Võrgu- ja infosüsteem: mida see NIS2/KüTS mõistes tähendab

Õiguslik alus (KüTS § 2 lg 1)

KüTS § 2 lg 1 punkt 37 määratleb mõiste võrgu- ja infosüsteem järgmiselt:

> võrgu- ja infosüsteem (edaspidi süsteem ) – elektroonilise side võrk elektroonilise side seaduse § 2 punkti 8 tähenduses, seade või omavahel ühendatud või seotud seadmete rühm, millest vähemalt ühes toimub mõne programmi kohaselt digitaalsete andmete automaatne töötlemine, või digitaalsed andmed, mida eelnimetatud komponendid nende töö, kasutamise, kaitsmise või hooldamise jaoks salvestavad, töötlevad, saavad päringuga või edastavad;

Mida see praktikas tähendab

Küberturvalisuse seadus kasutab mõistet võrgu- ja infosüsteem (lühemalt lihtsalt *süsteem*) katusmõistena kogu selle tehnika ja andmete kohta, mille kaudu ettevõttes toimub digitaalne andmetöötlus. See ei ole ainult "server" ega ainult "tarkvara" — mõiste on teadlikult lai.

Definitsiooni järgi kuuluvad selle mõiste alla kolm asja:

• elektroonilise side võrk elektroonilise side seaduse tähenduses — ehk sidevõrk, mille kaudu andmed liiguvad;
• seade või omavahel ühendatud või seotud seadmete rühm, millest vähemalt ühes toimub mõne programmi kohaselt digitaalsete andmete automaatne töötlemine;
• digitaalsed andmed ise, mida need komponendid oma töö, kasutamise, kaitsmise või hooldamise jaoks salvestavad, töötlevad, päringuga saavad või edastavad.

Praktikas tähendab see, et süsteemi mõiste alla mahub tavaline kontorivõrk koos ruuterite ja tulemüüriga, tööjaamad ja sülearvutid, serverid ja virtuaalmasinad, andmebaasid, ettevõtte rakendused ja e-poe platvorm, aga ka automaatikaseadmed ja andurid, mis omavahel ühendatuna andmeid töötlevad. Oluline tunnus on automaatne töötlemine programmi järgi — mitte see, kas seade asub serveriruumis või kellegi taskus.

Sama oluline on andmete pool: kaitstavad ei ole üksnes seadmed, vaid ka andmed, mida need seadmed hoiavad ja liigutavad — sealhulgas nn abiandmed, näiteks logid, konfiguratsioonid, varukoopiad ja hooldusandmed. Seetõttu ei saa süsteemi käsitleda ainult riistvara nimekirjana; kaitse ulatub ka teabele, mida see riistvara töötleb.

Mida ettevõte peab tegema

Esimene samm on kaardistada, millised teie ettevõtte varad selle mõiste alla üldse langevad. Koostage register: sidevõrgud ja -ühendused, serverid, tööjaamad, mobiilseadmed, võrguseadmed, tootmis- ja automaatikaseadmed, rakendused ning andmekogud. Iga kirje juurde märkige, milliseid digitaalseid andmeid seal salvestatakse, töödeldakse, päritakse või edastatakse. Kui seade töötleb andmeid automaatselt programmi järgi, kuulub ta suure tõenäosusega süsteemi mõiste alla — ka siis, kui te ei ole teda seni "IT-varaks" pidanud.

Teiseks dokumenteerige süsteemi piirid ja sõltuvused. Pange kirja, millised komponendid on omavahel ühendatud või seotud, kus lõpeb teie vastutus ja algab teenusepakkuja oma (näiteks pilveteenus, majutus, hooldus- või tugipartner). Lisage üle vaadatud lepingutesse selgus selle kohta, kes millist komponenti haldab ja kaitseb. Just seotud seadmete rühm on definitsiooni võtmesõna — üksik nõrgalt kaitstud lüli toob riski kogu ahelasse.

Kolmandaks määrake vastutaja. Kirjalikult peaks olema fikseeritud, kes ettevõttes hoiab süsteemide registrit ajakohasena, kes kinnitab muudatusi ja kes on kontaktisik turvaintsidentide korral. Vastutaja määramine on juhtkonna otsus, mitte tehnilise meeskonna sisemine kokkulepe.

Neljandaks hinnake iga kaardistatud süsteemi mõju ettevõtte teenuste toimepidevusele ja kirjutage hinnang üles koos põhjendusega, miks mõni komponent jäeti ulatusest välja. Sellised põhjendatud otsused on hilisema tõendamise alus. Mõiste tõlgenduse ja ulatuse täpsustamiseks kasutage Riigi Infosüsteemi Ameti (RIA) avaldatud juhendmaterjale, mis selgitavad küberturvalisuse seaduse rakendamist praktikas.

Kui kiiresti dokumendid valmivad?

Dokumentide valmimise aeg sõltub teie scoping-vastustest ja automaatsest kvaliteediväravast — täpset tähtaega ette ei lubata. Meie mõõdetud protsessi (tasuta scoping, tellimus, KüTS-tekstist genereerimine, kuni 3-astmeline automaatne kvaliteedivärav) kirjeldus on lehel „Kuidas dokumendid valmivad“.