RIA registreerib igal aastal kümneid haridusasutusi tabanud küberintsidente, millest suurt osa oleks võimalik üsna kerge vaevaga ära hoida. Koolides tuleb ette andmelekkeid, kontode ja veebilehtede kaaperdamisi ning pettusi, aga ka ummistus- ja lunavararündeid ning palju muudki. Vaatame levinumatele ohtudele lähemalt otsa ja anname soovitusi nende vältimiseks.
Lekkisid õpilaste ja koolitöötajate andmed
Viimase paari aasta jooksul on Eestis teada kolm juhtumit, kus on lekkinud õpilaste ja koolitöötajate isikuandmed ning vähemalt ühel juhul panid kurjategijad need ka müüki. Tegu oli peamiselt kontakt- ja kontoandmetega ehk õnneks mitte kõige tundlikuma infoga.
Samas võivad koolid kokku puutuda ka tundlike, õpilaste tervist puudutavate andmetega. Hariduslike erivajadustega laste arengukaartides võidakse muu hulgas kirjeldada lapse käitumisraskusi ja terviseprobleeme, samuti kokkupuuteid politseiga. Sellise info avalikuks tulek võib tõsiselt kahjustada lapse tulevikku.
Õpilaste terviseandmetega puutuvad kokku ka koolide tervishoiutöötajad. Üks ohukohti on see, kui kooliõe arvuti asub samas võrgus, mida kasutab kogu ülejäänud koolipere (ja kõik teised, kel on salasõna). Infoturbe huvides tuleks kooli võrk segmenteerida ehk luua eraldi alamvõrgud vastavalt vajadusele näiteks õpetajatele, õpilastele, koolitöötajatele ja meditsiinipersonalile. Tegemist ei ole eriti keerulise ettevõtmisega, aga tihti jäetakse see teadmatusest tegemata.
Haridusasutuste piisavalt turvamata arvutivõrke on kasutatud isegi kuritegude toimepanemiseks, muu hulgas narkoäriks, mille uurimiseks on politsei pidanud koolidega ühendust võtma. Seega ohustavad küberintsidendid isikuandmete kõrval ka koolitöötajate ja laiemalt koolide mainet. Samamoodi võivad mainekahju tuua ikka ja jälle ette tulevad lood, kus mõne koolitöötaja, õpetaja või õpilase konto võetakse üle ning tema nimel saadetakse massiliselt ebasündsa sisuga kirju või läkitatakse teistele koolipere liikmetele ja lapsevanematele õngitsusi.
Selliseid juhtumeid aitab enamasti ära hoida tähelepanelikkus ja küberhügieeni soovituste järgimine.
Konto ülevõtmiseni viib tihti õngitsuslingi või pahavaraga faili avamine, uuendamata tarkvara, laokile jäetud paber salasõnaga või õpetaja lahti unustatud arvuti, mis on jäänud silma mõnele üleannetule koolijütsile.
Kontode kaitseks soovitame kindlasti sisse lülitada mitmeastmeline autentimine.
Aastatepikkune töö võib hetkega kustuda
Suur osa küberintsidentidest saab tegelikult alguse erinevatest tehnilistest probleemidest, mitte kellegi pahatahtlikkusest. Tänapäeval on oluline osa õppematerjalidest loodud digitaalsel kujul ja ka õppetöö tulemusi jäädvustatakse koolides sageli ainult digitaalselt.
Õppematerjalide hävimine tehnilise tõrke või küberrünnaku tõttu tähendab õpetajatele tundide uuesti ettevalmistamiseks tohutut lisatööd.
Aastate jooksul nähtud vaev võib olla hetkega nullitud. Hinnete kustumine või pahatahtlik muutmine võib aga põhjustada õpilastele suurt segadust ja hilisemaid probleeme oma õpitulemuste tõendamisel.
2024. aasta augustis hävisid lunavararünnaku tõttu kõik Järvamaa Kutsehariduskeskuse serverites olnud andmed, millest polnud varukoopiaid. Paremini läks juunis lunavaraga pihta saanud Tallinna Tervishoiu Kõrgkoolil, kus õnnestus töötajate ja tudengite failid järgmiseks päevaks varunduse abil taastada. Need juhtumid näitavad taas kord andmete varundamise tähtsust ja kindlasti tuleks varukoopiaid hoida muudest süsteemidest lahus.
Peale selle korraldatakse Eesti koolide vastu üsna tihti ummistusründeid, mille tulemusena võib olla kooli internetiühendus ja kogu töö mõnda aega häiritud. Ründemustreid vaadates on põhjust arvata, et paljude juhtumite taga on ilmselt kooliõpilased – sedalaadi ründeid on võimalik lihtsalt korraldada, sealhulgas küberkurjategijatelt teenusena tellida. Samas peaksid koolide infosüsteemid olema üles ehitatud nii, et neid ei saaks selliste massrünnetega häirida.
Kõiki riske pole kunagi võimalik nulli viia ja iga intsident on õppimiskoht – koolides infoturbe eest vastutavatel inimestel tasub kindlasti oma kogemusi kolleegidega jagada, et üksteiselt oleks võimalik õppida ja mõnes teises koolis ei juhtuks samamoodi. Paraku üritatakse need lood enamasti maha vaikida. Kui aga probleemidest kogukonnas ei räägita, ei teki ka ohuteadlikkust ja arvatake ekslikult, et midagi ei juhtugi. Nagu öeldakse: tark õpib teiste vigadest, rumal enda omadest.
Koolijuhil tasub omanikuga nõu pidada
Alati ei sõltu koolide küberturvalisus ainult nende enda tegevusest. Lõppenud aastal oli korduvalt probleeme näiteks haridus- ja teadusministeeriumi hallatava eksamite infosüsteemiga ja õppekeskkonnaga Moodle, mis näitab kesksetesse e-teenustesse investeerimise olulisust.
Samas on Eestis ka mitmeid eraettevõtete pakutavaid platvorme (nt e-päevikud) ja teenuseid, mille kasutamisele pole koolil sisuliselt alternatiive, sest konkurents on väike või puudub sootuks. Seaduse järgi peavad teenuste sisseostmisel tagama andmete kaitse siiski asutused ise. Seda on võimalik saavutada teadliku ja läbimõeldud väljast tellimisega, milleks on abi RIA loodud veebikoolitusest. Koolidel on mõistlik seljad kokku panna ning oma vajadused üheskoos läbi arutada, et neil oleks suhtluses teenusepakkujatega tugevam jõuõlg. Perearstide seltsi kogemus on näidanud, et niimoodi koostööd tehes on võimalik kergemini teenuslepingutes vajalikke muudatusi saavutada.
Küberturbe nõuete rakendamine võib alguses tunduda koolijuhile keerulise ülesandena, aga kui seda teha samm-sammult ja kindla plaani järgi, on see jõukohane.
RIA eksperdid näevad oma töös pidevalt, et küberturvalisuse tase ei sõltu enamasti kooli suurusest, vaid juhi suhtumisest: kuivõrd oluliseks peab ta seda, et koolipere andmed on kaitstud ning et tänapäevaseid õppe- ja töövahendeid saab kasutada turvaliselt, küberohte kartmata.
Enamik Eesti haridusasutusi kuulub kohalikele omavalitsustele ja sõltub neist eelarveliselt, mistõttu tasub koolijuhil küberturvalisuse parandamiseks kindlasti oma valla- või linnavalitsusega nõu pidada. Arvestades seda, et omavalitsustel on palju allasutusi, mis kasutavad sageli ühiseid infosüsteeme, võib neil olla mõistlik korraldada küberturvet keskselt – ükskõik, kas vajalikku personali palgates või mõnelt ettevõttelt teenust sisse ostes. Kogu omavalitsust hõlmava mudeli on Eestis valinud näiteks Pärnu linn ja Saaremaa vald.
RIA korraldab regulaarselt infopäevi-koolitusi, mis abistavad küberturvalisuse nõuete rakendamisel ja paljud neist üritustest on mõeldud just haridusasutustele. Samuti on RIA eksperdid valmis koole küberturbe nõuete osas otse nõustama ja kõik küsimused on oodatud aadressil [email protected].
Soovitused koolidele küberturbega alustamisel
- Kuna väga paljud küberohud on ärahoitavad töötajate küberteadmiste parandamisega, soovitame kõigepealt kasutusele võtta RIA pakutav tasuta Kübertest, millega on ühinenud juba sadakond kooli.
- Haridusasutuse juhil tasub infoturbe teemat kindlasti kooli omanikuga arutada nii ressursside eraldamise kui ka töökorralduse mõttes: näiteks kas oleks mõistlik korraldada kõigi omavalitsuse allasutuste infoturve ühiselt, palgata väline teenusepakkuja vms.
- RIA on koostanud haridusasutustele eraldi Eesti infoturbestandardi (E-ITS) profiili, kus on välja toodud just neile vajalikud turvanõuded. Samas tasub meeles pidada, et profiil vajab siiski konkreetse asutuse eripärade põhjal kohendamist.
- Profiil algab juhile mõeldud soovitustega, sest tal on oluline roll infoturbe eestvedamisel oma asutuses. Konkreetsemate tehniliste nõuete täitmiseks tasub juhil määrata vastutav inimene kas oma asutusest või väljastpoolt (näiteks infoturbejuht, IT-spetsialist või arvutiõpetaja).
- Küberturbe tõhusaks korraldamiseks on vaja kõigepealt teada, millised IT-varad koolile üldse kuuluvad. Selleks tuleb koostada ülevaade kasutusel olevatest seadmetest-tarkvaradest ning vaadata üle koolitöötajate ja õpilaste ligipääsud süsteemidele ja võrkudele. Kooli lõpetanud õpilaste ja lahkunud töötajate juurdepääsud on vaja kohe sulgeda.
- Teise praktilise sammuna tuleks panna paika kooli infoturbekord ehk kuidas kooli IT-seadmeid ja -süsteeme turvaliselt kasutada.
- IT-teenuste sisseostmisel on vaja kriitilise pilguga üle vaadata lepingud, et oleks täpselt teada, mida teenus hõlmab ja kuidas lahendatakse turvaintsidente.
- Koolis infoturbe eest vastutaval inimesel tasub kindlasti tutvuda kolme RIA loodud E-ITSi rakendamise e-koolitusega Digiriigi Akadeemias aadressil digiriigiakadeemia.ee. Koolitused on enamasti läbitavad tunni aja jooksul, annavad valdkonnast ülevaate ja jagavad praktilisi soovitusi:
E-ITSi ABC
E-ITSi rakendamine
Turvaline väljast tellimine
RIA järelevalve hakkab koole sagedamini külastama
Viimasel ajal on haridusasutustele rohkem tähelepanu pööranud ka RIA järelevalveosakond, kuna küberintsidentide suur arv viitab sellele, et koolid ei tegele infoturbega piisavalt.
2025. aastal on plaanis kontrollida riigigümnaasiume ja avalik-õiguslikke ülikoole ning ilmselt jõutakse ka mõne omavalitsusele kuuluva koolini.
Järelevalve eesmärk pole kedagi karistada, vaid hoida edaspidi ära suuri andmelekkeid ja katkestusi olulistes õppesüsteemides.
Selleks tuvastatakse turvanõrkused ja puudused küberturbe nõuete täitmisel ning suunatakse asutusi leitud probleeme mõistliku aja jooksul kõrvaldama. Seejuures saab ka asutus ise kaasa rääkida, mis ajaks ta jõuab asjad korda teha.
Kui kokkulepetest ei peeta kinni või keeldutakse üldse järelevalvega koostööst, siis on RIA-l võimalik määrata sunniraha, kuid reaalselt on sunniraha määramiseni jõutud õnneks vaid vähestel juhtudel.
Lisaks puuduste kõrvaldamisele konkreetses asutuses võimaldab järelevalve saada RIA-l parema ülevaate küberturbe olukorrast terves valdkonnas, juhtida tähelepanu levinud probleemidele, suunata paremini ennetustegevusi ning teha vajadusel ettepanekuid ka õigusaktide muutmiseks või lisaraha eraldamiseks.
Viimati uuendatud 03.02.2025
