Küsimused, mis aitavad
infoturbes selgust saada.

Mida esimeses etapis välja selgitada?

Enne uute lahenduste valimist on vaja aru saada, mida kaitseme. Millised tegevused toovad ettevõttele tulu või võimaldavad põhiteenust osutada? Millist infot selleks kasutatakse ja kus see asub? Arvesse lähevad nii oma seadmed kui ka pilveteenused, välised partnerid ja võtmetöötajate teadmised.

Kuidas sellest tegevusplaan saab?

Selle ülevaate põhjal hindame, millised kaitsemeetmed toimivad ja kus on lüngad. Olulisemate puuduste juurde lepime kokku tegevuse, vastutaja ja tähtaja. Kõike ei pea korraga ette võtma: alustame sellest, mille parandamine vähendaks teie ettevõtte jaoks olulisemaid riske.

Näide

Kui müük ja kliendisuhtlus sõltuvad ühest e-posti teenusest, võib esimene töö olla kontode kaitse, taastamisvõimaluste ja administraatoriõiguste ülevaatus. Alles siis saab otsustada, kas vaja on uut lahendust või piisab olemasoleva teenuse seadistamisest ja töökorralduse täpsustamisest.

Ettevõtte suurus ei näita üksinda riski

Väikeses meeskonnas võivad olulised teadmised ja haldusõigused olla ühe inimese käes. Tasub mõelda, kuidas töö jätkuks tema puudumisel või konto kaaperdamise korral. Riskide hindamisel loeb see, millist kahju probleem ettevõttele teeks, mitte üksnes töötajate või arvutite arv.

Milline maht on mõistlik?

Esimesena võiks olla selge, kes vastutab kontode eest, kuidas kontrollitakse makseandmete muudatusi, kust saab varukoopiad ja kellele probleemist teatada. Põhjalikuma juhtimissüsteemi vajadust hindame koos riskide, klientide ootuste ning ettevõttele kohalduvate nõuetega.

Näide

Kümne töötajaga konsultatsiooniettevõtte oluliseks varaks võib olla klientide dokumentatsioon. Seal tasub esmalt vaadata failide jagamisõigusi, kontode kaitset ja lahkunud töötajate ligipääse. Tootmisettevõttes võib seevastu olla kõige pakilisem tagada, et kriitiline seade ja seda juhtiv tarkvara oleksid töökindlad.

Kuidas rollid praktikas jagunevad?

IT-partner võib hoolitseda varunduse ja serverite uuendamise eest. Ettevõtte poolelt tuleb aga öelda, kui pikk seisak on vastuvõetav, millised andmed on kõige olulisemad ja kelle ülesanne on taastamise tulemus kinnitada. Infoturbe juhtimine aitab need vajadused haldajaga läbi rääkida.

Mida tuleb omavahel kokku leppida?

Oluliste tegevuste juures peab olema selge, kes teeb ettepaneku, kes otsustab, kes teostab ja kes kontrollib tulemust. Ka sisseostetud teenuse puhul vajab juhtkond ülevaadet riskidest ning sellest, mida partnerilt on tellitud. Teenusepakkuja ei saa kõiki ettevõtte eest vajalikke otsuseid teha.

Näide

Varunduse haldaja näeb, et öine koopia õnnestus. Koos ettevõtte ja IT-partneriga tehtud taastamiskatse näitab aga, kas vajalik teenus saab ka kokkulepitud aja jooksul kasutatavaks. Mõlemat teadmist on vaja, et taastamisvalmidust hinnata.

Kuidas teenus igapäevatöös välja näeb?

Koostöö alguses lepime kokku eesmärgid, töömahu ja selle, kui sageli koos olukorda üle vaatame. Hoiame silma peal tegevusplaanil, hindame muutustega kaasnevaid riske ja valmistame ette juhtkonna otsuseid. Nii saavad tähelepanu nii kiiret lahendust vajavad küsimused kui ka pikemad arendused.

Milline roll jääb ettevõttele?

Et koostöö toimiks, vajame ettevõtte kontaktisikut ja vajalike otsustajate osalemist. Meie ülesanne on tuua välja riskid, selgitada valikuid ja aidata tegevusi edasi viia. Juhtkond otsustab, milliseid riske aktsepteerida ning kuhu aega ja raha suunata.

Näide

Uue kliendihaldusteenuse kasutuselevõtul aitab väline infoturbejuht kirjeldada turbenõuded, hinnata teenusepakkujat ja kokku leppida andmete ning ligipääsude haldamise. Tehnilise kasutuselevõtu võib korraldada teie senine IT-partner.

Mida senises koostöös täpsustame?

Kõigepealt vaatame, mida senised teenused ja lepingud juba katavad. Täpsustame, millised turbeülesanded kuuluvad IT-partneri töösse, mida tuleb eraldi tellida ning kus on vaja ettevõtte enda otsust. See aitab vältida vastutuslünki, kus mõlemad pooled eeldavad, et asjaga tegeleb teine.

Kuidas muudatusi korraldada?

Soovitusest peab saama töö, mille sisu on kõigile arusaadav. Kirjeldame soovitud tulemuse, mõjutatud teenused ja selle, kuidas tehtut kontrollida. Enne muudatust lepime kokku ajakava, võimaliku töökatkestuse ning osapoolte ülesanded.

Näide

Ettevõtte juht kinnitab, kellel on oma tööks milliseid ligipääse vaja. IT-partner sulgeb üleliigsed kontod ja muudab seadistusi. Infoturbe poolelt aitame õiguste ülevaatuse korraldada ning kontrollida, et otsused ja tegelikud ligipääsud oleksid omavahel kooskõlas.

Millest on riskihindamisel kasu?

Riskihinnang peab aitama otsustada. Selleks kirjeldame võimaliku sündmuse ja selle mõju teie tööle. Üldise „küberrünnaku” asemel vaatame näiteks, kuidas kaaperdatud konto võimaldaks muuta makseandmeid või peatada tellimuste töötlemise. Arvesse lähevad ka juba olemasolevad kaitsemeetmed.

Mida pärast hindamist teha?

Riskiregistri kõrval on vaja tegevusplaani: mida parandada, kes vastutab ja kuidas tulemust kontrollida. Pärast muudatust vaatame, kui palju olukord paranes ja milline risk alles jäi. Hinnang peab muutuma koos ettevõttega, et see aitaks ka järgmisi otsuseid teha.

Näide

Kui tellimuste täitmine sõltub ühest pilveteenusest, võib vaja olla kontrollida teenusepakkuja taastamisvõimet, korraldada oluliste andmete eksport ja läbi mõelda ajutine tööviis katkestuse ajaks. Uue süsteemi ostmine ei pruugi olla esimene ega ainus vajalik tegevus.

Millistele küsimustele tuleb vastata?

Esmalt selgitame, kas ettevõte kuulub küberturvalisuse seaduse kohaldamisalasse. Seejärel vaatame, millised kohustused ja erisused talle kohalduvad. Seaduse alla kuulumine ei anna veel iseenesest vastust kõigile standardi rakendamise või auditeerimise küsimustele: neid tuleb eraldi hinnata.

Millist infot on hindamiseks vaja?

Vajame ülevaadet ettevõtte teenustest, klientidest ja suurusest ning vajaduse korral seostest teiste ettevõtetega. Abiks on teenuste kirjeldused, töötajate arv, majandusnäitajad, lepingud ja varasem suhtlus järelevalveasutusega. Registrisse märgitud tegevusala on üks lähtekoht, kuid sellest üksi ei pruugi piisata.

Näide

Sarnase suurusega tarkvaraarendaja ja hallatud IT-teenuse pakkuja puhul võivad järeldused erineda. Ka sama ettevõtte teenuseid tuleb sisuliselt vaadata. Hinnangu juures peab olema kirjas, millel järeldus põhineb ja milliste muutuste korral tuleb küsimus uuesti üle vaadata.

Kuidas see ettevõtte töös väljendub?

Infoturbe juhtimissüsteem aitab ettevõttel seada eesmärke, hinnata riske ja hoida ülevaadet vajalikest parandustest. Selle toimimine peaks olema näha igapäevastes otsustes, näiteks teenusepakkuja valikul või ligipääsude muutmisel. Valmis dokumendid on osa tööst, kuid nende kõrval peab toimima ka kokkulepitud töökorraldus.

Millal on sertifikaati vaja?

Vabatahtliku rakendamise korral ei pea alati sertifitseerimiseni jõudma. Kui sertifikaati nõuab klient, hange või õigusliku erisuse kasutamine, tuleb täpsustada selle ulatus ja tingimused. Sertifikaadilt peab nähtuma, mida see hõlmab: ühe teenuse kohta antud tõend ei kinnita automaatselt kõigi ettevõtte tegevuste vastavust.

Näide

Ettevõte võib esmalt korrastada klienditoe infoturbe ja kavandada sertifitseerimise hilisemaks. Kui suurklient nõuab aga vastavat teenust hõlmavat sertifikaati juba lepingu sõlmimisel, tuleb ajakavasse jätta aega ka sõltumatuks hindamiseks.

Mida E-ITS aitab korraldada?

E-ITS toetab infoturbe juhtimist Eesti oludes ning pakub kaitsemeetmete kataloogi ja praktilisi töövahendeid. Ka selle kasutamisel tuleb selgelt määrata, mida kaitstakse ja miks konkreetsed meetmed on vajalikud. Kataloog aitab valikuid teha, kuid ei asenda ettevõtte vajaduste mõistmist.

Kuidas sobivust hinnata?

Vaatame koos, kust rakendamise vajadus tuleb ning millised protsessid ja süsteemid on asjakohased. Seejärel võrdleme vajadusi olemasoleva töökorraldusega. Arvesse tuleb võtta ka erisusi ja seda, kuidas tehtud tööd on vaja tõendada.

Näide

Ettevõttel võivad juba olla varundusjuhend, kontohalduse kord ja IT-teenuste lepingud. Enne uute materjalide loomist vaatame nende sisu üle. Osa saab täiendada või ühendada, mõne puuduse lahendamiseks on aga vaja muuta seadistusi või vastutuse jaotust.

Mis on nende ühine alus?

ISO/IEC 27001 määratleb nõuded infoturbe juhtimissüsteemile. E-ITS lähtub Eesti õigusruumist ning pakub riskipõhise infoturbe korraldamiseks meetmekataloogi ja töövahendeid. Mõlema väärtus tuleb sellest, kuidas need ettevõtte töökorralduses kasutusele võetakse.

Praktiline võrdlus

Kõigepealt kontrolli, milline valik on õiguslikult võimalik

Määruse nr 121 § 3 lõike 2 erisuse kasutamiseks ei piisa pelgalt ISO-põhisest töökorraldusest: nõutud süsteeme hõlmava käsitlusalaga kehtiv vastavussertifikaat peab olema esitatud RIA-le. Sama paragrahv sisaldab ka erisusi, sealhulgas väikeettevõtjatele. Seetõttu ei tähenda KüTSi kohaldumine automaatselt täismahus E-ITSi või ISO sertifikaadi kohustust. Muud asjakohased turbenõuded tuleb eraldi täita.

Millal võiks eelistada ISO/IEC 27001?

Soovitame kaaluda ISO/IEC 27001, kui rahvusvaheline klient või hange nõuab seda sertifikaati. Enne alustamist tasub küsida nõude täpne sõnastus: millist teenust peab sertifikaat hõlmama ja millal seda oodatakse? See aitab kavandada nii rakendamise kui ka vajaliku hindamise.

Näitlik olukord: tarkvaraettevõte soovib osaleda väliskliendi hankes, mis eeldab arendusteenust hõlmavat ISO/IEC 27001 sertifikaati. Sel juhul on põhjendatud kavandada sertifitseerimine kohe koos rakendamisega. E-ITSi materjalid võivad siiski aidata praktiliste meetmete läbimõtlemisel.

Millal võiks eelistada E-ITSi?

E-ITSi tasub kaaluda, kui soovite siduda Eesti nõuded oma ettevõtte töökorraldusega ning kasutada selleks kataloogi ja tugivahendeid. Kui E-ITS on juba kasutusel ja toimib, on mõistlik enne raamistiku vahetamist hinnata, mida muutus juurde annaks.

Näitlik olukord: organisatsioonil on juba määratletud E-ITSi kaitseala, vastutajad ja kasutatav rakendusplaan. Kui uut sertifikaadinõuet ei ole, tuleks enne raamistiku vahetamist võrrelda selle kasu, üleminekutööd ja kulusid olemasoleva süsteemi parandamisega.

Kas kasutada saab mõlemat?

Riskiregistrit, vastutuse jaotust ja tehtud töö tõendeid saab sageli kasutada mitme eesmärgi jaoks. Selleks tuleb siiski üle vaadata, millist osa ettevõttest kumbki lähenemine hõlmab ja kas kõik vajalikud nõuded on kaetud. Ühe hindamise tulemus ei tõenda automaatselt vastavust teisele raamistikule.

Kuidas valik teha?

1. Pange kirja seadusest ja lepingutest tulenevad kohustused.
2. Täpsustage, millist teenust ja millist tõendit klient vajab.
3. Vaadake üle olemasolevad protsessid, meetmed ja dokumendid.
4. Võrrelge rakendamise, tõendamise ja hilisema haldamise kogukulu.
5. Valige lähenemine, mida teie ettevõte suudab järjepidevalt kasutada.

Sobiv valik on see, mis vastab teie ettevõtte vajadustele ja mida suudate järjepidevalt rakendada. Aitame võrrelda võimalusi, selgitada kohustusi ja kavandada järgmised sammud. Kui te pole kindel, kummast alustada, kirjutage meile.

Milline dokument aitab päriselt?

Heast juhisest saab töötaja teada, mida teha, millal seda teha ja kellelt abi küsida. Samuti peab olema selge, kuidas tehtut kontrollida. Üldine lause „tagada piisav turvalisus” ei aita inimest, kes peab otsustama, kas saata fail partnerile või anda ligipääs uuele kolleegile.

Kuidas toimimist kontrollida?

Vaatame nii kokkuleppeid kui ka nende täitmist. Näiteks ligipääsude kinnitused, taastamiskatsete tulemused ja muudatuste kirjed aitavad näha, kuidas töö tegelikult käib. Dokumenteerimise maht peab olema põhjendatud, et sama tegevust ei peaks mitmes kohas uuesti kirjeldama.

Näide

Töötaja lahkumisel annab personal teada kuupäeva, juht korraldab töö üleandmise ja IT sulgeb kontod. Vastutaja kontrollib, et kõik vajalik on tehtud. Selle kirjelduse ja kasutatava kontrollnimekirja väärtus seisneb selles, et lahkumine saab iga kord tervikuna läbi tehtud.

Mis mõjutab töömahtu?

Ühe protsessi korrastamine ja mitut üksust hõlmava juhtimissüsteemi loomine on erineva mahuga tööd. Hinda mõjutavad ka süsteemide keerukus, olemasolevate dokumentide seis ja kaasatavate inimeste hulk. Neid asjaolusid täpsustame esmase vestluse käigus, et pakkumine vastaks tegelikule vajadusele.

Mis peaks hinnapakkumises kirjas olema?

Pakkumisest peab olema arusaadav, mida tehakse, mis selle tulemusena valmib ja millist panust ettevõttelt oodatakse. Eraldi tuleb kirjeldada nõustamist, tehnilist teostust ja sõltumatut hindamist. Kui osa tööst teeb teine teenuseosutaja, peab ka see olema selgelt välja toodud.

Näide

Riskihindamise pakkumine võib sisaldada intervjuusid, riskiregistrit ja tulemuste arutelu juhtkonnaga. Soovitatud turvameetmete tehniline rakendamine võib olla järgmine, eraldi hinnastatud etapp. Nii teate enne tellimist, mida esimese tööga saate.

Kuidas valida esimene ülesanne?

Esimeseks tasub valida töö, millel on selge eesmärk ja kasutatav tulemus. Selleks võib anda tõuke hiljutine tõrge, kliendi küsimus või puuduv ülevaade mõnest riskist. Töö peab olema piisavalt piiritletud, et jõuda lahenduseni, kuid hõlmama probleemi mõistmiseks vajalikku infot.

Kuidas vältida poolikuks jäämist?

Lepime kokku, kes hakkab tulemust kasutama ja millal vaatame, kas sellest oli abi. Kui selguvad laiemad puudused, kirjeldame võimalikud järgmised sammud eraldi. Jätkamise üle saate siis otsustada juba selgema ülevaate põhjal.

Näide

Töötajate liitumise ja lahkumise ülevaatus võib anda ettevõttele kontode loendi, selge rollijaotuse ning kasutatava kontrollnimekirja. Selle töö käigus selgub ka, kas vaja on põhjalikumat ligipääsuhalduse arendust või piisab senise korra täiendamisest.

Mida tasub enne vestlust kirja panna?

Kas tuge on vaja kliendi nõude, uue kohustuse, töökatkestuse või lihtsalt puuduliku ülevaate tõttu? Kirjeldage ka seda, kes teie IT-d haldab ja kas olete seotud mõne kindla tähtajaga. Kõiki vastuseid ei pea ette teadma: esmase vestluse eesmärk ongi vajadus koos selgemaks saada.

Kuidas materjale jagada?

Kui töö eesmärk on teada, lepime kokku, milliseid materjale vajame ja kuidas neid jagada. Esialgu võib piisata üldisest kirjeldusest või tundlike andmeteta väljavõttest. Juurdepääsud, konfidentsiaalsus ja jagamise viis peavad vastama konkreetse töö vajadustele.

Näide

„Meil on 25 töötajat, kasutame pilvepõhist kontoritarkvara ja välist IT-partnerit. Klient küsib meie taastamisplaani ning vajame kahe kuu jooksul ülevaadet.” Sellisest kirjast piisab, et vestlust alustada ja vajalikke lisaküsimusi küsida.

Mida saab realistlikult parandada?

Läbimõeldud meetmed aitavad vähendada vigade ja rünnakute õnnestumise võimalust ning piirata kahju, kui midagi siiski juhtub. Selleks on vaja nii tehnilist kaitset kui ka selget töökorraldust. Kui ettevõtte teenused või sõltuvused muutuvad, tuleb ka kaitsevajadus uuesti läbi vaadata.

Kuidas tulemust hinnata?

Jälgida tasub asju, mis näitavad tegelikku valmisolekut: kas olulised kontod on kaitstud, taastamist on katsetatud ja kokkulepitud puudused saavad lahendatud. Juhtkond vajab nende tulemuste põhjal arusaadavat ülevaadet, mille abil järgmisi otsuseid teha.

Näide

Õngitsuskiri võib jõuda töötajani ka kaitstud keskkonnas. Kui ta teatab sellest kiiresti, võimaliku kaaperdatud konto ligipääs piiratakse ja logidest saab mõju hinnata, on paremad võimalused kahju vähendada. Just selleks tasub reageerimine enne läbi harjutada.

Kuidas toetuse võimalust mõistlikult hinnata?

Kõigepealt tasub sõnastada, mida on ettevõttes vaja parandada ja millise tulemuseni soovite jõuda. Seejärel saame vaadata, kas mõni meede võiks selle töö tegemist toetada. Nii lähtub projekt ettevõtte vajadusest ja selle sisu saab toetuse tingimustega võrrelda.

Millised asjaolud vajavad kontrollimist?

Kontrollimist võivad vajada taotleja sihtrühm, vajalikud eeldokumendid, teenuseosutaja pädevus, lubatud kulud ja töö alustamise aeg. Samuti tuleb arvestada omafinantseeringuga. Täpse vastuse annab konkreetse meetme tingimuste ning kavandatava töö võrdlus.

Näide

Riskide hindamine ja sellele järgnevad parandused võivad olla eraldi tööetapid. Meetme tingimustest tuleb vaadata, kas toetatakse analüüsi, arendust või mõlemat ning millises järjekorras saab tööd teha. Ühe etapi toetatavus ei tähenda automaatselt, et kogu järgnev töö on samadel alustel rahastatav.

Miks on järjekord oluline?

Taotluse esitamine, tellimuse kinnitamine, töö alustamine ja arve tasumine on eri sammud. Siduv kokkulepe võib tekkida juba enne esimese arve saamist. Seetõttu tuleks ajastuse tingimused läbi vaadata enne pakkumise või lepingu kinnitamist.

Mida enne otsust kokku koguda?

Taotlemiseks võib vaja minna tööde kirjeldust, hinnapakkumisi, ajakava ja ettevõtte andmeid. Täpne loetelu on meetme juhendis. Kui mõni tingimus jääb ebaselgeks, tasub rahastajalt küsida kirjalik selgitus ja hoida vastus koos taotluse materjalidega.

Näide

Ettevõte saab valmistada ette lähteülesande ja küsida pakkumisi. See ei tähenda veel, et teenuse võib kohe siduvalt tellida või tööga alustada. Need otsused tuleb teha valitud meetme tingimusi arvestades.

Miks on töö sisu tähtsam kui teenuse nimetus?

Sama koostöö võib hõlmata nii igapäevast infoturbe juhtimist kui ka kindla eesmärgiga arendusprojekti. Toetuse puhul loeb, mida tegelikult tehakse ja milline tulemus valmib. Teenuse nimetuse või arvelduse muutmine ei muuda tavapärast juhtimist iseenesest toetatavaks arenduseks.

Kuidas projekti igapäevatööst eristada?

Arendusprojektil peab olema selge eesmärk, ajakava, tulemus ja eristatav töömaht. Teenuse kirjeldus ning töö arvestus peavad seda kajastama. Seejärel saab võrrelda tegevusi meetme tingimustega ja selgitada, kuidas nende tegemist tuleb tõendada.

Näide

Uue taastamisprotsessi loomine ja esmakordne katsetamine on sisult erinev selle hilisemast igapäevasest haldamisest. Neid tuleb ka rahastamise hindamisel eraldi vaadata. Kas töö on toetatav, selgub konkreetse meetme tingimustest.