Autor: Indrek Kald • 12. juuni 2018
Tähelepanu! Artikkel on enam kui 5 aastat vana ning kuulub väljaande digitaalsesse arhiivi. Väljaanne ei uuenda ega kaasajasta arhiveeritud sisu, mistõttu võib olla vajalik kaasaegsete allikatega tutvumine.

Riigikontroll kritiseerib teravalt linnade-valdade andmekaitset

Riigikontrolör Janar Holm.
Foto: Ivar Kuldver
Värske riigikontrolli auditi järgi pole omavalitsustel andmete turvalisus tagatud: IT-turbe riske ei teadvustata ega täideta valdavalt ka riigi seatud nõudeid, ehkki need on kehtinud pea kümme aastat.

Kõikidel auditeeritud omavalitsustel oli hindamata oma andmekogudes olevate andmete turbevajadus. Kohati on omavalitsustes raskusi isegi kõige madalama turbeastme turvameetmete rakendamisega. Mitmel pool oli IT-kasutajatele antud kergekäeliselt piiranguteta õigusi, tihti puudus ka ülevaade, kes ja kuhu üldse ligi pääseb, paroolihaldus oli puudulik, turvapaikade paigaldamine oli jäetud paljuski kasutajate meelevalda, tarkvara legaalsust töökohaarvutites ei kontrollitud.

"Kohati jäi riigikontrolli audiitoritele mulje, et mitmetes kohalikes omavalitsustes on justkui Metsik Lääs, kuhu kuuldused Eestis kehtivatest nõuetest infosüsteemide pidamisel pole jõudnud," kommenteeris riigikontrolör Janar Holm.

Auditi kohaselt ei teadvustata endiselt IT-turbega seotud riske, kuigi on arvukalt näiteid, kus omavalitsuste infosüsteemidesse on tehtud teenustõkestusründeid, nakatatud süsteeme pahavaraga ja kahjustatud veebilehti.

Riigikontrolli teatel on omavalitsuste üldine infoturbekultuur madal nii teenistujate kui ka juhtkonna tasandil. Sageli puuduvad suunised IT-vahenditega ümberkäimiseks, neid pole töötajatele tutvustatud või päriselus neist ei lähtuta, majasiseste IT-nõuete täitmist toetavaid koolitusi ja teavitustööd ei tehta.

"See ongi kõige murettekitavam, et audiitorid kohtasid kohalikes omavalitsustes ka selliseid vastutavaid ametnikke, kelle jaoks turvameetmete süsteemi rakendamise, sh andmekaitse vajalikkus jäi niisama arusaamatuks kui investeerida turismireisi Marsile – see on midagi kauget, mis nende eluaja jooksul nagunii ei juhtu," sõnas Janar Holm.

"Ajal, kus teadaolevate küberturbejuhtumite arv Eestis on juba üle 10 000 aastas, on naiivne ja ohtlik endiselt arvata, et "meiega seda ju ei juhtu" või "meie andmed ei ole olulised"," selgitas riigikontrolör.

Lisaks selgus, et auditeeritud omavalitsused ei pea ennast vastutavaks enda asutusest väljas majutatud andmekogude andmete turvalisuse, andmekogude riigi infosüsteemi haldussüsteemis (RIHA) registreerimise ja X-teega liidestamise eest, kuid ei nõua seda ka teenuse osutajalt.

See selgitab mõneti, miks omavalitsustes kogutavatest andmetest puudub terviklik ülevaade, neile on tegemata turvaanalüüs, nende kogumiseks õigust andev kooskõlastamise protsess on läbimata ning andmete kättesaadavusega teistest andmekogudest ei arvestata. Kodanike ja ettevõtjate, aga ka omavalitsuste ametnike endi jaoks tähendab see tihtipeale topelt andmete esitamise koormust, teatas riigikontroll.

Põhjus võib peituda ka IT-spetsialistide väheses arvus omavalitsustes. Üldiselt on väikestes omavalitsustes IT antud mõne teise valdkonna spetsialisti vastutusalasse ning keskmise suurusega KOVides koosneb IT-teenistus kuni paarist spetsialistist. Peamiselt suudetakse pakkuda IT tehnilist tuge, aga spetsialiseerumist (sh infoturbele) on vähe.

Turvameetmete süsteemi rakendamisel on infoturbejuhi või tema ülesannete täitja määramine ka omavalitsustes kohustuslik. Kuna alati ei ole selleks mõistlik tööle võtta eraldi inimest, saaksid riigikontrolli arvates omavalitsused siinkohal teha rohkem koostööd erasektoriga või teiste omavalitsustega.

Probleemide põhjusi võis leida ka riigipoolsetes tegevustes. Näiteks tuvastas riigikontroll, et andmekogude kooskõlastamise tegelikus praktikas ei kontrollita iga andmekogu andmekoosseisu, vaid kooskõlastus antakse nn karbitoote registreeringu käigus. Andmekaitse inspektsiooni selgituste kohaselt oleks iga registreeringu ülevaatamine mõttetu ajakulu, sest üldiselt on tegemist sama tarkvaralise lahendusega, mida kasutavad mitmed asutused oma andmekogude pidamiseks.

Riigikontroll leidis, et nn karbitooteid puudutavas osas on riigi nõuded andmekogude pidamisel läbi mõtlemata, mistõttu tekitab nende rakendamine ebamõistlikku dubleerimist nii omavalitsuste kui ka järelevalveasutuste jaoks. Riigikontroll näeb olukorra parandamises rolli ministeeriumidel, kes on omavalitsustele meelevaldselt andmekogude asutamise kohustuse pannud. Vastavad ministeeriumid võiks anda omavalitsustele andmekogude pidamisel tegevusjuhised (sh infoturbealased) kõikides nendes küsimustes, mis neile huvi pakuvad.

Riigikontroll leiab, et tegelikult võiks ministeerium ise ka tarkvara selle ülesande täitmiseks arendada ning asuda vastutava töötleja rolli – nii saab riik võtta enda kanda andmetele turvavajaduse määramise, sellele vastavuse auditi tellimise jms.

Ettevõtlus- ja infotehnoloogiaminister nõustus riigikontrolliga, et sarnaste ja ühetaoliste andmekogude pidamisel peaks lähtuma ühtsetest alustest ja protseduurid ei tohiks olla üksteist dubleerivad. Minister lubas auditi soovitusi käsitleda nii RIHA, X-tee kui ka turvameetmete süsteemi õigusnõuete täitmise suuniste (s.o turvameetmete süsteemi määrus, ISKE rakendusjuhend, ISKE-auditi juhend) ülevaatamise käigus.

Lisaks leidis Riigikontroll oma auditis, et omavalitsuste infoturbe praegust olukorda arvestades ei saa pidada senises mahus tehtud riigipoolset järelevalvet piisavaks. Oli ka auditeeritud omavalitsusi, kus ametnikud ka ise tõid välja, et sisuliselt olematu järelevalve ei sunni omavalitsusi pingutama.

Nii riigi infosüsteemi amet (RIA) kui ka andmekaitse inspektsioon on oma vastustes riigikontrolli tehtud soovitusele öelnud, et ulatuslikumat järelevalvet omavalitsustes tehakse vastavalt prioriteetsusele ja võimalustele. RIA sõnul on neil juba kavas minna haldusreformi järel omavalitsustesse kontrolle ja teavitustööd tegema.

Seni on riik panustanud omavalitsuste infoturbe taseme tõusu pigem teavitustegevuse ning rahaliste toetuste kaudu. Riigikontrolli auditi tulemused aga ei näita, et need oleks loodetud arengut omavalitsuste infoturbe olukorra parendamisel kaasa toonud.

Auditis selgus, et majandus- ja kommunikatsiooniministeerium ega rahandusministeerium ei pea KOVide info- ja kommunikatsioonitehnoloogia taristu infosüsteemide turvameetmete süsteemi nõuetele vastavuse toetamist Euroopa Liidu toetusrahast kuigi jätkusuutlikuks lahenduseks – andmeturve ei saa sõltuda toetusraha olemasolust.

Riigikontrolli hinnangul on teavitustegevused olnud omavalitsustele kättesaadavad. Põhjus, miks olukord ei ole omavalitsustes parem, võib olla aga selles, et senine sihtrühm, kes koolitustel on käinud, on olnud IT-spetsialistid ja mitte asutuse juhtkond.

RIA oma vastuskirjas tõi välja, et tippjuhtide huvi sellistel koolitustel osaleda on vähene. Riigikontroll toonitab oma aruandes, et taoliste koolituste läbimine ei ole tegelikult asutuste juhtidele valikuline. Kui majasiseseid koolitusi ei tehta, siis on juhtkonnal võimalus osaleda RIA korraldatud vastavasisulistel koolitustel.

Riigikontroll tunnustab auditeeritud omavalitsusi, kes juba auditi kestel asusid oma suhtumist andmete turvalisuse tagamise kohustuse täitmisesse märgatavalt parandama.

Omavalitsustel soovitas riigikontroll 1) määrata infoturbe juhi ülesannete täitja või tellida infoturbe juhtimine teenusena sisse; 2) seada andmekogude pidamiseks kasutatavatele standardsetele tarkvaralahendustele nõuded sisestatavate andmete turbevajadusest lähtudes;3) veenduda, et lahendus oleks vajaduse korral liidestatav X-teega; 4) leppida lepingus teenuse osutajaga kokku turvameetmete auditeerimise korraldus.

Auditi eesmärk oli hinnata omavalitsuste tegevust infoturvameetmete rakendamisel ning riigi tegevust omavalitsuste infoturbe olukorra parendamisel. Kümnes vallas ja linnas hinnati IT-turbe planeerimist ja seatud nõuete täitmist (nt andmevarundust, paroolide kasutamist, IT-kasutajate õiguste jagamist, turvauuenduste tegemist, viirusetõrjet).

Riigikontrolli poolt auditeeritud omavalitsused olid Kuusalu vald, Rapla vald, Viljandi vald, Paide linn, Valga linn, Võru vald, Audru vald, Kohtla-Järve linn, Avinurme vald ja Vihula vald.

Nelja riikliku andmekogu puhul analüüsiti, mida on teinud andmekogu pidaja, et tagada omavalitsuse osavõtul toimuva andmevahetuse turvalisus. Need olid siseministeeriumi vastutada olev rahvastikuregister, justiitsministeeriumi e-toimik, haridus- ja teadusministeeriumi hariduse infosüsteem (EHIS) ning maa-ameti aadressiandmete süsteem.

Lisaks analüüsiti RIA, andmekaitse inspektsiooni ning majandus- ja kommunikatsiooniministeeriumi tegevust, kelle vastutada on toimiv järelevalve IT-turbe küsimustes. Lisaks vaadati ka omavalitsustele pakutavaid teavitustegevusi ning toetusi.

Liitu ITuudiste uudiskirjaga!
Liitumisega nõustud, et Äripäev AS kasutab sinu e-posti aadressi sulle uudiskirja saatmiseks. Saad nõusoleku tagasi võtta uudiskirjas oleva lingi kaudu. Loe oma õiguste kohta lähemalt privaatsustingimustest
Indrek KaldITuudised.ee toimetajaTel: 511 1112
Anne WellsReklaami projektijuhtTel: 5880 7755