Teabehalduse riskianalüüs

**Teabehalduse riskianalüüs** on tegevuskava, milles nähakse ette kõikidel organisatsiooni tegevusaladel ja juhtimistasanditel rakendatavad abinõud teabehalduse riskide vältimiseks ja vähendamiseks, organisatsiooni toimepidevuse tagamiseks, samuti abinõude rakendamise ajakava ja rakendajad.  Teabehalduse eesmärk on teabe kvaliteedi, kiire kättesaadavuse ning järjepidevuse tagamine, vähendades samal ajal teabe säilitamise ja kasutamisega seotud riske ning kulusid. 

## Taust
Riskianalüüs on võtmetegevus organisatsioonidele, kes soovivad kaitsta oma väärtuslikke infovarasid ohtude, näiteks pahatahtlike isikute eest. Teades milline teave on organisatsiooni jaoks väärtuslik, on võimalik tuvastada mis võib ohustada selle teabe konfidentsiaalsust, terviklikkust ja käideldavust. See on üks riskijuhtimise olulisi osi, mida kasutatakse selleks, et põhjendada ja prioriseerida, millised varad vajavad tähelepanu ning milliseid turvakontrolle nende kaitseks rakendada. Traditsiooniline infoturbe riskianalüüs on kogu teabehaldust hõlmava riskianalüüsi jaoks liigselt tehniline ja keskendub peamiselt sellistele formaalsetele varadele nagu infosüsteemid, andmebaasid ja riistvara. 

Kaasaegsed infosüsteemid toimivad põimunud sotsiaalses keskkonnas, kus teabehalduse riskid kujunevad nii tehnoloogilistest kui ka käitumuslikest teguritest. Infotehnoloogia ajastu saabudes muutus teave organisatsiooni jaoks elutähtsaks ressursiks ja kuna teabel on suur väärtus, siis on oluline seda kaitsta samamoodi nagu teisi olulisi varasid, see tagab tegevuse jätkusuutlikkuse. Tänapäeval ei keskendu varade kaitse enam üksnes tehnoloogiale ja infrastruktuurile, vaid eelkõige äri- ja isikuandmete kaitsmisele sõltumata sellest, kus see paikneb. Seega on riskianalüüsi fookus nihkunud tehniliste varade kaitsmiselt teabe kaitsmisele tervikuna.

## Õiguslik raamistik Eestis
Eestis reguleerib teabehaldust Eesti Vabariigi määrus "Teenuste korraldamise ja teabehalduse alused", milles on teabehaldust määratletud kui tegevust, mis toetab asutuse ja avaliku sektori eesmärkide saavutamist teabe haldamise, jagamise ja vahetamisega kõigis infosüsteemides ja andmekogudes. Sama määrus näeb ette, et asutus määrab ametikohad, millel töötajad vastutavad teabehalduse korraldamise ja kvaliteedi eest, sh teabehalduse alategevuste eest nagu andmehaldus, dokumendihaldus, sisuhaldus sise- ja välisveebis ning teabele juurdepääsu ning teabe kaitse korraldamine. Seega on Eestis riskianalüüs teabehalduses mitte pelgalt hea tava, vaid ka õiguslikult põhjendatud meede.

## Riskitegurid
Risk on ohtude, haavatavuse ja tagajärgede kombinatsioon ning riskianalüüs tegeleb nende tuvastamise ja hindamisega. Kuigi varade hindamine on protsessi osa, on teabe kui immateriaalse vara väärtuse kvantifitseerimine keeruline, sest informatsiooni väärtust on raske kui mitte võimatu täpselt määrata. Töötajate teadmised, kogemused ja mitteametlikud töövõtted võivad olla organisatsiooni kõige olulisemad, kuid samas kõige haavatavamad varad. Seetõttu on teabehalduse riskianalüüsi üheks oluliseks osaks inimfaktori ja tegelike tööpraktikate uurimine. 

Riskianalüüsi eesmärk on kindlaks teha, mis võib valesti minna, määrata valesti mineku tõenäosus ning hinnata tagajärgede tõsidust. Praktikas kasutatakse sageli kahemõõtmelist lähenemisviisi, mis võtab arvesse nii riski tekkimise tõenäosust kui ka tagajärgi selle tekkimise korral. Riski hindamine, sh selle esinemise tõenäosuse ja kahju raskusastme hindamine, nõuab sügavaid teadmisi, kuna tegevusala liigitatakse kogemusmahukaks ja see eeldab valdkonnakogemust.  

## Riskianalüüs teabehalduse kontekstis
Teabehalduse kontekstis saab ohtu, haavatavust ja tagajärge kirjeldada : 

* **[[oht]]** on asjaolu, tegevus või sündmus, mis kujutab endast ohtu organisatsiooni olulistele dokumentidele; 
* **[[haavatavus]]** on nõrkus, mida oht saab ära kasutada oluliste dokumentide kahjustamiseks või ohtu seadmiseks;
* **[[Põhjus ja tagajärg|tagajärg]]** on negatiivne tulemus, mis tekib eelnevalt mainitud ärakasutamise korral.

Organisatsiooni infokeskkonda analüüsides peetakse silmas selle mõlemat poolt, nii infojuhtimist organisatsiooni sisekeskkonnas kui ka võimet väliskeskkonnas ära tunda asjakohast informatsiooni ja seda organisatsiooni nii-öelda sisse tuua. Riskianalüüsis võrreldakse riski realiseerumise tõenäosust ning mõju võimaliku kahjuga, sealhulgas hinnatakse teabe turvariske ja valmisolekut kriisiolukordadeks.

## Teabehalduse riskianalüüsi koostamise etapid
Kuigi riskianalüüsi käsitlevaid uurimusi on tehtud palju, pole universaalset meetodit, mis sobiks kõigile organisatsioonidele, sest igal organisatsioonil on oma eripärad. Tõhus teabehalduse riskianalüüs ühendab tehnilised meetodid, õiguslikud kohustused ning organisatsiooni inim- ja protsessitegurid, pakkudes nii täielikumat arusaama teabega seotud ohtudest.

Teabehalduse käsiraamat pakub välja järgmised teabehalduse riskianalüüsi koostamise etapid:
* organisatsiooni teabehalduse reeglite õigusaktidega vastavuse ja ajakohasuse kontroll;
* info kogumine töökohtade paikvaatlusel;
* töötajate ja juhtkonna intervjueerimine;
* töötajate jälgimine tööprotsessis;
* ohutegurite tuvastamine ja riskide hindamine.

## Näiteid teabehalduse riskidest
Organisatsioonile olulist teavet võivad ohustada erinevad tegurid. Need võivad ulatuda nii tahtlikust kahjustamisest kuni tehnoloogiliste riketeni, aga tegemist võib olla ka inimlike eksimustega. 

Tahtlike ohtude hulka kuuluvad näiteks sõjalised konfliktid, terrorirünnakud, sabotaaž, vandalism, spionaaž ja andmevargused, mida võivad toime panna nii välised ründajad kui ka rahulolematud töötajad.

Katastroofilise juhusliku hävimise ohtude hulka kuuluvad loodusõnnetused, tulekahjud ja ka hoonete kokkuvarisemised, ning haavatavust sellistele ohtudele võivad suurendada lähedalasuvad objektid (nt elektrijaamad, sõjaväebaasid vms), aga ka organisatsiooni geograafiline asukoht.

Inimlikud eksimused kujutavad endast näiteks valesti salvestatud faile, metaandmete sisestamise vigu, juhuslik kustutamine või andmete ülekirjutamine jms. Siia kuuluvad ka töötajate ebapiisavad teadmised asutuse teabehalduse korraldamisest, mille leevendusmeetmena on välja pakutud regulaarset koolitamist ja informeerimist.

Samuti põhjustavad tõsiseid riske tehnoloogilised rikked, tarkvaravead ja pahavara, mis võivad kaasa tuua andmete rikkumise või kaotamise.

## Teabehalduse riskiplaani näidis:

## Vaata ka

* Andmehaldus
* Dokumendihaldus
* Infosüsteem
* Infoturve
* Riskianalüüs
* Teadmus
* Toimepidevus

## Viited