Infoturbe juhtimise süsteem ст. 4Infoturbe juhtimise süsteemi nõuded ja infoturbejuhi ülesanded

(1) Infoturbejuht peab alluma vahetult sellisele tasandile asutuses, mis võimaldab infoturbejuhile pandud ülesandeid täita.

(2) Kui infoturbejuhile pandud ülesandeid täidab asutuseväline teenuseosutaja, vastutab infoturbe tagamise eest asutuse juht.

(3) Infoturbejuhil on õigus ja kohustus raporteerida olulistest turvaintsidentidest ja asutusesiseste kordade rikkumisest asutuse juhile.

(4) Infoturbejuht:

1) vastutab infoturbega seotud ülesannete täitmise eest ning juhib infoturbe struktuuriüksust, kui see on moodustatud. Ta tagab infoturvet reguleerivate juhiste olemasolu, elluviimise ja ajakohastamise;

2) korraldab organisatoorsete, füüsiliste ja infotehniliste infoturbemeetmete rakendamist või asjaomase teenuse tellimist;

3) teeb oma ülesannete täitmisel koostööd andmekaitsespetsialistiga, kui asutus on sellise isiku määranud, riigi võrgu- ja infosüsteemile kohustusliku Eesti infoturbestandardi või rahvusvahelise standardi ISO/IEC 27001 rakendajaga ning riigisaladuse kaitset korraldava isiku või üksusega;

4) kontrollib infoturvet reguleerivate juhiste täitmist, hindab asutuse infoturbe tõhusust ning koostab sellekohase raporti, mille sisu ja esitamise sagedus määratakse kindlaks koostöös asutuse juhiga. Raport esitatakse asutuse juhile vähemalt kord aastas;

5) osaleb asutuse arendus- või IT-nõukogu töös ja infosüsteemide arendusprojektides ning nõustab infoturbe riskide hindamisel, uute turvameetmete loomisel või olemasolevate parendamisel;

6) korraldab asutuses turvameetmete rakendamist, olulise mõjuga küberintsidendi lahendamise raporti koostamist ja edastamist ning Riigi Infosüsteemi Ameti ja teiste asjakohaste isikute teavitamist küberintsidendist ja turvaintsidendist;

7) korraldab infosüsteemide valmisoleku kriisiolukorraks ning taasteplaani koostamise;

8) korraldab elutähtsa teenuse katkemisest või selle ohust teavitamise kriisiolukorra ja riigikaitse seaduse § 82 lõike 9 punkti 2 kohaselt, kui asutus osutab elutähtsat teenust ja teenuse toimepidevus on ohus elutähtsa teenuse osutamiseks kasutatavate infosüsteemide häirete tõttu;

9) teavitab töötajaid turvareeglitest, nõustab neid infoturbealaselt ning vajaduse korral korraldab asutuse töötajatele koolitusi üldise turvateadlikkuse tõstmiseks;

10) täidab teisi õigusaktides sätestatud ülesandeid.

(4¹) Lõike 4 punktis 6 nimetatud raport esitatakse Riigi Infosüsteemi Ametile iga kolme kuu järel. Raporti esitamise kohustust ei ole küberturvalisuse seaduse § 1 lõikes 2 nimetatud teabe töötlemisega seotud võrgu- ja infosüsteemides toimunud küberintsidentide kohta.

(5) Infoturbejuhil on õigus teha asutuse juhile ettepanek kaasata probleemide lahendamisele asjatundjaid.

(6) Infoturbejuht vastutab töö käigus kogutud ja koostatud dokumentide kaitstuse eest ja ei kasuta neis sisalduvat või muul viisil talle teatavaks saanud teavet teisiti kui oma tööülesannete täitmiseks.

(7) Kontrollimisel, tähelepanekute ja järelduste tegemisel, soovituste andmisel ning tulemustest teavitamisel on infoturbejuht sõltumatu ja kontrollitava suhtes objektiivne.

(8) Infoturbejuht teavitab asutuse juhti asjaolust, mis ohustab tema objektiivsust tööülesande täitmisel.