Tehisaru rakenduste kataloog
-
Kataloog annab sisendi teadliku otsuse tegemiseks erinevate pilvtoodete, sh TI kasutuselevõtuks.
-
Aitab teadvustada pilvtoodete ja TI-ga kasutamisega seotud riske ning kirjeldab, milliste meetmetega on võimalik neid riske maandada.
-
Suunab sobivatele koolituskeskkondadele, koolitustele ja juhendmaterjalile, millest saab täiendavat asjakohast informatsiooni.​
Pilvteenused, on-prem lahendused ja riskihaldus
Kõik tehisaru- ja tarkvaralahendused ei ole ühesugused. Oluline on teha vahet pilvtoodetel ja asutuse kontrolli all olevatel lahendustel, sest sellest sõltuvad riskid, vastutus ja vajalikud hindamised enne kasutuselevõttu.
Pilvtoode
Teenus või tarkvara, mida ei majutata asutuse enda kontrolli all. Ka tehisaru lahendus, mida ei käitata kliendi juures, on pilvtoode.
On-prem lahendus
Tarkvara või teenus, mida majutatakse ja hallatakse asutuse enda taristus või otsese kontrolli all.
Miks see oluline on?
Pilvteenuste kasutamisel võib andmete töötlemine toimuda väljaspool asutuse kontrolli. Eriti tähelepanelik tuleb olla siis, kui andmed liiguvad väljapoole Euroopa Liitu. Samuti on avalikus sektoris vältimatu kolmanda osapoole riskihaldus, sest sõltuvus välistest teenusepakkujatest kasvab ning pilvteenusepakkujad on sageli küberrünnakute peamised sihtmärgid.
Enne kasutuselevõttu
Enne tehisaru või pilvtoote kasutuselevõttu tuleb:
-
hinnata toote turvalisust
-
tuvastada kaasnevad riskid
-
koostada riskianalüüs
-
hinnata andmekaitse mõjuhinnangu vajalikkust
-
avaliku teabe töötlemisel tuleb lisaks hinnata ka avaliku teabe kaitse nõudeid
​​​
Usaldusväärsuse hinnangud
Tulenevalt pilvteenuste kasutamise nõuetest peavad avaliku sektori asutused hindama pilvtoodete, teenusepakkujate ja seotud osapoolte usaldusväärsust ning riske enne nende kasutuselevõttu. Usaldusväärsuse hinnang aitab teha kaalutletud otsuseid ning maandada avaliku teabe töötlemisega seotud riske.
​
Miks on usaldusväärsuse hinnang vajalik?
-
aitab ennetada ja hallata pilvteenuse kasutuselevõtuga seotud riske
-
toetab asutust kaalutletud otsuse tegemisel enne kasutuselevõttu
-
aitab hinnata, kas teenus sobib asutuse andmete ja tööprotsesside jaoks
-
annab sisendi riskianalüüsiks ja vajadusel maandamismeetmete valikuks
Oluline arvestada!
Riskianalüüsi ja lõplikku sobivushinnangut ei saa keegi asutuse eest täielikult ära teha. Vastutus teabe töötlemisega seotud riskide hindamise eest jääb teabeomanikule, sest andmekoosseisud, äriprotsessid ja nõuded on asutuseti erinevad.
Mille alusel teenuse usaldusväärsust hinnata?
Vastavus nõuetele
Kontrolli teenuse vastavust infoturbe- ja andmekaitsenõuetele ning seda, kas andmeid töödeldakse Euroopa Liidus.
Aktsepteeritavad riskid
Hinda, kas teenusega kaasnevad riskid on asutuse jaoks maandatavad või aktsepteeritavad.
Teenusepakkuja taust
Veendu, et teenusepakkuja või seotud osapooled ei kujuta endast vastuvõetamatut riski.
Juurdepääs andmetele
Kontrolli, kellel on juurdepääs andmetele ning millised on andmete liikumise ja töötlemise tingimused.
Koostöö on lubatud ja soovitatav
Asutus ei pea kogu hindamist alati nullist ise alustama. Riskide tuvastamisel võib kasutada teiste asutuste, näiteks RITi või RIA koostatud materjale ja hinnanguid. Samas tuleb iga asutuse puhul eraldi hinnata, kas tuvastatud riskid on konkreetse kasutusjuhtumi ja andmete vaates vastuvõetavad.
​
Millest alustada?
-
Määra, kas pilvteenust on tegelikult vaja ja milliseid andmeid seal töödeldakse.
-
Kaardista kasutusel olevad ja kavandatavad pilvteenused.
-
Tuvasta kaas- ja volitatud töötlejad ning andmete töötlemise asukohad.
-
Hinda riskid ja koosta usaldusväärsuse hinnang kasutusjuhtumi või teenuse kohta.
-
Uuenda hinnangut, kui teenuses, tingimustes või alltöövõtjates toimub muudatusi.
-
Vajadusel kasuta teiste asutuste koostatud hinnanguid abimaterjalina.
-
Hinda, kas teenus on asutuse andmete töötlemiseks sobilik.
-
Teavita RIA-t pilvteenuse kasutamisest.
-
Arvesta, et standardtingimusi ei pruugi olla võimalik muuta.
-
Planeeri ressurss ka hinnangute regulaarseks uuendamiseks ja monitooringuks.
​
Usaldusväärsuse hindamise komponendid
-
teenusepakkuja privaatsuspoliitika
-
volitatud töötlejad ja vahendajad
-
andmete liikumise ja töötlemise mehhanismid
-
teenuse tehniline arhitektuur ja turvameetmed
​
Usaldusväärsuse hinnangu väljund
Hinnangu tulemusena peaks olema vähemalt selgelt kirjeldatud:
-
privaatsuspoliitika vastavus
-
volitatud töötlejad
-
riskide olemus ja tase
-
riskide maandamise või aktsepteerimise meetmed
Riskiskoor
TI usaldusväärsuse hinnangute kuvamiseks kasutatakse valgusfoori loogikat. Selle eesmärk on anda kiire ja visuaalselt arusaadav ülevaade sellest, kas tootega kaasnevad riskid on üldjoontes madalamad, vajavad täiendavat hindamist või on kõrgemad.
​​
🟩 Roheline – turvaline toode
🟨 Kollane – vajab täiendavat hindamist ja meetmeid
Toote kasutamine võib olla võimalik, kuid sõltub kasutusjuhtumist, konfiguratsioonist ja täiendavate meetmete rakendamisest. Näiteks võib esineda andmete liikumist väljapoole Euroopa Liitu või sõltuvust kolmandatest osapooltest.
🟥 Punane – kõrge riskiga või üldjuhul mittesobiv
​
​NB! Riskiskoor on abivahend esmaseks hindamiseks. Lõplik otsus teenuse kasutamise kohta sõltub alati konkreetsest kasutusjuhtumist, töödeldavatest andmetest ja asutuse enda riskihinnangust.​
​
Pilvtoodete kasutamise riskid ja maandusmeetmed
Tehisaru ja pilvtoodete kasutuselevõtt eeldab riskipõhist lähenemist.
Hinnatud tooted ja teenused
Allpool on loetletud enamlevinud tehisaru tööriistad ja teenused, mille kohta on koostatud usaldusväärsuse hinnang ning esitatud riskiskoor esmaseks orienteerumiseks.
Hinnangud on kättesaadavad vajutades toote/teenuse nimel.
🟨 ChatGPT
.png)
🟩 Atlassian AI
🟩 Texta
🟨 Adobe Filefly
🟩 Gemini
🟩 Azure AI
🟩 Notion
.png)
Kuidas neid hinnanguid kasutada?
Keskseid usaldusväärsuse hinnanguid saab kasutada korduvkasutatava abimaterjalina. Teenuse kasutamise lõplik otsus ja kasutusjuhtumipõhine riskivastutus jäävad siiski teenust kasutavale asutusele või ettevõttele.
​
Oluline meeles pidada
Ükski teenus ei ole universaalselt “turvaline” või “usaldusväärne” kõigi asutuste jaoks ühtemoodi. Iga asutus peab hindama toote sobivust omaenda kontekstis.
​
Tehisaru kasutamise põhimõtted
Lisaks riskihindamisele ja kasutuselevõtu nõuetele tuleb tehisaru kasutamisel järgida ka tööalase kasutamise põhimõtteid: andmete töötlemise reegleid, inimese vastutust, väljundi kontrollimist ja läbipaistvust.
​