Tere tulemast kuulama podcast 'i kriitiline intsident, kus me anname väga detailse põhjaliku ülevaate sellest, milline meie e -Eesti kõige laiemas mõistes on, mis on selle head ja vead ja kuidas mõeldakse tuleviku peale. Mina olen saatejuht Ronald Liive ja tänases saates on mul külas inimene, kes juba kahe tuhande kahekümne teisel aastal pööras tähelepanu sellele, Mida tehisaru suudab küberturvalisuse maailmas ära teha, nii heas või halvas mõttes, ja tema suuremaks saavutuseks ei ole selline artikkel, millele ma praegu viitasin, vaid viimaseks selliseks suureks etteasteks on see, et ta on alustanud uuel ametikohal, milleks siis on Riigi Infosüsteemi Ameti Küberturvalisuse Keskuse juht. Ja ühtlasi on ta ka siis Riigi Infosüsteemi Ameti peadirektori asetäitja küberturvalisuse alal. Stuudios on külas Mai Kraft, tere!
Väga hea meel on siin mikrofoni ees kohtuda ja hakata rääkima küberturvalisusest kõikide nurkade, nüansside, tahkude alt, kust üldse võimalik. Aga enne kui me läheme nagu teeme sellise süvitsi mineku, siis räägime teist endast, kes te olete, kust te tulete?
Nagu sa ütlesid, ma olen Mai Kraft ja töötan täna Riigi Infosüsteemi Ametis küberturvalisuse keskuse juhina. Mul on pikaajaline kogemus küberturvalisuse valdkonnas. Olen töötanud pikka aega Elisas, infoturbejuhina kaheksa ja pool aastat. Enne seda olin vahepeal audiitor konsultatsioonifirmas Ersten Young, töötasin seal IT konsultandi, IT audiitorina ja kui rääkida üldiselt sellisest hariduslikust vaatest, siis olen lõpetanud Tallinna Tehnikaülikoolis telekommunikatsiooni bakalaureuseõppe ja küberkaitse magistriõppe.
Nagu ma ütlesin, et ma Elisas olen olnud rohkem kui kaheksa aastat ja mingi hetk ma tundsin, et ma natuke tahaks vaadata ringi ja siis kevadel või suve alguses millalgi see konkurss avati. Ja ma mõtlesingi, et, et, et see on selline huvitav ametikoht, kuhu ma võiksin sobida. Et kui lihtsalt võrrelda näiteks Elisa infoturbe valdkonda, mida ma varasemalt juhtisin ja panna see natukene sellisesse laiemasse konteksti ja Riigi Infosüsteemi Ameti küberturvalisuse keskuse konteksti, siis mulle tundusid need natukene sellised Sarnased valdkonnad, lihtsalt riigi infosüsteemi vaatest ma vaatan seda pilti Eesti kontekstis laiemalt. Et varasemalt oli telekommunikatsiooni, IT -ettevõtte vaade, aga nüüd siis vaatan pilti laiemalt. Ja selles mõttes ükski valdkond, mis täna küberturvalise keskuse on, keskuses on, ei ole mulle võõras. Et mingil kujul ma nii -öelda kliendina riigi infosüsteemi vaates olen nende inimestega koostööd teinud ja Riigi Infosüsteemi Amet üldiselt sellise riigiasutusena ta võib -olla ei paista, selline klassikaline riigiasutus, et ta oli mulle juba varasemalt sellise hea mulje jätnud. Et ma tean, et küberturvalisuse kompetents seal asutuses on väga tugev ja tekkiski mõte, et ma võiksin proovida sinna kandideerida.
Ma ei oska sellele nii detailselt nii -öelda vastata, kuna ma olen tõesti väga vähe olnud. Mis mul nii -öelda, mida ma iseenesest seda oli varem, see oli varem ka teada või Eesti kogu see küberturvalisuse tase, nii Eesti ettevõtted, riigiasutused, et see on tegelikult see, millega me küberturvalisuse keskuses peame sisulisemalt tegelema ja millega tegelikult on ka täna tegeletud. Lihtsalt minu ülesanne on anda enda inimestele see suund kätte, kuigi jah, et, et see suund on ju mingil kujul olemas, et lihtsalt küsimus on, millega inimesed tegelevad ja minu hinnangul RIA -s inimesed on väga hästi panustanud küberturvalisuse valdkonna arengusse ja tulevikus kindlasti panustame veel.
ee on osakond, kes tegeleb küberturvalisuse intsidentide käsitlemisega Eestis.
Jah, me tahame teada nendest küberintsidentidest, osadel, osad asutused, osad ettevõtted peavad seaduse alusel ka teavitama CERT -id nendes või neil toimunud küberintsidentidest. Seda, kas CERT iga kord läheb kõikide kõiki abistama, seda kindlasti ei ole, et lihtsalt sellistes keerulisemates olukordades, kus on näha, et on vajalik CERT -i abi, sest et tegelikult osades asutustes, ettevõtetes on olemas ka omad küberturbe, infoturbe inimesed, kes tegelikult neid intsidente lahendavad. Ja kui vaadata lihtsalt seda, et kes tegelikult nende küberintsidentide lahendamise eest vastutavad, siis tegelikult on nende ettevõtete, asutuste juhtkonnad, kes peavad tagama, et nendel ettevõtetel, asutustel on küberturvalisus ja küberintsidentide lahendamise protseduurid, protsessid olemas, CERT saab nõu ja jõuga olla abis, kui on suuremad intsidendid toimunud.
Jaa, seda küll jah. Siis on järelevalve osakond ka, kes tegelikult, sest meil on olemas seadused, mis nagu panevad ka paika, et et riigiasutused küll jah, aga on ka siis mõned eraettevõtted, kes peavad Nii -öelda oma küber, lähtuvalt seadustest oma küberturvalisust väga tõsiselt võtma ja teoreetiliselt siis kui nad ei võta seda nagu tõsiselt, saab neid korrale kutsuda ja mitte ainult korrale kutsuda, vaid seal on teisi vahendeid ka. Kas te selle olete ka enda jaoks nagu paika pannud, et, et milline juht te selles mõttes olete, et millise sisendi te annate oma töötajatele, et Kuidas selliste ettevõtetega tegeleda, kelle puhul näiteks ei ole näha, või tähendab, on näha, et nad ei ole nagu küberturvalisust väga tõsiselt võtnud?
See on väga hea jutt, et ründepinda tuleks vähendada, aga oleme realistlikud. Just see AI, millest ei saa üle ega ümber, on tänu vaibkoodimisele iga ettevõte ja iga nii -öelda tavaline inimene, eraisik saab vaibkoodida kas endale mingi see hea nii -öelda tööriista, mis justkui aitab tema ettevõtet, teeb midagi paremaks, tema ettevõtet ja töötajat, aga noh, see turvalisuse küsimus on kindlasti seal, on ju, see nagu üks uus uks on juures ja see ei pruugi isegi uks olla, vaid see võib olla nagu avatud aken, millest lihtsalt saabki tulla igaüks sisse ju. Kas, kuidas selle vastu nii -öelda võidelda?
Ma alustan kõigepealt sellest, et sellest jah, ma konkreetselt seda dokumentide keissi ma olen meediast lugenud, aga lihtsalt üldiselt, et kui keegi leiab kellegi süsteemis turvanõrkuse, siis jah, tuleks anda teada, aga see eeldada, et alati selle eest raha saab, ma arvan, et see ei tohiks olla see eeldus. Et tegelikult kui sa oled selline vastutustundlik häkker, siis sa ikkagi annad teada ja lased nii -öelda selle ära parandada ja siis võid nii -öelda, no seal on see avalikustamise periood on ju tavaliselt on see üheksakümmend päeva, et hakata välja pressima raha, see tegelikult nii avalikus sektoris kui ka erasektoris, tegelikult see ei ole ilus. Ja üldjuhul ei ole lihtsalt ka isegi tavalisel ettevõttel, ma arvan, et rääkimata ka avalikust sektorist, võimalik lihtsalt tavalisele inimesele lihtsalt kuskile kellelegi viis tuhat eurot kanda, et see juba raamatupidamislikult ei mängi välja, et et kuidas lihtsalt nii -öelda kellelegi kannad. Aga mis puutub sellesse bug bounty programmi, siis jah, ma kuulsin ka, et see kunagi oli, täna seda enam ei ole. Minu kogemus bug bounty programmidega on see, et, et nad on väga head, sealt tuleb häid leide. Lihtsalt need süsteemid, mida sinna bug bounty programmidesse üles pannakse, et see peab olema kontrollitud. Need süsteemid peavad olema ise ka varasemalt läbi testitud turvalisuse kontekstis, et ei oleks seal selliseid jutumärkides labaseid leide, et, et saaks ka päriselt väärtust sellest bug bounty programmist. Ja jah, minu nägemus on, et see on hea ja tulevikus me võime vaadata, et mis võimalused riigi infosüsteemi ameti poolel selle bug bounty programmi taastamise osas on. Et
Kas, kuna te ka Elisas nii -öelda rahvusvahelist pilti tegelikult nägite ja nüüd Riias hakkate ka seda ju veelgi rohkem nägema, kas te juba täna oskate öelda, kas e -Eesti küberturvalisuse vaates siis on teenäitaja või me oleme sellised, et me vaatame, mida teised igal pool teevad ja siis me nagu lähme järgi neile?
Jah, ma olen sellega nõus. Kui vaatame, missugune see kübertase on ja millised need intsidendid siin näiteks kasvõi selle aja jooksul on olnud, mis mina Riias olen olnud, siis kõik sellised veebilehtede näostamised näiteks on täitsa ärahoitav selliste baashügieeniasjadega. Ja no sellised intsidendid on vähemalt siin viimastel aegadel läbi käinud, et kindlasti tegelikult ma usun, et et on selle baas küberhügieeni rakendamine võiks olla levinum. Et ja võib -olla mis, mis ma olen ise mõelnud ka, et, et paljud ettevõtted, asutused võib -olla rakendavad seda küberturvalisust just sellepärast, et seadus nõuab, on need kütsikohustused, on nüüd see NIS kaks, aga tegelikult ei mõelda läbi seda, miks, et miks on, miks nad ise, miks nad peaksid seda, sellesse panustama. Et see on oluline nende äritegevusele, nad ei taha oma klientide andmeid lekitada, et need peaksid olema nagu päris põhjused, kuhu siis täna ma usun, et paljud ettevõtted ei ole veel oma mõttemaailmaga jõudnud.
Ma endale sellist ajalist eesmärki ei ole pannud, kui kaua ma Riiasse jään. Igatahes ma olen praegu väga motiveeritud Eesti küberturvalisusse panustama ja tegelikult noh võib -olla niisugune suur eesmärk ongi viia Eesti küberturvalisus järgmisele tasemele. Ja kuidas seda teha, eks seda ma arutan oma tiimiga. Vaatan üle, mis on tänased teemad töös. Muidugi me lähtume riigi küberturvalisuse strateegiast, seal on teemad ette antud. Selle piires me toimetame, mingi aeg tuleb ka see strateegia uuendamine. Ja anname sinna panuse oma teadmiste ja oskustega, et sellel suunal toimetame ja kindlasti, mis ma ise nii -öelda veel lisaks sellele, et okei, jah, et mis me viime selle küberturvalisuse järgimisele tasemele, et aga, et kuidas me tegelikult seda mõõdame, et milliseid andmeid meil on, et, et täna me kogume infot selle statistika osas, aga tegelikult me tahaks nagu rohkem seda andmepõhist, et meil oleks ka päriselt nagu arusaam, et kuidas. Riigis või ettevõtetes see küberturvalisuse tase on, võib -olla küpsustase, võib -olla midagi muud, aga et mis, mul ei ole ka täna vastust, et kuidas seda infot saada, aga kõigepealt jah, ma tahaks aru saada, et mis meil on lihtsalt olemas ja siis hakata sealt nii -öelda vaatama, et.
Ta näitab võib -olla ühekülgselt selles mõttes, et täna on jah, me vaatame, kui palju neid intsidente, mis CERT -i teavitatakse. On need mõjuga, on need mõjud, aga ma usun, et seal võib olla ka see, et et suur osa nendest intsidentidest tegelikult ei jõua täna CERT -i. Et ühest küljest, kui see number hakkab kasvama, siis kõik vaatavad, et küberturvalisuse, oi -oi, olukord on väga paha, aga tegelikult võib -olla hakati rohkem lihtsalt riiet teavitama nendest intsidentidest. Et jah, seal tuleb vaadata, et mida ja kuidas seda statistikat nii -öelda paremaks saab.
Head kuulajad, nagu te saate aru, juttu jätkuks meil kauemaks, aga saateaeg on armutu, hakkab meil otse korrale jõudma. Tänases saates oli külas Riigi Infosüsteemi Ameti küberturvalisuse keskuse juht ja ühtlasi ka peadirektori asetäitja küberturvalisuse alal Mai Kraft. Mina isiklikult loodan väga, et, et Mai võib alati siia stuudiosse tulla uuesti, mul võin teha intervjuusid ka eraldi, aga et Eestis ei oleks ühtegi sellist küberintsidenti, et me peaks nagu suuremas pildis meedias hakkama teda väga tihti nägema, et näiteks, et Aktuaalse kaamera uudistesse ei kutsutakse. Ja mina panin siit saatest tegelikult kõrva taha selle, et kui sa oled üks neist ettevõtetest, eriti veel siis, kui seadusest tulenevalt pead sa oma küber -turvalisusega väga tegelema ja meil on selline AI ajastu, siis vähendage oma ründepinda, ehk siis kõiksugu potentsiaalselt turvanõrkused, üritage ära lappida, kasutage oma infoturbe juhte selle jaoks ja kui teil ettevõtte sees mingil põhjusel, tegelikult ei saa olla nii, et neil ei ole infoturbe juhti, neil vist isegi seadustulemus peaks vist olema ju. Ja kui ei ole, siis küll te leiate kuskilt nii -öelda vabaturgu pealt ka need spetsialistid endale. Suured tänud veel kord Maile saatesse tulemast, mina olin saatejuht Roland Liive ja kohtun teiega järgmine kord.
[ TRANSKRIPTSIOONI LÕPP ]