Võrgu- ja infosüsteemi turvalisus: mida see NIS2/KüTS mõistes tähendab

Õiguslik alus (KüTS § 2 lg 1)

KüTS § 2 lg 1 punkt 38 määratleb mõiste võrgu- ja infosüsteemi turvalisus järgmiselt:

> võrgu- ja infosüsteemi turvalisus (edaspidi süsteemi turvalisus ) – süsteemi võime osutada vastupanu mis tahes sündmusele, mis ohustab süsteemis töödeldavate andmete või süsteemi kaudu osutatavate või juurdepääsetavate teenuste käideldavust, autentsust, terviklust ja konfidentsiaalsust;

Mida see praktikas tähendab

Küberturvalisuse seaduse (KüTS) järgi tähendab võrgu- ja infosüsteemi turvalisus (lühemalt *süsteemi turvalisus*) süsteemi võimet osutada vastupanu mis tahes sündmusele, mis ohustab süsteemis töödeldavate andmete või süsteemi kaudu osutatavate või juurdepääsetavate teenuste käideldavust, autentsust, terviklust ja konfidentsiaalsust.

Oluline nüanss: seadus ei defineeri turvalisust kui *seisundit* ega kui kindlat nimekirja tehnilistest lahendustest. Seadus räägib võimest vastu pidada. See tähendab, et turvalisus ei ole midagi, mille saab korra ära osta ja lõpetatuks lugeda — see on omadus, mis peab püsima ka siis, kui midagi läheb valesti.

Definitsioon nimetab neli kaitstavat omadust, mida tasub vaadata iga süsteemi ja teenuse puhul eraldi:

• Käideldavus – süsteem ja teenus on kättesaadavad siis, kui neid vajatakse.
• Autentsus – andmed ja osapooled on tõesti need, kelleks nad end väidavad olevat.
• Terviklus – andmeid ei ole lubamatult muudetud ega rikutud.
• Konfidentsiaalsus – andmetele pääsevad ligi ainult need, kellel on selleks õigus.

Samuti tasub tähele panna sõnastust „mis tahes sündmus". Definitsioon ei piirdu pahatahtliku rünnakuga — sama hästi loeb ka riistvara rike, elektrikatkestus, teenusepakkuja tõrge, ekslik seadistus või töötaja hooletu tegevus. Kaitstav objekt on lisaks süsteemis olevatele andmetele ka süsteemi kaudu osutatav või juurdepääsetav teenus, mis hõlmab sõltuvusi pilveteenustest ja partneritest.

Mida ettevõte peab tegema

Alustage skoobi määramisest: pange kirja, millised võrgu- ja infosüsteemid teie ettevõttes tegelikult on ja milliseid teenuseid nende kaudu osutatakse või neile ligi pääsetakse. Ilma sellise nimekirjata ei ole võimalik hinnata, mille turvalisusest üldse räägitakse. Lisage loetellu ka väliste teenusepakkujate lahendused, millest teie teenuse toimimine sõltub.

Seejärel hinnake iga süsteemi nelja omaduse lõikes: mis juhtub teie äritegevuse ja klientidega, kui konkreetse süsteemi käideldavus, autentsus, terviklus või konfidentsiaalsus saab kahjustada. Vaadake läbi nii pahatahtlikud stsenaariumid kui ka tavalised rikked ja inimlikud eksimused — definitsioon katab need kõik. Hinnangu tulemus dokumenteerige kirjalikult, koos põhjendustega, miks mingi süsteem on kriitilisem kui teine.

Määrake vastutaja. Kirja tuleb panna, kes ettevõttes vastutab süsteemide turvalisuse eest tervikuna, kes hooldab konkreetseid süsteeme ja kes otsustab intsidendi korral. Vastutus peab olema nimeline ja juhtkonna poolt kinnitatud, mitte hajutatud „IT-osakonna" vahel. Samuti tuleks kokku leppida, kui sageli hinnangut ja süsteemide nimekirja üle vaadatakse ning kuidas dokumenteeritakse muudatused.

Kuna see mõiste on ainult üks osa KüTS-i tervikust, kontrollige oma ettevõtte täpsemaid kohustusi Riigi Infosüsteemi Ameti (RIA) avaldatud juhiste järgi — sealt leiate ka ajakohase teabe selle kohta, millised organisatsioonid seaduse kohaldamisalasse kuuluvad ja millised nõuded neile kehtivad.

Kui kiiresti dokumendid valmivad?

Dokumentide valmimise aeg sõltub teie scoping-vastustest ja automaatsest kvaliteediväravast — täpset tähtaega ette ei lubata. Meie mõõdetud protsessi (tasuta scoping, tellimus, KüTS-tekstist genereerimine, kuni 3-astmeline automaatne kvaliteedivärav) kirjeldus on lehel „Kuidas dokumendid valmivad“.