Veelgi enam, andmekogude omanikud arvavad, et pigem ei ole neid koopiaid võimalik hõlpsasti ja kiiresti töökõlblikuks muuta, sest töö ja teenuste taastamiseks on vaja, et ka rakendustarkvara ning erinevad tugiteenused toimiksid.

See on vaid üks riigikontrolli täna avalikustatud auditist, mis küsis "Kas Eesti riigi jaoks kriitiliste andmete säilimine on tagatud?" ja mis näitab auke Eesti kui e-riigi pealtnäha tugevates purihammastes.

Probleemid algavad algusest, ehk sellest, mis on kriitilise tähtsusega andmekogu. Eestis on praegu nendeks e-toimik, kinnistusraamat, äriregister, Riigi Teataja infosüsteem, maakataster, riigikassa infosüsteem, maksukohustuslaste register, rahvastikuregister, isikut tõendavate dokumentide register ja riiklik pensionikindlustuse register.

Riigikontroll nendib, et kuna tingimused kriitiliste andmekogude väljavalimiseks ei ole kindlaks määratud, puudub kindlus, et protsessi oleks kaasatud kõik vajalikud andmekogud.

Tõepoolest, siit puudub näiteks nii karistusregister kui ka kaitseväekohuslaste register. Neist viimane on hädavajalik kriitilises olukorras reservväelaste kokkukutsumisel.

Riigikontrolli hoolikalt sõnastatud järeldus peidab endas ränka hoiatust. Kuna mitmed andmekogud ongi olemas vaid digitaalselt, ja nende taastamist võimaldavad paberkoopiad puuduvad, siis "kümnest viie andmekogu puhul poleks praegu siinsete andmekeskuste hävimise korral riigi toimimiseks vajalike andmete säilimine tagatud". Mõned asutused ei ole ka täielikult mõistnud, milliste ohtude eest tuleb andmekogu kaitsta ja millisteks ohustsenaariumiteks valmistuda, teeb riigikontroll etteheite.

Kriitiliste andmekogude varundamise ja säilitamise probleemi lahendamiseks peaks leevendust pakkuma majandus- ja kommunikatsiooniministeeriumi kava luua andmesaatkond ehk oma serveriruum välisriigi riiklikus andmekeskuses ja hakata andmeid välismaale varundama elektrooniliselt, andmesidekanali vahendusel. See võimaldaks tagada peale andmete hoiustamise ka teenuste opereerimise võimekuse ehk kui Eestis mingi andmekeskus hävib, saab selle teenuseid osutada eemalt.

Selle eesmärgi saavutamiseks on astutud ka sammud – Luksemburgi andmekeskusega on sõlmitud leping, tegeldakse seadmete, sidekanali jm küsimustega. Juuni lõpupoole plaanitakse andmesaatkond käivitada, s.t valmis saab seadmetega varustatud serveriruum kriitiliste andmekogude varundamiseks. Algselt hoitakse seal ainult varukoopiaid, kuid edaspidi plaanitakse üles ehitada ka võimekus osutada andmesaatkonnast teenuseid.

Teiste andmesaatkondade loomist praegu planeeritud ei ole, seda teemat analüüsib ja otsustab majandus- ja kommunikatsiooniministeerium Luksemburgi projekti järel. Kuna praegu pole esimese andmesaatkonna tegevusega seotud üksikasjad kokku lepitud (nt mida, mil moel, millise sagedusega, millisel meetodil varundama hakatakse), ei ole ka kalkulatsiooni, kui palju võiks maksma minna kriitiliste andmekogude elektrooniline varundamine Luksemburgi andmesaatkonda (nt igale andmekogu omanikule).

Riigikontroll eeldas, et riik on määranud kindlaks kriitiliste andmekogude pidamisega seotud osapooled (nt keskne koordineerija, kriitilise andmekogu omanik) ning nende rollid (sh õigused, kohustused). Selline eeldus osutus valeks. Audit näitas, et seni on kogu protseduuri kirjeldatud vaid memos, mille kriitiliste infosüsteemide töögrupp 2017. aasta märtsis koostas. Üheski õigusaktis pole kriitiliste andmekogude määramise ja ülalpidamise reeglistikku ametlikult kindlaks määratud ega reguleeritud.

Nõutud sagedusega oli Eesti riigiasutustele kohustusliku infoturbesüsteemi ISKE järgimise auditeid läbi viidud vaid kahes kriitilises andmekogus kümnest. Kahes kriitilise tähtsusega andmekogus jõuti ISKE andmeturbeauditi tegemiseni alles riigikontrolli audititoimingute ajal 2017. aasta lõpupoole ehk seitse aastat hiljem, kui neis andmekogudes oleks seda kohustuslikus korras pidanud tegema.

Mitmes kriitilises andmekogus on olulisi puudujääke infoturbe tagamisel. Suur osa neist ei teagi, kui haavatavad need andmekogud on, sest ei ole tehtud väliseid läbistusteste – ei ole katsetatud, kas õnnestub väljast asutuse sisevõrku või andmekogusse sisse murda ja seal andmeid muuta või hävitada. Mõne kriitilise andmekogu füüsiline kaitse on töövälisel ajal enam kui mõtteline.

"Infoturbelahenduste "nähtamatus" on loonud olukorra, kus paljude valitsusasutuste infoturbe eest vastutavad ametnikud on kurtnud riigikontrolli audiitoritele, et nad ei suuda turvalisust puudutavaid investeeringuvajadusi või ka lihtsamate ennetusmeetmete vajalikkust enda asutuse juhtkonnale ega poliitilistele otsustajatele teiste valikute kõrval nähtavaks ja kuuldavaks teha," tunnistas riigikontrolör Janar Holm auditi kokkuvõttes. "Auditi tulemusena selgus, et põhjust näha ja kuulda ning lisaks ka nõuda, on piisavalt."

Riigikontroll andis ettevõtlus- ja infotehnoloogiaministrile Urve Palole kui valdkonna eest vastutavale valitsuse liikmele kaks soovitust. Esiteks määrata kindlaks reeglistik kriitiliste andmekogude täiendavaks kaitseks, sh kriitiliste andmekogude väljavalimiseks, neis andmete töötlemiseks ja riigi jaoks kriitiliste andmete varundamiseks ning hinnata, kas ja kuidas neid tegevusi täiendavalt rahastada. Teise soovituse kohaselt tuleks analüüsida andmesaatkondade rajamise eri etappe nii finantsplaneerimise kui ka infoturbe seisukohalt ning rakendada nende etappide elluviimisel projektijuhtimise parimat praktikat.

28. mail toimub kriitiliste andmekogude auditi arutelu parlamendi riigieelarve kontrolli erikomisjonis, kes kontrollib koostöös riigikontrolliga valitsust, et riigieelarve oleks täidetud ning riigi vara ja eelarve vahendeid kasutataks säästlikult, otstarbekalt ja õiguspäraselt.