Saate toovad teieni SMIT ja TEHIK. SMIT. Päästame elusid IT -ga. TEHIK -u aeg kulub sellele, et ülejäänud Eesti saaks aega kokku hoida.
Head riigi IT -podkasti kuulajad, mul on hea meel teile täna pakkuda järjekordset väga põnevat saadet huvitaval teemal. Sel korral, luban teile, et sel korral hoidume poliitikast ja valimistest, ei tule meil juttu ühestki mobiiliga hääletamise äpist või, või e -valimistest, Aga teema on endiselt ikkagi väga huvitav, kuna see moel või teisel puudutab meid kõiki. Selleks teemaks on küberturvalisus. Täna räägime sellest, mida ja kuidas teeb Riigi Infosüsteemi Ametit Eesti haiglat, kütusemüüjad, perearstikeskused ja veel terve rida ettevõtteid ning asutusi oleksid piisavalt hästi kaitstud. Sel teemal on stuudios Riigi Infosüsteemi Ameti järelevalve juht Ilmar Toom. Tere!
Ja mina olen saatejuht Ronald Liive. Ma alustaks väga lihtsast küsimusest. Teie ametinimetus oli järelevalve juht. Mida see tähendab? Mis see töö on, mida te igapäevaselt teete?
Kui me võtame, et sõna järelevalve viitab sellele, et asjad juhtuvad millegi järel, siis tegelikult olemuslikult see töö, mis me teeme, on hästi tugevalt ennetustöö hoopiski. Ehk et me püüame anda oma panuse selleks, et et süsteemid, mida me Eestis kasutame ja mida nii riik kui ka erasektor ja kodanikud kasutavad, et need oleksid turvalised. Ja ja tänu siis sellele me ennetame neid intsidente, et midagi halvasti ei läheks.
Ehk kui juht on mingine küberintsident, küberrünnak või või keegi kogemata kuskil jätab mõne ukse lahti, mida ei tohiks lahti jätta, siis see on see hetk, kus teie tulete kuidagi mängu?
See on üks neist hetkedest jah, et me teeme ühe osa tööst nii -öelda reaktiivselt, et kui juba mingi intsident on toimunud, aga suur osa meie tööst on, me püüamegi ära teha enne, kui intsident juhtub ja just selleks, et seda ei juhtuks.
Okei, räägime alustuseks siis sellest, et te püüate enne ära teha midagi, et ei juhtuks. Kui ma nüüd vaatasin enne seda saate salvestust Riia kodulehte, te toote välja kõik need menetlused, mis on teil käimas või, või teil sõnastus vist oli natuke midagi muud seal küll, siis mulle jäi silma, et sel aastal on kütusefirmad, kütusemüüjad ja haiglad on nagu erilise tähelepanu all, miks siis nii?
Just. Me teeme oma tööd tihtipeale sektorite lõikes ehk et vaatame välja sellise sektori, kus on, mis on mingil põhjusel hästi oluline, et kas, kus ei juhtu midagi palju või mille mõju oleks hästi suur. Ja haiglad ja ütleme kogu see tervisesektor on päris oluline, et meditsiinisektorist me teame juhtumeid õnneks küll valdavalt väljaspool Eestist, Eestit, kus on olnud reaalne mõju näiteks sellele, et meditsiiniseadmed nakatatakse pahavaraga ja siis nad muutuvad kasutuskõlbmatuks kuni siis mingi lunaraha maksmiseni. Ja noh, see on ilmselgelt selline asi, et kuna inimelud on mängus, et ta on hästi oluline ja seetõttu on ka hästi oluline, et neid turvataks piisavalt ja tänu sellele me ka oleme need asjad omale fookusesse võtnud.
Mulle jäi sealt nimekirjast silma, oli Rakvere haigla, Kuressaare, Läänemaa haigla, tegelikult seal vist oli vist nagu nii -öelda kõik suuremad haiglad on, on juba teie poolt läbi käidud või kohe minemas nii -öelda kontrolli või?
Ütleme nii, et me oleme haiglaid päris palju vaadanud, näiteks eelmine aasta algatasime üheksa üldhaigla, nelja keskhaigla ja ka seitsme regionaalhaigla suhtes menetlused, et, et me võtsime nagu selle haiglate pildi nagu ette omale, praeguseks osad on lõppenud, aga osad on ka nii -öelda ettekirjutuste täitmise faasis.
Kas see tähendab, et te olete midagi leidnud, mis on selline, kus ongi, et te olete ettekirjutuse teinud, et palun nüüd parandage ära või kui te ei tee, siis nüüd juhtub midagi?
Just, ehk et üld, üldiselt on niimoodi, et kui me leiame puudused, et siis me toome need välja ja anname võimaluse need puudused ära kõrvaldada. Et erinevate asjade kõrvaldamiseks on erinev aeg kulub, muidugi see on nagu mõistlik, Aga mingi mõistliku aja jooksul tuleks need puudused ära kõrvaldada ja kui need puudused on ära kõrvaldatud, siis saame oma menetluse ära lõpetada ja, ja kui miskipärast ei, ei jõuta neid puuduseid õigeaegselt kõrvaldada või noh, kokkulepitud aja jooksul, et siis on järgmine samm on ettekirjutus, mis on siis nagu kohustuslik täitmiseks.
Lähme nüüd kaks sammu tagasi. Te mainisite küll, et üks ajend, miks te praegu haiglaid jäite läbi, on see, et jah, mujal maailmas on toimunud, toimunud neid lunavararünnakuid. Kas praegu see, mis iganes see kuupäev oli, millal Eestis läks teie, teie nii -öelda mehhanism tööle, oli siis niimoodi, et midagi oli just toimunud Eestis ja see järgselt või te ongi täiesti käsi südamel ennetuslikult, et mitte üheski haiglas Eestis mitte midagi ei toimunud, mis oleks nagu ajend selle jaoks?
Ütleme, et ega see, need asjad ei juhtu üleöö. Nad ikkagi aegamööda arenevad ja me RIA jälgib päris hoolega ka rahvusvahelisi trende ja hoiab pilku peal sellele, et kuidas asjad mujal toimuvad. Ja, ja kuna siin täpselt peast ei mäleta seda ajahetke, oli Inglismaal suur teema sellest, et, et just mingid niisugused elutähtsad meditsiiniseadmed ära krüpteeriti ja noh, ilmselgelt on, on see nii -öelda ohumärgiks ka meile, et, et ka meie peame selle valdkonnaga tugevalt tegelema.
Ma pean ka jälle taas kord kuulajatele ütlema, et väga tore ja vahva, et Riigi Infosüsteemi Ametil on olemas veebileht ja see alamjaotus, kus saab nende menetlustega tutvuda, aga kui ma selle lahti klikin, et, et ega ma ei näe sealt mitte midagi. Teil on nagu kõik on ära iksitatud, teil on kirjas, et jah, et Kuressaare haigla, nüüd see kuupäev, me alustasime seda ja siis on iks, iks, iks, iks ja ma ei saa mitte midagi teada. Et üldjuhul noh, ajakirjanikuna ma olen harjunud, ma vaatan igasugu dokumendiregistrid ja nii edasi ja see on noh, vahest ikka tuleb seda iksistamist ette, aga sellises mahus, nagu teie puhul praegu, et seda ma ei ole kuskilt mujalt näinud,
seda tõesti ei saa mitte midagi siis välja öelda, et nad, et me küsisime näiteks nende käest seda. Teil, teil pole isegi seda nagu kirjas, et mida te olete küsinud nende, nende näiteks haiglate käest siis?
Sellel on iksitamisel on täitsa oma põhjus olemas. Et et kui üldiselt avaliku teabe seadus ütleb, et järelevalve otsused peale jõustumist on avalikud, siis selle sama seaduse teine paragrahv ütleb ka seda, et vot see tundlik osa sealt, et see ei ole avalik osa. Ja seetõttu me olemegi sellises olukorras, kus see sama seadus, mis käsib avalikustada, käsib ka osa sellest nagu mitte avalikustada. Jah, ma olen nõus sellega, et see kohati tundub nagu tobe, et seda on nii palju, neid X -e, aga, aga ütleme noh, meie valdkonnas on ka see teema, et, et miks me need asjad kinni paneme või ära X -itame, ongi seetõttu, et, et me ei soovi anda nii -öelda vastasvõistkonnale liigseid nagu infokilde kätte, et me, et noh, soovime teha nende kodutöö võimalikult raskeks. Ja, ja ära me eksitamegi need kohad, kus on võimalus, et, et seda infot muul juhul kasutatakse ära siis mingi, kas mingi tegevuse planeerimiseks või noh, ühesõnaga mingi sellise eesmärgi jaoks.
Aga kas see info ei oleks mitte kasulik ka nii -öelda meile endile, siis nii -öelda headele mängijatele, just see, et aa, ma tean, et noh, neil oli vot see nõrkus nüüd või niimoodi oli natukene valesti seadistatud, Aga mul ka tegelikult on ka, et ma saaksin ära parandada, kas kuidagi see info jõuab näiteks menetluse järgselt nii -öelda avalikkusele või rohkem, ma ei tea siis...
See info jõuab küll, et kui me, tavaliselt on nii, et kui me mingi sektori läbi käime, et siis me teeme pärast sektoripõhise kokkuvõtte ja, ja siis sealt need nii -öelda suuremad leiud üldistatud tasemel, Siis me jagame siis selle sektori liikmetega ja muu nii -öelda relevantse kogukonnaga just selleks, et, et nemad saaksid ka paremini oma süsteeme juba kaitsta ja tähelepanu pöörata nendele asjadele, mõelda, et ahaa, et kole, vot seal oli niisugune asi, et kas mul on ka võib -olla samasugune nõrkus näiteks.
Kõrre sai mainitud, haiglate kõrval olid ka need kütusemüüjad, kas see on lihtsalt nii -öelda sellest, sellest kogu sellest sõjasituatsioonist tulenevalt, sest et kütus, me teame, on üks selline elutähtis siis vahend või, või teenus, mida meile osutatakse kütusemüüke, kas see tuleneb sellest või, või on mingi muu ajend?
Just vedelkütusega varustamine on ka hädaolukorra seaduse järgi üks elutähtis teenus. Ja kuna, nagu sa ütlesid, see on ka hästi oluline, et siis oleme selle ka võtnud omale nii -öelda teemaks. Ja, ja ka kuna seal on, on see, et, et süsteemi juhita, juhitakse ütleme arvutiga, et siis on ka seal oluline, et, et need süsteemid oleksid turvalised, et nad toimiksid. Ja et, et oleks siis see kütus igal vahelikul hetkel meile kättesaadav.
Kas teil on võimalik avada nende haiglate või kütusemüüjate menetlusi lähemalt ja mida keegi on teinud halvasti?
Ma ütleks tegelikult niimoodi, et, et see, mida keegi on teinud kas hästi või halvasti, ei sõltu isegi väga palju sellest, et kas me räägime siin nüüd tanklatest või, või haiglatest või mingitest muudest, muudest nii -öelda hoolealustest meil. Et et see sõltub tegelikult natukene teistest asjadest. Ja ja me oleme siin aastate jooksul püüdnud ka nagu aru saada, et millest see siis kõige rohkem sõltub ja ja oleme jõudnud sinnani, et et see ei sõltu nagu niivõrd suurusest, see ei sõltu ka ma ei tea töötajate arvust või või eelarvest või või ka geograafilisest asukohast. Vaid ta sõltub hästi palju ikkagi sellest, et mis on selle organisatsiooni küpsustase ja milline on selle organisatsiooni juhtkonna meelsus. Et see on see, kust need asjad pihta hakkavad, et ütleme nagu küpse organisatsiooni ja ja nii -öelda teadliku juhtkonna puhul on on hästi suur tõenäosus, et asjad on ka palju paremas korras. Ja, ja vastupidi, et kui neid ei ole, noh siis on meil nagu palju tööd seal.
Aga mida te nende kütusemüüjate puhul siis lähemalt vaatate, kas teid on, huvitab pigem rohkem see, et nende süsteemid oleksid küberturvalised selles vaates, et keegi ütleme lihtsustades ei saaks sisse häkkida, et siis need tankurid ei töötaks või teid huvitab näiteks see, et et nende kliendibaasile ei pääseks ligi või mis on need konkreetsemad asjad, mis teile huvi pakuvad?
Ütleme, infoturve on hästi lai, eks ole, mõiste ja ütleme, kliendibaasile ligipääs on võib -olla otsesemalt võib -olla andmekaitse pärusmaa, aga, aga noh, kindlasti, kui keegi sellele ligi pääseb, siis on seal ilmselgelt ka infoturve ja küberprobleem. Aga meie vaatame hästi palju ka, ütleme, toimepidevuse aspekti, ehk et see käideldavus, et on olemas elutähtsa teenuse toimepidevuse nõuded. Ja et, et kui palju, mis ajahetkel, millises tanklas peab olema võimalik kütust kätte saada ja, ja et, et seda tagada, siis on vedelkütuse müüjad läbi viinud riskianalüüsi, et, et saada teada, millised riskid nende teenuse toimepidevust ohustavad ja et siis mida ette võtta selleks, et, et nende riskidega tegeleda ja neid madalamale tuua. Ja see on kindlasti üks oluline asi, mida me vaatame, et see riskianalüüs oleks olemas, et ta oleks nii -öelda sisuline ja tegelik, mitte lihtsalt nii -öelda paberi peal vormi vormi täiteks tehtud. Ja ja siis vaatame ka seda, et kuidas sealt nii -öelda üles jäänud riskidega siis toimetatakse, et milliseid meetmeid rakendatakse, et see teenus jätkuvalt toimiks.
Aga mida siis tegi Seven Oil valesti ja mida tegi Jet Oil valesti? Sest need on need, mis kui ma vaatan näiteks Olerexi puhul ja Neste puhul ja niimoodi toote välja, et et noh, te näete, et nemad tegelevad asjakohaste infotehnoloogiliste turvameetmete rakendamisega, aga nende teise kahe puhul, mis ma välja tõin, on niimoodi, et et menetluse käigus tegime ettevõttele ettekirjutuse.
See, et ettevõte või ka asutus saab ettekirjutuse menetluse käigus, ei ole iseenesest midagi nii -öelda traagilist ja hullu, vaid see ongi just see koht, et kus me oleme toonud välja mingisuguse puuduse ja, ja siis selle kõrvaldamiseks on, on vaja siis mingit nii -öelda käsulauda, et, et kus me soovime näidata, et see puudus kõrvaldatakse ära, et siis on see süsteem paremini turvatud. Et ja noh, üldreeglina, kui see ettekirjutus täidetakse kokkulepitud aja jooksul, siis on ka hästi. Kui, kui ei, et siis on järgmine samm sellest riikliku järelevalve puhul on sunniraha määramine.
Kui palju seda sunniraha te reaalsuses määranud olete ja kui palju te seda ka kätte olete saanud siis?
No kõik, mis on määratud, on kättesaadud.
Ei ole keegi vaidlustanud, öelnud, et ei, ma ei ole sellega nõus ja.
Sunnirahade puhul ei ole jah, et me ei ole neid küll väga palju pidanud määrama, mis on positiivne, et enamasti me saame hakkama ikkagi nii -öelda inimliku ja normaalse suhtluse ja kirjavahetuse teel. Et aga on, on siis jah, mõned juhtumid ajaloost olnud, kus, kus me oleme pidanud siis sunniraha määrama. Ja, ja siis on, on see ka nagu välja nõutud ja selle eripära on veel see, et, et noh, seda saab määrata mitmekordselt, mitu korda, et senikaua, kuni siis see puudus ära kõrvaldatakse.
Ehk siis ühe sama puuduse põhjal mitu korda? Kas te siis ajaloolistele andmetele tuginedes saate tuua konkreetseid näiteid, kus on sunniraha määratud ja seda on makstud?
Olid kohalikud omavalitsused olid paar aastat tagasi meil nii -öelda suures, suurelt pildis ja me käisime tegelikult kõik kohalikud omavalitsused läbi ja siis mitmete puhul oli, oli ettekirjutus ja osade puhul siis päädis ka sunniraha määramisega.
Millistest summadest me räägime?
Toona oli ülemmäär oli üheksa tuhat kuussada eurot korraga ja aga nüüdseks on see ülemäär tõusnud, on kakskümmend tuhat eurot igakordselt siis.
Kas mõni menetlus, mis teil on parasjagu pooleli või nüüd kohe lõpule jõudmas, on selline, kus te näete, et sunniraha tuleb mängu?
Et ette on, on seda päris keeruline prognoosida, et üldiselt meie põhimõte, millest me lähtume, on see, et ütleme nii -öelda karmimad meetmed on, jätame tagumiseks otsaks. Et me esialgu püüame ikkagi nii -öelda normaalse suhtluse teel hakkama saada. Ja ja tõesti nendel juhtudel, kui sellest ei piisa, et siis saame nii -öelda järgmise sammu astuda. Et ma praegu ei ei julgeks küll öelda, et et oleks mõni, kus kus olukord on nii lootusetu, et et peaks sunniraha poole pöörduma.
Et siit vestlusest saime teada, et on olemas sellised asjad nagu elutähtsa teenuse osutajad ja, ja haiglad ja kütusemüüjad seda ka on. Kas on või tähendab, kes siis veel on järgmiseks nii -öelda, kellele te tähelepanu pöörate, siis kui, siis kui kõik haiglad ja kütusemüüjad on läbi käidud, mis nad tegelikult nüüd vist juba on?
Jaa, nad on selles mõttes läbi käidud, et kohapealsed toimingud on igal pool tehtud ja on otsused ka tehtud, kellel siis lõpetamine või kellel on olnud mingisugune ettekirjutus ja nad on nende puuduste kõrvaldamise faasis. Ja kui see tähtaeg siis kätte tuleb, siis me uuesti vaatame, et kas need puudused on siis kõrvaldatud nii nagu ette nähtud. Ja kui on kõrvaldatud, siis saame ilusti menetluse ära lõpetada, et kõik menetlused nendest nimetatud haiglatest ja tanklatest ei ole veel lõpetatud, aga osad on veel töös. Aga ütleme järgmine fookusgrupp on meil olnud valitsusasutused ja samuti oleme jällegi võtnud mõned kohalikud omavalitsused ette ning siis ka mõned perearstikeskused. Et see on, see on meil see nii -öelda peamine töö, millega me praegu tegeleme.
Kas need menetlused on juba siis algatatud inimesed, teie poolt on inimesed kohapeale läinud, hakanud nii -öelda vaatama või, või see tuleb näiteks perearstikeskustele nüüd, siis kõik perearstikeskused, terve Eesti peaksid olema niimoodi viksid viisakad, olema valmis, et varsti koputatakse uksele?
Kõik perearstidiskused ja ka muud kütsisubjektid peaksid olema jah, selles mõttes fikside viisakad, aga mitte sellepärast, et nüüd järelevalve tuleb, vaid sellepärast, et neil on endal seda tegelikult vaja.
Kas muidu sellest saadakse nagu aru, et, et nii -öelda, mida teie teete ja, ja mille heaks te teete, et te ei käi seal, ma eeldan, ma nüüd panen nii -öelda nagu sõnu teie suhu, et te ju ei käi lihtsalt nagu norimas norimise pärast, Vaid sellepärast, et tõesti nagu, et ei juhtuks midagi hullu. Kas sellest saadakse aru või on ka selliseid siis asutusi või ettevõtteid, kes nagu ütlevad, et nagu come on, mul on nagu onupoeg teeb, ta teab neid kõiki asju, ta on nagu nii tark, et ma tean, et ta ei tee ühtegi nagu viga meil siin. Et miks nüüd teie tulete veel kontrollima?
Tegelikult on, on nii, et päris suur osa meie tööst on, on ka selgitustöö. Et et just nimelt, et me selgitame esiteks, mida me teeme ja teiseks, miks me teeme ja ka seda, et miks see on oluline, mis me teeme ja ja püüame ka hästi palju nii -öelda selgitada seda, et et just et noh, me ei tule teid kiusama, vaid me pigem püüame aidata teil teie osutatavat teenust paremini osutada. Ehk et selles mõttes, et me ei ole nagu repressiivorgan, vaid me oleme pigem niuke konstruktiivne partner, kes, kes tuleb ja aitab. Aga, aga jah, et, et siis nendel juhtudel, kui, kui see niisama aitamine ei toimi, et, et noh, siis tuleb mingid teised meetmed kasutusele võtta. Ehk et selles mõttes jah, et me osutame mingil määral ka konsultatsiooni, nii -öelda nõustamist, aga noh, ilmselgelt me saame seda teha nii -öelda üldistatud tasemel ja piiratud ulatuses, sest noh, vastasel korral on huvide konflikt ja siis noh, me peame minema hinnangut andma sellele, mis, mida me ise oleme nõustanud ja noh, see ei toimi, eks ole.
Kas see muidu reaalsuses näebki välja niimoodi, et on teil teie osakonnas, ma ütlen, et kümme inimest, ma tegelikult ei tea, kui palju on, ja, ja nad käivadki siis niimoodi, vaatavad nii, kalendris meil on täna, me lähme nüüd sinna haiglasse, nad lähevad, sõidavad kohale ja teevad arvutikastid lahti nii, nii -öelda füüsiliselt kui ka siis vaatavad sinna ekraani taha, et mis seal kõik nüüd on?
Et mitte päris, ehk et me ei tee niisuguseid ette teatamata visiite, et reeglina, kui me räägime siin riiklikust ja haldusjärelevalvest, siis me ikkagi anname teada, et me nüüd algatasime järelevalvemenetluse teie suhtes, põhjusel see ja teine ja, ja siis küsime ka mingeid dokumente, küsime mingeid materjale ja, ja küsimusi. Ning kui me need oleme läbi vaadanud, et alles siis me läheme kohapeale. Et kohapeal me vestleme tavaliselt siis organisatsiooni juhtkonnaga ja muude võtmeisikutega, näiteks infoturbejuhid oleks nagu alati hea, kui on ligi. Ja siis selle tulemusena me siis jõuame mingisugusele järeldusele. Et sealt hakkab juba nagu tekkima mingi pilt, et kuidas asjad on ja vajadusel küsime veel täiendavaid küsimusi, vahel läheme veel kohale, et vaatame ka füüsilist turvet, ütleme serveriruumid, hooneautomaatika, valveseadmed, tulekustutuse seadmed, sellised asjad on ka ütleme meie siin skoobis sees. Ja, ja siis me jõuame mingisugusele järeldusele, mõtleme, et vot näed, et käisime, vaatasime, et meile tundub nii, et need asjad on hästi, need asjad võiksid olla paremini ja, ja siis anname ikkagi alati ka võimaluse järelevalvatavale avaldada arvamust selle suhtes, et mis me oleme leidnud, et noh, võib -olla me oleme asja hoopis valesti aru saanud, võib -olla tegelikult on kõik väga hästi, aga lihtsalt meie oleme rumalad. Et siis alati ikkagi anname, anname võimaluse neile rääkida ja, ja oma arvamust avaldada ja, ja seejärel tuleb siis see otsus.
Kas te korra mainisite, et oleks tore, kui infoturbejuhid oleks ka ligi, kui tihti nad on ligi või kui tihti juhtub seda, et nad ei ole ligi?
Nii ja naa, et ütleme enamasti nüüd vähemalt viimasel ajal me oleme ikkagi saanud seda, et nad on olemas, nad on meil laua taga ja ja tihtipeale noh nad on ka määratud nii -öelda peamiseks kontaktpunktiks. Et kui ametlik suhtlus käib juhtkonna kaudu, et siis see nii -öelda tööalane kirjavahetuse suhtlus käib siis selle kontaktisiku kaudu, kelleks siis valdavalt ongi see infoturbe juht või IT -osakonna juht.
Nii nagu juba räägitud on, siis te ei taha nagu väga deta, detailidesse laskuda, et kui me räägime siin, täna oleme räägi, rääkinud haiglatest, kütusemüüjatest, aga kas te olete valmis sellist nagu sektoriteülest hinnangut andma, et kuidas seis on siis veel küberturvalisusega? Milline sektor saab sellest aru, et see on nagu asi, millele tähelepanu pöörata ja milline sektor vajab veel siis järeleaitamistunde?
Ütleme üldine pilt on see, et asi liigub ülesmäge, mis on positiivne, et just viimasel ajal on hästi palju hakatud teadvustama küberturbe olulisust ja et mida see tegelikult tähendab. Aga noh kindlasti on veel pikk tee minna. Et jällegi kui kui nii -öelda üldiseid trende püüda välja tuua, siis hästi hästi suur niuke üllatavalt suur komistuskivi, mille mille otsa me oleme koperdanud, on see, et et arusaamine sellest, et et miks miks eksisteeritakse. Mõnes mõttes niisugune poolfilosoofiline küsimus, aga, aga ütleme tihtipeale on, on meil ütleme ka asutuse või ettevõtte juhtkondade puhul see küsimus, et, et kas nemad saavad aru, et mis on see teenus, mida nad osutavad ja, ja arusaam sellest, et, et nad ka vastutavad selle eest. Et üks asi on vastutus ja teine, et, et milles see vastutus siis seisneb. Et, et see kõlab küll võib -olla hästi lihtsalt, aga, aga tegelikult kui, kui sinna sisse nagu vaadata, siis tulebki välja, et, et, et see on koht, kus, kus on vaja veel ikkagi teha täiendavalt selgitustööd, et.
Aga palun selgitage mulle, kuidas näiteks, ma ei tea, kas see on reaalses elus olnud, kuidas haiglajuht ei tea, mida nad, mis on nende teenus või mida nad osutavad, et kuidas?
No ajalooliselt on nii olnud, et, et kõik, mis puudutab IT -d, on niisugune tugiteenus, et ah, mingisugused IT -vennad seal on, et see on nende teema, las nemad tegelevad, tehke nii, et mind see ei puuduta ja ärge mind segage sellega. See on selline klassikaline näide halvast suhtumisest. Ja ja noh inimesed on siis, et kes on jätkuvalt seal suhtumises kinni või kes on sellest juba liikunud edasi ja ja saanud aru sellest, et et see küberturve ikkagi ei ole ainult IT -meeste rida, et et IT -meeste rida on võib -olla see tehniline pool, aga lisaks sellele on ka suur hulk organisatsioonilist poolt sealjuures, mis mis algabki pihta siis juhtkonnast. Et juhtkond ütleb, et kuulge, et me osutame sellist teenust ja, ja sellel on sellised omadused, sellel on selline väärtus ja, ja me peame seda ka kaitsma, et noh, ütleme hea näide on, on siin seesama Eesti infoturbe standard, mis võtab ka selle äriprotsessi selle oma nii -öelda keskmeks ning siis sedamööda hakatakse minema ja noh, see on ka asi, mis algab ikkagi juhtkonnast peale ja, ja siis liigub sealt riburadapidi edasi.
Kas te siis vaatate ka seda poolt näiteks nende taaskord haiglate ja perearstikeskuste näitel, et kas see kõige nõrgem lüli, kes seal on, see, kes reaalselt selle arvutiga kokku puutub, nii nagu lunavarverünnakutega on, et avab keegi mingi kogemata mingise faili kuskilt, vaatab internetis mingit lehekülge. Kas te nagu jälgite nagu seda ka menetluste käigus, et millistele veebilehtedele on näiteks ligipääs olemas?
Ütleme nii, et me jälgime seda, et selle organisatsiooni IT või infoturbe jälgiks seda, mida need töötajad teevad. Et me ise otseselt ei sekku päris sinna nii -öelda üksiktöötaja detailtasandile.
Aga kas, kas teid siis tõesti ei huvita see, kui hea või halb on küberhügieen näiteks tervishoiuasutustes?
Kindlasti võin siin tuua kohe ka näite sellest, kuidas mõned aastad tagasi me käisimegi mööda asutusi ja tegime niisuguseid küberhügieenikoolitusi. Ja ja neid oli päris palju, nii et et ikkagi neljakohaline arv riigiametnikke sai selle läbi nagu ära koolitatud ja haritud. Et loodame, et sellest oli ka kasu. Aga ütleme me eeskätt vaatame seda, et et kas see organisatsiooniline ja tehniline pool on paigas, et kui need on paigas, siis me saame minna eks ole sammukese edasi ja vaadata ka ütleme sügavamale sisse. Ja ja kui kui need ei ole paigas, noh siis on ilmselge, et probleemid on ka mujal, eks ole, et et selles mõttes jah, me ei lähe iga töötaja selja taha vaatama, et kas ta nüüd seal klikib või ei kliki.
Teie tulete mängu nende ettevõtete asutuste puhul siis, kui nad on tõesti sellised elutähtsa teenuse osutajad, ehk siis kui on mingi suvaline, ütleme suvaline väikeettevõte, et siis mees ja koer OÜ, siis see, mis seal toimub, see nagu teile otseselt huvi ei paku?
Esmajoones me tegeleme nendega jah, kes on küberturvalise seaduse subjektid. Seadus loetleb siin terve rida neid teenuse osutajaid. Seal noh kindlasti saab välja tuua, eks ole, kogu avalik sektor, kohalikud omavalitsused koos allasutustega, elutähtsa teenuse osutajad ja noh mõned veel. Et kokku on on tegelikult see meie nii -öelda hoolealuste organisatsioonide ring üle kolme tuhande organisatsiooni. See on nagu päris suur hulk. Ja, ja ilmselgelt me nii -öelda lähemas viis aastat, kus päris igale poole ka ei jõua. Küll aga me teeme oma tööplaanid vastavalt siis ka prioriteetidele riskipõhiselt ja, ja ka sellele, et noh, mis, mis nagu ümberringi toimub. Umbes poole jagu planeerime oma graafikust täis ja siis ülejäänud poole täidab elu ise uksest ja aknast.
Millal te tulete tagasi nende juurde, kelle juures te olete juba käinud?
Et ei olegi sellist kindlat aega, et nüüd haiglad, kütusemüüjad, et olge valmis, kahe aasta pärast me tuleme uuesti, vaid, vaid ongi, et kui vahepeal midagi juhtub, siis me võime iga hetk tulla, hakata uuesti menetlema.
Ütleme selles mõttes jah, et ei ole, ei ole niisugust kindlat aega, et millal me tuleme või et millal me ei tule. Et kui me oleme käinud ja, ja noh, asjad on korras, siis jah, loomulikult see, see vähendab seda tõenäosust, et me lähiajal uuesti tuleme, küll aga ei anna nagu mingit garantiid, et kui, kui mingisugune asi juhtub, mis neid puudutab või on mingi muu indikatsioon, et siis me loomulikult võime minna ja uuesti vaadata ja võib ka vaadata samas asutuses mingeid teisi tahke.
Kas teie hinnangul need elutähtsate teenuse osutajad, mis te küll ütlete, jah, on seaduses üles loetletud, kõik need, või siis küberturulise seaduse mõttes, jah. Kas see nimistu tänasel päeval, mis meil on aasta kaks tuhat kakskümmend kolm, on nagu piisav või see peaks täienema? Ma osundan oma küsimusest sinnapoole, et siin hiljuti oli üks kaasus, millest ka meedias, mis käis meediast läbi, oli üks e -kooli lahendus, nimeks oli vist Stuudium, kus, kus juhtus jah, et keegi nii -öelda lihtsustatult ütleme, häkkis sisse ja siis kirjutas sinna mingi see kommentaar, mida kõik nägid, mis oli nagu väga ebasündsa sisuga. Aga kuna nemad ei ole elutähtsa teenuse osutajad, siis nagu keegi ei saa nagu otseselt mängu tulla ja öelda, et nagu, et näidake nüüd, et kuidas teie IT -süsteemid on loodud ja kas te olete teinud, võtnud kõik selle nimel ette, et keegi ei saaks sisse häkkida.
Just, et see on nüüd see koht, kus ütleme nende Stuudium ja, ja E -Kool ja mis need neli tükki seal kokku olid, et need oleks seal teenuse osutajad ja nende teenuste tarbijad või tellijad on tegelikult koolid, kes omakorda on jällegi meie siis järelevalve all ja, ja, ja Kütsi subjektid. Nii et, et selles mõttes ütleme meil on variant suhelda nende koolidega ja, ja nõuda nende koolide kaudu sellelt e -kooli keskkonna siis pakkujalt oma asjade korda tegemist.
Aga samas te ei saa nagu konkreetselt nende juurde minna ja, ja nii põhjalikku ja süvitsi minna, nii nagu te siin haiglate ja kütusemüüjate puhul olete läinud. Sest teie kontakt jääb ikkagi selle kooli põhiseks siis?
Ütleme antud juhul on ta sedapidi jah, kuigi meil on olemas ka üks näide varasemast praktikast, kus me oleme võtnud omale menetlusse ühe nii -öelda täiesti erasektori ettevõtte, kes ka osutas, osutas teenust siis avalikule sektorile ja, ja siis me menetlesime seda ettevõtet. Oli küll teise siis seaduse alusel, aga see võimalus kui selline on olemas. Ja mis neid koole nüüd puudutab, et siis see teema on meil praegu veel laua peal ja, ja vaatame, et kuidas me läheneme sellele.
See teema, kas te mõtlete seda konkreetselt, mis ma näiteks tõin või, või midagi muud?
Ehk siis te, ja ma kujutan ette, mitte ainult ei vaata seda stuudiumit, vaid kõiki siis neid e -kooli teenuse osutajaid. Ja siis loodetavasti enam ei saa midagi sellist juhtuda, et ettevõtja ütleb, et aga ma ei tea üldse, kes meie süsteemidesse ligi pääseb või kuidas.
Meil oleks nagu väga hea meel selle üle, et kui teenuse osutajad, noh, mitte ainult need, vaid ka laiemas mõistes, saaksid aru ka sellest, et, et milline siis see turvaline teenuse osutamine välja näeb. Et see teenus, mida nad osutavad, et ta oleks ka nagu turvaline ja et, et ei juhtuks sellised asjad.
Me oleme rääkinud väga palju sellest, et mis on nii -öelda halvasti ja mis, mida tehakse valesti ja kas midagi hästi ka on?
Kindlasti on hästi. Hästi on see, et, et tegelikult päris suur osa ka nendest kohtadest, kus me oleme käinud, me oleme ju ära lõpetanud ilma ettekirjutuseta. Ja ilma mingisuguste nii -öelda sunnivahenditeta, mis näitab seda, et, et puudusi kas on olnud vähe või, või siis on olnud see olukord, et need on menetluse kestel ära kõrvaldatud. Ja noh, see ongi kõige, kõige nii -öelda parem, parem variant, et puudused kõrvaldatakse menetluse käigus, siis ei ole meil vajadust teha mingite ettekirjutust ega sunniraha. Noh, eesmärk on ju see, et süsteemid saaksid kordaja turvaliseks. Et, et noh, meie eesmärk kindlasti ei ole kedagi siin karistada ja ettekirjutusi teha, et see on ainult nii -öelda äärmuslik abinõu. Et, et peamine eesmärk on ikkagi see, et, et süsteemid oleksid korras.
Kas juhtumisi, kuna teil on silme ees väga mitu paberilehekülge, mis on välja prinditud, kas juhtumisi on teil sellist Statistikat välja tuua, kuidas aastate jooksul on nende menetlustega läinud, et mis need nii -öelda lõpptulemused, kas te üha rohkem peate nagu osundama miinustele või on või nii nagu te olete juba öelnud ka, et on nagu olukord on paremaks läinud?
Ma pigem ei üldistaks seda, et siin on näiteid ühtepidi ja teistpidi, et, et on, on üllatavaid kohti mingisuguseid, kus, kus on asjad nagu oodatust võib -olla paremad ja on, on teistpidi kohti, kus, kus nagu võiks eeldada, et on asjad korras ja, ja tuleb välja, et siiski mitte.
Aga näiteid, nimelisi näiteid ikka ei taha.
Nimelisi näiteid pigem ei tooks praegu jah. Aga
kas on sellist situatsiooni tulnud ette, kus keegi, kes on sunniraha saanud, on ka selle ära maksnud ja siis nagu aastaid hiljem on mingi täiesti teine kaasus ja te vaatate jälle, et no ikka neil on mingisugused asjad metsas ja nad vist pole õppinud sellest.
Ma toon ühe teistpidise näite, kus, kus oli üks organisatsioon, kus me käisime ja, ja muuhulgas tegime siis ka nii -öelda võrguskaneeringu, vaatasime, mis seal seadmetes toimub. Leiti hästi pikk nimekiri punastest haavatavustest ehk et siis nagu kriitilised haavatavused. Ja, ja siis asutuse juht sellel samal koosolekul, sellel tutvustaval koosolekul nii -öelda siis küsis, et kuulge, et vaadake, siin näed, üks arvuti on nagu hästi -hästi punane, et kelle oma see on? Arvata võib, eks ole, tuli välja, see on tema enda oma. Ja, ja siis sellel samal koosolekul jagati käsulauad kätte ja, ja kui me poolenisti juhtumisi muu asjaga seoses mõnda aega hiljem sama siis organisatsiooni külastasime, siis oli seal kõik oli perfektselt korras. Nii et nagu prillikivi.
Juht oli seesama, kes, kes oli varasemalt sees. Ja, ja tema arvuti enam punast lipukest või punaseid lipukesi üles ei...
Mitte tema oma, vaid ka teised mitte. Nii et, et see on nagu näide sellest, et see saab ka olla edulugu. Et kui me käime, et sellel on mingi mõju, et asjad tehakse pärast seda korda ja nad ka siis jäävad korda, vähemalt siis mingiks ajaks.
Korra käis läbi see, et kolm tuhat asutust või organisatsiooni, nii, nii nagu te ütlete, on need, mis on teie tähelepanu all, aga samas, nii nagu selle stuudiumi näide oli, et sealt võib juhtuda ka nii, et tuleb kuskilt veel neid eraettevõtteid juurde. Kas see kolm tuhat ongi selle arvestusega, et sinna hulka on arvestatud ka need potentsiaalsed eraettevõtted, kes võivad teile huvi pakkuda?
See on pigem otsesed küberturvalise seaduse subjektid.
Kas te oskate öelda ka hinnangut, kui palju võib olla neid eraettevõtteid, mis moel või teisel ikkagi võivad teie tähelepanu alla sattuda?
Neid on kindlasti väiksem hulk, et, et noh, kui me vaatame need peamised IT -teenuste osutajad, kes siis osutavad teenuseid kas, kas erasektorile või, või ka avalikule sektorile. Et, et ütleme tihtipeale on nagu puuduseks see, et, et on teenuslepingud sõlmitud ja, ja need, need ei räägi sellest teenuse turvalisusest. Ja, ja kui nad ei räägi sellest, siis tihtipeale on ka see, et seda turvalisust ei ole või, või sellele ei pöörata tähelepanu, siis võivadki juhtuda niisugused asjad, et, et see pool on jäänud katteta ja tähelepanuta ja ongi õnnetus majas.
Ma küsiks lõpetuseks niimoodi, mis on selline üks kuldsoovitus või kuldreegel, mida te annaks siis ettevõtete, asutuste, organisatsioonide juhtidele ning ka nende töötajatele?
Soovitus oleks pigem ilmselt see, et, et aru saada nii -öelda oma teenusest, mida osutatakse ja miks seda tehakse ja, ja kuidas oleks nagu kõige mõistlikum seda teha. Ja saada aru sellest, et, et kogu see küberturvalisus on, on nagu läbi terve organisatsiooni ulatub, et see ei ole ainult tõesti IT -meeste rida, vaid see hakkab pihta asutuse juhist ja, ja puudutab kõiki töötajaid ja et turvalisus ei ole projekt, vaid ta on ikkagi protsess, mis ei lõpe ja, ja algab uuesti.
Kas see soovitus käib ka era - ja avaliku sektorilise teenuste osutajate kohta? Need just need potentsiaalsed eraettevõtted, kes võivad, tead, kohalik omavalitsus midagi meilt nüüd ostis või me kuskil hankel osalesime, midagi me võitsime, et kas see soovitus käib ka nende kohta?
Kindlasti käib ka nende kohta ja, et seepärast, et noh, päeva lõpuks on ju, on ju nemad see, need, kes, kes selle teenuse osutamise eest vastutavad. Ja siis kui on leping on nii -öelda korrektselt sõlmitud ja tasakaalus, et siis on tellijal ju võimalus ka seda vastutust kuidagi realiseerida.
Kui pikk muidu teil kõige pikem menetlus on olnud?
Ütleme meie menetluste pikkused on hästi varieeruvad. On mõned, mis on paari nädalaga valmis saanud, aga kõige pikematest on, on need, mis on üle aasta ja isegi päris kõige pikem on kaks ja pool aastat, mis meil kestis haldusjärelevalve menetlus MKM -i üle.
Miks see võttis kaks ja pool aastat aega?
Seal oli päris mitmeid teemasid ning kuna oli plaan see, et et need puudused kõik ilusti kõrvaldatakse, et ja ja noh eesmärk oli see, et need süsteemid ka tegelikult nagu korda tehakse, et mitte ainult niimoodi pinnapealselt ja formaalselt. Et seetõttu me andsime ka nii -öelda pikemad ajaraamid nende süsteemide kordategemiseks ja, ja andsime nagu ka, pikendasime veel ettekirjutuse tähtmise, täitmise tähtaega.
Aga olge hea, värskendage nii minu kui ka kuulajate mälu, et see on Majandus - ja Kommunikatsiooniministeeriumi kaasus vist, mis oli, sai alguse jah, aastaid tagasi. Sellest, et keegi pahalane läks nende dokumendiregistrisse ligi ja sai mingeid dokumente, mida ta poleks nagu tahtinud kätte saada.
Laias laastus niimoodi, jah.
Mina mäletan seda, kuna ma olen siis kirjutanud sada üks artiklit, et tegelikult noh, te räägite praegu väga ilusalt ja viisakalt, vaid seal oli selline olukord, kus MKM nagu ei nõustunud sellega, mida teie ütlesite neile.
Kui nad ei oleks nõustunud, siis neil oli võimalus ettekirjandust vaidlustada, haldusakti saab vaidlustada, seda nad ei tehtud, millest ma järeldan, et nad sisuliselt ikkagi olid nõus sellega.
Aga ma mõtlen just see, et see võttis kõik nii kaua aega.
Jaa, ega, ega ütleme, et MKM -il on ka hästi palju süsteemi, ta on suur organisatsioon hästi paljude teenustega ja, ja kui seal on nii -öelda, siis on ka see suurem tõenäosus, et seal on mitmeid erinevaid puuduseid ja kui tahta nende puudustega süvitsi tegeleda ja neid nagu päriselt kõrvaldada, siis see võtabki palju aega. Ja ütleme, et selle menetluse käigus siis kindlasti osa puuduseid kõrvaldati ära, aga, aga kõike siiski mitte.
Ja siiamaani sunnirahad ei ole neile määranud?
Ütleme, haldus - või järelevalve raames sunniraha me teisele halduse kandjale määrata ei saa. Et sunniraha tuleb mängu, ütleme, riikliku järelevalve puhul või siis teine võimalus on see, et, et kui me räägime rahatrahvist, siis see tähendab juba väärteomenetlust.
Kas see, et üldse MKM, noh, Riigi Infosüsteemi Amet kuulub nagu MKM -i all, et kui palju seal on nagu takistusi, kui, kui detailseks te saate minna, kui te lähete vaatate nii -öelda oma leivaandjat, siis...
Ma ei ole näinud ühtegi seadust ega paragrahvi, mis ütleks meile, et me MKM -i kuidagi teistmoodi peaksime või võiksime käsitleda.
Me teeme seda selles mõttes täpselt samamoodi, nagu me kõiki teisi käsitleme, et kui on puudus, me toome selle välja ja, ja siis...
Nii et kui kõrvaltvaatajale võib jääda pilk, et see kaks pool aastat, et noh, lihtsalt Riia oli olukorras, kus noh, me ei saa midagi teha, me ei saa öelda, MKM, noh, nemad ju annavad meile raha kogu aeg, et me saaks teha oma huvitavaid uusi projekte, kõik ellu viia, me ei saa nagu neile halvasti öelda nüüd.
Ütleme selline mulje on hästi kerge tekkima, et et on ministeerium, siis allasutus ja et kuidas nüüd neile öelda. Aga aga veel kord, see ongi meie töö. Meie töö ongi valvata järele selle üle, et et ka kõik need teised asutused, sealhulgas MKM täidaksid neid nõudeid, mis on seadusega kirja pandud. Et siin ei ole nagu erandi tegemise kohta.
Aga samas, nii nagu te ütlesite, me oleme tänaseks päevaks olukorras, kus see menetlus on läbi ja MKM ei ole päris kõike seda teinud, mida te ütlesite, et, et nad võiksid teha.
Jaa, et nii ta on, et see haldusjärelevalve menetlus kestis päris kaua ja osa puuduseid kõrvaldati ära. Kuid siis me lõpetasime selle menetluse ära, kuna ütleme ta oli täitnud oma selle otstarbe, et selle menetlusliigiga ei saanud enam sinna muid asju teha ning seetõttu siis me algatasime väärteomenetluse MKM -i suhtes.
Ja nüüd MKM peab olema nii -öelda pingsalt valvel ikkagi, et et Riia üks hetk tahab lähemalt veel vaadata kõiki süsteeme?
Ütleme, see väärteo menetlus on praeguseks hetkeks läbi ja, ja ütleme, meie eesmärk on ikkagi see, et, et need puudused ära kõrvaldatakse, et jah, tõepoolest me ideeliselt võime üsna pea algatada uue järelevalve menetluse ja vaadata, et kas need nüüd on siis kõrvaldatud.
Aga seda teil kavas ei ole või on?
No me ikkagi hoiame pilku peal asjadel, et ja, ja hoiame ennast kursis sellega, et mis seal toimub ja kui näeme seda vajadust, et sinna sekkuda, siis algatame menetluse.
Head kriitilise intsidendi kuulajad, selline sai tänane saade, saates oli külas Riigi Infosüsteemi Ameti järelevalve juht Ilmar Toom. Saime siis teada, kuidas ja mida RIA teeb selle jaoks, et Eesti oleks küberturvalisus, küberturvalisem ja, ja kuidas nad siis jah, ta vaatavad seda näiteks koolide, haiglate, perearstikeskuste, tanklakettide ja siis ka ministeeriumi tasemel. Suured tänud kuulamast, mina olin saatejuht Ronald Liive ja kohtun teiega uuel nädalal.
Saate toovad teieni SMIT ja TEHIK. SMIT. Päästame elusid IT -ga. TEHIK -u aeg kulub sellele, et ülejäänud... Ülejäänud Eesti saaks aega kokku hoida.
[ TRANSKRIPTSIOONI LÕPP ]