Eesti infoturbestandardi rakendamine Atlassiani toodetega
Eesti infoturbestandard (E-ITS) on eestikeelne ja Eesti õigusruumile vastav alus infoturbe käsitlemiseks, mille missioon on arendada ning edendada Eesti avaliku sektori asutuste, aga ka erafirmade infoturbe taset.
Järgnevas postituses tutvume lähemalt E-ITS olemusega ning selgitame hüpoteetilise protsessi näitel, kuidas E-ITS'i Atlassiani toodetega rakendada.
Küberturvalisus kui digiriigi vundament
Nagu sõnas Riigi Infosüsteemi Ameti (RIA) peadirektor Margus Noormaa, on küberturvalisus digiriigi vundament.
Kuni 2022 aastani kehtis Eestis Infosüsteemide turvameetmete süsteem (ISKE), mis andis riigi- ja kohaliku omavalitsuse asutustele kätte tegevussuunad oma andmekogude infoturbe tagamiseks.
2023. aastast kehtima hakanud E-ITS on aga üles ehitatud riskipõhisele lähenemisele, mis sisaldab konkreetseid meetmeid äriprotsesside kaitsmiseks.
Kuigi E-ITS on kohustuslik eelkõige avalikule sektorile, võivad teenuste turvalisuse huvides standardit rakendada ka eraettevõtted.
“Oluline on ju, et äri töötaks ja andmed ei lekiks. Seal saab standard abiks olla,” kommenteeris RIA infoturbe meetmete osakonna juhataja Rain Ojastu E-ITSi olulisust.
Ettevalmistused etalonturbega alustamiseks
Asutused, kus on varasemalt rakendatud ISKEt, võivad turbeprotsessi planeerimise ja kavandamise faasis otsustada varasemalt rakendatud tehnilised meetmed ISKEst E-ITSi üle tuua.
Küll aga märgib RIA, et üleminekut toetav vastavustabel ISKE meetmetele on ainult informatiivse iseloomuga - seega täisautomaatset ülekandmist meetmete erinevuse tõttu ei soovitata.
Juhul, kui ISKE rakendamine pole tehtud väga süstemaatiliselt, on praktikud senini soovitanud alustada n-ö nullist.
E-ITSi meetmete rakendamiseks on esimese sammuna oluline võtta vastutus juhtkonna tasandil.
“Tuleb aru saada, kust tulevad asutusele nõuded ja millised need on. Seejärel on vaja ülevaadet varadest ja siis juba saab E-ITS-i kataloogist vajalikud meetmed,” selgitab Rain Ojastu lühidalt, mida tähendab standardi rakendamine.
Järgnevates peatükkides tutvustame täpsemalt, kuidas mainitud etappe teostada.
CMDB juurutamine
Turbeprotsessi käivitamisel ehk planeerimise ja kavandamise faasis kaardistatakse äriprotsessid ning seosed protsesse teenindavate rakenduste ja andmeallikate ehk varadega.
Protsesside ja varade kaardistamisel on sisuliselt tegu CMDB (configuration management database) ehk varahalduse juurutamisega.
Äriprotsesside arvelevõtu tulemusena saab organisatsioon struktureeritud ülevaate oma äriprotsessidest ning esmase pildi protsessides kasutatavast teabest ja teenustest.
Protsesside terviklik kaardistus on muuhulgas oluline sisend kaitseala määratlemisel (käsitleme lähemalt järgmises peatükis). Arvele tuleb võtta IT-süsteemid, rakendused, taristu, sideühendused ja muud äriprotsessi toimimiseks vajalikud ressursid.
Olenevalt organisatsiooni (infoturbe) küpsusest võib CMDB olla juba loodud, muul juhul võib see vajada korrastamist.
Oluline on aga täheldada, et mida detailsemalt on CMDB struktuur juurutatud, seda põhjalikumalt saab jaotada E-ITSi meetmeid.
E-ITSi meetmete rakendamine Jira ja Assets´i abil
Jira on protsessijuhtimise tööriist, mis on mõeldud tööde (näiteks meetme rakendamine) ja nende edenemise jälgimiseks.
Assets on CMDB tööriist, mis on loodud varahalduse juurutamiseks. Kombineeritult sobivad need kaks rakendust suurepäraselt E-ITS rakendamiseks.
Kui organisatsioon juba kasutab Jirat, räägib Assets’i kasuks varahalduse juurutamise perspektiivist kindlasti asjaolu, et ei ole vaja lisaks maksta mõne eraldiseisva rakenduse eest. Lisaks on ka sinu andmed ühes süsteemis.
Assets´i leiad tasuta Jira Service Management Cloud Premium plaanist ning Jira Service Management Data Center tootesse on see lisatud alates versioonist 4.15.
Joonis 1. E-ITS rakendusjuhendist pärinev joonis, mis kujutab E-ITSi rakendamiseks vajalikke toiminguid.
