Riigikontroll: andmekogude päringute põhjendatust tuleks kontrollida
9. veebruar 2023, 10:50
Riigikontrolli hinnangul tuleks rohkem kontrollida riigi andmekogude päringute põhjendatust ja analüüsida logisid, et teada, kes, millal ja mis motiividel on andmeid kasutanud.
Viit tundlike andmetega riigi andmekogu auditeerinud riigikontroll jõudis järeldusele, et kuigi sealsetele andmetele pääsevad juurde vaid volitatud isikud, on kahe andmekogu puhul nende isikute juurdepääsuõigused põhjendamatult laiad.
Riigikontroll auditeeris andmekogusid, nagu sotsiaalkaitse infosüsteemi (SKAIS), sotsiaalteenuste ja -toetuste andmeregistri (STAR), karistusregistri (KARR), e-toimiku väärteomenetluse liidese (VMP) ja arendamisel olev automaatse biomeetrilise isikutuvastuse süsteemi andmekogu (ABIS).
«Tundlike andmete kasutajal peaks olema ligipääs just neile andmetele, mis puutuvad otseselt tema töösse ja mille teadmisvajadus tal on, kuid mitte rohkem,» ütles riigikontrolör Janar Holm. «Riigikontrolli hinnangul on kasutajate juurdepääs sotsiaalkindlustusameti andmekogude SKAIS1 ja STAR andmetele liiga ulatuslik ning see loob teatud riski andmete väärkasutamiseks.»
Sotsiaalteenuste ja -toetuste andmeregistris STAR on omavalitsuse ametnikul võimalik pääseda ligi teiste omavalitsuste elanikega seotud menetlustele ja neis sisalduvatele andmetele. Riigikontroll juhib tähelepanu, et STARis ei ole rakendatud logide analüüsimise ja päringute põhjendatuse kontrolliks vajalikke meetmeid.
Menetluste hulk, millele kasutajatel on juurdepääs, on suhteliselt suur, sest sotsiaalteenuste ja -toetuste andmeregister STAR on kasutusel olnud alates aprillist 2010 ja sellest ajast ei ole andmeid andmekogust välja viidud, näiteks arhiveeritud. See lisab suure hulga isikutega seotud andmete kaitsmise vajadusele veel suurema kaalu.
Riigikontrolli hinnangul peaksid STARi andmekogu kasutajad kohalikes omavalitsustes saama juurdepääsu enda omavalitsuses elavate inimeste andmetele. Kui aga vajatakse juurdepääsu teiste omavalitsuste elanikega seotud menetlustele, siis tuleks määrata kindlaks täiendava juurdepääsu valideerimise kontrolliprotseduur.
Riigikontroll on seisukohal, et juurdepääsuõiguste auditeerimine tuleks tundlike andmete korral edaspidi kohustuslikuks muuta, kuna see aitaks maandada andmete turvalisusega seonduvaid riske. Riigi andmekogudele kohustuslik infoturbe rakendamise audit tehti viiest auditeeritud andmekogust neljas. Neis auditites ei kontrollitud üle juurdepääsuhalduse mooduli turvameetmeid, kuna kolmeastmelise etalonturbe süsteemi ISKE auditeerimise juhend audiitoreid selleks ei kohustanud.
Riigikontroll märgib, et andmekogude logiandmeid on vaja pidevalt analüüsida, et võimalikult varakult avastada andmete väärkasutamine. Riigikontroll tuvastas auditi käigus, et ehkki logiandmeid – infot andmekogus toimunud sündmuste kohta – küll koguti ja säilitati, ei toimunud logiandmete süsteemset ja pidevat analüüsi. Asutuste või andmekogude tegevust reguleerivates dokumentides polnud seatud ka logiandmete analüüsimise ja seiramise kohustust.
Ka ei viidud auditeeritud andmekogudes läbi andmepäringute põhjendatuse regulaarset ega süstemaatilist seiret või kontrolli. Seesugused kontrollimised olid täpsemalt reguleerimata ka asutuste või andmekogude tegevust reguleerivates dokumentides. Kontrolle tehti pigem ebaregulaarselt ning vaid avastatud intsidentide, andmesubjektide päringute/kaebuste või muude väliste sündmuste järel.
Turvaintsidente on võimalik varajases staadiumis ja suuremate kahjudeta avastada vaid siis, kui andmekogude kasutust pidevalt seiratakse ja analüüsitakse logisid. Ilma selleta tekib tundlike isikuandmete lekke oht. Tuleks hinnata ka logide volitamata muutmisega seonduvaid riske ja rakendada logide tervikluse tagamiseks ajatembeldamise ja/või krüptoaheldamise lahendusi.