Tag Archives: riigiportaal

Küsimused ja vastused: RIA infopäeva teine päev 18.11.2020

RIA koostööpartnerite virtuaalse infopäeva teisel päeval keskenduti suuresti küberturvalisusele ja infoturbele, kuigi alustati siiski ühtsest digiväravast ja riigiportaalist eesti.ee. Kõik esitlused on järelevaadatavad RIA Youtube’i kanalil. Vastame kirjalikult vaatajatele tekkinud küsimustele.

RIA koostööpartnerite virtuaalset infopäeva modereeris ajakirjanik ja saatejuht Eeva Esse. Fotod: Kertu Kärk/RIA

SDG, artiklivaramu ja riiklik postkast, Raimo Reiman

Kas 2021. aastal hakkab RIA asutuste eest nende teenuste kasutust mõõtma? Mil moel seda tehniliselt tehakse?
RIA hakkab koos MKMiga koos raamistikku looma, et teenuste tarbimise statistika automaatselt teenuste kataloogi jõuaks.

Milliseid numbreid näitab 2020. aasta tagasiside ja analüütika? Kuidas on olukord Eestis võrreldes teiste EL riikidega?
Riigiportaali rahulolu on kõrge, teiste riikidega võrdlusmoment hetkel puudub, tuleb koos SDG rakendumisega.

Kes artiklivaramut modereerima hakkab, et sinna lisatud info oleks ka ühtse stiiliga ja keeleliselt õige?
Vastutus sisu eest on teabevaldajal, eesti.ee-s olevaid artikleid jäävad modereerima RIA toimetajad.

Kui paljud inimesed üldse on oma riikliku postkasti ära suunanud, et riigi kirju kätte saada?
450 000. Tegeleme sellega, et @eesti.ee aadressile saaksid kõik asutused kirju saata ning inimestel oleks alati üks koht, kus kindlasti kogu riigi kommunikatsioon olemas on.

Kas Artiklivaramu ja (eestikeelse) Wikipedia vahel on mingi põhimõtteline vahe?
Artiklivaramu hoiab infot riigi teenuste kohta ning nende vahelisi seoseid.

Millal kättetoimetamise teenus kasutusele võetakse (st asutus saaks teada, kas on sõnum kohale jõudnud)?
Juba praegu on võimalik saata @eesti.ee aadressi suunanud inimestele avamiskinnitamisega dokumente. Kättetoimetamiskeskkonna edasiarendustega alustame aastal 2021.

Kas Facebooki kaudu teavituste saatmise potentsiaalsed riskid ja ohud on ka korralikult kaardistatud? #cambridgeanalytica #jälgimisühiskond. Facebooki huvid on riigi huvidest väga erinevad.
Selleks on meil alternatiivsete kanalite analüüs, kus oleme ka infoturbe ohte kaardistanud.

Soovitan Kohustuste Kalendri asemel kasutada midagi pehmemat, nt Võimaluste Kalender vmt. Samuti Kättetoimetamiskeskkonna asemel midagi personaalsemat, nt “Sulle” vmt.
Nõus!

eesti.ee kasutajate rahulolu-uuring, Raimo Reiman

Millal hakkab eesti.ee artiklivaramut ise kasutama?
Eesti.ee juba kasutab artikleid sellisel kujul nagu nad artiklivaramus on, tegeleme sellega, et sisuhalduse kasutajaliides ka partneritele kasutatav oleks.

Kas kättetoimetamisteenust saaksid tulevikus kasutada ka omavalitsused (või on see mõeldud vaid riigile teadete edastamiseks kodanikele/ettevõtetele).
Omavalitsused saavad juba praegu @eesti.ee süsteemi teavituste edastamiseks kasutada.

Millised tegevused sellele uuringule nüüd järgnevad?
Kasutame sisendina ettevõtja ja eraisiku vaate ning riikliku postkasti lahenduste parandamiseks.

Milline on eesti.ee 5 aasta pärast?
Automaatne ja taustal toimiv süsteem, mis aitab riigi info ja teenused kokku tuua kasutaja jaoks eelistatud kanalis.

Millal eesti.ee vana kujundus lõplikult kaob?
2021. aasta lõpuks.

Millal see ettevõtjate ühtne portaal valmis saab?
Ettevalmistavad tööd on alanud, soovime 2021. aasta jooksul esimeste lahendustega avalikuks tulla.

Mis on EU CyberNet, Siim Alatalu

Kuidas seda küberabi koroonatingimustes võimalik anda on?
See on naelapea pihta küsimus. Koroonaviirus tegelikult ei peatanud Euroopa Liidu abiprojektide tööd. Meie enda inimesed RIAstki on jätkanud teiste riikide nõustamist. Nüüd on need toimunud peamiselt virtuaalses vormis. Projektid kohandusid kiiresti ja ma arvan, et online-kursused jäävad toimuma ka järgmistel aastatel. Kõik eksperdid siiski ootavad võimalust minna reaalselt kohapeale ning inimestega näost näkku suhelda, sest seda ei asenda miski.

Kui palju teil juba eksperte või taotlusi ekspertidelt on?
Ma numbrit siin ei ütle, aga eesmärgini 500 liigume täna mind rahuldavas tempos.

Kui ELil juba mitu teist sarnast projekti on, kas siis EU CyberNet pole üleliigne?
EU CyberNet ei ole üleliigne. Selle järelduseni jõudsid Euroopa rahvad juba eelmisel aastal, et sellist projekti on vaja. Aga nali naljaks. Nagu võisite näha, erinevad EL projektid tegelevad teatud niššidega ning EU CyberNeti ülesanne on tekitada nende vahele kooskõla ja koherentsust. Teised projektid võivad kasutada meie andmebaasi omale parimate ekspertide leidmiseks.

Mis olid kõige suuremad katsumused projekti loomise juures?

Ma tahaks loota, et katsumused alles tulevad. Nagu iga projektijuht teab – kõik algab inimestest, kõik algab ajast ja kõik algab rahast. Ma usun, et see projekt on kõigis neis nurkades hästi kaetud.

Kas Venemaa küberturbe eksperdid on samuti projekti kaasatud?
Nagu ma vihjasin, riigid, kellele heidetakse ette teiste ründamist, neil kahtlemata Euroopa Liit paremaks muutuda ei aita.

Kas igaüks, kes valdkonda tunneb, võib eksperdiks hakata ja millised on sellega kaasnevad hüved?
Suurim hüve, kui oled motiveeritud ja vabatahtlik, on võimalus muuta maailma. Sa saad minna kohapeale ja reaalselt aidata mõnel riigil saada vähemalt sama küberturvaliseks kui Eesti. Kui mõelda praktilistele meetmetele, siis kõigi ekspertide lähetusi rahastab Euroopa Liit vastavalt oma tingimustele.

Projekti raames on valmimas tehniline multifunktsionaalne platvorm. Mis funktsionaalsused sellel platvormil olema saavad?
EU CyberNeti tehniline platvorm kujuneb projekti nö online koduks. Selle eesmärk on aidata nii ehitada üleeuroopalist küberekspertide kogukonda ehk tuua kokku eksperdid omakeskus. Sama oluline on aidata ka viia kokku ekspertiisi nõudlus ja pakkumine ehk eksperdid konkreetsete väljaõppemissioonidega. Platvormile saavad isikliku ligipääsu nii eksperdid kui ka üleeuroopaline küberasutuste kogukond ehk EU CyberNet Stakeholder Community. Platvormi arendatakse spetsiaalselt meie projekti jaoks.

CERT-EE, Eesti küberruumi valvur. 2020/2021 suurimad küberohud, Tõnu Tammer

Millistest riikidest meid kõige rohkem rünnatakse?
Seda on keeruline öelda, sest internetis paistab välja vaid riik, kust tuleb ründav pakett. Millises riigis arvuti taga istub ründaja, kes teises riigis asuvat serverit kasutab, on raske pelgalt paketti vaadates tuvastada.

Mis on pahavaralevitajate peamine eesmärk? Kui mu lapse arvutisse see satub, siis ehk ei saa see palju kurja teha?
Peamiselt leviv pahavara teeb kaht: varastab arvutist andmeid ning loob ründajale võimaluse kasutada arvutit edaspidi järgmisteks pahatahtlikeks tegevusteks. Kui pahavara sattub lapse arvutisse, siis esimese asjana tuleks arvestada, et pahavara varastab ära erinevad arvutisse salvestatud paroolid.

Kui sageli rünnatakse poes ostetud seadmete abil. Näiteks akupanga või USB-klaviatuuri abil?
Enamik kodus olevatest tehnilistest lahendustest ja seadmetest on ostetud ning seadmete soetusviis antud kontekstis oluline ei ole. Kuigi teoorias on ründed ühe või teise seadme abil võimalikud, ei ole viidatud seadmed otse ühendatud internetiga. Pigem tuleks olla tähelepanelik nende seadmete soetamisel, millel on internetti ühendumise võimekus (nt WiFi kaamera).

Milline on Tõnu jaoks kõige keerulisem või värvikam intsident?
Viidatud Eestis toimunud intsident leidis kajastust hiljuti meedias.

Kuidas CERT-EE näeb pankade tegevust õngitsusrünnakutega seoses – enamus õngitsuslehti paistab olevat suunatud panga klientide püüdmiseks – mida teeb RIA vs pangad nende lõppemiseks?
Riigi Infosüsteemi Amet hoiatab pidevalt erinevatest internetis levivatest skeemidest. Samuti oleme korraldanud mitu küberteadlikkuse tõstmise kampaaniat ning jätkame ühiskonna teavitamist ka edaspidi. Samuti oleme jaganud avalikult soovitusi, mille abil on ettevõtetel võimalik oma head nime sh. domeeni kaitsta võltsimise eest. Selleks, et saavutada hea küberturvalisuse tase on ühest küljest vaja tehnoloogiliste standardite ja parimate praktikate rakendamist kui ka inimeste teadlikkust ja tähelepanelikkust.

Kas kõigist ohtudest ja rünnakutest nii teadlik olles vahel endal hirmus ei hakka?
Hirmul ei tohi lasta võitu saada ning selle asemel, et muretseda ühe või teise teema pärast on palju mõistlikum võtta see aeg ning teha endal mõni asi paremaks. Üks praktiline tegevus, mis tasuks ära teha oleks paroolihalduri kasutusele võtmine ning kõikides kasutatavates keskkondades paroolide vahetus. Sedasi on kindel, et igale poole saab unikaalne ja pikk parool, mida peab meeles paroolihaldur.

Kas oled ise ka mõne küberrünnaku ohvriks sattunud?
Jah, minu krediitkaardi andmed on varastatud/lekkinud 3 korda.

Millistel äämuslikel juhtudel RIA soovitab lunavara nõude välja maksta? (Tulenevalt esineja väitest)
Me ei soovita kunagi lunaraha maksta. Ennem kui ründajaga suhtlusesse laskuda tuleks ühendust võtta CERT-EE-ga, kes oskab tuge pakkuda tekkinud olukorras.

Kui ajakirjanik Eeva saab oma postkasti tundmatu kirja, ja ta peab selle avama sest tegemist võib olla hea vihjega, siis kuidas ta saab veenduda, et tegemist ei ole viirusega?
Selleks, et oma arvutit kaitsta on oluline regulaarselt paigata operatsioonisüsteemi, brauserit, e-postitarkvara ning teisi arvutis olevaid tarkvarasid. Igapäevaselt peab uuendama antiviiruse tarkvara tuvastuse signatuure ning soovitame antiviiruse tarkvarade puhul kasutada ka tootja teadmusbaasi põhist kontrolli. Juhul, kui kahtlus võimaliku pahavara olemuse kohta püsib, soovitame pöörduda CERT-EE poole või kasutada meie pakutavat avalikuks kasutamiseks mõeldud pahavara süvaanalüüsi keskkonda Cuckoo: https://cuckoo.cert.ee

Milline on aasta 2020 suurimat kahju tekitanud küberintsident, mis tekitas Tõnu näole avapildil näidatud ilme?
Viidatud Eestis toimunud intsident leidis kajastust hiljuti meedias.

Kas iOS vajab antiviirust? Kui jah, siis palun soovitusi.
iOSile on võimalik antiviiruse tarkvara paigaldada. Tulenevalt iOS toimimise loogikast ei ole antiviirus iOS seadmetel samaväärselt tõhus kui mujal. Kuid iOS seadmete keskkonnas on pahavara levitamine ka keerukam, sest rakendusi või äppe saab paigaldada vaid Apple App Store vahendusel ning Apple kontrollib ka levitatavaid rakendusi.

Küberkuu 2020. ja 2019. aasta IT-vaatliku kampaania kokkuvõte, Lauri Tankler

Millal tuleb uus IT-vaatliku kampaania ja kellele see suunatud on?
Järgmine kampaania on suure tõenäosusega suunatud Eesti venekeelsetele elanikele. Kõik ajakava ja sisu veel täpsustub.

Kas teid saab kutsuda ka asutusse töötajaid koolitama?
Küsida võib ikka, eks siis arutame RIAs, kas või kuidas kellelgi aega on. Kampaaniate ajal on ehk vast isegi lihtsam inimesi endale kooli meelitada. Aga pigem soovitaksin küsida otse mõnelt oma tuttavalt küberspetsialistilt, kas ta võiks tulla teile koolitust tegema.

Kuidas seletada vanaemale või 5-aastasele lapsele, et mis asi on küberturvalisus?
Hea võrdlus oleks oma majaga: kui sa head ukselukku ei pane, siis võivad sisse tulla inimesed, keda sa ei taha sinna. Kui sa mõne aja tagant oma katuse läbilaskmist ei kontrolli, siis võib ühel hetkel vihma hakata läbi sadama. Ja kui sul ei ole akende ees kardinaid, näevad mööduvad inimesed sulle tuppa sisse. Kõik see kehtib ka küberruumis: paroolid on lukud, uuendused aitavad su arvutil tõrjuda välisvaenlasi, ja privaatsussätted on su kardinad akende ees.

Mida lisaks kampaaniatele inimeste teadlikkuse suurendamiseks teete?
RIA jagab perioodiliselt informatsiooni ohtude kohta küberruumis – iga kuu, kvartal, aasta – ning ka siis, kui parasjagu mingi suurem küberoht meid varitseb. Meid võib jälgida sotsiaalmeedias ja püüame pidevalt ka oma hoiatavate näidetega ajakirjanduses pilti saada.

Kas on võimalik saavutada olukord, kus kõik Eesti inimesed on IT- vaatlikud?
Kuna turvalisus ei ole kunagi lõplik, ei ole ka kõik inimesed lõpuni turvateadlikud. Kõik inimesed on mingil määral niikuinii oma elus ettevaatlikud, ka it-vaatlikud, kuid iga väiksemgi proaktiivne tegevus selle turvalisuse tõstmiseks tuleb kasuks.

Kas CIS20 on ka mõeldud pigem just 0, 1 kuni 100 töötajaga ettevõttele?
CIS20 on mõeldud ettevõtetele, kellel on töötajaid, keda koolitada; arvutisüsteeme, mida hallata; teenuseid, mis on IT-lahendustega. Seda raamistikku peaks saama kasutada ettevõte nii 10 töötajaga, kui ka 20000 töötajaga. Loe lähemalt https://www.cisecurity.org/controls/

Kas vanaema, kel on nuputelefon ja arvutis loeb vaid ajalehti, peaks ka IT-vaatlik olema?
Kui vanaema arvutis ei ole brauser uuendatud, millega ta lehti loeb, võib tema arvutisse sattuda pahavara. See võib omakorda teha palju pahandust kohalikus arvutivõrgus või hakata ründama teisi süsteeme üle interneti. Seega jah, kõik arvutit ja internetti kasutavad inimesed peaksid vähemasti teadma, et mõned küberturvalisuse teemad on olulisemad kui teised.

Kas on plaanis ka e- valimistega seotud teadlikkuse koolitusi?
Seda tuleb veel vaadata ja kaaluda, sest iga selline teema nõuab eelarvet. E-valimise õpetamist on vaja üha vähem, sest inimesed on Eestis sellega juba niivõrd harjunud ning aitavad ka üksteist. Küll aga peame vajalikuks toonitada, et hea oleks hääletada oma arvutist, mille puhul sul pole kahtlust, et see oleks nakatunud mingi pahavaraga. Küll me leiame võimaluse seda sõnumit levitada.

Kas RIA teeb koolituste osas koostööd ka HTM-ga, et küberturbe küsimused oleksid kooli õppekavades sees?
Haridus- ja teadusministeeriumi all tegutsev Harno (mille koosseisu liideti ka varasem Hariduse Infotehnoloogia Sihtasutus HITSA) pöörab küberturvalisusele koolides palju tähelepanu ning see küsimus on kindlasti üks, mis neil on kaalumisel. Küsimus on siis pigem selline: kas küberturvalisus peaks olema eraldi õppeaine, läbiv teema või mõlemat. Iga uuema valdkonna õppekavadesse liitmine peab tähendama ka seda, et keegi oleks võimeline neid aineid õpetama. Kui seda teha pelgalt kohustuse pärast, ei pruugi sellest head nahka tulla.

Öeldi, et avalikule sektorile võimaldatakse testi tegemist, see on puhas vale! ETO-d on samuti avalik sektor, kuid ETO-le keelduti testi võimaldamisest!
Eeldan, et juttu on Küberhügieeni Digitestist. DigiTest on suunatud eelkõige valitsussektorile, sh valitsusasutused, põhiseaduslikud institutsioonid ja kohalikud omavalitsused, kuid skoopi on laiendatud ka perearstikeskuste ja üldhariduskoolide personalile. Üheks eelduseks on liitumine Riigivõrguga. ETOsid on muidugi on nii avalikus kui ka erasektoris. Kirjutage digitest@ria.ee, et teada saada, millised on teie asutuse võimalused seda õppeplatvormi kasutada.

Milleks ja kellele Eesti uus infoturbestandard, Ilmar Toom

Miks on meile vaja järjekordset standardit?
Eks igal sellisel lahendusel ole oma elukaar ning olemasoleva oma on jõudmas sinna, et aeg on küps uue jaoks. Ka organisatsioonide küpsusaste kasvab tasapisi ning üha rohkemad on valmis võtma kasutusele standardit, mis pakub lisaks etalonturbele ka riskipõhist lähenemist.

Kas RIA hakkab ka uue standardi täitmist kontrollima?
Jah, RIA teostab järelevalvet infoturbemeetmete rakendamise üle nagu praegugi.

Kui palju on iske rakendamise nõuete vastu eksimise eest trahvitud?
RIA ei tee asutustele trahvi. Kui tuvastatakse puuduseid, mida mõistliku aja jooksul ei kõrvaldata, siis saab määrata sunniraha. Seda saab teha korduvalt, senikaua kuni puudused kõevaldatakse.

Kas olete ISKE ise läbi lugenud?
ISKE ei ole juturaamat, et see kaanest kaaneni läbi lugeda. Pigem on see käsiraamatu laadne teatmik, kust vastavalt vajadusele saab infot otsida. Rakendusjuhend jms üldise dokumendid on muidugi mõistlik läbi lugeda.

Kui ISO on olemas, miks siis üldse uut standardit vaja on?
ISO ei sobi kõigile. Kõik asutused ei soovi või ei jaksa ISOt rakendada. Kuid kes soovib, siis palun väga – ISO 27001 sertifikaadi olemasolu korral loetakse infoturbemeetmed rakendatuks.

Kes asutuses peaks e-ITSi kasutusele võtmisega tegelema hakkama või seda kasutuselevõttu algatama?
Iga selline ettevõtmine on terve maja projekt, kõik peavad sellega tegelema ning arusaama, mida ja milleks tehakse. Mõistagi jagunevad tööülesanded erinevate rollide vahel, kuid, nagu enamasti, algatus ja üldvastutus on tippjuhtkonna juures, sealt edasi äriprotsesside omanikud jne.

Kas uue standardi rakendamise toetamiseks luuakse ka tööriist, rakendus vmt?
Esimeses järgus luuakse portaalile, kus standard asuma hakkab, API, mille abil on standardit lihtne integreerida asutuses juba olemasolevasse töövoohaldusesse. Järgmisel aastal tegeleme ka eraldi tööriista loomise küsimusega.

Kui enne oli 5000 lk ja nüüd 500 lk, kas midagi siis jäeti lihtsalt välja?
Standardi loomisel pandi suurt rõhku mh ka sellele, et esitada materjal võimalikult lühidal ja kontsentreeritud kujul. Sellega seoses on seal vähem korduseid, kirjeldavaid taustalugusid ja üldharivat teksti. Kõik oluline on olemas.

Millal ISKE kinni pannakse?
2024 alguses. ISKE saab siis 20-aastaseks.

Kuidas sündis uue standardi nimi? Kas oli ka alternatiive lisaks E-ITSile?
E-ITS on akronüüm standardi pikast nimest. Kas sellet saab ka lõplik nimi, näitab aeg. Praegu on E-ITS nö tööversioon ning kui kellelgi on silmapaistvalt häid ideid, siis andke meile teada. Jah, meil oli ka erinevaid alternatiive.

Kas ja kui paljudele organisatsioonidele on RIA sel aastal sunnirahasid või trahve määranud? Sanktsioneerimine ei ole kunagi olnud RIA eesmärk. Meie eesmärk on ikkagi see, et asutustes oleksid infoturbemeetmed rakendatud. Kui seda on võimalik saavutada ilma sunniraha määramata, siis see on kahtlemata meie eelistus. Alati see siiski ei õnnestu ja mõnedel puhkudel oleme määranud sunniraha.

Kes hakkab uut standardit auditeerima? Kas neid partnereid on juba olemas?
ISKE puhul on endiselt auditi partneritest puudus. Uut standardit hakkavad auditeerima audiitorid, tõenäoliselt paljuski samad, kes senigi. Ma ei tea, et mõni audit oleks tegemata jäänud põhjusel, et ei ole auditeerijat.

Kust saab alla laadida E-ITSi kavandit?
E-ITS ei hakka olema terviklikuna allalaetav dokument, PDF vms. E-ITS hakkab asuma portaalis, nii nagu ISKE praegugi. Portaal muutub avalikult kättesaadavaks jaanuaris.

Kas E-ITS koolitust on plaanis korraldada üle interneti, arvestades praegust COVID seisu?
Kõige parema meelega korraldaksime füüsilise kohaolekuga koolitusi, kuid meid ümbritsevast keskkonnast tulenevaid mõjusid arvestades võib juhtuda, et peame neid tõepoolest tegema üle veebi.

Miks mitte jääda ISO-27001 juurde selle asemel, et ise leiutada?
ISO puhul on seda “ise leiutamist” oluliselt rohkem kui E-ITSi puhul. E-ITSist on soovi korral võimalik võtta etalonturbe meetmed, ilma et peaks neid ise leiutama hakkama. ISO puhul sellist võimalust ei ole.

Kas riik võiks standardi genereerimiste asemel tegeleda toe/teenuse pakkumisel riskide haldamisel/kaardistamisel/lahendamisel?
Riik ei saa tulla ühegi asutuse riske kaardistama ega haldama, see on ikka iga asutuse enda töö. Mõistagi oleme pakkunud tuge ja koolitusi riskianalüüside läbiviimiste jms teemal ning jätkame seda ka tulevikus. Aga ühegi asutuse eest riske kaardistama ega haldama tulla riik ei saa ega tohi.

RIA juhtkonna paneel – Mida toob 2021 RIA-le ja tema partneritele?

Vasakult: RIA peadirektor Margus Noormaa, peadirektori asetäitja küberturvalisuse alal Lauri Aasmann ja peadirektori asetäitja riigi infosüsteemi alal Margus Arm.

Kas RIA saaks või peaks riigiasutuste koostööd küberturvalisuse tagamisel kuidagi paremaks muuta ja milles see võiks väljenduda?
Kindlasti saaks, aga kvalitatiivseks hüppeks oleks vaja küberturvalisusesse rohkem investeerida. Ja mitte ainult RIAsse, vaid laiemalt.

IT minister ütles, et tema ei saa kinnitada ilma väliste audititeta Eesti e-valimiste turvalisust. Kas RIA peadirektor saab kinnitada, et e-valimised on senini olnud turvalised.
Täna ei ole ühtegi põhjust väita, et e-Valimised ei ole turvalised. Uute valimiste osas kindluse saamiseks on kindlasti igasugused auditid teretulnud. Mida põhjalikumad, seda parem.

Eesti on siiani suuresti läinud rätsepatööna tehtud IT hankimise ja arendamise teed. Kas näete, et siinses ökosösteemis on midagi suurt, mida saaks ka nö karbitootena osta või erasektorile delegeerida
Kindlasti saaks riik rohkem sisse osta ja pikajalises vaates ka sellised plaanid on. Nt arvutitöökohtade haldus või pilve kasutamine jne.  

Kui palju MKM kui RIA katusorganisatsioon dikteerib Eesti küberturvalisusest arengusuundi?
Võiks rohkem dikteerida. Täna peamiselt läbi standardi, järelevalve ja kogukonna kaasamise. Samas võiks riigis olla mitmed kesked RIA poolt hallatud lahenduste kasutamine olla kohustuslik ja mitte valikuline a’la riigivõrk, riigiportaal, keskne autentimine jms lahendused.

Ühes kohas väidetakse, et e-valimsed ei ole turvalised, sest auditeerimist pole tehtud, teises kohas väidetakse, et e-valimised on turvalised. Keda me nüüd usume? Kes auditeeris lahenduse või mitte?
Siiani 15 aasta jooksul toimunud valimiste auditeerimiste kohta on info kättesaadav riigi valimisteenuste kodulehelt. Sealt leiab vastused ka korduma kippuvatele küsimustele.

Miks riik kaasab niivõrd vähe tunnustatud tippeksperte väljaspoolt avalikku sektorit? Kas riik on tõesti veendunud, et kogu tippkompetents on avalikus sektoris?
Riik kasutab väga palju erasektori tippspetsialiste. Seda erinevates valdkondades sh nt arenduses ja infoturbes.

Rahast rääkides – kui raha paneb tellija paremini läbi mõtlema – mis on muidugi õige, siis miks ei võiks tellija ise otsustada, millisele tarnijale ta oma raha viib?
Reeglina võibki. Teatud valdkondades tuleb arvestada ka julgeoleku aspektidega ja siin ei ole mõtet võtta liigseid riske.

Riigiasutused saavad oma raha riigieelarvest. Kui riigiasutused hakkavad oma tulu teenima, siis kas see riigieelarveline tugi ei ole ebavõrdne konkurentsieelis erasektori ees?
Riigisektori IKT on olnud ja on jätkuvalt teatud ulatuses alarahastatud ning kui omatulu ka teenitakse, siis kulub see enamasti eelarveaukude lappimiseks. Riik ei peaks riigiarvelise raha eest pakkuma konkurentsi erasektori teenustele, kui see just ei aita kokku hoida riigi enda raha (nt Riigi autentimisteenus).

E-riigi teejuht

logo

Eesti riigiportaal luuakse uuesti puhtalt lehelt. Miks ja kuidas, kirjutas Riigi Infosüsteemi Ameti peadirektor Taimar Peterkop 16. mai 2016 ajalehes Postimees.

Riigiportaal sai võimalikuks koos interneti ja e-ühiskonna arenguga. Veel 20 aastat tagasi olnuks seda tüüpi portaali loomine täiesti võimatu – polnud andmeid, mida näidata, ja kasutajatel polnud internetti ega seadmeid, millega portaali siseneda.

Riigiportaal eesti.ee avati aastal 2003 ning sisuliselt oli Eesti esimene riik, kus riigiportaal sel kujul sündis – seda tänu tulevikku suunatud tööle, mida Eesti oli e-ühiskonna ja e-valitsemise korraldamisel teinud. Riigiportaali hinnates ei tulegi paralleele tõmmata mitte niivõrd kommertskeskkondadega, kuivõrd teiste riikide samalaadsete portaalidega.

Kolm eeldust

Kõigepealt: tänu ID-kaardile sai võimalikuks turvaline sisselogimine interneti kaudu. Paljud riigid on hädas olnud, et ei suuda oma kodanikku e-keskkonnas turvaliselt tuvastada. Kuivõrd ID-kaart on ühtlasi ka kodaniku kohustuslik dokument, siis lahendasime kaugautentimise küsimuse teistest riikidest aastaid varem.

Teine vaal, millele riigiportaal toetub, on X-tee – turvaline ühenduskeskkond riigi registrite ja andmebaaside vahel. Riigiasutused vajavad X-teed päringute tegemiseks ja siin ilmneb erinevus kommertsportaalidest, mis praegu tarvitavad X-teed vaid piiratud mahus.

Millenniumivahetuse paiku võeti Eestis vastu otsus mitte ehitada superandmebaase ega koondada turvatundlikke andmeid ühte kohta. Iga ametkond peab oma andmebaase ja registreid ise (või annab nende pidamiseks volitatud erafirmale). Kui tekkis vajadus ja võimalus luua kodanikuvaade riiklikult hoitavale andmestikule, siis kujunes eesti.ee väravaks, mille kaudu kodanik jõudis arvukate andmebaaside ja registriteni. Parimas vastavuses isikuandmete kaitse seadusega sai igaüks üle kontrollida nii oma andmete õigsuse kui ka jälgida nende praktilist kasutamist.

Möödunud kümmekonna aasta jooksul on riigiportaal toiminud keskse ligipääsuväravana, mille kaudu kodanik on saanud ajada asju riigi ja omavalitsustega. Portaali külastatakse keskmiselt 7000 korda päevas. Riigi pakutava aadressi eesnimi.perenimi@eesti.ee on oma igapäevasele e-posti aadressile suunanud 274 486 inimest, andes sellega riigiasutusele või KOVile võimaluse saata teavitusivõi dokumente.

IT-süsteemide keskmine eluiga on kuni kümme aastat. Riigiportaali praegune arhitektuur on meid auga teeninud ja välja viinud maailma kõige edukamate e-ühiskondade hulka. Ometi teavad vaid tegijad ise, kui keerukaid probleeme tekitab vananeva süsteemi käigushoidmine tegelikult. Kuigi ametlikuks tööajaks on tavatööaeg, töötab portaal tegelikult 24/7 režiimis. On sadu portaalipartnereid, kes võivad oma infosüsteeme ootamatult uuendada. Seetõttu on saabunud aeg portaali infoarhitektuur üle vaadata ning projekteerida puhtalt lehelt portaali uusversioon – selline, mis suudaks Eesti inimesi teenida järgnevatel aastatel.

Tulevik

Uue riigiportaali makett on valmis, keskkonna projekteerimine ja programmeerimine jätkub ka aastal 2017. Iga valmis saanud moodul tuuakse kasutaja ette kohe, mis võimaldab arengut hinnata. Riigiportaali roll ja otstarve ei muutu – eesti.ee jääb mugavaks ja turvaliseks kanaliks kodaniku ja ettevõtja suhtlusel oma riigiga.

Eesti.ee on oma ülesannet täitnud hästi. Kuid aeg on vahepeal seitsmepenikoormasaabastega edasi liikunud. Kuklasse hingavad moodsa kujundusega äpid ja maailmanimega disainikontorid. Möödunud viie aasta jooksul on muutunud arusaam, missugune peaks vaatajale välja paistma hästi disainitud infosüsteem. Jutt ei käi siin üksnes kunstist, värvivalikust või nuppude kujust, vaid pigem portaali toimimisloogikast. Kuidas jõuda soovituni võimalikult kiiresti? Kuidas grupeerida sarnaseid või korduvaid tegevusi?

Ennekõike pangad juurutasid lähenemise hoida eraisiku ja ettevõtte vaade lahus. Praeguseks oleme eraettevõtete e-arenguga ja X-teele kaasatusega jõudnud arengujärku, kus ka meil on mõtet pakkuda ettevõtjale eraldi vaadet. Seetõttu hakkab uus eesti.ee portaal selgelt eristama kodaniku ja ettevõtja rolli ning pakub vastavalt rollivalikule ka täiesti erinevat infovaadet.

Riigiportaali põhiroll on olla infokataloog. Ning sarnaselt ettevõtlusmaailma reeglitega on infokataloog pigem teemapõhine, mitte asutusepõhine. Kasutaja soovib jõuda teenuseni võimalikult lihtsalt ja kiiresti, tundmata huvi, millise asutuse millisest serverist talle vajalikku teenust parasjagu pakutakse.

Eraldi eesmärgiks on seatud portaali kasutatavus uute ja moodsate seadmetega.

Teenused

Iga portaali kõige tähtsam osa on teenused. Keskne küsimus seisneb selles, milliseks kujuneb kodanikule ja ettevõtjale pakutavate teenuste nimekiri. Seejuures tuleb eristada teenuse vahetut pakkumist ja teenusele viitamist. Kasutaja seisukohast pole neil kahel palju vahet,
vähemasti seni, kuni ta jõuab soovitud tulemuseni.

Soov koondada e-riigi asjalikud teenused eesti.ee mütsi alla on viinud riigiportaali partnerite arvu märkimisväärse kasvuni. Iga partneriga tuleb läbi rääkida neile omane IT-lahendus. Riigiportaalil on lihtne suunata inimene viida abil valitud teenuseni, kuid kas kasutaja peab sinna veel (teist korda) sisse logima või saaksime hakkama ristautentimisega nagu pankades?RIA-le sõnastatud ootus on e-riigi teenuste kvaliteedi tõus. Selle ootuse valguses ei saa riigiportaal enam toimida asutuse infosüsteemi esitluskihina – asutuste hulk on liiga suur, arvestamaks iga lahenduse tehnoloogilisi detaile. See aga muudab portaalipidamise tehnoloogiliselt väga keerukaks – peame ju sadade teenuste puhul arvestama pakkuva asutuse IT-lahenduse detailidega.

Ühel hetkel avastasime, et meie portaalimeeskonna aur ei kulu enam mitte portaali sisulisele arendamisele, vaid tuhandete tehniliste pisiküsimuste lahendamisele. Kuidas sobitada eri süsteemide tootlikkust ülekoormuse olukorras, näiteks kõrgkoolidesse astumise perioodil? Kuidas koordineerida muutusi süsteemi toimimisloogikas, kui asutus otsustab oma e-teenust kardinaalselt muuta, kuid riigiportaali töötajate aeg on kaheks kuuks planeeritud? Iga välise asutuse projektiplaani muudatus mõjutas portaali töötajate tööplaani, ülejäänud e-teenuste testimiste ajakava, teenuse avalikustamist. Nüüdseks oleme saanud üsna selgeks, et senine esinduskiht ei ole meile enam jõukohane ega jätkusuutlik.

Seetõttu on eesti.ee puhul vastu võetud selge otsus: riigiportaal ei toimi asutuse infosüsteemi osana. Uus versioon riigiportaalist saab olema pigem infokataloog, mis pakub senisest paremat vaadet selle kohta, mida riik temast teab, ja ka seda, mida tal riigile teada oleva andmestiku põhjal on õigus saada või kohustus teha. Teemad on grupeeritud inimesele omaste, loomulike võtmesõnade kaupa. Kui kasutaja on teema välja valinud, suunatakse ta õige asutuse teenusteportaali. Endiselt jääb portaali vaade “Minu asjad”, kus sisselogitud kasutaja näeb ülevaadet oma andmetest eri registrites, talle saadetud teavitusi ja dokumente.

Praegu teeme jõupingutusi ainulogimise süsteemi arendamisel. See tähendab, et süsteemi kord sisse loginud kasutaja ei pea end korduvalt autentima. Teenuseserveri vahetumisel edastataks sisseloginu isikukood järgmisele teenusepakkujale. Tegemist on turvaülesandega, mis tuleb lahendada õigesti nii tehniliselt kui visuaalselt.

Läbipaistvus

Eesti e-lahendusi välisriikides tutvustades oleme vahel kuulnud meile ootamatut seisukohta: miks üldse peaks kodanik oma riiki usaldama? Meil õnneks seda probleemi pole – Eesti kodanikud usaldavad oma riiki ja hindavad omariiklust. See ongi meie endi riik – keda veel peaksime usaldama?!

Kuid usaldust ei saa üles ehitada paljalt sõnalistele väidetele. Kuidas saab kodanik veenduda, et riigivõim pole tema andmeid kuritarvitanud? Isikuandmete kaitse seadus ütleb, et andmesubjektil peab oma andmete kasutamise üle olema kontroll, ning portaal pakub selleks võimaluse.

Riigiportaali sisse loginud kodanik peab saama võimalikult palju teavet, kes on tema andmeid vaadanud ja mis asjaoludel. Praegu on säärane võimalus olemas vaid valitud hulga andmekogude puhul, kuid arvestades selle funktsionaalsuse tähtsust e-ühiskonnale, kasvatame läbipaistvust. Järgmise sammuna teeme inimesele kättesaadavaks tema digiallkirjade andmise ja tema kohta käivate X-tee päringute ajaloo.

Riigiportaalist ei pea põgenema

 

logo

Anto Veldre kirjutab, mida tähendavad muudatused eesti.ee teavituste kasutustingimustes.

(Moodsas) e-riigis liiguvad teenused e-keskkondadesse. Järjekordi, kontoreid ja leti taga vilkalt askeldavaid tellereid näeme üha vähem. Sedasi hoitakse kokku päris mitu metsatäit puid, ühtlasi muutuvad teenused kiiremaks ja kvaliteetsemaks ning Eesti riigikorraldus muutub kuumaks kaubaks maailmaturul.

Kahjuks on asja juures ka pisike nüanss – mõnikord polegi inimene teenuse kättesaamisest huvitatud: seda põhiliselt siis, kui mõne kirja kättesaamisel või mittekättesaamisel on isikule juriidilised tagajärjed, näiteks hakkab tiksuma mõni tähtaeg või tuleb võtta mõni ebameeldiv kohustus. Eks alati leidub mingi protsent inimesi, kes tahavad ja suudavadki elukondliku kavaluse abil oma kohustuste eest põgeneda.

IT valdkonnast saabus värske uudis – Riigi Infosüsteemi Amet andis värskelt käiku arenduse, mis võimaldab asutusel inimesele saata tähitud e-dokumente ning tagasi saada väljastustõendeid (Iroonilisel kombel leidis Kallaste Linnavalitsuse kiri üles ka süsteemi nõrga koha ning paljundas juhusliku dokumendikutse tuhandetele inimestele. Kui süsteemid on keerulised, siis vahel nii juhtub).

Sel nädalal jõudis teavituste arendus aga sedakaugele, et portaali eesti.ee sadu tuhandeid kasutajaid hakati uuest teavitusteenusest informeerima. Kasutajatingimustes on kirjas:

“Riigi- ja omavalitsusasutused ning teised avalike ülesannete täitjad saavad saata minu e-posti aadressile isikukood@eesti.ee või registrikood@eesti.ee minu või minu ettevõtetega seotud dokumente ja teavitusi. Oma @eesti.ee aadressi suunamisega annan nõusoleku dokumentide elektrooniliseks kättetoimetamiseks, kui nõusolek on seaduse kohaselt vajalik.
Oma mobiiltelefoni numbri salvestamisega nõustun, et riigi- ja omavalitsusasutused ning teised avalike ülesannete täitjad võivad saata mulle minu või minu ettevõtetega seotud teavitusi SMS-sõnumina.”

“Seadus” tähendab antud kontekstis Haldusmenetluse seadust, mille §27 “Elektrooniline kättetoimetamine” lõige 2 ütleb järgmist:

(2) Dokument toimetatakse isikule elektrooniliselt kätte, kui isik on sellega nõus.

Seadusesse ammustel aegadel (2002) kirjutatud vajadus nõustumise järele ongi põhjus, miks oli vaja teavitusteenuse (mitte kogu portaali) kasutustingimusi uuendada ning paluda inimesel uute tingimustega ka nõustuda. Ei midagi uut, sääraseid üldtingimustega nõustumisi teab igaüks paljude teenuste (sh FB ja Google’i) töömailt.

Seejärel juhtus aga midagi ootamatut – umbes 0.1 protsenti neist, keda uuest kasulikust süsteemist teavitati, sisenesid eesti.ee portaali ning võtsid maha oma e-posti suunamise. Võib vaid aimata, miks… Ühtlasi tekkis FaceBookis arutelu, kus ühe tõlgendusena käidi välja selgitus, justkui väljastusteade (kõigi oma juriidiliste tagajärgedega) tekiks juba e-maili saabumise või lugemise hetkel.

Ei, praegune süsteem on loodud sedasi, et e-mail sisaldab vaid teavitust. Teavitus informeerib inimest, et talle mõeldud e-dokument on saabunud – ei enamat. Dokumendi enda lugemiseks tuleb inimesel ikkagi eesti.ee portaali sisse logida, liikuda alamjaotisse “Minu dokumendid” ning alles seal dokumenti avades tekib saatja jaoks väljastusteade. Siin on suur sarnasus tähitud kirja väljastusteatega, mis tekib alles postkontoris kirja kätte saades, mitte aga hetkel mil postiljonitädi teavituslehe postkasti pistab.

Kogu teavituste ökosüsteem pole veel sugugi valmis – paljud ametlikke kirju saatvad asutused pole täna veel võimelised automaatseid väljastusteateid töötlema – see võimekus tuleb luua iga asutuse infosüsteemis eraldi.

Riigiteooria kohaselt on riigil teatavate sunnivahendite osas monopol. Seadus näeb ette võimaluse isikule kirja saata ka siis, kui ta seda ise miskipärast ei soovi. Seda eitades jõuaksime oma ühiskonnakorraga kiiresti anarhismi. Küll aga on kahju, kui tosin aastat vana seadusesõnastus on e-ajastust pisut maha jäänud, mistõttu mõne kodaniku allumatus langeb mitte juristide pärusmaale, vaid võimaliku plekina moodsale e-teenuse arendajale.

Sel moel saaksime juura taas kenasti eristatud IT-teenustest ning lõpeks (põhjendamatu) põgenemine meie tegelikult suurepäraste e-teenuste juurest.