Digitaalne närvivõrk, millest sõltuvad meie avaliku ja erasektori teenused, on äärmiselt keerukas.
Selle iga sõlme töökindlus sõltub teiste sõlmede olemasolust ja terviklikkusest. Kui üks neist muutub kättesaamatuks, mõjutab see kõiki teisi süsteeme ja teenuseid, mis sellest sõltuvad.
Selline ristsõltuvus tähendab, et küberturvalisus pole asi iseeneses, vaid väga oluline osa tervikpildis, millele tuleb pidevalt tähelepanu pöörata.
Vajab suunda ja sihti
Kui küberturvalisuse valdkonnas puuduks riiklik poliitika ja strateegiline suund, oleks see võrreldav Browni liikumisega, kus kõik osakesed liiguvad juhuslikult, kuid ilma ühise eesmärgita.
Kujutagem ette riiki, kus küberturvalisust juhitakse vaid üksikute projektide ja juhuslike otsuste abil. Iga asutus ja organisatsioon tegutseks oma parima äranägemise järgi, kuid tulemuseks oleks killustatud süsteem, mis ei suuda ohtudele tõhusalt reageerida ega tagada kriitiliste teenuste toimepidevust. Pole kahtlust, et selline riik oleks kergelt haavatav.
Seetõttu on äärmiselt oluline, et digitaalselt arenenud riigid, sealhulgas Eesti, loovad ja rakendavad küberturvalisuses poliitikat, mis tugineb pikaajalisele visioonile ja süsteemsele lähenemisele. Nii inimesed, ettevõtted, kriitiline taristu kui ka avalik sektor peavad ühisest eesmärgist aru saama ja selle nimel pingutama.
Ühtne poliitika tagab, et küberturvalisuse meetmed on koordineeritud ja vastastikku toetavad ning võimaldavad muutuvatele ohtudele kiiresti ja paindlikult reageerida. Vaid nii saab riik olla piisavalt kaitstud ja vastupidav.
Riiklike infosüsteemide arhitektuur peab arvestama võimalikke ristsõltuvusi ja riske. On hädavajalik, et iga uue süsteemi või tehnoloogia integreerimisel hinnatakse selle mõju kogu süsteemile ning lähtutakse riskianalüüsist.
Riskihindamine pole ühekordne projekt, vaid järjepidev tegevus, mis peab sammu pidama muutuva ohupildi ja tehnoloogia arenguga.
Küberturvalisus pole pelgalt IT-probleem, vaid riigi jätkusuutlikkuse küsimus. Sarnaselt süsteemide vastupidavuse testimisega ja regulaarse riskihindamisega tuleb analüüsida ka organisatsiooni või riigi kui terviku vastupanuvõimet.
Ühtne õigusruum
Muutunud julgeolekuolukorra tõttu tuleb keskenduda sellele, et küberturvalisuse, võrgu- ja teabekaitse ning kriisiohje õigusruum oleks ühtlustatud, vastaks parimale praktikale ning tagaks Eesti riigi teenuste toimimise ja turvalisuse ka keerulistes olukordades.
Lähiajal on oluline, et rahvusvahelised direktiivid saaks Eesti õigusesse üle võetud nii, et oleks tagatud tasakaal riigikaitse, ettevõtlusvabaduse ja küberturvalisuse nõuete vahel.
Euroopa Liidu (EL) direktiivid on oluline osa Eesti küberturvalisuse raamistikust, kuid nende rakendamisel tuleb vältida jäiku ja läbimõtlemata lahendusi. Pahatihti märkame, et eestlastele on kombeks teha Vene lollus Saksa täpsusega. See tähendab, et ELi direktiivid ja regulatsioonid võetakse formaalselt ja täpselt üle, kuid unustatakse eesmärk ja saadav kasu. Tark lähenemine ELi direktiivide rakendamisel tähendab, et iga regulatsiooni mõju analüüsitakse ja kohandatakse kohalikele oludele vastavaks.
Näiteks võttes Eestis üle NIS2 direktiivi, mis määrab küberturvalisuse nõuded olulistele teenuseosutajatele, tuleb keskenduda mitte ainult tehniliste nõuete formaalsele täitmisele, vaid prioriseerida kohaliku ettevõtluse arendamist ja riigi digitaalse vastupanuvõime tugevdamist. Tuleb arvestada kohalike ettevõtete suurust, sektorite eripärasid ja taristu arengutaset.
Nii tagame, et regulatsioonid aitavad tõepoolest parandada turvalisust ega muutu koormavaks bürokraatiamasinaks. Viimasel juhul saavad konkurentsieelise hoopis suuremad rahvusvahelised ettevõtted, kellel on ressursid ja kogemused küberturvalisuse nõuetega kiiresti kohaneda. See poleks mõistagi Eesti huvides.
Vaatame tulevikku
Küberturvalisuse poliitikakujundajana keskendume lisaks hetkeprobleemide lahendamisele ka kaugemale tulevikule.
Kümmekonna aasta jooksul muudab kvantarvuti areng täielikult andmekaitse ja küberturvalisuse valdkonda, murdes lahti seni turvalise ja kindla krüptograafia.
Sellest tulenevalt peame juba praegu mõtlema kvantarvutuskindlatele algoritmidele ehk postkvant krüptograafiale.
Küberturvalisuse tagamisel ei piisa ainult füüsiliste, tehniliste ja protseduuriliste meetmete rakendamisest, vaid tarvis on süsteemset ja kogukondlikku lähenemist riigi kui terviku kaitseks. Küberturvalisus on riigi jätkusuutlikkuse küsimus ja me ei tohi seda alahinnata.
Selleks, et olla paremini kaitstud, peame ühendama oma teadmised ja oskused ning tegema koostööd mitte ainult avalikus sektoris, vaid ka erasektoriga ja rahvusvaheliselt. Küberturvalisus nõuab ühtset „meie“ mõtteviisi, kus unustatakse üksteisele näpuga näitamine, „sina või mina“ lähenemine ja töötatakse koostöös ühise eesmärgi nimel. Vaid nii saame tagada meie digiriigi turvalisuse.
Viimati uuendatud 03.02.2025
