Saarde Vallavalitsuse infoturbepoliitika Art. 9Infotehnoloogiliste meetmete üldised turbenõuded

(1) Vallavalitsuse infoturbe infrastruktuur peab tagama optimaalsed kulutused turvanõuete täitmiseks ja varade kaitseks.

(2) Iga uue infotehnoloogia komponendi soetamise aluseks on selle kasutuskontseptsioon, mille väljatöötamisel arvestatakse ka komponendi integreerimisvõimalusi olemasolevasse infotehnoloogia kooslusesse ning mõju olemasolevatele turvamehhanismidele.

(3) Uusi riistvarakomponente või uut tarkvara ei tohi enne neid testimata kasutusele võtta. Kõikide infotehnoloogia komponentide installeerimise käigus tuleb järgida infoturbe põhimõtteid ning installeerimisprotseduuri reegleid. Kasutatavas arvutustehnikas ei tohi olla liigseid programme ega andmeid.

(4) Seadmete remonti saatmisel ja utiliseerimisel tuleb eelnevalt eemaldada füüsilised andmekandjad, kui need võivad sisaldada asutusesiseseks kasutamiseks mõeldud andmeid või tuleb andmed andmekandjatelt eelnevalt turvaliselt kustutada.

(5) Juurdepääs kõikidele infotehnoloogia süsteemidele peab olema kaitstud (nt salasõnaga).

(6) Infotehnoloogia komponentide funktsioonid, mille kasutamine pole vajalik või on keelatud, võimalusel suletakse.

(7) Kõik vallavalitsuse serverisüsteemid asuvad teenuse pakkuja serverites. Ametiasutuses on kasutusel töötajatele mõeldud sisevõrk ning külalistele internetti ligipääsu võimaldav välisvõrk. Serverite turvalise haldamise tingimused on kirjas teenuse pakkujaga sõlmitud lepingus.

(8) Kõik tarbetud paberdokumendid hävitatakse. Käibelt kõrvaldatud andmekandjad hävitatakse füüsiliselt. Hävitatavad andmed kustutatakse turvaliselt sellisel viisil, mis välistab nende taastamise.

(9) Logid peavad võimaldama tuvastada vähemalt lubatavaid ja lubamatuid ressursside poole pöördumisi või pöörduskatseid, nende täpset aega ja lähtekohta. Rakenduste, süsteemi- ja võrgulogisid peavad rakenduste, süsteemide ja võrkude haldajad ja vajaduse korral need esitatakse vallavalitsusele.

(10) Turvaintsidentide käsitlemisel, samuti oluliste tehniliste, organisatsiooniliste, õiguslike vm sisemiste või väliste muudatuste korral selgitatakse välja võimalike turbemuudatuste vajadus. Infoturbe meetmed vaadatakse üle vähemalt üks kord aastas.

(11) Välisvõrgust sisevõrku pöördumisel ja tundlike andmete edastamisel üldkasutatavas võrgus on lubatud vaid turvatud ja krüpteeritud sidesessioonid (VPN, HTTPS jt). Tundlikud andmed tuleb eelnevalt krüpteerida kasutades selleks ID-kaarti või muud aktsepteeritud krüptolahendust.

(12) Võrgu füüsiline struktuur peab vastama loogilisele kolmetsoonilisele struktuurile: välisosa, tulemüüriga eraldatud sisemine osa ja demilitariseeritud tsoon väliste serverite jaoks.

(13) Tulemüüri haldamisel lähtutakse põhimõttest, et mis ei ole lubatud, on keelatud. Tulemüüri haldamisega tegeleb vastava teenuse pakkuja tingimustel, mis on kokku lepitud.

(14) Kogu kaabeldus (elektri-, andmeside-, telefoni-, signalisatsioonsüsteemi- ja muu kaabeldus) peab olema tähistatud ja dokumenteeritud ning võimalusel paiknema varjatult.

(15) Kõikidele infosüsteemidele ja edastatavatele andmetele rakendatakse viirusetõrjet, mille andmebaase uuendatakse perioodiliselt.

(16) Informatsiooni edastamiseks kasutataval andmekandjal (nt CD/DVD, mälupulk, mälukaart jms) ei tohi olla asjasse mittepuutuvat infot ega peitandmeid.

(17) Kasutatav tarkvara peab vastama kõigile autorikaitse- ja litsentsitingimustele.

(18) Varundatud andmete hoidmisel rakendatakse ISKE turvameetmeid, lähtudes varundatud andmete maksimaalsest turvaklassist.