Infoturbejuht Katrin Leppik, kes vedas kogu protsessi, märkis, et eesmärk polnud võistelda ega olla esimene, vaid saada kindlus, et linna infosüsteemid ja töökorraldus vastavad tänapäevastele nõuetele.
„Eesmärk ei olnud olla esimene, vaid saada kindlus, et oleme õigel teel ning teame, mida tuleb edasi teha paremini,“ ütles Leppik. „Et olime lõpuks esimesed, tuli meilegi meeldiva üllatusena.“
Infoturve kui südameasi
E-ITS rakendamise alguses moodustati infoturbe komisjon, kuhu kuulusid lisaks IT-teenistusele ka õigusnõunik, personalispetsialist, andmekaitsespetsialist, linnasekretär ja finantsjuht. Komisjoni tööd vedas Leppik, kelle pühendumus ja järjekindlus olid protsessi õnnestumisel otsustava tähtsusega. Leppiku sõnul võiks meeskonda kaasata ka hoonete halduse eest vastutava osakonna spetsialisti.
„Katrin on kõigi muude tööde kõrvalt võtnud infoturbe kui oma südameasja. Võib-olla just sellepärast see ka õnnestus,“ tõdesid kolleegid.
Kaks aastat järjekindlat tööd
Keila infoturbeauditi edu taga oli kaheaastane teadlik ja järjepidev töö, mille jooksul loodi süsteemne alus infoturbe arendamiseks ning kasvatati organisatsiooni teadlikkust. Infoturbejuht Katrin Leppik meenutas, et alguses oli vaja eelkõige mõista, mida E-ITS tegelikult tähendab ja kuidas seda praktikas rakendada.
„Osalesin kõikvõimalikel koolitustel ja kaasamisseminaridel, et saada aru, milliseid ressursse ja töövahendeid on vaja. Kui tekkis võimalus kaasata ka juhtkond ja rakendusmeeskond, kasutasime seda kohe,“ rääkis Leppik.
Infoturbepoliitikast riskianalüüsini
Töö algas infoturbepoliitika koostamisest, protsesside ja varade kaardistamisest ning olemasolevate juhiste ja kordade uuendamisest. Üheks oluliseks vaheetapiks sai RIA järelevalvemenetlus, mille positiivne tulemus andis kindlustunde ka auditi ettevalmistuseks.
Edasi viis meeskond läbi riskianalüüsi, mille tulemusel kaardistati kõige kriitilisemad valdkonnad ja kitsaskohad. Ka sisemine audit, milles mängis juhtrollo sisekontrolli spetsialist.
Töövahendite osas katsetati erinevaid lahendusi, kuid lõpuks jäi linn siiski praktilise ja tuttava Exceli juurde. Tähtajaliste ülesannete haldamiseks kasutati Microsoft Plannerit, mis aitas infoturbe komisjonil tegevusi planeerida ja jälgida. Väga kasulikuks tööriistaks osutus ka RIA loodud Wizard, mille abil koostati lõplik rakendusplaan.
Kui infoturbesüsteemi ülesehitamine oli jõudnud küpsemasse faasi, tundus aastane ettevalmistus auditi eel loogiline ajaraam. „Kui meil oli enam-vähem pilt ees, mis on olemas ja mida tuleb parandada, otsustasime komisjonis: teeme ära,“ meenutas Leppik.
Järgnes auditi hanke korraldamine, eelaudit ja lõpuks põhjalik põhiaudit. „Viimane aasta möödus linnulennul, mille sisse jäi ka eelaudit. Põhiauditiks olime juba rahulikud ja valmis konstruktiivset tagasisidet vastu võtma,“ lisas ta.
Inimesed teevad süsteemi turvaliseks
Keila linnavalitsus mõistis juba algusest peale, et infoturbe edu ei sõltu ainult dokumentidest ja tehnilistest meetmetest, vaid eelkõige inimestest ja teadlikkusest. Seetõttu pöörati suurt tähelepanu sellele, et kõik töötajad mõistaksid infoturbe põhimõtteid ja oma rolli nende järgimisel.
Kõik töötajad suunati Digiriigi Akadeemiasse E-ITS algkursusele, mis andis baasteadmised sellest, mis on infoturve ja miks see puudutab iga ametikohta. Lisaks sellele on igal aastal kohustuslik RIA küberkoolitus ja test, mis hoiab teadmisi värskena ja arusaama ajakohasena.
„Kõik töötajad läbivad kord aastas RIA küberkoolituse. Igal aastal tuleb uus versioon. See aitab meelde tuletada põhiasju ja annab kindlust, et kõik teavad, kuidas infoturvaliselt käituda,“ selgitas infoturbejuht Katrin Leppik.
Õppimine ja selgitamine kui igapäevane töö
Katrin koolitab kolleege jooksvalt ning püüab infoturbest rääkida lihtsas ja inimkeeles, et teema ei tunduks kauge ega keeruline. Kui tekivad tagasilöögid või arusaamatused, arutatakse need ausalt läbi majakoosolekutel. „Oluline on, et me rakendame E-ITS-i enda jaoks, mitte auditi pärast,“ rõhutas Leppik ning lisas, et kindlasti on keerulisemaid teemasid, milles kõik ei orienteeru, kuid seda haldabki põhiliselt IT-teenistus.
Infoturbeauditi ettevalmistus ja läbimine polnud Keila linnavalitsuse jaoks kerge jalutuskäik. Suurimaks väljakutseks kujunes süsteemi ehk infoturbejuhtimissüsteemi (ISMS) loomine nullist. See tähendas selgete seoste ja vastutuste määratlemist, dokumentide korrastamist ning töövoogude kaardistamist. „Kõige keerulisem oli tekitada toimiv süsteem kuidas kõike hallata, kiiresti seosed leida ja küsimustele vastata,“ meenutas infoturbejuht Katrin Leppik.
Keila linnavalitsusel ei ole suurt tehnilist meeskonda, mistõttu tuli tehniliste infoturbemeetmete rakendamisel toetuda välistele teenusepakkujatele. Nende töö koordineerimine ning nõuetele vastavuse tagamine nõudis aega ja kannatlikkust.
Kui audit algas, kasvas töökoormus märgatavalt. Dokumentatsioon, tõendusmaterjalid ja küsimustikud nõudsid kogu meeskonna panust. „Alguses tundus, et see on liiga mahukas ja kõike on korraga liiga palju,“ tunnistas Leppik. „Aga motiveeris teadmine, et see on ajutine. Kui audit läbi saab, on pilt palju selgem ja saame keskenduda just neile teemadele, mis vajavad enim tähelepanu.“
Audit kui õppimise võimalus
Keila linnavalitsuse jaoks ei toonud E-ITS infoturbeaudit kaasa suuri üllatusi, pigem andis see väärtuslikku kinnitust tehtud tööle ja aitas meeskonnal oma süsteemi veelgi paremini mõista. „Tegelikult väga suurt üllatust ei tulnud,“ rääkis infoturbejuht Katrin Leppik. „Audiitori abil saime hoopis targemaks ja mõistsime mõningaid meetmeid paremini kui enne.“
KPMG juhtaudiitor Mihkel Sinisalu ja abiaudiitor Kadri Koit olid Leppiku sõnul äärmiselt professionaalsed ja konstruktiivsed partnerid, kes aitasid auditi muuta õppimisprotsessiks, mitte pelgalt kontrolliaktiks.
Suusõnaline kord ei lenda
Enamik leitud puudusi puudutas dokumentatsiooni ja juhendmaterjale. Mitmed praktikad olid Keilas juba olemas ja toimisid hästi, kuid polnud lihtsalt piisavalt hästi vormistatud. „Suusõnaline kord ei lenda,“ selgitas Leppik. „Kõik peab olema kas kirjalikult fikseeritud või siis selgelt aktsepteeritud riskina ja riskianalüüsis kajastatud.“
Lisaks toodi välja mõningaid väiksemaid hoonetega seotud tähelepanekuid, mis on juba töös ja arvestatud eelarvesse. Juhendite, üldnõuete ja kordade täiendamisega on meeskond samuti algust teinud.
Keilal on nüüd aasta aega, et teha vajalikud täiendused ja ettevalmistused järgmiseks vaheauditiks.
Infoturve kui osa Keila tööstiilist
Kahe aasta jooksul on E-ITS rakendamine toonud Keila linnavalitsuse töökorraldusesse märgatava muutuse, infoturbest on saanud loomulik ja teadlik osa igapäevasest tööelust. „Juhtkond on olnud algusest peale väga hästi kaasatud ja toetav,“ rääkis infoturbejuht Katrin Leppik. „Nad on mõistnud, milleks on infoturve vajalik.“
Infoturbejuht osaleb nüüd regulaarselt linnavalitsuse juhtkonna koosolekutel, kus arutatakse ka infoturvet puudutavaid teemasid. „Infoturve on selle kahe aasta jooksul kasvanud meie organisatsiooni kultuuri osaks,“ sõnas Leppik.
E-ITSi rakendamise laiem kasu
Üheks suurimaks praktiliseks muutuseks on olnud Keila linnavalitsuses IT-seadmete halduskeskkonna väljavahetamine ning võrkude halduse uuendus. See töö oli mahukas, aga seeläbi on neil parem ülevaade ja kiirem reageerimisvõime ka intsidentidele.
„Tänu uuendustele on meil nüüd palju parem ülevaade oma IT-varadest ja süsteemidest ning reageerime võimalikele intsidentidele oluliselt kiiremini,“ selgitas Leppik. Infoturbe süsteemne rakendamine on aidanud tähelepanu pöörata ka teemadele, mida varem peeti teisejärguliseks. Näiteks andmete krüpteerimine teenusepakkujate rakendustes või teenusepakkujate poolne infoturbe haldus üldiselt.
Sammud, mis viivad sihile
Keila kogemus näitab, et infoturbe arendamine kohaliku omavalitsuse tasandil ei pea olema ülejõu käiv ega liiga keeruline. „Kõigepealt peab keegi organisatsioonis võtma E-ITS rakendamise juhtrolli ja kaasama meeskonna, kellega teekond läbida,“ rõhutas infoturbejuht Katrin Leppik. „Meil töötab E-ITS komisjon väga hästi. Oluline on lihtsalt hoida kätt pulsil ja tegutseda järjekindlalt.“
Leppiku sõnul tasub alustada olemasoleva olukorra kaardistamisest, mis on juba paigas ja mis vajab arendamist. Alles seejärel saab sihikindlalt edasi liikuda konkreetsete meetmete rakendamisega.
Ühe praktilise tööriistana soovitab ta RIA arendatud Wizardi, mis aitab koostada rakendusplaani organisatsiooni profiilile sobivate meetmetega. Väga kasulikuks abimaterjaliks on ka E-ITS portaal, kus on olemas juhendid ja abivahendid kõigile omavalitsustele.
„Kui tekib küsimusi või vajatakse praktilist nõu, võib minuga alati ühendust võtta,“ lisas Leppik, julgustades teisi omavalitsusi kogemusi jagama ja koostööd tegema.
