Anna neiu number kaks, kust sa tuled ja anna aru, mis sa teed. See positsioon ja see osakond, minu tiim, meie põhiline ülesanne on tagada seda, et riigi siis selline strateegiline ja regulatiivne ruum oleks küberturvalisust soosiv ja edendav. Mida see praktiliselt tähendab, on see, et seadused, määrused, strateegiad, riigi enda praktiliselt ka rahakulutuse, eelarve õppimissammud oleks võimalikult seda kõike soosivad. Seda, et Eesti oleks läbivalt küberturvaline ehk et infosüsteemide, arenduste, kõige sellise juba disainimise, aga ka käitlemise ja lõpuks elukorra lõpus arhiveerimisel arvestataks turvet. Arvestataks seda, et need andmed, mis seal on, on turvalised, et süsteemid ja nende andmed on kättesaadavad neile, kellel on selleks õigus. Ja neile ja selle, sellisel viisil ajal, nagu neil on selleks soovi. Sealjuures on hästi oluline, et Eestis riski juhtimise ja siis turbemeetmete eest vastutab ju süsteemi või protsessi omanik, kes tehnoloogiat kasutab. Aga keskkond peab sellele järele aitama. Kui ma ametisse astusin, nagu sa viitasid, suhteliselt täpselt aasta tagasi, siis selleks ajaks oli olnud selline pigevat reageerimist nõudvat aega mõnel aastal. Ehk kõigepealt koroona, millega mitte ainult Eestis, aga kogu maailmas toimus väga kiire üleminek kaugtööle, sageli ka nendes kohtades, kus inimesed on harjunud noh näost näkku töötama ja kõik see, et kuidas me siis, kuidas me töötame endiselt ja teeme oma parimaid tööd kui sisu või kõike seda, kui enam ei saa kaitsta perimeetrit. Ehk enam ei saa öelda, et turvaline on see, mis toimub meie võrgus, meie seadmetes, meie ustest seespool, sest ta ei saa käia kontoriseadustes seespool. Ja siis, kui tundus, et see nagu on maha rahunenud ja on leitud need turvalised kaugtööviisid. Ja siis algas Venemaa agressiooni sõda Ukraina vastu. Mis tähendab seda, et jällegi alates sellest, et kuidas antakse, mis abi antakse Ukrainale, kuidas rakendatakse kaitsemeetmeid sellises teravnenud julgeolekuolukorras ka Eesti tähtsate teenuste ja võrkude ja andmete vaates. Seiret kaitseb kõike sellist kuni väga konkreetsete asjadeni. Mina sellel hetkel olin siseministeeriumi IT arenduskeskuse SMIT -i infoturbejuht ehk kõik siseturvalisuse, kaasa arvatud siis nii korrakaitse kui ka põgenike pagulaste jaoks mõeldud infosüsteemid on ju SMIT -i arendatud ja käideldud. Et kuidas see, kuidas seda hoida turvalisena ja nii, et võimalikult hästi kiiresti seda kõike teha. Ehk et selleks hetkeks, kui mina saabusin, oli olnud pikemat aega reageerimist, mis omakorda tähendab seda, et sellised kodu korrastamise asjad ja, ja sihi seadmise asjad on olnud meil kindlasti viimase aja kõige suurem fookus. See, et noh, et strateegilised ja normi raamid. Küberturvalisuse seadus kindlasti järgneva aasta ja kahekümne kaheksa, kui ma ei eksi, päeva jooksul peab saama uuendatud, sest et võrgu ja infoturbe direktiiv peab olema rakendatud siis järgmise aasta sügiseks. Ja lisaks sellele Eestis kehtiv küberturvalisuse seadus ongi selline koolika jõudnud. Ta on esmakordne, esmakordne selline seadus, mis räägib, mis on infoturbenõuded kriitilistes sektorites, elutähtsatele teenustele. Et ongi väga kohane vaadata seda normi üle. See on üks osa kodukorrastamisest, küberturvalisuse strateegia ehk see, mis ütleb, noh, kuhu me tahame jõuda ja mis on selle teema, kuidas edukas küberturvaline Eesti välja näeb. Et see kindlasti on nendest poliitika juhtimise instrumentidest oluline.
See on kohe minu ametikoha nagu põhiline eesmärk, et lõpuks see, mida me tagame, mida me teeme, kui me räägime turvalisusest, on noh, mida tähendab selle küberturvaline Eesti minu jaoks siis, see on ju see küsimus tegelikult. See lihtsam ots on see, et või või see esimene ots, kus peab algama igal juhul, on kodaniku ja ettevõtte vastutus nende enda andmete eest. Ehk see, et kui mina ja sina kodanikuna igasse tarbemängu anname oma isiklikke telefoninumbreid või oma laste pilte inimesed annavad mingile saada nunnu lapsepilt või teha pakkmähkmeid, siis su lapsepilt on antud turunduslikele eesmärkidele ära ja seda vastutust ei saa nagu inimese pealt keegi teine ei ära võtta ega täita. Ja ettevõttel samamoodi, et kui sul on selleks, et teha oma äri ja ei ole vahet, kas see äri on tooteuksi, aknaid või see äri on teha maailma parimaid mängufilme või midagi seal vahepeal. Kui selleks, et teha seda, mis on see põhitegevus, on kasutusel tehnoloogia, ükskõik, kas see on siis inimeste, näiteks meditsiinisektoris ülitundlike eriliigiliste terviseandmetega koos, avalikus sektoris sageli ju ülitundlike eriliigiliste isikuandmetega, mis puudutavad mõnikord näiteks terviseseisundit või puuet, perekonnaseisu, laste hooldusõigusi. Kui sa neid asju kuidagi nagu käsitled või käitled oma töös, siis sa pead tagama, et nad oleksid turvaliselt hoitud. Ja ei ole vahet, kas hoiad neid paberil või digitaalselt, digitaalselt, Eesti üldiselt suhteliselt digitaalses ühiskonnas on lihtsam, kiirem andmevahetus, sa saad teiste andmebaasidega, kui sul on õigustatud huvi võrrelda, sa ei pea nagu seda kartoteegikaardil ei pea tegema. Ja kui sa seda nii teed, siis sa algusest peale, ja see on erakordselt ebaseksikas, ma pean, ma vabandan kuulajate sinu ees, et sa pead algusest peale mõtlema protsessis läbi. Nii, meil on selleks, et me saaksime oma uksiaknaid toota, on meil vaja järgmiseid infosüsteeme, ilmselt mingi disaini ja lao infosüsteem, kus võib olla ärisaladust. Me ei taha, et kliendid teaksid, milline konkreetne komposiit käib meil siin nüüd puidukihtide vahel, et nad Eesti ilma käes ära ei sulaks. Siis sul on klientide andmed, kus võivad olla ka finantsandmed, kodused aadressid, mis, mis vajavad teistmoodi kaitsmist, et kliendi pangakonto ja kodus aadressi, see ei tohi sinu juurest jalutama minna. Ja sa pead algusest peale mõtlema selle peale, et kui me tahame makseinfot siis käidelda, sest me tahame makseid vastu võtta, mis on üldiselt ärile hea, siis mis me teeme selleks, et need andmed oleks meie juures ka kaitstud? Et nad oleks kaitstud konfidentsiaalsuse või privaatsuse mõttes ehk ainult neil, kellel on õigus ligipääsuks, et nad saavad sinna ligi. Aga teist ja teistpidi, et jääb jälg maha neil, kes saavad ligi, et juhul kui on mingi väärikasutuse kahtlus. Et jääb jälg, noh, me seirame, et mingi logi on. Ja, ja kuidas me siis algusest peale infosüsteemi nii üles ehitame. Kuni selleni, et kogu siis nende andmete või infosüsteemide elutsükli jooksul, kellel on õigustatud digipääs, kuidas me neid pääsuõigusi haldame. Ja see on nii riigi, ei ole vahet, kas see hüve, mida sa lood, on noh, kõige parem kultuuriprogramm Tallinna linnas või see hüve, mida sa lood, on uksed ja aknad. Kui on abi IT -st selleks, et oma tööd teha, siis sa pead seda ka ära turvama. Konfidentsiaalsusest me rääkisime, sa pead turvama seda, et need andmed oleks usaldusväärsed ehk et ei saaks teha autoriseerimata muudatusi, et noh, et e -tervises minu või sinu veregrupp ei oleks muudetud või minu ja sinu välja kirjutatud ravimid, kui siukseid on. Sest see võib mõjutada järgmisi raviotsuseid ka nagu potentsiaalselt mõjuga tervisele. Ja see, et neid saaks kätte sellisel viisil, nagu on vaja, ehk mis on nagu käitlusnõuded. Kas ka siis, kui on süsteem üleval üheksakümmend üheksa koma üheksakümmend üheksa protsenti ajast, siis ta võib aastas kaheksa tundi maas olla, mis on, mis ei ole väike aeg sellele, kellel siis seda süsteemi on vaja. Ehk et see on nagu üks on see, et see süsteemi omaniku vastutus. Aga siis tekivad mitmed küsimused, et siis see on see nagu see küberturvaline organisatsioon või infosüsteem või infoturvaline. Aga see, mida selles vaates mina ja minu meeskond ja ka riigi IT -asutused ka järelevalvele muuhulgas saavad teha, on ju see, et väga selgelt öelda välja, kuidas hea välja näeb. Mis on need, kas siis mida ei tohi juhtuda, noh, andmeid ei tohi lekkida või mis peab juhtuma, ehk et andmed peavad olema kaitstud või süsteem ei tohi maas olla, süsteem võib maas olla kuni nii kaua, turbenõuded. Siis keskkonnas on terve hunnik neid asju, kus noh, seda ärispetsiifilist poolt, seda me ei saa teada keegi peale selle äriomaniku ja või protsessi omaniku riigi vaates, siis noh, see protsess, et ma ei tea, lapsi pannakse lasteaedadesse kirja või, või mina ja sina maksame kord aastas oma üksikisiku tulumaksu. Seda vastavalt siis teavad siis vastavad sotsiaal - ja kohaliku omavalitsuse üksused või Maksu - ja Tolliamet ja tööandjad. Ja aga ka kui see kõik on siis selle äriomaniku peal, siis järgmine sama oluline samm on see, et kesksed teenused oleks turvalised ja oleks või siis, et oleks kesksed turveteenused. Mida see riigis tähendab, on see riigi, riigi keskse IT -asutuse juurde kõige universaalsema otsa konsolideerimine. Töökohad, andmemassiivid. See tähendab seda, mida teeb RIA küberturvalisuse keskus ehk selle meie ühise nagu punkt ee domeeni seire ja selle intsident ja halduse ennetus. Ja see tähendab ka keskseid selliseid nõuandeid, sest lõpuks nagu väga -väga õigesti on organisatsioonid ja, ja erinevad ministeeriumid tähelepanu juhtinud. Me kõik kasutame väga sarnaseid või sammu lõppkasutaja seadmeid, me kõik kasutame mingil viisil kontoritarkvara. Ja seal mina või minu tiim või järelevalvele Riigi Infosüsteemi Amet ei saa teada, mis andmeid näiteks e -mailis kasutate, tavaliselt saadetakse, aga me saame teada, kuidas me saame anda üldiseid juhiseid, et kuidas näiteks e -maili puhul riske juhtida. Et see on ja siis see need on need asjad, mis on nagu keskkonnas. Ja see, mida unikaalselt saab teha ainult minu tiim, on siis seda kõike soodustav keskkond, strateegiline ja õiguslik, see poliitika keskkond, poliitikloome keskkond.
Ma tean seda ühikest vastust, aga siin on nagu nii mitu keskset dilemmat tänases infoühiskonnas, mida sa adresseerid ja, ja on hea, et me tõstame kõrvale selle, mida tegi noh potentsiaalselt ja arvatavasti siis korruptsioonivastast seadust ja teaduseetikat rikkudes üks sihtasutus ja üks, üks õppejõud. See on noh, see on ikka avalikus ruumis juba teada. Ja täna ka, et rahvastikuregistri seadus jätab mõned võimalused, muuhulgas siis selle andmete õigustatud ootuse avaliku huvi korral siis pärimise ja väljastamise. Ja, ja siin on esimene hästi keskne teema, mis, kus täna kindlasti ei ole ei mul ega sul ega ka SMITil või, või Siseministeeriumil ja tema rahvastikutoimingute professionaalidel õiget vastust. Aga selgelt oli näha, et see, mis on kirjas rahvastikuregistri seaduses ja tema siis määrustes. Ja see, milliseid päringuid sealt tehakse, selle alusel. Ja tänane ühiskonna õiglustunne ei pruugi olla täiesti kooskõlas. Ehk et see küsimus, kas see, kuidas täna on õigustatud huvi ja avalik huvi defineeritud ümber rahvastikuregistri või see, et vaikimisi säte on see, et andmeid võib väljastada. Et, et see ei, või me peame väga tõsiselt, ma arvan siin, siin järellainetuses küsima, et kas see vastab tänasele ühiskonna ootusele ja õiglustundele. Ja noh, sest see, need on selle ühiskonna liikmed, nende inimeste andmed, keda seal väga kõrge ootusega usaldusele käideldakse. Ja siis teine küsimus on järelevalves ja selles, mida tähendab tegelikult due diligence. Et eks me teame, et mida siis sinu kolleeg AK -st Merlin Pärli on ka väga selgelt lahti kirjutanud, et rahvastikuregister ka kontrollis, et on olemas leppinud Tartu Ülikooli ja siis selle sihtasutuse vahel. Nad kontrollisid selle olemasolu. Kas on piisav, kas nad peaksid ka esitama neid küsimusi, mida, mis peaksid olema esitatud justkui enne seda, kui üldse sihuke taotlus neile tuleb. See Inimuuringute Eetikakomitee on vist selle nimi, selle luba. Noh, et tehingu, tehinguõiguse, tehingu piirangu osas, et kas kuivõrd need, see väärtus, mida rahvastikuregister endas kannab, on nii oluline. Kas nad peab, kas nende järelevalve ja duellitsentsi ootus neile on kõrgem, kui täna on? Ja kas või, või see on ikkagi ennekõike see, et me siis sellise kehtiva õigusnurme asu, alusel asume lepingusse ja me peame usaldama, et see, mis teie lepingus väidate, on, on tõsi teie kohta. Et see vastutus, see täna on, ma arvan, diskussiooni vajadus, mitte siin, siin ei ole minul kindlasti ei ole õigeid vastuseid. Ja laiemalt on see ka selline järelevalve dilemma, mis on igas järelevalve kohas. Me ei, ka liikluspolitsei ei palva järele igale konkreetsele autojuhile, et see ei ületaks kiirust. Ta valvab järele, kas selline üldiselt kohtades, kus on kõrgendatud risk. Noh neid seal mõnes kohas on ju ka siis automaatkaamerad sellise nagu järelevalve mehhanismi ühe osana. Või siis patrull on seal, kus on samamoodi kõrgendatud risk või, või põhjus arvata, et siin on nagu see mõjus, järelevalve tegevus või teistpidi ta valvab järele kaasuse põhiselt. Ehk et see, kui sa helistad politseisse ja ütled, sõidan üheksakümne alas, minust sõitis mööda hinnanguliselt vähemalt viiskümmend kilomeetrit kiirema tunnikiirusega sinka -vonka punane kastiauto. Siis see on nagu siis noh see kaasuse põhiselt, et on mingi info. Iga iga muu järelevalve, aga köite valdkonnas on sama. Sinna lisandub veel IT -s kindlasti selline auditipõhine, ehk et sul on, kas eneseaudit, sa ise raporteerid mingi standardiseeritud küsimustiku või meetodi või soovituse alusel, kas ma olen seda teinud? Näiteks on nii -öelda standardi laipversioonid nagu CIS controls on, on üks sellistest oma soovitustega. Või siis välishindamine juba konkreetne standard või meetod, alates siis need ISO ja, ja ehk siis vastavalt rahvusvahelise standardi organisatsiooni infoturbe standard ISO kakskümmend seitse null null üks ja temal on praegu olnud. Et seda, et järelevalve jõuaks käia kontrollimas noh iga tehnilist liigutust pluss sellest nagu, et kus me teame, et need bitid siin kapis asuvad, et seal on ikkagi väga oluline noh see järelevalve nagu valimi küsimus, kuidas see järeleolemismeetod, kas riskipõhiselt, intsidendipõhiselt, kas auditipõhiselt kombinatsioonis. Ja see, et sa realistlikult hindad, mida sa saad järele valvata. Ja seda, kus asuvad bitid ja baidid, suurte infosüsteemide puhul, sa pead seal, sellest olulisem on tohutult ebaseksikas protsessi küsimus. Kas see on standardne protsess? Kas see on dokumenteeritud? Kas sellele protsessile vastamine on dokumenteeritud? Kas me oleme kokku leppinud, et andmed, kui hävitatakse, siis andmekandja kirjutatakse üle? Millistel tingimustel kirjutatakse seda üle kolm korda grupeeritult? Et ei tekiks seda jääkandmetega ausimust? Millistel väga tundlikel olukordadel me saadame ta nende surmakihvade vahel ehk hävitame andmekandja? Millistel oludel me tõstame andmeid ühest seadmest teise. Et see on ennelike protsess ja dokumentatsiooni küsimus. Ja palju veel see, et järelevalve käiks ja kontrolliks iga bitti ja baiti, kaasainetehnoloogiamailm ei tööta nii.
[ TRANSKRIPTSIOONI LÕPP ]