Tere, head kriitilise intsidendi kuulajad. Saade on tagasi, et rääkida teemal, millele sai viimases saates põgusalt meil juba ka viidatud. Head kuulajad, ehk jäi teile meelde, et eelmises saates oli külas ITL -i tegevjuht Doris Põld, kes paljude muude teemade seas rääkis ka sellest, küll väga põgusalt, et miks ei ole Eesti Infotehnoloogia ja Telekommunikatsiooni Liidule vastuvõetav selline asi nagu pilvemäärus. Hea meel on tõdeda, et tänase saate külaline oskab meile rääkida sellest pilvemäärusest lähemalt kõigi erinevate tahkude alt, aga mitte ainult sellest, vaid veel väga paljudest muudest teemadest, mis on meie kõigi jaoks väga -väga olulised. Saates on külas Riigi küberturvalisuse poliitikajuht Liisa Past. Tere.
Jah, tõesti, kõigile ilusat esimest septembrit ja ja vaikselt hakkab see sügis meile kätte jõudma, ehk siis teemad siin saates ka lähevad tõsisemaks. Mainin ära ka mina endiselt saatejuht Ronald Liive, aga ma tahtsin küsida alustuseks niimoodi. Te alustasite ametis riigi küberturvalise poliitika juhina umbes täpselt aasta ja mõni nädal tagasi. Kuidas selle aja jooksul on läinud? Mida te teinud olete?
Anna neiu number kaks, kust sa tuled ja anna aru, mis sa teed. See positsioon ja see osakond, minu tiim, meie põhiline ülesanne on tagada seda, et riigi siis selline strateegiline ja regulatiivne ruum oleks küberturvalisust soosiv ja edendav. Mida see praktiliselt tähendab, on see, et seadused, määrused, strateegiad, riigi enda praktiliselt ka rahakulutuse, eelarve õppimissammud oleks võimalikult seda kõike soosivad. Seda, et Eesti oleks läbivalt küberturvaline ehk et infosüsteemide, arenduste, kõige sellise juba disainimise, aga ka käitlemise ja lõpuks elukorra lõpus arhiveerimisel arvestataks turvet. Arvestataks seda, et need andmed, mis seal on, on turvalised, et süsteemid ja nende andmed on kättesaadavad neile, kellel on selleks õigus. Ja neile ja selle, sellisel viisil ajal, nagu neil on selleks soovi. Sealjuures on hästi oluline, et Eestis riski juhtimise ja siis turbemeetmete eest vastutab ju süsteemi või protsessi omanik, kes tehnoloogiat kasutab. Aga keskkond peab sellele järele aitama. Kui ma ametisse astusin, nagu sa viitasid, suhteliselt täpselt aasta tagasi, siis selleks ajaks oli olnud selline pigevat reageerimist nõudvat aega mõnel aastal. Ehk kõigepealt koroona, millega mitte ainult Eestis, aga kogu maailmas toimus väga kiire üleminek kaugtööle, sageli ka nendes kohtades, kus inimesed on harjunud noh näost näkku töötama ja kõik see, et kuidas me siis, kuidas me töötame endiselt ja teeme oma parimaid tööd kui sisu või kõike seda, kui enam ei saa kaitsta perimeetrit. Ehk enam ei saa öelda, et turvaline on see, mis toimub meie võrgus, meie seadmetes, meie ustest seespool, sest ta ei saa käia kontoriseadustes seespool. Ja siis, kui tundus, et see nagu on maha rahunenud ja on leitud need turvalised kaugtööviisid. Ja siis algas Venemaa agressiooni sõda Ukraina vastu. Mis tähendab seda, et jällegi alates sellest, et kuidas antakse, mis abi antakse Ukrainale, kuidas rakendatakse kaitsemeetmeid sellises teravnenud julgeolekuolukorras ka Eesti tähtsate teenuste ja võrkude ja andmete vaates. Seiret kaitseb kõike sellist kuni väga konkreetsete asjadeni. Mina sellel hetkel olin siseministeeriumi IT arenduskeskuse SMIT -i infoturbejuht ehk kõik siseturvalisuse, kaasa arvatud siis nii korrakaitse kui ka põgenike pagulaste jaoks mõeldud infosüsteemid on ju SMIT -i arendatud ja käideldud. Et kuidas see, kuidas seda hoida turvalisena ja nii, et võimalikult hästi kiiresti seda kõike teha. Ehk et selleks hetkeks, kui mina saabusin, oli olnud pikemat aega reageerimist, mis omakorda tähendab seda, et sellised kodu korrastamise asjad ja, ja sihi seadmise asjad on olnud meil kindlasti viimase aja kõige suurem fookus. See, et noh, et strateegilised ja normi raamid. Küberturvalisuse seadus kindlasti järgneva aasta ja kahekümne kaheksa, kui ma ei eksi, päeva jooksul peab saama uuendatud, sest et võrgu ja infoturbe direktiiv peab olema rakendatud siis järgmise aasta sügiseks. Ja lisaks sellele Eestis kehtiv küberturvalisuse seadus ongi selline koolika jõudnud. Ta on esmakordne, esmakordne selline seadus, mis räägib, mis on infoturbenõuded kriitilistes sektorites, elutähtsatele teenustele. Et ongi väga kohane vaadata seda normi üle. See on üks osa kodukorrastamisest, küberturvalisuse strateegia ehk see, mis ütleb, noh, kuhu me tahame jõuda ja mis on selle teema, kuidas edukas küberturvaline Eesti välja näeb. Et see kindlasti on nendest poliitika juhtimise instrumentidest oluline.
Et jälle see on niisugune suure võrdluse küsimus, et kust otsast pihta hakkame. Hakkame, et. Et lõppkokkuvõttes täpselt meie tiim tagab seda keskkonda, milles kõik tegutsevad ja paljuski ka on siis nagu innovatsioon ja turve käivad alati ju käsikäes. Et kui üks jookseb eest ära, kui jookseb innovatsioon eest ära, siis lähevad kas andmete otsi või kukuvad teenused maha. Ja kui turva jookseb eest ära, siis jälle innovatsioon nagu muutub kääbuseks. Et, et see tasakaal on kokku meie töö. Ja mida me oleme teinud, mõeldes järjest, kes, kes mu kõrval istuvad. Paratamatult sul avalikus teenistuses on selline noh korraldavad, administreeriv eelarve, protsessi roll, aga see on umbes üks inimene minu kinnist ehk vähem kui kümnendik. Siis viimase aasta jooksul me oleme teinud väga teadliku valiku, et me räägime enda jaoks hästi oluliste huvi - ja sidusgruppidega otse. Ehk et selleks, et küberturvalisuse strateegia, mille eesmärk on jälle öelda, et kuidas on Eesti läbivalt küberturvaline, kuidas see välja näeb, mis on need vahendid ja mis on need lähenemised, mis on need maamärgid, mille järgi me läheme, seda me oleme teinud kaasavalt. Me oleme istunud maas umbes viieteistkümnel korral keskmiselt kaks tundi korraga siis erinevate valdkondade, ka ministeeriumite, ka siis erialaliitude organisatsioonide esindajatega. Ja paljuski neid kuulanud, nende ootust sellele, milline on küberturvaline Eesti ja põrgatanud oma dilemmasid, kasvõi selles, et kes, kus on vastutus inimese, ära siis anna oma andme, kui seda, et nad lekiks, noh, mis on ebamõistlik, sest inimene ei kontrolli infosüsteeme versus nagu keskse käskimise või keelamise vahel. Sest mustad ja valged nimekirjad tehnoloogias on väga kiiresti aeguvad ja seda ka Eesti õigusruum ei, ei soosi. Need on ebamõistlikud Eesti kontekstis, et ohu ja riskihinnangud on see mõistlik koht. Ja see kaasamine ja kõigi nende erinevate osapooltega tehtav töö on samuti oluline. Nagu ikka ministeeriumi puhul on töö rahvusvaheliste partneritega. Meie jaoks on Euroopa Liit siin eriti oluline. Ehk et digi - ja kübervaldkonnal on ka kaks atašeed Brüsselis, kes on siis nagu valdkonnaülesed kogu digiriik, digiareng ja küber kokku. Ja see on hetkel olulisem, ma julgen väita, kui viimaste mitmete aastate jooksul, sest et sellist normi, mis kas kõikide organisatsioonide info ja küberturvalisust mõjutab või konkreetsete sektorite oma, on lihtsalt palju. Võrgu - ja infoturbe siis direktiivi juba mainisin, mis on see, mis ütleb Euroopa üleselt, universaalselt, kes on elutähtsateenuse pakkujad ehk kes on need, kellest me sõltume. See, et mina ja sina saime täna kraanist puhast vett, see, et meil on võimalik, et siin on elekter, et, et tuli põleks, et see arvutustehnika saaks töötada. Ka esmatarbekaupadega varustamine, telekommunikatsioonid ja, ja meditsiinis, osas meditsiiniteenuse pakkujaid. See, see on äsja uuenenud. Siis eelmise aasta lõpul lõplik versioon tuli välja, rakendusaeg on, on üle aasta ja ta muuhulgas laiendab väga palju seda, kellele tekivad siis info või, või küberturvalisuse nõuded, kellele rakenduvad võib -olla, kellele rakendub ringi, laiendab. Ja lisaks sellele on siis kriitiliste elutähtsate sektoritega eraldi tegelev, justkui nagu kriisijuhtimise akt, on küberkerksusakt, on, on pangandussektoris näiteks toora, mis on pankade direktiiv, aga mis tegeleb muuhulgas ka info küberturvalisusega. Et neid selliseid erinevaid Euroopa norme on praegu tõesti pooltõsinal kindlasti laual või kohe tulemas. Ja nende võimalikult mõistlikult Eesti, esiteks Eesti seisukohtade eest seismine. See, et me ei, ei paneks liikmesriikidele kohustust sertifitseerida iseseisvalt kogu tehnoloogiat, sest et see võimekus on Euroopas päästetud riikidel, kindlasti mitte enamusele, kindlasti mitte kõigil, kuni selleni pragmaatiliselt, et kui Saksamaal on mingi tehnoloogia ära sertifitseeritud, neile sobivad, siis ta ilmselt sobib ka meile. Et selline nagu Eesti huvide, hästi pragmaatilise huvide esindamine kindlasti kohe hõlmab ka ministeeriumit ja, ja minu tiimi ja, ja meie atašeesi. Ja teiselt poolt jõuan ma siis oma õigustiilini, kelle, kes muuhulgas ka küberturvalisuse seaduses siis kaasamisel ja teiselt poolt nende erinevate Euroopa normide võimalikult mõistlikult Eesti ruumi ülevõtmine, et ei tekiks ka olukorras, kus ja võib öelda, et näiteks pankade, siis see Dora pankade norm ja NIS ehk siis elutähtsate või ja infoturbe norm, mis elutähtsa teenusepakkujaid mõjutab. See mõjutab, mõlemad mõjutavad ju panku ja Eestis väikse riigina see, et see oleks nagu ühes kohas ja, ja harmooniliselt üle võetud, et, et me kindlasti ei saa lubada endale, et noh, et kui eurodirektiivid on eri kohtades, siis temaga eri kohtades vaid, et see oleks nagu ühtne ja võimalikult loogiline Eesti, Eesti ruumi jaoks. Ja samas siis meie enda vajadusi täitaks. Ehk et noh, erinevate osapoolte huvipoolt, et see, et me oleme väga palju töötanud otse just. Läbi fookusgruppide, läbi ka otse kaasamiste, ärakuulamiste, arvamuste küsimise on, on olnud see, mida me oleme siis aasta jooksul teinud. Noh, ja eesmärk ei ole mitte see direktiivi ülevõtt, vaid eesmärk on see, et Eesti õigusruum oleks küberturvalisust soosiv või julgustav.
Kas ma saan sellest vastusest välja lugeda seda, et riigi küberturvalisuse juht valutab südant sellepärast, et Eesti avalikus sektoris ja mitte ainult avalikus sektoris, vaid ka siis oluliste, tähendab elutähtsa teenuste osutajate juures ja, ja siis olulise teenuse osutajate juures ja ka kohalike, kohalike omavalitsuste juures. Kõik näiteks andmed oleksid ilusti turvaliselt hoitud ja midagi halba nendega ei juhtuks.
See on kohe minu ametikoha nagu põhiline eesmärk, et lõpuks see, mida me tagame, mida me teeme, kui me räägime turvalisusest, on noh, mida tähendab selle küberturvaline Eesti minu jaoks siis, see on ju see küsimus tegelikult. See lihtsam ots on see, et või või see esimene ots, kus peab algama igal juhul, on kodaniku ja ettevõtte vastutus nende enda andmete eest. Ehk see, et kui mina ja sina kodanikuna igasse tarbemängu anname oma isiklikke telefoninumbreid või oma laste pilte inimesed annavad mingile saada nunnu lapsepilt või teha pakkmähkmeid, siis su lapsepilt on antud turunduslikele eesmärkidele ära ja seda vastutust ei saa nagu inimese pealt keegi teine ei ära võtta ega täita. Ja ettevõttel samamoodi, et kui sul on selleks, et teha oma äri ja ei ole vahet, kas see äri on tooteuksi, aknaid või see äri on teha maailma parimaid mängufilme või midagi seal vahepeal. Kui selleks, et teha seda, mis on see põhitegevus, on kasutusel tehnoloogia, ükskõik, kas see on siis inimeste, näiteks meditsiinisektoris ülitundlike eriliigiliste terviseandmetega koos, avalikus sektoris sageli ju ülitundlike eriliigiliste isikuandmetega, mis puudutavad mõnikord näiteks terviseseisundit või puuet, perekonnaseisu, laste hooldusõigusi. Kui sa neid asju kuidagi nagu käsitled või käitled oma töös, siis sa pead tagama, et nad oleksid turvaliselt hoitud. Ja ei ole vahet, kas hoiad neid paberil või digitaalselt, digitaalselt, Eesti üldiselt suhteliselt digitaalses ühiskonnas on lihtsam, kiirem andmevahetus, sa saad teiste andmebaasidega, kui sul on õigustatud huvi võrrelda, sa ei pea nagu seda kartoteegikaardil ei pea tegema. Ja kui sa seda nii teed, siis sa algusest peale, ja see on erakordselt ebaseksikas, ma pean, ma vabandan kuulajate sinu ees, et sa pead algusest peale mõtlema protsessis läbi. Nii, meil on selleks, et me saaksime oma uksiaknaid toota, on meil vaja järgmiseid infosüsteeme, ilmselt mingi disaini ja lao infosüsteem, kus võib olla ärisaladust. Me ei taha, et kliendid teaksid, milline konkreetne komposiit käib meil siin nüüd puidukihtide vahel, et nad Eesti ilma käes ära ei sulaks. Siis sul on klientide andmed, kus võivad olla ka finantsandmed, kodused aadressid, mis, mis vajavad teistmoodi kaitsmist, et kliendi pangakonto ja kodus aadressi, see ei tohi sinu juurest jalutama minna. Ja sa pead algusest peale mõtlema selle peale, et kui me tahame makseinfot siis käidelda, sest me tahame makseid vastu võtta, mis on üldiselt ärile hea, siis mis me teeme selleks, et need andmed oleks meie juures ka kaitstud? Et nad oleks kaitstud konfidentsiaalsuse või privaatsuse mõttes ehk ainult neil, kellel on õigus ligipääsuks, et nad saavad sinna ligi. Aga teist ja teistpidi, et jääb jälg maha neil, kes saavad ligi, et juhul kui on mingi väärikasutuse kahtlus. Et jääb jälg, noh, me seirame, et mingi logi on. Ja, ja kuidas me siis algusest peale infosüsteemi nii üles ehitame. Kuni selleni, et kogu siis nende andmete või infosüsteemide elutsükli jooksul, kellel on õigustatud digipääs, kuidas me neid pääsuõigusi haldame. Ja see on nii riigi, ei ole vahet, kas see hüve, mida sa lood, on noh, kõige parem kultuuriprogramm Tallinna linnas või see hüve, mida sa lood, on uksed ja aknad. Kui on abi IT -st selleks, et oma tööd teha, siis sa pead seda ka ära turvama. Konfidentsiaalsusest me rääkisime, sa pead turvama seda, et need andmed oleks usaldusväärsed ehk et ei saaks teha autoriseerimata muudatusi, et noh, et e -tervises minu või sinu veregrupp ei oleks muudetud või minu ja sinu välja kirjutatud ravimid, kui siukseid on. Sest see võib mõjutada järgmisi raviotsuseid ka nagu potentsiaalselt mõjuga tervisele. Ja see, et neid saaks kätte sellisel viisil, nagu on vaja, ehk mis on nagu käitlusnõuded. Kas ka siis, kui on süsteem üleval üheksakümmend üheksa koma üheksakümmend üheksa protsenti ajast, siis ta võib aastas kaheksa tundi maas olla, mis on, mis ei ole väike aeg sellele, kellel siis seda süsteemi on vaja. Ehk et see on nagu üks on see, et see süsteemi omaniku vastutus. Aga siis tekivad mitmed küsimused, et siis see on see nagu see küberturvaline organisatsioon või infosüsteem või infoturvaline. Aga see, mida selles vaates mina ja minu meeskond ja ka riigi IT -asutused ka järelevalvele muuhulgas saavad teha, on ju see, et väga selgelt öelda välja, kuidas hea välja näeb. Mis on need, kas siis mida ei tohi juhtuda, noh, andmeid ei tohi lekkida või mis peab juhtuma, ehk et andmed peavad olema kaitstud või süsteem ei tohi maas olla, süsteem võib maas olla kuni nii kaua, turbenõuded. Siis keskkonnas on terve hunnik neid asju, kus noh, seda ärispetsiifilist poolt, seda me ei saa teada keegi peale selle äriomaniku ja või protsessi omaniku riigi vaates, siis noh, see protsess, et ma ei tea, lapsi pannakse lasteaedadesse kirja või, või mina ja sina maksame kord aastas oma üksikisiku tulumaksu. Seda vastavalt siis teavad siis vastavad sotsiaal - ja kohaliku omavalitsuse üksused või Maksu - ja Tolliamet ja tööandjad. Ja aga ka kui see kõik on siis selle äriomaniku peal, siis järgmine sama oluline samm on see, et kesksed teenused oleks turvalised ja oleks või siis, et oleks kesksed turveteenused. Mida see riigis tähendab, on see riigi, riigi keskse IT -asutuse juurde kõige universaalsema otsa konsolideerimine. Töökohad, andmemassiivid. See tähendab seda, mida teeb RIA küberturvalisuse keskus ehk selle meie ühise nagu punkt ee domeeni seire ja selle intsident ja halduse ennetus. Ja see tähendab ka keskseid selliseid nõuandeid, sest lõpuks nagu väga -väga õigesti on organisatsioonid ja, ja erinevad ministeeriumid tähelepanu juhtinud. Me kõik kasutame väga sarnaseid või sammu lõppkasutaja seadmeid, me kõik kasutame mingil viisil kontoritarkvara. Ja seal mina või minu tiim või järelevalvele Riigi Infosüsteemi Amet ei saa teada, mis andmeid näiteks e -mailis kasutate, tavaliselt saadetakse, aga me saame teada, kuidas me saame anda üldiseid juhiseid, et kuidas näiteks e -maili puhul riske juhtida. Et see on ja siis see need on need asjad, mis on nagu keskkonnas. Ja see, mida unikaalselt saab teha ainult minu tiim, on siis seda kõike soodustav keskkond, strateegiline ja õiguslik, see poliitika keskkond, poliitikloome keskkond.
Nagu ka jäänud infosüsteemist on, on näha ja ministeeriumi siis dokumendiregistris, mida sa pädeva ajakirjanikuna oled kindlasti vaadanud, oli ta ametlikul kooskõlastusringil ja tagasisidetähtaeg oli möödunud kuul. Sealt mõned tükid jälle, nagu võib näha, nii infosüsteemis kui dokumendite registris, tulid puhkustele arusaadaval ajal veidi hiljem. Tänaseks on ja legitiimsetel põhjustel puhkuste ajal. Tänaseks on see tagasiside koos ja, ja ka see määrus oma kooskõlastusringil seega ära käinud. Sealt mõnda otsa me sätime, mõnede osapooltega me istume ka maha, aga oluline on meeles pidada, mida see määrus teeb. Ta on oma olemusel selline juhendav ja kaasaaitav siis vahend selleks, kuidas riik ise, need, kes töötlevad avalikke andmeid, saavad minna pilve. Ehk et tema, ta kehtib ainult riigi enda osapooltele ja spetsiifiliselt, kuidas nad saavad minna privaatpilve. Ja see lahendus, mis ta annab, on pigem juhendav kui direktiivne riskijuhtimiseks ehk millele ei pöörata tähelepanu ja millega tegeleda selleks, et see pilve mineku kaalutlus oleks ka riski. Noh, et selles ka siis riske kaalutletaks. Sealjuures on, on terve hulk riske, mis on tõesti, kui su andmed lähevad sinu enda perimeetrist välja, aga ka terve hulk riski maandus sellega, et sa ise ei pruugi alati olla ka kõige parem näiteks andmekeskuse pidaja. Sulle ei pruugi olla sinu andmekeskustel piisav toimepidevus võrreldes mõne suurkorporatsiooniga. Ja ta kehtib selles kohas, kus minnakse siis erapakkuja pilve. Ehk et mille mõte on see, et kui riigis tekib keskne nii -öelda pilveturuplats, siis see turuplatsipakkuja teeb selle hindamise ära ja tema siis see, kes siis sealt pilveturuplatsilt ostab, et tema ei peaks tegema seda uuesti, et vältida topelttööd sisuliselt.
Ega see nagu tähendabki see kriitika, viimane kriitika, mis oli, oli just see, et te justkui nii -öelda sõbralikult lükkate kõik kasutama riigipilve.
Riigipilve puhul tuleb samamoodi riske juhtida, see tuleb juba standardist ja headest infoturbe juhtimise praktikatest. Ja teiseks riigipilv ei tähenda antud kontekstis ju mingit riigi peetud pilve ja riigi käideldud pilve, vaid riigipilve elemendid võivad olla ka siis erapakkuja teenused. Ehk et see on...
Kahelt ministrilt, kelleks üks oli justiitsminister, tuli analoogne kriitika, et, et need asutused peaksid ise nagu seda nii -öelda kontrolli tegema, aga nad ütlesid, et võiks olla selline üks ülem nii -öelda näiteks, kõik tõid näiteks Riigi Infosüsteemi Ameti või TTJA. Kas siis nüüd ongi see, et lahendus on see, et RIT, kes siis riigipilve haldab, et nemad oleksid see, kes teeb neile avalikele pilvedele nii -öelda kontrolli ära, kas need sobivad, kui nemad ütlevad, et see sobib.
Sellele, mida nad ise pakuvad, see määrus juhendab seda, kui minnakse seda kohta, kus minnakse siis erapilve. Ehk et see tähendab ka seda, et kord on terve hunnik selliseid hästi kaasaegseid ja väga spetsiifilisi nii -öelda funktsioonpilves on ju või siis konkreetne tarkvara pilves SaaS faas on ju lahendusi. Siis selleks, et seda kasutada, pead sa tegema mingi teadliku tehnoloogia õppimise otsuse. Et neid väga spetsiifilisi funktsioone tõenäoliselt pakutakse ka nagu pikemas tulevikus on, on suhteliselt väike, sest neid on lihtsalt nii palju, et keskel saab teha ära selle, pihta hakata universaalsemast otsast. Ja jah, selles suhtes, et see kriitika on tulnud korraga nii sealt, et tehke meile kõik absoluutselt ära, kui ka sealt, et miks te ei tee kõike absoluutselt ette ära, et see, seda on mõlemad tulnud ja tänase riski juhtimise kesktee, kus näiteks riigi süsteem, Riigi Infosüsteemi Amet ja teised saavad anda välja ohu - ja riskihinnanguid, mida RIA on teinud pilveteemadel. Noh, viimase viie aasta jooksul kindlasti üsna rohkelt. Mis ütlevadki jälle see, kust ma alustasin, on mingis mõttes, et see, kus kohtub universaalne tehnoloogia, pilveteenuse pakkuja, tema, ja siis tema usaldusväärsus ja kõik selline. Ja sinu konkreetsed andmed ja nende ärikriitilisus. Sest seda ei saa mitte kunagi teada ei tehnoloogiapakkuja ega poliitikategija. Mis on need konkreetsed andmed või konkreetsed protsessid, mida süüdi loodetuses soovitakse pilve viia? Ja millised on seal tehnoloogilised alternatiivid? Et kui ainuke alternatiiv on noh mitte teenust pakkuda, siis sa aktsepteerid riski võrreldes sellega, kui sul on riskantsem ja vähem riskantne teenusepakkuja.
Ma ei ole kindel, et ma saan metafoorist aru ja ma ei ole kindel, et ma saan aru, mis on punane antud olukorras. Täna igaüks, kes pakub mingit tehnoloogilist teenust või kasutab tehnoloogiat enda põhitegevuse toetusel või läbiviimisel, peab arvestama riskidega. See konkreetne määrus ütleb riigi osapooltele, kes on selgelt öelnud, et nad tahaksid, noh eriti need, kes ei ole väga kogenud riskijuhid. Et nad tahaksid sellist aru saada, et kuidas võiks nagu hea või mõistlik välja näha, ütleb, kuidas see hea või mõistlik välja näeb.
Ja seda ta on kindlasti võrreldes selle nagu tajuga, et riik keskselt ütleb, mida tohib või ei tohi teha. Täna me ütleme, et sa vastutad riskide juhtimise eest ja siin on see, juhul kui sa ei ole kogenud riskijuht, kuidas, kus sa võiksid alustada, et seal on ka lisad, mis annavad sellise küsimustiku. Et noh, täpselt hinda, mis andmed on, hinda nende kriitilisust, hinda konkreetset pakkujate tema usaldusväärsust, hinda alternatiive, siis hästi klassikaliselt, kust alustada riski juhtimist. Ja kindlasti võrreldes selle varasemate soovidega ka sellise nagu range rusika järgi. Et riigil ja poliitika tegijana meile ei saa olla seda ülbust, et öelda, et meie teame, mis iga konkreetse protsessi omaniku jaoks on kõige õigem. Aga me saame öelda, mis on mõistlik nagu viis turvet teha ja siis saab ja eriti siinkohal on siis Riigi Infosüsteemi Amet ja tema küberturvalisuse keskus välja anda ka parimaid võimalikke soovitusi.
Ma siis lõpetuseks küsin küsimuse, mille kohe kindlasti riigi küberturvalisuse poliitika juht oskab ja saab vastata. Kas Eesti peaks jõulisemalt sekkuma teatud riikidest pärineva riistetarkvara kasutamise piiramisele, nii nagu me oleme teatud riistetarkvara puhul seda juba teinud?
Täna töös sellist ei ole. Aga teiselt poolt see on midagi, mida noh, see on, on väga suur vahe, kus näiteks valvekaamerad on hea näide, kus on ja, ja palju parem näide, üks kõige paremaid näiteid, sest et sageli valvekaamerad tulevad siis koos juba mingi info edastusplatvormiga. Ja on väga suur vahe, kas esiteks on see siis Hiinas toodetud valvekaamera, teiseks, kas ta on nii -öelda Hiina ettevõtte ja läbipaistvatu juhtimisomanike struktuuriga ettevõte toodetud. Kolmandaks, kas see andmeedastus käib läbi teadmata teede ja serverite, mis võivad potentsiaalselt asuda Hiinas ja kus asuvatel asjadel me teame, et võidakse kohaldada ja on olemas mehhanismil, et kohaldada sanktsioone. Või sa saad ta nii seadistada, et ta edastab seda otse sulle. See on siis see üks pool, see tehnoloogia pool ja teine on selle kaamera kasutus. On ka päris suur vahe, kas see on nii -öelda kakukaamera, millega me vaatame kõik, kas merikotkal on pojad väljas, mida, mis Eesti riigi julgeoleku seisukohast on ehk väiksem risk, kui see on valgekaamera ühes asutuses.
Teeme jälle ja laseme siis riigi küberturvalise poliitika juhil Liisa Pastil teha nii. Mõned kuud, pool aastat, no vaatame, kui kaua tööd saab
[ TRANSKRIPTSIOONI LÕPP ]