Kiri

Olavi Lepp Meie 10.08.2022 nr 26-7/22-5058-1 juhatuse esimees Eesti Pangaliit [email protected] Ristsõltuvuste kaardistamine Austatud Olavi Lepp 24.02.2022 alustas Venemaa Föderatsioon mitmest suunast Ukraina laiaulatuslikku sõjalist tegevust, mis on Euroopa suurim sõda lähiajaloos. Lisaks sõjalisele ründamisel toimus Ukraina vastane agressioon küberruumis, seda nii enne sõjalise eskalatsiooni algust kui ka samaaegselt sõjategevusega ning pahatahtlik kübertegevus jätkub ka käeoleval ajal. Venemaa Föderatsioon käitub küberruumis destruktiivselt ja on Ukraina toetamise ning abistamise eest kättemaksuks rünnanud teenustõkestusrünnakutega nii Eestit kui ka meie liitlasi. Samuti peame olema valmis ka teistsugusteks rünnakuteks nagu näiteks meie võrkude ja infosüsteemide kompromiteerimine, andmevargused, hävitus- või lunavaravara kasutamine. Ei ole välistatud, et Venemaa Föderatsioon võib lisaks küberrünnakutele sõjaliselt rünnata Eesti elutähtsat taristut, kaasa arvatud telekommunikatsiooniteenuse osutajaid, erinevaid võrguteenuse pakkujaid, andmekeskuseid, maismaa-ja merekaableid. Märkimisväärne on see, et 97% globaalsest andmevahetusest toimub praegu veealuse taristu kaudu, mitte läbi kosmosepõhise andmevahetuse nagu tihti arvatakse. Eesti andmevahetus välismaailmaga on 80% ulatuses sõltuvuses merekaablitest. Riigikantselei on hetkel ette valmistamas tsiviilkriisiks valmisoleku ja riigikaitse seaduse (varasem nimetus valmisolekuseadus; edaspidi lühendina VOS) eelnõud, millega võetakse ühte õigusakti kokku hädaolukorra seadus (edaspidi HOS), riigikaitseseadus ja erakorralise seisukorra seadus. VOS eelnõuga on kavas luua terviklik süsteemi tsiviil-julgeolekukriisideks valmistumiseks ja nende lahendamiseks, sh kriitilise täristuse, elutähtsate teenuste osas. Võrgu- ja infosüsteemide küberturvalisuse osas ei ole VOS eelnõuga kavas sisulisi muudatusi teha, üksnes normitehnilisi, st praegu HOS § 41 lõikes 2 sätestatud elutähtsa teenuse osutaja kohustus tagada elutähtsa teenuse toimepidevus ka viisil ja vahenditega, mis ei sõltu välisriikides asuvatest infosüsteemidest, kui elutähtsa teenuse toimimist tagavad infosüsteemid asuvad välisriigis, viia üle küberturvalisuse seadusse. VOS eelnõu menetlemise käigus on Pangaliit tõstatanud küsimuse HOS § 41 lõikes 2 sätestatud kohustuse asjakohasuses ning on pöördunud 08.06.2022 Riigi Infosüsteemi Ameti, Majandus- ja Kommunikatsiooniministeeriumi ja Eesti Panga poole palvega hinnata elutähtsa teenuse osutamisega seotud tehnoloogilisi riske, mida HOS § 41 lõige 2 adresseerib. Majandus- ja Kommunikatsiooniministeeriumil on koostöös Riigi Infosüsteemi Ameti, Riigikantselei ja julgeolekuasutustega kavas analüüsida HOS § 41 lõike 2 täiendamise/muutmise vajadust. Selleks koostame analüüsi lähteülesande ja küsime julgeolekuasutustelt hinnangut riskide, stsenaariumite kohta. Lähteülesande ettevalmistamisel on selgunud, et selle koostamiseks Suur-Ameerika 1 / 10122 Tallinn / 625 6342 / [email protected] / www.mkm.ee Registrikood 70003158 ja julgeolekuasutustele hinnangu andmiseks on vaja informatsiooni elutähtsa teenuse osutajate infosüsteemide paiknemise ja ristsõltuvuste kohta. Vastav kaardistus oli tehtud Riigi Infosüsteemi Ameti tellimusel 2016. aastal kõikide elutähtsa teenuse osutajate kohta, kuid on kahjuks tänaseks paljuski aegunud. Muuhulgas on Ukraina kogemus esile toonud, et andmete/protsesside hoidmine väljaspool riiki võib omada kriisiolukorras teatavaid eeliseid. Eeltoodust tulenevalt palume Pangaliidu abi elutähtsa teenuse osutajatest pankadega seotud infosüsteemide ja ristsõltuvuste kaardistamisel ning palume vastata järgmistele küsimustele: 1. Kui paljud Eestis tegutsevad pangad ja kui suures ulatuses hoiavad elutähtsa teenuse osutamiseks vajalikke andmeid Eestis (hinnanguliselt protsentides kogu vajalike andmete mahust pankade lõikes. Pankade nimed võivad olla nimetamata, vaid nummerdatud, nt Pank 1, Pank 2 jne)? 2. Kui paljud Eestis tegutsevad pangad ja kui suures ulatuses hoiavad elutähtsa teenuse osutamiseks vajalikke andmeid väljaspool Eestit (hinnanguliselt protsentides kogu vajalike andmete mahust pankade lõikes. Pankade nimed võivad olla nimetamata, vaid nummerdatud, nt Pank 1, Pank 2 jne )? 3. Kui paljude Eestis tegutsevate pankade elutähtsa teenuse osutamiseks vajalikud võrgu- ja infosüsteemid asuvad väljaspool Eestit ning mis süsteemid need on (tuua välja pankade lõikes, st Pank 1, Pank 2 jne)? 4. Kui paljud Eestis tegutsevad pangad kasutavad elutähtsa teenuse kriitiliste tegevuste toimimiseks välismaal paiknevat teenuse pakkujat ja, mis kriitiliste tegevuste osas (tuua välja pankade lõikes, st Pank 1, Pank 2 jne) ning kes on need välismaa pakkujad (nimeliselt, et saaks hinnata ristsõltuvusi)? 5. Kui paljud Eestis tegutsevad pangad ja mis osas kasutavad oma teenustes pilvelahendusi või mikroteenuste arhitektuuri? Mitu panka kasutavad pilvelahendusi, mis asuvad välisriikides? 6. Kui loodavas regulatsioonis puuduks HOS § 41 lõikes 2 olev nõue, siis kuidas see mõjutaks pankades hoitavate andmete ning vajalike võrgu- ja infosüsteemide hoidmise asukohta? Kui paljud pangad suurendaksid andmete ning võrgu- ja infosüsteemide hoidmist väljaspool Eestit? Kui paljud pangad hakkaksid rohkem kasutama pilveteenuseid? 7. Kuidas hindab Pangaliit võimalikke ristsõltuvusega kaasnevaid riske ja mõju laiaulatusliku küberrünnaku või otsese Eesti vastase sõjategevuse korral? Arvestades, et Eesti geograafiline asukoht raskendab ühenduvust (uute maismaaühenduste loomist). Palume edastada ITL-i vastused hiljemalt 2022. a 31. augustiks Majandus- ja Kommunikatsiooniministeeriumi riikliku küberturvalisuse osakonna küberriskide halduse juhi Martin Sepa meiliaadressile [email protected]. Vastuste esitamisel palume kindlasti eristada, kas väljapool Eestit asuvad andmed, võrgu- ja infosüsteemid asuvad Euroopa Liidu riikides või kolmandates riikides. Soovi korral on võimalik vastus krüpteerida ID-kaardiga adressaadile „MKM: Riikliku küberturvalisuse osakond“ (asutuse registrikood 70003158). Lugupidamisega (allkirjastatud digitaalselt) Luukas Ilves digiarengu asekantsler Teadmiseks: Eesti Pank 2 (3) Martin Sepp [email protected] Raavo Palu [email protected] 3 (3)