Vastus

Madis Tapupere Teie 25.04.2024 nr 9-1/1168-1 Majandus- ja Meie 15.05.2024 nr 1.6-2/1999-2 Kommunikatsiooniministeerium [email protected] Avalike pilveteenuste kontseptsiooni tagasiside Austatud härra Tapupere Täname Rahandusministeeriumi valitsemisala (RMV) poolt Majandus- ja Kommunikatsiooniministeeriumi võimaluse eest panustada avalike pilvteenuste kasutuselevõtu kontseptsiooni ja selle tegevuskavasse (edaspidi APTK). Nagu te ka oma 25.04.2024.a kirjas nr 9-1/1168-1 välja toote, on oluline, arvestades, et avaliku pilve kasutamise osakaal avalikus sektoris lähiaastatel olulisel määral tõuseb leppida riigis kokku ja teha otsused avalike pilvteenuste kasutamise põhimõtetes ja lahendustes. RMV poolt nõustume eelpool toodud seisukohaga ja üldise suunana toetame pilvteenuste kasutuselevõttu, kuid peame ka oluliseks edastada täiendused APTK-i järgmiste teemade kaupa: 1. APTK eesmärk ja käsitluse ulatus ning tegevuskava piisavus. APTK on eesmärgiks seadnud: „Kontseptsiooni eesmärk oli välja selgitada, kes ja kuidas peaks juhtima avalike pilvteenuste efektiivset kasutuselevõttu Eesti avalikus sektoris. Kontseptsiooni loomise käigus kirjeldati trende Eesti avaliku sektori avalike pilvteenuste kasutamises, tuvastati soovitud muutused ning disainiti juhtimismudel, mis neid muutuseid efektiivselt toetaks. Juhtimismudeli elluviimiseks loodi tegevuskava.“. Analüüsides APTK toome välja, et dokumendi näol on tegemist pigem avalike pilvteenuste kasutuselevõttu ettevalmistava kontseptsiooniga, mis käsitleb peamiselt RIT-i (Riigi Infotehnoloogia Keskus) rolli ja tulevasi ülesandeid. APTK tegevuskavas loetletakse RIT tegevusi keskseks kompetentsikeskuseks muutumisel, kuid ministeeriumide valitsemisalade IT majade roll ja tegevused on jäänud kirjeldamata. Praktikas oleks teenuseomaniku vaatest IT-maja roll selgitada teenuseomanikele, kas ja millal on mõistlik avalike pilvteenuste kasutamist kaaluda ja planeerida või kasutusele võtta. Samuti oleks valitsemisalade IT majade ülesandeks Suur-Ameerika 1 / 10122 Tallinn / 611 3558 / [email protected] / www.rahandusministeerium.ee registrikood 70000272  toetada ja nõustada neid pilvteenustele üleminekul, kuid pakutud tegevuskava ei toeta neid selles. 2. Tegevuskava sisu täiendamine Dokumendi sissejuhatavas osas toote õigesti välja, et: „Teenuseomanik peab valikut tehes arvestama paljude muutujatega: nii strateegiliste eesmärkidega kui ka õigusliku korraldusega, lühi- ning pikaajaliste vajadustega, aga ka tava- ja kriisiolukorraga. Samas on avalike pilvteenuste kasutuselevõtt pikaajaline horisontaalne muutus, mis nõuab ümberkorraldusi nii tarkvara arendamises, organisatoorses korralduses ja eelarve struktuuris, aga ka kompetentside juhtimises.“. Lisaks lk 25 olete juhtimismudeli loomise nõuete kirjeldamisel selgitanud, et: „Teenuseomanikel peab säilima vastutus tema avalikest ülesannetest tulenevate andmete töötlemise ja küberturbe nõuete täitmise üle. Selle vastutuse täitmisel tuginevad teenuseomanikud reeglina kompetentsile, mis on koondatud IT-majadesse. Seetõttu peavad muudatusettepanekuid tegema, adekvaatseid riskianalüüse koostama ja muudatuste ellu viimist juhtima IT-majad koostöös teenuseomanikega.“. Seega peame oluliseks, et tegevuskava täiendatakse tegevuste osas, mis aitaks ja toetaks IT majasid pilvteenustele üleminekul. Tegevuskavas peaks olema käsitletud konkreetsemalt riigisektori IT-majade avalike pilvteenuste kasutuselevõtu valmisolek, mis mh sisaldaks:  IT-majade pakutavate teenuste pilvekõlbulikuks üleviimise ajakavasid;  teenuste mahtusid ja prioriteete;  projekti rahastuse allikaid ja mahtusid. Tegevuskava koostamisel peab reaalselt arvestama IT majade tänast küpsust tulla üleminekuga toime ettenähtud ajaraamides, arvestades juba olemasolevaid kohustusi, kompetentse ja töömahtusid. RMV-s ootab pilve viimist 600+ rakendust, mis on liialt ambitsioonikas väljakutse aastateks 2025-2030 ning vajab selgelt planeerimist, prioriseerimist nii tarkvara arendamises, organisatoorses korralduses ja eelarve struktuuris, aga ka kompetentside juhtimises, nagu ka kontseptsioonis olete välja toonud. Täiendavalt võiks APTK praktilise näitena sisaldada ühe tüüpilise riigi e-teenuse näidisteekonda, mis oleks koostatud üle seotud osapoolte (teenuse omanik, IT maja, MKM, AKI, RIA, RIT jt), et joonistuks välja sammud, millest avalikku pilve liikumine koosneb, kes mida tegema peab, sh mis osa riigis keskselt lahendatakse. Nt, mis osa üleminekuks vajalikest riskianalüüsidest jääb RIT kanda ja mis osa teenuseomaniku. 3. RIT kui kompetentsikeskus. Kontseptsiooni kohaselt teete ettepaneku sõnastada avalike pilvteenuste kasutuselevõtu juhtimise alusprintsiibid (5-10 a vaates), kus lk 5 punktide 5 ja 6 sõnastuses on vastuolud ja ebaselgus vastutuse jaotuse osas: „IT-maju toetab valikute tegemisel ja avalike pilvteenuste kasutuselevõtul keskne kompetentsikeskus… …RIT ise ei muutu avalike pilvelahenduste pakkujaks ega võta endale vastutust avalike 2  pilvlahenduste turvalise juurutamise eest. RIT saab toetada avaliku sektori osapooli läbi parimate praktikate ja kogemuste jagamise.“. Palume sõnastust täiendada või selgitada, kuna RIT on justkui avalike pilvteenuste kasutuselevõtul keskne kompetentsikeskus, kuid järgmises lõigus on RIT-le omistatud vaid parimate praktikate ja kogemuste jagamise vastutus. Tekib küsimus, milles ikkagi seisneb kompetentsikeskuse roll ja vastutus ning võimekus tagada koosvõime asutuste/IT-majade vajaduste/nõuete haldusel? Samuti on oluline täpsustada pakutud juhtimismudelis IT majade rolli ja vastutuse jaotust ning kontseptsiooni selles osas täiendada. 4. RIT võimalik huvide konflikt Riigipilve ja APT-de pakkumisel. Peame oluliseks, et APTK-s täpsustatakse, kuidas maandatakse RIT puhul huvide konflikti? Arvestades, et RIT on IT-teenuste turul huvitatud osapool, kellel oma eelarve seisukohalt on alati suurem huvi suunata teenused enda hallatud Riigipilve APTK-s käsitletud avaliku pilve asemel. Teenuste avalikku pilve liikumist saab juhtida rakenduste tasemel, kõrgemas kihis. Kuidas RIT-ist kujuneb siin kompetentsikeskus ja nõuandja IT majadele, kui ta ise ei tegutse rakenduse kihis ega oma seetõttu ülevaadet sealsetest vajadustest, mustritest, spetsiifikast jms. 5. APTK-ga seatavate lisaülesannete täitmiseks vajalikud ressursid. Teenuseomanikele ja IT-majadele pannakse APTK-s mitmeid (uusi) ülesandeid, kuid nende täitmiseks vajalike ressursside planeerimist ja tagamist APTK-s ei käsitleta (vt punkt 3.4, lk37-38). Näiteks on teenusomanikele pandud vastutus APT kasutamise ja turvalisuse tagamise eest, luua sisemine kompetents riskianalüüside tegemiseks jne. Samas peavad APTK alusel sarnaseid kompetentse omama ka IT-majad ning keskselt ka RIT. Juhime tähelepanu, et selliste kompetentside loomine ja hoidmine nõuavad lisarahastust ning riskianalüüside ajakohasena hoidmine peaks juhtimismudelis olema osapoolte vahel võimalikult optimeeritud, et vältida samade ülesannete täitmisel ressursiraiskamist. 6. APTK eesmärkide täitmise ja tegevuskava rakendamise mõju riigieelarvele. Lõpetuseks palume APTK kontseptsiooni täiendada mõjuhinnanguga riigieelarvele, et tagada teadlik ja kaalutletud otsus kontseptsiooni jõustamiseks läbi asjakohaste muudatuste sisse viimise digiühiskonna arengukavasse. Lugupidamisega (allkirjastatud digitaalselt) Merle Küngas osakonnajuhataja 3 Kristi Müürsepp 58851397 [email protected] 4