Infoturbealane riskihalduse juhend

KORRALDUS Tallinn 29.04.2024 nr 1-9/105 Infoturbealane riskihalduse juhend Tuginedes põhikirja § 13 lõike 2 punktile 1, rektori 20.12.2022 käskkirja nr 64 punktile 1.5 ja 2 ning rektori 04.03.2024 käskkirja nr 7 punktile 10: 1. Kinnitan infoturbealase riskihalduse juhendi (lisatud). 2. Korraldus jõustub allkirjastamisel. (allkirjastatud digitaalselt) Tea Trahov kantsler  KINNITATUD kantsleri 29.04.2024 korraldusega nr 1-9/105 Infoturbealane riskihalduse juhend Sisukord 1 Üldine .............................................................................................................................................. 2 2 Riskihalduse protsess ...................................................................................................................... 2 2.1 Konteksti loomine ................................................................................................................... 2 2.2 Riskide kaalutlemine ............................................................................................................... 3 2.2.1 Riskide tuvastamine ........................................................................................................ 3 2.2.2 Riskide analüüsimine ....................................................................................................... 4 2.2.3 Riskide hindamine ........................................................................................................... 7 3 Riskikäsitlus ..................................................................................................................................... 7 3.1 Riski vältimine (avoid) ............................................................................................................. 7 3.2 Riski vähendamine (mitigate).................................................................................................. 7 3.3 Riski jagamine/ üleandmine (transfer) .................................................................................... 8 3.4 Riski säilitamine (accept) ......................................................................................................... 8 3.4.1 Jääkrisk ............................................................................................................................ 8 4 Riskide seire ja läbivaatus................................................................................................................ 8 5 Suhtlus. Teavitus. Konsulteerimine ................................................................................................. 8 6 Rollid ................................................................................................................................................ 8 6.1 Kantsler.................................................................................................................................... 8 6.2 Infoturbejuht: .......................................................................................................................... 8 6.3 Riskiomanik ............................................................................................................................. 9 7 LISA 1 Mõju analüüs ...................................................................................................................... 10  2 1 Üldine Riskihaldus (Risk Management, edaspidi riskihaldus) sisaldab koordineeritud tegevusi organisatsiooni juhtimiseks lähtuvalt riskidest. Riskide haldamise eesmärk on:  hoida madalaimat majanduslikult õigustatud riski taset, mis tagab ülikooli tegevuse talitluspidevuse ja konkurentsivõime pikaajalises vaates;  ülikooli tegevuses sisalduvate riskide identifitseerimine ja juhtimine vastavalt ülikooli protsesside ulatusele, keerukusele ja olemasolevale kogemusele;  luua alus riskide enesehindamiseks ja riski kahjusid ennetavale tegevusele. Infoturbe alast riskihaldus teostatakse infosüsteemide ja infotehnoloogiliste varade põhiselt (riskid, mis on seotud konfidentsiaalsuse, terviklikkuse ja käideldavusega). Riskihaldus toetab infoturbe juhtimise (ISMS-i) protsessi. Ülikooli mõjutavate riskide kaalutlemine, käsitlemine ja seire toimub süstemaatiliselt ja järjepidevalt. 2 Riskihalduse protsess Riskihalduse protsess koosneb järgmistest tegevustest: Joonis 1 Riskihalduse protsess 2.1 Konteksti loomine Riskijuhtimise raamistiku kavandamisel tuleb arvestada ülikooli sisemist ja välimist keskkonda. Välise keskkonna puhul tuleb kaaluda järgmisi mõjutegureid:  rahvusvahelisi, riiklikke, piirkondlikke või kohalikke sotsiaalseid, kultuurilisi, poliitilisi, õiguslikke, normatiivseid, rahanduslike, tehnoloogilisi, majanduslikke ja keskkonnaalaseid tegureid;  organisatsiooni eesmärke mõjutavaid peamisi tegureid ja sündmusi;  väliste sidusgruppide suhteid, arusaamu, väärtusi, vajadusi, lepingulisi suhteid ja pühendumusi;  võrgustikke ja sõltuvuste keerukust.  3 Sisemise keskkonna puhul tuleb kaaluda järgmisi mõjutegureid:  organisatsiooni visiooni, missiooni ja väärtusi;  vastutustundlikku juhtimist, organisatsioonilist struktuuri, rolle ja aruandekohustusi;  strateegiat, eesmärke ja juhtimise põhimõtteid;  organisatsiooni kultuuri;  organisatsiooni kohandatud standardeid, juhiseid ja mudeleid;  suutlikust ressursside ja teadmiste mõistes (nt kapital, aeg, inimesed, intellektuaalne omand protsessid, süsteemid ja tehnoloogiad);  andmeid, infosüsteeme ja infovooge;  suhteid sisemiste sidusgruppidega, võttes arvesse nende arusaamu ja väärtusi;  lepingulisi suhteid ja pühendumusi. 2.2 Riskide kaalutlemine Riskide kaalutlemine on riskide tuvastamise, riskianalüüsi ja riskide hindamise üldine protsess. Riskide kaalutlemine toimub infosüsteemi ja infotehnoloogiliste varade põhiselt. Riskide kaalutlemine toimub vähemalt üks kord aastas. Lisaks teostatakse riskide kaalutlemist süsteemide märkimisväärsete muudatuste korral. RISKIDE TUVASTAMINE Riskituvastuse eesmärk on kindlaks teha, mis võib juhtuda või millised olukorrad võivad mõjutada ülikooli eesmärkide saavutamist, ülesannete täitmist ning plaanipärast toimimist. Riski olemasoluks peab eksisteerima teatud oht, mis võib ära kasutada mõnda ülikoolis esinevat nõrkust. Olenevalt valdkonnast võib esineda mitmesuguseid ohte ning nõrkusi, mis tuleb kirja panna ning mida tuleb analüüsida. Riskide tuvastamisel võib kasutada järgmiseid allikaid sisendi saamiseks, näiteks:  avalik või asutusesisene statistika  uuringutulemused,  eksperthinnangud,  registreeritud intsidendid, nende analüüs ja saadud kogemus,  varasemast ohtude hindamisest saadud kogemus jms  väliste osapoolte kogemus ja/või materjalid, hinnangud Tuvastatud riskid varustatakse unikaalse identifikaatoriga ning talletatakse taasesitataval kujul. Riskihalduse järgmistes järkudes rikastatakse seda teavet uute üksikasjadega. Riskid sisestatakse riskiregistrisse (JIRAsse). Riskide sõnastamisel lähtutakse järgnevast ülesehitusest: „Riskiteguri“ tagajärjel toimub riskisündmus“, mis põhjustab „riskist tuleneva kahju ehk mõju“. Riskide tuvastamine infosüsteemide ja infotehnoloogiliste varade lõikes Infosüsteemide ja infotehnoloogiliste varade riskide tuvastamisel teostatakse esmalt mõjude analüüs vastavalt lisas 1 toodud üheksale kategooriale. Mõjude analüüsi tulemus kirjeldatakse ära JIRAs infosüsteemi vara või infotehnoloogilise vara kaardi juures. Täiendavat riskide tuvastamist ja analüüsi ei pea teostama infosüsteemidele, kui on täidetud järgmised tingimused: 1. Mõjuanalüüsi üheksa kategooria keskmiseks skooriks vähem kui 3 2. Mõju üheksast kategooriast mitte üheski ei esine väärtust 4 või 5 Infosüsteemi või infotehnoloogilise vara, mille mõjude analüüsi keskmine skoor on 3 või kõrgem või mille puhul ühes või mitmes kategoorias esineb väärtus 4 või 5, peab tuvastama riskid, mis on põhjustanud kõrge skoori.  4 Tuvastada tuleb ülikooli nii sisemisi kui väliseid riske, st selliseid riske, mille infosüsteemid või infotehnoloogilised varad on ülikooli enda kontrolli all, kui ka neid, mis ei ole. Riskide tuvastamise käigus tuleks välja selgitada konfidentsiaalsus-, terviklus- ja/või käideldavusrikke võimalikud tagajärjed varadele. Nõrkused võivad ilmneda järgmistel aladel: organisatsiooni struktuur, protsessid ja protseduurid, haldusrutiinid, personal, füüsiline keskkond, infosüsteemi konfiguratsioon, riistvara, tarkvara või sideseadmed, sõltuvus välistest osapooltest. Lähteandmeid pakuvad infosüsteemide või infotehnoloogiliste varade omanikud, protsessijuhid, IT projektijuhid, peakasutajad, IT projektijuhid, partnerid ja muud seotud osapooled. Infosüsteemide ja infotehnoloogiliste varade tuvastamise väljundiks on riskide loetelu, mis sisaldab järgnevat:  infosüsteem või infotehnoloogiline vara  infosüsteemi või infotehnoloogilise vara komponent (detailsem osa, nt server, andmebaas, jne)  nõrkus ehk infotehnoloogilise vara, infosüsteemi või protsessi nõrk koht või turvameetme puudulikkus või puudumine (turvaauk)(nõrkuse olemasolu iseenesest ei tekita kahju)  oht/puudus ehk ründaja ja ründemeetod, mis võib ära kasutada nõrkust/puudust (kes, kuidas ja mida; võivad tekitada tõsist kahju ja on konkreetse rakenduse ja kasutusala puhul realistlikud; E-ITS alusoht, mooduloht, või väline lisaoht)  riskitegur (ehk kui oht nõrkuse ära kasutab)  riskisündmus (konfidentsiaalsus, terviklikkus ja käideldavus)  riskimõju kirjeldus (toimed, kahjud, tagajärjed)  suurim võimalik kahju (teenuskahju, finantskahju, mainekahju,  risk (riski sõnastamisel lähtutakse järgnevast ülesehitusest: „Riskiteguri“ tagajärjel toimub riskisündmus“, mis põhjustab „riskist tuleneva kahju ehk mõju“.)  riski omanik (infosüsteemi äriprojektijuht või infotehnoloogilise vara omanik) Tuvastatud risk varustatakse unikaalse identifikaatoriga ning talletatakse JIRAs riskiregistris Riskihalduse järgmistes järkudes rikastatakse seda teavet uute üksikasjadega. RISKIDE ANALÜÜSIMINE Riskianalüüsi eesmärk on pakkuda teavet riskide hindamiseks, et otsustada, kuidas tuvastatud võimalikke riske edasi käsitleda ning kuidas kasutada olemasolevaid ressursse kõige olulisemate riskidega tegelemiseks. Riskianalüüsi käigus määrab riski omanik tuvastatud sündmuse esinemise tõenäosuse ning võimalikud tagajärjed ehk kahjud ehk riski mõju. Mõju määramise juures ehk tagajärgede analüüsi käigus kirjeldab riski omanik, mis juhtub, kui risk realiseerub ehk kui oht nõrkuse ära kasutab. Tagajärgede analüüsis tuleb välja tuua kõik võimalikud riski realiseerumise tagajärjed. Tagajärgede mõju hindamisel tuleb arvestada erinevaid riskihalduse objektiks olevaid riski liike kombineerituna, st peab arvestama erinevate riskide koosmõju. Võimalikkuse analüüsis tuvastatakse riski realiseerumise tõenäosus. Tõenäosuse hindamiseks on võimalik saada infot erinevatest allikatest, näiteks:  ajalooline esinemissagedus ehk statistika;  prognoosimine, võttes arvesse seadmete vanust jms;  eksperthinnang  võrdlus teiste sarnaste organisatsioonidega Juhul kui info võimalike tagajärgede ja/või esinemise võimalikkuse kohta ei ole kättesaadav ehk esineb määramatus, tuleb ka määramatuse iseloomu otsuste langetamisel arvesse võtta (sh sellest otsustajatele teada anda). Riskide tõenäosuse hindamisel lähtutakse tabelis nr 2 toodud skoorist.  5 Tabel 1 Riski mõju määramine Mõju Skoor Kriteeriumid hinnang Ebaoluline 1 Riski realiseerumisel on ülikooli tegevus vähesel määral häiritud (mõjutatud mõju vähe oluliste teenuste ja infosüsteemide või infotehnoloogiliste varade toimine või nende kasutamine ajutiselt või ka pikemaajaliselt takistatud, üksikud rahulolematud või häiritud kasutajad, võimalikud rahalised kahjud minimaalsed ning ei vaja täiendavaid ressursse. Riski realiseerumisel ei ole ohus isikuandmed, infosüsteemid või infotehnoloogilised varad käsitlevad avalikuks kasutamiseks mõeldud informatsiooni ning andmete terviklikkus ei ole oluline. Ülikooli eesmärkide saavutamist ei mõjuta. Väike mõju 2 Riski realiseerumisel on tegevused on osaliselt häiritud (mitmete teenuste ootuspärane toimine on mõjutatud, esineb teenustes katkestusi, kuid mida suudetakse operatiivselt lahendada (ühe kuni kolme tööpäeva jooksul). Mõjutatud on vähesed kasutajad (10-100 kasutajad), kes näitavad üles rahulolematust, rahalised kahjud väikesed, regulaatorid võivad tunda huvi riski realiseerumisel järele pärimistega. Riski realiseerumisel võivad avalikuks saada asutuse siseseks kasutamiseks mõeldud informatsioon, kuid ohus ei ole isikuandmed. Ülikooli eesmärkide saavutamine ei ole ohus. Mõõdukas 3 Riski realiseerumisel on ülikooli tegevused oluliselt häiritud (mitme teenuse mõju toimimine on mõjutatud ja katkestusi ei suudeta operatiivselt lahendada (kolme tööpäeva jooksul), mõjutatud on mõõdukalt kasutajaid (100-500), kes näitavad üles rahulolematust, rahalised kahjud mõõdukad (kuni 50 000 eurot), võib esineda üksik negatiivne meediakajastus, regulaatoritel tekib suur huvi organisatsiooni tegevuse vastu, esinevad õiguslikud vaidlused poolte vahel.) Riski realiseerumisel võivad saada avalikuks tundlikud või olulised piiratud kättesaadavusega andmed (nt isikute töötasud) ning riive isikuandmetele on võimalik. Algse olukorra taastamiseks võib vaja olla täiendavaid lisaressursse, kuid ülikooli eesmärkide saavutamine endiselt võimalik. Oluline mõju 4 Riski realiseerumisel on ülikooli tegevus olulised häiritud (mitmete kriitiliste ja oluliste teenuste toimimine on mõjutatud ja katkestusi ei suudeta operatiivselt lahendada (kuni kolme tööpäeva jooksul), mõjutatud on oluline arv kasutajaid (500-5000 kasutajat), kes avalikult kritiseerivad; rahaliselt oluline kahju (kuni 100 000 eurot), episoodiline negatiivne meediakajastus, regulaatoritel suur huvi sekkuda organisatsiooni tegevusse, kohtuvälised vaidlused poolte vahel, osaliselt rakendatakse sanktsioone). Riski realiseerumisel on ohus eriliigilised isikuandmed või salastatud andmed, riive käitatavatele isikuandmete on tõenäoline. Algse olukorra taastamiseks on vaja oluliselt lisaressursse. Ülikooli põhitegevus võib selle tulemusel seiskuda ning ülikoolile seatud eesmärkide täitmine ei ole võimalik. Kriitiline 5 Riski realiseerumisel on ülikooli tegevus kriitiliselt häiritud (kriitiliste mõju teenuste töös pikaajalised katkused, mida ei suudeta nädala jooksul lahendada), mõjutatud enam kui 5000 kasutajat, kes kriitiliselt avalikult sõna võtmas ning näitavad üles soovi teenusest loobuda, suur rahaline kahju (üle 100 000 euro), organisatsiooni maine oluline kahjustus läbi ulatusliku negatiivse meediakajastuse, regulaatoritel ülisuur huvi sekkuda organisatsiooni tegevusse, kaasnevad kohtuvaidlused, menetlustegevused,  6 sanktsioonid. Riski realiseerumisel on ohus ülikooli kõige kriitilisemad andmed (võidakse avalikustada, hävitada, jne) ning riive käitatavatele isikuandmetele on väga tõenäoline. Algse olukorra taastamine nõuab ulatuslikult lisaressursse või osaliselt algse olukorra taastamine üldse võimatu. Ülikooli põhitegevus riski realiseerumisel võib seiskuda ja ülikool ei suuda omale seatud eesmärke saavutada. Tabel 2 Riski tõenäosuse määramine Tõenäosuse Skoor Kriteeriumid hinnang Ebatõenäoline 1 Riski realiseerumine on pigem teoreetiline või praktikas väga harv; esineb ca 1 kord 10 aasta jooksul või harvem; Vähetõenäoline 2 Riski realiseerumine on võimalik, aga praktilised näited on väga üksikud; võib juhtuda lähiaastatel (2-3 aasta jooksul); Võimalik 3 Eksisteerivad tõendusmaterjalid selle kohta, et riski realiseerumine on tõenäoline; võib juhtuda lähima 2-3 aasta jooksul; Tõenäoline 4 Eksisteerivad tõendusmaterjalid selle kohta, et riski realiseerumine on tõenäoline; võib juhtuda aasta jooksul; Kindel 5 Risk on varasemalt realiseerunud või on vältimatu; võib juhtuda päevade ja nädalate jooksul; Riski analüüsides ja selle mõju hinnates on oluline võtta arvesse ka selle tekkepõhjust, allikat ning motivatsiooni ohu allika käitumise taga. Samuti tuleb riski realistlikuks analüüsimiseks võtta arvesse juba rakendatud kontrolle/meetmeid selle riski käsitlemisel. Riski analüüsimise tulemusel saadakse riskitase, mis hilisemas faasis on oluline riskikäsitluse prioriteedi seadmiseks. Riskitase Riski mõju skoori ning tõenäosuse skoori korrutisena arvutatakse riskitase. Riskitaseme põhjal koostatakse riskimaatriks ning prioritiseeritakse kõik riskid alates kõrgeimast riskitasemest kuni madalaimani. Juhul kui mitme riski tase on võrdne, siis on prioriteetsem kõrgema mõjuhinnanguga risk. Riskide tuvastamine ja riskitaseme määramine toimub allpool oleva tabeli nr 3 alusel. Tabel 3 Riskitaseme arvutamine Tõenäosus Mõj Ebatõenäolin Vähetõenäoli Võimalik (3) Tõenäoline Kindel (5) u e (1) ne (2) (4) Kriitiline mõju 5 – madal 10 - 15 – 20 – kõrge 25 – (5) keskmine keskmine kriitiline Oluline mõju (4) 4 – väga 8 - madal 12 - 16 – kõrge 20 – kõrge madal keskmine Mõõdukas 3 – väga 6 - madal 9 - madal 12 – 15 - mõju (3) madal keskmine keskmine Väike mõju (2) 2 – väga 4 - madal 6 - madal 8 – madal 10 - madal keskmine Ebaoluline 1 – väga 2 – väga 3 – väga 4 - väga 5 – madal mõju (1) madal madal madal madal  7 Riskitase = Mõju hinnangu skoor * tõenäosuse hinnangu skoor Riskitaseme muutmine Põhjendatud vajaduse korral on võimalik riskitaset subjektiivselt muuta, kuid sel juhul on oluline kirjalikult dokumenteerida sellise otsuse aluseks olnud põhjendused. RISKIDE HINDAMINE Riskide hindamise eesmärk on tagada, et organisatsioon kasutaks olemasolevaid ressursse kõige olulisemate riskidega tegelemiseks. Seejuures tuleb arvestada, et mitmed väikesed, kuid sageli esinevad riskid võivad omada kokkuvõttes olulist mõju. Riskide hindamisel võrreldakse riskianalüüsi käigus tuvastatud riskitaset aktsepteeritavate riskinormidega (Tabel 4 ülikooli riskinormid ja tegevused vastavate riskitasemete puhul). Kogu riski kaalutlemist peab dokumenteerima. Ülikooli riskinormid ehk riskide aktsepteerimise tingimused Tabel 4 ülikooli riskinormid ja tegevused vastavate riskitasemete puhul Riskitase Tegevus 1-4 Väga madal Riski aktsepteeritakse, seiratakse vähemalt kord aastas. 5-9 Madal Riski aktsepteeritakse, seiratakse vähemalt kord aastas. 10-14 Keskmine Riskiga tegeletakse võimaluse korral. Juhul, kui otsustatakse aktsepteerida riski, siis on see vajalik riskiomaniku poolt kirjalikult põhjendada. Riski seiratakse vähemalt kord aastas 15-19 Kõrge Risk vajab tegelemist. Riskiomanik peab panema paika tegevuskava. Riski seiratakse vähemalt kord 6 kuu jooksul. 20-25 Kriitiline Risk vajab kohest rektoraadi otsust ning tegelemist. Riski omanik peab viima riski rektoraati, seda selgitama ning tegema ettepanekud riski käsitluseks. Riski seiratakse ja tegevusi tehakse vastavalt rektoraadi otsuses toodud tähtaegadele Tegevused ja riskide hindamise sagedus erinevate riskitasemete puhul on kirjeldatud tabelis nr 4 . Riski aktsepteerimine on lubatud ainult juhul, kui riskiskoor jääb alla 10 ning täiendavad meetmed riski maandamiseks ei ole võimalikud või otstarbekad. 3 Riskikäsitlus Kõik riskid, mille riskitase ei vasta riski aktsepteerimise tingimustele, tuleb muul moel aktsepteeritavale tasemele tuua. Selleks tuleb igale riskile valida sobilik riskikäsitlusviis. Infoturbejuht koostab riskikäsitluse tegevuskava. Eesmärk on, et tuvastatud riskide jääkrisk oleks aktsepteeritaval tasemel (vähemalt madal või keskmine). Lähtudes riski iseloomust tuleb valida järgnevate riskikäsitlusmeetodite vahel ning need iga riski vaates ka sisustada - määrata tegevus, tähtaeg ning vastutaja. 3.1 Riski vältimine (avoid) Riski vältimise puhul välditakse tegevusi või tingimusi, mis riski tekitavad, nt loobutakse seadme kasutamisest, kolitakse teise asukohta vms. Riski vältimise käigus võivad tehtud muudatuste kaudu ilmneda uued riskid, mille puhul on tarvilik täiendav riskikäsitlus. 3.2 Riski vähendamine (mitigate) Riski muutmine ehk riski vähendamine tähendab seda, et täiendava meetme/kontrolli rakendamise, kõrvaldamise või muutmise teel vähendatakse riski mõju ja/või esinemise tõenäosust nii, et riskitase muutub korduvkaalutlemisel aktsepteeritavaks. (Näiteks rakendatakse infoturbe kontrolle E-ITS või ISO 27001)  8 Riski vähendamise meetme valikul tuleb arvestada, et pärast meetmete rakendamist oleks riskitase aktsepteeritav. Samas tuleb meetme valikul arvestada ajaliste, rahaliste, tehniliste jms kitsendustega. Riskide aktsepteerimise tingimused ja võimalused on toodud allpool. 3.3 Riski jagamine/ üleandmine (transfer) Riski jagamise puhul jagatakse riski mõne teise (välise) osapoolega, kes suudab selle konkreetse riskiga kõige paremini toime tulla (nt kindlustamine, allhankimine jms). Tuleb silmas pidada, et on võimalik jagada riski juhtimise kohustust tegevuse edasiandmise teel, kuid vastutus jääb siiski riski omanikule. Riski jagamine võib kaasa tuua ka uusi riske, mille puhul on tarvilik täiendav riskikäsitlus. 3.4 Riski säilitamine (accept) Riski säilitamise puhul langetatakse teadlik otsus edasistest tegevustest riski suhtes loobuda ning risk aktsepteerida. Ka aktsepteeritud riski tuleb monitoorida. Juhul kui riskitase ei rahulda riski aktsepteerimise kriteeriume, kuid siiski soovitakse riski aktsepteerida ning seda säilitada, peab otsus olema põhjendatud ning dokumenteeritud. Sellise otsuse peab kinnitama ülikooli rektoraat. Sellisel juhul jääb riski juurde märge "risk avatud". JÄÄKRISK Üldjuhul säilib riskikäsitluse järgselt teatud jääkrisk. Enamasti on jääkrisk sellisel tasemel, et seda on võimalik riski kriteeriumite kohaselt aktsepteerida. Jääkriski ei eksisteeri juhul, kui oht või nõrkus kaob täielikult ehk riski ei eksisteeri. 4 Riskide seire ja läbivaatus Riskiomanikel tuleb regulaarselt seirata tuvastatud riske, nende käsitlusmeetodite tulemuslikkust ning võimalikke uusi ilmnenud riske. Uute riskide seirega tegelevad protsessijuhid, infosüsteemide äriprojektijuhid, IT projektijuhid, infotehnoloogiliste varade omanikud ning infosüsteemidega seotud osapooled pidevalt ning riski tuvastamisel teavitavad sellest infoturbejuhti. Uue riski tuvastamisele järgneb ülejäänud riski kaalutlemise protsess, mille teostab vastava riskiomanik ning vajadusel nõustab riskiomanikku selles protsessis infoturbejuht. 5 Suhtlus. Teavitus. Konsulteerimine Infosüsteemidega ja infotehnoloogiliste varadega seotud riskide haldus toimub tsentraliseeritult ning riskid registreeritakse ühises töövahendis, mis võimaldab riskialase informatsiooni jõudmise osapooltele õigeaegselt ning riskihalduse protsess on läbipaistev kõigile huvitatud osapooltele. Riskiteavitus toimub läbi konsultatsioonide, koolituste ja infomaterjalide. Riskiteavitus tagab organisatsioonis väärtuste ühtlustamise ja riskihalduse sammude korratavuse. Riskiteavitus tagab erinevate riskimuljete ühtlustumise nii, et kogu organisatsioon on kursis riskihalduse protsessi ja tulemustega. 6 Rollid 6.1 Kantsler  Kinnitab infoturbealase riskihalduse korralduse; 6.2 Infoturbejuht:  infoturbealast riskide metoodika välja töötamine ja rakendamine;  nõustab, juhendab ning koolitab inimesi;  koondab tervikülevaadet infoturbealastest riskidest lähtudes registreeritud intsidentidest;  analüüsib intsidente ja seotud infoturbe riske;  küsib vajadusel intsidendi registreerijalt ja/või lahendajalt täiendavaid andmeid intsidendiasjaolude kohta;  9  teeb rektorile (rektoraadile) vähemalt kord aastas ülevaate organisatsiooni infoturbealasest riskihaldusest;  teeb ettepanekuid riskihalduse protsessi täiendamiseks; 6.3 Riskiomanik  Riskiomanik on isik (infosüsteemide äriprojektijuht või infotehnoloogise vara omanik), kes kaalutleb ja käsitleb riske, koostab riskikäsitluse tegevuskava oma riskide maandamiseks ning vastutab selle täitmise eest enda vastutusala piires.  Omanik hindab riski mõju ja esinemise tõenäosust, otsustab riskikäsitluse tegevused ning nende eest vastutajad, sh lepib kokku vastutajad ja maandamistegevused ka väljaspool enda vastutusala, kui need on vajalikud riski maandamiseks.  10 7 LISA 1 Mõju analüüs Tabel 5 Mõjude hindamine Tagajärg Vähene mõju Piiratud mõju Mõõdukas mõju Oluline mõju Kriitiline mõju Skoor 1 2 3 4 5 Ülikooli Tegevused on Tegevused on oluliselt Tegevused on oluliselt Tegevused on oluliselt Ülikoolile seatud eesmärke eesmärkide vähesel määral häiritud, aga eesmärkide häiritud, aga eesmärkide häiritud ning eesmärkide ei ole võimalik saavutada ja täitmine häiritud, aga saavutamine on võimalik saavutamine on võimalik saavutamiseks on vaja ülikooli põhiprotsessid ei eesmärkide ülikoolisiseste ülikoolisiseste ressursside oluliselt lisaressursse. toimi. saavutamine on ressursside ümberjaotamise teel, mis võimalik ilma ümberjaotamise teel, ei mõjutab osaliselt täiendavate mis ei mõjuta teiste eesmärkide saavutamist. ressurssideta. eesmärkide saavutamist. Mainekahju Negatiivsed  Negatiivsed  Negatiivne üksik  Negatiivne  Organisatsiooni kuulujutud kuulujutud meediakajastus. episoodiline maine laiem üksikute klientide klientide,  Regulaatorite suur meediakajastus. kahjustumine seas, mõni üksik partnerite, huvi  Paljud kasutajad ulatusliku kliendi kaebus. avalikkuse seas. organisatsiooni avalikult negatiivse  Regulaatorid tegevuse osas. kritiseerivad meediakajastuse näitavad üles  Ülikooli  Regulaatorite suur tõttu. huvi usaldusväärsus on huvi või sekkumine  Paljud kasutajad organisatsiooni seatud kahtluse organisatsiooni kritiseerivad ja tegevuse osas alla tegevusse. väljendavad soovi järelepärimiste  Ülikooli teenustest esitamisega. usaldusväärsuse loobuda. langus olulisel  Regulaatorite määral. ülisuur huvi või sekkumine  11 organisatsiooni tegevusse.  Ülikooli usaldusväärsuse langus kriitilisel määral. Mõjutatud Üks kuni 10 10-100 kasutajat 100-500 kasutajat 500-5000 kasutajat Enam kui 5000 kasutajat osapooled kasutajat Õiguslikud Suuline hoiatus. Kirjalik hoiatus. Kohtuvälised vaidlused, Kohtuvälised vaidlused, Järgnevad kohustused poolte kokkulepe võimalik. poolte kokkulepe võimalik, menetlustegevused, osalised sanktsioonid. kohtuvaidlused ja sanktsioonid. Kaasnevad kulud Kuni 2 000 eurot 2000-10 000 eurot 10001-49 999 eurot 49 999 –100 000 eurot Üle 100 000 euro Käideldavus Üksikute Mitme teenuse Mitme teenuse toimimine Mitme kriitiliste ja oluliste Kriitiliste teenuste töös väheoluliste ootuspärane toimimine on mõjutatud ja katkestusi teenuste toimimine on pikaajalised katkestused, teenuste on mõjutatud, esineb ei suudeta operatiivselt mõjutatud ja katkestusi ei mida ei suudeta nädala toimimine teenuse katkestusi, mida lahendada (kolme suudeta operatiivselt jooksul lahendada. mõjutatud või suudetakse operatiivse tööpäeva jooksul). lahendada (kolme Mõjutatud on väga tugevalt ajutiselt lahendada ning ülikooli Mõjutatud on saanud tööpäeva jooksul). ülikooli põhiprotsessid ning takistatud, kuid ei toimimist tervikuna ei mitmed olulised ülikooli Mõjutatud on ülikooli sellega osaliselt ülikooli mõjuta ülikooli mõjuta. protsessid ning sellega põhitegevust ning sellega tegevus seiskunud. toimimist osaliselt ülikooli tegevust ülikooli tegevus tugevalt tervikuna. häiritud. häiritud. Terviklus Andmete terviklus Andmete terviklus on Andmete terviklus on Andmete terviklus on väga Andmete terviklus on ei ole oluline, oluline, vajalik on oluline, vajalik on oluline, vajalik on oluline, vajalik on tuvastada eraldi tuvastada tehtud tuvastada tehtud tuvastada tehtud tehtud muudatused, kes tervikluskontrolle muudatused. muudatused, kes tegi, muudatused, kes tegi, tegi, millal tegi, kust ja ega millal tegi, kust ja kuhu millal tegi, kust ja kuhu kuhu pöördus, mida küsis ja logimistoiminguid pöördus, mida küsis ja pöördus, mida küsis ja mida sai vastuseks. Oluline pole vaja. mida sai vastuseks. mida sai vastuseks. on ka andmete tervikluse  12 tõestamine ehk vajalikud on tervikluse kontrollid kasutades krüptoprotseduure ning protseduuride kasutamine nende tervikluse kinnitamiseks. Konfidentsiaalsus Infovarad on Infovarad on seotud või Infovarad on seotud või Infovarad on seotud või Infovarad on seotud või seotud või käitavad ülikooli siseseks käitavad tundlikke või käitavad eriliigilisi käitavad kriitilisel tasemel käitavad avalikuks kasutamiseks mõeldud olulised piiratud isikuandmeid ja/või ülikoolisaladust. kasutamiseks andmeid ja/või kättesaadavusega andmeid ülikoolisaladust. mõeldud informatsiooni. (nt isikute töötasud, jne). informatsiooni. Privaatsus Isikuandmed Riive käitavatele Riive käitavatele Riive käitavatele Riive käitavatele puuduvad. isikuandmetele on isikuandmetele on isikuandmetele on isikuandmetele on väga ebatõenäoline. võimalik. tõenäoline. tõenäoline.