Kiri

Ministeeriumid 24.05.2019 nr 5-3/19/2106 Kaitseministri määruse "Arvutite ja kohtvõrkude kaitse nõuded" eelnõu Esitame kooskõlastamiseks kaitseministri määruse "Arvutite ja kohtvõrkude kaitse nõuded" eelnõu. Lugupidamisega (allkirjastatud digitaalselt) Jüri Luik Minister Lisa: KMm_AKKN_muutmine_EN_2019-04-26.docx KMm_AKKN_muutmine_EN_LISA_2019-04-26.docx KMm_AKKN_muutmine_SK_2019-04-26.docx Sakala 1 / 15094 Tallinn / 717 0022 / [email protected] / www.kaitseministeerium.ee Registrikood 70004502  09.05.2019 Kaitseministri määruse „ Arvutite ja kohtvõrkude kaitse nõuded “ eelnõu SELETUSKIRI 1. Sissejuhatus Kaitseministri m äärus „ Arvutite ja kohtvõrkude kaitse nõuded “ kehtestatakse riigisaladuse ja salastatud välisteabe seaduse (edaspidi RSVS ) § 39 lõike 2 punkti 3 alusel. Praegu reguleerib seda valdkonda kaitseministri 21. detsembri 2007. a määrus nr 34 „Arvutite ja kohtvõrkude kaitse nõuded“ (edaspidi määrus ), mida on vaja ajakohastada. Määruse uuendamin e on tingitud eelkõige tehnika arengu ga kaasnevate ohtude ja turva riskide muutumisest. Enam kui kümme aasta t tagasi jõustunud määrus es ei ole seni olulisi muudatusi tehtud. Määruse väljatöötamise ajal kasutati salastatud teabe töötlussüsteeme (edaspidi süsteem ) vähe ning asjaajamine oli valdavalt paberipõhine . Praeguseks on olukord vastupidine. Aastate jooksul on elektroonilise teabeturbe korraldamisel ilmnenud vajadus täpsustada ja lisada nõudeid, mille rakendamine võimaldaks kaitsta süsteeme ja nendes töödeldavat teavet ka kaasaja ohtude eest. Samuti on ilmnenud vajadus ühtlustada Eesti riigisaladuse süsteemidele esitatava d nõude d P õhja-Atlandi Lepingu Organisatsiooni (edaspidi NATO ) ja Euroopa Liidu (edaspidi EL ) asjaomas te n õuetega. Juhul, k ui mis tahes salastatud teabe töötlemisel kehtivad samad tingimused , on neid kergem rakendada teabe töötlejatel ning rakendamist kontrollida Välisluureametil. NATOs reguleerib asjaomaseid teemasid direktiiv „INFOSEC Technical and Implementation Directive for Computer and Local Area Network (LAN) Security“ (AC/322-D/0048; edaspidi NATO direktiiv ) ja ELis juhis „General Security Governance Requirements for CIS processing RESTREINT UE“ (TECH-G-01-04 ; edaspidi ELi juhis ) , eelkõige selle lisa A. Mõlema dokumendi nõudeid on eelnõu koostamisel eeskujuks võetud. Määruse lisa muudetakse olulisel määral, samuti täpsustatakse ja täiendatakse oluliselt määruse teksti. Seetõttu on otstarbekas kehtestada määrus tervikuna uuesti . E elnõu ja seletuskirja koostasid Välisluure ameti ametnikud ning selle ettevalmistamisel osales Kaitseministeeriumi küberpoliitika osakonna juhataja asetäitja Alari Alviste ([email protected]) . Eelnõu õiguslikku kvaliteeti kontrollis Kaitseministeeriumi nõunik Peeter Papstel ( [email protected] ) . K eeletoimetuse tegi Keeletoimetus OÜ. 2. Eelnõu sisu ja võrdlev analüüs Eelnõu koosneb viiest paragrahvist. Eelnõu §-s 1 sätest atakse määruse reguleerimisala. M ääruses sätestatakse elektrooni lise teabeturbe nõuete loetelu , et tagada süsteemis töödeldava teabe käide ldavus, salajasus ja terviklus. Nõuete loetelu on baasmaterjal nii süsteeme kavandavatele ja arendavatele isikutele ja asutustele kui ka süsteemide akrediteerimist korraldavatele Välisluureameti ametnikele, kes peavad hindama, kas süsteem i tehnilised lahendused, turvameetmed ja dokumentatsioon tagavad elektroonilise teabeturbe eesmärkide täitmise. Eelnõu §- s 2 sätestatakse elektroonilise teabeturbe nõuded, mida kohaldatakse süsteemi osaks olevale arvutile ja kohtvõrgule . Lõike 1 järgi sätestatakse arvuti ja kohtvõrgu nõuded määruse lisas. Lõike 2 järgi võib lisas sätestatud nõuetest teha erandeid üksnes juhul, kui on täidetud kõik järgmised tingimused . Esiteks peavad nõude täitmata jätmisest tulenevad riskid olema ära toodud süsteemi riskianalüüsis. Vastavalt Vabariigi Valitsuse 2 0. detsembri 2007. a määruse nr 262 „Riigisaladuse ja salastatud välisteabe kaitse kord “ ( edaspidi RSVKK ) § 107 l õike 1 punktile 2 peab turvanõuete loetelus olema ülevaade süsteemi riskianalüüsi tulemustest. Teiseks peavad nõude täitmata jätmist kompenseerivad meetmed olema kirjeldatud süsteemi turvanõuete loetelus. Kolmandaks peab Välisluureamet olema andnud kompenseerivatele meetmetele süsteemi akrediteerimisel heakskiidu. RSVKK § 109 lõikest 1 lähtudes saavutatakse akrediteerimise tulemusena piisav veendumus, et süsteem vastab elektroonilise teabeturbe tagamiseks kehtestatud nõuetele, s . t süsteem võimaldab täita RSVKK § 106 lõigetes 1 ja 2 sätestatud nõudeid. Süsteemi a krediteerimisel hinnatakse kogumis kõigi RSVS i § 39 lõike 2 alusel kehtestatud nõuete, sealhulgas kaitseministri teiste määrustega kehtestatud krüptomaterjalide ning nende töötlemise ja kaitse nõuete ning kiirgusturbe tagamise nõuete täitmist. Lõike s 3 sätestatakse, et kui määruse lisas esitatud nõude täitmine nõuab töötlevalt üksuselt regulaarseid toiminguid, peab nende sagedus olema kirjeldatud süsteemi turvanõuete loetelus ning vastama süsteemi kasutusintensiivsusele. Seega juhul, kui nõude kohaselt peab töötlev üksus teatud toiminguid sooritama regulaarselt (näiteks uuendama viirusetõrje tarkvara) , täpsustamata sealjuures konkreetset perioodi , siis peab vastava perioodi sätestama süsteemi turvanõuete loetelus (näiteks kord nädalas , kuus, kvartalis jne) . Asjakohane periood sõltub süsteemist ja selle kasutusintensiivsusest. Eelnõu §-s 3 sätestatakse elektroonilise teabeturbe nõuded süsteemi eriõigus t ega kasutajale . Eriõigustega kasutajad on isikud , kes vastuta vad süsteemi , sealhulgas selle osaks oleva arvuti ja kohtvõrgu turvalisuse eest . Süsteemis järelevalvet tegev isik peab olema erinev süsteemi haldajast. Nõuete koostamisel on arvestatud NATO direktiivi ja ELi juhise nõudeid. Lõike 1 kohaselt peab p iiratud tasemel riigisaladuse töötlemiseks akrediteeritud süsteemi eriõigustega kasutajal olema vähemalt konfidentsiaalse l taseme l riigisaladuse le juurdepääsu luba. Lõike 2 kohaselt peab konfidentsiaalsel ja kõrgemal tasemel riigisaladuse töötlemiseks akrediteeritud süsteemi eriõigustega kasutajal olema vähemalt süsteemis töödeldava teabe kõrgeima l salastatuse taseme l riigisaladuse le juurdepääsu luba. Selle n õude täitmine aitab ühtlasi rakendada RSVSi § 25 lõike 1 nõuet, mille järgi peab teabevaldaja enne riigisaladusele juurdepääsu andmist veenduma, et isikul on vastava l taseme l riigisaladusele juur depääsu õigus ja teadmisvajadus . Lõike 3 kohaselt tuleb salastatud välisteabe töötlemiseks akrediteeritud süsteemi eriõigustega kasutaja puhul lisaks lõigetes 1 ja 2 sätestatule arvestada salastatud välisteabe avaldaja poolt ettenähtud nõu etega . Sama mõtet on väljendatud R SVKK § 105 lõikes 5, kuid õigusselguse ja normi tervikluse huvides korratakse seda eelnõus uuesti . Lõike 4 kohaselt teavitatakse süsteemi eriõigustega kasutaja vahetumisest viivitamata kirjalikult Välisluureametit ja Kaitsepolitse i ametit. Selle nõude eesmärk on tagada , et asutustel, kelle ülesanne on korraldada elektroonilist teabeturvet ja salastatud teabe kaitset, oleks pidevalt ajakohane teave süsteemi turvalisuse eest vastutavate isikute kohta. Eelnõu §-ga 4 tunnistatakse kehtetuks seni kehtinud määrus. Eelnõu § -s 5 esitatakse rakendus säte . E nne määruse jõustumist antud vastavussertifikaadid ja ajutised kasutusload kehtivad nende kehtivuse tähtaja lõpuni. See tähendab, et süsteem, millel on kehtiv vastavussertifikaat või ajutine kasutusluba, tuleb uute nõuetega vastavusse viia hiljemalt järgmise akrediteerimise ajaks. Eelnõu lisas sätestatakse arvutite ja kohtvõrkude kaitse nõuded . Eesti riigisaladuse, NATO ja EL i süsteemidele esitatud ü htsetele nõuetele tuginedes saavad teabevaldajad kavandada ja arendada oma süsteeme ning Välisluureamet neid akrediteerida. Sätestatavad nõuded on nummerdatud järjest , kuid liigendatud rakendamise hõlbustamiseks ü heksaks teemaplokiks : identimine ja autentimine, teabele juurdepääs, logimine, pahavaratõrje , konfiguratsioonihaldus, terviklus , täiendav turbekorraldus ning arvutivõrgud . Järgnevalt k irjeldatakse l isas esitatud turvanõudeid ning selgitatakse käesoleva eelnõuga tehtavaid muudatusi. Nr Vana n r Nõude kirjeldus Muudatus ja selle kirjeldus Identimine ja autentimine 1. 1. Peetakse nimekirja süsteemi kõigist volitatud kasutajatest. Nõuet ei muudeta. Nimekirja on lubatud pidada digitaalselt. 2. 2. S üsteemi igal volitatud kasutajal on kasutajakonto, millele juurdepääsuks kasutatakse unikaalset kasutajatunnust ja salasõna või Välisluureameti poolt heaks kiidetud muid meetodeid. Nõuet muudetakse. Täpsustatakse , et süsteemi volitatud kasutajal on kasutajakonto, millele juurdepääsuks kasutatakse unikaalset kasutajatunnust. Muudatus tehakse eelkõige õigusselguse eesmärgil ning sellega välditakse nõude mitmetimõistetavust. Nõutav u nikaa lne kasutajatunnus võimaldab siduda kasutajatoimingud kindla volitatud kasutajaga, mis omakorda võimaldab vältida eksitusi logikirjete analüüsimisel. Muu hulgas on see vajalik selleks, et anda isikule süsteemis juurdepääs üksnes tema teadmisvajadusele vastavale teabele. Ühtlasi asendatakse senine termin „kasutajanimi“ terminiga „kasutajatunnus “ . Kasutajanimi tähistab harilikult kombinatsiooni kasutaja ees- ja perekonna nimedest või nende esitähtedest, seevastu kasutajatunnus võib olla ka isikukood või muu numbrite ja tähtede kombinatsioon. Nõude koostamisel on arvestatud ELi juhise nõudeid. 3. 3. Süsteemi kasutajatele kasutusõiguste andmise, muutmise ja lõpetamise üle peetakse arvestust. Kasutaja kasutusõiguste lõpetamisel kasutajakontot ei kustutata, vaid deaktiveeritakse esimesel võimalusel . Nõuet muudetakse. Lisatakse tingimus, et kasutaja kasutusõiguste lõpetamisel kasutajakontot ei kustutata, vaid deaktiveeritakse esimesel võimalusel . K asutajakonto deaktiveerimine on juba paljudes süsteemides tavapärane praktika. Kas utajakonto kustutamine raskendaks logikirjete analüüsimisel kasutaj a sidumist tehtud toimingutega või toimunud sündmus t ega . Lisatud nõudega välditakse juhtumeid, ku s pärast kasutajakonto kustutamist antakse teisele sama või sarnase nimega kasutajale sa ma kasutajatunnus, mille tagajärjel võidakse siduda logikirjed vale isiku ja tema logikirjetega. Sel juhul ei ole v õimalik korrektselt hinnata, kas juurdepääs teabele on olnud ai nult juurdepääsuõiguse ja teadmisvajadusega isikutel (edaspidi ka volitatud isik ) ning kes on teatud teavet töödelnud. Nõude koostamisel on arvestatud NATO direktiivi nõudeid . 4. 4. Salasõna süsteemile juurdepääsuks on teada üksnes kasutajale. Nõuet sisuliselt ei muudeta. N õue ei kehti esmase salasõna kohta, mi da on vaja kohe muuta . 5. 5. Salasõnal on miinimumpikkus. Nõuet muudetakse. Seni se nõude järgi on salasõna miinimumpikkus kaheksa tähemärki konfiden tsiaalsel ja kõrgemal tasemel salastatud teabe süsteemis ning kuus tähemärki piiratud tasemel salastatud teabe süsteemis . Uue nõude järgi on salasõna miinimumpikkus kõigis süsteemides 15 tähemärki. Mida pikem on salasõna, seda raskem on seda ära arvata või murda. Iga uus tähemärk salasõnas raskendab selle äraarvamist eksponentsiaalselt. Näiteks on salasõna murdmine , kasutades jõhkra jõu rünnet ( brute force attack ) 15 tähemärgi korral 2 astmes 49 korda keerulisem kui kaheksa tähemärgi korral. Juhul, kui üks tähemärk asendada näiteks numbriga (nõue nr 8 ) , suureneb murdmiseks kuluv aeg veel mõnikümmend korda. Muudatuse tulemusena on võimalik salasõnu ja seega ka süsteemi s töödeldavat teavet paremini kaitsta, sest salasõna murdmiseks tuleb teha oluliselt ressursimahukamaid arvutustehteid. Kui kasutada salasõna pikkusega vähem kui 15 tähemärki, siis genereerib Windows salasõnast nii LAN Manager räsi ( LM hash ) kui ka Windows NT räsi ( NT hash ). Need räsid salvestatakse lokaalsesse Security Accounts Manager ’i (SAM) või Active Directory ’sse. LM hash on võrreldes NT hash ’iga suhteliselt nõrk ja seetõttu on võimalik pahatahtlikul kasutajal seda ära kasutada. 15 tähemärgi kasutamine aitab ära hoida LM hash ’i salvestamise lokaalsesse arvutisse. Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 6. 6. Salasõnal on maksimaalne kehtivusaeg. Nõuet ei muudeta. 7. 7. Salasõnal on minimaalne kehtivusaeg. Nõuet ei muudeta. 8. 8. Salasõnas peab sisalduma suur ja väike täht ning erimärk või number. Nõuet sisuliselt ei muudeta. Salasõna peab kindlasti sisaldama suur t ja väikest tähte. Erimärgi ja numbri puhul võib kasutada neist ühte või mõlemat. 9. 9. 24 varem kasutuses olnud salasõna kasutamine on keelatud. Nõuet muudetakse. Senise nõude järgi on keelatud viie varem kasutuses olnud salasõna kasutamine. Uue nõude järgi on keelatud 24 varasema salasõna kasutamine. See vähendab tõenäosust, et juurdepääsuõiguseta ja teadmisvajaduseta isik (edaspidi ka volitamata isik ) saab talle varem teatavaks saanud salasõna kasuta des süsteemi siseneda ning teabe salajasust, tervikl us või käideldavust rikkuda. Nõude koostamisel on arvestatud NATO direktiivi nõudeid . 10. 10. Salasõna muudetakse v iivitamata süsteemi turvarikke või salasõna volitamata isikute valdusse sattumise või sellekohase kahtluse ning esmase salasõna korral . Nõuet sisuliselt ei muudeta. Kuna kasutaja esmane salasõna ei ole teada üksnes kasutajale endale, vaid ka salasõna loonud isikule, siis tuleb see viivitamata muuta . 11. 11. Juhul , kui salasõnu säilitatakse, hoitakse neid suletud läbipaistmatus ja volitamata isikute avamise kindlas ümbrises, mis asub hoiukohas, mis vastab vastava tasemega salastatud teabekandjate hoiukohale seatud tingimustele , või elektrooniliselt Välisluureameti poolt heaks kiidetud krüpteerimismeetodiga krüpteerituna . Nõuet sisuliselt ei muudeta. 12. – Eriõigustega kasutaja konto ning muu süsteemi haldamisega seotud konto kasutajatunnust, salasõna ja muud autentimiseks vajalikku teavet säilitatakse, hoides neid suletud läbipaistmatus ja volitamata isikute avamise kindlas ümbrises, mis asub hoiukohas, mis vastab vastava tasemega salastatud teabekandjate hoiukohale seatud tingimustele , või elektrooniliselt Välisluureameti poolt heaks kiidetud krüpteerimismeetodiga krüpteerituna . Salasõnade hoidmise ja kasutamise protseduur on kirjeldatud süsteemi turvanõuete loetelus. Uus nõue. Nõue kohustab säilitama s üsteemi haldamisega seotud konto le juurdepääsuks vajalikku teavet nii, et sellele on võimalik vajadusel juurde pääseda ka teistel volitatud isikutel. Praktikas on esinenud näiteid , kus süsteemi haldamiseks vajalik salasõna või muu vajalik teave on teada vaid süsteemi haldajale, kes töölt või teenistusest lahkudes võtab selle teadmise endaga kaasa. Sellega võib kaasneda olukord, kus tarkvara või vahendit ei ole võimalik hallata . Säilitamise tingimused on sarnased salasõnade säilitamise tingimustega. Lisanõue kirjeldada salasõnade hoidmise ja kasutamise protseduuri süsteemi turvanõuete loetelus on suunatud süsteemi turvalisuse eest vastutavatele isikutele, kes selles loetelus toodust igapäevaselt lähtuvad. Uus nõue kehtib kõigil tasemetel salastatud teabe töötlemiseks akrediteeritud süsteemides. Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 13. – Internetiga ühendatud süsteemi le juurdepääsuks kasutatakse vähemalt kahefaktorilist kasutajate autentimist. Uus nõue. Kahefaktoriline kasutajate autentimine (ehk kaksikautentimine või 2FA ) aitab vähendada võimalust , et volitamata pahatahtlik isik (edaspidi ründaja ) saab tööjaama kontrollides süsteemi siseneda . Kahefaktorilise autentimise korral valitakse isiku tuvastamise vahendid järgmistest kategooriatest: midagi, mida isik teab (n äiteks salasõna); midagi, mis isikul on (n äiteks ID-kaart); midagi, mida isik ise on (biomeetrilised andmed, n äiteks sõrmejälg). Selle nõude rakendamiseks autent i misvahendeid valides tuleb jälgida, et kolmas osapool ei saaks neid om a huvides ära kasutada. Näiteks võib SMS i saatmine kasutaja telefoni tunduda turvaline, kuid tegelik ult edastatakse autentimiseks vajalikud andmed üldjuhul üle raadiovõrkude ning on reeglina krüpteeritud nõrga krüptoalgoritmiga või on krüpteerimata. Nõue vähendab tõenäosust, et volitamata isik saab süsteemi siseneda nin g teabe salajasust, terviklus t või käideldavust rikkuda. Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 14. 12. Süsteem blokeerib kasutajakonto automaatselt pärast kolme edutut autentimiskatset vähemalt 30 minutiks. Nõuet muudetakse. Seni kehtivas nõudes ei ole määratud kasutajakonto blokeerimise kestust. Seetõttu on seda rakendatud ebaühtlaselt. Liiga lühike aeg ei taga elektroonilise teabeturbe eesmärkide täitmist, liiga pikk aeg (n äiteks püsiv blokeering) toob kaasa põhjendamatu koormuse eriõigustega kasutajale , sest üldjuhul ei tee edutu i d autentimiskatse i d r ündajad , vaid süsteemi kasuta jad, kes eksivad kasutajatunnuste ja salasõnade sisestamisel. Muudatuse järgi blokeeritakse kasutajakonto vähemalt 30 minutiks. Maksimaals et blokeerimise aega ei määrata. Blokeerimisaja mõistlik kestus sõltub süsteemi eripärast. 15. 13. Süsteem teavitab kasutajat autentimise ebaõnnestumise põhjustest minimaalses võimalikus ulatuses. Nõuet ei muudeta. Teabele juurdepääs 16. 14. 15. Süsteem võimaldab juurdepääsu vaid sellisele salastatud teabele, mille suhtes süsteemi kasutajal on põhjendatud teadmisvajadus ja juurdepääsuõigus . Töö- või teenistusülesandest tuleneva teadmisvajaduse muutumisel eemaldatakse eelnevast ülesandest tulenevad liigsed juurdepääsu õigused ning täiendatakse juurdepääsuõigusi vastavalt uue le ülesande le . Nõuet muudetakse. Nõudes ühendatakse senised punktid nr 14 ja 15. Täpsustatakse, et töö- või teenistusülesandest tuleneva teadmisvajaduse muutumisel eemaldatakse eelnevast ülesandest tulenevad liigsed juurdepääsu õigused ning täiendatakse juurdepääsuõigusi vastavalt uue le ülesande le . T äpsustuse eesmärk on välistada õiguste kogunemine seoses tööülesannete muutumisega . Teatud teabe osas põhjendatud teadmisvajaduse kaotanud, s . t volitamata isikul säiliv juurdepääs sellele teabele toob kaasa võimaluse, et ta saab kahjustada teabe salajasust, aga teatud juhtudel ka käideldavust ja terviklus t , ning panna ühtlasi toime RSVSi nõuete rikkumise. Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 17. – Süsteemi haldamiseks kasutab eriõigustega kasutaja eraldi isikustatud eriõigustega kasutaja kontot . Uus nõue. Nõude eesmärk on tagada , et eriõigustega kasutaja teeb süsteemi haldamisega seotud toiminguid eriõigustega kasutaja isikustatud kontoga ning tava kasutaja toiminguid teise isikustatud kasutaja kontoga, mille l ei ole õigusi süsteemis muudatusi teha . Nõudega tagatakse, et süsteemi haldamisega seotud toimingud logitakse tavaõiguste ga kasutaja toimingutest eraldi. Toimingute eristamine on vajalik nii järelevalve tegijatele kui ka intsidentide (RSVKK § 104 punkti 7 tähenduses turvarikete) lahend ajatele . Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 1 8 . 16. Seansi alustamisel ilmub kuvarile teade süsteemi nime ning süsteemis töödelda lubatava teabe salastatuse kõrgeima taseme kohta. Nõuet muudetakse . Täpsustatakse kehtivat nõuet, seda sisuliselt muutmata. Nõudele lisatakse sõnad „süsteemi nime“ ning jäetakse välja kohustus kuvada teade t süsteemi juurdepääsupiirangute kohta. Eesmärk on muuta nõue selgemaks ja vältida ebaühtlust selle rakendamisel. 19 . 17. Kui süsteemi ei kasutata 15 minutit või vähem, katkeb juurdepääs teabele automaatselt ning süsteem lukustab ekraani . Nõuet sisuliselt ei muudeta. 2 0 . 18. Süsteem võimaldab kasutajal katkestada teabele juurdepääs u , s ealhulgas lukustada ekraani. Nõuet sisuliselt ei muudeta. – 19 . Süsteemis salastatud teabe kustutamiseks kasutatakse tarkvara, mis kirjutab kustutatava salastatud teabe üle vähemalt seitse korda. Nõue jäetakse välja . Seni kehtiv nõue ei täida enam oma eesmärki . S alastatud teabe ülekirjutamine ei ole enam ratsionaalne, sest salvestuspind on läinud väga tihedaks ja andmed jagatakse kirjutamisel mitme kettaplaadi vahel . Seetõttu on teabe jääkmagnetismi eriseadmetega väljalugemise oht sisuliselt olematu. Teisalt ei ole SSD-tüüpi ketaste ja muu salvestus kandjate puhul mikroskeemide sees toimuv enam lõpuni kasutaja või arvuti kontrolli all ning sel juhul tagab teabe kaitse vaid salvestus kandja füüsiline hävitamine. 2 1 . 20. Süsteemi salastatud teavet töötlevale füüsilisele osale paigaldatakse selle volitamata avamise tuvastamist võimaldav unikaalse numbriga vahend ja selgelt loetav märgistus süsteemis töödeldava teabe salastatuse taseme kohta. Nõuet muudetakse. Nõude muutmise eesmärk on täpsustada, kuidas süsteemi füüsilised osad peavad olema märgistatud. Nõude abil tagatakse süsteemi terviklus. Turvakleebiste üle peetakse eraldi arvestust ja süsteemi kontrolli käigus on võimalik tuvastada, kas konkreetne turvakleebis on sama, mis eelmisel korral , või on see asendat ud te isega. See viitab , et süsteemile võib olla juurde pääsenud volitamata isik. S elgelt loetav a märgistus e abil saab iga isik teavet süsteemis töödeldava teabe salastatuse taseme kohta. Sageli on samas tööruumis mitu erinevat süsteemi, ning vaja on neid üksteisest eristada selleks, et volitatud kasutaja teaks, millise süsteemiga on tegu. Avamise tuvastamist võimalda v vahend on näiteks turvakleebis, -plomm või - tross. Asjaomane näidisloetelu jäetakse nõude tekstist välja. Nõude koostamisel on arvestatud ELi juhise nõudeid. 2 2 . – Süsteemi kaabeldus on ühenduskohtades visuaalselt eristatav ja tuvastatav ning kirjeldatud süsteemi turvanõuete loetelus . Uus nõue. Kaabelduse all peetakse silmas süsteemi osaks olevaid kaableid (peamiselt kohtvõrgu kaableid) , mille vahendusel edastatakse salastatud teavet , mis ei ole heakski idetud krüptovahendi abil krüpteeritud . Kõige olulisem on eristada ühenduskohtades olevaid kaableid võrgupesast seadmeni. Nõue aitab vähendada olukordi, kus ekslikult valesse võrgupessa ühendatud kaabel võib süsteemi kuuluva võrguseadme ühendada valesse arvutivõrku . Seeläbi võib salastatud teave sattuda teise süsteemi, mis ei ole sellise l tasemel salastatud teabe töötlemiseks akrediteeritud . S elle tagajärjel võib teave saada teatavaks volitamata isikule . Nõue võimaldab lihtsamalt eristada kaabeldust süsteemi füüsiliste osade kontrollimisel , sealhulgas süsteemi akrediteerimise või kiirgusturbe nõuete täitmise kontrolli käigus ning muudab seeläbi toimingud kiiremaks ja eksimuste riski väiksemaks. Nõude koostamisel on arvestatud ELi juhise nõudeid. Logimine 23 . 22. Süsteem salvestab süsteemi kasutamise analüüsiks vajaliku info (s ealhulgas käivitamine ja sulgemine, kasutaja sisenemine ja väljumine, muudatused kasutajate või kasutajagruppide kasutajaõigustes, muudatused logiinformatsiooni seadistustes, kellaaja ja kuupäeva muutmine ja ebaõnnestunud katsed süsteemi siseneda, võrguühendused, teabe üleviimine välisele teabekandjale). Nõuet muudetakse. Täiendatakse süsteemi kasutamise analüüsiks vajaliku salvestatava informatsiooni loetelu, lisades sinna info võrguühenduste ning teabe välisele teabekandjale üleviimis e kohta . Võrguühenduste logimise all peetakse silmas tavalist Syslog ’i kirjet sessiooni algamise ja lõppemise kohta, mis sisaldab aega, edastatud ja vastuvõetud pakettide arvu ja info hulka, lähte - ja siht - IP - aadresse, porte j m . Nõude täiendamise eesmärk on kindlustada nõuete täitmise üle järelevalvet tegevatele asutustele p arem ülevaade viisidest , mille kaudu info liigub süsteemi ja sealt välja. Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 2 4 . – Süsteem salvestab salastatud teabe töötlemiseks kasutatava rakendusteenuse kasutamise analüüsiks vajaliku info (s ealhulgas rakendusteenuse käivitamine ja sulgemine, kasutaja sisenemine ja väljumine, rakendusteenuse tõrked, suuremahulised konfiguratsioonimuudatused, info teabe edastamise kohta, muudatused kasutajate või kasutajagruppide kasutajaõigustes, rakendusteenuses eriõiguste kasutamine ning muutmine). Uus nõue . Nõude sõnastamisel on võetud eeskujuks nõue nr 2 3 . Kaasaegsetes süsteemides edastatakse teavet asutuse sees ja teistele asutustele ka rakendusteenuse vahendusel. N õudes nimetatud salastatud teabe töötlemiseks kasutatavad rakendusteenused on eelkõige arvutivõrgu vahendusel juurdepääsetavad rakendusteenused (n äiteks dokumendihaldussüsteem, koostöökes k konnad, veebilehed). Muu hulgas võimaldab n õue täita teabevaldaja kohustust kontrollida regulaarselt salajase ja täiesti salajase taseme riigisaladust sisaldavate teabe kandjate (s ealhulgas arvutifailide) olemasolu ja terviklus t , mida mehaanilise tööga ei ole otstarbekas ega sageli isegi võimalik teha. Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 25. 23. Süsteemis ja rakendusteenuses logitakse igakordne salastatud teabe töötlemine. Nõuet muudetakse. Täpsustatakse kehtivat nõuet, seda sisuliselt muutmata. Nõuet laiendatakse ka rakendusteenustele ning lisatakse sõna „igakordne“. Samuti üldistatakse salastatud teabega tehtavate toimingute logimise nõuet, kasutades mõistet „töötlemine“, mis hõlmab muu hulgas ka teabele juurdepääsu ning teabe koostamist, edastamist, hävitamist. Eesmärk on muuta nõue selgemaks ja vältida ebaühtlust selle rakendamisel. 2 6 . 24. Logiinformatsiooni kirje sisaldab sündmuse toimumise kuupäeva, kellaaega, liiki ja märget sündmuse õnnestumise või ebaõnnestumise kohta ning seob kasutajanime selle olemasolul logitava sündmusega. Nõuet ei muudeta. 27. 21. Eelnevates punktides nimetatud süsteemi logiinformatsioon säilitatakse. Nõuet muudetakse. Määruse järgi säilitatakse logiinformatsiooni järgmiselt: piiratud tasemel salastatud teabe süsteem – üks aasta; konfidentsiaalsel, salajasel ja täiesti salajasel tasemel salastatud teabe süsteem – viis aastat. Muudatuse järgi on säilitustähtajad järgmised: piiratud tasemel salastatud teabe süsteem – kolm aastat; konfidentsiaalsel ja salajasel tasemel salastatud teabe süsteem – viis aastat; täiesti salajasel tasemel salastatud teabe süsteem – kümme aastat. Nõude eesmärk on tagada süsteemi logide säilitamine pikema aja jooksul, sest sageli saadakse intsidendi toimumisest teada hiljem. Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 28 . 25. Juurdepääs logiinformatsioonile on vastava e riõigus ega kasutajal . Nõuet ei muudeta. 29 . – Süsteem võimaldab logiinformatsioonist raportite ja väljavõtete tegemist. Uus nõue. Teiste logisid kirjeldavate nõuetega on tagatud küll logiinformatsiooni teke, kuid logiinformatsioon on üldjuhul masinlo e taval kujul (n äiteks XML formaadis ) ning eriõigustega kasutajal on raskendatud süste emis toimuvate sündmuste seire. Selles nõude s peetakse silmas nn inimloetavaid raporteid ja väljavõtteid. N õue aitab kiirendada võimalike turberikkumiste ja anomaaliatega seo tud sündmuste tuvastamist ning seeläbi vähendada hilisemast intsidendist tulenevat kahju süsteemile ja selles töödeldavale teabele. Nõudest tuleneb, et süsteemi juurde tuleb soetada sobiva d vahendid süsteemis toimuvate ning logitavate sündmuste analüüsimiseks ja analüüsitavatest sündmustest väljavõtete tegemiseks. Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 30. – Süsteemi logiinformatsiooni varukoopiat säilitatakse väljaspool süsteemi. Uus nõue. Nõude eesmärk on tagada, et logiinformatsioon säiliks ka juhul, kui toimub riistvara käideldavusega seotud või muu sarnane intsident (näiteks lunavara käitamine). Väljapoole süsteemi varundamisel tuleb andmed salvestada püsivalt ühendamata andmekandjale (näiteks väline kõvaketas, lindiseade). Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 31. – Süsteemi logiinformatsiooni varundamise sagedus, varukoopiate säilitusnõuded ja juurdepääsuõigused varukoopiatele sätestatakse süsteemi turvanõuete loetelus. Uus nõue. Varundamisega tegeleb süsteemi eest vastutav isik, mitte tavakasutaja. Turvanõuete loetelus määratakse ära kõik vastutavate isikute kohustused, seega peab ka kõnealune info olema selles dokumendis kajastatud. Nõude koostamisel on arvestatud ELi juhise nõudeid. Pahavaratõrje 3 2 . 26. Viiruse või muu pahavara avastamiseks ette nähtud tarkvara on installeeritud kõigisse serveritesse ja tööjaamadesse ning konfigureeritud viisil, kus kontrollimine toimub automaatselt. Nõuet sisuliselt ei muudeta. Nõudes tehakse sõnastuslikud parandused. Muu hulgas asendatakse lisas läbivalt sõna „kurivara“ igapäevases keele kasutuses ena m juurdunud sõnaga „pahavara“. Sünonüümidena kasutatavad kurivara, pahavara ja kahjurvara tähistavad kõik tarkvara , mis on kirjutatud sihilikult selleks, et süsteemile (või selles töödeldavale teabele) ilma selle kasutaja te teadmata kahju tekitada või neid muul moel kuritarvitada. Senises nõudes käsitletakse kõvakettaga tööjaamu, uues sõnastuses laieneb nõue mistahes tööjaamadele. Samuti jäetakse välja esimest lauset sisuliselt kordav lause „Serverites ja kõvakettaga tööjaamades kasutatakse viiruse või muu kurivara avastamiseks ja tõrjeks ette nähtud tarkvara “. 33. 27. Viiruse või muu pahavara avastamiseks ja tõrjeks ette nähtud tarkvara uuendatakse regulaarselt . Nõuet sisuliselt ei muudeta. Viiruse või muu pahavara avastamiseks ja tõrjeks ette nähtud tarkvara uuendamise sagedus peab olema kajastatud turvanõuete loetelus. Täpsem uuenduste kord sõltub süsteemist. 3 4 . 28. Süsteemi sisenev teave kontrollitakse (võimalusel süsteemist eraldatud seadmega ) viiruse või muu pahavara avastamiseks ja tõrjeks enne teabega tutvumist (s ealhulgas enne faili avamist). Nõuet sisuliselt ei muudeta. Täpsustatakse sõnastust. Süsteemist eraldatud seadmeks võib olla nn white PC arvuti, mis on küll süsteemi osa, aga ei ole ühendatud mitte ühe gi teise arvuti ega võrguga ning on mõeldud süsteemi siseneva teabe eelnevaks kontrolliks. 3 5 . 29. Uus tarkvara kontrollitakse enne süsteemis kasutusele võtmist süsteemiväliselt viiruse või muu pahavara avastamiseks ja kõrvaldamiseks. Võimaluse korral võrreldakse tarkvara räsi väärtust originaali andmetega. Nõuet muudetakse. L isatakse t ingimus, mille järgi võrreldakse võimaluse korral tarkvara räsi väärtust originaali andmetega. Räsi väärtus e kontrollimine on lihtne meetod, mis võimaldab võrrelda , kas tegu on sama failiga. Kui kasutusele võetava tarkvara ja originaali räsi väärtus on sama, siis võib olla kindel , et faili ei ole muudetud . Kui räsi väärtused ei ühti, võib sellel olla mitmeid põhjuseid, kuid halvimal juhul võib see tähendada, et originaal tarkvarale on lisatud viirus või muu pahavara . Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 3 6 . – Süsteemile tehakse regulaarse l t viirustõrje täiskontrolli . Uus nõue. Nõude eesmärk on kehtestada igas süsteemis kindel periood, mille jooksul viiakse läbi süsteemi täiskontroll. Mõistlik on teha täiskontroll iga v iirusetõrjeks kasutatavate signatuuride andmebaasi uuendamise järel. Sellega vähendatakse riski, et süsteemis olevast viirusest saadakse teada alles hiljem, ku i teabe salajasust, terviklust või käideldavust on juba rikutud . Nõue kajastab RSVKK § 105 lõike 6 punktis 2 kirjeldatud turvapõhimõtet, mille järgi peab toimuma süsteemi turvalisuse regulaarne kontroll. Nõude koostamisel on arvestatud ELi juhise nõudeid. 3 7 . – Süsteemis ava statud viirust või muu d pahavara käsitletakse kui intsidenti . Uus nõue. N õude eesmärk on tagada iga avastuse uurimine ning põhjuste väljaselgitamine. Lisaks tagatakse nõude järgimisega info jõudmine kõigi asutuste ni , kes pea vad sellest teadlikud olema (Kaitsepolitseiamet, riigi julgeoleku volitatud esindaja, Välisluureamet ) , ning teavitamise ühtne vorm . Terminit „intsident“ on õigusaktides kasutatud ebaühtlaselt, kuid üldiselt on hakatud eelistama terminit „ küberintsident “. Küberturvalisuse seaduse § 2 punkti 3 järgi on küberintsident süsteemis toimuv sündmus, mis võib ohustada või kahjustab süsteemi turvalisust. Seda seadust ei kohaldata aga salastatud teabe töötlemisele ega süsteemide pidamisele , mistõttu saab terminile tugineda vaid analoogia korras. Ühtaegu kattub intsident turvarikkega RSVKK § 104 punkti 7 tähenduses. Selle järgi on turvarike olukord, kus teave või selle kaitsmist toetavad süsteemitoimingud või -vahendid kaotasid või võisid kaotada varguse, sabotaaži, terrorismiaktide, muu lubamatu tegevuse või turvaaukud e tõttu salajasuse, tervikluse v õi käideldavuse (sh teabe kadumine, volitamata isikutele teatavakssaamine, volitamata isikute poolt muutmine või hävitamine või rünne süsteemi suhtes). Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 38 . – Viiruse või muu pahavara avastamiseks ette nähtud tarkvara kõiki teavitusi kontrollitakse regulaarselt. Uus nõue. N õude eesmärk on välistada võimalus, et mõni teavitus jääb tähelepanu ta ning seeläbi seadme nakatumine tuvastamata või muu oluline info saamata. Sellega vähendatakse riski, et süsteemis olevast viirusest või muust pahavarast saadakse teada alles hiljem, ku i teabe salajasust, terviklust või käideldavust on juba rikutud. Harilikult annab süsteem märku, kui viirusetõrje on midagi tuvastanud. Sellekohaseid teavitusi peab süsteemi eest vastutav isik regulaarselt kontrollima, et välja selgitada, kas tegu on intsidendi või lihtsalt anomaaliaga. Kui sageli vastutav isik selliseid teavituste kontrolle teeb, sõltub eelkõige süsteemi kasutamise intensiivsusest. Sagedus peab olema k ajastatud turvanõuete loetelus. Täpsem teavituste kontrolli kord sõltub süsteemist. Nõue on osa RSVKK § 105 lõike 6 punktis 2 kirjeldatud turvapõhimõtte rakendamisest, mille järgi peab toimuma süsteemi turvalisuse regulaarne kontroll. Konfiguratsioonihaldus 39 . 30. Süsteemis kasutatava riistvara üle peetakse arvestust. Nõuet ei muudeta. 4 0 . 31. Süsteemis kasutatava tarkvara üle peetakse arvestust. Nõuet ei muudeta. 4 1 . – Süsteemis kasutatakse autentsest allikast pärinevat tarkvara. Uus nõue. Nõude eesmärk on tagada, et teabe töötlemiseks kasutatav tarkvara oleks saadud autentsest allikast, näiteks tootjalt või ametlikult edasimüüjalt, avaliku lähtekoodiga tarkvara open source allikast. See vähendab tõenäosust, et tarkvara on nakatunud viiruse või pahavaraga, vananenud või uuendamata , mistõ tt u seda oleks võimalik kergemini rünnata ning teabe salajasust, terviklust või käideldavust rikkuda. Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 42. – Süsteemis kasutatav tarkvara on ajakohane, turvauuenduste toega ning seda uuendatakse regulaarselt. Tarkvara seadistatakse võimaluse korra l vastavalt tugevdamise juhistele. Uus nõue. Nõude eesmärk on tagada süsteemis kasutatava tarkvara ( kaasa arvatud baasvahetussüsteem i ehk BIOS jmt) ajakohasus. Sellega välditakse selliste turvavigade kogunemist süsteemis, mis võimaldaksid ründajal neid ära kasutada ning teabe salajasust, terviklust või käideldavust rikkuda . Tootja poolt välja antud tugevdamise (ingl k hardening ) juhised on hea alus tarkvara seadistamisel nii, et see oleks võimalikult turvaline. Nõude koostamisel on arvestatud NATO direktiivi ja ELi juhise nõudeid. 4 3 . 32. Süsteemi serverite ja tööjaamade riist - ja tarkvaraline konfiguratsioon dokumenteeritakse. Nõuet ei muudeta. Kui süsteemi konfiguratsioon on ajakohasena dokumenteeritud, on turvaintsidendi korral lihtsam süsteem uuesti töökorda seada. Dokumenteerida tuleb kõik süsteemi turvaseadistused, samuti kõik süsteemis kasutatavad rakendusteenused. Tarkvara tuleb kirjeldada koos versiooninumbritega. 4 4 . 33. Riist- ja tarkvara konfigureerib vastava eriõigusega kasutaja . Nõuet ei muudeta. 4 5 . – Riist- ja tarkvara konfigureeritakse minimaalse vajaliku funktsionaalsusega. Uus nõue. Nõude eesmärk on tagada , et süsteemis järgitakse RSVKK § 105 lõike 6 punktis 1 nimetatud minimaalsuse p õhimõt e t ning eemaldatakse funktsioonid, protokollid ja teenused, mida ei ole vaja teabe töötlemiseks või turvalisuse tagamiseks ning mis võiksid pakkuda ründajale võimalust neis olevaid haavatavusi ära kasutada. Nõude koostamisel on arvestatud ELi juhise nõudeid. 4 6 . 34. Riist- ja tarkvara vaikimisi salasõnad muudetakse esmasel kasutuselevõtul. Süsteemis ei kasutata riist- ja tarkvara, mille salasõnu ei ole võimalik muuta. Nõuet muudetakse. Nõuet täiendatakse tingimusega, et s üsteemis ei või kasutad a riist- ja tarkvara, mille salasõnu pole võimalik muuta. Sellega välistatakse võimalus, et ründaja saab talle teatavaks saanud salasõna abil süsteemi siseneda nin g teabe salajasust, terviklust või käideldavust rikkuda ilma, et süsteemi haldaja saaks seda salasõna muutes ära hoida. Ühtlasi võimaldab täpsustatud nõue täita nõuet nr 6, mille järgi on salasõnadel maksimaalne kehtivusaeg. Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 4 7 . 35. Serverite ja tööjaamade konfiguratsiooni vastavust dokumentatsioonile kontrollitakse regulaarselt. Kõigi sama tüüpi seadmete seadistamisel järgitakse samu aluskonfiguratsioone. Nõuet muudetakse. Nõuet täiendatakse tingimusega, et kõigi sama tüüpi seadmete seadistamisel järgitakse samu aluskonfiguratsioone. Sama tüüpi seadmete erinevad seadistused suurendavad vigade tegemise riski, samuti raskendavad süsteemi ja selles toimunud intsidentide dokumenteerimist. Ühelaadse seadistusega s ama tüüpi seadme tes ühtlustatakse kogu süstee mi turvalisuse taset ning tagatakse minimaalne vajalik turvalisus. Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 4 8 . – Süsteemi kuupäeva ja kellaaja õigsust jälgitakse regulaarselt. Süsteemi kõigi osade jaoks kasutatakse sama ajaallikat. Uus nõue. Nõude eesmärk on tagada logide omavaheline v õrreldavus, mille aluseks on ühise ajaallika kasutamine süsteemi s kõigis osade s . Kui süsteemi kellaaeg või kuupäev on vale , siis ei ole võimalik hiljem korrektselt tuvastada isikute toiminguid süsteemis. See muudab intsidentide lahendamise väga keerulis e ks, samuti raskendab süsteemi ja selles toimunud intsidentide dokumenteerimist. Nõude koostamisel on arvestatud ELi juhise nõudeid. 49 . – Süsteemis kasutatava riistvara välisühendust võimaldavad osad ning nende kasutamine või kasutamise tõkestamine kirjeldatakse süsteemi turvanõuete loetelus. Uus nõue. Nõude eesmärk on tagada, et töötleval üksusel on ülevaade, milliste liideste vahendusel (USB, raadioliidesed jm) on võimalik süsteemist välisühendusi luua , ning teadmine nendest tulenevate st võimalike st ohtudest . Erilist tähelepan u tuleb pöörata raadioliideste (WiFi, Bluetooth jm) kasutamisele , sest nende kasutamisel ei ole töötleval üksusel suure tõenäosusega võimalust omada täielikku kontrolli perimeetri üle . Terviklus 5 0 . 36. Süsteemis sisalduvast salastatud teabest säilitatakse ajakoha ne varukoopia. Nõuet ei muudeta. 5 1 . 37. Süsteemis sisalduva salastatud teabe varundamise sagedus, varukoopiate säilitusnõuded ja tähtajad ning j uurdepääsuõigused varukoopiatele sätestatakse süsteemi turvanõuete loetelus. Nõuet ei muudeta. Täiendav turbekorraldus 5 2 . 38. Süsteemi kasutajaid teavitatakse enne süsteemi kasutamist nende kohustustest süsteemi turvalisuse tagamisel. Nõuet ei muudeta. 5 3 . 39. 40. Süsteemi riistvara hooldatakse või parandatakse süsteemi sisemises turvakeskkonnas. Juhul , kui s üsteemi riistvara on vaja hoolda da või parandada väljaspool sisemist turvakeskkonda , tuleb kõik salastatud teavet sisaldada võivad komponendid riistvarast eemalda da . Nõuet sisuliselt ei muudeta. Nõu d e s ühendatakse senise d nõuded nr 39 ja 40 . 5 4 . – Süsteemi hooldamise ja parandamise tööd dokumenteeritakse. Uus nõue . Nõude eesmärk on tagada, et säiliks s üsteemis tehtud muudatuste ajalugu , millest saaks vajadusel tuvastada süsteemis tehtud muudatused ning nende tegemise aeg ja tegija. 55 . – Süsteemis tehakse pidevat seiret selle turvalisust ohustava tegevuse tuvastamiseks. Uus nõue. Seire on süsteemi muutuste pidev jälgimine mingi ajavahemiku jooksul. Nõude eesmärk on gi tagada, et kõigis süsteemides toimuvat seiratakse pidevalt . Näiteks kui viirustõrjetarkvara ei ole veel tuvastanud pahavara, aga sellegipoolest on toimunud pidev andmevahetus tuvastamata süsteemivälise üksusega, on pideva seire kaudu võimalik selliseid anomaaliaid tuvastada. Sellega vähendatakse riski, et ründaja tegevusest või intsidendi toimumisest saadakse teada alles hiljem, kui teabe salajasust, terviklikkust või käideldavust on juba rikutud. Hiline reageerimine võib kaasa tuua kahju suurenemise. Süsteemi turvalisuse kontroll ja regulaarsus peab olema kajastatud turvanõuete loetelus. Nõue kajastab RSVKK § 105 lõike 6 punktis 2 kirjeldatud turvapõhimõtet, mille järgi peab toimuma süsteemi turvalisuse regulaarne kontroll. Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 5 6 . – Süsteemis toimunud intsidente hallatakse vastavalt süsteemi turvanõuete rakendamise juhendis sätestatud korrale ning nende menetlemine dokumenteeritakse. Uus nõue. Nõude eesmärk on tagada, et intsidentide menetlemine ehk käsitlemine (ingl k incident handling ) aitab muu hulg a s vähendada tulevasi riske. Selleks tuleb intsidendist teha järeldusi, mis võimaldavad süsteemi turbetaset v õi teavitusprotsessi parendada. Dokumenteerimine võimaldab tagasiulatuvalt hinnata ründaja kasutatud tehnikat ja taktikat. Kinnisründeohu (ingl k advanced persistant threat ) puhul on väga oluline õppida ründajat tundma. See omakorda võimaldab süsteemi ja selles töödeldava teabe kaitset paremini korraldada ning olla abiks ka teiste süsteemide kaitse korraldamisel. 5 7 . 41. Õigus teisaldataval e salvestuskandjal e salastatud teavet salvestada on üksnes vastava eriõigusega kasutajal. Nõuet muudeta kse . Ka kehtiva määruse järgi tohib teisaldatavale salvestuskandjale teavet salvestada üksnes eriõigus t ega kasutaja, kuid seda nõuet kohaldatakse üksnes salajasel ja täiesti salajasel tasemel salastatud teabe süsteemile. Muude süsteemide puhul sellist piirangut ei ole. Teisaldatavate salvestuskandjate järjest laiem kasutamine on praktikas kaasa toonud õhuvahe (ingl k air gap ) ületamise ja infoleketega seotud intsidente. Muudetud nõude järgi kohaldatakse seda nõuet kõigil salastatuse tasemetel. 58. – Süsteemis ei kasutata otse tööjaamade vahel failide vahetamist võimaldavaid rakendusteenuseid. Uus nõue. Salastatud teave pea b liikuma eelkõige töötleva üksuse poolt kasutusele võetud ning akrediteeritud ja selleks ettenähtud juurdepääsuõiguste ja teadmisvajaduse kontrolli võimaldavate meetodite või rakendusteenuste vahendusel, mis tagavad ka vastavalt nõudele nr 28 rakendusteenuse kasutamise analüüsimiseks vajalikud andmed ning mida haldab üksnes eriõigustega kasutaja. Juhul kui süsteemis on vajadus rakendusteenuse järele, tuleb see kasutusele võtta serveril, mis aitab tagada teenuse ning selle vahendusel töödeldava teabe käideldavuse. Näiteks e-posti saatmise puhul käib dokument läbi e-posti serveri ja seega ei toimu faili vahetamist otse kahe tööjaama vahel ning selline rakendusteenus on lubatud. Lubatud ei ole aga dokumendi tõstmine ühest tööjaamast teise näiteks SSH, NFS või mõne muu sarnase rakendusteenuse abil. Nõuet sõnastades on arvestatud asjaoluga, et kasutaja tööjaama vahendusel on võimalik lihtsamini korraldada rünnet selleks, et pääseda juurde rakendusteenuse vahendusel töödeldavale teabele. Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 59. – Süsteemi haldamiseks kasutatakse üksnes selleks mõeldud ja hallatavatest kohtvõrkudest eraldi olevat kohtvõrku. Uus nõue. Nõude eesmärk on tagada, et süsteemi haldamise arvutivõrk oleks eraldatud kasutajate arvutivõrgust. Eraldi kohtvõrkude all peetakse silmas seda , et kohtvõrkudel on erinevad L ayer 2 seadmed (näiteks switch ’ id) . Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 60. – S üsteemi kõik k asutajad läbivad regulaarselt IT-turvalisuse ja teadlikkuse koolituse, mis sisaldab vähemalt e- posti turvalisust (kaasa arvatud õngitsemine), i nterneti turvalisust, mobiilsete seadmete turvalisust, andmete kaitset, pahavara, manipuleerimisvõtte i d ja organisatsiooni siseohte. Eriõigustega kasutajad läbivad lisaks süsteemi haldamisega seotud IT-turvalisuse koolituse vähemalt korra aastas. Uus nõue. Nõude eesmärk on tõsta kasutajate ning süsteemi haldajate üldist IT-turvalisuse teadlikkust ja hoida seda ajakohasena ning seeläbi vähendada intsidentide hulka, mis tulenevad kasutajate teadmatusest või oskuste puudumisest. Nõude koostamisel on arvestatud NATO direktiivi nõudeid. Arvutivõrgud 6 1 . 42. Koht- või laivõrku ühendatud seadmete üle peetakse ajakohast võrguskeemi. Nõuet ei muudeta. Võrguskeem on süsteemi erinevate komponentide graafiline esitus, mis näitab, kuidas nee d on üksteisega ühendatud. Minimaalselt peaks võrguskeem sisaldama järgnevaid komponente: serverid (sh virtuaalserverid), tööjaamad, printerid, IP-telefonid, võrguseadmed (tulemüürid, ruuterid, switch ’ id jne) ning nende oma vahelised võrguühendused . 6 2 . 43. Süsteemi sisemisest turvakeskkonnast väljuv salastatud teave krüpteeritakse nõuetele vastavate krüptomaterjalidega või kaitstakse muude Välisluureameti lubatud meetoditega volitamata juurd epääsu eest. Nõuet sisuliselt ei muudeta. Täpsus tatakse krüpteerimist puudutavat sõnastust. 6 3 . 44. Süsteemi ühendamisel teise süsteemiga on tagatud salastatud teabe kontrollitud liikumine (n äiteks ühesuunaline lüüs, tulemüür, sissetungi avastamise tarkvara) süsteemide vahel. Nõuet sisuliselt ei muudeta. 6 4 . – Süsteemi perimeetri kaitse vahendite seadistused dokumenteeritakse. Uus nõue. Süsteemi p erimeetri kaitse vahendid on näiteks tulemüürid ja paketifiltrid . Nõude eesmärk on kindlustada, et süsteemi perimeetri kaitse vahendite seadistused oleksid dokumenteeritud. See võimaldab süsteemi üle järel e valvet tegevatel isikutel kergemini seadistusi tuvasta da ja kontrollida. Ühtlasi vähendab nõue seadistamisega kaasnevat töökoormust juhul, kui perimeetri kaitse vahendi riistvara tõrgete korral võetakse kasutusele asendusriistvara. 6 5 . – Süsteemi perimeetri kaitse vahendid ei tohi asuda nende poolt kaitstavate virtuaalserveritega sama s füüsilise s serveri s . Uus Nõue . Juhul, k ui süsteemi perimeetri kaitse vahenditega kaitstakse virtuaalservereid, ei tohi need asuda virtuaalserveri te ga sama s füüsilise s serveri s . Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 66. – Süsteemi perimeetri kaitse vahendite toimimist testitakse pärast nende paigaldamist ja seadistamist. Testi tulemused dokumenteeritakse. Uus nõue. Nõude eesmärk on tagada perimeetri kaitse vahendite korrektne seadistus ning veenduda seadistuse toimimises. Sellega tagatakse, et kõik mittevajalikud liidesed on blokeeritud ning lubatud on üksnes süsteemi tööks vajalikud liidesed. Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 67. – Süsteemi skaneeritakse vähemalt korra aastas selle haavatavuse tuvastamiseks . Uus nõue. Skaneerimine on süsteemi automaatne läbiuurimine mingil ajahetkel. Nõude eesmärk on tõsta süsteemi omaniku teadlik k ust süsteemi seisukorrast, aidata tuvastada süsteemi haavatavus t ning seeläbi kiirendada selle parandamist. Nõude koostamisel on arvestatud NATO direktiivi ja ELi juhise nõudeid. 68. – Süsteemi osaks olevad erineva kasutusotstarbega seadmed on eraldi kohtvõrkudes. Uus nõue. Nõude eesmärk on raskendada külgrünnet ( lateral movement ) ning vähendada ühe kasutusotstarbega seadmegrupi riskide kandumist teise kasutusotstarbega seadmegrupile. Erineva kasutusotstarbega seadmete all peetakse silmas näiteks telefoniseadmeid ( Voice over IP ehk VOIP ), salvestusseadmeid, servereid, tööjaamu jms . Samas süsteemis piisab võrkude eraldamiseks ka virtuaalse kohtvõrgu ( vlan ) abil erineva kasutusotstarbega seadmegruppide e raldamisest eraldi virtuaalsetesse kohtvõrkudesse. Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 69. 45. Süsteem on eraldatud i nternetist. Nõuet ei muudeta. Piiratud tasemel salastatud teabe töötlemiseks mõeldud süsteemi puhul ei pea süsteem olema i nternetist eraldatud . 70. – Süsteemi lubatud ühendused i nternetti dokumenteeritakse nn valge nimekirja na . Uus nõue. Nõude eesmärk on vähendada võimalusi andmete edastamiseks süsteemist t eabe töötlemiseks keskkonda, mis ei ole selleks ette nähtud, ning raskendada kasutaja tööjaam a ründaja poolset kaughaldamist, millega võiks rikkud a teabe salajasust, terviklust või käideldavust. N õude kirjeldamisel on arvestatud ka asjaoluga, et süsteemis kasutusel olev tarkvara (n äiteks pahavaratõrje tarkvara, operatsioonisüsteem, kontoritarkvara jms) võib juba vaikeseadistuses süsteemis töödeldavat teavet iseseisvalt välisesse keskkonda edastada . Sellega tuleb arvestada ka hilisemal nõude rakendamisel, et l ubataks näites toodud tarkvara l otse tootjaserverisse ühendusi luua. Ühtlasi on nõude kirjeldamisel arvestatud asjaolu ga, et kasutaja tööjaama üle võib ründaja kontrolli saavutada ka veebilehitsemise või e-posti manuse avamise tulemusena, tavapäraselt võidakse proovida kasutaja tööjaama kaughallata kasutaja tööjaamast ründaja juhtserverisse ( ingl k command and control server ) ühenduse loomise abil. Nõude rakendamine vähendab seda võimalust oluliselt . Valge nimekir ja ( ingl k whitelist ) all on mõeldud üksnes lubavaid ühendusi loetlevat filtreerimisvahendit. Nõuet ei saa kohaldada internetiga ühendamata süsteemile, s.t süsteemile, milles töödeldakse konfidentsiaalsel või kõrgemal tasemel salastatud teavet. Nõude koostamisel on arvestatud NATO direktiivi ja ELi juhise nõudeid. 7 1 . – Jaostunneldust ei kasutata. Uus nõue. Nõude eesmärk on tagada , et tööjaama ühendus i nternetiga on võimaldatud üksnes ajal , mil tööjaamas ei töödelda salastatud teavet. Nõude järgimine muudab tööjaama arvutivõrgu kaudu juhtival ründajal keerulisemaks salastatud teabele juurdepääsemise, kuna salastatud teavet töötlevat tööjaama ei ole töötlemise aj al võimalik aktiivselt juhtida. Nõuet ei saa kohaldada internetiga ühendamata süsteemile, s.t süsteemile, milles töödeldakse konfidentsiaalsel või kõrgemal tasemel salastatud teavet. Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 7 2 . – Süsteemis kasutatakse turvalise e-posti lüüsi, mis pakub pahavara ja rämpsposti kaitset süsteemi perimeetril. Uus n õue . Nõude eesmärk on muuta e-posti teel saadetavate sõnumite edastamist turvalisemaks, et vältida pahavara või rämpsposti sattumist süsteemi . Nõuet ei saa kohaldada internetiga ühendamata süsteemile, s.t süsteemile, milles töödeldakse konfidentsiaalsel või kõrgemal tasemel salastatud teavet. Nõude koostamisel on arvestatud NATO direktiivi nõudeid. 3. Eelnõu terminoloogia ja vastavus Euroopa Liidu õigusele Eelnõus ei ole kasutatud uusi termineid. Eelnõu ei sõltu Euroopa Liidu õigusest, sest riigi julgeoleku tagamine (millest üks osa on ka riigisaladuse kaitse), on liikmesriigi ainupädevuses. Siiski on eelnõu koostamisel arvestatud ELi juhis e nõudeid ning selle abil ühtlustatud salastatud välisteabe ja riigisaladuse töötlemiseks kasutatavatele süsteemidele esitatavaid nõudeid. 4. Määruse mõjud Määrusega ei kaasne sotsiaalset, sealhulgas demograafilist mõju, samuti ei mõjuta see majandust, elu- ja looduskeskkonda, regionaalarengut, välissuhteid ega oma muud otsest või kaudset mõju. Muudatustega korrastatakse elektroonilist teabeturvet reguleeriv õigusakt, muutes salastatud teabe t öötlemiseks kasutatavate süsteemide turvanõudeid nii, et need vastaksid kaasaegsetele julgeolekuohtudele. Uuendatud turvanõuete rakendamisega täidetakse RSVS i §-s 1 sätestatud eesmärki tagada riigi julgeolek ja välissuhtlemine, kaitstes salastatud teavet avalikuks tuleku ja juurdepääsuõiguseta isikule teatavaks saamise eest. Seega on määrusel otsene mõju riigi julgeolekule. Kuna eelnõuga lisatakse uusi nõudeid, siis sõltuvalt teabevaldajate senisest töökorraldusest võib olla muudatustel mõju salastatud teavet valdavate riigiasutuste ja kohaliku omavalitsuse üksuste korraldusele. T egemist on väheolulise mõjuga, sest kuigi võib ilmneda vajadus juurutada uu si töö protsess e , on paljud tegevused automatiseeritavad või ei tule neid üldjuhul kuigi sagedasti täita . 5. Määruse rakendamisega seotud tegevused, vajalikud kulud ja määruse rakendamise eeldatavad tulud Määrus e rak endamisega kaasneb kulu juhul, kui süsteemi on vaja uute nõuetega vastavusse viimiseks arendada . Kulu suurus sõltub süsteemist – selle komponentide arvust ja kasutusintensiivsusest. Väga väikese süsteemi korral (näiteks süsteemi moodustab ühe arvutiga kohtvõrk) võib kulu jääda suurusjärku tuhat eurot. Kui on tegemist suure ja keerulise süsteemiga, siis võib kulu kerkida kuni paar i sa j a tuhande euroni. Rahaliselt kõige kulukam on tagada nõuetekohane logide säilitamine . Esiteks tuleb kõiki logisid kauem säilitada. Teiseks tuleb muudatuste kohaselt edaspidi logida ka rakendusteenuseid ning korraldada logide analüüsimine. Arvestatav a kulu toob endaga kaasa ka kaabelduse eristami ne, kuid siinkohal gi kehtib reegel, et väiksemate süsteemide korral on reaalse kulu suurus minimaalne. Määruse rakendamiseks tuleb arendada süsteemide tehnilisi lahendusi ning muuta süsteemide turvadokumentatsiooni (süsteemi turvanõuete loetelu ning turvanõuete rakendamise juhend) . Muudatused ja kaasnev dokumentatsioon tuleb kooskõlastada Välisluureametiga , kes väljastab selle tulemusel vastavussertifikaadi või ajutise kasutusloa . 6. Määruse jõustumine Määrus jõustub üldise s korras . Kuna muudatustel on otsene positiivne mõju riigi julgeolekule, siis ei ole a s jakohane nende rakendumist pikemalt edasi lükata. Kui on tegemist suure ja keerulise süsteemiga, mille n õuete ga vastav usse viimine eeldab rohkem ressurssi, siis on võimalik koostöös Välisluureametiga kokku leppida konkreetses tegevusplaanis ning teha muudatused järk-järgult. Lisaks tuleb arvestada, et e nne määruse jõustumis t antud vastavussertifikaadid ja ajutised kasutusload kehtivad kuni nende kehtivuse tähtaja lõpuni. 7. Eelnõu kooskõlastamine Eelnõu esitatakse eelnõude infosüsteemi kaudu kooskõlastamiseks Riigikantseleile ja ministeeriumidele ning arvamuse avaldamiseks Välisluureametile, Kaitseväele , Kaitseressursside Ametile , Riigi Kaitseinvesteeringute Keskusele ja Kaitseliidule. (allkirjastatud digitaalselt) Jüri Luik Minister KAVAND 09.05.2019 Kaitseministri määrus „Arvutite ja kohtvõrkude kaitse nõuded“ Lisa Arvutite ja kohtvõrkude kaitse nõuded Nr Nõude kirjeldus Süsteemis töödeldava teabe kõrgeim salastatuse tase K onfidentsiaalne/ salajane/ täiesti salajane P iiratud Identimine ja autentimine 1. Peetakse nimekirja süsteemi kõigist volitatud kasutajatest. Jah Jah 2. S üsteemi igal volitatud kasutajal on kasutajakonto, millele juurdepääsuks kasutatakse unikaalset kasutajatunnust ja salasõna või Välisluureameti poolt heaks kiidetud muid meetodeid. Jah Jah 3. Süsteemi kasutajatele kasutusõiguste andmise, muutmise ja lõpetamise üle peetakse arvestust. Kasutaja kasutusõigus t e lõpeta misel kasutajakontot ei kustutata, vaid deaktiveeritakse esimesel võimalusel . Jah Jah 4. Salasõna süsteemile juurdepääsuks on teada üksnes kasutajale. Jah Jah 5. Salasõnal on miinimumpikkus. Jah, 1 5 tähemärki Jah, 1 5 tähemärki 6. Salasõnal on maksimaalne kehtivusaeg. Jah, 180 päeva Jah, üks aasta 7. Salasõnal on minimaalne kehtivusaeg. Jah, üks päev Jah, üks päev 8. Salasõnas peab sisalduma suur ja väike täht ning erimärk või number. Jah Jah 9. 24 varem kasutuses olnud salasõna kasutamine on keelatud. Jah Jah 10. Salasõna muudetakse viivitamat a süsteemi turvarikke või salasõna volitamata isikute valdusse sattumise või sellekohase kahtluse ning esmase salasõna korral . Jah Jah 11. Juhul , kui salasõnu säilitatakse, hoitakse neid suletud läbipaistmatus ja volitamata isikute avamise kindlas ümbrises, mis asub hoiukohas, mis vastab vastava tasemega salastatud teabekandjate hoiukohale seatud tingimustele , või elektrooniliselt Välisluureameti poolt heaks kiidetud krüpteerimismeetodiga krüpteerituna . Jah Jah 1 2 . Eriõigustega kasutaja konto ning muu süsteemi haldamisega seotud konto kasutajatunnust, salasõna ja muud autentimiseks vajalikku teavet s äilitat a kse , hoides neid suletud läbipaistmatus ja volitamata isikute avamise kindlas ümbrises, mis asub hoiukohas, mis vastab vastava tasemega salastatud teabekandjate hoiukohale seatud tingimustele , või elektrooniliselt Välisluureameti poolt heaks kiidetud krüpteerimismeetodiga krüpteerituna. Sala sõnade hoi d mise ja kasutamise protseduur o n kirjeldatud süsteemi turvanõuete loetelus. Jah Jah 1 3 . Internetiga ühendatud süsteemi le juurdepääsuks kasutatakse vähemalt kahe faktorilist kasutajate autentimist. – J ah 1 4 . Süsteem blokeerib kasutajakonto automaatselt pärast kolme edutut autentimiskatset vähemalt 30 minutiks. Jah Jah 1 5 . Süsteem teavitab kasutajat autentimise ebaõnnestumise põhjustest minimaalses võimalikus ulatuses. Jah Jah Teabele juurdepääs 16 . Süsteem võimaldab juurdepääsu vaid sellisele salastatud teabele, mille suhtes süsteemi kasutajal on põhjendatud teadmisvajadus ja juurdepääsuõigus . Töö- või teenistusülesandest tuleneva teadmisvajaduse muutumisel eemaldatakse eelnevast ülesandest tulenevad liigsed juurdepääsu õigused ning täiendatakse juurdepääsuõigusi vastavalt uue le ülesande le . Jah Jah 1 7 . Süsteemi haldamiseks kasutab eriõigustega kasutaja eraldi isikustatud eriõigustega kasutaja kontot. Jah Jah 1 8 . Seansi alustamisel ilmub kuvarile teade süsteemi nime ning süsteemi s töödelda lubata va teabe sala statuse kõrgeima taseme kohta. Jah Jah 19 . Kui süsteemi ei kasutata 15 minutit või vähem, katkeb juurdepääs teabele automaatselt ning süsteem lukustab ekraani . Jah Jah 2 0 . Süsteem võimaldab kasutajal katkestada teabele juurdepääs u , s eal h ulgas lukustada ekraani . Jah Jah 2 1 . Süsteemi salastatud teavet töötlevale füüsilisele osale paigaldatakse selle volitamata avamise tuvastamist võimaldav unikaalse numbriga vahend ja selgelt loetav märgistus süsteemis töödeldava teabe salastatuse taseme kohta. Jah Jah 2 2 . Süsteemi kaabeldus on ühenduskohtades visuaalselt eristatav ja tuvastatav ning kirjeldatud süsteemi turvanõuete loetelus . Jah Jah Logimine 2 3 . Süsteem salvestab süsteemi kasutamise analüüsiks vajaliku info (s eal h ulgas käivitamine ja sulgemine, kasutaja sisenemine ja väljumine, muudatused kasutajate või kasutajagruppide kasutajaõigustes, muudatused logiinformatsiooni seadistustes, kellaaja ja kuupäeva muutmine ja ebaõnnestunud katsed süsteemi siseneda, võrguühendused, teabe üleviimine välisele teabekandjale). Jah Jah 2 4 . Süsteem salvestab salastatud teabe töötlemiseks kasutatava rakendusteenuse kasutamise analüüsiks vajaliku info (s eal h ulgas rakendusteenuse käivitamine ja sulgemine, kasutaja sisenemine ja väljumine, rakendusteenuse tõrked, suuremahulised konfiguratsioonimuudatused, info teabe edastamise kohta , muudatused kasutajate või kasutajagruppide kasutajaõigustes, rakendusteenuses eriõiguste kasutamine ning muutmine). Jah Jah 2 5 . Süsteemis ja rakendusteenuses logitakse igakordne salastatud teabe töötlemine. Jah Ei 2 6 . Logiinformatsiooni kirje sisaldab sündmuse toimumise kuupäeva, kellaaega, liiki ja märget sündmuse õnnestumise või ebaõnnestumise kohta ning seob kasutajanime selle olemasolul logitava sündmusega. Jah Jah 2 7 . Eelnevates punktides nimetatud süsteemi logiinformatsioon säilitatakse. Jah, vastavalt viis/viis/kümme aastat Jah, kolm aastat 28 . Juurdepääs logiinformatsioonile on vastava eriõigusega kasutajal . Jah Jah 29 . Süsteem võimaldab logiinformatsioonist raportite ja väljavõtete tegemist. Jah Jah 30 . Süsteemi logiinformatsiooni varukoopiat säilitatakse väljaspool süsteemi. Jah Jah 31 . Süsteemi logiinformatsiooni varundamise sagedus, varukoopiate säilitusnõuded ja juurdepääsuõigused varukoopiatele sätestatakse süsteemi turvanõuete loetelus. Jah Jah Pahavaratõrje 3 2 . Viiruse või muu pahavara avastamiseks ette nähtud tarkvara on installeeritud kõigisse serveritesse ja tööjaamadesse ning konfigureeritud viisil, kus kontrollimine toimub automaatselt. Jah Jah 3 3 . Viiruse või muu pahavara avastamiseks ja tõrjeks ette nähtud tarkvara uuendatakse regulaarselt . Jah Jah 3 4 . Süsteemi sisenev teave kontrollitakse (võimalusel süsteemist eraldatud seadmega ) viirus t e või muu pahavara avastamiseks ja tõrjeks enne teabega tutvumist (s eal h ulgas enne faili avamist). Jah Jah 3 5 . Uus tarkvara kontrollitakse enne süsteemis kasutusele võtmist süsteemiväliselt viiruse või muu pahavara avastamiseks ja kõrvaldamiseks. Võimaluse korral võrreldakse tarkvara räsi väärtust originaali andmetega. Jah Jah 3 6 . Süsteemile tehakse regulaarse l t viirustõrje täiskontrolli . Jah Jah 3 7 . Süsteemis avastatud viirust või muu d pahavara käsitletakse kui intsidenti . Jah Jah 38 . Viirus e või muu pahavara avastamiseks ette nähtud tarkvara kõiki teavitusi kontrollitakse regulaarselt . Jah Jah Konfiguratsioonihaldus 39 . Süsteemis kasutatava riistvara üle peetakse arvestust. Jah Jah 40 . Süsteemis kasutatava tarkvara üle peetakse arvestust. Jah Jah 4 1 . Süsteemis kasutatakse autentsest allikast pärinevat tarkvara. Jah Jah 42 . Süsteemis kasutatav tarkvara on ajakohane, turvauuenduste toega ning seda uuendatakse regulaarselt. Tarkvara seadistatakse võimaluse korra l vastavalt tugevdamise juhistele. Jah Jah 4 3 . Süsteemi serverite ja tööjaamade riist - ja tarkvaraline konfiguratsioon dokumenteeritakse. Jah Jah 4 4 . Riist- ja tarkvara konfigureerib vastava eriõigusega kasutaja . Jah Jah 4 5 . Riist- ja tarkvara konfigureeritakse minimaalse vajaliku funktsionaalsusega. Jah Jah 4 6 . Riist- ja tarkvara vaikimisi salasõnad muudetakse esmasel kasutuselevõtul. Süsteemis ei kasutata riist- ja tarkvara, mille salasõnu ei ole võimalik muuta. Jah Jah 4 7 . Serverite ja tööjaamade konfiguratsiooni vastavust dokumentatsioonile kontrollitakse regulaarselt. Kõigi sama tüüpi seadmete seadistamisel järgitakse samu aluskonfiguratsioone. Jah Jah 4 8 . Süsteemi kuupäeva ja kellaaja õigsust jälgitakse regulaarselt. Süsteemi kõigi osade jaoks kasutatakse sama ajaallikat. Jah Jah 49 . Süsteemis kasutatava riistvara välisühendust võimaldavad osad ning nende kasutamine või kasutamise tõkestamine kirjeldatakse süsteemi turvanõuete loetelus. Jah Jah Terviklus 5 0 . Süsteemis sisalduvast salastatud teabest säilitatakse ajakoha ne varukoopia. Jah Jah 5 1 . Süsteemis sisalduva salastatud teabe varundamise sagedus, varukoopiate säilitusnõuded ja -tähtajad ning juurdepääsuõigused varukoopiatele sätestatakse süsteemi turvanõuete loetelus. Jah Jah Täiendav turbekorraldus 5 2 . Süsteemi kasutajaid teavitatakse enne süsteemi kasutamist nende kohustustest süsteemi turvalisuse tagamisel. Jah Jah 5 3 . Süsteemi riistvara hooldatakse või parandatakse süsteemi sisemises turvakeskkonnas. Juhul , kui süsteemi riistvara on vaja hooldada või parandada väljaspool sisemist turvakeskkonda, tuleb kõik salastatud teavet sisaldada võivad komponendid riistvarast eemaldada. Jah Jah 5 4 . Süsteemi hooldamise ja parandamise tööd dokumenteeritakse. Jah Jah 55. Süsteemis tehakse pidevat seiret selle turvalisust ohustava tegevuse tuvastamiseks. Jah Jah 5 6 . Süsteemis toimunud intsident e hallatakse vastavalt süsteemi turvanõuete rakendamise juhendis sätestatud korrale ning nende menetlemine dokumenteeritakse. Jah Jah 5 7 . Õigus teisaldatavale salvestuskandjale salastatud teavet salvestada on üksnes vastava õigusega kasutajal. Jah Jah 5 8 . Süsteemis ei kasutata otse tööjaamade vahel failide vahetamist võimaldavaid rakendusteenuseid. Jah Jah 59 . Süsteemi haldamiseks kasutatakse üksnes selleks mõeldud ja hallatavatest kohtvõrkudest eraldi olevat kohtvõr ku . Jah Jah 60 . S üsteemi kõik kasutajad läbivad regulaarselt IT-turvalisuse ja -teadlikkuse koolituse, mis sisaldab vähemalt e- posti turvalisust (k aasa arvatud õngitsemine), i nterneti turvalisust, mobiilsete seadmete turvalisust, andmete kaitset, pahavara, manipuleerimisvõtte i d ja organisatsiooni siseohte. Eriõigustega kasutajad läbivad lisaks süsteemi haldamisega seotud IT-turvalisuse koolituse vähemalt korra aastas. Jah Jah Arvutivõrgud 61 . Koht- või laivõrku ühendatud seadmete üle peetakse ajakohast võrguskeemi. Jah Jah 62 . Süsteemi sisemisest turvakeskkonnast väljuv salastatud teave krüpteeritakse nõuetele vastavate krüptomaterjalidega või kaitstakse muude Välisluureameti lubatud meetoditeg a volitamata juurdepääsu eest. Jah Jah 6 3 . Süsteemi ühendamisel teise süsteemiga on tagatud salastatud teabe kontrollitud liikumine (n äi t eks ühesuunaline lüüs, tulemüür, sissetungi avastamise tarkvara) süsteemide vahel. Jah Jah 6 4 . Süsteemi perimeetri kaitse vahendite seadistused dokumenteeritakse. Jah Jah 6 5 . Süsteemi perimeetri kaitse vahendid ei tohi asuda nende poolt kaitstavate virtuaalserveritega sama s füüsilise s serveri s . Jah Jah 6 6 . Süsteemi perimeetri kaitse vahendite toimimist testitakse pärast nende paigaldamist ja seadistamist. Testi tulemused dokumenteeritakse. Jah Jah 6 7 . Süsteemi skaneeritakse vähemalt korra aastas selle haavatavuse tuvastamiseks . Jah Jah 68. Süsteemi osaks olevad erineva kasutusotstarbega seadmed on eraldi kohtvõrkudes. Jah Jah 6 9 . Süsteem on eraldatud i nternetist. Jah Ei 70 . S üsteemi lubatud ühendused i nternetti dokumenteeritakse nn valge nimekirja na . – Jah 71 . Jaostunneldust ei kasutata. – Jah 7 2 . Süsteemis kasutatakse turvalise e - posti lüüsi, mis pakub pahavara ja rämpsposti kaitset süsteemi perimeetril. – Jah Kui tabelis on märgitud „Jah“, siis tuleb nõue t kohalda da . Kui tabelis on märgitud „Ei“, siis ei pea nõuet kohaldama. Kui tabelis on märgitud „ – “, siis ei saa nõuet kohaldada. EELNÕU 09 .0 5 .2019 KAITSEMINISTER MÄÄRUS Arvutite ja kohtvõrkude kaitse nõuded Määrus kehtestatakse riigisaladuse ja salastatud välisteabe seaduse § 39 lõike 2 punkti 3 alusel. § 1. Määruse reguleerimisala M ääruses sätestatakse elektroonilise teabeturbe nõuete loetelu, mida kohaldatakse s alastatud teabe töötlussüsteemi (edaspidi süsteem ) osaks oleva le a rvuti le ja kohtvõrgu le ning süsteemi eriõigus t ega kasutaja le , eesmärgiga tagada süsteemis töödeldava teabe käideldavus, salajasus ja terviklus. § 2. Nõuded arvuti le ja kohtvõr gule (1) Nõuded arvuti le ja kohtvõ rgule on esitatud määruse lisas. (2) M ääruse lisas esitatud nõuetest võib teha erandeid üksnes juhul, kui nõude täitmata jätmisest tulenevad riskid on ära toodud süsteemi riskianalüüsis, seda kompenseerivad meetmed on kirjeldatud süsteemi turvanõuete loetelus ning Välisluureamet on need süsteemi akrediteerimisel heaks kiitnud. ( 3 ) Kui määruse lisas esitatud nõude täitmine nõuab töötlevalt üksuselt regulaarseid toiminguid, peab nende sagedus olema kirjeldatud süsteemi turvanõuete loetelus ning vastama süsteemi kasutusintensiivsusele. § 3. Nõuded eriõigus t ega kasutajale (1) Piiratud tasemel riigisaladuse töötlemiseks akrediteeritud süst eemi eriõigus t ega kasutajal peab olema vähemalt konfidentsiaalse l taseme l riigisaladuse le juurdepääsu luba. (2 ) Konfidentsiaalsel ja kõrgemal tasemel riigisaladuse töötlemiseks akrediteeritud süsteemi eriõigus t ega kasutajal peab olema vähemalt süsteemis töödeldava teabe kõrgeima l salastatuse taseme l riigisaladuse le juurdepääsu luba . (3) Salastatud välisteabe töötlemiseks akrediteeritud süsteemi eriõigus t ega kasutaja puhul tuleb lisaks lõigetes 1 ja 2 sätestatule arvesta d a salastatud välisteabe avaldaja poolt ettenähtud nõudeid . (4 ) Eriõigus t ega kasutaja vahetumisest teavitatakse viivitamata kirjalikult Välisluureametit ja Kaitsepolitse i ametit. § 4. Määruse kehtetuks tunnistamine Kaitseministri 21. detsembri 2007. a määrus nr 34 „ Arvutite ja kohtvõrkude kaitse nõuded“ tunnistatakse kehtetuks. § 5. Määruse rakendamine Enne määruse jõustumist antud vastavussertifikaadid ja ajutised kasutusload kehtivad nende kehtivuse tähtaja lõpuni . (allkirjastatud digitaalselt) Jüri Luik Minister (allkirjastatud digitaalselt) Kristjan Prikk Kantsler Lisa : Arvutite ja kohtvõrkude kaitse nõuded EISi teade Eelnõude infosüsteemis (EIS) on algatatud kooskõlastamine. Eelnõu toimik: KAM/19-0474 - Arvutite ja kohtvõrkude kaitse nõuded Kohustuslikud kooskõlastajad: Haridus- ja Teadusministeerium; Rahandusministeerium; Justiitsministeerium; Maaeluministeerium; Kultuuriministeerium; Riigikantselei; Sotsiaalministeerium; Siseministeerium; Majandus- ja Kommunikatsiooniministeerium; Keskkonnaministeerium; Välisministeerium Kooskõlastajad: Arvamuse andjad: Kooskõlastamise tähtaeg: 10.06.2019 23:59 Link eelnõu toimiku vaatele: https://eelnoud.valitsus.ee/main/mount/docList/78ffb26a-bc1a-42c3-8a5a-deecba83945e Link kooskõlastamise etapile: https://eelnoud.valitsus.ee/main/mount/docList/78ffb26a-bc1a-42c3-8a5a-deecba83945e?activity=1 Eelnõude infosüsteem (EIS) http://eelnoud.valitsus.ee/main