Saaremaa valla küberintsidendi käsitlemise kord

§ 1. Üldsätted

Saaremaa valla küberintsidendi käsitlemise kord (edaspidi kord) kehtestab küberintsidendi korral käitumise juhised Saaremaa Vallavalitsuses kui ametiasutuses (edaspidi vallavalitsus) ja vallavalitsuse hallatavas asutuses (edaspidi hallatav asutus; vallavalitsus ja hallatavad asutused koos ka asutused ja igaüks eraldi asutus).

§ 2. Mõisted

(1) Infovara on informatsioon, andmed ja nende töötlemiseks vajalikud infotehnoloogilised rakendused ning tehnilised vahendid.

(2) Küberintsident on võrgu- ja infosüsteemis toimuv sündmus, mis ohustab või kahjustab süsteemi turvalisust. Küberintsidendi tulemusel ei ole asutusel võimalik täita oma ülesandeid. Küberintsident on muu hulgas:

1) infosüsteemi või riistvara rike, samuti ebamõistliku sagedusega toimuvad mittekriitilised tööd takistavad vead infovaradega;

2) tööseisak või katkestus, mis on põhjustatud IT süsteemide mitteootuspärasest toimimisest;

3) infosüsteemi töö häiritus kauem kui vastavale rakendusele omistatud käideldavuses lubatud seisaku aeg IT rakendustega toetatud töölõikudes;

4) senitundmatu olukord, mis võib infoturbe seisukohalt olla oluline.

(3) Küberintsidendi teade on e-posti või muu sidevahendi kaudu saadetud teade küberintsidendi ja selle toimumise asjaolude kohta, mis sisaldab järgmist teavet:

1) teataja nimi ja ametinimetus ning asutuse nimi;

2) teataja kontakttelefoni number ja elektronposti aadress;

3) küberintsidendi toimumise alguse või avastamise kuupäev ja kellaaeg;

4) küberintsidendi toimumise asukoht;

5) küberintsidendi kirjeldus, mis juhtus ja kui on teada, siis miks juhtus;

6) küberintsidendi mõju hinnang;

7) teatamise ajaks rakendatud turvameetmed, sh kaasatud ressursid.

§ 3. Küberintsidendist teavitamine

(1) Asutuse küberintsidendist tuleb ametnikul või tööajal (edaspidi ühiselt teenistuja), kes küberintsidendi avastas või kellele see on asutuses ülesandeks tehtud, teatada vallavalitsuse IT-abi telefonile 4525005 ja väljaspool tööaega elektronposti aadressile it@saaremaavald.ee.

(2) IT-abi registreerib küberintsidendi keskses süsteemis lisas 1 toodud vormi kohaselt.

(3) Vallavalitsuse IT-juht annab pärast teate saamist küberintsidendile esmase hinnangu. Kahju tekitavast küberintsidendist tuleb kohe teavitada vallavanemat ning selle hallatava asutuse juhti, kelle vastutusalas on küberintsidendist tulenevalt kahju tekkinud või võib tekkida.

(4) Küberturvalisuse seaduse § 8 lõikes 2 nimetatud juhul teavitatakse olulise mõjuga küberintsidendist mõistliku aja jooksul isikut, keda olulise mõjuga küberintsident võib mõjutada, või avalikkust, kui mõjutatud isikuid ei ole võimalik eraldi teavitada.

(5) Seaduses sätestatud juhul tuleb küberintsidendist teavitada riigi pädevaid ametiasutusi (sh Riigi Infosüsteemi Amet, Politsei- ja Piirivalveamet ning Andmekaitse Inspektsioon) küberintsidendist viivitamata, kuid hiljemalt 24 tundi pärast teada saamist, kasutades turvalisi suhtluskanaleid.

(6) Korra lõigetes 4 ja 5 nimetatud asutuste või isikute teavitamise ning küberturvalisuse seaduse § 8 lõikes 7 sätestatud raporti esitamise korraldab IT-juht.

(7) Avalikkuse teavitamist korraldab vallavalitsuse kommunikatsiooniteenistus.

§ 4. Küberintsidendi lahendamine

(1) Küberintsidendi hindamine ja lahendamine toimub sellest puudutatud osapoolte koostöös, mida korraldab vallavalitsuse infotehnoloogiateenistus (edaspidi IT teenistus). IT teenistuse väliste teenistujate kaasamise otsustab asjaomane juht IT-juhi ettepanekul.

(2) Küberintsidendi lahendamiseks:

1) selgitatakse välja küberintsidendi olemus ja küberintsidendi eelse normaalse seisundi taastamise võimalus;

2) võetakse kohe kasutusele hädavajalikud abinõud küberintsidendi likvideerimiseks või mõju laienemise vältimiseks;

3) normaliseeritakse olukord võimalikult lühikese aja jooksul;

4) tehakse kindlaks ja kirjeldatakse küberintsidendiga seotud faktid, sh kahjustatud vara ja kahju suurus;

5) korraldatakse asitõendite säilitamine küberintsidendi põhjuse väljaselgitamiseks.

(3) Kontrolljälgede kogumiseks salvestatakse ja säilitatakse toimingute või sündmuste ajaloo väljaselgitamiseks infovarade haldamise ja kasutamisega seotud kontrolljäljed (logid).

(4) Kontrolljälg peab sisaldama vähemalt teostaja identiteeti, juhtumit ja selle toimumise aega. Kontrolljälgede salvestamisel ja säilitamisel peab olema tagatud nende vältimatus, käideldavus, terviklus ja konfidentsiaalsus.

§ 5. Küberintsidendi aruandlus, teabe käsitlemine ja säilitamine

(1) Pärast küberintsidendi lahendamist teeb IT teenistus küberintsidendi analüüsi ja koostab lisas 2 toodud vormi kohase küberintsidendi aruande. Analüüsi käigus hinnatakse küberintsidendi vältimiseks vajalikke meetmeid ning rakendatakse parandustoimingud intsidendi kordumise vältimiseks.

(2) Küberintsidenti käsitlevat teavet säilitatakse ja arhiveeritakse vastavalt vallavalitsuse teabehalduse korrale. Teave turvasüsteemide, turvaorganisatsiooni või turvameetmete kirjelduse kohta tunnistatakse avaliku teabe seaduse § 35 lõike 1 punkti 9 alusel asutusesiseseks kasutamiseks mõeldud teabeks.

(3) IT-juht esitab kord poolaastas vallavanemale ülevaate asutustes aset leidnud küberintsidentide ja nende lahendamise kohta. Ülevaates antakse hinnang küberintsidentide lahendamise korrektsusele ja tehakse ettepanekuid sarnaste küberintsidentide vältimiseks.

(4) Küberintsidendi järelkontrolli vajaduse otsustab IT-juht. Küberintsidentide kohta läbi viidud järelkontrollide kokkuvõtte esitab IT-juht vallavanemale esitatava ülevaate osana.