Organisatsiooni infoturbe eest vastutab tippjuhtkond, kes peab tagama, et see on s\u00fcsteemselt hallatud, selleks vajalikud ressursid planeeritud ja organisatsioonis loodud k\u00fcberturvalisust v\u00e4\u00e4rtustav kultuur.<\/p>\n
1. M\u00e4\u00e4ra v\u00f5imekas infoturbejuht<\/p>\n
Infoturbejuhi \u00fclesanne on kaitsta organisatsioonile vajalikke andmeid vastavalt parimatele praktikatele, tagades s\u00fcsteemse kontrolli infovarade, personali ja t\u00f6\u00f6protseduuride \u00fcle. Seda rolli saab t\u00e4ita edukalt vaid juhul, kui infoturbejuht on kaasatud organisatsiooni juhtimisse, on iseseisev IT-osakonnast ja \u00fclej\u00e4\u00e4nud organisatsioon tajub tema antavate suuniste puhul tippjuhi igak\u00fclgset toetust.<\/p>\n
Isikuandmete kaitse \u00fcldm\u00e4\u00e4rusest l\u00e4htuvalt on teatud juhtudel kohustus m\u00e4\u00e4rata ka organisatsiooni andmekaitsespetsialist<\/a>. <\/p>\n 2. L\u00e4htu infoturbestandardist<\/p>\n Standardid teevad infoturbe s\u00fcsteemselt hallatavaks, esitades n\u00f5uded ja juhised organisatsiooni infoturbe halduse s\u00fcsteemi loomiseks. Riigi Infos\u00fcsteemi Amet<\/a> (RIA) on loonud Eesti infoturbestandardi (E-ITS)<\/a>, mis annab eestikeelse ja Eesti \u00f5igusruumile vastava aluse infoturbe k\u00e4sitlemiseks. E-ITS on koosk\u00f5las rahvusvaheliselt tunnustatud infoturbehalduse standardiga ISO\/IEC 27001.<\/p>\n 3. Rakenda riskihalduse protsess ja planeeri vahendid infoturbeks<\/p>\n K\u00fcberturvalisusele<\/a> suunatavad vahendid s\u00f5ltuvad organisatsiooni \u00e4ririskidest ja teenuste turben\u00f5uetest.<\/p>\n N\u00f5ua organisatsioonis riskihalduse protsessi rakendamist, mis s\u00e4testab riskianal\u00fc\u00fcsi teostamise ja regulaarse l\u00e4bivaatuse ning riskik\u00e4sitluse tegevused (millised riskid aktsepteerida, maandada, edasi anda v\u00f5i v\u00e4ltida).<\/p>\n<\/li>\n N\u00f5ua riskianal\u00fc\u00fcsi ja riskihalduse tegevustesse IT- juhi ja infoturbejuhi kaasamist, et luua tervikpilt, millised on kriitilised andmed, ohud ja n\u00f5rkused l\u00e4htuvalt teenuse eluts\u00fcklist ning milliseid investeeringuid on vaja teha nendega seotud riskide maandamiseks.<\/p>\n<\/li>\n Too organisatsiooni IKT eelarve planeerimisel k\u00fcberturvalisusega seonduvad kulud eraldi v\u00e4lja.<\/p>\n<\/li>\n<\/ul>\n 4. Investeeri oma v\u00f5rgu kaitsesse ning seiresse<\/p>\n Kasuta sissetungi t\u00f5kestamise ja avastamise seadmeid (Intrusion Detection System IDS \/ Intrusion Protection System IPS) ja n\u00f5ua infoturbejuhilt, et v\u00f5rguliiklust salvestataks ning anal\u00fc\u00fcsitaks.<\/p>\n<\/li>\n N\u00f5ua seire tulemustest ja intsidentidest juhtkonna teavitamist ning m\u00f5juga intsidentide j\u00e4relanal\u00fc\u00fcsi koos riskihinnangu \u00fcle vaatamise ja t\u00e4iendavate meetmete soovitustega, et tulevikus sarnased intsidendid ei korduks.<\/p>\n<\/li>\n<\/ul>\n V\u00f5rguliikluse seire ja kaitse korraldamisel v\u00f5ib pakkuda tuge CERT-EE lahendus Suricata for All (S4A). See lihtsustab vabavaral p\u00f5hineva v\u00f5rguliikluse seirelahenduse ehitamist, v\u00f5imaldab saada r\u00fcnnete ja pahavara tuvastamiseks CERT-EE abi. T\u00e4psema info saamiseks kirjuta: cert@cert.ee<\/a><\/p>\n 5.Veendu oma e-posti turvalisuses<\/p>\n \u00dcks peamisi ettev\u00f5tete vastu suunatud r\u00fcndevektoreid seondub organisatsiooni e-kirjavahetuse kuritarvitamisega.<\/p>\n Kehtestage reeglid, kas, kes ja millistest seadmetest peab saama juurdep\u00e4\u00e4su t\u00f6\u00f6meilidele ning et organisatsiooni andmevahetus, eelk\u00f5ige meilivahetus, oleks kr\u00fcpteeritud ja organisatsiooni meiliaadresside v\u00f5ltsimine oleks kurjategijatele tehtud v\u00f5imalikult keeruliseks (m\u00e4rks\u00f5nadena SPF, DKIM ja DMARC).<\/p>\n<\/li>\n<\/ul>\n 6. Testi teenuste ja s\u00fcsteemide turvalisust regulaarselt ning planeeri turvan\u00f5rkuste haldus<\/p>\n S\u00fcsteemides leitakse turvan\u00f5rkusi pidevalt ja neid kasutatakse kurjategijate v\u00f5i vaenulike riikide poolt koheselt \u00e4ra. Turvan\u00f5rkuste halduseks ja s\u00fcsteemide turvatestimiseks kuluvad vahendid on investeering, mis aitab v\u00e4hendada kriitiliste intsidentide kulusid.<\/p>\n N\u00f5ua organisatsioonis kasutuses oleva tehnoloogia turvan\u00f5rkuste s\u00fcsteemset haldamist ja kehtesta organisatsioonis p\u00f5him\u00f5te, et enne uute teenuste v\u00f5i olemasolevate teenuste uute versioonide kasutuselev\u00f5ttu tuleb alati l\u00e4bi viia turvatestid. P\u00f5hiteenuste s\u00fcsteemset testimist soovitame teha v\u00e4hemalt kahe aasta tagant.<\/p>\n<\/li>\n N\u00f5ua turvatestimiseks kuluvate vahendite eelarvesse planeerimist ja vastavate lepingute olemasolu.<\/p>\n<\/li>\n<\/ul>\n 7. Kasuta K\u00fcbertesti organisatsiooni k\u00fcberh\u00fcgieeni parendamiseks<\/p>\n K\u00fcberturvalisus s\u00f5ltub t\u00f6\u00f6tajate teadlikkusest, sest k\u00fcberintsident saab sageli alguse kasutaja tegevusest v\u00f5i tegevusetusest. RIA pakutav K\u00fcbertest v\u00f5imaldab kiirelt ja tasuta anda t\u00f6\u00f6tajatele p\u00f5hiteadmised k\u00fcberh\u00fcgieenist ning tagab operatiivse \u00fclevaate organisatsiooni t\u00f6\u00f6tajate k\u00fcberturbeteadlikkusest. Selle p\u00f5hjal on v\u00f5imalik tellida spetsiifilisi koolitusi v\u00f5i teha t\u00e4iendavat teavitust\u00f6\u00f6d. K\u00fcbertesti sisu uueneb igal aastal ja seda on soovitatav l\u00e4bida aastase intervalliga.<\/p>\n 8. Tee koost\u00f6\u00f6d CERT-EEga<\/p>\n Iga intsidenditeade on vajalik tervikpildi hoidmiseks ja kiire teavitus ning infovahetus CERT-EEga aitab kaasa riskide maandamisele riigis tervikuna. Kohustus intsidentidest teavitada on riigiasutustel ning k\u00fcberturvalisuse seaduses (K\u00fcTS) nimetatud erasektori teenuseosutajatel, samas on oodatud k\u00f5ikide teiste organisatsioonide teavitused.<\/p>\n 9. N\u00f5ua logide pidamist ja regulaarset seiret<\/p>\n N\u00f5ua infoturbejuhilt ja IT-juhilt logimise, logide s\u00e4ilitamise ja logide seire p\u00f5him\u00f5tete kokku leppimist, et tuvastada v\u00f5imalikud kuritarvitused ja teenusega seonduvad probleemid.<\/p>\n<\/li>\n<\/ul>\n P\u00f5him\u00f5tetes tuleb kindlasti v\u00e4lja tuua, milliseid logisid kogutakse, kus neid turvaliselt talletatakse ja kui pikalt, et neid oleks v\u00f5imalik k\u00fcberintsidendi anal\u00fc\u00fcsimiseks kasutada. Lisaks tuleb kehtestada n\u00f5uded logide regulaarseks seireks ja tegevusjuhised anomaaliate korral.<\/p>\n 10. Veendu kriisiplaani olemasolus ja harjuta selle t\u00e4itmist regulaarselt<\/p>\n K\u00fcberintsidentide ennetamise k\u00f5rval on oluline paika panna juhised olukorraks, kui intsident on siiski juhtunud, n\u00e4iteks \u00fckski t\u00f6\u00f6jaam, e-kirjad, dokumendihalduss\u00fcsteem v\u00f5i m\u00f5ni infos\u00fcsteem ei t\u00f6\u00f6ta.<\/p>\n Pane organisatsiooni \u00e4ririskide p\u00f5hjal paika plaan B ehk kriisiplaan, et k\u00fcberintsident ei halvaks teenuste k\u00e4ttesaadavust ja kuidas taastuda intsidendist (m\u00e4rks\u00f5nadena taastumiseks vajalikud rollid, t\u00f6\u00f6protsessid, varukoopiad, teenusepakkujate lepingud) tavap\u00e4rasesse t\u00f6\u00f6r\u00fctmi.<\/p>\n<\/li>\n<\/ul>\n Kriisiolukorras ei ole kasu aastaid vanast plaanist, seega planeeri kriisiplaani regulaarne \u00fclevaatus ja regulaarsed kriisi\u00f5ppused k\u00f5igile kriisi lahendamisega seotud rollidele, sh tippjuhtkonnale.<\/p>\n Lisalugemist<\/p>\n Organisatsiooni k\u00fcberturvalisuse juhtimiseks on RIA koostanud l\u00fchijuhendi<\/a>, mis annab \u00fclevaate, mis teemadele t\u00e4helepanu p\u00f6\u00f6rata ja mida IT-spetsialistilt n\u00f5uda.<\/p>\n\n
\n
\n
\n
\n
\n