Kultuuriministeeriumi infosüsteemide kasutamise korra kinnitamine

KANTSLERI KÄSKKIRI Tallinn 23.09.2020 nr 196 Kultuuriministeeriumi infosüsteemide kasutamise korra kinnitamine Vabariigi Valitsuse 12. novembri 1996. a määrusega nr 284 kinnitatud “Kultuuriministeeriumi põhimääruse” punkti 14 ja Vabariigi Valitsuse 15.03.2012. a määruse nr 26 “Infoturbe juhtimise süsteem” paragrahv 3 punkti 1 alusel: 1. Kinnitan “Kultuuriministeeriumi infosüsteemide kasutamise kord” (lisatud). 2. Tunnistan kehtetuks kantsleri 20.04.2018 käskkirja nr 10 „Kultuuriministeeriumi infosüsteemide kasutamise korra kinnitamine“. (allkirjastatud digitaalselt) Tarvi Sits  Kinnitatud Kantsleri 23.09.2020 käskkirjaga nr 196 Lisa Kultuuriministeeriumi (KUM) infosüsteemide kasutamise kord Sisukord: 1. Üldpõhimõtted .........................................................................................................................................................3 2. Mõisted ....................................................................................................................................................................3 3. Infosüsteemi kasutaja kohustused ............................................................................................................................4 4. Piirangud infosüsteemi kasutamisel .........................................................................................................................5 5. Pilveteenuste kasutamine .........................................................................................................................................6 6. Infoturbe ning andmekaitse koolitused ....................................................................................................................6 7. IT-vahendi taotlemine ja kasutamine .......................................................................................................................6 8. Infosüsteemi kasutaja õigused .................................................................................................................................7 9. Kasutajanimed ja salasõnad .....................................................................................................................................7 10. Kasutajaõiguste andmine ja kehtetuks tunnistamine ...............................................................................................8 11. Infosüsteemi intsidentide lahendamine ....................................................................................................................9 12. Infoturbeintsidentide käsitlemine ja kriisiolukorrad ................................................................................................9 13. Mobiilsete seadmete kasutamine .............................................................................................................................9 14. Tingimused võõrarvuti ja isiku, kes ei ole asutuse teenistuja, lubamiseks asutuse sisevõrku ...............................10 1. Üldpõhimõtted 1.1. Eesmärk ja sisu Infosüsteemi kasutamise korra eesmärk on kehtestada Kultuuriministeeriumi (edaspidi KUM) teenistujatele ühtsed reeglid infosüsteemide kasutamisel. 1.2. Kasutusulatus ja vastutus: 1.2.1. Korra väljatöötamise ja uuendamise eest vastavalt vajadusele vastutab infoturbejuht. 1.2.2. Kord laieneb kõigile KUM teenistujatele ja kehtib kõikides KUM füüsilistes asukohtades. 1.2.3. Käesoleva korra sätteid kohaldatakse ka infosüsteemiväliste rakenduste, registrite, andmekogude ja andmebaaside (edaspidi välised rakendused) kasutamise korral, kui vastavate väliste rakenduste kasutamise kordades ei ole sätestatud teisiti. 1.3. Viited: 1.3.1. Avaliku teabe seadus (AvTS) https://www.riigiteataja.ee/akt/122032011010?leiaKehtiv 1.3.2. Isikuandmete kaitse seadus (IKS) https://www.riigiteataja.ee/akt/104012019011?leiaKehtiv 1.3.3. Euroopa andmekaitse määrus (GDPR) https://eur-lex.europa.eu/legal- content/ET/TXT/HTML/?uri=CELEX:32016R0679&from=ET 2. Mõisted 2.1. Andmekaitseametnik- on andmekaitsealaseid õigusakte ja tavasid eksperdi tasandil tundev isik, kes abistab ja kontrollib andmetöötlejat määruse Euroopa Parlamendi ja Nõukogu määruse 2016/679 täitmisel. Andmekaitseametniku kontaktandmed on kättesaadava asutuse kodulehelt. 2.2. Andmekogu – organiseeritud ja püsiv otsinguvõimalusega andme- ja teabekogum; näiteks andmebaas, failisüsteem, fail, arvutustabel, kataloog, kartoteek, toimikukogum, kõigi ettevõttes käibivate andmete kogum. 2.3. Andmete töötlemine – andmete kogumine, salvestamine, korrastamine, säilitamine, muutmine, nende kohta päringute teostamine, nendest väljavõtete tegemine, andmete kasutamine, üleandmine, ühendamine, sulgemine, kustutamine või hävitamine või mitu eeltoodud toimingut. 2.4. Arvuti – lauaarvuti, mobiilne seade ning terminali töökoht. 2.5. Arvutitöökoha profiil – struktuurüksus(t)ele või teenistuja(te)le kokku pandud riist- ja tarkvara kogum, kasutaja õigused ning juurdepääsud. 2.6. ISKE – infosüsteemide kolmeastmeline etalonturbe süsteem, mis seisneb infoturbe eesmärkidele vastavate turvaklasside määramises ja nendele vastavate turvameetmete valimises ning mille rakendamise eesmärk on tagada infosüsteemides töödeldavatele andmetele piisava tasemega turvalisus. 2.7. Infosüsteem – inimestest, tark- ja riistvarast koosnev süsteem, mis töötleb ja tõlgendab infot. 2.8. Infoturbeintsident – realiseerunud oht, mis põhjustab asutusele/asutuse infovarale kahju, mis võib olla: rahaline, konfidentsiaalsete andmete lekkimine, andmete hävimine, tööseisak, asutuse maine kahjustamine. 2.9. Intsident – infosüsteemi, rakenduse või teenuse seisak, mistõttu tellijal ei ole võimalik täita oma tööülesandeid või funktsioone, sealhulgas infosüsteemi hangumine, infosüsteemis olevate andmete hävimine või kahjustumine, ebaõigete tulemuste andmine või samuti ebamõistliku sagedusega mittekriitilised vead. 2.10. IT teenus – infotehnoloogiat kasutav ja äriprotsesse toetav teenus, mis on inimeste, protsesside ja tehnoloogiate kombinatsioon ning mis peab olema kirjeldatud teenustaseme kokkuleppes. 2.11. Teenuseosutaja – asutusesisene või väline infotehnoloogia- ning kommunikatsiooniteenuste pakkuja. 2.12. Infosüsteemi kasutaja – asutuse teenistuja, kellele tööülesannetest tulenevalt ja nende täitmiseks on antud õigused asutuse siserakenduste ja väliste rakenduste kasutamiseks. Kaugkasutaja on infosüsteemi kasutaja, kes töötab infosüsteemis väljaspool asutust. Kasutajat ja kaugkasutajat nimetatakse edaspidi koos ja ühiselt teenistujaks. 2.13. Kaugtöö – asutuse sisemiste infosüsteemide, va elektronposti ja kalendrisüsteemi, kasutamine väljaspool asutuse füüsilist kohtvõrku. 2.14. Mobiilne seade – sülearvuti, nutitelefon, tahvelarvuti ning nende hübriidseadmed; 2.15. Probleem – ühe või mitme intsidendi tekkimise põhjus või mingisugune puudus teenuse või rakenduse toimivuses. 2.16. Postiloend – (ka meililist) infotehnoloogiline vahend, mille abil saab elektronposti teel edastatavat teadet edastada paljudele inimestele korraga. 2.17. Rakendus – tarkvara (või selle osa). mis pakub IT teenusele vajalikku funktsionaalsust, nt andmete salvestamist, kodeerimist, sorteerimist, kuvamist, edastamist, väljastamist jms süstemaatilisi operatsioone. 2.18. Infosüsteemi omanik – struktuurüksus, kelle huvides on antud infosüsteem loodud või kasutusele võetud. 2.19. Võõrarvuti - arvuti, mis ei ole teenuseosutaja poolt väljastatud või mis ei ole teenuseosutaja nõuetele vastavalt installeeritud ja seadistatud. 3. Infosüsteemi kasutaja kohustused Teenistuja on kohustatud: 3.1. täitma kõiki kehtivaid andmekaitse- ja autoriõigusealaseid õigusakte ning järgima asutuses kehtivaid andme- ja varade kaitset käsitlevaid standardeid, protseduure ja kordasid ning sellekohaseid poliitikaid; 3.2. kasutama infosüsteeme ainult teenistusülesannete täitmiseks; 3.3. kasutama tööalast informatsiooni sisaldavaid andmekandjaid ja tehnilisi vahendeid vaid KUM ruumides, välja arvatud juhul, kui nende kasutamine väljaspool KUM ruume on vajalik tööülesannete täitmiseks; 3.4. arvuti juurest lahkudes lukustama selle salasõnaga või PIN koodiga; 3.5. eemaldama ID-kaardi või digi-ID kaardilugejast, kui infosüsteemi kasutamiseks on vajalik ID-kaardiga autentimine, peale infosüsteemi kasutamise lõppu. Samuti eemaldama ID-kaardi või digi-ID kaardilugejast, kui arvuti juurest lahkutakse, ka lühikeseks ajaks; 3.6. krüpteerima ID kaardi või muu selleks ette nähtud vahendiga välisele andmekandjale (CDd, DVDd, mobiiltelefon, USB mälupulk jms) salvestatavat asutusesiseseks kasutamiseks mõeldud informatsiooni sisaldavad andmed, mille avalikuks saamine kahjustaks KUM või KUM kliente kooskõlas Avaliku teabe seaduse ja Isikuandmete kaitse seaduse ja andmekaitse määrusega; 3.7. salvestama asutusesiseseks kasutamiseks mõeldud informatsiooni andmekandjatele ainult tööülesannete täitmiseks; 3.8. teavitama rakenduste või tehniliste vahendite kasutamisel tekkivatest intsidentidest koheselt teenuseosutaja kasutajatuge (edaspidi kasutajatugi); 3.9. teavitama infoturbeintsidendist või -intsidendi ohust koheselt tööajal kasutajatuge ja infoturbejuhti; 3.10. hoidma kõiki andmeid, mille kadumine võib põhjustada asutusele olulist kahju, KUM hallatavas võrgus; 3.11. tagama tootekeskkonna rakendustesse sisestavate andmete õigsuse ning mitte sisestama tootekeskkonna rakendustesse andmeid testimise eesmärgil; 3.12. hoidma saladuses temale antud salasõnasid (vt käesoleva korra peatükk 9); 3.13. salvestama isiklikku teavet sisaldavad e-kirjad kausta Isiklik või kustutama. Väljaspool Isiklik kausta asuva elektronpostiga on infoturbejuhil teenistusalasest vajadusest tulenevalt õigus ette teatamata tutvuda või taotleda kasutajatoelt kirjavahetusele juurdepääsu kasutaja vahetule juhile; 3.14. ühendama KUM sülearvuti, va tahvelarvutid, mis ei kasuta Windows operatsioonisüsteemi, vähemalt korra kuus KUM sisevõrku; 3.15. arvestama, et tema võrguliiklus logitakse ja salvestatakse. Infoturbejuhil ja infoturbe spetsialistil on teenistusalasest vajadusest tulenevalt õigus ette teatamata tutvuda kasutaja võrguliikluse logidega 3.16. kooskõlastama KUM ja klientide andmete kasutamise koolitöödes (lõputööd, praktikakokkuvõtted jms) vahetu juhi ja andmete omanikuga; 3.17. teavitama teenuseosutajat IT-vahendi vargusest, kaotamisest või kahjustumisest esimesel võimalusel kasutajatuge ja struktuuriüksuse juhti, IT-vahendi varguse korral esitada avaldus ka politseile ja välismaal viibides võtma avalduse esitamise kohta vastav tõend; 3.18. kustutama esimesel võimalusel oma varastatud või kaotatud nutitelefoni või tahvelarvuti sisu läbi OWA juhul, kui seade on seadistatud sünkroniseerima andmeid KUM Exchangega. 3.19. tarkvara hankimiseks kasutama ainult usaldusväärseid allikaid ning skriptide puhul veenduma ennem käivitamist nende turvalisuses. 4. Piirangud infosüsteemi kasutamisel Teenistujal on keelatud: 4.1. vaadata, kasutada või väljastada asutusesisest teavet, mis ei ole avalik või seotud tema tööülesannete täitmisega; 4.2. lubada selleks volitust mitteomavatel isikutel ligipääsu teenistuja kasutuses olevatele tehnilistele vahenditele, andmekandjatele ja rakendustele; 4.3. hoida väljaspool KUM asutust asuvas arvutis krüpteerimata kujul asutusesiseseks kasutamiseks mõeldud informatsiooni; 4.4. muuta ise teenuseosutaja poolt hallatava arvuti tarkvara konfiguratsiooni või laadida Internetist või andmekandjalt oma arvutisse või võrguserverisse (v.a. juhul, kui see tegevus kuulub teenistuja tööülesannete hulka) sh: - mistahes tarkvara k.a mänge, programme, programmiuuendusi jms, - ebaseaduslikult omandatud autoriõigusega kaitstud elektroonses vormis andmeid (muusika, tekst, pildid, filmid jms), - erootilise või pornograafilise sisuga materjale; 4.5. külastada veebilehekülgi, mille kasutamise avalikuks tulemine võib tuua kaasa asutuse maine kahjustumise; 4.6. avada ise arvuti ja selle lisaseadmete korpuseid ning eemaldada või lisada komponente v.a juhul kui selline tegevus kuulub teenistuja tööülesannete hulka; 4.7. kasutada IT-vahendit viisil, mis võib kaasa tuua materiaalse kahju tekkimise, juurdepääsupiiranguga teabe avalikuks tulemise või informatsiooni hävinemise; 4.8. ühendada ükskõik milliseid võrguseadmeid iseseisvalt ilma infoturbejuhi loata asutuse sisevõrku, va. kui selline tegevus kuulub teenistuja tööülesannete hulka; 4.9. kasutada asutuse võrgus ilma infoturbejuhi loata võrgu või arvutite skaneerimise, pealtkuulamise või muid võrguliiklust segavaid rakendusi või seadmeid; 4.10. lülitada välja arvuti viirusetõrje- või tulemüüritarkvara, v.a juhul kui selline tegevus kuulub teenistuja tööülesannete hulka; 4.11. muuta ise teenuseosutaja poolt hallatava arvuti tarkvara- või võrgukonfiguratsiooni või installeerida uusi võrguühendusi, v.a juhul kui selline tegevus kuulub teenistuja tööülesannete hulka; 4.12. avada kahtlusi tekitava pealkirjaga ja/või kahtlustäratavalt elektronposti aadressilt saabuvat elektronposti, selles sisalduvaid manuseid või linke või käivitada sellega kaasas  olevaid programme ning skripte, v.a juhul kui selline tegevus kuulub teenistuja tööülesannete hulka selleks ette nähtud sisevõrgust eraldatud arvutis; 4.13. salvestada asutusesiseseks kasutamiseks mõeldud informatsiooni kataloogi või andmekandjatele, kus see võib olla kättesaadav selleks volitust mitte omavatele isikutele; 4.14. ühendada mitte-KUM päritoluga andmekandjaid (telefonid, mälupulgad jne) KUM arvutitesse või KUM kohtvõrku ilma kasutajatoe määratud isiku poolt andmekandja viirusetõrjega üle kontrollimiseta; 4.15. kasutada infosüsteemi mõne muu kasutaja õigustes, v.a. juhul, kui see tegevus kuulub teenistuja tööülesannete hulka; 4.16. kasutada oma tööalast elektronpostiaadressi asutusevälistes postiloendites ja foorumites või mõnel muul viisil avalikustada oma asutusesisest elektronpostiaadressi nii, et see on kergesti kättesaadav reklaami, spämmi jms asutuse tööga mitte seotud elektronkirjade saatjatele; 4.17. kasutada tööalase informatsiooni saatmiseks ja vastuvõtmiseks asutuseväliseid elektronpostiaadresse ning suunata oma tööalane elektronpost asutusevälistele elektronpostiaadressidele; 4.18. kasutada asutuse elektronposti aadressi rämpsposti saatmiseks; 4.19. saata asutusest välja elektronpostiga krüpteerimata kujul informatsiooni, mis on avaliku teabe seaduse mõistes piiratud juurdepääsuga teave; 4.20. saata elektronpostiga käivitatavaid ning süsteemseid faile, näiteks: exe, vbs, pif, scr, bat, cmd, com, cpl, dll jms, v.a juhul kui selline tegevus kuulub teenistuja tööülesannete hulka; 5. Pilveteenuste kasutamine 5.1. Teenistujatel on lubatud tööülesannete täitmiseks kasutada vaid neid pilveteenuseid, mille kasutamiseks on KUM-il sõlmitud leping (nt: Zoom või Onedrive). 5.2. Pilveteenused on mõeldud vaid tööalaseks kasutamiseks. 5.3. Pilveteenustes ei ole lubatud töödelda isikuandmeid ega AK andmeid, samuti andmeid, mis ei kanna AK märgistust, kuid vastavad sisult Avaliku teabe seaduse §-s 35 toodud tunnustele krüpteerimata kujul. Pilveteenuses olevaid AK ja isikuandmed tohib hoida ainult krüpteeritud kujul. Krüpteerimine peab toimuma ID-kaardi abil. 5.4. Järelevalve punktis 5.3 toodud nõuete täitmise eest oma osakonna teenistujate poolt on osakonnajuhatajal. Järelevalve läbi viimiseks on osakonnajuhatajal õigus juurde pääseda kõikidele oma osakonna teenistujate pilveteenuses salvestatud andmetele. 5.5. Kui pilveteenus võimaldab kasutada mitmefaktorilist autentimist, tuleb mitmefaktoriline autentimine kõikidel kasutajatel sisse lülitada. 6. Infoturbe ning andmekaitse koolitused 6.1. Kõik KUM teenistujad on kohustatud läbima KUM poolt läbi viidavad infoturbe- ning andmekaitsekoolitused. 6.2. Teenistujatel, kes ei läbi tähtaegselt punktis 6.1 nimetatud koolitusi, ei ole õigust kasutada KUM pilveteenuseid ja nende olemasolevad pilveteenuste kontod suletakse. Koolituse läbimisel pilveteenuse kontod avatakse. 6.3. Teenistujatel, kes ei läbi tähtaegselt punktis 6.1 nimetatud koolitusi, võib infoturbejuhi otsusega piirata sotsiaalmeedia kasutust. Koolituse läbimisel sotsiaalmeedia kasutusvõimalus taastatakse. 7. IT-vahendi taotlemine ja kasutamine 7.1. Kasutaja struktuuriüksuse juht taotleb arvuti väljastamist kasutajatoest Jira Servicedesk-i vahendusel. 7.2. Kasutaja on kohustatud temale e-posti teel teenuseosutaja IT varade registrilt saabunud kinnituslingil kinnitama, et ta on IT-vahendi kätte saanud ning teadlik sellega seonduvatest kohustustest. 7.3. IT-vahendi tagastamisel saab kasutaja e-posti teel teenuseosutaja IT varade registrist vastavasisulise teavituse. 7.4. Kasutajakonto luuakse kujul eesnimi.perekonnanimi. 7.5. Elektronpostikonto luuakse kujul [email protected], samanimeliste teenistujate puhul lisatakse hiljem tööle tulnud inimese perekonnanime lõppu number; 7.6. Elektrooniline postkast on mõeldud ainult tööalase kirjavahetuse jaoks. 7.7. Vaikeseadetes on igale kasutajale failiserveris loodud nimeline kataloog. Kataloogis ei ole lubatud hoida eraotstarbelist infot. 7.8. Teenuseosutajal on õigus kehtestada piiranguid säilitatavale ning võrgus üle kantavale mahule. 7.9. Printimisteenuse kasutamisel on soovitav ressursi kokkuhoiuks kasutada ökonoomseid meetodeid, sh. kahepoolset printimist. Enne printerile dokumendi saatmist on soovitav veenduda, kas väljaprinditav tekst või materjal vastavad kasutaja ootustele. 7.10. Teenistuja kasutusse antud arvuteid ja lisaseadmeid tuleb kohelda heaperemehelikult, sh. puhastada neid tolmust ja mustusest selleks ette nähtud vahenditega. 7.11. Infosüsteemi kasutamist reguleerivate õigusaktide mittetäitmine võib tuua kaasa kriminaal-, väärteo- või distsiplinaarkaristuse. Kontrolli infosüsteemi kasutamise üle viivad läbi vahetud juhid ja infoturbejuht. Infosüsteemi kasutamise reeglite eiramise kahtluse korral on infoturbejuhil järelkontrolli käigus õigus kontrollida teenistujale väljastatud arvutit (sh arvutisse salvestatud ja installeeritud programme ning asutuse elektronposti sisu). 7.12. Infosüsteemi kaugtöö tavakasutaja profiil kaasneb sülearvutiga. Lisaõiguste saamiseks peab teenistuja struktuurüksuse juht elektroonsel teel esitama taotluse koos põhjendusega kasutajatoele. Kasutajatugi kooskõlastab taotluse infoturbejuhiga. Infosüsteemi kaugtöö taotlus rahuldatakse ainult sisuliselt põhjendatud vajaduse korral. 7.13. Kaugligipääsuks kasutatav arvuti väljastab üldjuhul teenuseosutaja, erandid kinnitab asutuse infoturbejuht. 8. Infosüsteemi kasutaja õigused Teenistujal on õigus: 8.1. arvutustehnika kasutamine ulatuses, mis on vajalik tema otseste tööülesannete täitmiseks; 8.2. saada arvutitöökoht koos tööks vajaliku riist- ja tarkvaraga; 8.3. pääseda ligi IT teenustele ja infosüsteemidele vastavalt oma tööülesannetele; 8.4. pöörduda kasutajatoe poole infotehnoloogilistele intsidentidele lahenduse saamiseks; 8.5. saada kasutajatoelt rakenduste alast informatsiooni, juhendmaterjale ja vajadusel täiendavat informatsiooni intsidentide põhjuste ja lahenduste kohta; 8.6. esitada ettepanekuid infosüsteemide turvalisuse tõstmise, efektiivsema toimimise või muu töökorraldusliku muudatuse kohta. 9. Kasutajanimed ja salasõnad 9.1. Arvutitöökohale ja arvutivõrgule juurdepääsuks kasutatakse kasutajanime ja salasõna. 9.2. Iga teenistuja võib omada ühes rakenduses ühte kasutajanime ja salasõna, v.a juhul, kui mitme konto omamine on vajalik tööülesannete täitmiseks. 9.3. Iga teenistuja kasutajanimed ja salasõnad on unikaalsed ja seotud vastava töötaja isikuga. 9.4. Iga teenistuja peab ajutise salasõna vahetama esmakordsel sisenemisel, kui see on tehniliselt võimalik. Sama põhimõte kehtib ka rakenduste kasutamisel. 9.5. Teenistuja peab tagama, et salasõna on teada ainult temale. 9.6. Kui salasõna on saanud teatavaks kõrvalistele isikutele või on kahtlus, et see on võinud juhtuda, on teenistuja kohustatud salasõna koheselt muutma või laskma salasõnaga seotud kasutajaõigused kehtetuks tunnistada. 9.7. Kasutajate salasõnu tuleb muuta perioodiliselt vähemalt kord kvartalis; juhul, kui infosüsteem sellest teavitab või kui on tekkinud kahtlus selle avalikuks tulemisest.  Teenusekontode salasõnu ning kasutajate ja teenusekontode krüptograafilisi võtmeid tuleb muuta vähemalt 1 korra aastas. 9.8. Salasõnadeks ei tohi olla: 9.8.1. kergesti ära arvatavad, järjestikuseid tähti sisaldavad vms viisil ebaturvalised kombinatsioonid, mis võivad hõlbustada kasutajakonto volitamata kasutamist; 9.8.2. sõnastikes esinevad sõnad k.a võõrkeeltes; 9.8.3. sõnad, mis koosnevad kasutajat isikustada võimaldavatest andmetest (nimed, mootorsõiduki registreerimismärgid, telefoninumbrid, isikukoodid, sihtnumbrid jne) kas õiget- või tagurpidi kirjutatult. 9.9. Kasutatavate salasõnade pikkus peab olema vähemalt 12 (kaksteist) märki. 9.10. Salasõna peab sisaldama 4 elemendist (suurtäht, väiketäht, number, sümbol (! “ # ¤ % & ( ) = ? \ } ] [ { $ @ ’ - . , * _ : ; < > +) vähemalt kolme elemendi kombinatsiooni. 9.11. Kasutajatunnus lukustatakse peale 5 (viit) nurjunud sisselogimiskatset 3 minutiks. 9.12. KUM-is kasutuselolevaid salasõnasid ei ole lubatud kasutada KUM-välistes teenustes ja rakendustes, jäädvustada ühelegi andmekandjale krüpteerimata kujul või dokumenteerida ega teatavaks teha ühelegi teisele isikule, sh saata krüpteerimata kujul e- mailiga; 9.13. Intsidentidest kasutajaõiguste, kasutajanimede ja salasõnadega tuleb teavitada kasutajatuge. Intsidentidest teavitamisel on keelatud saata või öelda salasõnasid. 10. Kasutajaõiguste andmine ja kehtetuks tunnistamine 10.1. Teenistuja tohib omada vaid tema tööülesannete täitmiseks vajalikke kasutajaõigusi. Välistele rakendustele antakse kasutajaõigused vastavalt rakenduste omanikega sõlmitud lepingutele. 10.2. Kõigi taotletavate õiguste kohta peab õiguste taotlemise taotluses olema märgitud lühidalt, milliste tööülesannete täitmiseks läheb teenistujal konkreetset õigust vaja. Õiguste taotlus tuleb taasesitamist võimaldavas vormis edastada kasutajatoele. 10.3. Kasutajaõiguste taotluse esitaja peab olema veendunud, et teenistuja või isik, kellele õiguseid taotletakse, omab ülevaadet õigustega seonduvatest kasutusjuhenditest ja on teadlik õiguste kasutamisega kaasnevatest riskidest ning oskab neid maandada. 10.4. Infosüsteemide rakenduse kasutajaõiguse saamiseks (juhul, kui vastava rakenduse kasutajaõiguste saamiseks ei ole sätestatud spetsiifilisi nõudeid) peab teenistuja struktuuriüksuse juht elektroonsel teel esitama taotluse koos põhjendusega kasutajatoele. 10.5. Arvuti lokaalse administreerimise õiguse saamiseks esitab teenistuja vahetu juht põhjendatud taotluse kasutajatoele. Kasutajatugi kooskõlastab taotluse infoturbejuhiga. 10.6. Infosüsteemi rakenduste testimise kasutajaõiguste saamiseks esitab vastava rakenduse IT projektijuht või taotleja struktuurüksuse juht kasutajatoele elektroonilisel teel taotluse. Juhul kui testimine toimub reaalsete isikustatud andmetega, peab taotluse eelnevalt kooskõlastama infoturbejuht. 10.7. Asutusse praktikale asunud isikute infosüsteemide rakenduste kasutajaõigused tellib kasutajatoelt teenistuja, kes on praktikale asunud isiku juhendaja. Kasutajaõiguste taotlusse tuleb märkida õiguste kehtivuse algus- ja lõpukuupäev. Lõpukuupäeva saabudes peab konto automaatselt lukustuma. 10.8. Kui teenistuja ei vaja tööülesannete täitmiseks enam infosüsteemi kasutajaõigust ja juhul, kui vastava rakenduse kasutajaõiguste saamiseks ei ole sätestatud spetsiifilisi nõudeid, edastab teenistuja vahetu juht koheselt sellekohase teate elektroonilisel teel kasutajatoele, kes korraldab vastava kasutajaõiguse kehtetuks tunnistamise. 10.9. Teenistuja töölt lahkumisest, töösuhte peatamisest (va puhkusel või töövõimetuslehel viibimisest) või teenistuja üleviimisest teise struktuuriüksusesse teavitab struktuurüksusejuht, kelle kätte on jõudnud vastava teenistuja lahkumisavaldus, elektroonsel teel kasutajatoele vähemalt 3 (kolm) tööpäeva enne teenistuja töölt lahkumise, töösuhte peatamise või üleviimise (v.a üleviimised, mis kestavad vähem kui 30 kalendripäeva) kuupäeva. 10.10. Infoturbejuht ning infoturbespetsialistid kontrollivad pidevalt teenistujatele antud õiguste õiguspärast, põhjendatud kasutamist ja sulgemist. 10.11. Infoturbejuhil on õigus põhjendatud kahtluse korral nõuda kasutajatoelt kahtlustäratavate õiguste kohest sulgemist, teavitades sellest vastavat struktuuriüksuse juhti. 11. Infosüsteemi intsidentide lahendamine 11.1. Kasutajatoele intsidendi teatamisel peab teenistuja edastama järgneva informatsiooni: - teenistuja ees- ja perekonnanimi, telefoninumber; - rakenduse või infosüsteemi nimetus, kus intsident tekkis; - intsidendi tekkimise kuupäev, kellaaeg ja asukoht (aadress, tööruumi number); - korrektne kirjeldus tekkinud veasituatsioonist; - veateade ekraanilt, lisades võimalusel ekraanipildi failina; - lisades võimalusel näite konkreetsete andmetega (isikukood/registrikood, summad, kuupäevad jm); - kui tegemist on varaga, siis vara inventarinumbri. 11.2. Kui tegemist on veakahtlusega, siis tuleb lisada teatele kirjeldus õigeks peetavast lahendusest. 11.3. Isikuandmetega seotud intsidentide lahendamine on toodud KUM infoturbepoliitikas ja turvaintsidentide haldamise korras. 12. Infoturbeintsidentide käsitlemine ja kriisiolukorrad 12.1. Tööseisaku all mõeldakse olukorda, kus töö on häiritud kauem kui vastavale rakendusele omistatud ISKE klassi järgi maksimaalne lubatud seisaku aeg infotehnoloogiliste rakendustega toetatud ärikriitilistes töölõikudes ja mis puudutavad valitsemisala tervet asutust või allüksust. Juhul kui rakendusele pole ISKE klassi määratud, loetakse tööseisakuks enam kui 30 minutilist katkestust, mis puudutab tervet asutust, osakonda või talitust ühtselt. 12.2. Tööajal peavad asutuse teenistujad teavitama infoturbeintsidendist kasutajatuge ja infoturbejuhti. Kiiruse huvides tuleb infoturbeintsidendist teatada koheselt telefoni teel. Väljaspool tööaega peavad teenistujad teavitama valitsemisalal toimunud infoturbeintsidendist kasutajatuge. 12.3. Infoturbeintsidendist teatamisel peab teenistuja teatama: - oma ees- ja perekonnanime, osakonna ning sidevahendi numbri; - intsidendi või selle ohu kirjelduse; - intsidendi tekkimise kuupäeva, kellaaja ning asukoha (aadress, kabineti number); - intsidendi hinnangulise tõsiduse. 12.4. Infoturbeintsidendi järelkontrolli vajaduse otsustab infoturbejuht ning viib selle vajadusel läbi. 12.5. Infoturbeintsidentide kohta läbi viidud järelkontrollide kokkuvõtte esitab infoturbejuht asutuse juhile intsidentide kordumise vältimiseks vajalike meetmete rakendamise suhtes otsuse tegemiseks. 12.6. Kõik KUM teenistujad on kohustatud igakülgselt kaasa aitama infoturbeintsidendi põhjuste väljaselgitamisele. 13. Mobiilsete seadmete kasutamine 13.1. Teenuseosutaja hallatava mobiilse seadme viirusetõrje, tulemüüri ja kõvaketta krüpteerimise tarkvara ei ole lubatud välja lülitada v.a juhul, kui selline tegevus kuulub teenistuja tööülesannete hulka. Kui teenuseosutaja hallatav mobiilne seade ei oma eelnevalt nimetatud tarkvara, peab kasutaja pöörduma kasutajatoe poole, kes korraldab puuduva tarkvara paigaldamise ja seadistamise. Juhul, kui teenuseosutaja hallataval mobiilsel seadmel ei ole automaatset viirusetõrje tarkvara uuendamise süsteemi, tuleb seade viivitamatult tagastada kasutajatoele selle paigaldamiseks. Antud punkti tulemüüri tarkvara kohustus ei laiene mobiilsetele seadmetele, kus süsteemitarkvara tootja pole ette näinud tulemüüri paigaldust 13.2. Teenistuja on kohustatud: 13.2.1. Mobiilse seadme kasutamisel väljaspool asutuse ruume mitte jätma seadet järelevalveta; 13.2.2. kandma reisimisel mobiilset seadet käsipakina; 13.2.3. hoiduma mobiilse seadme kasutamisest mis tahes viisil, mis võib tuua kaasa materiaalse kahju tekkimise, juurdepääsupiiranguga teabe teatavaks saamise kolmandatele isikutele või informatsiooni hävinemise. 14. Tingimused võõrarvuti ja isiku, kes ei ole asutuse teenistuja, lubamiseks asutuse sisevõrku 14.1. Võõrarvuti asutuse sisevõrku ühendamiseks peab arvuti omanik kooskõlastatult vahetu juhiga esitama vastavasisulise taotluse elektroonselt kasutajatoele. Taotlus peab sisaldama: 14.1.1. taotluse esitaja ees- ja perekonnanime ning kontaktandmeid (telefon, elektronposti aadress); 14.1.2. ajavahemikku, millal arvuti on asutuse sisevõrku ühendatud; 14.1.3. põhjendust, milleks on vajalik arvuti ühendamine asutuse sisevõrku. 14.2. Võõrarvuti asutuse sisevõrku lubamise taotluse rahuldamiseks peavad olema täidetud järgmised tingimused: 14.2.1. infoturbejuhi kooskõlastus; 14.2.2. arvuti peab olema üle vaadatud teenuseosutaja poolt; 14.2.3. teenuseosutaja poolt peab olema fikseeritud arvuti asutuse sisevõrku ühendamise ajavahemik; 14.2.4. arvutil peab olema töötav automaatselt uuenev viirusetõrje tarkvara; 14.2.5. arvutisse ei tohi olla installeeritud nuhkvara või võrgu liiklust pealt kuulavaid programme või võrgu skännereid. 14.3. Isiku, kes ei ole asutuse teenistuja (edaspidi isik), juurdepääsu lubamiseks asutuse arvutitöökoha kaudu sisevõrku ilma infosüsteemi kasutajaõigusteta, peab vastav struktuuriüksuse juht esitama kirjaliku taotluse elektrooniliselt kasutajatoele. Taotlus peab sisaldama: 14.3.1. arvuti asukohta, mida isik kasutab (tööruumi nr); 14.3.2. ajavahemikku juurdepääsuks, tähtaja saabudes peab konto automaatselt lukustuma; 14.3.3. põhjendust, milleks on juurdepääs vajalik; 14.3.4. konkreetset infosüsteemi või andmebaasi, mida kasutatakse, kui taotletakse ligipääsu isikuandmetele või piiratud juurdepääsuga teabele; 14.4. Asutuse infosüsteemi kasutajaõiguste taotlemine isikule toimub vastavalt käesoleva korra peatükile 10 14.5. Isiku juurdepääsu lubamiseks asutuse sisevõrku peavad olema täidetud järgmised tingimused: 14.5.1. infoturbejuhi kooskõlastus; 14.5.2. teenistuja, kelle töökoha arvutit isik kasutab, peab fikseerima kirjalikult konkreetse arvuti asukoha (ruumi nr), mida isik kasutab ja asutuse sisevõrgus viibimise ajavahemiku; 14.5.3. kui soovitakse ligipääsu isikuandmetele või piiratud juurdepääsuga teabele, peab olema isiku poolt allkirjastatud konfidentsiaalsuskokkulepe väliskasutajale ja infoturbejuhi luba.