Juht ei tohi üksi särada

Riigi Infosüsteemi Ameti peadirektori asetäitja küberturvalisuse alal ehk sisuliselt Eesti küberturvalisuse juht Lauri Aasmann peab juhtimises kõige olulisemaks hea atmosfääri ja töökultuuri loomist. Küsis Erik Samel.

Milline on Eestis praegu üldine küberturvalisuse olukord?

Pigem hea. Meil on olemas ekspertteadmised ja praktika selle kohta, millised küberturbe lahendused toimivad ja kuidas infosüsteeme turvaliselt ehitada. Teadmine ilma tellimuseta on aga poolik rehkendus, see tähendab, et soov turvalisust suurendada peab tulema operaatoritelt ja kasutajatelt – seda on raske peale suruda.

Laias laastus seisneb küberturve halbade tagajärgede ärahoidmises ja kogu tegevuse, mida me riigi poolt lükkame, võib koondada märksõna ennetus alla. Väga üldistatult tähendab see, et kui teeme ennetuskampaaniaid või koostame küberjuhtumite raporteid, siis mitte selleks, et kellegi meelt lahutada, vaid et inimesed sellest õpiksid. Et ettevõtted ja asutused paikaksid oma süsteeme just selle pilguga, et „näe, kellelgi midagi juhtus, ja ma ei taha, et minuga sama juhtuks“.

Kui veidi meie struktuuri kirjeldada, siis küberturvalisus tagatakse nelja üksteist täiendava funktsiooni kaudu. Esiteks on tehniline intsidendi käsitlemise osakond ehk CERT-EE meie silmad ja kõrvad ehk esimene kaitseliin välise liikluse ja ühenduste ees. Nende tööriistad ja eksperdid korjavad perimeetrilt maha suuremad ründed ja kogu teadaoleva pahavara. Kõike halba ära hoida ei saa, sest mõni rünnak on nii oskusklikult disainitud, et masinad ei tunne neid ära. Oskuslikult seadistatud masinad aitavad tänapäeval turbe tagamisel hiiglama palju, aga masina peale lõpuni lootma jääda ei saa. Kuni kurjategijad on inimesed, on vaja masina kõrvale spetsialiste. Inimfaktor tuleb meil mängu ka teistpidi ehk kasutajate näol, sest kõige rohkem küberintsidente põhjustavad just nemad: ikka vajutatakse mõnele lingile, mille kaudu pahavara arvutisse lastakse. Sel moel põhjustatud tulekahjude kustutamisele kulub umbes veerand kogu meie tööajast.

Analüüsi osakond võtab selle teadmise, mida me rünnetest või nende katsetest ja uutest tehnoloogiatest õpime, ja teeb selle inimkeeles arusaadavaks ning kanaliseerib vastavalt vajadusele kas ettevõtete infoturbejuhtidele või riigi tippjuhtkonnale teadlikkuse tõstmiseks ja strateegiliseks otsustamiseks. Hoiame töös mitmeid koostööliine välispartnerite ja liitlastega, et Eesti eksperdid ja seisukohad oleksid rahvusvaheliselt nähtavad.

Kolmas liin on kriitilise informatsiooni infrastruktuuri kaitse ehk valmisolek lahendada küberintsidendist põhjustatud kriisi. Küberruumist alguse saanud kriisi mõjud kanduvad tavaliselt kiiresti üle füüsilisse maailma. Näiteks on kaardimaksesüsteemi rikkel mõju autotranspordile, kuna tanklatest ei  ole võimalik kütust väljastada, või mõjutab laoprogrammi rike toidukaupade kättesaadavust kauplustest, sest kaubatellimused ei jõua kesklattu. Sõltuvus elektrist tuli valusalt välja viimase sügistormi ajal, logistika poolelt ilmnes aga pärast esimest koroonakriisi uus vajadus kiirete kojukandelahenduste järele.

Me peame oskama sellist sõltuvust märgata ja teenuspakkutel on vaja neid oma toimepidevuse riskianalüüsides ja plaanides ette näha. Meie roll on tabada ära hetk, mil intsidendi mõju väljub küberruumist ja tuleb kaasata teisi partnereid. Seda kõike harjutame õppustel ja väljaõppega. Peame tagama selle, et kõik olulise või elutähtsa teenuse pakkujad, näiteks haiglad, pangad, vee-, kütte- ja elektriettevõtted, oleksid teadlikud sellest, kuidas oma süsteemi kaitsta ja mida teha siis, kui juhtub mingi õnnetus.

Neljas lüli ketis on infoturbestandardi haldus ehk meetmete paikapanek, millega vähendada ohtu ja tagada andmete ning andmekogude turvalisus. Oleme koos partneritega välja töötanud täiesti uue Eesti infoturbestandardi, mis hakkab asendama seni sakslastelt laenatud standardit ISKE. Lisaks teeme järelevalvet nõuete täitmise üle.

Nii me toimetame ja ma ütleks, et see ring on üsna loogiline ning katab ära kõik küberturbe tahud ja kaasab ka kogukonna, mis on minu jaoks hästi oluline.

Keda kogukond antud juhul hõlmab?

Neid, kelleni me tahame oma sõnumi viia ja kellel me palume kaasa mõelda: riigiasutused, aga ka erasektori ettevõtted, kelle süsteemid tuleb riigi toimimise seisukohast käimas hoida ehk siis needsamad elutähtsa ja olulise teenuse osutajad. Eesti küberturvalisuse pärast muret tundev seltskond ei ole suur ja tihti liigutakse riigist erasektorisse või vastupidi. Kogukonnas ollakse pigem personaalselt kui asutuse mütsiga, see tähendab, et töökoha vahetusega ei arvata kedagi välja, pigem õpitakse uuest kogemusest.

Mis muutub pärast uue infoturbestandardi rakendamist?

Eesti infoturbestandardi tutvustamine sihtgruppidele juba käib. Uus standard on etalonturbepõhine, mis tähendab, et on kirjeldatud näidisohud ja näidismeetmed lähtudes ettevõtte äriprotsessidest. Vastutus infoturbe tagamise eest laieneb ja kaasab edaspidi ka juhtkonda. Uut standardit on kergem ka hoomata, sest mahult vähenes see ISKE-ga võrreldes ligikaudu 10 korda. Standardit loomulikult täiendatakse iga aasta.

Mis peale uue standardi veel prioriteetideks on?

Euroopas on palju riike, kes tunnustavad Eesti digiriigi lahendusi ja soovivad mugavust ning kokkuhoidu silmas pidades jõuda samasse kohta. Näiteks on Saksamaa, Prantsusmaa ja Ühendkuningriigi riiklikus küberturvalisuse keskuses igaühes ligikaudu 1000 töötajat. Turvalisust silmas pidades investeerivad nad meist palju rohkem tehnilisse teadus- ja arendustöösse. Meil on vähemalt keskmisel tasemel asjad küberturvalisuse vallas tehtud ja olemas teadmine ning kogemuste baas.

Teadus- ja arendustegevuse võimekus on meil samuti vaja uuele tasemele tõsta. Arvestades tulevikutehnoloogiaid kasvab vajadus sellise tehnilise ja hästi spetsiifilise teadmuse järele üha enam. Kui võtame näiteks mingi internetivõrku ühendatava seadme, siis peame aru saama, mida see teeb ehk milline haavatavus koos näiteks lambipirni või valvekaameraga meie võrku tuleb. Telefoni teel juhitav lambipirn võib küll olla väga tore ja mugav, aga kasutaja peab aru saama, et sellega kaasnevad tootja otsas funktsionaalsused, mille olemasolu ta ei saa eeldada. Näiteks kui see lambipirn või koduvalvekaamera hakkab meiega suhtlema Hiinas asuva serveri kaudu, mis küsib seadmelt, kus ta täpselt asub, ja soovib välja saata infot koduvõrgu konfiguratsiooni kohta, siis niisugust privaatsuse riivet pole kasutaja teadlikult arvatavasti nõus lubama. Paraku ei märgita neid asju kasutusjuhendis ega -tingimustes arusaadavas keeles. Küsimus on selles, kes seda infot näeb. Kui seade on pandud mõne kriitilise tähtsusega asutuse esikusse, siis keegi teab näiteks alati, mis hetkel seda kasutatakse, ja sellest on võimalik teha järeldusi.

Peagi on tulemas digiriigi järgmised ägedad lahendused ja küberturvalisus peab astuma nendega samas tempos. Teame ise ja teab ka Majandus- ja Kommunikatsiooniministeerium, millist võimekust on vaja juurde arendada ja ehitada, et inimeste ja riigi andmed oleks hoitud. Kui jätame sellesse investeerimata, siis peame hakkama ise varsti teadmist sisse ostma.

Haavatavad on vist väga paljud seadmed…

Näiteid on palju: mõni taskulambi rakendus telefonis, mis aktiveerib positsioneerimise, või ilmateate äpp, mis soovib käivitada telefoni mikrofoni. Praegu ei ole Eestis riiklikult ega ka erasektoris sellist asutust, kes hindaks ära seadme või toote küberturvalisuse. Ehk piltlikult öeldes sertifitseeriks selle toote turvanõudeid või standardit. Meil on vastutustundlikke ja vähem vastutustundlikke müüjaid, kes siis rohkem või vähem vaatavad, mida nad müüvad ja soovitavad. Aga ma ütleks, et valdavalt ei ole näiteks kodukasutusse mõeldud turvaseadmed testitud. Koostöös Majandus- ja Kommunikatsiooniministeeriumiga paneme just paika riiklikku raamistikku, kuidas tooteid-teenuseid tulevikus sertifitseerida.

Need näited on seotud kodukasutajaga, kuid sarnane oht on vaja läbi mõelda ka riigi julgeoleku seisukohast. Infotehnoloogiliselt kasutab tsiviil- ja riigikaitsesektor samu tehnoloogiaid ja tootjaid. Oht on sama, kuid riski mastaap hulga laiem. Kui jätkata teadus- ja arendustegevuse teemal, siis miinimummahus on see meil olemas, aga kui me tahame olla kompetentsikeskus riigi ja välispartnerite silmis, siis on vaja tugevamalt panustada ja tulemusi näidata. Võtame näiteks krüptograafiateadmise – me ei pääse muudmoodi, kui peame kaasas käima uute krüptostandardi arengutega. Meie ID-kaart ja elektrooniline identiteet põhineb krüptograafia lahendustel. Selleks et uus võimekus arvutusmaastikul ei ohustaks meie kasutatavat krüptot, on meil vaja seda pidevalt täiendada ja uuendada ning seda teadmist ei ole meil ülemäära palju. Veel üks teema on potentsiaal, mida 5G- ja 6G-tehnoloogia riigi jaoks avab. Ahvatlevaid kasutusvõimalusi ülikiirele andmesidele on tohutult palju. Samal ajal on tegemist täiendava ohuvektoriga, mistõttu on riik Majandus- ja Kommunikatsiooniministeeriumi kaudu seadnud kriteeriumid seadmetele, mida riigi baastaristu ülesehitamisel kasutada tohib.

Mis teemadega intsidendi käsitlemise osakond praegu peamiselt tegeleb?

Viimaste kuude jooksul on olnud hästi palju krüptoviirusega nakatumist, millele järgneb lunavaranõue. Lunavara on selline pahavara, mis krüpteerib andmed ja kui need on arvutis krüpteeritud, siis on kogu arvuti sisu selle kasutajale kättesaamatu. Seda sõnumit, et mitte maksta arvutile uuesti ligipääsemise eest, on jube raske inimesteni viia.

Teiseks probleemiks on siin see, et su andmeid mitte ainult ei krüpteerita, vaid mõnikord teeb kurjategija enne krüpteerimist endale neist koopia. Varastatud andmeid hakatakse siis kunagi hiljem kasutama. Minu soovitus on inimestel ja ettevõtetel teha endale esimesel võimalusel teise seadmesse või välisele andmekandjale varukoopia olulistest andmetest. Näeme, et valdkonniti on valmisolek infosüsteeme ja andmebaase turvaliselt hallata ja varundada erinev. See ei ole rusikareegel, aga sõltuvalt tegevusvaldkonnast kipuvad tehnoloogiaga igapäevaselt puutumuses olevad asutused infoturbe tagamisega paremini hakkama saama. Kõige parem on, kui igas vähegi suuremas ettevõttes on infoturbespetsialist, kes teab une pealt, milliseid seadmeid, tarkvara ja arhitektuurilahendusi ettevõte kasutab. Infoturbeteenuse vastutustundlik sisseostmine on ka täiesti aktsepteeritud variant.

Meie roll selliste intsidentide käsitlemisel on aidata pihta saanud asutuse infoturbe töötajatel selgust saada, mis juhtus ja kuidas teha nii, et seda enam ei juhtuks. Vajalike tegevuste eest vastutab ettevõte või asutus ise. Teatud juhtudel on meil võimekus aidata krüpteeritud andmed lahti teha.

Teine levinud teema on nn õngitsused, mille tagajärjeks võib olla mitmesugune kahju. Näiteks on saadud kellegi postkasti sisse ja äripartneri arveid võltsitud nii, et raha kantakse kusagile pahalaste kontodele. Või püütakse Smart-ID kaudu õngitsust, kus palutakse oma PIN sisestada, mille järel võetakse Smart-ID sessioon üle ja tehakse pangaülekandeid. Nende juhtumite taga, kus ei ole tahetud raha, vaid andmeid, võib olla juba mõne organiseerituma tegija huvi. Õnneks on neid juhtumeid oluliselt vähem kui raha õngitsusi.

Mis muretsema paneb?

Eesti ettevõtluse kasvu- ja küberturvalisuse strateegias rõhutatakse valdkonna arenguvajadust. Minu peamine ülesanne riigi praeguse suhtumise juures küberturbesse on veenda valitsuses otsustajaid selles lisaväärtuses, mida investeering turvalisusesse annab. Kipume viimasel ajal elama liialt üks päev korraga ja eraldame vahendeid tulekahjude kustutamiseks. Tegelikult tuleb ettepoole vaadata ja valmistuda järgmisteks ohtudeks. Näiteks ülikiire internet ja koostalitusvõimelised seadmed on kohe nurga taga, nende mõjude analüüsiga tuli alustada eile. Killustumine turgudel ja turbelahendustes regiooniti on paratamatu, aga vähemalt Euroopas peaksime hoidma ühte joont.

Analüüsivõime kõrval on prioriteediks tehnilise ekspertiisi ja turvatestimise võimekuse loomine. Küberkuritegevust tuleb juba ammu käsitleda omamoodi majandusharuna, kus seltskonnad spetsialiseeruvad kitsa teenuse peale ja teevad oma tööd seejuures väga hästi. Näiteks tegelevad teatud grupid süsteemi sissepääsu leidmisega ja müüvad selle kohe edasi, järgmised on meistrid andmete väljaviimisel, kolmandad oskavad teenust katkestada või katki teha ja neljandad valmistavad tellimuse peale virtuaalseid tööriistu. Turul on teenustel ja toodetel konkreetsed hinnakirjad, prooviperioodid, tootegarantiid jne – terve tööstus. Enam ei näe naljalt hobikorras ja põlve otsas tehtud tööriistadega tehtud ründeid. Pahavara ja ründemeetodite keerukuse kasvades tuleb ka meil muutuda üha paremaks anomaaliate märkamisel ja digijälgede lugemisel. Suhtleme oma ministeeriumiga igapäevaselt ja jagame suuresti sama vaadet, aga kuna meil on eelarves üks piiratud ressurss, siis ongi valikud keerulised.

Nii mõnigi riigiasutus on hädas personali leidmisega. Teil vist sellega suuri probleeme pole? Näiteks tudengite hinnangul olete praegu üks atraktiivsemaid riigiasutusi.

Riigiasutustest on RIA tööandjana ühe viimase uuringu kohaselt tõepoolest esimeste seas. Hea atmosfääri ja töökultuuri tõttu on meil võrdlemisi hea positsioon spetsialistide leidmiseks. Aga see ikkagi tähendab, et peame erasektoriga väga tugevalt tööjõu pärast võistlema, ja on selge, et palkadega me ei jää võitjaks. Küll on meie eelisteks ülesannete huvitavus ja suurus – inimene saab pärast öelda, et „näed, ma tegin SELLE ära“.

Juht ei tohi olla jalus

Tehnilist oskust ja analüüsivõimekust, mida meil vaja, ülikoolist otse ei saa. Mitte sellepärast, et õppekavadel midagi viga oleks, vaid nagu igal alal, kasvatakse küberturbevaldkonna spetsialistiks praktika kaudu. Nii et nendeks ülesanneteks, mida meil on vaja täita, koolitame oma inimesed koos lähedaste partneritega ise.

Rõhutasite head õhkkonda ja töökultuuri. See on teie jaoks vist üks olulisemaid teemasid juhtimises?

Minu töö iseloom on selline, et tihti on vaja reageerida väga kiiresti. Sellist tööd kehvas õhkkonnas teha ei saagi. Juhtkonnas peab valitsema üksmeel, meeskonna sees ja meeskondade vahel peavad eesmärgid klappima. Arvan, et õhkkond on suuresti juhi kujundada. Ta peab looma sellise turvalise tunde, et inimene ei oleks pinges sellepärast, kas ta on parasjagu teinud head tööd. Kui anda õigel ajal mõista, kas meil on hästi või halvasti, ja jooksvalt korrigeerida või hoida kätt pulsil, siis arvan, et õhkkond kujunebki terveks.

Olenemata sellest, kas meeskond on juba kokku pandud või saan seda ise valida, on tähtis sisendada töörahu ja lähtuda mõistuse häälest. Kiidan oma praegust meeskonda väga, õpin nende pühendumusest ja praktikast iga päev midagi uut. Minu jaoks ei ole inimeste juhtimine raketiteadus – asju tuleb võtta loogiliselt ja mitte üle pingutada. Juht ei saa teistest ette joosta, et üksi särada.

Juht peab olema hea inimeste tundja, natuke ka psühholoog. Ta peab õhust haarama seda, mis meelsus valitseb. Kui vaatad inimesele hommikul otsa ja ütled talle tere ning näed, et midagi ei ole hästi, siis võiks natukene asja uurida.

Oluline on ka, et juhil endal on kindel seljatagune; et ta saab aru, et ta teeb õiget asja. Selleks käin ma olukorda kraadimas ja sihte seadmas oma juhiga. Asjad on vaja mõistliku aja sees välja öelda ja selgeks rääkida – see kehtib nii murede kui rõõmude kohta, sest kui lased kuhjuda, siis lähevad mõlemad hapuks. Eelmises elus olen töötanud nii julgeoleku kui riigikaitse valdkonnas ja kinnitan, et RIA-s valitseb eluterve õhkkond. Tempo on kiire, kuid inimesi meil hoitakse.

Sul ei ole võimalik ennast jõuga kehtestada, usaldus tuleb välja teenida.

Kas lisaks igapäevastele vestlustele toimub mingi perioodi tagant ka põhjalikumaid arutelusid?

Igapäevaste ja iganädalaste arutelude kõrval toimub kaks korda aastas tulemusvestlus. Tagasisidet saab päris palju anda. RIA-s olen olnud tööl alla aasta ja ma tajun, et usaldus kasvab. Üks mu soov on olnud osakonnad ja inimesed omavahel suhtlema panna ja hoolimata koroonast näen, et see toimib juba. Esimesed kuud oli päris keeruline, sest ma tulin väljakujunenud juhtide juurde, kes on harjunud omavahel koos töötama. Organisatsiooni sisenedes pole võimalik ennast jõuga kehtestada, usaldus tuleb välja teenida. Siis pühendatakse sind asjadesse, võetakse omaks ja räägitakse päris muredest.

Mida te veel juhtimises oluliseks peate?

Hästi oluline on usaldada oma meeskonda ja lasta inimestel tööd teha. See võib kõlada naljakalt, aga juht ei tohi olla jalus. Ta peab suures plaanis ära kirjeldama tulemuse, kuhu tuleks jõuda, ja eest ära astuma. Samuti ei peaks juht tegelema mikrojuhtimisega ja iga päev pärima, mida keegi eile või täna tegi. Niimoodi ei saa – inimestel kaob vastutustunne ära. Mina ütlen, et sea eesmärgid, astu samm tagasi, usalda, lase vastutust võtta.

Otsuse tegemisel peab olema kindla käega.

Minu jaoks on strateegiast lähtumine praegu juhtimise seisukohast põnev teema: kas teha asju lennult või siis planeerida kõik oma sammud ette. Olen RIA-s kokku puutunud mitmete strateegiadokumentidega ja omandanud strateegilise planeerimise vaate. Siiamaani polnud ma harjunud formaalsusi eriti palju järgima, aga mida suurem on organisatsioon, seda suurem on see grupp inimesi, kelle ees sa seisad. Kui infot on palju, siis võib kõhutunne teinekord olla petlik. Strateegilisel juhtimisel on oma head küljed, kuid sellega ei või ka liiga jäigaks minna. Kui meil on paigas põhiteenused ja peame tegema valikuid, mida me teeme või mida me ei tee; mida me oleme sunnitud ära jätma, et saaksime põhiteenust hästi pakkuda, siis siin on kasu olemasolevast strateegiast.

Kiitus ja tänamine on minu jaoks olulised. Head asjad ei juhtu iseenesest ja vinge tulemuse taga on alati kellegi pingutus. Lihtne on seda võtta enesestmõistetavana, kuid see ei ole jätkusuutlik. Pingutust tuleb märgata ja tunnustada.

Otsustamine on niisugune asi, kus juht ei tohi kätt väristada. Kui on vaja midagi ära otsustada, siis tuleb seda praeguse teadmise pealt teha. Kui hiljem selgub, et see ei olnud kõige parem otsus, siis tuleb seda korrigeerida, aga vähemalt on suund võetud.

Kui on näha, et läks nihu, mis siis saab?

Kui on ikka nihu läinud, siis ootaksin nii juhilt kui ükskõik kellelt, et ta selle välja ütleks: läks valesti, panin täitsa pange selle otsusega ja võtan vastutuse. Ei ole mõtet hakata ennast õigustama, sest siis lähevad suusad tiimiga risti – nad näevad, et juht nõuab endale õigust. Kogemused õpetavad: kui tunneme ise või meeskond tajub, et eksimisruumi ei ole, siis püsime vanal rajal ja uusi lahendusi ei sünni.

Kui meeskond tajub, et eksimisruumi ei ole, siis püsime vanal rajal ja uusi lahendusi ei sünni.

Milline on koosolekute kultuur sellises paljuski spetsialistidest koosnevas organisatsioonis?

See on niisugune kunst, mida peab veel paika loksutama. Ma pole kunagi varem nii palju koosolekutel osalenud kui praegu. Huvitav on, et sõltumata teemast kestavad need ikka tund aega. Oleme juhtkonnas ka ise aru saanud, et koosolekukultuuri tuleb muuta. Katsetame pooletunniste nõupidamistega – see sunnib keskenduma olulisele. Kui suudaks 20 minuti peale tõmmata, oleks veel parem. Tunni aja kultuur soodustab seda, et me istumegi selle aja täis, ajakulu on meeletu. Muutus peab algama lugupidamisest teiste aja vastu ning alustada saab sellest, et kutsuda ainult hädavajalikud osalejad ja nõupidamise oodatav tulemus läbi mõelda. Siis inimesed teavad, mis neilt oodatakse. Oleme mõelnud ka koosolekutevaba päeva peale, reedeti näiteks, mis võimaldaks nädala sees tehtud kokkuleppeid vormistada.

Kuidas te liigset stressi väldite?

Olen kogu aeg mõne keskendumist nõudva hobiga tegelenud. Kui tõmbad spordiriided selga ja lähed üksinda sörkima, siis töö mõte sörgib sinuga kaasa. Selle vältimiseks olen enda jaoks kahe viimase aasta jooksul avastanud sellise ala nagu takistusjooks. See on pooleldi militaarne, nagu sõjaväes on takistusrada, aga jaotatud mitme kilomeetri peale looduses või suurel staadionil nii, et iga 300–400 meetri tagant on mingisugune takistus. See on ala, kus sa pead kogu aeg keskenduma, et mitte alla kukkuda, kui sa ronid köie või redeliga kuskilt üles. See võtab küll kõik töömõtted peast ära.

Lisaks sõidan enduurokrossi. Ka see on ala, kus töömõtteid mõelda ei saa, sest tähelepanu peab olema 100% tsikli küljes.

Kas seejuures on rõhk pigem tulemusel või tegevusel?

Tahaks kangesti öelda, et oluline on tegevus, aga ma olen väga võistluslik inimene. Tihti on nii, et lähen starti veendununa, et ükskõik mis seal on, ma teen täna vaikselt. Aga nii kui lipp tõuseb, mõte muutub ja on vaja võidu teha. Jah, mul on sportlase hing sees. Ja see tuleb muidugi ka tööle kaasa… Aga usun, et kui sellest ise aru saad, siis see ei pruugi paha olla. Sa ei saa olla tulemusele orienteeritud, kui sul ei ole võidutahet.

———–

Riigi Infosüsteemi Amet

• Ehitab turvalisi avaliku sektori e-teenuseid.

• Seab standardid ja reeglid avalikule sektorile (ISKE, KüTS), teostab järelevalvet.

• Koordineerib küberintsidentide lahendamist hädaolukorras.

• Seirab võrguliiklust avalikus sektoris, rahastab kriitilise tähtsusega teenuste turvatestimist.

• Tegeleb nii küberturvalisuse kogukonna teavitamisega kui ka laiema avalikkuse teadlikkuse tõstmisega.

• Töötajaid 155, neist 62% mehi ja 38% naisi.

————-

Lauri Aasmann

Sündinud 12. mail 1979. Abielus, 1 tütar.

Õppinud Sisekaitseakadeemias kaitseväe õppesuunal. Lõpetanud Tartu Ülikooli õigusteaduskonna bakalaureusekraadiga, õpib Tallinna Ülikooli infotehnoloogia juhtimise magistrantuuris.

Alates 2019. aastast Riigi Infosüsteemi Ameti peadirektori asetäitja küberturvalisuse alal, küberturvalisuse teenistuse juht. Varasemad töökohad: NATO Küberkaitsekoostöö Keskuse õiguse- ja poliitikaosakonna juht, sama asutuse õiguse- ja poliitikaosakonna vanemteadur; enne Swedbank ASi juriidilise divisjoni teenuste valdkonna juhataja ning selle IT-juht; Põhja Ringkonnaprokuratuuri majandus- ja korruptsioonikuritegude osakonna vanemprokurör ja juhataja, sama osakonna ringkonnaprokurör.