Kambja valla küberintsidendi käsitlemise kord Art. 5Küberintsidendi lahendamine

(1) Küberintsidendi hindamine ja lahendamine toimub sellest puudutatud osapoolte koostöös, mida korraldab asutuse IT-teenuse osutaja. Teiste asutuste teenistujate kaasamise otsustab asjaomane juht vallavalitsuse infoturbejuhi ettepanekul.

(2) Küberintsidendi lahendamine toimub järgmiste etappide kaupa:

1) tuvastamine ja registreerimine – intsident registreeritakse vastavalt § 4 lõikes 2 sätestatud korrale;

2) esialgne hindamine ja triaaž – IT-teenuse osutaja hindab intsidendi raskusastet vastavalt § 3 lõikele 2 ning otsustab eskaleerimise vajaduse hiljemalt 1 tunni jooksul pärast teate saamist;

3) ohjamine – võetakse viivitamata meetmed kahju laienemise piiramiseks (nt nakatunud seadmete eraldamine võrgust, kasutajakontode blokeerimine, varunduse isoleerimine);

4) likvideerimine – kõrvaldatakse intsidendi põhjus (pahavara eemaldamine, turvanõrkuse sulgemine, volitamata ligipääsu lõpetamine, paroolide vahetus);

5) taastamine – süsteemide normaalne töö taastatakse kontrollitud viisil, veendudes enne, et oht on täielikult kõrvaldatud;

6) järelanalüüs – viiakse läbi vastavalt § 6 lõikele 1.

(3) Kontrolljälgede kogumiseks salvestatakse ja säilitatakse toimingute või sündmuste ajaloo väljaselgitamiseks infovarade haldamise ja kasutamisega seotud kontrolljäljed (logid).

(4) Kontrolljälg peab sisaldama vähemalt teostaja identiteeti, juhtumit ja selle toimumise aega. Kontrolljälgede salvestamisel ja säilitamisel peab olema tagatud nende vältimatus, käideldavus, terviklus ja konfidentsiaalsus.

(5) Hallatava asutuse küberintsidendi korral, kus asutusel puudub oma IT-tugi, täidab IT-teenuse osutaja ülesandeid vallavalitsuse IT-teenuse osutaja. Hallatava asutuse juht tagab intsidendi käigus koostöö ja juurdepääsu vajalikele süsteemidele.