Kiri

MAJANDUS- JA KOMMUNIKATSIOONIMINISTEERIUM SISEAUDITI OSAKOND 2018-7 “VEETEEDE AMETI INFOSÜSTEEMIDE PIDAMINE, KASUTAMINE JA ÕIGUSTE HALDUS” LÕPPARUANNE 2018 Sisukord SISUKORD ......................................................................................................................................... 2 LÜHIÜLEVAADE AUDITI PEAMISTEST TULEMUSTEST .................................................... 3 1. INFOTURBEPOLIITIKA ....................................................................................................... 5 1.1. TÄHELEPANEK – MINISTEERIUMI INFOTURBEPOLIITIKA VAJAB AJAKOHASTAMIST.................... 5 1.2. TÄHELEPANEK - VASTUTUSE JAOTUS MINISTEERIUMI JA VEETEEDE AMETI INFOTURBEJUHTIDE VAHEL ON INFOTURBEPOLIITIKAS EBAMÄÄRANE. ................................................................................ 7 2. NAVIGATSIOONIMÄRKIDE ANDMEKOGU ................................................................. 10 2.1. TÄHELEPANEK - NAVIGATSIOONIMÄRKIDE ANDMEKOGUL ALUSDOKUMENDID EI OLE KOOSKÕLAS AVALIKU TEABE SEADUSEGA. ........................................................................................ 10 AUDITI ISELOOMUSTUS ............................................................................................................. 13 LISA 1 - AUDITI TOIMINGUD ..................................................................................................... 17 2 Lühiülevaade auditi peamistest tulemustest Audiitorite üldhinnang Veeteede Ameti infosüsteemide pidamisele, kasutamisele ja õiguste haldusele on mõningast parandamist vajav1. Auditi eesmärgiks oli anda hinnang Veeteede Ameti infosüsteemide pidamisele, kasutamisele ja õiguste haldusele. Auditi objektiks oli Veeteede Ameti kolm infosüsteemi: navigatsioonimärkide andmekogu, sadamaregister ja elektrooniline mereinfosüsteem. Auditi käigus vaadati üle Veeteede Ameti üldine infoturbe korraldus ning kolme infosüsteemi alusdokumendid, kasutajaõiguste haldus ja valimi alusel vaadati toiminguid infosüsteemides. Täpsem info toimingute kohta on esitatud aruande lisas 1. Infosüsteemide kasutajaõiguste halduses ja toimingute läbiviimises infosüsteemides auditi käigus puudusi ei tuvastatud. Olemas olid infosüsteemide kasutamist ja juurdepääsuõigusi reguleerivad juhendid ning kontrollitud toimingud viidi läbi kooskõlas juhenditega. Auditi käigus selgus vajadus teha tähelepanekuid ja ettepanekuid ministeeriumi ja tema haldusala infoturbekorraldusele. Infoturbe korralduse ja navigatsioonimärkide andmekogu alusdokumentide kohta tehti auditi käigus järgmised tähelepanekud. Auditi tähelepanekud 1. Ministeeriumi infoturbepoliitika vajab ajakohastamist ja täiendamist. 2. Vastutuse jaotus ministeeriumi ja Veeteede Ameti infoturbejuhtide vahel on infoturbepoliitikas ebamäärane. 3. Navigatsioonimärkide andmekogul alusdokumendid ei ole kooskõlas avaliku teabe seadusega. Soovitused Majandus- ja Kommunikatsiooniministeeriumile 1. Ajakohastada ja täiendada ministeeriumi infoturbepoliitikat (perioodiline ülevaatus, asutuste juhtide vastutus, detailsus, erisused). 1 Mõjus - Hinnatud kontrollid on piisavad, asjakohased ja mõjusad ning võimaldavad mõistlikku kindlust, et riske juhitakse ja eesmärgid saavutatakse. Vajalikud on mõningad parendused - Ära toodi mõned konkreetsed kontrollinõrkused, kuid üldjoontes on hinnatud kontrollid piisavad, asjakohased ja mõjusad ning võimaldavad mõistlikku kindlust, et riske juhitakse ja eesmärgid saavutatakse. Vajalikud on olulised parendused - Ära toodi paljud konkreetsed kontrollinõrkused. Hinnatud kontrollid ei anna tõenäoliselt mõistlikku kindlust, et riske juhitakse ja eesmärgid saavutatakse. Mitterahuldav - Hinnatud kontrollid ei ole piisavad, asjakohased ja mõjusad, andmaks mõistlikku kindlust, et riske juhitakse ja eesmärgid saavutatakse. Allikas: IIA tegevussuunis „Siseaudiitori arvamuse koostamine ja avaldamine“. 3 2. Ministeeriumi infoturbepoliitika peab selgelt määratlema selle ulatuse asutuste osas. Vajalikud kokkulepped juhtidega tuleb fikseerida kirjalikult. 3. Viia navigatsioonimärkide andmekogu alusdokumendid kooskõlla avaliku teabe seadusega. Soovitus Majandus- ja Kommunikatsiooniministeeriumile ning Veeteede Ametile 1. Täpsustada infoturbepoliitikas infoturbejuhi kohustusi. 2. Ministeeriumi infoturbepoliitika peab sisaldama juhiseid asutustele oma infoturbepoliitika, mis arvestaksid asutuste eripärasid, koostamiseks. 3. Vastuolud ministeeriumi infoturbepoliitika ja Veeteede Ameti tegeliku toimimise vahel infoturbepoliitikas reguleeritud toimingute osas tuleb läbirääkida, kokku leppida ja fikseerida mõlema asutuse infoturbepoliitikas või muus dokumendis. Auditeeritavate vastused Majandus- ja Kommunikatsiooniministeerium ning Veeteede Amet nõustusid tähelepanekute ja soovitustega. Samas jäid Majandus- ja Kommunikatsiooniministeerium ning Veeteede Amet eriarvamusele rakendatavate meetmete osas. 4 1. Infoturbepoliitika 1.1. Tähelepanek – Ministeeriumi infoturbepoliitika vajab ajakohastamist. 1. Majandus- ja Kommunikatsiooniministeeriumis (edaspidi ministeerium) on kinnitatud infoturbepoliitika2. Antud infoturbepoliitika vajab ajakohastamist ja täiendamist. 2. Käskkirjas sätestatud kohaldatakse ka ministeeriumi allasutustele: Maanteeamet, Veeteede Amet, Tehnilise Järelevalve Amet, Tarbijakaitseamet ja Lennuamet.3 Infoturbepoliitikas välja toodud asutuste nimekirjast on puudu 01.01.2018. a loodud ministeeriumi hallatav allasutus Eesti Geoloogiateenistus. 3. Vastavalt „Infoturbe juhtimise süsteemile“ vastutab asutuse juht infoturbe süsteemi toimimise eest. Selleks loob ta asutuses infoturbejuhi ametikoha ja määrab infoturbejuhi. Infoturbejuhi ülesandeid võib kokkuleppeliselt teise asutuse juhiga täita teise asutuse infoturbejuht või asutuseväline teenuseosutja.4 Ministeeriumi valitsemisala allasutustes on 2 infoturbejuhti – Veeteede Ametis ja Riigi Infosüsteemi Ametis. Ülejäänud 5 asutuse infoturbejuhi ülesanded on ministeeriumi infotehnoloogiaosakonna juhataja selgituste kohaselt koondatud ministeeriumi infoturbejuhile. Konsolideeritud valitsemisala infoturbejuhi ülesanded on määratud ministeeriumi infoturbejuhi töölepingu lisana (ametijuhend). Ministeeriumil on 3 asutusega (Lennuamet, Tarbijakaitseamet, Tehnilise Järelevalve Amet) sõlmitud infotehnoloogiaalase koostöö ja infosüsteemide ühine haldamise leping, mis sisaldab muuhulgas infoturvet. Samas Maanteeametiga ja Eesti Geoloogiateenistusega on aluseks MKM infotehnoloogiaosakonna juhataja selgituste kohaselt ainult juhtkondade suuline kokkulepe. 4. 2017. aastal kolis ministeerium uude hoonesse ja seoses sellega läks ministeeriumi infotehnoloogiliste teenuste osutamine Registrite ja Infosüsteemide Keskusele (RIK). Valitsemisala asutustele infotehnoloogiliste teenuste osutamine jäi ministeeriumi infotehnoloogiaosakonna ülesandeks. Infoturbepoliitikas on antud asjaolu kajastamata. 5. Ministeeriumi infoturbepoliitika on kohati liiga detailne. Näiteks teenistusest lahkumisega seotud protseduuride juures on kirjeldatud, kuidas võtmed ja pääsukaardid tuleb tagastada üldosakond ning IT süsteemide õigused sulgeb ja vara võtab üle infotehnoloogia osakond.5 Samas kõigis asutustes ei ole selliseid osakondi. 6. Infoturbepoliitikas puudub perioodilise ülevaatuse nõue. Järeldus 7. Infoturbepoliitika puhul on tegemist strateegilise dokumendiga, mida peab audiitorite hinnangul perioodiliselt üle vaatama ja ajakohastama infoturbejuht. 2 Majandus- ja kommunikatsiooniministeeriumi kantsleri 14.09.2016. a käskkiri nr 16-0082 3 Majandus- ja kommunikatsiooniministeeriumi kantsleri 14.09.2016. a käskkiri nr 16-0082 punkt 1.1.1 4 Vabariigi Valitsuse 15.03.2012. a määrus nr 26 „Infoturbe juhtimise süsteem“ § 3 punkt 3 5 Majandus- ja kommunikatsiooniministeeriumi kantsleri 14.09.2016. a käskkiri nr 16-0082 punkt 13.5.3 5 8. Infoturbepoliitika peab olema sõnastatud üheselt ja arusaadavalt ning peab kajastama peamisi ja üleüldiseid infoturbe seisukohalt olulisi aspekte. Audiitorite hinnangul saab ministeeriumi infoturbepoliitika sätestada ainult peamised põhiprintsiibid ning iga asutus peab täiendavalt koostama oma infoturbepoliitika, mis juba täpsemalt reguleerib põhiprintsiipide rakendamist. 9. Infoturbepoliitika kehtib kõigile ministeeriumi ja tema valitsemisala asutustele ning seda peavad lugema nende asutuste kõik töötajad. Sellest tulenevalt peab infoturbepoliitika olema sõnastatud üheselt ja arusaadavalt. Selgelt peab olema välja toodud millised kohustused on ministeeriumi juhtkonnal ja millised asutuste juhtidel, kuna Vabariigi Valitsuse määrus6 ütleb üheselt, et infoturbe juhtimise süsteemi toimimise eest vastutab asutuse juht. 10. Infoturbepoliitika koostamisel tuleb arvestada tuleb ka asjaoluga, et erinevate asutuste füüsiline asukoht, asutusesisesed protseduurid, kasutatavad infosüsteemid, nende turvaklassid jne on erinevad ning seetõttu ei saa üldise infoturbepoliitikaga kehtestada väga detailseid nõudeid. Näiteks ei saa valitsemisala infoturbepoliitikas kajastuda detailselt töötaja lahkumisega seotud protseduurid, kuna igal asutusel tegelevad sellega erinevad osakonnad. Muuhulgas on mõistlik asutuse tasandil reguleerida nii infoturbe intsidentide haldus, perimeetri ja tsoonide turve jne vastavalt vajadustele, kas asutuse infoturbepoliitikaga või siis teiste juhenditega (nt sisekorra eeskiri, arvuti kasutamise kord jne). 11. Infoturbepoliitikas peab selgelt olema ka välja toodud erisused, mis võivad mõjutada või mõjutavad infoturbepoliitika rakendamist. Näiteks on ministeeriumi infotehnoloogiline teenuste osutamine antud valitsemisala välisele teenuse osutajale RIKile. See peab kajastuma infoturbepoliitikas, kuna ministeeriumi töötajad töötades RIKi süsteemides peavad lähtuma ka infoturbes RIKi nõuetest ning seetõttu olema kursis vastava poliitikaga. Soovitus Majandus- ja Kommunikatsiooniministeeriumile 12. Ajakohastada ja täiendada ministeeriumi infoturbepoliitikat (perioodiline ülevaatus, asutuste juhtide vastutus, detailsus, erisused jne). 13. Ministeeriumi infoturbepoliitika peab selgelt määratlema selle ulatuse asutuste osas. Vajalikud kokkulepped juhtidega tuleb fikseerida kirjalikult. 14. Ministeeriumi infoturbepoliitika peab sisaldama juhiseid asutustele oma infoturbepoliitika, mis arvestaksid asutuste eripärasid, koostamiseks. Majandus- ja Kommunikatsiooniministeeriumi vastus Nõus seisukohaga, et infoturbepoliitika vajab kaasajastamist. Katsume omalt poolt parandada ja täiendada infoturbepoliitikat lisades sinna järgmised punktid : a) lisada uued asutused infoturbepoliitikasse, b) üldistada ligipääsu haldamise sõnastus, et see kataks kõiki asutusi (vajadusel täpsem regulatsioon asutuse sisekorras) c) täpsustada rollide jaotust infoturbe korraldamisel MKM-i ja ametite vahel ning ühishoones. 6 Vabariigi Valitsuse 15.03.2012. a määrus nr 26 „Infoturbe juhtimise süsteem“ § 3 p 3 6 Erisuste loomist turvatsoonide ja intsidentide haldamisel ei poolda, kuna kõik konsolideeritud asutused asuvad ühes võrgus ning kasutavad kesksed IT teenuseid – seega ühe asutuse turvaintsidendist võib saada teise asutuse või ministeeriumi turvaintsident. Pigem peaks suurendama järelevalvet konkreetsete poliitikate rakendamise üle. Tähtaeg 2019. a esimene poolaasta. Selgitus ametitega uue infoturbepoliitika uue versiooni kokku leppimine on ajamahukas protsess. Veeteede Ameti kommentaar Veeteede Amet toetab soovitust punktis 13, mis teeb ettepaneku fikseerida kokkulepe MKM-i ja Veeteede Ameti vahel selle kohta, et Veeteede Ametis kehtestatakse infoturbepoliitika, mis arvestab vajadusel MKM-i infoturbepoliitikas haldusala asutuste osas sätestatut ning sisaldab samas ka Veeteede Ameti tegevusvaldkonnaga seotud erisusi. Kommentaar soovitusele punktis 14: kuna Veeteede Ameti infoturbepoliitika peab olema kooskõlas nii MKM-i infoturbepoliitikaga, Vabariigi Valitsuse 15.03.2012. a määrusega nr 26 „Infoturbe juhtimise süsteem“ kui ka ISKE nõuetega, puudub meie hinnangul vajadus lisada MKM-i infoturbepoliitikasse juhised Veeteede Ameti eripärasid sisaldavate infoturbealaste nõuete koostamiseks, kuna see on pigem Veeteede Ameti pädevusvaldkond. Audiitorite täiendav kommentaar Audiitorid ei anna hinnangut, kumb väljapakutud lahendustest on sobivam. Siiski on oluline rõhutada, et vajalik on saavutada kokkulepe ja see kirjalikult fikseerida. 1.2. Tähelepanek - Vastutuse jaotus ministeeriumi ja Veeteede Ameti infoturbejuhtide vahel on infoturbepoliitikas ebamäärane. 15. Infoturbe juhtimise süsteemi kohaselt kuulub infoturbejuhi kohustuste hulka juurutada asutuses turvaintsidentide haldamise kord ning turvaintsidentide raport esitatakse CERT-EE-le kord kolme kuu jooksul.7 16. Majandus- ja Kommunikatsiooniministeeriumis (edaspidi ministeerium) on kinnitatud infoturbepoliitika8. Ministeeriumi infoturbepoliitikas on kirjas, et sätestatut võib kohaldada allasutustele erisustega. 17. 2012. aastal kinnitati peadirektori käskkirjaga Veeteede Ameti üldine infoturbepoliitika.9 Antud juhend sätestas infoturbe eesmärgid ja põhimõtted Veeteede Ametis. Auditi käigus selgus, et 7 Vabariigi Valitsuse 15.03.2012. a määrus nr 26 „Infoturbe juhtimise süsteem“ § 4 punkt 6 8 Majandus- ja kommunikatsiooniministeeriumi kantsleri 14.09.2016. a käskkiri nr 16-0082 9 Peadirektori 22.03.2012. a käskkiri nr 11-VA 7  Veeteede Ameti üldine infoturbepoliitika on tunnistatud kehtetuks põhjendusega, et Veeteede Ametile kohaldub ministeeriumi infoturbepoliitika.10 18. Ministeeriumi infoturbepoliitikas on välja toodud ka infoturbejuhi kohustused, mh on infoturbejuhi kohustus konsolideeritud IT teenustega allasutuste infoturbe planeerimine ja korraldamine11 ja infoturbeintsidentide menetlemine12. 19. Ministeeriumi infoturbepoliitika kohaselt peavad ka haldusala asutused lähtuma turvaintsidentide käsitlemisel ministeeriumi haldusala turvaintsidentide käsitlemise korrast.13 Ministeeriumi turvaintsidentide käsitlemise korra14 kohaselt tuleb turvaintsidendist teatada infotehnoloogia osakonda või e-posti teel [email protected]. 20. Auditi käigus läbi viidud intervjuudest selgus, et tegelikkuses teavitab Veeteede Ameti töötaja turvaintsidendist Veeteede Ameti infotehnoloogia osakonda ja infoturbejuhti, mitte ministeeriumi. Turvaintsidentide raporti esitab Veeteede Ameti infoturbe juht otse CERT-EE-le. 21. Auditi käigus läbiviidud intervjuudest ministeeriumi ja Veeteede Ameti infoturbejuhtidega selgus, et omavaheline koostöö on vähene. Järeldus 22. Audiitorite hinnangul ei kajasta ministeeriumi infoturbepoliitika piisavalt selgelt, milliseid kohustusi täidab ministeeriumi infoturbejuht ja milliseid Veeteede Ameti infoturbejuht. Samas puudub Veeteede Ametil oma infoturbepoliitika. Ministeeriumi infoturbepoliitikaga on kohustatud tutvuma kõik ministeeriumi ja tema valitsemisala asutuste töötajad ning seetõttu peab selles dokumendist üheselt välja tulema kõigi osapoolte kohustuste ja vastutuse jaotus. 23. Intsidentidest teavitamise regulatsiooni ja tegeliku olukorra mittevastavus võib põhjustada intsidendist teavitamata jätmise või segaduse operatiivses käitumises. On oluline, et töötaja lugedes infoturbepoliitikat saaks üheselt aru, kes on asutuse infoturbejuht, kas selleks on eraldi töötaja asutuses või on selleks ministeeriumi infoturbejuht. Soovitus Majandus- ja Kommunikatsiooniministeeriumile ning Veeteede Ametile 24. Täpsustada infoturbepoliitikas infoturbejuhi kohustusi. 25. Ministeeriumi infoturbepoliitika peab sisaldama juhiseid asutustele oma infoturbepoliitika, mis arvestaksid asutuste eripärasid, koostamiseks. 26. Vastuolud ministeeriumi infoturbepoliitika ja Veeteede Ameti tegeliku toimimise vahel infoturbepoliitikas reguleeritud toimingute osas tuleb läbirääkida, kokku leppida ja fikseerida mõlema asutuse infoturbepoliitikas või muus dokumendis. 10 Peadirektori 23.02.2018. a käskkiri nr 11-VA 11 Majandus- ja kommunikatsiooniministeeriumi kantsleri 14.09.2016. a käskkiri nr 16-0082 punkt 5.2.9 12 Majandus- ja kommunikatsiooniministeeriumi kantsleri 14.09.2016. a käskkiri nr 16-0082 punkt 5.2.6 13 Majandus- ja kommunikatsiooniministeeriumi kantsleri 14.09.2016. a käskkiri nr 16-0082 punkt 12.2.4 14 Majandus- ja kommunikatsiooniministeeriumi kantsleri 25.11.2013. a käskkiri nr 13-0074 8 Majandus- ja Kommunikatsiooniministeeriumi vastus Leiame, et antud olukorra kõige mõislikum lahendus oleks ministeeriumi poolt infoturbejuhtimisteenuse laiendamine Veeteede Ametile. Sellisel juhul saaks infoturvet korraldada sarnaselt teiste asutustega ning ei tekki vastuolusid infoturbepoliitika rakendamisel. Erisuste tegemist väga ei poolda. Tähtaeg Eeldab enne tähtaja määramist konkreetse idee arutamist Veeteede Ametiga ning vastavalt sellele saaksime sellega edasi minna. Konkreetse tegevuse tegemine eeldab infoturbe korralduse organisatsioonilist muutist Veeteede Ametis. Veeteede Ameti vastus Punkt 24 - Veeteede Ametis formuleeritakse ja kinnitatakse uuesti infoturbepoliitika dokument, mis sisaldab nii üldiseid põhimõtteid kui ka Veeteede Ametile omaseid erisusi koos täpsustatud infoturbejuhi kohustuste loeteluga. Punkt 25 -VA seisukoht on ära toodud eelnevalt kommentaaris soovitusele punkti 14 kohta. Punkt 26 - Teeme enesehinnangu, mille raames: • analüüsime MKM’i infoturbepoliitikat ning VA infoturbejuhi kohustusi • kaardistame VA toimingud, mis vajavad erisusi võrreldes MKM’i infoturbepoliitikas sätestatuga Sellest analüüsist lähtuvalt planeeritakse järgnevad tööd, et tagada ameti infosüsteemide piisav kaitstus infoturbe seisukohalt. Tähtaeg Punkt 26: 31.01.2019, vastutab VA infoturbejuht Mati Muinaste Punkt 24: 30.09.2019, vastutab VA infoturbejuht Mati Muinaste 9 2. Navigatsioonimärkide andmekogu 2.1. Tähelepanek - Navigatsioonimärkide andmekogul alusdokumendid ei ole kooskõlas avaliku teabe seadusega. 27. Navigatsioonimärkide andmekogu eesmärgiks on veeliikleja teavitamine ohtusid tähistavast ja veeliiklust korraldavast märgistusest meresõiduohutuse suurendamiseks ning navigatsioonimärkide identifitseerimisandmete, iseloomustusandmete ja olekuandmete haldamine. Andmekogu loomist alustati juba 1993. aastal. 28. Kuni 31.12.2007 kehtinud andmekogu seaduse kohaselt sai andmekogu asutada riigiasutuse juht või tema poolt volitatud isik.15 29. Vastavalt avaliku teabe seadusele peab andmekogu olema asutatud seadusega või selle alusel antud õigusaktiga.16 Andmekogu on riigi, kohaliku omavalitsuse või muu avalik-õigusliku isiku või avalikke ülesandeid täitva eraõigusliku isiku infosüsteemis taadeldavate korrastatud andmete kogum, mis asutatakse ja mida kasutatakse seaduses, selle alusel antud õigusaktis või rahvusvahelises lepingus sätestatud ülesannete täitmiseks.17 30. Andmekogu põhimääruses sätestatakse andmekogu pidamise kord, sealhulgas andmekogu vastutav töötleja (haldaja), andmekogusse kogutavate andmete koosseis, andmeandjad ja vajaduse korral muud andmekogu pidamisega seotud korralduslikud küsimused.18 31. Andmekogude seadusega kooskõlas asutatud riiklike registrite pidamise põhimäärused ja nende alusel peetavad andmekogud ning muud riigi ja kohalike omavalitsuste andmekogud tuleb viia käesoleva seadusega kooskõlla kuue kuu jooksul andmekogude seaduse kehtetuks tunnistamisest arvates.19 32. Navigatsioonimärgistuse kavandamise, rajamise, paigaldamise, muutmise, järelevalve ja märgistusest teavitamise nõuded ning korra kehtestab valdkonna eest vastutav minister. 20 Majandus- ja kommunikatsiooniminister on kinnitatud navigatsioonimärgistuse kavandamise, rajamise, rekonstrueerimise, paigaldamise, järelevalve ja märgistusest teavitamise nõuded ja korra.21 Määruse kohaselt kantakse Eesti vete reglementeeritud navigatsioonimärgid Veeteede Ameti poolt hallatavasse Eesti vete navigatsioonimärgistuse andmekokku, mis sisaldab informatsiooni navigatsioonimärkide oluliste tunnuste ja tehniliste näitajate kohta.22 Selle määruse alusel on kinnitatud „Navigatsioonimärkide andmekogu pidamise dokumentide 15 Andmekogude seadus § 39 lg 2 kehtis kuni 31.12.2007 16 Avaliku teabe seadus § 433 lg 1 17 Avaliku teabe seadus § 431 lg 1 18 Avaliku teabe seadus § 435 lg 1 19 Avaliku teabe seadus § 581 lg 1 20 Meresõiduohutuse seadus § 47 lg 6 21 Majandus- ja kommunikatsiooniministri 02.12.2002. a määrus nr 18 22 Majandus- ja kommunikatsiooniministri 02.12.2002. a määrus nr 18 § 3 lg 1 10  kinnitamine“23, mille lisa 1 on „Navigatsioonimärkide andmekogu pidamise eeskiri“ ja lisa 2 „Navigatsioonimärkide andmekogu andmekoosseis“. 33. Auditi käigus selgus, et navigatsioonimärkide andmekogu alusdokumendid ei ole kooskõlla viidud avaliku teabe seadusega. Samas on ministeeriumi lennundus- ja merendusosakond praeguseks hetkeks juba ettevalmistanud vajalikud dokumendid (seaduse muudatuse ja ministri määruse eelnõud jms), et need käesoleva aasta jooksul esitada valitsuskabineti istungile. 34. Navigatsioonimärkide andmekogu on kantud riigi infosüsteemi haldussüsteemi RIHA. RIHA põhimääruse24 kohaselt loetakse „Andmekogude riiklikus registris“ registreeritud andmekogud ülekantud RIHAsse 01.01.200825 ning andmekogude vastutavad töötlejad aktualiseerivad RIHAsse ülekantud andmete koosseisu 1, juuliks 2008. a26. Auditi käigus ei õnnestunud tuvastada, kas RIHA on Veeteede Ameti tähelepanu pööranud antud puudusele. Järeldus 35. Audiitorite hinnangul on navigatsioonimärkide andmekogu algdokumendid avaliku teabe seadusega kooskõlla viimata, kuigi vastav kohustus tekkis juba 10 aastat tagasi. Kuigi navigatsioonimärkide andmekogul ei ole põhimäärust, vaid on peadirektori käskkirjaga kinnitatud andmekogu eeskiri, katab viimane siiski ära kõik olulisemad asjaolud, mis peavad olema reguleeritu põhimäärusega. Praegu toimitakse küll kehtiva õiguse alusel, kuid tegelikult ei ole see piisav. Vastavalt avaliku teabe seadusele, peab volitusnorm põhimääruse kehtestamiseks tulema siiski otse seadusest. Ja seetõttu peab tegema seaduse paranduse, et vastava volitusnorm oleks olemas. Alles siis saab minister kehtestada andmekogule põhimääruse. Soovitus ministeeriumi lennundus- ja merendusosakonnale 36. Viia navigatsioonimärkide andmekogu alusdokumendid kooskõlla avaliku teabe seadusega. Majandus- ja Kommunikatsiooniministeeriumi vastus Navigatsioonimärkide andmekogu põhimääruse kehtestamiseks vajalik volitusnorm sisaldub meresõiduohutuse seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seaduse eelnõus. Eelnõu kohaselt täiendatakse meresõiduohutuse seaduse §-i 47 lõikega 8 järgmises sõnastuses: navigatsioonimärkide andmekogu põhimääruse kehtestab valdkonna eest vastutav minister määrusega. Põhimääruse kavand on koostatud ja lisatud seaduseelnõu seletuskirjale. Eelnõu on läbinud ministeeriumide vahelised kooskõlastusringid ja järgmisena esitatakse eelnõu Vabariigi Valitsusele heaks kiitmiseks ja Riigikogule esitamiseks. Andmekogu põhimääruse saab valdkonna eest vastutav minister ehk majandus- ja taristuminister kehtestada seadusmuudatuste jõustumisel, mis võiks jääda 2019. a esimesse poolaastasse. 23 Peadirektori 17.07.2015. a käskkiri nr 122-OP 24 Vabariigi Valitsuse 28.02.2008. a määrus nr 58 25 Vabariigi Valitsuse 28.02.2008. a määrus nr 58 § 33 lg 1 26 Vabariigi Valitsuse 28.02.2008. a määrus nr 58 § 33 lg 2 11 Tähtaeg Põhimääruse kehtestamine sõltub meresõiduohutuse seaduse muudatuste menetlemisest Riigikogus ja eelnõu jõustumisest, mis võiks eeldatavalt jääda 2019. a esimesse poolaastasse. 12 Auditi iseloomustus Auditeerimise ajend Audit oli kavandatud siseauditi osakonna 2018. aasta tööplaanijärgse tööna ning 2016. aastal läbiviidud auditi järeltegevusena (esines probleeme andmekogude arendamisel). Samuti võeti arvesse Riigikontrolli märgukirja. Auditi planeerimisel vaadati üle kõigi teadaolevate Veeteede Ameti infosüsteemide olemasolevad põhimäärused, arenduskulud (riigihanked) ja registreeritus RIHA-s. Lisaks vesteldi ministeeriumi infotehnoloogiaosakonna juhatajaga ja Veeteede Ameti peadirektoriga. Auditi fookusest välistati hüdrograafiaga seotud infosüsteemid (HIS, RAN ja AEGIR, digitaalne hüdrograafia), nutimere rakendus ja laevaliikluse korraldamise infosüsteem. Samuti välistati Eesti laevaregister ja meremeeste register, kuna nende infosüsteemide protsesside ja menetluste ülevaatamise, analüüsi ja optimeerimisega tegeles sel hetkel aktiivselt nii Veeteede Amet kui ka ministeerium ning kavas on arendada uued infosüsteemid. Auditeeritav Majandus- ja Kommunikatsiooniministeeriumi infotehnoloogia osakond, Veeteede Amet Taustainformatsioon Eesti vete reglementeeritud navigatsioonimärgid kantakse Veeteede Ameti poolt hallatavasse Eesti vete navigatsioonimärgistuse andmekokku (edaspidi NMA), mis sisaldab informatsiooni navigatsioonimärkide oluliste tunnuste ja tehniliste näitajate kohta.27 Üldkasutatavate veeteede navigatsioonimärgistuse kavandamise, rajamise, rekonstrueerimise, paigaldamise ja hooldamise eest vastutab Veeteede Amet.28 Sadamate ja nende sissesõiduteede navigatsioonimärgistuse vastavuse kindlustamiseks teostab Veeteede Amet kontrolli märgistuse nõuetekohase töö üle ning mittevastavuse korral teeb sadama valdajale ettekirjutuse navigatsioonimärgistuse normaalse töö tagamiseks. Veeteede Ameti ettekirjutused on sadama valdajale kohustuslikud.29 Sadamaregistri pidamise eesmärk on arvestuse pidamine sadamate üle, et tagada riigiasutustele seadustest ja teistest õigusaktidest tulenevate veeliiklus ohutuse, turvalisuse ja keskkonnakaitse valdkondliku juhtimise ja korraldamise ülesannete täitmiseks ning riikliku järelevalve teostamiseks vajalikud andmed.30 Sadamaregister annab koondülevaate kõigist Eestis registreeritud sadamatest, sisaldades nii mereäärseid kui ka siseveekogudel paiknevaid sadamaid. Registrist saab infot selle kohta kus sadam 27 Majandus- ja kommunikatsiooniministri 02.12.2002.a määrus nr 18 „Navigatsioonimärgistuse kavandamise, rajamise, rekonstrueerimise, paigaldamise, järelevalve ja märgistustest teavitamise nõuded ning kord“ § 3 lg 1 28 Majandus- ja kommunikatsiooniministri 02.12.2002.a määrus nr 18 § 4 29 Majandus- ja kommunikatsiooniministri 02.12.2002.a määrus nr 18 § 10 lg 3 30 Vabariigi Valitsuse 12.12.2012. a määrus 103 „Sadamaregistri pidamise põhimäärus“ § 1 13 asub, millised on sadama tehnilised andmed, milliseid teenuseid sadam pakub, kes on sadama pidaja, kes sadama kapten. Registrisse kantud andmetel on informatiivne tähendus. Andmete registrisse kandmine ei too endaga kaasa õiguslikke tagajärgi, kui seaduses ei ole sätestatud teisiti.31 Järelevalvet registri pidamise üle teostab Majandus- ja Kommunikatsiooniministeerium.32 Elektroonilise mereinfosüsteemi (edaspidi EMDE) pidamise eesmärgiks on hõlbustada meretranspordiga seonduva informatsiooni edastamist, kogumist ja säilitamist.33 Infot edastatakse laeva ja tema seisukorra erinevate aspektide, meeskonna ja reisijate ning kauba kohta. Info edastajateks on laevaomanikud või nende volitatud esindajad (kapten või laevaagent). Info saajateks on erinevad riigiasutused ja sadamapidajad. Andmekogu on riigi, kohaliku omavalitsuse või muu avalik-õigusliku isiku või avalikke ülesandeid täitva eraõigusliku isiku infosüsteemis töödeldavate korrastatud andmete kogum, mis asutatakse ja mida kasutatakse seaduses, selle alusel antud õigusaktis või rahvusvahelises lepingus sätestatud ülesannete täitmiseks.34 Andmekogu asutatakse seaduse või selle alusel antud õigusaktiga.35 Auditi eesmärk, ulatus ja põhiküsimused Auditi eesmärgiks oli anda hinnang Veeteede Ameti NMA, sadamaregistri ja EMDE pidamisele, kasutamisele ja õiguste haldusele. Auditi põhiküsimused olid: 1. Kuidas on korraldatud infoturve Veeteede Ametis? a. Kas on määratud infoturbe eest vastutav isiku? b. Kas asutusel on infoturbepoliitika ja kas see on kaasajastatud? c. Kas on tellitud ISKE auditeid? d. Kas ISKE auditite tulemused on rakendatud? 2. Kuidas on korraldatud andmekogude pidamine? a. Kas on olemas põhimäärus? b. Kas on määratud vastutav(ad) ja volitatud töötleja(d)? c. Kas on määratud turbetase ja turvaklasse?36 d. Kas on tagatud andmevahetus riigi infosüsteemi kuuluvate andmekogudega? e. Kas on määratud registrisse kantud andmete õiguslik tähendus? f. Kui suur on registrite kasutamine välisekasutaja (väljaspoolt VTA-d) poolt? 3. Kuidas on korraldatud andmekogude kasutajaõiguste haldamine? 31 Vabariigi Valitsuse 12.12.2012. a määrus 103 „Sadamaregistri pidamise põhimäärus“ § 8 32 Vabariigi Valitsuse 12.12.2012. a määrus 103 „Sadamaregistri pidamise põhimäärus“ § 14 lg 1 33 Majandus- ja kommunikatsiooniministri 12.06.2013. a määrus nr 39 § 1 lg 2 34 Avaliku teabe seadus § 431 lg 1 35 Avaliku teabe seadus § 433 lg 1 36 Auditi käigus ei hinnata turbetaseme ja turvaklasside määramise õigsust 14  a. Kas on määratud infosüsteemi administraator? b. Kas on reguleeritud infosüsteemi kasutajaõiguste tasemed ja nende andmine? c. Kas õiguste andmine toimub vastavalt juhendile? d. Kas kontrollitakse kasutajaõiguste sihipärast kasutamist? e. Kas on tagatud õiguste ära võtmine asjaomaste tingimuste selgumisel? 4. Kuidas on korraldatud menetluste/toimingute läbiviimine andmekogudes? a. Kas on olemas terviklik ülevaade kõigist võimalikest menetlusliikidest/ toimingutest? b. Kas menetluste/toimingute läbiviimiseks on koostatud asjakohased juhendid? c. Kas menetluste läbiviimine/toimingute tegemine toimub vastavalt juhenditele? d. Kas läbiviidud menetlused/toimingud on korrektselt dokumenteeritud? Auditi käigus tuvastatud sisulised tähelepanekud dokumenteeriti ja edastati kirjalikus vormis. Auditeerimine planeeriti viisil, et see hõlmaks adekvaatselt kõiki auditi seisukohalt olulisi tegevusaspekte. Audiitoritena sooritasime vajalikud kontrolliprotseduurid saavutamaks piisava kindluse, et auditi eesmärgid on täidetud. Auditeeritav periood 01.01.2016-30.06.2018 Auditi läbiviijad Auditi viis läbi Majandus- ja Kommunikatsiooniministeeriumi siseauditi osakonna siseaudiitor Õie Soovik (auditi juht – CGAP,37 avaliku sektori üksuse siseaudiitor) ja siseauditi osakonna juhataja Meeli Õismaa. Lõpparuanne esitatakse Veeteede Ameti peadirektorile ning tutvustatakse ministeeriumi kantslerile Merike Saksale ja asekantsler Ahti Kuningale. Audiitorid tänavad kõiki osapooli toimingute läbi viimisel osutatud abi eest. 37 Certified Government Auditing Professional 15 Kinnitan lõpparuanne 17 leheküljel. Auditi juht /allkirjastatud digitaalselt/ Õie Soovik Siseauditi osakonna siseaudiitor /allkirjastatud digitaalselt/ Meeli Õismaa Siseauditi osakonna juhataja 16  Lisa 1 - Auditi toimingud Viidi läbi intervjuud ministeeriumi infoturbejuhiga ja Veeteede Ameti infoturbejuhiga. Üldine Analüüsiti infoturbepoliitikad ja valdkonda reguleerivaid õigusakte. Samuti vaadati üle infoturve tellitud ISKE auditid ja nende tulemuste rakendamine. Navigatsioonimärkide Elektrooniline Sadamaregister andmekogu mereinfosüsteem Vaadati üle põhimäärus ja Vaadati üle põhimäärus Selgitati välja alusdokumendid ja analüüsiti selle vastavust ja analüüsiti selle analüüsiti nende vastavust avaliku avaliku teabe seadusega. vastavust avaliku teabe teabe seadusega. Viidi läbi Viidi läbi intervjuu seadusega. Viidi läbi intervjuud navigatsiooni- sadamate järelevalve intervjuu rakenduse Infosüsteemi märgistuse osakonna juhatajaga, osakonna juhatajaga. peakasutajaga. pidamine peakartograafiaspetsialistiga, Täiendavad intervjuud Täiendavad intervjuud infotehnoloogia osakonna viidi läbi ministeeriumi viidi läbi ministeeriumi nõunikuga. Täiendavad intervjuud lennundus- ja lennundus- ja viid läbi ministeeriumi lennundus- merendusosakonna merendusosakonna ja merendusosakonna töötajatega. töötajatega. töötajatega. Analüüsiti infosüsteemi Analüüsiti infosüsteemi Analüüsiti infosüsteemi administraatori ametijuhendit, administraatori administraatori infosüsteemi kasutusjuhendit. ametijuhendit, ametijuhendit, Kasutajaõiguste Viidi läbi intervjuu navigatsiooni- infosüsteemi infosüsteemi haldus märgistuse osakonna juhatajaga, kasutusjuhendeid. Viidi kasutusjuhendit. Viidi peakartograafiaspetsialistiga, läbi intervjuu sadamate läbi intervjuu rakenduse infotehnoloogia osakonna järelevalve osakonna peakasutajaga. nõunikuga. juhatajaga. Analüüsiti infosüsteemi kasutusjuhend. EMDE Analüüsiti infosüsteemi Analüüsiti infosüsteemi puhul ei koostatud kasutusjuhendid ja valimi Toimingute kasutusjuhendit ja valimi alusel valimit. Koos alusel testiti läbiviidud läbiviimine testiti läbiviidud menetlusi (65 peakasutajaga vaadati menetlusi (20 menetlust ja menetlust). üksikud esitatavad 10 järelevalvemenetlust). teated ja deklaratsioonid. 17 Saatja: <[email protected]> Saadetud: 06.12.2018 12:02 Adressaat: VA_eva <[email protected]> Teema: Auditi lõpparuanne Manused: A1-1_Auditi lopparuanne.bdoc Tere! Teile on saadetud dokumendihaldussüsteemi Delta kaudu dokument. Pealkiri: Auditi lõpparuanne Registreerimise kuupäev: 03.12.2018 Registreerimise number: 1.13-1/18-6. Majandus- ja Kommunikatsiooniministeerium Suur-Ameerika 1 10122 Tallinn 625 6342 [email protected] http://www.mkm.ee