Category Archives: ID-kaart

Küsimused ja vastused: RIA infopäeva esimene päev 17.11.2020

17. novembril 2020 toimus RIA virtuaalse infopäeva esimene pool. Infopäeva avanud RIA peadirektori Margus Noormaa sõnul pole vähimatki kahtlust, et digitiiger on täiesti ärkvel ning hüppab suurte sammudega edasi. Mitmeid arenguid digiteenustes demonstreerisid ka esitlused, mis on järelevaadatavad RIA Youtube’i kanalil.

RIA peadirektor Margus Noormaa. Fotod: Grete Kivi/RIA

Ühe tähelepanuväärse näitena võib välja tuua nõusolekuteenuse, mille abil saab juba peagi kontrollida enda isikuandmetega toimuvat, ning mis võimaldab andmepõhist innovatsiooni erasektoris. Seda teemat puudutav esitlus pälvis ka kuulajatelt elavat tähelepanu. Avaldame vastused vaatajatele tekkinud küsimustele.

Riigi infosüsteemi haldussüsteem RIHA ja selle arengud, Riho Kerge

Klassifikaatorid olid vanas RIHA-s, nüüd toodi osad (valik tehti mingi kummalise loogika järgi) üle uude ja tuli info, et vana RIHA pannakse aasta lõpus kinni. Mis saab nendest vanadest klassifikaatoritest (mida RIHA vanast keskkonnast üle pole toodud)?
RIHA vanast keskkonnast toodi üle viimase kahe aasta jooksul uuendatud klassifikaatorid. Klassifikaatorite süsteemi koorineeriv Statistikaamet on arvamusel, et küllaltki suur osa vanas keskkonnas olevatest klassifikaatoritest polegi ilmselt klassfikaatorid, vaid infosüsteemi siseseks kasutamiseks loodud loendid. Ministeeriumide vahel on kooskõlastamisel klassifikaatorite süsteemi määruse eelnõu, mis näeb mh ette, et Statistikaamet selgitab välja, millised on (riigisisesed) klassifikaatorid ja kehtestab need või teeb ettepaneku klassifikaatori haldajale need kehtestada ühe aasta jooksul pärast määruse jõustumist. Eelnõu kohaselt kehtestatakse klassifikaatorid ministri määruse või asutuse juhi käskkirja. Ka seetõttu pole otstarbekas vanast RIHAst rohkem klassifikaatoreid üle tuua. (Põhjendatud juhul oleme siiski valmis enne 2020. aasta lõppu soovitud klassifikaatori(d) üle tooma, palun kirjutage meie kasutajatoele help@ria.ee.)

Ei soovi klassifikaatorit uuendada vaid et see toodaks üle uude RIHA-sse. Kasutusel ongi versioon, mis on vanas RIHA-s, seda sellepärast, et EU-s ei ole versioon muutunud.
Palun kirjutage meie kasutajatoele help@ria.ee ja leiame lahenduse

Kas asutused peavad nüüd kahele organisatsioonile oma infosüsteemide kohta aru andma ja kirjeldama? Statistika amet kogub samuti infot nüüd ülevaadet riigi infosüsteemi kuuluvate andmekogude kohta.
Statistikaamet on seaduseandja tahtel asunud riigis koordieerima andmehaldust. Selleks vajavad nad ülevaadet riigi infosüsteemi kuuluvate andmekogude kasutamisega seotud korralduslikest tegevustest. Sellist teavet RIHAsse ei koguta. Statisitikaamet on meile teadaolevalt seda infot kogunud/kogumas vaid ühekordse kaheosalise küsitlusega.

“Tuleb sisse logida” ja “anonüümne” ei ole väga kooskõlalised väited. Kas tõesti peab tagasiside andmiseks sisse logima?
RIHA kasutamise kohta tagasiside andmiseks ei ole sisselogimine nõutud. Anonüümse tagasiside saate jätta aadressil https://www.riha.ee/Tagasiside

Kas eelanalüüs on avalik dokument ja sellega võimalik tutvuda?
Dokumendiga tutvumiseks kirjutage palun RIHA tootejuhile

Millal RIHAKE valmis võiks saada?
Planeerime RIHAKEse valmimist 2021. aasta lõpuks.

Mis ikka saab X-tee alamsüsteemidega RIHA-s? Kas RIHA-s neid peale kustutamist ei näe ja peab otsima mujalt?
X-tee alamsüsteemid ei kuulu alates 2. detsembrist 2020 enam RIHAs registreerimisele ja seal täna olevad X-tee alamsüsteemid eemaldatakse RIHAst 2020 aasta detsembri teises pooles. Kõik X-tee alamsüsteemid leiab X-tee kataloogist https://www.x-tee.ee/service-catalog.

Miks seda RIHAKE-st jms kaasnevat kõike vaja on? X-tee teenuste wsdl-ides on objektid ja tüübid ju kirjas. Kas see lisatöö annab mingit lisaväärtust?
RIHA-le vaatamata puudub riigis ajakohane ja piisavalt usaldusvääre ülevaade riigis töödeldavatest andmetest. Kohati puudub selline ülevaade ka asutustel endil. Seni on puudunud ka standard võrreldavate andmekirjelduste loomiseks.
Statistikaamet on selle loonud. RIHAKE-sest saab asutuste andmehalduse töövahend – standardil põhinevate andmekirjelduste loomiseks ja edastamiseks RIHA-sse.
Seega loob RIHAKE-se kasutusele võtmine eeldused riigis töödeldavatest andmetest ajakohase ülevaate saamiseks (olemasolevate X-tee teenustega ei pakuta kasutamiseks kogus asutustes hallatavat andmestikku) ja andmete kiireks leidmiseks. RIHAKE-sega luuakse eeldused andmete paremaks kasutamiseks teenuste osutamisel ja otsuste tegemiseks.

Nõusolekuteenus – iga nõusolek loeb, Sander Randorg

Kas kõiki nõusolekuid antakse tasuta või kunagi saab neid ka hinnastada läbi selle platvormi?
Hinnastamist ei ole täna platvormi funktsionaalsuste hulka planeeritud.

Nõusolek ei ole isikuandmete kaitse üldmääruse alusel avaliku sektorile sobilik õiguslik alus isikuandmete töötlemiseks. Seega avalikus sektoris see ei töötaks. Kas NT kasutajaks on alati erasektor?
Praktikas on tõesti nõusolekuteenuse põhilised kasutajad erasektoris, kelle huviks on inimestele andmepõhiseid teenuseid pakkuda. Oluline on aga mõista, et nõusolekuteenuses antav nõusolek antakse tegelikult just avaliku sektori andmekogule, et eksisteeriks õiguslik alus andmete väljastamiseks, mis on üks isikuandmete töötlemise vorme. Andmete edasist töötlemist andmesaaja (näiteks ettevõtte) poolel reguleerib üldjuhul aga eraldi leping tema ja andmesubjekti vahel, mida ei hallata enam nõusolekuteenuses.

Teoorias on võimalik ka see, et avaliku sektori asutus küsib inimeselt mingit sorti lisateenuse pakkumiseks nõusolekut

(https://www.aki.ee/sites/default/files/dokumendid/isikuandmete_tootleja_uldjuhend.pdF lk 39), siiski sellistele kasutusjuhtudele me enda lahenduses ei keskendu.

Kui asutus kasutab kliendile teenuse andmiseks 12 erineva registri andmeid, kas pole oht et selle ühe avalduse töötlemiseks jookseb see keskne nõusoleku rakendus kokku? Meil on kümneid asutusi riigis.
Süsteemi perspektiivist annab inimene sellisel juhul 12 erinevat ja erinevale registrile mõeldud nõusolekut. Andmete väljastamisel kontrollib iga register just talle adresseeritud nõusolekut. Seega andmete liikumine toimub tegelikult mitmete erinevate registrite ja andmesaaja vahel, nõusolekuteenuses kontrollitakse lihtsalt seda “kas tohib?”.

Piloteerimise faasis on RIA ainus nõusolekuteenuse pakkuja, aga arhitektuuris arvestame aktiivselt vajadusega tulevikus nõusolekute haldus erinevate valdkondade vahel ära jagada, et vältida võimalikke halduskoormusest, jõudlusest, turvalisusest või muudest teguritest tingitud probleeme. Kindlasti jääb aga inimese jaoks nõusolekuteenuse keskkond riigiportaali, et kindlustada ühtlane kasutuskogemus.

Riik osutab teenuseid seaduste alusel, seetõttu kas riigiasutus peab üldse küsima neid nõusolekuid inimeselt?
Riiklikul andmekogul peab olema õiguslik alus enda käes olevate isikuandmete väljastamiseks. Riigiasutusel on seega vaja nõusolekut, kui ta tahab väljastada andmeid osapoolele, kellel pole ühtki muud seaduslikku alust nende andmete saamiseks. Lihtsustatult – kui ettevõte tahab riigi käest isikuandmeid, peab selle jaoks sellelt inimeselt luba küsima.

Kas isik võib nt volitada Google’it (või kedagi teist) oma andmeid saama perioodiliselt, et Google saaks mulle paremaid teenuseid osutada?
Nõusolekuteenuses antav nõusolek kehtib kindla ettemääratud aja, mille vältel on andmepäringud võimalikud. Google ei ole aga kindlasti osapool, kellega meil nähtavas tulevikus ühtki plaani oleks.

Kas nõusoleku tagasivõtmine kehtib ainult etteulatuvalt? St, ei pea tagantjärele mingeid nõusoleku alusel küsitud andmetega midagi tegema hakkama?Nõusoleku tagasivõtmine mõjutab ainult edasist andmeväljastust. Kuna juba edastatud andmetel on uus vastutav töötleja mõne ettevõtte näol, on näiteks “õigus olla unustatud” juba inimese ja selle ettevõtte vaheline küsimus.

Kas ma näen, kas minu antud nõusolekut on reaalselt kasutatud või mis andmeid andmete omanik reaalselt edastas?
Andmete edastamine peab olema võimalikult läbipaistev. Inimene saab analoogselt tänase andmejälgijaga ülevaate sellest, mis hetkel ja mis nõusoleku alusel andmed liikusid. Sellest, mis andmeid edastama hakatakse, saab inimene ülevaate juba hetkel, kui ta nõusolekut andma hakkab. Loomulikult on ülevaade sellest näha ka hiljem.

Kas SOM ja E&Y analüüs saab olema avalik?
Kindlasti, tegemist on siiski paljusid osapooli puudutava ja sisult olulise dokumendiga.

Riigil on meeletult andmeid ja nende peale teenuseid saab ehitada lõputult. Paraku tohib andmeid töödelda vaid seaduse alusel, mis oluliselt pärsib nt erasektoril kasutada riigi kogutavaid andmeid oma teenuse ehitamiseks. Kas mingil hetkel me jõuame ka selleni, et erasektor saab (kasutaja nõusolekul) kasutada andmeid riiklikest andmekogudest seadusest tuleneva eesmärgita?
See ongi tänase teenuse peamine mõte. Teisisõnu – positiivse stsenaariumi korral jõuab see hetk kätte suvel 2021.

Kes vastutab tekkinud kahju eest, kui mu nõusolek oli olemas, et saada teenust, aga teenus oli aeglane ja enne teenuse saamist jõudsin nõusoleku tühistada?
Nõusolekuteenuse arhitektuur välistab valdava enamiku sellistest juhtudest, kuna enne iga andmeväljastust kontrollitakse nõusolekut uuesti ning igal sammul on lähtutud inimese õigusest igal hetkel ümber otsustada. Teoorias eksisteerib imeväike võimalus, et inimene võtab nõusoleku tagasi hetk pärast seda, kui andmekogu on edukalt nõusolekut kontrollinud, aga ei ole veel jõudnud andmeid väljastada. Nagu iga teise meediumi puhul, pole füüsiliselt võimalik, et süsteem reageeriks absoluutselt samaaegselt. Nõusolekuteenus on aga siiski mitme suurusjärgu võrra kiirem, kui ükskõik millised tänased vahendid.

Kui andmejälgija jalajälg on seni päris väike, siis kas nõusolekuteenusega liidestavatele andmekogudele saab andmejälgija kasutuselevõtmine kohustuslik olema?
Andmejälgija ja nõusolekuteenus moodustavad teenustena ansambli, kuna on mõlemad tugevalt isikuandmete töötlemisega seotud. Nende ühine kasutuselevõtt andmeid väljastava andmekogu poolt on seega loomulik ning ka osapooltele mõistlik lahendus, kuidas andmete edastamine läbipaistvaks muuta.

Miks me usume, et inimesed enda andmetest lugu peavad, kuidas nad seda tegema panna? Ma ju tahan laenu saada, mis mul üle jääb *klõpsan annan nõusoleku*.
Meie saame omalt poolt anda inimesele võimaluse enda andmete kasutamise üle otsustada, teha seda ühetaoliselt ja ühes keskkonnas, saame suurendada läbipaistvust, kuvada selgitusi ning vajadusel ka hoiatusi. Kui tänased võimalused oma andmete üle otsustamiseks on olnud ahtad, ei saa ka eeldada, et see lugupidamine tühja koha pealt tekiks. Suurenev avalik diskursus isikuandmete töötlemise võimaluste ja eetilisuse üle on aga igas vormis teretulnud.

Pangalingilt nõusolekute andmise näide. Milline saab olema avalik kommunikatsioon? Tavaline inimene ei saa aru, kuhu ja miks ta nüüd sattus.
Nõusoleku küsimine peab olema selge ja arusaadav protsess juba GDPR-ist lähtuvalt. Praktikas peab andmeid küsiv rakendus inimesele selgelt teada andma, et ta suunatakse nõusolekuteenusesse nõusolekut andma. Nõusolekuteenus ise saab olema lihtsasti mõistetav ning pakkuma hulgaliselt võimalusi teenuse sisuga tutvumiseks.

Küsimus andmekogu pidaja vaates: kas andmete väljastamise teenus võib olla ka tasuline?
Teoorias on see ilmselt võimalik, kuid sõltub palju konkreetse valdkonna isikuandmete jagamise suurematest eesmärkidest. Kui erasektori pakutavad teenused parandavad näiteks rahva tervist või aitavad võitluses rahapesu vastu, on kaudsed tulud tihti otsestest kuludest tähtsamad.

Sander, kas inimene annab/saab anda nõusoleku enda andmete kasutamiseks tähtajaliselt? Mille põhjal tekivad isiku andmetest komplektid, millele inimene õiguse annab ja kes neid komplekte haldab?
Jah, iga nõusolek, mis antakse, on tähtajaline. Isikuandmete komplektid määrab andmekogu pidaja, kes enda teenuseid nõusolekupõhiselt pakkuma hakkab. Komplekt võib olla nii olemasolev andmeteenus, selle osa või päris uus loodav teenus, mille skoop on selgelt määratud ja inimmõistetavalt kirjeldatud.

Kuna järgmised kasutusjuhtumid võiksid arenduseni jõuda?
Tänase plaani kohaselt liigume kursil suvi 2021.

Kuidas riik paneb andmete saajad selgelt sõnastama andmete kasutuse otstarbe? Kas see läheb nõusoleku küsimise protsessi sisse?
Andmete kasutamise otstarve ehk eesmärk on inimesele kuvatavas nõusolekutaotluses olulisel kohal. See, milline on mõistliku pikkusega ja oma sisult inimesele arusaadav eesmärk, on E&Y läbiviidava analüüsi üks punktidest.

Mis on uut X-teel, Joonas Heiter

Mis need x-ruumid on?
X-Ruumid on üks võimalik lähenemine publish-subscribe arhitektuurimustrile, kus senise 1:1 andmevahetusele lisaks ei pea andmevahetus olema samaaegne ning võib toimuda 1:mitmele.

Kas RIA on loonud või loomas lahendust turvaserveri logide pärimiseks/väljastuseks? Praegusel kujul pole pakendatud X-tee logide pärimine praktikas võimalik (võtab nädalaid ja kuid).
Hetkel universaalset lahendust kahjuks pakkuda ei ole. Küll aga on see arendusvajadusena uurimisel v7 osana.

Kas RIA sertifikaadid jäävad tasuta kõigile kasutamiseks?
Sertifikaate ei ole plaanis hinnastada.

Kas seose lisamine RIHAs oleva infisüsteemiga on kohustuslik või vabatahtlik?
Vabatahtlik, kuid võimalusel soovituslik.

Kas on ette teada, millal X-tee v6 tugi kaob, ehk et millal oleks viimane aeg v7-ga liituda? Kuna see üleminek on suur kulu ettevõtetele, oleks hea teada mingit ajaraami.
Üleminek algab aastal 2022 ning X-tee v7 väljatöötamisel on õpitud versioon 5 sulgemisest ehk v7 üleminek on pigem sarnane versioon 6 tarkvara uuendusega ning ei vaja eraldi suuri investeeringuid.

Millal X-tee v6 kasutusest välja läheb?
Eeldatavasti 2023. aasta jooksul.

Kui asutusel pole IT administraatorit ja arvatavasti on turvaserver uuendamata, kas mingist hetkest võib X-teega liitumine kaduda?
Vastavalt määrusele tuleb kasutada viimast või eelviimast tarkvara versiooni. RIA monitoorib turvaserverites kasutatavaid tarkvaraversioone, kuid kindlasti ei lülitata kedagi X-teelt automaatselt välja, vaid suheldakse otse turvaserveri administraatoriga ning vajadusel aitame tarkvara uuendada. Kindlasti võib siinkohal pöörduda RIA poole help@ria.ee

Kas RIA poolt väljastatud e-templi sertifikaate saab ka avalik sektor. Slaidil oli mainitud, et erasektor vaid ja viitasid väikestele raamatupidamisbüroodele.
RIA poolt väljastavad e-templi sertifikaadid on eelkõige mõeldud erasektori asutustele kasutamiseks. Sertifikaatide väljastatakse kõikidele asutustele, kuid avaliku sektori puhul rõhutame üle, et tegu ei ole kvalifitseeritud usaldusteenustega ning X-tee liikmel tuleb hinnata vastavalt oma asutuse infoturbepoliitikale riske.

Kuidas sahvris vahetatud AK dokumendid registreeritakse, mida nõuab AvTS?
Sahver on failivahetuskeskkond ning selles dokumente eraldi ei registreerita. AK dokumendid tuleb vastavalt AvTSile registreerida vastavas asutuse dokumendiregistris ning Sahvris on võimalik suurte andmemahtude korral neid teisele osapoolele edastada.

RIA roll valimiste korraldamisel, Alo Einla

Mis siis juhtuma hakkab, kui VIS3 õigeks ajaks valmis ei saa? Kas kasutakse VIS2?
VIS3 saab õigeks ajaks valmis. Rahvahääletuseks saab valmis minimaalselt võimalikud funktsionaalsused, mis on hädavajalikud valimissündmuse läbiviimsieks. VIS2 ei ole kasutatav.

Kas saab ka üksnes paberil hääletada?
E-hääletamine on seaduses sätestatud valimise viis. Seega järgmistel valimistel tuleb nii e-hääletamine kui ka paberil hääletamine.

Kas iseteenindusmoodulis saavad oma kandidatuuri KOV valimistel üles seada kõik soovijad?
Jah, kõik soovijad, kellel on selleks seadusest tulenev õigus.

Usaldusteenused – valmisolek uueks kriisiks ja NFC tugi, Andrei Kargin

Millal CRIIS’i soovitakse live‘is rakendada?
CRIISi valmidus toimetada sertifikaatide uuendamisega LIVE ID-kaartidel on planeeritud saavutada 2021 lõpp – 2022 alguses. 2021 aasta jooksul planeeritakse luua CRIISi valmidust TEST ahelas sertifikaatide uuendamiseks.

Hetkel on maailmas planeerimisel immuniseerimise sertifikaat. Kas on mõeldav, et selle tarvis vajalik info on ID-kaardi omanikel talletatud ID-kaardile? Ja mis arvate ise, kas on hea idee?
ARMIS projekt loob keskkonna, mis võimaldab lisada ID-kaardile rakendusi, mille kaudu saaks hallata ja esitada isikuga seotud erinevaid tõendeid, sealhulgas võiks olla ka immuniseerimise sertifikaat. Probleem on pigem, kuidas saab valideerida – kasutada selle sertifikaadi väljaspool Eesti ökosüsteemi. Selle probleemi lahenduse otsimisega me planeerime tegeleda eraldi.

Tartu ülikoolis öeldi, et ID-kaardi NFC töötab küll. Miks ei saa telefonis ID-kaardiga allkirja anda ja autentida?
NFC-liides on uutes ID-kaartides tõepoolest aktiivne ja selle kaudu saab kätte isikufailis olevaid andmeid ja isiku sertifikaate, kuid on keelatud kasutada autentimise ja signeerimise rakendusi. Piirang on seotud rakenduste sertifitseerimisega Qualified Electronic Signature Creation Device (QSCD) tasemele.

Kes on see partner või partnerid, kes CRIIS ja ARMIS teevad?
CRIISi projektis partneriteks on NORTAL, CYBERNETICA AS ja Clarified Security. ARMIS projektis partneriteks on NORTAL ja Clarified Security

Miks peab lisama kolmanda osapoole rakenduse info kaardile, kui kolmandad osapooled saavad juba kaardilt infot lugeda?
See kindlasti sobiks online teenustele, kuid võttes arvesse offline dokumente või tõendeid, siis kaardi peal olevaid andmeid nende jaoks kindlasti ei jätku.

Riiklik SSO ja selle arengud, Helen Raamat

Kas TARAga on kõik juba suuremalt jaolt liitunud või on oodata veel suurt kasutajaskonna kasvu?
Kindlasti on oodata veel olulist kasvu, arvestades, et meil on aastaga Riigi autentimisteenusega liitunute arv kasvanud poole võrra ning igakuine liitumiste arv järjest kasvab.

Miks mõned riigiasutused venitavad TARAga liitumist?
Võib eeldada, et selleks on erinevaid põhjusi, olgu selleks siis finantsiline (näiteks, ei leita vajalikku ressurssi liidesumiseks) või organisatoorne põhjus. Riigi autentimisteenuse poolel monitoorime igapäevaselt kliendivajadusi, mis võivad mõjutada nende liitumisotsusi ning püüame võimalusel need ka enda poolel lahendada.

Miks TARA väljastab infosüsteemile kasutaja nime suurtähtedes? Kui põhjus selles, et ID-kaardil õigel kujul nime ei ole, siis kas saaks selle sinna tulevikus panna?
Nimed loetakse sertifikaadi pealt ning edastatakse samal kujul Riigi autentimisteenusega liitunud infosüsteemile.

Kuhu Euroopas Eesti eIDga sisse saab?
Piiriülene koosvõime Eesti eIDga on loodud tänaseks 21s riigis, sh Austria, Belgia, Hispaania, Holland, Horvaatia, Itaalia, Kreeka, Leedu, Luksemburg, Läti, Malta, Norra, Poola, Portugal, Rootsi, Slovakkia, Sloveenia, Soome, Suurbritannia, Taani ja Tšehhi. Näiteks Taani on teavitanud umbes 55st erinevast e-teenusest, mis on kättesaadavad läbi Taani riigiportaali https://lifeindenmark.borger.dk/. Samuti ka paljudes teistes eelnimetatud riikides.

Millist kasu asutus TARAga liitumisest saab? Kas see muudab kuidagi töö tõhusamaks või hoiab raha kokku?
Autentimislahenduse haldus igas asutuses ja haldusalas eraldi on nii haldamise kui arendamise mõttes kulukas. Riigi autentimisteenusega liitudes saavutatakse oluline kulude kokkuhoid, kuna asutus ei pea enam ise oma autentimislahendusi välja arendama ja neid käitama. Kuna autentimispäringud kaetakse samuti keskselt läbi Riigi autentimisteenuse, siis kaob asutusel vajadus hallata eraldi lepinguid SK-ga ning sellega seotud päringuid oma eelarvest rahastada. Asutused, kellel lasub eIDAS määruse rakendamise järgne kohustus tunnustada oma e-teenustes Euroopa Liidu liikmesriikide hinnatud eID vahendeid, saavad selle funktsionaalsuse läbi Riigi autentimisteenuse, ilma ise keerukat piiriülest taristut implementeerimata.

Kas praegused TARA kasutajad on sellega rahul?
Meile laeunud pöördumiste põhjal võib järeldada, et kasutajad on TARAga rahul. Ainuke rahutuse märk esineb üksikutel juhtudel arendajate poolt, kes pole TARA kohta käivat dokumentatsiooni hoolikalt läbi lugenud ja satuvad seetõttu segadusse.

Millised on kasutajate kõige sagedasemad probleemid TARAga?
Arendajate poolt arenduse käigus muudetakse mingeid parameetreid (nt redirect-url või client_id) ja siis TARA poole pöördumisel saadakse viga. Testimisel live ID-kaardi või MID ei ole korrektselt serdid üles laetud SK demo lehele.

Kas lokaalne autentimisserver võib või tohib tara teenust vahendada?
Kui küsimus käib kasutusjuhu kohta, kus asutusel on oma infosüsteem, mis delegeerib autentimist Riigi autentimisteenusele, siis selline kasutusjuht on lubatud eeldusel, et see on turvaliselt tehtud. Siinkohal lasub asutusel kohustus teavitada RIAt infosüsteemidest, kuhu autentimisteenust vahendatakse.

E-riik eriolukorras

Märtsi keskel välja kuulutatud eriolukorra tõttu pidid paljud nii era- kui ka avaliku sektori ettevõtted ja asutused töö kiirelt ümber korraldama. Peaaegu kõik suhtluskanalid muutusid elektrooniliseks. Kas muutusi toimus ka riigi infosüsteemis? Kuidas e-riik eriolukorraga kohanes?

eID vahendite kasutamine kasvas

Alustame oma ülevaadet muutustest elektroonilise identiteedi (eID) kasutamises. Siin saame võrrelda päringute mahtu kolmel perioodil: veebruaris, kui elu toimis tavapäraselt, märtsis, kui pärast 12 tööpäeva muutus töökorraldus enamikus ettevõtetes, ning aprillis, kui elektroonilised lahendused olid saanud uueks normaalsuseks.

DigiDoc4 klient on rakendus, mida teavad pea kõik, kes kunagi ID-kaardiga allkirja andnud. Jooniselt on näha, et elektrooniliselt antud allkirjade arv suurenes märkimisväärselt sõltumata vahendist – nii ID-kaarti, mobiil-IDd kui Smart-IDd kasutati tavapärasest rohkem. Lõviosa allkirju anti ID-kaardi abil (aprillis 72% kõigist allkirjadest), kuid Smart-IDga anti aprillis neli korda rohkem allkirju kui veebruaris ning mobiil-ID allkirju anti DigiDoc4 abil aprillis kolm korda rohkem kui veebruaris.

Riigi autentimis- ja allkirjastamisteenus

Riigi autentimisteenuse abil saab sisse logida päris paljudesse Eesti e-teenustesse. Mai alguseks oli riigi autentimisteenusega liitunud 35 asutust lausa 114 erineva rakendusega. RIA enda teenustest on ehk tuttavad eesti.ee, millest varsti lähemalt räägime, ja sahver.eesti.ee, kus saab sõpradega dokumente jagada.

Kuigi autentimisteenusega liitus vaadeldavate kuude jooksul uusi kliente, tegid rohkem päringuid ka juba varem liitunud teenused. Enda isikut tuvastati rohkem nii ID-kaardi, Smart-ID, mobiil-ID, pangalingi kui ka Euroopa Liidu vahendite abil (just sellises suurusjärjestuses). Kõige suurem hüpe toimus Euroopa Liidu vahenditega isikutuvastamisel – aprillis tehti peaaegu kolm korda rohkem päringuid kui veebruaris. Arvud ise on muidugi küllaltki väikesed, moodustades vaid 0,01% kõigist isikutuvastustest. Kõigi autentimiste arv oli aprillis kokku 27% suurem kui veebruaris.

Riigi allkirjastamisteenus on veel lapsekingades lahendus, mille abil saavad infosüsteemid moodustada allkirjaümbrikke mobiil-ID ja ID-kaardi allkirjadega. Kuna veebruaris oli kasutajaid õige vähe (umbes täpselt 2), oli aprilliks protsentuaalne antud allkirjade kasv üsna märkimisväärne. Aprillis pandi allkirjastamisteenuses kokku 60 korda rohkem allkirjaümbrikke kui veebruaris. Umbes sama palju tõusid nii ID-kaardi kui ka mobiil-ID abil tehtud toimingute mahud.

Andmevahetus X-teel

Seega, kui elektrooniliste isikutuvastuste arv kasvas üksnes veidi, siis elektroonilisi allkirju anti varasemast palju rohkem. Aga mis toimus mujal riigi infosüsteemis, näiteks andmevahetuskanalis X-tee?

X-tee visualiseering: https://logs.x-tee.ee/visualizer/EE/

X-tee tegevuste arvu saame vaadelda lausa nädalate lõikes. Võtame ette perioodi 2020. aasta 9. nädalast (27. veebruarist) kuni 17. nädalani (lõpeb 26. aprilliga). Eriolukorra kehtestamine 12. märtsil toimus 11. nädalal. X-tee kaudu tegid sellel perioodil kõige rohkem päringuid tervise ja heaolu infosüsteemide keskus, politsei- ja piirivalveamet ning kohtutäiturite ja pankrotihaldurite koda. Kõige rohkem infot päriti haigekassa, maksu- ja tolliameti ning registrite ja infosüsteemide keskuse infosüsteemidest.

Kui avaliku sektori ettevõtete päringute arv oli sellel perioodil üsna stabiilne, siis erasektori ettevõtete päringute arv kasvas nädalatel 11–14 (vahetult pärast eriolukorra väljakuulutamist) võrreldes 9. nädalaga pea 50%. Hiljem stabiliseerus päringute arv endisele tasemele. Absoluutarvudelt kasvas eriolukorra ajal kõige rohkem politsei- ja piirivalveameti infosüsteemis, kohtutäiturite ja pankrotihaldurite koja täite- ja pankrotimenetluse infosüsteemis ning Ridango ASi piletisüsteemis tehtud päringute hulk. Vähem päringuid hakati tegema näiteks piirikontrolli andmekogus, tollideklaratsioonide infosüsteemis ning politsei- ja piirivalveameti broneeringusüsteemis. Tervishoiuteenuste infosüsteemides (nt apteekide infosüsteem, tervishoiuteenuste osutajate infosüsteem, haigekassa jm) kerkis päringute hulk 11.–14. nädalal tavapärasest tunduvalt kõrgemale ning stabiliseerus pärast seda.

Riigiportaali eesti.ee äkiline hüpe

Põikame nüüd veel korraks eesti.ee juurde, mis koondab e-Eesti infot ja e-teenuseid. Selgub, et erinevate teenuste poole tehtud päringute arv kasvas pisut 10.–13. nädalal ning tegi suure hüppe (kaks korda rohkem päringuid kui tavapärane) 14. nädalal (aprilli algus). Pärast seda langes tehtavate päringute arv madalamale kui veebruari lõpus. Kokkuvõtvalt toimus e-Eestis samasugune trend nagu füüsilises Eesti Vabariigis – hetkeks kerkis nõudlus erinevate süsteemide ja info järele lakke. Pärast ühte kuud olukord stabiliseerus, vaid digitaalseid allkirju anti tunduvalt rohkem kui varem.

Annika Kluge, elektroonilise identiteedi osakonna projektijuht

eID juht Margus Arm: turvalisuse arvelt mugavust ei looda

Margus Arm. Foto: Nelli Pello

Enamikul Eesti elanikel on ID-kaart. See fakt loob e-teenuste omanikele kindluse, et pea igal inimesel on võimalik kasutada nende poolt pakutavaid e-teenuseid. Teised kaks eID vahendit (Mobiil-ID ja Smart-ID) kokku katavad umbes 50% elanikest ja ainult nendest ei piisaks laiapõhjaliseks e-teenuste kasutamiseks.

Elektroonilises kasutuses on umbes 800 000 ID-kaarti. Igakuiselt tehakse sellega umbes 20 miljonit digitaalset toimingut (sisenetakse e-teenusesse või antakse digiallkiri), lisanduvad veel kliendikaardina kasutused. Erinevatel tehnilistel põhjustel on selle aasta jooksul 164 kaarti lukustunud. See on toonud kaasa olukorra, kus lukustunud kaardi omanikud on pidanud Politsei- ja Piirivalveameti teeninduses uut kaarti taotlema, sest lukku läinud kaardiga ei saa e-riigiga asju ajada. Arusaadavalt tekitab olukord pahameelt ja ebamugavusi. Kas oleme ID-kaardi üles ehitanud liigselt turvalisusele mõeldes, jättes tagaplaanile selle kasutusmugavuse? Kas pingutame turvalisusega üle?

Mina nii ei arva. Kaardi lukustumine on väga üldistatult pigem positiivne. ID-kaardi kiip on üles ehitatud selliselt, et mingi tarkvara või erinevate tarkvarade kombinatsiooni tulemusel tekkinud tehnilise tõrke tõttu (arvuti operatsioonisüsteem, veebilehitseja, spetsiifiline kaardilugeja, uuendamata eID tarkvara, mingi kindel e-teenus jms pöördub kiibi poole valede käskudega) tajub kaart teatud arv kordi kasutamist kui rünnakut ning enesekaitseks lukustab ennast. Kaardid käituvad nii nagu see on ette nähtud – kaitsevad enda valdajat. Kaardi lukustumine on küll kasutaja jaoks ebameeldiv ja toob kaasa aega nõudvat asjaajamist, kuid kokkuvõttes on selline ebamugavus kordades väiksema mõjuga, kui õnnestunud rünnak ja identiteedi vargus.

Lukustunud on nii eelmise kui ka uue põlvkonna ID-kaardid ning hetkel on RIA prioriteet selgitada välja, mis on need päringud, mis põhjustavad kaardi lukustamise ehk mis komponent või erinevate komponentide kombinatsioon ei toimi. Kuid ID-kaardi ökosüsteemi keerukust ja avarust arvestades on see paras väljakutse, kui mitte öelda, et nõela otsimine heinakuhjast. Meil on umbes 800 000 kasutajat, ca 600 000 ID-kaardi tarkvaraga seadet ehk arvutit (erinevate seadistustega), üle 5000 e-teenuse pakkuja, erinevad kaardilugejad, mitmed operatsioonisüsteemid, veebilehitsejad, jne – see kõik on üks suur süsteem, mille toimepidevus sõltub iga ahela lülist. Ei ole mõistlik eeldada, et selline süsteem toimib 100% tõrgeteta. Jah, meie eesmärk on neid tõrkeid ennetada, vigu pidevalt parandada, nagu ka praegusel juhul, kuid me peame arvestama, et see on meie igapäevaelu – ebamugavusi tuleb ette, neid ei saa välistada.

E-Eesti mured on meie mured

eID süsteemi töös hoidmine ning arendamine nõuab igapäevaselt prioriteetide seadmist. Kui laual on kümme väga olulist ja samaväärset asja, tuleb teha valikuid. Pidevalt tuleb arvestada sellega, mis oli eile, mis on täna ja mis tuleb homme-ülehomme. Arvestada tuleb ka kasutajagruppide suurustega ehk millise kliendisegmendi mured tuleb lahendada esmajärjekorras.

Kõik e-riigi ahela lülid ei ole aga meie kontrollida ega hallata, peame arvestama suurte rahvusvaheliste korporatsioonide (nt Microsoft, Apple, Google jms) arengute ja koostöövalmidusega. E-riigina oleme küll eesrindlikud, kuid meie mured e-riigi toimimise tagamisega on suurte ettevõtete silmis siiski marginaalsed. Meie kasutajate hulk on sedavõrd väike. Ka neil on oma prioriteedid, mis sõltuvad paljuski kasutajate hulgast. Kui mõnel suurettevõttel on miljardeid kasutajaid, siis ei saa oodata, et vähem kui miljoni kasutajaga Eesti mured on neile esimeseks prioriteediks. Ei ole. Aga olenemata sellest oleme oma e-riigi mainega suutnud tekitada koostöömudeli ning välistada või lahendada suuremad probleemid töö käigus lahendada. Teeme seda iga päev.

Meile kõigile meeldib, kui Eestit teistele eeskujuks tuuakse. Jah, suunanäitaja, pioneer on raske olla. Me teeme esimesena ja õpime enda vigadest, kuigi võiks ka vastupidi? Võtta seda e-hoogu maha, teha asju teiste järgi ja teiste tempos? Pigem mitte. Ja kas nüüd pole juba hilja sellisteks mõteteks? Tuleb lihtsalt arvestada sellega, et me lähmegi asjadega natuke eest ära ning osapooled, kellest meie e-riigi töövõime kas või osaliselt sõltuvad, ei jõua kohe ühe hooga järgi. Neid tuleb aidata ja see võib mõnikord rohkem aega võtta.

Elame muutuste ja uuenduste ajastul

ID-kaart on osa igapäevasest elust, mis areneb, vananeb ja kulub. Nagu kõik asjad meie ümber. Pidevad uuendamised, nagu ka asjade parandamine ja värskendamine, käib selle juurde. Näiteks nutiseadme regulaarne tarkvara uuendamine. See võib näida paljudele tüütu, aga turvalisuse vaates on see vältimatu. Või nagu auto puhul – keegi ei taha sõita hooldamata autoga, mille pidurite töökindlust ei ole pikalt kontrollitud. Eelmine ID-kaardi hange ulatub 2009. aastasse, viimased selle hanke kaardid kehtivad veel rohkem kui neli aastat. See teeb 15 aastat, mis on tehnika maailmas igavik. Seetõttu tuleb meil leppida, et ajaga kaasas käimiseks ja kõigi turvalisuse tagamiseks tuleb tehnikat uuendada, sealhulgas ka ID-kaarti.

Veel täna, pool aasta pärast uute ID-kaartide tulekut ei ole kõik e-teenuse pakkujad kaarti toetavate arendustega lõpuni jõudnud. Eeskätt puudutab see neid teenuseid, kelle jaoks ei ole ID-kaardi lahendused kõige olulisemad, kuid mis ei tähenda, et nad ei töötaks selle kallal. Kui e-teenused olid seadistatud vana kiibiiga töötamiseks, siis uue kaardi tulekuga tuli kõik ümber seadistada. See tähendab erinevate tarkvarade kasutusele võtmist, mis nõuab ressursse. Samuti prioriteetide seadmist. Igal e-teenuse pakkujal on erinevad prioriteedid ja põhitegevus. Enamuse puhul ei ole need ID-kaardiga seotud arendused. Kui ostad koju või kontorisse uue printeri, siis tuleb selle kasutamiseks arvuti ümber seadistada. Ainult nii saad arvutist printida. Sama kehtib ka uue ID-kaardi toe lisamisega.

E-riigi laiem mõte seisneb selles, et inimeste elu on mugav ja turvaline. Mugavuse pealt ei tahaks ohverdada turvalisust ja usaldusväärsust, mida on raske võita, ent väga kerge kaotada.

Margus Arm
RIA elektroonilise identiteedi osakonna juhataja