Küberintsident: mida see NIS2/KüTS mõistes tähendab

Õiguslik alus (KüTS § 2 lg 1)

KüTS § 2 lg 1 punkt 19 määratleb mõiste küberintsident järgmiselt:

> küberintsident – võrgu- ja infosüsteemis toimuv sündmus, mis ohustab või kahjustab võrgu- ja infosüsteemi turvalisust;

Mida see praktikas tähendab

Küberturvalisuse seaduse (KüTS) § 2 lõike 1 kohaselt on küberintsident võrgu- ja infosüsteemis toimuv sündmus, mis ohustab või kahjustab võrgu- ja infosüsteemi turvalisust. Määratlus on sihilikult lai: see ei nõua, et kahju oleks juba tekkinud — piisab sellest, et sündmus turvalisust ohustab.

Praktikas tähendab see, et intsidendiks ei loeta ainult õnnestunud rünnakut. Mõiste alla mahub ka:

• ründekatse või pahavara, mis avastati ja tõkestati enne kahju tekkimist;
• süsteemi kättesaadavuse, tervikluse või konfidentsiaalsuse häire — sõltumata sellest, kas põhjus oli pahatahtlik või juhuslik;
• volitamata ligipääs andmetele või seadmetele, samuti kahtlane ligipääsukatse;
• konfiguratsiooniviga, riistvararike või hooldustöö, mis jätab süsteemi kaitseta.

Oluline nüanss: sündmuse põhjus ei ole definitsioonis kirjas. Seega ei ole vahet, kas taga on väline ründaja, oma töötaja eksimus või teenusepakkuja tõrge — loeb see, kas võrgu- ja infosüsteemi turvalisus sai ohustatud või kahjustatud.

See tähendab ka, et igapäevane müra (nt üksik blokeeritud rämpspostikiri) ja tõeline intsident tuleb ettevõttel endal eristada — mõiste annab raami, hindamine on juhtkonna ja IT-vastutaja töö.

Mida ettevõte peab tegema

Esiteks selgitage välja, mis teie jaoks üldse on võrgu- ja infosüsteem. Kaardistage serverid, tööjaamad, pilveteenused, võrguseadmed, tootmis- ja juhtimissüsteemid ning väliste partnerite hallatavad lahendused. Ilma selle nimekirjata ei ole võimalik öelda, millises süsteemis intsident aset leidis.

Teiseks pange kirja, mida teie ettevõttes loetakse küberintsidendiks. Kirjeldage sisemises korras näited ja astmed: mis on tavapärane müra, mis on ohustav sündmus ja mis on juba kahjustav sündmus. Lisage juurde, kuidas töötaja kahtlasest sündmusest teatab ja kellele.

Kolmandaks määrake vastutaja ja asendaja. Ühel inimesel peab olema selge roll: hinnata sündmust, otsustada selle liigitus, käivitada reageerimine ja teavitada juhtkonda. Juhtkonna tasandil määrake, kes vastutab küberturvalisuse eest tervikuna.

Neljandaks dokumenteerige iga sündmus. Pidage intsidentide logi, kus on kirjas avastamise aeg, mõjutatud süsteem, esialgne hinnang, võetud meetmed ja lõpptulemus. Harjutage reageerimist läbi ka siis, kui midagi ei ole juhtunud. Teavitamise korra, vormide ja tehniliste soovituste osas lähtuge Riigi Infosüsteemi Ameti (RIA) avaldatud juhistest — need on Eestis ametlik ja ajakohane allikas.

Kui kiiresti dokumendid valmivad?

Dokumentide valmimise aeg sõltub teie scoping-vastustest ja automaatsest kvaliteediväravast — täpset tähtaega ette ei lubata. Meie mõõdetud protsessi (tasuta scoping, tellimus, KüTS-tekstist genereerimine, kuni 3-astmeline automaatne kvaliteedivärav) kirjeldus on lehel „Kuidas dokumendid valmivad“.