Tere tulemast kuulama podcast 'i kriitiline intsident, kus me anname väga detailse põhjaliku ülevaate sellest, milline meie e -Eesti kõige laiemas mõistes on, mis on selle head ja vead ja kuidas mõeldakse tuleviku peale. Mina olen saatejuht Ronald Liive ja tänases saates on mul külas inimene, kes juba kahe tuhande kahekümne teisel aastal pööras tähelepanu sellele, Mida tehisaru suudab küberturvalisuse maailmas ära teha, nii heas või halvas mõttes, ja tema suuremaks saavutuseks ei ole selline artikkel, millele ma praegu viitasin, vaid viimaseks selliseks suureks etteasteks on see, et ta on alustanud uuel ametikohal, milleks siis on Riigi Infosüsteemi Ameti Küberturvalisuse Keskuse juht. Ja ühtlasi on ta ka siis Riigi Infosüsteemi Ameti peadirektori asetäitja küberturvalisuse alal. Stuudios on külas Mai Kraft, tere!
Väga hea meel on siin mikrofoni ees kohtuda ja hakata rääkima küberturvalisusest kõikide nurkade, nüansside, tahkude alt, kust üldse võimalik. Aga enne kui me läheme nagu teeme sellise süvitsi mineku, siis räägime teist endast, kes te olete, kust te tulete?
Nagu sa ütlesid, ma olen Mai Kraft ja töötan täna Riigi Infosüsteemi Ametis küberturvalisuse keskuse juhina. Mul on pikaajaline kogemus küberturvalisuse valdkonnas. Olen töötanud pikka aega Elisas, infoturbejuhina kaheksa ja pool aastat. Enne seda olin vahepeal audiitor konsultatsioonifirmas Ersten Young, töötasin seal IT konsultandi, IT audiitorina ja kui rääkida üldiselt sellisest hariduslikust vaatest, siis olen lõpetanud Tallinna Tehnikaülikoolis telekommunikatsiooni bakalaureuseõppe ja küberkaitse magistriõppe.
Et selline läbivalt küberteemad ja, ja just sellise kaitsmise nurga alt, jah?
Jah, et küberkaitse on selline minu jaoks südamelähedane teema.
Aga avalik sektor on nii -öelda uus teie jaoks praegu siis?
Jah, avalikus sektoris ma ei ole varem töötanud. Olen teinud nii Riigi Infosüsteemi Ametiga varasemalt koostööd kui ka Ernst ja Youngi ajal erinevaid avaliku sektori projekte, aga jah, otse ise ei ole, ei ole seal töötanud.
Üks väikene vahemärk oli kõrvalpõige lihtsalt kuulajatele, kes võib -olla ei ole kursis, et, et miks siis Mai nüüd sellise, sellisele positsioonile otsustas kandideerida, minna ja kõike seda oli lihtsalt see, et eelkäija Gert Auväärt läks siis nii -öelda edasi oma karjääriga ja temast minu teada tänaseks päevaks on saanud Kanadas siis Eesti suursaadik Kanadas. On see nii jah?
Nii peaks olema küll. Jah.
Ja ehk siis otseselt vist ei mina ega keegi teine ajakirjanik, kes ei tasu siis skandaali otsida, et miks nii on, vaid see on nagu tavaline jätk ja, ja kulg inimestel. Üks küsimus, mida ma väga tihti, kui siin saates on inimesed nii -öelda, et tuleb, saavad just nii -öelda valituks mingisele positsioonile ametikohale ja hakkavad seda täitma, on see, et miks te otsustasite kandideerida ja mida te üldse kandideerimise protsessis ise tõite välja enda eelisena, tugevusena?
Nagu ma ütlesin, et ma Elisas olen olnud rohkem kui kaheksa aastat ja mingi hetk ma tundsin, et ma natuke tahaks vaadata ringi ja siis kevadel või suve alguses millalgi see konkurss avati. Ja ma mõtlesingi, et, et, et see on selline huvitav ametikoht, kuhu ma võiksin sobida. Et kui lihtsalt võrrelda näiteks Elisa infoturbe valdkonda, mida ma varasemalt juhtisin ja panna see natukene sellisesse laiemasse konteksti ja Riigi Infosüsteemi Ameti küberturvalisuse keskuse konteksti, siis mulle tundusid need natukene sellised Sarnased valdkonnad, lihtsalt riigi infosüsteemi vaatest ma vaatan seda pilti Eesti kontekstis laiemalt. Et varasemalt oli telekommunikatsiooni, IT -ettevõtte vaade, aga nüüd siis vaatan pilti laiemalt. Ja selles mõttes ükski valdkond, mis täna küberturvalise keskuse on, keskuses on, ei ole mulle võõras. Et mingil kujul ma nii -öelda kliendina riigi infosüsteemi vaates olen nende inimestega koostööd teinud ja Riigi Infosüsteemi Amet üldiselt sellise riigiasutusena ta võib -olla ei paista, selline klassikaline riigiasutus, et ta oli mulle juba varasemalt sellise hea mulje jätnud. Et ma tean, et küberturvalisuse kompetents seal asutuses on väga tugev ja tekkiski mõte, et ma võiksin proovida sinna kandideerida.
Kas teil Elisajast on, Mere küll oli nagu nii -öelda kiidulaul siis Riia suhtes, aga Elisajast ka midagi sellist jäi kõrvu taha, mis, mida Riias nüüd olles saaks kuidagi paremini või teisiti teha?
Minu koostöö erisajal Riigi Infosüsteemi Ametiga oli tegelikult väga positiivne selles mõttes, et nii SERT -i osakonnaga kui ennetus - ja analüüsiosakonnaga kui ka kriitilise infrastruktuuri kaitse osakonnaga, et tegelikult väljapoolt paistis mulle selles mõttes kõik, et mul ei olnud tegelikult nagu midagi ette heita, et alati see, mis nad tegid. Et mina sealt alati abi sain ja mis mul tegelikult noh, võib -olla ei puudu, see on tegelikult see sisevaade, et mis tegelikult need päris probleemid on, millega siin Eesti riigis küberturvalise vaatest tuleb tegeleda ja sellega ma siis nüüd jooksvalt üritangi ennast kurssi viia.
Tahaks kohe küsida seda jätkuküsimust, aga ma kirjutan endale selle üles ja ma tulen natukese aja pärast tagasi. Eelnevalt küsin seda, et kui palju teil Elisas alluvad oli ja kui palju teil nüüd Riias on alluvaid?
Elisas mul oli viis alluvat ja kes oli otse, aga ma tegelikult tegin koostööd kogu organisatsiooniga ehk nii -öelda seal ei olnud oluline see nii -öelda formaalne alluvus, vaid tegelikult olu, oskus juhtida kogu seda infoturvet terves ettevõttes, kus oli tuhat inimest.
Ja nüüd RIA ajal alluvaid?
Alluvaid on mul hetkel otse kaheksa ja siis nendel on omakorda enda inimesed.
Ma hiljem natukene räägime lahti sellest, et kes nii -öelda kõik teie alluvuses on, aga aga siis see küsimus, et te olete nüüd täna, kui me seda saadet siin salvestame, ütleme jämedalt võtame, et kaks nädalat olen Riias tööl. Mis need RIA vaates siis need pärisprobleemid on, millega te tegelete või te peate tegelema ja mis on need probleemid, mis ei ole pärisprobleemid?
Ma ei oska sellele nii detailselt nii -öelda vastata, kuna ma olen tõesti väga vähe olnud. Mis mul nii -öelda, mida ma iseenesest seda oli varem, see oli varem ka teada või Eesti kogu see küberturvalisuse tase, nii Eesti ettevõtted, riigiasutused, et see on tegelikult see, millega me küberturvalisuse keskuses peame sisulisemalt tegelema ja millega tegelikult on ka täna tegeletud. Lihtsalt minu ülesanne on anda enda inimestele see suund kätte, kuigi jah, et, et see suund on ju mingil kujul olemas, et lihtsalt küsimus on, millega inimesed tegelevad ja minu hinnangul RIA -s inimesed on väga hästi panustanud küberturvalisuse valdkonna arengusse ja tulevikus kindlasti panustame veel.
Nii -öelda isiklikust vaatest ma küsiks siis ka niimoodi, kas e -valimised on teie jaoks piisavalt turvalised, et te valimistel on andnud oma hääle siis e -hääle näol või teie isiklikult käite jaoskonnas hääletamas?
Ma olen aastaid andnud häält e -valimistega. See e -viimased valimised olid erand, lihtsalt sellepärast, et ma ei olnud kunagi käinud pabersedeliga hääletamas ja ma tahtsin lihtsalt proovida, kuidas see välja näeb. Aga mina isiklikult usaldan e -valimisi.
Kas siis ma eeldan, kui te juba e -valimisi niimoodi usaldate, siis Mobiil -ID, Smart -ID kasutamised, ID -kaardi kasutamised teie jaoks ka pole kunagi olnud selline küsimus, vaid lähtuvalt oma, oma haridusest, väljaõppest, oma enda isiklikust kogemusest, kõigest sellest, kõik need e -asjad on usaldusväärsed.
Mina kasutan kõiki neid e -asju.
Ja ma tahaks tulla nüüd nende osakondade juurde või, või tähendab teil on, teie ühte osakonda, mille all siis on teie alluvad ja nii edasi, mina kõige rohkem nii -öelda suhestun, tean seda siis hea lühendiga CERT .ee, sest et nemad on siis seal need, kes vähemalt ma ei tea, okei, ma ei hakka ise nagu seletama lahti, kes nad on, te, te olete varem nagu seletama lahti tavalisele inimesele, mis asi on CERT .ee?
ee on osakond, kes tegeleb küberturvalisuse intsidentide käsitlemisega Eestis.
Ehk siis kui midagi läheb kuskil hapuks, keegi, mõni ettevõte ütleb, et kuulge, et me nüüd saime pihta, meil vist on siit midagi nüüd, keegi pahalane istub sees, siisserdi inimesed on need, kes saavad ettevõtetele Kas just abi pakkuda, aga te saate vaadata ja potentsiaalselt nagu riigi vaates siis ära hoida seda, et see üks pahalane ei liiguks kuskile edasi teistesse süsteemidesse, kui tegu on riigisüsteemidega näiteks?
Jah, me tahame teada nendest küberintsidentidest, osadel, osad asutused, osad ettevõtted peavad seaduse alusel ka teavitama CERT -id nendes või neil toimunud küberintsidentidest. Seda, kas CERT iga kord läheb kõikide kõiki abistama, seda kindlasti ei ole, et lihtsalt sellistes keerulisemates olukordades, kus on näha, et on vajalik CERT -i abi, sest et tegelikult osades asutustes, ettevõtetes on olemas ka omad küberturbe, infoturbe inimesed, kes tegelikult neid intsidente lahendavad. Ja kui vaadata lihtsalt seda, et kes tegelikult nende küberintsidentide lahendamise eest vastutavad, siis tegelikult on nende ettevõtete, asutuste juhtkonnad, kes peavad tagama, et nendel ettevõtetel, asutustel on küberturvalisus ja küberintsidentide lahendamise protseduurid, protsessid olemas, CERT saab nõu ja jõuga olla abis, kui on suuremad intsidendid toimunud.
Kõige lahedam asi kindlasti tavainimese jaoks on see, et see on nagu kakskümmend neli seitse on mehitatud, et nagu alati keegi on kohal ja jälgib seda olukorda, mis toimub, ehk siis teoorias, kui peaks hapuks minema, siis on kohe minuti täpsusega või sekundi täpsusega näha, et mis kõik toimub.
Ja no täpsustan seda, et CERD -il ei ole sellist kakskümmend neli seitse pilti täna ees, et nad ikkagi saavad sisendit erinevatelt ettevõtetelt, asutustelt, kes teavitavad. Jah, teatud seire on olemas, aga see ei ole üle terve Eesti kõikidele, et me saame selle sisendi ka nii -öelda, kui meile see antakse. Aga
kellel siis see kakskümmend neli seitse ülevaade on, see RIA vaatest?
Kui me räägime RIA -st, siis RIA oma muidugi, aga ma mõtlesin natukene laiemalt Eesti riigiasutusi, ettevõtteid.
Jaa, seda küll jah. Siis on järelevalve osakond ka, kes tegelikult, sest meil on olemas seadused, mis nagu panevad ka paika, et et riigiasutused küll jah, aga on ka siis mõned eraettevõtted, kes peavad Nii -öelda oma küber, lähtuvalt seadustest oma küberturvalisust väga tõsiselt võtma ja teoreetiliselt siis kui nad ei võta seda nagu tõsiselt, saab neid korrale kutsuda ja mitte ainult korrale kutsuda, vaid seal on teisi vahendeid ka. Kas te selle olete ka enda jaoks nagu paika pannud, et, et milline juht te selles mõttes olete, et millise sisendi te annate oma töötajatele, et Kuidas selliste ettevõtetega tegeleda, kelle puhul näiteks ei ole näha, või tähendab, on näha, et nad ei ole nagu küberturvalisust väga tõsiselt võtnud?
No sellele ma ei vastaks selliselt, et, et see, kuidas järelevalvele tekib plaan, keda nad lähevad, kellele nad lähevad järelevalvet tegema, on olemas omad protsessid, omad ohuhinnangud, millega siis järelevalve osakond ise tegeleb. Mina otseselt sellesse teemasse ei sekku, et kellele nad lähevad järelevalvet tegema, see, see toimub nende enda ohuhinnangute ja analüüside plaan baasil. Ja kui neil on see plaan olemas, siis nemad seda järelevalvet ka teevad.
Ja see, millised nii -öelda otsused või suunised või nad kõik annavad nende enda otsustada ja teie ei ütle midagi ette neile, jah?
Okei, üks suur asi, millest on nagu väga raske, on üle ja ümber saada, on kõiksugu, tegelikult siin on väga mitu asja, mida, millest ei saa üle ega ümber saada. Väga aktuaalne teema on kõiksugu need pettused, neid on läbi aastate juba siin olnud, kõige suurem viimane, vähemalt minu hinnangul, ongi see, et tänu tehisaru võidukäigule Ja ka mitte ainult tehisarve võidukäigule, vaid ka tänu meie kaasmaalastele, kes on otsustanud nii -öelda minna tööle petturina, on pettused hakanud väga palju inimlikumaks minema, väga loomulikuks minema, kas siin on ka midagi, mida te saaksite kuidagi ära teha, mis mingisuguseid mõtteid on, kuidas võidelda kogu selle petturduse vastu?
See pettuste teema on tõesti hästi keeruline, see on tegelikult ju aastaid siin toimunud. Ma tean, on moodustatud erinevad töögrupid, kes otsivad viise, mida selle teemaga teha. Et nelisajast juba ma tean, et oldi selles PPA töögrupis ja on veel ka teisi töögruppe, kus sellega tegeletakse. Ja samamoodi on Riigi Infosüsteemi Amet selle PPA töögrupis ja seal töö toimub täna sisuliselt kolmel tasandil. Üks on tehniline töögrupp, mida on tehniliselt võimalik teha, siis on kommunikatsioonitöögrupp ja siis on õigus looma, et mida juriidiliselt tuleks teha. Koos selles töögrupis erinevad inimesed siis tegelikult mõtlevad, et mida teha, sest et see on väga keeruline. Hoolimata sellest, et on tehtud erinevaid kampaaniaid, on pandud erinevaid tehnilisi meetmeid paika, on see siis pankade poole pealt või siis telkode poole pealt, need filtreerimise lahendused, et aga noh, ikkagi neid tegelikult toimub. Ja siin lihtsalt jah, tuleb mõelda veel, et kas saab midagi teha ja viia seda teadmist inimesteni, võib -olla anda rohkem infot liikuvatest skeemidest, et inimesed oleksid rohkem kursis. Aga samas ei pruugi ka aidata. Et võib -olla alati ongi mingi ports inimesi, kelleni see info ei jõua või nagu PPA Kelke juht ütles, et iga inimese jaoks on olemas oma skeem.
Kas te isiklikult olete mõne sellise telefonikõne saanud, kus väidetakse, et nüüd kohe, ma ei tea, on ta Omniva või kes iganes paki saatnud, peate ruttu PIN -i panema või teil on kohtus kiri või mis iganes, neid mustreid on väga palju tegelikult. Ma tegelikult
Siis isiklikku kogemust ei ole, et kuidas nende petturitega tegeleda, aga kas teil on peas on selline stsenaarium on valmis kirjutatud, et kui ma nüüd saan selle kõne, siis ma hakkan niimoodi rääkima ja niimoodi tegema?
Seal on noh ma olen kuulnud neid kõnesid, kuidas need petturid neid kõnesid inimestele teevad, milliste erinevate stsenaariumitega inimeste juurde minnakse. Ja ma usun, et noh, minu võib -olla see, kui keegi mulle helistab, siis ma ei tee tele, telefonikõnede peale selliseid erinevaid toiminguid, ma kui tahetakse kiirustada tagant, siis ma võtan ise selle tempo maha, et palun saate e -mail ja lihtsalt ei lase ennast nagu tagant kiirustada.
Kas teile olete kuidagi oma lähedastele ka selle selgeks teinud, et et sellises olukorras jääge rahulikuks, võtke nagu veel mõni minut või tund aega, et seal tegelikult kiiret ei ole?
Jaa, pereliikmetele olen rääkinud, nad on kursis ja kui nad ise mingeid kõnesid, e -kirju saavad, siis nad valideerivad. Kui nad kahtlustavad, et, et see kiri või kõne on kahtlane, siis nad räägivad meil peregrupis sellistel teemadel ja siis me saame seal arutada, et, et kas see oli päris või see oli õngitsus.
Kas te Elisa ajal tegite ka mingi, midagi sellist, mis kuidagi võitleks nende petturite vastu, et nende elu ei oleks nii lihtne ja kerge? Mõtlesite välja mingi see lahenduse, kuidas teha nende elu keerulisemaks siis?
Jah, seal neid viise oli erinevaid, mida siis välja mõtlesime, et ühest, üks, millest on väga palju räägitud, ongi see petukõnede tõkestamise lahendus. Me tegime majasiseselt erinevaid teavitus-, hoiatusteateid, kui tundus mingid kahtlased mustrid, samamoodi sõnumite puhul, et ja meil olid, ja seal olid olemas ka konkreetsed reageerimisprotsessid, kui tööd, kui kliendid andsid teada operaatorile.
Kas see nii -öelda toonane kogemus on ka midagi, mida te saate nagu Riiasse nüüd üle kanda ja, ja siis midagi võtta ette veel?
Jah, siin Riias me vaataks seda asja laiemalt, et Elisas oli selline konkreetne telkovaade, aga Riias meil on võimalus seda teemat vaadata laiemalt.
Aga üks asi, mis tuleb Riias väga palju lauale, on tegelikult ikkagi need nii -öelda, ka, kas nad nii -öelda omistatakse lõppkokkuvõttes või mitte, mõne, mõnele riigile sellised küberründed konkreetsed, see on ka nagu ikkagi väga ju laual ja aktuaalne, kuigi nüüd siin hiljaaegu ei ole ühtegi nagu väga markantset näidet tuua, vähemalt mitte veel sellist, mis oleks avalikustatud, kuigi jutud siin käivad, et On tulemas kunagi midagi, mis seal tulemas on, vot ma ei tea, võib -olla saate avada kohe, eksklusiiv uudis.
Praegu ei, ei oskagi avada midagi.
Aga, aga selline, et jah, et kus meil on need nii -öelda mõned kindlad riigid üldjuhul, mis on, mis nii -öelda käivad, nagistavad meie uksi, tahavad kogu aeg sisse tulla. Noh, see on see, millega te peate nüüd ju kokku puutuma. Kas, mida, mida üldse sellega ette võtta? Kas me peame ennast nii, nagu me kaks tuhat seitse tegime, ülejäänud internetist, ülejäänud internetimaailmast nagu välja lülitama ja see oleks lahendus või, või lihtsalt, kuna neid ründeid on palju, siis ka nagu, nii -öelda need vastumeetmed on palju tõhusamad ja midagi nii drastilist ei pea tegema enam?
Siin on oluline tegelikult see, et neid uksi jah, käiakse kogu aeg kolistamas. Et pigem tuleb keskenduda sellele, et need süsteemid, mis meil on nähtavad nii Eestis kui ka internetist, välismaalt, igalt poolt, et need süsteemid tegelikult oleksid turvalised ja me teaksime, millised turvanõrkused meil on, Millised üldse, millised need süsteemid, mis välja paistavad, et sage, sagedasti on tegelikult ka see, et ettevõtted, asutused panevad endale internetti selliseid teenuseid, süsteeme püsti, mis tegelikult ei peaks olema, nad tõstavad oma seda ründepinda suuremaks, mis tekitab selle olukorra, et tegelikult kõik, mis on internetis kättesaadav, on rünnatav. Et tasu, tuleks vähendada seda ründepinda ja vaadata üle, mis on internetis kättesaadav ja need, mis seal päriselt kättesaadavad on, et need oleksid ka päriselt turvalised.
See on väga hea jutt, et ründepinda tuleks vähendada, aga oleme realistlikud. Just see AI, millest ei saa üle ega ümber, on tänu vaibkoodimisele iga ettevõte ja iga nii -öelda tavaline inimene, eraisik saab vaibkoodida kas endale mingi see hea nii -öelda tööriista, mis justkui aitab tema ettevõtet, teeb midagi paremaks, tema ettevõtet ja töötajat, aga noh, see turvalisuse küsimus on kindlasti seal, on ju, see nagu üks uus uks on juures ja see ei pruugi isegi uks olla, vaid see võib olla nagu avatud aken, millest lihtsalt saabki tulla igaüks sisse ju. Kas, kuidas selle vastu nii -öelda võidelda?
No see on just seesama küsimus selle rünne, ründepinna osas, et jah, see on täna väga populaarne, vibe code 'ide erinevaid rakendusi. Samamoodi tuleb läbi mõelda, et kellele ja mida see rakendus teeb, kas see on näiteks sellele kuskile Ettevõttele majja sisse, samamoodi, et iseenesest kui see ei pea olema väljast kõigile nähtav, kasutada seda näiteks ainult maja sees, kohe ründepind väiksem. Aga jah, kui ta tõesti peab olema sealt internetist kättesaadav, seda pakutakse kellelegi nii -öelda teenusena, siis tuleb juba jah valideerida seda koodi, milles võib -olla tulevikus võib aidata ka siis seda nagu turvalisemaks teha, vaadata, et seal ei oleks erinevaid turvanõrkusi tagauksi sisse kirjutatud. Aga see ikkagi jah, baseerub sellel nii -öelda turvateadlikkusel ja turvameetmete rakendamisel.
Praegu me rääkisime tehisarust nii -öelda, ma ei ütleks, et väga pehme nurga alt, et tõesti see vaipkoodimine nii, aga mulle meenub siin kahe tuhande tänavuse aasta kaks tuhat kakskümmend kuus kevadest ja, ja nüüd siin ka tegelikult suve jooksul nii Google kui Anthropic, mõlemad suured Et tehnoloogiaettevõtted, kellest üks ongi ju ainult nii -öelda AI põhine, AI teemasid teevad, et neil on esiteks olemas sellised mudelid juba, mis otsivad neid turvanõrkusi, suudavad ise ka neid ära kasutada niimoodi, et see isik, kes seda tehisarve mudelit kasutab, esialgu talle ei ole andnud üldse sisenditki, et kuule, mine ja otsi ja tee nüüd seda, vaid ta ise leiab kuskilt, aa, siin on null päeva nõrkus, kasutame ära, teeme nüüd midagi. Selles osas ma tahaks esiteks teada, hea lihtne küsimus, kas, et taaskord kõige laiemas mõistes, okei, võtame siis selle RIA vaate, kas RIA vaatest Eesti on selliste AI -de turvaline, kas, kas nad peavad kõike seda vastu?
Kui me räägime ükskõik mis IT -süsteemidest, siis ma arvan, et IT -süsteemid, mis on internetist nii -öelda nähtavad. Et ma arvan, et kõik nende süsteemide omanikud võiksid tunda muret selle osas, et mis siis tegelikult siin selle AI ja troopiku ja muude selliste mudelite arendamises toimub. Täna ju meil ei ole siin ligipääsu nendele suurtele mudelitele, mis seal just neid konkreetseid turvanõrkusi leiab. Et et jah, selles mõttes see tulevik tundub tume, et kui on tullakse selliste väga keeruliste ja oskuslike mudelitega süsteeme testima, et ega me ei tea, mida nad võivad leida.
Kas RIA -l ei ole antroopiku sellele, kunagi kandis ta nime Mythos 5, sellel vist tehti mingeid turunduslikke muudatusi, aga noh, ma nii -öelda mugavas keeles ütlen endiselt Mythos 5, et RIA -l sellele ligipääsu ei ole?
Ma jään sellele vastuse võlgu, mina, ma ei ole seda küsinud, et kas meil on või ei ole, et ma ei hakka siin spekuleerima.
No ma siis loodan, et on, vähemalt on küsitud, tehtud kõik selle nimel, et oleks, sest noh, olgu ta see müthos või mõni muu, mõne muu ettevõtte analoog, siis tegelikult oleks ju vahva, kui, kui ikkagi nii -öelda inimesed seest saaksid käia, otsida neid potentsiaalseid nõrkusi ja need ära lahendada, sest et me oleme ju näinud aastate jooksul, et on omajagu inimesi ja neid riike, kes otsivad neid ise. ja kui keegi neist midagi leiab enne häid, siis on ju lõpptulemus võib olla väga halb. Meil võivad näiteks kolmsada tuhat dokumendifotot minna jalutama.
Just, et selles mõttes on oluline teada enda nii -öelda seda olukorda, et sellega ma olen nõus, aga teisest küljest tuleb panustada ka sellesse, et oleks piisav seirevõimekus näha, mis meie süsteemides toimub.
Ma tõin need dokumendifotod mängu siia seetõttu, et too isik, kes selle kriminaalteosest, et on karistatud selle eest, korda saatis, tema esialgu ta küsis RIA -lt raha, ütles, et kuulge, et et kui te maksate mulle viis tuhat eurot, et siis ma neid pilte ja asju kõike midagi halba ma ei tee, ma tean, kus kus need kõik on ja ma saan teha, aga ma midagi halba ma ei tee. Siis RIA noh, hakkas vastama, ei jõudnud vastata, inimene muutus kärsituks, läks nii -öelda närvi ja otsustas, et ei, noh, nüüd ma virutan need ikkagi fotod ja teen endale mingisuguse eraandmebaasi ja niimoodi. Pikk jutt, lühidalt on see, et ühe nii -öelda sellise vastumeetmena RIA töötas välja toona, siin on eesti keeles väga raske vastet leida, võib -olla saate mind aidata, Park bounty oli selle asja nimi, et kui kuskil keegi leiab mingisuguse turvanõrkuse, saab RIAt informeerida ja kui tõesti see on turvanõrkus ja niimoodi, et siis saab ka reaalset raha selle eest. Nüüd mulle suure üllatusena tuli see, et RIA on selle ära kaotanud, et see nii -öelda tuli, oli natukene aega ja siis ta ka kadus. Ma saan aru, te olete uus inimene, teie neid otsuseid ei teinud ja kõike seda, aga kuidas teie nägemus on? Kas riigi vaatest Riigi Infosüsteemi Amet peaks kuidagi pakkuma sellist võimalust, et neid häid häkkereid pidada meeles, olgu nad mingisugused sellised pehmed meened, RIA logoga pusad, kruusid, mis iganes, või siis ka reaalselt nii -öelda raha kandma neile, mis on minu mälu järgi vist see viis tuhat eurot olekski olnud selline maksimaalne summa, mis oleks saanud maksta.
Ma alustan kõigepealt sellest, et sellest jah, ma konkreetselt seda dokumentide keissi ma olen meediast lugenud, aga lihtsalt üldiselt, et kui keegi leiab kellegi süsteemis turvanõrkuse, siis jah, tuleks anda teada, aga see eeldada, et alati selle eest raha saab, ma arvan, et see ei tohiks olla see eeldus. Et tegelikult kui sa oled selline vastutustundlik häkker, siis sa ikkagi annad teada ja lased nii -öelda selle ära parandada ja siis võid nii -öelda, no seal on see avalikustamise periood on ju tavaliselt on see üheksakümmend päeva, et hakata välja pressima raha, see tegelikult nii avalikus sektoris kui ka erasektoris, tegelikult see ei ole ilus. Ja üldjuhul ei ole lihtsalt ka isegi tavalisel ettevõttel, ma arvan, et rääkimata ka avalikust sektorist, võimalik lihtsalt tavalisele inimesele lihtsalt kuskile kellelegi viis tuhat eurot kanda, et see juba raamatupidamislikult ei mängi välja, et et kuidas lihtsalt nii -öelda kellelegi kannad. Aga mis puutub sellesse bug bounty programmi, siis jah, ma kuulsin ka, et see kunagi oli, täna seda enam ei ole. Minu kogemus bug bounty programmidega on see, et, et nad on väga head, sealt tuleb häid leide. Lihtsalt need süsteemid, mida sinna bug bounty programmidesse üles pannakse, et see peab olema kontrollitud. Need süsteemid peavad olema ise ka varasemalt läbi testitud turvalisuse kontekstis, et ei oleks seal selliseid jutumärkides labaseid leide, et, et saaks ka päriselt väärtust sellest bug bounty programmist. Ja jah, minu nägemus on, et see on hea ja tulevikus me võime vaadata, et mis võimalused riigi infosüsteemi ameti poolel selle bug bounty programmi taastamise osas on. Et
teie isiklikult pooldaksite seda, kui bug bounty oleks olemas?
Jah, aga seal tuleb üle vaadata, et missugune see kontseptsioon siis on, mismoodi see bug bounty üles ehitatakse.
Aga kui ma toon mängu selle, et meil siin väidetavalt nüüd vist küll nii -öelda lõplikke otsuseid ei ole veel olemas, et selline riigi IT -reform võetakse ette, riigi IT -maju liidetakse omavahel ja mingid siis nii -öelda kaovad ära selle tulemusena ka ja Riigi Infosüsteemi Amet tegelikult kasvab väga palju suuremaks, kui ta praegu on. Ja võttes just selle nurga mängu ehk siis neid süsteeme, mida RIA nii -öelda nimeliselt just see RIA üks asutus hakkab, mille eest vastutab, tuleb väga palju juurde. Kas see ei oleks nüüd see asi, et nüüd noh kiirkorras võiks selle buck -pointi asja peale hakata mõtlema?
Ma arvan, et nii kiire sellega ei ole, aga kuna taust on lihtsalt see, et eks selle ühinemisega on seal muid sisemisi tegevusi ka, mis fookust ära võtavad, aga jah, kindlasti tasub see üle vaadata, aga ma ei hakkaks sellega kohe kiirustama.
Nii et aeg on selle kiire asjaga, aga samas ma tulen korra selle tehisaru, tehisaru poolt leitud turvanõrkuste juurde tagasi või noh, tuueski välja sellesama dokumendifotode teema, et seal ei olnud tehisaru mängus, see oli veel nii -öelda aeg enne seda. Ja nüüd on tegelikult neil ka tavainimestel ju sellised tööriistad on ikkagi käes, et ma ei tea, tahaks ikkagi nagu, ma tõmbasin käisid üles, ma tahaks praktilisi nagu näpunäiteid, et mida, ütleme siis ettevõtte vaatest. Kui ma olen see ettevõte, kes seaduse kohaselt siis, ETO või Otto, need, kes teavad, nemad teavad, et nad peavad seda järgima, noh, mis, mis oleksid need soovitused, mida veel teha, te küll ütlesite jah, et siin, et ärge jätke neid uksi lahti ja niimoodi, aga ehk on veel mõni soovitus. Kas nad äkki peaksid ise need hankima need, kui, kuigi RIA -l noh, me, okei, me ei tea praegu, kas teil on see müfosüüs või ei ole, et kas nemad ise peaksid hankima ja proovime ise endale neid nõrkusi leida siis?
No selle müütuse osas jah, ma tavaettevõtete puhul ei tea, et noh, tõenäoliselt, et, et sinna suurt programmi saada on ilmselt keeruline, aga, aga ma arvan, et ega see ei ole ainuke viis, kuidas AI abil turvanõrkuseid kontrollida, et Tegelikult ilmselt on turul ka erinevaid muid lahendusi, et võib -olla tõesti uurida, et mis erinevad variandid on ja kuidagi seda nii -öelda turvanõrkusi siis otsida, et noh, mitte ainult ka AI -ga, et tegelikult on ju juba varasemalt ammu turul olemas erinevad skännerid, erinevad turvatooted, mis võimaldavad välja tuua, millised need turvanõrkused on. Aga jah, ma saan aru selle AI tuleku murest, et ta lihtsalt leiabki selliseid, mida need skännerid või erinevad turvatooted täna ei leia, aga lihtsalt siis tulekski nii -öelda ka proovida vaadata, et mis need võimalused, mis on nii -öelda turul olemas siis AI vaates kasutada.
Aga kuidas leida turvaline skänner? Et mis ei oleks niimoodi, et nad on AI -ga loonud endale ilusa veebilehe ja reklaamivad välja, et meil on see, teine, kolmas, aga tegelikult on see, et sa annad läbi selle just ligipääsu pahalastele.
No tuleks kasutada tuntud tootjaid, ega ainult ei ole need skännerid, et tegelikult on ju erinevad arvutites olevad turvatarkvarad, mis on siin, ma ei hakka neid tootjaid siin eraldi nimetama, aga tänapäeval erinevatel sellised endpoint protection lahendused, mis näitavad ära ka, mis turvanõrkustega tarkvarad arvutites on, mis serverites on. Et noh, selleks ei ole AI -d vaja, et vaata, kui sa vaatad, et, et mis need turvanõrkused on ja neid hakata parandama, et alustada sellest ja siis võib paralleelselt uurida neid keerulisemaid lahendusi, aga kui paljud täna ei suudagi oma arvuteid ja servereid lihtsalt sellist, selliste turvanõrkuste osas kaitsta. nii -öelda lihtsalt tarkvara uuendustega ja enda nii -öelda kursis hoidmisega just nende turvanõrkuste vaatest ja süsteemide uuendamisega siis jah, noh AI ongi siis toob kõik probleemid veel rohkem välja, aga lihtsalt jah, tasuks siis vaadata, alustada lihtsast.
Üks asi, mida AI on, või mina vähemalt ütlen küll, et tänu AI -le on väga paljude inimeste nii -öelda mõttemaailma tulnud ka selline digitaalne suveräänsus, et meie sõltuvus välisriikide, välisriikides olevate ettevõtete toodetest, teenustest ja nii -öelda, ütleme siis näiteks need pilveteenused ja siin ka ju riigiasutused Eestis, mis nüüd siis liiguvad ju RIA alla, on sellega tegelenud ka, et, et Eesti riigiasutuste asjad saaksid olla pilves, aga samas, kui see pilv on ikkagi mõne noh, ütleme siis näiteks Microsofti või Amazoni poolt jooksutatud, siis meil ei ole nagu oma sellist digitaalset suveräänsust, me sõltume nende ettevõtete poolt pakutavatest lahendustest, teenustest ja kui nende, nemad ongi, kuuluvad siis Ameerika Ühendriikide jurisdiktsiooni alla, nemad peavad ütlema, mida nende valitsus ütleb ja kui nende valitsus mingil hetkel ütleb, et kuulge, nüüd Eesti riigiasutuste see server pange kinni, siis nemad peavad seda tegema. Kas siin on ka midagi, mida me saaks teha, et ehitame endale kuskile Luksemburgi nii -öelda, kus on meil ju olnud igasugu asju, et oma sellise riikliku siis andmekeskuse, kus me saame oma riigi asju jooksutada või?
No seal tuleb vaadata, et mis süsteemidest jutt on, on ju, et et jah, et mingeid süsteeme plaanitakse pilve panna või pannakse, aga samas tuleb vaadata seda tervikut, et kuidas lahendus arhitektuuriliselt on, et võib -olla ta on ainult ühe jalaga seal pilves, et tegelikult kuskil teise jalaga ollakse maa peal, et tuleb vaadata riske, tuleb vaadata seda lahendust ja mõelda läbi. Et mis erinevate stsenaariumite puhul realiseerida võib ja kuidas neid riske maandada.
Aga üks asi, mille peale on, et kui selles vallas nii -öelda noh, mõnes mõttes on, saab nii -öelda neid teooriaid peast lasta läbi, et mida, kuidas teha, et nii, et mul siit see füüsiline ühendus kukkus ära ja kõike seda teha, ja et kuidas võtta näiteks satelliitandmesidel põhinev internetiühendus kasutusele, kõik sellised noh, asjad on mõeldavad tehtavad. üks asi minu jaoks, võib -olla AI Tehisaru abiga mõtleks välja ka midagi, on kvantarvutite ja nende tulek. See ju muudab nii -öelda väga palju seda mängumaad, et nemad suudavad teha eelduslikult veelgi rohkem kui AI suudab. Kuidas me selleks valmistume täna?
Ma tean, et RIA selleks valmistub ja siin on tehtud ka erinevaid analüüse, et olla selleks kvantajastu tulekuks valmis. Ma praegu ei ole ennast nii detailselt kurssi viinud, et millised konkreetsed tegevused plaanis on. Aga jah, muidugi see on kindlasti Eesti riigi seisukohalt väga oluline teema, kuhu tuleb vaadata.
Kas te olete teoorias valmis selleks, et, et, sest tegelikult ma tean, et RIA -s käivad ka aeg -ajalt ju poliitikud ja, ja küsivad teilt ja, ja, ja te peate sisendit andma ja kõike seda, aga keegi tulebki, ütleb teile, et noh, aga need, kogu see e -valimiste süsteem, sest see on see, millest hakatakse alati kinni jätta. Tuleb kvantarvuti tead, häkib ära ja kõik on jälle niimoodi untsus on. Olete sellisteks küsimusteks ka valmis või?
Eks tuleb ajaga kaasas käia, selles mõttes, et jah, kui sellised küsimused tulevad, meil on olemas inimesed, kes saavad aidata vastata.
Kas, kuna te ka Elisas nii -öelda rahvusvahelist pilti tegelikult nägite ja nüüd Riias hakkate ka seda ju veelgi rohkem nägema, kas te juba täna oskate öelda, kas e -Eesti küberturvalisuse vaates siis on teenäitaja või me oleme sellised, et me vaatame, mida teised igal pool teevad ja siis me nagu lähme järgi neile?
Ma arvan, et me ikkagi oleme teenäitajaid. Muidugi me tegelikult vaatame kõrvalt, mida teised teevad, aga tulevikus tahame olla veel suuremad teenäitajad, kui võib -olla täna oleme olnud, aga samas rahvusvahelised suhted meie oluliste partneritega on meile olulised ja küberturvalise valdkonnas tuleb lihtsalt infot vahetada ja olla kursis, mis erinevates riikides toimub.
Kas me päriselt ka oleme teie näitajad? Siis ma mõtlen seda, et ka kahjuks tänu Ukraina täiemaalise sõjale on tulnud välja igasugu nüansse, igasugu tahke, mille peale siin nagu varem väga ei mõeldud või siis oligi nagu see näitas nagu paremini ära, et mis see päris reaalsus on, et siis kui kineetiline tegevus hakkab pihta. Et kas meil täna on Eestist vaadates näiteks Ukrainale veel midagi õpetada, näidata või me ikkagi vähemalt nende pealt siis õpime pigem ainult?
No Ukraina on selles mõttes võib -olla jah natukene nagu erandlik, et nemad oma sõjaolukorra ja kogu sellise kriisiolukorraga tõesti võib -olla võrreldes Eestiga, et noh nad on pidanud leiutama endale uusi lahendusi, leidma, mõtlema välja. Et tõesti võib -olla kui me ennast Ukrainaga võrdleme, siis tõesti võiks öelda, et võib -olla me nii suured e -näitajad ei ole, et lihtsalt Ukraina on pidanud sellises olukorras nagu hakkama saama. Aga jah, kui ma vastasin ennem, siis ma pigem mõtlesin nii -öelda laiemat pilti, aga jah, et kindlasti Ukrainalt on meil väga -väga palju õppida ja loodan, et tulevikus saame nendega koostööd veel teha.
Kas te nõustute sellega, et suur osa küberintsidentidest on ärahoitavad, kui selline elementaarne küberhügieen on piisaval heal tasemel?
Jah, ma olen sellega nõus. Kui vaatame, missugune see kübertase on ja millised need intsidendid siin näiteks kasvõi selle aja jooksul on olnud, mis mina Riias olen olnud, siis kõik sellised veebilehtede näostamised näiteks on täitsa ärahoitav selliste baashügieeniasjadega. Ja no sellised intsidendid on vähemalt siin viimastel aegadel läbi käinud, et kindlasti tegelikult ma usun, et et on selle baas küberhügieeni rakendamine võiks olla levinum. Et ja võib -olla mis, mis ma olen ise mõelnud ka, et, et paljud ettevõtted, asutused võib -olla rakendavad seda küberturvalisust just sellepärast, et seadus nõuab, on need kütsikohustused, on nüüd see NIS kaks, aga tegelikult ei mõelda läbi seda, miks, et miks on, miks nad ise, miks nad peaksid seda, sellesse panustama. Et see on oluline nende äritegevusele, nad ei taha oma klientide andmeid lekitada, et need peaksid olema nagu päris põhjused, kuhu siis täna ma usun, et paljud ettevõtted ei ole veel oma mõttemaailmaga jõudnud.
Neid uudiseid tuleb nagu väga tihti, kuidas on need tavalised inimesed, kes saavad pettustega pihta, või on nad ettevõtted. Tegelikult ongi, et ma ütleks, et ettevõtete osa oli nagu, esmalt oli see ettevõtete osa, kus nad said pihta, olid need perearstikeskused ja kõik sellised, noh, eks RIA ja CERT kogu aeg ka sellest räägivad, räägivad, räägivad, praegu on kuidagi fookus sinna just üksikindiviidi peale läinud. Aga no ühesõnaga, seda tuleb igast uksest ja aknast, et jälle on see, jälle räägitakse seda, ma olen ka siin praeguses meie salvestuse raames küsinud, et mida siis teha, aga kas, kas me peaks nagu mingi, mingise nagu teistsuguse muudatuse tegema, kui meil lihtsalt seda korrutatakse, leidma selle teistsuguse tee nende ettevõtete ja inimesteni?
Jah, mingil kujul ma olen nõus, et tuleb üle vaadata, et mismoodi teisiti, et neid teavituskampaaniaid on olnud, neid erinevaid loosungeid, et lihtsalt ma, mul ei ole täna head vastust, et mismoodi. Aga me teame, et noh, tõesti neid teavituskampaaniaid, inimestele info viimist, hoiatamist, et seda on tegelikult päris palju, aga lihtsalt kuidagi see ei jõua kohale, võib -olla tuleb vaadata üle jah, need viisid, kuidas seda tehakse, aga jah, mingi midagi tuleb seal mõelda.
Aga ehk on teil hea vastus sellele, et esiteks, kui kauaks te plaanite Riiasse jääda, ehk siis mis on see aeg, et kui, kui te varem lahkute, et siis nii mina kui teised konkureerivad ajakirjanikud võiksid hakata uurima, et mis siis nagu valesti läks. Ja mis on selline suur eesmärk, mis te olete endale seadnud, et mida te soovite selle aja jooksul ära saavutada?
Ma endale sellist ajalist eesmärki ei ole pannud, kui kaua ma Riiasse jään. Igatahes ma olen praegu väga motiveeritud Eesti küberturvalisusse panustama ja tegelikult noh võib -olla niisugune suur eesmärk ongi viia Eesti küberturvalisus järgmisele tasemele. Ja kuidas seda teha, eks seda ma arutan oma tiimiga. Vaatan üle, mis on tänased teemad töös. Muidugi me lähtume riigi küberturvalisuse strateegiast, seal on teemad ette antud. Selle piires me toimetame, mingi aeg tuleb ka see strateegia uuendamine. Ja anname sinna panuse oma teadmiste ja oskustega, et sellel suunal toimetame ja kindlasti, mis ma ise nii -öelda veel lisaks sellele, et okei, jah, et mis me viime selle küberturvalisuse järgimisele tasemele, et aga, et kuidas me tegelikult seda mõõdame, et milliseid andmeid meil on, et, et täna me kogume infot selle statistika osas, aga tegelikult me tahaks nagu rohkem seda andmepõhist, et meil oleks ka päriselt nagu arusaam, et kuidas. Riigis või ettevõtetes see küberturvalisuse tase on, võib -olla küpsustase, võib -olla midagi muud, aga et mis, mul ei ole ka täna vastust, et kuidas seda infot saada, aga kõigepealt jah, ma tahaks aru saada, et mis meil on lihtsalt olemas ja siis hakata sealt nii -öelda vaatama, et.
Aga kas samas see sama statistika seda küpsusastet juba ei näita?
Ta näitab võib -olla ühekülgselt selles mõttes, et täna on jah, me vaatame, kui palju neid intsidente, mis CERT -i teavitatakse. On need mõjuga, on need mõjud, aga ma usun, et seal võib olla ka see, et et suur osa nendest intsidentidest tegelikult ei jõua täna CERT -i. Et ühest küljest, kui see number hakkab kasvama, siis kõik vaatavad, et küberturvalisuse, oi -oi, olukord on väga paha, aga tegelikult võib -olla hakati rohkem lihtsalt riiet teavitama nendest intsidentidest. Et jah, seal tuleb vaadata, et mida ja kuidas seda statistikat nii -öelda paremaks saab.
Head kuulajad, nagu te saate aru, juttu jätkuks meil kauemaks, aga saateaeg on armutu, hakkab meil otse korrale jõudma. Tänases saates oli külas Riigi Infosüsteemi Ameti küberturvalisuse keskuse juht ja ühtlasi ka peadirektori asetäitja küberturvalisuse alal Mai Kraft. Mina isiklikult loodan väga, et, et Mai võib alati siia stuudiosse tulla uuesti, mul võin teha intervjuusid ka eraldi, aga et Eestis ei oleks ühtegi sellist küberintsidenti, et me peaks nagu suuremas pildis meedias hakkama teda väga tihti nägema, et näiteks, et Aktuaalse kaamera uudistesse ei kutsutakse. Ja mina panin siit saatest tegelikult kõrva taha selle, et kui sa oled üks neist ettevõtetest, eriti veel siis, kui seadusest tulenevalt pead sa oma küber -turvalisusega väga tegelema ja meil on selline AI ajastu, siis vähendage oma ründepinda, ehk siis kõiksugu potentsiaalselt turvanõrkused, üritage ära lappida, kasutage oma infoturbe juhte selle jaoks ja kui teil ettevõtte sees mingil põhjusel, tegelikult ei saa olla nii, et neil ei ole infoturbe juhti, neil vist isegi seadustulemus peaks vist olema ju. Ja kui ei ole, siis küll te leiate kuskilt nii -öelda vabaturgu pealt ka need spetsialistid endale. Suured tänud veel kord Maile saatesse tulemast, mina olin saatejuht Roland Liive ja kohtun teiega järgmine kord.
[ TRANSKRIPTSIOONI LÕPP ]