Kommenteeri - Riigiportaalis olid ligipääsetavad üle 300 000 inimese andmed

9. juulil sulges riigi infosüsteemi amet (RIA) riigiportaalis eesti.ee ettevõtjatele mõeldud iseteeninduskeskkonnas olnud andmebaasi, kus oli 336 733 inimese ees- ja perekonnanimi, isikukood, töökoht ning osa puhul seos eelnevate ametikohtadega. Andmebaasile oli võimalik ligi pääseda ainult nendel inimestel, kelle andmed olid andmebaasis.

Andmebaas koos isikuandmetega oli nähtav neile ettevõtete esindajatele, kes olid loginud sisse iseteeninduskeskkonda ning teinud seal päringuid pääsuõiguste haldussüsteemis. Iseteeninduskeskkond on asutuse või ettevõtte volitatud isikutele mõeldud süsteem, kus saab määrata rolle oma töötajatele ning anda ligipääse erinevatesse teenustesse. 

Andmebaasis olevad andmed põhinevad äriregistril, kus neid uuendatakse perioodiliselt. RIA-l ei ole infot selle kohta, kas ja kuidas keegi infot endale võis salvestada. Andmetele ligipääsust andis teada tähelepanelik portaali kasutaja.

„Tegemist on kümmekond aastat tagasi loodud funktsiooniga, millega anti asutuste ja ettevõtete esindajatele õigused oma töötajate ligipääsusid hallata. Süsteem oli algselt ehitatud nii, et volitatud isikute andmed olid nähtaval ka teistele volitatud isikutele, kuna toona ei olnud ühiskondlik vaade ja lähenemine andmekaitsele ja privaatsusele selline nagu praegu. Mis põhjusel jäi aga keskkond ajakohastamata ning millised protsessid vajavad kriitilist tähelepanu, et sarnaseid asju tulevikus enam ei korduks, selle selgitame välja sisekontrolli menetlusega. Samuti teavitasime juhtunust andmekaitse inspektsiooni,“ ütles RIA peadirektori asetäitja Margus Arm.

Iseteeninduskeskkonna pääsuõiguste rakenduse osalise sulgemise tõttu peavad ettevõtete volitatud esindajad riigiportaalivälistes infosüsteemides oma töötajate rollide muutmiseks ja ligipääsude andmiseks pöörduma edaspidi RIA kasutajatoe poole aadressil help@ria.ee. Endiselt saavad ettevõtjad hallata eesti.ee-s paiknevate teenuste õigusi. See tähendab, et kui klient soovib anda raamatupidajale õiguseid töövõimetuslehe vormistamiseks (eesti.ee-s olev teenus), saab ta seda teha vanaviisi ehk RIA kasutajatoele (help@ria.ee) kirjutamata. Kui ta aga soovib anda oma töötajale õiguse riigiportaalivälise infosüsteemi teenuse kasutamiseks (nt anda töötajale õiguse teatud kaupade vedamiseks), peab ta kirjutama RIA kasutajatoele (help@ria.ee).

2021. aasta esimesel poolaastal kasutati iseteeninduskeskkonda umbes 120 korda kuus. Pärast keskkonna sulgemist on pääsuõiguste muutmiseks RIA kasutajatoe poole pöördutud keskmiselt kaks-kolm korda päevas. „Jälgime jooksvalt olukorda. Kui mahud kasvavad või ilmnevad mõned ajakriitilised protsessid, siis võtame kasutusele teised lahendused,“ märkis Arm.

Teema: Küberturvalisus