Head kolleegid Eesti avalik sektor on üha enam otsimas ja kasutusele võtmas kulutõhusamaid IT-lahendusi. Sageli on nendeks ühtsete kasutustingimustega avalikud pilveteenused, mida osutavad valdavalt piiriülesed teenusepakkujad, levinult peakorteritega väljaspool Euroopa Liitu. Olgu selle näiteks kontoritarkvara, kus dokumente või e-kirju ei hoita enam lokaalselt asutuse serveris, vaid maailma eri paigus asuvates andmekeskustes.
Andmetöötlusriskide kaardistamine ja analüüs on andmetöötleja otsene kohustus. Näen, et teatud riske ja riigipoolseid ootusi ning kohustusi ei pruugi kõik andmetöötlejad aga seni piisava tõsidusega võtta. Seetõttu annan täiendavad soovitused, millega palun tungivalt arvestada avalikke pilveteenuseid puudutavate otsuste tegemisel.
Cloud Act
Eelmisel aastal Ameerika Ühendriikides vastu võetud õigusakt, mis annab riigi õiguskaitseasutustele võimaluse juurdepääsuks ühendriikide põhiste teenusepakkujate kliendiandmetele, sõltumata sellest, kas andmeid töödeldakse ühendriikides või väljaspool. Kuigi Euroopa Andmekaitsenõukogu koos andmekaitseinspektoriga on sel teemal andnud esialgse arvamuse Euroopa Parlamendile, pole lõpuni selge, kas ja kuidas Euroopa inimeste põhiõigused on selle raames tagatud.
Juurdepääsupiiranguga teabe kaitse
Eesti riik on pannud avaliku sektori andmetöötlejatele selge hoolsuskohustuse tagada asutusesiseseks kasutamiseks mõeldud teabe igakülgne kaitse. Mitte ainult dokumendiregistritele ega andmekogudele, vaid kasutatavatele infovaradele tervikuna. Meenutan, et alused selleks tulevad nii avaliku teabe seadusest kui ka küberturvalisuse seadusest. Kõigil asutustel on S1 tasemega teavet (nt isikuandmeid sisaldavad dokumendid). S2 tase tähendab muuhulgas terviseandmete töötlemist. Mõlema turvaosaklassi puhul on läbiv sisuline nõue, et juurdepääs teabele on teatud kindlal kasutajate gruppidel. Olgu selleks siis kas 2 (2) kõik asutuse teenistujad või asutuse sees kitsamalt piiritletud isikutering. Ka e-kirjades võib sisalduda piiranguga teavet.
Kõik piirangu alla minevad dokumendid saavad alguse koostaja arvutist. Kui need salvestuvad avalikku pilve, ei pruugi olla tagatud konfidentsiaalsusnõuete täitmine. Seda seetõttu, et ka pilveteenuse osutaja rakendab igakülgseid infotehnilisi turvameetmeid, tagamaks klientide andmete kaitse sh kaitse pahavara eest. See aga tähendab, et teenuse osutaja vaatab failide sisse“. Andmekaitseliselt pole vahet, kas seda teeb inimene või tehnoloogia.
Teabehaldus kriiside reguleerimisel ja hädaolukorra lahendamisel
Riigiasutustel ja omavalitsustel on seadusega pandud kohustus ja vastutus kriiside reguleerimisel, hädaolukordade lahendamisel ning elutähtsate teenuste toimepidevuse tagamisel. See tuleneb hädaolukorra seadusest. Selleks peab aga olema tagatud õigeaegne juurdepääs teabele, teave peab tulema autentsest allikast ning ei tohi olla volitamata muudetud ega ligipääsetav. Kui teabele juurdepääs ja selle edastamine sõltub ainult välisest teenusepakkujast sh välisühendustest, ei pruugi õnnestuda neid kohustusi täita. Nii nagu elutähtsa teenuse osutaja peab teenuse toimepidevuse tagama vahenditega, mis ei sõltu ainult välisriikides asuvatest infosüsteemidest, peaks sama nõuet suutma täita ka avalik sektor tervikuna. Peame suutma korraldada teabevahetuse ka olukordades, kus välisühendused halvatakse kas pahatahtliku ründe tõttu või on sunnitud riik ennetava meetmena ise ühendused katkestama. Piisab vaid meenutada 2007. aasta kevadel Eesti riigi vastu suunatud massiivset küberrünnet.
Tänan, et suhtute teemasse tõsiselt ja loodan, et võtate eeltoodut otsuste langetamisel arvesse. Koosmõjus Riigi Infosüsteemi Ameti avalike pilveteenuste uuendatud juhendiga. Edastage palun teave ka haldusalade ja omavalitsuste andmekaitsespetsialistidele ning infoturvet korraldavatele kolleegidele.
Lugupidamisega
Pille Lehis
Peadirektor
Last updated: 27.09.2024