Eesti digiriigilt oodatakse palju. Ja õigusega. Oleme harjunud, et riigiga saab turvaliselt asju ajada kodust lahkumata, dokumendid liiguvad digitaalselt ning allkirja andmiseks pole vaja otsida pastakat ega leppida kokku kohtumist.
Olenemata sellest, kuidas inimesed riigiga suhtlevad, peab asjaajamine olema neile arusaadav, turvaline ja läbipaistev – vaid nii on võimalik hoida usaldust.
Näiteks digiallkirja puhul eeldame, et selle kehtivust kontrollitakse iga kord, kui dokumenti avame, samal ajal kui paberil antud allkirja ehtsust saame kodustes tingimustes märksa subjektiivsemate vahenditega kontrollida - näiteks analüüsides selle esitaja silmavaadet. Kontrollimise võimalused on erinevad, kuid mitte ootus usaldusväärsusele. Ja nendele ootustele tuleb vastata.
Ravimi kõrvalmõju ei tohi olla ebamugavam kui haigus
Kui kriitilises süsteemis avastatakse nõrkus või viga, on iga süsteemi omaniku eesmärk vähendada selle negatiivset mõju.
Ka hiljuti avalikkuses käsitletud ID-tarkvara turvanõrkuse puhul hindasime selle nõrkuse tehnilist olemust, ärakasutamise tõenäosust ja võimalikku mõju ning leidsime, et parandus ei vaja erakorralist tarkvarauuendust.
Seetõttu lisasime paranduse järgmisesse plaanipäraselt avalikustatavasse tarkvaraversiooni. Ka vana tarkvara liiga järsk piiramine võib teinekord hoopis häirida inimeste ja organisatsioonide igapäevast asjaajamist.
See ei tähenda, et kasutusmugavus oleks turvalisusest olulisem. Vastupidi, eesmärk on leida lahendus, mis kaitseb kasutajaid ja võimaldab neil digiteenuseid ka edaspidi turvaliselt kasutada. Turvalisuse tagamisel tuleb mõõta kogu ahelat alates nõrkuse avastamisest kuni paranduse paigaldamiseni ning lihtsamaim viis end ise kaitsta, on kasutada alati tarkvara uusimat versiooni.
Läbipaistvus ei tähenda kõigi tehniliste detailide kohest avalikustamist
Turvanõrkuste avalikustamine on üks küberturvalisuse keerulisemaid tasakaaluküsimusi. Kui intsidentidest teavitamisele kehtivad õiguslikud nõuded, siis avalikkusele avaldatava info detailsuse üle tuleb teha kaalutletud otsuseid. Ühelt poolt on inimestel õigus teada, millised riskid neid puudutavad.
Teisalt võib turvanõrkuse tehniliste üksikasjade liiga varajane avaldamine anda võimalikele ründajatele teavet, mida saab kasutada nõrkuse ärakasutamiseks, eriti juhul, kui kasutajad ei ole jõudnud veel oma tarkvara uuendada ja parandatud tarkvaraversioon pole piisavalt levinud.
Praktikas tähendab see sageli, et parandatud tarkvara tehakse kättesaadavaks enne, kui avaldatakse nõrkuse toimimise täpsem kirjeldus. See ei ole katse nõrkuse olemust varjata ega ebamugavat infot vaiba alla pühkida.
Näiteks Google rakendab turvanõrkuste käsitlemise praktikas 90 päeva reeglit, mis annab arendajale üldjuhul aega probleem parandada enne tehniliste üksikasjade avaldamist. See ei ole universaalne seadusest tulenev tähtaeg ega sobi automaatselt igale süsteemile. Kui nõrkust juba aktiivselt ära kasutatakse, peab riskide vähendamine ja vigase süsteemi piiramine algama kohe. Ka Apple avaldab suuremaid turvaparandusi sageli koos regulaarsete uuendustega
Lisaks ei ole reguleeritud ega kokku lepitud, kui detailselt ja kuidas peab turvanõrkuse olemusest avalikkust teavitama ning seetõttu on arusaadav, et siit tulevad ka erinevad ootused.
Hiljutiste ID-tarkvara turvanõrkuste ümber tekkinud arutelu on aga näidanud, et ühiskonnas on ootus saada põhjalikumaid selgitusi. RIA eesmärk on alati olnud suhelda ausalt ja läbipaistvalt ning seetõttu peame edaspidi püüdma pakkuda senisest põhjalikumat teavet.
Turvanõrkuse avastamine ei võrdu läbikukkumisega
Eesti digiriigi usaldusväärsus ei tugine sellele, et meil ei juhtu turvaintsidente. Turvalisus tähendab hoopis seda, et suudame riske vähendada, intsidente kiiresti avastada, nende järel oma süsteeme ja protsesse paremaks muuta ja siis ka neist ausalt rääkida.
On suuresti mõttemustri küsimus, kas turvanõrkuse avastamises nähakse üksnes probleemi või ka võimalust süsteeme parandada ja seeläbi tugevamaks saada. Eelhäälestusest sõltub ka tulemus, sest vigadest õppimine eeldab valmisolekut pakutud õppetund vastu võtta.
Iga kõrvaldatud turvanõrkus vähendab sellega seotud riski. Mõnikord tähendab see uue kaitsemeetme loomist, mõnikord tarkvara parandamist ja mõnikord ka ebamugavat eneseanalüüsi selle üle, kas oleksime saanud midagi paremini teha.
Avatud lähtekood kui kutse koostööle
(Küber)Turvalisus ei ole valitute privileeg. Digitaalsed lahendused peavad olema loodud kogu ühiskonna jaoks. Seadused loovad küll raamid ja minimaalsed nõuded, kuid tegelik turvatunne sünnib igapäevases käitumises, koostöös ja vastutustundes.
Üldsuse teavitamine, koolitamine ja ootuste juhtimine on samuti suuresti meie endi kätes. Eesmärk on, et meie digiriik ei saaks mitte ainult vanemaks, vaid ka paremaks ja seetõttu on riigi vastu usalduse tõstmine meie kõigi ühine vastutus.
Eesti digiriigi üks olulisi tugevusi on läbipaistvus ja nii on avalikult kättesaadav ka meie rakenduste lähtekood. See on teadlik valik, mis võimaldab sõltumatutel ekspertidel, teadlastel, tudengitel ja teistel huvilistel tarkvara kontrollida ning aidata seeläbi nõrkuste abil tugevamaks saada.
