Andmete muutmise avaldus

ANDMETE MUUTMISE AVALDUS Käesoleva avalduse esitamisega taotleb isik või asutus enda kohta sertifitseerimise registrisse kantud andmete muutmist. Avalduse esitaja kinnitab, et kõik avaldusse märgitud andmed on tõesed. TEENUSE OSUTAJA Guardtime AS 11313216 nimi või nimetus registrikood TEENUSE OSUTAJA KONTAKTANDMED Tammsaare tee 60, Tallinn, Harju maakond, Eesti 1 1 3 1 6 tänav või küla, maja, korter, linn või vald, maakond, riik postiindeks 655 5097 655 5714 [email protected] telefon faks e-post 2 registrikood sertifitseerimise registris MUUDATUS(T)E SISU lisada sertifitseerimise registrisse jargnevad Guardtime AS sertifikaadid; h1_key2_selfsigned.pem h2_key2_selfsigned.pem h3_key2_selfsigned.pem h4_key2_selfsigned.pem ; h5_key2_selfsigned.pem lisada sertifitseerimise registrisse Guardtime AS aasta 2014 auditi tulemused Muudatuste jõustumise kuupäev: 2 7 0 4 2 0 1 5 kuupäev (pp.kk.aaaa) TEENUSE OSUTAJA ESINDAJA 4 8 2 0 6 1 4 2 2 1 4 Karin Kivimae Eesti isikukood eesnimed perekonnanimi Volitatud esindaja ametinimetus TEENUSE OSUTAJA ESINDAJA KONTAKTANDMED 1 1 3 1 6 tänav või küla, maja, korter, linn või vald, maakond, riik postiindeks 655 5097 655 5714 [email protected] telefon faks e-post AVALDUSELE LISATUD DOKUMENDID teenuse osutamise põhimõtted digitaalne paberkandjal infosüsteemi auditi tulemused digitaalne paberkandjal kinnitus võlgade puudumise kohta, mis seavad ohtu teenuse osutamise paberkandjal lehek. arv / faili suurus x digitaalsed sertifikaadid/failinimed; h1_key2_selfsigned.pem; h2_key2_selfsigned.pem; h3_key2_selfsigned.pem; h4_key2_selfsigned.pem/h5_key2_selfsigned.pem muud dokumendid (dokumendi nimi, paberkandjal / digitaalne, lehek. arv / faili suurus) HALDUSAKTI VÕI MUU DOKUMENDI KÄTTETOIMETAMISE VIIS posti teel väljastusteatega tähtkirjaga posti teel väljastusteatega lihtkirjaga elektrooniliselt Avaldus esitatud: 2 7 0 4 2 0 1 5 kuupäev (pp.kk.aaaa) teenuse osutaja seadusliku esindaja allkiri TÄIDAB AVALDUSE MENETLEJA Menetlusse võetud: kuupäev (pp.kk.aaaa) ametniku nimi, allkiri ! ! ! ! ! ! ! ! Guardtime*AS*ajatempliteenuse*audit** ! ! ! ! ! 30.04.2014! Daniel!Tikkerbär,!CISA! Janek!Part! * * FocusIT(OÜ( Guardtime!AS!ajatempliteenuse!audit! ! 30.04.2014!! Guardtime*AS*ajatempliteenuse*auditi*raport* Tellija:!Guardtime!AS;! Täitjad:!infosüsteemide!sertifitseeritud!audiitor!Daniel!Tikkerbär!ja!konsultant!Janek!Part;! Käesolev!audit!on!teostatud!ajavahemikul!01.03.2014!kuni!30.04.2014.a.,!Tallinnas.! Kokkuvõte* Auditi! läbiviimise! nõue! tuleneb! digitaalallkirja! seaduse! paragrahv! 26! punktist! 2,! mille! kohaselt! on! ajatempliteenuse! osutaja! kohustatud! igal! aastal! sertifitseerimise! riiklikku! registrisse! kandmise! kuupäevaks! tagama! infosüsteemi! auditi! teostamise! ning! esitama! auditi! tulemused! sertifitseerimise! riikliku!registri!volitatud!töötlejale.! Audiitorite!eesmärgiks!oli!läbi!viia!Guardtime!AS!infosüsteemi!audit!vastavalt!TeedeOja!sideministri!3.! oktoobri! 2000.a.! määrusele! nr.! 83! ajatempliteenuse! osutamiseks! vajalikus! ulatuses.! Määrus! reguleerib! teenuse! osutaja! infosüsteemi! auditeerimist,! eesmärgiga! määrata! kindlaks! infosüsteemi! kasutuskõlblikkus!ning!vastavus!õigusaktidega!kehtestatud!nõuetele!ja!normidele.! Auditi! käigus! hinnati! Guardtime! AS! infotehnoloogilist! keskkonda! ajatempliteenuse! osutamiseks! vajalikus! ulatuses.! Audiitorite! arvamuse! kohaselt! annab! läbiviidud! audit! piisava! aluse! arvamuse! avaldamiseks!Guardtime!AS!infosüsteemi!kohta.! Audiitori*otsus* Guardtime! AS! ajatempliteenuse! osutajana! vastab! infotehnoloogilises! mõistes! digitaalallkirja! seadusega! kehtestatud! nõuetele! ning! on! suuteline! tagama! seadustele! ja! seaduste! alusel! antud! õigusaktidele! vastava! usaldusväärse! ajatempliteenuse.! Puudusi! tuvastati! infoturbe! haldussüsteemi! juhtimise!(ISMS1)!nõuete!täitmises.! Teatavaid! puudujääke! tuvastas! audit! TeedeO! ja! sideministri! 3.! oktoobri! 2000.! a! määruse! nr! 83! „Teenuse!osutajate!infosüsteemide!auditeerimise!kord“!§!15!lõike!8!osas.!Määrus!viitab!muuhulgas! kehtetule! standardile! EVSOISO/IEC! 13335,! mille! järgmise! versioonina! oli! Eesti! Standardikeskus! märkinud!EVSOISO/IEC!27005:2009,!ning!millele!vastavust!auditi!käigus!kontrolliti.!Audiitori!hinnangul! ei! ole! Guardtime! AS! vajalikul! määral! järginud! standardis! EVSOISO/IEC! 27005:2009! kehtestatud! põhimõtteid,!mis!võib!ohtu!seada!organisatsiooni!toimepidevuse.!Antud!mittevastavus!ei!tähenda,!et! puudub!vastavus!määruses!viidatud!kehtetus!standardis!EVSOISO/IEC!13335!seatud!nõuetele.!! Audiitor!on!seisukohal,!et!Guardtime!AS:!! • töökorraldus! vastab! suures! osas! TeedeOja! sideministri! 3.! oktoobri! 2000.a.! määruses! nr! 83! „Teenuse!osutajate!infosüsteemide!auditeerimise!kord“!esitatud!nõuetele;! • infosüsteem! ajatempliteenuse! osutamisel! vastab! TeedeOja! sideministri! 3.! oktoobri! 2000.a.! määruses!nr!83!„Teenuse!osutajate!infosüsteemide!auditeerimise!kord“!esitatud!nõuetele.! Audiitori*soovitus* SOOVITUS( 1:! Vastavalt! standardis! EVSOISO/IEC! 27005:2009! esitatud! nõuetele! peab! GT! oma! riskihalduse! protsessi! formaliseerima! 14.10.2014! kuupäevaks! ja! tellima! seejärel! EVSOISO/IEC! 27005:2009!alajaotus!7!„KONTEKSTI!LOOMINE„!järelauditi.! !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! 1 !ISMS!–!Information!Security!Managment!System! 2!/!13! ! FocusIT(OÜ( Guardtime!AS!ajatempliteenuse!audit! ! 30.04.2014!! SOOVITUS( 2:! Vastavalt! Cobit! 5! redaktsioonis! esitatud! nõuetele! peab! GT! oma! riskihalduse! protsessi! formaliseerima! 14.10.2014! kuupäevaks! ja! tellima! seejärel! protsesside! „EDM03! –! Riski! optimeerimine“!ja!„APO12!O!Riskijuhtimine“!järelhindamise.! ! Allkirjastatud!digitaalselt! Daniel!Tikkerbär!! Janek!Part! ! ! ! 3!/!13! ! FocusIT(OÜ( Guardtime!AS!ajatempliteenuse!audit! ! 30.04.2014!! ! Sisukord( Kokkuvõte!...........................................................................................................................................!2! Audiitori!otsus!.....................................................................................................................................!2! Audiitori!soovitus!................................................................................................................................!2! 1.! Sissejuhatus!.................................................................................................................................!5! 1.1.! Auditi!eesmärk!ja!alus!...............................................................................................................!5! 1.2.! Kasutatud*dokumendid!..........................................................................................................!5! 1.3.! Auditi!teostamine!.....................................................................................................................!6! 1.4.! Mõisted!.....................................................................................................................................!6! 2.! Nõuded,!leiud,!hinnangud!ja!järeldused!......................................................................................!7! 2.1.! Kvaliteetne!ja!turvaline!teenus!.................................................................................................!7! 2.2.! Vastavus!õigusaktidele!..............................................................................................................!7! 2.3.! Põhjendused*punkti*2.2*mittevastavustele!...........................................................................!8! 2.4.! Vastavus*ajatembelduspõhimõtetele!.....................................................................................!8! 2.5.! Digitaalallkirja*seaduse*kohustuste*täidetus!........................................................................!8! 2.6.! EVSDISO/IEC*12207!.................................................................................................................!8! 2.7.! EVSDISO/IEC*TR*13335*ja*EVSDISO/IEC*27005!.....................................................................!8! Tuvastatud!mittevastavus!...............................................................................................................!8! 2.8.! EVS*ISO/TR*13569!..................................................................................................................!9! 2.9.! COBIT!.......................................................................................................................................!9! Tuvastatud!mittevastavused!.........................................................................................................!10! 2.10.! Spetsiifilised*nõuded*ja*muud*tehnilised*normid,*ETSI*TS*102*023!...............................!10! Lisa!1.!Kinnitus!auditi!toimumise!kohta!antud!ajavahemikul!............................................................!12! Lisa!2.!Kinnitus!audiitori!sõltumatuse!ja!sertifikaadi!kohta!...............................................................!13! ! ! 4!/!13! ! FocusIT(OÜ( Guardtime!AS!ajatempliteenuse!audit! ! 30.04.2014!! 1. Sissejuhatus* 1.1.Auditi*eesmärk*ja*alus* Audiitori! eesmärgiks! oli! läbi! viia! Guardtime! AS! (edaspidi! tekstis! GT)! infosüsteemi! audit! vastavalt! TeedeOja! sideministri! 3.! oktoobri! 2000.a.! määrusele! nr.! 83! ajatempliteenuse! osutamiseks! vajalikus! ulatuses.! Määrus! reguleerib! teenuse! osutaja! infosüsteemi! auditeerimist,! eesmärgiga! määrata! kindlaks! infosüsteemi! kasutuskõlblikkus! ning! vastavus! õigusaktidega! kehtestatud! nõuetele! ja! normidele.!! 1.2.Kasutatud*dokumendid* • Digitaalallkirja!seadus:!https://www.riigiteataja.ee/akt/13314840! • Teenuse! osutajate! infosüsteemide! auditeerimise! kord:! https://www.riigiteataja.ee/akt/83481! • Sertifitseerimise!registri!põhimäärus!https://www.riigiteataja.ee/ert/act.jsp?id=13243661! • Guardtime!Key!Management!Policy! • Internal!IT!Security!Policy!Purpose! • Key!Inventory! • Organizational!Security!Policy! • The!Guardtime!Standard!IT!Operational!Procedures! • Core!Service!Integrity!Policy!Purpose! • Coreavailability!O!High!Availability!KSI!Core!Service!Architecture! • gt_core_qa_2014!–!Tuumaga!seotud!küsimused!ja!vastused! • GTattvect!–!Confidentiality,!Integrity!and!Availability!matrix!table! • InfraHasherKeyRolloverProcedure!–!Infra!Hasher!Key!Rollover!Procedure! • InfraHsmInstallProcedure!–!Infra!HSM!Install!Procedure! • MonitoringIncidentManagement!!O!Monitoring!Incident!Management! • Guardtime!training!programs! • KSISysAdmin_131122_MarkKrutz_signed!O!Certied!KSI!System!Administrator!Certificate! • SecurityPolicy_2013! • Certification!of!Timestamp!O!Electronic!Timestamp!Certificate! • ProtectServer_External__EN__PB_v4_May32013!–!ProtectServer!External!PRODUCT!BRIEF! ! ! * * 5!/!13! ! FocusIT(OÜ( Guardtime!AS!ajatempliteenuse!audit! ! 30.04.2014!! 1.3.Auditi*teostamine* Audit!toimus!ajavahemikul!01.03.2014!kuni!30.04.2014.a.!!! Käesoleva! auditi! käigus! uuriti! teenuse! korraldust! ja! dokumentatsiooni,! intervjueeriti! võtmeisikuid,! hinnati!teenuse!osutamise!vastavust!ajatembelduspõhimõtetele!ja!õigusaktides!kehtestatud!nõuete! täitmist.! Samuti! analüüsiti! valikuliselt! GT! IT! protsesside! küpsustaset! COBIT! metoodikast! lähtuvalt.! Lõplikud! järeldused! ja! soovitused! GT! ajatempliteenuse! osutamise! kohta! on! toodud! käesolevas! raportis.!* 1.4.Mõisted* ! Aruandes!kasutatavad!terminid!põhinevad!ISO/IEC!18014O1!ja!ISO/IEC!10118!standarditel.! Ajatempel! on! tehniliste! ja! organisatsiooniliste! vahendite! süsteemi! abil! moodustatud! andmete! kogum,!mis!tõendab!mingi!andmekogumi!olemasolu!kindlal!ajahetkel.! Ajatempliteenus! on! digitaalallkirja! seaduse! mõistes! kompleksteenus,! jagunedes! kaheks! erinevaks! osateenuseks:! 1)!ajatemplite!väljaandmine;! 2)!välja!antud!ajatemplite!kontrollimiseks!tingimuste!loomine.! ! * * 6!/!13! ! FocusIT(OÜ( Guardtime!AS!ajatempliteenuse!audit! ! 30.04.2014!! 2. Nõuded,*leiud,*hinnangud*ja*järeldused* Audit! läbiviimiseks! formuleeriti! kontrolliülesanded! (edaspidi! tekstis! kursiivis)! TeedeOja! sideministri! 03.10.2000!määruse!nr!83!"Teenuse!osutajate!infosüsteemide!auditeerimise!kord"!paragrahvides!15! ja!16!toodud!nõuete!alusel.!Välja!on!jäetud!ajatempliteenuse!osutajale!mittekohandatavad!nõuded.! 2.1.Kvaliteetne*ja*turvaline*teenus* Kontrollitakse,- kas- GT- on- rakendanud- asjakohast- professionaalset- hoolikust- kvaliteetse- ja- turvalise- teenuse-tagamiseks.- GT!eesmärgiks!on!pakkuda!ülemaailmselt!kasutatavat!turvalist!ajatempliteenust.!GT!on!loonud!oma! eesmärgi! saavutamiseks! organisatsioonilise! struktuuri,! mis! kasutab! koostööpartnereid! teenuse!! osutamisel.!GT!on!kehtestanud!tunnustatud!standarditele!vastavad!juhised!arendustöö!korraldamise,! süsteemi! halduse,! turvalisuse! tagamise! ja! teenuse! kasutamise! kohta.! Juhendites! toodud! nõuded! kajastuvad!partneritega!sõlmitud!lepingutes!ning!nende!täitmist!jälgitakse.!Teenuse!tarkvara!arendus! toimub! üldtunnustatud! metoodikaid! järgides.! GT! on! sõlminud! ajatempliteenuse! infotehnoloogilise! infrastruktuuri! majutamiseks! lepingud! selleks! vajalikult! sertifitseeritud! firmadega.! Partnerfirmade! poolt!pakutavat!tegelikku!Teenuse!taset!jälgitakse!ning!vajadusel!võetakse!ette!tegevused!tagamaks! klientidele!turvaline!ja!kvaliteetne!teenindamine.! GT! on! klientide! teenindamiseks! ja! õpetamiseks! käivitanud! partnerprogrammi,! kuhu! on! koondatud! teenuse! käivitamiseks! ja! käigushoidmiseks! vajalikud! juhendO! ning! koolitusmaterjalid.! Teenuse! kvaliteedi!tagamiseks!sertifitseeritakse!klientide!töötajaid!ja!tooted.!! Audiitori! hinnangul! võimaldavad! GT! personalipoliitika,! töökorraldus! ja! infotehnoloogiline! keskkond! GTOl!osutada!kvaliteetset!ja!turvalist!ajatempliteenust.! 2.2.Vastavus*õigusaktidele* Kontrollitakse- GT- infosüsteemi- vastavust- - "Digitaalallkirja- seadusele",- "Isikuandmete- kaitse- seadusele",- "Andmekogude- seadusele"- ja- teiste- õigusaktidega- kehtestatud- ning- ülalnimetatud- määruse-paragrahvi-16-nõuetele.- GT! ajatemplite! andmiseks! ning! kontrollimiseks! tehtavad! toimingud! ning! kasutatavad! tehnilised! lahendused!tagavad!infosüsteemi!vastavuse!kehtivatele!õigusaktidele.!Infosüsteemi!kasutatakse!vaid! selleks! ette! nähtud! otstarbeks.! On! võetud! tarvitusele! abinõud! (dubleerimine,! nõuded! tarnijatele! ja! partneritele,! vastavad! halduse! ja! taaste! protseduurid),! et! süsteem! oleks! töökindel! ning! kogu! kasutatav! tarkvara! oleks! usaldusväärne! ja! seaduslik.! Süsteemis! toimunud! teenuse! osutamisega! seotud! tegevusi! on! tagantjärele! võimalik! kontrollida! keskselt! kogutud,! ajatembeldatud! ja! arhiveeritud! logide! alusel.! Infosüsteem! tagab! ajatembeldamise! ööpäevaringselt! ühe! sekundilise! intervalliga! maailmaaja! (UTC)! alusel.! Infosüsteem! koos! organisatsiooniliste! vahenditega! välistab! suure! tõenäosusega! teenuse! osutaja! teeskluse,! võltsajatemplite! aktsepteerimise! ja! ajatemplite! võtmise!taotletavast!ajahetkest!hilisemale!või!varasemale!ajale.! Audiitorite! hinnangul! GT! infotehnoloogiline! keskkond! ja! teenuse! osutamiseks! loodud! tarkvara! on! vastavuses!kehtivate!õigusaktidega.! GT!infosüsteem!vastab!ülalnimetatud!määruse!paragrahvis!16!toodud!täpsustatud!nõuetele.! 7!/!13! ! FocusIT(OÜ( Guardtime!AS!ajatempliteenuse!audit! ! 30.04.2014!! 2.3.Põhjendused*punkti*2.2*mittevastavustele* Kontrollitakse-GT-infosüsteemi-mittevastavuse-olulisust-õigusaktides-toodud-nõuetele.- Audit!ei!tuvastanud!punkti!2.2!kontrollides!mittevastavausi.! 2.4.Vastavus*ajatembelduspõhimõtetele* Kontrollitakse- GT- infosüsteemi,- sealhulgas- organisatsiooni- ja- töökorralduse- vastavust- dokumenteeritud-ajatembelduspõhimõtetele.- GT! organisatsiooni! ja! töökorraldust! on! edasi! arendatud! kooskõlas! sertifitseerimise! riiklikus! registris! avaldatud!ajatembelduspõhimõtetega.!Paralleelselt!ajatempleid!väljastava!infosüsteemi!haldamisega! toetab!GT!kliente!nende!infosüsteemide!kohandamisel!ajatemplite!küsimiseks!ja!kontrollimiseks.! Audiitori! hinnangul! vastavad! GT! infosüsteem,! ajatempliteenuse! osutamiseks! loodud! organisatsioon! ja!töökorraldus!dokumenteeritud!ajatembelduspõhimõtetele.! 2.5.Digitaalallkirja*seaduse*kohustuste*täidetus* Kontrollitakse-GT-kohustuste-täidetust-vastavalt-digitaalallkirja-seadusele.- Audiitori! hinnangul! vastab! Guardtime! AS! digitaalallkirja! seaduse! §25! punktis! 1! ja! §26! esitatud! kriteeriumitele! ning! on! võimeline! täitma! §28! loetletud! ajatempliteenuse! osutaja! kohustusi! kvaliteetse!ja!turvalise!teenuse!tagamiseks!vajalikus!ulatuses.! 2.6.EVSIISO/IEC*12207* Kontrollitakse-GT-infosüsteemi-vastavust-standardile-EVSHISO/IEC-12207.-- Kontrolliti!vastavust!standardi!EVSOISO/IEC!12207!osale!7.4!„Koolitusprotsess“!O!GT!koolitusprotsess! on! suunatud! klientidele! ehk! integraatoritele.! Lähtuvalt! sellest! protsessist! koolitatakse! ka! uusi! ja! olemasolevaid!töötajaid.!! Audiitorite!hinnangul!järgib!GT!nimetatud!protsessi!osas!standardis!esitatud!põhimõtteid.! 2.7.EVSIISO/IEC*TR*13335*ja*EVSIISO/IEC*27005* Kontrollitakse-GT-infosüsteemi-turbe-vastavust-standardile-EVSHISO/IEC-TR-13335H1,2,3.- ! Kontrollimise! käigus! selgus,! et! standard! EVSOISO/IEC! TR! 13335! ja! selle! osad! on! kehtetud.! Eesti! Standardikeskus! on! märkinud! standardi! EVSOISO/IEC! TR! 13335! järglaseks! EVSOISO/IEC! 27005:2009! standardi2.! Kontrollimise! aluseks! võeti! standardist! EVSOISO/IEC! 27005:2009! alajaotus! 7! „KONTEKSTI! LOOMINE„.! Tuvastatud*mittevastavus* Nõue% 7.1!Üldisi!kaalutlusi! !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! 2 !O!vt!http://www.evs.ee/tooted/evsOisoOiecO27005O2009.!! EVSOISO/IEC!27005:2009!eelmine!versioon:!EVSOISO/IEC!TR!13335O3:1999;!EVSOISO/IEC!TR!13335O4:2000! 8!/!13! ! FocusIT(OÜ( Guardtime!AS!ajatempliteenuse!audit! ! 30.04.2014!! Tuleks! luua! kontekst! infoturvariski! halduseks,! sealhulgas! kehtestada! infoturvariski! halduseks! vajalikud!aluskriteeriumid!(7.2),!määratleda!käsitlusala!ja!piirid!(7.3)!ning!rajad!sobiv!organisatsioon! infoturvariski!halduse!sooritamiseks.!! Olukord% GT! on! rakendatud! mitteformaalset! riskihalduse! metoodikat,! mis! EVSOISO/IEC! TR! 13335! järgi! on! aktsepteeritav!tegevus!ja!vastab!standardi!nõuetele.!EVSOISO/IEC!27005!standard!nõuab!juhindumist! formaalset! riskihalduse! protsessist.! Käesoleval! hetkel! pole! GT! oma! riskijuhtimise! protsessi! formaalsele! kujule! viinud.! ! Kuna! GTOs! juhindutakse! täna! riskihalduse! kontekstis! mitteformaalselt! metoodikast,! siis! sõltub! riskijuhtimise! kvaliteet! eelkõige! hindaja! kompetentsist.! Seoses! sellega,! et! alates! 2011! aastast! on! GTOi! juhtinud! kolm! erinevat! juhti! ei! saa! audiitorid! kindlad! olla,! et! kõikide! käsitlusalade!riskid!on!piisaval!määral!kaetud!ja!maandatud!ning!riskidega!tegeletakse.! Hinnang% Audiitorite!hinnangul!ei!ole!GT!vajalikul!määral!järginud!standardis!kehtestatud!põhimõtteid.!Antud! mittevastavus!võib!ohtu!seada!GT!toimepidevuse.! Ettepanek% Vastavalt! standardis! esitatud! nõuetele! peab! GT! oma! riskihalduse! protsessi! formaliseerima! 14.10.2014! kuupäevaks! ja! tellima! seejärel! EVSOISO/IEC! 27005! alajaotus! 7! „KONTEKSTI! LOOMINE„! järelauditi.! Guardtime%AS%vastus% Guadtime! AS! on! audiitori! ettepanekuga! nõus,! kuid! soovib! siduda! riskihalduse! protsessi! formaliseerimise! ja! auditeerimise! tähtaja! TeedeO! ja! sideministri! 3.! oktoobri! 2000.! a! määruse! nr! 83! „Teenuse!osutajate!infosüsteemide!auditeerimise!kord“!muutmisega,!mille!puhul!ajakohastatakse!ka! auditeerimise!alusstandardid.! 2.8.EVS*ISO/TR*13569* Kontrollitakse-GT-infosüsteemi-turbe-vastavust-standardile-EVS-ISO/TR-13569.- Kontrolliti! GT! infotehnoloogilise! keskkonna! vastavust! standardi! EVS! ISO/TR! 13569:2006! peatükile! 6! „INFOTURBE!HALDUS.!TURBEKAVA”.! ! Infoturbekava!väljatöötamise,!käigushoiu,!täiustamise!ja!seire!protsessid!on!GT!dokumenteeritud!ja! juurutatud! vajalikul! määral.! Kasutustel! on! erinevad! vahendid! intsidentide! tuvastamiseks! ning! avastatud! intsidente! analüüsitakse! ning! dokumenteeritakse.! Juurutatud! ning! dokumenteeritud! on! vajalik!eskaleerumise!protsess!avariiolukorraks.!! ! Audiitorite!hinnangul!on!GT!järginud!standardis!esitatud!nõudeid!vajalikus!ulatuses. 2.9.COBIT* Kontrollitakse- GT- infosüsteemi- vastavust- materjalile- «COBIT- Auditi- suunised,- aprill- 1998,- 2.- redaktsioon.-Infosüsteemide-auditi-ja-juhtimise-fondi-väljaanne.»- Võrreldes! auditeerimist! reguleeriva! määruse! loomise! ajaga! on! praeguseks! hetkeks! toimunud! mitmekordsed!uuendused!ja!asjakohane!COBIT!versioon!oli!auditi!teostamise!ajal!5!.!Seoses!sellega! 9!/!13! ! FocusIT(OÜ( Guardtime!AS!ajatempliteenuse!audit! ! 30.04.2014!! kasutati!käesoleva!auditi!läbiviimisel!detailsemal!küpsustasemete!ja!vastavuse!hindamisel!nimetatud! COBIT!redaktsiooni.! 2014! auditi! käigus! vaadeldi! ITOga! seotud! eesmärgi! „ITRG! 10! Andmeturve,! taristu! ja! rakenduste! käitamine“!raames!CobitOi!protsesse!EDM03,!APO12,!APO13,!BAI06,!BAI10!ja!DSS02.!!! Audiitorite! hinnangul! on! GT! küpsustase! ettevõtte! suurusest! tulenevalt! piisav! täitamaks! COBITOi! protsesside!APO13,!BAI06,!BAI10!ja!DSS02!poolt!püstitatud!nõudeid.! Tuvastatud*mittevastavused* Protsesside%„EDM03%–%Riski%optimeerimine“%%ja%„APO12%F%Riskijuhtimine“%eesmärgid.% EDM03!.1!–!Riski!lävi!on!ettevõttes!defineeritud!ja!teadvustatud!ning!ITOga!seotud!riskid!on!teada.! EDM03.2!–!Juhitakse!kriitilisi!ITOga!seotud!ettevõtte!riske.!! EDM03.3!–!ITOga!seotud!riskid!ei!ületa!ettevõtte!riski!lävi!ja!IT!riskide!mõju!ettevõtte!väärtusele!on! tuvastatud!ja!hallatud.! APO12.1!–!ITOga!seotud!riskid!on!teada,!analüüsitud,!juhitud!ja!dokumenteeritud.! APO12.2!–!Koostatud!on!ajakohane!ja!täielik!riskiprofiil.! APO12.3!–!Kõik!tähtsamad!riskijuhtimise!tegevused!on!tehtud!ja!kontrollitud.! Olukord% GT! on! rakendatud! tänase! päevani! mitteformaalset! riskihalduse! metoodikat.! Cobit! 5! redaktsioon! nõuab! juhindumist! formaalset! riskihalduse! protsessist.! Sellest! tulenevalt! pole! GTOs! täidetud! protsesside!„EDM03!–!Riski!optimeerimine“!!ja!„APO12!O!Riskijuhtimine“!poolt!seatud!eesmärgid.! Hinnang% Audiitorite! hinnangul! ei! ole! GT! vajalikul! määral! järginud! Cobit! 5! redaktsiooni! poolt! kehtestatud! põhimõtteid! protsesside! EDM03! ka! APO12! osas.! Antud! mittevastavus! võib! ohtu! seada! GT! toimepidevuse.!! Ettepanek% Vastavalt!Cobit!5!redaktsioonis!esitatud!nõuetele!peaks!GT!oma!riskihalduse!protsessi!formaliseerima! 14.10.2014!kuupäevaks!ja!tellima!seejärel!protsesside!„EDM03!–!Riski!optimeerimine“!!ja!„APO12!O! Riskijuhtimine“!järelauditi.! Guardtime%AS%vastus% Guadtime!AS!on!audiitori!ettepanekuga!nõus,!kuid!soovib!siduda!riskihalduse!protsessi! formaliseerimise!ja!auditeerimise!tähtaja!TeedeO!ja!sideministri!3.!oktoobri!2000.!a!määruse!nr!83! „Teenuse!osutajate!infosüsteemide!auditeerimise!kord“!muutmisega,!mille!puhul!ajakohastatakse!ka! auditeerimise!alusstandardid.! 2.10. Spetsiifilised* nõuded* ja* muud* tehnilised* normid,* ETSI* TS* 102* 023* Kontrollitakse- GT- infosüsteemi- vastavust- spetsiifilistele- ajatempliteenuse- osutamisega- seotud- nõuetele.- 10!/!13! ! FocusIT(OÜ( Guardtime!AS!ajatempliteenuse!audit! ! 30.04.2014!! Kontrolliti! GT! infosüsteemi! vastavust! standardi! ETSI! TS! 102! 023! “Policy! requirements! for! timestamping!authorities”!osa!„7.1.2!TSA!disclosure!Statement,!7.2!Key!management!life!cycle,!7.2.1! TSA!key!generation,!7.2.2!TSU!private!key!protection”!nõuetele.! Audiitorite!hinnangul!on!GT!täielikult!järginud!nimetatud!standardis!toodud!häid!tavasid,!juhindudes! samas!Eestis!kehtivast!seadusandlusest.! ! Allkirjastatud!digitaalselt!! Daniel!Tikkerbär! Janek!Part! !! 11!/!13! ! FocusIT(OÜ( Guardtime!AS!ajatempliteenuse!audit! ! 30.04.2014!! Lisad** * Lisa*1.*Kinnitus*auditi*toimumise*kohta*antud*ajavahemikul** ! Vastavalt! TeedeOja! sideministri! 03.10.2000! määruse! nr! 83! "Teenuse! osutajate! infosüsteemide! auditeerimise! kord"! paragrahvis! 19! punktile! 1! kinnitab! Guardtime! AS,! et! käesoleva! raporti! aluseks! olnud! infosüsteemi! audit! viidi! läbi! infosüsteemide! sertifitseeritud! audiitori! Daniel! Tikkerbär! ja! konsultandi!Janek!Part!poolt!ajavahemikus!01.03.2014!kuni!30.04.2014.a.!! ! ! Gustav!Poola! Juhatuse!liige!! Guardtime!AS!! ! ! ! ! 12!/!13! ! FocusIT(OÜ( Guardtime!AS!ajatempliteenuse!audit! ! 30.04.2014!! Lisa*2.*Kinnitus*audiitori*sõltumatuse*ja*sertifikaadi*kohta* ! Kinnitame!oma!sõltumatust!Guardtime!ASOist!vastavalt!TeedeOja!sideministri!03.10.2000!määruse!nr! 83! "Teenuse! osutajate! infosüsteemide! auditeerimise! kord"! paragrahvis! 5! esitatud! audiitori! sõltumatuse!nõudele.!! Kinnitame! samuti,! et! Daniel! Tikkerbär! omab! auditi! läbiviimise! ajal! kehtinud! infosüsteemide! sertifitseeritud!audiitori!(CISA)!sertifikaati:! Daniel! Tikkerbär! –! sertifikaadi! nr.! 0978204,! mis! on! välja! antud! Infosüsteemide! Auditi! ja! Juhtimise! Assotsiatsiooni!poolt!15.!oktoobril!2009.!a.!! ! Allkirjastatud!digitaalselt!! ! Audiitor:!Daniel!Tikkerbär! Konsultant:!Janek!Part! ! ! ! ! ! ! ! 13!/!13! ! Ärikliendi internetipank Maksekorraldus nr 1953 MAKSJA Nimi, nimetus GUARDTIME AS Isikukood või registrikood 11313216 Konto nr EE561010220220832226 EUR SAAJA Nimi, nimetus RAHANDUSMINISTEERIUM Konto nr EE891010220034796011 Panga nimetus, BIC ja aadress EEUHEE2X AS SEB PANK TORNIMÄE 2,TALLINN 15010,ESTONIA Selgitus Digitaalallkirja seaduse alusel teostatavad toimingud Valuuta Summa EUR 7.00 Viitenumber 2900080050 Tehingu number RO1625628879 21.04.2015 12:53:01