Source: https://www.ria.ee/et/kuberturvalisus/iske/korduma-kippuvad-kusimused.html
Timestamp: 2019-01-22 06:12:13+00:00

Document:
Korduma kippuvad küsimused | Riigi Infosüsteemi Amet
Avaleht Küberturvalisus Infosüsteemide turvameetmete süsteem ISKE Korduma kippuvad küsimused
Siinsel lehel on vastused ISKE kohta enimküsitud küsimustele. Alustades sellest, kes peab ISKEt rakendama ning lõpetades käideldavuse turvaosaklassi määramise ja turvameetmete arvestuse pidamisega.
ISKE ja kohustus seda rakendada
ISKE on infosüsteemide kolmeastmeline etalonturbe süsteem, mille eesmärk on tagada infosüsteemides ja andmekogudes töödeldavatele andmetele piisava tasemega turvalisus. ISKE rakendamise ja selle auditeerimise kohustuslikus tuleneb avaliku teabe seaduse § 439 lõikest 3 ».
Etalonturve on turvameetmete kogumik, mille rakendamine on vajalik andmete asjakohase turvalisuse taseme saavutamiseks ja säilitamiseks.
Avaliku teabe seaduses (AvTS) kasutatakse kohaliku omavalitsuse defineerimisel erinevaid termineid:
Vabariigi Valitsuse 20.12.2007. aasta määruses nr 252 "Infosüsteemide turvameetmete süsteem" » seda terminit laiendatud ega täpsustatud ei ole. Seetõttu tuleb seda ka tõlgendada kitsalt ehk kui „kohalikku omavalitsust”, mitte kohaliku omavalitsusega seotud hallatavaid asutusi või kohaliku omavalitsuse üksusi.
Avaliku teabe seaduse § 431 lg 1 » kohaselt on andmekogu riigi, kohaliku omavalitsuse või muu avalik-õigusliku isiku või avalikke ülesandeid täitva eraõigusliku isiku infosüsteemis töödeldavate korrastatud andmete kogum, mis asutatakse ja mida kasutatakse seaduses, selle alusel antud õigusaktis või rahvusvahelises lepingus sätestatud ülesannete täitmiseks. Andmekogus töödeldavate korrastatud andmete kogum võib koosneda ka üksnes teistes andmekogudes sisalduvatest unikaalsetest andmetest.
Admekogud jagunevad riigi infosüsteemi kuuluvateks andmekogudeks (avaliku teabe seaduse § 432 ») ja riigi infosüsteemi mittekuuluvateks andmekogudeks (avaliku teabe seadus § 433 lõige 4 »).
Millistele andmekogudele on ISKE rakendamine ja selle auditeerimise kohustuslik?
ISKE rakendamine on kohustuslik kõigile riigi ja kohaliku omavalituse andmekogude pidamisel kasutatavate infosüsteemide ning nendega seotud infovaradele turvalisuse tagamiseks.
Rakendamine toimub vastavalt ISKE rakendusjuhendi kehtivale versioonile.
Riigi andmekogu vastutav töötleja on kohustatud tellima ISKE määrusest tuleneva perioodi tagant ISKE rakendamise auditeerimise.
Kohaliku omavalitsuse andmekogudele tellitakse ISKE rakendamise auditeerimine lähtuvalt vajadusest. Majandus- ja Kommunikatsiooniministeerium tellib eelnimetatud auditi arvestades § 91 lõigetes 4–8 sätestatud tingimusi ja nõudeid.
Mis on turvaklass ja millele neid määratakse?
Turvaklass on andmete tähtsusest tulenev andmete nõutav turvalisuse tase, väljendatuna neljaastmelisel skaalal ning kolmekomponendilisena, st kolme turvaosaklassi ühendina. Turvaklassid määratakse andmekogus töödeldavatele andmetele. Turvaklassi määramisel lähtutakse andmestiku enim kaitset vajavate andmete kaitsevajadusest.
Turvaklassi määramise korraldab andmekogu vastutav töötleja andmete turvaanalüüsi tulemusena.
Täpsema turvaklasside määramise aluse leiab AvTS § 439 lõike 1 punkti 4 alusel kehtestatud määruse „Infosüsteemide turvameetmete süsteem“ § 7 ».
Kes vastutab, kui andmekogu suhtes ei ole täidetud seadusest tulenevat nõuet (ISKE rakendamata ja/või ISKE rakendamine tähtaegselt auditeerimata)?
ISKE rakendamata jätmise ja/või ISKE rakendamise tähtaegselt auditeerimata jätmise eest vastutab andmekogu vastutav töötleja.
Mis ajaks peab ISKE olema andmekogudele rakendatud?
Kui on kohustus ISKEt rakendada, peab ISKE olema rakendatud andmekogu kasutusele võtmise ajaks. Kuna sellised andmekogud peavad olema registreeritud riigi infosüsteemi haldussüsteemis (RIHA) », siis näiteks uute andmekogude puhul peab olema ISKE rakendatud andmekogu lõpliku registreerimise ajaks (st kui andmekogu saab RIHAsse märke "kasutusel").
Mis ajaks peab olema ISKE rakendamine auditeeritud nende andmekogude puhul, millele on ISKE audit kohustuslik?
ISKE rakendamise auditeerimise periood sõltub andmekogule määratud turbeastmest ja andmekogu kasutusele võtmise ajast.
Näiteks, kui andmekogu võetakse kasutusele 1. jaanuaril 2017. aastal või koostati selleks kuupäevaks eelmine ISKE rakendamise auditeerimise raport, siis järgmine ISKE audit peab olema toimunud:
H turbeastmega andmekogu puhul 1. jaanuariks 2019;
M turbeastmega andmekogu puhul 1. jaanuariks 2020;
L turbeastmega andmekogu puhul 1. jaanuariks 2021.
Näiteks, tööaeg võib olla tööpäeviti kella 9.00–17.00 (ehk 5x8), tööpäeviti ja laupäev 8.00–18.00 (ehk 6x8), iga päev 24 tundi (ehk 7x24). Kui tööaeg on määratud, siis tuleks käideldavuse turvaosaklassi definitsioonidest lähtuvalt määrata käideldavuse turvaosaklass (kas K0, K1, K2 või K3). Käideldavuse klassi määramisel tuleb arvestada, mis on lubatud maksimaalne seisak ja maksimaalne reaktsiooni aja kasv eelnevalt kokku lepitud tööajal.
M (Medium) – keskmine turbeaste
Ei pea märkima, aga võib. Infoturbe juht/spetsialist, IT-juht peaks teadma missuguses dokumendis on konkreetse organisatoorse turvameetmega seonduv asjaolu reguleeritud. Selline märgistamine hoiab mh auditi läbiviimisel auditeeritava aega kokku.
BSI juhendis on turbeastmed: A – Entry level, B – Higher level, C – Certificate level, Z – optional, W – know how. Kõik nimetatud tasemete turvameetmed on paigutatud ISKE turbeastmetesse L ja M.

References: § 439
 § 431
 § 432
 § 433
 § 91
 § 439
 § 7