turvameetmestik, mille rakendamine on vajalik andmete turvalisuse saavutamiseks ja säilitamiseks. (4) Logi – arvuti tegevuse päevik, mida kasutatakse nii statistilistel eesmärkidel kui ka varundamise ja taaste jaoks. (5) ISKE ohtude kataloog – infosüsteemide kolmeastmelise etalonturbe süsteemi ohtude kataloog. (6) Turbeklass – andmete tähtsusest tulenev andmete nõutav turvalisuse tase, väljendatuna neljaastmelisel skaalal ning neljakomponendilisena, st kolme turvaosaklassi ühendina, vastavalt infosüsteemide turvameetmete süsteemi §-dele 6 ja 7. (VVM 20.12.2007 nr 252). (7) Andmete töötlemine – andmete kogumine, salvestamine, korrastamine, säilitamine, muutmine, nende kohta päringute teostamine, nendest väljavõtete tegemine, andmete kasutamine, üleandmine, ühendamine, sulgemine, kustutamine või hävitamine või mitu eeltoodud toimingut, sõltumata toimingute teostamise viisist või kasutatavatest vahenditest. (8) Andmete omanik – isik, kes vastutab andmete loomise, klassifitseerimise, kasutamise, ligipääsude reguleerimise ja administreerimise eest terve andmete elutsükli jooksul. (9) Krüpteerimine – andmete teisendamine sellisele kujule, mida kolmandatel isikutel on võimalik lugeda ainult vastava dekrüpteerimisvõtme olemasolu korral. (10) Turvaintsident – mistahes kõrvalekalle süsteemide normaalsest talitlusest. (11) Varundamine – andmete koopia loomine, mis on salvestatud algsest asukohast erinevasse asukohta ja võimaldab taastada algsed andmed. (12) Andmete hävitamine – andmekandjal olevate andmete töötlemine viisil, et andmekandjalt või selle jäänustelt/tükkidelt ei oleks sinna salvestatud andmed enam loetavad.
(1) Kõik linnavalitsuse teenistujad ja töötajad vastutavad oma töövaldkonnas turbeeesmärkide saavutamise ja kehtestatud kordade täitmise eest. (2) Üldvastutus infoturbe tagamise eest on linnapeal ja linnasekretäril vastavalt pädevusele. (3) Infoturbealast tööd korraldab ja koordineerib ISKE koordinaator. (4) Iga struktuuriüksuse infoturbe eest vastutab selle üksuse juhataja. (5) Konkreetsete turvameetmete rakendamise eest vastutaja määratakse linnasekretäri ja/või linnapea käskkirjaga või on määratud töötaja ametijuhendites. (6) Vastutavate töötajate eemaloleku ajaks tuleb neile määrata ajutised asetäitjad. (7) Väline audit tellitakse vastavalt vajadusele, aga mitte harvemini kui kord kolme aasta jooksul. (8) Seadusandluse või turbeolukorra muutumisel tuleb linnapeal ja/või linnasekretäril ning IT nõunikul algatada infoturbe alusdokumentide ja meetmete muutmise protsess. (9) Kolmeastmelisest etalonturbe süsteemi ISKE metoodikast lähtuvalt peab olemas olema linnavalitsuse infovarade spetsifikatsioon koos määratud turvaklassidega, mille alusel hinnatakse linnavalitsuse infovaradele asjakohaste ISKE turvameetmete rakendatust ja koostatakse edasine rakendamata meetmete rakendusplaan. (10) Linnavalitsuse infovarade ja neile rakenduvate ISKE turvameetmete rakendatus vaadatakse läbi vähemalt kord aastas linna eelarve koostamisega koos või suuremate muutuste ja juhtumite korral. Läbivaatust koordineerib ISKE koordinaator. Läbivaatusel analüüsib ISKE koordinaator koostöös IT nõuniku ja vastavate vastutusvaldkondade spetsialistidega ISKE rakendatuse tulemusi lähtudes ISKE ohtude kataloogist.
(1) Infovarade üle peab arvestust infokogumi eest vastutav isik. (2) Linnavalitsuse infovarad ja nende turbeklassid kinnitatakse andmekogu põhimääruses. (3) Infovarade kaitse tuleb tagada vähemalt ISKE meetme tasemel M. (4) Üldjuhul võib töötaja teha oma tööülesannete täitmiseks infovaradest koopiaid. Keelatud on teha konfidentsiaalsetest infovaradest koopiaid viia neid välja töökohalt või/ja anda neid kolmandatele isikutele, välja arvatud seadustest tulenevad juhud. (5) Teenistuja töölt lahkumisel on ta kohustatud kõik tema käes olevad infovarad tagastama Narva linnale.
(1) Üldturvet korraldab linnasekretär koos ISKE koordinaatori, IT nõuniku ja ametiasutuste juhtidega. (2) Üldturve reguleeritakse sisekorra eeskirja, arvutivõrgu kasutamise eeskirja ja teiste õigusaktidega. (3) Ligipääs olulistele ruumidele tagatakse tööalase vajaduse ja vastuse alusel. Võtmete arvu ja jagamise üle tuleb pidada kirjalikku arvestust. (4) Olulistes ruumides peab olema paigaldatud valvesignalisatsioon ning tagatud reageerimisvõimekus häirele. (5) Eraldi lukustatavas tööruumis tuleb viimasel väljujal sulgeda aknad ja lukustada uks. (6) Väline hoolde- ja remondipersonal lubada ruumidesse ainult koos saatjaga.
(1) Personali töölevõtul tuleb uuele töötajale tutvustada infoturvet reguleerivaid eeskirju. (2) Ametijuhendisse või töölepingusse tuleb lisada asjakohased turvanõuded. (3) Töötaja vabastamisel tuleb tagada viimase tööpäeva lõpuks kõikide tema valduses olevate varade ja pääsuvahendite tagastamine ning pääsuõiguste tühistamine. (4) Töötajaid tuleb teavitada neid puudutavate infoturbe meetmete muutustest ja uutest turvaohtudest viivitamatult. (5) Töötajale peab olema tagatud infoturbealane koolitus.
Linnavalitsuse infovarade, turvameetmete loetelu, infosüsteemi kasutajate ja teenindajate õigused ning kohustused infosüsteemi töökindluse ja kasutusmugavuse tagamisel, infosüsteemi varundamise ning muud infoturvet reguleerivad korrad kehtestatakse linnavalitsuse poolt, võimaluse korra andmekogu põhimääruses.
(1) Narva Linnavalitsuse ametiasutuste töötajate poolt loodud infovarade omanik on Narva linn. Linna õigusaktidega määratakse andmevaradele vastutav töötleja, kes volitab töötajat töötlema vastavaid andmeid. (2) Vastutav isik korraldab andmete tehnilise haldamise ja administreerimise andmete omaniku eest ja vastavalt andmete omaniku poolt esitatud nõuetele infotehnoloogiliste ja muude vahenditega. (3) Ametiasutustevaheline dokumentide ja andmekandjate üleandmine ning vastuvõtmine tuleb dokumenteerida dokumendiregistris kirjasisestaja poolt vastavalt dokumendiregistri põhimäärusele.
(1) Juurdepääs infovaradele peab olema korraldatud tööalase vajaduse ja vastutuse alusel. (2) Pääsuparoole tuleb vahetada vastavalt arvutivõrgu kasutamise eeskirjale või andmekogu põhimääruses sätestatud korras ja tähtaegade. (3) Süsteemiparoolid peavad olema deponeeritud turvalises asukohas krüpteeritult. Isikute ringi määrab linnasekretär. (4) Oluliste ruumide võtmed deponeeritakse pitseerituna turvalises asukohas linnasekretäri poolt määratud isiku juures.
(1) Väljapoole tööruume sattuvatel andmekandjatel olevad konfidentsiaalsed andmed peavad olema krüpteeritud. (2) Süsteemilogid tuleb säilitad vähemalt neli nädalat ja nende ülevaatus tuleb sooritada vähemalt kord kuus või vastavate turvaintsidentide korral. (3) Tagada tuleb kõigi tarbetute konfidentsiaalsete andmetega paberdokumentide ja füüsiliste andmekandjate hävitamine. (4) Konfidentsiaalseid andmeid sisaldavate töökohtade remonti saatmisel või utiliseerimisel tuleb eelnevalt hävitada neis sisalduvad andmed. (5) Töökohtades ja e-posti süsteemis peab olema rakendatud keskne viirustõrje. (6) Linnavalituse sisevõrku ühenduvad arvutid alluvad kesksele juhtimisele ja administreerimisele Windows Domeenikontrolleri või sarnase funktsionaalsusega tarkvara abil. See loob tehnilise võimaluse ja õiguse kontrollida ning logida töökoha arvutitesse sisenemist ja nende kasutamist. Lisaks saab selle abil rakendada erinevaid arvuti kasutamise poliitikaid erinevate kasutajagruppide lõikes ning kontrollida nende täitmist.
(1) Iga töötaja vastutab tema kasutuses olevate andmete varukoopiate tegemise eest. (2) Vastutav isik vastutab keskse süsteemi varukoopia tegemise eest. Vähemalt kord aastas tuleb luua kõikidest andmetest varukoopia püsisäilituseks. (3) Kasutajal on võimalik avada linnavalitsuse serveril tööalaseks otstarbeks andmete salvestusmaht.
(1) Turvaintsidentide käsitlemise eesmärk on tagada turvaintsidentidest tuleneva kahju minimeerimine. (2) Turvaintsidentidest ja vastumeetmete rakendamise mittevastavustest tuleb teavitada viivitamatult linnapead ja linnasekretäri. (3) Infoturbe eest vastutav isik peab tagama intsidendile reageerimise, registreerimise ja hilisema analüüsimise. (4) Intsidentide analüüse kasutatakse alusmaterjalina turvameetmete rakendamise plaani koostamisel ja uuendamisel.
(1) Infoturbepoliitika värskendamine peab tagama infoturbe nõutava taseme säilimise. (2) Infoturbepoliitika läbivaatus toimub kord aastas või peale suuremaid muutusi organisatsioonis, süsteemides või regulatsioonides või pärast tõsist intsidenti. (3) Läbivaatust ja värskendamist korraldab ISKE koordinaator koos juhtkonna esindajatega. (4) Muudatustest teavitatakse kõiki töötajaid, keda see puudutab.
(1) Järelevalvet infoturbepoliitika täitmise üle korraldab infoturbe eest vastutav isik. (2) Infosüsteemide vastavust infoturbepoliitikale kontrollitakse sise- ja välisaudititega.
Määrus jõustub seadusega sätestatud korras.