Infovahendite kasutamise ja andmete töötlemise kord

KÄSKKIRI 16.02.2026 nr 1-2/26-011 Tarbijakaitse ja Tehnilise Järelevalve Ameti infovahendite kasutamise ja andmete töötlemise korra kinnitamine Majandus- ja taristuministri 07.12.2018 määruse nr 62 „Tarbijakaitse ja Tehnilise Järelevalve Ameti põhimäärus“ § 5 lõike 3 punkti 1 alusel: kinnitan 1. Tarbijakaitse ja Tehnilise Järelevalve Ameti infovahendite kasutamise ja andmete töötlemise korra; tunnistan kehtetuks 2. Tarbijakaitse ja Tehnilise Järelevalve Ameti peadirektori 28.04.2025 käskkirja nr 1-2/25-030. (allkirjastatud digitaalselt) Kristi Talving peadirektor Mariko Männa  2 KINNITANUD peadirektor 16.02.2026 käskkirjaga nr 1-2/26-011 Tarbijakaitse ja Tehnilise Järelevalve Ameti infovahendite kasutamise ja andmete töötlemise kord Sisukord 1. Üldsätted ............................................................................................................................. 3 2. IT-varade kasutamine .......................................................................................................... 3 3. Juurdepääsuõiguste haldus ja paroolid ............................................................................... 4 4. Tööjaam (paiksed ja/või mobiilsed kohtvõrku ühendatud arvutid) .................................... 5 5. Failiruum ja failide edastamine .......................................................................................... 6 6. Grupitöö- ja konverentsitarkvara ........................................................................................ 7 7. E-post ja meililistid ............................................................................................................. 8 8. Nutiseade ............................................................................................................................ 8 9. Tehisintellekt (TI) ............................................................................................................. 10 10. Irdkandjate käsitsemine ................................................................................................ 10 11 Printimine ja skaneerimine ............................................................................................... 11 12 Kaugtöö......................................................................................................................... 11 13 Infoturve töötamisel välisriigis (sh välislähetuses)....................................................... 12 14 IT-abi ja pöördumised ................................................................................................... 13 15 Infoturvaintsidendid ...................................................................................................... 13 16 IT-välised intsidendid ................................................................................................... 14 17 Teenistussuhete lõppemine või peatamine.................................................................... 14 Lisa 1 Kasutatud terminid......................................................................................................... 16 Lisa 2: IT-teenuseosutaja kontaktid .......................................................................................... 18  3 1. Üldsätted 1.1 Tarbijakaitse ja Tehnilise Järelevalve Ameti (edaspidi TTJA) infovahendite kasutamise ja andmete töötlemise korra (edaspidi kord) eesmärk on kehtestada ühtne regulatsioon IT-varade ja seadmete kasutamiseks ning sätestada IT-alaste pöördumiste tegevusjuhised. 1.2 Kord lähtub TTJA infoturvapoliitikast ning TTJA infoturbekontseptsioonist ning rakendub kõikidele TTJA ametnikele ja töötajatele, kes asutuse IT-varasid kasutavad (edaspidi ühiselt kasutajad või teenistujad). 1.3 TTJA kasutab välist IT-teenuseosutajat, kes tagab IT kasutajatoe (edaspidi ka IT-abi) ja arvutitöökohtade halduse. IT-teenuseosutaja kontaktid on leitavad käesoleva korra lisas 2. 1.4 Äritarkvara kasutajatoe tagab TTJA klienditugi ([email protected]). 1.5 Äritarkvara süsteemihalduse teenuse tagab Keskkonnaministeeriumi Infotehnoloogiakeskus (edaspidi KeMIT). Pöördumised tehakse läbi TTJA klienditoe. 1.6 Kontroll käesoleva korra järgimise üle sätestatakse TTJA infoturvapoliitikas. 2. IT-varade kasutamine 2.1 Kasutaja on kohustatud: 2.1.1 kasutama töövahendeid ainult tööülesannete täitmiseks ning hoidma neid kolmandatele isikutele kättesaamatuna; 2.1.2 kasutama IT-varasid ja töövahendeid heaperemehelikult; 2.1.3 töötlema asutusesiseseks kasutamiseks (edaspidi AK) mõeldud informatsiooni vaid tööandja lubatud seadmes ning tagama teabe konfidentsiaalsuse; 2.1.4 teavitama koheselt kõigist tuvastatud ja potentsiaalsetest IT-alastest probleemidest vastavalt korra p-s 14 ettenähtule; 2.1.5 kasutama ressursse optimaalselt ja mitte koormama töövahendeid ja sisevõrku mittetööalaste tegevustega; 2.1.6 sooritama tööle asudes ning vähemalt kord aastas e-postile saadetava küberturbe e- kursuse kõik moodulid; 2.1.7 osalema võimalusel infoturbekoolitustel, -õppustel ja -infopäevadel. 2.2 Kasutajal on keelatud: 2.2.1 jätta seadet järelevalveta või kasutada seda viisil, mis ei ole heaperemehelik ja sihtotstarbeline; 2.2.2 isikliku seadme omavoliline ühendamine tööandja arvutivõrku, välja arvatud juhul, kui see toimub külalistele mõeldud juhtmevabasse kohtvõrku, millega ühendumine mistahes seadmega on lubatud; 2.2.3 muuta või lubada muuta omavoliliselt seadme tark- või riistvaralist koosseisu (muuta konfiguratsiooni, eemaldada või lisada komponente, paigaldada seadmesse mistahes tarkvara, rakendusi, skripte jne), välja arvatud käesoleva korra p-s 4.3 toodud erisuse kohaselt; 2.2.4 külastada seadmest ja/või arvutivõrgust veebilehekülgi (nt illegaalse voogedastuse ja tarkvara allalaadimise lehed, täiskasvanutele mõeldud sisulehed, hasartmängud,  4 vägivalda ja vihkamisele õhutavad lehed), mille külastamine võib tekitada tööandjale mainekahju või kahjustada seadme turvalisust; 2.2.4.1 erandina on lubatud eelmainitud keskkondade külastamine vahetute tööülesannete täitmiseks. Vajadusel tehakse seda eriotstarbelistest, TTJA IT-süsteemidega mitteühendatud seadmetest; 2.2.5 avada kahtlusi tekitava pealkirjaga ja/või kahtlust äratavatelt e-posti aadressidelt saabuvates e-kirjades sisalduvaid manuseid või linke. Sellises olukorras tuleb vastavalt korra p-s 14 ettenähtule pöörduda IT-abi poole; 2.2.6 lülitada välja pahavarakaitset tagavaid süsteeme või minna mööda arvutivõrgus kehtestatud piirangutest. 2.3 Kasutajal on õigus: 2.3.1 kasutada töökohustuste täitmiseks IT-varasid vastavalt käesolevale korrale; 2.3.2 keelduda tööjaama ekraanipildi, kaamera ja mikrofoni ülevõtmisest IT-abi poolt (tegevust ei rakendata ilma kasutaja loata); 2.3.3 pöörduda vastavalt korra p-s 16 ettenähtule IT-välistest probleemidest teavitamiseks või juhiste saamiseks TTJA töökorralduse reeglites ja/või TTJA siseveebis määratud vastutava isiku või üksuse poole; 2.3.4 käidelda tööalast informatsiooni TTJA sisevõrgus ning TTJA poolt sätestatud infosüsteemides; 2.3.5 ühendada tööjaama külge sisendseadmeid (hiir, klaviatuur), esitlus- ja helitehnikat (sh isiklik monitor, kõrvaklapid jms). 2.4 Teenuseosutaja infoturbevaldkonnal ja teistel vastava teenusega seotud osakondadel on õigus kontrollida kasutaja valduses olevaid seadmeid, tegevust ja selle salvestusi, logisid ning võrguliiklust tööjaama ja internetiteenuse vahel infoturbeintsidendi ennetamiseks, avastamiseks ja lahendamiseks. 2.5 Infoturbeintsidendi ennetamise ja lahendamise eesmärgil on IT-teenuseosutaja infoturbevaldkonnal õigus peatada või piirata kasutusõigusi ning võtta seade oma valdusesse kuni asjaolude selgitamiseni. 3. Juurdepääsuõiguste haldus ja paroolid 3.1 Infovahendite kasutamine toimub personaalse kasutajakonto alusel. Kontode ühiskasutus ja/või pääsuinfo jagamine teistele kasutajatele ega kolmandatele osapooltele ei ole lubatud. 3.2 TTJA personalitöötaja edastab e-kirja vähemalt 5 tööpäeva enne uue teenistuja tööle asumist, teenistuja liikumise või andmete muutumise ning teenistussuhte lõppemise kohta aadressile [email protected], mille alusel IT-teenuseosutaja loob teenistujale arvutitöökoha kasutajakonto või muudab seda. Pöördumine tehakse iga uue töötaja kohta eraldi. 3.3 Infosüsteemide pääsuõigused antakse teenistujale vastavalt vajadusele ja teenistuskoha iseloomule. Uue töötaja tööletulekul või töötaja lahkumisel algatab personalijuht vastava töövoo dokumendihaldussüsteemis Delta. Olemasoleva teenistuja pääsuõiguste muudatuste vajadusel edastab tema vahetu juht taotluse e-kirjaga aadressile [email protected]. Infosüsteemide pääsuõiguseid lisab, muudab ja eemaldab TTJA klienditugi. 3.4 Kasutaja esmane sisselogimine tööjaama toimub ID-kaardi või digi-ID PIN1-koodiga. Esimest korda sisselogimisel tuleb seadistada Bitlockeri PIN-kood, mille pikkus peab  5 olema 8–20 tähemärki. Vajadusel tuleb seadistada Yubikey turbevõti ja/või Windows Hello for Business, järgides vastavaid juhendeid RIT Teenusveebis. Kasutaja peab muutma oma parooli koheselt, kui on tuvastatud parooli väärkasutus või avalikuks tulek. 3.5 Teistesse TTJA töövahenditesse loodav parool peab vastama minimaalselt järgmistele nõuetele: 3.5.1 pikkus peab olema vähemalt 14 sümbolit; 3.5.2 peab olema piisavalt keerukas, et vältida ära arvamist; 3.5.3 ei tohi olla leitav sõnastikest ega omada otsest või kaudset seost kasutajaga; 3.5.4 peab koosnema minimaalselt neljast sümbolite grupist – suurtähed, väiketähed, numbrid, kirjavahemärgid; 3.5.5 sama parooli ei tohi kasutada rohkem kui üks kord ning iga IT-süsteemi või rakenduse jaoks kasutatakse erinevat parooli. 3.6 Infosüsteemist tingitud juhtudel võib parool eelpool sätestatust erineda. 3.7 Kasutaja vastutab personaalselt talle antud ja tema poolt seatud paroolide saladuses hoidmise eest. 3.8 TTJA töövahendites kasutatavaid paroole ei tohi kasutada teiste asutuste või teenuste rakenduses (Gmail, Hotmail või muud e-posti teenused, Facebook või muud suhtlusportaalid, Dropbox või muud failijagamisteenused jne) ja vastupidi. 3.9 Paroole on lubatud hallata vaid selleks ettenähtud keskkondades (nt Passwordstate). 3.10 Pärast töö lõpetamist tuleb kasutatud süsteemist alati välja logida. 3.11 Kasutajakonto lukustub parooli neljakordsel valesti sisestamisel kümneks minutiks. 3.11.1 Konto varasemaks lahtilukustamiseks võib kasutaja ühendust võtta IT-abiga (vt lisas 2 toodud kontaktid). 3.12 Teenistuja töösuhte lõppemisel suletakse personalitöötaja poolt IT-abile saadetud pöördumise alusel kõik kasutajaga seotud kontod tema viimase tööpäeva lõpul, kui ei ole kokku lepitud teisiti. 3.13 Teenistuja töösuhte lõppemisel suletakse postkast ning isikliku OneDrive’i sisu kustutakse 30 päeva möödudes. 4. Tööjaam (paiksed ja/või mobiilsed kohtvõrku ühendatud arvutid) 4.1 Tööjaama tarnib, häälestab ja paigaldab IT-teenuseosutaja IT-abile tehtud pöördumise alusel. 4.2 Kasutaja vastutab tema kasutusse antud tööjaama ja selle lisaseadmete nõuetekohase kasutamise eest alljärgnevalt: 4.2.1 kuvariekraan ei asu kõrvaliste isikute nägemisväljas, vajadusel kasutatakse ekraanifiltrit; 4.2.2 tööjaama juurest lahkudes tuleb tööjaama ekraan sulgeda või lukustada (nt käsuga Windowsi logo klahv + L); 4.2.3 tööjaam ja selle lisaseadmed on alaliselt kaitstud varguse eest. 4.3 Tööjaamas on lubatud kasutada ainult eelpaigaldatud või tarkvarakeskuses (Company Portal) kättesaadavaks tehtud tarkvara.  6 4.3.1 Kui kasutaja soovib ametialaseks tegevuseks kasutada TTJA või IT- teenuseosutajale mittekuuluvat IT-vara või paigaldada tööjaama tarkvarakeskuses puuduvat tarkvara, tuleb selleks vastavalt korra p-le 14 esitada taotlus IT-abisse. 4.4 Bluetooth, kaamera ja mikrofon lülitatakse tööjaamal sisse vaid nende kasutamisel. Muul ajal on need deaktiveeritud (kasutades tööjaama füüsilist kaamerakatikut ja mikrofoni vaigistamise nuppu). 4.5 Tööjaama kasutajale on infosüsteemide kasutamiseks ja juurdepääsuks antud kasutus- ja pääsuõigused vastavalt kasutaja ametijuhendis toodud teenistusülesannete ning volituste täitmiseks. Täiendavate õiguste taotlemiseks tuleb vastavalt TTJA dokumendihalduse korra p-le 5 pöörduda TTJA klienditoe poole. 4.6 Enne uue tarkvara kasutuselevõttu on vajalik selle kooskõlastus IT-abi poolt. Ilma eelneva kooskõlastuseta on kasutajatel keelatud tarkvara tööarvutitesse lisada. 5. Failiruum ja failide edastamine 5.1 Igale kasutajale on tagatud personaalne failiruum (OneDrive), mis on mõeldud tööalaste failide hoiustamiseks. OneDrive’is hoiustatavaid faile ei varundata, kuid kasutajal on võimalik faile taastada versioneerimise kaudu. Taastatav on kuni 50 versiooni. 5.2 Struktuuriüksusele on tagatud ühine failiruum (SharePoint), mis on mõeldud sama struktuuriüksuse kasutajatega tööalaste failide hoiustamiseks. 5.3 Ühise failiruumi kaudu tööalaste failide jagamisel tuleb kasutada selleks vastavale kasutajagrupile eraldatud ühist kausta ning veenduda, et kasutajagruppi kuuluvad kasutajad tohivad vastavale infole juurde pääseda. Info haldamise eest vastutab vastava info omanik. 5.4 Teadmispiiranguga (nt isikuandmed) failid, mida hoitakse teadmisvajadust mitteomavate isikutega ühises failiruumis, peavad olema krüpteeritud. 5.5 Ühistes failiruumides hoiustatavad failid varundatakse ning vajadusel saab neid taastada ühe aasta jooksul alates faili salvestamisest. 5.6 Ühistes failiruumides asuvad failid on vastava info looja vastutusel. Kui info on vananenud ja ei leia enam kasutust, siis tuleb see ühisest failiruumist eemaldada. 5.7 AK teabe edastamine on lubatud alljärgnevatel viisidel: 5.7.1 riigiasutuste adressaatidele krüpteerimata kujul, kasutades selleks tööjaamas seadistatud infovahetuse tarkvara (nt Outlook) ja/või TTJA dokumendihalduse korras sätestatud edastusvahendeid; 5.7.2 riigiasutuste välistele adressaatidele krüpteeritud (nt krüpteerides ID-kaardiga või TTJA krüptovõtmega) või krüpteerimata kujul vastavalt õigusaktides reguleeritud juurdepääsutingimustele ning kasutaja tööandja kehtestatud nõuetele; 5.7.3 asutusevälisele või -sisesele osapoolele krüpteerimata kujul, kasutades selleks IT-teenuseosutaja poolt võimaldatud failivahetuskeskkonda või samaväärset turvalist infovahetuskeskkonda (nt SharePoint). Eeltooduid eelistatakse mahukamate andmete edastamisel. 5.8 Kasutaja on kohustatud jälgima, et kõrvalistele isikutele ei esitata jääkteavet. Kasutaja peab: 5.8.1 kontrollima enne failide edastamist, ega failid ei sisalda avaldamisele mittekuuluvat jääkteavet nagu kommentaarid, muudatuste ajalugu või liigsed metaandmed; 5.8.2 eemaldama tuvastatud jääkteabe, vajadusel muutma selleks failivormingut.  7 5.9 Jääkteabe eemaldamise kohustuse täitmist kontrollitakse pisteliselt. 6. Grupitöö- ja konverentsitarkvara 6.1 Kasutajal on lubatud vaikimisi kasutada ainult IT-teenuseosutaja poolt lubatud ja toetatud grupitöö- ja konverentsitarkvara rakendust MS-Teams. 6.1.1 Muude rakenduste (Zoom, Webex, Signal, Slack jm) kasutamine on lubatud, kui on tagatud infoturbe üldnõuded ning rakendus on vältimatult vajalik ja koosoleku korraldaja poolt valitud. 6.2 Kasutajad on teadlikud, kuidas grupitöö- ja konverentsitarkvara turvaliselt kasutada, seda ka välise osapoole algatatud vestluste või videokonverentside puhul. 6.3 Videokonverentsi või veebikoosoleku algatamisel: 6.3.1 toimub osalejate valik vastavalt vestluse sisule ja eesmärkidele; 6.3.2 toimub kõigi osalejate tuvastamine; 6.3.3 toimub modereerimisõiguste määramine ainult valitud kasutajatele; 6.3.4 lepitakse kokku videokonverentsi või vestluse salvestamise korras; 6.3.5 lepitakse kokku konverentsiseadmete kasutamise korras. 6.4 Konverentsi- ja grupitöötarkvarasse tuleb siseneda ametlike töökoha kontodega. Isikliku tarkvara või kontode kasutamine ametlikel koosolekutel ei ole lubatud, kui see ei ole erandjuhul eelnevalt kokku lepitud. 6.5 Koosolekute ja töögruppide andmeid (sh salvestusi, dokumente, vestlusi) tuleb käsitleda vastavalt TTJA andmekaitse reeglitele ja põhimõtetele. 6.6 Salvestuste tegemine on lubatud ainult põhjendatud juhtudel ja peab olema eelnevalt osalejatega kooskõlastatud. 6.7 Koosolekutele ja grupitööruumidesse ei tohi kutsuda volitamata osalejaid ega jagada konfidentsiaalset teavet väljapoole asutust. 6.8 Osalejad peavad kasutama turvalisi ühendusi ja vältima tundliku teabe jagamist avalikus või ebaturvalises keskkonnas. 6.9 Punktis 6.1.1 nimetatud rakenduste kasutamisel on keelatud edastada/jagada isikuandmeid või muid AK märkega informatsiooni ja/või andmeid, samuti teavet, millel AK märge puudub, kuid mille sisu on mõeldud üksnes asutusesiseseks kasutamiseks. 6.10 Kasutajatel on kohustus vestluse alguses tehisintellekti (edaspidi TI) funktsioonid välja lülitada (juhul, kui TI funktsioonid on aktiveeritud). 6.11 Kasutajal on keelatud üle anda oma seadme juhtimine teisele osapoolele, välja arvatud IT-abi teenuse osutamisel IT-probleemide lahendamiseks vajaliku seansi puhul. 6.12 Virtuaalse koosoleku puhul kaugtööl olles (näiteks kodukontor) tuleb tagada, et: 6.12.1 taustal olevad esemed, isikud ning helid ei ole tuvastatavad; 6.12.2 kõrvalistele isikutele ei ole tuvastatavad virtuaalsel koosolekul osalevad isikud ja nad ei näe ega kuule koosolekul esitatud konfidentsiaalset teavet.  8 7. E-post ja meililistid 7.1 Igal kasutajal on tööalaseks kasutamiseks e-posti aadress kalendri kasutamise võimalusega. 7.2 Tööalast e-posti aadressi kasutatakse moel, mis ei kahjusta tööandja usaldusväärsust ja mainet ning mis ei põhjusta töövälise infovoo algatamist (nt kommertsteated või rämpspost). 7.3 Tööalaseid e-posti aadresse ei tohi kasutada isiklikuks otstarbeks. 7.4 Tööalaseid e-kirju ei ole lubatud suunata TTJA-välisele e-posti aadressile (nt isiklikule Gmaili e-posti aadressile). 7.5 Nii e-postkastile kui ka ühekordse e-kirja suurusele on kehtestatud vaikimisi mahupiirangud, millega saab tutvuda IT-teenuseosutaja teenusveebis. 7.6 Kasutaja e-posti sisu (kirjade mustandid, saadetud ja saadud kirjad, manused, kalendrikanded) on varukoopiatelt taastatavad ühe aasta jooksul alates salvestamisest, saatmisest või saamisest. 7.7 Kasutajad lisatakse meililistidesse arvuti kasutajakonto loomisel vastavalt ametikoha struktuursele paiknemisele. 7.8 Täiendavate meililistide või ühise e-posti aadressi loomiseks teeb TTJA teenistuja vastavasisulise pöördumise IT-abisse. 8. Nutiseade 8.1 Kui tööandja on väljastanud tööalaseks kasutamiseks nutiseadme (mobiiltelefon, tahvelarvuti vms), eelistab kasutaja tööalaseks kasutamiseks turvakaalutlusel väljastatud nutiseadme kasutamist isiklikule seadmele. 8.2 Kasutajale võimaldatakse juurdepääs tööalastele rakendustele (Teams, Outlook, Office, OneNote jt) läbi nutiseadme juhul, kui on täidetud vastavad eeldused: 8.2.1 kasutajal on App Store’i või Google Play konto; 8.2.2 nutiseade vastab IT teenuseosutaja poolt esitatavatele nõuetele. 8.3 Juurdepääsu aktiveerimiseks nutiseadmes tuleb läbi App Store’i või Google Play keskkonna paigaldada rakendus Intune Company Portal (keskne haldustarkvara) ning juhinduda rakenduse nõutud paigaldamise ja sünkroniseerimise tegevuste teostamisest. Nende hulka kuuluvad ka ühilduva viirusetõrjetarkvara ja veebilehitseja seadistamine. 8.4 Nõuded nutiseadmele ja rakenduste tööalaseks kasutamiseks: 8.4.1 juurdepääs võimaldatakse vaid Samsungi ja Apple’i seadmest, mille operatsioonisüsteem ja selle versioon on tootja poolt toetatud; 8.4.2 kasutaja peab tundma ja kasutama nutiseadme (sh ka isikliku) turvafunktsionaalsust; 8.4.3 seadmel ei tohi olla eemaldatud tootja kehtestatud piirangud, nt lahtimurdmise (jailbreak) või juurkasutaja õiguste ülevõtmise (rooting) teel; 8.4.4 rakenduste kasutamine eeldab kuuekohalise PIN-koodi loomist, mida rakendatakse ekraaniluku avamiseks; 8.4.5 lisaks PIN-koodile võib kasutaja rakendada täiendavalt seadme toetatud autentimise lahendusi (nt sõrmejäljelukk, näotuvastus, YubiKey), tagades seeläbi mitmeastmelise autentimise;  9 8.4.6. asutusesisestest rakendustest ei ole võimalik andmeid (nt sõnumi sisu) välja kopeerida; 8.4.7 andmeid, mis on kopeeritud asutusevälisest rakendusest, ei saa kleepida asutusesisesesse rakendusse (nt Google Chrome veebilehitsejast kopeeritud teksti ei saa kleepida MS Teams rakendusse); 8.4.8 kõik URL aadressid/lingid, mis initsieeritakse asutusesisestest rakendustest, avatakse vaikimisi Microsoft Edge veebilehitsejaga; 8.4.9 asutusesisestes rakendustes olevad andmed on automaatselt krüpteeritud; 8.4.10 rakenduses olevaid andmeid ei saa printida; 8.4.11 seadmes tuleb vältida Bluetoothi, traadita kohtvõrgu liidese (WiFi), globaalse asukoha süsteemi (GPS) ja teiste taoliste funktsioonide tarbetut aktiveerimist; 8.4.12 Bluetooth ühenduse loomisel teise seadmega rakendab kasutaja turvalist sidumiskoodi; 8.4.13 andmevahetuse eelistatuim viis on mobiilsideoperaatori andmeside; 8.4.14 uusi rakendusi, sh personaalseks kasutamiseks mõeldud rakendusi, on lubatud paigaldada ainult usaldusväärsetest allikatest. Need on App Store või Google Play keskkonnad; 8.4.15 kasutaja paigaldab kõik seadme- või operatsioonisüsteemi tootja väljastatud tarkvara turvauuendused; 8.4.16 kasutaja piirab virtuaalsete assistentide kasutamist; 8.4.17 kasutaja vastutab kahjurvaratõrje rakenduse kasutamise eest. 8.5 Nutiseadet (sh mobiilset tööjaama) on keelatud kaasa võtta konfidentsiaalsetele koosolekutele, kui koosoleku korraldaja on nii sätestanud. 8.6 Enne tööalaselt kasutatud nutiseadme (sh isikliku seadme) mistahes moel kasutuselt kõrvaldamist (sh ajutiselt kasutuselt kõrvaldamisel seadme hooldusesse viimisel) eemaldab kasutaja seadme keskhaldusest, valides Company Portali rakendusest „remove device“. 8.7 Tööalaselt kasutatud nutiseadme (sh isikliku nutiseadme, kui sellel on aktiveeritud juurdepääs tööalastele rakendustele) kaotamise, hävimise või varguse korral tuleb sellest vastavalt korra punktile 14.2.4 viivitamatult teavitada IT-abi. 8.8 Kadunud nutiseadme ülesleidmisel tuleb kontrollida, kas seadet pole vahepeal manipuleeritud. Kahtluste korral tuleb seade kõrvaldada kasutuselt või teha seadmele uuesti tehase algseadistus. 8.9 Teiste nutifunktsioone omavate seadmete (esemevõrgu- ehk IoT-seadmete) kasutamisel tuleb lähtuda korrast „TTJA esemevõrgu (IoT) seadmete kasutamisekord“. 8.10 Nutiseadmete toite tagamiseks hoitakse telefoni aku piisavalt laetuna. Pikemaajalisel mobiiltelefoni kasutusel kantakse kaasas laadijat ja/või akupanka. 8.10.1 Aku säästmiseks ja nutiseadme kasutusohutuse tagamiseks (nt isesüttimine) välditakse äärmuslikke temperatuure. 8.10.2 Võimalusel välditakse avalikke USB-laadimispesasid (lennujaamad, ühistransport, kaubanduskeskused, meelelahutusasutused jms) ning eelistatakse vooluvõrku ühendatavat laadijat. 8.11 Kui tööalaseks tegevuseks kasutatakse isiklikku seadet, siis:  10 8.11.1 peavad olema täidetud kõik käesolevas korras toodud nõuded seadmele; 8.11.2 seadmega ümberkäimisel ja AK teabe seadmes töötlemisel lähtutakse käesolevas korras esitatud nõuetest; 8.11.3 tööalaseks kasutamiseks on lubatud ainult IT-teenuseosutaja poolt heaks kiidetud rakendused (nt MS Teams, Outlook). 9. Tehisintellekt (TI) 9.1 Kasutajal on keelatud TI kasutamine mistahes viisil, mis põhjustab märkimisväärseid riske inimeste tervisele, ohutusele või põhiõigustele (manipuleerivad, ekspluateerivad TI-süsteemid, nn „sotsiaalsed hindamissüsteemid“). 9.2 Kasutajal on keelatud TI kasutamisel asutusesiseseks kasutamiseks mõeldud (mh AK- märkega) ning isikuandmeid sisaldava info kasutamine. 9.3 TI-mudelite treenimiseks kasutatakse ainult pseudonüümitud või anonüümitud isikuandmeid. 9.4 Kui TI sisendis on vajalik täielikult või osaliselt kasutada kolmandate isikute intellektuaalomandit, siis selliste andmete kasutamiseks on eelnevalt vajalik hankida omaniku luba. 9.5 Kasutajal on keelatud generatiivse TI poolt loodud, teadaolevalt kunstnike või kirjanike stiili matkivate teoste kasutamine, välja arvatud juhul, kui see on vajalik otseste tööülesannete täitmiseks. 9.6 Kõik TI poolt tehtud (sh esialgsed) otsused peab valideerima kasutaja. 10. Irdkandjate käsitsemine 10.1 Irdkandjate (ehk hõlpsalt vahetatavate andmekandjate, näiteks BD, CD, DVD, lindikassett, mälupulk, väline kõvaketas, mälukaart jne) tööalane kasutamine on vaikimisi tõkestatud. Põhjendatud kasutusvajaduse korral tuleb esitada pöördumine IT-abisse. 10.2 AK või muu tööalase teabe salvestamine irdkandjale toimub vaid otseste tööülesannete täitmiseks. 10.3 Kasutatakse vaid IT-teenuseosutaja poolt heaks kiidetud või kontrollitud digitaalseid irdkandjaid. Vastavuse kontrollimiseks tuleb teha taotlus IT-abisse. 10.4 Irdkandja ei ole ette nähtud andmete pikaajaliseks säilitamiseks. Kui informatsiooni hoidmine irdkandjal ei ole enam tööülesannete täitmiseks vajalik, tuleb informatsioon irdkandjalt kustutada. 10.5 Juhul, kui irdkandja ei ole krüptograafilise funktsionaalsusega (nt krüpteeritud mälupulk või kõvaketas), on soovituslik andmekandjal olev teave krüpteerida ID-kaardiga. 10.6 IT-teenuseosutaja poolt väljastatud irdkandja on kasutajapõhine ning mõeldud kasutamiseks vaid taotluses esitatud töökohustuste täitmiseks. 10.7 Irdkandjaid transporditakse üldjuhul isikliku järelevalve all. 10.8 Kui põhjendatud juhtudel kasutatakse transportimiseks posti- või kullerteenust, tuleb irdkandja pakkida turvalisse ja pakendi korduvat avamist-sulgemist mittevõimaldavasse pakendisse (eelistatult turvaümbrikku). Lahtikrüpteerimise võti või parool saadetakse alternatiivset kanalit kasutades. Pakend ega irdkandjal olev märgistus ei tohi sisaldada vihjeid pakendis oleva info sisu kohta.  11 10.9 Kui kasutaja saab irdkandja posti- või kullerteenuse kaudu, peab ta veenduma, et: 10.9.1 saatja on tuvastatav ja ta on irdkandja reaalselt adressaadile saatnud; 10.9.2 saadud pakend on terve ja kahjustamata. 10.10. Kui pakend on kahjustatud või esineb kahtlus pakendis sisalduva irdkandja manipuleerimise kohta, siis on seda lubatud kasutada vaid pärast selle verifitseerimist IT-teenuseosutaja poolt. 10.11 Kasutaja on kohustatud irdkandja vargusest, kaotusest või manipuleerimiskahtlusest vastavalt käesoleva korra punktile 14 koheselt IT-abi teavitama. 10.11.1 Kasutaja täpsustab eelnimetatud teates, millist teavet irdkandjal talletati. 10.12 Pärast kaotamist üles leitud või taasloodud irdkandjat tuleb kontrollida võimaliku andmemanipulatsiooni ja kahjurvara leidumise suhtes. 10.13 Kõrgema kaitsetarbe korral tohib iga irdkandjat kasutada vaid ühe korra. 10.14 Enne korduvkirjutatavate irdkandjate edasiandmist, taaskasutamist või kasutuselt kõrvaldamist on irdkandjatelt andmed ettenähtud viisil (nt irdkandja turvaline formaatimine) kustutatud. 10.15 Irdkandjaid sisaldavaid kingitusi on lubatud kasutada vaid pärast nende verifitseerimist IT-teenuseosutaja poolt. 11 Printimine ja skaneerimine 11.1 Tööalase teabe printimine, paljundamine ja skaneerimine on lubatud ainult IT- teenuseosutaja poolt hallatavast seadmest. 11.2 Teabe printimisel või paljundamisel tuleb vastav materjal koheselt printerist eemaldada. 11.3 Printerist või koopiamasinast leitud materjal tuleb koheselt toimetada selle omanikule või omaniku tuvastamatuse korral hävitada paberihunti kasutades või viia see 0-korrusel asuvasse kinnisesse paberikonteinerisse. 11.4 Ekslikult prinditud tarbetu dokument hävitatakse kohe, ekslikult skaneeritud dokument kustutatakse. 12 Kaugtöö 12.1 Kaugtöö (töötamine väljaspool TTJA ruume) korraldamine lähtub TTJA töökorralduse reeglitest. 12.2 Muud olulised kaugtöö aspektid (töötaja vastutus, kulude hüvitamine jne) on reguleeritud telefoniside korralduspõhimõtete ja kulude piirmäärade kehtestamise korraga ja muude kaugtööd puudutavate lisakokkulepetega. 12.3 Tööandja tööruumidest väljaspool töötamiseks kasutatakse usaldusväärseid parooliga kaitstud võrguühendusi (nt kodune Wi-Fi). Avalike võrkudega (nt kohvikute, hotellide jms võrkudega) ühenduse loomisele eelistab kasutaja esimese valikuna sülearvuti sisseehitatud modemiga andmeside loomist. Selle puudumisel mobiilse andmeside kasutamist (hotspot), mis on kaitstud parooliga (minimaalselt WPA2-AES). Piisava kvaliteediga võrguühenduse olemasolu eest väljaspool tööruume vastutab arvuti kasutaja. 12.4 Kõikides arvutites on eelseadistatud VPN tarkvara, mis rakendub automaatselt väljaspool kontori võrku. Avalikus võrgus ei ole lubatud VPNi välja lülitada.  12 12.5 Kaugtööks valitud asukoht peab välistama kõrvaliste isikute tööjaama ekraani ja tööprotseduuride ning igasugusel kujul tööalase teabe jälgimise. Avalikes kohtades on kohustuslik kasutada ekraani privaatsusfiltrit. 12.6 Video- või telefonikõne ajal tagab kasutaja, et seda ei oleks võimalik pealt kuulata. Lisaks tuleb jälgida, et videokõne ajal ei oleks taustal nähtaval tööalast informatsiooni. 12.7 Kaugtööl olles peab kasutaja: 12.7.1 järgima asutuse kehtivat andmekandjate turvalise kõrvaldamise korda; 12.7.2 tagama enne kasutatud andmekandjate ja dokumentide kõrvaldamist tundlike andmete eemaldamise; 12.7.3 mitte hävitama konfidentsiaalsete andmetega andmekandjaid, vaid tooma need tagasi asutusse, kus on olemas vahendid andmekandjate turvaliseks kõrvaldamiseks. 13 Infoturve töötamisel välisriigis (sh välislähetuses) 13.1 Välislähetuses või välisriigis töötamiseks loetakse igasugust tööalase informatsiooni käsitlemist kasutajale väljastatud seadmega väljaspool Eesti Vabariigi territooriumi. 13.2 Välislähetuses või välisriigis viibivad kasutajad lähtuvad tööülesannete turvalisuse tagamisel käesolevast korrast ja ennekõike korra punktis 12 esitatud nõuetest. 13.3 Kasutaja teavitab pöördumisega IT-abi enne välislähetuses või välisriigis töötamise alustamist, kui välisriigis töötamise aeg on 3 kuud või pikem. 13.4 Kasutaja teavitab pöördumisega IT-abi seadme kaasavõtmisest välisriiki, kui reisitakse väljaspoole OECD, EL või NATO liikmesriike. 13.5 Riskiriikidesse reisides ei tohi kaasa võtta seadmeid, milles on seadistatud tööga seotud kontod (sh isiklikud seadmed). Riskiriikide nimekiri on kättesaadav https://kapo.ee/et/content/riigisaladuse-kaitse/ kodulehel. 13.6 Vastav pöördumine tuleb teha IT-abisse esimesel võimalusel, aga mitte hiljem kui 5 tööpäeva enne välisriiki siirdumist. 13.6.1 IT-teenuseosutaja hindab pöördumise alusel riigispetsiifiliste õigusaktide, reisi- ja keskkonnatingimuste täiendavat käsitlusvajadust või täiendavate turbemeetmete rakendamist (sh pääsuõiguste kitsendamist) seadme ja teabe kaitseks. 13.6.2 IT-teenuseosutaja vastab taotlusele hiljemalt 5 tööpäeva jooksul. 13.7 Kasutaja on valmis infoturbe seisukohast tulenevalt välisriigis viibimise ajaks ajutiselt asendama igapäevase seadme IT-teenuseosutaja väljastatud eelseadistatud seadmega ning välisseadme (hiir, klaviatuur, kõrvaklapid) kasutamise vajadusel kasutama juhtmega ühendatavaid välisseadmeid. 13.8 Seadmeid transporditakse kõikide transpordiviiside puhul käsipagasis, tagades alalise teadmise seadmete hetkeasukohast. 13.9 Seadmete, irdkandjate ja dokumenteeritud teabe kaasavõtmisel välisriiki lähtutakse minimaalsuse printsiibist, mispuhul on kõikide eelloetletud elementide kaasavõtmine töökohustuste täitmiseks vältimatu. 13.10 Kui sihtkohariigis ei ole võimalik tagada irdkandjate hävitamist ettenähtud viisil, hoitakse need tagasipöördumiseni alles ning hävitatakse või utiliseeritakse vastavalt ettenähtud turvanõuetele.  13 13.11 Seadmete ja teabe kaotamise, varguse või mistahes muu kontrolli kaotamise juhtumi korral lähtub kasutaja käesoleva korra punkti 15 nõuetest, kuid teavitab ühtlasi kohalikku õiguskaitseorganit. 14 IT-abi ja pöördumised 14.1 IT-abi ning pöördumiste kontaktid on toodud lisas 2. 14.2 IT-abi poole pöördutakse taotluse või pöördumisega alljärgnevatel juhtudel: 14.2.1 vahejuhtumid või kahtlused, mis viitavad kindlale või võimalikule soovimatule IT-sündmusele; 14.2.2 probleemid IT-varaga; 14.2.3 probleemid seoses õigustega (juurdepääsu-, lugemis- või muutmisõigused), v.a äriinfosüsteemide õigused; 14.2.4 IT-vara kaotamine, hävimine või vargus (sh isiklik nutiseade, kui sellel on aktiveeritud juurdepääs tööalastele rakendustele); 14.2.5 soov luua või laiendada juurdepääsu tööks vajalikule keskkonnale; 14.2.6 meililistide loomine või muutmine; 14.2.7 vajadus uue või lisafunktsionaalsusega riist- või tarkvara järele; 14.2.8 TTJA-välise (sh isikliku) seadme kasutamine igasuguseks ametialaseks tegevuseks; 14.2.9 vajadus muuta arvutitöökoha (võrgu- ja elektriühenduste valmidus) füüsilist asukohta; 14.2.10 vajadus tellida käesolevas korras toodud turvanõuete täitmiseks vajalikke vahendeid (ekraanifilter, tööjaama kaamera katik jms). 14.3 TTJA klienditoe poole pöördutakse alljärgnevatel juhtudel: 14.3.1 probleemid äriinfosüsteemidega; 14.3.2 äriinfosüsteemidele ligipääs; 14.3.3 AK-teabe kaotsiminek või väärkasutus infosüsteemides. 14.4 Eeltoodud loetelu ei ole ammendav ning teavitamisel lähtub kasutaja kahtluse printsiibist (st teavitab esmaste ilmingute ja viidete põhjal ning ei oota kahtluste realiseerumist või kinnituse saamist). 14.5 IT-abi registreerib kõik pöördumised ning suunab olukorra lahendamiseks. 14.6 Pöördumiste ja taotluste lahenduse kulgu saab jälgida, muuta, taasavada või sulgeda IT-abi iseteeninduskeskkonnas. 14.7 Kasutaja aitab igakülgselt kaasa probleemi uurimisele ja lahendamisele. 14.8 Kiireloomulistest probleemidest teavitamiseks kasutatakse prioriteetse suhtluskanalina telefoni teel teavitamist. 15 Infoturvaintsidendid 15.1 Infoturvaintsident on sündmus või mitmete sündmuste jada, mis kahjustab või seab ohtu organisatsiooni turvapoliitikad, turvastandardid või turvapraktikad. Seda määratletakse kui edukalt või potentsiaalselt toime pandud katset kahjustada konfidentsiaalsust,  14 terviklust või käideldavust (CIA: Confidentiality, Integrity, Availability) teabekogumis, süsteemis või võrgus. 15.2 Infoturvaintsidente registreeritakse IT-abi kaudu. 15.3 Infoturvaintsidendi lahendamisel lähtutakse IT-teenuseosutaja vastavast korrast (kättesaadav IT-teenuseosutaja abiportaali kaudu). Infoturvaintsidendi lahendajaks on IT-teenuseosutaja, kaasates vajadusel TTJA-d ja/või teisi välispartnereid (CERT-EE, PPA, VLA, KAPO jt). 15.4 Infoturvaintsidentideks loetakse muuhulgas: 15.4.1 infosüsteemi toimimise häirimine, pahavara tuvastamine või viitav kahtlus; 15.4.2 õngitsuskiri (phising) või muu manipuleerimisründele (social engineering) viitav tegevus; 15.4.3 eksimused käesoleva või teiste TTJA infoturbealaste kordade või protseduuride vastu; 15.4.4 katse või õnnestunud volitamata juurdepääs teabele (sh paberkandjal dokumendid) või selle lubamatu kasutus infosüsteemis; 15.4.5 teadmispiiranguga teabe kaotsiminek või väärkasutus infosüsteemides; 15.4.6 andmekandjate (sh irdkandjate ja paberdokumentide) vargust ja/või hävimist; 15.4.7 infoturbereeglite rikkumine, sh: 15.4.7.1 TTJA kehtivate kordade (käesolev kord, riigisaladuse kaitse juhendi, TTJA infoturvapoliitika jne) rikkumine; 15.4.7.2 tööalaste andmete kasutamine töövälistes keskkondades (meiliaadress, parool jne). 16 IT-välised intsidendid 16.1 Infoturvaintsidendiks ei loeta füüsilise turbega seotud ja IT-süsteemide väliseid juhtumeid ja kahtlusi. Näiteks on IT-välisteks intsidentideks alljärgnevad: 16.1.1 sellise vara kahjustamine või kaotamine, mida ei käsitleta IT-varana (nt kasutaja läbipääsukaart); 16.1.2 vargus; 16.1.3 volitamata sissepääs TTJA territooriumile, vandalism; 16.1.4 töötajate sihilik füüsilist või teabelist turvalisust kahjustav käitumine; 16.1.5 eksimused või sellealased kahtlused asutusesisese teabega ümberkäimisel asutusevälistes keskkondades. 16.2 Eelloetletud juhtumite korral käitub kasutaja vastavalt TTJA töökorralduse reeglitele ning pöördub lahendamiseks reeglites määratud vastutava isiku või üksuse poole. 17 Teenistussuhete lõppemine või peatamine 17.1 Võimaldamaks seadme tagastamist ja/või infosüsteemidega seotud juurdepääsude muutmist, algatab TTJA personalitöötaja töövoo ja teavitab pöördumisega IT-abi alljärgnevatel juhtudel: 17.1.1 teenistussuhte lõppemine;  15 17.1.2 teenistussuhte ajutine peatamine kestusega 90 päeva või kauem; 17.1.3 seadme kasutusvajaduse äralangemine või muu infosüsteemide juurdepääsuõiguste peatamise vajadus. 17.2 Pöördumise alusel peatab IT-teenuseosutaja kasutajakonto ja juurdepääsuõigused teenistussuhte lõppemise või peatumise päevast. 17.3 Seadme(te) vahetu tagastamine toimub pöördumisele vastatud IT-abi juhiste alusel.  16 Lisa 1 TTJA infovahendite kasutamise ja andmete töötlemise korra juurde Lisa 1 Kasutatud terminid  AK: „Asutusesiseseks kasutamiseks“. Informatsioon, mis on mõeldud ainult TTJA sisemiseks kasutamiseks ja ei ole avalik.  IT-vara: Infotehnoloogia vara. Igasugune artikkel, ese või olem, mida saab kasutada digitaalteabe hankimiseks, töötluseks, talletuseks ja jaotamiseks. IT-varade hulka kuuluvad: tarkvara, infosüsteemid, infokandjad (füüsilised ja digitaalsed), arvutivõrk, IT-seadmed (füüsilised ja virtuaalsed), litsentsid (ja litsentsitõendid), lepingud, IT-varade halduse varad (vahendid, metaandmed), teenused (enamasti väljastpoolt saadavad), mis on vajalikud IT-varade halduse nõuete täitmiseks, näiteks tarkvara teenusena, riistvara hoolduse, tarkvara toe ja koolituse, failid või muud infosisuga olemid (nn digitaalsed infosisuvarad, näiteks digitaalkujul standardikogud, meediumikogud), teave iseendast, sõltumatult IT riistvara- ja tarkvaravaradest.  IT-teenuseosutaja: Infotehnoloogia teenuseosutaja. Asutusevälised teenusepakkujad, kes tagavad IT kasutajatoe, sh arvutitöökohtade halduse, äritarkvara kasutajatoe ning süsteemihalduse teenused.  Kasutaja on igasugust IT-vara kasutav isik: teenistuja, töötaja, allettevõtja, kolmas pool vms, kes on oma tööülesannete täitmiseks õigustatud kasutama TTJA-le ja/või IT-teenuseosutajale kuuluvat ja/või renditud IT-vara.  Seade või töövahend on käesoleva korra mõistes igasugune füüsiline IT-vahend, arvuti (koos tarkvaraga), võrguseade, salvestusseade, perifeerseade (klaviatuur, printer, monitor, hiir jms), kommunikatsioonivahend (telefon, peakomplekt, konverentsiseadmed jms) ja turvaseade (näiteks ID-kaardi lugeja või sõrmejäljelugeja), mida kasutatakse tööülesannete täitmiseks.  Pääs või ligipääs on kasutaja või programmi võime olla interaktsioonis varaga, näiteks lugeda või kirjutada andmeid, saata võrgu kaudu sõnumeid, siseneda teatud hoonesse või ruumi, avada teatud kappi.  VPN: Virtuaalne privaatvõrk. Turvaline võrgutehnoloogia, mis võimaldab luua krüpteeritud ühenduse avaliku võrgu kaudu.  CIA: Confidentiality, Integrity, Availability. Kolm peamist infoturbe põhimõtet: konfidentsiaalsus, terviklus ja käideldavus.  TI: Tehisintellekt. Arvutisüsteemid, mis suudavad täita ülesandeid, mis tavaliselt nõuavad inimintellekti, nagu visuaalne tajumine, kõnetuvastus, otsuste tegemine ja keele tõlkimine.  Yubikey: Turvavõti, mida kasutatakse kaheastmeliseks autentimiseks. Väike seade, mis pakub tugevat autentimist, ühendades füüsilise turvavõtme ja krüptograafia.  Company Portal: Tarkvarakeskus. Keskkond, kus kasutajad saavad paigaldada oma arvutisse tarkvara, mis on RITi poolt valmis pandud.  Bluetooth: Traadita tehnoloogia andmete edastamiseks lühikeste vahemaade puhul. Kasutatakse seadmete ühendamiseks ja andmete edastamiseks.  ID-kaart: Eesti kodanike isikut tõendav dokument, mida saab kasutada ka digitaalseks autentimiseks ja allkirjastamiseks.  17  DigiDoc: Krüptokonteiner, mida kasutatakse turvaliseks andmete edastamiseks. Tarkvara, mis võimaldab dokumentide krüpteerimist ja turvalist edastamist.  Passwordstate: Paroolihaldustarkvara. Tarkvara, mis võimaldab paroolide turvalist haldamist ja salvestamist.  Phishing: Õngitsuskiri, manipuleerimisründe vorm. Küberkuritegevuse vorm, kus ründaja üritab petta kasutajat, et saada kätte tundlikku informatsiooni, nagu paroolid ja krediitkaardi andmed.  Social engineering: Manipuleerimisründe vorm. Meetod, kus ründaja manipuleerib inimesi, et saada kätte tundlikku informatsiooni või panna neid tegema teatud tegevusi.  7-zip: Failipakkija tarkvara, mida kasutatakse failide krüpteerimiseks. Tarkvara, mis võimaldab failide pakkimist ja krüpteerimist turvaliseks edastamiseks.  18 Lisa 2 TTJA infovahendite kasutamise ja andmete töötlemise korra juurde Lisa 2: IT-teenuseosutaja kontaktid TTJA IT-teenuseosutaja on Riigi Info- ja Kommunikatsioonitehnoloogia Keskus (RIT) RIT IT-abi teenus on kättesaadav ööpäevaringselt. IT-abi üldkontaktid: Iseteenindusportaal: https://itabi.rit.ee/ Telefon: 663 6464 E-posti aadress: [email protected]