Reeglid küberruumis aitavad päästa pildituks löömise eest

Ilmar Toom, RIA standardi- ja järelevalveosakonna juhataja

Mai esimene nädal. USA energiaettevõtet Colonial Pipelines tabas küberrünnak, mille tõttu tuli neil peatada 8900 kilomeetri pikkuse naftatorustiku töö. Pea pool USA idarannikul kasutatavast vedelkütusest liigub mööda neid torusid ning nende sulgemine põhjustas kütusenappuse ja lühiajalise paanika, mis päädis kütuse kokkuostmisega. DarkSide’i nime kandev grupeering varastas 100 gigabaiti andmeid ning Colonial Pipelines maksis kurjategijatele pea neli miljonit dollarit, et nad saaksid naftatoru uuesti tööle panna. Ühest küljest on maksmine arusaadav (teenus taastub), teisalt saavad kurjategijad raha selleks, et korraldada veel paremaid ründeid. Seega ei ole maksmine mõistlik taktika.

Mai keskpaik. Iirimaa tervishoiusüsteemi tabas ulatuslik küberrünnak. Conti-nimelise pahavara abil lukustati ehk muudeti kasutamatuks suurel hulgal terviseandmeid ning iirlased pidid sulgema oma IT-süsteemid, et hoida ära pahavara laiem levik. See aga põhjustas tõrkeid tervishoiuteenustes. Kübergrupeering andis iirlastele “võtme”, millega lukustatud andmed vabastada. Kui Iirimaa ei maksa kurjategijatele 16 miljonit eurot, pannakse müüki 700 gigabaidi jagu varastatud andmeid. Iirlased kardavad, et kõik konkreetse tervishoiusüsteemi andmed on kompromiteeritud.

RIA küberintsidentide käsitlemise osakond (CERT-EE) on Eesti küberruumi silmadeks. Ööpäevas tuvastavad nad kuni 100 uut pahavara päevas, aga on ka päevi, kui leitakse 1000 uut pahavara. Ühes kuu tõkestatakse kuni pool miljardit rünnakut riigisektori suunal.

Pigem kohe kaitsta

Sellised suured küberrünnakud, mille käigus lukustatakse ettevõtete ja asutuste toimimiseks vajalikud andmed, on väga suure mõjuga ning seavad ohtu inimeste elu. Lunavararünnakuid ei pea olema palju, et nad avaldaksid suurt mõju. Piisab täpsest sihtimisest. Need kaks maikuu näidet kinnitavad seda. Edukaid lunavararünnakuid pannakse toime ka Eesti ettevõtete vastu: sel kuul said pihta majandustarkvara pakkuv ja automüügiga tegelev ettevõte.

Riigi Infosüsteemi Ameti (RIA) küberintsidentide käsitlemise osakond (CERT-EE) on viimased paar aastat registreerinud keskmiselt 2-4 lunavararünnakut kuus, aga need on vaid juhtumid, millest teada antakse. Tänavu on RIA-le teada antud 15 edukast lunavararünnakust, andmete avamise eest on küsitud ühelt Eesti firmalt rohkem kui 100 000 eurot. Ettevõtte kaitsmine on kurjategijatele lunavara maksmisest odavam. Pealegi ei ole lunavararünnakute puhul kunagi kindlust, et raha maksmine andmed vabastab. Seega peavad Eesti ettevõtted ja asutused astuma enda kaitseks samme – vastasel korral piisab ühest täpsest hoobist, et lüüa nad pikaks ajaks siruli või lausa pankrotti.

IT-süsteeme täiesti tasuta kaitsta ei saa. Tehniliste vahendite kõrval on vaja koolitada töötajaid ja luua töökorraldus, mida rünnaku ajal järgitakse. Siin saab RIA veidi aidata. Värske Eesti Infoturbestandard (E-ITS) aitab paika panna reeglid, kuidas end organisatsioonina internetis paremini kaitsta. See on justkui infoturbeaabits avalikule, aga miks ka mitte erasektorile.

Avalikul sektoril, sh omavalitsustel on sadu andmekogusid ja infosüsteeme, mis on tulvil tundlikke andmeid. Sestap peabki asutustel olema selge ülevaade enda süsteemides toimuvast ja protsessidest, kus ja kuidas neid süsteeme ja andmeid kasutatakse. Samuti peab organisatsiooni juhtkond mõistma oma vastutust ning arvestama ohuga, et kunagi tabab küberrünnak või -intsident ka neid, ja selleks valmistuma. Organisatsiooni kaitsmine algab väikestest asjadest. Alustada võiks lihtsatest asjadest nagu ülevaade inimestest, kes pääsevad andmetele ligi, või millist tark- ja riistvara üldse kasutatakse, kuidas on kaks asutust omavahel andmevahetusega seotud jne.

30 aastat tagasi ei pruukinud asutuse maailm kokku variseda, kui dokumendiarhiivi uks jäi hetkeks lukustamata.

30 aastat tagasi ei pruukinud asutuse maailm kokku variseda, kui dokumendiarhiivi uks jäi hetkeks lukustamata. Kui tänasel päeval jäetakse enda süsteemid kaitsmata, siis võivad minutitega lekkida või krüpteeritud saada gigabaitide jagu andmeid ja kasutamatuks muutuda infosüsteemid.

Iga kuu proovitakse Eesti infosüsteemidesse pääseda sadu miljoneid kordi. Üks hetk jõutakse ka nendeni, kes arvavad, et nende infosüsteemid on vähetähtsad. Automatiseeritud küberrünnakud on nagu kulutuli, mis põletab enda teel nii noore istiku kui ka suure tamme.

ISKE asemel E-ITS

Inimeste võimuses on teiste vigadest õppida ja seeläbi vigu vältida. Uus infoturbestandard koondab kõikvõimalikud infoturbe ohud ning pakub meetmeid, kuidas riske vähendada. Kuid mitte ainult. Eesti infoturbestandardi üks mõte on tekitada inimestes usaldust digiriigi ja sedakaudu terve riigi vastu. Mida paremini suudame E-ITSi rakendada, seda kindlamini suudame toime tulla ootamatustega, olla oma tegevustes läbipaistvamad ning tagada usaldus riigi infosüsteemide ja riigi vastu tervikuna. Iga kord, kui e-riigi teenus lakkab töötamast, saab usaldus löögi. Piisavalt palju hoope võib e-riigi siruli lüüa ning jalule saamise hind võib olla üüratu.

Automatiseeritud küberrünnakud on nagu kulutuli, mis põletab enda teel nii noore istiku kui ka suure tamme.

Uus Eesti Infoturbestandard vahetab järgmiste aastate jooksul välja mahuka seni kasutusel oleva infoturbesüsteemi ISKE ning on kordades õhem, konkreetsem ja rohkem sihtgruppe arvestav. Väiksemast mahust hoolimata on käsitletud meetmete komplekte, millest pikalt puudust tuntud. Näiteks on standardis eraldi käsitletud tööstusautomaatika seadmeid ja nende haldust (SCADA, robotid, kõikvõimalikud andurid) ja palju muud.

E-ITSiga seonduvad materjalid leiab portaalist https://eits.ria.ee. Eesti infoturbestandard koostati Euroopa Liidu struktuuritoetuse toetusskeemi „Infoühiskonna teadlikkuse tõstmine“ raames Euroopa Regionaalarengu Fondi rahastusel.

RIA juht Margus Noormaa: e-riigi areng sõltub poliitilistest otsustest

Riigikontrolör Janar Holm ütles eelmise nädalal Postimehes, et e-riigi strateegiline eesmärk ei saa olla olemasolevate süsteemide putitamine, vaid progress. Tema nägemus riigist kui arhitektist, mitte sanitaarremondi tegijast, on igati asjakohane ning ka ootuspärane.

Küberruumis on kõik riigid teineteise naabrid, mistõttu tuleb osata kaitsta end mahukate rünnakute eest. FOTO: RIA

Digiriigi eesmärk peab olema ambitsioonikas. Praegu on meie prioriteet hoida ja kaitsta tehtut, kuid soov luua uusi ja paremaid võimalusi ei ole kuskile kadunud. Lihtsalt nende eesmärkide seadmine ja saavutamine eeldab tugevat poliitilist soovi ja tuge.

Oleme 20 aasta jooksul üles ehitanud turvalise ja mugava e-ühiskonna, mille sarnast mujal maailmas ei leia. Selle aja jooksul oleme andnud 1,3 miljardit digiallkirja ning e-teenustesse logitakse e-identiteedi vahendiga ca 5 miljonit korda kuus. Meil on riigi ja eraettevõtluse peale kokku üle 5000 unikaalse e-teenuse ning eesseisva kohalike valimiste ajal saame anda juba 12. korda e-hääle.

E-riigi selgroo X-tee kaudu tehakse kuus juba üle 200 miljoni päringu ning selle turvalise andmevahetuse kiirteega on liitunud üle 600 ettevõtte ja asutuse. Rohkem kui 90% riigiasutustest kasutab turvalist ja kiiret internetiühendust, mida pakub RIA riigivõrk. Võrguliiklust ja seal taga olevaid seadmeid jälgib 24/7 töötav riiklik intsidentide lahendamise tiim CERT-EE, kes registreerib aastas tuhandeid intsidente ning hoiab ära kordades rohkem süsteemidesse pääsemise katseid.

Praegune õigusruum on võrreldes 10 ja 20 aasta taguse ajaga oluliselt muutunud. 2018. aastal vastuvõetud küberturvalisuse seadus andis meile paremad võimalused riigina sekkuda ja aidata ettevõtteid intsidendi korral. Selged nõuded teevad asutuste elu lihtsamaks – neile on teada, mida neilt oodatakse.

Sõltuvus muudab meid haavatavaks

Eesti digiriigi tervis on päris hea. Riik ei ole kannatanud küberrünnakute tagajärjel olulise mõjuga kahjusid nagu USA, Suurbritannia või mõni teine suurriik ning Eesti inimesed usaldavad ja kasutavad e-teenuseid. Meie vähene puutumus ülemaailmsetest küberrünnakutest ei ole tingitud üksnes heast võimekusest süsteemi kaitsta, vaid sellest, et võrreldes suurriikidega ei ole me veel nii ahvatlev saak.

Miks peaks kurjategija murdma maha hästi kaitstud ust, kui on olemas avaus, mille kaudu pääseb lihtsamalt sisse. Kui uksi aga korralikult ei lukustata ega kaitsta, siis varem või hiljem saab meist sihtmärk. Seega on aja küsimus, millal kurjategijad meieni jõuavad ning selleks, et ellu jääda, tuleb ettevalmistusi teha juba täna. Õpime teiste vigadest.

Meie vähene kokkupuutumine ülemaailmsete küberrünnakutega on tingitud ka sellest, et suurriikidega võrreldes ei ole me veel nii ahvatlev saak.

Eesti muudab haavatavaks suur digiteenustest sõltuvus. IT ei ole täna tugiteenus, vaid digitaalsed lahendused on põimunud igasse elu valdkonda, aidates asju teha kiiremini, mugavamalt ja odavamalt. E-pangandus ei ole lihtsalt mugavus, vaid see ongi peamine viis, kuidas pank ja kliendid asju ajavad.  Ilmselt ei ole Eestis ühtegi valdkonda, kus ei oleks kasutusel digitaalseid lahendusi. Seetõttu oleme kogenud e-teenuste kasutajatena muutunud mugavaks ja nõudlikuks. Oleme pahased, kui mobiil-ID teenus on pool tundi häiritud või kirume riigijuht ja -asutusi, kui ei pääse pärast esimesi katseid digiregistratuuri, teades, et seda proovib samal ajal teha pool Eesti elanikkonnast.

Oleme unustanud, milline oli asjaajamine enne digiallkirja ja e-teenuste saabumist. On päris raske ette kujutada, kuidas muu maailm veel tänase päevani allkirjaga dokumente faksiga edastab. Kõik see pahameel on suuresti õigustatud, selline peabki olema nõudliku digiühiskonna suhtumine, sest mistahes digiriigi tagasilöögi puhul saab häiritud paljude inimeste elu. Oleme seda häiritust näinud korduvalt ka tervisekriisi lahendamise ajal.

Poliitilised otsused peavad toetama IT arengut

20 aastaga ehitatud süsteemid vajavad pidevat hoolt ja edasiarendamist. Täna sõltume digiriigi arendustes peaasjalikult Euroopa Liidu erinevateks projektideks ja toetusteks mõeldud rahast. Keeruliseks teeb olukorra see, kui seda raha ei õnnestu planeeritult saada või kui puuduvad võimalused vajaliku omafinantseeringu katmiseks. Rääkimata iga IT-arendusega vältimatult kaasnevatest püsikuludest. Ja rõhutamata infoturvet, mis on tänasel päeval lahutamatu osa kõigis IT-valdkonna tegemistes.

Ettevõtlus- ja infotehnoloogiaministri portfeli on tänavu jaanuarist reformierakondlase Andres Suti hoida. FOTO: Sander Ilvest

Seetõttu on ülimalt oluline, kuidas suhtuvad küberturvalisuse tagamisse meie riigi esindajad, ettevõtete juhid ning poliitika ja avaliku arvamuse kujundajad. Ja kuidas see seisukoht avaldub tegudes – otsustes ja eelarves.

Täna kuulub ettevõtlus- ja IT-ministri portfelli hulka erinevaid olulisi valdkondi alates transpordist kuni energeetikani välja. IKT-ga seotud küsimused on ühed paljude seast. Kui meie eesmärgiks on jätkuvalt edasi arendada e-riigi võimalusi, pakkuda maailma tasemel turvalisust ning olla seejuures teistele riikidele teenäitajaks, siis võib jääda väheks, kui IT on portfelli üks osa, vaatamata portfelli omaniku võimekusele. IT vajab tõhusamat esindatust poliitilisel tasandil valdkondliku ekspertiisi tasemel. Nii oskaksime riigina paremini hinnata otsuste mõju infosüsteemidele, sest suur osa otsustest on seotud IT-lahendustega. Digiriik on meie loodusvara ning see väärib suuremat tähelepanu. IT-ministeerium looks eeldused, et IKT valdkonna teemad on pidevalt ja läbivalt valitsuse tasandil parimal võimalikul moel esindatud.  

Aeg on küsida, kas digiriik saab Eestis sama palju tähelepanu kui väljaspool riigipiire.

Täna oleme veel paljudele riikidele eeskujuks ning meie saadikud on nõutud eksperdid, kes aitavad ehitada küberkogukonda erinevates maailmajagudes. Sügisel avab Dominikaani vabariik meie ekspertide vedamisel Ladina-Ameerika ja Kariibi mere piirkonna küberoivakeskuse. Botswanas aitasime nullist üles ehitada sellist riiklikku küberintsidenntide käsitlemise üksust nagu meie CERT-EE. Need on vaid mõned näited paljude seast, kuhu RIA panustab, rääkimata Eesti riigi kui terviku pingutustest.

Aeg on küsida, kas digiriik saab Eestis sama palju tähelepanu kui väljaspool riigipiire. Turvalise ja areneva e-riigi fassaadi tekivad tasapisi mõrad, kui sisemus jääb tähelepanuta.

Margus Noormaa
Riigi Infosüsteemi Ameti peadirektor

X-tee liikmete üle tuleb tõhustada kontrolli

Riigikontroll kinnitas täna avalikustatud X-tee auditiaruandes, et RIA on küll taganud X-tee töökindluse, kuid ootab asutuselt suuremat kontrolli kasutajate turvameetmete rakendamise üle.

RIA andmevahetuse osakonna juhataja Joonas Heiter. Foto: Grete Kivi/RIA

Audit toob välja, et X-tee teenustes on viimase kolme aasta jooksul olnud üks olulise mõjuga katkestus, mis on tingitud kesksete komponentide veast. RIA on selgitanud välja ja hinnanud X-tee töökindlust ohustavad olulisemad riskid ning töötanud riskide maandamiseks välja meetmed, millest mitmeid ka rakendatakse.

Kriitilisemad ollakse lepingute sõlmimise ning väljatöötamata kontrollimehanismi suhtes. Näiteks mitmetel juhtudel ei ole X-teel andmeteenust pakkuvad asutused sõlminud teenuse kasutamise kokkuleppeid, või kui need siiski sõlmiti, ei teinud ükski auditeeritud riigiasutustest kokkuleppe eel kindlaks, kas eraettevõtjad rakendavad piisavaid meetmeid turvariskide maandamiseks, et tagada andmete terviklus, konfidentsiaalsus ja käideldavus. Puudub ka kontroll eraõiguslike liikmete üle.

Üldsõnaline määrus jätab tõlgendamisruumi

Kuigi X-teed kasutusele võtvad asutused peavad rakendama infoturbega seotud riskide maandamiseks vajalikke meetmeid, on selgitamata jäetud, milliseid turvameetmeid ja millisel tasemel tuleks rakendada. Valitsuse määrusega „Infosüsteemide andmevahetuskiht“ on X-teele kehtestatud nõuded kohati üldsõnalised ning võimaldavad mitmeti tõlgendamist.

Ehkki RIA ei ole X-tee kohta eraldi talitluspidevuse plaani koostanud, on turvalise andmevahetuse püsivaks toimimiseks võetud kasutusele meetmeid ning muudes dokumentides sätestatud nõudeid talitluspidevuse tagamiseks. Auditis nimetatakse puudusteks ebaregulaarset testimist ja nende dokumenteerimata jätmist.

Tuginedes eeltoodule on riigikontroll teinud RIA-le järgmised ettepanekud:

  • Muuta vabariigi valitsuse määrust selliselt, et kehtestatud nõuded on täpsemad ja arusaadavad nii, et andmeteenuse osutajatel oleks võimalik neid nõudeid rakendada ja RIA-l nende rakendamist kontrollida.
  • Töötada välja vajalikud juhendid määrusest tulenevate nõuete rakendamiseks ja korraldada X-teed kasutavatele asutustele vajalikud koolitused.
  • Hinnata andmeteenuse kasutamise lepingute sõlmimata jätmisest tulenevaid riske andmekogude turvalisusele ja võtta kasutusele neid riske maandavad tegevused.
  • Kaaluda andmeteenuse kasutamise kokkulepete sõlmimise ja taotluste halduse funktsionaalsuse lisamist, et muuta X-tee portaali andmeteenuste avamine ja kasutamine senisest vähem bürokraatlikuks.
  • Töötada välja X-tee teenuseid kasutavate eraõiguslike juriidiliste isikute kontrollimise süsteem, et tagada andmete terviklus, konfidentsiaalsus ja käideldavus.
  • Korraldada regulaarselt X-tee kesksete komponentide taastetestimisi ning neid dokumenteerida.

Andmevahetusosakonna juhataja Joonas Heiter:

Võtame Riigikontrolli auditi järeldusi ja ettepanekuid tõsiselt selleks, et X-teega seotud protsesse paremaks muuta ning tõsta veelgi X-tee usaldusväärsust. Kuivõrd Riigikontrolli audit algas eelmise aasta kevadel, siis mitmed ettepanekud oleme juba töösse võtnud ning algatanud arutelusid ka teiste ettepanekute osas lahenduse leidmiseks. Näiteks on X-tee iseteeninduskeskonda plaanis luua andmevahetusteenuse kokkuleppe üldine põhi. Samas ei tohi ära unustada, et igale X-tee liikmele peab jääma õigus otsustada, kellele, kas ja millistel tingimustel ta oma andmeid jagab ning andmeteenust pakub. Seega jääb ka edaspidi X-teel andmevahetuse üheks eelduseks pooltevahelise andmevahetuskokkuleppe olemasolu ning selle peavad omavahel sõlmima andmeid vahetada soovivad X-tee liikmed. Kõigil X-tee liimetel on kohustus võtta kasutusele vajalikud turvameetmed ning hoolitseda andmete käideldavuse ja konfidentsiaalsuse eest. Samuti kinnitasime audiitorile, et dokumenteerime edaspidi korrektsemalt taasteteste. Tutvu riigikontrolli auditiga Riigikontrolli kodulehel.

Helen Uldrich
RIA kommunikatsioonijuht