RIA juht Margus Noormaa: e-riigi areng sõltub poliitilistest otsustest

Riigikontrolör Janar Holm ütles eelmise nädalal Postimehes, et e-riigi strateegiline eesmärk ei saa olla olemasolevate süsteemide putitamine, vaid progress. Tema nägemus riigist kui arhitektist, mitte sanitaarremondi tegijast, on igati asjakohane ning ka ootuspärane.

Küberruumis on kõik riigid teineteise naabrid, mistõttu tuleb osata kaitsta end mahukate rünnakute eest. FOTO: RIA

Digiriigi eesmärk peab olema ambitsioonikas. Praegu on meie prioriteet hoida ja kaitsta tehtut, kuid soov luua uusi ja paremaid võimalusi ei ole kuskile kadunud. Lihtsalt nende eesmärkide seadmine ja saavutamine eeldab tugevat poliitilist soovi ja tuge.

Oleme 20 aasta jooksul üles ehitanud turvalise ja mugava e-ühiskonna, mille sarnast mujal maailmas ei leia. Selle aja jooksul oleme andnud 1,3 miljardit digiallkirja ning e-teenustesse logitakse e-identiteedi vahendiga ca 5 miljonit korda kuus. Meil on riigi ja eraettevõtluse peale kokku üle 5000 unikaalse e-teenuse ning eesseisva kohalike valimiste ajal saame anda juba 12. korda e-hääle.

E-riigi selgroo X-tee kaudu tehakse kuus juba üle 200 miljoni päringu ning selle turvalise andmevahetuse kiirteega on liitunud üle 600 ettevõtte ja asutuse. Rohkem kui 90% riigiasutustest kasutab turvalist ja kiiret internetiühendust, mida pakub RIA riigivõrk. Võrguliiklust ja seal taga olevaid seadmeid jälgib 24/7 töötav riiklik intsidentide lahendamise tiim CERT-EE, kes registreerib aastas tuhandeid intsidente ning hoiab ära kordades rohkem süsteemidesse pääsemise katseid.

Praegune õigusruum on võrreldes 10 ja 20 aasta taguse ajaga oluliselt muutunud. 2018. aastal vastuvõetud küberturvalisuse seadus andis meile paremad võimalused riigina sekkuda ja aidata ettevõtteid intsidendi korral. Selged nõuded teevad asutuste elu lihtsamaks – neile on teada, mida neilt oodatakse.

Sõltuvus muudab meid haavatavaks

Eesti digiriigi tervis on päris hea. Riik ei ole kannatanud küberrünnakute tagajärjel olulise mõjuga kahjusid nagu USA, Suurbritannia või mõni teine suurriik ning Eesti inimesed usaldavad ja kasutavad e-teenuseid. Meie vähene puutumus ülemaailmsetest küberrünnakutest ei ole tingitud üksnes heast võimekusest süsteemi kaitsta, vaid sellest, et võrreldes suurriikidega ei ole me veel nii ahvatlev saak.

Miks peaks kurjategija murdma maha hästi kaitstud ust, kui on olemas avaus, mille kaudu pääseb lihtsamalt sisse. Kui uksi aga korralikult ei lukustata ega kaitsta, siis varem või hiljem saab meist sihtmärk. Seega on aja küsimus, millal kurjategijad meieni jõuavad ning selleks, et ellu jääda, tuleb ettevalmistusi teha juba täna. Õpime teiste vigadest.

Meie vähene kokkupuutumine ülemaailmsete küberrünnakutega on tingitud ka sellest, et suurriikidega võrreldes ei ole me veel nii ahvatlev saak.

Eesti muudab haavatavaks suur digiteenustest sõltuvus. IT ei ole täna tugiteenus, vaid digitaalsed lahendused on põimunud igasse elu valdkonda, aidates asju teha kiiremini, mugavamalt ja odavamalt. E-pangandus ei ole lihtsalt mugavus, vaid see ongi peamine viis, kuidas pank ja kliendid asju ajavad.  Ilmselt ei ole Eestis ühtegi valdkonda, kus ei oleks kasutusel digitaalseid lahendusi. Seetõttu oleme kogenud e-teenuste kasutajatena muutunud mugavaks ja nõudlikuks. Oleme pahased, kui mobiil-ID teenus on pool tundi häiritud või kirume riigijuht ja -asutusi, kui ei pääse pärast esimesi katseid digiregistratuuri, teades, et seda proovib samal ajal teha pool Eesti elanikkonnast.

Oleme unustanud, milline oli asjaajamine enne digiallkirja ja e-teenuste saabumist. On päris raske ette kujutada, kuidas muu maailm veel tänase päevani allkirjaga dokumente faksiga edastab. Kõik see pahameel on suuresti õigustatud, selline peabki olema nõudliku digiühiskonna suhtumine, sest mistahes digiriigi tagasilöögi puhul saab häiritud paljude inimeste elu. Oleme seda häiritust näinud korduvalt ka tervisekriisi lahendamise ajal.

Poliitilised otsused peavad toetama IT arengut

20 aastaga ehitatud süsteemid vajavad pidevat hoolt ja edasiarendamist. Täna sõltume digiriigi arendustes peaasjalikult Euroopa Liidu erinevateks projektideks ja toetusteks mõeldud rahast. Keeruliseks teeb olukorra see, kui seda raha ei õnnestu planeeritult saada või kui puuduvad võimalused vajaliku omafinantseeringu katmiseks. Rääkimata iga IT-arendusega vältimatult kaasnevatest püsikuludest. Ja rõhutamata infoturvet, mis on tänasel päeval lahutamatu osa kõigis IT-valdkonna tegemistes.

Ettevõtlus- ja infotehnoloogiaministri portfeli on tänavu jaanuarist reformierakondlase Andres Suti hoida. FOTO: Sander Ilvest

Seetõttu on ülimalt oluline, kuidas suhtuvad küberturvalisuse tagamisse meie riigi esindajad, ettevõtete juhid ning poliitika ja avaliku arvamuse kujundajad. Ja kuidas see seisukoht avaldub tegudes – otsustes ja eelarves.

Täna kuulub ettevõtlus- ja IT-ministri portfelli hulka erinevaid olulisi valdkondi alates transpordist kuni energeetikani välja. IKT-ga seotud küsimused on ühed paljude seast. Kui meie eesmärgiks on jätkuvalt edasi arendada e-riigi võimalusi, pakkuda maailma tasemel turvalisust ning olla seejuures teistele riikidele teenäitajaks, siis võib jääda väheks, kui IT on portfelli üks osa, vaatamata portfelli omaniku võimekusele. IT vajab tõhusamat esindatust poliitilisel tasandil valdkondliku ekspertiisi tasemel. Nii oskaksime riigina paremini hinnata otsuste mõju infosüsteemidele, sest suur osa otsustest on seotud IT-lahendustega. Digiriik on meie loodusvara ning see väärib suuremat tähelepanu. IT-ministeerium looks eeldused, et IKT valdkonna teemad on pidevalt ja läbivalt valitsuse tasandil parimal võimalikul moel esindatud.  

Aeg on küsida, kas digiriik saab Eestis sama palju tähelepanu kui väljaspool riigipiire.

Täna oleme veel paljudele riikidele eeskujuks ning meie saadikud on nõutud eksperdid, kes aitavad ehitada küberkogukonda erinevates maailmajagudes. Sügisel avab Dominikaani vabariik meie ekspertide vedamisel Ladina-Ameerika ja Kariibi mere piirkonna küberoivakeskuse. Botswanas aitasime nullist üles ehitada sellist riiklikku küberintsidenntide käsitlemise üksust nagu meie CERT-EE. Need on vaid mõned näited paljude seast, kuhu RIA panustab, rääkimata Eesti riigi kui terviku pingutustest.

Aeg on küsida, kas digiriik saab Eestis sama palju tähelepanu kui väljaspool riigipiire. Turvalise ja areneva e-riigi fassaadi tekivad tasapisi mõrad, kui sisemus jääb tähelepanuta.

Margus Noormaa
Riigi Infosüsteemi Ameti peadirektor

Artikkel ilmus 27. mail 2021 ajalehes Postimees.

X-tee liikmete üle tuleb tõhustada kontrolli

Riigikontroll kinnitas täna avalikustatud X-tee auditiaruandes, et RIA on küll taganud X-tee töökindluse, kuid ootab asutuselt suuremat kontrolli kasutajate turvameetmete rakendamise üle.

RIA andmevahetuse osakonna juhataja Joonas Heiter. Foto: Grete Kivi/RIA

Audit toob välja, et X-tee teenustes on viimase kolme aasta jooksul olnud üks olulise mõjuga katkestus, mis on tingitud kesksete komponentide veast. RIA on selgitanud välja ja hinnanud X-tee töökindlust ohustavad olulisemad riskid ning töötanud riskide maandamiseks välja meetmed, millest mitmeid ka rakendatakse.

Kriitilisemad ollakse lepingute sõlmimise ning väljatöötamata kontrollimehanismi suhtes. Näiteks mitmetel juhtudel ei ole X-teel andmeteenust pakkuvad asutused sõlminud teenuse kasutamise kokkuleppeid, või kui need siiski sõlmiti, ei teinud ükski auditeeritud riigiasutustest kokkuleppe eel kindlaks, kas eraettevõtjad rakendavad piisavaid meetmeid turvariskide maandamiseks, et tagada andmete terviklus, konfidentsiaalsus ja käideldavus. Puudub ka kontroll eraõiguslike liikmete üle.

Üldsõnaline määrus jätab tõlgendamisruumi

Kuigi X-teed kasutusele võtvad asutused peavad rakendama infoturbega seotud riskide maandamiseks vajalikke meetmeid, on selgitamata jäetud, milliseid turvameetmeid ja millisel tasemel tuleks rakendada. Valitsuse määrusega „Infosüsteemide andmevahetuskiht“ on X-teele kehtestatud nõuded kohati üldsõnalised ning võimaldavad mitmeti tõlgendamist.

Ehkki RIA ei ole X-tee kohta eraldi talitluspidevuse plaani koostanud, on turvalise andmevahetuse püsivaks toimimiseks võetud kasutusele meetmeid ning muudes dokumentides sätestatud nõudeid talitluspidevuse tagamiseks. Auditis nimetatakse puudusteks ebaregulaarset testimist ja nende dokumenteerimata jätmist.

Tuginedes eeltoodule on riigikontroll teinud RIA-le järgmised ettepanekud:

  • Muuta vabariigi valitsuse määrust selliselt, et kehtestatud nõuded on täpsemad ja arusaadavad nii, et andmeteenuse osutajatel oleks võimalik neid nõudeid rakendada ja RIA-l nende rakendamist kontrollida.
  • Töötada välja vajalikud juhendid määrusest tulenevate nõuete rakendamiseks ja korraldada X-teed kasutavatele asutustele vajalikud koolitused.
  • Hinnata andmeteenuse kasutamise lepingute sõlmimata jätmisest tulenevaid riske andmekogude turvalisusele ja võtta kasutusele neid riske maandavad tegevused.
  • Kaaluda andmeteenuse kasutamise kokkulepete sõlmimise ja taotluste halduse funktsionaalsuse lisamist, et muuta X-tee portaali andmeteenuste avamine ja kasutamine senisest vähem bürokraatlikuks.
  • Töötada välja X-tee teenuseid kasutavate eraõiguslike juriidiliste isikute kontrollimise süsteem, et tagada andmete terviklus, konfidentsiaalsus ja käideldavus.
  • Korraldada regulaarselt X-tee kesksete komponentide taastetestimisi ning neid dokumenteerida.

Andmevahetusosakonna juhataja Joonas Heiter:

Võtame Riigikontrolli auditi järeldusi ja ettepanekuid tõsiselt selleks, et X-teega seotud protsesse paremaks muuta ning tõsta veelgi X-tee usaldusväärsust. Kuivõrd Riigikontrolli audit algas eelmise aasta kevadel, siis mitmed ettepanekud oleme juba töösse võtnud ning algatanud arutelusid ka teiste ettepanekute osas lahenduse leidmiseks. Näiteks on X-tee iseteeninduskeskonda plaanis luua andmevahetusteenuse kokkuleppe üldine põhi. Samas ei tohi ära unustada, et igale X-tee liikmele peab jääma õigus otsustada, kellele, kas ja millistel tingimustel ta oma andmeid jagab ning andmeteenust pakub. Seega jääb ka edaspidi X-teel andmevahetuse üheks eelduseks pooltevahelise andmevahetuskokkuleppe olemasolu ning selle peavad omavahel sõlmima andmeid vahetada soovivad X-tee liikmed. Kõigil X-tee liimetel on kohustus võtta kasutusele vajalikud turvameetmed ning hoolitseda andmete käideldavuse ja konfidentsiaalsuse eest. Samuti kinnitasime audiitorile, et dokumenteerime edaspidi korrektsemalt taasteteste. Tutvu riigikontrolli auditiga Riigikontrolli kodulehel.

Helen Uldrich
RIA kommunikatsioonijuht

RIA andmevahetuse osakond on võrreldav elusloodusega

RIA andmevahetuse osakond. Fotod: Seiko Kuik/RIA

Riigi infosüsteemi ameti andmevahetuse osakond (AVO) – äratuntavalt eriilmelistest, aga lähemal vaatlusel teineteisega tihedas sümbioosis toimivatest rakukestest moodustunud elav masinavärk.

Nii nagu riigi valitsemine jaguneb erinevate ministeeriumide ja neid juhtivate ministrite haldusaladeks, jagunevad ka vastutusvaldkonnad meie digiriigis erinevate osaliste vahel. Neil kõigil on vaja oma funktsioonide efektiivseks täitmiseks koguda ja töödelda hulgaliselt andmeid nii oma infosüsteemides kui neid andmeid omavahel turvaliselt ka vahetada.

Siinkohal tulebki mängu AVO, mis sündis 2018. aastal, kui osakonna ülesanded ja eesmärk said selgemaks. Toona oli mõistlik muuta ka nimi andmevahetusosakonnaks. Seni andmehalduse osakonna nime kandnud üksusega liideti mitu seni teistes osakondades paiknenud ülesannet. Meeskonnaga liitus erasektorist tulnud töötajaid ning andmevahetuse osakonna töö klientide äri õnnestumise nimel sai hoogsalt jätkuda.

RIA pakub ja vastutab paljude teenuste eest ning portfell on suur. AVO alustekstiks ja eeposeks, millest kõik alguse sai, on kahtlemata andmevahetuskiht X-tee, millega AVO pakub oma klientidele võimalust andmeid turvaliselt ühest infosüsteemist teise liigutada. Näiteks saavad liikluspolitseinikud tänu X-teele turvaliselt ja liigse bürokraatiata sinu juhtimisõigust kontrollida, aga ka sa ise perearsti antud retsepti apteegist välja osta või e-töötukassast kiirelt ja mugavalt toetust taotleda.

Samuti kuulub andmevahetuse osakonda turvalist, hajusat ja läbipaistvat e-riiki efektselt illustreeriv Andmejälgija, mis võimaldab inimesel näha, kes ja millistest infosüsteemidest on tema andmeid vaadanud. See käik annab inimestele suurema kontrolli oma andmete üle.

Kõikidest „riigi infosüsteemi“ mõiste alla koondunud ja praegu juriidilise konstruktsiooni „andmekogu“ alla paigutuvate infosüsteemide metaandmetest (andmetest andmete kohta) annab võimalikult ajakohase ja usaldusväärse ülevaate riigi infosüsteemi haldussüsteem (RIHA).

Mõistagi ei soovi võimalikult efektiivset digiriiki üles ehitades keegi jalgratast leiutada, kui see naaberkülas juba kasutuses on. Topelttöö on kallis ja ebaefektiivne. Seepärast lisandus osakonna teenuste paletti hiljuti koodivaramu.eesti.ee keskkond, kus avalik sektor saab avaldada oma e-teenuste arendusprojektide lähtekoodid. Nii kasvab e-riigi läbipaistvus ning soodustame avaliku ja erasektori koostööd. Kui eriolukorras tekkinud vajadus sünnitas uue võimaluse RIA-l oma partneritega turvaliselt suhelda, siis üsna pea sai igaühele võimalikuks sellesama AVO hallatava vestlus.eesti.ee keskkonna kaudu turvaliselt saata sõnumeid ning pildi- ja tekstifaile. Suure mahuga failide turvaliseks vahetamiseks tasub aga kindlasti kasutada failivahetuskeskkonda sahver.eesti.ee.

Andmevahetuse osakonna vägesid juhib Joonas Heiter, kelle sõnul lisandub lähiajal osakonna pakutavate teenuste hulka ka nõusolekuteenus. See annab inimesele võimaluse anda mõne ägeda e-teenuse tarbimisel nõusolek kasutada neid andmeid, mis riigil inimese kohta juba olemas on. Näiteks immuniseerimispassi kasutamiseks või personaalse elukindlustuspoliisi pakkumise saamiseks.

AVO panustab tänavu värske projekti, sündmusteenuste õnnestumisse. Sündmusteenus aitab näiteks lapse sünni või abiellumisega kaasnevad mitme haldusala teenused kasutaja jaoks tervikuks liita. Inimene ei pea tegema kümneid klikke, taotlusi ja allkirjastamisi, vaid kõik see tehakse taustal inimese eest ära. Nii on kodaniku ja riigi infovahetus selgem ja efektiivsem. Praegu käib töö, et eesti.ee riiklik postkast saaks uue välimuse ja koodi ning nüüdisaegsema arhitektuuri.

Töö ei saa kunagi tehtud ega otsa

Meeskonna juhi Joonas Heiteri sõnul on andmevahetuse osakond tulemustele orienteeritud ja niisama istumise eest keegi auhindu ei jaga – töö peab tehtud olema. „Aina kiiremini arenevas e-riigis on ikka hetki, kus mõni projekt saab punkti. Need hetked on väga vajalikud, sest siis on meeskonnal aega, et areneda. Eneseareng on see, mis viib edasi nii inimesi kui ka uusi projekte,“ sõnas Heiter. Ta lisas, et meeskond suhtleb nii suurte huvigruppide kui ka konkreetsete projektide arendajatega. „Klientidega suhtlemist on palju ning tuleb pilk peal hoida, mis toimub e-teenustes laiemalt. Näiteks kiirelt arenevate e-teenuste tuules jälgime, et kõige aluseks olev X-tee oleks jätkuvalt töökindel ja ajakohane.“

Ta tõdeb, et nad üritavad koosolekuid võimalikult vähe pidada, kuid eriolukord ja pidev kaugtöö aitasid kolleegidel jõuda arusaamisele, et kord nädalas on siiski hea üksteisega töövõite ja rõõme jagada. „Nii ei jää me võõraks.“

„Kui rääkidagi töövõitudest, siis AVO viimase aja suuremad saavutused on elukaare lõppfaasi jõudnud teenuste edukad sulgemised. Nii sai lõpuks otsustavalt ajalooõpikute kaante vahele suletud X-tee versioon 5 ning eelmise aasta viimasel päeval suleti ka aastate jooksul juba (kuri)kuulsaks saanud taakvara vana.riha.ee keskkond,“ meenutab Heiter.

Rakukestest elujõuliseks organismiks

Osakonnast rääkides toob Joonas võrdlusi elusloodusega. „Andmevahetuse osakond koosneb 15st mõnevõrra erineva talitlusega rakust, mis loovad töötava masinavärgi, organismi. Kolleegidest igaüks on silmapaistev oma valdkonnas. Meeskonnas on nii valjuhäälsemaid rügajaid kui ka varjuhoidvaid halle kardinale,“ ütles Heiter. Tema sõnul on tagab selline eriilmeliste rakukeste kooslus osakonna elujõulisuse ja võimaldab hea enesetundega järjest suuremaid eesmärke saavutada. „Ma arvan, et igas meeskonnas on suurelt mõtlevaid filosoofe ja kärsituid hingi, kes otsivad lahendusi Eesti elanike muredele. Vahel tuleb osa kõrgelennulisi mõtteid ajutiselt jõuga reaalsusesse ankurdada, nii need laagerduvad ja ootavad õiget hetke. Samas ei mõtle keegi nii, et „aga alati on nii olnud…“.

Heiteri sõnul tagavad osakonna hea ja rõõmsa sisekliima mitmed ühised rutiinid. „Üks on kindel – igat suuremat ja vahel ka tillukest sündmust tähistame kringliga. See rada on sisse tallatud ning see komme ei unune. Kringli söömiseks kogunetakse aeg-ajalt täiesti vabatahtlikult ka väljaspool tööaega,“ meenutab Heiter.

Heiter näeb iga päev, et osakonnas ei ole igavusel kohta – tiimi kollektiivne kogemustepagas on piisavalt suur ja värvikas, et sealt saab võtta erinevaid lugusid nii meeleolu tõstmiseks kui ka õpetussõnade jagamiseks. „Vähemalt sama rikkalik on osakonnas töötavate inimeste hobide ring, alustades arvutimängudest ja lõpetades vehklemisega. Sinna vahele mahuvad mitmed maailmapilti avardavad tegevused. Lõunalauas kuuleb jutte jalgpallist, jalgrattaspordist, värsketest raamatutest, linateostest, investeerimisest, invaspordist, õpetamisest ja tervislikust toitumisest,“ loetleb ta.

Juba kolmandat aastat järjest selgitab osakond välja ka kõige kiirema töötaja kardisõidus. „Naljaga pooleks on lühendil AVO ka teine, mitteametlik tähendus, omakeskis nimetame endid autovahetuse osakonnaks – juhul kui keegi soetab uue neljarattalise, annab see nädalateks jutuainet puhkepausidel ja viib teistelgi mõtted uuele autole. Ja head mõtted viivad ka tegudeni,“ ütleb Heiter.

„Andmevahetuse osakonnas ongi hea töötada just tiimi pärast. Nad on jõudnud punkti, kus tööl käimine ei ole tüütu rutiin, vaid võimalus suhelda tuttavate ja asjalike inimestega, kellega leiab teemasid, mida arutada, ja kellega saab muresid jagada või võimatuna näivaid tegusid korda saata. Osakonda on koondunud inimesed, kelle silmad löövad värskeid ideid kuuldes särama ja kes selle motiveeritult ka reaalsuseks muudavad,“ iseloomustab Joonas Heiter oma meeskonda heade sõnadega.