Avalike pilveteenuste kontseptsiooni tööversioon

15.04.2024 Riigihanke number 270230 Sisukord Lühikokkuvõte .................................................................................................................................................................................. 4 Mõisted ............................................................................................................................................................................................... 6 Sissejuhatus ....................................................................................................................................................................................... 7 1. Avalikud pilvteenused Eestis ja oodatud muutused ..................................................................................................... 9 1.1. Mõiste ja trendid ........................................................................................................................................................ 9 1.2. Avalike pilvteenuste juhtimine Eestis ...............................................................................................................13 1.3. Avalike pilvteenuste kasutamise hetkeseis ja ootused ..............................................................................17 2. Strateegilised valikud ja juhtimismudel ...........................................................................................................................20 1.4. Peamised strateegilised valikud .........................................................................................................................20 1.5. Juhtimise alusprintsiibid ........................................................................................................................................23 1.6. Juhtimismudeli tervikülevaade............................................................................................................................25 3. Tegevuskava juhtimismudeli elluviimiseks .....................................................................................................................29 2.1. Avalike pilvteenuste teekaart ..............................................................................................................................29 2.2. Avalike pilvteenuste strateegilise juhtimise tegevuskava detailsemalt ...............................................30 2.3. RIT kujunemine avalike pilvteenuste kompetentsikeskuseks detailsemalt ........................................31 2.4. IT-majade ja teenuseomanike tegevuskava ja vastutus detailsemalt ..................................................37 Kokkuvõte ........................................................................................................................................................................................39 Lisa 1. Kaasamise ja koostöö ülevaade ................................................................................................................................... 2 3 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Lühikokkuvõte Avalike pilvteenuste kasutamine avalikus sektoris on kriitilise tähtsusega tagamaks Eesti digiriigi kaasaegsus ja jätkusuutlikkus. Kontseptsiooni eesmärk oli välja selgitada, kes ja kuidas peaks juhtima avalike pilvteenuste efektiivset kasutuselevõttu Eesti avalikus sektoris. Ootuspäraselt kasvab avaliku pilve kasutuse osakaal avalikus sektoris lähiaastatel olulisel määral. Seetõttu on praegu õige aeg teha otsuseid, mil määral on plaanis avalike pilvteenuste kasutamist tsentraliseerida või keskselt koordineerida. Käesolev kontseptsioon keskendub eelkõige taristu- ja platvormiteenuste (nö IT baastaristu) kasutamisele, sest nende osas on ootuspäraselt Eesti avaliku sektori teenuseomanike vajadustel suurem ühisosa. Kontseptsiooni loomise käigus kirjeldati trendid Eesti avaliku sektori avalike pilvteenuste kasutamises, tuvastati soovitud muutused ning disainiti juhtimismudel, mis neid muutuseid efektiivselt toetaks. Arvestades senist baastaristu juhtimiskorraldust keskendub pakutav juhtimismudel valitsusasutuste ja nende poolt hallatavate asutuste tasemele. Juhtimismudeli elluviimiseks loodi tegevuskava. Dokument koosneb kolmest osast (peatükist). • „1. Avalikud pilvteenused Eestis ja oodatud muutused“ tutvustab avalike pilvteenuste olemust ja trende, hetkeolukorda Eestis ja erinevate osapoolte ootuseid. Ülevaade on antud eelkõige taristu ja platvormi (nö IT baastaristu) vajadustest lähtuvalt. Soovitame seda lugejale, kellel on vähesed teadmised avalikest pilvteenustest ja/või Eesti senisest IT baastaristu korraldusest. • „2. Strateegilised valikud ja juhtimismudel“ selgitab olulisemaid strateegilisi valikuid avalike pilvteenuste kasutuselevõtu juhtimisel. Arvestades senist baastaristu juhtimiskorraldust keskendub pakutav juhtimismudel valitsusasutuste ja nende poolt hallatavate asutuste tasemele. See on kontseptsiooni kõige olulisem osa, mis sõnastab Eestile soovitatava juhtimismudeli koos vastutajate ja nende rollide kirjeldustega lähemaks 5-10 aastaks. • „3. Tegevuskava juhtimismudeli elluviimiseks“ selgitab tegevuskava kuni aastani 2026. Kirjeldatud on erinevate osapoolte tegevused alates poliitikakujundajast ja lõpetades IT-majade ja/või teenuseomanikega. Detailselt on kirjeldatud Riigi Info- ja Kommunikatsioonitehnoloogia Keskuse (edaspidi RIT) kujunemisest pilvteenuste kompetentsikeskuseks. Milline on IT baastaristu tulevik? Avaliku sektori IT baastaristu jääb ootuspäraselt kasutama erinevaid pilvetehnoloogiatel põhinevaid platvorme. Uute rakenduste puhul kehtib juba täna arhitektuurne nõue ehitada neid pilvekõlbulikena. Senise Riigipilve ja privaatpilve lahenduste kõrval kasvab ootuspäraselt avalike pilvteenuste kasutus. Avalike pilvteenuste kasutuselevõtt on pikaajaline horisontaalne muutus, mis nõuab ümberkorraldusi nii tarkvara arendamises, organisatoorses korralduses, eelarve struktuuris aga ka kompetentside juhtimises. Seetõttu peavad avaliku sektori asutused asuma pilvetehnoloogia, ja sealhulgas ka avalike pilvteenuste, teele juba täna ning asuma välja arendama avalike pilvteenuste kasutamiseks vajalikke organisatoorseid võimekusi. Kontseptsiooni kohaselt soovitatakse sõnastada avalike pilvteenuste kasutuselevõtu juhtimise alusprintsiibid (5-10 a vaates) järgmiselt. 1. Digiühiskonna arengukava (DÜAK) kohaselt on avalike pilvteenuste aktiivsem kasutamine avalikus sektoris ootuspärane ja vajalik. Kontseptsiooniga ei tehta ettepanekuid DÜAKis sõnastatud eesmärke ega strateegilisi suundi oluliselt muuta. Teenuseomanikud peavad tagama valmisoleku kasutada pilvteenuseid, sh avalikke pilvteenuseid. Kontseptsioon soovitab avalikele pilvteenustele migreerumise sihte ning ootuseid organisatoorsete võimekuste arendamiseks täpsemini sõnastada. Pilvteenuste kasutuselevõtuga seotud eesmärke peab toetama asjakohane tegevusplaan, kus tegevustele on lisatud vastutajad. Need täpsustused tagavad, et eesmärke 4 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava  tõlgendatakse erinevate teenuseomanike poolt sarnaselt ning arengukava alusel viiakse muudatused ka ellu. 2. Teenuseomanikel on õigus ja kohustus valida oma e-teenuste osutamiseks sobivaimaid taristu- ja platvormiteenused. Kontseptsiooni kohaselt jäädakse truuks lähenemisele, kus avalike pilvteenuste kasutamine on iga teenuseomaniku valik. Kontseptsiooniga rõhutatakse, et teenuseomanikud peavad tegema kaalutletud valikuid avalike pilvteenuste ning riiklikult arendatavate ja hallatavate (nt Riigipilve) lahenduste vahel nii, et kumbki lahendus ei ole de facto eelistatud. 3. Avalike pilvteenuste kasutuselevõtt peab olema avalikult toetatud läbi digiühiskonna arengukava täienduste, eelarveotsuste ja asjakohase kommunikatsiooni. Selleks, et muuta ajalooliselt juurdunud seisukohti, kus parimaks lahenduseks peetakse Riigipilve lahendust, on vaja teadlikult kommunikatsiooni juhtida ja avaliku pilve asjakohaselt positsioneerida. Taktikalised otsused pilvteenustele migreerimise kiiruse ja määra osas on iga teenuseomaniku teha, kuid Majandus- ja Kommunikatsiooniministeerium (edaspidi MKM) julgustab ja toetab teekonna ettevõtmist. 4. Taristu- ja platvormiteenuste valikuid juhivad IT-majad, kes kaalutlevad avalike pilvteenuste ja Riigipilve lahenduste vahel või leiavad sobivaima lahenduse nende kombinatsioonis, tehes vastavad ettepanekud teenuseomanikele. IT-majadesse on koondatud ühe või mitme ministeeriumi valitsemisala IT- alane kompetents ning IT-majade vastutus on piiratud vastava valitsemisala teenustega. IT-majal on piisav info nii teenuse vajaduste kui ka tehnilise võimekuse kohta, et mõjutada kaalutletud otsuseid, millal pilvteenuseid kasutusele võtta. IT-maja tasemel on vajalik ka asjakohaste organisatoorsete muudatuste juhtimine ning kompetentside arendamine. 5. IT-maju toetab valikute tegemisel ja avalike pilvteenuste kasutuselevõtul keskne kompetentsikeskus. Keskse kompetentsikesksusena nähakse RITi, kuhu juba täna on konsolideeritud Eesti baasinfrastruktuuri lahendused. Kompetentsikeskusesse soovitakse koondada selliste ülesannete täitmine, mis vastasel korral eeldaks kordamist kõigis avalike pilvteenuste taristu- või platvormiteenuseid kasutavates IT-majades. RIT tagab ressursside keskse hankimise ja vahendamise ning ühiste mustrite (nn „guardrails“) kasutuse. RIT ise ei muutu avalike pilvelahenduste pakkujaks ega võta endale vastutust avalike pilvlahenduste turvalise juurutamise eest. RIT saab toetada avaliku sektori osapooli läbi parimate praktikate ja kogemuste jagamise. 6. RIT ei taga erinevate pilvelahenduste koosvõimet. Avaliku sektori baastaristu jääb koosnema erinevatest platvormidest (privaatpilv, Riigipilv, avalik pilv), millest mitmeid saab vahendama RIT. RIT aga ei taga nende lahenduste omavahelist koosvõimet. Eelnev ei sea piiranguid valikutele, kas ja kuidas otsustatakse Riigipilve edasi arendada. Kontseptsioon loodi perioodil veebruar – juuni 2024 vastavalt hankelepingule, mis on sõlmitud riigihanke “Avalike pilveteenuste kasutuselevõtu kontseptsioon ja tegevuskava“ (270230) tulemusena. Kontseptsioon valmis Gofore Estonia OÜ, Gofore Plc, TGS Baltic Eesti, RIT, MKM, Riigi Infosüsteemi Ameti (RIA), Keskkonnaministeeriumi Infotehnoloogiakeskuse (KEMIT), Küberväejuhatuse, Rahandusministeeriumi Infotehnoloogiakeskuse (RmIT), Siseministeeriumi Infotehnoloogia- ja Arenduskeskuse (SMIT), Tervise ja Heaolu Infosüsteemide Keskuse (TEHIK), Tervisekassa ja Töötukassa tihedas koostöös. 5 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Mõisted Mõiste Selgitus Avalikud pilvteenused Avalikkusele kättesaadavad pilverakendused, masinad, andmebaasid, salvestusruum ja muud ressursid, mida saab iga soovija kasutada Hübriidpilv Pilvteenus, mille puhul on kasutusel vähemalt üks privaatpilvelahendus ja avalik pilvteenus IaaS (Infrastructure as a Service) Taristu kui teenus, mis annab teenusekasutajale juurdepääsu serveriressurssidele ilma, et nad peaksid ise riistvara ostma või haldama IT-maja Avaliku sektori asutused, kuhu on koondatud ühe või mitme ministeeriumi valitsemisala IT- alane kompetents. IT-majad pakuvad teenuseomanikele info- ja kommunikatsioonitehnoloogia teenuste arendamise, haldamise ja pakkumise teenuseid. KEMIT Keskkonnaministeeriumi Infotehnoloogiakeskus, mis teenindab Kliimaministeeriumi valitsemisalasse kuuluvaid asutusi Keskvalitsus Valitsusasutused ja valitsusasutuste hallatavad asutused MKM Majandus- ja Kommunikatsiooniministeerium On-prem Oma riistvaraline taristu (vastandina avaliku pilve lahendusele) PaaS (Platform as a Service) Platvorm kui teenus, mis võimaldab luua, käitada ja hallata rakendusi, mis on vajalikud e-teenuste arendamiseks või käitamiseks. Pilvemäärus Vabariigi Valitsuse 03.01.2024 määrus nr 1 „Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvteenuse kasutamisel“ Privaatpilv Pilvteenus, mille puhul ei ole pakutav taristu ja teenused kättesaadavad avalikult, vaid ainult selleks ettenähtud osapooltele. Privaatpilve võib asutus/organisatsioon ehitada iseseisvalt või kasutada selleks teenusepakkujat. RIA Riigi Infosüsteemi Amet RIT Riigi Info- ja Kommunikatsioonitehnoloogia Keskus, kes pakub ca 75-le avaliku sektori asutustele keskseid arvutitöökoha-, serveri alustaristu- jm lisateenuseid RmIT Paas SaaS (Software as a Service) Tarkvara kui teenus, mis on kasutajate jaoks kõige mugavam teenusmudel, kuna sisaldab lisaks IaaSi ja PaaSi elementidele ka kasutusvalmis rakendustarkvara, mis on saadav kasutajatele üle interneti. SMIT Siseministeeriumi Infotehnoloogia- ja Arenduskeskus, mis teenindab peamiselt Siseministeeriumi valitsemisalasse kuuluvaid asutusi Teenuseomanik Avaliku sektori teabepidaja TEHIK Tervise ja Heaolu Infosüsteemide Keskus, mille kliendiks on mitmed Eesti tervishoiu- ja sotsiaalsüsteemi kuuluvad asutused nagu nt Ravimiamet, Terviseamet, Sotsiaalkindlustusamet, Tervisekassa, Tervise Arengu Instituut 6 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Sissejuhatus Avalike pilvteenuste kasutamine avalikus sektoris on kriitilise tähtsusega tagamaks Eesti digiriigi kaasaegsus ja jätkusuutlikkus - nii nenditi juba 2015. aastal Majandus- ja kommunikatsiooniministeeriumi (edaspidi MKM) koostatud Riigipilve kontseptsioonidokumendis1. Strateegilises vaates juhib Eestis avalike pilvteenuste kasutuselevõttu digiühiskonna arengukava (edaspidi DÜAK2). DÜAK seab avalike pilvteenuste kasutuselevõtule kõrged ambitsioonid ning digiriik on lubatud viia pilve aastaks 2030. Selle eesmärgi täitmine toetab ka teiste digiühiskonna eesmärkide saavutamist, nagu näiteks tulevikukindluse ja innovatsiooni tagamine, tehisintellekti aktiivsem kasutuselevõtt ja agar katsetamine. Arengukavas on pilv nimetatud horisontaalse prioriteedina, kuid seni puudus plaan nii avaliku sektori pilvekasutuse kui ka erasektori pilvekasutuse võimaldamise osas. 2024. aasta algul võeti vastu määrus „Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvteenuse kasutamisel“ (edaspidi Pilvemäärus), mille eesmärk oli kõrvaldada kõik takistused avaliku sektori pilvekasutusele ning liikuda julgemalt avalike pilvteenuste kasutamise suunas. Pilvemäärus lihtsustab ülevaate saamist kõigist nõuetest ja halduskoormusest, mis kaasneb avalike pilvteenuste kasutamisega. Määrusega tugevdati kontrolli funktsiooni lisades kohustuse raporteerida pilvteenustese kasutamise alustamisest Riigi Infosüsteemi Ametit (edaspidi RIA). Pilvemääruse tulemusel on avalike pilvteenuste kasutamine Eesti avalikus sektoris õiguslikult lubatud lahendus. Avalike pilvteenuste kasutamine on iga avaliku sektori teabepidaja (edaspidi teenuseomanik) valik, kuid Pilvemääruse seletuskirja kohaselt tuleks valiku tegemisel eelistada Riigi Info- ja Kommunikatsioonitehnoloogia Keskuse (edaspidi RIT) poolt pakutavaid lahendusi3. Tuleb arvestada, et Eesti avaliku sektori e-teenuste arendamisel on viimased kolmkümmend aastat lähtutud seisukohast, et andmete turvalise käitlemise huvides tuleb tagada nende säilitamine ja töötlemine Eesti riigi territooriumil. Umbes 10 aastat tagasi algasid arutelud leidmaks lahendust, kuidas tagada andmete säilimine ka eriolukorras, kus näiteks Eesti territoorium on rünnaku all. Lahendusena loodi 2018. aastal andmesaatkond Luksemburgi, kuhu 2019. aasta alguses varundati ka olulisemate registrite andmeid4. Andmesaatkonnad ei ole aga piisava võimsusega, et toetada massilisemat kasutust. Teenuseomanik peab valikut tehes arvestama paljude muutujatega: nii strateegiliste eesmärkidega kui ka õigusliku korraldusega, lühi- ning pikaajaliste vajadustega, aga ka tava- ja kriisiolukorraga. Samas on avalike pilvteenuste kasutuselevõtt pikaajaline horisontaalne muutus, mis nõuab ümberkorraldusi nii tarkvara arendamises, organisatoorses korralduses ja eelarve struktuuris, aga ka kompetentside juhtimises. Tervisekassa5 ja RITi pakutav töökoha teenus6 on üksikud näited Eesti avalikust sektorist, kus avalikud pilvteenused on kasutusele võetud. Mõlema näite korral võttis muudatuse läbiviimine umbes 2- 1 Riigipilve kontseptsioon. Kättesaadav: https://riigipilv.ee/files/Eesti_riigipilve_kontseptsioon.pdf 2 Digiühiskonna arengukava 2023. MKMi koduleht: https://www.mkm.ee/digiriik-ja-uhenduvus/digiuhiskonna-arengukava- 2030 3 Pilvemääruse seletuskiri (1.2 (xi)): „Tagamaks riigi ühtset taset avaliku teabe töötlemisel ja kaitsmisel, peaks enne pilvandmetöötlusteenuse kasutuselevõtmist olema selge, et teabepidaja töödeldavat avalikku teavet ei ole võimalik nõuetekohaselt töödelda avaliku sektori üleselt pakutava andmete töötlemise võrgu- ja infosüsteemi kaudu või kasutades keskse hankija poolt hangitud võrgu- ja infosüsteemiteenust.“ 4 ERR artikkel. https://www.err.ee/1608338012/eesti-motleb-andmesaatkonna-rajamisele-ka-valjapoole-euroopat 5 Terviskassa blogi. Kättesaadav: https://www.tervisekassa.ee/blogi/pilvetehnoloogia-kasutuselevotul-pole-kusimus-kas- vaid-millal 6 RIT arvutitöökoha teenus. RITi koduleht: https://rit.ee/teenused/arvutitookoht/arvutitookohateenused 7 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava 3 aastat aega, mis on praktiline tõestus, et senine korraldus on administratiivselt keeruline ja koormav. Sellise muutuse asjakohaseks kaalumiseks, õigeaegseks ettevõtmiseks ja prioriseerimiseks vajavad teenuseomanikud selgeid ootuseid ja suuniseid nii poliitikakujundajatelt kui ka neid IT kompetentsikeskusena toetavatelt asutustelt (edaspidi IT-majad). Ootuspäraselt kasvab avaliku pilve kasutuse osakaal avalikus sektoris lähiaastatel olulisel määral. Seetõttu on praegu õige aeg teha otsuseid, mil määral on plaanis avalike pilvteenuste kasutamist tsentraliseerida või keskselt koordineerida. Kontseptsiooni eesmärk oli välja selgitada, kes ja kuidas peaks juhtima avalike pilvteenuste efektiivset kasutuselevõttu Eesti avalikus sektoris. Kontseptsiooni loomise käigus kirjeldati trende Eesti avaliku sektori avalike pilvteenuste kasutamises, tuvastati soovitud muutused ning disainiti juhtimismudel, mis neid muutuseid efektiivselt toetaks. Juhtimismudeli elluviimiseks loodi tegevuskava. Kontseptsioon ja tegevuskava on jaotatud järgmisteks peatükkideks. • „1. Avalikud pilvteenused Eestis ja oodatud muutused“ tutvustab avalike pilvteenuste olemust ja trende, hetkeolukorda Eestis ja erinevate osapoolte ootuseid. Ülevaade on antud eelkõige taristu ja platvormi (nö IT baastaristu) vajadustest lähtuvalt. • „2. Strateegilised valikud ja juhtimismudel“ selgitab olulisemaid strateegilisi valikuid avalike pilvteenuste kasutuselevõtu juhtimisel. Lahenduse loomisel võeti arvesse senist Euroopa kogemust avaliku pilve strateegiliste seisukohtade kujundamisel, Eesti riigi infosüsteemi toimemudelit ja juhtimiskorraldust, teenuseomanike ja muude turuosalise ootuseid ja praktilisi kogemusi avaliku pilve tegevuskavade elluviimisest. Arvestades senist baastaristu juhtimiskorraldust keskendub pakutav juhtimismudel valitsusasutuste ja nende poolt hallatavate asutuste (edaspidi keskvalitsuse) tasemele. See on kontseptsiooni kõige olulisem osa, mis sõnastab Eestile soovitatava juhtimismudeli koos vastutajate ja nende rollide kirjeldustega lähemaks 5-10 aastaks. • „3. Tegevuskava juhtimismudeli elluviimiseks“ selgitab juhtimismudeli juurutamiseks vajalikku tegevuskava kuni aastani 2026. See on ootuspäraselt periood, kui enamik Eesti keskvalitsuse asutusi teevad esimesed sammud avalike pilvteenuste kasutusele võtul. Selles ajaaknas on võimalik efektiivselt juurutada juhtimismehhanisme ning otsustada tsentraliseerituse tasemel üle, mis tagaks pikas perspektiivis tõhususe avalike pilvteenuste kasutamisel. Tegevuskava 2024-2026 aastateks sisaldab tegevuskava erinevate osapoolte lõikes alates poliitikakujundajast ja lõpetades IT-majade ja/või teenuseomanikega. Detailselt on kirjeldatud RITi kujunemisest pilvteenuste kompetentsikeskuseks. Kontseptsioon loodi perioodil veebruar–juuni 2024 vastavalt hankelepingule, mis on sõlmitud riigihanke “Avalike pilveteenuste kasutuselevõtu kontseptsioon ja tegevuskava“ (270230) tulemusena. Kontseptsioon valmis Gofore Estonia OÜ, Gofore Plc, RIT,, Majandus- ja Kommunikatsiooniministeeriumi ning Riigi Infosüsteemi Ameti ekspertide tihedas koostöös. Töösse andsid regulaarselt ja järjepidevalt oma panuse Keskkonnaministeeriumi Infotehnoloogiakeskus (KEMIT), Küberväejuhatus, Rahandusministeeriumi Infotehnoloogiakeskus (RmIT), Siseministeeriumi Infotehnoloogia- ja Arenduskeskus (SMIT), Tervise ja Heaolu Infosüsteemide Keskus (TEHIK), Tervisekassa ja Töötukassa. Täpsem kaasamise ülevaade on esitatud töö lisas (Lisa 1. Kaasamise ja koostöö ülevaade). 8 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava 1. Avalikud pilvteenused Eestis ja oodatud muutused 1.1. Mõiste ja trendid Mõiste Soovitame pilvteenuste defineerimisel lähtuda rahvusvahelisest praktikast ja tugineda NIST definitsioonile7. Selle kohaselt: „Pilvandmetöötlus on mudel, mis võimaldab üldlevinud, mugavat ja vajadusepõhist (on- demand) võrgujuurdepääsu konfigureeritavate andmetöötlusressursside jagatud kogumile (nt võrgud, serverid, salvestusruum, rakendused ja teenused).“ Eelnev definitsioon on kooskõlas Pilvemääruse mõttega, kuigi määrus ise otseselt pilvteenuseid ei defineeri. Avaliku pilvandmetöötluse omadused on järgmised: • teenuspõhine tasumudel (kasutustasu, pay per use), • teenuseosutajaks on kolmas osapool, • teenus põhineb infotehnoloogilise ressursi jagatud kasutamisel, • teenust osutatakse interneti vahendusel, • teenus on skaleeritav. Avalikud pilvteenused võivad hõlmata taristu (IaaS), platvormi (PaaS) ja tarkvara (SaaS) kihte. Järgnev joonis ilmestab teenuskihte ning nende kasutamisel vahetult mõjutatud ja kasusaavate osapoolte seoseid. Joonis 1. Avalike pilvteenuste kihid ja enamlevinud kasud. Teenusena kasutatava lahenduse valik sõltub esmalt organisatsiooni vajadustest, nõutavast funktsionaalsusest ja töötajate oskustest. SaaS lahendusi on tavaliselt tehniliselt kõige lihtsam kasutusele võtta, teisalt pakuvad need vähem paindlikkust. Sobilikeks näideteks on arvuti töökohateenus, kontori- või raamatupidamistarkvara, mille kasutamiseks on tarvis vaid sisse logida ning puudub vajadus tarkvara paigalduse, turvapaikade paigalduse või litsentsihalduse järele. PaaSi kiht pakub näiteks arenduskeskkondi ja hallatavaid teenuseid, mida organisatsioon saab kasutada ja konfigureerida oma 7 Mell, P. and Grance, T. (2011) The NIST Definition of Cloud Computing, NIST Special Publication 800-145, Kättesaadav: http://csrc.nist.gov/publications/nistpubs/800-145/SP800-145.pdf (Loetud: 04.09.2024). 9 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava eesmärkidel. Näiteks Azure App Service või AWS Elastic Beanstalk on platvormteenused, mille puhul arendajatel piisab vaid koodi üleslaadimisest ning platvormteenuse vastutus on kogu ülejäänud osa protsessist: tarne, ressursside ja koormusjaoturi loomine, automaatne skaleerimine ja rakenduse monitoorimine. IaaS pakub virtuaalset infrastruktuuri ja seetõttu asendab vajaduse riistvara ostmise, asendamise ja hooldamise järele. IaaS kihis on heaks näiteks Amazon EC2 või Azure Virtual Machine teenus, mis pakub turvalist ja konfigureeritavat arvutusvõimsust (serverit) pilves, mille puhul puudub kasutajal vajadus soetada füüsilist riistvara, mis vajaduse kadumisel jääks lihtsalt kasutult seisma. Kõik mainitud teenuspõhised mudelid võimaldavad anda teatud osa IT haldusülesannetest teenusepakkujale. See aitab organisatsioonil keskenduda oma põhitegevusele. Käesolev kontseptsioon keskendub eelkõige IaaS ja PaaS taseme analüüsile, sest need on kihid, mis on ärihuvidest veidi kaugemal ja kus on ootuspäraselt Eesti avaliku sektori teenuseomanike vajadustel suurem ühisosa. Avalikud pilvteenused kui megatrend Avalikud pilvteenused on näide teenusmajanduse levikust, kus turuteenused asendavad senise riistvara hankimise ja haldamise ning tarkvaraarenduse ja -halduse. Avalikud pilvteenused märgiti megatrendina ära juba enam kui 10 aastat tagasi ning on seni jätkanud jõudsat kasvu. 2022. aastal hinnati avaliku pilve kulutuste kasvu maailmas olevat ligikaudu 20% ja sarnast kasvutempot prognoositakse ka 2024. aastaks ning 2028. aastaks muutub avalik pilv äri oluliseks osaks8. Harvard Business Review 2022. aasta uuringu9 kohaselt väitsid 67% küsitletud tippjuhtidest, et nende organisatsioon on viimase poole aastaga oma pilve kasutuselevõtu plaane kiirendanud. Hoolimata avalike pilvteenuste laialdasest levikust ei ole privaatpilve lahendused turult kadunud. Turunõudlusele vastamiseks pakuvad ka avalike pilvteenuste turuliidrid kohandatud privaatpilve lahendusi (nö mikropilved, microclouds), näiteks Amazoni AWS Outpost ja Microsofti Azure Stack. Samuti on näiteid selle kohta, et mõned organisatsioonid viivad oma andmed või teenused avalikust pilvest tagasi oma taristule10. Tüüpiliseks põhjuseks näib olevat avalike pilvteenuste kasvanud hind või vähemalt hinna prognoosimise võime ja ette ennustatavus. See näitab, et kuigi pilv pakub kulude läbipaistvust ja kulude optimeerimise võimalusi, siis infrastruktuuri eelarvete vähendamine ei tohiks olla pilve kasutuselevõtu peamine tõukejõud. Avalike pilvede kasutamisel on hulk eeliseid, millest olulisimaks on võimalus keskenduda igal organisatsioonil oma põhitegevusele ja kasutada IT baasteenuste jaoks turuteenuseid. Avalike 8 Gartner, Inc. (2023) Gartner Says Cloud Will Become a Business Necessity by 2028. Kättesaadav: https://www.gartner.com/en/newsroom/press-releases/2023-11-29-gartner-says-cloud-will-become-a-business- necessity-by-2028 (Loetud: 05.03.2024). 9 Harvard Business Review (2022) Accelerating Forward: The State of Cloud-Driven Transformation. Kättesaadav: https://hbr.org/resources/pdfs/comm/splunk/Acceleratingforward.pdf (Loetud: 05.03.2024) 10 Forbes (2023) The Evolving Cloud Landscape: How Private Clouds Are Reshaping the Tech Industry. Kättesaadav: https://www.forbes.com/sites/emilsayegh/2023/11/07/the-evolving-cloud-landscape-how-private-clouds-are-reshaping- the-tech-industry/ (Loetud: 09.04.2024). 10 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava pilveteenuste turuliidrid11, kelle põhitegevuseks on IT baasteenuste turvalisuse ja kasutusmugavuse tõstmine, suudavad seda teha oluliselt kvaliteetsemalt. Muuhulgas on neil võimalik nende teenuste edasiarendamiseks rakendada olulisemalt suuremaid inim- ja eelarveressursse kui eestisuguse väikeriigi riigiasutustel. Pilvandmetöötlus võimaldab luua uusi ärimudeleid ja e-teenuseid, mida oma taristu ei toeta. Mõnede näidetena avalike pilvteenuste funktsionaalsustest võib välja tuua avariitaaste (disaster recovery), innovatsiooni võimendamise ja skaleeritavuse. • Avariitaaste võimaldab säilitada andmeid ja hoida teenused töös ka looduskatastroofi, küberrünnaku vms ebasoodsa sündmuse puhul, hoides koopiaid andmetest ja teenustest mujal, sageli mõnes teises riigis asuvas andmekeskuses. Selliste teenuste kasutamine peab loomulikult olema korrektselt konfigureeritud. • Innovatsiooni üheks oluliseks osaks on kindlasti teenusepakkujate teenuste kasutamine, mida ise on keeruline või ebaotstarbekas välja arendada. • Skaleeritavuse vajaduse heaks näiteks on tuludeklaratsiooni esitamine digitaalselt. Sellisel puhul on vajalik omada märkimisväärset taristut ja suurt arvutusvõimsust lühiajaliselt. Skaleeritavus toetab suurt arvutusvõimsust vajavate lahenduste loomist ja pakkumist (näiteks suurandmetöötlusel või tehisintellektil põhinevad lahendused). Avalike pilvteenuste kasutuselevõtt muudab kogu organisatsiooni korraldust, mitte vaid konkreetse taristu lahendust. Järgnevalt kirjeldame vajalikke muudatusi riskijuhtimises, tarkvaraarenduse ja halduse korralduses ning organisatsiooni juhtimises. • Riskijuhtimise traditsiooniline IT turvalisuse käsitlus näeb ette perimeetripõhist lähenemist, mille eesmärk on hoida eemale ohuallikad kaitstes oma riistvara ja territooriumi, millel riistvara asub. Avatud pilvteenused on aga oma olemuselt teenused, kus teatud funktsioonide täitmisel tuleb usaldada teenuseosutajat. Seetõttu tuleb riskide maandamisel kasutada oluliselt erinevaid meetmeid. Enda poolt loodavate ja hallatavate lahenduste asemel tuleb tähelepanu suunata teenuseosutaja usaldusväärsuse hindamisele ning leida optimaalsed võimalused tarnijasõltuvusest tulenevate riskide juhtimiseks, näiteks tarnijast (pilvest) sõltumatu tehnoloogia kasutamine, pilvest väljumise strateegia loomine, multi- või hübriidpilve lähenemise kasutamine. • Uuemad tarkvaraarenduse ja halduse koostöö mudelid nagu DevOps ja pilvepõhine arendus aitavad organisatsioonidel pilvest rohkem väärtust saada. Mõnel puhul arenevad IT töömudelid koos pilve kasutamisega edasi (nö NoOps ja serverless tüüpi) keskkondadeks, kus pilvteenuse pakkujad automatiseerivad paljusid süsteemihalduse ülesandeid ning võtavad üle taristu ja turbehalduse. See võib anda märkimisväärset kulude kokkuhoidu ja muid eeliseid. Avalikud pilvteenused toetavad konteineritel ja mikroteenustel põhinevat arendust ja rakendusi. Seetõttu võib monoliitsete ja/või taakvara (legacy) süsteemide migreerimine avalikku pilve olla keeruline ja kallis kui mitte võimatu. • Avalike pilvteenuste kasutuselevõtt eeldab muudatusi organisatsiooni kompetentsides ja eelarves. Pilvteenuste klassikaline tasumudel on kuiste maksetena ja kasutusepõhiselt, mis kajastub olemuslikult riigieelarves jooksva kuluna. Sageli loodetakse avalike pilvteenuste 11 Gartner (2023) Magic Quadrant for Strategic Cloud Platform Services. Kättesaadav: https://aws.amazon.com/resources/analyst-reports/gartner/global-mq-ardm-23-magic-quadrant-for-strategic-cloud- platform-services (Loetud: 02.04.2024). 11 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava  kasutamise abil vähendada kulusid ja suurendada äritegevuse paindlikkust. Need mõjud võivad ilmneda kui avalikud pilvteenused asendavad mõnda senist protsessi või tegevust. Kuid ka sel juhul tuleb arvestada, et eelarvetehniliselt võib kuluridadel toimuda hoopis kasv ning oodatav vähenemine avaldub hoopis vähenevates investeeringutes (ja seotud kulumis) ning personalikulus. Kulude optimeerimine pilvkeskkondades vajab teistmoodi oskuseid, asjakohaseid arhitektuurseid valikuid ja operatiivset kulude juhtimist. Pilv on kulukokkuhoid tingimusel, et arhitektuurselt tehakse sobivaid valikuid ning lisateenuste kasutamisel tehakse teadlikke valikuid. Optimeerimaks muudatuse juhtimisega kaasnevaid riske, alustavad paljud organisatsioonid üleminekut hübriidpilve lahendusest. Umbes 81% ettevõtetest on valinud lahenduseks hübriidpilve ja neist enamik (88%) väidab, et nad säilitavad selle strateegia ka lähitulevikus12. Toome lühidalt välja hübriidpilve lahenduse võrdluse puhtakujulise avalike pilvteenuste kasutamisega. • Hübriidpilve tugevusteks on võimekus maandada olemuslikult erinevaid toimepidevuse riske, hoida kõige tundlikumaid andmeid Eesti territooriumil ning ajatada või vältida muudatusi taakvarasüsteemides (jätkates nende haldamist senisel taristul). • Hübriidpilv säilitab avalike pilvteenuste tugevusena välja toodud skaleeritavuse, paindlikkuse ja innovatiivsuse. • Hübriidpilve nõrkusteks on kulukus ja kasutamise keerukus. Kuna säilib vajadus hallata (vähemalt) kahte erinevat keskkonda, mis vajavad erinevaid kompetentse ja ressursse, siis ootuspäraselt vähenevad (või muutuvad olematuks) avalike pilvteenuste kasutamisest tulenevad võidud kulusäästule ja optimaalsusele. • Hübriidpilve kasutamine toob kaasa ka täiendavaid riske, kuna suureneb süsteemi keerukus ning vajadus hallata kahe erineva lahenduse koosvõimet nii konfiguratsiooni, turvalisuse kui ka vastutuste jagunemisega seotud küsimustes. Sellise koosvõime ja integratsioonide haldamine (ning muuhulgas töövõime regulaarne testimine) on täiendav tegevus ja kulu. 12 The Wall Street Journal (2019) 5 Trends Giving Cloud a Boost. Kättesaadav: https://deloitte.wsj.com/cio/5-trends-giving- cloud-a-boost-01571014927 (Loetud: 05.03.2024) 12 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava 1.2. Avalike pilvteenuste juhtimine Eestis Eesti riigi infosüsteemi juhtimise üldine korraldus ja Riigipilv Eesti riigi infosüsteem on seni põhinenud detsentraliseeritud lähenemisel, kus iga teenuseomanik on vastutav enda pakutavate e-teenuste ja infosüsteemide eest ning vaba valima tehnoloogiaid, mis aitavad tal kvaliteetset teenust pakkuda. Detsentraliseeritud teenuste osutamist toetavad hoolikalt valitud tsentraliseeritud teenused (keskse andmevahetuskihi tarkvara X-tee, riigi kesksed autentimisteenused13 jne), mis on taganud Eesti digiriigi efektiivsuse ja asjatute dubleerimiste vältimise. Keskselt juhitud teenuste korral on nende kasutuselevõttu juhitud kas läbi kohustuslikkuse (näiteks X-tee on riigi infosüsteemi kindlustava süsteemina avalikule sektorile andmevahetuseks kohustuslik14) või vabatahtlikkuse (näiteks RIA pakutavad kesksed autentimislahendused, RITi pakutav arvutitöökohateenus15). Avalik pilv on teema, mille osas puudub avalikult kokku lepitud seisukoht, kas seda peaks pakkuma tsentraalselt või mitte. Juba 2015. aastal MKMi koostatud Riigipilve kontseptsioonidokumendis16 nenditi vajadust avalike pilvede kasutuselevõtuks. Vastava kontseptsioonidokumendi alusel on tänaseks (2024. aastaks) töös baastaristu konsolideerimine RITi. Baastaristu koosseisu kuulub nii taristu ülalhoid, majutusteenus kui ka Riigipilve teenus. Riigipilv 1.0 (käesoleva dokumendi kirjutamisel saadaolev versioon) on RITi poolt avaliku sektori asutustele pakutav baastaristu teenus. • Riigipilv kasutab taristu ressursina konkreetsete andmekeskuste infrastruktuuri (IaaS). Täpsemini Eesti territooriumil asuvaid andmekeskuseid, mida pakuvad nii avaliku kui ka erasektori osapooled. Lisaks Eesti territooriumil paiknevatele andmekeskustele on Riigipilve koosseisus võimalik valida ka andmesaatkonna vahel. Praeguseks realiseeritud Riigipilv on oma olemuselt privaatpilv, mille koosseisus ei pakuta ühegi avaliku pilve teenuseosutaja ressursse. • Piiratud mahus platvormteenuseid (PaaS) pakuvad Riigipilve koosseisus partnerid (nii erasektori kui ka avaliku sektori teenusepakkujad). Seevastu suuremate avalike pilvteenuste osutajate (nagu Amazon, Microsoft, Google, Oracle) vastav teenuskataloog koosneb sadadest erinevatest teenustest. Eesti riigi suurust ja andmekasutust arvestades on avalike pilvede teenusepakkujatega sarnases võimekuses platvormikihi väljaarendamine väga kulukas ja ebamõistlik. Seetõttu on ka otstarbekas keskenduda riigiülese juhtimise vaates IaaS ja PaaS kihile koosmõjus. Oma olemuselt avalike pilvteenuste (IaaS ja PaaS) tase täiendavad baastaristu koosseisu ja seetõttu on põhjendatud ka nende kasutuselevõtu suurem tsentraliseerimine RITi. MKM on soodustanud Riigipilve laiemat kasutuselevõttu läbi eelarveliste otsuste. Baastaristu sarnase juhtimise tagamiseks on soovitatav nii avalike pilvlahenduste kui ka seniste lahenduste (Riigipilve) juhtimiseks kasutada sarnast lähenemist, kus pilvteenuste kasutuselevõtt jääb vabatahtlikuks kuid soodustatuks läbi eelarveliste otsuste. 13 RIA poolt pakutavad kesksed autentimisteenused. RIA koduleht: https://www.ria.ee/riigi-infosusteem/elektrooniline- identiteet-ja-usaldusteenused/kesksed-autentimisteenused 14 Avaliku teabe seadus § 439 (5) kohaselt toimub andmevahetus riigi infosüsteemi kuuluvate andmekogudega ja riigi infosüsteemi kuuluvate andmekogude vahel läbi riigi infosüsteemi andmevahetuskihi. 15 RIT arvutiöökoha teenused. RITi koduleht: https://rit.ee/teenused/arvutitookoht/arvutitookohateenused 16 Eesti Riigipilve kontseptsioon (2015). Kättesaadav: https://riigipilv.ee/files/Eesti_riigipilve_kontseptsioon.pdf 13 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Baastaristu kasutuselevõtu korral ei ole seni kohustuslikkust kasutatud. RITi pakutav Riigipilve teenus konkureerib turuteenustega ja igal teenuseomanikul on õigus kasutada oma nö isiklikus omandis olevat taristut. Teenuseomanikul on võimalik valida Riigipilve koosseisu kuuluvate (suhteliselt sõltumatute) teenuseosutajate lahenduste vahel. Teeme ettepaneku sarnast praktikat jätkata ka olukorras, kus RIT asub vahendama või pakkuma ka avalike pilvteenuse osutajate teenuseid. See lihtsustab mõistmist, et avalike pilvteenuste vahendamine RITi poolt ei muuda taristu ja platvormilahendusi omavahel automaatselt koosvõimeliseks. Peame vajalikuks rõhutada, et iga konkreetse pilvlahenduse kasutamine eeldab muudatusi ka teenuseosutajate infosüsteemides, mistõttu on oluline, et nad osalevad pilvlahenduse valikul. Pilvtehnoloogia kasutuselevõtu võimaldamiseks ja eeliste kasutamiseks tuleb reeglina eelnevalt infosüsteeme kaasajastada. 14 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Avalikud pilvteenused ja Eesti riigi strateegilised eesmärgid Kõiki digiühiskonna arenguid reguleerib Eestis Digiühiskonna arengukava (DÜAK17). Hetkel (2024. a märts) kehtiv DÜAK sisaldab lubadust viia digiriik pilve aastaks 2030. Lisaks viitavad avalike pilvteenuste aktiivsemale kasutuselevõtule ka muud lubadused, nagu näiteks tulevikukindluse ja innovatsiooni tagamine, tehisaru aktiivsem kasutuselevõtt ja agar katsetamine. DÜAK nimetab mitmeid murekohti, mida avalike pilvteenuste aktiivsem kasutamine aitaks leevendada. Oleme jaganud nii murekohad kui ka eesmärgid otsesteks ja kaudseteks (alljärgnevas tabelis). Kaudsed murekohad ja eesmärgid on olulised, sest kinnitavad positiivset suhtumist avalike pilvteenuste kasutamisse. Otsesed murekohad ja eesmärgid aitavad määrata, millises ulatuses või tempos tuleks pilvteenuste kasutuselevõttu plaanida. Tabel 1. DÜAKis nimetatud murekohad ja eesmärgid seoses pilvteenustega Murekohad Eesmärgid • Kuigi Eesti on maailmas hinnatud digiriik, läheb suurem osa • Eesti digiriigis võetakse agaralt Kaudsed tähelepanust ja ressurssidest olemasolevate digiteenuste kasutusele uut tehnoloogiat ja haldamisele ning edasiarendamisele. Selle tulemusel on lähenemisviise: Eesti on uute vähenenud uute lähenemisviiside, tehnoloogiate ja lahenduste rakendamisel maailmas katsetamise maht ehk raputavam innovatsioon digiriigis. teerajaja. • Ebaühtlane erasektorist teenuste sisseostmise tase, maht ja • Eesti digiriigi teenuste kvaliteet on suutlikkus. viidud koostöös erasektoriga uuele tasemele. • IT-alusteenused on praegusel hajutatud moel riigile liiga • Iga uus arendus on ehitatud Otsesed kulukad. Iga uus digiriigi teenus vajab servereid, pilvekõlblikuna ja iga vanem serveriruume, litsentse ja pädevat personali. digiteenus on viidud üle pilvetaristule, • Suur osa digiriigi baastaristust ei ole nüüdisaegne, näiteks on kui see pole infoturbe vaates tänapäevased pilvelahendused alakasutatud. Pilvepädevus on vastunäidustatud. avalikus sektoris kehv. Seetõttu on pärsitud ka avalike • Digiriigi taristu ühildub Euroopa ja teenuste kvaliteet (nt käideldavus ja kättesaadavus. teiste rahvusvaheliste piiriüleste • Avaliku sektori senine digiriigi arenduste viis ja algatustega, nt pilve- ja plokiahela teenusehalduse korraldus piiravad erasektori võimalusi teenuste taristud. pakkuda digiriigile komponente ja teenuseid, mida riik võiks sisse osta, selle asemel et neid ise arendada ja hallata. DÜAK on kõigile teenuseomanikele siduv strateegia, milles kirjeldatud eesmärkidest peavad kõik teenuseomanikud (sh IT-majad) lähtuma. Digiühiskonna arengukava (DÜAK 2030) kohaselt on avalike pilvteenuste aktiivsem kasutamine avalikus sektoris ootuspärane ja vajalik. Senine sõnastus jätab aga suhteliselt laia tõlgendusruumi, milliseid pilvteenuseid täpselt silmas peetakse ning millises ulatuses tuleks vanemaid digiteenuseid pilvetaristule migreerida. Seetõttu on ühtlane ellu rakendamine erinevate teenuseomanike poolt raskendatud. Täiendamist vajab tegevusplaan, mis selgitaks eesmärkide saavutamiseks vajalike tegevuste ja vastutuste jagunemist. 17 DÜAK: https://www.mkm.ee/digiriik-ja-uhenduvus/digiuhiskonna-arengukava-2030 15 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Avalike pilvteenuste kasutamise õiguslik korraldus Avaliku pilvteenuse kasutamine (sh teenuseomanikel) ei ole Eesti avalikus sektoris õigusaktidega keelatud. Samas kaasneb avalike pilvteenuste kasutamisega täiendavaid kohustusi. Teenuseomanikud on seotud õigusaktidest tulenevate nõuetega andmetöötluse sisu ja korralduse osas ning samuti teenuse tellimiseks riigihangete korraldamise osas. Asjakohane õigusraamistik on alljärgnev. • Isikuandmete kaitse nõudeid kirjeldavad isikuandmete kaitse üldmäärus (edaspidi IKÜM) ja isikuandmete kaitse seadus. • Avaliku teabe kaitse nõudeid kirjeldavad avaliku teabe seadus (edaspidi AvTS), Pilvemäärus ning eriseadused (nt sisaldus veel veidi aega tagasi ravimiseaduses keeld seotud andmekogu suhtes volitatud töötleja määramiseks, mis tänaseks on muudetud) ja teenuseomaniku või andmekogu põhimäärused; • Küberturbe nõudeid kirjeldavad küberturvalisuse seadus (edaspidi KüTS), Eesti Infoturbe Standard (edaspidi E-ITS) ja seonduvad rakendusaktid. Alternatiivselt E-ITSile on võimalik küberturvalisuse nõuete täitmiseks lähtuda ka turvameetmetest, mis on vastavuses rahvusvahelise standardiga ISO/IEC 27001 kehtestatud nõuetele, ning sellisel juhul on teenuseomanikul kohustus esitada RIA- le kehtiv vastavussertifikaat. • Avalike pilvteenuste kui turuteenuste soetamist reguleerib riigihangete seadus (edaspidi RHS). Selleks, et teenuseomanikul oleks võimalik kasutada avalikku pilvteenust oma võrgu- ja infosüsteemide majutamiseks või töötlemiseks, peab teenuseomanikul olema endal põhjalik arusaam tema valitsemisalasse kuuluvast andmestikust ja selle töötlemise eesmärkidest. Lähemalt kajastame loetletud piirangute sisu ning asjakohaseid õigusakte lisas 2 – avalikud pilvteenused Eesti õiguses. Kriisiolukord riigis (näiteks sõjaline konflikt) tõstatab täiendavaid küsimusi ja vajadusi seoses riikliku tähtsust omavate andmete majutamise ja töötlemisega. Ühest küljest joonistub erilise tähtsusega välja vajadus tagada andmete turvalisus (näiteks olukorras, kus e-teenuste toimimiseks vajalikud andmekeskused saavad kahjustada rünnaku tõttu), kuid teisest küljest võib olulisemaks osutuda ligipääsu säilimine nendele andmetele (näiteks olukorras, kus riik peab vajalikuks välisühendus katkestada). Seejuures võivad erinevate teenuseomanike (ja nende hallatavate erinevate infosüsteemide ja andmekogude) vajadused olla erinevad. Erandina peab elutähtsat teenust korraldav asutus (edaspidi ETKA) vastavalt hädaolukorra seadusele tagama elutähtsa teenuse järjepidevuse ka viisil ja vahenditega, mis ei sõltu välisriikides asuvatest infosüsteemidest. Ka hetkel kooskõlastusel oleva Tsiviilkriisi ja riigikaitse seaduse eelnõu praegune sõnastus näeb ette ka KüTSi täiendamise samasisulise kohustusega. Elutähtsa teenuse osutajate hulka kuuluvad ka näiteks mõned KOVid. Eelnõu seletuskirja kohaselt on eelnõu koostamisega paralleelselt alustanud MKM koostöös RIA, Riigikantselei ja julgeolekuasutustega selle sätte sisulise muutmise vajaduse analüüsimist. Olenevalt analüüsi tulemustest võidakse kõnealuse sätte sõnastust muuta või kehtetuks tunnistada, kuid see muudatus plaanitakse teha KüTSi täiendava muutmise ehk revisjoni käigus. Kõik levinumad avalikud pilvteenuse osutajad kasutavad teenuse osutamiseks infosüsteeme, mis asuvad välisriikides. Sellest järeldub, et teatud teenuseomanikel (eelkõige ETKA-del) on hetkel kohustus tagada teenuste toimimine avalikest pilvteenustest sõltumatult. See ei tähenda siiski automaatselt, et ETKA-del oleks kindlasti keelatud avaliku pilvteenuse kasutamine, kuid võib tekitada küsimusi pilvteenuse kasutamise majanduslikus mõttekuses. 16 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava 1.3. Avalike pilvteenuste kasutamise hetkeseis ja ootused Teenuseomanike ja IT-majade hetkeolukord ja ootused Teenuseomanike huve esindasid käesoleva kontseptsiooni loomisel eelkõige avaliku sektori IT-majad ja valitud olulisemad teenuseomanikud (nt Tervisekassa ja Töötukassa). Hetkeolukorra ja ootuste kaardistamiseks küsiti neilt sisendit nii töötubade kui ka kirjaliku küsimustiku vormis. 2024. aastal tugineb Eesti digiriik reeglina oma taristule ja/või RITi poolt pakutavale Riigipilvele. Eesti avaliku sektori asutustes reeglina ei ole kogemust avalike pilvteenuste kasutamisega ega nende turvalisuse tagamisega. Kuni senine lahendus toimib ja kuni senist lahendust nähakse kui poliitiliselt toetatud ja eelistatud lahendust, ei nähta nii suure muudatuse ettevõtmist reeglina prioriteetse ega hädavajalikuna. Pikemas perspektiivis näevad teenuseomanikud ja IT-majad avalike pilvteenuste kasutuselevõttu kui hädavajadust, mis pakub lahendusi praktilistele ärivajadustele ning leevendab valdkonna ekspertide nappusest tulenevaid puudujääke. Enda poolt hallatav taristu ja platvormid ei suuda pidada ajaga sammu ja pakkuda jätkusuutlikku, skaleeritavat ning kuluefektiivset lahendust. Kuigi teoreetiliselt on nii enda taristul kui ka avalikel pilvteenustel eeliseid erinevate andme- ja küberturvalisusega seotud riskide maandamiseks, siis praktikas sõltub nende riskide maandamine siiski eelkõige oskustest ja eelarvelistest võimalustest. Erinevate hübriidlahenduste rakendamine võimaldab maandada olemuslikult erinevaid riske, kuid on eelarvele kõige kulukam nii vajatava personali koosseisu kui jooksevkulude vaates. Avalike pilvteenuste kasutamise peamisteks motiivideks on toime- ja järjepidevus (resilience, continuity) ning vaid avalikele pilvteenustele omaste funktsionaalsuste kasutamine. Teenuseomanikud ootavad avalike pilvteenuste laialdasemalt kasutuselevõtult ka mugavat jõudluse skaleerimist (vastavalt muutuvale kasutusaktiivsusele), uute tehniliste võimekuste/võimaluste loomist, asutusesiseste tegevuste optimeerimist ning kulude kokkuhoidu. Hetkel veel ei peeta teenuseomanike poolt oluliseks selliseid tavapäraseid pilvede tugevusi nagu arendusprotsesside kiirendamine (time-to-market), teenuste pakkumise paindlikkus, turvaarhitektuuri ja -kontrolli ajakohastamine või kasutajamugavuse suurendamine. Teenuseomanike jaoks on avalike pilvteenuste kasutuselevõtt keeruline eelkõige kahel põhjusel. Esiteks puudub teenuseomanikel kindlus, kuidas avalikud pilvteenused positsioneeruvad seni tugevalt eelistatud Riigipilve lahenduse suhtes. Ebakindluse tingimustes eelistatakse mahukaid investeeringuid ja muudatusi pigem edasi lükata, et vältida olukordi, kus ollakse sunnitud muudatusi tagasi pöörama või värskelt juurutatud lahendusi radikaalselt muutma. Teiseks kaasneb avalike pilvteenuste kasutuselevõtuga suur administratiivne koormus ning täiendav järelevalve teenuseomanike üle. Avalike pilvteenuste kasutuselevõtt on kompleksne muutus, mis eeldab muudatusi uute kompetentside arendamisest kuni asutuse juhtimise ja eelarve struktuurini. Neid ebamugavusi on võimalik ära hoida avalike pilvteenuste kasutamist vältides. Teenuseomanike konkreetsemad ootused avalike pilvteenuste kasutuselevõtu juhtimisele on kokku võetud järgmistes punktides. 1. Teenuseomanikud ootavad käesolevalt kontseptsioonilt konkreetsemaid juhiseid, mis positsioneeriksid avalikud pilvteenused Riigipilve lahenduse suhtes. Teenuseomanike hinnangul lihtsustaks ja kiirendaks avalike pilvteenuste kasutuselevõttu selge riiklik suunis ja eesmärk. Samas võib see kaasa tuua ka ebamõistlikku ning ebaefektiivset muudatuste juhtimist. Lihtsustatult ja üksmeelselt oodatakse selgust küsimuses, kas avalikke pilvteenuseid ja Riigipilve tuleks omavahel käsitleda kui võrdseid võimalusi või kas üks peaks olema eelistatud teise ees. 17 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava  2. Teenuseomanikud ootavad avalike pilvteenuste kasutuselevõtu juhtimist nii, et see tagaks administratiivse koormuse optimeerimise ja dubleerimise vältimise. Soovitakse, et pilvteenuste hankimine ja pakkuja riskihindamine oleks pakutud/võimaldatud ühe keskse asutuse (eeldatavasti RITi) poolt. Keskne haldus aitaks teenuseomanikel saavutada paremat efektiivsust, nii ajaliselt kui ka rahaliselt, ning aitaks vältida dubleerimist, mida praeguses olukorras peaks näiteks analüüsi tegemisel ja riskide hindamisel suurel määral tegema. Administratiivne koormus on IT-majade hinnangul kõige olulisem takistus pilvteenuste kasutuselevõtul. Senisele vähesele kogemusele tuginedes on konkreetsete teenuste riski- ja andmete mõju analüüside tegemine aastate pikkune protsess – tulenevalt selge ja konkreetse protsessi puudumisest ning aegunud arusaamadest, kusjuures neid analüüse peab olema suutlikkus regulaarselt uuendada. 3. Teenuseomanikud ootavad praktilisi juhendmaterjale, mis aitaks neil efektiivselt tuvastada olukordi, millal peaks pilvteenuste kasutuselevõttu kindlasti kaaluma ja millal peaks seda vältima. Selliste juhendmaterjalide olemasolu peaks ootuspäraselt tagama üks keskne asutus, et tagada nende pidev ajakohasus ja kooskõla riikliku parima praktikaga. Kuigi peamine kompetentsikeskus võiks teenusepakkujate hinnangul olla keskne, peaksid organisatsiooni ja teenuse-spetsiifilisemad oskused ja teadmised arendatama välja teenuseomanike (või neid esindavate IT-majade) koosseisus. 4. Teenuseomanikud ootavad praktilisi soovitusi ja tehnilise teostuse juhiseid (nii-öelda konfiguratsioonijuhiseid) olukordades, kui avalikke pilvteenuseid otsustatakse kasutusele võtta. Soovitakse vältida, et teadmatusest tehakse eksimusi, mis nõrgestavad turvalisust või teenuste kuluefektiivset kasutust. Soovitakse suuremat selgust, millist järelevalvet plaanib RIA teha, et vältida teadmatusest tulenevaid eksimusi. Eelnevat arvestades on teenuseomanikele kasulik, kui neil on võimalik kasutada üleriigilisi mustreid ja parimaid praktikaid. Samas peaks teenuseomanikele jääma vabadus ja kohustus hallata organisatsioonispetsiifilisi konfiguratsioone, haldust ja riske. 5. Teenuseomanikud soovivad kindlustunnet, et avalike pilvteenuste kasutuselevõtuks vajalikud eelarve struktuuri muudatused leiavad heakskiidu. Kui seni ise loodud lahendused eeldasid eelkõige personalikulu ja investeeringuraha, siis teenuslahendused on reeglina käsitletavad kuluna. Kesksete osapoolte hetkeolukord ja ootused Kesksete osapooltena käsitletakse käesolevas kontseptsioonis MKM-i, RIT-i ja RIA-t. MKM on digiühiskonna poliitikakujundaja ja digiühiskonna arengukava omanik. MKMi põhimäärus18 sõnastab MKMi valitsemisalana riigi infosüsteemide arendamise koordineerimise ning tehnoloogiline arendustegevuse ja innovatsiooni. RIA on vastavalt Küberturvalisuse seadusele küberturbe intsidentide lahendamise üksus (§ 5), riikliku ja haldusjärelevalve teostaja infoturbe meetmete rakendamise üle ning E-ITS infoturbemeetmete väljatöötaja. RITi on konsolideeritud IT baastaristu teenused. Kesksete teenuseosutajate vaates on praegune olukord, kus iga teenuseomanik teeb täiesti sõltumatuid valikuid, pigem murettekitav. Kuna puuduvad riigispetsiifilised teadmised ja soovitused, siis on iga juurutus omamoodi jalgratta leiutamine. Ühiste kokkulepete puudumiste tõttu toimetab iga teenuseomanik oma parima äranägemise järgi, mis ei võimalda efektiivselt täita oma rolli järelevalve 18 Majandus- ja Kommunikatsiooniministeeriumi põhimäärus: https://www.riigiteataja.ee/akt/129122011157 18 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava teostajana ega IT baastaristu arendajana. Kuni puuduvad suunised ja arusaam riigi terviklikust visioonist, on kesksetel osapooltel raske planeerida ja kavandada oma ressursivajadust ja muudatusi seotud IT baastaristu teenustes. Kesksed teenusosutajad soovivad sarnaselt teenuseosutajatega selgemat avalike pilvteenuste positsioneerimist. Lisaks ootavad kesksed teenuseosutajad selgemaid ootuseid enda rollile ning asjakohaste ressursside eraldamist, mis võimaldavad täiendavaid ülesandeid täita. Poliitikakujundaja huvi on IT baastaristu jätkusuutlikkus ja turvalisus ning innovatsiooni toetamine ja elluviimine avalikus sektoris. Nende eesmärkide saavutamiseks on vajalik, et digiriik on võimeline kasutama baastaristuna avalikke pilvteenuseid ehk on nö pilvekõlbulikud. On ootuspärane, et avaliku pilve kasutuse osakaal avalikus sektoris suureneb olulisel määral. Neid arenguid tingivad nii funktsionaalsed kui ka riistavara vajadused, avalike pilvelahenduste eelised kui ka oskuste ja inimressursi kättesaadavus. Kuigi avalike pilvlahenduste kasutamine kasvab, siis avaliku sektori infrastruktuur saab olema hübriidlahendus, mis sisaldab erinevaid platvorme (privaatpilv, Riigipilv, avalik pilv). Küll aga saab neid ühendav joon olema pilvetehnoloogiate kasutus ning pigem suuremal kui vähemal määral ka avaliku pilve komponent. Seetõttu leiab MKM, et avaliku sektori asutused peaksid asuma pilvetehnoloogia, ja sealhulgas ka avalike pilve teenuste kasutuselevõtu teele juba täna. Uute rakenduste puhul kehtib juba täna arhitektuurne nõue ehitada neid pilvekõlbulikena. Samuti on vajalik hakata arendama organisatoorseid võimekusi (praktilised oskused ja kogemused, töökorraldus) avalike pilvteenusete kasutamiseks. Hetkeolukorra ja ootuste kokkuvõte Tulenevalt eeltoodust on peamine ootus avalike pilvede kontseptsioonile, et tekiks pikaajaline kindlus (ca 5-10 a), kuidas avalikud pilvteenused positsioneeruvad Riigipilve suhtes Eesti digiühiskonnas. Seni parimaks praktikas peetud arusaam riist- ja tarkvara omamise osas on aegunud ning vajab muutmist. Samuti usutakse, et platvorme ja süsteeme, mis on ressursimahukad, keerulised ning samas pilveplatvormidel lihtsalt kättesaadavad ning ka vajalikul määral hallatud, ei peaks enam ise arendama. Puudub aga üksmeel, kes peaks vajalikke muutuseid eest vedama. Lisaks eestvedamise selgusele oodatakse, et pikaajaline nägemus sisaldaks juhtimismudelit, mis tagab avalike pilvteenuste efektiivse kasutuselevõtu. Kõik osapooled näevad vajadust ühtse keskse teenuste hankija/vahendaja ning ühtlasi ka kompetentsikeskuse järele, mis aitaks vältida asjatut dubleerimist näiteks riskide hindamisel või muude pilvteenustele üleminekuga seotud tegevuste tegemisel. Keskne osapool peab tagama, et igale teenuseomanikule on kättesaadavad juhised, millele tuginedes saaks ta a) avalikele pilvteenustele üleminekut õigeaegselt planeerida, b) muudatust efektiivselt juhtida ja c) kasutatavaid pilvelahendusi efektiivselt kuid detsentraliseeritult hallata. See vähendaks olulisel määral tegevuste dubleerimist ning perspektiivis ka ressursside kulu (raha, aeg, oskused). Üks olulisemaid õiguses kirjeldatud põhimõtteid on, et teenuseomanikel lasub ja säilib peamine vastutus tema avalikest ülesannetest tulenevate andmete töötlemise ja küberturbe nõuete täitmise üle. Seda ka olukorras, kus teenuseomanik kasutab teenuse osutamiseks kesksete kompetentsikeskuste (nagu IT-majad või RIT) teenuseid või turuteenuseid. Sellega tuleb juhtimismudelit luues arvestada. Kavandatavate muudatuste elluviimise tagajärjel oodatakse, et avaliku sektori asutused asuksid pilvetehnoloogia, ja sealhulgas ka avalike pilve teenuste kasutuselevõtu teele juba täna. Uute rakenduste puhul kehtib juba täna arhitektuurne nõue ehitada neid pilvekõlbulikena. Samuti on vajalik hakata arendama organisatoorseid võimekusi (praktilised oskused ja kogemused, töökorraldus) avalikke pilvteenuseid kasutama. 19 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava 2. Strateegilised valikud ja juhtimismudel 2.1. Peamised strateegilised valikud Visiooni seadmisel kaalutleti nelja põhimõttelise stsenaariumi valiku vahel lähtuvalt sellest, kes avalike pilvteenuste kasutuselevõttu eest veab. Avalike pilvteenuste kasutuselevõtt on 1. iga konkreetse teenuseomaniku juhitud muutus (nagu seni), 2. avaliku sektori IT-majade poolt juhitud muutus, mida toetab keskne kompetentsikeskus, 3. keskse teenuseosutaja poolt juhitud muutus, kus keskse turuosalise juhiste järgimine on IT- majadele ja teenuseomanikele kohustuslik või 4. avalike pilvteenuste kasutuselevõtt on riiklikult juhitud muutus. Selline järgnevus näitab ka võimalikke valikuid tsentraliseerimise osas, kus viimane on kõige kesksemalt juhitud ning esimene on kõige detsentraliseeritum muudatuse juhtimine. Stsenaariumide peamised erinevused ja sarnasused on esitatud alljärgnevas tabelis. Tabel 2. Avalike pilvteenuste kasutuselevõtu juhtimise stsenaariumid. Stsenaarium 1. Stsenaarium 3. Stsenaarium 2. Stsenaarium 4. Teenuseomaniku Keskse IT-maja juhitud Riiklikult juhitud (äriomaniku) teenuse(osutaja) muutus muutus juhitud muutus poolt juhitud muutus IT-maja juhib avalike pilvteenuste Iga teenuseomanik Riiklikult juhitud kasutuselevõttu ja IT baasteenuste otsustab avalike kohustus avalike Stsenaariumi selgitab osutaja dikteerib pilvteenuste pilvteenuste lühikirjeldus teenuseomanikele, avalike pilvteenuste kasutamise kasutuselevõttu kas ja millal on kasutuselevõtu viisi sõltumatult prioriseerida mõistlik üleminekut planeerida Organisatoorne Riigi horisontaalsete efektiivsus ja huvide prioriseerimine vajadus keskenduda IT baasteenuste (innovatsiooni Peamised Konkreetse teenuse enam äriteenuse optimeerimine ja kiirendamine, motivaatorid hädavajadus kihile juhtimine tervikuna turuteenuste (infrastruktuuri eelistamine, valmisolek haldamise asemel) eriolukorraks vms) Avalike pilvteenuste Riigipilve Avalikku pilve Avaliku pilve ja Riigipilve lahendused on positsioneerimine kasutatakse alati kasutatakse alati olemuslikult võrdsed alternatiivid senise Riigipilve esimese eelistusena esimese eelistusena lahenduse suhtes Tervisekassa Islandi „avalik pilv RITi pakutav terviklik üleminek Soome riigi keskne Näidis esimesena“ (cloud-first) töökoha teenus avalikele teenusosutaja „Valtori“ strateegia pilvteenustele 20 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Teenuseomaniku juhitud muutuse stsenaarium (stsenaarium 1) sai välistatud eelkõige järgmiste nõrkuste tõttu. • Teenuseomanikul (äriomanikul) puudub kompetents teha taristu kihiga seotud otsuseid. • Üksiku teenuse ärivajadused reeglina ei suuda põhjendada nii suurt muutust (muuhulgas uute kompetentside väljaarendamist). • Üksikute teenuste vajadustest lähtuv muutus ei võimalda piisavat ennustatavust, läbipaistvust ja järelevalvet. • Teenuseomaniku poolt juhtud pilvteenuste kasutuselevõtt on ebamõistlikult aeglane. Riiklikult keskselt juhitud muutus (stsenaarium 4) välistati järgmistel põhjustel. • Kontseptsiooni loomise perioodil ei suudetud tuvastada konkreetseid vajadusi, mis sunniksid lähemal ajal (2024-2026) juhtima avaliku pilvteenuste migreerimise ulatust või kiirust. Liigse survestamisega on oht ebaefektiivseteks muudatusteks või põhjendamatuks avalike pilvteenuste kasutuseks. Näiteks, avalikud pilvteenused võimaldavad ja toetavad innovatsiooni, kuid ei taga seda. Innovatsiooni realiseerumiseks peab arengut vedama teenuseomaniku vajadus ning teenuseomanik peab hindama, milline on tema vajadustele vastav baastaristu lahendus. • Puudub vajadus avalike pilvteenuste kasutuselevõtu tempot keskselt juhtida. Näiteks ei suudetud kontseptsiooni loomise käigus tuvastada tugevaid (muuhulgas numbrilisi) eesmärke, mille tõttu tuleks jõulisemalt asuda eelistama turuteenuseid, valmistuda kriisiolukorraks või vajadust leida alternatiivi seni toimivale Riigipilve lahendusele. Sisuline valik tehti stsenaariumite 2 ja 3 vahel ning nende omavaheline võrdlus on esitatud tabeli kujul. Tabel 3. Võimalike stsenaariumide nõrkuste ja tugevuste võrdlus. Stsenaarium 2. Stsenaarium 3. IT-maja juhitud muutus Keskse teenuseosutaja poolt juhitud muutus • IT-majal on piisav info nii teenuse vajaduste • Efektiivne järelevalve ja IT baasteenuste kui ka tehnilise võimekuse kohta, et mõjutada juhtimine läbi tsentraliseerimise Tugevused kaalutletud otsuseid, millal pilvteenuseid • Võimekus muudatust (vajaduse tekkimisel) kasutusele võtta kiirendada • Teenuseomanik on vastutav enda teenust puudutavate muudatuse eest • Avalike pilvteenuste kompetentsid vajalik välja • Ebapiisav informatsioon teenuste vajaduste arendada igas IT-majas, kusjuures säilib kohta, mis ei võimalda üleminekut vajadus hallata seniseid on-prem lahendusi. efektiivselt ja kulutõhusalt juhtida • Vähene võimekus muudatust (vajaduse • Hajutatud vastutus avalike pilvteenuste tekkimisel) kiirendada kasutuselevõtul ja kasutamisel Nõrkused • Vähene võimekus tagada efektiivset järelevalvet ja tsentraalselt prognoosida vajadusi IT baasteenuste järele Valiku tegemisel võeti arvesse järgmiseid aspekte, mis kirjeldavad hetkeolukorda ja eelistusi stsenaariumi valikul. Nende asjaolude muutumine võib kaasa tuua ka pikaajalise strateegia muutumise. • Hetkeolukord on innovatsiooni toetamise asemel tajutavalt kaldu keeldude ja kontrollide suunas. Sellest tingituna ei ole muudatustega vajalik tugevdada ega parendada kontrolli ega järelevalvet. • Riskide maandamist hinnati olulisemaks kui jõuliselt kulutõhusaid lahendusi. Seetõttu eelistati stsenaariume, mis võimaldavad lahenduste paljusust ning taristu- ja platvormiotsuste langetamist iga teenuse vajadustest lähtuvalt. • Kontseptsiooni koostamise hetkel ei tuvastatud keskset osapoolt, kellel oleks vajadus riiklikest huvidest lähtudes (näiteks eriolukorraks valmistumiseks või halduskulude ohjamiseks) 21 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava  transformatsiooni kiirendada. Seetõttu aktsepteeriti riski, et valitud juhtimismudel ei taga transformatsiooni keskset juhtimist ega kiirendamist. Eelnevat arvestades kujunes eelistatud stsenaariumiks IT-majade poolt juhitud muutus (stsenaarium 2). Selle korral tagavad keskvalitsuse tasemel oma valdkonna pikaajalise taristuplaani loomise ja ellu viimise IT-majad, sest neil on parim info nii teenuse vajaduste kui ka tehnilise võimekuse kohta. IT-maja ülesanne on selgitada teenuseomanikele, kas ja millal on mõistlik avalike pilvteenuste kasutamist kaaluda ja planeerida või kasutusele võtta. Selle stsenaariumi lahutamatuks osaks on, et avaliku pilve ja Riigipilve lahendused on olemuslikult võrdsed alternatiivid, mille vahel teenuseomanikud peavad teadlikke valikuid tegema. Tänu IT-maja toele saavad teenuseomanikud teha kaalutletud otsuseid ning kanda vastutust oma teenuste eest. Ajalooliselt on aastaid tehtud tööd selle nimel, et konsolideerida senised baastaristu lahendused Riigipilve. Seetõttu on de facto eelistatud lahendus olnud Riigipilv ning teenuseomanikud ei teadvusta, et neil on õigus ja kohustus teha baastaristut puudutavaid valikuid. Teadlikkuse tõstmisesse panustab küll kompetentsikeskus, kuid lisaks peab avalike pilvteenuste kasutuselevõtt olema avalikult toetatud läbi digiühiskonna strateegia täienduste, eelarveotsuste ja asjakohase kommunikatsiooni. Leevendamaks valitud stsenaariumi nõrkuseid ja tagamaks dubleerimise vältimist leidsid nii poliitikakujundaja kui ka IT-majad, et muutuse toetamiseks on vajalik keskse kompetentsikeskuse loomine RITi. Avalike pilvede kompetentsikeskus peab tagama teadmuse leviku ja kompetentsi tõusu avalikus sektoris. Kompetentsikeskus saab anda oma panuse, et keskselt lahendada minimaalsed disaini ja turvalisuse küsimused (nö ühised mustrid nagu näiteks andmete säilitamine vaid Euroopa Liidu piires). RIT võib toetada IT-maju läbi pilvelahenduste vahendamise ja parimate praktikate jagamise, kuid RIT ise ei muutu avalike pilvelahenduste pakkujaks ega võta endale vastutust avalike pilvelahenduste turvalise juurutamise eest. 22 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava 2.2. Juhtimise alusprintsiibid Avalike pilvteenuste kasutuselevõtu juhtimise alusprintsiibid Eestis Ülevaatlikkuse huvides on alusprintsiibid esitletud tabeli kujul, mis võimaldab täpsemalt selgitada, kas ja millist muutust alusprintsiibi sõnastamisega taotletakse. Tabel 4. Avalike pilvteenuste alusprintsiibid Selgitus Alusprintsiip 1. Digiühiskonna arengukava Kontseptsiooniga ei tehta ettepanekuid DÜAKis sõnastatud eesmärke ega (DÜAK 2030) kohaselt on avalike strateegilisi suundi oluliselt muuta. Teenuseomanikud peavad tagama pilvteenuste aktiivsem valmisoleku kasutada pilvteenuseid, sh avalikke pilvteenuseid. Kontseptsioon kasutamine avalikus sektoris soovitab avalikele pilvteenustele migreerumise sihte ning organisatoorsete ootuspärane ja vajalik. võimekuste arendamise eesmärke täpsemini sõnastada. Pilvteenuste kasutuselevõtuga seotud eesmärke peab toetama asjakohane tegevusplaan, kus tegevustele on lisatud vastutajad. Need täpsustused tagavad, et eesmärke tõlgendatakse erinevate teenuseomanike poolt sarnaselt ning arengukava alusel viiakse muudatused ka ellu. 2. Teenuseomanikel on õigus ja Kontseptsiooni kohaselt jäädakse truuks lähenemisele, kus avalike pilvteenuste kohustus valida oma e-teenuste kasutamine on iga teenuseomaniku valik. Samas rõhutatakse vajadust teadliku osutamiseks sobivaimaid taristu- ja kaalutletud IT baastaristu valiku järele nii, et riiklikult arendatav ja hallatav ja platvormiteenused. lahendus (nt Riigipilv) ei ole de facto eelistatud. 3. Pilvteenuste kasutuselevõtt Selleks, et muuta ajalooliselt juurdunud seisukohti, kus parimaks lahenduseks peab olema avalikult toetatud peetakse Riigipilve lahendust, on vaja teadlikult kommunikatsiooni juhtida ja läbi digiühiskonna arengukava avaliku pilve asjakohaselt positsioneerida. Avaliku sektori baastaristu jääb täienduste, eelarveotsuste ja koosnema erinevatest platvormidest (privaatpilv, Riigipilv, avalik pilv), mida asjakohase kommunikatsiooni. ühendab läbiva joonena pilvetehnoloogiate kasutus ning pigem suuremal kui vähemal määral ka avaliku pilve komponent. Taktikalised otsused pilvteenustele migreerimise kiiruse ja määra osas on iga teenuseomaniku teha, kuid MKM julgustab teekonna ettevõtmist ning keskselt pakutavate vahendite rakendamist. 4. Taristu- ja platvormiteenuste IT-majad kaalutlevad avalike pilvteenuste ja Riigipilve lahenduste vahel või valikuid juhivad IT-majad leiavad sobivaima lahenduse nende kombinatsioonis, tehes vastavad ettepanekud teenuseomanikele. IT-majadesse on koondatud ühe või mitme ministeeriumi valitsemisala IT- alane kompetents ning IT-majade vastutus on piiratud vastava valitsemisala teenustega. IT-majal on piisav info nii teenuse vajaduste kui ka tehnilise võimekuse kohta, et mõjutada kaalutletud otsuseid, millal pilvteenuseid kasutusele võtta. IT-maja tasemel on vajalik ka asjakohaste organisatoorsete muudatuste juhtimine ning kompetentside arendamine. 5. IT-maju toetab valikute Keskse kompetentsikesksusena nähakse RITi, kuhu juba täna on tegemisel ja kasutuselevõtul konsolideerimisel Eesti baasinfrastruktuuri lahendused. keskne kompetentsikeskus. Kompetentsikesksusesse soovitakse koondada selliste ülesannete täitmine, mis vastasel korral eeldaks kordamist kõigis avalike pilvteenuste taristu- või platvormiteenuseid kasutavates IT-majades. RIT tagab ressursside keskse hankimise ja vahendamise ning ühiste mustrite (nn „guardrails“) kasutuse. RIT ise ei muutu avalike pilvelahenduste pakkujaks ega võta endale vastutust avalike pilvlahenduste turvalise juurutamise eest. RIT saab toetada avaliku sektori osapooli läbi parimate praktikate ja kogemusete jagamise. 6. RIT ei taga erinevate Avaliku sektori baastaristu jääb koosnema erinevatest platvormidest pilvelahenduste koosvõimet (privaatpilv, Riigipilv, avalik pilv), millest mitmeid saab vahendama RIT. RIT aga ei taga nende lahenduste omavahelist koosvõimet. Eelnev ei sea piiranguid valikutele, kas ja kuidas otsustatakse Riigipilve edasi arendada. 23 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Avalike pilvteenuste kasutuselevõtu kiiruse ja ulatuse prognoos Kuna avalike pilvteenuste kasutuselevõttu keskselt ei juhita, siis põhineb nende juurutamine orgaanilisel arengul. Visiooni seadmiseks küsiti sisendit ja oodatavaid arenguid kõigilt IT-majadelt ning olulisematelt teenuseomanikelt. Kõik IT-majad teevad ootuspäraselt perioodil 2024-2026 esimesed katsetused avalike pilvteenuste kasutusele võtuga (nö toimub piloteerimise ja katsetamise faas), mistõttu on ajakriitiline sõlmida loetud kuude jooksul kokkulepped avalike pilvteenuste kasutuselevõtu juhtimises ning need kokkulepped ka institutsionaliseerida, et tagada nende stabiilsus 5-10 aasta vaates. • Innovaatorina on teada Tervisekassa, kes on juba 100% üle läinud pilvteenuste kasutamisele IaaS ja PaaS kihis. • Varajaste omaksvõtjatena (early adopters) on 2 küsimustikule vastanud asutust andnud teada kavatsusest lähiaastatel (kuni 2026) enam kui 80% oma teenusportfellist viia pilvepõhiseks. • Enamus vastanutest (4 asutust) plaanib lähiaastatel võtta pilvteenused kasutusele 5-35% oma teenusportfelli haldamiseks. • Viivitajatena käituvad 2 vastanud asutust, kellel puuduvad igasugused plaanid avalike pilvteenustega lähiaastatel või puudutavad need plaanid vähemat kui 1% nende teenusportfellist. Esimesed katsetused lähtuvad seniste infrastruktuuri osakondade sisemistest vajadustest ning seetõttu keskenduvad need eelkõige infrastruktuuri teenustele ja haldust automatiseerivatele tugiprotsessidele (IaaS teenused). Reeglina alustatakse katsetamist näiteks pakktöötlusest (batch processing), andmesalvestusest (data storage) ja avariitaastest (disaster recovery). Avalikke pilvteenuseid võetakse aktiivsemalt kasutusele eelkõige olukordades, kus senine riistvara vajab uuendamist. Nendel hetkedel on oluline kaaluda riistvara soetamise asemel turuteenuste kasutamist. IaaS kihi vajadustest juhitud transformatsiooni korral on ka võidud avalike pilvteenuste kasutamisest tagasihoidlikumad, kuid lähtuvad DÜAKist, mis julgustab pilvlahendusi kasutama ning kohustab arendama uusi lahendusi pilvekõlblikuna. Ootuspäraselt avaliku pilve kasutus osakaal avalikus sektoris suureneb olulisel määral. Avaliku sektori IT baastaristu saab koosnema erinevatest platvormidest (privaatpilv, Riigipilv, avalik pilv). Neid ühendav joon on pilvetehnoloogiate kasutus ning pigem suuremal kui vähemal määral ka avaliku pilve komponent. Seetõttu leiab MKM, et avaliku sektori asutused peaksid asuma pilvetehnoloogia, ja sealhulgas ka avalike pilve teenuste kasutuselevõtu teele juba täna. Uute rakenduste puhul kehtib juba täna arhitektuurne nõue ehitada neid pilvekõlbulikena. Samuti on vajalik alustada organisatoorsete võimekuste arendamist avalike pilvteenuste kasutamiseks - omandada praktilisi oskuseid ja kogemusi ning vastavalt kohandada töökorraldust. Taktikalised otsused liikumise kiiruse ja määra osas on iga osapoole enda teha, küll soovitab MKM alustada teekonda ning kasutada keskselt pakutavaid vahendeid. 24 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava 2.3. Juhtimismudeli tervikülevaade Juhtimismudel lühidalt Avalike pilvteenuste juhtimismudeli fookus on valitsusasutuste ja valitsusasutuste hallatavate asutuste tasemel ning tegevused prioriseeritud tuginedes nende vajadustele IT baastaristu infra- (IaaS) ja platvormiteenuste (PaaS) kihtides. See on tasand, kus erinevate riigiasutuste vajadused ja huvid on piisavalt sarnased, et neid oleks mõistlik keskselt toetada. Juhtimismudeli loomisel lähtuti eelkõige kahest eesmärgist. 1. Püüti leida motivaatoreid, mis annaksid IT-majadele ja teenuseomanikele kindlustunde, et avalike pilvteenuste kasutamine on nii poliitikakujundaja kui ka järelevalve asutuste poolt lubatud ja aktsepteeritav tegevus. 2. Otsiti võimalusi administratiivse koormuse vähendamiseks ja avalike pilvteenuste turvalise kasutuselevõtu lihtsustamiseks läbi keskse kompetentsikeskuse ja hankija rolli defineerimise. Juhtimismudeli loomisel võeti arvesse järgmiseid rangeid nõudeid. • Teenuseomanikel peab säilima vastutus tema avalikest ülesannetest tulenevate andmete töötlemise ja küberturbe nõuete täitmise üle. Selle vastutuse täitmisel tuginevad teenuseomanikud reeglina kompetentsile, mis on koondatud IT-majadesse. Seetõttu peavad muudatusettepanekuid tegema, adekvaatseid riskianalüüse koostama ja muudatuste ellu viimist juhtima IT-majad koostöös teenuseomanikega. • Avalikke IaaS ja PaaS pilvteenuseid hankides reeglina suurtelt teenuseosutajatelt (nagu Amazon Web Services, Google Cloud või Microsoft Azure) pakkumisi ei saa. Nende toimemudeli kohaselt toimub nende müük läbi erasektori vahendajate, kellega nad konkureerida ei soovi. Turukonkurents toimib erinevate pilvteenuse edasimüüjate vahel. Hanget korraldades saab valida, kas ühe või mitme pakkujaga lahenduste vahel. • Eestis tervikuna on huvi kasutada erinevate enamlevinud avalike pilvteenuste osutajate teenuseid. Seetõttu peab keskne hankija olema võimeline vahendama vähemalt kahe suurima avaliku pilvteenuse pakkuja teenuseid (Microsoft Azure ja Amazon Web Services turuosa avalike pilvteenuste kasutusest on enam kui 50%). • Konkreetsed tarkvarateenused arendatakse sobivaks konkreetse pilve platvormi võimalustest lähtuvalt. See tähendab, et teenuseomanik peab iga konkreetse teenuse osas saama määrata, kas ja millise avaliku pilve platvormi teenuseid kasutatakse. Kesksete osapoolte roll juhtimismudelis on järgnev. • MKM- l tuleb käesolev kontseptsioon siduda digiühiskonna arengukava ja vastava tööplaaniga. See tagab avalike pilvede kontseptsiooni jõustamise ning pakub kindlust, et kontseptsioon kajastab poliitikakujundaja huve. • Kontseptsiooni ennast on vaja järjepidevalt ajakohastada ning koordineerida tegevuste ellu viimist. Seda tööd sobib tegema osapool, keda soovitakse näha avalike pilvteenuste keskse kompetentsikeskusena (ehk RIT). • Järelevalveasutust (RIA) ega selle rolli ei ole plaanis käesoleva kontseptsiooniga muuta ega mõjutada, kuid ülevaatlikkuse huvides on nad mudelis kirjeldatud. Kõik need erinevad osapooled on esitatud alljärgneval joonisel. 25 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Joonis 2. Avalike pilvteenuste kasutamisega seotud osapooled Poliitikakujundaja roll Pakutud mudel loob MKMi jaoks ühe tugeva keskse partneri (RIT), kelle ekspertarvamusele saab avalike pilvteenuste poliitikakujundamisel tugineda. RIT saab koondada infot avaliku sektori vajaduste, võimaluste, riskide ja võimekuste kohta. RIT saab samuti pakkuda tehnilist kompetentsi ja kogemust, millised teenused ning riski maandamise võimalused on turutingimustel ja erasektori abil kasutatavad. MKMi ülesanded on järgmised. 1. Tagada kontseptsiooni jõustamine läbi asjakohaste muudatuste sisse viimise digiühiskonna arengukavasse ja selle tegevusplaani. 2. RITi rolli defineerimine keskse kompetentsikeskusena algatades asjakohased muudatused nii õiguslikult (näiteks põhikirja uuendamine, keskse hankija määramine) kui ka finantsiliselt. 3. RITi keskselt hangitud lahenduste ja teenuste laialdase kasutuselevõtu soodustamine läbi eelarveotsuste (näiteks riistvara soetamise vajaduse täiendava põhjendamisvajaduse lisamine). 4. IT-majade ja teenuseomanike toetamine struktuursete eelarvemuudatustega, mis reeglina kaasnevad avalike pilvteenuste kasutamisega. 5. Avalike pilvteenuste normaliseerimine läbi positiivse kommunikatsiooni ja parimate praktikate jagamise. 26 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Keskse kompetentsikeskuse roll Keskse kompetentsikesksusena nähakse RITi, kuhu juba täna on konsolideeritud Eesti baasinfrastruktuuri lahendused. Kompetentsikesksusesse soovitakse koondada selliste ülesannete täitmine, mis vastasel korral eeldaks kordamist kõigis IaaS ja/või PaaS teenuseid kasutavates IT-majades. Kompetentsikeskuse ülesanded on järgmised. 1. Pilvteenuste kasutuselevõtu strateegiline juhtimine IT baastaristu osana, mis sisaldab endas avalike pilvteenuste kontseptsiooni kaasajastamist ja tegevusplaani elluviimise koordineerimist. 2. Praktiliste juhendite koostamine ja levitamine, mis võimaldavad lihtsustada pilvteenuste esmast kasutuselevõttu nii IT-majade kui ka teenuseomanike esindajate jaoks. 3. Nõustamiskogukonna juhtimine, mis võimaldab jagada parimaid praktikaid, õppida Eesti avaliku sektori kogemusest ning korraldada vajadusel ühiseid treeningpäevi. Muuhulgas oodatakse, et keskne kompetentsikeskus teeb kättesaadavaks avalikus sektoris teostatud riskianalüüsid, mis vähendab märkimisväärselt IT-majade ja teenuseomanike poolt ajakulu samade teenuste analüüsimisel. Personaalse nõustamisteenuse korraldamine, mis annab IT- majadele ja teenuseomanikele kiire ja efektiivse ligipääsu personaalsetele konsultatsioonidele avalike pilvede küsimustes. 4. Pilvteenuste partnerlussuhete ja IaaS/PaaS teenuslepingute haldus, mis sisaldab endas valitud edasimüüjate ja pilvteenuse osutajate riskianalüüside läbiviimist, kesksete riigihangete läbiviimist ning lepinguliste riskide maandamist. Rõhutame, et nende ülesannete täitmisel ei sekku RIT avaliku pilvteenuse kasutaja subjekti valitsemisala korraldamisse. Sellest tulenevalt jääb RIT isikuandmete ja teabe (AvTS tähenduses) volitatud töötlejaks ning ei teosta täidesaatvat riigivõimu subjekti suhtes. Järelevalveasutuse roll RIA on vastavalt Küberturvalisuse seadusele küberturbe intsidentide lahendamise üksus (§ 5) ning riikliku ja haldusjärelevalve teostaja (§ 14). RIA põhimääruse kohaselt on RIA põhiülesanneteks: 1. järelevalve teostamine elutähtsa teenuse osutamiseks kasutatavate infosüsteemide ning nendega seotud infovarade turvameetmete alalise rakendamise üle; 2. järelevalve teostamine riigi infosüsteemi haldamist reguleerivatest õigusaktidest tulenevate nõuete täitmise üle; 3. riigi infosüsteemi ja Eesti kriitilise informatsiooni infrastruktuuri infoturbega seotud tegevuste korraldamine; 4. Eesti arvutivõrkudes toimuvate turvaintsidentide käsitlemine. Muuhulgas sisaldavad eelnevad ülesanded endas järelevalve teostamist Pilvemääruse nõuete täitmise üle. Selle järelevalve teostamiseks on kõik avalike pilvteenuste kasutajad kohustatud RIA-t kasutatavatest nõuetest teavitama (vastavalt Pilvemääruse § 3. lõige 4, § 4. lõige 3, § 5. lõige 4 ja § 6. lõige 3). 27 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava IT-majade ja teenuseomanike roll IT-majadesse on koondatud ühe või mitme ministeeriumi valitsemisala IT- alane kompetents ning IT- majade vastutus on piiratud vastava valitsemisala teenustega. IT- alase kompetentsikeskusena on IT- majade ülesanne proaktiivselt teenuseosutajaid nõustada, muuhulgas IT baastaristu küsimustes. Seetõttu on nende vastutuses ka oma valitsemisala baastaristu proaktiivne juhtimine lähtudes DÜAKi ja muude riiklike strateegiate suunistest. Iga IT-maja põhimääruses nimetatud ülesanded erinevad veidi oma sõnastuses, kuid olemuslikult on baastaristu valikute juhtimine reeglina nende vastutuses. Erinevate IT-majade põhiülesanded IT baastaristu (sh avalike pilvteenuste) juhtimisega on lihtsustatult järgmised. 1. IKT strateegiline planeerimine. Näiteks korraldab ja koordineerib IT baastaristuga (sh avalike pilvedega) seotud strateegiate, arengukavade ja eelarve väljatöötamist, haldamist ja täitmist. Koordineerib digitaalarengut ja nõustab innovatsiooniga (sh avalike pilvteenustega) seotud küsimustes. Selleks, et kompetentsikeskus saaks IT-maju asjakohaselt toetada on vajalik, et IT- majad koostavad oma valdkonna pikaajalise taristuplaani ning jagavad vastavat infot RIT-ga. 2. Tehnoloogilise arhitektuuri juhtimine. Näiteks vastutab oma valdkonna infosüsteemide ja andmekogude arhitektuuri (sh IT baastaristu) tervikliku haldamise eest. Tagab IKT-teenuste osutamise ja nende toimepidevuse, lähtudes kokkulepitud tingimustest. 3. Taristu korraldamine ja haldamine. Näiteks tagab valitsemisala info- ja kommunikatsioonitehnoloogia teenindamiseks vajalikud taristu- ja platvormi teenused. Korraldab IT-baastaristu arendamiseks ja haldamiseks vajalike teenuste, tarkvara ja infosüsteemide hankimist, arendamist ja haldamist. Teenuseomanikud, kes ei saa teenuste osutamisel tugineda IT-majale, peavad ülaltoodud ülesandeid täitma iseseisvalt. Üks olulisemaid õiguses kirjeldatud põhimõtteid on, et teenuseomanikel lasub ja säilib peamine vastutus tema avalikest ülesannetest tulenevate andmete töötlemise ja küberturbe nõuete täitmise üle. Seda ka olukorras, kus teenuseomanik kasutab teenuse osutamiseks kesksete kompetentsikeskuste (nagu IT-majad või RIT) teenuseid või turuteenuseid ning seda põhimõtet käesolev kontseptsioon ei muuda. 28 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava 3. Tegevuskava juhtimismudeli elluviimiseks 3.1. Avalike pilvteenuste teekaart Avalike pilvteenuste kontseptsiooni toetav tegevuskava keskendub perioodile 2024-2026, kui seatakse sisse avalike pilvteenuste kasutuselevõttu toetav juhtimisstruktuur ja korraldus Eesti avalikus sektoris. Kava on loodud kolmeks aastaks, mis võimaldab kiiresti muutuvas ja arenevas olukorras kiiremini ja paindlikumalt reageerida. Tegevuskava aitab ellu eelkõige Digiühiskonna arengukava 2030 eesmärke. Oleme esitanud pilvteenuste kasutuselevõtu kahe suure teemablokina. Neist esimene keskendub riigiülesele korraldusele, millega luuakse eeldused avalike pilvteenuste kasutamise hetkeolukorra seiramiseks ning juhtimiseks läbi kompetentsikeskuse loomise. Teiseks avame detailsemalt funktsionaalsusi, mille välja arendamise kaudu RIT keskse kompetentsikeskuse rolli täitma asub. Ülevaatlikult oleme mõlema teema tegevused kajastanud ajajoonel (järgnev tabel). Tabel 5. Avalike pilvteenuste haldusmudeli juurutamise teekaart 24 24 24 25 25 25 25 26 26 26 26 Tegevus Q2 Q3 Q4 Q1 Q2 Q3 Q4 Q1 Q2 Q3 Q4 1. Pilvteenuste kasutuselevõtu strateegiline juhtimine IT baastaristu osana 1.1 Digiühiskonna arengukava (DÜAK) ja tööplaani ajakohastamine 1.2 kompetentsikeskuse loomine 1.3 avaliku pilve teenuste kasutuse valdkonna hetkeseisust ülevaate koostamine 1.4 avalike pilvede tegevuskava on uuendatud 1.5 avalike pilvede tegevuskava seire 1.6 avalike pilvteenuste tunnustamine 1.7 eelarve muudatuste toetamine 2. RITi areng kompetentsikeskuseks 2.1 Kompetentsikeskuse käivitamine 2.2 Praktiliste juhendite koostamine ja levitamine 2.3 Pilvteenuste kogukonna haldamine ja kompetentside arendamine 2.4 Pilvteenuste partnerlussuhete ja IaaS/PaaS teenuslepingute haldus 2.5 Avalike pilvteenuste tehniline vahendamine 2.6 Personaalse nõustamisteenuse korraldamine Tegevuskava elluviimist juhib ja seirab MKM. Juurutusperioodil on ootuspärane seire sagedus kord kvartalis. Tegevuskava täitmist koordineerib RIT kaasates vajadusepõhiselt IT-majade ja muude avalike pilvede valdkonnas oluliste asutuste ja võtmepartnerite esindajaid. Kord aastas antakse ülevaade kava elluviimisest Digiühiskonna arengukava juhtrühmale. Jooksvalt avalikustatakse RITi kodulehel ülevaade valdkonna hetkeseisust ja seotud arengutest. Vähemalt kord aastas antakse laiemale avalikkusele ülevaade tegevuste elluviimisest ja hetkeolukorrast. 29 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava 3.2. Avalike pilvteenuste strateegilise juhtimise tegevuskava detailsemalt Avalike pilvteenuste strateegilise juhtimise tegevused on ülevaatlikult esitatud alljärgnevas tabelis. Tabel 6. Avalike pilvteenuste strateegilise juhtimise tegevuskava Tulemus Vastutaja Tähtaeg Kommentaar Tegevus Digiühiskonna DÜAKis täpsustatud ootuseid ja MKM Vastavalt arengukava (DÜAK) eesmärke seoses avalike DÜAKi ja tööplaani pilvteenuste kasutamisega ning muutmise ajakohastamine vajadusel selgitatud avalike ajakavale pilvteenuste kasutuselevõtu juhtimist. Avalike pilvede RITi nimetamine avalike pilvede MKM Ettevalmistused Eelarvetaotlus kompententsikeskuse kompetentsikeskuseks koos 2024 märtsis 2024 loomine vastavate muudatustega RITi põhimääruses ja eelarves. Avaliku pilve Õiguslike aluste loomine, mis MKM, RIA Vajaduse Andmete kogumise teenuste kasutuse võimaldab RIA poolt hallatavat täpsustamine õigus tuleneb valdkonna avalike pilvteenuste kasutamise 2024 kvartal 2 Pilvemäärusest, kuid hetkeseisust ülevaate nimekirja kasutada valdkonnast seda tuleb täiendada omamine ülevaate saamiseks, valdkonna alustega andmete arendamiseks ja parimate töötlemise praktikate jagamiseks. eesmärkide osas. Avalike pilvede Vähemalt 1 kord aastas RIT Regulaarne Koostöös MKMi, IT- tegevuskava on (kord aastas) majade ja uuendatud olulisemate teenuseomanikega Avalike pilvede Regulaarselt seiratakse avalike MKM Regulaarne Koostöös MKMi ja tegevuskava seire pilvteenuste tegevuskava (kord kvartalis) elluviijatega elluviimist Avalike pilvteenuste Avalike pilvteenuste MKM, RIT Regulaarne Digiriigi kuukiri, normaliseerimine normaliseerimine läbi Clear Cloud Club, läbi positiivse kommunikatsiooni ja parimate arhitektuurinõukogu kommunikatsiooni praktikate tunnustamise (arhitektuuri paneelides ja ka laiemale avalikkusele). Eelarve muudatuste IT-majade toetamine struktuursete MKM Regulaarne Kaaluda SF toetamine eelarvemuudatustega, mis reeglina (kord aastas) vahendite kasutamist kaasnevad avalike pilvteenuste transformatsiooni kasutamisega. läbiviimiseks. Õigusloome Arutelud Tsiviilkriisi ja riigikaitse MKM 2024 Jälgida arenguid ja muudatuste analüüs seaduse eelnõu raames (võimalikud vajadusel uuendada lubamaks ETKA-del mõjud KüTS-le ja Hädaolukorra kontseptsiooni. kasutada avalikke seadusele) pilvteenuseid Avalike pilvteenuste positsiooni muutumisest annab märku nende kasutamise mahu suurenemine. 30 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava 3.3. RIT kujunemine avalike pilvteenuste kompetentsikeskuseks detailsemalt Kompetentsikeskuse käivitamine ja juhtimine RIT peab detailselt määratlema ja ellu viima vajalikud organisatoorsed muudatused, mis võimaldavad täita oma rolli kompetentsikeskusena. RIT juhtimisalased ülesanded on järgmised. • Pilvteenuste kontseptsiooni ja tegevuskava kaasajastamine. • Avalike pilvteenuste kompetentsikeskuse loomine, mehitamine ja koostöö korraldamine. • Kompetentsikeskuse poolt pakutavate teenuste juhtimine. Praktiliste juhendite koostamine ja levitamine Praktiliste juhendite koostamise ja levitamise peamine eesmärk on lihtsustada pilvteenuste esmast kasutuselevõttu nii IT-majade kui ka teenuseomanike esindajate jaoks. Praktiliste juhendite koostamine ja levitamine sisaldab endas järgmiseid alamülesandeid: 1. tuvastamine, milliseid juhendeid turuosalised vajavad, 2. juhendite koostamine, 3. juhendite levitamiseks sobivate kanalite valik (ja vajadusel arendamine), 4. kommunikatsiooni korraldamine uutest juhenditest (või nende muutumisest) teavitamiseks, 5. juhendite regulaarne uuendamine. Kontseptsiooni koostamise käigus tuvastati vajadus vähemalt järgmiste materjalide järele. • Parim praktika hindamaks, millal on vajalik kaaluda senise baastaristu lahenduse asendamist. • Parim praktika valimaks sobivaimat pilveteenust ja hindamaks toimemudeli sobivust (Pilvemääruse lisa19). • Parim praktika turvaliseks ja kuluefektiivseks IaaS ja PaaS kasutuseks (landing zone ja konfiguratsioon). • Parim praktika eelarve muudatuste (avalike pilvteenuste kasutuselevõtu) menetlemiseks. • Avalike pilvteenuse osutajate ja edasimüüjate usaldusväärsust ja lepingulisi riske puudutav riskihindamise dokumentatsioon. Eesmärk on saavutatud, kui teenuseomanike ja IT-majade jaoks kiireneb avalike pilvteenuste kasutuselevõtt (time-to-market). 19 Pilvteenuse tehnoloogia ja toimemudeli puhul hinnatakse, milline pilvteenuse tehnoloogia ja toimemudel on sobivaim, et pilvteenuses avalikku teavet töödelda. 31 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Nõustamiskogukonna juhtimine Nõustamiskogukonna töö eesmärk on maandada teenuseomaniku vähesest teadlikkusest tulenevaid riske. Lahenduseks on teadlikkuse tõstmine läbi kogemuste vahetamise, vajaliku personali koolitamise ning ligipääsu võimaldamine laia kogemusega ja sertifitseeritud usaldusväärsetele pilvteenuse konsultantidele. Nõustamiskogukonna juhtimise tegevused on ülevaatlikult esitatud alljärgnevas tabelis. Kõik tegevused on oma olemuselt regulaarsed ja järjepidevad. Tabel 7. RITi tegevused nõustamiskogukonna juhtimisel Tegevus Tulemus Regulaarselt toimiv avaliku pilve kogukond Vähemalt 8 kohtumist aastas on korraldatud. Jätkatakse senise Clear Cloud Club tegevust. Levinumate pilvteenuste usaldusväärsuse Keskne kompetentsikeskus teeb kättesaadavaks avalikus sektoris hindamise tulemuste levitamine ja teostatud riskianalüüsid, et vähendada märkimisväärselt IT-majade taaskasutamise soodustamine (vastavalt ja teenuseomanike poolt ajakulu samade teenuste analüüsimisel Pilvemääruse lisale20). ning võimaldada vältida või leevendada teadaolevaid nõrkuseid. IT baastaristu kasutajatega koostöö RIT haldab kontakte ja kommunikatsioonivahendeid, mis korraldamine võimaldavad infovahetust baastaristut puudutavates küsimustes ning kogemuste vahetamist. IT baastaristu teemadel koolitusvajaduse Kompetentsikeskus haldab ja juhib avalike pilvteenuste alaste kaardistamine ja vastavate koolituste kompetentside arendamist läbiviimine Personaalse nõustamisteenuse korraldamine Personaalse nõustamisteenuse korraldamine (näiteks läbi avalike pilvteenuste kasutamisega tekkinud ühishangete), mis annab IT-majadele ja teenuseomanikele kiire ja küsimuste lahendamiseks efektiivse ligipääsu personaalsetele konsultatsioonidele avalike pilvede küsimustes. Kompetentsikeskuse eesmärk on saavutatud, kui avaliku sektori osapooled saavad avalike pilvteenuste kasutamisel tugineda juba omandatud kogemustele ning teavad, kuhu abi saamiseks pöörduda. 20 6.1. Pilvteenuse usaldusväärsuse hindamisel võetakse arvesse järgmist: 6.1.1. puuduvad teadaolevad turvanõrkused või on nende kõrvaldamiseks piisavalt rakendatud turvameetmeid; 6.1.2. toimepidevuses ei esine järjepidevalt puudusi, välja arvatud vääramatu jõu tõttu; 6.1.3. kasutamisel või kasutamise lõppemisel on tagatud avaliku teabe arhiveerimine, üleandmine ja kustutamine, lähtudes avaliku teabe olemusest tulenevatest nõuetest. 32 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava IaaS ja PaaS teenuste keskne hankimine ja seotud riskihinnangud RITi ülesandeks saab pilvteenuste partnerlussuhete ja IaaS/PaaS teenuslepingute haldus, mis sisaldab endas valitud edasimüüjate ja pilvteenuse osutajate riskianalüüside läbiviimist, kesksete riigihangete läbiviimist ning lepinguliste riskide maandamist. Keskne hankimise roll on piiratud IaaS ja PaaS teenustega, mida osutavad turul enam levinud teenuseosutajad. 2024. aastal on nendeks Amazon Cloud Services (AWS) ja Microsoft Azure, kelle turuosa kokku on avalike pilvteenustest üle 50%. Oodatud kasud kesksest hankekorraldusest on järgmised. 1. Aja ja tööjõu efektiivne kasutus vältides sarnast korduvat hankemenetlust. 2. Parem ülevaade avaliku sektori poolt kasutatavates pilvteenustest. 3. Võimalus toetada esmast kasutuselevõttu parimate praktikatega. 4. Mastaabisääst, mis võimaldab tellijal saada osa suuremast allahindlusest. 5. Avalike pilvteenuste positsioneerimine Riigipilvega võrdsena ka Pilvemääruse tähenduses. Kui avalike pilvteenuseid hangib RIT, siis kasutavad teenuseomanikud ka avalike pilvteenuste korral keskse hankija poolt hangitud võrgu- ja infosüsteemiteenust sarnaselt Riigipilvega (Pilvemääruse tähenduses). See muutus positsioneerib avalikud pilvteenused samaväärseks lahenduseks Riigipilve lahenduse suhtes. Selleks, et kasud oleksid maksimaalsed, tuleb keskset hankimist kavandada võimalikult laiapindsena kasusaajate tähenduses ja võimalikult kontsentreerituna edasimüüjate tähenduses. Mida suuremal hulgal avaliku sektori teenusomanikest (sealhulgas näiteks kohalikel omavalitsustel) tekib võimalus avalikke pilvteenuseid kasutada, seda suurem on rahaline sääst kesksest hankimisest. Seejuures on oluline, et lõppotsus, kas kasutada avalikku pilvteenust või mitte ning kui jah, siis millist, jääks teenuseomanikule – seda põhjusel, et teenuseomanikul on kõige parem ülevaade oma hallatavatest andmestikest ning oma vajadustest pilvteenuse kasutamisel. Samuti jääb teenuseomanik vastutama enda hallatavate infosüsteemide turvalisuse eest, mistõttu peab tal olema viimane sõna ka teenuseosutaja valikul. Keskne hankija saab aga otsustusprotsessi teenuseomaniku jaoks oluliselt lihtsustada, pakkudes ülalkirjeldatud kasusid, sh aidates teha kindlaks usaldusväärseid teenusepakkujaid ning aidates kaardistada teenusepakkujate teenuseid ning nende sisu. Teenuste ostmine peab toimuma läbi hankemenetluse. • Keskne hankija peab tagama konkurentsi ning võimekuse edasimüüjat vahetada (nö vältima põhjendamatut vendor lock-in teket). Selle saavutamiseks ei tohi avaliku pilvteenuse edasimüüjale panna põhjendamatuid ja ebatavalisi kohustusi. • Rahvusvaheliselt ei ole seni teada hankepraktikat, kus konkurentsi oleks piiratud vaid nö teenuseosutajatele ja välditud edasimüüjate osalust. Sellist konkurentsi piiramist tuleks hankeõiguslikult põhjendada, kui vältimatut vajadust. Hankemenetlust korraldades ja sobivat hankemenetlust valides tuleb arvestada järgmiste asjaoludega. 1. Lepingu kestuse jooksul võib tekkida uusi tellija osapooli, kes soovivad lepinguga liituda. Lepingut on mõistlik sõlmida võimalikult pikaks perioodiks (4 a), et optimeerida menetlemise kulusid. Paratamatult ei ole kõiki sel perioodil ilmnevaid vajadusi ja osapooli pole võimalik ette näha. Seetõttu soovitame alustada vabatahtlikust kesksest hankimisest, mis võimaldab kiiremini jõuda toimiva lahendusi. Praktika pinnalt tekib info, kas keskset hankimist on mõistlik muuta kohustuslikuks. 33 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava  2. Tuleb tagada võimekus esitada kasutuspõhiseid kuluarved teenuseomanikele (või neid esindavatele IT-majadele). RIT võib toimida arvete vahendajana või võib leida lahenduse, kus edasimüüja edastab arved kasutajatele otse. 3. Mastaabisäästu ilmnemiseks ja halduskoormuse minimeerimiseks on ühe teenuseosutaja avalike pilvteenuste korral soovitatav sõlmida leping ühe edasimüüjaga, mis võimaldab läbirääkimistel saada osa suurimast allahindlusest. 4. On edasimüüjaid, kes keskenduvad vaid ühe avaliku pilvteenuste osutaja lahenduste müümisele. Seetõttu soovitame konkurentsis parimate tingimuste saamiseks, korraldada eraldi menetlused (hanked või hanke osad) iga soovitud avalike pilvteenuste osutaja teenuste ostuks. 5. Hankemenetlust korraldades on kesksel hankijal õigus määratleda tingimused, millele hangitav teenus (hanke objekt) peab vastama. Kuna hankemenetluse korraldamisel on üheselt teada, et soovitakse hankida levinumate avalike pilvteenuste IaaS ja PaaS lahendusi, siis on hankijal õigus ka konkreetseid teenuseid (AWSi IaaS ja PaaS teenused, Azure IaaS ja PaaS teenused) osta. Teenuse kasutamise vajadust hindab teenuseomanik ning kesksel hankijal ei ole võimalik täpseid vajadusi hankimise hetkel hinnata. Teenusomanik peab saama valida sobivaima teenuseosutaja lähtuvalt oma olemasolevast tehnilisest lahendusest ja kompetentsist. Hankelepinguga on vajalik maandada riskid, mis seonduvad vastutuse jagunemisega, teenuse osutamisega ja teenuse osutamise lõpetamisega. Samas tuleb arvestada, et avalike pilvteenuste osutajad kujundavad ühepoolselt teenuse tüüptingimused, millest erandeid ei tehta. Ka pilvteenuste edasimüüjate võimalused vastavaid läbirääkimisi pidada on piiratud. Seetõttu ei tohi ausa konkurentsi huvides panna edasimüüjatele lepingulisi kohustusi, mida nad realistilikult ei saa täita. Riskid ja maandamismeetmed, mida tuleb lepingus kajastada, on lühidalt esitatud alljärgnevas tabelis. Tabel 8. Lepingute abil maandatavad pilvteenuste kasutamise riskid. Võimalik risk Maandamismeede Pilvteenuse edasimüüja teenuste kasutamise lõpetamise Pilvteenuste keskne hankija peab tagama võimekuse (teenusest väljumise) puudulik reguleerimine. vahetada edasimüüjat, kui saavad teatavaks asjaolud, mis Kui pilvteenuse osutaja tegevus peaks mingil põhjusel seavad kahtluse alla edasimüüja usaldusväärsuse. Selleks lõppema (nt maksejõuetuse tekkimisel) või tekib vajadus on vaja näha vastavad sätted ette lepingus ja olla valmis lõpetada mingil põhjusel leping (nt teenuseosutaja poolne ka praktikas edasimüüja vahetamist mõistlikus ajaraamis rikkumine, mis tekitab kahtlusi tema usaldusväärsuses, läbi viima. muutused teenuseosutaja tingimustes või õigusaktides, info sobimatute allhankijate osas) peab olema võimalik leping lõpetada ja jätkata pilvteenuste kasutamist teise edasimüüja kaudu. Erinevate õigussuhte poolte ülesannete määratlemine Ülesannete detailne määratlemine lepingus pilvteenuse jääb puudulikuks ja võib põhjustada turvaauke. edasimüüjaga ning asjakohases kokkuleppes Teenuseomanik jääb andmete vastutavaks töötlejaks ja teenuseomanikega. Eelkõige nendes osades, mis seega vastutab konkreetsete andmete turvalisuse eest. puudutab ligipääsude korraldust vahendatavates Keskne hankija peab korraldama, kuidas teenuseomanikud pilvteenustes. saavad tehnilise ligipääsu hangitud teenustele. Õigusselguse tagamine, et RIT vastutab valmisoleku eest Nii keskne hankija, edasimüüja kui pilvteenuse osutaja vahetada pilvteenuse edasimüüjat, kuid ei vastuta toimivad volitatud andmetöötlejana. valmisoleku eest vahetada pilvteenuse osutajat. Viimast saab tagada vaid teenuseomanik koostöös IT-majaga. Avalike pilvteenuste kasutamisel tuleb teatud funktsioonide elluviimisel usaldada teenuseosutajat ning tuleb aktsepteerida riski, et pilvteenuse pakkuja tegevuse üle (sh alltöövõtjate, kasutatavate tehnoloogiate jms) detailse kontrolli tegemine ei ole võimalik. Riski saab maandada korralikult teostatud eeltööga teenusepakkuja usaldusväärsuse hindamisel. Samuti on oluline märkida, et üldjuhul ei saa usaldusväärse teenusepakkuja puhul eeldada oma lepinguliste kohustuste rikkumist. 34 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Kooskõlas läbiviidavate hangetega olemusega on asjakohane, et keskne hankija viib läbi ka asjakohased usaldusväärsuse hindamised nii pilveteenuste osutaja kui ka edasimüüjate osas, kelle vahendusel teenuseid kasutatakse21. Teenuseomanikel on õigus saada ligipääs nendele riskianalüüsidele ja õigustatud ootus, et neid riskianalüüse lepingu kestuse jooksul regulaarselt uuendatakse. Teenuseomanikel puudub RITi poolt hangitud teenuse korral kohustus samu riskianalüüse korrata (Pilvemääruse § 2 lg 2) ning on õigus tugineda RITi koostatud usaldusväärsuse hinnangule (Pilvemääruse § 2 lg 3). Avalike pilvteenuste kasutamisel tuleb aktsepteerida riski, et avalike pilvteenuste osutajad on sageli kolmandate riikide (ehk mitte Euroopa Liidus asuvad) ettevõtjad. Riski maandamiseks soovitame kesksel hankijal seadistada teenuse kasutamise nii, et vaikesättena säilitatakse andmeid vaid Euroopa Liidu piires asuvates andmekeskustes. Kompetentsikeskuse eesmärk on saavutatud, kui avaliku sektori osapooled saavad kasutada enamlevinud avalike pilvteenuste pakkujate IaaS ja PaaS teenuseid kasutades RITi poolt hallatavaid lepinguid. 21 Pilvemääruse § 2 lg 4 sõnastuses pilvandmetöötlusteenuse pakkuja ja tema levitaja usaldusväärsuse hindamine, mida selgitab Pilvemääruse lisa „Näitlik kontrollküsimustik ja meetmete näidis“ punkt 4 „Pilvandmetöötlusteenuse pakkuja ja tema volitatud esindaja, importija või levitaja usaldusväärsuse hindamine“ ja 6.2. 35 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Avalike pilvteenuste tehniline vahendamine RIT peab arendama võimekuse tehniliselt avalike pilvteenuseid vahendada ning hallata. RIT peab selle võimekuse arendamiseks realiseerima järgmised lahendused. 1. Looma tehnilise pilvekeskkonna (landing zone) koos esmaste kaitsemeetmetega (guardrail), et lihtsustada IT majadel pilvekeskkonna turvalist kasutuselevõttu. Tehnilised keskkonnad on vaja vaikeseadistada kõigi enamlevinud avalike pilvteenuste osutajate jaoks (minimaalselt Microsoft Azure ja Amazon Web Services). Konfiguratsiooni valikud peavad olema dokumenteeritud viisil, mis võimaldab lihtsasti saada ülevaadet, kuidas vaikeseadistatud konfiguratsioon toetab konkreetsete riskide maandamist. Mõned näited võimalikest vaikeseadistustest on järgmised. a. RIT peab tagama teenuse vahendamisel simultaanteeninduse võime (OPS 2.522, Pilvemääruse lisa punkt 5.223) nii, et erinevate teenuseomanike ressursid oleksid üksteisest piisavalt turvaliselt lahutatud. Samas peab RIT korraldama, kuidas saavad teenuseomanikud ligipääsud enda pilvkeskkondadele ja võimekuse ligipääsude infot ise hallata ja ajakohastada. b. Lihtsustamaks avalike pilvteenuste kasutamist asutusesiseseks kasutamiseks tunnistatud teabe töötlemiseks, on soovitatav seadistada eelistatud andmetöötlus tsoonid nii, et need asuksid Euroopa Liidu liikmesriigi, Põhja-Atlandi Lepingu Organisatsiooni või Majandusliku Koostöö ja Arengu Organisatsiooni liikmesriigi territooriumil (Pilvemääruse lisa punkt 7.2.1). Avalikud pilvteenused pakuvad mugavaid viise tagamaks andmete säilimist tagades koopiad erinevates asukohtades, kuid need tuleb korrektselt seadistada. c. Kuna andmed avalikus pilves liiguvad üle avaliku interneti ja tagatud peab olema andmete käideldavus ja terviklikkus, peavad andmed olema krüpteeritud nii salvestamisel (at rest) kui ka võrgus transportimisel (in transit). 2. Teostama regulaarselt haavatavuse analüüsi (vulnerability analysis), mis võimaldab tuvastada IT majade rakendustes turvaohte. Haavatavuse analüüsiks kasutab RIT vastavad teenused, mis on avalike pilvede teenuskataloogides olemas. RIT peab korraldama asjakohase teenuseomanike teavitamise, kui ohtudest teadlikuks saadakse. 3. Administreerima suhteid teenuseomanikega (näiteks läbi teenuslepingute ja volituste) nii, et eelmiste tegevuste ulatus ja osapoolte vastutused oleksid selgelt määratletud. Kui arveldamine ei käi otse teenuseomanike ja edasimüüjate vahel, siis peab RIT korraldama (eelistatult automatiseeritud) haldusprotsessid arveldamiseks ja aruandluseks. 4. Korraldama nii tehniliselt kui administratiivselt muudatusi, mis tulenevad edasimüüja vahetumisest. 22 E-ITS: https://eits.ria.ee/et/versioon/2023/eits-poohidokumendid/etalonturbe-kataloog/ops-kaeidutoeoed/ops2- kaeidutoeoed-teenusena/ops22-pilvteenuste-kasutamine/2-ohud 23 Tarkvara kui teenus ja platvorm kui teenus pilvteenuste korral hinnatakse, kas ja kuidas on kasutatav pilvteenus jagatud teiste klientidega (teabepidajaga või pilvteenuse muude kasutajatega), sealhulgas, kas pilvteenus on oma olemuselt konkreetse kliendi jaoks loodud või on tegemist keskkonnaga, milles pilvteenuse eri klientide andmed on eraldatud loogiliselt. 36 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava 3.4. IT-majade ja teenuseomanike tegevuskava ja vastutus detailsemalt Lõplik otsus ja vastutus avalike pilvteenuste turvalise rakendamise eest jääb teenuseomanikele. Kui neid on toetamas keskne kompetentsikesksus (IT-maja), siis on võimalik olulises osas tugineda nendes valikutes kompetentsikeskuse ekspertiisile ja oskusteabele. • Tehniliselt poolelt on teenuseomanikul vaja hinnata avalike võrkude ja väljaspool Eestit olevate süsteemide kasutamisega seotud riske ning sobivust oma konkreetsele infosüsteemile. Nende maandamise vajadust peab hindama ja realiseerima iga teenuseosutaja, kuid abi võib saada ka nõustamiskogukonnalt. • Organisatoorselt on vaja juhtida enda võimekust ja oskuseid konkreetseid pilvteenuseid turvaliselt ja kuluefektiivselt kasutada. • Pilvteenuste kasutuselevõtt olemasolevate teenuste korral nõuab aga eraldiseisvat muudatuse juhtimist koos vajaliku strateegilise planeerimise ja eraldi ressursside (aeg ja raha) eraldamisega. Tabel 9. IT-majade ja teenuseomanike tegevused avalike pilvteenuste kasutamiseks valmisoleku tagamiseks Tegevus Kirjeldus IT baastaristu strateegia Taristu- ja platvormikihi muudatused eeldavad erinevate teenuseomanike koordineeritud koostamine konkreese koostööd. Seda koostööd peavad juhtima nende IT-majad (kui kesksed valitsemisala (IT-maja kompetentsikesksused). IT-maja poolt koostatud pilveteenuste strateegia selgitab ja/või teenuseomaniku) otsustuskohti ja sõltuvusi ning toetab teenuseomanike otsuste tegemist. Teenuseomanik jaoks peab valiku tegemisel tuginema pilvteenuste strateegiale (OPS 2.2). Teenuseomanikul peab olema piisav kompetents kaalutletud valiku tegemiseks või ligipääs asjakohasele nõustamisele ning mida enam tavapäraseid küsimusi saavad vastuse pilvestrateegia koostamise käigus seda lihtsam on valikuid teha. Pilveteenuse strateegia peaks andma vastused ka levinumatele rakendusküsimustele nagu näiteks, • millistel juhtudel ja kuidas on vajalik andmete varundamine väljaspool konkreetse pilvteenuse pakkuja võimalusi (nt teise avaliku pilvteenuse osutaja juures, Riigipilves või lokaalses serveris), • millistel juhtudel (erinevat tüüpi eriolukordades) võivad erinevad IT baasteenuste valikud tuua kaasa teenuste katkemist ja millises ulatuses. Pilveteenuse strateegia on üks olulisemaid juhtimislikke instrumente, mis võimaldab DÜAKis seatud eesmärkide saavutamist. Seetõttu peaksid need kirjeldama teekonda, kuidas saavutatakse DÜAKis nimetatud eesmärgid olla pilvekõlbulik aastaks 2030. Asutuse siseselt tuleb Avalike pilvteenuste olulisem organisatoorne muutus on liikumine turuteenuste kokku leppida avalike kasutamisele, mis eeldab tavapäraselt muudatusi ka organisatsiooni struktuuris, vajalikes pilvteenuste juhtimise kompetentsides ja eelarves. Lisaks võib tekkida vajadus kohandada või muuta korraldus ja seotud otsustusprotsesse, mis on seotud IT baastaristu kasutusega. ressursid Pilvteenuse strateegiat Praktiline tegevuskava on oluline osa tehnilise arhitektuuri juhtimisest, mis tagavad riiklike peab toetama praktiline kui valdkondlike strateegiate ellu rakendamise. Pikemaajalise tegevuskava olemasolu tegevuskava, mis võimaldab migratsioonide jaoks eraldada asjakohased ressursid, mis on vajalikud nende selgitab pilvteenuste oskuslikuks kavandamiseks ja ellu viimiseks. Samuti võimaldab see planeerida migreerimise oodatavat kasutuselevõttu sellises järjekorras, mis võimaldab seotud töötajatel oskuseid omandada järjekorda ja omavahelisi mõõdukaid riske võttes. Migreerimise kavandamine on IT-maja vastutus. sõltuvusi. 37 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava  Tegevus Kirjeldus Asjatundliku strateegia ja Iga teenuseomaniku ja IT-maja ülesanne on mõista, milliseid kompetentse neil on vaja tegevuskava saavad arendada ning läbi tegevuskava elluviimise ja keskse kompetentsikeskuse tegevuse (sh koostada ja ellu viia vaid kogukond ja koolitused) võimaldada asjakohastel töötajatel kogemusi omandada. Näiteks asjatundlikud tavapäraselt tuleb asuda suuremat tähelepanu pöörama pääsuõiguste korraldusele 24, eksperdid. Neid oskuseid krüpteerimisele, sobivate teenustasemete valikule25 ning kulude juhtimisele. on vaja läbi kogemuste arendada. 24 Avalike pilvteenuste osutajad vastutavad reeglina taristu eest ning turvalisuse tagamiseks pakuvad erinevaid vahendeid, näiteks krüpteerimine ja sellega seotud teenuseid - nende vahendite ja teenuste korrektne kasutus on iga teenuse kasutaja (teenuseomaniku) vastutus. Lisaks eelnevale tugineb turvalisus avalikus pilves autentimisele ja autoriseerimisele, keskendudes tuvastamisele, kes milliste varadega mida teha saab. 25 Avaliku pilvteenuse osutaja võib ise olla tõrke allikas või ründe sihtmärk (OPS 2.12). Kui pilvteenuse osutaja juures toimub IT-süsteemide tõrge, esinevad tõrked liidestuses või avaliku pilvteenuse pakkuja vastu sooritatakse edukas rünne, mõjutab see ka teenuseomanikku. Tuleb aktsepteerida fakti, et tõrke lahendamine on teenuseosutaja vastutus kooskõlas teenustaseme (SLA) tingimustega ning teenuseomanikul ei ole võimalik tõrke lahendamist ise juhtida ega kiirendada. Teenuseomanik peab teadlikult valima sobiva teenustasemega teenuse. 38 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Kokkuvõte Nii nagu nenditi juba 2015. aastal Majandus- ja kommunikatsiooniministeeriumis (edaspidi MKM) koostatud Riigipilve kontseptsioonidokumendis1, on avalike pilvteenuste kasutamine avalikus sektoris kriitilise tähtsusega, tagamaks Eesti digiriigi kaasaegsus ja jätkusuutlikkus. Kontseptsioon selgitab, kes ja kuidas peaks juhtima avalike pilvteenuste efektiivset kasutuselevõttu Eesti avalikus sektoris. Dokumendis esitatud tegevuskava elluviimine annab olulise panuse Eesti digiühiskonna arengusse ja loob eeldused vähendamaks avaliku sektori mahajäämust pilvteenuste kasutamises. Ootuspäraselt kasvab avaliku pilve kasutuse osakaal avalikus sektoris lähiaastatel olulisel määral. Seetõttu on praegu õige aeg teha otsuseid, mil määral on plaanis avalike pilvteenuste kasutamist tsentraliseerida. Käesolev kontseptsioon keskendub eelkõige taristu- ja platvormiteenuste (nö IT baastaristu) kasutamisele, sest nende osas on ootuspäraselt Eesti avaliku sektori teenuseomanike vajadustel suurem ühisosa ning seetõttu ka põhjust tsentraliseerimist põhjalikumalt kaaluda. Kontseptsiooni loomise käigus kirjeldati trendid Eesti avaliku sektori avalike pilvteenuste kasutamises, tuvastati soovitud muutused ning disainiti juhtimismudel, mis neid muutuseid efektiivselt toetaks. Arvestades senist baastaristu juhtimiskorraldust keskendub pakutav juhtimismudel valitsusasutuste ja nende poolt hallatavate asutuste tasemele. Juhtimismudeli elluviimiseks loodi tegevuskava. Avalike pilvteenuste kasutamisel on hulk eeliseid, millest olulisimaks on võimalus keskenduda igal organisatsioonil oma põhitegevusele ja kasutada IT baasteenuste jaoks juba olemasolevaid teenuseid. Avalike pilvteenuste kasutamine võimaldab luua uusi ärimudeleid ja e-teenuseid, mida asutuse oma taristu ei toeta. Üks oluline pilvteenuse funktsionaalsus on skaleeritavus, mis tagab teenuste toimimise ka siis, kui suur kasutuskoormus langeb lühiajalisele perioodile, näiteks eraisiku tulumaksu deklaratsioonide esitamine. Pilvteenuste arvutusvõimsused ja funktsionaalsused on hädavajalikud tehisintellekti ja suurandmetöötlusel põhinevate lahenduste loomisel ja kasutusel. Avalike pilvteenuste kasutuselevõtt on pikaajaline horisontaalne muutus, mis nõuab ümberkorraldusi nii tarkvara arendamises, organisatoorses korralduses, eelarve struktuuris aga ka kompetentside juhtimises. Sellise muutuse asjakohaseks kaalumiseks, õigeaegseks ettevõtmiseks ja selle elluviimiseks vajalikke ressursside eraldamiseks vajavad teenuseomanikud selgeid ootuseid ja suuniseid nii poliitikakujundajatelt kui ka neid IT kompetentsikeskusena toetavatelt asutustelt (edaspidi IT-majad). Eesti avalikus sektoris baastaristut puudutavate valikute tegemiseks on vajalik selgus, kuidas positsioneeritakse avalikke pilvteenuseid Riigipilve suhtes. Avaliku sektori IT baastaristu jääb kasutama erinevaid pilvetehnoloogiatel põhinevaid platvorme. Kontseptsiooni kohaselt nähakse avalikke pilvteenuseid ja Riigipilve kui samaväärseid alternatiive, mille vahel või koostoimes peab iga teenuseomanik leidma endale sobiva. Eesti riigi infosüsteem põhineb detsentraliseeritud lähenemisel, kus iga teenuseomanik on vastutav enda pakutavate e-teenuste ja infosüsteemide eest ning vaba valima tehnoloogiaid, mis aitavad tal kvaliteetset teenust pakkuda. Detsentraliseeritud teenuste osutamist toetavad hoolikalt valitud tsentraliseeritud teenused (keskse andmevahetuskihi tarkvara X-tee, riigi kesksed autentimisteenused jne), mis on taganud Eesti digiriigi efektiivsuse ja asjatute dubleerimiste vältimise. Avalik pilv on teema, mida seni ei olnud määratletud. Kontseptsiooni kohaselt tagavad keskvalitsuse tasemel oma valdkonna pikaajalise taristuplaani loomise ja ellu viimise IT-majad. IT-maja ülesanne on selgitada teenuseomanikele, kas ja millal on mõistlik avalike pilvteenuste kasutamist kaaluda ja planeerida või kasutusele võtta. Eesti õigusruumis on 39 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava avalike pilvteenuste kasutamine iga teenuseomaniku valik ning selleks ka jääb. Tänu IT-maja toele saavad teenuseomanikud teha kaalutletud otsuseid ning kanda vastutust oma teenuste eest. Vähendamaks dubleerimist on vajalik keskse kompetentsikeskuse loomine RITi. Avalike pilvede kompetentsikeskus peab tagama teadmuse leviku ja kompetentsi tõusu avalikus sektoris. Kompetentsikeskus saab anda oma panuse, et keskselt lahendada minimaalsed disaini ja turvalisuse küsimused (nö ühised mustrid nagu näiteks andmete säilitamine vaid Euroopa Liidu piires). RIT võib toetada IT-maju läbi pilvelahenduste vahendamise ja parimate praktikate jagamise, kuid RIT ise ei muutu avalike pilvelahenduste pakkujaks ega võta endale vastutust avalike pilvelahenduste turvalise juurutamise eest. Ajalooliselt on aastaid tehtud tööd selle nimel, et konsolideerida senised baastaristu lahendused Riigipilve. Seetõttu on de facto eelistatud lahendus Riigipilv. Uute rakenduste puhul kehtib juba täna arhitektuurne nõue ehitada neid pilvekõlbulikena. Senise Riigipilve ja privaatpilve lahenduste kõrval kasvab ootuspäraselt avalike pilvteenuste kasutus ning kontseptsiooni käigus positsioneeriti avaliku pilv kui samaväärne lahendus Riigipilvega. See võimaldab teenuseomanikele teadvustada, et neil on õigus ja kohustus teha baastaristut puudutavaid valikuid. Teadlikkuse tõstmisesse panustab küll kompetentsikeskus, kuid lisaks peab avalike pilvteenuste kasutuselevõtt olema avalikult toetatud läbi digiühiskonna strateegia täienduste, eelarveotsuste ja asjakohase kommunikatsiooni. Avaliku sektori asutused peavad asuma pilvetehnoloogia, ja sealhulgas ka avalike pilvteenuste, kasutuselevõtu teele juba täna. Vajalik on hakata arendama organisatoorseid võimekusi avalike pilvteenuste kasutamiseks – omandades praktilisi oskused ja kogemusi ning kohandada töökorraldust. Kontseptsiooni kohaselt tehakse ettepanek sõnastada avalike pilvteenuste kasutuselevõtu juhtimise alusprintsiibid (5-10 a vaates) järgmiselt. 1. Digiühiskonna arengukava (DÜAK) kohaselt on avalike pilvteenuste aktiivsem kasutamine avalikus sektoris ootuspärane ja vajalik. Kontseptsiooniga ei tehta ettepanekuid DÜAKis sõnastatud eesmärke ega strateegilisi suundi oluliselt muuta. Teenuseomanikud peavad tagama valmisoleku kasutada pilvteenuseid, sh avalikke pilvteenuseid. Kontseptsioon soovitab avalikele pilvteenustele migreerumise sihte ning ootuseid organisatoorsete võimekuste arendamiseks täpsemini sõnastada. Pilvteenuste kasutuselevõtuga seotud eesmärke peab toetama asjakohane tegevusplaan, kus tegevustele on lisatud vastutajad. Need täpsustused tagavad, et eesmärke tõlgendatakse erinevate teenuseomanike poolt sarnaselt ning arengukava alusel viiakse muudatused ka ellu. 2. Teenuseomanikel on õigus ja kohustus valida oma e-teenuste osutamiseks sobivaimaid taristu- ja platvormiteenused. Kontseptsiooni kohaselt jäädakse truuks lähenemisele, kus avalike pilvteenuste kasutamine on iga teenuseomaniku valik. Kontseptsiooniga rõhutatakse, et teenuseomanikud peavad tegema kaalutletud valikuid avalike pilvteenuste ning riiklikult arendatavate ja hallatavate (nt Riigipilve) lahenduste vahel nii, et kumbki lahendus ei ole de facto eelistatud. 3. Avalike pilvteenuste kasutuselevõtt peab olema avalikult toetatud läbi digiühiskonna arengukava täienduste, eelarveotsuste ja asjakohase kommunikatsiooni. Selleks, et muuta ajalooliselt juurdunud seisukohti, kus parimaks lahenduseks peetakse Riigipilve lahendust, on vaja teadlikult kommunikatsiooni juhtida ja avaliku pilve asjakohaselt positsioneerida. 4. Taristu- ja platvormiteenuste valikuid juhivad IT-majad, kes kaalutlevad avalike pilvteenuste ja Riigipilve lahenduste vahel või leiavad sobivaima lahenduse nende kombinatsioonis, tehes vastavad ettepanekud teenuseomanikele. IT-majadesse on koondatud ühe või mitme ministeeriumi valitsemisala IT- alane kompetents ning IT-majade vastutus on piiratud vastava valitsemisala teenustega. IT-majal on piisav info nii teenuse vajaduste kui ka tehnilise võimekuse 40 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava  kohta, et mõjutada kaalutletud otsuseid, millal pilvteenuseid kasutusele võtta. IT-maja tasemel on vajalik ka asjakohaste organisatoorsete muudatuste juhtimine ning kompetentside arendamine. 5. IT-maju toetab valikute tegemisel ja avalike pilvteenuste kasutuselevõtul keskne kompetentsikeskus. Keskse kompetentsikesksusena nähakse Riigi Info- ja Kommunikatsioonitehnoloogia Keskust (edaspidi RIT), kuhu juba täna on konsolideeritud Eesti baasinfrastruktuuri lahendused. Kompetentsikesksusesse soovitakse koondada selliste ülesannete täitmine, mis vastasel korral eeldaks kordamist kõigis avalike pilvteenuste taristu- või platvormiteenuseid kasutavates IT-majades. RIT tagab ressursside keskse hankimise ja vahendamise ning ühiste mustrite (nn „guardrails“) kasutuse. RIT ise ei muutu avalike pilvelahenduste pakkujaks ega võta endale vastutust avalike pilvlahenduste turvalise juurutamise eest. RIT saab toetada avaliku sektori osapooli läbi parimate praktikate ja kogemusete jagamise. 6. RIT ei taga erinevate pilvelahenduste koosvõimet. Avaliku sektori baastaristu jääb koosnema erinevatest platvormidest (privaatpilv, Riigipilv, avalik pilv), millest mitmeid saab vahendama RIT. RIT aga ei taga nende lahenduste omavahelist koosvõimet. Eelnev ei sea piiranguid valikutele, kas ja kuidas otsustatakse Riigipilve edasi arendada. Dokumendis on detailsemalt kirjeldatud juhtimismudeli tervikülevaade koos iga osapoole vastutusega. Tegevuskava 2024-2026 aastateks sisaldab tegevuskava erinevate osapoolte lõikes alates poliitikakujundajast ja lõpetades IT-majade ja/või teenuseomanikega. Detailselt on kirjeldatud RITi kujunemisest pilvteenuste kompetentsikeskuseks. Kontseptsioon loodi perioodil veebruar – juuni 2024 vastavalt hankelepingule, mis on sõlmitud riigihanke “Avalike pilveteenuste kasutuselevõtu kontseptsioon ja tegevuskava“ (270230) tulemusena. Lahenduse loomisel lähtuti avalike pilvteenuste trendidest, tugineti Euroopa kogemustele avaliku pilve strateegiliste seisukohtade kujundamisel ja arvestati praktilisi kogemusi avaliku pilve tegevuskavade elluviimisest. Kontseptsioon valmis Gofore Estonia OÜ, Gofore Plc, TGS Baltic Eesti, Riigi Info- ja Kommunikatsioonitehnoloogia Keskuse, MKM, Riigi Infosüsteemi Ameti (RIA), Keskkonnaministeeriumi Infotehnoloogiakeskuse (KEMIT), Küberväejuhatuse, Rahandusministeeriumi Infotehnoloogiakeskuse (RMIT), Siseministeeriumi Infotehnoloogia- ja Arenduskeskuse (SMIT), Tervise ja Heaolu Infosüsteemide Keskuse (TEHIK), Tervisekassa ja Töötukassa tihedas koostöös arvestades riigi infosüsteemi toimemudelit ja juhtimiskorraldust. 41 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Lisa 1. Kaasamise ja koostöö ülevaade Kontseptsiooni ja tegevuskava kujundamiseks kaasati erinevaid osapooli, kelle pädevuses oli anda vajalikku sisendit, teha otsuseid ning kiita heaks ühiselt välja töötatud lahendus. Kaasatud olid: • Juhtrühm, kelle pädevuses on töörühma tööst saadud tulemite valideerimine, otsustamine ning kontseptsioonis kirjeldatud tegevuskava ellu viimine. • Töörühm, kelle pädevuses on kvaliteetse tulemite saavutamiseks vajaliku sisendi andmine. Töörühma kuulusid (töötubades osalesid): • Keskkonnaministeeriumi Infotehnoloogiakeskus (KEMIT), mis teenindab Kliimaministeeriumi valitsemisalasse kuuluvaid asutusi; • Küberväejuhatus, mis teenindab Kaitseministeeriumi vastutusalasse kuuluvaid asutusi sh Kaitsevägi; • Rahandusministeeriumi Infotehnoloogiakeskus (RmIT), mis teenindab peamiselt Rahandusministeeriumi valitsemisalasse kuuluvaid asutusi. • Riigi Info- ja Kommunikatsioonitehnoloogia Keskus (RIT), mis pakub ca 75-le avaliku sektori asutustele keskseid arvutitöökoha-, serveri alustaristu jm lisateenuseid; • Siseministeeriumi Infotehnoloogia- ja Arenduskeskus (SMIT), mis teenindab peamiselt Siseministeeriumi valitsemisalasse kuuluvaid asutusi; • Tervise ja Heaolu Infosüsteemide Keskus (TEHIK), mille kliendiks on mitmed Eesti tervishoiu- ja sotsiaalsüsteemi kuuluvad asutused nagu nt Ravimiamet, Terviseamet, Sotsiaalkindlustusamet, Tervisekassa Tervise Arengu Instituut jne; • Tervisekassa; • Töötukassa. Kaasamistegevuste lühiülevaade on esitatud alljärgnevas tabelis ning seejärel on avatud iga tegevuse täpsem osalejate nimekiri ja kaasamise eesmärk. Operatiivseid kohtumisi ja arutelusid juhtrühma liikmetega ei ole ülevaatlikkuse huvides kajastatud. Tabel 10. Kaasamistegevuste lühiülevaade Nr Periood Osapool Vorm Eesmärk Projekti seotud E-kiri töörühma Töörühma kuuluvate isikute 1 26.01.2024 osapooled organisatsioonidele tuvastamine. Huvide ja ootuste täpsustamine Töötuba MKM hetkeolukorra kaardistamiseks 2 07.02.2024 Töörühm ruumides ning tulevikuvisiooni kujundamiseks. Avaliku sektori asutuste pilvteenustele liikumise Töötuba Workland teekonna kaardistamine ning 3 21.02.2024 Töörühm ruumides sisendi kogumine tulevikukontseptsiooni loomiseks. Nr Periood Osapool Vorm Eesmärk Veebipõhine küsimustik. MKM edastas e-kirja Hetkeolukorra kaardistamine, et töörühma liikmetele välja selgitada tänane 23.02.2024- Töörühm ja laiendatud 4 koos palvega edastada pilvteenustega seotud staatus 03.03.2024 ring seotud osapooli see IT-majade ning kasutatavad meetodid olulisematele infrastruktuuri osas. teenuseomanikele. Riigikantselei ootuste täpsustamine ning koostöö 5 01.03.2024 Riigikantselei E-kiri vajaduse täpsustamine kontseptsiooni loomisel. 6 06.03.2024 Töörühm Online töötuba RITi keskse rolli täpsustamine Tagasiside kogumine 08.03.2024- hetkeolukorra kirjeldusele, 7 Töörühm, MKM, RIA E-kiri ja jagatud tööfail 15.03.2024 ootustele ja kontseptsiooni peamistele aluspõhimõtetele. Osapoolte (MKM, RIT, IT-majad) rollide ja tegevuskava 8 20.03.2024 Töörühm Töötuba RITi ruumides valideerimine ning täpsustamine. Vahetulemite ja RITi oodatava Vahetulemite 9 20.03.2024 RITi töötajad rolli tutvustus ja tagasiside tutvustamine kogumine. Tagasiside kogumine 22.03.2024- 10 Töörühm, MKM, RIA E-kiri ja jagatud tööfail kavandavale juhtimismudelile ja 03.04.2024 tegevuskavale. 3 Nr Periood Osapool Vorm Eesmärk Avalike pilvteenuste ja Riigipilve 11 03.04.2024 MKM, RIA, RIT Koosolek omavaheliste seoste arutelu (Riigipilve positsioneerimine). 1. Ministeeriumid 2. RITi kliendid 3. Erasektor - peamised Laiem avalik tagasiside 16.04.2024- avalike pilvede 12 E-kiri kogumine esialgsele 07.05.2024 pakkujad, Eesti kontseptsioonidokumendile. Infotehnoloogia ja Telekommunikatsiooni Liit (ITL) 4  Ministeeriumid Meie 25.04.2024 nr 9-1/1168-1 Avalike pilveteenuste kasutuselevõtu kontseptsioon ja tegevuskava tööversioon Ootame arvamusi ja ettepanekuid ”Avalike pilveteenuste kasutuselevõtu kontseptsioon ja tegevuskava“ esialgsele versioonile. Kontseptsiooni eesmärk oli välja selgitada, kes ja kuidas peaks juhtima avalike pilvteenuste efektiivset kasutuselevõttu Eesti avalikus sektoris. Ootuspäraselt kasvab avaliku pilve kasutuse osakaal avalikus sektoris lähiaastatel olulisel määral. Seetõttu on praegu õige aeg teha otsuseid, mil määral on plaanis avalike pilvteenuste kasutamist tsentraliseerida või keskselt koordineerida. Kontseptsiooni loomise käigus kirjeldati trendid Eesti avaliku sektori avalike pilvteenuste kasutamises, tuvastati soovitud muutused ning disainiti juhtimismudel, mis neid muutuseid efektiivselt toetaks. Juhtimismudeli elluviimiseks loodi tegevuskava. Kontseptsioon keskendub eelkõige taristu- ja platvormiteenuste (nö IT baastaristu) kasutamisele, sest nende osas on ootuspäraselt Eesti avaliku sektori teenuseomanike vajadustel suurem ühisosa. Arvestades senist baastaristu juhtimiskorraldust keskendub pakutav juhtimismudel valitsusasutuste ja nende poolt hallatavate asutuste tasemele. Dokumendi esialgses versioonis on kontseptsiooni lühikokkuvõte lisatud sama faili algusesse (lk 4-5), et tagada hüperlinkide toimimine ning mugavam liikumine töö erinevate osade vahel. Palume sisulisemad täiendus- ja muudatusettepanekud edastada meile kirja teel (vastates saatjale või pöördudes terve projektimeeskonna poole aadressil [email protected]). Väiksemaid täpsustusi ja korrektuure olete oodatud lisama ka otse jagatud faili: CloudConcept_stage1.docx. Sama lingi kaudu on kõigil võimalik panustada dokumendi pidevasse täiendamisse ning jälgida juba sisse viidud muudatusi. Tagasiside palume saata hiljemalt 7. maiks 2024. Saadud tagasiside põhjal koostame täiendatud ja parandatud versiooni plaanitvalt hiljemalt juuniks 2024. Lugupidamisega (allkirjastatud digitaalselt) Madis Tapupere tehnoloogiate juht Suur-Ameerika 1 / 10122 Tallinn / 625 6342 / [email protected] / www.mkm.ee Registrikood 70003158 Madis Tapupere [email protected] 2 (2) Saatja: [email protected] Saaja: "MTA Emta" <[email protected]>, "Statistikaamet" <[email protected]>, "RAB rahapesu" <[email protected]>, "RTK Info" <[email protected]> Teema: Avalike pilveteenuste kontseptsiooni tööversioon Kuupäev: 2024-04-30 15:30 Tere! Palun teie tagasisidet hiljemalt 10.05. [email protected]. Teile on Rahandusministeeriumi poolt edastatud dokument. Pealkiri: Avalike pilveteenuste kontseptsiooni tööversioon Registreerimise kuupäev: 25.04.2024 Registreerimise number: 1.6-2/1999-1. <http://www2.rik.ee/delta/RMIN_logo.png> Suur-Ameerika 1, Tallinn 10122 Tel. (372) 611 3558 e-mail: [email protected] <http://www.rahandusministeerium.ee> www.rahandusministeerium.ee P Säästa loodust ja ära prindi seda e-kirja! _____ Käesolev e-kiri võib sisaldada asutusesiseseks kasutamiseks tunnistatud teavet. This e-mail may contain information which is classified for official use.