1. Üldsätted

1.1 Infoturbe poliitikaga (edaspidi poliitika) sätestatakse Tallinna Tehnikaülikooli (edaspidi ülikool) infoturbe eesmärgid ja juhtimispõhimõtted ning määratakse infoturbe korraldamise vastutus, aruandlus ja järelevalve.

1.2 Ülikool rakendab, hoiab toimivana ja parendab pidevalt infoturbe halduse süsteemi (edaspidi ISMS). ISMS koondab ühtseks tervikuks ülikooli strateegia, tegevuskeskkonna, huvipoolte nõuded, riskid, protsessid, dokumenteeritud teabe, kontrollimeetmed, arendustegevused, mõõdikud, audititõendid ja juhtimisotsused.

1.3 ISMS lähtub rahvusvahelistest infoturbe halduse standarditest, eelkõige standardist ISO/IEC 27001.

1.4 ISMS-i kavandamisel ja ülevaatamisel arvestatakse ülikooli tegevuskeskkonda ning huvipoolte asjakohaseid nõudeid.

2. Mõisted

2.1 Infoturve – teabe konfidentsiaalsuse, tervikluse ja käideldavuse säilitamine.

2.2 ISMS – ülikooli juhtimissüsteemi osa, mille kaudu kavandatakse, rakendatakse, seiratakse, hinnatakse ja parendatakse infoturvet.

2.3 Huvipool – isik või organisatsioon, kelle nõuded või ootused võivad mõjutada ülikooli infoturvet või keda ülikooli infoturve mõjutab.

2.4 Infoturbenõue – õigusaktist, lepingust, standardist, ülikooli õigusaktist või riskikäsitlusest tulenev infoturbealane kohustus või tingimus.

2.5 Infovara – ülikooli jaoks väärtuslik teave või selle töötlemist toetav vara.

2.6 Kontrollimeede – meede, millega mõjutatakse infoturberiski või täidetakse infoturbenõuet.

2.7 Infoturbevõimekus – püsivalt juhitav infoturbevaldkond, mille eesmärke, vastutust, toimimist ja arengut hinnatakse tervikuna.

2.8 Omanik – isik, kellele on määratud vastutus võimekuse, protsessi, teenuse, infosüsteemi või infovara eest.

2.9 Riskiomanik – isik, kes vastutab riski hindamise, käsitlemise, seire ja oma pädevuse piires aktsepteerimise eest.

2.10 Infoturvasündmus – täheldatud olukord, mis võib viidata infoturbenõude rikkumisele, kontrollimeetme puudulikkusele või võimalikule intsidendile.

2.11 Infoturbeintsident – üks või mitu infoturvasündmust, millel on kahjulik mõju ülikooli teabele, teenustele või tegevusele.

3. Käsitlusala

3.1 Poliitikat kohaldatakse kogu ülikoolis loodavale, kasutatavale, töödeldavale, säilitatavale ja edastatavale teabele sõltumata teabe vormist, asukohast või töötlemisviisist. Poliitikat kohaldatakse ka teabele, mida töödeldakse ülikooli nimel.

3.2 Poliitikat järgivad ülikooli töötajad, üliõpilased ja teised isikud, kellel on juurdepääs ülikooli teabele, varale või teenustele. Partneritele ja teenuseosutajatele kohaldatakse poliitikat nende ülesannetest ja lepingulistest kohustustest tulenevas ulatuses.

3.3 ISO/IEC 27001 sertifitseerimise käsitlusala võib hõlmata ülikooli kitsamat osa. Selle piirid, seosed ja sõltuvused määratakse ning hoitakse ajakohasena ISMS-i käsitlusala dokumendis. ISO/IEC 27001 sertifitseerimise käsitlusala ei piira ülikoolile õigusaktidest tulenevate infoturbenõuete kohaldamisala.

3.4 Ülikool täidab talle kohalduvaid infoturbenõudeid.

4. Põhimõtted ja eesmärgid

4.1 Infoturve on ülikooli juhtimise ning põhi- ja tugitegevuste lahutamatu osa ning seda juhitakse riskipõhiselt ja proportsionaalselt kogu teabe, teenuste ja infotehnoloogiliste lahenduste elutsükli jooksul. Infoturve on kogu ülikooli ühine vastutus: töötaja järgib talle kohalduvaid infoturbenõudeid ning juht korraldab nende täitmise oma vastutusalas.

4.2 Infovarale, teenusele, infosüsteemile, võimekusele, protsessile ja riskile määratakse omanik, kes tagab oma vastutusalas infoturbenõuete täitmise ning määratud kontrollimeetmete rakendamise ja toimimise. Tagatakse ülesannete ja vastutusalade lahusus ning sõltumatu hindamise objektiivsus.

4.3 Juurdepääs teabele ja infovaradele antakse üksnes põhjendatud töö- või õppevajaduse alusel ning vähimate õiguste põhimõtet järgides.

4.4 Infoturbenõudeid arvestatakse muudatuste ja arenduste kavandamisel, hangete korraldamisel, lepingute sõlmimisel, partnerlussuhetes ning uute tehnoloogiate kasutuselevõtul.

4.5 Ülikool täidab kohaldatavaid infoturbenõudeid, seirab nende täitmist ja meetmete tulemuslikkust ning säilitab nõuete täitmise tõendid. Tulemusi kasutatakse juhtimisotsuste ja pideva parendamise sisendina.

4.6 Infoturbeintsidentidest ja kahtlustatavatest turvasündmustest teavitatakse viivitamata kehtestatud kanali kaudu.

4.7 Ülikooli infoturbe strateegilised eesmärgid on kaitsta ülikooli ja tema huvipoolte teavet ning tagada selle õiguspärane töötlemine, konfidentsiaalsus, terviklus ja käideldavus. Nende eesmärkide täitmine tugevdab töötajate, üliõpilaste, vilistlaste ja koostööpartnerite kindlustunnet, et nendega seotud teavet hoitakse ja töödeldakse nõuetekohaselt. Ülikool juhib infoturberiske nii, et need püsivad ülikooli jaoks aktsepteeritaval tasemel, toetab kriitiliste ja oluliste teenuste toimepidevust ning arendab järjepidevalt infoturbevõimekusi ja nende tulemuslikkust.

5. Infoturbe juhtimismudel

5.1 Ülikool juhib infoturvet püsivate infoturbe- ja organisatoorsete võimekuste kaudu. Projekte ja tegevusi kasutatakse võimekuste küpsuse tõstmiseks.

5.2 Infoturbevõimekustele määratakse eesmärgid ja omanikud ning nende arengut juhitakse riskide, küpsuse, kohaldatavate nõuete ja ülikooli prioriteetide alusel.

5.3 Võimekuste loend, omanikud, küpsuse hindamise metoodika ja nõuete kaardistused kirjeldatakse ISMS-i käsiraamatus. Võimekuse hetketaseme hindamise järel määratakse üheks kuni kolmeks aastaks sihttase, valitakse arengualgatused, seatakse projektide prioriteedid ja mõõdetakse muutust. Aasta- ja kvartaliplaanidesse võetakse tegevused, mis loovad asjaomasel perioodil väärtust, vähendavad riski või tõstavad võimekuse küpsust.

5.4 ISMS-i olulised muudatused kavandatakse ja viiakse ellu juhitult.

5.5 ISMS-i käsiraamatus kirjeldatakse infoturbe juhtimise korraldust. Võimekuste ja teemade detailne sisu kajastatakse nendega seotud dokumentides, registrites, lahendustes ja tõendites. ISMS-i teavet hallatakse ülikooli kinnitatud keskkondades dokumenteeritud teabe haldamise nõuete kohaselt.

6. Infoturbe organisatsioon ja vastutus

Infoturbe juhtimisel eristatakse rektori üldvastutus, kantsleri vastutus ISMS-i toimimise ja tulemuslikkuse eest, operatiivne koordineerimine, kontrollimeetmete rakendamine, vastutus riskide eest ning sõltumatu seire ja hindamine.

6.1 Rektor
6.1.1 kannab üldvastutust ülikooli infoturbe eest;
6.1.2 kinnitab infoturbe poliitika ja infoturbe strateegilised eesmärgid;
6.1.3 määrab infoturbejuhi ning tagab talle ülesannete täitmiseks vajalikud volitused ja sõltumatuse;
6.1.4 otsustab oma pädevuse piires ülikooliülesed infoturbe prioriteedid, strateegiliste infoturberiskide käsitlemise ja olulised ressursivajadused;
6.1.5 juhib rektoraati kaasates ISMS-i ülevaatust ning hindab ISMS-i sobivust, piisavust ja tulemuslikkust.

6.2 Kantsler
6.2.1 on küberturvalisuse seaduse tähenduses määratud turvameetmete heakskiitmise ja nende rakendamise jälgimise eest vastutav juhtimisülesandeid täitev isik;
6.2.2 vastutab ISMS-i toimimise, tulemuslikkuse ja arendamise eest ning tagab selle seose ülikooli juhtimise ja eesmärkidega;
6.2.3 on infoturbejuhi peamine koostööpartner rektoraadis ning jälgib infoturbe eesmärkide, riskikäsitluste ja arengualgatuste elluviimist;
6.2.4 seab kinnitatud infoturbe eesmärkidest lähtudes koostöös infoturbejuhiga ISMS-i arengusuundade ja arengualgatuste prioriteedid ning lahendab nende elluviimiseks vajalikud juhtimistasandi küsimused;
6.2.5 jälgib olulisi infoturberiske ja riskikäsitluste elluviimist ning teeb oma pädevuse piires riskide juhtimiseks vajalikud otsused või esitab rektori pädevusse kuuluvad küsimused rektorile otsustamiseks;
6.2.6 planeerib koostöös rektori, IT-osakonna juhi ja infoturbejuhiga infoturbe eesmärkide saavutamiseks ja riskide juhtimiseks vajalikud inim-, aja-, tehnoloogia- ja eelarveressursid;
6.2.7 kiidab heaks küberturvalisuse riskide juhtimiseks vajalikud turvameetmed, jälgib nende rakendamist ja tulemuslikkust ning vastutab nende rakendamise eest seaduses sätestatud ulatuses;
6.2.8 teavitab rektorit ja vajaduse korral rektoraati olulistest infoturberiskidest ja -intsidentidest ning esitab neile otsustamiseks strateegilised küsimused ja olulised ressursivajadused;
6.2.9 läbib korrapäraselt koolitusi, et mõista ja hinnata küberturvalisuse riske, nende mõju ülikooli tegevusele ja teenustele ning riskide juhtimise viise;
6.2.10 kehtestab oma pädevuse ja ametikohast tuleneva volituse piires infoturbe poliitika eesmärkide rakendamiseks vajalikud teemapoliitikad, korrad ja juhised.

6.3 Rektoraat
6.3.1 osaleb rektori juhtimisel ISMS-i ülevaatuses ning saab regulaarseid ülevaateid ülikooli infoturbe olukorrast;
6.3.2 käsitleb ülikooliüleseid strateegilisi infoturbe küsimusi ning esitab rektorile ja kantslerile seisukohti nende lahendamiseks;
6.3.3 arvestab infoturbe prioriteete ülikooli strateegilises ja tegevusjuhtimises.

6.4 Vastutusala juhid
6.4.1 vastutavad infoturbenõuete rakendamise, riskide juhtimise ja kontrollimeetmete toimimise eest oma vastutusalas;
6.4.2 tagavad oma vastutusalas võimekuste, protsesside, teenuste, infosüsteemide, infovarade ja riskide omanike määramise ning omanike ülesannete täitmiseks vajalikud volitused ja pädevuse;
6.4.3 planeerivad ja tagavad oma vastutusalas infoturbe eesmärkide saavutamiseks vajalikud ressursid;
6.4.4 tagavad infoturbenõuete arvestamise olulistes otsustes, muudatustes, arendustes ja hangetes ning kaasavad infoturbejuhi nende infoturbe mõju hindamisse;
6.4.5 jälgivad eesmärkide, riskikäsitluste ja parendusmeetmete täitmist ning annavad rektorile, kantslerile ja infoturbejuhile vajalikku teavet;
6.4.6 tagavad, et nende vastutusala töötajad ja partnerid teavad ning täidavad neile kohalduvaid infoturbenõudeid.

6.5 IT-osakonna juht
6.5.1 vastutab IT-osakonna hallatavate teenuste, infosüsteemide ja taristu turvalise käitamise ning infoturbenõuete ja operatiivsete turvameetmete rakendamise ja toimimise eest kogu nende elutsükli jooksul;
6.5.2 määrab oma vastutusalas teenuste ja infosüsteemide omanikud ning tagab kohustuste lahususe, vajaliku pädevuse ja operatiivsed ressursid;
6.5.3 kavandab koostöös kantsleri ja infoturbejuhiga tehnilised arengusuunad, tegevused ja ressursivajadused ning korraldab kokkulepitud riskikäsitluste, parandusmeetmete ja arengutegevuste elluviimise;
6.5.4 teeb infoturbejuhile kättesaadavaks seireks, hindamiseks, aruandluseks ja audititeks vajaliku teabe ning tõendid;
6.5.5 tagab infoturbejuhile võimaluse hinnata IT-osakonna rakendatud kontrollimeetmeid sõltumatult.

6.6 Infoturbejuht
6.6.1 korraldab ISMS-i toimimist ja arendamist ning valmistab ette infoturbe poliitika, strateegia, juhtimismudeli ja teemapoliitikate eelnõud;
6.6.2 koordineerib infoturbevõimekuste arendamist ning ISMS-i eesmärkide, arengusuundade ja parendusvajaduste määratlemist;
6.6.3 määratleb kinnitatud poliitikast, kohaldatavatest nõuetest ja riskidest tulenevad rakenduslikud infoturbenõuded ning nõustab võimekuste, protsesside, teenuste, infosüsteemide, infovarade ja riskide omanikke nende rakendamisel;
6.6.4 tagab ülikoolile kohaldatavate infoturbe- ja andmekaitsealaste nõuete registri loomise ning selle ajakohastamise vähemalt kord aastas ja oluliste muudatuste korral, kaasates asjaomased isikud. Registris määratakse vähemalt nõude kohaldatavus, nõude omanik, täitmise viis ja täitmist tõendav teave;
6.6.5 peab arvestust ISMS-i toimimiseks ja nõuete täitmise tõendamiseks vajaliku dokumenteeritud teabe üle ning tagab dokumentatsiooniregistri ajakohasuse;
6.6.6 koordineerib infoturberiskide juhtimise metoodikat, seirab olulisi infoturberiske ja riskikäsitluste elluviimist ning annab riskide ja kavandatud riskikäsitluste kohta sõltumatu hinnangu;
6.6.7 seirab ISMS-i vastavust ja tulemuslikkust, koondab ja analüüsib mõõdikuid, riske, kõrvalekaldeid ja tõendeid ning annab rektorile, kantslerile ja rektoraadile sõltumatu hinnangu ISMS-i seisundi kohta;
6.6.8 koordineerib ISMS-i mittevastavuste ja parendusvajaduste käsitlemist ning seirab kokkulepitud parandus- ja arengutegevuste elluviimist;
6.6.9 ei täida IT-taristu, infosüsteemide ega muude enda hinnatavate kontrollimeetmete igapäevase operatiivse rakendamise või haldamise ülesandeid;
6.6.10 võib kriitilise infoturbeintsidendi või vahetu olulise ohu korral otsustada teenuse, infosüsteemi või infotehnoloogilise vara kasutamise ajutise piiramise või sulgemise ulatuses ja ajaks, mis on vajalik intsidendi lahendamiseks või ohu kõrvaldamiseks, ning teavitab otsusest viivitamata kantslerit, IT-osakonna juhti ja asjaomast omanikku;
6.6.11 teavitab rektorit ja kantslerit olulistest riskidest, intsidentidest, otsustusvajadustest ja muudest strateegilistest infoturbe küsimustest;
6.6.12 võib infoturbe küsimustes pöörduda sõltumatult ja vahetult kantsleri ning rektori poole;
6.6.13 koordineerib ametivõimude, küberturbeasutuste, erialavõrgustike, turvafoorumite ja teiste asjakohaste huvirühmadega kontaktide haldamist ohuteabe, heade tavade ja õigusmuudatuste jälgimiseks, kaasates vajaduse korral andmekaitse-, õigus- ja kommunikatsioonivaldkonna esindajad;
6.6.14 koordineerib infoturbealase teadlikkuse suurendamist, koolitusi ja teabevahetust;
6.6.15 teeb ettepanekuid ISMS-i sõltumatuks hindamiseks ning seirab audititest tulenevate parendusmeetmete täitmist.

6.7 Isikuandmete kaitset korraldav isik
6.7.1 korraldab isikuandmete kaitset vastavalt õigusaktidele ja ülikooli regulatsioonidele;
6.7.2 teeb infoturbejuhiga koostööd isikuandmetega seotud riskide, intsidentide, teavituskohustuste ja mõjuhinnangute käsitlemisel;
6.7.3 annab oma pädevuses sõltumatut nõu ja hinnanguid.

6.8 ISMS-i siseaudit
6.8.1 ISMS-i siseauditeerimist korraldab siseauditi üksus ülikooli siseauditi eeskirja kohaselt. Siseaudititega hinnatakse, kas ISMS vastab ülikoolis kehtestatud nõuetele ja kohaldatavate standardite nõuetele ning on tulemuslikult rakendatud ja toimiv.
6.8.2 ISMS-i siseauditid kavandatakse korrapäraste ajavahemike järel ja riskipõhiselt, arvestades valdkondade olulisust, infoturberiske, olulisi muudatusi ja varasemate auditite tulemusi. Siseauditi üksus tagab auditite sõltumatuse ja objektiivsuse ning audiitorite valiku viisil, mis väldib huvide konflikti. Iga auditi kriteeriumid, käsitlusala ja tulemused dokumenteeritakse.
6.8.3 Infoturbejuht annab siseauditi juhile tööplaani koostamiseks teavet ISMS-i riskide, oluliste muudatuste ja auditivajaduste kohta ning võib teha ettepaneku täiendava auditi tegemiseks.

6.9 Ülikooli liikmed
6.9.1 järgivad käesolevat poliitikat ning neile kohalduvaid teemapoliitikaid, kordasid, juhiseid ja lepingulisi nõudeid;
6.9.2 kaitsevad teavet vastavalt selle väärtusele, liigitusele ja kasutusotstarbele;
6.9.3 teavitavad viivitamata tegelikust või kahtlustatavast infoturvasündmusest;
6.9.4 osalevad neile määratud infoturbealastel koolitustel ja infoturbeteadlikkust suurendavates tegevustes;
6.9.5 säilitavad konfidentsiaalsus- ja muud teabekaitsekohustused ka pärast töösuhte, õppesuhte, lepingu või rolli lõppemist ulatuses, milles kohustus tuleneb õigusaktist või lepingust.
6.9.6 Infoturvasündmuste ja -intsidentide käsitlemisel lähtutakse pöördumiste, intsidentide, sündmuste ja probleemide halduse korrast.

7. Infoturvariskide ja erandite juhtimine

7.1 Infoturvariskide hindamine, käsitlemine, seire ja aktsepteerimine ning kontrollimeetmetest erandite tegemine toimub infoturbealase riskihalduse juhendi kohaselt.

7.2 Riskiomanik vastutab riski hindamise ja käsitlemise ning kokkulepitud tegevuste elluviimise eest. Riski aktsepteerib oma pädevuse piires riskiomanik või riskihalduse juhendis määratud juhtimistasand. Infoturbejuht nõustab riskiomanikku, hindab kavandatud riskikäsitluse piisavust ja esitab sõltumatu arvamuse.

7.3 Kontrollimeetmest erandi tegemine ja sellega seotud risk dokumenteeritakse ning otsustatakse riskihalduse juhendis sätestatud korras. Erandi rakendamise eest vastutav teenuse või infosüsteemi omanik tagab kompenseerivate meetmete rakendamise ja erandi tähtajaks läbivaatamise.

8. Seire, mõõtmine ja hindamine

8.1 Infoturbe eesmärkidele määratakse võimaluse korral mõõdikud ja sihttasemed ning nende saavutamiseks vajalikud tegevused, vastutajad, ressursid, tähtajad ja tulemuste hindamise viis.

8.2 Infoturbe eesmärkide ning ISMS-i ja infoturbevõimekuste tulemuslikkuse hindamiseks koostatakse seire- ja mõõtmisplaan, mille koostamist koordineerib infoturbejuht ja kinnitab kantsler.

8.3 Plaanis määratakse vähemalt mõõdetavad valdkonnad, mõõdikud ja sihttasemed, andmeallikad, mõõtmise ja analüüsi sagedus, vastutajad, aruandlus ning tõendite säilitamine.

8.4 Infoturbejuht koordineerib tulemuste koondamist ning nende esitamist kantslerile, rektorile ja rektoraadile. Teenuste, infosüsteemide, protsesside ja võimekuste omanikud tagavad oma vastutusala andmete õigsuse ja õigeaegse esitamise. Mõõtmistulemusi kasutatakse kõrvalekallete, suundumuste, riskimuutuste ja juhtimisotsuste vajaduse tuvastamiseks.

9. Infoturbe aruandlus ja ISMS-i ülevaatus

9.1 Igakuine infoturbe ülevaade
9.1.1 Infoturbejuht esitab vähemalt kord kuus kantslerile kirjaliku infoturbe ülevaate ning korraldab ülevaatekohtumise. Vajaduse korral kaasatakse IT-osakonna juht, asjaomane vastutusala juht, riski- või võimekuse omanik või muu spetsialist.
9.1.2 Igakuine ülevaade käsitleb vähemalt olulisi riske ja jääkriske, intsidente ja ohutrende, võimekuste ja arengutegevuste seisu, mõõdikuid ja kõrvalekaldeid, auditite ja parendusmeetmete seisu, ressursi- ja otsustusvajadusi ning kavandatavaid olulisi muudatusi.
9.1.3 Kohtumise kohta koostatakse memo, milles fikseeritakse vähemalt arutatud teemad, järeldused, otsused, kokkulepitud tegevused, vastutajad ja tähtajad. Memo ja ülevaatematerjal säilitatakse ISMS-i dokumenteeritud tõendina.

9.2 Kvartaliülevaade ja ISMS-i ülevaatus rektoraadis
9.2.1 Infoturbejuht edastab rektoraadile vähemalt kord kvartalis kirjaliku ülevaate ülikooli infoturbe olukorrast, olulistest riskidest ja intsidentidest, ISMS-i ja infoturbevõimekuste tulemuslikkusest, oluliste arengutegevuste seisust ning rektori või rektoraadi tähelepanu vajavatest ja pädeva isiku otsustamist vajavatest küsimustest.
9.2.2 Rektor viib vähemalt kord aastas rektoraati kaasates läbi ISMS-i ülevaatuse, millesse kaasatakse kantsler, infoturbejuht ja IT-osakonna juht ning vajaduse korral teised asjaomased isikud.
9.2.3 ISMS-i ülevaatusel käsitletakse vähemalt:
9.2.3.1 varasemate ISMS-i ülevaatuste järeltegevuste seisu;
9.2.3.2 ISMS-i seisukohalt olulisi sisemiste ja väliste asjaolude ning huvipoolte vajaduste ja ootuste muutusi;
9.2.3.3 infoturbe tulemuslikkuse suundumusi, sealhulgas mittevastavusi ja parandusmeetmeid, seire- ja mõõtmistulemusi, audititulemusi ning infoturbe eesmärkide täitmist;
9.2.3.4 huvipoolte tagasisidet;
9.2.3.5 infoturberiskide hindamise tulemusi ja riskikäsitluskava täitmist;
9.2.3.6 pideva parendamise võimalusi.
9.2.4 ISMS-i ülevaatuse tulemusena dokumenteeritakse järeldused ISMS-i sobivuse, piisavuse ja tulemuslikkuse kohta ning otsused pideva parendamise võimaluste ja ISMS-i muutmise vajaduse kohta. Otsuste elluviimiseks määratakse tegevused, vastutajad ja tähtajad.
9.2.5 ISMS-i ülevaatus viiakse lisaks läbi olulise muudatuse või erakorralise vajaduse korral.

10. Mittevastavused ja pidev parendamine

10.1 Mittevastavuse ilmnemisel reageeritakse mittevastavusele, käsitletakse selle tagajärgi, selgitatakse välja mittevastavuse põhjus, hinnatakse sarnase mittevastavuse esinemise võimalust mujal, rakendatakse vajalikud parandusmeetmed ning kontrollitakse nende tulemuslikkust.

10.2 Mittevastavus, selle põhjused, rakendatud meetmed, vastutajad, tähtajad ja tulemused dokumenteeritakse. Vajaduse korral muudetakse ISMS-i, seotud protsesse, kontrollimeetmeid või dokumenteeritud teavet. Mittevastavused ja parendusvajadused võivad tuleneda muu hulgas seirest ja mõõtmisest, riskihindamisest, intsidentidest, audititest, vastavushindamistest ja ISMS-i ülevaatustest.

10.3 Infoturbenõuete rikkumisi käsitletakse töökorralduse, lepingute ja õigusaktide kohaselt proportsionaalselt ja ühetaoliselt. Rikkumiste käsitlemine dokumenteeritakse. Heas usus infoturvasündmusest teavitajat ei kohelda teavitamise tõttu ebasoodsalt.

10.4 Ülikool parendab pidevalt ISMS-i sobivust, piisavust ja tulemuslikkust, kasutades sisendina riske, mõõdikuid, intsidente, auditeid, ISMS-i ülevaatusi, huvipoolte tagasisidet, tehnoloogilisi ja õiguslikke muudatusi ning võimekuste küpsushindamist.

11. Rakendamine ja dokumenteeritud teave

11.1 Infoturbe poliitika ja selle olulised muudatused tehakse sobivate teavituskanalite kaudu teatavaks poliitika adressaatidele.

11.2 ISMS-i dokumenteeritud teave peab olema tuvastatav, ajakohane, kinnitatud, vajalikus ulatuses kättesaadav ja kaitstud. Dokumenteeritud teabe muutmist ja säilitamist korraldatakse kehtestatud nõuete kohaselt.

11.3 Infoturbe poliitika vaadatakse üle vähemalt kord aastas ning infoturvet mõjutavate oluliste muudatuste korral ja seda muudetakse vajaduse korral. Muu ISMS-i dokumenteeritud teave vaadatakse üle vähemalt kord aastas või muutmisvajaduse tekkimisel ning seda ajakohastatakse vajaduse korral.