Sisekontrollisüsteemi tulemuslikkuse hindamine Tervise ja Heaolu Infosüsteemide Keskuses (auditi nr 2-2018 lõpparuanne)

SISEAUDITI OSAKOND Sisekontrollisüsteemi tulemuslikkuse hindamine Tervise ja Heaolu Infosüsteemide Keskuses Auditi nr 2-2018 lõpparuanne Tallinn, 2019 Hinnang Auditi lõpparuanne esitatakse: Tanel Kiik, sotsiaalminister Sotsiaalministeeriumi siseauditi osakond viis kooskõlas 2018. aasta tööplaaniga läbi auditi, mille eesmärgiks oli hinnata sisekontrollisüsteemi rakendamist Tervise ja Heaolu Infosüsteemide Keskuses (TEHIK). Audit hõlmas TEHIK-u tegevusi alates asutuse loomisest 2017. aastal. Siseaudiitorid jõudsid auditi toimingute tulemusel järeldusele1, et: 1. Asutuse strateegilised eesmärgid ja struktuur on määratletud ning on kehtestatud oluline osa asutusele vajalikest protseduurireeglitest ja sisemistest kordadest. 2. Olenemata ISKE auditite läbiviimisest peaks asutus siiski eraldi läbi viima kogu haldusala infoturbe riskide hindamist. 3. Asutus on rakendanud meetmeid huvide konflikti, ning pettuse- ja korruptsiooni ennetamiseks, lisaks soovitame hinnata pettuse- ja korruptsiooniriske ning täiendada töökorralduse reegleid. 4. Asutuses rakendatakse seire- ja aruandlussüsteemi ning olulised otsused on dokumenteeritud. Käesolevas lõpparuandes toodud tähelepanekud ja soovitused on esitatud, et anda ministeeriumile ja TEHIK-u juhile auditeeritud objekti kohta põhjendatud kindlustunne. Auditi lõpparuanne kinnitatud 17 lehel. /allkirjastatud digitaalselt/ /allkirjastatud digitaalselt/ Kersti Pung Evelin Pungas auditi juht auditi eest vastutav isik 1 Käesolev auditi lõpparuanne on koostatud sõltumatuse ja objektiivsuse printsiipidest lähtudes. Sellekohaselt on siseaudiitorid kohustatud auditeeritava valdkonna suhtes omama ja säilitama sõltumatuse kogu auditi perioodiks ning auditeeritav võtab endale kohustuse osutada auditi teostamiseks igakülgset abi ja andma siseaudiitorite kasutusse nõutavad andmed ja dokumendid. Eelnevast tulenevalt järeldavad siseaudiitorid, et kõik auditi käigus esitatud andmed ning muu suuline ja kirjalik teave kajastavad auditeeritava valdkonna tegevuse korrektselt ja tegelikkusele vastavalt ning on piisavad hinnangu andmiseks. Täiendava, siseaudiitoritele mitteesitatud / mitteteadaoleva informatsiooni korral oleksid siseaudiitorite järeldused võinud olla teistsugused. Auditi töörühm on teostanud auditi toimingud asjatundlikult ja nõutava ametialase hoolsusega. Auditi tulemusena antakse auditeeritud objekti kohta põhjendatud kindlustunne, võttes arvesse võimalikku auditi riski, et isegi suhteliselt olulised ebatäpsused võivad jääda avastamata. 2 Sisukord 1. Lühiülevaade auditi peamistest tulemustest ................................................................ 4 2. Taustinformatsioon ja kasutatavad lühendid ............................................................... 5 2.1. Tervise ja Heaolu Infosüsteemide Keskus ................................................................. 5 2.2. Auditi aruandes kasutatavad lühendid ....................................................................... 6 3. Auditi eesmärk ja ulatus ............................................................................................... 7 4. Auditi käigus teostatud toimingud ja toimingute läbiviijad ........................................ 7 5. Auditi tähelepanekud .................................................................................................... 7 5.1. Asutuse tegevuse strateegilised eesmärgid ja struktuur............................................. 7 5.2. Riskijuhtimise protsessi rakendamine ........................................................................ 8 5.3. Asutuse protsesside kaardistused.............................................................................12 5.4. Info, juhendite ja protseduurireeglite kättesaadavus..................................................13 5.5. Perioodilised tegevusülevaated, raportid ja tööplaan ................................................14 6. Auditijuhi deklaratsioon ...............................................................................................16 3 1. Lühiülevaade auditi peamistest tulemustest Auditi kava kohaselt oli auditi eesmärgiks välja selgitada, kas ja kuidas on sisekontrollisüsteemid rakendatud Tervise ja Heaolu Infosüsteemide Keskuses (TEHIK). Auditit alustades eeldasime, et: • kontrollikeskkond toetab asutuse strateegiliste eesmärkide saavutamist (määratletud on asutuse strateegia ja struktuur, kirjeldatud on osakondade põhimäärused, töötajatel on ajakohased ametijuhendid); • asutuse strateegiliste eesmärkide saavutamist ohustavate riskide tuvastamiseks ja analüüsimiseks on rakendatud riskijuhtimise protsess (asutus on teadlik oma tegevusriskidest; pettuse ja korruptsiooni ennetamiseks hinnatakse pettuse- ja korruptsiooniriske ning õigusaktist tulenevalt hinnatakse infoturbe riske); • asutuse protsessid on kaardistatud ja kirjeldatud, protsesside ja tegevuste eesmärgid toetavad asutuse strateegilisi eesmärke; asutus on tegelenud huvide konflikti ja korruptsiooniriski maandamisega; • info ja kommunikatsioon asutuses on täpne, õigeaegne ja kättesaadav; • asutuses hinnatakse sisekontrolli toimimist ajas, seire käigus teostatakse perioodilisi tegevusülevaateid. Läbiviidud auditi toimingute tulemustest järeldame:
Asutuse tegevuse strateegilised eesmärgid ja struktuur. 1. Asutuse strateegilised eesmärgid ja struktuur on määratletud. Kontrollikeskkonna kohta tehtud tähelepanekud on toodud aruande punktis 5.1.
Riskijuhtimise protsessi rakendamine. 1. Asutus ei ole hinnanud pettuse- ja korruptsiooniriske. 2. Õigusaktist tulenevale kohustusele vaatamata ei ole hinnatud valitsemisala asutuste infoturbe riske. 3. Puudub valitsemisala asutuste infoturbe riskide maandamise tegevuskava. Riskide hindamise ja juhtimise kohta tehtud tähelepanekud on toodud aruande punktis 5.2.
Asutuse protsesside kaardistused. 1. Auditi läbiviimise hetkeks on kehtestatud oluline osa asutusele vajalikest protseduurireeglitest ja sisemistest kordadest. 2. Soodustuse mõiste töökorralduse reeglites vajab täpsustamist. 3. Auditi toimingute läbiviimise ajal puudus alus tasuliste teenuste osutamiseks ja omatulu teenimiseks teenuste osas, mida ei ole õigusaktides nimetatud. Kontrollimeetmete kohta tehtud tähelepanekud on toodud aruande punktis 5.3. 4 
Info, juhendite ja sisemiste kordade kättesaadavus. 1. Asutuses on kirjeldatud informatsiooni liikumise ja haldamise põhimõtted, juhendid ja protseduurireeglid on asutuse töötajatele kättesaadavad. Täpsemalt vaata aruande punkti 5.4.
Perioodilised tegevusülevaated, raportid 1. Asutuses rakendatakse seire- ja aruandlussüsteemi ning olulised otsused on dokumenteeritud. 2. 2017. aasta infoturbe raport on koostamata ja asutuse juhi poolt allkirjastamata. 2018. aasta infoturberaport toob valitsemisala infoturbe riskid välja osaliselt. Täpsemalt vaata aruande punkti 5.5. Oma järeldustest lähtuvalt soovitame TEHIK-l edaspidi läbi viia valitsemisala asutuste infoturbe riskide hindamine ja koostada valitsemisala asutuste infoturbe riskide maandamise tegevuskava. Täita infoturbe raporti koostamise ja allkirjastamise osas õigusaktiga kehtestatud nõuet. Pettuse- ja korruptsiooniohu ennetamiseks täiendada töökorralduse reegleid kinkekaardi näitega ja teavitada asutuse töötajaid kinkekaartide vastuvõtmise keelust. Luua õiguslik alus nende tasuliste teenuste osutamiseks, mida ei ole õigusaktides nimetatud. 2. Taustinformatsioon ja kasutatavad lühendid Sisekontrollisüsteem on terviklik protsess, mille rakendajaks on asutuse juht ja töötajad ning mille eesmärgiks on anda piisaval määral kindlustunnet, et tagatud on kehtivatest õigusaktidest tulenevate nõuete täitmine; tegevuse korrapärasus, eetilisus ning aruandekohustuste täitmine. Sisekontrolli meetmete rakendajad peavad teadma, millised on nende rollid, vastutus ning volitused. Sisekontrolli süsteemi valitsusasutuses ja valitsusasutuse hallatavas riigiasutuses rakendab ja selle tulemuslikkuse eest vastutab asutuse juht2. Arvamuse andmise kriteeriumitena kasutati käesolevas auditi aruandes rahvusvahelise kõrgeimate kontrolliasutuste ühendorganisatsiooni INTOSAI sisekontrolli standardeid, mille kohaselt koosneb sisekontrolli keskkond viiest omavahel seotud komponendist: kontrollikeskkond, riskide hindamine, kontrollimeetmed, info- ja kommunikatsioon ning järelevalve/seire. Käeolevas auditis hinnati sisekontrollisüsteemi kõikide nimetatud komponentide lõikes. 2.1. Tervise ja Heaolu Infosüsteemide Keskus Tervise ja Heaolu Infosüsteemide Keskus (TEHIK) on 1. jaanuaril 2017 tegevust alustanud info- ja kommunikatsioonitehnoloogia kompetentsikeskus, mis tegeleb Sotsiaalministeeriumi valitsemisalas IKT teenuste arendamise ja haldamisega tervise-, sotsiaal- ja töövaldkonnas. 2 Vabariigi Valitsuse seadus § 921 lg 2 5 Asutuse peamisteks ülesanneteks on: • andmekogude/infosüsteemide/e-teenuste arendamine (sh andmete standardite arendamine); • valitsemisala IKT infrastruktuuri ja halduse tagamine; • valitsemisala infoturbepoliitika rakendamine; • andmeanalüüsi korraldamine poliitika kujundamiseks, raporteerimiseks, tulemuslikkuse seireks ja järelevalveks; • tugiteenuste osutamine. Infoturbe juhtimise süsteemi rakendamist asutuses reguleerivad alljärgnevad õigusaktid: a) Infoturbe juhtimise süsteem – Vabariigi Valitsuse 15.03.2012 määrus nr 26; b) Infosüsteemide turvameetmete süsteem – Vabariigi Valitsuse 20.12.2007 määrus nr 252. 2.2. Auditi aruandes kasutatavad lühendid Astangu KRK – Astangu Kutserehabilitatsiooni Keskus IKT – info- ja kommunikatsioonitehnoloogia ISKE – infosüsteemide turvameetmete süsteem KVS – Korruptsioonivastane seadus KüTS – Küberturvalisuse seadus RIA – Riigi Infosüsteemi Amet RIK – Registrite ja Infosüsteemide Keskus SKA – Sotsiaalkindlustusamet SKAIS – Sotsiaalkindlustusameti infosüsteem SOM – Sotsiaalministeerium TA – Terviseamet TEHIK– Tervise ja Heaolu Infosüsteemide Keskus TI – Tööinspektsioon TIS – tervise infosüsteem TTO – tervishoiuteenuse osutaja 6 3. Auditi eesmärk ja ulatus Audit hõlmas TEHIK-u tegevusi alates asutuse loomisest 2017. aastal. Auditi eesmärgiks oli välja selgitada, kas asutus on üles ehitanud toimiva sisekontrolli- süsteemi ning auditi eesmärgi täitmisel lähtusime järgmistest kriteeriumitest: 1) kontrollikeskkond toetab asutuse strateegiliste eesmärkide saavutamist (määratletud on asutuse strateegia ja struktuur, kirjeldatud on osakondade põhimäärused, töötajatel on ajakohased ametijuhendid); 2) asutuse strateegiliste eesmärkide saavutamist ohustavate riskide tuvastamiseks ja analüüsimiseks on rakendatud riskijuhtimise protsess (asutus on teadlik oma riskidest ja õigusaktist tulenevalt hinnatakse infoturbe riske, pettuse ja korruptsiooni ennetamiseks hinnatakse korruptsiooni- ja pettuseriske); 3) asutuse protsessid on kaardistatud ja kirjeldatud, protsesside ja tegevuste eesmärgid toetavad asutuse strateegilisi eesmärke; asutus on tegelenud huvide konflikti ja korruptsiooniriski maandamisega; 4) info ja kommunikatsioon asutuses on täpne, õigeaegne ja kättesaadav; 5) asutuses hinnatakse sisekontrolli toimimist ajas, seire käigus teostatakse perioodilisi tegevusülevaateid. 4. Auditi käigus teostatud toimingud ja toimingute läbiviijad Auditi käigus hinnati sisekontrollisüsteemi toimimist viie omavahel seotud komponendi lõikes: kontrollikeskkond, riskide hindamine, kontrollimeetmed, info- ja kommunikatsioon ning järelevalve/monitooring. Auditi toiminguid teostas ajavahemikul 11.02.–10.04.2019. a. SOM siseauditi osakonna siseaudiitor Kersti Pung ja auditi eest vastutavaks isikuks oli ministeeriumi siseauditi juht Evelin Pungas. Järgnevalt toome käesolevas auditi aruandes välja olulisemad tähelepanekud, järeldused ja soovitused. 5. Auditi tähelepanekud 5.1. Asutuse tegevuse strateegilised eesmärgid ja struktuur Auditi toimingute eesmärgiks oli selgitada: a) kas asutus on määratlenud oma tegevuse strateegilised eesmärgid; b) kas asutuses on loodud struktuur ning osakondade põhimäärused ja ametijuhendid toetavad strateegiliste eesmärkide saavutamist. TEHIK-u strateegia kohaselt on asutuse visiooniks olla aastaks 2020 hästi toimiv ja pühendunud töötajatega kompetentsikeskus, mis koostöös oma partneritega tagab 7 inimestest lähtuvaid ja valdkonnaüleselt integreeritud IKT teenuseid SOM-le ja selle valitsemisala allasutustele. Asutuse strateegilistes eesmärkides on sõnastatud SOM ning selle haldusala asutuste3 vajadused ja ootused, milleks on: • töökindlad, turvalised, kasutajasõbralikud ja jätkusuutlikud teenused (sh töökohateenus); • tähtaegselt valmivad IT-lahendused, mis sisuliselt toetavad kliendi tööprotsesse; • läbipaistev vaade IT-teenuste toimimisest; • vastavus standarditele, õigusaktidele, arengukavadele jne.; • tähtaegselt korraldatud IT- ja sidehanked; • koolitamine, teadlikkuse tõstmine ja nõustamine. TEHIKU struktuur koosneb 5 osakonnast4, millede põhimäärused on kinnitatud 22.06.2018 direktori käskkirjaga nr 20. Töötajate ametijuhendid katavad osakonna põhimäärustes toodud tegevusi. Positiivne järeldus: Asutuse strateegilised eesmärgid ja struktuur on määratletud. 5.2. Riskijuhtimise protsessi rakendamine Audititoimingute eesmärk oli välja selgitada: 1) kas asutus on teadlik strateegiliste eesmärkide saavutamist ohustavatest riskidest ja toimub riskide hindamine; 2) kas pettuse ja korruptsiooni ennetamiseks hinnatakse korruptsiooni- ja pettuseriske; 3) kas asutus hindab ja tuvastab riske õigusaktidest tulenevate kohustuslike valdkondade/protsesside raames (infoturbe juhtimine, tööohutus). Igal asutusel on eesmärgid, mida tahetakse saavutada ja samuti riskid, mis mõjutavad nende eesmärkide saavutamist. Riskide hindamise ja haldamise kohustust avaliku sektori asutustele õigusaktides sätestatud ei ole (v.a. infoturbe juhtimine, tööohutus ja riskide hindamine tulenevalt eriseadustest). Samas sisekontrollisüsteemi rakendamise kohustus valitsusasutustes ja valitsusasutuste hallatavates riigiasutustes tuleneb Vabariigi Valitsuse seadusest, mille kohaselt vastutab täidesaatva riigivõimu asutustes sisekontrollisüsteemi rakendamise ja selle tulemuslikkuse eest asutuse juht. Siinkohal on oluline rõhutada, et tõhusa sisekontrollisüsteemi kujunemise eelduseks on toimiv riskianalüüs5. Tähelepanek 5.2.1. Asutus ei ole hinnanud pettuse- ja korruptsiooniriske. TEHIKU-l tegevusriskide kaardistamise ja hindamise kohustust ei ole (v.a. infoturberiskid v.t tähelepanek 5.2.2.). Infoturbejuhi poolt koostatud raportist selgus, et laiem riskide hindamine 3 Astangu KRK, RA, TA, TAI, TI, SKA, Riiklik Lepitaja, Soolise võrdõiguslikkuse ja võrdse kohtlemise voliniku büroo 4 Andmeanalüüs, e-teenuste juhtimine, infosüsteemihaldus, infoturbe- ja üldosakond 5 Rahandusministeerium-Juhendmaterjal täidesaatva riigivõimu asutustele, 2013 8 on plaanitud läbi viia 2019. aasta teises pooles ning asutusel on plaanis lisaks IKT riskidele hinnata ka strateegilisi ja tegevusriske. Järeldus: Asutus ei ole hinnanud korruptsiooni- ja pettuseriske, mille realiseerumine võib kaasa tuua mainekahju asutusele. Soovitus: Asutuse strateegiliste ja tegevusriskide kaardistamisel ja hindamisel pöörata tähelepanu ka korruptsiooni- ja pettuseriskidele. TEHIK kommentaar: TEHIK on läbivinud töötajatele koolitusi pettuse- ja korruptsiooniriskide osas teadlikkuse tõstmiseks. Seda tööd tuleb pidevalt teha, et tagada töötajate teadlikkus. Viimane koolitus toimus 21.03.19, kus infotunnis räägiti korruptsiooni ja huvide konflikti vältimisest riigihangetes. Eelmise aasta aprillis viis TEHIKus korruptsioonivastase koolituse läbi keskkriminaalpolitsei korruptsioonikuritegude büroo Lääne talituse juht, kes rääkis praktiliste kaasuste korruptsioonijuhtumitest avaliku sektori IT valdkonnas. Arvestame auditis toodud soovitustega edaspidi täiendada TEHIK sisekorra reegleid. Lisaks täiendame personali valdkonnas töökorralduse protsesse selliselt, et meie töötajate teadlikkus korruptsioonist ja pettustest oleks järjepidevalt uuendatud – meetmena kasutame värbamise poliitikat, uute töötajate sissejuhatavat koolitust, arenguvestluseid. Töötervishoiu- ja tööohutuse seadusest (TTOS) tulenevalt on TEHIK rakendanud meetmeid töötajate terviseriskide vältimiseks ja vähendamiseks6. Töökeskkonna riskianalüüs toimus 2018. aasta oktoobris ja selle viis läbi OÜ Töökeskkonna Uuringud, töötajate tervisekontrolli on läbi viinud OÜ Esmed Töötervishoid. Positiivse tähelepanekuna toome välja, et TEHIK-u hallatavate arendusprojektide kohta on olemas projekti riskide kaardistused (näiteks on asutus kaardistanud SKAIS2 arhitektuuri elluviimisega kaasnevad riskid). Tähelepanek 5.2.2. Asutus ei ole hinnanud valitsemisala asutuste infoturbe riske. TEHIK viib ellu ministeeriumi ja ministeeriumi valitsemisala infoturbepoliitikat oma tegevusvaldkonna piires7 ja infoturbe osakonna põhiülesandeks on muuhulgas korraldada infoturbe rakendamist ning riskide juhtimist ja järelevalvet ministeeriumi valitsemisalas8. Asutuse juhi ülesandeks on korraldada asutuse infoturbe riskide hindamist ja nende maandamise tegevuskava koostamist vähemalt kord aastas, kaasates sellesse infoturbejuhi9. Infoturbejuhi koostatud memost selgus, et infoturbe riskide haldamine on SOM valitsemisalas korraldatud ISKE rakendamise kaudu, kus infoturbe riskide hindamine sisaldub ISKE rakendusmetoodikas ning riske maandatakse etalonturbemeetmetega. ISKE auditite tulemusel on tehtud soovitusi ning toodud välja ka riskid. Infoturbejuhi hinnangul on valitsemisala infoturbe riskid ISKE auditite tulemusel kaardistatud ning auditis tuvastatud riskide maandamise tegevuskava on asutustega kokku lepitud. 6 TTOS § 13 lg 1 p 3 ja § 13 lg 1 p 7 7 p 17 alapunkt 11- TEHIK põhimäärus 15.02.2017 kk 23 8 p 26 alapunkt 4-TEHIK põhimäärus 15.02.2017 kk 23 9 § 3 lg 6 – Vabariigi Valitsuse 15.03.2012 määrus nr 26 „Infoturbe juhtimise süsteem“ 9 Kuna laiem riskide hindamine on asutuses plaanitud läbi viia 2019. aasta teises pooles, siis ei ole siiani eraldi kaardistatud ega hinnatud ka infoturberiske. Tähelepanek 5.2.3. Puudub valitsemisala asutuste infoturbe riskide maandamise tegevuskava. 03.11.2017 ministri käskkirjaga nr 107 kinnitatud „Sotsiaalministeeriumi ja selle valitsemisala infoturbepoliitika“ punkti 1.2. kohaselt on SOM valitsemisala asutused SKA, TA, RA, TI, TAI, Astangu KRK ning TEHIK. Asutuse juht kinnitab vähemalt kord aastas infoturbejuhi koostatud infoturbe raporti, millega aktsepteerib muu hulgas asutuse või selle valitsemisalas infoturbejuhi esitatud riskid, ja riskide maandamise järgmise aasta tegevuskava10. Asutuse juhi poolt allkirjastatud riskide maandamise tegevuskava asemel on infoturbe juht edastanud ISKE koondaruande ja ISKE 2019. aasta rakendusplaani tõendamaks, et asutusel on olemas valisemisala ülene infoturbe riskide maandamise tegevuskava. Esitatud koondaruandes puudub SOM valitsemisala asutus Astangu KRK. TEHIK ei ole täitnud õigusaktist tulenevat nõuet. Infoturbe riskide hindamine SOM valitsemisala asutustes on korraldamata ning puudub riskide maandamise tegevuskava. Järeldus: ISKE auditites väljatoodud tähelepanekuid ja riske ei saa käsitleda infoturbe riskide kaardistamisena kogu valitsemisalas. Praegusel juhul on tegemist juba ISKE auditites välja toodud realiseerunud riskidega, mis oleks olnud eelnevalt maandatavad. ISKE metoodikat saab rakendada infoturbe riskide kaardistamiseks ning eelnev riskide hindamine ja tegevuskava koostamine on vajalik, et ennetada riskide realiseerumist. Soovitus: Viia läbi valitsemisala asutuste infoturbe riskide hindamine ja koostada riskide maandamise tegevuskava. TEHIK kommentaar: Eesti Vabariigis on kehtestatud riigi ja kohaliku omavalitsuse andmekogudes sisalduvate andmekoosseisude töötlemiseks kasutatavate infosüsteemide ning nendega seotud infovarade turvameetmete süsteem - infosüsteemide kolmeastmeline etalonturbe süsteem (ISKE), mis on mõeldud riigiasutustele ühtsetest põhimõtetest lähtumiseks infoturbe tagamisel. Süsteem töötati välja AS Cybernetica poolt Eesti Vabariigi Majandus- ja Kommunikatsiooniministeeriumi tellimusel ning selle rakendamine on sätestatud Vabariigi Valitsuse 20.12.2007 määrusega nr 252. Antud süsteem on väga detailne ning varustatud põhjaliku rakendusmetoodikaga, mis asub aadressil https://www.ria.ee/sites/default/files/content-editors/ISKE/iske_rakendusjuhend.pdf (ver 8.00). Metoodika on aegasäästev, sest puudub vajadus läbi viia veel eraldi riskianalüüse, st füüsiliste, organisatsiooniliste ja infotehniliste ohtude riskide hindamine ja maandamine sisaldub juba metoodikas. Nimelt ISKE metoodika kohaselt määratletakse organisatsiooni infovarad ja nende turvaklassid. Turvaklass koosneb kolmest osaklassist, mis kajastab infovara õigsuse (tervikluse), kättesaadavuse (käideldavuse) ja salastatuse (konfidentsiaalsuse) vajadusi. Osaklassi määramisel tuleb arvestada seadustest, lepingutest ja põhitegevuse protsessidest 10 § 3 lg 7 – Vabariigi Valitsuse 15.03.2012 määrus nr 26 „Infoturbe juhtimise süsteem“ 10 tulenevaid nõudeid ning nende rikkumise tagajärgede kaalukust, mis tähendab turvaintsidendist tekkivate kahjude ja ühtlasi riskide hindamist. Turvaklassist tuleneb infoavara nõutav turbeaste (madal, keskmine või kõrge), millele vastavalt kohaldatakse ISKE kataloogidest rakendamisele kuuluvad turvameetmed (organisatsioonilised, füüsilised ja infotehnilised) kontrollides seejuures ohtude kataloogi abil tegelikku turvaolukorda arvestades tegelikke ohte konkreetse infovara lõikes. Ühtlasi hinnatakse, millised meetmed on juba rakendatud või mille rakendamise vajadust pole, kuna risk on maandatud juba teiste vahenditega. ISKE meetmete, sh ohtude kataloogid asuvad ISKE Portaalis aadressil https://iske.ria.ee. Hinnangu ISKE täitmise üle on TEHIK taganud ISKE määruse § 91 nõuete kohaselt sõltumatu audiitori poolt. Auditite tulemused on edastatud käesoleva auditi läbiviijale koos ISKE infoturberiskide hindamise metoodika selgitustega. Seega on infoturberiskide hindamine kaetud ISKE rakendamise metoodikaga, mille muutmist TEHIK ei pea otstarbekaks, sest vastasel korral ei ole tagatud ISKE määruse täitmine. Lisaks infoturberiskide hindamisele väärib kaalumist, kas SoM valitsemisalas viia täiendavalt läbi asutuste nt strateegilise-, tegevus-, kolmanda osapoole-, personali-, töökeskkonna- jm oluliste riskivaldkondade hindamine. See annaks sisendi muuhulgas strateegilistesse dokumentidesse ja asutuste tööplaanidesse, kriisiolukordade riskianalüüsidesse, infoturbe juhtimise süsteemi rakendamiseks kui ka auditeeritavate objektide ja teemade määratlemiseks. Selgituseks lisame, et tähelepanekus 5.2.3 viidatud koondaruandes puuduoleva Astangu KRK andmed lisanduvad praegu käimasoleva ISKE auditi tulemusel. Kokkuvõtteks infoturberiskide hindamine ning maandamine SoM valitsemisalas on korraldatud ISKE nõuete kohaselt. Vajadusel olen nõus täiendavalt selgitama punkte 5.2.2 ja 5.2.3 ISKE meetmete rakendamist. Audiitori vastukommentaar: Tähelepanekud ei andnud hinnangut ISKE täitmise ega ISKE auditeerimise metoodika kohta vaid tõid välja määruse11 nr 26 nõuded kogu valitsemisala infoturbe riskide hindamise ja riskide maandamise tegevuskava kohta. Ka ei leidunud RIA kodulehel olevates juhendites viiteid selle kohta, et ISKE auditite läbiviimine oleks samaväärne infoturbe riskide hindamisega kogu valitsemisalas. RIA on seisukohal, et ISKE-t rakendatakse ainult andmekogudele ning infoturbe riskide hindamiseks on üksnes ISKE auditite läbiviimine piisav ainult kõikide ISKE moodulite rakendamise korral. (Infoturbejuhi kinnitusel viiakse ISKE auditi eel läbi moodulite valik (tulemiks valim) vastavalt auditeerimise juhendile, moodulgruppidesse valitakse ka kõige kaalukam moodul). RIA hinnangul peaks asutus olenemata ISKE auditite läbiviimisest siiski eraldi läbi viima kogu haldusala infoturbe riskide hindamist arvestades seejuures KüTS-ist ja tema alamaktidest tulenevaid nõudeid. RIA juhtis tähelepanu ka asjaolule, et 01.01.2020 jõustuva KüTS-i § 7 lg 2 kohaselt on asutus kohustatud turvameetmete rakendamisel muuhulgas: 1) koostama süsteemi riskianalüüsi, milles tuleb esitada süsteemi turvalisust ja teenuse toimepidevust mõjutavate ning küberintsidendi tekkimist põhjustavate riskide loetelu, määrama riskide realiseerumisel tekkiva küberintsidendi tagajärgede raskusaste ning kirjeldama küberintsidendi lahendamise abinõusid; 11 Vabariigi Valitsuse 15.03.2012 määrus nr 26 „Infoturbe juhtimise süsteem“ 11 2) tagama dokumenteeritud süsteemi riskianalüüsi, turvaeeskirjade ja turvameetmete rakendamise kirjelduse olemasolu ja ajakohasuse. 5.3. Asutuse protsesside kaardistused Audititoimingute eesmärk oli välja selgitada: 1) kas asutuse protsessid on kaardistatud ja kirjeldatud ning protsessis osalejate tegevused selgelt määratletud; 2) kas sisemised tööjuhendid annavad töötajatele piisavad ja selged käitumisjuhised; 3) kas töötajate õigused, kohustused ja vastutus on selgelt määratletud ning kajastuvad ametijuhendites; 4) kas asutus on välja töötanud maandavaid tegevusi huvide konflikti ja korruptsiooni ennetamiseks; 5) kas asutus osutab tasulisi teenuseid ja mis on selle aluseks. Asutuse juhi ülesandeks on kehtestada asjakohased sisemised poliitikad, protseduurireeglid ja käitumisjuhised. TEHIK alustas tegevust 1. jaanuaril 2017 ja praeguseks hetkeks on kehtestatud oluline osa asutusele vajalikest protseduurireeglitest ja sisemistest kordadest. Väljatöötamisel on veel arvutivõrgu poliitika; arenduskord; teenustasemete halduse kord; IT- profiil; riskipõhise testimise protsessi esimene versioon ja riskipõhise testimise juhend; reliisihalduse kord; konfiguratsioonihaldus ja sündmuste haldus. Järeldus: TEHIK-us on kehtestatud oluline osa asutusele vajalikest protseduurireeglitest ja sisemistest kordadest. Tähelepanek 5.3.1. Töökorralduse reeglites tuleb täiendada soodustuse mõistet kinkekaardi näitega. TEHIK-us on tegeletud korruptsiooni ja pettuse ohu ennetamisega ning asutuses on kehtestatud reeglid nende vältimiseks. Kinnitatud on töökorralduse reeglid, milles lisa 3 annab töötajatele käitumisjuhiseid korruptsiooni ja kõrvaltegevuse korral. Punktis 4 on lahti kirjutatud juhised kingituste ja soodustuste kohta. TEHIK-u töötaja ei tohi vastu võtta kingitusi ega soodustusi (sh nii otseseid soodustusi töötajale kui kaudseid soodustusi töötajaga seotud isikutele) isikutelt, kelle üle teostatakse järelevalvet või kellelt tellitakse teenust12. Korruptiivne tulu on ametiisikule endale või kolmandale isikule ametiisiku ametikohustuse tõttu pakutud või ametiisiku poolt nõutud varaline või muu soodustus, samuti ametiisiku kohustusi rikkudes saadud soodustus13. KVS paneb ametiisikule kohustuse keelduda korruptiivsest soodustusest ning toob välja, et korruptiivseks ei loeta soodustust, mis ei ole seostatav ametikohustusega või mida saab üheselt mõista tavapärase viisakusavaldusena. Soodustuse all peetakse silmas mistahes vormis võimalikku kasusaamist (nii varalist (sh rahalist) ja mittevaralist). Soodustus võib väljenduda ka osutatud või pakutavates teenustes. 12 Töökorralduse reeglid, lisa 3 punkt 4.1.1. 13 KVS § 4 lg 1 12 Koostööpartnerite seas on levinud praktika saata tänutäheks hea koostöö eest asutustesse kinkekaarte, kuid tasuta teenuste osutamist ja kinkekaartide kinkimist ei saa lugeda tavapäraseks viisakusavalduseks. Kuivõrd piir tavapärase viisakusavalduse ja korruptiivse tuluna käsitletava soodustuse vahel võib olla ebaselge, tuleb selliste soodustuste suhtes olla eriti tähelepanelik. Järeldus: Eksisteerib risk, et asutuse töötajad ei ole teadlikud, et koostööpartnerite saadetud kinkekaarte ei saa lugeda tavapäraseks viisakusavalduseks, mistõttu võivad nad kinkekaarte vastu võttes tekitada asutusele mainekahju. Soovitus: Täiendada töökorralduse reegleid kinkekaardi näitega ja teavitada asutuse töötajaid kinkekaartide vastuvõtmise keelust. TEHIK kommentaar: Täiendame töökorralduse reegleid ning läbiviidavates koolitustes toome ka vastavad teemad välja. Tähelepanek 5.3.2. Auditi toimingute läbiviimise ajal puudus õiguslik alus ja hinnakiri tasuliste teenuste osutamiseks. Vastavalt TEHIK-u põhimääruse punkti 17 alapunktile 20 osutab asutus tasulisi teenuseid õigusaktides kehtestatud korras. TEHIK-st saadud info põhjal kvalifitseeruvad tasuliste teenustena hetkel TTO-dele esitatavad teenused: - andmete töötlemine TIS-is14 - TIS liidestumislepingu kulu15 Lisaks teenuse osutamisele TTO-dele on TEHIKU-l lähiajal plaanis hakata pakkuma teenust ka Eesti Haigekassale, mis eeldab õigusliku aluse loomist tulu saamise võimaldamiseks. Selleks on TEHIK alustanud konsultatsioone SOM õigusosakonnaga ja planeerinud kinnitada TEHIKU direktori käskkirjaga hinnakirja, milles kajastatakse võimalikud teenused ja nende hinnad. Järeldus: Auditi toimingute läbiviimise ajal puudus alus tasuliste teenuste osutamiseks ja omatulu teenimiseks teenuste osas, mida ei ole õigusaktides nimetatud. Soovitus: Luua õiguslik alus tasuliste teenuste osutamiseks. TEHIK kommentaar: Hinnakirja käskkiri on kehtestatud. Eelnevalt on hinnakiri esitatud teadmiseks Sotsiaalministeeriumi e-teenuste arengu ja innovatsiooni asekantslerile Kalle Killar ja siseauditi juhile Evelin Pungas. 5.4. Info, juhendite ja protseduurireeglite kättesaadavus Audititoimingute eesmärk oli välja selgitada: 14 Sotsiaalministri 19.01.2007 määrus nr 9 „Kindlustatud isikult tasu maksmise kohustuse Eesti Haigekassa poolt ülevõtmise kord ja tervishoiuteenuse osutajatele makstava tasu arvutamise metoodika“ 15 Vabariigi Valitsuse 13.12.2018 määrus nr 116 „Eesti Haigekassa tervishoiuteenuste loetelu“. 13  1) kas juhendid ja protseduurireeglid on asutuse töötajatele kättesaadavad ja töötajad on teadlikud kehtivatest kordadest; 2) kas info ja kommunikatsioon on täpne, õigeaegne ja kättesaadav. Asjaajamiskord kehtestab asjaajamise ja dokumendihalduse korraldamise põhimõtted ja nõuded TEHIKU-s. Juhendid ja protseduurireeglid on asutuse töötajatele kättesaadavad siseveebis loendi alt -poliitikad, korrad ja juhendid. Koosoleku protokollid on asutuse siseveebist kättesaadavad sarjas-koosolekute protokollid, mis omakorda jagunevad juhtkonna protokollid ja otsustuskoja koosolekud, lisaks on Deltas protokollide sari - nõupidamiste ja koosolekute protokollid. Järeldus: Asutuses on kirjeldatud informatsiooni liikumise ja haldamise põhimõtted, juhendid ning protseduurireeglid on asutuse töötajatele kättesaadavad. 5.5. Perioodilised tegevusülevaated, raportid ja tööplaan Auditi toimingute eesmärgiks oli selgitada: 1) kas asutuses rakendatakse seire- ja aruandlussüsteemi ning olulised otsused on dokumenteeritud; 2) kas tööplaanide täitmist kontrollitakse; 3) kas IT-arendusprojektide kohta on olemas tegevusaruanded; 4) kas on täidetud õigusaktist tulenev nõue infoturbe raporti kinnitamisest. Sisekontrollimeetmete toimivuse jälgimiseks tuleb asutuses rakendada seire- ning aruandlussüsteemi. Oluline on, et asutusesisesed aruandlusliinid on määratletud, ellu rakendatud ning seirest jääb jälg (st seire dokumenteeritakse). IT-arendusprojektide juhtrühma moodustamise käskkirjas on määratud kodukord ja iga projekti vastutaja. Juhtrühma koosolekuid protokollitakse ja säilitatakse dokumendihaldus- süsteemis Delta, kus projektid ja e-teenused koosnevad asjatoimikust ja seal asuvad ka projektide vahearuanded. TEHIK-u hallatavate projektide üle (näit. SKAIS 2, jms.) peetakse järelevalvet ning olemas on projektide vaheraportid, milledes on välja toodud probleemid, otsused ja tähtaegade kaardistused. IT-arendusprojektide haldamiseks on välja töötatud töökord „Projektide dokumenteerimise hea tava“, mis on siseveebis kättesaadav. Ühtlasi jagatakse omavahel parimaid praktikaid projektide haldamise kohta. Välisvahenditega seotud projektid koos aruannetega (ESF, struktuurifondid) asuvad e- toetuste keskkonnas (etoetus.struktuurifondid.ee). Keskkond annab projektijuhile teavituse aruande esitamise tähtaegade kohta ning säilitab projektiga seotud e-kirjavahetuse. Rakendusüksus RIA saab paralleelselt vaadata kas projekti tegevuste kõik etapid on fikseeritud. Toimub perioodiline tööplaani täitmise kontroll. 14  Järeldus: Asutuses rakendatakse seire- ja aruandlussüsteemi ning olulised otsused on dokumenteeritud. Tähelepanek 5.5.1. 2017. aasta infoturbe raport on koostamata ja asutuse juhi poolt allkirjastamata. 2018. aasta raportis on asutuse juht aktsepteerinud osalised valitsemisala infoturbe riskid. Asutuse juhi ülesandeks on kinnitada vähemalt kord aastas infoturbejuhi koostatud infoturbe raport, millega ta aktsepteerib muu hulgas asutuses või selle valitsemisalas infoturbejuhi esitatud riskid ja järgmise aasta riskide maandamise tegevuskava16. Valitsemisala infoturbejuhil on üldine kohustus ministeeriumi valitsemisala infoturbe juhtimise süsteemi loomise ja ülalpidamise eest, sealhulgas kohustus korraldada infoturbealast aruandlust ministeeriumi juhtkonnale17. Infoturbe raport 2017. aasta kohta on koostamata ja asutuse juhi poolt allkirjastamata. 2018. aasta infoturbe raport on asutuse juhi poolt allkirjastatud auditi toimingute jooksul, päev pärast raporti küsimist. Raport sisaldab ülevaadet 2018. aasta infoturbe osakonna tegevusest ning muuhulgas ka viiteid ISKE auditite tulemustele ja rakenduskavale, kuid ei sisalda 2018. aasta kogu valitsemisala asutuste infoturbe riske ega järgmise aasta riskide maandamise tegevuskava. (vt. tähelepanek 5.2.2; 5.2.3.) Järeldus: 2017. aasta osas ei ole TEHIK täitnud õigusaktist tulenevalt nõuet. 2018. aasta infoturbe raportis puuduvad infoturbejuhi koondatud kogu valitsemisala asutuste infoturbe riskid ja sellest tulenevalt ka riskide maandamise tegevuskava. 2018. aasta infoturbe raportis ISKE auditi tähelepanekute ja ISKE auditite tegevuskava nimetamine kogu haldusala riskide hindamiseks ja maandamiseks on ühekülge, kuna kaetud on ainult osalised riskid ning puudub ennetav vaade võimalike ohtude kohta kogu valitsemisala asutuste infoturbes. ISKE auditi tähelepanekute puhul räägime me juba probleemi lahendamisest, mitte riski maandamisest ning ISKE auditi rakenduskavas on tegemist juba probleemi lahendamisega, mitte riski maandamisega. Soovitus: Tagada õigusaktist tuleneva nõude täitmine, st infoturbejuhil koostada vähemalt kord aastas infoturberaport kogu valisemisala ulatuses ja esitada asutuse juhile kinnitamiseks. Tagada infoturbealase aruandluse korraldamine ministeeriumi juhtkonnale. TEHIK kommentaar: 2018. aasta infoturberaportis on viide ISKE rakendusplaanile ning auditite tulemustele, millega on täidetud ISKE määruse (Vabariigi Valitsuse 20.12.2007 määrus nr 252) kohane infoturberiskide maandamine. Tähelepanekus on viidatud, et kaetud on ainult osalised riskid ning puudub ennetav vaade võimalike ohtude kohta ning et ISKE auditi tähelepanekute puhul räägime me juba probleemi lahendamisest, mitte riski maandamisest. Selgitame, et ISKE rakendamisel kontrollitakse ISKE ohtude kataloogi abil tegelikku turvaolukorda, arvestades tegelikke ohte konkreetse infovara lõikes. Sellega tagatakse ennetav vaade võimalike ohtude kohta kogu valitsemisala asutuste infoturbes. Ohtude 16 § 3 lg 7- Vabariigi Valitsuse 15.03.2012 määrus nr 26 „Infoturbe juhtimise süsteem“ 17 punkt 3.4.2 – SoM ja selle valitsemisala infoturbepoliitika 15 kataloog koosneb 5-st alajaotusest ja sisaldab ca 680 ohu nimetust koos kirjeldusega. ISKE meetmete ja ohtude kataloogid asuvad ISKE Portaalis, aadressil https://iske.ria.ee. ISKE rakendamise, sh riskide hindamise kohta vt täpsemini tähelepaneku 5.2.3 kommentaari. Audiitori vastukommentaar: RIA on seisukohal, et ISKE-t rakendatakse ainult andmekogudele ning üksnes ISKE auditite läbiviimine on infoturbe riskide hindamiseks piisav ainult kõikide ISKE moodulite rakendamise korral. (Infoturbejuhi kinnitusel viiakse ISKE auditi eel läbi moodulite valik vastavalt auditeerimise juhendile, moodulgruppidesse valitakse ka kõige kaalukam moodul). RIA hinnangul peaks asutus olenemata ISKE auditite läbiviimisest siiski eraldi läbi viima kogu haldusala infoturbe riskide hindamist arvestades seejuures KüTS-ist ja tema alamaktidest tulenevaid nõudeid. 6. Auditijuhi deklaratsioon Kinnitan, et auditi nr 2-2018 „Sisekontrollisüsteemi tulemuslikkuse hindamine TEHIK-s“ läbiviimine on olnud vastavuses SOM ja siseauditi osakonna põhimäärusega ning siseauditi osakonna protseduurireeglitega. Audit on läbi viidud vastavalt auditi programmile. Auditi läbiviija on allkirjastanud sõltumatuse deklaratsiooni, kinnitades nii oma sõltumatust auditeeritavast ja tagades auditi tulemuste objektiivsuse. Auditi tähelepanekud toetuvad auditi käigus kogutud tõendusmaterjalidele, mis on säilitatud e-toimikus 2-2018 ja mille hoidmise eest on vastutav auditi juht. Auditi e-toimik nr 2-2018 on salvestatud osakonna võrgukettale ning auditi lõpparuanne on salvestatud dokumendihaldussüsteemi Delta sarja 1.3-2. Auditi lõpparuande projekt esitati 03. mail 2019. aastal kommenteerimiseks TEHIK-u juhile. Audiitorile laekus kommenteeritud aruanne 13. mail 2019. Auditeeritava kommentaarid, millega siseaudiitor ei nõustu, on lisatud auditi lõpparuandesse vastava tähelepaneku juurde ning vastukommentaarina on esitatud asjaolud, miks auditeeritava seisukohaga ei nõustuta. Selleks on täiendavalt võetud hinnang Riigi Infosüsteemi Ameti infoturbe osakonnalt. Tulenevalt eelöeldust olen seisukohal, et auditi eesmärk on täidetud. Audiitor on audititoimingud teostanud asjatundlikult ja nõutava ametialase hoolsusega. Tagatud oli audiitori sõltumatus auditeeritavast ning seeläbi auditi tulemuste objektiivsus. Auditi tulemusena antakse auditeeritud objekti kohta põhjendatud kindlustunne, võttes arvesse võimalikku auditi riski, et täiendava, audiitoritele mitteesitatud / mitteteadaoleva informatsiooni korral oleksid siseaudiitorite järeldused võinud olla teistsugused. Täname TEHIK-u töötajaid auditi jooksul tehtud koostöö eest. /allkirjastatud digitaalselt/ Kersti Pung auditi juht 16 Käesolev auditi lõpparuanne edastatakse täiendavalt: Katrin Reinhold, TEHIK direktor Marika Priske, kantsler Kalle Killar, e-teenuste arengu ja innovatsiooni asekantsler 17