Tere tulemast kuulama riigi IT podcast 'i kriitiline intsident, kõige esimest osa. Mina olen Einar Laagriküll, SMIT -i baasteenuste valdkonna juht ja minuga on koos siin stuudios ka saatejuht Kärt Kinnas.
Kriitilise intsidendi podcast 'i eesmärk on tutvustada riigi IT -s toimuvat ning laiemalt avada sektoriga kaasnevaid põnevaid lugusid. Et Kärt, palun räägi paari sõnaga, kes sa oled ja kuidas oled seotud riigi IT -ga?
No ma ütleks, et riigi IT -ga olen ma seotud eelkõige kodanikuna, kes ma riigi IT -teenuseid tarbin. Aga nüüd juba aasta jagu olen ma töötanud riigi suurimas IT -majas SMIT -is personalijuhina.
Mis on su esimene kokkupuude riigi IT -ga või sellisega? Mida sa mäletad esimesena?
Mina olen Einar, toimetan IT -s juba viimased paarkümmend aastat ja riigis sellest siis viimased kaks pool aastat, kui ma olen olnud SMIT -is baasteenuste valdkonna juht. Kus toimetame kogu infrastruktuuri, klienditoe, kõikide mitte otseselt äriteenuseid puudutavate teemadega, aga mis on olulised selleks, et riik kui selline siseministeeriumi vaates toimiks. Ja, ja see on see, kus me siis ka puutume kokku erinevate kriitiliste teemadega, et ja võib -olla minu esimene kokkupuude riigi IT -ga tegelikult on sellest hetkest, kui ma olin veel Telias ja pidin andma kriitilise intsidendi osas aru, kui Telia järjekordne rike siis põhjustas siseministeeriumile probleeme. Ja, ja käisingi siis oma praeguste kolleegidele seletamas, et mida me teeme, kuidas me teeme ja kuidas me edaspidi seda väldime, et see on siis võib -olla minu esimene kokkupuude riigiga.
See on nüüd väga suhteline, üldiselt kui nüüd vaadata protsessikirjeldust täpselt või kokkuleppeid, siis ta muutub kriitiliseks see hetk, kui ta ohustab olulist riigi siis funktsiooni või oluliste teenuste toimivust. Ehk et me vaatame seda, et riik ei saa toimida normaalselt ja siis tegelikult ütleme, et okei, see on kriitiline, ma ei tea, näiteks piirid ei toimi või on ohus riigi maine tervikuna, et siis võib ka kriitiline intsident olla.
Nii see on, et, et selles esimeses osas me võtame ette, tegelikult ongi siis läheme vaatama neid kriitilisi intsidente, mis Eesti riigis on juhtunud. Ja oleme kutsunud siia külla Riigi Infosüsteemi Ameti küberintsidendi käsitlemise osakonnas RTE juhi Tõnu Tammeri. Tere, Tõnu!
Aga räägi, millega sa tegeled ja milline on sinu esimene kokkupuude riigi IT -ga?
No ma alustan võib -olla sellest tagumisest otsast, et aasta oli äkitselt kaks tuhat kaks, kui ma olin tükk maad noorem ja tükk maad ilusam, kui tuli välja ID -kaart. Sain mina siis selle plastiku kätte, millel see ilus kiip peal oli, PINK koodid ja, ja, ja siis mina mõtlesin, et kuhu mina temaga nüüd sisse saan logida. Panka sai, CV Online 'i sai, see oli ka suht -koht kõik, kuhu temaga üldse sisse logida sai ja siis ma mõtlesin, et mille jaoks seda asja vaja on. Täna ma ei kujuta ette, kuidas ma saaks hakkama ilma mõne riigi autentimisvahendita, on see siis ID -kaart või pigem see, mis on mobiiltelefonis, et kas mobiil -ID või Smart -ID, et see on nagu osa igapäevaelust, et. Aga millega ma tegelen? Meie meeskond seisab hea selle eest, et Eesti küberruum oleks puhas igasugustest ohtudest, mis võivad kas seest või väljast ohustada ja töötame iga päev selle nimel, et, et Eesti inimestel oleks üksnes positiivsed kogemused IT -teenuste osas.
Ei, ma ei, kindlasti ei tule, ma nüüd ajasin kõigile kõva pada, aga, aga noh, eks neid asju juhtub kõigil, et, et, et ei juhtu nendel, kes ei tee. Et, et, et kui me mõtleme riigi infosüsteemi ameti enda eelmise suve pildikaasust, kus kolmandal osapoolel oli selleks mitte ette nähtud ligipääs riigi fotode andmekogule. Või, või kui on mõnel teenusel näiteks käideldavuse rike, et, et üks või teine asi ei tööta, mis on nii nagu Einar ennist kirjeldas, noh riigi toimimiseks eluliselt vajalik.
Nagu numbrit vaadata, siis selle numbri me panime, panime ise kokku, sest et esiteks iga intsidendi puhul on oluline aru saada lõpuni, et mis siis toimus. Ja, ja, ja sellesama uurimistöö põhjuseid vaadates tuleb minna tagasi aastasse kaks tuhat seitseteist. Kui oli eelmine ID -kaardi kriis, see, mida võib -olla kõige rohkem teatakse. Kus ID -kaartidel avastati oluline turvanõrkus, mis võimaldas siis ligi saada sellele osale tundlikust infost, mida sealt noh, tavainimesel ei peaks olema ligipääsu, ehk et sinul ei peaks olema seda infot, mis on ainult minul ja, ja vastupidi, eks ole. Ja see on, see oli ka meie poolt tõestatud. Ja, ja selle üks lahendusvariant toona oli, et, et vana meetodiga siis RSA kaks tuhat nelikümmend kaheksa krüpteerimisalgoritmilt mindi üle elliptiliste kurvikute peale. Ja, ja see oli uuem tehnoloogia, ta on turvalisem tehnoloogia, aga seal on teatud kiiksud. Ja mingid asjad paraku ei töötanud nende uute, uute lahendustega ja siis selleks, et, et hoida asjad käimas, mingid kontrollid keerati kinni. Ja, ja, ja iga kord, kui sa mingisuguse kontrolli, mis on sinna ette nähtud, kinni keerad, siis noh, paratamatult võib tekkida oht, et, et see kontroll, mis siis pidi midagi kontrollima, enam ei kontrollinud. Kui nüüd keegi avastab selle, et, et oi näed, et, et on võimalik tõepoolest näitlikult ise siis välja anda riigi nimele sertifikaate. Ükski süsteem ei kontrolli, et, et kas see tõepoolest on välja antud SK ID Solutionsi poolt, kes on siis riigi selle valdkonna partner. Või see on sul ise kodus laual välja kirjutatud ja näeb igatepidi täpselt sama välja, nii nagu SK poolt välja antud sertifikaat. Noh, siis ei ole vaja ette kujutada, mis, mis need tulemused võivad olla.
massilise. Otsa otsida ka rohkemate kaupa, kõik on avalik. Ise küsimus, kas seda päris, päris sellises mahus peaks saama, aga, aga niimoodi see teenus on riigi poolt hangitud.
No õige on väga selline subjektiivne, et, et, et kusjuures mina ise arvan, et, et need mõlemad viisid on, on pisut väärad. Alustame sellest tagumisest otsast, et, et kõik need, kes ütlevad, et noh, et kõik andmed on avalikud, siis esimene asi on, et lase mind oma postkastile ligi. Vaatame me kellega ja mida sa oled siis nagu suhelnud ja mis sul sealt läbi on käinud ja noh, tavaliselt nagu seda ei taheta või. Ma ütlen, et noh, et anna telefon, et vaatame, mis, mida sa oma kaameraga, mis pilte sa oled teinud, et noh, et noh, tegelikult saadakse aru küll, et, et võib -olla seesama lähenemine, et noh, et kõik on avalik, et võib -olla päris nii ei ole. Aga teisalt IT ei tööta ilma andmeteta ja ei ole võimalik saada täna mitte ühtegi, noh, on see siis riigiteenus või, või, või erasektori pakutav teenus, noh, ma ei tea, Facebook või, või Google või mis iganes, eks ole. Sul ei ole võimalik saada seda teenust ilma andmetöötluseta. Iga andmetöötluse puhul noh, need, need andmed ikkagi jäävad maha, nad jäävad alles ja, ja mõelda, et, et noh, et minust ei jää mitte midagi maha, minu meelest on ka tiba väär. Noh, kasvõi juba selles, et, et, et ma pean ikkagi neid andmeid andma, kui ma seda teenust tahan saada, ei ole võimalik teha noh, näiteks Tõnu Tammeri nimele Facebooki kontod või ma ei pane sinna sisse Tõnu ja Tammer. Ja, ja, ja kui ma tahan, et inimesed võib -olla lihtsamini näeksid, kes see Tõnu seal on, noh paned pildi ka, eks ole, et päeva lõpuks selleks, et midagi saada, sa pead midagi andma. Nii et, et, et, et see päris selline, selline privaatsuse teema täna enam, noh, ta, ta ei toimi selliselt, ta ei toiminud kunagi ammu siis, kui me ühiskonnana võib -olla ühe suure katuse all elasime. Ja, ja, ja ma arvan, et, et ta päris sellisel kujul ka tulevikus ei toimi, et, et küll see ei tähenda seda, et, et me peaksime valimatult igale poole andmeid lihtsalt ämbriga alama.
Digiriigi arengukava ju räägib ka sellistest andmete korrastamisest ja terviklikust vaatest, et põgusalt on ka meedias räägitud nõusolekuteenustest, et mida see täpsemalt tähendab, et kas see annab mulle siis kasutajamugavust juurde või, või, või kuidas see minu elu paremaks teeb? Maks teeb?
Andmetöötlust. Andmetöötlust, andmetöötlusel peab olema otstarve. Need otstarved, mis on ära kirjeldatud selles samas andmekaitse üldmääruses, neid on, kui mälu mind ei peta, äkki oli viis. Ja, ja üks põhjus, miks andmeid võib töödelda, on esiteks see, et, et inimene on selleks nõusoleku andma. Noh, tavapäraselt see ongi erasektori teenuste puhul, noh, kui ma tahan Facebooki kontot saada, siis mul tuleb selle konto jaoks mingi hulk andmeid anda, eks ole. Et, et ja nüüd on siis, kui me vaatame riigi nõusoleku teenust, mida siis riigi infosüsteemi amet parajasti arendab, siis see lähtub samast printsiibist, ehk kui riigil on mingisugune hulk andmeid, mida ta on seaduse alusel korjanud. Siis kui isik annab nõusoleku anda need andmed mingiks otstarbeks, mingiks ajaks erasektori ettevõte kasutada. Noh, kui, kui usaldusväärne ja, ja, ja tõene info, mille pealt siis võib -olla erasektori ettevõte saab sulle teha näiteks parema pakkumise. Siis nõusolekuteenus võimaldab need andmed avada erasektori ettevõttele.
Kuidas sa laiemalt hindad Eesti digiriigi kuvandit, et oleme küll digitaalmajanduse ja ühiskonna raportis üsna kõrgel kohal, eriti avalike teenuste osas, kus me oleme ju liidrid. Aga kas seal on natuke sellist vana rasva peal liugalaskmist?
See on ühest küljest siis äriprotsessi teema, aga ta on kohati ka õigusteema, et, et kui sul on ikkagi jõuga seadusesse ette kirjutatud, et, et see protsess näeb välja samm üks, seejärel samm kaks, seejärel samm kolm, seejärel samm neli, siis sa ei saa seda protsessi kuidagi nagu ilma õigust muutmata ringi teha. Et noh, et üks hea näide, kus me oleme seda protsessi ja, ja IT -d natukene nagu paremini korraldanud, on autentimise pool riigis. Et, et, et kui varem iga teenusepakkuja noh pidi ise sellise ID -kaardiga autentimise lahenduse looma, et siis täna kõik riigisektori asutused saavad kasutada RIA pakutavat tara. Mis tähendab, et sind suunataksegi vastu tara, sa autendid ära, sa tuled tagasi, eks ole, saad oma teenust kasutada. Mis tähendab, et meil on selline keskne üks koht, mida me arendame, mida me hoiame teatud standarditele vastavana ja kõik saavad kasutada, ehk et, et kujuta ette, et noh, et viiekümnes süsteemis samaväärne komponent jääb arendamata, jääb haldamata, jääb hooldamata, see tähelepanu ja see raha saab minna sinna, mis, mis loob rohkem väärtust.
neid, neid, ma arvan, et, et laias laastus sa võid seda, seda näidet laiendada noh erinevatesse võtmetesse, et on see mingisugune seadistus, eks ole, mis apsakas ei tule välja. On see mingisugune paikamata komponent, mis ei tule välja, sest et sa taaskord ei ole seda, seda testinud, eks ole. Et, et kui me oma asju paremini testiks, siis ma arvan, et, et see, kuidas meie teenused välja paistavad, oleks hästi palju, hästi palju parem. Mitte üksnes turbe mõttes, noh tegelikult ka turbe mõttes, sest käideldavus on ka turve, eks ole, et, et. Et väga rumal küsimus või noh, näide, eks ole, aga kui paljud riigiteenused toetavad kahte. Mis tähendab seda, et, et su veebibrauserisse sisu ei laeta mitte nagu ühe toruga bitid jadas, vaid sa piltlikult öeldes paned paralleelselt sisu jooksu erinevatest elementidest, noh. Kui palju, kas, kas nüüd omanik on üldse kontrollinud, eks ole, et, et selliste pisikeste asjadega ma saan seadistusega, ma saan oma teenust teha nagu tükk maad kiiremaks, mis kasutajale on, on tegelikult see positiivne kasutajakogemus.
Teisipidi noh, kui mõelda sellele nüüd kahe poole aastaga, mis ma ise olen olnud, siis mingites kohtades tundub ka see, et meil on, me oleme ehitanud viisteist aastat mingit monstrumit. Me oleme selleks saanud kindlasti Euroopa Liidu rahastuse või välisrahastuse mingi hetk. Ja, ja siis ta on jäänud tiksuma ja, ja noh, tegelikult ei ole seda nagu pidevat rahastus elukaare hoidmiseks ja edasi arendamiseks, sest noh, ükskõik, mida sa sisse tood, sest rusikareegel on see, et. Sada protsenti paned raha sisse, sada, sada ühikut paned raha, kakskümmend ühikut pead panema elukaarde, et noh, sihuke viie aasta tagant nagu praktiliselt sama rahastus tuleb jooksvalt peale, et, et ilma selleta sa ei saa. Et kas see asi on siis nagu riigis meil täna paigas?
Aga seal vist, see tuleb nagu see erasektori niisugune eripära, et kõiki asju peab olema võimalik omaniku kasumisse nagu mõõta väga selgelt, et nad võtavadki seda väga niisugune profit loss, vaatad, mis on, tasub, ei tasu ja neid äririske võetakse võib -olla nagu erinevalt. Küsimus on lihtsalt selles, et kas neid äririske võetakse riigi vaatest nagu julgemalt ka mingitel hetkedel, et kas nad nagu teatud nurki lõigatakse, et noh riigina sa ei saa seda lõigata või? On sul niisugust kogemust või ei ole?
Noh, kui me, kui me vaatame selle pilguga, et, et, et kas intsidente juhtub ka erasektoris, siis kohe kindlasti juhtub. Ja, ja siin mõni aeg tagasi ma käisin ühel üritusel, kus üks kolleeg ütles, et ei noh, meil on see lunavara siin siin kuus korda olnud, et me iga kord backup 'is taastame, et, et mis ma mõtleks, et huvitav. See nagu ei viita mingisugusele juurprobleemile, millega äkki oleks mõistlik tegeleda. Et, et, et noh, täna ei saa vaadelda lunavara enam selles kontekstis, et jah, et korraks on ebamugav, et kui me backup 'is taastame, siis on asi korras, et. Et üha enam tegeletakse andmevargusega, mis tähendab, et, et kogu seesama GDPR -i temaatika tuleb mängu, potentsiaalsed trahvid, kõik muu, eks ole. Et, et minu arusaam on, et, et üks eesmärk, miks noh GDPR -i need hästi kõrged trahvimäärad mängu toodi. Ongi just selleks, et, et panna siis seda noh tegevjuhti piltlikult öeldes mõtlema sellest mätta otsast, et jah, mitte tegemine on risk, see risk ei pruugi realiseeruda. Ja noh senimaani, no ja kui realiseerus, noh okei, no mis seal ikka, eks ole, et, et aga, aga noh, nüüd on see, et kui see risk realiseerub, siis see damage on nagu suhteliselt suur. Mis tähendab, et, et ta tõenäoliselt läheb seda riski vähendama juba tükk maad nagu madalamalt, kui ta võib -olla seni oleks läinud. Noh, needsamad põhimõtted tegelikult peaksid olema suhteliselt läbivad, vahet ei ole, kas siis on era või, või riigisektor.
Aga mina tahan riigitöötajana ikkagi küsida seda, et me peame sageli arvestama piirangutega pilveteenuste kasutamisel, et hübriidtöö ajastul teeb töötamise olulisemalt lihtsamaks ja mugavamaks igasuguste koostööplatvormide kasutamine, et miks siis riigisektor seda ei võimalda?
Riigisektor võimaldab kõike kasutada, küsimus on, et, et, et mida ja kuidas sa paned ja kuidas sa töötled, et. Et, et kui, kui me vaatame erasektorit, kes võib -olla on natukene altime erinevaid avalikke pilveteenuseid kasutama. Ja nendest apsakatest, mis seal tuleb, siis ma ütleks, et üheksakümmend üheksa koma üheksakümmend üheksa protsenti on nendes apsakates süüdi seesama pilveteenuse kasutaja ise, kes on talle antud müriaadi võimalusi jätnud kasutamata. Pilveteenused on hästi seadistatavad, sa saad imepalju teha igasuguseid piiranguid, reegleid, võimalusi, noh mida iganes. Kui sa võtad selle pilveteenuse paikimisi seadistusega ja arvad, et, et see ongi nüüd turvaline, siis seda ta kohe kindlasti ei ole. Ja, ja kui sa neid kõiki võimalusi kasutad, siis minu arvates on pilveteenused täna tükk maad turvalisemad kui sul omal laual.
See on jah, ka osaliselt tõsi, et, et, et sul on alati võimalus vaadata, et, et kas see pilvekasutus on sul, kas see pilvekasutus on sul võimalus või ta on risk. Kui sa näed teda ainult riskina, siis kohe kindlasti mitte, kui sa näed teda võimalusena sedasama tundlikku infot tegelikult kaitsta paremini, kui sa muidu suudaksid. Siis päeva lõpuks on asutuse juhil see otsustus kohtub. Kuueteistkümnendast augustist jõustuva küberturvalisuse seaduse muudatusega täpsustatakse muuhulgas ka pilveteenuste kasutamist, sinna on ette nähtud määrus tulema, nii et, et neid juhte täpsustatakse, et noh, et, et ta täna noh, ma ütlen, et ta ei olnud otseselt keelatud, ta oli sihuke natuke hall ala, eks ole. Ja, ja noh, iga hall ala riigi puhul, mis eelistab väga selgelt, kas asi on must või valge, eks ole, et, et värve ei ole, viitekümmend halli värjundit ka mitte. Et, et, et seda, seda täpsustatakse.
Aga aitäh, Tõnu, selle äärmiselt põneva vestluse eest ja tänan ka kuulajaid, et olite meiega. Et kohtume podcast 'i vahendusel siis uuesti kahe nädala pärast, kui me räägime lähemalt riigi IT -s töötamisest ning meil on külas digitaalsete ühiskondade looja Siim Sikkut ning riigi suurima IT -maja SMIT -i värske peadirektor Mart Nielsen, kuulmiseni.
Noh, see klassikaline näide, et, et, et riigi palk on pikk, aga peenike on nagu selles mõttes õige, aga mina olen selles mõttes rahul, et, et see töö, mida ma täna teen, sellise positiivse mõjuga asju ma ei saaks mitte kuskil mujal teha. Ja see on see, mis hoiab silmad säramas.
[ TRANSKRIPTSIOONI LÕPP ]