Märjamaa Vallavalitsuse hallatavate asutuste infoturbe põhimõtted

§ 1. Reguleerimisala

(1) Käesolev määrus sätestab Märjamaa Vallavalitsuse hallatavate asutuste (edaspidi asutus) infoturbe põhimõtted, infovarade kaitse alused ning infoturbe juhtimise korralduse.

(2) Määrus kohaldub asutuse töötajatele, praktikantidele ning lepingupartneritele, kellel on juurdepääs asutuse infovaradele.

§ 2. Mõisted

Käesolevas määruses kasutatakse mõisteid järgmises tähenduses:

1) info – mistahes kujul ja andmekandjal salvestatud andmed;

2) infosüsteem – terviklik IT‑lahendus info töötlemiseks, säilitamiseks ja edastamiseks;

3) infoturve – meetmete kogum, millega tagatakse info käideldavus, terviklus ja konfidentsiaalsus;

4) infoturbeintsident – sündmus, mis ohustab või kahjustab info turvalisust.

§ 3. Infoturbe eesmärk

Infoturbe eesmärk on tagada asutuse infovarade konfidentsiaalsus, terviklus ja käideldavus ning toetada kohaliku omavalitsuse ülesannete järjepidevat ja häireteta täitmist.

§ 4. Infoturbe alused

(1) Infoturbe korraldamisel lähtutakse riskipõhisest ja proportsionaalsest lähenemisest.

(2) Infoturbe juhtimise ja turvameetmete rakendamise aluseks on Eesti infoturbe standard (E ITS) ning sellega kooskõlas olevad infoturbe head tavad.

§ 5. Vastutus ja juhtimine

(1) Infoturbe korraldamise eest vastutab asutuse juht.

(2) Igal infovaral on määratud vastutaja, kes:

1) määrab infovara turbevajaduse;

2) korraldab infoturbe nõuete täitmise.

(3) Töötajad vastutavad infoturbe nõuete järgimise eest oma tööülesannete täitmisel.

§ 6. Riskihaldus

(1) Asutuses viiakse läbi regulaarne infoturbe riskihindamine.

(2) Tuvastatud riskide maandamiseks rakendatakse asjakohaseid tehnilisi, organisatsioonilisi ja füüsilisi turvameetmeid.

(3) Kui riski ei ole võimalik täiendavalt vähendada, dokumenteeritakse jääkriski aktsepteerimine.

§ 7. Ligipääsu reguleerimine

(1) Ligipääs infovaradele antakse üksnes volitatud isikutele vastavalt teadmisvajaduse põhimõttele.

(2) Ligipääsuõigused:

1) määratakse tööülesannetest lähtuvalt;

2) vaadatakse regulaarselt üle;

3) lõpetatakse töösuhte lõppemisel või vajaduse kadumisel.

§ 8. Autentimine ja andmete kaitse

(1) Infovaradele juurdepääsuks kasutatakse asjakohaseid ja turvalisi autentimismehhanisme.

(2) Andmete kaitseks rakendatakse meetmeid volitamata juurdepääsu, muutmise, avalikustamise või hävimise vältimiseks.

(3) Infosüsteemides peetakse kontrolljälgi ning rakendatakse pahavaratõrjet ja varundamist.

§ 9. Krüpteerimine ja andmeedastus

Välisvõrkude kaudu edastatav konfidentsiaalne teave krüpteeritakse ning kasutatakse turvalisi autentimis- ja allkirjastamislahendusi vastavalt kehtestatud juhistele.

§ 10. Turvaintsidentide käsitlemine

(1) Turvaintsidendist või selle ohust teavitatakse viivitamata asutuses määratud vastutavat isikut.

(2) Turvaintsidente käsitletakse kehtestatud korra alusel ning vajaduse korral edastatakse juhtum pädevale asutusele.

§ 11. Füüsiline ja organisatsiooniline turve

(1) Juurdepääs infoturbe seisukohalt olulistele ruumidele on piiratud ja kontrollitud.

(2) Töötajatel ja lepingupartneritel lasub konfidentsiaalsuskohustus, mis kehtib ka pärast töösuhte või lepingusuhte lõppemist.

§ 12. Teadlikkus ja koolitus

Asutus tagab infoturbeteadlikkuse tõstmise ning korraldab töötjatele regulaarset infoturbealast koolitust.

§ 13. Põhimõtete ülevaatamine

Asutus tagab infoturbeteadlikkuse tõstmise ning korraldab töötajatele regulaarset infoturbealast koolitust.

§ 14. Rakendussätted

(1) Tunnistada kehtetuks Märjamaa Vallavalitsuse 30.10.2019 määrus nr 9 „Märjamaa valla asutuste infoturbe põhimõtted“.

(2) Määrus jõustub kolmandal päeval peale Riigi Teatajas avaldamist.