Siseministeeriumi valitsemisala vastuskiri avalike pilveteenuste kasutuselevõtu kontseptsioonile ja tegevuskavale

Teie: 25.04.2024 nr 9-1/1168-1 Majandus- ja Kommunikatsiooniministeerium Meie: 13.05.2024 nr 2-1/299-3 Siseministeeriumi valitsemisala vastuskiri avalike pilveteenuste kasutuselevõtu kontseptsioonile ja tegevuskavale Siseministeerium on tutvunud arvamuse andmiseks esitatud avalike pilveteenus te kasutuselevõtu kontseptsiooni ja tegevuskavaga. Üldiselt oleme kontseptsiooni ja tegevuskavaga nõus, kuid toome välja alljärgnevad märkused, millega palume arvestada 1. Avalike pilveteenuste kasutuselevõtu stsenaariumites on täielikult välja jäetud ministeeriumid, kes aga vastutavad valdkonna strateegilise juhtimise ning riigieelar ve vahendite planeerimise eest. Pilveteenuste kasutusele võtu strateegilisi otsuseid ei saa sellest tulenevalt vastu võtta ei teenuseomanik üksi ega IT-maja. Ministeer iumi oluliseks tegevuseks pilvteenuste kasutuselevõtul on sisulise vajaduse kaardistus, tagada valitsemisalas ühetaoline lähenemine ning olulistest põhimõtetest kinnipida mine ja lisaks strateegiliselt kaugeleulatuvate mõjudega otsuste jätkusuutlikk use läbimõtlemine. Siseministeeriumis planeeritakse praegu senisest rohkem pilveteenustele üleminemist, kuid vastavad otsused tehakse valitsemisala üleselt, kaasates nii IT-maja kui teenuseomanikke. Vastavate otsuste tegemise protsessi juhib aga ministeerium ning suunised sätestatakse valitsemisala IKT strateegias, mille koostamist juhib ministeeriumi IKT strateegia valdkonna juht ning kinnitab Siseministeeriumi kantsler. Samuti viiakse riigiüleselt digiühisko nna arengukavas kokkulepitud eesmärke ellu just läbi IKT strateegia. 2. Nõustume lähenemisega, et keskselt tuleb leppida kokku põhimõtted, mille alusel pilveteenuseid valitsemisalades tuleks kasutusele võtta, nt otsustada AK info töötlemise lubatavus pilves. Teeme ettepaneku sellised otsused teha riigis keskselt, nt Küberjulgeoleku Nõukogus (edaspidi KJN), kuna piirangud puudutavad just riigi olulis i andmekogusid ja infosüsteeme, mille nimekirja kinnitab KJN. Me ei toeta aga pilveteenuste kasutusele võtmise kohustuslikuks muutmist, vaid lõplik otsus peab jääma valitsemisalale ja andmete teabevaldajale, kes on kõige pädevam hindama pilveteenus te kasutamise mõju, riske ja võimalikku kasu/kokkuhoidu. Konkreetsed rollijaotused ning juhtimismudel ministeeriumi, teenuseomaniku ning IT-maja vahel tuleks jätta valitsemisaladele. SIMis on vastavad rollid määratud SIM valitsemisala IKT teenuste osutamise põhimõtetes ning IKT arenduskorras, mida vajadusel täpsustame pilveteenuste kasutuselevõtu osas. 3. Toetame RITi rolli keskse kompetentsikeskusena ning oleme ka pilvemää r use aruteludes avaldanud soovi, et RITil oleks õigus ja kohustus ning vastavad ressursid, et teenusepakkujaid keskselt hinnata. Peame jätkualt oluliseks, et keskse hindamise Pikk 61 / 15065 Tallinn / 612 5008 / [email protected] / www.siseministeerium.ee Registrikood 70000562  negatiivne tulemus (teenusepakkuja ei ole usaldusväärne) oleks siduv kõigile riigiasutustele. See aitab vähendada nii bürokraatiat kui võimalike kulusid. Üldised märkused  Andmesaatkond on tänasel päeval väljendanud ühe tulevikuvisioonina lisaks tagavarakoopiatele pakkuda teenuste kasutamist (nt. Riigi Teataja) Luksemburgist ja seetõttu näeme antud juhul pilveteenuste ja andmesaatkonna vahel teatavat vastuolu. Palun täpsustada riigi strateegilise vaates, kuidas need kaks vaadet kokku sobivad ja kuidas ning millest peavad valitsemisalad oma teenuste pakkumisel lähtuma.  Sooviksime saada täpsemat ülevaadet kulude seisukohast ja head näidet Eestist, kus on toodud selged pilveteenusele mineku kulud, kulunud aeg ja muu info üheselt mõistetavalt välja. Kas on võimalik Tervisekassa näite puhul tuua välja pilvteenuse le mineku, seal olemise ja haldamise ning muud võimalikud kulud.  Antud materjalides on käsitletud riskide vaadet minimaalselt, eriti infoturberisk ide vaadet ja seetõttu ootaksime materjalidest veelgi rohkem nende riskide väljatoomist (nt pilve konfiguratsioon, hoiustamine, ligipääsud, logimine, teenuse lõpetamine, käideldavus, konfidentsiaalsus, karbitoode, arenduse, sobivus taristuga jne)  Kontseptsiooni kohaselt nähakse avalikke pilvteenuseid ja Riigipilve kui samaväärseid alternatiive, mille vahel või koostoimes peab iga teenuseomanik leidma endale sobiva – Avalike pilveteenuste, kui megatrendi osas (lk 10) tuuakse välja, et on näiteid selle kohta, et mõned organisatsioonid viivad oma andmed või teenused avalikust pilvest tagasi oma taristule. Põhjenduseks on toodud järgnev: Tüüpiliseks põhjuseks näib olevat avalike pilvteenuste kasvanud hind või vähemalt hinna prognoosimise võime ja ette ennustatavas. See näitab, et kuigi pilv pakub kulude läbipaistvust ja kulude optimeerimise võimalusi, siis infrastruktuuri eelarvete vähendamine ei tohiks olla pilve kasutuselevõtu peamine tõukejõud. o Tekib küsimus, kui tõenäoline on olukord, kus nt mõni ministeerium viib oma andmed või teenused pilvest tagasi oma taristule? Kas siin lähtutakse pelgalt Forbes’i artiklist? o Kulude optimeerimise osas nõustume, et eelarvete vähendamine ei tohiks olla pilve kasutuselevõtu põhjus, vaid peame lähtuma sellest, et andmed oleksid turvaliselt kaitstud ja riskid maandatud.  Olukorras, kus tehniline platvorm viiakse kompetentsikeskusena kokku ühte kohta, kuid tarbijale-kliendile (antud juhul IT majad) jääb vastutus sisulise poole eest, on ülioluline juba eelnevalt tagada rollide selgus. Dokumendis võiks olla eraldi välja toodud tehnilisemat infot, kas sisuline pool tähendab paikamisi, ligipääsuõigus te ga majandamist, logimisi jne. Selline kontseptsioon tagab vastutuse ulatuse ning pädevate meetmete implementeerimist. Lisaks peab jääma teineteise auditeerimise võimalus, et rolliselguse puudumisest tingitud kitsaskohad välja tuleksid.  DÜAKis nimetatud murekohad ja eesmärgid seoses pilveteenustega (lk 15) – tekib küsimus kust tuleb ressurss nende eesmärkide saavutamiseks?  Sissejuhatuses (lk 8) sisuliselt dubleeritakse varasemalt lühikokkuvõttes (lk4) öeldut – kas seda on vaja teha või saaks teha ühes lühemalt?  Sooviks täpsustada, et kas antud juhtimismudeli ja pilvteenuste kasutamisel oleks võimalik rakendada E-ITSi OPS 2.3: Väljasttellimise mudelit 2 (3) Lugupidamisega (allkirjastatud digitaalselt) Veiko Ristissaar nõunik info- ja varahaldusosakond Siseministeeriumi info-ja varahaldus ja strateegia- ja arendusosakond 3 (3)