Seoses Digiriigi Akadeemia õppekeskkonna hankelepinguga

Ando Leppiman Majandus- ja Kommunikatsiooniministeerium E-post: [email protected] Suur-Ameerika 1, Meie 27.05.2022 nr 11-19/777-1 Tallinn, 10122 Eesti Vabariik Seoses Digiriigi Akadeemia õppekeskkonna hankelepinguga Austatud kantsler Ando Leppiman Tallinna Tehnikaülikooli (edaspidi TalTech või täitja) ja Majandus- ja Kommunikatsiooniministeeriumi (MKM või tellija) vahel sõlmiti 11.11.2020 hankeleping Digiriigi Akadeemia õppekeskkonna ning viie e-kursuse loomiseks (edaspidi hankeleping). Hankelepingu kohaselt oleme 2022 esimeseks kvartaliks üle andnud 5 Digiriigi Akadeemia e- kursust ning peame tagama edaspidise keskkonna toimimise lepingu perioodi jooksul. Seoses mitmete asjaolude ilmnemisega on selgunud vajadus täiendavatele tegevustele, mis on seotud Infosüsteemide kolmeastmelise etalonturbe süsteemi (ISKE) vastavusauditi tähelepanekute ja soovitustega kui ka keskkonna turvatestimise läbiviimisega. Hankedokumendi Lisa 5 „Digiriigi Akadeemia e-keskkonna ärinõuded“ peatüki „XI Mittefunktsionaalsed ja tehnilised nõuded“ kohaselt peab rakendus olema kooskõlas isikuandmete kaitse regulatsiooniga, sealhulgas: • tuleb töödelda isikuandmeid viisil, mis tagab nende turvalisuse, kaitseb loata või ebaseadusliku töötlemise eest ning juhusliku kadumise, hävimise või kahjustumise eest, rakendades asjakohaseid tehnilisi või korralduslikke meetmeid (Isikuandmete kaitse seaduse § 14 punkt 6); • vastutav ja volitatud töötleja kohustub rakendama organisatsioonilisi ja tehnilisi turvameetmeid isikuandmete kaitseks, et ära hoida isikuandmete omavoliline sisestamine ja säilitatavate isikuandmetega tutvumine, nende muutmine või kustutamine (Isikuandmete kaitse seaduse § 43 punkt 3); Riigi Infosüsteemi Ameti (RIA) ohu- ning olukorrahinnangutele tuginedes on Ukraina valitsusasutuste vastu suunatud küberründed (sh enne sõjalise rünnaku algust) sisaldanud hävitusvara ründeid, mis on kustutanud või muutnud kasutuskõlbmatuks kasutajate andmeid. RIA hinnangul on Eesti ja teiste lääneriikide jaoks küberohu tase küllalt suur, sest Ukrainale häälekalt toetust avaldanud, abi saatnud ja Venemaale ranged sanktsioonid kehtestanud riigid võivad kättemaksus eraldi sihtmärgiks sattuda. Lisaks on murettekitavad võimalikud ründed Digiriigi Akadeemia õppeplatvormile tooksid kaasa mainekahju, sh MKM-le kui laiemalt Eesti e-riigi mainele. RIA on andnud asutustele soovituse pöörata ennetavalt erilist tähelepanu süsteemide turvalisuse TALLINNA TEHNIKAÜLIKOOL Ehitajate tee 5 Tel 620 2002 19086 Tallinn E-post [email protected] Rg-kood 74000323 www.taltech.ee tugevdamisele (kasutajate andmete kaitseks) ning rakendada parimaid praktikaid küberriskide maandamiseks. Sõltumata Hankedokumendi punktist 5.13, mille kohaselt on keskkonna ülesseadmine, haldamine, töös hoidmine ja jooksvad vajalikud uuendused (nt Moodle uuendused jm) täitja ülesandeks kuni lepinguperioodi lõpuni, mis peab sisalduma pakkumise hinnas, on käesoleval juhul tegemist täitja ning tellija kui hoolsa hankija jaoks ettenägematute asjaoludega, millega ei olnud võimalik riigihanke läbiviimisel ning pakkumuse esitamisel arvestada ning mis omakorda nõuavad täiendavaid arendustöid olemasolevas süsteemis. Kuna Riigihangete seaduse § 123 lg 1 punkti 4 kohaselt on hankijal õigus sõlmitud hankelepingut muuta uut riigihanget korraldamata, kui muudatuse põhjustavad hoolsale hankijale ettenägematud asjaolud, kusjuures hankelepingu üldist olemust ei muudeta ja ühegi muudatuse väärtus ei ületa 50 protsenti hankelepingu algsest maksumusest siis on mõistlik rakendada olemasoleva lepingu mahu suurendamist täiendavate tööde võrra. Lisaks on Riigihangete seaduse § 123 lg 1 punkti 3 kohaselt on hankijal õigus osta samalt pakkujalt täiendavaid teenuseid, mille järele on hankijal tekkinud vajadus ja mida riigihanke alusdokumendid ei sisaldanud, juhul kui pakkuja vahetamine põhjustaks hankijale olulist ebamugavust või märkimisväärseid lisakulusid ega oleks majanduslikel või tehnilistel põhjustel võimalik tulenevalt teenuste asendatavuse või koostoimimise vajadusest, kusjuures ühegi muudatuse väärtus ei ületa 50 protsenti hankelepingu algsest maksumusest. Eelolevast lähtuvalt, teeb täitja ettepaneku muuta Hankelepingu punkti 7.1 ning Hankelepingu Lisa 5 „Teenuse osutamise eelarve“ viimaks läbi ISKE vastavusaudit ning teostamaks turvatestimine ja vajalikud arendustööd turvalise andmevahetuse tagamiseks Digiriigi Akadeemia ning teiste keskkondade vahel (vt nimekirja Lisa 1). Täiendavate tööde teostamine tagaks täitja hinnangul hanke raames loodud õppematerjalide ja tehnilise lahenduse funktsionaalsuste nõuetekohase töö lepingu perioodi jooksul ning lepingu lõpus üleandmisel (Hankedokumendi punkt 5.4); Muudatus ja planeeritavad tööd ei mõjuta lepingu eset, milleks on jätkuvalt viie Digiriigi Akadeemia e-kursuse loomine ja nende ületõstmine riigipilve koos toimiva Riigi autentimisteenusega (tehnilise nimega TARA), kursustega seotud andmekorje ja Digiriigi Akadeemia veebikeskkonna haldamine lepingu lõpuni. Täitja teeb käeolevaga ettepaneku vastavasisulise hankelepingu muudatuse algatamiseks ja pakub, et tellija võiks läbi rääkida täpsemalt planeeritavad tööd, hinnata tööde maht ja koostada ajakava tööde teostuseks. Täitja ootab tellija vastust hiljemalt 7. juuniks 2022. Lugupidamisega (allkirjastatud digitaalselt) Sven Illing ettevõtlusprorektor Lisatud juurde Lisa 1 Täiendavate tööde nimekiri LISA 1 Digiriigi Akadeemia kursuste täiendavate tööde nimekiri ISKE vastavusaudit, sh: • Keskkonnaga seotud tähelepanekud ja soovitused, võimalike riskikohtade loetelu ning lisameetmete soovitused riskide leevendamiseks, ennetamiseks või aktsepteeritaval jääkriski tasemel hoidmiseks. • Nimekiri auditeeritud meetmetest tüüpmoodulite kaupa, nende infoturbe nõuetele vastavus või mittevastavus koos kommentaaridega. • Audiitori ülevaade rakendamata ja/või osaliselt rakendamata turvameetmetest, mille mitte rakendamisest ja/või osalisest mitte rakendamisest tulenevad kõrge riskiastmega riskid infosüsteemi pidamisel. Keskkonna turvatestimine, sh: • Kasutajate horisontaalne ja vertikaalne õiguste ületamise turvatestimine, testides ja hinnates metoodiliselt kõiki potentsiaalseid turvavigu ning tuues need testiraportis detailselt välja koos võimalike lahenduste ja soovitustega. • Automaatne testimine koos turbetestide tulemiga, sh peavad koosmõjud olema turbetestija poolt käsitsi üle valideeritud (testitavad süsteemid ei pruugi automaatsete vahenditega testimisel tõepäraseid tulemusi anda). 2.0 arendusvajadused • Digiriigi Akadeemia (DA) kursuste jm õpisisu eraldamine • Õpiradade / rollide kategooriad • Kursuse sisututvustuse loomine • Lisalugemise pesa • Õpianalüütika ja andmevahetus teiste keskkondadega • Õpitulemuste jagamine • Mitmekeelse menüü funktsioon (lisaks EE ka EN / RU) Täpsemad tööde kirjeldused ja spetsifikatsioonid saab välja pakkude läbirääkimiste käigus.