Kiri

Juhan-Madis Pukk Meie 10.08.2022 nr 26-7/22-5059-1 president Eesti Infotehnoloogia ja Telekommunikatsiooni Liit [email protected] Ristsõltuvuste kaardistamine Austatud Juhan-Madis Pukk 24.02.2022 alustas Venemaa Föderatsioon mitmest suunast Ukraina laiaulatuslikku sõjalist tegevust, mis on Euroopa suurim sõda lähiajaloos. Lisaks sõjalisele ründamisel toimus Ukraina vastane agressioon küberruumis, seda nii enne sõjalise eskalatsiooni algust kui ka samaaegselt sõjategevusega ning pahatahtlik kübertegevus jätkub ka käeoleval ajal. Venemaa Föderatsioon käitub küberruumis destruktiivselt ja on Ukraina toetamise eest kättemaksuks rünnanud teenustõkestusrünnakutega nii Eestit kui ka meie liitlasi. Samuti peame olema valmis ka teistsugusteks rünnakuteks nagu näiteks meie võrkude ja infosüsteemide kompromiteerimine, andmevargused, hävitus- või lunavaravara kasutamine. Ei ole välistatud, et Venemaa Föderatsioon võib lisaks küberrünnakutele sõjaliselt rünnata Eesti elutähtsat taristut, kaasa arvatud telekommunikatsiooniteenuse osutajaid, erinevaid võrguteenuse pakkujaid, andmekeskuseid, maismaa-ja merekaableid. Märkimisväärne on see, et 97% globaalsest andmevahetusest toimub praegu veealuse taristu kaudu, mitte läbi kosmosepõhise andmevahetuse nagu tihti arvatakse. Eesti andmevahetus välismaailmaga on 80% ulatuses sõltuvuses merekaablitest. Riigikantselei on hetkel ette valmistamas tsiviilkriisiks valmisoleku ja riigikaitse seaduse (varasem nimetus valmisolekuseadus; edaspidi lühendina VOS) eelnõud, millega võetakse ühte õigusakti kokku hädaolukorra seadus (edaspidi HOS), riigikaitseseadus ja erakorralise seisukorra seadus. VOS eelnõuga on kavas luua terviklik süsteemi tsiviil-julgeolekukriisideks valmistumiseks ja nende lahendamiseks, sh kriitilise täristuse, elutähtsate teenuste osas. Võrgu- ja infosüsteemide küberturvalisuse osas ei ole VOS eelnõuga kavas sisulisi muudatusi teha, üksnes normitehnilisi, st praegu HOS § 41 lõikes 2 sätestatud elutähtsa teenuse osutaja kohustus tagada elutähtsa teenuse toimepidevus ka viisil ja vahenditega, mis ei sõltu välisriikides asuvatest infosüsteemidest, kui elutähtsa teenuse toimimist tagavad infosüsteemid asuvad välisriigis, viia üle küberturvalisuse seadusse. VOS eelnõu menetlemise käigus on Pangaliit tõstatanud küsimuse HOS § 41 lõikes 2 sätestatud kohustuse asjakohasuses ning on pöördunud 08.06.2022 Riigi Infosüsteemi Ameti, Majandus- ja Kommunikatsiooniministeeriumi ja Eesti Panga poole palvega hinnata elutähtsa teenuse osutamisega seotud tehnoloogilisi riske, mida HOS § 41 lõige 2 adresseerib. Muuhulgas on Ukraina kogemus esile toonud, et andmete/protsesside hoidmine väljaspool riiki võib omada kriisiolukorras teatavaid eeliseid. Majandus- ja Kommunikatsiooniministeeriumil on koostöös Riigi Infosüsteemi Ameti, Suur-Ameerika 1 / 10122 Tallinn / 625 6342 / [email protected] / www.mkm.ee Registrikood 70003158 Riigikantselei ja julgeolekuasutustega kavas analüüsida HOS § 41 lõike 2 täiendamise/muutmise vajadust. Selleks koostame analüüsi lähteülesande ja küsime julgeolekuasutustelt hinnangut riskide ning stsenaariumite kohta. Lähteülesande ettevalmistamisel on selgunud, et selle koostamiseks ja julgeolekuasutustele hinnangu andmiseks on vaja informatsiooni elutähtsa teenuse osutajate infosüsteemide paiknemise ja ristsõltuvuste kohta. Vastav kaardistus oli tehtud Riigi Infosüsteemi Ameti tellimusel 2016. aastal kõikide elutähtsa teenuse osutajate kohta, kuid on kahjuks tänaseks paljuski aegunud. Eeltoodust tulenevalt palume ITL-i abi IKT elutähtsate teenuste osutajatega seotud infosüsteemide ja ristsõltuvuste kaardistamisel ning palume vastata järgmistele küsimustele: 1. Kui palju on Eestis IKT valdkonna elutähtsa teenuse osutajaid (täpne arvu, või kui ei ole teada täpne arv, siis suurusjärk)? 2. Kui paljud neist hoiavad oma andmeid Eestis (hinnanguliselt protsentides kogu vajalike andmete mahust)? Elutähtsa teenuse osutajate osas palume vastata ettevõtete lõikes. Sideettevõtete nimesid võib mitte tuua välja, kuid esitada nummerdatult, nt sideettevõtte 1, sideettevõtte 2 jne. 3. Kui paljud neist hoiavad oma andmeid väljaspool Eestit (hinnanguliselt protsentides kogu vajalike andmete mahust)? Elutähtsa teenuse osutajate osas palume vastata ettevõtete lõikes. Sideettevõtete nimesid võib mitte tuua välja, kuid esitada nummerdatult, nt sideettevõtte 1, sideettevõtte 2 jne. 4. Kui paljude IKT elutähtsa teenuse osutajate elutähtsa teenuse osutamiseks vajalikud võrgu- ja infosüsteemid asuvad väljaspool Eestit?; mis süsteemid need on (tuua välja ettevõtete lõikes, st sideettevõtte 1, sideettevõtte 2 jne)? 5. Kui paljud IKT elutähtsa teenuse osutajad kasutavad elutähtsa teenuse kriitiliste tegevuste toimimiseks välismaal paiknevat teenuse pakkujat ja, mis kriitiliste tegevuste osas (tuua välja ettevõtete lõikes, st sideettevõtte 1, sideettevõtte 2 jne) ning kes on need välismaa pakkujad (nimeliselt, et saaks hinnata ristsõltuvusi)? 6. Kui paljud IKT elutähtsate teenuste osutajad ja mis osas kasutavad oma teenustes pilvelahendusi või mikroteenuste arhitektuuri? Kui paljud neist kasutavad oma teenustes pilvelahendusi, mis asuvad välisriikides? 7. Kui loodavas regulatsioonis puuduks HOS § 41 lõikes 2 olev nõue, siis kuidas see mõjutaks IKT elutähtsate teenuste osutajate jaoks hoitavate andmete ning vajalike võrgu- ja infosüsteemide hoidmise asukohta? Kui paljud IKT elutähtsate teenuste osutajad suurendaksid andmete ning võrgu- ja infosüsteemide hoidmist väljaspool Eestit? Kui paljud IKT elutähtsate teenuste osutajad hakkaksid rohkem kasutama pilveteenuseid? 8. Kuidas hindab ITL IKT elutähtsate teenuste osutajate võimalikke ristsõltuvusega kaasnevaid riske ja mõju laiaulatusliku küberrünnaku või otsese Eesti vastase sõjategevuse korral? Arvestades, et Eesti geograafiline asukoht raskendab ühenduvust (uute maismaaühenduste loomist). Palume edastada ITL-i vastused hiljemalt 2022. a 31. augustiks Majandus- ja Kommunikatsiooniministeeriumi riikliku küberturvalisuse osakonna küberriskide halduse juhi Martin Sepa meiliaadressile [email protected]. Vastuste esitamisel palume kindlasti eristada, kas väljapool Eestit asuvad andmed, võrgu- ja infosüsteemid asuvad Euroopa Liidu riikides või kolmandates riikides. Soovi korral on võimalik vastus krüpteerida ID-kaardiga adressaadile „MKM: Riikliku küberturvalisuse osakond“ (asutuse registrikood 70003158). Lugupidamisega 2 (3) (allkirjastatud digitaalselt) Luukas Ilves digiarengu asekantsler Martin Sepp [email protected] Raavo Palu [email protected] 3 (3)