(1) Infoturbepoliitika määratleb Kareda Vallavalitsuse (edaspidi vallavalitsus) suunised oma infovarade turvalisuse tagamisel. Vallavalitsus püüab piisavate turvameetmete rakendamisega vältida oma infovarade ja oma maine kahjustamist ning tagada normaalse tõrgeteta töö oma ülesannete saavutamiseks. Valitud turvameetmed peavad aitama täita õigusaktidest tulenevaid turvanõudeid ning olema majanduslikult õigustatud ning nende häiriv toime vallavalitsuse tegevusele ja töötajate tööle peab olema võimalikult väike.2(2)Infoturbepoliitika sõnastab turbe eesmärgid, nende saavutamise suunised, üldise turbekorralduse ja – strateegia ning peamiste turvamehhanismide rakendamise poliitika.3(3)Vallavalitsus lähtub oma infoturbe korraldamisel info- ja kommunikatsioonitehnoloogia (edaspidi IT) halduse headest tavadest, kolmeastmelisest etalonturbe standardi ISKE juhistest. Turvadokumentide koostamisel kasutatakse ISKE mudeleid ja mõisteid.4(4)Vallavalitsuse infosüsteemi üldine turvaklass on K1T1S1 ja turbeaste L. Infovarade käideldavus, terviklus ja konfidentsiaalsus tuleb tagada vähemalt ISKE määruses kirjeldatud L taseme meetmetega.
(1) Infoturve – teabe ja infosüsteemide kaitsmine loata juurdepääsu, kasutamise, avaldamise, muutmise või hävitamise eest.2(2)Infovara – informatsioon, andmed, tarkvara, server, inimene, ruum, arvutivõrk jm. Andmebaas on korrastatud infokogum, kusjuures pole oluline, mis tüüpi see info on.3(3)Etalonturve – turvameetmestik, mille rakendamine on vajalik andmete turvalisuse saavutamiseks ja säilitamiseks.4(4)Logi – arvuti tegevuse päevik, mida kasutatakse nii statistilistel eesmärkidel kui ka varundamise ja taaste jaoks.5(5)ISKE ohtude kataloog – infosüsteemide kolmeastmelise etalonturbe süsteemi ohtude kataloog.6(6)Turbeklass – andmete tähtsusest tulenev andmete nõutav turvalisuse tase, väljendatuna neljaastmelisel skaalal ning neljakomponendilisena, st kolme turvaosaklassi ühendina.7(7)Andmete töötlemine – andmete kogumine, salvestamine, korrastamine, säilitamine, muutmine, nende kohta päringute teostamine, nendest väljavõtete tegemine, andmete kasutamine, üleandmine, ühendamine, sulgemine, kustutamine või hävitamine või mitu eeltoodud toimingut, sõltumata toimingute teostamise viisist või kasutatavatest vahenditest.8(8)Andmete omanik – isik, kes vastutab andmete loomise, klassifitseerimise, kasutamise, ligipääsude reguleerimise ja administreerimise eest terve elutsükli jooksul.9(9)Krüpteerimine – andmete teisendamine sellisele kujule, mida teistel on võimalik lugeda ainult vastava dekrüpteerimisvõtme olemasolu korral.10(10)Turvaintsident – mistahes kõrvalekalle süsteemide normaalse talitluse reeglitest.11(11)Varundamine – andmete koopia, mis on salvestatud algsest asukohast erinevasse asukohta.
(1) Üldvastutus infoturbe tagamise eest on vallavanemal.2(2)Infoturbe meetmete rakendamiseks moodustatakse vallavanema käskkirjaga töögrupp.3(3)Infoturbealast tööd korraldab ja koordineerib ISKE koordinaator.4(4)Kõik vallavalitsuse töötajad vastutavad oma töövaldkonnas infoturbe korraldamise ja meetmete rakendamise ning kehtestatud kordade täitmise eest.
(1) Turbeintsidentidest ja meetmete rakendamise mittevastavustest tuleb teavitada viivitamatult vallavanemat.2(2)ISKE rakendamise töögrupp vaatab turvaolukorra üle vähemalt kord aastas.3(3)Logide ülevaatus tuleb sooritada vähemalt kord kuus.4(4)Väline audit tellitakse vastavalt vajadusele, aga mitte harvemini kui kord kolme aasta jooksul.5(5)Seadusandluse või turbeolukorra muutumisel tuleb vallavanemal ja ISKE koordinaatoril algatada infoturbe alusdokumentide ja meetmete muutmise protsess. Muudatustest teavitatakse kõiki töötajaid.
(1) Varade üle peab arvestust IT – teenuse pakkuja.2(2)Vallavalitsuse infovarad ja nende turbeklassid on kirjeldatud ISKE tööriistas.
(1) Juhisdokumendid11) Vabariigi Valitsuse 20. detsembri 2007. a. määrus nr 252 „Infosüsteemide turvameetmete süsteem“22) Rakendamisele kuuluvate turvameetmete loetelu on kirjeldatud ISKE tööriistas.33) Kasutajate ja teenindajate õigused ning kohustused infosüsteemi töökindluse ja kasutusmugavuse tagamisel on määratletud dokumendis „Arvutivõrgu kasutamise kord“.2(2)Pääsupoliitika11) Juurdepääs infovaradele peab olema korraldatud tööalase vajaduse ja vastutuse alusel.22) Pääsuparoole tuleb vahetada vähemalt kaks korda aastas.33) Süsteemiparoolid peavad olema deponeeritud turvalises asukohas.3(3)Infovahetuse turve11) Väljapoole vallavalitsuse ruume sattuvate töökohtade kõvaketastel olevad konfidentsiaalsed andmed peavad olema krüpteeritud.22) Süsteemilogid tuleb säilitada vähemalt neljaks nädalaks ja nende revisjon tuleb sooritada vähemalt kord kuus või vastavate turvaintsidentide korral.33) Tuleb tagada kõigi tarbetute konfidentsiaalsete andmetega paberdokumentide ja füüsiliste andmekandjate hävitamine.44) Töökohtade remonti saatmisel ja utiliseerimisel tuleb eelnevalt eemaldada füüsilised andmekandjad.55) Kogu kaabeldus peab olema tähistatud ja dokumenteeritud.66) Töökohtades ja e-postisüsteemis peab olema rakendatud keskne viirustõrje.4(4)Üldturve11) Ligipääs ruumidele tuleb tagada korraldatud tööalase vajaduse ja vastutuse alusel. Võtmete jagamise üle tuleb pidada kirjalikku arvestust.22) Olulistes ruumides peab olema paigaldatud valvesignalisatsioon ja valvelepingu sõlmimine turbefirmaga.33) Eraldi lukustatavas tööruumis tuleb viimasel väljujal aknad sulgeda ja uks lukustada.Väline hoolde- ja remondipersonal lubada ruumidesse ainult koos saatjaga.5(5)Personaliturve11) Personali töölevõtul tuleb uuele töötajale tutvustada infoturvet reguleerivaid kordasid.22) Töölepingusse tuleb lisada asjakohased turvanõuded.33) Töötaja vabastamisel tuleb tagada viimase tööpäeva lõpuks kõikide tema valduses olevatevarade ja pääsuvahendite tagastamine ning pääsuõiguste tühistamine.44) Töötajaid tuleb teavitada neid puudutavate infoturbe meetmete muutustest jaturvaintsidentidest.55) Töötajale peab olema tagatud infoturbealane koolitus.6(6)Dokumentide turve11) Asutustevaheline dokumentide ja andmekandjate üleandmine ja vastuvõtmine tuleb dokumenteerida.7(7)Varundamine11) Iga töötaja vastutab tema kasutuses olevate andmete varukoopiate tegemise eest.22) IT – teenuse pakkuja tagab keskse süsteemi varukoopia tegemise eest.33) Vähemalt kord aastas tuleb luua kõikidest andmetest varukoopia püsisäilituseks.
Määrus jõustub 03. detsembril 2010.a.