Saate toovad teieni SMIT ja TEHIK. SMIT. Päästame elusid IT -ga. TEHIK -u aeg kulub sellele, et ülejäänud Eesti saaks aega kokku hoida.
Tere tulemast kuulama Riigi IT -podkasti järjekordset osa, kriitiline intsident on valmis saanud verivärske osaga, kus teema on selline, millest varem ei olegi siin saates räägitud ja teema on väga oluline ja tähtis meile kõigile. Täna on saates külas Riigi infosüsteemi ameti infoturbe osakonna juhataja Martin Paas, tere!
Ja Martin hakkab meile kohe -kohe rääkima sellisest asjast nagu infoturbe poliitikast või siis infoturvapoliitikast, ajame see esimese asjana kohe joond ära, kas on infoturbe või infoturvapoliitika?
Jaa, eks erinevad inimesed ütlevadki erinevalt, ka mina oma teadmise juures eeldasin, et see on infoturbepoliitika, aga siis tulid head kolleegid, kes on isegi Eesti filoloogid ja ütlesid otse, et Martin, paraku tegemist on infoturvapoliitikaga. Ja kuna juhtumisi see langes sellesse perioodi, mil ma just olin Riias alustanud, siis oma elu esimese infoturvapoliitika koostamise au mul siis ka nii -öelda tekkis, nii et infoturvapoliitika.
Et see teadmine tuli ikkagi üsna alguses, mitte nii, et aasta -kaks on juba tööd tehtud ja siis on nagu, kuulge, poisid, tüdrukud, et me nagu tegelikult on keeleliselt ebakorrektne see asi siin.
Ma ütleks selle peale sedasi, et et nagu inglise keeles ka kartul, eks ole, potato potato, et oluline on see, et me räägime samast asjast ja me saame aru, et, et mida me seal teeme või milleks ta nagu vajalik on.
Ja mõneti tegelikult võib ju selles fraasis ajada natukene segadust, tekitada ka see poliitika teema seal, et inglise keeles on see policy, mis on nagu arusaadavam veidi, et siin ei ole nagu selle poliitikaga, et kes on meil peaminister, keda me valime, sellega ei ole mitte mingit seost ega.
See ei ole kindlasti sellega seotud ja, ja täiesti nõus ka saatejuhiga, et, et see eesti keel mõnes kohas võib -olla natukene kitsendab, et, et samamoodi me oleme ka safety ja security mõttes aeg -ajalt ju kippunud seda tõlgendama kas siis nii -öelda turvalisuse või, või, või siis nii -öelda julgeolekuna, pigem turvalisusega, et tegelikult on kaks eri teemat.
Olgu, aga liigume siis asja juurde, mina saan aru nii palju sellest, et Martin, teie oletegi nüüd see inimene siin Eestis, Eesti riigi asusriigis, kes ütleb ette näiteks IT -ministrile, et tead, hea minister, sina ei tohi Tiktoki kasutada, kas see vastab tõele?
No päris nii see ei ole, me RIA ehk Riigi Infosüsteemi Amet on tänaseks suur asutus, meil on väga selgelt ära jaotunud tegevusvaldkonnad, mina oma rollis ehk siis infoturbe osakonna juhina vaatan ikkagi nii -öelda Riiasse sisse, et, et kuidas nagu Riias sees asjad võiksid olla kõige mõistlikumalt korraldatud just turbe seisukohast. See pool, mida nüüd saatejuht mainis, ehk siis kas ja mida IT -minister võiks arvestada, on meie küberturvalisuse keskuse, alates CERD -ist, analüüsi ennetusosakonnast, nii edasi, nii edasi, nende selline igapäevane leib, ehk siis teadlikkus tõsta, ohtudest rääkida ja, ja kindlasti jagada ka soovitusi. Aga ei ole loomulikult saladus ja, ja see on täiesti normaalne näha, et, et me teeme väga -väga tihedalt koostööd ka Riias sees, ehk mis iganes me soovitame välja seda kõike me üritame ikkagi järgida ka Riias sees ja vastupidi.
Ma natukene jään selle TikToki juurde, sest RIA tegelikult oli see riigiasutus, kes lükkas selle asja käima mõni aasta tagasi siin, kus nad ütlesidki enda töötajatele välja, nii nagu teie siis ametitööjuhend ütleb, et te peate tegelema Riia inimestega. Et kui sa töötad Riigi infosüsteemi ametis, siis sina oma telefoni ei tohi Tiktoki installida. Kuidas te selle otsuseni jõudsite, oskate öelda või kuidas RIA jõudis selle otsuseni?
Noh, eks inimese mälu ju tuhmub, eks ole, et üksjagu sellest juba aega möödas ka, aga nali naljaks, tõsiasi see on, et et me selle otsuse langetasime. See oli kaks tuhat kakskümmend suvel, kui ma õigesti mäletan, ja, ja just nendel samadel kaalutlustel, mis täna ka meediast korduvalt on läbi käinud, ehk siis sisuliselt on tegemist rakendusega, mis kogub väga palju andmeid, jättes isegi see andmete kogumise pool kõrvale, siis kui nüüd panna see nüüd seosesse, kes neid andmeid kogub või mis seos on tal nii -öelda valitsusega, siis ilmselt saavad kõik aru, et, et probleem on vahetu. Sõna keelamine on siin aeg -ajalt läbi käinud, et Riia vaates jah, loomulikult semantiliselt jällegi me keelasime. Tegelikult, kui ma nüüd nagu üritan tagasi meenutada, siis ühtegi praktilist olukorda, kus me oleks pidanud kellelgi Tiktoki kui rakenduse kustutama, testi installima, et tegelikult ei olnud. Ehk siis see oligi natuke nagu ennetav meede, vaatage tulevikku ja, ja nii me tõesti ka tegime.
Aga samas sellist kontrolli te tegite, et nüüd on tööpäev algas ja enne kui said arvuti lahti teha, et no nii, näita oma telefon ette. On sul TikTok või mitte?
No see käib tänapäeval natukene lihtsamalt tehnoloogiliselt ehk siis kesk -halduse kaudu on võimalik näha, et kas mis, et ei olnud kellelgi seda installitud.
Ja nii nagu siin juba selle lühikese viie minuti jooksul on kõlanud, siis hoolimata sellest, et Riia juba aastaid tagasi võttis selle Tiktoki otsa, osas otsuse vastu, teie ei saa minna ütlema MKM -ile, SMIT -ile, TEHIK -ule, mida nemad peavad tegema, see on nende enda otsus siis?
No Riia on seda kindlasti öelnud, et kuidas me soovitame teha, aga Riia ei ole minu teada kordagi öelnud, et te peate seda tegema, et eks me tuleme selle teema juurde ka siin infoturvapoliitika juures tagasi, kogu see nii -öelda riskihalduse põhimõte. Aga, aga korraks nüüd see jah, see Tiktoki põhiselt rääkides, siis eks see riskihaldus ja riskide hindamine võiks olla iga asutuse üsna igapäevatöö. Et mida ma kasutan, kas mul päriselt on seda nii -öelda rakendust oma tööalaseks kasutamiseks vaja, kui ei ole, noh, siis oleks mõistlik ta sealt ka eemaldada, ehk siis selles mõttes RIA on teinud siin teavitustööd pikalt, süstemaatiliselt ja mul on selles mõttes nagu hea meel, et, et see on nüüd võtnud rohkem ja, ja, ja ka kanda kinnitanud teistes, teistes asutustes.
Just, mõni päev tagasi või tähendab hiljuti ütles teine riigiasutus RIT lühendiga, et nemad siis on nüüd see asutus, kes tõesti keelab kõigil riigiasutustel Tiktoki kasutamise. Kas see on võimalik lihtsalt tänu sellele, et RIT ongi see asutus, kes haldab neid sülearvuteid, mis nüüd siis riigiasutustele antakse?
Jaa, et jällegi, eks kuulajal võib -olla keeruline, et RIA, RIC, RICs ja kõik muud ilusad nimedega asutused, aga kuna RIT seda nii -öelda keskset arvutitöökoha haldust pakub, küll mitte veel täna kõikidele asutustele, siis see nii -öelda võimalus ja teistpidi ka kohustus tagada nende seadmete turvalisus neil ilmselgelt on, nii et, et selles mõttes oli sõnum korrektne.
Aga see oli taas kord nende enda otsus, siin nagu, et ei oleks ka kaks R .I .d oleks omavahel suhelnud, sellist teemat ei olnud.
Eks me suhtleme ju kogu aeg, et erinevates formaatides, erinevate teemadega, et see suhtlus on läbiv igapäevane, ma ei saa öelda kakskümmend neli seitse, sest aeg -ajalt ka meie soovime puhata ja, ja võib -olla ära olla töölt, aga, aga asutused teevad väga tihedalt koostööd.
TikTokist natukene veidi eemale liikudes, kuid jäädes sama riigi juurde, on üks ettevõte nimega Huawei või siis kui me täna oleme keeleliselt korrektsed, siis Huawei, nemad on ka tegelikult saanud sellise mitte siis soosiva seisukoha või lähenemise Riia poolt ja taaskord juba aastaid tagasi, kui Riia ütles välja, et enda siis kesksetes süsteemides Huawei tooted ei ole lubatud.
No siin ma muidugi kitsalt Riia -siseses nii -öelda infoturbe vaates ma ei ole võib -olla kõige õigem inimene seda kommenteerima. Tõsi ta on, et Riia on ka selles osas seisukoha väljendanud. Riia -siseselt me Huawei seadmeid ei kasuta, et meil seda nii -öelda sõltuvust selles mõttes ei ole, et, et küll aga ma jään siin vastuse võlgu, et mis on olukord nüüd teiste, teiste riigiasutuste vaates. Aga, aga see mure või, või see probleem hästi -hästi üldistades, et noh, eks ta on enam -vähem sama, mis, mis Tiktoki puhul.
Aga räägime siis nüüd lahti need sellised põhilised kuumad teemad, millest nagu iga inimene tänapäeval saab ka aru, Tiktokid ja Huawei'd või Huawei'd on nüüd räägitud. Mis see igapäevane töö on, mida, mida te teete?
No eks enamus, enamus inimestel, kellel on olnud kokkupuude infoturbega, et, et eks see esimene reaktsioon on pigem selline heal juhul tagasihoidlik, halvemal juhul tõrjuv ja, ja võib -olla ka selline natukene negatiivne. Tegelikkus on palju lihtsam, et see, mida me teeme, et selle eesmärk on siis tagada meie inimeste, meie varade, meie teabe kaitse. Ja, ja see ei ole üksnes füüsiline, et me paneme kusagile kaamerad või paneme nii -öelda kaardilugejad, see on administratiivne, ehk siis meil on teatud korrad, protseduurid paigas, kuidas peab käituma. Ja, ja kui ma nüüd võtan ka Riia näitel, et meil on sellist nii -öelda neli põhivaldkonda, millega me tegeleme, on siis küberturve, Riia infoturbe mõttes või infoturbe osakonna mõttes, on küberturve, füüsiline turve, riskihaldus ja sisekontroll. Et ma julgen täna väita, et see küberturbe komponent on kuskil seitsekümmend, kaheksakümmend protsenti. Võiks olla veel suurem, aga inimeste arv seab omad piirid ja kusagil sa pead just nimelt sellesama riski käsitluse või, või riskihalduse põhimõttest tulenevalt piiri tõmbama, mingeid riske pead sa tõesti siis ka aktsepteerima. Nii et infoturve ongi erinevate tegevuste kogum, me teeme seda igapäevaselt, aga mida ma tahan ka südamele panna, et et lisaks sellele, et me seda teeme, et me peame olema suutelised ka neid põhimõtteid kommunikeerima. Et tihtipeale, milles see probleem on, on see, et inimene lihtsalt ei pruugi olla teadlik ja siis me raiskame riigi raha võib -olla siis nii -öelda kitsaskohtade lahendamisega olukorras, kus võib -olla ennetus oleks olnud oluliselt mõistlikum.
See oli inimese all te mõtetegi siis Riia töötajat?
Keskmist RIA töötajat, aga me võime seda laiendada ka ükskõik missuguse asutuse peale, et, et nendel reeglitel on oma mõte, neil on teatud vajadus, aga, aga samavõrd oluline on kindlasti ka seda teadlikkust tõsta ja, ja selgitada, et, et miks üks või teine reegel on paigas.
Mis need RIA reeglid siis on? Räägime avatud kaartidega, meil siin ei ole nagu salajasi kuulajaid.
Jah, me võime avatud kaartidega rääkida, kahjuks siis peab vist saate kestus olema kümneid kordi pikem, et, et neid reegleid on üksjagu, on RIA põhiseid reegleid, on selliseid üldiseid reegleid, on häid tavasid ja nagu tõenäoliselt kuulaja ka aru saab, siis need head tavad on üsna universaalsed, sõltumata sellest, kus asutuses või ettevõttes töötada. Et ma ei lähe võib -olla selles mõttes nagu detaili, et et et igat nii -öelda sellist konkreetset reeglit eraldi kirjeldada, aga näiteks Riia töötaja puhul hommikul tuled majja, et sa siis nii -öelda võtad oma selle läbipääsu kaardi ja siis piiksutad selle välisukse peal, et on teada, et oled majas, me teame, et sa oled sina, et see ei ole nii -öelda keegi õnneotsija. Hästi elementaarne ja hästi utreeritud näide, aga, aga nii nad selliselt ka kujunevad. Aga üks, üks väga oluline põhimõte, mis tuleb ka kohe nii -öelda ära õiendada, on see, et eks me oma töös lähtume sellest, et inimesel peab olema võimalus mitte eksida. Et ei tohi tekitada sellist olukorda, et inimene teadmatusest eksib, eks, et, et järelikult siis on reeglis midagi viga, et, et kui me vaatame seda intuitiivselt, kuidas me käitume, siis see käitumine ei tohiks võimaldada sellist tahtmatut eksimist mingisuguste põhimõtete vastu.
Toon ühe elulise näite ja siis küsingi juurde lähtuvalt nende pääsukaartidest, et olles ise Riias mitu korda külas käinud, siis alati antakse mulle see külalisekaart ja kui ma tahan ühtepuha, kuhu liikuda seal, noh, ainult jah, WC -sse pääsen ilma kaardita, aga mujale, kui ma lähen hoolimata sellest, et ma olen tegelikult mõne Riia töötajaga koos, kes on mind sinna kutsunud. Ma lähen tema kabinetti näiteks, tema viibutab enda kaardi ja mina külalisena pean samuti seda külalise kaarti viibutama. Kas see nagu ongi siis see teema, et te tahate nagu detailsuseni teada, kus kohas need külalised ka käivad tegelikult?
Noh, eks me peame siis nüüd kokku leppima, et me siin on see detailsus, eks, aga, aga tõsi ta on, et kuna meil on majas teatud täiesti detaili küsimus, aga et kuna majas on teatud sellised alad, kus me tavapäraselt külalisi vastu võtame. Ja klassikalised töökabinetid, paraku see ei ole, siis olukorras, kus on soov pidada koosolekuid väljaspool tavalisi nii -öelda alasid, siis seal on natukene karmimad reeglid, et nii ta paraku on. Ja ega me seda ei kontrolli, et kas nüüd on nagu WC paus või mitte, et ikka me tahame aru saada, et kas inimene on majas, kas ta oleks välja ja nüüd jällegi RIA põhiselt rääkides, et see sama kaart näitab väga hästi ka ära, et kes on külaline, kes on oma töötaja. Külalise kaart on natukene teist värvi ja teise kujuga. Küll väga piiratud... Aga
samas sellest teile ei piisa, et olen käinud ka teistes riigiasutustes külas ja seal piisab sellest, et sa esialgu näitad oma ID -kaarti, panevad süsteemi sisse, noh, teil tehakse täpselt samamoodi, et see märge sellest, et ma olen majja tulnud, ma olen seal ja nii -öelda süsteemis seotakse mind ära teie enda töötajaga, kellega ma koos olen, et sellest ei piisa teie jaoks?
Meil on teatud, teatud sellised veidikene karmimad reeglid, aga sellel on ka oma põhjus, et kui saatejuht ka ütleb riigiasutus, et riigiasutus ja riigiasutus on erinevad, mõnel riigiasutusel on rohkem kohustusi ja rohkem kohustusi omakorda tulenevad suurematest õigustest ja suuremast vastutusest. Nii et tänases Riias jah, meil on see süsteem natukene teistsugune, aga, aga ma kinnitan ka seda, et, et ka meie pidevalt vaatame ja üritame neid riske selles mõttes nagu hallata, et me ei teeks päris nagu nii -öelda tühja tööd ja kus võimalik, me kindlasti neid lisaliigutusi ka vähendame.
Kuidas nende riskide hindamisega on? Ma natukene küsin laiemalt ja pikemalt. Okei, te ei saa rääkida praegu Politsei - ja Piirivalveameti eest, nii nagu me selle Tiktoki ja Huawei näitel saime aru. Leedus on, ma ütlen lihtsustatult, Leedu sert on juba aastaid tagasi öelnud välja, et on kaks turvakaamera tootjat, Auhhaa ja Hik Vision, keda ei tohiks kasutada. kui palju on niimoodi, et te vaatate, et aa näed, leedukad, lätlased või olgu nad, ma ei tea, hispaanlased, kes iganes, no ütleme, meie liitlased, on nad Euroopa Liidust, NATO -st, nemad annavad mingise soovituse välja ja et sellised asud, selline asutus meie riigis ei tohiks seda kasutada ja te vaatate, et kuule, tegelikult meil Riias võiks täpselt samamoodi teha, ehk siis see, et Ohio ja Hikvision võiksid keelu all olla.
Jaa, aga sellele küsimusele on võimalik vastata kümnet erinevat viisi, vastan niipidi, et RIA täna neid konkreetseid tootjaid ei kasuta, oleme neid analüüse lugenud, oma teraka tõttu on ka nendes, meie puhul on asi võib -olla natukene lihtsam, kuna meil kõik nii -öelda ülejäänud süsteem on natukene teiste kaamerate peal, Siis ei ole lihtsalt mõistlik veel oma seda parki hägustada või, või siis nii -öelda rikastada vastavalt vaatenurgale teatud teiste tootjate komponentidega. Küll aga nüüd, pannes nüüd nii -öelda tava, tavakasutaja mütsi pähe, siis ma ei ütleks, et tavakasutaja liiga palju võib -olla muretsema ei peaks või nii -öelda, kes omal ka koduõuel on pannud kaamera püsti. Oluline on ennekõike see, et, et teatud nii -öelda hügieenitegevused on eelnevalt ära tehtud ja nende hügieenitegevuste all pean silmas seda, et, et ei kasuta seda nii -öelda standardparooli, mis tavaliselt nii -öelda admin kasutajana seal kohe alguses on pakutud. Kõik uuendused on ära tehtud ilusti ja, ja tõesti, et tavakasutaja seisukohast ei tohiks olla liiga palju lisa, lisaülesanded või lisakohustusi.
Ma ei saa seda võimalust jätta kasutamata, aga PPA -ga olete suhelnud nende samade tootjate osas?
Mina ise ei ole täiesti, saades aru, kuhu saatejuht tüürib, siis eks see vestlus ja nendel teemadel me kindlasti saame arutleda, kas nüüd just PPA -ga, aga erinevate asutustega kindlasti.
Ühesõnaga lihtsustatult öelduna te olete ära kaardistanud kõik potentsiaalsed sellised riskikohad, mis võivad teie kontoris minna valesti ja mis võivad ka teie töötajatega, kes teevad näiteks kaugtööd, nii -öelda valesti minna, et mingi seda andmed lähevad liikuma kuskile sinna, kuhu nad ei tohiks minna.
Absoluutselt ja, ja selleks, et rääkida Agu Sihvka kombel, kuidas päriselt kõik see tegevus käib, siis see riskihaldus või riskianalüüs on ju pidev protsess, et see ei ole selline pidulik sündmus, kus me kord aastas saame kokku ja siis vaatame, et noh, mis see seis on, me tegeleme sellega tegelikult ju kogu aeg. Ja lapsevanematena me tegeleme sellega ju põhimõtteliselt hommikust õhtuni, alates tee ületamisest, lõpetades sellega, et, et kas ja mis lapsel seljas on, et sama on ka tegelikult ju asutuste puhul, et, et kui tuleb järjekordne intsident, siis me loomulikult nagu vaatame, et mis selle põhjustas, kas me midagi siit saame õppida ja, ja mida me peaks nagu muutma, eks, et sama on ka riskidega.
Kas teil on näiteid tuua mõne riist - või tarkvara näol, mõni tootja, mõni, ma ei tea, mis iganes, mille puhul te tuvastasite, et no seda ikka ei peaks kasutama, aga te näete, et näiteks IT -osakond väga meelsasti kasutab.
No me jällegi, me teeme seda igapäevaselt ja me toetume siin erinevatele infoallikatele, et siinkohal mul on muidugi väga hea võimalus ka propageerida või siis reklaamida cert .ee uudiskirja, mis tuleb iga hommik ja mis tõesti võtab ka kokku need põhiuudised, mis on need nii -öelda nõrkused, haavatavused, mida tuleks patch 'ida või uuendada. Ja, ja selles mõttes ongi see nagu meile nagu tööpäeva sisse kirjutatud, et kui ka infoturbeekspert tuleb hommikul tööle, et ta võib selle hommikukohvi endale kõrvale võtta, aga järgmine samm kohe on ka neid samu uudiskirju lugema, et mis on siis need komponendid, mis meil täna võiks meid mõjutada ja neid tõesti on palju, et ma ühtegi eraldi praegu lugema ette ei hakkaks. Aga, aga ükskõik millise CERD -i uudiskirja siin nüüd viimase kuu aja jooksul ka ette võtate, et ma võin peaaegu mürki võtta, et seal on asju, mis ka riiet mõjutavad. Et ilmselgelt ma ei saa tulla nüüd konkreetsete näidetega siin niimoodi avalikult välja. Nii et jah, seda, seda me teeme ja seda me tõesti teeme igapäevaselt ja kogu aeg.
Aga kui te nüüd saate seal hommikukohvi lauas töö juures kokku või siis mis see klassikaline teema on, see veetünni teema, jah, et veetünni juures saate kokku ja siis IT -osakonnast keegi teine ütleb, et kuule, sa saatsid hommikul kirja, et me ei tohi seda kasutada, aga saad aru, see on nii mugav, see on nii hea, see on, see on käe sisse, see on mälus, see on kõik ja see on veel maksumaksjale soodne ka.
Jah, ja see, see ongi nüüd jällegi see koht, kus me infoturbe osakonnana võib -olla alati väga head kuulsust ei kogu, aga kus me siis nii -öelda aeg -ajalt peame koputama südametunnistusele, et, et kui miski on ilus, ei tähenda automaatselt, et ta on turvaline. Ja, ja nüüd ma võin küll tuua sellise nii -öelda üsna praktilise näite ka RIA, RIA najal, et, et neid nii -öelda erandeid tavapaketist, et, et mida siis nii -öelda tööandja peaks justkui nii -öelda rakenduste või, või siis lahendustena pakkuma. Eks neid erandeid küsitakse kogu aeg. Ja iseenesest väga mõistlik, et, et kui sa oled harjunud midagi kasutama oma eelmisest töökohast, tuled Riiasse, küsid, kas sa saad. Kus see probleem on? Probleem on selles, et kõik need rakendused, kõik need erinevad platvormid vajavad uuendamist, nad kõik vajavad aeg -ajalt ülekäimist ja mida rohkem on sul neid erandeid, seda suurem on ka tõenäosus, et midagi jääb sul siis nii -öelda uuendamata. Et, et see on ka see koht, kus me alati paneme südamele oma kolleegidele ja või on kohe ka IT -osakonna juurde, et paneme alati südamele ka kolleegidele, et kas meil on tegelikult ka jõudlust nendest asjadest hiljem üle käia või öeldagi täna ausalt välja, et, et meil on olemas toimiv alternatiiv ja pigem kasutame seda. IT -osakonnast me ei saa üle ega ümber, nad on meie parimad partnerid nii heas kui halvas, et enamasti on kõik väga hästi, aga siis, kui asjad on halvasti, noh, siis tunned sõpra hädas, et me toimetame koos ja peame ka edaspidi koostööd töötama, nii et.
Aga kes see, kes see sellise võitluse võidab üldjuhul, kui, kui nemad ütlevad, et no ma ikka väga tahan, teie ütlete, no ei saa, kui kaua te käite niimoodi, no tahan, ei saa, tahan, ei saa, tahan, ei saa.
Kui mind peaks nüüd kuulama mõne teise riigiasutuse infoturbejuht, eks tal see äratundmisrõõm tuleb ka. Vastus on, et võidavad kas mõlemad või ei võida kumbki, et, et nagu see ütlus on, et kompromiss ongi selline, kõik, kõik kaotavad milleski, et aga, aga praktikas on lood lihtsad, kui on tegemist turbealase riskiga, noh, siis, siis ei ole küsimust, siis tuleb need asjad ära teha. kui küsimus on nii -öelda, et kas meil on vaja nii -öelda lisatükki majja või lisa nii -öelda rakendust ja me ei peaks kokkuleppele saama, mida tõesti liiga tihti ei juhtu, siis on järgmise astme otsus ja järgmine aste meie puhul saab olla ainult asutuse juht.
Aga asutuse juht võibki öelda see, et aga tead, praegu IT -osakonnal lihtsalt ongi, et, et see rahaline võit, mis me lihtsalt seal saame, on nii suur, et palun teeme selle erandi.
Päeva lõpuks asutuse toimimise eest ei vastuta ei IT -osakond ega ka infoturbe osakond, vastutabki asutuse juht, et loomulikult me püüame asutuse juhti võimalikult vähe torkida ja segada selliste maiste praktiliste probleemidega, et kas üht või teist rakendust kasutada, aga aeg -ajalt neid olukordi tuleb, kui on väga põhimõttelised otsused, siis, siis kindlasti küsime ka tema hinnangut asjadele.
Mul on sellest vestlusest jäänud selline kuvand. See ei ole hinnang teile nagu teie isikule, teile kui inimesena, vaid nagu lähtuvalt teie ametikohast, et te ei ole nii -öelda, et kui ma ei tea, kas Riias tehakse selline nädala parim töötaja või kuu parim töötaja kvartali, et te seal kuskil nimekirja tipus olete, vaid pigem nagu allpool. Et inimesed lihtsalt vaatavadki see, et no jälle ta ütleb, et ma ei tohi seda ja ei tohi toda ja et tahaks kord midagi, et ta lubaks ka, et kas, kas see on nii või, või see on nagu meelevaldne tõlgendus praegu?
No eks ma pean nüüd välja ütlema selle, et minu palgatšeki osas nagu populaarsuse komponenti ei ole, et, et ja, ja kui see ka oleks, siis ma ilmselt oma tööd teha ei saaks, aga, aga üllatuslikult ja mis mul tõesti nagu siiralt -siiralt rõõmu teeb, Nagu ikka asutustes valitakse ka aasta parimaid aasta lõpus ja Riia infoturbe osakond valiti kolleegide poolt olukorras, kus meil on kakskümmend pluss osakonda eelmise aasta lõpus aasta paremuse teiseks tiimiks. Et kui natukene nagu astute sammu tagasi ja mõtlete, et noh, kõik need samad reeglid ja kõik need, mida teha ei või ja mõnikord ka seda, et kuidas siis nagu võiks, et noh, see, see nihe, mida ma olen tegelikult ka siin üritanud oma kolleegidele selgitada, et me püüame rohkem nagu vaadata nendesse kunagistesse miks -küsimustesse sisse ja, ja olla rohkem toeks. Mulle tundub, et kolleegid on seda tähele pannud, nii et selles mõttes loomulikult me ei otsi populaarsust, me ei tee seda populaarsuse nimel, aga kus on võimalik, seal me alati tuleme ka vastu ja mõtleme kaasa.
Kui palju neid reegleid eelmisel aastal kehtestasite?
Ma ei oska sellele niimoodi vastata.
Aga mis see suurusjärk võib olla?
Ikkagi ei oska vastata, sest reegel on selline üldnimetaja erinevatele olukordadele, on kirjalikke reegleid, on lähenemisi, on konkreetseid ad hoc olukordi, mis tuleb ära lahendada, et ma ütleks niiviisi, et kes iganes kaalub infoturbe valdkonnas karjääri, et igav ei hakka, et ma ei ole veel näinud kahte ühesugust päeva selle aja jooksul, kui ma olen seda tööd teinud.
Korra käis läbi see teiste riigiasutustega suhtlemine, aga kas teil on nagu eraldi siis infoturbejuhtide infopäevad, suvepäevad, niimoodi, et see ongi see koht, kus nagu noh, me teame, et meid ei armastata kõige rohkem, aga saame ainult omavahel kokku ja siis arutame midagi.
See on tegelikult natukene isegi jällegi selline Eesti, Eesti väiksuse võlu ja, ja mõnes mõttes nagu uskumatu, kui ühtehoidu tegelikult see kogukond on, et ma panen korraks nüüd siis nii -öelda Riia üldise mütsi pähe ja, ja see, mida meil siin kolleegid küberturvalisuse keskuses teevad, et seda kogukonda koos hoida, alates jällegi CERT -ist. Meil on siin etode või nende elutähtsate teenuste osutajate liinis tegevused ja nii edasi, nii edasi. Et see on selles mõttes fenomenaalne, et, et meil ei ole tõesti probleem siin helistada kolleegile kas asutusest või ettevõttest ja, ja rääkidagi mure ära ja saada selle nagu lahendus. Me teeme koostööd, teeme samamoodi ka infoturbe tiimide kontekstis, et see on tõesti igapäevane, nagu ma enne ka mainisin.
Aga see toimib kuskil nii -öelda kolmandal pinnal, mitte suvaline näide, see on tõesti suvaline näide, et mitte siis ei Riia majas näiteks või siis SMITi majas, vaid te saate kuskil a la kohvikus kokku, sellepärast et te ei saa ju üks, üht -teist enda kontorisse lubada.
Me saame kõiki kontorisse lubada, et kui kellelegi mulje jääb, et Riia on selline kohtlik koht, kuhu ei saa tulla, et, et see, see nii ei ole. No aga
siis te peate panema akendele, peate kardinad ette tõmbama, siis ma ei tea, telefoni ei tohi kaasa võtta, siin veel kümme asja?
Sõltub, on tõesti ka selliseid koosolekuid, kus me, kuna me keegi vangi minna ei taha, et siis me panemegi telefonid ära, lähemegi teatud ruumidesse ja räägime siis asjad ära, aga ma julgen väita, et Valdav osa kohtumisi on täiesti sellised küll kontrollitud pinnal, aga lahtiste kardinatega ja, ja telefonid on juures, et sihukese praktilise tasandi, tasandi teemad. Küsimus, et kui tihti või kuidas, et kohvikutes me päris kokku ei saa, nii, nii avatud tekstiga paraku me rääkida ei saa. Aga toon näite ka oma tiimi mõttes, et käisime just siin eile kolleegidel Ritis külas rääkimas, kuidas meie teatud asju teeme ja ootame neid peatselt külla oma majja, nii et töö on tõesti üsna igapäevane.
Ja see, kuna, kuna see teie eilne visiit enam -vähem toimus sel ajal, kui Rit ütles ka selle Tiktoki keelu välja, siis ikkagi tundub, et Riia kuidagi nügis neid, jah?
Ei, need ei olnud üldse seotud, et me tegeleme... Puhas
See oli kokkusattumus, et, et me tegeleme tõesti väga paljude erinevate valdkondadega, nii, nii Riias, samamoodi mul ei ole kahtlust, et ka RIT, RMIT ja kõik teised asutused, kes siin infoturbe valdkonnas tegevad on.
Aga üks asi, mida ma tahtsin veel küsida, oli see, et tegelikult see meie uhke e -riik, siin on väga palju, nii nagu meil on need mitmed lühendid täna läbi käinud, erinevad riigiasutused, kodaniku mõttes nad teevad minu vaatest nii -öelda, kõik teevad ühte riigiasja, ehk siis teil seda suhtlust on hästi palju, aga kui palju ikkagi võib tulla siis sellest infoturbepoliitikast ja infoturvapoliitikast, vabandust. Võib tulla seda, et kus te nagu ütletegi, et noh, see, mida te praegu meie jaoks teete, meie süsteemide jaoks teete, on väga vahva ja tore, aga tegelikult see ei ühti siis meie infoturvapoliitikaga.
Ma julgen öelda, et neid olukordi ei ole. Meil on kindlasti küsimus, et kuidas nagu üht või teist asja kõige mõistlikumalt teha. Me kindlasti ka siin konsulteerime partneritega teistest majadest, kuidas nemad teinud on, aga selles mõttes nagu info turvapoliitika tasandil probleeme, et, et me ei saa teid aidata või, või me teeme hoopis teistmoodi, selliseid praktilisi olukordi paraku ei esine või õnneks õigemini ei esine.
Üks suur asi, mis sai plahvatusliku alguse mõni aasta tagasi, oli kaugtöö. Kuidas kaugtöö on ära lahendatud?
Noh, kaugtöö on selline, täna juba kauge möödanik, mõnes mõttes see esimene koroonalaine, et ma mäletan, kui keeruline oli see olukord siis. Täna need, kes on otsustanud püsiva kaugtöö kasuks, ilmselt oma otsust ei kahetse, need, kes kasutavad hübriidlahendust, on samamoodi rahul ja need, kellel erinevatel põhjustel meeldib ja ongi parem nagu teha tööd füüsiliselt asutuse pinnal. Et ka nemad on nagu oma, oma selle koha leidnud, nii et ma ütleks, et täna nagu see on kuidagi paika loksunud ja, ja rääkides nendest riskidest, siis Riia puhul me ei ole täheldanud, et mõni risk oleks võimendunud või, või vastupidi, et, et midagi oleks ära kadunud. Et saatejuht on küsinud mõnda näidet, et ühes kohas, kus me küll üsna tugevalt jala vastu maad paneme, on kodus printimine, seda me ei taha lubada väga lihtsal ja humoorikal põhjusel, et, et sellesama mündi teine pool on see, et, et seda infot tuleks ka siis ju hävitada, aga paberipurustajast, millegipärast ei ole keegi väga kodus huvitatud, nii et.
Nojah, et siin on see muidugi jällegi õiguslik küsimus, kas see läheb siis nii -öelda tööaja sisse või see läheb ikkagi nii -öelda tööajaväliselt, et ei, et printimine on ikkagi töö juures, küll aga me oleme tähele pannud ka seda, et, et printimist on jäänud oluliselt vähemaks võrreldes varasemate perioodidega, et mis jällegi looduskaitse seisukohast ainult ju tore.
Aga selliseid mingeid piiranguid veel peale printimise, et kui sa teed kaugtööd, et jah, sa pead süsteemidesse sisenema üle VPN -i, aga veel midagi, et nüüd sa hoolimata sellest, et sa oled üle VPN -i tulnud, sa ikkagi, sa ei tohi nüüd seda, teist ja kolmandat teha, aga kui sa tuleksid kontorisse, siis aga palun, võid teha ilusti.
Ei ole selliseid asju, et, et miks ma korraks nagu lause algust veeresin, et loomulikult on süsteeme, mille kasutamine ongi teatud eriõigustega, aga selles osas ei ole ka küsimust, et neid nii -öelda tavakasutajana tavaarvutites teha ei saagi, nii et kõik on hästi, et ei, ei ole tekkinud probleemi sellega.
Kas see koos selle kaugtööga tuli ka Riias selline kohustus, et on ta siis telefoni ekraan, arvuti ekraan, peab see mingi nii -öelda kile olema peal, et kõrvaltvaataja, tagantvaataja ei näeks, mis seal ekraani peal on?
Me oleme üks nendest asutustest, et kui tulevad ka uued töötajad, me võtame selle aja ja me infoturbe tiimina teeme selle ühetunnise briifi, infoturbe briifi, kus me räägime siis nii -öelda, mis on see ABC. See, ma mõnikord muidugi kolleegidele hellitavalt nimetan seda surmaks läbi Powerpointi, aga, aga teistpidi, kui seda esimesel päeval ära ei räägi, noh, hiljem inimesel kipub nagu see aeg ära kaduma ja siis ta võib -olla enam ei taha neid asju nii tähelepanelikult kuulata. Miks ma seda kõike mainin? Me needsamad asjad räägime alati ka esimesel tööpäeval üle, räägime seda ka jooksvalt, et kus iganes avalikus kohas oled, on see siis kohvik, on see ühistransport, lennuk, mis iganes, palun kasutage filtreid ja kus võimalik, et siis ärge üldse arvutit kasutage. Et las see jääb pigem nii -öelda kontrollitud aladele. Mis on täna muidugi nende kaugtööversioonidega veel huvitav, et me oleme ennast ise kuidagi ära piiranud siis nii -öelda koduga, eks ole, et, et on kodu ja on töö. Tegelikult täna on ju aina rohkem ka olukordi, kus inimesed lähevadki välismaale. Ja, ja seal on omad nüansid, on riike, kuhu me tõesti neid ei taha lubada, on riike, kuhu me ei taha lubada ka Riia seadmetega, Aga valdavalt me uurime üle, et, et kas ja mis siis nii -öelda need konkreetsed asukohad on ja, ja püüame leida parima lahenduse, et, et saaks tööd teha ja saaks puhata ka.
Aga kui Riia töötaja tahab mõne NATO liikmesriigi, Euroopa Liidu liikmesriigi palmisaarele minna töötama, siis sinna aga palun võtku Riia arvuti kaasa ja mingu?
Jaa, sellega ei olegi selles mõttes probleemi, et, et kas, kas siis nii -öelda RIA seade või mitte, mida ma küll siin panen südamele ka teistele, teistele asutustele, ettevõtetele, et, et võib -olla läbi mõelda see osa, et, et noh, nagu me teame, Airbnb on väga selline populaarne, kas iga Airbnb on see kõige mõistlikum koht, kuhu tööseade jätta. Et see on siis natuke jällegi see klassikaline riski hindamise küsimus, et kuidas see piir nagu tõmmata.
Ehk kui tööandjaga saad kokkuleppele, oled mõne, töötad mõnes Riigi IT -majas, saad tööandjaga kokkuleppele, lähed veedad poole oma tööajast Palmi saarel, teed seal tööd, siis arvesta sellega, et kui sa tahad seal kuskil uhkes sinises meres ujuda, siis sa pead oma selle sülearvuti kaasa võtma. Ma panen mingi koti sisse, veekindla koti sisse, sest muidu võib -olla, et keegi läheb sinna Airbnb -sse ja teeb pahandust.
See on üks variant, mida ma oleks niimoodi tagasihoidlikult pakkunud, et on panna see hotellis kontrollitud alale, muidugi ma pean ka ütlema, et alati ei ole ka seifid kõige turvalisemad, seifidel on teatud masterkoodid, mida saab ära kasutada ja neid nende kaudu avada. Aga, aga veel kord, et see on nüüd jällegi see riski hindamise koht, et, et, et kas arvuti kaasavõtmine on mõistlik, mis ulatuses ja toon siia siis nii -öelda see teistpidi näite, et ilmselgelt kui on plaan minna meist idapoole, mis tänases olukorras ilmselgelt ei ole isegi teoreetiline variant, siis me nendes kohtades ütleme kategooriliselt ei, et sõltumata sellest, kas on hotell turvaline või mitte.
Ehk siis Valgevene, Venemaa, Hiina, Põhja -Korea, need on sellised kindlad ei -d.
Need on kindlad ei -d, eks need ei -sid on veel sõnum, vähemalt meie enda kolleegidele on olnud see, et, et kui kahtled, küsi, kui täpselt ei tea, küsi, oleme alati valmis informeerima, briifima ja rääkima, et, et, et välistada mingisuguseid ekstsesse kohapeal.
Head kriitilise intsidendi kuulajad, saime tänases saates väga detailse, pikapõhjaliku ülevaate sellest, mis asi on infoturvapoliitika ja see ei ole ainult Tiktoki ja Huawei keelustamine, vaid palju -palju suurem teema. Sel teemal oli saates külas Riia infoturbejuht Martin Paas. Ja mina olin saatejuht Ronald Liive ja selline hea üleskutse siis kõigile riigiasutustes töötavatele inimestele, et siis nüüd te teate, et miks see infoturbe juht, olgu ta siis Martin või keegi teine mõnes teises IT -majas, et miks ta vahest on selline, et ta nüüd ütleb jälle, et tema ei tohi seda kasutada ja teist kasutada ja kolmandat teha. Ehk siis te saate aru, see ongi nende töö, nii et ärge saage nende peale pahaseks. Aga meie, head kuulajad, kohtume juba uuel nädalal.
Saate toovad teieni SMIT ja TEHIK. SMIT. Päästame elusid IT -ga. TEHIK -u aeg kulub sellele, et ülejäänud Eesti saaks aega kokku hoida. või mitte.
[ TRANSKRIPTSIOONI LÕPP ]