(1)Infoturbepoliitika määratleb Lääne-Harju Vallavalitsuse (edaspidi vallavalitsus) ja tema hallatavate asutuste suunised infovarade turvalisuse tagamisel, et piisavate turvameetmete rakendamisega vältida infovarade ja asutuse maine kahjustumist.
(2)Infoturbe põhimõtteid peavad järgima vallavalitsuse ja hallavatavate asutuste teenistujad ning töötajad, Lääne-Harju Volikogu ja Vallavalitsuse liikmed ja vallavalitsuse lepingulised partnerid. Vallavalitsuse infoturbepoliitika järgimine on kohustuslik kõikidele vallavalitsuse struktuuriüksustele kõigis nende füüsilistes asukohtades või kaugtöö vormis töötamise korral.
(3)Infoturbemeetmete valimisel, rakendamisel, haldamisel ja kontrollimisel juhindutakse üldise infoturbe metoodika ja ISO 27000 infoturbe seerias ära toodud standarditest ning info- ja kommunikatsioonitehnoloogia heast tavast. Turvadokumentide koostamisel kasutatakse ISKE mudeleid ja mõisteid.
(4)Vajadusel võib infoturbe põhimõtete rakendamiseks vajalikke nõudeid ja meetmeid kehtestada asutuse töökorralduse reeglite, asutuse juhi käskkirja või korraldusega. Nõuded ja meetmed peavad tuginema praegustele infoturbe põhimõtetele ja olema kooskõlas vallavalitsuse õigusaktidega.
(1)Infoturbepoliitika põhimõtete eesmärk on sõnastada ja kehtestada üldised turbe eesmärgid, nende saavutamise viisid, üldise turbekorralduse ja -strateegia, peamiste turvamehhanismide rakendamise poliitika. Nende põhimõtete alusel koostatakse eeskirjad, juhendmaterjalid, korrad ja muud dokumendid, mis reguleerivad asutuse infoturvet.
(2)Infoturbe eesmärgiks on teabe säilimine ja terviklikkus, selle kaitsmine ohtude eest, et tagada talituse jätkuvus, aga samuti konfidentsiaalsus nõutaval tasemel. Valitud turvameetmed peavad tagama õigusaktidest tulenevate turvanõuete täitmise, olema majanduslikult põhjendatud ja mõju asutuse tegevuse efektiivsusele peab olema võimalikult väike.
Infoturbe põhimõtete kirjeldamisel kasutatakse standardseid infoturbetermineid ISO/IEC 27000 seeria standardites sätestatud termineid ja lisaks mõisteid järgmises tähenduses: 1) Infosüsteem (IS) – vallavalitsuse ja asutuste käsutuses olevate infosüsteemi komponentide kogum, mis peab tagama organisatsiooni tegutsemiseks ja arenguks vajaliku infotehnoloogilise keskkonna; 2) Infosüsteemi komponendid (vahendid) - riistvara (serverid, arvutid, perifeeriaseadmed, andmekandjad jms), tarkvara (operatsioonisüsteemid, rakendused, andmebaasid jm programmid) ja arvutivõrk (võrgukaablid ja võrguseadmed), samuti eelnimetatu osa või osade komplektid; 3) Infovara - informatsioon, andmed ja nende töötlemiseks vajalikud infotehnoloogilised rakendused ning tehnilised vahendid; 4) Infoturve –turvameetmete loomise, valimise ja rakendamise protsesside kogum; 5) Andmete töötlemine - informatsiooni kirjapanek taasesitamist võimaldaval kujul, andmete kogumine, salvestamine, korrastamine, säilitamine, muutmine, nende kohta päringute teostamine, nendest väljavõtete tegemine, andmete kasutamine, üleandmine, ühendamine, sulgemine, kustutamine või hävitamine või mitu eeltoodud toimingut, sõltumata toimingute teostamise viisist või kasutatavatest vahenditest; 6) Infosüsteemide kolmeastmeline etalonturve (edaspidi ISKE) − infoturbe metoodika, mida rakendatakse andmekogudele ja mis sisaldab juhised, kuidas korraldada infoturbe haldust, määrata infovarade turbevajadust ning turvameetmete kataloogi; 7) Kasutusõigus (pääsuõigus) - isikule antav mistahes infosüsteemis konkreetsele kasutajakontole antud kasutusõigus ja õiguste tase; 8) Kaugtöö – mobiilne töö; töö korraldamine ja/või teostamine selliselt, kus infotehnoloogiliste vahendite abil täidetakse tööülesandeid regulaarselt või ajutiselt väljaspool vallavalitsuse poolt määratud töötegemise kohta; 9) Kasutajatunnus (Username) - kasutusõiguse saanud isiku identifikaator, mille abil süsteem on võimeline kasutaja üheselt tuvastama; 10) Logi – arvuti või infosüsteemi tegevuste ja sündmuste päevik, mida kasutatakse nii statistilistel eesmärkidel kui ka varundamise ja taaste jaoks; 11) Turbeklass – andmete tähtsusest tulenev andmete nõutav turvalisuse tase; 12) Turvaintsident - teenuse katkemine või mõne seadme rike, süsteemi tõrge või ülekoormus, inimlikud vead, mittevastavus infoturbepoliitika või juhenditega, füüsiliste turvameetmete rikkumine, mitte kontrollitud muudatused süsteemides, tarkvara või riistvara tõrge, ligipääsu rikkumised; 13) VPN (Virtual Private Network) - virtuaalne privaatvõrk, ehk internetti rajatud krüpteeritud kanal, mis ühendab omavahel mitu kontorit või ka näiteks koduarvuti vallavalitsuse arvutivõrguga. VPN võimaldab turvalist informatsiooni edastamist läbi avaliku internetti; 14) WiFi - traadita internetiühendust võimaldav andmesidestandard ning ühtlasi selleks kasutatavad seadmed ja tarkvara; 15) Nutikaart - kontoris liikumiseks, aga ka printerite kasutamiseks ja muuks selliseks mõeldud viipekaart.
(1)Infoturbepoliitika rakendamise teostajad määrab vallavanem
(2)Infoturbe meetmete rakendamist, riskianalüüside läbiviimist, infoturbealast järelevalvet ja infoturbeintsidentide lahendamist ning nõuetekohast raporteerimist Riigi Infosüsteemi Ametile koordineerib ja teostab infoturbe eest vastutav isik koostöös vallavalitsuse või hallatava asutuse infotehnoloogia ja infoturbesüsteemide teenust pakkuva ettevõttega. Iga struktuuriüksuse infoturbe eest vastutab selle üksuse juht, kui ei ole määratud teisiti.
(3)Infoturbe eest vastutav isik esitab asutuste töös tuvastatud puuduste likvideerimise ettepanekud ja suunised vastava struktuuriüksuse või hallatava asutuse vastutavale juhile ja vallavanemale.
(4)Infoturvalise keskkonna loomisel osalevad kõik töötajad või ametnikud, kes vastavalt oma rollile ja tööülesannetele osalevad infoturbe protsessis. Konkreetsete ISKE turvameetmete rakendamise eest vastutajad määratakse vallavanema käskkirjaga või vastava korraga ja/või kajastuvad vastavalt vajadusele ametnike ametijuhendites.
(5)Kõik töötajad on kohustatud kasutama infovarasid ainult tööülesannete ja eesmärkide täitmiseks, kui muude regulatsioonidega ei ole sätestatud teisiti, kasutama informatsiooni ainult tööalaseks otstarbeks ning täitma infoturbe korras ja selle lisades sätestatud nõudeid. Töötajatel on õigus teha ettepanekuid infoturbega seotud küsimustes infoturbe eest vastutavale töötajale ja infoturbe nõukogule.
(6)Vastutavate töötajate eemaloleku ajaks määratud asendajatele tagab töö teostamiseks vajalikud ligipääsud asendatava vahetu juht lähtudes kehtivast pääsuõiguste korrast.
(7)Asutuseväline infoturbeaudit tellitakse vastavalt seadusest tulenevatele nõuetele, aga mitte harvem kui kord kolme aasta jooksul.
(8)Seadusandluse või infoturbeolukorra muutumisel tuleb algatada infoturbe alusdokumentide ja ISKE rakenduskava muutmise protsess.
(9)Vallavalitus koostab infovarade spetsifikatsiooni koos määratud turvaklassidega, mille alusel hinnatakse ISKE turvameetmete rakendatust ja koostatakse asjakohane rakendusplaan. Vallavalitsuse infovarade ja ISKE turvameetmete rakendatus ning riskanalüüs vaadatakse läbi vähemalt üks kord aastas koos valla eelarve koostamisega, samuti suuremate muutuste ja juhtumite korral. Infovarade kaitse tuleb tagada vähemalt ISKE meetme tasemel L.
Riskide minimeerimiseks vastuvõetavale tasemele võetakse asutuses kasutusele järgmised meetmed: 1) füüsilised meetmed ruumidele (näiteks uste, akende, seinte ja lukkudega seotud abinõud); 2) organisatsioonilised meetmed teenistujatele (näiteks protseduurireeglid, korrad ja eeskirjad turvanõuete täitmiseks); 3) infotehnoloogilised meetmed infosüsteemidele ja andmekogudele (näiteks ligipääsuõiguste andmise ja kasutamisega, viirusetõrjega, krüpteerimisega, varukoopiate tegemise ja ID-kaardi kasutamisega seotud abinõud).
(1)Tööruumide uksed peavad olema lukustatavad või rakendatud muud meetmed (nutikaardi lugejad jt), mis takistavad kõrvaliste isikute juurdepääsu tööruumidele.
(2)Ruumide varuvõtmeid tuleb hoida lukustatud kapis või viisil, mis välistab kõrvaliste isikute juurdepääsu võtmetele.
(3)Töövälisel ajal valvatakse hooneid ja ruume nii füüsiliselt kui ka elektrooniliselt. Vajadusel rakendatakse turvameetmeid ka territooriumi kaitseks. Eraldi lukustatavas tööruumis tuleb igal väljumisel aknad sulgeda ning uks lukustada. Kõik aknad peavad olema turvaliselt suletavad.
(4)Ruumid on väljaspool tööaega tehnilise valve all ning ööpäevaringselt kaitstud automaatse tulekahjusignalisatsioonisüsteemiga. Valvesignalisatsiooni lülitab välja esimesena kontorisse saabuv töötaja.
(5)Tulekahju korral edastab tulekahjusignalisatsioonisüsteem tulekahjuteate automaatselt turvafirmasse ja Häirekeskusesse. Tulekahju- ja valvesignalisatsioonisüsteeme hooldatakse õigusaktides sätestatud korras.
(6)Valvesignalisatsiooni süsteemi kontrollitakse regulaarselt vastavalt seadmete hooldusjuhenditele, alarmi korral ning vajadusel pisteliselt.
(7)Eriruumid (serveri- ja tehnoruumid jne) ei tohi märgistada üldarusaadavalt ega kanda avalikele viitadele või avalikku majajuhti. Eriruumid peavad olema pidevalt lukustatud.
(8)Turvariskide maandamiseks (nt sülearvuti sattumisel kõrvaliste isikute valdusse), peab sülearvuti kõvaketas olema kaitstud salasõnaga. Mobiiltelefonide ja sülearvutite turbe eest vastutavad nende valdajad.
(1)Enne teenistuja tööle asumist tutvustatakse talle asutuse infoturbe põhimõtteid ja -reegleid. Reeglitega tutvumise ja nendest arusaamise kohta annab teenistuja allkirja.
(2)Teenistuja infoturbega seotud õigused, kohustused ja vastutus määratakse ametijuhendis, infoturbe juhendites ja/või muudes asjakohastes eeskirjades.
(3)Teenistujaid teavitatakse nende töövaldkonda puudutavatest infoturbe meetodite muutustest ja turvaintsidentidest viivitamatult.
(4)Infoturbe tagamiseks organisatsioonis korraldatakse teenistujatele regulaarselt turvateadlikkuse koolitusi. Infoturbe spetsialistidele võimaldatakse erialaseid täienduskoolitusi.
(5)Kui teenistuja lahkub ametist, siis tagastab ta viimasel tööpäeval tööandjale kõik varad ja pääsuvahendid, mis olid tema valduses. Teenistuja ligipääsuõigused infosüsteemidele tühistatakse.
(6)Vähemalt üks kord aastas viiakse läbi kasutajaõiguste inventuur ja vajadusel parandatakse ebakõlad.
(1)Ligipääs infovaradele tagatakse vaid volitatud kasutajatele autoriseerimismeetoditega. Kõik õnnestunud ja ebaõnnestunud autoriseerimiskatsed registreeritakse.
(2)Pääsuõiguste jagamisel lähtutakse ametialase teadmisvajaduse põhimõttest. Pääsuõigused kinnitab pädev teenistuja. Kinnitatud ning seadistatud pääsuõigused dokumenteeritakse.
(3)Pääsuõigusi jagavad isikud või osakonnad võtavad kasutusele protseduurid, reeglid või muud mehhanismid, mis tagavad pääsuõiguste tühistamise, kui teenistuja kaotab usalduse või tema töösuhe lõppeb.
(4)Infovarade kasutajad tuvastatakse, kasutades asjakohaseid autentimismehhanisme. Uute infosüsteemide projekteerimisel eelistatakse Eesti ID-kaardi põhist autentimist. Reeglid, mille järgi valitakse salasõna, selle kehtivus ja muud parameetrid, kehtestatakse kas infosüsteemi kasutamise korra või mõne teise kohase juhendmaterjaliga.
(5)Andmete töötlemiseks asutustes kasutatakse vaid vallavalitsuse kinnitatud riistvara- ja tarkvarastandardile vastavaid infotehnoloogilisi vahendeid. Asutuse sisevõrku ei tohi ühendada asutusele mittekuuluvaid seadmeid.
(1)Vallavalitsuse infoturbe infrastruktuur peab tagama optimaalsed kulutused turvanõuete täitmiseks ja varade kaitseks.
(2)Iga uue infotehnoloogia komponendi soetamise aluseks on selle kasutuskontseptsioon, mille väljatöötamisel arvestatakse ka komponendi integreerimisvõimalusi olemasolevasse infotehnoloogia kooslusesse ning mõju olemasolevatele turvamehhanismidele.
(3)Uusi riistvarakomponente või uut tarkvara ei tohi enne neid testimata kasutusele võtta. Kõikide infotehnoloogia komponentide installeerimise käigus tuleb järgida infoturbe põhimõtteid ning installeerimisprotseduuri reegleid. Kasutatavas arvutustehnikas ei tohi olla liigseid programme ega andmeid.
(4)Juurdepääs kõikidele infotehnoloogia süsteemidele peab olema kaitstud (nt salasõnaga).
(5)Infotehnoloogia komponentide funktsioonid, mille kasutamine pole vajalik või on keelatud, võimalusel suletakse.
(6)Kõik vallavalitsuse serverid asuvad teenuse pakkuja serverites. Ametiasutuses on kasutusel töötajatele mõeldud sisevõrk ning külalistele veebi ligipääsu võimaldav välisvõrk. Serverite turvalise haldamise tingimused on kirjas teenuse pakkujaga sõlmitud lepingus.
(7)Kõik tarbetud paberdokumendid hävitatakse. Käibelt kõrvaldatud andmekandjad hävitatakse füüsiliselt. Hävitatavad andmed kustutatakse turvaliselt sellisel viisil, mis välistab nende taastamise.
(8)Logid peavad võimaldama tuvastada vähemalt lubatavaid ja lubamatuid ressursside poole pöördumisi või pöörduskatseid, nende täpset aega ja lähtekohta. Rakenduste, süsteemi- ja võrgulogisid peavad rakenduste, süsteemide ja võrkude haldajad ja vajaduse korral need esitatakse vallavalitsusele.
(9)Turvaintsidentide käsitlemisel, samuti oluliste tehniliste, organisatsiooniliste, õiguslike vm sisemiste või väliste muudatuste korral selgitatakse välja võimalike turbemuudatuste vajadus. Infoturbe meetmed vaadatakse üle vähemalt üks kord aastas.
(10)Välisvõrgust sisevõrku pöördumisel ja tundlike andmete edastamisel üldkasutatavas võrgus on lubatud vaid turvatud sidesessioonid: VPN, SSL/HTTPS, krüpteerimine.
(11)Võrgu füüsiline struktuur peab vastama loogilisele kolmetsoonilisele struktuurile: välisosa, tulemüüriga eraldatud sisemine osa ja demilitariseeritud tsoon väliste serverite jaoks.
(12)Tulemüüri haldamisel lähtutakse põhimõttest, et mis ei ole lubatud, on keelatud. Tulemüüri haldamisega tegeleb vastava teenuse pakkuja tingimustel, mis on kokku lepitud.
(13)Kogu kaabeldus (elektri-, andmeside-, telefoni-, signalisatsioonsüsteemi- ja muu kaabeldus) peab olema tähistatud ja dokumenteeritud ning võimalusel paiknema varjatult.
(14)Kõikidele infosüsteemidele ja edastatavatele andmetele rakendatakse viirusetõrjet, mille andmebaase uuendatakse perioodiliselt.
(15)Informatsiooni edastamiseks kasutataval andmekandjal (nt CD/DVD-ROMil, mälupulgal jne) ei tohi olla asjasse mittepuutuvat infot ega peitandmeid.
(16)Kasutatav tarkvara peab vastama kõigile autorikaitse- ja litsentsitingimustele.
(17)Varundatud andmete hoidmisel rakendatakse ISKE turvameetmeid, lähtudes varundatud andmete maksimaalsest turvaklassist.
(1)Andmekogudega seotud asjakohaste turvameetmete määramisel lähtutakse ISKE rakendusjuhendis toodud metoodikast ning ohtude ja turvameetmete kataloogist. Andmekogudega seotud turvameetmete rakendamisel järgitakse auditeeritavuse printsiipi. Rakendatavad turvameetmed peavad olema põhjendatud ja dokumenteeritud selliselt, et (hiljem) oleks võimalik hinnata nende vajalikkust ning asjakohasust.
(2)Vajadusel rakendatakse lisaks etalonturvameetmetele ka muid turvameetmeid, mis tagavad infovarade käideldavuse, tervikluse ja konfidentsiaalsuse nõutaval tasemel.
(3)ISKE rakendusjuhendi ja teiste juhendmaterjalide tõlgendamisel lähtutakse mõistlikkuse printsiibist ja arvestatakse infoturbe üldeesmärki.
(1)Töötajad ja infovaradega seotud teenuste pakkujad on kohustatud teavitama organisatsiooni infoturbe eest vastutavat isikut turvaintsidentist.
(2)Turvaintsidendiks loetakse: 1) infovarasid ja/või isikuandmeid sisaldava riistvara, näiteks mälupulga, välise kõvaketta või sülearvuti vargust või kaotust või volitamata ligipääsu seadmele; 2) infovarade ja/või isikuandmete vargust või kaotust näiteks pahavara või lunavara rünnaku läbi, häkkimise ohvriks langemist või muud küberpettuse ohvriks langemist; 3) andmetele ja riistvarale ligipääsude ebapiisava haldamise, mis võimaldab ligipääsu inimestele, kellel selleks pole õigust, aga ka volituseta andmete töötlemist ja näiteks andmete kopeerimist või vargust või salasõnade avaldamine kolmandatele osapooltele; 4) inimlik eksitus, näiteks sisaldava e-posti saatmine valele vastuvõtjale või valele aadressile, tundlikku infot sisaldavate dokumentide laokile jätmine avalikku ruumi; 5) infovarade kaotsiminek ettenägematutel asjaoludel näiteks tulekahju, tulvavesi jms.
(3)Infoturbe eest vastutav isik saades intsidendi teate vastu, määrab selle lahendamise prioriteedi ja lahendaja ning jälgib turvaintsidendi lahendamise kulgu, teeb vajadusel ettepanekuid turvaintsidendi paremaks lahendamiseks. Turvaintsidendi põhjuseid analüüsitakse ja vajadusel tehakse ettepanekud muudatusteks turbemeetmetes. Infoturbe eest vastutav töötaja informeerib vajadusel intsidendist CERT-EE-d.
(4)Kui on tegemist isikuandmete alase lekkega, siis analüüsib infoturbe eest vastutav isik, kas isikuandmete leke tekitab andmesubjektile ohtu või suurt ohtu ning teavitab lekkest vastavalt riski tasemele andmesubjekti ja/või Andmekaitse Inspektsiooni.
(5)Turvaintsidentide käsitlemise korra tõhusust testitakse pärast iga turvaintsidenti, mille lahendamisel selgus, et turvaintsidentide korras oli vajakajäämisi.
Määrus jõustub kolmandal päeval pärast Riigi Teatajas avaldamist.