Infoturbe mall advokaadibüroole, kus IT-inimest ei ole

Eesti Advokatuuri juhatuse 18.04.2023 juhis kehtestab infoturbe kaitsemeetmed 1–20 töötajaga büroodele, kellel IT-töötajat ei ole. Kaks tühja faili ja kümme sammu, millest alustada.

Kaks faili

Mis sa kätte saad?

Mikrobyroo_registrid_MALL.xlsx Excel

Kümme lehte: Juhis · Eneseanalüüs (kõik 55 meedet, iga meetme kõrval tõendi lahter) · Varad · Kontod · Andmed · Teenuseosutajad · Intsidendid · Koolitused · Kalender · Juhtorganid. Eneseanalüüs on selgroog, ülejäänud lehed ongi selle tõendid.

Mikrobyroo_infoturbe_kord_MALL.docx Word

Kaksteist peatükki pluss Lisa A (kinnitamine) ja Lisa B (mida see kord ei kata). Kuus tehnilist peatükki on kokku pandud üheks tabeliks: reeglid koos mõõdetud väärtusega, mitte esseed.

Mõlemas failis on kõik täidetavad kohad [nurksulgudes]. Muud ei pea muutma. Büroo enda andmeid neis ei ole — see on kontrollitud, mitte eeldatud.

Viis reeglit

Kuidas seda täidetakse?

Täida ainult nurksulud. Kõik kohad, mis vajavad sinu otsust või andmeid, on [nurksulgudes].
Alusta lehest „Eneseanalüüs“. 55 meedet, iga meetme kõrval tõendi lahter. Sealt tuleb välja, mida üldse vaja on.
Kirjuta „ei“ julgelt. Audit, kus kõik on „jah“, ei ole usutav. „Ei“ koos tähtajaga on parem kui „jah“ ilma tõendita.
„Kontrollimata“ ei ole „ei“. Kui vastust kätte ei saanud — õigused puudusid, aega ei olnud — jäta staatus tühjaks ja kirjuta põhjendusse „kontrollimata“. Tühjast väljundist ei tohi teha leidu. See on auditi kõige sagedasem viga.
Tõend on mõõdetud väärtus, mitte sõna „korras“. „Protection Status = Protection On, 30.09.2026“ on tõend. „Krüpteeritud“ ei ole.

Järjekord

Kümme sammu, mis annavad 80%

Kui aega on vähe, tee need kümme asja selles järjekorras. Ülejäänu tuleb hiljem. Kokku umbes kaheksa tundi ehk üks tööpäev — ja pärast seda on eneseanalüüsi kõige raskemad read tõendiga kaetud.

Täitmise järjekord

0 / 10 tehtud

Linnukesed jäävad sinu brauserisse. Keegi teine neid ei näe ja mina ka mitte.

Piir

Mis registrisse ei kirjutata?

Kolm asja, mis ei tohi registrisse jõuda

Paroolid, PIN-koodid, API-võtmed, kettakrüpteeringu taastevõtmed. Registrisse läheb ainult see, et võti on olemas ja kus seda hoitakse — mitte number. Krüpteerimata tabel taastevõtmetega on halvem kui krüpteeringu puudumine.
Kliendi isikuandmed, toimikute sisu, kliendinimed. Register on seadmete ja protsesside kohta. Kliendi asja materjalid elavad mujal.
Seadmete aktiveerimistunnused — Product ID, litsentsivõti.

Kaardistus

Milline leht katab millise meetme?

Leht	Mida ta katab	Meetmed
Eneseanalüüs	Staatus, tõend, vastutaja, tähtaeg	kõik 55
Varad	Seadmed ja tarkvara ühes	4.2.1.1 · 4.2.1.3 · 4.2.1.4 · 4.1.1.8
Kontod	Kontod, juurdepääsuõigused, MFA, vaikekontod	4.3.1.5–6 · 4.1.1.5 · 4.2.1.11 · 4.3.2.1
Andmed	Klassifikatsioon, säilitustähtaeg, hävitamine, andmevood	4.1.1.2–3 · 4.1.1.6–7
Teenuseosutajad	Pilv, IT, raamatupidamine, AI	4.11.1.1 · 4.11.1.2
Intsidendid	Juhtumite logi ja teavitatavad osapooled	4.9.1.1–3
Koolitused	Turvateadlikkuse kirjed	4.10.1.1–9
Kalender	Ülevaatuste tähtajad — see leht hoiab registri elusana	—
Juhtorganid	Õigusteenuse osutamise kord seoses kliendi juhtorganisse kuulumisega	eraldi kohustus, 12.01.2016

Mall vs TXL-i oma

Miks mall on lühem?

TECH x LEGALi enda register on 13 lehte ja kord 16 peatükki. Mikrobüroos osa registreid sisuliselt kattub ja eraldi hoidmine toodab tööd ilma vastavust parandamata.

TXL-is eraldi	Mallis koos	Miks
Riistvara + Tarkvara	Varad	Sama küsimus: mis mul on, kas see on toe all, kas krüpteeritud
Kontod + Juurdepääsud	Kontod	1–3 inimese puhul on konto ja juurdepääs üks rida
Andmed + Andmevood	Andmed	Iga andmeliigil on mikrobüroos üks voog
Kuus tehnilist peatükki	Ptk 5, üks tabel	Reeglid, mitte esseed — iga rea kõrval mõõdetud väärtus

Lühem on ainult failide arv. Eneseanalüüsis on 55 meedet ja iga koondatud leht katab needsamad meetmenumbrid. Eneseanalüüs on kokku pandud juhise põhjal, kuid meetmete täielik joondamine juhise numeratsiooniga ei ole tehtud. Kontrolli meetmeid alati juhise kehtivast tekstist.