(1)Rapla valla infoturvapoliitika (edaspidi infoturvapoliitika) määratleb Rapla vallas (edaspidi vald) peamised infoturbe korralduse põhimõtted.
(2)Infoturvapoliitika kehtib Rapla Vallavalitsuses kui ametiasutuses (edaspidi vallavalitsus) ja ametiasutuse hallatavas asutuses (edaspidi hallatav asutus; vallavalitsus ja hallatavad asutused koos ka asutused ja igaüks eraldi asutus). Infoturvapoliitikat arvestatakse ja selle rakendamiseks vajalikke tegevusi nähakse ette valla õigusaktide eelnõude väljatöötamisel.
(3)Infoturvapoliitikaga on kohustatud tutvuma ja seda järgima Rapla Vallavalitsuse kui kollegiaalorgani (edaspidi valitsus) liikmed, vallavalitsuse ametnikud ja töötajad ning hallatavate asutuste töötajad (edaspidi kõik koos ka töötajad ja igaüks eraldi töötaja), samuti kõik isikud, kes vallaga sõlmitud lepingu alusel või tulenevalt ametiseisundist kasutavad valla infotehnoloogia varasid (edaspidi IT-varad).
(4)Hallatava asutuse suhtes ei kohaldata käesoleva määruse § 5 lõiget 1.
(5)Asutuse infoturbehalduse süsteemi rakendamise ja infoturbealase kaitse toimimise eest vastutab asutuse juht.
Määruses ja vallavalitsuse korraldusega kehtestatud infoturvapoliitikaga seotud dokumentides kasutatakse termineid järgmises tähenduses: 1) Eesti infoturbestandard (edaspidi E-ITS) on küberturvalisuse seaduses sätestatud teenuse osutaja kohustuste täitmise ning võrgu- ja infosüsteemi küberturvalisuse tagamiseks Vabariigi Valitsuse või tema volitatud ministri määrusega kehtestatud infoturbe halduse nõuded, võttes arvesse, et E-ITS eesmärk on arendada ning edendada Eesti avaliku sektori asutuste infoturbe taset, ning E-ITS tingimuste täitmine on kohustuslik organisatsioonidele, mille infoturbe tase otseselt mõjutab riigi küberturbe olukorda; 2) infoturve on andmete tervikluse, käideldavuse ja konfidentsiaalsuse tagamine; 3) terviklus on informatsiooni pärinemine autentsest allikast ning informatsiooni ei ole volitamata muudetud ega kustutatud; 4) käideldavus on informatsiooni kasutuskõlblikkus ja õigeaegne kättesaadavus volitatud isikule; 5) konfidentsiaalsus on informatsiooni kättesaadavus vaid selleks volitatud isikule; 6) infoturbe haldus on infoturbe rajamise läbimõeldud ja toimiva protsessi loomiseks ja pidevaks ümberkujunduseks vajalik plaanimis-, suunamis- ja kontrollimistöö, arvestades, et infoturbe haldus on pidev protsess, mille aluseks olevate strateegiate ja kontseptsioonide tõhusust ja toimivust pidevalt kontrollitakse ja vajaduse korral ajakohastatakse; 7) jääkrisk on infoturbe riskihalduse protsessis maandamata jäänud risk; 8) nfoturbe intsident on reaalse või potentsiaalse kahju juhtum, mis võib ohustada või halvata IT-vara turvalisust, põhjustades selle tervikluse, käideldavuse või konfidentsiaalsuse kao, arvestades, et infoturbe intsidentideks loetakse muu hulgas ka toimingud, mis ei ole infoturbe valdkonda reguleerivate õigusaktidega kooskõlas; 9) krüpteerimine on andmete muundamine infosisu peitmiseks, näiteks interneti kasutamine https-protokolliga või adressaadiga ühenduse loomine virtuaalse privaatvõrgu (VPN) tunneli kaudu; 10) kaitseala on kirjeldus, millega piiritletakse asutuse infoturbe ulatus, arvestades, et kaitseala on E-ITSis kaitstav äriprotsess ja selle toimimiseks vajalikud IT-varad; 11) IT-varad on organisatsiooni jaoks väärtust loovad tarkvara või riistvara komponendid.
(1)Valla infoturbe eesmärgid on tagada valla toimimise seisukohast oluliste teenuste toimepidevus, protsesside digitaalne kaitse ning valmisolek kriisiolukorras käitumiseks.
(2)Vald rakendab turvaeesmärkide täitmiseks E-ITSi ulatuses, mis tagab ohtude realiseerumisel valla ülesannete täitmise jätkumise.
(3)Rakendatavad turvameetmed peavad olema majanduslikult õigustatud ja proportsioonis võimaliku kahjuga, mis võib tekkida meetmete puudulikkuse tõttu, ning nende häiriv toime asutuste tegevusele ja töötajate tööle peab olema võimalikult väike.
(4)Kõiki valla toimimise seisukohalt olulisi muudatusi tuleb enne nende rakendamist kaaluda infoturbe seisukohast. Muutunud nõuete kehtestamise või uute ohtude ilmnemise või intsidentide toimumise korral tuleb turvameetmed ümber hinnata.
(1)Infoturbealane kaitse tagatakse asutuse juhtkonna tasemel asutuse tegevusprotsesside ja IT-varade kaardistamise, nende dokumenteerimise ja ajakohasena hoidmise kaudu, rahaliste ja mitterahaliste ressursside (sealhulgas koolituste korraldamiseks vajalike ressursside) ettenägemisega infoturbemeetmete rakendamiseks ning asutuse töötajate põhitööga kaasnevate infoturbekohustuste aktsepteerimisega.
(2)Valla infoturbealast tegevust koordineerib vallavalitsuse andmeturbe juhtivspetsialist, kes muu hulgas annab asutustele juhiseid infoturvapoliitika elluviimiseks ja on vallavalitsuse infoturbe eest vastutav isik, kui vallavalitsus ei ole määranud infoturbe eest vastutavaks isikuks teist isikut.
(3)Vallavalitsuse ülesanded infoturbe halduses on: 1) moodustada infoturbeprotsessi rakendamiseks ja edendamiseks infoturbe koordineerimiskomisjon; 2) tagada valla infoturbe halduse süsteemi rakendamine ja infoturbealaste tegevuste toimimine; 3) töötada välja infoturbe halduse põhimõtted ja tagada nende rakendamiseks ressursid; 4) tellida nõuetest tulenev infoturbe turvanõuete audit; 5) anda hinnang infoturbe alastele aruannetele.
(4)Vallavalitsuse infoturbe koordineerimiskomisjoni ülesanded infoturbe halduses on: 1) töötada välja valla infoturbe ja riskijuhtimise põhimõtted ja korraldada nende elluviimist; 2) tagada infoturvet reguleerivate juhiste ja muude asjakohaste dokumentide ajakohasus; 3) koostada ja esitada valitsusele infoturbe aruanded ja iga-aastane infoturbe meetmete rakendamise tööplaan.
(5)Vallavalitsuse infoturbe eest vastutava isiku ülesanded infoturbe halduses on: 1) hallata infoturbe tegevusi ja korraldada turvameetmete rakendamine; 2) nõustada asutuste töötajaid infoturbe ohtude ja riskide hindamisel, uute turvameetmete kasutuselevõtul või olemasolevate parendamisel ning muudes infoturvet puudutavates küsimustes; 3) teavitada Riigi Infosüsteemi Ameti turvaintsidentide käsitlemise osakonda (CERT-EE) olulistest turvaintsidentidest.
(6)Hallatava asutuse juhi ülesanded infoturbe halduses on: 1) korraldada asutuses infoturbe haldus; 2) määrata kindlaks asutuse infoturbe toimimiseks vajalikud ülesanded ja nende täitmise eest vastutajad; 3) kehtestada infoturbe toimimiseks vajalikud asutusesisesed õigusaktid.
Töötaja ülesanded infoturbe halduses on: 1) tagada oma töövaldkonnas infoturbe nõuete ja kordade täitmine; 2) teatada turvaintsidentidest vastavalt kehtestatud korrale; 3) pidevalt täiendada oma teadmisi infoturbe valdkonnas; 4) vastutada tema kasutusse antud IT-varade säilimise eest.
(1)Valla infoturbe dokumentatsiooni kuuluvad lisaks infoturvapoliitikale vallavalitsuse korraldusega kehtestatud korrad järgmiselt: 1) infoturbe kontseptsioon; 2) krüptokontseptsioon; 3) riskihaduse kord; 4) juurdepääsu halduse kord; 5) konfidentsiaalsuskohustuse kord; 6) infosüsteemide ja muude IT-varade kasutusele võtmise ja muudatuste kord; 7) infosüsteemide ja muude IT-varadega seotud teenuste või toodete väljast tellimise kord; 8) infoturbealase teavituse ja koolituse kord; 9) kaugtöö kord; 10) valla küberintsidentide käsitlemise kord; 11) valla infotehnoloogiastandard.
(2)Muud juhised ja hea tava reeglid kehtestatakse kooskõlas kehtivate õigusaktidega ning rakendatakse vastavalt vajadusele.
(3)Infoturvapoliitikat muudetakse, kui: 1) seda nõuavad turvaauditi tulemused; 2) muudatuse vajadus tuleneb E-ITS uue versiooni ilmumisest; 3) muudatuste vajaduse tingivad olulised tehnilised, organisatsioonilised või õiguslikud muutused või muud sisemised või välised asjaolud.