Kambja valla küberintsidendi käsitlemise kord (edaspidi kord) kehtestab küberintsidendi korral käitumise juhised Kambja Vallavalitsuses kui ametiasutuses (edaspidi vallavalitsus) ja vallavalitsuse hallatavas asutuses (edaspidi hallatav asutus; vallavalitsus ja hallatavad asutused koos ka asutused ja igaüks eraldi asutus).
(1)Infovara on informatsioon, andmed ja nende töötlemiseks vajalikud infotehnoloogilised rakendused ning tehnilised vahendid.
(2)Küberintsident on võrgu- ja infosüsteemis toimuv sündmus, mis ohustab või kahjustab süsteemi turvalisust. Küberintsidendi tulemusel ei ole asutusel võimalik täita oma ülesandeid. Küberintsident on muu hulgas: 1) infosüsteemi või riistvara rike, samuti ebamõistliku sagedusega toimuvad mittekriitilised tööd takistavad vead infovaradega; 2) tööseisak või katkestus, mis on põhjustatud IT süsteemide mitteootuspärasest toimimisest; 3) infosüsteemi töö häiritus kauem kui vastavale rakendusele omistatud käideldavuses lubatud seisaku aeg IT rakendustega toetatud töölõikudes; 4) senitundmatu olukord, mis võib infoturbe seisukohalt olla oluline.
(3)Küberintsidendi teade on e-posti või muu sidevahendi kaudu saadetud teade küberintsidendi ja selle toimumise asjaolude kohta, mis sisaldab järgmist teavet: 1) teataja nimi ja ametinimetus ning asutuse nimi, tema kontaktandmed (telefoni number ja elektronposti aadress); 2) küberintsidendi toimumise alguse või avastamise kuupäev ja kellaaeg; 3) küberintsidendi toimumise asukoht; 4) küberintsidendi kirjeldus, mis juhtus ja kui on teada, siis miks juhtus; 5) küberintsidendi mõju hinnang; 6) teatamise ajaks rakendatud turvameetmed, sh kaasatud ressursid.
(1)Küberintsidendid liigitatakse raskusastme ja tüübi järgi. Liigitamine määrab käsitluse prioriteedi, eskaleerimise vajaduse ja teavitamiskohustuse.
(2)Raskusastmed: 1) 1. tase (madal) – üksikut töökohaarvutit või kasutajat mõjutav intsident, mis ei katkesta asutuse teenuste osutamist; 2) 2. tase (keskmine) – osakonda või mitut kasutajat mõjutav intsident, mis põhjustab osalise teenusekatkestuse; 3) 3. tase (kõrge) – asutuse põhiteenuseid mõjutav intsident, millega kaasneb oluline andmekadu, andmeleke või teenuse pikaajaline katkestus; 4) 4. tase (kriitiline) – kogu asutuse või mitme asutuse toimimist häiriv intsident, mis põhjustab avaliku teenuse katkestuse või ulatusliku andmelekke.
(3)Küberintsidentide põhitüübid: 1) pahavara või lunavaraga nakatumine; 2) andmeleke või volitamata juurdepääs infosüsteemile või andmetele; 3) teenuse kättesaadavuse rünne (nt DDoS); 4) andmekadu (sh varunduse rike, tahtlik kustutamine); 5) sotsiaalne manipulatsioon või õngitsus (phishing); 6) füüsiline turvaintsident (seadmete vargus, kaotamine); 7) tarneahela intsident (IT-teenuse osutaja või tarkvaratarnija kompromiteerimine). Iga tüübi kohta on käsitlusprotseduurid kirjeldatud käesoleva korra lisas 3 (tüübipõhised käsitluskaardid).
(1)Asutuse küberintsidendist tuleb ametnikul või töötajal (edaspidi ühiselt teenistuja), kes küberintsidendi avastas või kellele see on asutuses ülesandeks tehtud, viivitamata teatada IT-teenustoele kas tel 5855 5555 või/ja [email protected] ning väljaspool tööaega tel 5855 5555.
(2)Teataja täidab ka lisas 1 toodud vormikohase küberintsidendi teate ja saadab selle lõikes 1 nimetatud IT-teenustoele. IT-teenustugi registreerib küberintsidendi keskses süsteemis.
(3)IT-teenuse osutaja juht annab pärast teate saamist küberintsidendile esmase hinnangu ja teavitab sellest vajadusel infoturbejuhti. Kahju tekitavast küberintsidendist tuleb kohe teavitada vallavanemat ning selle hallatava asutuse juhti, kelle vastutusalas on küberintsidendist tulenevalt kahju tekkinud või võib tekkida.
(4)Küberturvalisuse seaduse § 8 lõikes 2 nimetatud juhul teavitatakse olulise mõjuga küberintsidendist mõistliku aja jooksul isikut, keda olulise mõjuga küberintsident võib mõjutada, või avalikkust, kui mõjutatud isikuid ei ole võimalik eraldi teavitada.
(5)Seaduses sätestatud juhul teavitatakse küberintsidendist pädevaid ametiasutusi järgmiselt: 1) Riigi Infosüsteemi Ametit (CERT-EE) teavitatakse olulise mõjuga küberintsidendist esmase teatega hiljemalt 24 tunni jooksul ja täieliku teatega hiljemalt 72 tunni jooksul pärast intsidendi avastamist, kasutades turvalisi suhtluskanaleid; 2) Andmekaitse Inspektsiooni teavitatakse isikuandmete rikkumisega seotud intsidendist hiljemalt 72 tunni jooksul pärast rikkumisest teadasaamist; 3) Politsei- ja Piirivalveametit teavitatakse kuriteotunnustega küberintsidendist (nt tahtlik rünne, vargus, sabotaaž) esimesel võimalusel.
(6)Lõigetes 4 ja 5 nimetatud asutuste või isikute teavitamise ning küberturvalisuse seaduse § 8 lõikes 7 sätestatud raporti esitamise korraldab vallavalitsuse infoturbejuht.
(7)Avalikkuse teavitamist korraldab vallavalitsuse kommunikatsioonijuht.
(1)Küberintsidendi hindamine ja lahendamine toimub sellest puudutatud osapoolte koostöös, mida korraldab asutuse IT-teenuse osutaja. Teiste asutuste teenistujate kaasamise otsustab asjaomane juht vallavalitsuse infoturbejuhi ettepanekul.
(2)Küberintsidendi lahendamine toimub järgmiste etappide kaupa: 1) tuvastamine ja registreerimine – intsident registreeritakse vastavalt § 4 lõikes 2 sätestatud korrale; 2) esialgne hindamine ja triaaž – IT-teenuse osutaja hindab intsidendi raskusastet vastavalt § 3 lõikele 2 ning otsustab eskaleerimise vajaduse hiljemalt 1 tunni jooksul pärast teate saamist; 3) ohjamine – võetakse viivitamata meetmed kahju laienemise piiramiseks (nt nakatunud seadmete eraldamine võrgust, kasutajakontode blokeerimine, varunduse isoleerimine); 4) likvideerimine – kõrvaldatakse intsidendi põhjus (pahavara eemaldamine, turvanõrkuse sulgemine, volitamata ligipääsu lõpetamine, paroolide vahetus); 5) taastamine – süsteemide normaalne töö taastatakse kontrollitud viisil, veendudes enne, et oht on täielikult kõrvaldatud; 6) järelanalüüs – viiakse läbi vastavalt § 6 lõikele 1.
(3)Kontrolljälgede kogumiseks salvestatakse ja säilitatakse toimingute või sündmuste ajaloo väljaselgitamiseks infovarade haldamise ja kasutamisega seotud kontrolljäljed (logid).
(4)Kontrolljälg peab sisaldama vähemalt teostaja identiteeti, juhtumit ja selle toimumise aega. Kontrolljälgede salvestamisel ja säilitamisel peab olema tagatud nende vältimatus, käideldavus, terviklus ja konfidentsiaalsus.
(5)Hallatava asutuse küberintsidendi korral, kus asutusel puudub oma IT-tugi, täidab IT-teenuse osutaja ülesandeid vallavalitsuse IT-teenuse osutaja. Hallatava asutuse juht tagab intsidendi käigus koostöö ja juurdepääsu vajalikele süsteemidele.
(1)Pärast küberintsidendi lahendamist teeb IT teenuse osutaja küberintsidendi analüüsi ja koostab lisas 2 toodud vormikohase küberintsidendi aruande. Analüüsi käigus hinnatakse küberintsidendi vältimiseks vajalikke meetmeid ning rakendatakse parandustoimingud intsidendi kordumise vältimiseks. Aruanne saadetakse vallavalitsuse infoturbejuhile.
(2)Küberintsidenti käsitlevat teavet säilitatakse ja arhiveeritakse vastavalt vallavalitsuse teabehalduse korrale. Teave turvasüsteemide, turvaorganisatsiooni või turvameetmete kirjelduse kohta tunnistatakse avaliku teabe seaduse § 35 lõike 1 punkti 9 alusel asutusesiseseks kasutamiseks mõeldud teabeks.
(3)Infoturbejuht esitab kord poolaastas vallavanemale ülevaate asutustes aset leidnud küberintsidentide ja nende lahendamise kohta. Ülevaates antakse hinnang küberintsidentide lahendamise korrektsusele ja tehakse ettepanekuid sarnaste küberintsidentide vältimiseks.
(4)Küberintsidendi järelkontrolli vajaduse otsustab infoturbejuht. Küberintsidentide kohta läbi viidud järelkontrollide kokkuvõtte esitab infoturbejuht vallavanemale esitatava ülevaate osana.
(1)Korra § 4 lõige 1 ei kehti Ülenurme Gümnaasiumile. Ülenurme Gümnaasiumi juht kinnitab ise asutuse küberintsidendist teavitamise kanalid.
(2)Infoturbejuht vaatab käesoleva korra läbi vähemalt kord aastas ning pärast iga 3. või kõrgema taseme küberintsidenti. Muudatusettepanekud esitatakse vallavalitsusele kinnitamiseks.
(3)Tunnistada kehtetuks Kambja Vallavalitsuse 16.04.2025 määrus nr 5 „Kambja valla küberintsidendi käsitlemise kord“.
(4)Määrus jõustub kolmandal päeval pärast Riigi Teatajas avaldamist.