ID-kaardi kriisi lessons learned

Teema esitlus: "ID-kaardi kriisi lessons learned"— Esitluse väljavõte:

1 ID-kaardi kriisi lessons learned
Margus Arm Elektroonilise identiteedi osakonna juhataja

2 Siseriiklikult Eesti ID-kaardi ökosüsteemi rollijaotus on ebaselge
Kindla omanikuta kriis (pole konkreetsest sündmust, pole varasemat lahendamise kogemust) Puudub pikaajaline identiteedihalduse strateegia ning eID tulevikuvisioon Liiga suur sõltuvus ID-kaardist, teenustes puuduvad sageli alternatiivid Piiratud arusaam krüptograafiast ning valdkondlikust ekspertiisist, kompetents baseerub üksikutel spetsialistidel

3 09. 05. 18 konverents https://lessonslearned. publicon
„Kuhu oli koer maetud?“ Random 2048b key: vCPU years Infineon 2048b key: vCPU years Tehniliste lahenduste avatus tagab turvalisuse Kiipkaardi tööstus on olnud väga suletud äri Suletud ja avatud süsteemid, head ja vead Sertifitseerimine ei taga turvalisust! Kriisi lahendamisel toimis hästi erinevate asutuste/ettevõtete vaheline koostöö Alternatiivsete lahenduste olemasolu tähtsus (topelt krüpto, erinevad kiibid jne) Teavitamine. Mis läks valesti ja mida peaks muutma? Eesti avalik riskihaldus! Kiidusõnad väljast poolt riiki, et me sellest räägime! ENISA-sse sõnum EL tasemel teema tõstatamine Üks film on parem kui 100 presentatsiooni  „Õlu päästis ID-kaardi“ ehk suhtlemine ja inimeste teadmine on määrava tähtsusega igal elualal! Suletud ja avatud süsteemil ja arendusel on head ja vead – informatsioon võib valedes kätes olla kahjulik, aga õigetes tuua hoopis palju kasu Sertifitseerimine ei ole imevahend, mis kõikide asjade eest kaitseb. Sertifitseerimine ei võrdu automaatselt turvalisusega. Kui sertifitseeritakse „jama“ kaitseprofiili vastu, siis saadki templi alla, et sinu toode oma ametlikult „jama“. Hea, et kriisi lahendamisel toimis hästi erinevate asutuste vaheline koostöö, kuid tellija ja sisutellija roll/õigused/vastutus peaks olema selgemini defineeritud Ükski süsteem ei tohi sõltuda ainult ühest spetsiifilisest asjast/seadmest/algoritmist/inimesest, alati on vaja alternatiive. Juhtumist (mis ei ole juhtum) teavitamine ehk mis kasu on EL regulatsioonidest jms kui tegelikkuses liigub info ikkagi mitte läbimõeldud teed pidi vaid tänu isiklikele kontaktidele => Aug 30th,

4 Küsimusi ? margus.arm@ria.ee
Aitäh! Küsimusi ?