Tehnilised ja organisatoorsed meetmed

1. Sissejuhatus

• 1.1. Tartu Ülikooli teadusarvutuste keskuse (edaspidi UTHPC) tehnilised ja korralduslikud meetmed tuginevad Tartu Ülikooli ning UTHPC kehtestatud nõuetele ja reeglitele ning lepingutest tulenevatele kohustustele.

• 1.2. UTHPC infoturbe aluseks on ISO/IEC 27001 nõuetele vastav inforturbe haldussüsteem.

• 1.3. UTHPC infoturbe haldussüsteemi eesmärk on ennetada ja vähendada turvaintsidente, tagada andmete ja teenuste kättesaadavus ning terviklikkus ning hoida ära andmete volitamata avalikustamine, mis võiks põhjustada ärilist, isiklikku või mainekahju.

• 1.4. Kõik UTHPC töötajad on teadlikud UTHPC tehnilistest ja korralduslikest meetmetest ning järgivad neid oma tööülesannete täitmisel.

• 1.5. UTHPC infoturbe tagamine põhineb infoturbemeetmete järjepideval hindamisel ja rakendamisel ning töötajate pideval koolitamisel.

• 1.6. Tehnilised ja korralduslikud meetmed kehtivad kõigile UTHPC haldusalas olevatele andme- ja infovaradele, mida kasutatakse UTHPC eesmärkide saavutamiseks.

2. Üldpõhimõtted

• 2.1. Infoturbe põhimõtteks on UTHPC hallatavate infovarade konfidentsiaalsuse, tervikluse ja käideldavuse tagamine.

• 2.2. UTHPC tagab infovarade omanikuna nende kaitseks piisavate ja asjakohaste turvameetmete valiku ja rakendamise.

• 2.3. Andmeid ja infovarasid kaitstakse kooskõlas UTHPC ja Tartu Ülikooli kehtivate poliitikate, kordade ning õigusaktidega, eelkõige andmekaitse, inimõiguste ja teabevabaduse valdkonda reguleerivate nõuetega.

• 2.4. Kõikidele UTHPC kriitilistele ja tundlikele infovaradele on määratud vastutav peaadministraator, kes vastutab infovara kaitseks vajalike turvameetmete rakendamise ja järelevalve eest.

• 2.5. Mitteavalikule teabele ja infovaradele on juurdepääs üksnes isikutel, kellel on selleks seaduslik alus ja tööülesannetest tulenev vajadus.

• 2.6. Iga isik, kellele on antud juurdepääs infovaradele ja andmetele, vastutab nende nõuetekohase ja konfidentsiaalsusnõuetele vastava käitlemise eest.

3. Konfidentsiaalsuskohustus

• 3.1. Konfidentsiaalsuskohustus kohaldub konfidentsiaalsele teabele ning on UTHPC töötajatele siduv tulenevalt õigusaktidest ja lepingulistest kohustustest.

• 3.2. Konfidentsiaalseks loetakse teave, millele juurdepääs on piiratud seaduse või lepingu alusel või mis on muul õiguspärasel alusel tunnistatud mitteavalikuks.

• 3.3. UTHPC käsitleb kõiki teenuse pakkumise käigus teatavaks saavaid/käsitletavaid andmeid konfidentsiaalsetena.

• 3.4. Kõik UTHPC töötajad, kes puutuvad oma tööülesannete täitmisel kokku konfidentsiaalse teabega, on kohustatud vähemalt:

  • 3.4.1. mitte avaldama neile teatavaks saanud konfidentsiaalset teavet, välja arvatud seadusest tuleneval kohustuslikul juhul või ulatuses, mis on vajalik tööülesannete täitmiseks;

  • 3.4.2. järgima kohaldatavaid andmekaitse alaseid õigusakte, sisemisi kordi ja kehtestatud protseduure;

  • 3.4.3. järgima konfidentsiaalsuskohustuse nõudeid nii töösuhte kestel kui ka pärast selle lõppemist.

• 3.5. Juhul kui lepingulise kohustuse täitmine on antud üle kolmandale isikule:

  • 3.5.1. sõlmitakse Tartu Ülikooli ja kolmanda isiku vahel kirjalik leping enne, kui töövõtjale võimaldatakse juurdepääs UTHPC infovaradele;

  • 3.5.2. leping peab sisaldama konfidentsiaalsust reguleerivaid sätteid.

• 3.6. Konfidentsiaalseid andmeid töödeldakse üksnes UTHPC serverites ning andmete edastamine füüsilistel andmekandjatel ei ole lubatud.

4. Juurdepääsuhaldus

• 4.1. Juurdepääsuõigused määratakse vähima vajalikkuse põhimõttel, mille kohaselt antakse juurdepääs üksnes neile infovaradele ja ressurssidele, mis on vajalikud tööülesannete täitmiseks või teenuste kasutamiseks.

• 4.2. UTHPC töötajate juurdepääsuõiguste andmist, muutmist ja tühistamist reguleerib UTHPC kehtiv juurdepääsuhalduse kord.

• 4.3. UTHPC töötaja tööülesannete või rolli muutumisel vaadatakse tema juurdepääsuõigused üle ning tühistatakse õigused, mis ei ole uute ülesannete täitmiseks vajalikud.

• 4.4. UTHPC töötaja töösuhte lõppemisel tühistatakse kõik talle antud juurdepääsuõigused ning kasutajakonto suletakse viivitamata.

• 4.5. UTHPC ressurssidele on administratiivsed juurdepääsuõigused üksnes selleks volitatud UTHPC töötajatel.

• 4.6. Volitamata juurdepääsu vältimiseks rakendatakse eraldi võrgu- ja tulemüüri reegleid ning kasutatakse tugevaid autentimis- ja juurdepääsumandaate.

• 4.7. Kõigile UTHPC ressursside kasutajatele on määratud kasutajarollid, mis piiravad nende juurdepääsu üksnes nende projektidega seotud andmetele ja ressurssidele.

• 4.8. UTHPC ressursside kasutajate määratud esindajatel on oma ressurssidele juurdepääsu-, lugemis- ning vajalikud muutmisõigused ulatuses, mis on vajalik ressursside haldamiseks ja projektiga seotud tegevuste teostamiseks.

5. Süsteemi toimingud

• 5.1. UTHPC tagab teenuseplatvormi ning selle komponentide ajakohasuse ja turvalise toimimise.

• 5.2. Operatsioonisüsteeme ja rakendusi hooldatakse järjepidevalt. Mittevajalikud ja/või ebaturvalised teenused keelatakse või piiratakse nendele juurdepääsu tulemüüri reeglite abil.

• 5.3. UTHPC kasutab oma võrkude, serverite, ruuterite, tulemüüride ja muude hallatavate süsteemide elektrooniliseks seireks ja auditeerimiseks vastavat tarkvara.

• 5.4. Riist- ja tarkvara muudatuste kavandamisel ja elluviimisel järgitakse Tartu Ülikooli kehtestatud nõudeid ning UTHPC sisemisi reegleid ja protseduure.

6. Füüsiline turvalisus

• 6.1. UTHPC-l on kaks andmekeskust, mis asuvad füüsiliselt eraldiseisvates Tartu Ülikooli õppehoonetes. Andmekeskused on geograafiliselt eraldatud ja asuvad eri linnaosades.

• 6.2. Kõik võrguseadmed ja serverid asuvad Tartu Ülikooli õppehoonetes suletud UTHPC andmekeskustes.

• 6.3. Andmekeskustes kasutatavad tulekustutussüsteemid toimivad automaatselt, on gaasipõhise lahendusega ning on ette nähtud andmekeskustes kasutamiseks.

• 6.4. Andmekeskuste konstruktsioonides ja sisustuses on viidud miinimumini süttivate materjalide (nagu puu, tekstiil jne.) kasutamine.

• 6.5. Andmekeskustes ei hoita kergestisüttivaid või tuleohtlikke esemeid ega materjale.

• 6.6. Andmekeskuste turvalisuse tagamiseks kasutatakse tehnilist valve- ja läbipääsusüsteemi ning videovalvet.

• 6.7. Valve- ja läbipääsusüsteem salvestab andmed juurdepääsu kaartide kasutamise ja andmekeskuste valvestamise toimingute kohta.

• 6.8. Füüsiliselt pääsevad andmekeskustesse ainult personaalset juurdepääsu õigust omavad valitud UTHPC töötajad.

• 6.9. Personaalse juurdepääsu õigusega isikud pääsevad andmekeskustesse töötõendi ja valvekoodi abil.

• 6.10. Andmekeskuste elektrooniline valve on deaktiveeritud ainult siis, kui keegi asub füüsiliselt andmekeskuses, on sinna sisenemas või sealt lahkumas. Andmekeskuste valve aktiveeritakse ka lühiajaliselt andmekeskusest lahkumise korral.

• 6.11. Ilma isikliku juurdepääsu õiguseta isikutel on võimalik andmekeskustesse siseneda üksnes andmekeskustesse juurdepääsu omava isiku juuresolekul.

• 6.12. Andmekeskused on varustatud katkematu toiteallikaga (UPS) ning andmekeskuste vool on tagatud ka andmekeskusega samas hoones asuvate diiselgeneraatorite abil, mis käivituvad voolukatkestuse korral automaatselt.

• 6.13. Andmekeskustes on tagatud optimaalne temperatuur ja õhuniiskus. Andmekeskustesse on paigaldatud temperatuuri ja õhuniiskuse andurid, mis temperatuuri või õhuniiskuse väljumisel etteantud piiridest edastavad automaatselt alarmi eelnevalt kindlaks määratud UTHPC töötajate mobiiltelefonidele.

7. Käideldavus ja terviklus

• 7.1. Käideldavuse ja tervikluse tagamiseks monitooritakse turvameetmeid järjepidevalt, sh hinnatakse nende jätkuvat asjakohasust, vaadatakse perioodiliselt üle kehtivad regulatsioonid, teostatakse infovarade igapäevast seiret, viiakse läbi infoturbe vastavuskontrolle ning reageeritakse muutustele ja infoturbeintsidentidele.

• 7.2. Teenuste järjepidevuse ja tavaolukorra taastamise protsessid dokumenteeritakse, testitakse ning vaadatakse üle vähemalt kord aastas või oluliste muutuste ilmnemise korral.

• 7.3. UTHPC tagab kriitiliste süsteemide ja teenuste kõrge käideldavuse, rakendades vajaduse korral dubleerimist, koormuse jaotamist ja muid tehnilisi lahendusi.

• 7.4. Andmete tervikluse tagamiseks kasutatakse sobivaid mehhanisme, sealhulgas õiguste haldamist, logimist ja kontrollmehhanisme, mis võimaldavad tuvastada volitamata muudatusi.

• 7.5. Kriitilistest andmetest tehakse regulaarselt varukoopiaid vastavalt kehtestatud varunduspoliitikale ning varukoopiate taastatavust kontrollitakse perioodiliselt.

• 7.6. Teenusekatkestuste ja andmekao riske hinnatakse regulaarselt ning nende maandamiseks rakendatakse asjakohaseid ennetavaid ja leevendavaid meetmeid.

• 7.7. Käideldavust ja terviklust mõjutavad intsidendid registreeritakse, analüüsitakse ning nende põhjal rakendatakse parandus- ja ennetusmeetmeid.

• 7.8. Olulistest katkestustest ja intsidendist teavitatakse asjakohaseid osapooli.

8. Turvaintsidendid

• 8.1. Turvaintsidente hallatakse kooskõlas Tartu Ülikoolis kehtivate kordadega ning UTHPC turvaintsidentide käsitlemise protseduuridega.

• 8.2. Turvaintsidente käsitletakse viisil, mis tagab kiire reageerimise ning minimeerib intsidendist tuleneva võimaliku kahju.

• 8.3. Turvaintsidendi lahendamise käigus kogutud teave dokumenteeritakse ja analüüsitakse eesmärgiga ennetada sarnaste intsidentide kordumist ning hinnata täiendavate turvameetmete rakendamise vajadust.

• 8.4. Juhul kui turvaintsidendi käsitlemisel ilmnevad kuriteo, väärteo, distsiplinaarsüüteo või töölepingu rikkumise tunnused, edastatakse juhtum edasiseks menetlemiseks vastavale pädevale asutusele või volitatud isikule.

• 8.5. Turvaintsidentide käsitlemise protsess ning rakendatavate turvameetmete asjakohasus vaadatakse läbi vähemalt kord aastas või oluliste muutuste ja suuremate intsidentide järgselt.

9. Logid

• 9.1. Vaikimisi hoitakse logisid alles kaks aastat.

• 9.2. Vaikimisi logitakse kasutajate, programmide ja süsteemsed tegevused. Logimisel on loodud mõningad eraldi kaalutletud spetsiaalsed erandid, millistel juhtudel kasutajate, programmide ja süsteemseid tegevusi ei logita (N: logid sisaldaksid delikaatseid isikuandmeid, logide vajadus puudub jne.).

• 9.3. Iga projekti/lahenduse puhul lepitakse eraldi kokku logimise detailsus ning logide säilitamise tähtaeg.

• 9.4. Kasutajaid teavitatakse logimisest ning see toimib ka heidutava meetmena.

• 9.5. Juhul, kui esineb tõrge logide kirjutamisel või tuvastatakse mõni muu anomaalia, siis sellest teavitatakse automaatselt UTHPC töötajaid.

• 9.6. Logimisel kasutatakse Elasticusse edastatavat andmevoogu, mis võimaldab ainult lisada uusi dokumente (logisid) ning ei võimalda muuta või kustutada juba edastatud logisid.

10. Varundamine

• 10.1. Varundamise eesmärk on tagada andmete säilimine ning nende taastatavus rikke, inimliku vea või muu ootamatu sündmuse korral.

• 10.2. UTHPC juhataja vastutab UTHPC hallatavate ressursside varundamise korraldamise, haldamise ja toimimise eest.

• 10.3. Varukoopiaid tehakse ja säilitatakse vastavalt lepingutes või kasutajatingimustes sätestatud tähtaegadele.

• 10.4. Varukoopiate tegemisel kasutatakse inkrementaalset meetodit ja on tagatud, et eelnevaid varukoopiaid ei ole võimalik muuta.

• 10.5. Varukoopiad tehakse lintidele, mis asuvad füüsiliselt teises andmekeskuses. Vastav UTHPC andmekeskus asub teises Tartu Ülikooli õppehoones ning UTHPC andmekeskused on geograafiliselt eraldatud ja asuvad eri linnaosades.

• 10.6. Lindirobotis asuvaid varundamise linte füüsiliselt ei eemaldata, välja arvatud erijuhul.

• 10.7. Varundamise andmete markeerimise (varundamise aeg, varundatud failid jne) eest vastutab lindiroboti andmebaas.

• 10.8. Varundamissüsteemi andmemahu kasvades 80%-ni maksimaalsest mahust, korraldatakse varundamise süsteemi laiendamine või väljavahetamine.

• 10.9. Varundamissüsteemi töökorda kontrollitakse pidevalt.

• 10.10. Varundamissüsteemi monitooritakse nii varundamissüsteemi sisemise monitooringuga kui ka varundamisserverist sõltumatu monitooringusüsteemiga.

• 10.11. Varundamissüsteemi riketele reageeritakse koheselt.

• 10.12. Kasutusest väljunud varundatud andmed kustutatakse ja andmekandjad lähevad korduvkasutusse.

• 10.13. Maha kantud lindid hävitatakse füüsiliselt, kasutades spetsiaalset teenusepakkujat ja kuni hävitamiseni hoitakse linte lindiroboti ruumis.

• 10.14. Kehtetuks märgitud varukoopiate eluiga on 90 (üheksakümmend) kalendripäeva, mille möödumisel varukoopiad kustutatakse.

• 10.15. Juhul, kui toimub suuremahuline andmete taastamine, siis (eelneval kooskõlastatusel UTHPC juhatajaga) vastavaks perioodiks võib ajutiselt peatuda varukoopiate tegemine.

• 10.16. Juhul, kui varundamise osas on sõlmitud erikokkulepped, mis on fikseeritud lepingus, lepingu lisas või memos, siis võib vastavate varukoopiate tegemise ajutiselt peatada ainult teise osapoole kirjalikul nõusolekul.

• 10.17. Andmete taastamist varukoopialt teostatakse vastavalt vajadusele.

• 10.18. Vähemalt üks kord aastas katsetatakse andmete taastamist varukoopiast. Juhul, kui tööalaselt andmete taastamise vajadus puudub, korraldatakse eraldi taaste harjutusõppus.

11. Töötajad

• 11.1. UTHPC tagab piisava arvu töötajaid, et tagada teenuste toimimine ja kättesaadavus nii planeeritud kui ka planeerimata puudumiste korral.

• 11.2. UTHPC töötajaid koolitatakse järjepidevalt infoturbe teemadel.