Saate toovad teieni SMIT ja TEHIK. SMIT. Päästame elusid IT -ga. TEHIK -u aeg kulub sellele, et ülejäänud Eesti saaks aega kokku hoida.
Tere tulemast kuulama kriitilise intsidendi podcast 'i järjekordset osa, kus me kaevume e -Eesti e -riigi sügavustesse. Tänaseks teemaks on kindlasti väga oluline, huvitav teema, millel ma loodan, et üha rohkemad nii era - kui avaliku sektori esindajad hakkavad siis mõtlema või tegelikult mõtlevad juba praegu. Teemaks on Eesti infoturbestandard .e -ITS ehk siis EITS. Et mis see on, kellele on, kuidas seda on tehtud ja, ja miks ta kõik vaja on, on stuudios rääkimas Riia Riigi Infoturbemeetme juht Rain Ojastu ja juhtiv küberturbeekspert Mari Seeba. Tere!
Ja mina olen saatejuht Ronald Liive. Aga räägime algusest siis lahti. Miks hakati meil sellist asja nagu E -ITS -i tegema, E -ITS -i tegema?
Ahah, et kui nüüd minna päris -päris kaugele tagasi ajaloos, siis me võiks öelda nii, et Eesti oli oma unikaalne oma digilahenduste poolest sajandi alguses, kus tuli kasutusele X -tee ja asutused kogusid andmeid ühekordselt, igaüks kogus mingisuguse andmekogu ja neid andmeid oli hakata vahetama vahel. Ja tekkis küsimus, et kuidas ma võin selle teise asutuse käest saadavaid andmeid usaldada, usaldada, et nende käideldavus ja terviklus ja konfidentsiaalsus muutus oluliseks teistele andmevahetuspartneritele. Ja niimoodi jõuti järeldusele, et on vaja mingisugust turbe, ühtset turbehalduse standardit või põhimõtet ja niimoodi tekkis ISKE. Iiske elas oma aja ära, kaks tuhat seitseteist tulid viimased muudatused sinna sisse, temast sai kokku koguni kaheksa versiooni ja siis me jõudsime sellesse olukorda, kus meil oli vaja uut standardit ja kaks tuhat üheksateist hakkasime seda uut standardit looma, praeguseks oleme me juba kolm versiooni sellest suutnud üllitada. Nüüd ta alles kehtestus. Ja nüüd meil on siis uus Eesti infoturbe standard, mis küll tugineb sakslaste BSI IT -kruntšutsile, kuid ei ole enam tagasi tõlgitav. Ta on oluliselt lühendatud, oluliselt kohandatud Eesti oludele vastavaks ja Eesti kultuuriruumile sobivamaks.
Mis meil siis oli see periood? Kaks tuhat seitseteist ütles, et Iskel oli viimane nii -öelda selline update uuendus tehti ja kaks tuhat üheksateist hakkas see Eitsi teema pihta. Mis meil siis seal vahepeal oli niimoodi, et metsik lääs või?
Sisuliselt ei saa päris nii öelda, et oli metsik lääs. Iske tegelikult kehtis ja kehtis kuni selle eelmise aasta kolmekümne esimese detsembrini, aga teda ei uuendatud. Mis tähendab lühidalt, et kõikvõimalikud turvaküsimused, turvanõrkused tegelikult võisid selles dokumendis sees olla.
Aga miks me ei oleks ikkagi võinud uuesti seda isket uuendada?
Eestis hetkel ei ole nii palju võimekust, et me suudaksime nullist ise oma infoturbe standardi teha, selleks sakslastel on organisatsioon, kus on sadu inimesi. Meil tiimis on praeguseks hetkeks ainult viis inimest. See on päris suur, suur vahe ja noh, see ressursikulu on selles mõttes nagu kord ja kordi suurem, et me kaasasime küll selle standardi algse vormi tekitamisele.
Küberneetika, KPMG ja TalTechi, kuid kahe tuhande üheksateistkümnendal aastal, kui me alustasime standardi loomist, siis oleme ausad, alustasin mina ainult üksinda. Ja siis Mari liitus paari kuu pärast. Nii et sisuliselt me üritasime teha toodet, mida mujal maailmas tehakse, jah, nagu Mari just ütles, saja, kahesaja inimesega.
Kas te oskate mulle välja tuua ISKE ja E -ITS -i, kuidas ma üldse hääldama peaks, EITS?
Me niimoodi omakeskis hellitavalt ütleme EITSuke või EITS, EITSu käänates, aga ametlikult viisakalt öeldakse EITS -i.
EITS, ma üritan. Ühesõnaga, kas te oskate välja tuua lihtsalt viis kuni kümme punkti ISKE ja EITS -i erinevustest?
Peamine erinevus. ISKE -t rakendati andmekogudele ja ta jäi väga selgelt rohkem sinna IT poolele. Nüüd EITS on, rakendub äriprotsessidele ehk et nagu selle äripoole vaateprotsessidele ja sellega seotud varadele. See on vast kõige olulisem erinevus. Endiselt on ta etalon -turve, aga kui ISKE puhul me räägime, rõhusime ainult sellele etalon -turbe osale, siis nüüd me ütleme hästi selgelt välja, et praegusel hetkel on ta selline sega, segamini nii riskihaldus kui etalon -turve, ehk et mõlemat tuleb järgida. Aga selles osas, kus meil on tüüpsed varad, tüüpsed meetmed, seal saab rakendada tüüpseid meetmeid.
Võib -olla ma täiendaks, et E -ITS on asutuseülene ehk siis ta katab kogu asutuse infoturbe protsessi.
Jah, et kui varasem oli andmekogu, siis andmekogu võis voolata nagu üle mitme asutuse kuidagipidi ja läks ainult seda andmekogu pidi. Siis praegu me ütleme, et iga asutuse juht peab valima selle turbestrateegia ja rakendama siis turbestrateegiat oma asutusele. Ja see turbestrateegia ongi siis see E -ITSi põhimõtete, metoodikate rakendamine.
Aga kui me räägime asutustest ja korra ma mainisin ise ka, minu huulilt kõlas see, et era - ja avaliku sektori teema, et siis tegelikult see puudutab ka eraettevõtteid siis?
Jaa, et tegelikult, kui meil ennem ütleme ISKET pidi tegelema, sisuliselt rakendama suurusjärgus kakssada pluss asutust, siis täna on tegelikult E -HITS -i kohustusi juba üle kolme tuhande asutuse. Sealhulgas ka eraasutused, eelkõige etod, autod ehk siis elulise tähtsuse, teenuse osutajad ja olulise teenuse osutajad, perearstid, ehk siis see on palju laiem.
Ehk siis tanklaketid, pangad ja nii kui öeldud, perearstid, kuna see sõna perearstid käis läbi, siis ma kohe torkan, sutsan vahele. Et jah, mul on see õnn ja rõõm, et minu perearst on nagu noorema põlvkonna esindaja, aga kipub olema ka vanema põlvkonna esindajaid ja nüüd ma saan aru, neile on pandud see AC standardi järgimine, kuidas nemad nagu hakkama saavad?
No RIA poolt oleme me tegelikult nendele tootnud täna sellise lihtsama profiili, ehk siis me oleme tegelikult arvestanud sellega, et nende võimekus ei ole võib -olla siis ütleme, tulla toime kogu standardiga, et see on, ütleme, sellega on arvestatud.
Aga samas, kui panna ennast tavalise inimese rolli, see, et kui mul kütusemüüja poolt lekib info, et millal ma tankimas käisin, noh, see, noh, keegi teab, midagi väga hullu ei ole, aga kui perearsti käest lekib info, et milliseid terviseuuringuid ma olen teinud ja, ja kõike see, see on nagu väga hull ju. Kas te teete siis neile nagu, et nemad ei pea nii -öelda nii kõrget standardit järgima kui, kui kütusemüüjad?
Ma tooksin siin hoopis teistsuguse näite, et noh, et üks asi on nagu andmeleke, et teine asi on see pool, et mitte, mitte väga hiljuti ühes perearstikeskuses üks server lõpetas töö ja selle tagajärjel nädal aega perearstikeskus ei andnud teenuseid, mis on tegelikkuses, kui andmed lekivad, siis inimene jääb ellu. Aga kui talle abi ei anta, siis see on palju -palju kriitilisem. Ehk et me oleme juba praeguseks hetkeks sellises ühiskonnas, kus me sõltume igas asjas digiteenustest, digitaalsetest vahenditest ja nende haldamine ja hoidmine on meie jaoks praegusel hetkel käideldavuse tervikluse ja konfidentsiaalsuse seisukohalt küllaltki kriitiline.
Olgu siis ka öeldud, et need meetmed, mis me nendele nii -öelda välja oleme valinud, ongi arvestatud ikkagi selle aspektiga, et kui nad järgivad, siis tõenäosus, et nende teenus seisma jääb või andmed tekivad, on väike.
Kuna me oleme neist perearstidest juba alustanud rääkimist, siis kuidas, mis hetkel tuleb see, et keegi Riiast või kuskilt mujalt siis läheb, nii, võtame nüüd selle mapi kätte, hakkame linnukese tegema, mis on teil siis EITS -is tehtud ja mis on tegemata, et millal selline kontrollmehhanism rakendub ja kuidas?
Et perearstid pidid rakendama infotarbemeetmeid juba mitu aastat tagasi, et selles mõttes täna on lihtsalt see, et me anname neile tööriista, ehk siis tegelikult ka täna võib RIA järelevalve minna kontrollima infotarbemeetmete rakendamist ja samuti siis, et kas nad on alustanud EIS 'i rakendamist.
Noh, ma toon siia kõrvale veel ka tegelikult teise asja, et üks asi, EIS annab nagu tööriista, kuidas neid infoturbemeetmeid rakendada. Nõuded, et infoturvameetmeid rakendada, tulevad ju hoopis teistest kohtadest, näiteks isikuandmete kaitseseadusest ja isikuandmete kaitse üldmääruse on öeldud väga üldiselt, rakendatud tuleb organisatsioonilised ja tehnilised turvameetmed. Meie lihtsalt anname need ette.
Ehk siis ütleme siin koroona perioodil me ristisime E -ITSi kui GDPRi vaktsiiniks.
Ja kuidas selle vastuvõtmisega lood on, siis te mainisite, käis, et läbi kolm tuhat eraettevõtet.
Kindlasti võib see tekitada osadel asutustel allergilist reaktsiooni, aga kui nad nagu vaatavad iseenda sisse, et tegelikult nende jaoks on ju kõige olulisem, et nende asutus töötaks, toimiks, eriti tänasel ajal, kus on rünnakud, on meil igapäevane nähtus.
Kas siis lihtsustatult öelduna, et kui kõik, kes peavad eitse järgima, järgivad seda, siis on meil Eesti küberturvalisem?
No selles mõttes, et mulle meeldib tuua nagu välja see, et üksikasutus reeglina ei ütle, et et talle läheb korda või tema riskihalduses käsitletakse e -riigi mainet, aga see kõik kokku moodustab selle, et me usaldame oma riiki. See, see, mis riigi digitaalsed süsteemid teevad, on, on läbipaistev. Me oleme kõigi nende rünnete suhtes sellised silutud ja need ründed ei, ei ohusta meid või vähemalt nende kahjud on võimalikult väiksed ja see kokku moodustabki sellise digitaalse usalduse oma meie e -riigi vastu.
Millal see auditeerimise kohustus siis EITSi osas tuli, tuleb?
E -ITS -i osas, suuremas osas on auditeerimiskohustus kolme aasta pärast ehk siis esmase auditi tähtaeg on kolme aasta pärast, aga me ise.
Jaanuaris kaks tuhat kakskümmend kolm me oleme selles seisus, et EITS on kõik olemas, kõik teavad, mida nad peavad tegema ja nüüd eelduslikult nad teevad seda. Ja kolme aasta pärast siis on esimesed nii -öelda viljad näha, et kui ta, kuidas läks.
Ja, aga samas me soovitame tegelikult hakata tegelema auditiga juba võimalikult kiiresti, sest võib juhtuda, et audiitorite defitsiit võib turgu kummitada, kuigi me usume seda, et turg paneb asja paika, aga me, aga meie selge soovitus on mitte oodata kolme aastat.
No igaks juhuks selgituseks ka see, et audit on ise üks turvameede. Ta annab sulle tagasisidet, mis sa oled teinud õigesti, mis, mis on valesti, ta annab sulle sõltumatu hinnangu sellest, mis on sinu praeguse hetke riskid. Võib -olla sa kõiki asutuse seestpoolt ei näegi, tema annab sulle selle väljaspidise hinnangu, lisaks annab ta sulle selle, selle tagasiside, mis sa, mida sa võiksid nüüd nagu paremini teha. Ehk et audiitorit ei pea kartma, ta jah, loomulikult audiitori professionaalne kretinism on juba see, et ta peab mingid puudused välja tooma. Aga need ongi selleks, et nendega tegeleda, et ta järgmisel korral saab öelda, et need on parandatud ja tegelge nende ja nende asjadega veel, veel edasi, juhib mingitele teemadele tähelepanu. Ehk et audit ei ole asi, mida me peame hullumoodi kartma. E -C audit ei ole see, kas sa läbid või ei läbi, sa läbid igal juhul, aga sa läbid selle sellega, et sulle öeldakse, et su asutus on ohus, su riski, riskid on kõrged. Sa saad lihtsalt sellest teadlikuks.
Aga mis siis saab, kui tulem on negatiivne?
No siis see tulem on negatiivne, oluline on see, et sa tead, mis on sinu asutuse riskid, sa tead, kas sinu teenused jätkuvad või mitte, kui mingi jama juhtub ja keegi kannab kahju väljaspool sinu asutust, siis sina vastutad selle kahju eest.
See annab partneritele ka kindlustunde, et sinu, sinu juurde saab asju nii -öelda hoiule jätta. Et noh, see on seesama, sama nii -öelda lihtne küsimus, et kui sul on viis tuhat krooni ja sul on naabrimees ja sa tahad, ja sul on vaja see kuhugi jätta see viis tuhat krooni, kui sa tead seda, et su naabri uksed on kõik lahti, lukud katki, kas sa jätad viis tuhat krooni tema juurde? Et tegelikult on ta täpselt samamoodi, on andmetega ja täpselt samamoodi, kas ma saan näiteks partnerina usaldada teist asutust, et ta on nii -öelda jätkusuutlik, et ta toimib, et seal kõik toimib. See on nagu pigem see. Ja veel, mida enam, küsitakse ka Eesti erinevatelt tehnoettevõtetelt auditeid väljapoolt, kui nad soovivad saada lisarahastust ehk siis saada kindlust, see asutus on küberturvaline.
Okei, ühesõnaga, see on nii -öelda motivatsioon, et miks peaks kõik olema motiveeritud selle jaoks, et kõik läheks hästi, aga ikkagi meil on siin väga palju näiteid, kuidas meil nii -öelda küberturbe mõttes ei ole hästi läinud, meil siinsamas Eestis ka riigiasutused ei ole alati sellised kõige paremad näited siis. Mis siis ikkagi saab? Keegi üks hetk tuleb, annab piitsa või ongi see, et nemad siis vastutavad selle kahju eest ja ongi, ütleme, keegi on nii -öelda rahaliselt jäänud kümnest tuhandest eurost ilma või sajast tuhandest või miljonist eurost, siis nemad peavadki sellest.
Jaa, täna on tegelikult RIA -l õigus algatada menetlus ja selle menetluse tulem võib olla sunniraha, mis siis tähendab lühidalt öeldes seda, et asutus maksab niikaua, kuni need asjad on korras, aga see on ikkagi pigem see äärmuslik samm.
Kas see seadusandlus, mis annab RIA -le sellise, sellise hoova, kas see on juriidiliselt sada protsenti pädev ja te reaalselt saate tänasel päeval juba seda teha?
No tänasel päeval ju tegelikult infoturbemeetmete rakendamise, mitte täitmise eest on ju RIA korduvalt sunniraha teinud.
Et see on reaalne, mitte nii nagu meil siit korduvalt läbi käinud see GDPR, mille puhul Eestis tegelikult seadusandlus on puudulik, et justkui nagu Euroopast öeldakse ette, voh, te saate teha vot selliseid trahve või sunnirahasid määrata, aga reaalsus on see, et Eesti seadusandlus ei anna.
RIA menetlused on RIA veebis kirjas, et neid võib sealt vaadata, mismoodi nad parasjagu käivad, missugune, mismoodi nad lõppenud on. Aga ma tahtsin juhtida veel tähelepanu sellele, et tegelikkuses, kui me ütleme, et meil riigis on juhtunud sellised ja sellised intsidendid, ma ütleks, et sellele võib vaadata ka hoopis teistpidi. Me teame, et sellised asjad juhtuvad, me saame selle vastu mingisuguseid meetmeid rakendada. Ehk et ma ütleks, et seire töötab, mis on juba iseenesest üks turvameede ja kui me teame, et midagi on kehvasti, siis me saame seda parandada. Hullem on olukord, kui me ei tea ja, ja noh, see ongi nagu sageli see põhjus, et, et juba aasta või poolteist midagi toimub, aga me ei teagi sellest midagi, sest me ei ole kuskilt ühtegi logimist peale pannud, meil seire ei tööta, keegi midagi järgi ei vaata, kelleltki õiguseid peale asutusest lahkumist ära ei võeta. Ja see on palju hullem situatsioon kui see, et, et me tuvastame, et mingid intsidendid juhtusid. Et võtame neid siis kui õppetunde ja, ja teeme asju selle järgi paremaks.
Meil on korduvalt nüüd läbi käinud, et keda see EITS, mul on ikka veel raskusi selle väljahääldamisega, et keda see EITS puudutab, aga keda ta ei puuduta, siis ma saan aru, et minu stiilis nagu või noh, kas just minu stiilis, vaid nii nagu väga palju on Eestis on, et mees ja koer OÜ ehk siis sellised väga väiksed mikroettevõtted, et seda.
No me oleme siin igasuguseid ette lugenud, et noh, et näiteks MTÜ, Riigi Äri, äriettevõtted, mis need aktsiaseltsid olid, jah. Siis olid seal sihtasutused, KOV -ide allasutused, neile otseselt ei ole näiteks auditikohustust, aga see, kui nad kasutavad mis iganes digitaalseid vahendeid, turvameetmeid, peavad need ikkagi rakendama. Ja sageli tulenevad need nõuded, et nad peavad midagi rakendama hoopis kuskilt mujalt, nagu ma enne ütlesin, noh näiteks isikuandmete kaitseseadusest, võib -olla tulevad hoopis häda, hädaolukorra seadusest, võib -olla kuskilt mujalt, võib -olla hoopis partnerlepingutest. Võib -olla öeldakse, et, et me võtame teid partneriks ainult siis, kui te teete oma infoturbe korda ja noh, kõik need tarneahela teemad ehk need nõuded, miks ma peaksin turvameetmeid rakendama, võivad tulla väga erinevates kohtadest. E -ITS on tegelikult ainult tööriist ja me ütleme selle küberturvalisuse seadusega, et vähemalt need asutused peavad igal juhul rakendama. Et noh, ja kui nad hakkavad seda koos tegema, siis on neil seda koos ka seltsis segasem teha.
Kuidas see EITS 'i arendamine siis, ütleme nii, välja nägi, et kaks tuhat üheksateist hakkas pihta, mis need kõige suuremad õnnestumised, ebaõnnestumised selle aja jooksul on olnud?
Ma julgen öelda, et üks kõige keerulisemaid asju, mille, millega me võib -olla alguses, noh, seal on nagu kaks teemat, ma toon välja, üks on, üks on see, et me ei arvestanud sellega, et riigi poolel avalikus sektoris on väga raske aru saada, mis asi on äriprotsess. Ehk et nagu sõnastada ümber see, miks see asutus on ellu kutsutud. Meil on küll olemas igal asutusel oma põhimäärus või põhikiri, kus need põhiülesanded on olemas, aga ei ole seda mõtlemist olnud, mis asi on äriprotsess. Ja teine pool, mis on selline hästi keeruline olnud, on ühtne sõnavara. Et me, me oleme paraku selles maailma inglis, inglise keelestumise ruumis ja, ja igaüks tahab tõlkida sõnu omamoodi. Ei olnud harv juhus, kui me saime tagasisidet, noh, saatsime suuremale ringile mõne, mõne mooduli hindamiseks ja saime tagasisidet, et mulle see termin ei meeldi. Ja kui ma sain viielt inimeselt tagasisidet ja igaüks, noh, ma küsisin siis järgi, et, et milline siis, noh, paku välja oma, parem. Ja kui need viis tükki tuli nagu viis tükki erinevaid vastuseid, siis me tükk aega mõtlesime, et no mis me siis teeme. Küsisime nõu Eesti Keele Instituudist, kes ütles, et noh, teie olete teadmuskeskus, et öelge siis, milline on õige. Ehk et me tegime otsuse, et me kasutame läbivalt standardis termineid, mille me siis ise kehtestame. Lihtsalt sellepärast, et standardis oleksid need igal pool alati ühtemoodi ja kui keegi oma asutuses või kuskil kõnekeeles tahab kasutada teistsuguseid termineid, andku minna. Aga me kasutame standardi sees ühtset keelt, et me lihtsalt üksteisest saaksime põhimõtteliselt mõistlikult aru. Aga ma arvan, et selle peale läks vist, noh, ma julgen öelda, et kolmandik meie ajast, et vaielda lihtsalt selgeks, et millise termini me kuskilt kasutusele võtame. Me olime lõpuks nõus sellega, et me mõned sõnad lihtsalt anname definitsiooni ette ja tekstis kirjutame, et see on WordHan kaks ja see on WordHan kolm ja see on WordHan neli, sõltumata, mis tegelikult oli, lihtsalt, et me lepime kokku mingi, mingi sõnavara. Noh, ma toon siia veel ühe väga drastilise näite, millega ma kohutavalt hädas olen olnud. On näiteks see, et inglise keelest on GDPR tõlgitud eesti keelde. Niimoodi, et inglise keeles on tekstis high risk, eesti keelde on tõlgitud suur oht. Ehk et ja, ja need on need, mis lähevad keelekorpusse sisse. Tulemus on see, et eesti keeles ei saada enam aru, mis vahe on ohul ja riskil. Ja, ja siis kuidas me kasutame seda standardist, kui inimesed ei tee vahet ohtudel ja riskidel.
Ja lõpuks tuli teile sinna, kas, kas tuli Eesti, Inglise või Estonglishis?
Me püüdsime teha nii, et on Eesti. Me oleme hästi palju kasutanud meetodit, et me paneme sulgudesse ingliskeelse termini. Lohutab mind see, et ka ingliskeelses maailmas ei ole kõik asjad korras. Rääkisime ka sakslastega, et kuidas neil on läinud, neil on tegelikult täpselt sama probleem. Noh, kui võtame näiteks ka kasvõi selle sõna riskianalüüs, siis tegelikult on seal taga veel riski kaalutlemine, riski hindamine, riski mõõtmine. Kõike seda kokku eesti keeles nimetatakse riskianalüüsiks. Meil ei ole mõtet selle vastu võidelda, aga me peame vähemalt tooma need etapid ja tegevused välja. Et ja noh, inimesed kasutavad riskianalüüsi ja me jääme selle juurde.
Ja mis on siis selle aja jooksul, nende aastate jooksul hästi läinud?
Standard on väljas. Ja tegelikult ja, et ja tegelikult oleme ju täna juba üllitanud kolmanda versiooni standardist ja järgmine aasta üllitame neljanda. Paradoksaalne on lihtsalt see olnud, et ta alles kehtestatakse, kehtestati esimesest jaanuarist.
Valmisolek oli meil juba tegelikult kaks aastat tagasi. Aga mis ma nagu tooksin välja selle, et ta on ikkagi Eesti standard. See, et me oleme laenanud teemasid inglise keele või sellest sakslastelt, see on nagu üks asi, aga ta on meie oma kogukonna standard, me saame ise seal sees teha muutusi, me oleme praeguseks üllitanud juba kaks moodulit, mis on ainult Eesti kesksed, üks käsitleb tegelikult kolm moodulit. Üks, kaks neist käsitlevad X -teed ja üks siis Eesti e -ID lahendusi ehk et mis on ainult Eesti jaoks me ainult meie, meie riigi kontekstis ja me loodame kogukonna abile, et neid teemasid, mis meil siin Eestis on omapärased ja vajavad, vajavad erilist tähelepanu, saavadki nagu need omad moodulid.
Aga eks me ju liigumegi täna tegelikult ikkagi selles, selles suunas, et me tegelikult tulevikus turvameetmed tahame täitsa ise luua, et täna on see baas olemas, meil on olemas teadmus, oskused ja samuti ütleme, me saame tugineda CERD -i ohu hinnangutele ja, ja selles me saame, saame nii -öelda, meil on endal olemas see teadmus majas.
Kõigile, kes on nii -öelda niisama huvitatud või siis on see kohustus olla huvitatud Eitsist, siis veebileht eits .riia .ee nagu väga põhjalik detailne kõik ülevaade. Mul ei ole ühtegi etteheidet, ühtegi etteheidet selle veebi osas, aga mis on siis, kui ma nagu vaatan sellele otsa kõik need punktid, a -ala punktid ja nii edasi, siis ma mõtlen, et pea läheb natukene nagu paksuks sellest teemast, et Tahaks ikka niimoodi, et saaks kuskil maha istuda või okei, tänapäeval olla arvutiekraani ees ja rääkida selle teise inimesega ja küsida neid küsimusi, et oota, mida ikka see nüüd tähendab ja, ja kuidas seda nüüd teha, et kas selline mingi moodusvahend on ka olemas?
Meil on praeguseks juba kahe aasta jooksul toimunud, oskad sa öelda, kui palju neid koolitusi umbes?
Me oleme koolitanud täna inimesi umbes kaheksasada kuuskümmend inimest.
Aga kui palju neid inimesi peaks olema, kes oleks koolitatud?
No kõigis asutustes vähemalt kaks inimest võiks olla sellised, kes, kes saavad, et noh, nagu ma enne ütlesin, mis on infoturbe rakendamise juures üks olulisemaid asju, seda ei saa, noh, see ei ole nagu selline ühe inimese töö, seda ei saa üks inimene teha asutuses, see ei ole niisugune soolomäng. See peab olema asutuses vähemalt kaks, kes on sellised juhtivad, kes, et saaks tekkida diskussioon ja kes suudavad kõiki teise kaasa tõmmata, ehk et see on see turvakultuuri kasvatamine.
Ehk siis väga palju on veel minna.
meil siin käis vestlus läbi, oli korra see kolm tuhat, millest, mis mulle nagu pähe jäi ja ta ütles, et kaheksasada on koolitatud, aga tegelikult peaks olema kolm tuhat korda kaks vähemalt. Ehk siis väga palju on minna.
Väga palju on minna, sellele üldse vastu ei vaidle. Püüame selles suunas, et me saaksime püsti e -koolituskeskkonna, et, et oleks võimalik teha neid masskoolitusi ka nii nendel, nendel aegadel, kui, kui täpselt sobib. Püüame uuesti käima joosta selle koolituste temaatika. Praeguseks oleme me ära koolitanud tegelikult ka konsultandid, kes on võimelised tegema seda koolitust ka raha eest, kui keegi kuskil tahab. Küsida ja tellida endale näiteks asutusse sisse. Me oleme, kuna meie oma tiim Riias on nii väike, et me kõiki eraldi koolitada ei jõua, et siis me püüame panna sinna veebi püsti need KKK osasse kõikvõimalikke tekkivaid küsimusi. Kirjutada need juhendid järjest, järjest selliseks mugavamaks, lihtsamaks, arusaadavamaks, mitte, mitte pikemaks. Ja, ja, ja noh, liigume, liigume selles suunas ja eks me ootame ka kogukonnalt nagu seda tagasisidet, et mida ja kuidas tegelikult vaja on, et siis me saame tegelikult vajadused teada alles.
Kuna tegu on kogukonna standardiga, siis tegelikult me ootaksime nagu pidevat tagasisidet, mis on valesti, mis on üleliigne, mis on, mida oleks veel vaja, millele tähelepanu juhtida ja, ja et me saaksime iga -aastaselt nende mõtetega uuenduse juures arvestada.
Kuidas seda tagasisidet saab teile
anda? Kõige varem on seda tagasisidet saata standard .triia .ee.
Kui palju teile selline kirju tuleb üldse? Ma mõtlen seda, et mu küsimuse suurem nii -öelda mõte on selles, et kui palju ollakse ise huvitatud, ise kõik need koolitused, võimalused, kui palju neist võetakse kinni ja kui palju on seda, et peab nagu tagant surkima inimesi, ütlema, et kuule, et vaata tähtaeg siit ja hakkab niimoodi ja.
Enne, ütleme, määruste ja seaduste jõustumist oli vaja inimesi ikkagi tagant sorkida. Täna on selge huvitõus ja meil on tegelikult terve rida fanaatikuid, kes on meile nii -öelda, kuidas ma siis niimoodi ilusti ütlen.
Kirjasaatjad, just. Kes juhivad tähelepanu ja suur aitäh neile.
Et me oleme väga, meil on väga hea meel selle üle, kelle meile saadetakse konstruktiivset kriitikat, millega meil on midagi peale hakata, sest ainult siis me saame asju paremaks teha, et me oleme praegu selles seisus, et me oleme suutnud tekitada selle kolmanda versiooni, me oma arust lähme järjest paremaks, nüüd me tahame saada tagasisidet, kuidas see asi võiks veel paremaks minna, mis on need muutused, mida me peaksime optimeerima, mis on seal võib -olla liiga üle pingutatud. Noh, ma toon näiteks selle, et, et, et meil on juba mitu magistritööd, kes, kes annavad meile tegelikult sisendit, mis, mis võiks olla teistmoodi, see on väga tervitatav nähtus. Et ainult nii me saame kuidagipidi paremaks minna, et hetkel on ta selline ettekujutus, nagu ta on meie peades. Nüüd läheb see järjest rohkem levima, järelikult hakkame saama tagasi, et noh, ma võin öelda, et infoturbe halduse rakendamine asutuses, nii et see toimima saab, on kolmeaastane protsess. Ja selle aja jooksul asjad jooksevad paika ja see, kes on juba kolm aastat midagi teinud, see tegelikult teab, mida vaja on. Ja need on see, see on see sihtgrupp, keda me otsime nagu kõige sellist konstruktiivsemat tagasisidet meile andma.
Kui palju üldse Riiast inimesi on, kes Eitsi kallal töötavad? Vaevalt, et vaid teie kaks.
Ei, täna on meie tiimis viis inimest.
Kas mõni neist on olnud selline inimene, kes on teile pidevalt eelnevalt saatnud kirju ja siis teile on mõelnud, et. Noh, super hea näide.
ainult sina, tegelikult on meil veel selliseid inimesi, ehk siis, jaa, need inimesed ongi võetud protsessi käigus tööle.
Aga kuidas me räägime siis selle loo algusest ära, kuidas see alguse sai, miks, millest tuli selline mõte, et võiks nüüd selle ühe kirja saata ja siis teise, kolmanda ja?
No see on väga -väga pika, pika habemega lugu, et see läheb aastasse tagasi kaks tuhat viis või kuus kuskile, kui, kui, kui ma esimest korda puutusin Iskega kokku ja, ja, ja hakkasin aru saama, mis on nende Iske sellised puudujäägid või puudused ja, ja, ja suhtlesin hästi palju nende Riia toonaste Iske halduritega. Aga kuni, kuni lõpuks ma niimoodi era, ise erasektoris olles kirjutasin kokku Iske jaoks visiooni, mis seal kõik teistmoodi võiks olla ja, ja noh, selgus, et see võetigi Riias tegelikult kasutusele. Ja, ja, ja siis, kui selgus, et tuleb teha oluline muudatus, siis sai kõvasti, kõvasti läbi räägitud igatepidi ja lõpuks siis Rain kuidagipidi rääkis mu ära.
Nii et see on nagu selline märk teistele, kes on teemast huvitatud. Kui on midagi öelda, anda tagasisidet RIA -le, siis andke seda tagasisidet ja ehk kunagi.
Ja, ja meie tiim ka laieneb, nii et üleskutse, kirjutage standard, et RIA .ee.
Me tõesti otsime praegu uusi inimesi juurde.
Ja ei piisa sellest, kui ma saadan oma koera või kassipildi, vaid kiri peab olema ka asjalik.
No loo, soovitav on teda mitte selle chat GPT -ga kirjutada, vaid ikkagi ise.
See, see oli väga, väga aktuaalne. Nii, aga ma tahtsin lihtsalt vahemärkusena ära mainida, et see, millest me rääkisime, et, et mis keeles siis kõik seal nii -öelda kirjutatud on ja tõesti see seletav sõnaraamat on isegi veebis aids .ria .ee lehel olemas, et tõesti eesti, saksa ja inglise keeles kõik, Et näiteks reply attack eesti keeles, taasesitus, rünne. Nii et siit saab siis ka seda eesti keelt nii -öelda õppida, kui kellelgi on nagu tööalaselt läinud natukene liiga palju inglise keele peale üle. Mida olulist veel Eitsiga seoses on, mida, mida tasuks ära mainida, millest peaksid kõik eestlased olema kursis? Mida ma
tahaksin, noh, tuua, tuua lauale sellise valusa teemana, et infoturve ei ole asi, mida saab päris tekina peale laotada. Infoturve on asi, millega tuleb hakata tegelema juba mingisuguses plaanimise või kavandamise faasis. Et kui me tahame ikkagi oma kontorit plaanida nii, et võõrad inimesed ei satu meie kõige tagumistesse tubadesse, siis me peame disainima oma ruumijaotuseid niimoodi, et, et külaliste toad ja tualetid on kuskil eesotsas välisukse juures ja, ja tagumised toad jäävad ikkagi kuskile kaugele. Ehk et need turvateemad tuleb plaanimise käigus väga varakult tuua lauale. Ainult niimoodi me saame selle turvakultuuri asutuse sisse sisse plaanida. Näiteks seesama teema, mis ma praegu mainisin, kas see on turvameede, kas see on Eitsis mainitud hoonete mooduli all. Ehk et see ei ole ainult IT, see on kogu meie asutuse selline üldise riskihalduse, IT halduse, ruumide halduse mõttemaailm, kuidas meie protsessid saaksid olla turvalised.
Ehk siis seal on nagu kirjeldatud ka selliseid asju. No okei, RS ehk riigisaladus on oma, omaette teema, seal on omad nii -öelda lähenemised, mis juba ütlevadki ette, et tõesti sul peabki ainult neli seina olema, ühtegi akent ei tohi toas olla, aga seal on ka siis nagu analoogseid asju öeldud, et kui sul on, oled koosolekute ruumis ja mingi vot selline teema on arutelul seal, siis tõesti pane kardin ette ja.
No põhimõtteliselt jah, sellised teemad on kindlasti seal olemas, et, et, et su koosolekute ruumi WiFi ei tohiks olla päris see, millega kõik sisevõrgud on nagu ühendatud ja kõik see pool, eks ole, et, et sul peavad olema seal ikkagi erinevad tsoonid ja, ja sul peab olema see teema läbimõeldud, ta juhib nagu eelkõige tähelepanu, et mõtle need, need, need teemad läbi. Ehk et mõttekäik on ju nii, et see on parim praktika. Tegelikkuses me teeme oma asjad asutustes, kõik ju mõtleme ise, mõtleme välja, kõik need asjad, see EITS annab meile tšeklisti, et mõtle see asi ka läbi, mõtle see asi ka läbi. Vaata, kas sa selle peale mõtlesid, kas see üldse tuli nagu mõttesse ja, ja, ja selle infoturbega tegeleme algusest peale, kuni selle hetkeni välja, kuni me seda süsteemi maha võtame. Ehk et kui paljud praegu panevad oma andmeid kuskile pilve, siis, siis alati tuleb mõtelda läbi ka see strateegia, kuidas me neid andmeid sealt pilvest pärast kätte saame. Ehk et see migreerimispoliitika, teenuste lõpetamise poliitika, kui me võtame mingi lahenduse kasutusele, kuidas me saame sealt pärast ümber kolida, mis on need meie varundamise võimalused, et need kõik algusest peale läbi mõelda, kuni selle viimase etapini terve elutsükli käigus läbi mõelda. Eriti kriitiline on see just avalikus sektoris.
Ja igasuguseid uusi IT -tooteid luues peaks absoluutselt kohe arvestama turvaga, ehk siis sisuliselt secure by design põhimõttel.
Jah, ja see riskihaldus peab käima kogu aeg ajaga kaasas seal, pidevalt kaasas.
On oluliselt soodsam, kui pärast hakata parandama vigu.
Ja, ja võib -olla, mida ma veel julgustan, on see, et ma tean, et hästi palju tuuakse laua peale seda, et, et me nõuame palju dokumentatsiooni ja kõike seda poolt. Dokumentatsioon võib olla hästi lühike, ta, tema peamine nõue on see, et ta on taasesitatavas vormis, see võib olla kuskil töövoo halduses kirjas, see võib olla sul kuskil meilides, meililistis kirjas, see ei tähenda alati Wordi dokumente ja mis on veel selline hästi, hästi hea soovitus, julgege eksida. Eriti dokumente kirjutades, parem kirjutage üks, üks kehv dokument, aga kirjutage ise ja uskuge mind, kui te teda iga aasta korra läbi vaatate ja muudate, siis kolme aasta pärast on ta väga hea dokument. Sellepärast, et ta on ise kirjutatud, te kirjutasite ta selle jaoks, milleks teil endal seda vaja oli ja ükski konsultant ei suuda mitte kunagi kirjutada nii head dokumenti. Konsultandid suudavad kirjutada ilusaid dokumente, kas ka kasulikke, see on iseasi.
Kas lõpetuseks on veel midagi südamel?
No ma võib -olla ütleks veel ühe sõna, mul juba on sellised pikad suured mõtted, aga et infoturbe rakendamise käigus, noh, me oleme kohanud, praegu teinud neid pilootprojekte siin mitme asutusega.
Täna on meil piloodis olnud üle kahekümne asutuse juba.
Ja ma võin julgelt öelda, et nende asutuse peamine eesmärk pilooti tulles ei ole mitte see, et et RIA pakub kuldmune, kuidas kuidas Eitsi rakendada, vaid just nimelt see, et minna koos, jagada koos muresid ehk et see soovitus, et kui on sama valdkonna asutused, koopereeruge, jagage oma muresid ja see kõik läheb kordi ja kordi lihtsamalt. Ehk et samasugused mured leiavad lahenduse, et keegi pakub sulle kuskilt mingi parema idee, ehk et see kogukonna niisugune õlg õla korral kõrval liikumine on, on, on üks väga praktiline lähenemine, mida me praegu pilootimise käigus oleme kogenud.
Head saatekuulajad, kriitiline intsident on väga hea saade, kuna tänases saates me saime teada, et E -EITS, EITS lõpuks sain aru, kuidas see täheldada siis, saime teada, et EITS teeb, loodetavasti see sõna on sulgudes Eesti küberturvalisemaks. Sel teemal olin stuudios rääkimas Riia riigi infoturbemeetme juht Rain Ojastu ja juhtiv küberturbeekspert Mari Seeba. Kindlasti, nii nagu tänapäeval kombeks on öelda, likeige, share 'ige meie saadet, kui teile meeldis, jagage inimestega, kes peaksid just seda tänast temaatikat, mida me lahanud olema, sellega kursis olema, neid inimesi, nagu me kuulsime enne Eestis veel mitmeid sadu tegelikult, mitmeid tuhandeid. Nii et tõesti teie iga ainus üks väike jagamine on juba väga suureks abiks. Leidke meie siit üles Instagramist, Apple podcast 'ist, Spotifyst, igalt poolt mujalt, kus te ka oma podcast 'e saate kuulata. Mina olin saatejuht Roland Liive ja kohtun teiega uuel nädalal.
Saate toovad teieni SMIT ja TEHIK. SMIT, päästame elusid IT -ga. TEHIK -u aeg kulub sellele, et ülejäänud Eesti saaks aega kokku hoida.
[ TRANSKRIPTSIOONI LÕPP ]