Lääne-Harju Vallavalitsuse infoturbepoliitika Art. 4Infoturbe organisatsioon ja vastutus

(1) Infoturbe korraldus vallas peab järgima rollipõhist vastutusjaotust ning Euroopa Liidu ja Eesti õigusaktide nõudeid, sh isikuandmete kaitse üldmäärust (GDPR), isikuandmete kaitse seadust (IKS), avaliku teabe seadust (AvTS) ja küberturvalisuse seadust (KüTS).

(2) Vallavalitsus tagab infoturbe prioriteetsuse ja infoturbe tagamiseks vajalikud ressursid. Vallavalitsus tagab infoturbepoliitika elluviimise, toimimise ja ajakohastamise, määrates infoturbega seotud isikute rollid ja ülesanded ning tagades infoturbe eest vastutavate töötajate pädevuse.

(3) Vallavalitsus koostab infovarade loetelu koos määratud kaitsetarbega, mille alusel hinnatakse E-ITS-i turvameetmete rakendatust ja koostatakse asjakohane rakendusplaan. Kaitsetarbe määramisel on keskne ülesanne hinnata infoturbe põhieesmärkide, s.o konfidentsiaalsuse, tervikluse või käideldavuse, rikkumise tagajärjel tekkivaid võimalikke kahjusid. Rakendatavad turvameetmed peavad olema põhjendatud ja dokumenteeritud selliselt, et igal ajal oleks võimalik hinnata nende vajalikkust ning asjakohasust.

(4) Vallavalitsuse infovarade ja E-ITS-i turvameetmete rakendatus ning riskanalüüs vaadatakse läbi vähemalt üks kord aastas koos valla eelarve koostamisega, samuti suuremate muutuste ja juhtumite korral. Infovarade kaitse tagatakse vastavalt määratud kaitsetarbele ja sellest tulenevatele E-ITS-i nõuetele.

(5) Vallavanem määrab isiku, kes täidab infoturbega seotud ülesandeid koostöös vallavalitsuse või hallatava asutuse infotehnoloogia- ja infoturbesüsteemide teenust osutava ettevõttega (nt infoturbejuht). Struktuuriüksuse infoturbe eest vastutab selle üksuse juht, kui ei ole määratud teisiti.

(6) Infoturbe eest vastutava isiku vastutusalad on:

1) infoturbemeetmete koordineerimine ja rakendamine;

2) turvaintsidentidest teavitamise ja lahendamise korraldamine ning nõuetekohane raporteerimine Riigi Infosüsteemi Ametile;

3) riskianalüüsi koostamise ja ülevaatuse juhtimine;

4) infoturbeteadlikkuse tõstmine.

(7) Infosüsteemi omanik peab tagama koos ligipääsuõiguste haldamisega infoturbenõuete järgimise ja rakendamise ning muudatuste mõju hindamise infoturbele.

(8) IT-teenuste, pilveteenuste ja muude infotehnoloogiateenuste pakkujad, sealhulgas Microsoft 365 kesksete teenuste osutajad, peavad tagama lepingujärgsete infoturbenõuete täitmise, turvastandardite järgimise, teenuste järjepidevuse ning turvaintsidentidest viivitamatu teavitamise.

(9) Infoturvalise keskkonna loomisel osalevad kõik vallavalitsuse ja tema hallatavate asutuste teenistujad ja töötajad, kes vastavalt oma rollile ja tööülesannetele osalevad infoturbe protsessis.

(10) Kõik valla teenistujad ja töötajad on kohustatud järgima infoturbekorda, teavitama viivitamata turvaintsidentidest ning käitlema andmeid ainult tööülesannete täitmiseks. Samuti peavad nad kasutama infovarasid ainult tööülesannete ja eesmärkide täitmiseks, kui muude regulatsioonidega ei ole sätestatud teisiti. Teenistujatele ja töötajatele tagatakse juurdepääs kehtivatele infoturbe dokumentidele ning neil on õigus teha ettepanekuid infoturbega seotud küsimustes infoturbe eest vastutavale töötajale ja asutuse juhtkonnale.