Taotlus eelarvevahendite eraldamiseks

Teie Eelarve- ja strateegiatalitus Meie 15.08.2023 nr 4-1/7439 Justiitsministeerium [email protected] Suur-Ameerika 1 10122, Tallinn Taotlus Vabariigi Valitsuse reservist raha eraldamiseks Käesolevaga taotleme Vabariigi Valitsuse sihtotstarbelise reservist “IKT küberturvalisuse kulud““ vahendeid Registrite ja Infosüsteemide Keskusele summas 422 280 eurot küberturbe tagamiseks ja taseme tõstmiseks. Taotlus on heaks kiidetud Majandus- ja Kommunikatsiooniministeeriumi Riikliku küberturvalisuse osakonna komisjoni poolt 27.07.2023 Lisad: 1. Küberturbe RES 2023 – 2026 taotlus 2. Turvatestimise taotluse täiendav infomaterjal 3. Infoturbe võimekuse kasvatamise täiendav infomaterjal Lugupidamisega Rivo Reitmann Direktor /digitaalselt allkirjastatud/ Kristel Reimo [email protected] A: Lubja 4, Tallinn 19081, Eesti, T: +372 663 6300, F: +372 646 0165, E: [email protected], I: Reg 70000310, K: 221023778606, W: www.rik.ee  Projekti/tegevuse tutvustus (A4, variant a kui on IKT küber lisataotlus, mis RES 2023-2026 juba esitati) 1 projekt=1 tabel ÜLDINFO Asutus: Registrite ja Infosüsteemide keskus (RIK) Summa km-ta: 1 138 824 RES 2023-2026 RES IKT küber lisataotlusega seos (lisataotluse nimi): Turvatestijad TAOTLUS 1. Panus ökosüsteemi: Vaja juurde 4 tehnilist turvatestijat, et oleks tagatud, et kõigis RIK hallata olevastes süsteemidest tehtavad arendused ja muudatused oleks enne toodangusse jõudmist testitud. See tagab, et süsteemide ei oleks küberrünnakute vastu oluliselt vastupidavamad ja neis oleks vähema vigu. 2. Hetkeolukord • RIK haldab ja arendab Eesti riigi jaoks väga olulisi ja avalikust võrgust ligipääsetavaid (seega kergemini rünnatavaid) registreid nagu Riigiteataja, Kinnistusraamat, Äriregister, Laevakinnisusraamat, Avalik e-toimik, Karistusregister, Ametlikud teadaanded jm. Lisaks haldab RIK olulisi infosüsteeme nagu Kohtute infosüsteem, Prokuröride infosüsteem, Vanglate infosüsteem, EKEI, Patendiameti infosüsteemi jne. Neid süsteeme arendatakse palju ja üle 50% arendustest tehakse maja sees (RIK sees ca 90 arendajat). See maht kasvab iga aastaga. • LEA ja RES rahadest on hangitud truvaskänner Denable.SC+, mida turvatestijad saavad abivahendina kasutada. • 2022 telliti ka kolm OWASP turvetesti väljast. Koosloome infosüsteem, Kättetoimetamise infosüsteem ja koos e-Toimik ja Digitoimiku infosüsteemid. Kui saame kasutada oma tööjõudu jääb kalli tunnihinnaga väljast tellimise mahtu vähemaks. • 2023 on RIK juba turvatestija leidmiseks konkursi üles pannud. 3. Kontekst • Projektil eeldusi ei ole. • Võimalik risk on piisava kvalifikatsiooniga inimeste leidmine. Maandamismeetmena on RIK on olemas üks turvatestija, kes suudab vajadusel uued inimesed välja õpetada. • Lisarahastus on vajalik ka tulevikus. 4. Keskselt osutatav • On mingil määral keskselt teostatav kui keskel (RIA) oleks piisav ressurss, kes suudab RIK arendusi ja muudatusis testida pidevalt hetkel kui need lähevad testi.  Projekti/tegevuse tutvustus (A4, variant a kui on IKT küber lisataotlus, mis RES 2023-2026 juba esitati) 1 projekt=1 tabel ÜLDINFO Asutus: Registrite ja Infosüsteemide keskus (RIK) Summa km-ta: 3 758 573 € RES 2023-2026 RES IKT küber lisataotlusega seos (lisataotluse nimi): TAOTLUS 1. Panus ökosüsteemi: Antud projekt tagab Justiitsministeeriumi haldusalas suurema riskihalduse võimekuse, parema riskipõhisel juhtimise, tõhusama seire, parema sisekontrolli ja kiirema intsidentidele reageerimise. 2. Hetkeolukord • 2022 tehti LEA ja RES rahadest suured hanked ja projektid uue AKKN määruses toodud nõuete täitmiseks (VPN seadmed, diood). Vajalikud täiesti eraldatud EU ja NATO nõutele vastava PIIRATUD võrgu loomiseks. 2023 on vajalik koos RITiga see süsteem üles panna, dokumenteerida ja VLA-ga kooskõlastada. • Samuti alustati Logstash logiserveri ja SonarQube koodikvaliteedi hindamise tarkvara. Lisaks võeti kasutusele Tenable.SC+ turvaskänner ja alustati EITS juurutamisega • LEA rahades eest on tööle võetud kaks inimest: kriisikoordinaator ja EITS projektijuht kelle palkade jaoks olekski vaja 2023 alates ja sealt edasi rahastust. Praegu otsitakse veel ühte infoturbe spetsialisti toeks logiseveri ja infoturbe monitooringu juurutamisele. • 2023 on plaanis jätkata uue AKKN määruse täitmiseks vajaliku süsteemi ehitust. Ja samuti jätkata Tenable.SC+ skänneri juurutamisega (agendid kõikidesse RIK serveritesse), integreerida SonarQube kõikidesse arendusprojektidesse, alustada infotube monitooringu (SIEM) lehe tegemisega, jõuda EITS rakendamisel nii kaugele, et teostada 2024 EITS audit. Uuenda on plaanis kriisplaan ja rakendada haldusalas parem riskihaldus. 3. Kontekst • Projektil eeldusi ei ole. • Võimalik risk on piisava kvalifikatsiooniga inimeste leidmine. Maandamismeetmena on RIK on olemas infoturbe inimesed, kes suudab vajadusel uued inimesed välja õpetada. • Lisarahastus on vajalik ka tulevikus. 4. Keskselt osutatav • Infoturve on Justiitsministeeriumi haldusalas paljuski juba keskselt korraldatud. RIT loomisel koos käinud töörühm ja riigi infoturbejuhtide töörühm on leidnud, et infoturbe teenuse suurem konsolideerimine riigis ei too kasu vaid just suurendab riske (kaob fookus).  Turvatestijad/1 138 824 eur 1. Probleem Kõiki (eriti maja sees) tehtavaid uusi arendusi ja infosüsteemide uusi versioon ei jõuta piisavalt turvatestida 1.4 Panustab arengukava suundadesse: Tuua välja „Digiühiskonna 1.1 RES IKT/Arendusprojekti eesmärk Tagada, et kõik RIK hallata olevates registrite arendustes tehtavad suuremad muudatused oleks enne arengukava 2030“ panustamine Tabel Excelisse. toodangusse jõudmist testitud. 1.2 RESi lisataotlusega seos 1.3 Mitterahastamise tagajärg: Võib esineda juhuseid, kus konfidentsiaalsed andmed lekivad või 2. Hetkeolukord 3. Tulemus (SF arendusprojekti tulemus peab olema selline, mis 4. Mõju (saavutatav peale RES IKT rakendumist/arendusprojekti • RIK haldab ja arendab Eesti riigi jaoks väga olulisi ja avalikust võrgust kajastub SF projektis ja mida valideerib enne välja maksmist lõppu ehk kuni 5 aasta jooksul) ligipääsetavaid (seega kergemini rünnatavaid) registreid nagu Projekti Nõukogu) • Kõik vähegi suuremad arendustes tehtavad muudatused saavad Riigiteataja, Kinnistusraamat, Äriregister, Laevakinnisusraamat, Avalik e- • Vaja juurde 4 tehnilist turvatestijat, et oleks tagatud, et kõigis testitud. toimik, Karistusregister, Ametlikud teadaanded jm. Lisaks haldab RIK RIK hallata olevastes süsteemidest tehtavad arendused ja • Vähendab oluliselt intsidentide tekkimise ohtu ja tagab olulisi infosüsteeme nagu Kohtute infosüsteem, Prokuröride muudatused oleks enne toodangusse jõudmist testitud. infosüsteemide parema kvaliteedi. infosüsteem, Vanglate infosüsteem, EKEI, Patendiameti infosüsteemi • See tagab, et süsteemide ei oleks küberrünnakute vastu jne. Neid süsteeme arendatakse palju ja ca 50% arendustest tehakse oluliselt vastupidavamad ja neis oleks vähema vigu. maja sees (RIK sees ca 90 arendajat). See maht kasvab iga aastaga. • Kavas on võtta 2 testijat tööle aastal 2023 ja 2 testijat lisaks • Hetkel on RIK-il 40 000 € aastas uute arenduste testimiseks ja pool aastal 2025. tehnilise turvatestija kohta. Suurte projektidega küsitakse testimise raha ka RESist ja SF-ist. Sellest aga piisab vaid uute arenduste ja väga suurte muudatuste testimiseks. • Ajalugu näitab, et RIK arendatavates süsteemides on turvavigu kahjuks esinenud ja plaanide järgi arendusmahud ainult kasvavad. 5. Peamised ressursid 6. Tegevused, ajakava, eelarve 7. RES IKT/Arendusprojekti eeltingimused • RIK poolt palgatakse tööle ja õpetatakse välja kaks + kask tehnilist • Kaks tehnilist turvatestijat. Tööjõukulu: • Kooskõlas riigi ristfunktsionaalsete nõuetega. turvatestijat. • 2023.a 140 760 € 2 inimest • Vähendab küberriske. • RIK sees on olemas tehniline turvatestija, kes suudab õpet läbi viia. • 2024.a 161 856 € 2 inimest • Aitab täita EITS meetmeid: „CON.5: Rakenduste arendus ja • 2025.a 371 648 € 4 inimest kasutuselevõtt“. • 2026 a 464 560 € 4 inimest • Saab kasutada ka teiste riigi infosüsteemide testimiseks ning • 2023 ja 2025 I-II kvartal värbamine. küberintsitentidele reageerimisel. • 2023 ja 2025 III ja IV kvartal väljaõpe. 8. Kasutajate grupid, kolmandad osapooled 9. Projekti innovaatilisus (RES IKT puhul ei ole vaja täita) 10. Jätkusuutlikkus (RES IKT puhul ei ole vaja täita) • Peamiselt Justiitsministeeriumi haldusala ja RIK kliendid. • Oluline infosüsteemide turvalisuse ja kvaliteedi tõus. • Iga-aastased personali kulud. • Kaudselt kõik kes RIK hallata infosüsteem kasutavad. Infoturbe võimekuse kasvatamine/3 758 573 € 1. Probleem RIK ja kogu Justiitsministeeriumi haldusala küberturbega tegelev personali arv on liiga väike, et tagada nõutud tasemel infoturve 1.4 Panustab arengukava suundadesse: Tuua välja „Digiühiskonna 1.1 RES IKT/Arendusprojekti eesmärk Justiitsministeeriumi haldusalas on piisavalt inimesi, et tagada nõutav infoturve. arengukava 2030“ panustamine Tabel Excelisse. 1.2 RESi lisataotlusega seos • Tulevikukindlad digiriigi platvormid 1.3 Mitterahastamise tagajärg: Justiitsministeeriumi infoturve ei ole seadustes ja EITS poolt nõutud tasemel. Ei suudeta ennetada ega • Suundumuste, riskide ja mõjude analüüsivõime lahendada infoturbe intsidente. • Suurem küberturvalisuse tagamise võimekus 2. Hetkeolukord 3. Tulemus (SF arendusprojekti tulemus peab olema selline, mis 4. Mõju (saavutatav peale RES IKT rakendumist/arendusprojekti • Hetkel RIK personalist on küberturbega seotud ca 9 töökoha. RIK kajastub SF projektis ja mida valideerib enne välja maksmist lõppu ehk kuni 5 aasta jooksul) isikkoosseisus on 245 inimest. Seega on RIK inimestest küberturbega Projekti Nõukogu) • Kasvab Justiitsministeeriumi haldusala infoturbe võimekus ja seotud ca 3,7 % isikkoosseisust. Need 9 inimest pakuvad küberturbe Eesmärk võtta tööle 4 küberturbe lisainimest igal järgneval aastal võimekus intsidendile reageerida. teenuseid ja juhtimist kogu haldusalale, haldusalas on kokku ca 3000 4 aastat ning saavutada, et • Väheneb intsidentide arv ja intsidentidest tulenev kahju töökohta (sh RIK). Nendest ei piisa (ka MKM nägemus on tagada 10%-line • EITS ja/või ISO on korrektselt rakendatud ja suudetakse kiremini maandada. küberturbe inimeste osakaal) . auditeeritud kogu Justiitsministeeriumi haldusalas. • Eeltööna on kaardistatud puudujääk: • Võimalikud ründed infosüsteemide vastu tuvastatakse • 2022 on vaja rakenda EITSI või ISO. Ei ole projektijuhti, kes hakkab reaalajas. EITS või/ja ISO rakendamist organiseerima kogu • RIK maja sees on võimekus rünnete kiireks analüüsiks Justiitsministeeriumi haldusalas. • Kõigi uute arenduste juurde on kaastaud infoturbe • Puudu on tööjõudu infosüsteemide logide reaalajas jälgimiseks ja spetsialist, kes annab oma sisendi. ka intsidentide mõju vähendamiseks ja tagajärgede hindamiseks. • Uute arenduste arhitektuuri loomisele ei suudeta anda infoturbe poolt piisavalt sisendit. 5. Peamised ressursid 6. Tegevused, ajakava, eelarve 7. RES IKT/Arendusprojekti eeltingimused • RIK SIO palkab ja õpetab välja kuni aastani 2026 igal aastal täiendavalt 4 • Kulud: Neli infoturbe inimest: • Vähendab küberriske ja loob turvalisust. uut küberturbe spetsialisti • 2023.a 281 520 € 4 inimest juurde • Aitab täita EITS meetmeid. • 2024.a 647 496 € 4 inimest juurde, kokku 8 • Saab kasutada ka teiste riigi riigiasutuste infoturbealaseks • 2025.a 1 116 930 € 4 inimest juurde, kokku 12 abistamiseks ja abiks küberreservis. • 2026 a 1 712 627 € 4 inimest juurde, kokku 16 • Ajakava: Küberturbe spetsialistide palkamine ja vajadusel väljaõpe 2023, 2024, 2025 ja 2026 I-IV kvartal. 8. Kasutajate grupid, kolmandad osapooled 9. Projekti innovaatilisus (RES IKT puhul ei ole vaja täita) 10. Jätkusuutlikkus (RES IKT puhul ei ole vaja täita) • Peamiselt Justiitsministeeriumi haldusala ja RIK kliendid. Oluline Justiitsministeeriumi teetuste infosüsteemide turvalisuse • Kaudselt kõik kes RIK hallata infosüsteem kasutavad. ja kvaliteedi tõus.