Infoturbejuhiste kinnitamine

I T - vara kasutamise juhend tööperele Eesmärk ja üldsätted Eesmärk L uua ühtsed ja selged reeglid SoM teenistuja jaoks (edaspidi kasutaja) I T-vara kasutamiseks, tagades turvaline, tõhus ja katkestusteta töö. Rakendusala Juhend kohaldub kõigile SoM teenistujatele ning ko osneb kolmest osast: Alusdokumendid Eesti Infoturbestandard (E-ITS), Küberturvalisuse seadus (KÜTS) , Avaliku teabe seadus (AvTS) , Isikuandmete kaitse seadus (IKS) ja isikuandmete kaitse üldmäärus (IKÜM) . Kasutaja õigused ja kohustused Kasutaja l on õigus K eelduda arvutitöökoha ekraanipildi, kaamera ja mikrofoni ülevõtmisest IT-abi poolt (tegevust ei rakendata ilma kasutaja loata) . Ühendada arvutitöökoha külge esitlus- ja helitehnikat (sh isiklik monitor, kõrvaklapid jms ) . Kontoris töötades ühendada oma isiklik seade ainult „RIT-Public“ nimeli sse kohtvõrk u . K asutada RIT-i seadmes eelpaigaldatud või Company Portal-ist kättesaadavaks tehtud tarkvara . Esitada IT-abisse pöördumine arvutitöökohaga seotud probleemide korral. Kasutaja on kohust atud K asuta ma väljastatud töövahendeid sihipäraselt tööülesannete täitmiseks , hoi dma neid heaperemehelikult , sh puhasta ma seadmeid selleks sobivate vahenditega, ning kolmandatele isikutele kättesaamatult . H oi dma personaalselt talle antud ja tema poolt seatud paroole saladuses. T öötl e ma asutusesiseseks kasutamiseks (AK) mõeldud teavet vaid ühistöökeskkonnas ning taga ma teabe konfidentsiaalsuse . T eavita ma kohe kõigist IT-alastest probleemidest IT-abi ning lähtu ma kasutaja kahtluse printsiibist (st teavitab esmaste ilmingute ja viidete põhjal ning ei oota kahtluste realiseerumist) . Kasuta ma RIT-i seadet selle algses tark- ja riistvaralises koosseisus ning ei muuda omavoliliselt konfiguratsiooni, ei eemalda või lisa komponente, paigald a seadmesse mistahes tarkvara ( rakendusi, skripte jne). K asuta ma võrguressursse optimaalselt ega koorma sisevõrku mittetööalaste tegevustega . Külasta ma RIT-i seadmest ja arvutivõrgust ainult neid veebilehekülgi, mis ei tekita tööandjale mainekahju ega kahjusta seadme turvalisust . Mitte ava ma e-kirju, manuseid või linke, mis pärinevad kahtlust äratavalt saatjalt või mille sisu (sh pealkiri) võib viidata pahatahtlikkusele . Sellise d kirjad edastada kohe [email protected] . Mitte lülita ma välja pahavarakaitset tagavaid süsteeme, ega minema mööda arvutivõrgus kehtestatud piirangutest. S oorita ma küberturvalisuse e-kursuse vähemalt 1x aastas , täpsema info ja lingi leia b teematornist Infoturve . Mõisted ja lühendid Mõisted, mida ei ole juhendis selgitatud, on määratletud RIT Portaa lis. Arvutitöökoht – on RIT -i arvutivõrgus olev arvuti koos tarkvara ja lisaseadmetega . Company Portal – RIT-i poolt hallatav tarkvarakeskus , kus kasutaja s aab valida RIT-i väljastatud sülearvutisse kättesaadavaks tehtud tarkvara . IT-pöördumine – kasutaja p öö rdumine RIT-i IT - a bi poole . IT-pöördumise teeb kasutaja soovimatu või ootamatu IT-sündmuse kohta , mis arvestatava tõenäosusega võib häirida asutuse tegevust ja teenuste toimimist ning ähvardab teabe turvalisust infosüsteemides. Näiteks on sellised sündmused : infosüsteemi toimimise häirimine, pahavara tuvastamine või viitav kahtlus; õngitsuskiri ( phis h ing ) või muu manipuleerimisründele ( social engineering ) viitav tegevus; eksimused käesoleva või teiste enda asutuse poolt kehtestatud infoturbealaste kordade või protseduuride vastu; katse või õnnestunud volitamata juurdepääs teabele või selle lubamatu kasutus infosüsteemis; IT-vara kaotamine, hävimine või vargus (sh isiklik nutiseade, kui sellel on aktiveeritud juurdepääs tööalastele rakendustele); vajadus muuta arvutitöökoha (võrgu- ja elektriühenduste valmidus) füüsilist asukohta; Piiratud juurdepääsuga teabe kaotsiminek või väärkasutus infosüsteemides. NB! Kui juhtum võib puudutada isikuandmete lubamatut avalikustamist, kaotsiminekut, muutmist, hävimist või volitamata juurdepääsu, tuleb sellest viivitamata teavitada IT-abi ning asutuses kehtiva korra kohaselt andmekaitsespetsialisti või vastavat kontaktisikut. NB! Probleemide korral seoses õigustega (infosüsteemide ligipääsu-, lugemis- või muutmisõigused) pöördu teabehaldus juhi poole . NB! IT-pöördumiseks ei loeta füüsilise turbega seotud ja IT-süsteemide väliseid juhtumeid ja kahtlusi. Sel juhul vaata SP lehelt Infoturve , kelle poole pöörduda . IT-vara kasutamine Arvutitöökoht Arvutitöökoha paig aldab või väljastab RIT IT - spetsialist kinnitatud pöördumise alusel. Arvutitöökoht koosneb sülearvutist , laadijast ja se llega seotud lisase a dmetest , mi lleks võivad olla hiir, kuvar, klaviatuur , mida vajadusel saab tellida vasta v alt IT-vara haldamise ja tellimise juhend ile ( P 10 _J02 p tk 2.2 ) Arvutitöökohta sisselogimi ne on paroolivaba. Autentimiseks kasutatakse Eesti Vabariigi ID kaarti või Digi-ID-d ning Windows Hello ehk sõrmejälje turvalist sidumist. Nutiseadme kasutamine Tööalaste rakenduste (nt Teams, Outlook, Office) kasutamiseks peab seadmel olema App Store’i või Google Play konto (ehk Samsungi või Apple-i seadmed); Juurdepääsu ks tuleb seadmesse paigaldada Intune Company Portal ja järgida rakenduses antavaid juhiseid. Täpsem juhend asub RIT portaalis Tööprofiili seadistamine Androidi seadmes ja Tööprofiili seadistamine Apple'i seadmes . Seadme ja rakenduste kasutamise n õuded: Seadmel ei tohi olla eemaldatud tootja piiranguid (nt jailbreak, rooting). Seade peab olema kaitstud vähemalt 6-kohalise PIN-koodiga ; lisaks võib kasutada nt sõrmejälg e või näotuvastus t . L ingid avanevad vaikimisi Microsoft Edge’i s . Andmed on automaatselt krüpteeritud ja printimine pole lubatud. Bluetooth, Wi-Fi, GPS jm funktsioonid hoitakse välja lülitatuna , kui neid pole vaja. Bluetoothi sidumisel tuleb kasutada turvakoodi. A ndmeside eelistus on mobiilsideoperaatori võrk . T urvauuendused tuleb paigaldada viivitamata. Enne isikliku seadme kasutuselt kõrvaldamist ( nt ajutiselt hooldusesse viimisel) tuleb eemalda da seadme keskhaldusest ( Company Portal -> „remove device“ ). Seade eemaldatakse kesk haldusest automaatselt, kui see on olnud mitteaktiivne kauem kui 7 päeva . Tööalaseks tegevuseks kasutatava isikliku seadme hävimise, kaotamise või varguse korral tuleb viivitamatult pöörduda IT-abisse. 2.3. Tehisintellekti ( edaspidi AI ) kasutamine SoM soosib töö efektiivsemaks muutmisel tehisintellekti (edaspidi AI) kasutamist , sh suurte keelemudelite kasutuseks loodud tekstirobotite nagu Copilot, ChatGPT jt, kasutamist. Eesmärk on tagada turvaline, vastutustundlik ja eetiline tehisintellekti kasutamine. AI kasutamise põhimõtted on kirjeldatud SP lehel AI kasutamine . Peamiseks töövahendiks on soovitatav kasutada MS Copilotit – kas tasuta versiooni nn vestlusrobotina, või tasulise litsentsiga Copilotit . SoM hüvitab töötajale tasulise AI -litsentsi kasutamise kulud , mis on täpsemalt kirjeldatud SP lehel AI kasutamine . Muude arvutitöökoha väliste AI - mudelite kasutamise l tuleb kasutajal pidada meeles , et sinna on keelatud sisestada : isikuandmeid tundlikku või konfidentsiaalset teavet AK - teavet . NB! AK-teavet ei tohi sisestada arvutitöökoha välistesse AI-mudelitesse, välja arvatud juhul, kui teabe omanik on eelnevalt hinnanud, et teave ei sisalda isikuandmeid, konfidentsiaalset, turbealast ega muud piiratud juurdepääsuga teavet ning selle kasutamine konkreetses AI-lahenduses on lubatud vastavalt asutuse kehtivatele nõuetele. . OHT: Sisestatud andmeid võivad plat vormid salvestada, töödelda ja kasutada mudelite arendamiseks, mistõttu tuleb vältida infolekkeid. Tehisintellekti genereeritud tulemuste eest vastutab alati inimene ise . Tulemusi tuleb kasutada teadlikult ning vajadusel tuleb osata selgitada nende päritolu ja kasutamise otstarvet. OHT: Tehisintellekti väljundid võivad sisaldada ebatäpsusi, kallutatust või aegunud teavet. Kõik saadud tulemused tuleb kriitiliselt hinnata ning kontrollida nende sobivust ja usaldusväärsust. AI ei asenda professionaalset otsustusvõimet. Täpsemaid soovitusi AI kasutuse kohta saad lugeda SP lehelt AI kasutamine . 2.4. Printimine Printi da, paljunda da ja skaneeri da tohib ainult RITi hallatavast seadmest. Prinditud materjal tuleb kohe printerist eemaldada. L eitud materjal tuleb kohe t agastada omanikule või hävitada paberihunti kasutades. 2.5. Välised andmekandjad Väliste andmekandjate kasutamine on vaikimisi keelatud . Kui väliste andmekandjate kasutamine on tööülesannete täitmiseks vajalik ja põhjendatud, tuleb pöörduda IT-abisse vastava loa ja kasutamise õiguse saamiseks. AK ja muud tööalast teavet on lubatud salvestada ainult tööülesannete täitmiseks ning rangelt tööalase vajaduse raames. Kasutada tohib üksnes RITi poolt heaks kiidetud või RITi poolt kontrollitud väliseid digitaalseid andmekandjaid. Andmekandjate sobivuse kontrollimiseks ja kasutusloa saamiseks tuleb esitada taotlus IT-abisse. RITi väljastatud andmekandja on alati kasutajapõhine ning lubatud ainult taotluses toodud tööülesannete täitmiseks. Andmekandjat ei tohi kasutada isiklikel või muudel mittetööalastel eesmärkidel. Välised andmekandjad ei ole ette nähtud andmete pikaajaliseks säilitamiseks. Kui andmete säilitamine välisel andmekandjal pole enam tööülesannete täitmiseks vajalik, tuleb salvestatud info viivitamatult kustutada. Juhul, kui kasutatav andmekandja ei ole krüptograafilise funktsiooniga (näiteks krüpteeritud mälupulk või kõvaketas) ja sisaldab tundlikku või piiratud juurdepääsuga teavet, tuleb andmed andmekandjal krüpteerida ID-kaardiga. Väliseid andmekandjaid transporditakse üldjuhul isikliku järelevalve all. Kui andmekandjat on põhjendatud juhtudel vaja transportida posti- või kulleriteenusega, peab andmekandja olema turvaliselt suletud pakendis. Sellisel juhul tuleb andmete lahti krüpteerimiseks vajalik võti või parool saata andmekandjast eraldi alternatiivset ja turvalist kanalit kasutades. Töökorraldus ja ligipääs ud Töökeskkonnad Virtuaalse ühis töökeskkonna kasutamine, failide hoiustamine -jagamine ja selle infoarhitektuu r on kirjeldatud teabehalduse juhendis (P01) . Piiratud juurdepääsuga teave (nt isikuandmed) failid, mida hoitakse teadmisvajadust mitteomavate isikutega ühises failiruumis, peavad olema krüpteeritud. Ühistes failiruumi s olevad failid varundatakse ja on taastatavad kuni ühe aasta jooksul alates nende salvestamisest. E-post ja meililistid Igal kasutajal on tööalaseks kasutamiseks e-posti konto kalendri kasutamise võimalusega. Tööalast e-posti kontot kasutatakse moel, mis ei kahjusta tööandja usaldusväärsust ja mainet. Sh ei kasutata töövälise ks kirjavahetuseks (nt kommertsteated või rämpspost). E -posti konto j a ühekordse e-kirja suurus te mahupiirangud, on toodud RIT ATK standardis . Kasutaja e-posti konto sisu (kirjade mustandid, saadetud ja saadud kirjad, manused, kalendrikanded) on varukoopiatelt taastatav ühe aasta jooksul alates salvestamisest/ saatmisest/ saamisest. Meililistide haldamist koordineerib teabehalduse tugiteenus ning see on täpsemalt kirjeldatud RIT portaalis Sympa: meililistide haldamine . Paroolid Sisselogimine toimub ID-kaardi või digi-ID PIN1 koodiga. K asutaja esman e sisselogimine on täpsemalt kirjeldatud RITi portaalis Esmane sisselogimine uude tööarvutisse . Paroole on lubatud dokumenteerida vaid selleks ettenähtud keskkondades, mis on allalaetavad Passwordstate paroolihaldurist . Juhend paroolihalduri kasutamiseks on leitav RITi portaalis Passwordstate: paroolihalduri seadistamine ja kasutamine . Kasutajakonto lukustub ID-kaardi PIN1 kolme kordsel valesti sisestamisel . Kood lukustub ning blokeeringu tühistamiseks tuleb kasutada PUK-koodi . Kasutaja vastutab personaalselt talle antud ja tema poolt seatud paroolide saladuses hoidmise eest. ID-kaardi või Bitlockeri PIN-koodide avalikuks tuleku või väärkasutuse kahtluse korral vahetab kasutaja PIN-koodid esimesel võimalusel. Turvaline k augtöö tegemine Tööandja tööruumidest väljaspool töötamiseks kasutatakse usaldusväärseid parooliga kaitstud võrguühendusi (nt kodune Wi-Fi). Avalike le võrkude le (nt kohviku s , hotelli s jms) eelistab kasutaja mobiilse andmeside kasutamist ( sülearvuti SIM kaart, hotspot). Kaugtööks valitud asukoht peab välistama võimaluse kõrvaliste le isikute le arvutitöökoha ekraani ja tööprotseduuride ning igasugusel kujul tööalase teabe jälgimise. Avalikes kohtades on kohustuslik kasutada ekraanifiltrit (ekraanifiltri tellimi ne kirjeldatud P02_J02 ptk 2.2 ) . Video- või telefonikõne ajal tagab kasutaja, et seda ei oleks võimalik pealt kuulata. Lisaks tuleb jälgida, et videokõne ajal ei oleks taustal nähtaval tööalast informatsiooni. Infoturve töötamisel välisriigis (sh välislähetuses) Välislähetuses või välisriigis viibivad kasutajad lähtuvad tööülesannete turvalisuse tagamisel ennekõike kaugtöö nõuetest . Kasutaja teavitab enne välislähetuses või välisriigis töötamise alustamist pöördumisega IT-abi, kui välisriigis töötamise aeg on 3 kuud või pikem. Kasutaja teavitab seadme kaasavõtmisest välisriiki pöördumisega IT-abi, kui reisitakse väljaspoole OECD, EL või NATO liikmesriike – pöördumine tuleb teha esimesel võimalusel, aga mitte hiljem kui viis tööpäeva enne välisriiki siirdumist. RIT hindab pöördumise alusel riigispetsiifiliste õigusaktide, reisi- ja keskkonnatingimuste täiendavat käsitlusvajadust või täiendavate turbemeetmete rakendamist (sh pääsuõiguste kitsendamist) seadme ja teabe kaitseks. Kasutaja on valmis RITi infoturbe seisukohast tulenevalt välisriigis viibimise ajaks ajutiselt asendama igapäevase seadme RITi väljastatud kõrgendatud turvameetmetega kaitstud ja eelkonfigureeritud seadmega. Seadmeid transporditakse kõikide transpordiviiside puhul käsipagasis , tagades alalise teadmise seadmete hetkeasukohast. Seadmete, andmekandjate ja dokumenteeritud teabe kaasavõtmisel välisriiki lähtutakse minimaalsuse printsiibist . Kui sihtkohariigis ei ole võimalik tagada andmekandjate hävitamist ettenähtud viisil, hoitakse need tagasipöördumiseni alles ning hävitatakse või utiliseeritakse vastavalt ettenähtud turvanõuetele. Seadmete ja teabe kaotamise, varguse või mistahes muu kontrolli kaotamise juhtumi korral teavitab koheselt IT-abi, kuid ühtlasi ka kohalikku õiguskaitseorganit. IT-abi ja tugi RITi IT-abi teenus on kättesaadav 24/7 . IT-abiga k ontakteerumi ne on võimalik: töölaual asuva IT-abi ikooni vahendusel iseteeninduskeskkonnas; läbi RITi iseteenindusportaali https://itabi.rit.ee ; helistades telefoninumbril 663 6464 ; kasutades elektronposti aadressi [email protected]; IT-abi registreerib kõik pöördumised ja taotlused, määrab prioriteedi ja suunab lahendajatele. Pöördumiste ja taotluste lahenduse kulgu saab jälgida, muuta, taasavada või sulgeda IT-abi iseteeninduskeskkonnas. Seotud dokumendid ja lisad Infoturbepoliitika ( P10 ) IT-vara haldamise ja tellimise juhend ( P10 _J02) Teabeh alduse juhendid ( P01 ) RIT Portaal D okumendi muutmise ülevaade Allolev tabel täidetakse alates versioon ist 2. V ersioon Muudatuse sisu 2 Täiendatud ptk 2. 3 Tehisintellekti kasutamine ning uuendatud viited/lingid RITi juhenditele. Sotsiaalministeeriumi infoturbepoliitika Sisukord TOC \o "1-3" \z \u \h Sotsiaalministeeriumi infoturbepoliitika PAGEREF _Toc240366880 \h 1 1. Eesmärk ja üldsätted PAGEREF _Toc240366881 \h 1 1.1. Infoturbepoliitika eesmärk PAGEREF _Toc240366882 \h 1 1.2. Infoturbe eesmärk PAGEREF _Toc240366883 \h 1 1.3. Rakendusala PAGEREF _Toc240366884 \h 2 1.4. Alusdokumendid PAGEREF _Toc240366885 \h 2 1.5. Mõisted ja lühendid PAGEREF _Toc240366886 \h 3 1.6. Rollid ja vastutus PAGEREF _Toc240366887 \h 4 2. Infoturbe põhimõtted PAGEREF _Toc240366888 \h 6 2.1. Üldpõhimõtted PAGEREF _Toc240366889 \h 6 2.2. Infoturbe rakendamine PAGEREF _Toc240366890 \h 7 3. Seotud dokumendid ja lisad PAGEREF _Toc240366891 \h 9 4. Dokumendi muutmise ülevaade PAGEREF _Toc240366892 \h 9 Eesmärk ja üldsätted Infoturbepoliitika e esmärk Sotsiaalministeeriumi (edaspidi SoM) infoturbepoliitika eesmärk on tagada SoM-i põhitegevuse ja andmete töötlemise turvalisus, määratled es infoturbe , sh isikuandmete kaitse põhimõtted ja korraldus ning kehtestad es rollid ja vastutus e . Infoturbe eesmärk Infoturbe eesmärk on toetada organisatsiooni tegevuse jätkusuutlikkus t ja äriprotsessi toimivus t , tagades varade ja infosüsteemide käideldavus e , terviklus e ja konfidentsiaalsus e . Selle saavutamiseks on seatud järgmised eesmärgid: Eesmärk Täitmise eeldus Mõõdik Ministeeriumi juhtkond on võtnud üldvastutuse infoturbe korraldamise eest ja määranud infoturbe eest vastutavad rollid . K irjeldatud on infoturbe juhtimissüsteem (infoturbepoliitika ja juhendid). Määratud infoturbe eest vastutav isik Infoturbep ädevuse tõstmiseks infoturbe konsultatsiooniteenus I nfoturvameetmete rakend amise plaan kinnitatud juhtkonna poolt Infoturbepoliitika ja juhendid üle vaadatud vähemalt üks kord aastas Mõjuga infoturbei ntsidentide arv T uvastatud kaitsealasse kuuluvad sihtobjektid ja infoturberiskid ning riske hallatakse vastavalt SoM riskijuhtimise protsessile (P12) Kaitsealasse kuuluvad s ihtobjektid tuvastatud R iskijuhtimise protsess kirjeldatud Infoturberiskid regulaarselt tuvastatud , hinnatud ja käsitletud Kõrge tasemega riskid el e (tingimuslikud ja kriitilised) on määratud omanik ja planeeritud on riskikäsitluse tegevused T agatud t e enistujate koolitamine ja informeerimine teadlikkuse tõstmiseks ja turvanõuete täitmiseks Infoturbekoolitus on kõigile kohustuslik Kirjeldatud juhtimissüsteem, kuhu integreeritud ka infoturbe käitumisjuhised ja reeglid Infoturbekoolituse läbimise määr , vajadusel parendustegevuste kavandamine Õngitsustestide läbimise % Mõjuga infoturbeintsidentide arv Taga tud äriprotsessi vastavus infoturbealastele õigusaktidele, regulatsioonidele ja lepingutele E-ITSi nõuete täitmist hinnatakse regulaarselt Ülevaade väl jast tellitud - ja pilvteenustest ja selle regulaarne ajakohastamine Le pingud sõlmitud vastavalt E-ITSi nõuetele E-ITSi auditis ei ole tuvastatud olulisi mittevastavusi ehk kõrge riskiga lahknevusi R akendusala Infoturve on lahutamatu osa kõikidest poliitikavaldkondadest ja tugiteenustest, sh protsessidest, mis on seotud andmetega. Infoturbe juhendid kehtivad kõikidele SoM teenistujatele, kes seeläbi teavad, mõistavad ja järgivad asutuses kehtivaid infovara kaitse ja kasutamise põhimõtteid . . SoM arvutitöökohaga seotud juhendid asuvad RITi portaalis . Sihtobjektide turvalisus tuleb tagada juba tegevuste planeerimise faasis. 1.3.1. Infoturbe käsitlus- ja kaitseala SoM valitsemisala (edaspidi VA) infoturve on korraldatud iga asutuse vastutuse põhimõttel, keskselt on korraldatud VA infoturbe töörühm ja kokkulepitud VA toimemudel. SoM põhi protsess on poliitikajuhtimine (P15), mi lle kaitsetarve on suur (C 2 I 2 A 2 ) . SoM kaitseala hõlmab kõiki füüsilisi ja immateriaalseid varasid ( teenused, töötajad, andmed, infosüsteemid, riistvara ja tarkvara ) , mis on loetletud kaitseala tabelis ning millele rakendub turbeviis tuumik turve . Sihtobjektid seotakse E-ITS etalonturbe moodulitega, mille alusel määratakse kohaldatavad infoturvameetmed. Meetmete rakendamine, rakendamise staatus ning põhjendatud erisused dokumenteeritakse infoturbe meetmete rakendusplaanis (IMR). Kaitseala vaadatakse üle vähemalt kord aastas ning oluliste muudatuste korral. Täiendavate sihtobjektide kasutuselevõtu otsuseid tehakse jooksvalt kas SoM infoturbejuhi kooskõlastusel ja/või kantsleri otsusega. Alusdokumendid Küberturvalisuse seadus Eesti infoturbestandard (E-ITS) HYPERLINK "https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=celex%3A32016R0679" \h Isikuandmete kaitse üldmäärus (IKÜM) Isikuandmete kaitse seadus Avaliku teabe seadus Arhiiviseadus Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvteenuse kasutamisel (pilvemäärus) VV 15.03.2012 määrus nr 26 „ Infoturbe juhtimise süsteem “ Andmekaitse Inspektsiooni juhised isikuandmete töötlemise ja töötlemise õiguslike aluste , isikuandmetega seotud rikkumiste ja rikkumistest teavitamise , andmesubjekti õiguste ning juurdepääsupiiranguga teabe käsitlemise kohta Mõisted ja lühendid 1.5.1. Lühendid AKS – Andmekaitsespetsialist AKI – Andmekaitse I nspekt s ioon E-ITS – Eesti i nfoturbestandard (standardiga seonduvad materjalid on leitavad portaalist eits.ria.ee ) ; ITabi – RIT pakutav arvuti kasutajatugi ([email protected], 663 64 64 või ITabi iseteenindus desktopi ikooni kaudu) ; SoM – Sotsiaalministeerium ; RIK – Registrite ja Infosüsteemide Keskus, mis pakub SoMile dokumendihaldussüsteem Delta teenust; RIT – Riigi IT Keskus, mis pakub SoMile arvutitöökohateenust ning vahendab ministeeriumite Ühishoone võrguteenust ; TEHIK – Tervise ja Heaolu Infosüsteemide Keskus , vastutab SoM valitsemisala ülese infoturbe juhtimise eest; IMR – infoturbe meetmete rakendus plaan 1.5.2 . Mõisted Infosüsteem – andmeid töötlev, salvestav või edastav tehniline süsteem koos tema normaalseks talitluseks vajalike vahendite, ressursside ja protsessidega ; Infoturbeintsident – mis tahes sündmus, mis põhjustas või võib põhjustada infovara tervikluse, käideldavuse või konfidentsiaalsuse kao ; Infoturve – turvameetmete loomise, valimise ja rakendamise protsesside kogum, et oleks tagatud infovara käideldavus, terviklus ja konfidentsiaalsus, teabe turvalisuse säilitamiseks ; Infovara (sihtobjekt) – nt informatsioon, andmed, nende töötlemiseks vajalikud infotehnoloogilised rakendused, infosüsteemid, tehnilised vahendid, äriprotsessid või muud organisatsiooni toimimiseks olulised varad. SoMis käsitletakse infovara E-ITSi tähenduses sihtobjektina, millele määratakse kaitsetarve ning vastendatakse asjakohane etalonturbe moodul või moodulid. Infovara kasutaja – SoM teenistuja või SoMiga mõnes muus lepingulises suhtes olev SoM infovara kasutav füüsiline isik ; Isikuandmed – igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta . Tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige nime, isikukoodi, asukohateabe, võrguidentifikaatori või ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal. Isikuandmetena tuleb käsitleda kõiki andmeid, mille abil on füüsiline isik tuvastatav ; Kaitsetarve – vajadus kaitsta andmeid ja IT-süsteeme kahju eest, mille võib tekitada infoturvalisuse põhikomponentide ( konfidentsiaalsus, terviklus , käideldavus ) rikkumine. Kaitsetarve esitatakse skaalal: normaalne, suur, väga suur. Kaugtöö – töötamine SoM infovaraga väljaspool RIT hallatavat andmesidevõrku ; Konfidentsiaalsus – infovara kättesaadavus ja avaldamine ainult selleks volitatud isikule või süsteemidele. Selleks rakendatakse meetmeid , mis tõkestavad teabe sattumise kõrvaliste isikute kätte ning väldivad andmete lubamatut või juhuslikku avalikustamist kogu infovara elutsükli vältel ; Käideldavus – infovara õigeaegne kättesaadavus ja kasutatavus ; Protsess – ühise sihiga ja ajaliselt piiratud tegevuste kogum e toimingujada(d), mis on vajalikud vastava tulemi saamiseks ; Teadmisvajadus – õigustatud vajadus juurdepääsuks infovarale ; Terviklus – infovara täielikkus ja õigsus, st lubamatute muudatuste puudumine ; T eenistuja – ametnik, töötaja või muu isik, kes osaleb ministeeriumi ja selle valitsemisala asutuste töös (töösuhtes olev isik) . Turbeviis - E-ITSi infoturbe haldussüsteemi rakendamise viis, mille alusel määratakse sihtobjektidele kohaldatavad etalonturbe moodulid ja infoturvameetmed. Turbeviisi valikul lähtutakse kaitsetarbest, õigusaktidest ning organisatsiooni vajadusest ja infoturbe küpsusest . E-ITS turbeviisidena on kasutusel põhiturve, standardturve ja tuumikturve. Põhiturve - K ui kaitsetarve on kõigi infoturbe komponentide (C-I-A) osas normaalne, võib organisatsioon rakendada põhiturvet ja seega lähtuda infoturbe elluviimisel E-ITS meetmekataloogis olevatest põhimeetmetest. Standardturve – Kasutatakse turbeviisina organisatsioonis, ku s äriprotsessi kaitsetarve on „suur“ või „väga suur“ ja infoturve organisatsioonis on saavutanud piisava küpsusastme, on loodud infoturbe korraldus ja oluliste s valdkondades on rakendatud turvameetmed. Tuumikturve - K asutatakse juhul, kui mingi osa äriprotsessist vajab kõrgemat kaitset , kuid kõigi äriprotsessiüleste meetmete täielik rakendamine ei ole põhjendatud või proportsionaalne . T uumikturbe korral rakendatakse kaitseala kriitilisele osale ehk äriprotsesside ja varade tuumikule kõrgemat kaitset pakkuvaid turvameetmeid (standardmeetmed ja valitud kõrgmeetmed). Rollid ja vastutus SoM teenistuja vastutab oma tööülesannete raames info varade ja andmete turvalise kasutamise ja infoturbenõuete järgimise eest (vt P10_J01 I T-vara kasutamise juhend tööperele ) ning teavitab toimunud infoturbeintsidentidest koheselt RIT-i e-posti aadressil [email protected] . SoM infoturbe juhtimissüsteemi toimimise eest vastutab kantsler vastavalt VV 15.03.2012 määrusele nr 26, kes mh tagab infoturbe sõltumatuse asutuse muust tööst ning täidab muid õigusaktides sätestatud ülesandeid . Roll Vastutus Ülesanded VA infoturbe töörühm Vastutab infoturbe koordineerimise eest VA - s koordineerib infoturbe haldussüsteemide rakendamist VAs ; teeb ettepanekuid infoturbe tõhusamaks rakendamiseks, sh funktsioonide tsentraliseerimiseks; p laneerib ühiseid infoturbealaseid tegevusi , sh koolitusi ning teeb ettepanekuid õppusteks. Kantsler Vastutab infoturbe tulemuslikkuse eest ministeeriumis määrab SoMis infotur be poliitika rakendamiseks infoturbe eest vastutava isiku; kindlustab, et SoM teenistujad on asutuses kehtivate infoturbealaste õigusaktidega tutvunud , täidavad neid ning omavad enda tööülesannete täitmiseks vajalikke infoturbealaseid teadmisi; kinnitab infovara kaitse vajaduse ja infoturberiskid; kindlustab infovara kaitseks nõuetele vastavate turvameetmete rakendamise; eraldab rahalised ja mitterahalised ressursid infoturbeprotsessi läbiviimiseks ning aktsepteerib töötajate põhitööga kaasnevaid infoturbekohustusi ; kehtestab vajadusel täiendavaid infoturbealaseid eeskirju. VA infoturbejuht (TEHIK infoturbe osakonna juhataja ) Vastutab infoturbe tehniliste toimingute ja otsuste eest on peamine kontaktisik SoMi tehnilistes infoturbeküsimustes ; k orraldab 2x aastas infoturbeülevaate VA juhtkonnas (intsidendid, koolituste läbimine jm päevakohane info) . SoM i nfoturbejuht (inno vatsiooni asekantsler) Koordineerib ministeeriumi ja selle VA infoturbe halduse süsteemide loomist ja ülalpidamist koordineerib infoturbe poliitika rakendamise tegevuskava täitmist SoMis ; korraldab infoturbealast aruandlust SoM juhtkonnale (koostöös RIT-iga) ; vastutab infotur be poliitika ajakohasuse eest; korraldab infoturbe intsidendi lahenda mis t ; tagab, et SoMis rakendatavad infoturbemeetmed on kooskõlas kehtivate õigusaktide, standardite, strateegiate ja kordadega; algatab muu infoturbealase dokumentatsiooni koostamise ; kooskõlastab rakendatavate infovara turvameetmete erandid ning täiendavate infovarade kasutuselevõtu otsused . SoM infoturbe kontaktisik (teabehaldu se nõunik ) Vastutab ministeeriumi infoturbe - meetmete rakendamise korraldamise eest mõistab asutuse tööprotsesse ja andmeid ning nende kaitse vajadust; korraldab infoturbemeetmete planeerimist ja rakendamist; teavitab teenistujaid infoturbe olulisusest ning tagab, et kõik asutuse teenistujad on oma infoturbealastest kohustustest teadlikud; kindlustab turvameetmete ajakohasuse tagamiseks meetmete ja regulatsioonide perioodilise läbivaatuse. SoM r iski haldus juht (siseauditijuht) Vastutab ministeeriumi riskijuhtimise eest l oob ja hoiab ajakohasena riskide hindamise protsessi (P 12) r oll täidetud siseauditi juhi poolt Andmekaitse spetsialist (AKS) Nõustab ministeeriumi andmekaitsenõuete täitmisel, jälgib andmekaitse nõuete järgimist ning teeb koostööd Andmekaitse Inspektsiooniga. AKS täidab ülesandeid sõltumatult ning ei vastuta vastutava töötleja nimel isikuandmete töötlemise õiguspärasuse ega töötlemisotsuste tegemise eest. loob ja hoiab ajakohasena andmekaitsega seotud juhendid; nõustab teenistujaid isikuandmete töötlemise küsimustes; jälgib andmekaitsenõuete järgimist ning teeb ettepanekuid parendusmeetmete rakendamiseks; nõustab uute andmetöötlustoimingute, infosüsteemide, pilvteenuste ja AI-lahenduste kavandamisel; nõusta b andmekaitsealaste mõjuhinnangute tegemisel ja annab vajaduse korral hinnangu nende nõuetekohasusele ; nõustab isikuandmetega seotud rikkumiste hindamisel, AKI teavitamise vajaduse hindamisel ning andmesubjektide teavitamise küsimustes; nõustab AKI -le esitatavate rikkumisteadete koostamisel ja kontrollib nende vastavust nõuetele; teeb koostööd Andmekaitse Inspektsiooniga ning toimib AKI kontaktpunktina; osaleb andmekaitsealase teadlikkuse tõstmises ja koolitustegevustes. Osakonna - juhataja Vastutab oma osakonna pilvteenuste kasutamise eest vastutab pilvteenuse kasutuselevõtu, kasutamise ning kasutamise lõpetamise eest (vt ptk 3) . Infovara kasutaja Vastutab infoturbe nõuete järgimise eest oma töö ülesannete ja tegevuste piires järgib infoturbepoliitikat (P10) ja I T-vara kasutamise juhendi t ( P10_J01 ); vastutab tema valduses oleva IT-vara ja teabe turvalisuse eest oma töökohal ja tööülesannete täitmisel ; teavitab infoturbein t sidendist viivitamata aadressil [email protected] , kuid mitte hiljem kui 24 tunni jooksul ; isikuandmetega seotud rikkumise või selle kahtluse korral teavitab viivitamata ka aadressil [email protected] ; läbib vähemalt kord aastas infoturbekoolituse ja testi . Infoturbe põhimõtted Üldpõhimõtted SoM lähtub „pilv esimesena“ põhimõttest, et tagada organisatsiooni jätkusuutlikkus ning kestlik areng ning kasutab eesmärkide täitmiseks pilvteenust, kui see pakub funktsionaalset ja kuluefektiivset eelist. Infoturbe tagame, kaitstes teavet ja infosüsteeme kolmel põhialusel: konfidentsiaalsus, terviklus ja käideldavus. Teave ei leki → Konfidentsiaalsus Teabe kättesaamatus volitamata isikutele ning süsteemidele. Teave on kättesaadav → Käideldavus Teabe kättesaadavus ja kasutuskõlblikkus. Teave on korrektne → Terviklus Teabe õigsus ja täielikkus, lubamatute muudatuste puudumine. Infoturve baseerub kolmel sambal : 19050 20320 0 0 VASTUTUS: Infotur be põhivastutus lasub SoM juhtkonnal , kuid infoturbe tagamine on kogu SoM kollektiivne tegevus ning kõikide infovara kasutajate kohustus . TEADLIKKUS : Kõigil SoM infovara kasutajatel on kohustuslik vähemalt üks kord aastas läbida infoturbekoolitus ja test RIA platvormil www.kybertest.ee . NB! Uus teenistuja läbib tööle asumisel infoturbekoolituse kahe nädala jooksul . TEAVITAMINE: Iga infovara kasutaja, kes avastab infoturbeintsidendi peab sellest viivitamata teavitama IT-abi ja võimaliku isikuandmetega seotud rikkumise või andmelekke korral ka [email protected] kaudu AKS-i . Erinevate teiste intsidentide korral teavitamise kontaktid on toodud Sharepointi lehel : Infoturve Infoturbe rakend amine 2.2. 1 . I ntsidentide haldus Kõik infovara kasutajad teavitavad avastatud infoturbe intsidendist viivitamata IT-abi . Kui juhtum võib olla seotud isikuandmete töötlemise rikkumisega, teavitatakse viivitamata ka [email protected] . Infoturbe ja andmekaitse teemade koordineerimiseks ning asutusesiseseks infovahetuseks on SoMis kasut u sel kaks ühismeili : [email protected] [email protected] Eesmärk Hoida ühist infovälja infoturbe teemadel, sh ohuteavitused, turvahoiatused, infoturbe juhised, ülevaated, riskide ja parendustegevustega seotud info ning väliste koostööpartnerite infoturbealased pöördumised. Töötajad ei kasuta seda postkasti infoturbeintsidentidest teavitamiseks – intsidendist tuleb viivitamata teada anda IT-abile. Koondab välised andmekaitsealased pöördumised , samuti on see peamiseks suhtluskanal iks Andmekaitse Inspektsiooni j t koostööpartneritega andmekaitse teemadel. Mis teemad? infoturbealased üldküsimused ja koordineerimine; ohuteavitused ja turvahoiatused; infoturbega seotud juhised ja ülevaated; väliste koostööpartnerite infoturbealased pöördumised; infoturbemeetmete, riskide ja parendustegevustega seotud info; asutusesisene infoturbealane infovahetus. i sikuandmete töötlemisega seotud küsimused, rikkumiskahtlused, andmesubjekti pöördumised, nõu küsimine enne uue lahenduse või andmetöötluse alustamist andmelekkekahtlus Omanik Infoturbe kontaktisik A ndmekaitsespetsialist Kes pääseb ligi? Infoturbejuht, infoturbe kontaktisik, siseauditijuht Andmekaitsespetsialist Infoturbeintsident ei ole alati isikuandmetega seotud rikkumine. Kui juhtumiga kaasneb või võib kaasneda isikuandmete juhuslik või õigusvastane hävimine, kaotsiminek, muutmine, loata avalikustamine või neile loata juurdepääs, hinnatakse juhtumit isikuandmetega seotud rikkumisena. Rikkumise kvalifitseerimist, AKI teavitamise vajadust ja andmesubjektide teavitamist hindab vastutav töötleja, kaasates AKS-i. I KÜM art 33 lg 5 kohaselt dokumenteerib vastutav töötleja kõik isikuandmetega seotud rikkumised, sealhulgas rikkumise asjaolud, mõju , tehtud otsused, otsuste põhjendused ja võetud parandusmeetmed. Täpsem juhend intsidendist teavitamise korra ja vormi koht on avaldatud andmekaitse lehel . Hädaolukorra või infoturbe intsidendi korral võib kantsler või tema volitatud isik infovara kaitseks piirata selle kasutust. 2.2. 2 . Isikua ndmete turvaline töötlemine Isikuan d mete turvaliseks töötlemiseks rakendatakse asjakohaseid tehnilisi ja korralduslikke meetmeid , et tagada andmete käideldavus, terviklus ja konfidentsiaalsus . Turvatase peab olema proportsionaalne töödeldavate andmete liigist tulenevate riskidega . Isikuandmeid ja muud juurdepääsupiiranguga teavet on lubatud töödelda üksnes tööülesannete täitmiseks. Isikuandmeid töödeldakse üksnes juhul, kui töötlemiseks on olemas õiguslik alus (e riliiki isikuandmete töötlemisel üldi ne õiguslik alus + täidetud peab olema IKÜM art 9 tingimus ) . Isikuandmete töötlemine peab piirduma vaid eesmärgi saavutamiseks vajalikuga (andmete minimeerimine). Isikuandmete töötlemisel järgitakse lisaks seaduslikkuse, eesmärgipärasuse, läbipaistvuse, õigsuse, säilitamise piiramise ning vastutuse põhimõtteid vastavalt IKÜM art 5. Andmete põhjendamatu kopeerimine või liigne paljundamine on keelatud. Teabe jagamine on lubatud vaid juhul, kui see on vajalik tööeesmärkide saavutamiseks , tuleneb seadusest või kui selleks on selge õiguslik alus. Avaliku teabe väljastamisel lähtutakse a valiku teabe seadusest ning hinnatakse iga kord juurdepääsupiirangu seadusliku aluse, ulatus e ja tähtaja olemasolu. Kui teabenõudes küsitud dokument sisaldab üksnes osaliselt juurdepääsupiiranguga teavet, väljastatakse dokument ulatuses, milles juurdepääsupiirang ei kohaldu . Konfidentsiaalsuskohustuse nõue kehtib kõikidele infovara kasutajatele sõltumata ametiseisundist või füüsilisest töökohast ning kohaldub ka SoM välistele isikutele (näit töövarjud, praktikandid jm), kes viibivad töökeskkonnas või kellel on kokkupuude asutuse teabe ja infosüsteemidega, sõltumata neile antud ametlikest kasutusõigustest. Andmeid säilitatakse üksnes seni , kuni see on vajalik töötlemise eesmärgi täitmiseks või tuleneb õigusaktist, dokumentide loetelust, säilitustähtajast või põhjendatud menetluslikust vajadusest. Pärast säilitamise aluse lõppemist andmed kustutatakse, hävitatakse või antakse arhiivi . SoM teenistuja peab töösuhte ajal ja pärast töölt vabastamist hoidma talle tööülesannete tõttu teatavaks saanud juurdepääsupiiranguga teavet konfidentsiaalsena. Konfidentsiaalsuskohustus on tähtajatu , kui seadusest või teabe liigist ei tulene teisiti. Kõik andmete elektrooniliseks töötlemiseks kasutavad info- ja kommunikatsioontehnoloogia vahendid (nt riistvara, tarkvara, andmekandjad, arvutivõrk) p eavad enne kasutusele võtmist olema kooskõlastatud infoturbejuhiga . Kui k ooskõlastus on tingimuslik, teeb lõpliku riskipõhise kasutusotsuse kantsler. 2.2. 3 . Väljast tellit ud , sh p ilvteenuste valimi n e ja kasutami n e Ülevaade väljast tellitud ja kasut atavatest pilvteenustest on Sharepointi lehel Infoturve ( koos kontaktisik uga ). Avalikesse AI-rakendustesse ei sisestata juurdepääsupiiranguga teavet, eriliiki isikuandmeid , konfidentsiaalset teavet ega muud kaitset vajavat teavet ilma eelneva riskihindamise , õigusliku aluse hindamise ning nõutavate kooskõlastusteta . Pilvteenusena käsitleta kse ka AI-rakendusi, mida töötaja kasutab tööülesannete täitmiseks. Välise AI rakenduse kasutusele võtmiseks , kui kasutatakse SoM teavet, isikuandmeid, juurdepääsupiiranguga teavet või muud kaitset vajavat teavet , ja SoMi poolt hüvitamisel tuleb kasutajal teha riskianalüüs (AI riskide hindamise vorm). Täpsemalt on väljast tellit ud ja pilvteenuste nõuded kirjeldatud eraldi juhendis (loomisel) : Väljast tellitud vs pilvteenused.docx SoM infovara ühiskasutamisel asutuseväliste isikutega tuleb sõlmida infoturbenõudeid sisaldav leping. Kõrge ohuga teenuse korral kaastakse lepingu ülevaatamisesse ka infoturbejuht . Pilvteenuse kasutusele võtmine vastab pilvemääruse tingimustele. Enne teenuse kasutuselevõttu hinnatakse infoturbe- ja andmekaitseriske. SoM taaskasutab maksimaalses ulatuses ära teiste ametiasutuste poolt koostatud riskianalüüse. Riskianalüüsid asuvad Riskide hindamise kaustas. Pilvteenuste kasutamisel, mille raames teenusepakkuja töötleb SoMi nimel isikuandmeid, tuleb enne teenuse kasutuselevõttu sõlmida GDPR artikli 28 nõuetele vastav volitatud töötleja leping või lisada vastavad tingimused põhilepingusse . Kui pilvteenuse kasutamisega kaasneb isikuandmete edastamine väljapoole Euroopa Majanduspiirkonda, tuleb tagada IKÜM V peatüki nõuete täitmine. Avalikke pilveteenuseid kasutusele võttes kasutatakse RIT korraldatud hankeid ning RIT poolt antud juhiseid ja soovitusi pilvteenuse planeerimisel ja kasutamisel. Pilvteenuste korral kasutatakse võimalusel RIT keskset identiteedi- ja õiguste halduse süsteemi ja rakendatakse sellega seotud poliitikad, protseduurid ja põhimõtted. Seotud dokumendid ja lisad IT -vara kasutamise juhend tööperele ( P10 _J01 ) I T-vara haldamise ja tellim i se juhend ( P10 _J02 ) Riskijuhtimise protsess ( P12 ) SoM k aitsetarbe protokoll (P10_V01) SoM k aitseala ja rakendusplaan IMR ( P10_V02 ) Teemalehed: infoturve ja andmekaitse Dokumendi muutmise ülevaade Versioon Muudatuse sisu 2 Täiendused E-ITS meetmete rakendamisest lähtuvalt, nt kaitseala, infoturbejuhi rolli täpsustamine, VA infoturbejuhi rolli kirjeldus , lisatud ptk 3 pilvteenuste kasutamise põhimõtted jm. LISA 1-s olnud andmekogude ja väliste teenuste ülevaade siseveebi teematorni Infoturve . 3 Täiendused : infoturbe eesmärgid (ptk 1.2), infoturbe käsitlus- ja k aitse ala , strateeg ia ja turbeviisi valik (ptk 1.3.1), infoturbe rakendami ne (ptk 2.2) . L isatud AKS -i roll ning isikuandmete töötlemise põhimõtted, mh lisatud ka SoM sise mi s te teavitamiskanalite (infoturbe ja andmekaitse postkastide) kohta täiendused . KANTSLERI KÄSKKIRI 21.09.2026 nr 65 Kantsleri 5. juuni 2025. a käskkirja nr 25 „Infoturbepoliitika (ver2), IT-vara kasutamise juhendi (ver1) ning IT-vara haldamise ja tellimise juhendi (ver1) kinnitamine“ muutmine Vabariigi Valitsuse seaduse § 53 lõike 1 ja § 54 lõike 1 ning Vabariigi Valitsuse 20. märtsi 2014 määruse nr 42 „Sotsiaalministeeriumi põhimäärus“ § 9 punkti 17 alusel: Muudan kantsleri 5. juuni 2025. a käskkirja nr 25 „Infoturbepoliitika (ver2), IT-vara kasutamise juhendi (ver1) ning IT-vara haldamise ja tellimise juhendi (ver1) kinnitamine“ järgmiselt: 1. käskkirja lisa 1 „Sotsiaalministeeriumi infoturbepoliitika (Tähis: P10_ver2)“ asendatakse käesoleva käskkirja lisaga 1 „Sotsiaalministeeriumi infoturbepoliitika (Tähis: P10_ver3)“; 2. käskkirja lisa 2 „IT-vara kasutamise juhend tööperele (Tähis: P10_J01_ver1)“ asendatakse käesoleva käskkirja lisaga 2 „IT-vara kasutamise juhend tööperele (Tähis: P10_J01_ver2)“. (allkirjastatud digitaalselt) Maarjo Mändmaa kantsler