Tehnilised ja organisatoorsed meetmed

1. Sissejuhatus

• 1.1. Tartu Ülikooli teadusarvutuste keskuse (edaspidi UT HPC) tehnilised ja korralduslikud meetmed tuginevad Tartu Ülikooli ning UT HPC kehtestatud nõuetele ja reeglitele ning lepingutest tulenevatele kohustustele.

• 1.2. UT HPC infoturbe aluseks on ISO/IEC 27001 nõuetele vastav inforturbe haldussüsteem.

• 1.3. UT HPC infoturbe haldussüsteemi eesmärk on ennetada ja vähendada turvaintsidente, tagada andmete ja teenuste kättesaadavus ning terviklikkus ning hoida ära andmete volitamata avalikustamine, mis võiks põhjustada ärilist, isiklikku või mainekahju.

• 1.4. Kõik UT HPC töötajad on teadlikud UT HPC tehnilistest ja korralduslikest meetmetest ning järgivad neid oma tööülesannete täitmisel.

• 1.5. UT HPC infoturbe tagamine põhineb infoturbemeetmete järjepideval hindamisel ja rakendamisel ning töötajate pideval koolitamisel.

• 1.6. Tehnilised ja korralduslikud meetmed kehtivad kõigile UT HPC haldusalas olevatele andme- ja infovaradele, mida kasutatakse UT HPC eesmärkide saavutamiseks.

2. Üldpõhimõtted

• 2.1. Infoturbe põhimõtteks on UT HPC hallatavate infovarade konfidentsiaalsuse, tervikluse ja käideldavuse tagamine.

• 2.2. UT HPC tagab infovarade omanikuna nende kaitseks piisavate ja asjakohaste turvameetmete valiku ja rakendamise.

• 2.3. Andmeid ja infovarasid kaitstakse kooskõlas UT HPC ja Tartu Ülikooli kehtivate poliitikate, kordade ning õigusaktidega, eelkõige andmekaitse, inimõiguste ja teabevabaduse valdkonda reguleerivate nõuetega.

• 2.4. Kõikidele UT HPC kriitilistele ja tundlikele infovaradele on määratud vastutav peaadministraator, kes vastutab infovara kaitseks vajalike turvameetmete rakendamise ja järelevalve eest.

• 2.5. Mitteavalikule teabele ja infovaradele on juurdepääs üksnes isikutel, kellel on selleks seaduslik alus ja tööülesannetest tulenev vajadus.

• 2.6. Iga isik, kellele on antud juurdepääs infovaradele ja andmetele, vastutab nende nõuetekohase ja konfidentsiaalsusnõuetele vastava käitlemise eest.

3. Konfidentsiaalsuskohustus

• 3.1. Konfidentsiaalsuskohustus kohaldub konfidentsiaalsele teabele ning on UT HPC töötajatele siduv tulenevalt õigusaktidest ja lepingulistest kohustustest.

• 3.2. Konfidentsiaalseks loetakse teave, millele juurdepääs on piiratud seaduse või lepingu alusel või mis on muul õiguspärasel alusel tunnistatud mitteavalikuks.

• 3.3. UT HPC käsitleb kõiki teenuse pakkumise käigus teatavaks saavaid/käsitletavaid andmeid konfidentsiaalsetena.

• 3.4. Kõik UT HPC töötajad, kes puutuvad oma tööülesannete täitmisel kokku konfidentsiaalse teabega, on kohustatud vähemalt:

  • 3.4.1. mitte avaldama neile teatavaks saanud konfidentsiaalset teavet, välja arvatud seadusest tuleneval kohustuslikul juhul või ulatuses, mis on vajalik tööülesannete täitmiseks;

  • 3.4.2. järgima kohaldatavaid andmekaitse alaseid õigusakte, sisemisi kordi ja kehtestatud protseduure;

  • 3.4.3. järgima konfidentsiaalsuskohustuse nõudeid nii töösuhte kestel kui ka pärast selle lõppemist.

• 3.5. Juhul kui lepingulise kohustuse täitmine on antud üle kolmandale isikule:

  • 3.5.1. sõlmitakse Tartu Ülikooli ja kolmanda isiku vahel kirjalik leping enne, kui töövõtjale võimaldatakse juurdepääs UT HPC infovaradele;

  • 3.5.2. leping peab sisaldama konfidentsiaalsust reguleerivaid sätteid.

• 3.6. Konfidentsiaalseid andmeid töödeldakse üksnes UT HPC serverites ning andmete edastamine füüsilistel andmekandjatel ei ole lubatud.

4. Juurdepääsuhaldus

• 4.1. Juurdepääsuõigused määratakse vähima vajalikkuse põhimõttel, mille kohaselt antakse juurdepääs üksnes neile infovaradele ja ressurssidele, mis on vajalikud tööülesannete täitmiseks või teenuste kasutamiseks.

• 4.2. UT HPC töötajate juurdepääsuõiguste andmist, muutmist ja tühistamist reguleerib UT HPC kehtiv juurdepääsuhalduse kord.

• 4.3. UT HPC töötaja tööülesannete või rolli muutumisel vaadatakse tema juurdepääsuõigused üle ning tühistatakse õigused, mis ei ole uute ülesannete täitmiseks vajalikud.

• 4.4. UT HPC töötaja töösuhte lõppemisel tühistatakse kõik talle antud juurdepääsuõigused ning kasutajakonto suletakse viivitamata.

• 4.5. UT HPC ressurssidele on administratiivsed juurdepääsuõigused üksnes selleks volitatud UT HPC töötajatel.

• 4.6. Volitamata juurdepääsu vältimiseks rakendatakse eraldi võrgu- ja tulemüüri reegleid ning kasutatakse tugevaid autentimis- ja juurdepääsumandaate.

• 4.7. Kõigile UT HPC ressursside kasutajatele on määratud kasutajarollid, mis piiravad nende juurdepääsu üksnes nende projektidega seotud andmetele ja ressurssidele.

• 4.8. UT HPC ressursside kasutajate määratud esindajatel on oma ressurssidele juurdepääsu-, lugemis- ning vajalikud muutmisõigused ulatuses, mis on vajalik ressursside haldamiseks ja projektiga seotud tegevuste teostamiseks.

5. Süsteemi toimingud

• 5.1. UT HPC tagab teenuseplatvormi ning selle komponentide ajakohasuse ja turvalise toimimise.

• 5.2. Operatsioonisüsteeme ja rakendusi hooldatakse järjepidevalt. Mittevajalikud ja/või ebaturvalised teenused keelatakse või piiratakse nendele juurdepääsu tulemüüri reeglite abil.

• 5.3. UT HPC kasutab oma võrkude, serverite, ruuterite, tulemüüride ja muude hallatavate süsteemide elektrooniliseks seireks ja auditeerimiseks vastavat tarkvara.

• 5.4. Riist- ja tarkvara muudatuste kavandamisel ja elluviimisel järgitakse Tartu Ülikooli kehtestatud nõudeid ning UT HPC sisemisi reegleid ja protseduure.

6. Füüsiline turvalisus

• 6.1. UT HPC-l on kaks andmekeskust, mis asuvad füüsiliselt eraldiseisvates Tartu Ülikooli õppehoonetes. Andmekeskused on geograafiliselt eraldatud ja asuvad eri linnaosades.

• 6.2. Kõik võrguseadmed ja serverid asuvad Tartu Ülikooli õppehoonetes suletud UT HPC andmekeskustes.

• 6.3. Andmekeskustes kasutatavad tulekustutussüsteemid toimivad automaatselt, on gaasipõhise lahendusega ning on ette nähtud andmekeskustes kasutamiseks.

• 6.4. Andmekeskuste konstruktsioonides ja sisustuses on viidud miinimumini süttivate materjalide (nagu puu, tekstiil jne.) kasutamine.

• 6.5. Andmekeskustes ei hoita kergestisüttivaid või tuleohtlikke esemeid ega materjale.

• 6.6. Andmekeskuste turvalisuse tagamiseks kasutatakse tehnilist valve- ja läbipääsusüsteemi ning videovalvet.

• 6.7. Valve- ja läbipääsusüsteem salvestab andmed juurdepääsu kaartide kasutamise ja andmekeskuste valvestamise toimingute kohta.

• 6.8. Füüsiliselt pääsevad andmekeskustesse ainult personaalset juurdepääsu õigust omavad valitud UT HPC töötajad.

• 6.9. Personaalse juurdepääsu õigusega isikud pääsevad andmekeskustesse töötõendi ja valvekoodi abil.

• 6.10. Andmekeskuste elektrooniline valve on deaktiveeritud ainult siis, kui keegi asub füüsiliselt andmekeskuses, on sinna sisenemas või sealt lahkumas. Andmekeskuste valve aktiveeritakse ka lühiajaliselt andmekeskusest lahkumise korral.

• 6.11. Ilma isikliku juurdepääsu õiguseta isikutel on võimalik andmekeskustesse siseneda üksnes andmekeskustesse juurdepääsu omava isiku juuresolekul.

• 6.12. Andmekeskused on varustatud katkematu toiteallikaga (UPS) ning andmekeskuste vool on tagatud ka andmekeskusega samas hoones asuvate diiselgeneraatorite abil, mis käivituvad voolukatkestuse korral automaatselt.

• 6.13. Andmekeskustes on tagatud optimaalne temperatuur ja õhuniiskus. Andmekeskustesse on paigaldatud temperatuuri ja õhuniiskuse andurid, mis temperatuuri või õhuniiskuse väljumisel etteantud piiridest edastavad automaatselt alarmi eelnevalt kindlaks määratud UT HPC töötajate mobiiltelefonidele.

7. Käideldavus ja terviklus

• 7.1. Käideldavuse ja tervikluse tagamiseks monitooritakse turvameetmeid järjepidevalt, sh hinnatakse nende jätkuvat asjakohasust, vaadatakse perioodiliselt üle kehtivad regulatsioonid, teostatakse infovarade igapäevast seiret, viiakse läbi infoturbe vastavuskontrolle ning reageeritakse muutustele ja infoturbeintsidentidele.

• 7.2. Teenuste järjepidevuse ja tavaolukorra taastamise protsessid dokumenteeritakse, testitakse ning vaadatakse üle vähemalt kord aastas või oluliste muutuste ilmnemise korral.

• 7.3. UT HPC tagab kriitiliste süsteemide ja teenuste kõrge käideldavuse, rakendades vajaduse korral dubleerimist, koormuse jaotamist ja muid tehnilisi lahendusi.

• 7.4. Andmete tervikluse tagamiseks kasutatakse sobivaid mehhanisme, sealhulgas õiguste haldamist, logimist ja kontrollmehhanisme, mis võimaldavad tuvastada volitamata muudatusi.

• 7.5. Kriitilistest andmetest tehakse regulaarselt varukoopiaid vastavalt kehtestatud varunduspoliitikale ning varukoopiate taastatavust kontrollitakse perioodiliselt.

• 7.6. Teenusekatkestuste ja andmekao riske hinnatakse regulaarselt ning nende maandamiseks rakendatakse asjakohaseid ennetavaid ja leevendavaid meetmeid.

• 7.7. Käideldavust ja terviklust mõjutavad intsidendid registreeritakse, analüüsitakse ning nende põhjal rakendatakse parandus- ja ennetusmeetmeid.

• 7.8. Olulistest katkestustest ja intsidendist teavitatakse asjakohaseid osapooli.

8. Turvaintsidendid

• 8.1. Turvaintsidente hallatakse kooskõlas Tartu Ülikoolis kehtivate kordadega ning UT HPC turvaintsidentide käsitlemise protseduuridega.

• 8.2. Turvaintsidente käsitletakse viisil, mis tagab kiire reageerimise ning minimeerib intsidendist tuleneva võimaliku kahju.

• 8.3. Turvaintsidendi lahendamise käigus kogutud teave dokumenteeritakse ja analüüsitakse eesmärgiga ennetada sarnaste intsidentide kordumist ning hinnata täiendavate turvameetmete rakendamise vajadust.

• 8.4. Juhul kui turvaintsidendi käsitlemisel ilmnevad kuriteo, väärteo, distsiplinaarsüüteo või töölepingu rikkumise tunnused, edastatakse juhtum edasiseks menetlemiseks vastavale pädevale asutusele või volitatud isikule.

• 8.5. Turvaintsidentide käsitlemise protsess ning rakendatavate turvameetmete asjakohasus vaadatakse läbi vähemalt kord aastas või oluliste muutuste ja suuremate intsidentide järgselt.

9. Logid

• 9.1. Vaikimisi hoitakse logisid alles kolm aastat.

• 9.2. Vaikimisi logitakse kasutajate, programmide ja süsteemsed tegevused. Logimisel on loodud mõningad eraldi kaalutletud spetsiaalsed erandid, millistel juhtudel kasutajate, programmide ja süsteemseid tegevusi ei logita (N: logid sisaldaksid delikaatseid isikuandmeid, logide vajadus puudub jne.).

• 9.3. Iga projekti/lahenduse puhul lepitakse eraldi kokku logimise detailsus ning logide säilitamise tähtaeg.

• 9.4. Kasutajaid teavitatakse logimisest ning see toimib ka heidutava meetmena.

• 9.5. Juhul, kui esineb tõrge logide kirjutamisel või tuvastatakse mõni muu anomaalia, siis sellest teavitatakse automaatselt UT HPC töötajaid.

• 9.6. Logimisel kasutatakse Elasticusse edastatavat andmevoogu, mis võimaldab ainult lisada uusi dokumente (logisid) ning ei võimalda muuta või kustutada juba edastatud logisid.

10. Varundamine

• 10.1. Varundamise eesmärk on tagada andmete säilimine ning nende taastatavus rikke, inimliku vea või muu ootamatu sündmuse korral.

• 10.2. UT HPC juhataja vastutab UT HPC hallatavate ressursside varundamise korraldamise, haldamise ja toimimise eest.

• 10.3. Varukoopiaid tehakse ja säilitatakse vastavalt lepingutes või kasutajatingimustes sätestatud tähtaegadele.

• 10.4. Varukoopiate tegemisel kasutatakse inkrementaalset meetodit ja on tagatud, et eelnevaid varukoopiaid ei ole võimalik muuta.

• 10.5. Varukoopiad tehakse lintidele, mis asuvad füüsiliselt teises andmekeskuses. Vastav UT HPC andmekeskus asub teises Tartu Ülikooli õppehoones ning UT HPC andmekeskused on geograafiliselt eraldatud ja asuvad eri linnaosades.

• 10.6. Lindirobotis asuvaid varundamise linte füüsiliselt ei eemaldata, välja arvatud erijuhul.

• 10.7. Varundamise andmete markeerimise (varundamise aeg, varundatud failid jne) eest vastutab lindiroboti andmebaas.

• 10.8. Varundamissüsteemi andmemahu kasvades 80%-ni maksimaalsest mahust, korraldatakse varundamise süsteemi laiendamine või väljavahetamine.

• 10.9. Varundamissüsteemi töökorda kontrollitakse pidevalt.

• 10.10. Varundamissüsteemi monitooritakse nii varundamissüsteemi sisemise monitooringuga kui ka varundamisserverist sõltumatu monitooringusüsteemiga.

• 10.11. Varundamissüsteemi riketele reageeritakse koheselt.

• 10.12. Kasutusest väljunud varundatud andmed kustutatakse ja andmekandjad lähevad korduvkasutusse.

• 10.13. Maha kantud lindid hävitatakse füüsiliselt, kasutades spetsiaalset teenusepakkujat ja kuni hävitamiseni hoitakse linte lindiroboti ruumis.

• 10.14. Kehtetuks märgitud varukoopiate eluiga on 90 (üheksakümmend) kalendripäeva, mille möödumisel varukoopiad kustutatakse.

• 10.15. Juhul, kui toimub suuremahuline andmete taastamine, siis (eelneval kooskõlastatusel UT HPC juhatajaga) vastavaks perioodiks võib ajutiselt peatuda varukoopiate tegemine.

• 10.16. Juhul, kui varundamise osas on sõlmitud erikokkulepped, mis on fikseeritud lepingus, lepingu lisas või memos, siis võib vastavate varukoopiate tegemise ajutiselt peatada ainult teise osapoole kirjalikul nõusolekul.

• 10.17. Andmete taastamist varukoopialt teostatakse vastavalt vajadusele.

• 10.18. Vähemalt üks kord aastas katsetatakse andmete taastamist varukoopiast. Juhul, kui tööalaselt andmete taastamise vajadus puudub, korraldatakse eraldi taaste harjutusõppus.

11. Töötajad

• 11.1. UT HPC tagab piisava arvu töötajaid, et tagada teenuste toimimine ja kättesaadavus nii planeeritud kui ka planeerimata puudumiste korral.

• 11.2. UT HPC töötajaid koolitatakse järjepidevalt infoturbe teemadel.