Jõhvi valla infoturvapoliitika Art. 10Riskihaldus, standardid ja mõjuhinnang

(1) Riskihaldus ja infoturbe meetmete rakendamine põhineb Eesti infoturbestandardil, millega määratakse minimaalsed meetmed, mida tuleb rakendada IT teenusele ettenähtud turvataseme saavutamiseks ja säilitamiseks.

(2) Kui mõnda turvameedet ei ole võimalik või otstarbekas täita, rakendatakse alternatiivsed meetmed riski leevendamiseks. Meetme mitterakendamise aktsepteerib asutuse juht kirjalikult.

(3) Riskide minimeerimiseks vastuvõetavale tasemele võetakse asutuses kasutusele järgmised meetmed:

1) füüsilised meetmed ruumidele (näiteks uste, akende, seinte ja lukkudega seotud abinõud);

2) organisatsioonilised meetmed teenistujatele (näiteks protseduurireeglid, korrad ja eeskirjad turvanõuete täitmiseks);

3) infotehnoloogilised meetmed infosüsteemidele ja andmekogudele (näiteks ligipääsuõiguste andmise ja kasutamisega, viirusetõrjega, krüptimisega, varukoopiate tegemise ja ID-kaardi kasutamisega seotud abinõud).

(4) Andmekogudega seotud turvameetmete rakendamisel järgitakse auditeeritavuse printsiipi. Rakendatavad turvameetmed peavad olema põhjendatud ja dokumenteeritud selliselt, et hiljem oleks võimalik hinnata nende vajalikkust ning asjakohasust.

(5) Andmekaitse mõjuhinnang viiakse läbi, kui isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke arvesse võttes tekib füüsiliste isikute õigustele ja vabadustele tõenäoliselt suur oht. Mõjuhinnang tuleb läbi viia ka siis, kui hakatakse kasutama (uut) tehnoloogiat, millega varem kokkupuudet pole olnud.

(6) Andmekaitse mõjuhinnangu koostamist korraldab andmekaitsespetsialist või andmekaitsespetsialisti ülesandeid täitev teenistuja.