Source: https://www.riigiteataja.ee/akt/421122018019
Timestamp: 2019-08-18 11:21:45+00:00

Document:
Toila valla asutuste infoturbe põhimõtted – Riigi Teataja
Toila valla asutuste infoturbe põhimõtted
Toila valla asutuste infoturbe põhimõtted - sisukord
§ 1 Infoturbe põhimõtete rakendusala
§ 2 Põhimõtted
2 ORGANISATSIOON JA RISKIHALDUS
§ 5 Infoturbe organisatsioon ja vastutusalad
§ 6 Turvariskide hindamise terminid
§ 7 Turvariskide vältimise meetmed
§ 8 Riskihaldus
§ 9 Turvaintsidentide haldus
3 INFOTEHNOLOOGILISED TURVANÕUDED
§ 10 Infovarade ligipääsu reguleerimine
§ 11 Krüpteerimine ja sõnumautentimine
§ 12 Kontrolljäljed
§ 13 Viirusetõrje
§ 14 Infosüsteemide kasutusele võtmine ja muudatused
§ 15 Varundamine
§ 16 Turvastandardid ja ISKE
4 MUUD TURVANÕUDED
§ 17 Füüsiline turve
§ 18 Konfidentsiaalsuskohustus
§ 19 Kaugtöö
§ 20 Teenistujad
§ 21 Andmete ja dokumentide turve
§ 22 Infoturbe põhimõtetele tuginevate õigusaktide kehtestamise õigus
§ 23 Infoturbepoliitika muutmine
RT IV, 21.12.2018, 19
Määrus antakse kohaliku omavalitsuse korralduse seaduse § 30 lg 1 punkti 3, isikuandmete kaitse seaduse § 6 punkti 6 ja avaliku teabe seaduse § 43 lõike 1 alusel ning kooskõlas Vabariigi Valitsuse 20. detsembri 2007 määrusega nr 252 „Infosüsteemide turvameetmete süsteemˮ.
§ 1. Infoturbe põhimõtete rakendusala
(1) Toila valla infoturbe põhimõtted sätestavad Toila Vallavalitsuse, kui ametiasutuse ja tema hallatavate asutuste (edaspidi ka asutus) infoturbe eesmärgid ja nende saavutamise juhised, infoturbe korralduse ja peamiste turvameetmete rakendamise.
(2) Hallatavad asutused ei pea järgima antud korda osas, mis puudutab otseselt Toila vallavalitsuse siseseid toiminguid ja protsesse.
(3) Infoturbe põhimõtteid arvestatakse ning kavandatakse põhimõtete elluviimiseks vastavad tegevused valdkondlikes valla õigusaktides.
(4) Infoturbe põhimõtted puudutavad Toila kui kohaliku omavalitsuse üksuse sisest suhtlust ning suhtlust riigiasutustega, teiste kohaliku omavalitsuse üksuste ja lepingupartneritega.
(5) Infoturbe põhimõtted hõlmavad valla personali, infrastruktuuri, andmeid ja dokumentatsiooni, IT-riistvara, tarkvara ja sidesüsteeme.
(6) Infoturbe põhimõtteid on kohustatud järgima Toila Vallavalitsuse teenistujad ja hallatavate asutuste töötajad ning Toila valla lepingupartnerid, kes on volitatud töötleja rollis.
§ 2. Põhimõtted
(2) Käideldavuse, tervikluse ja konfidentsiaalsuse säilitamine nõutaval või kokkulepitud tasemel tagatakse turvameetmete rakendamisega ulatuses, mis tagab ohtude realiseerumisel Toila valla kui kohaliku omavalitsuse üksuse ülesannete tavapärase ja katkestusteta täitmise.
(3) Turvameetmed jagunevad organisatsioonilisteks, füüsilisteks ja infotehnilisteks. Turvameetmed peavad olema majanduslikult õigustatud ning nende negatiivne mõju valla tegevusele ja teenistujate tööle peab olema tasakaalus meetmete rakendamata jätmisel tekkida võiva kahjuga.
Infoturbe põhimõtete kirjeldamisel kasutatakse termineid järgmises tähenduses:
1) infovara – mistahes kujul talletatud informatsioon, mis on asutusele väärtuslik ja mida asutus kasutab oma põhimääruses ettenähtud ülesannete täitmiseks, ning asutuse omandis olevad infotöötlusvahendid, rakendused ja taristu, mis tagavad asutusele informatsiooni nõuetekohase töötlemise;
2) turvameetmed – organisatoorsed toimingud ja vahendid, tehnilised protsessid ja tehniliste vahendite rakendamine andmete ja infosüsteemide turvalisuse saavutamiseks ja säilitamiseks;
4) andmed – informatsiooni kirjapanek taasesitamist võimaldaval kujul;
5) infosüsteem – andmeid töötlev, salvestav või edastav tehniline süsteem koos tema normaalseks talitluseks vajalike vahendite, ressursside ja protsessidega;
6) andmekogu – infosüsteemis töödeldavate korrastatud andmete kogum;
7) vahendid – infrastruktuur (näiteks hooned, ruumid, kaablid, võrguühendus), arvutid (näiteks lauaarvutid, sülearvutid, pihuarvutid), lisaseadmed (näiteks printerid), andmekandjad (näiteks serverid, mälupulgad, CD, DVD) jms;
8) andmete käideldavus – teabe, IT-süsteemide, inimeste ja protsesside teovõime ja kättesaadavus ajal, mil asutus seda vajab;
9) andmete terviklus – infovara lubamatute muudatuste puudumine; hõlmab ka autentsust ja salgamatust;
10) andmete konfidentsiaalsus – andmete salastatus, nende usalduslik käitlemine;
11) privaatsus – üksikisiku eraellu või juriidilise isiku ärisaladusse tungimise või tema kohta kogutud andmete kasutamise välistamine väljaspool ametiülesannete täitmist;
12) infosüsteemide kolmeastmeline etalonturve (edaspidi ISKE) − infoturbe metoodika, mida rakendatakse infovarale ja mis sisaldab juhised ning turvameetmete kataloogi, kuidas korraldada infoturbe haldust ja määrata infovarade turbevajadust;
13) krüpteerimine – andmetele kõrvaliste isikute jaoks loetamatu kuju andmine;
14) varundamine – andmete kopeerimine, mis on salvestatud algsest asukohast erinevasse asukohta.
(1) Infoturbe põhimõtete eesmärk on kehtestada üldised suunised infovarade kaitsmiseks rünnete ja stiihiliste ohtude eest. Nende põhimõtete alusel koostatakse eeskirjad, juhendmaterjalid, korrad ja muud dokumendid, mis reguleerivad asutuse infoturvet.
(2) Infoturbe eesmärgid on:
6) tagada õigusaktidele vastavus;
(3) Infoturbe tähtsus tuleneb andmete tähendusest ja väärtusest.
2. peatükk ORGANISATSIOON JA RISKIHALDUS
§ 5. Infoturbe organisatsioon ja vastutusalad
(1) Infoturbe põhimõtete rakendamise eest asutuses vastutab asutuse juht.
(3) Rolli- või ametikohapõhine infoturbealane vastutus tuleneb asutuse struktuurist, üldisest töökorraldusest, tegevusvaldkondadest ja delegeerimispõhimõtetest.
(4) Iga teenistuja vastutab infoturbe meetmete rakendamise eest oma valdkonnas ning täidab infoturbe nõudeid ja rakendab asjakohaseid turvameetmeid.
(5) Rolli- või ametikohapõhine infoturbealane vastutus tuleneb asutuse struktuurist, üldisest töökorraldusest, tegevusvaldkondadest ja delegeerimispõhimõtetest.
(6) Kõigi tasandite vahetud juhid kontrollivad, et alluvad täidaks infoturbe nõudeid.
(7) Kõik teenistujad teavitavad avastatud turvaintsidendist kokku lepitud teavitusskeemide kaudu (turvaintsidendi lahendamise kord) või informeerivad vahetut juhti.
(8) Tahtliku infoturbe nõuete eiramise, infovarade mittesihipärase kasutamise või avastatud turvaintsidendist teatamata jätmise eest vastutab nõudeid rikkunud isik.
§ 6. Turvariskide hindamise terminid
Turvariskide hindamisel kasutatakse termineid järgmises tähenduses:
1) oht – olukord, mis võib kahjustada infovarasid ning võib peituda infrastruktuuris, tehnoloogias, inimeste turbeteadlikkuses või asutuse töökorralduses. Ohuallikaks võivad olla:
5) turvaintsident – mistahes kõrvalekalle infosüsteemi normaalse talitluse reeglitest
§ 7. Turvariskide vältimise meetmed
§ 8. Riskihaldus
§ 9. Turvaintsidentide haldus
(1) Turvaintsidendist või selle ohust peab teenistuja koheselt teavitama valla andmekaitse-spetsialisti, IT spetsialisti ja enda vahetut juhti, töövälisel ajal enda vahetut juhti.
(3) Turvaintsidentide haldus sätestatakse valla turvaintsidendi lahendamise korras.
3. peatükk INFOTEHNOLOOGILISED TURVANÕUDED
§ 10. Infovarade ligipääsu reguleerimine
(1) Ligipääs infovaradele tagatakse vaid volitatud kasutajatele autoriseerimismeetoditega. Kõik õnnestunud ja ebaõnnestunud autoriseerimiskatsed registreeritakse.
(2) Pääsuõiguste jagamisel lähtutakse ametialase teadmisvajaduse põhimõttest. Pääsuõigused taotleb vahetu juht.
(3) Pääsuõiguste taotlemisel ja seadistamisel lähtutakse võimalusel kohustuste lahususe printsiibist, kus pääsuõiguste taotleja ei saa olla pääsuõiguste seadistaja. Taotletud ning seadistatud pääsuõigused dokumenteeritakse.
(4) Pääsuõiguste jagajad võtavad kasutusele protseduurid, reeglid või muud mehhanismid, mis tagavad pääsuõiguste tühistamise, kui teenistuja kaotab usalduse või tema töösuhe lõppeb.
(6) Reeglid, mille järgi valitakse salasõna, selle kehtivus ja muud parameetrid, kehtestatakse kas infosüsteemi kasutamise korra või mõne teise kohase juhendmaterjaliga.
§ 11. Krüpteerimine ja sõnumautentimine
§ 12. Kontrolljäljed
(1) Toimingute või sündmuste ajaloo väljaselgitatavuse tagamiseks salvestatakse ja säilitatakse infovarade haldamise ja kasutamisega seotud kontrolljäljed ehk logid. Toimingute ja sündmuste nimekiri, mille kohta kontrolljälgi salvestatakse ja säilitatakse, ning kontrolljälgede säilitamise tähtaeg tuleneb seadusest, infovaradele määratud turvaklassist ja sellele vastavatest turvameetmetest.
§ 13. Viirusetõrje
§ 14. Infosüsteemide kasutusele võtmine ja muudatused
§ 15. Varundamine
(1) Andmete varundamine reguleeritakse asutuse andmete varundamise ja arhiveerimise korras.
§ 16. Turvastandardid ja ISKE
(4) ISKE rakendusjuhendi ja teiste juhendmaterjalide tõlgendamisel lähtutakse mõistlikkuse printsiibist ja arvestatakse infoturbe üldeesmärki.
4. peatükk MUUD TURVANÕUDED
§ 17. Füüsiline turve
(1) Ligipääs ruumidele tagatakse töövajaduse ja vastutuse alusel. Võtmete arvu ja jagamise kohta peetakse arvestust. Ruumide avamiseks välja antud ning võtmete üldarvu kohta peab arvestust vallavaraspetsialist.
(2) Infoturbe seisukohalt esmatähtsates ruumides (näiteks serveriruum, nõupidamiste ruum, pääsla) peab olema valvesignalisatsioon ja nende ruumide puhul tuleb tagada häirele reageerimise suutlikkus.
(3) Töövälisel ajal valvatakse hooneid ja ruume elektrooniliselt. Vajadusel rakendatakse turvameetmeid territooriumi kaitseks.
§ 18. Konfidentsiaalsuskohustus
(1) Konfidentsiaalsuskohustus kehtib konfidentsiaalse teabe kohta ega sõltu isiku ametikohast ja töötegemise asukohast. Konfidentsiaalsuskohustus kohaldub ka neile teenistujatele , kellel puuduvad otsesed infovara kasutamise volitused.
(2) Kui töötaja tegutseb lepingu alusel, peab leping sisaldama konfidentsiaalsus-kohustuse sätteid.
§ 19. Kaugtöö
(1) Kaugtööl tuleb järgida asutuse infoturbe- ja IT-reegleid ning infoturbe-eeskirju. Töökoha ressurssidega võib ühendust pidada ainult krüpteeritud andmeside kaudu.
(2) Kaugtööl kasutatav tööalane teave tuleb hoida kättesaamatuna kolmandatele isikutele, sh pereliikmetele.
(3) Kaugtööl kasutatavad arvutid ja seadmed peavad olema valla IT-reeglite nõuetekohase seadistusega ning kasutama autentimisvahendeid.
§ 20. Teenistujad
(1) Teenistuja infoturbega seotud õigused, kohustused ja vastutus määratakse ametijuhendis, infoturbe juhendites ja/või muudes asjakohastes eeskirjades.
§ 21. Andmete ja dokumentide turve
§ 22. Infoturbe põhimõtetele tuginevate õigusaktide kehtestamise õigus
Vajadusel võib infoturbe põhimõtete rakendamiseks vajalikke nõudeid ja meetmeid kehtestada asutuse töökorralduse reeglite või asutuse juhi käskkirjaga. Nõuded ja meetmed peavad tuginema praegustele infoturbe põhimõtetele ja olema kooskõlas vallavalitsuse õigusaktidega.
§ 23. Infoturbepoliitika muutmine
(1) Infoturbe põhimõtted vaadatakse üle vajaduse korral, kuid vähemalt kord kahe aasta jooksul.
2) muudatuse vajadus tuleneb ISKE uue versiooni ilmumisest;
(1) Tunnistada kehtetuks Kohtla Vallavalitsuse 05.02.2009.a. määrus nr 2 „Kohtla vallavalitsuse infosüsteemi kasutamise kodukord”.

References: § 1

§ 2

§ 5

§ 6

§ 7

§ 8

§ 9

§ 10

§ 11

§ 12

§ 13

§ 14

§ 15

§ 16

§ 17

§ 18

§ 19

§ 20

§ 21

§ 22

§ 23
 § 30
 § 6
 § 43

§ 1

§ 2

§ 5

§ 6

§ 7

§ 8

§ 9

§ 10

§ 11

§ 12

§ 13

§ 14

§ 15

§ 16

§ 17

§ 18

§ 19

§ 20

§ 21

§ 22

§ 23