Author Archives: Grete Kivi

Reeglid küberruumis aitavad päästa pildituks löömise eest

Ilmar Toom, RIA standardi- ja järelevalveosakonna juhataja

Mai esimene nädal. USA energiaettevõtet Colonial Pipelines tabas küberrünnak, mille tõttu tuli neil peatada 8900 kilomeetri pikkuse naftatorustiku töö. Pea pool USA idarannikul kasutatavast vedelkütusest liigub mööda neid torusid ning nende sulgemine põhjustas kütusenappuse ja lühiajalise paanika, mis päädis kütuse kokkuostmisega. DarkSide’i nime kandev grupeering varastas 100 gigabaiti andmeid ning Colonial Pipelines maksis kurjategijatele pea neli miljonit dollarit, et nad saaksid naftatoru uuesti tööle panna. Ühest küljest on maksmine arusaadav (teenus taastub), teisalt saavad kurjategijad raha selleks, et korraldada veel paremaid ründeid. Seega ei ole maksmine mõistlik taktika.

Mai keskpaik. Iirimaa tervishoiusüsteemi tabas ulatuslik küberrünnak. Conti-nimelise pahavara abil lukustati ehk muudeti kasutamatuks suurel hulgal terviseandmeid ning iirlased pidid sulgema oma IT-süsteemid, et hoida ära pahavara laiem levik. See aga põhjustas tõrkeid tervishoiuteenustes. Kübergrupeering andis iirlastele “võtme”, millega lukustatud andmed vabastada. Kui Iirimaa ei maksa kurjategijatele 16 miljonit eurot, pannakse müüki 700 gigabaidi jagu varastatud andmeid. Iirlased kardavad, et kõik konkreetse tervishoiusüsteemi andmed on kompromiteeritud.

RIA küberintsidentide käsitlemise osakond (CERT-EE) on Eesti küberruumi silmadeks. Ööpäevas tuvastavad nad kuni 100 uut pahavara päevas, aga on ka päevi, kui leitakse 1000 uut pahavara. Ühes kuu tõkestatakse kuni pool miljardit rünnakut riigisektori suunal.

Pigem kohe kaitsta

Sellised suured küberrünnakud, mille käigus lukustatakse ettevõtete ja asutuste toimimiseks vajalikud andmed, on väga suure mõjuga ning seavad ohtu inimeste elu. Lunavararünnakuid ei pea olema palju, et nad avaldaksid suurt mõju. Piisab täpsest sihtimisest. Need kaks maikuu näidet kinnitavad seda. Edukaid lunavararünnakuid pannakse toime ka Eesti ettevõtete vastu: sel kuul said pihta majandustarkvara pakkuv ja automüügiga tegelev ettevõte.

Riigi Infosüsteemi Ameti (RIA) küberintsidentide käsitlemise osakond (CERT-EE) on viimased paar aastat registreerinud keskmiselt 2-4 lunavararünnakut kuus, aga need on vaid juhtumid, millest teada antakse. Tänavu on RIA-le teada antud 15 edukast lunavararünnakust, andmete avamise eest on küsitud ühelt Eesti firmalt rohkem kui 100 000 eurot. Ettevõtte kaitsmine on kurjategijatele lunavara maksmisest odavam. Pealegi ei ole lunavararünnakute puhul kunagi kindlust, et raha maksmine andmed vabastab. Seega peavad Eesti ettevõtted ja asutused astuma enda kaitseks samme – vastasel korral piisab ühest täpsest hoobist, et lüüa nad pikaks ajaks siruli või lausa pankrotti.

IT-süsteeme täiesti tasuta kaitsta ei saa. Tehniliste vahendite kõrval on vaja koolitada töötajaid ja luua töökorraldus, mida rünnaku ajal järgitakse. Siin saab RIA veidi aidata. Värske Eesti Infoturbestandard (E-ITS) aitab paika panna reeglid, kuidas end organisatsioonina internetis paremini kaitsta. See on justkui infoturbeaabits avalikule, aga miks ka mitte erasektorile.

Avalikul sektoril, sh omavalitsustel on sadu andmekogusid ja infosüsteeme, mis on tulvil tundlikke andmeid. Sestap peabki asutustel olema selge ülevaade enda süsteemides toimuvast ja protsessidest, kus ja kuidas neid süsteeme ja andmeid kasutatakse. Samuti peab organisatsiooni juhtkond mõistma oma vastutust ning arvestama ohuga, et kunagi tabab küberrünnak või -intsident ka neid, ja selleks valmistuma. Organisatsiooni kaitsmine algab väikestest asjadest. Alustada võiks lihtsatest asjadest nagu ülevaade inimestest, kes pääsevad andmetele ligi, või millist tark- ja riistvara üldse kasutatakse, kuidas on kaks asutust omavahel andmevahetusega seotud jne.

30 aastat tagasi ei pruukinud asutuse maailm kokku variseda, kui dokumendiarhiivi uks jäi hetkeks lukustamata.

30 aastat tagasi ei pruukinud asutuse maailm kokku variseda, kui dokumendiarhiivi uks jäi hetkeks lukustamata. Kui tänasel päeval jäetakse enda süsteemid kaitsmata, siis võivad minutitega lekkida või krüpteeritud saada gigabaitide jagu andmeid ja kasutamatuks muutuda infosüsteemid.

Iga kuu proovitakse Eesti infosüsteemidesse pääseda sadu miljoneid kordi. Üks hetk jõutakse ka nendeni, kes arvavad, et nende infosüsteemid on vähetähtsad. Automatiseeritud küberrünnakud on nagu kulutuli, mis põletab enda teel nii noore istiku kui ka suure tamme.

ISKE asemel E-ITS

Inimeste võimuses on teiste vigadest õppida ja seeläbi vigu vältida. Uus infoturbestandard koondab kõikvõimalikud infoturbe ohud ning pakub meetmeid, kuidas riske vähendada. Kuid mitte ainult. Eesti infoturbestandardi üks mõte on tekitada inimestes usaldust digiriigi ja sedakaudu terve riigi vastu. Mida paremini suudame E-ITSi rakendada, seda kindlamini suudame toime tulla ootamatustega, olla oma tegevustes läbipaistvamad ning tagada usaldus riigi infosüsteemide ja riigi vastu tervikuna. Iga kord, kui e-riigi teenus lakkab töötamast, saab usaldus löögi. Piisavalt palju hoope võib e-riigi siruli lüüa ning jalule saamise hind võib olla üüratu.

Automatiseeritud küberrünnakud on nagu kulutuli, mis põletab enda teel nii noore istiku kui ka suure tamme.

Uus Eesti Infoturbestandard vahetab järgmiste aastate jooksul välja mahuka seni kasutusel oleva infoturbesüsteemi ISKE ning on kordades õhem, konkreetsem ja rohkem sihtgruppe arvestav. Väiksemast mahust hoolimata on käsitletud meetmete komplekte, millest pikalt puudust tuntud. Näiteks on standardis eraldi käsitletud tööstusautomaatika seadmeid ja nende haldust (SCADA, robotid, kõikvõimalikud andurid) ja palju muud.

E-ITSiga seonduvad materjalid leiab portaalist https://eits.ria.ee. Eesti infoturbestandard koostati Euroopa Liidu struktuuritoetuse toetusskeemi „Infoühiskonna teadlikkuse tõstmine“ raames Euroopa Regionaalarengu Fondi rahastusel.

RIA juht Margus Noormaa: e-riigi areng sõltub poliitilistest otsustest

Riigikontrolör Janar Holm ütles eelmise nädalal Postimehes, et e-riigi strateegiline eesmärk ei saa olla olemasolevate süsteemide putitamine, vaid progress. Tema nägemus riigist kui arhitektist, mitte sanitaarremondi tegijast, on igati asjakohane ning ka ootuspärane.

Küberruumis on kõik riigid teineteise naabrid, mistõttu tuleb osata kaitsta end mahukate rünnakute eest. FOTO: RIA

Digiriigi eesmärk peab olema ambitsioonikas. Praegu on meie prioriteet hoida ja kaitsta tehtut, kuid soov luua uusi ja paremaid võimalusi ei ole kuskile kadunud. Lihtsalt nende eesmärkide seadmine ja saavutamine eeldab tugevat poliitilist soovi ja tuge.

Oleme 20 aasta jooksul üles ehitanud turvalise ja mugava e-ühiskonna, mille sarnast mujal maailmas ei leia. Selle aja jooksul oleme andnud 1,3 miljardit digiallkirja ning e-teenustesse logitakse e-identiteedi vahendiga ca 5 miljonit korda kuus. Meil on riigi ja eraettevõtluse peale kokku üle 5000 unikaalse e-teenuse ning eesseisva kohalike valimiste ajal saame anda juba 12. korda e-hääle.

E-riigi selgroo X-tee kaudu tehakse kuus juba üle 200 miljoni päringu ning selle turvalise andmevahetuse kiirteega on liitunud üle 600 ettevõtte ja asutuse. Rohkem kui 90% riigiasutustest kasutab turvalist ja kiiret internetiühendust, mida pakub RIA riigivõrk. Võrguliiklust ja seal taga olevaid seadmeid jälgib 24/7 töötav riiklik intsidentide lahendamise tiim CERT-EE, kes registreerib aastas tuhandeid intsidente ning hoiab ära kordades rohkem süsteemidesse pääsemise katseid.

Praegune õigusruum on võrreldes 10 ja 20 aasta taguse ajaga oluliselt muutunud. 2018. aastal vastuvõetud küberturvalisuse seadus andis meile paremad võimalused riigina sekkuda ja aidata ettevõtteid intsidendi korral. Selged nõuded teevad asutuste elu lihtsamaks – neile on teada, mida neilt oodatakse.

Sõltuvus muudab meid haavatavaks

Eesti digiriigi tervis on päris hea. Riik ei ole kannatanud küberrünnakute tagajärjel olulise mõjuga kahjusid nagu USA, Suurbritannia või mõni teine suurriik ning Eesti inimesed usaldavad ja kasutavad e-teenuseid. Meie vähene puutumus ülemaailmsetest küberrünnakutest ei ole tingitud üksnes heast võimekusest süsteemi kaitsta, vaid sellest, et võrreldes suurriikidega ei ole me veel nii ahvatlev saak.

Miks peaks kurjategija murdma maha hästi kaitstud ust, kui on olemas avaus, mille kaudu pääseb lihtsamalt sisse. Kui uksi aga korralikult ei lukustata ega kaitsta, siis varem või hiljem saab meist sihtmärk. Seega on aja küsimus, millal kurjategijad meieni jõuavad ning selleks, et ellu jääda, tuleb ettevalmistusi teha juba täna. Õpime teiste vigadest.

Meie vähene kokkupuutumine ülemaailmsete küberrünnakutega on tingitud ka sellest, et suurriikidega võrreldes ei ole me veel nii ahvatlev saak.

Eesti muudab haavatavaks suur digiteenustest sõltuvus. IT ei ole täna tugiteenus, vaid digitaalsed lahendused on põimunud igasse elu valdkonda, aidates asju teha kiiremini, mugavamalt ja odavamalt. E-pangandus ei ole lihtsalt mugavus, vaid see ongi peamine viis, kuidas pank ja kliendid asju ajavad.  Ilmselt ei ole Eestis ühtegi valdkonda, kus ei oleks kasutusel digitaalseid lahendusi. Seetõttu oleme kogenud e-teenuste kasutajatena muutunud mugavaks ja nõudlikuks. Oleme pahased, kui mobiil-ID teenus on pool tundi häiritud või kirume riigijuht ja -asutusi, kui ei pääse pärast esimesi katseid digiregistratuuri, teades, et seda proovib samal ajal teha pool Eesti elanikkonnast.

Oleme unustanud, milline oli asjaajamine enne digiallkirja ja e-teenuste saabumist. On päris raske ette kujutada, kuidas muu maailm veel tänase päevani allkirjaga dokumente faksiga edastab. Kõik see pahameel on suuresti õigustatud, selline peabki olema nõudliku digiühiskonna suhtumine, sest mistahes digiriigi tagasilöögi puhul saab häiritud paljude inimeste elu. Oleme seda häiritust näinud korduvalt ka tervisekriisi lahendamise ajal.

Poliitilised otsused peavad toetama IT arengut

20 aastaga ehitatud süsteemid vajavad pidevat hoolt ja edasiarendamist. Täna sõltume digiriigi arendustes peaasjalikult Euroopa Liidu erinevateks projektideks ja toetusteks mõeldud rahast. Keeruliseks teeb olukorra see, kui seda raha ei õnnestu planeeritult saada või kui puuduvad võimalused vajaliku omafinantseeringu katmiseks. Rääkimata iga IT-arendusega vältimatult kaasnevatest püsikuludest. Ja rõhutamata infoturvet, mis on tänasel päeval lahutamatu osa kõigis IT-valdkonna tegemistes.

Ettevõtlus- ja infotehnoloogiaministri portfeli on tänavu jaanuarist reformierakondlase Andres Suti hoida. FOTO: Sander Ilvest

Seetõttu on ülimalt oluline, kuidas suhtuvad küberturvalisuse tagamisse meie riigi esindajad, ettevõtete juhid ning poliitika ja avaliku arvamuse kujundajad. Ja kuidas see seisukoht avaldub tegudes – otsustes ja eelarves.

Täna kuulub ettevõtlus- ja IT-ministri portfelli hulka erinevaid olulisi valdkondi alates transpordist kuni energeetikani välja. IKT-ga seotud küsimused on ühed paljude seast. Kui meie eesmärgiks on jätkuvalt edasi arendada e-riigi võimalusi, pakkuda maailma tasemel turvalisust ning olla seejuures teistele riikidele teenäitajaks, siis võib jääda väheks, kui IT on portfelli üks osa, vaatamata portfelli omaniku võimekusele. IT vajab tõhusamat esindatust poliitilisel tasandil valdkondliku ekspertiisi tasemel. Nii oskaksime riigina paremini hinnata otsuste mõju infosüsteemidele, sest suur osa otsustest on seotud IT-lahendustega. Digiriik on meie loodusvara ning see väärib suuremat tähelepanu. IT-ministeerium looks eeldused, et IKT valdkonna teemad on pidevalt ja läbivalt valitsuse tasandil parimal võimalikul moel esindatud.  

Aeg on küsida, kas digiriik saab Eestis sama palju tähelepanu kui väljaspool riigipiire.

Täna oleme veel paljudele riikidele eeskujuks ning meie saadikud on nõutud eksperdid, kes aitavad ehitada küberkogukonda erinevates maailmajagudes. Sügisel avab Dominikaani vabariik meie ekspertide vedamisel Ladina-Ameerika ja Kariibi mere piirkonna küberoivakeskuse. Botswanas aitasime nullist üles ehitada sellist riiklikku küberintsidenntide käsitlemise üksust nagu meie CERT-EE. Need on vaid mõned näited paljude seast, kuhu RIA panustab, rääkimata Eesti riigi kui terviku pingutustest.

Aeg on küsida, kas digiriik saab Eestis sama palju tähelepanu kui väljaspool riigipiire. Turvalise ja areneva e-riigi fassaadi tekivad tasapisi mõrad, kui sisemus jääb tähelepanuta.

Margus Noormaa
Riigi Infosüsteemi Ameti peadirektor

RIA andmevahetuse osakond on võrreldav elusloodusega

RIA andmevahetuse osakond. Fotod: Seiko Kuik/RIA

Riigi infosüsteemi ameti andmevahetuse osakond (AVO) – äratuntavalt eriilmelistest, aga lähemal vaatlusel teineteisega tihedas sümbioosis toimivatest rakukestest moodustunud elav masinavärk.

Nii nagu riigi valitsemine jaguneb erinevate ministeeriumide ja neid juhtivate ministrite haldusaladeks, jagunevad ka vastutusvaldkonnad meie digiriigis erinevate osaliste vahel. Neil kõigil on vaja oma funktsioonide efektiivseks täitmiseks koguda ja töödelda hulgaliselt andmeid nii oma infosüsteemides kui neid andmeid omavahel turvaliselt ka vahetada.

Siinkohal tulebki mängu AVO, mis sündis 2018. aastal, kui osakonna ülesanded ja eesmärk said selgemaks. Toona oli mõistlik muuta ka nimi andmevahetusosakonnaks. Seni andmehalduse osakonna nime kandnud üksusega liideti mitu seni teistes osakondades paiknenud ülesannet. Meeskonnaga liitus erasektorist tulnud töötajaid ning andmevahetuse osakonna töö klientide äri õnnestumise nimel sai hoogsalt jätkuda.

RIA pakub ja vastutab paljude teenuste eest ning portfell on suur. AVO alustekstiks ja eeposeks, millest kõik alguse sai, on kahtlemata andmevahetuskiht X-tee, millega AVO pakub oma klientidele võimalust andmeid turvaliselt ühest infosüsteemist teise liigutada. Näiteks saavad liikluspolitseinikud tänu X-teele turvaliselt ja liigse bürokraatiata sinu juhtimisõigust kontrollida, aga ka sa ise perearsti antud retsepti apteegist välja osta või e-töötukassast kiirelt ja mugavalt toetust taotleda.

Samuti kuulub andmevahetuse osakonda turvalist, hajusat ja läbipaistvat e-riiki efektselt illustreeriv Andmejälgija, mis võimaldab inimesel näha, kes ja millistest infosüsteemidest on tema andmeid vaadanud. See käik annab inimestele suurema kontrolli oma andmete üle.

Kõikidest „riigi infosüsteemi“ mõiste alla koondunud ja praegu juriidilise konstruktsiooni „andmekogu“ alla paigutuvate infosüsteemide metaandmetest (andmetest andmete kohta) annab võimalikult ajakohase ja usaldusväärse ülevaate riigi infosüsteemi haldussüsteem (RIHA).

Mõistagi ei soovi võimalikult efektiivset digiriiki üles ehitades keegi jalgratast leiutada, kui see naaberkülas juba kasutuses on. Topelttöö on kallis ja ebaefektiivne. Seepärast lisandus osakonna teenuste paletti hiljuti koodivaramu.eesti.ee keskkond, kus avalik sektor saab avaldada oma e-teenuste arendusprojektide lähtekoodid. Nii kasvab e-riigi läbipaistvus ning soodustame avaliku ja erasektori koostööd. Kui eriolukorras tekkinud vajadus sünnitas uue võimaluse RIA-l oma partneritega turvaliselt suhelda, siis üsna pea sai igaühele võimalikuks sellesama AVO hallatava vestlus.eesti.ee keskkonna kaudu turvaliselt saata sõnumeid ning pildi- ja tekstifaile. Suure mahuga failide turvaliseks vahetamiseks tasub aga kindlasti kasutada failivahetuskeskkonda sahver.eesti.ee.

Andmevahetuse osakonna vägesid juhib Joonas Heiter, kelle sõnul lisandub lähiajal osakonna pakutavate teenuste hulka ka nõusolekuteenus. See annab inimesele võimaluse anda mõne ägeda e-teenuse tarbimisel nõusolek kasutada neid andmeid, mis riigil inimese kohta juba olemas on. Näiteks immuniseerimispassi kasutamiseks või personaalse elukindlustuspoliisi pakkumise saamiseks.

AVO panustab tänavu värske projekti, sündmusteenuste õnnestumisse. Sündmusteenus aitab näiteks lapse sünni või abiellumisega kaasnevad mitme haldusala teenused kasutaja jaoks tervikuks liita. Inimene ei pea tegema kümneid klikke, taotlusi ja allkirjastamisi, vaid kõik see tehakse taustal inimese eest ära. Nii on kodaniku ja riigi infovahetus selgem ja efektiivsem. Praegu käib töö, et eesti.ee riiklik postkast saaks uue välimuse ja koodi ning nüüdisaegsema arhitektuuri.

Töö ei saa kunagi tehtud ega otsa

Meeskonna juhi Joonas Heiteri sõnul on andmevahetuse osakond tulemustele orienteeritud ja niisama istumise eest keegi auhindu ei jaga – töö peab tehtud olema. „Aina kiiremini arenevas e-riigis on ikka hetki, kus mõni projekt saab punkti. Need hetked on väga vajalikud, sest siis on meeskonnal aega, et areneda. Eneseareng on see, mis viib edasi nii inimesi kui ka uusi projekte,“ sõnas Heiter. Ta lisas, et meeskond suhtleb nii suurte huvigruppide kui ka konkreetsete projektide arendajatega. „Klientidega suhtlemist on palju ning tuleb pilk peal hoida, mis toimub e-teenustes laiemalt. Näiteks kiirelt arenevate e-teenuste tuules jälgime, et kõige aluseks olev X-tee oleks jätkuvalt töökindel ja ajakohane.“

Ta tõdeb, et nad üritavad koosolekuid võimalikult vähe pidada, kuid eriolukord ja pidev kaugtöö aitasid kolleegidel jõuda arusaamisele, et kord nädalas on siiski hea üksteisega töövõite ja rõõme jagada. „Nii ei jää me võõraks.“

„Kui rääkidagi töövõitudest, siis AVO viimase aja suuremad saavutused on elukaare lõppfaasi jõudnud teenuste edukad sulgemised. Nii sai lõpuks otsustavalt ajalooõpikute kaante vahele suletud X-tee versioon 5 ning eelmise aasta viimasel päeval suleti ka aastate jooksul juba (kuri)kuulsaks saanud taakvara vana.riha.ee keskkond,“ meenutab Heiter.

Rakukestest elujõuliseks organismiks

Osakonnast rääkides toob Joonas võrdlusi elusloodusega. „Andmevahetuse osakond koosneb 15st mõnevõrra erineva talitlusega rakust, mis loovad töötava masinavärgi, organismi. Kolleegidest igaüks on silmapaistev oma valdkonnas. Meeskonnas on nii valjuhäälsemaid rügajaid kui ka varjuhoidvaid halle kardinale,“ ütles Heiter. Tema sõnul on tagab selline eriilmeliste rakukeste kooslus osakonna elujõulisuse ja võimaldab hea enesetundega järjest suuremaid eesmärke saavutada. „Ma arvan, et igas meeskonnas on suurelt mõtlevaid filosoofe ja kärsituid hingi, kes otsivad lahendusi Eesti elanike muredele. Vahel tuleb osa kõrgelennulisi mõtteid ajutiselt jõuga reaalsusesse ankurdada, nii need laagerduvad ja ootavad õiget hetke. Samas ei mõtle keegi nii, et „aga alati on nii olnud…“.

Heiteri sõnul tagavad osakonna hea ja rõõmsa sisekliima mitmed ühised rutiinid. „Üks on kindel – igat suuremat ja vahel ka tillukest sündmust tähistame kringliga. See rada on sisse tallatud ning see komme ei unune. Kringli söömiseks kogunetakse aeg-ajalt täiesti vabatahtlikult ka väljaspool tööaega,“ meenutab Heiter.

Heiter näeb iga päev, et osakonnas ei ole igavusel kohta – tiimi kollektiivne kogemustepagas on piisavalt suur ja värvikas, et sealt saab võtta erinevaid lugusid nii meeleolu tõstmiseks kui ka õpetussõnade jagamiseks. „Vähemalt sama rikkalik on osakonnas töötavate inimeste hobide ring, alustades arvutimängudest ja lõpetades vehklemisega. Sinna vahele mahuvad mitmed maailmapilti avardavad tegevused. Lõunalauas kuuleb jutte jalgpallist, jalgrattaspordist, värsketest raamatutest, linateostest, investeerimisest, invaspordist, õpetamisest ja tervislikust toitumisest,“ loetleb ta.

Juba kolmandat aastat järjest selgitab osakond välja ka kõige kiirema töötaja kardisõidus. „Naljaga pooleks on lühendil AVO ka teine, mitteametlik tähendus, omakeskis nimetame endid autovahetuse osakonnaks – juhul kui keegi soetab uue neljarattalise, annab see nädalateks jutuainet puhkepausidel ja viib teistelgi mõtted uuele autole. Ja head mõtted viivad ka tegudeni,“ ütleb Heiter.

„Andmevahetuse osakonnas ongi hea töötada just tiimi pärast. Nad on jõudnud punkti, kus tööl käimine ei ole tüütu rutiin, vaid võimalus suhelda tuttavate ja asjalike inimestega, kellega leiab teemasid, mida arutada, ja kellega saab muresid jagada või võimatuna näivaid tegusid korda saata. Osakonda on koondunud inimesed, kelle silmad löövad värskeid ideid kuuldes särama ja kes selle motiveeritult ka reaalsuseks muudavad,“ iseloomustab Joonas Heiter oma meeskonda heade sõnadega.