ET Euroopa Liidu Teataja C 255/98

Euroopa Majandus- ja Sotsiaalkomitee arvamus teemal „Komisjoni teatis Euroopa Parlamendile, nõukogule, Euroopa Majandus- ja Sotsiaalkomiteele ning Regioonide Komiteele elutähtsa sideinfrastruktuuri kaitse kohta „Euroopa kaitsmine laiaulatuslike küberrünnakute ja häirete eest: valmisoleku, turvalisuse ja vastupidavuse suurendamine””

KOM(2009) 149 lõplik

(2010/C 255/18)

Raportöör: Thomas McDONOGH

30. märtsil 2009 otsustas Euroopa Komisjon vastavalt EÜ asutamislepingu artiklile 262 konsulteerida Euroopa Majandus- ja Sotsiaalkomiteega järgmises küsimuses:

Komisjoni teatis Euroopa Parlamendile, nõukogule, Euroopa Majandus- ja Sotsiaalkomiteele ning Regioonide Komiteele elutähtsa sideinfrastruktuuri kaitse kohta „Euroopa kaitsmine laiaulatuslike küberrünnakute ja häirete eest: valmisoleku, turvalisuse ja vastupidavuse suurendamine”

KOM(2009) 149 lõplik.

Asjaomase töö ettevalmistamise eest vastutav transpordi, energeetika, infrastruktuuri ja infoühiskonna sektsioon võttis arvamuse vastu 12. novembril 2009. Raportöör oli Thomas McDonogh.

Euroopa Majandus- ja Sotsiaalkomitee võttis täiskogu 458. istungjärgul 16.–17. detsembril 2009 (16. detsembri 2009 istungil) vastu järgmise arvamuse. Poolt hääletas 179, erapooletuks jäi 4 liiget.

1. Ettepanekud ja soovitused

1.1 Komitee tervitab komisjoni teatist Euroopa elutähtsate sideinfrastruktuuride (critical information infrastructures, CIIs) kaitset käsitlevat tegevuskava kohta. Komitee jagab komisjoni muret Euroopa haavatavuse üle seoses laiaulatuslike küberrünnakute, tehniliste rikete, inimeste elluviidud rünnakute ja loodusõnnetustega ning tõsise kahju üle, mis võib tabada Euroopa majandust ja selle kodanike heaolu. Komitee nõustub komisjoniga, et kõnealuse kriitilise probleemiga tegelemiseks on vaja kiiret tegutsemist, et suurendada kooskõlastamist ja koostööd ELi tasandil. Samuti nõustub komitee, et elutähtsate sideinfrastruktuuride kaitseks tuleb kiiresti välja töötada üldine poliitikaraamistik.

1.2 Komitee võtab teadmiseks elutähtsate sideinfrastruktuuride kaitset käsitlenud ELi ministrite konverentsi järeldused ja on mures selle pärast, et Euroopa on halvasti ette valmistatud laiaulatuslikeks küberrünnakuteks või elutähtsate sideinfrastruktuuride riketeks, kuna eri liikmesriikide lähenemisviisid elutähtsate sideinfrastruktuuride kaitseks on sageli ebaühtlased ja halvasti kooskõlastatud. Interneti areng ning süsteemse mõtlemise puudumine sideinfrastruktuuride turvalisuse ja vastupidavuse teemal on põhjustanud praeguse tõsise olukorra. Kuna nüüdseks on tegutsemisvajadus määratletud, kutsub komitee komisjoni üles probleemiga otsustavalt ja viivitamatult tegelema.

1.3 Komitee toetab teatises kirjeldatud kõrgetasemelise tegevuskava viit sammastja tunnustab komisjoni tööd. On väga keeruline töötada välja elutähtsate sideinfrastruktuuride turvalisust ja vastupidavust suurendav integreeritud, paljusid sidusrühmi ja tasandeid hõlmav lähenemisviis, eriti kuna tegemist on niivõrd erinevate sidusrühmadega ning arvestades Euroopa sideinfrastruktuuride keerukust. Samuti tunnustatakse Euroopa Võrgu- ja Infoturbeameti (ENISA) toetavat rolli ja panust kõnealuse teatise eesmärkide saavutamisel.

1.4 Komitee märgib, et sidusrühmad ei ole info- ja sidetehnoloogia turvalisust ja vastupidavust käsitleva nõukogu resolutsiooni 2007/C 68/01 rakendamiseks piisavalt tegutsenud (1). Raskused Euroopa elutähtsaimate sideinfrastruktuuride kaitsmise eesmärgil tõhusate tegevuspoliitikate väljatöötamisel teenivad vaid nende huvisid, kes soovivad elutähtsaid sideinfrastruktuure rünnata poliitilistel või finantspõhjustel. Seepärast soovib komitee, et komisjon kinnitaks selgemalt tugeva juhirolli vajalikkust kõigi sidusrühmade ühendamisel ja tõhusate meetmete rakendamisel, et kaitsta Euroopat võimalike ohtude eest elutähtsatele sideinfrastruktuuridele. Komitee on seisukohal, et teatises kirjeldatud tegevuskava annab kavandatud tulemuse vaid siis, kui vastutus selle rakendamise eest antakse asjaomasele reguleerivale asutusele.

1.5 Komitee juhib komisjoni tähelepanu EMSK varasematele arvamustele, mis sisaldavad märkusi turvalise infoühiskonna, Interneti turvalisuse ja elutähtsate infrastruktuuride kaitse vajalikkuse kohta.

2. Soovitused

2.1 Euroopa Liit peaks kogu ELi elutähtsate sideinfrastruktuuride tõhusa kaitse rakendamise andma asjaomase reguleeriva asutuse vastutusalasse, kuhu kuuluks Euroopa Liidu Põhiõiguste Ameti liikmeid.

2.2 Kõik liikmesriigid peaksid välja töötama riikliku strateegia, tugeva poliitilise ja regulatiivse keskkonna, tervikliku riikliku riskijuhtimise protsessi ning asjakohased valmisoleku meetmed ja mehhanismid. Sellega seoses peaks iga liikmesriik looma infoturbeintsidentidega tegeleva rühma (CERT) ja ühendama selle Euroopa valitsuste CERTide rühmaga (European Governmental CERTs Group – EGC) (2).

2.3 Komisjon peaks kiirendama tööd vastupidavust käsitleva Euroopa avaliku ja erasektori partnerluse (EP3R) loomisel ning integreerima selle Euroopa Võrgu- ja Infoturbeameti (ENISA) ja Euroopa valitsuste CERTide rühmaga (European Governmental CERTs Group – EGC).

2.4 Elutähtsate sideinfrastruktuuride kaitsmise poliitika peaks kõigil tasanditel juhinduma riskijuhtimise parimatest tavadest. Eelkõige tuleks määratleda turvalisuse ja vastupidavuse rikete võimalik maksumus ning see asjaomastele vastutavatele sidusrühmadele teatavaks teha.

2.5 Sidusrühmadele, kes ei täida oma kohustusi elutähtsate sideinfrastruktuuride poliitika raames, tuleks määrata rahalised ja muud karistused, mis on võrdelised nende hooletusest põhjustatud süsteemirikete ohu ja maksumusega.

2.6 Vastutus elutähtsate sideinfrastruktuuride turvalisuse ja vastupidavuse eest peaks esmajoones lasuma suurtel sidusrühmadel – valitsused, infrastruktuuri pakkujad ja tehnoloogiaga varustajad – ning ei tohi lubada anda vastutust üle ettevõtjatele ja eratarbijatele.

Turvalisus ja vastupidavus peavad olema kohustuslikud kõigile ELis rakendatavatele info- ja sidetehnoloogia süsteemidele. Komitee julgustab elutähtsate sideinfrastruktuuride erasektori sidusrühmasid pidevalt parandama eelkõige vastupidavusega seonduvaid valdkondi, näiteks võrgustiku haldamine, riskijuhtimine ja tegevuse järjepidevus.

2.7.1 Parimate tavade ja standardite loomine ja kontrollimine peaks kuuluma iga sellise tegevuspoliitika juurde, mis käsitleb rikete vältimist, meetmeid konkreetsele olukorrale reageerimiseks ning elutähtsate infrastruktuuride taastamist.

2.7.2 Esmatähtsaks tuleks pidada Interneti protokolli kuuenda versiooni (IPv6, Interneti aadresside kõige viimane protokoll) ja DNSSEC-tehnoloogiate (doomeninimede süsteemi turvalisuse suurendamise vahendid) rakendamist ELis, et Interneti turvalisust tugevdada.

2.8 Komitee ergutab avaliku ja erasektori sidusrühmasid korrapärasele koostööle, et kontrollida oma valmisolekut ja reageerimismeetmeid õppuste kaudu. Komitee toetab täielikult kõnealuses teatises sisalduvat komisjoni ettepanekut korraldada esimene üleeuroopaline õppus 2010. aastal.

2.9 Euroopas tuleb edendada tugevat infoturbetööstust, et jõuda pädevuses samale tasemele USA hästifinantseeritud tööstusega. Investeerimine elutähtsate sideinfrastruktuuridega seotud teadus- ja arendustegevusse peaks märkimisväärselt suurenema.

2.10 Tuleks suurendada oskuste ja teadmiste ning teadlikkuse arendamise programmide rahastamist küberturbe valdkonnas.

2.11 Igas liikmesriigis tuleks luua teabe- ja toetusagentuurid, et aidata VKEdel ja kodanikel aru saada ja täita oma kohustusi elutähtsate sideinfrastruktuuride poliitika raames.

2.12 Turvalisuse nimel peaks EL esitama oma seisukoha Interneti tulevase haldamise (3) küsimuses. Selliseks haldamiseks on vaja senisest enam mitmepoolset lähenemisviisi, mis austab USA riiklikke prioriteete, aga peegeldab ka ELi huvisid. Kõnealuses valdkonnas peaks Euroopa Liit oma tegevuses toetuma küberjulgeoleku ning kodaniku- ja isikuvabadustest kinnipidamise vastastikuse mõju süvaanalüüsile.

3. Taustteave

Laiaulatuslike küberrünnakute oht elutähtsatele sideinfrastruktuuridele.

3.1.1 Elutähtsate sideinfrastruktuuride hulka kuuluvad info- ja sidetehnoloogiad, mis on teabe- ja kommunikatsiooniplatvormid, mille abil pakutakse vajalikke kaupu ja teenuseid, sealhulgas eluliselt tähtsaid ühiskondlikke toiminguid nagu energiavarustus, vesi, transport, pangandus, tervishoiu- ja hädaabiteenused.

3.1.2 Elutähtsaid sideinfrastruktuure iseloomustab keeruliste süsteemide suur integreeritus, suur vastastikune sõltuvus muudest infrastruktuuridest (näiteks elekter) ja piiriülene vastastikune seotus. Seega on need keerulised infrastruktuurid avatud eri ohtudele, mis võivad põhjustada katastroofilise süsteemirikke, mis mõjutab elutähtsaid ühiskondlikke teenuseid mitmetes liikmesriikides. Ohtude allikateks on inimlikud eksimused, tehnilised rikked, inimeste elluviidud rünnakud (sealhulgas kuritegelikud ja poliitilised rünnakud) ja loodusõnnetused. Riskianalüüs näitab selliste süsteemide puudusi ja samas võimalust kontrollida neid süsteeme viisidel, kavatsetult või mitte, mis seavad ohtu nii kodaniku- kui isikuvabadused. Komisjon peab tagama, et ühenduse õigustiku väljatöötamisel peetakse kinni põhiõigustest.

3.1.3 Valitsused ja eluliselt tähtsate teenuste pakkujad avalikustavad turvalisuse ja vastupidavusega seotud rikked üksnes siis, kui nad on selleks sunnitud. Siiski on avalikkusele teada mitmed ohunäited, mis tulenevad elutähtsatele sideinfrastruktuuride turvalisuse ja vastupidavuse riketest.

— 2007. ja 2008. aastal toimusid ulatuslikud küberrünnakud Eesti, Leedu ja Gruusia vastu.

— Mandritevaheliste merealuste kaablite purunemine Vahemeres ja Pärsia lahes 2008. aastal mõjutas internetiliiklust mitmes riigis.

— 2009. aasta aprillis teatasid USA riikliku julgeoleku ametnikud, et nn küberspioonid olid tunginud USA elektrivõrgustikku ja jätnud sinna tarkvaraprogramme, mida saaks kasutada süsteemi häirimiseks.

— Juulis pidid USA ja Lõuna-Korea tegelema ulatusliku, 100 000-200 000 arvutit hõlmanud teenusetõkestamise rünnakuga, mis tabas mitmeid valitsuse veebilehti.

3.1.4 Kuritegelike rühmituste pahatahtlikud kavatsused ning poliitiline kübersõda teravdavad probleemi märkimisväärselt.

— Kasutades ära Internetiga ühendatud personaalarvutite operatsioonisüsteemide puudusi on kuritegelikud rühmitused loonud robotivõrgud ehk botnetid – õelvara abil üheks virtuaalarvutiks ühendatud personaalarvutid, mida nad juhivad (nagu zombid või droonid). Robotivõrke kasutatakse mitmetel kuritegelikel eesmärkidel ning kübersõda pidavad terroristid ja valitsused rendivad robotivõrke kuritegelikelt rühmitustelt, et korraldada laiaulatuslikke küberrünnakuid. Arvatakse, et Confickeri-nimeline botnet käsutab üle 5 miljoni personaalarvuti.

3.1.5 Elutähtsate sideinfrastruktuuride rikke majanduslik kulu võib olla äärmiselt kõrge. Maailma majandusfoorumil leiti, et järgmise kümne aasta jooksul esineb 10–20-protsendilise tõenäosusega võimalus, et elutähtsad sideinfrastruktuurid varisevad kokku, tuues kaasa 250 miljardi USA dollari suuruse ülemaailmse võimaliku majanduskulu ja nõudes tuhandeid inimelusid.

Valmisoleku, turvalisuse ja vastupidavuse probleemid

3.2.1 Suur osa Euroopa elutähtsatest sideinfrastruktuuridest toimivad peamiselt Interneti kaudu. Interneti ülesehitus põhineb miljonite arvutite ühendusel, mille töötlemise, teabevahetuse ja kontrollifunktsioonid on hajutatud üle kogu maailma. Selline hajutatud ülesehitus on olulise tähtsusega Interneti stabiilsuse ja vastupidavuse tagamiseks: see võimaldab probleemi korral kiiresti liiklusvood taastada. Samas tähendab see ka seda, et iga põhiteadmisi omav halbade kavatsustega huligaan saab algatada laiaulatusliku küberrünnaku võrgu äärmistest sõlmedest, kasutades näiteks robotivõrke.

3.2.2 Ülemaailmseid sidevõrkusid ja elutähtsaid sideinfrastruktuure iseloomustab piiriülese vastastikuse seotuse kõrge tase. Ühe riigi turvalisuse ja võrgustiku vastupidavuse madal tase võib mõjutada elutähtsate sideinfrastruktuuride turvalisust ja vastupidavust ka teistes riikides, millega see riik seotud on. Rahvusvahelise vastastikuse sõltuvuse tõttu on ELil vaja integreeritud poliitikat elutähtsate sideinfostruktuuride turvalisuse ja vastupidavuse haldamiseks kogu ELis.

3.2.3 Enamus sidusrühmi ja paljud liikmesriigid omavad vähe teadmisi ja on vähe teadlikud elutähtsaid sideinfrastruktuure varitsevatest ohtudest. Väga vähestel riikidel on nende ohtude juhtimiseks igakülgsed tegevusmeetmed.

3.2.4 Elektroonilisi sidevõrke ja teenuseid reguleerivas raamistikus kavandatud reformid tugevdavad võrguoperaatorite kohustust tagada asjakohaste meetmete võtmine kindlaksmääratud ohtude vastu võitlemiseks, teenuste osutamise järjepidevus ning teavitada turvanõuete rikkumisest (4).

3.2.5 Erasektor tagab suure osa tehnoloogiatest, mis toetavad elutähtsate sideinfrastruktuuride platvorme. Toimiv koostöö elutähtsate sideinfrastruktuuride tõhusaks kaitseks sõltub suures osas pädevuse, usalduse, läbipaistvuse ja teabevahetuse kõrgest tasemest kõikide sidusrühmade – valitsuste, ettevõtjate ja tarbijate – vahel.

3.2.6 Äärmiselt oluline on välja töötada paljusid sidusrühmi ja tasandeid hõlmav rahvusvaheline lähenemisviis.

3.3 Viiesambaline tegevuskava

Komisjon pakub kõnealuste väljakutsetega tegelemiseks välja viiesambalise tegevuskava:

1. valmisolek ja ennetamine: tagada valmisolek kõikidel tasanditel;

2. avastamine ja reageerimine: pakkuda asjakohaseid varajase hoiatamise süsteeme;

3. leevendamine ja taastamine: tugevdada elutähtsate sideinfrastruktuuride kaitsemehhanisme ELis;

4. rahvusvaheline koostöö: edendada ELi prioriteete rahvusvahelisel tasandil;

5. info- ja sidetehnoloogiasektori kriteeriumid: toetada direktiivi (Euroopa elutähtsate infrastruktuuride identifitseerimise ja määramise kohta) rakendamist (5).

Iga tegevuse jaoks seatakse konkreetsed eesmärgid, millest mõned tuleb täita 2011. aasta lõpuks.

4. Märkused

4.1 On väga raske töötada välja ja viia ellu elutähtsate infrastruktuuride kaitse tõhusat strateegiat teatises kirjeldatud ülimalt nõuandva, vabatahtliku ja koostööpõhise käsitluse alusel, Arvestades probleemi tõsidust ja kiireloomulisust soovitab komitee, et komisjon uuriks, kuidas toimitakse Ühendkuningriigis ja USAs, kus vastutus ja volitused on antud asjaomasele reguleerivale asutusele.

4.2 Komitee toetab ÜRO Peaassamblee resolutsioonis 58/199 esitatud üleskutset ülemaailmse küberturbekultuuri loomiseks ja elutähtsate sideinfrastruktuuride kaitseks. Arvestades riikide vastastikust sõltuvust elutähtsate sideinfrastruktuuride turvalisusest ja vastupidavusest – ahela tugevus sõltub selle nõrgima lüli tugevusest! – on murettekitav, et vaid üheksa liikmesriiki on praeguseks loonud infoturbeintsidentidega tegelevad rühmad (CERTid) ning ühinenud Euroopa valitsuste CERTide rühmaga (EGC). Nende rühmade loomine tuleb tõsta nähtavale kohale valitsustevahelises nõupidamiste päevakorras.

4.3 ELi küberturbest on huvitatud kõik kodanikud, kelle elu võib sõltuda elutähtsatest teenustest. Neil kodanikel lasub ka vastutus kaitsta parimal viisil oma Internetiühendust rünnakute eest. Veelgi suurem vastutus lasub neil info- ja sidetehnoloogia teenuste ja tehnoloogiate pakkujatel, kes pakuvad elutähtsaid sideinfrastruktuure. On oluline, et kõik sidusrühmad oleksid küberturbest asjakohaselt informeeritud. Samuti on oluline, et Euroopas oleks turvalisuse ning info- ja sidetehnoloogia vastupidavusega seonduvates küsimustes palju kvalifitseeritud eksperte.

4.4 Komitee soovitab, et igal liikmesriigil peaks olema asutus, kelle ülesanne on pakkuda VKEdele küberturbealast teavet, koolitust ning toetust. Suurtel ettevõtetel on kergem saada vajalikud teadmised, aga VKEd vajavad toetamist.

4.5 Kuna erasektor pakub suurema osa elutähtsatest sideinfrastruktuuridest, on oluline edendada kõigi kõnealuste infrastruktuuride eest vastutavate ettevõtjate vastastikust usaldust ja koostööd. Komisjoni juunis käivitatud Euroopa avaliku ja erasektori partnerluse (EP3R) algatust tuleb tervitada ja julgustada. Komitee on siiski arvamusel, et algatust tuleb tugevdada õigusaktidega, millega kohustatakse vastutusest kõrvale hoidvaid sidusrühmasid koostööle.

4.6 Riskijuhtimine on valdkond, mille eesmärk on aidata lahendada kõnealuses teatises käsitletud probleeme. Komisjon peaks rõhutama, et riskijuhtimise parimaid tavasid tuleb järgida seal, kus tegevuskava seda nõuab. Eelkõige tuleb hinnata ohtude ja rikete maksumust elutähtsate sideinfrastruktuuride igal tasandil. Kui on teada rikete tõenäosus ja võimalik maksumus, on sidusrühmi lihtsam tegutsema motiveerida. Samuti on lihtsam panna neile majanduslik vastutus kohustuste täitmata jätmise korral.

4.7 Suurettevõtjad püüavad piirata vastutust oma jõupositsiooni ärakasutamisega ning sundida tarbijaid või teenusepakkujaid nõustuma tingimustega, mis võimaldavad neil vastutusest kõrvale hoida (näiteks tarkvara litsentsilepingud või Internetiteenuse pakkuja võrguga kohustusliku ühinemise lepingud, mis piiravad vastutust turvalisuse küsimustes. Need lepingud peaksid olema ebaseaduslikud ning vastutus peaks lasuma suurettevõtjal.

4.8 Iga info- ja sidetehnoloogiaala võrgustik peaks olema kavandatud turvaliseks ja vastupidavaks. Prioriteetsena tuleks analüüsida liikmesriikide ja kogu ELi võrgu ülesehituse topoloogiat, et tuvastada sideliikluse lubamatud koondumised ning kohad, kus võrgurikete oht on kõige suurem. Eriti lubamatu on Internetiliikluse kõrge kontsentratsioon väga vähestes Interneti vahetuspunktidesse (Internet Exchange Points, IXP) mõnedes liikmesriikides.

4.9 Samuti juhib komitee komisjoni tähelepanu märkustele arvamuses, mis käsitles dokumenti KOM(2008) 313 lõplik „Interneti edendamine – Tegevuskava Interneti protokolli kuuenda versiooni (IPv6) kasutuselevõtuks Euroopas” (6), milles rõhutati IPv6 vastuvõtmisega kaasnevaid eeliseid Interneti turvalisusele ELis. Samuti soovitati arvamuses rakendada DNSSEC-tehnoloogiad Interneti turvalisuse parandamiseks igal võimalusel.

4.10 USA on käivitanud küberruumi turvalisuse strateegia ning eraldab 2009. ja 2010. aastal küberturbe edendamiseks eelarvest 40 miljardit dollarit. See on väga suur investeering turvalisuse valdkonda, mille tulemusena suunavad paljud infotehnoloogia turvalisuse alal tegutsevad ettevõtjad, sealhulgas Euroopa ettevõtjad, oma jõupingutused USA turule. Samuti aitab see USA turvalisuse valdkonna ettevõtjatel tõusta maailmas juhtivale positsioonile. On äärmiselt soovitav, et Euroopal oleks oma tipptasemel tööstus, mis võimaldab tal võrdsetel alustel konkureerida Ameerika ettevõtjatega ning pöörata piisavat tähelepanu ja keskenduda Euroopa vajadustele infrastruktuuride osas. Komitee soovib, et komisjon uuriks, kuidas oleks võimalik korvata USA suuri rahalisi stiimuleid.

4.11 Komitee kiidab heaks komisjoni hiljutise teatise Interneti haldamise järgmiste sammude kohta (3). Komitee on seisukohal, et EL peab avaldama otsesemat mõju Interneti nimede ja numbrite määramise korporatsiooni ICANNi (Internet Corporation for Assigned Names and Numbers) ja Internetiaadresse haldava organisatsiooni IANA (Internet Assigned Numbers Authority) poliitikale ja tegevusele. Samuti arvab komitee, et USA ühepoolne kontroll tuleks asendada rahvusvaheliste mitmepoolse vastutuse kokkulepetega.

Brüssel, 16. detsember 2009. Euroopa Majandus- ja Sotsiaalkomitee president Mario SEPI

(1) KOM(2006) 251.

(2) http://www.egc-group.org.

(3) KOM(2009) 277 lõplik.

(4) Artiklid 13a ja 13b dokumendis KOM(2007) 697 lõplik – muudatusettepanekud direktiivile 2002/21/EÜ.

(5) Nõukogu direktiiv 2008/114/EÜ.

(6) ELT C 175, 28.7.2009, lk 92.