Riigikontroll: riigi andmekogudes tuleks senisest enam kontrollida kasutajate päringute põhjendatust
Avaldatud: 9 veebruar, 2023
Riigikontroll auditeeris viit tundlike andmetega riigi andmekogu ja jõudis järeldusele, et kuigi sealsetele andmetele pääsevad juurde vaid volitatud isikud, on kahe andmekogu puhul nende isikute juurdepääsuõigused põhjendamatult laiad. Tuleks rohkem kontrollida andmepäringute põhjendatust ja analüüsida logisid, et teada, kes, millal ja mis motiividel on andmeid kasutanud.
Riigikontroll auditeeris andmekogusid nagu sotsiaalkaitse infosüsteemi (SKAIS), sotsiaalteenuste ja -toetuste andmeregistrit (STAR), karistusregistrit (KARR), e-toimiku väärteomenetluse liidest (VMP) ja arendamisel olevat automaatse biomeetrilise isikutuvastuse süsteemi andmekogu (ABIS).
„Tundlike andmete kasutajal peaks olema ligipääs just neile andmetele, mis puutuvad otseselt tema töösse ja mille teadmisvajadus tal on, kuid mitte rohkem,“ ütles riigikontrolör Janar Holm. „Riigikontrolli hinnangul on kasutajate juurdepääs Sotsiaalkindlustusameti andmekogude SKAIS1 ja STAR andmetele liiga ulatuslik ning see loob teatud riski andmete väärkasutamiseks.“
Sotsiaalteenuste ja -toetuste andmeregistris STAR on omavalitsuse ametnikul võimalik pääseda ligi teiste omavalitsuste elanikega seotud menetlustele ja neis sisalduvatele andmetele. Riigikontroll juhib tähelepanu, et STARis ei ole rakendatud logide analüüsimise ja päringute põhjendatuse kontrolliks vajalikke meetmeid. Menetluste hulk, millele kasutajatel on juurdepääs, on suhteliselt suur, sest sotsiaalteenuste ja -toetuste andmeregister STAR on kasutusel olnud alates aprillist 2010 ja sellest ajast saadik ei ole andmeid andmekogust välja viidud, näiteks arhiveeritud. See lisab suure hulga isikutega seotud andmete kaitsmise vajadusele veel suurema kaalu.
Riigikontrolli hinnangul peaksid STARi andmekogu kasutajad kohalikes omavalitsustes saama juurdepääsu enda omavalitsuses elavate inimeste andmetele. Kui aga vajatakse juurdepääsu teiste omavalitsuste elanikega seotud menetlustele, siis tuleks määrata kindlaks täiendava juurdepääsu valideerimise kontrolliprotseduur.
Riigikontroll on seisukohal, et juurdepääsuõiguste auditeerimine tuleks tundlike andmete korral edaspidi kohustuslikuks muuta, kuna see aitaks maandada andmete turvalisusega seonduvaid riske. Riigi andmekogudele kohustuslik infoturbe rakendamise audit oli läbi viidud viiest auditeeritud andmekogust neljas. Neis auditites ei olnud juurdepääsuhalduse mooduli turvameetmeid üle kontrollitud, kuna kolmeastmelise etalonturbe süsteemi ISKE auditeerimise juhend audiitoreid selleks ei kohustanud.
Riigikontroll märgib, et andmekogude logiandmeid on vaja pidevalt analüüsida, et võimalikult varakult avastada andmete väärkasutamine.Riigikontroll tuvastas auditi käigus, et ehkki logiandmeid – infot andmekogus toimunud sündmuste kohta – küll koguti ja säilitati, ei toimunud logiandmete süsteemset ja pidevat analüüsi. Asutuste või andmekogude tegevust reguleerivates dokumentides polnud seatud ka logiandmete analüüsimise ja seiramise kohustust.
Ka ei viidud auditeeritud andmekogudes läbi andmepäringute põhjendatuse regulaarset ega süstemaatilist seiret või kontrolli. Seesuguste kontrollimiste tegemine oli täpsemalt reguleerimata ka asutuste või andmekogude tegevust reguleerivates dokumentides. Kontrolle tehti pigem ebaregulaarselt ning vaid avastatud intsidentide, andmesubjektide päringute/kaebuste või muude väliste sündmuste järel.
Turvaintsidente on võimalik varajases staadiumis ja suuremate kahjudeta avastada vaid siis, kui andmekogude kasutust pidevalt seiratakse ja analüüsitakse logisid. Ilma selleta tekib tundlike isikuandmete lekke oht. Tuleks hinnata ka logide volitamata muutmisega seonduvaid riske ja rakendada logide tervikluse tagamiseks ajatembeldamise ja/või krüptoaheldamise lahendusi.
Taustaks
Auditi eesmärk oli hinnata, kas juurdepääsuhaldus on korraldatud kehtestatud nõuete ja parima praktika alusel, kas auditeeritud andmekogudes on rakendatud meetmeid, mis tagavad volitatud isikutele juurdepääsu andmekogule ja välistavad volitamata isikute juurdepääsu, ning kas rakendatud meetmed toimivad. Ekspertvalimi tulemusena auditeeriti järgmisi andmekogusid: sotsiaalkaitse infosüsteem (SKAIS), sotsiaalteenuste ja -toetuste andmeregister (STAR), karistusregister (KARR), e-toimiku väärteomenetluse liides (VMP), automaatse biomeetrilise isikutuvastuse süsteemi andmekogu (ABIS) (s.o veel arendamisel olev andmekogu).
Põhiline kriteerium, mille alusel valiti auditeerimiseks need andmekogud, oli nende andmete tundlikkus – viie andmekogu puhul on kehtestatud ISKE konfidentsiaalsuse turvaosaklass S2 või S3. Turvaosaklass S2 tähistab salajast infot: info kasutamine on lubatud ainult teatud kindlatele kasutajagruppidele, juurdepääs teabele on lubatav juurdepääsu taotleva isiku õigustatud huvi korral. S3 tähistab ülisalajast infot: info kasutamine lubatud ainult teatud kindlatele kasutajatele, juurdepääs teabele on lubatav juurdepääsu taotleva isiku õigustatud huvi korral.
Juurdepääsu haldusega tuleb tagada, et kasutajatel oleks juurdepääs üksnes nendele andmetele ja IT-ressurssidele, mida nad vajavad oma tööülesannete täitmiseks, ja ainult selles ulatuses, milleks neid on volitatud. Aruande täisteksti leiab siit:
https://www.riigikontroll.ee/DesktopModules/DigiDetail/FileDownloader.aspx?FileId=16227&AuditId=3560
Viimased uudised
Loading ...
Vaata siit elektri hinda tunni kaupa
TOP 10
Kuidas lisada Lõunaeestlase äpp
