Tere tulemast kuulama podcast 'i kriitiline intsident, kus me anname väga detailse põhjaliku ülevaate sellest, milline meie e -Eesti kõige laiemas mõistes on, mis on selle head ja vead ja kuidas mõeldakse tuleviku peale. Mina olen saatejuht Ronald Liive ja tänases saates on mul külas inimene, kes juba kahe tuhande kahekümne teisel aastal pööras tähelepanu sellele, Mida tehisaru suudab küberturvalisuse maailmas ära teha, nii heas või halvas mõttes, ja tema suuremaks saavutuseks ei ole selline artikkel, millele ma praegu viitasin, vaid viimaseks selliseks suureks etteasteks on see, et ta on alustanud uuel ametikohal, milleks siis on Riigi Infosüsteemi Ameti Küberturvalisuse Keskuse juht. Ja ühtlasi on ta ka siis Riigi Infosüsteemi Ameti peadirektori asetäitja küberturvalisuse alal. Stuudios on külas Mai Kraft, tere!
Nagu sa ütlesid, ma olen Mai Kraft ja töötan täna Riigi Infosüsteemi Ametis küberturvalisuse keskuse juhina. Mul on pikaajaline kogemus küberturvalisuse valdkonnas. Olen töötanud pikka aega Elisas, infoturbejuhina kaheksa ja pool aastat. Enne seda olin vahepeal audiitor konsultatsioonifirmas Ersten Young, töötasin seal IT konsultandi, IT audiitorina ja kui rääkida üldiselt sellisest hariduslikust vaatest, siis olen lõpetanud Tallinna Tehnikaülikoolis telekommunikatsiooni bakalaureuseõppe ja küberkaitse magistriõppe.
Nagu ma ütlesin, et ma Elisas olen olnud rohkem kui kaheksa aastat ja mingi hetk ma tundsin, et ma natuke tahaks vaadata ringi ja siis kevadel või suve alguses millalgi see konkurss avati. Ja ma mõtlesingi, et, et, et see on selline huvitav ametikoht, kuhu ma võiksin sobida. Et kui lihtsalt võrrelda näiteks Elisa infoturbe valdkonda, mida ma varasemalt juhtisin ja panna see natukene sellisesse laiemasse konteksti ja Riigi Infosüsteemi Ameti küberturvalisuse keskuse konteksti, siis mulle tundusid need natukene sellised Sarnased valdkonnad, lihtsalt riigi infosüsteemi vaatest ma vaatan seda pilti Eesti kontekstis laiemalt. Et varasemalt oli telekommunikatsiooni, IT -ettevõtte vaade, aga nüüd siis vaatan pilti laiemalt. Ja selles mõttes ükski valdkond, mis täna küberturvalise keskuse on, keskuses on, ei ole mulle võõras. Et mingil kujul ma nii -öelda kliendina riigi infosüsteemi vaates olen nende inimestega koostööd teinud ja Riigi Infosüsteemi Amet üldiselt sellise riigiasutusena ta võib -olla ei paista, selline klassikaline riigiasutus, et ta oli mulle juba varasemalt sellise hea mulje jätnud. Et ma tean, et küberturvalisuse kompetents seal asutuses on väga tugev ja tekkiski mõte, et ma võiksin proovida sinna kandideerida.
Minu koostöö erisajal Riigi Infosüsteemi Ametiga oli tegelikult väga positiivne selles mõttes, et nii SERT -i osakonnaga kui ennetus - ja analüüsiosakonnaga kui ka kriitilise infrastruktuuri kaitse osakonnaga, et tegelikult väljapoolt paistis mulle selles mõttes kõik, et mul ei olnud tegelikult nagu midagi ette heita, et alati see, mis nad tegid. Et mina sealt alati abi sain ja mis mul tegelikult noh, võib -olla ei puudu, see on tegelikult see sisevaade, et mis tegelikult need päris probleemid on, millega siin Eesti riigis küberturvalise vaatest tuleb tegeleda ja sellega ma siis nüüd jooksvalt üritangi ennast kurssi viia.
Ehk siis kui midagi läheb kuskil hapuks, keegi, mõni ettevõte ütleb, et kuulge, et me nüüd saime pihta, meil vist on siit midagi nüüd, keegi pahalane istub sees, siisserdi inimesed on need, kes saavad ettevõtetele Kas just abi pakkuda, aga te saate vaadata ja potentsiaalselt nagu riigi vaates siis ära hoida seda, et see üks pahalane ei liiguks kuskile edasi teistesse süsteemidesse, kui tegu on riigisüsteemidega näiteks?
Jaa, seda küll jah. Siis on järelevalve osakond ka, kes tegelikult, sest meil on olemas seadused, mis nagu panevad ka paika, et et riigiasutused küll jah, aga on ka siis mõned eraettevõtted, kes peavad Nii -öelda oma küber, lähtuvalt seadustest oma küberturvalisust väga tõsiselt võtma ja teoreetiliselt siis kui nad ei võta seda nagu tõsiselt, saab neid korrale kutsuda ja mitte ainult korrale kutsuda, vaid seal on teisi vahendeid ka. Kas te selle olete ka enda jaoks nagu paika pannud, et, et milline juht te selles mõttes olete, et millise sisendi te annate oma töötajatele, et Kuidas selliste ettevõtetega tegeleda, kelle puhul näiteks ei ole näha, või tähendab, on näha, et nad ei ole nagu küberturvalisust väga tõsiselt võtnud?
See pettuste teema on tõesti hästi keeruline, see on tegelikult ju aastaid siin toimunud. Ma tean, on moodustatud erinevad töögrupid, kes otsivad viise, mida selle teemaga teha. Et nelisajast juba ma tean, et oldi selles PPA töögrupis ja on veel ka teisi töögruppe, kus sellega tegeletakse. Ja samamoodi on Riigi Infosüsteemi Amet selle PPA töögrupis ja seal töö toimub täna sisuliselt kolmel tasandil. Üks on tehniline töögrupp, mida on tehniliselt võimalik teha, siis on kommunikatsioonitöögrupp ja siis on õigus looma, et mida juriidiliselt tuleks teha. Koos selles töögrupis erinevad inimesed siis tegelikult mõtlevad, et mida teha, sest et see on väga keeruline. Hoolimata sellest, et on tehtud erinevaid kampaaniaid, on pandud erinevaid tehnilisi meetmeid paika, on see siis pankade poole pealt või siis telkode poole pealt, need filtreerimise lahendused, et aga noh, ikkagi neid tegelikult toimub. Ja siin lihtsalt jah, tuleb mõelda veel, et kas saab midagi teha ja viia seda teadmist inimesteni, võib -olla anda rohkem infot liikuvatest skeemidest, et inimesed oleksid rohkem kursis. Aga samas ei pruugi ka aidata. Et võib -olla alati ongi mingi ports inimesi, kelleni see info ei jõua või nagu PPA Kelke juht ütles, et iga inimese jaoks on olemas oma skeem.
Aga üks asi, mis tuleb Riias väga palju lauale, on tegelikult ikkagi need nii -öelda, ka, kas nad nii -öelda omistatakse lõppkokkuvõttes või mitte, mõne, mõnele riigile sellised küberründed konkreetsed, see on ka nagu ikkagi väga ju laual ja aktuaalne, kuigi nüüd siin hiljaaegu ei ole ühtegi nagu väga markantset näidet tuua, vähemalt mitte veel sellist, mis oleks avalikustatud, kuigi jutud siin käivad, et On tulemas kunagi midagi, mis seal tulemas on, vot ma ei tea, võib -olla saate avada kohe, eksklusiiv uudis.
Aga, aga selline, et jah, et kus meil on need nii -öelda mõned kindlad riigid üldjuhul, mis on, mis nii -öelda käivad, nagistavad meie uksi, tahavad kogu aeg sisse tulla. Noh, see on see, millega te peate nüüd ju kokku puutuma. Kas, mida, mida üldse sellega ette võtta? Kas me peame ennast nii, nagu me kaks tuhat seitse tegime, ülejäänud internetist, ülejäänud internetimaailmast nagu välja lülitama ja see oleks lahendus või, või lihtsalt, kuna neid ründeid on palju, siis ka nagu, nii -öelda need vastumeetmed on palju tõhusamad ja midagi nii drastilist ei pea tegema enam?
Ma tõin need dokumendifotod mängu siia seetõttu, et too isik, kes selle kriminaalteosest, et on karistatud selle eest, korda saatis, tema esialgu ta küsis RIA -lt raha, ütles, et kuulge, et et kui te maksate mulle viis tuhat eurot, et siis ma neid pilte ja asju kõike midagi halba ma ei tee, ma tean, kus kus need kõik on ja ma saan teha, aga ma midagi halba ma ei tee. Siis RIA noh, hakkas vastama, ei jõudnud vastata, inimene muutus kärsituks, läks nii -öelda närvi ja otsustas, et ei, noh, nüüd ma virutan need ikkagi fotod ja teen endale mingisuguse eraandmebaasi ja niimoodi. Pikk jutt, lühidalt on see, et ühe nii -öelda sellise vastumeetmena RIA töötas välja toona, siin on eesti keeles väga raske vastet leida, võib -olla saate mind aidata, Park bounty oli selle asja nimi, et kui kuskil keegi leiab mingisuguse turvanõrkuse, saab RIAt informeerida ja kui tõesti see on turvanõrkus ja niimoodi, et siis saab ka reaalset raha selle eest. Nüüd mulle suure üllatusena tuli see, et RIA on selle ära kaotanud, et see nii -öelda tuli, oli natukene aega ja siis ta ka kadus. Ma saan aru, te olete uus inimene, teie neid otsuseid ei teinud ja kõike seda, aga kuidas teie nägemus on? Kas riigi vaatest Riigi Infosüsteemi Amet peaks kuidagi pakkuma sellist võimalust, et neid häid häkkereid pidada meeles, olgu nad mingisugused sellised pehmed meened, RIA logoga pusad, kruusid, mis iganes, või siis ka reaalselt nii -öelda raha kandma neile, mis on minu mälu järgi vist see viis tuhat eurot olekski olnud selline maksimaalne summa, mis oleks saanud maksta.
Ma alustan kõigepealt sellest, et sellest jah, ma konkreetselt seda dokumentide keissi ma olen meediast lugenud, aga lihtsalt üldiselt, et kui keegi leiab kellegi süsteemis turvanõrkuse, siis jah, tuleks anda teada, aga see eeldada, et alati selle eest raha saab, ma arvan, et see ei tohiks olla see eeldus. Et tegelikult kui sa oled selline vastutustundlik häkker, siis sa ikkagi annad teada ja lased nii -öelda selle ära parandada ja siis võid nii -öelda, no seal on see avalikustamise periood on ju tavaliselt on see üheksakümmend päeva, et hakata välja pressima raha, see tegelikult nii avalikus sektoris kui ka erasektoris, tegelikult see ei ole ilus. Ja üldjuhul ei ole lihtsalt ka isegi tavalisel ettevõttel, ma arvan, et rääkimata ka avalikust sektorist, võimalik lihtsalt tavalisele inimesele lihtsalt kuskile kellelegi viis tuhat eurot kanda, et see juba raamatupidamislikult ei mängi välja, et et kuidas lihtsalt nii -öelda kellelegi kannad. Aga mis puutub sellesse bug bounty programmi, siis jah, ma kuulsin ka, et see kunagi oli, täna seda enam ei ole. Minu kogemus bug bounty programmidega on see, et, et nad on väga head, sealt tuleb häid leide. Lihtsalt need süsteemid, mida sinna bug bounty programmidesse üles pannakse, et see peab olema kontrollitud. Need süsteemid peavad olema ise ka varasemalt läbi testitud turvalisuse kontekstis, et ei oleks seal selliseid jutumärkides labaseid leide, et, et saaks ka päriselt väärtust sellest bug bounty programmist. Ja jah, minu nägemus on, et see on hea ja tulevikus me võime vaadata, et mis võimalused riigi infosüsteemi ameti poolel selle bug bounty programmi taastamise osas on. Et
Aga kui ma toon mängu selle, et meil siin väidetavalt nüüd vist küll nii -öelda lõplikke otsuseid ei ole veel olemas, et selline riigi IT -reform võetakse ette, riigi IT -maju liidetakse omavahel ja mingid siis nii -öelda kaovad ära selle tulemusena ka ja Riigi Infosüsteemi Amet tegelikult kasvab väga palju suuremaks, kui ta praegu on. Ja võttes just selle nurga mängu ehk siis neid süsteeme, mida RIA nii -öelda nimeliselt just see RIA üks asutus hakkab, mille eest vastutab, tuleb väga palju juurde. Kas see ei oleks nüüd see asi, et nüüd noh kiirkorras võiks selle buck -pointi asja peale hakata mõtlema?
Üks asi, mida AI on, või mina vähemalt ütlen küll, et tänu AI -le on väga paljude inimeste nii -öelda mõttemaailma tulnud ka selline digitaalne suveräänsus, et meie sõltuvus välisriikide, välisriikides olevate ettevõtete toodetest, teenustest ja nii -öelda, ütleme siis näiteks need pilveteenused ja siin ka ju riigiasutused Eestis, mis nüüd siis liiguvad ju RIA alla, on sellega tegelenud ka, et, et Eesti riigiasutuste asjad saaksid olla pilves, aga samas, kui see pilv on ikkagi mõne noh, ütleme siis näiteks Microsofti või Amazoni poolt jooksutatud, siis meil ei ole nagu oma sellist digitaalset suveräänsust, me sõltume nende ettevõtete poolt pakutavatest lahendustest, teenustest ja kui nende, nemad ongi, kuuluvad siis Ameerika Ühendriikide jurisdiktsiooni alla, nemad peavad ütlema, mida nende valitsus ütleb ja kui nende valitsus mingil hetkel ütleb, et kuulge, nüüd Eesti riigiasutuste see server pange kinni, siis nemad peavad seda tegema. Kas siin on ka midagi, mida me saaks teha, et ehitame endale kuskile Luksemburgi nii -öelda, kus on meil ju olnud igasugu asju, et oma sellise riikliku siis andmekeskuse, kus me saame oma riigi asju jooksutada või?
Ma endale sellist ajalist eesmärki ei ole pannud, kui kaua ma Riiasse jään. Igatahes ma olen praegu väga motiveeritud Eesti küberturvalisusse panustama ja tegelikult noh võib -olla niisugune suur eesmärk ongi viia Eesti küberturvalisus järgmisele tasemele. Ja kuidas seda teha, eks seda ma arutan oma tiimiga. Vaatan üle, mis on tänased teemad töös. Muidugi me lähtume riigi küberturvalisuse strateegiast, seal on teemad ette antud. Selle piires me toimetame, mingi aeg tuleb ka see strateegia uuendamine. Ja anname sinna panuse oma teadmiste ja oskustega, et sellel suunal toimetame ja kindlasti, mis ma ise nii -öelda veel lisaks sellele, et okei, jah, et mis me viime selle küberturvalisuse järgimisele tasemele, et aga, et kuidas me tegelikult seda mõõdame, et milliseid andmeid meil on, et, et täna me kogume infot selle statistika osas, aga tegelikult me tahaks nagu rohkem seda andmepõhist, et meil oleks ka päriselt nagu arusaam, et kuidas. Riigis või ettevõtetes see küberturvalisuse tase on, võib -olla küpsustase, võib -olla midagi muud, aga et mis, mul ei ole ka täna vastust, et kuidas seda infot saada, aga kõigepealt jah, ma tahaks aru saada, et mis meil on lihtsalt olemas ja siis hakata sealt nii -öelda vaatama, et.
Head kuulajad, nagu te saate aru, juttu jätkuks meil kauemaks, aga saateaeg on armutu, hakkab meil otse korrale jõudma. Tänases saates oli külas Riigi Infosüsteemi Ameti küberturvalisuse keskuse juht ja ühtlasi ka peadirektori asetäitja küberturvalisuse alal Mai Kraft. Mina isiklikult loodan väga, et, et Mai võib alati siia stuudiosse tulla uuesti, mul võin teha intervjuusid ka eraldi, aga et Eestis ei oleks ühtegi sellist küberintsidenti, et me peaks nagu suuremas pildis meedias hakkama teda väga tihti nägema, et näiteks, et Aktuaalse kaamera uudistesse ei kutsutakse. Ja mina panin siit saatest tegelikult kõrva taha selle, et kui sa oled üks neist ettevõtetest, eriti veel siis, kui seadusest tulenevalt pead sa oma küber -turvalisusega väga tegelema ja meil on selline AI ajastu, siis vähendage oma ründepinda, ehk siis kõiksugu potentsiaalselt turvanõrkused, üritage ära lappida, kasutage oma infoturbe juhte selle jaoks ja kui teil ettevõtte sees mingil põhjusel, tegelikult ei saa olla nii, et neil ei ole infoturbe juhti, neil vist isegi seadustulemus peaks vist olema ju. Ja kui ei ole, siis küll te leiate kuskilt nii -öelda vabaturgu pealt ka need spetsialistid endale. Suured tänud veel kord Maile saatesse tulemast, mina olin saatejuht Roland Liive ja kohtun teiega järgmine kord.
[ TRANSKRIPTSIOONI LÕPP ]