Mida me teeme — päriselt

Üks värsket äri alustav ettevõtja pöördus meie poole päev enne esimest klientide kohtumist. Neil polnud veel äridomeenil töötavat e-posti, dokumendihaldust ega ühtegi turvakontrolli paigas.

24 tunni jooksul seadistasime täieliku Google Workspace'i keskkonna: äridomeeniga e-posti kõigile kasutajatele, MFA kõigis kontodes, turvatud Drive'i jagamisreeglid, DMARC/DKIM/SPF domeeni mainekaitseks ja rollijaotusega administraatoritööriistad.

Klient läks esimesele kohtumisele professionaalse äri-e-postiga, turvalise failijagamisega ja teadmisega, et nende digitaalne identiteet on kaitstud.

Väljakujunenud ettevõte kasutas aastaid oma hostingupakkuja e-posti. See tähendas aeglasi servereid, kehva spämmikaitset ja puuduvat MFA-tuge. Nad teadsid, et migreerimine on vajalik — aga kartsid andmekadu ja tööseisakuid.

Planeerisime migratsiooni etappidena: esmalt DNS-kirjete ettevalmistus ja Google Workspace'i kontode loomine, seejärel järkjärguline e-posti ajaloo migratsioon IMAP-i kaudu, lõpuks MX-kirjete ümberlülitamine täpselt planeeritud ajal.

Lõpptulemus: kogu e-posti ajalugu oli uues süsteemis, kasutajad said koolituse, DMARC ja DKIM olid seadistatud, ja domeen vahetas käed ilma ühe kirjata kaduma minemata.

Üks meie klientidest käsitles iga nädal kümneid korduvaid taotlusi: lepingute kinnitused, aruandluse koostamine, meeskonnasisesed teavitused. Iga toiming võttis eraldi aega, kuid ükski polnud keeruline.

Rakendasime Google Workspace'i AI-tööriistad koos Apps Scripti automatiseerimisega: Gemini AI abistatav mustandite koostamine Gmailis, automaatsed töövood Google Formsist Sheets'i ja Drive'i, teavitussüsteem, mis saadab õige info õigele inimesele ilma käsitsi sekkumiseta.

Tulemus: töötajad said tagasi keskmiselt 4 tundi nädalas korduvate toimingute pealt. IT-juht sai automaatsed turvasündmuste kokkuvõtted otse postkasti.

Üks ettevõte tuli meie juurde „lihtsalt e-posti üleviimisega". Esialgne hindamine näitas aga suuremat pilti: vananenud DNS-seaded, puuduv DMARC, töötajate kontod ilma MFAta ja administraatoriõigused jagatud liiga paljudele.

Laiendasime töömahtu ühiselt kokku lepitud viisil. Lisaks migratsiooni klassikalisele osale tegime läbi täieliku Google Workspace'i turvaülevaatuse: auditeerisime kõik administraatoriõigused, seadistasime Data Loss Prevention (DLP) reeglid, lülitasime sisse Google Workspace'i turvalogid ning koostasime lühikese tegevuskava ISO 27001 suunas liikumiseks.

Keskmise suurusega IT-teenuste ettevõte sai suurkliendilt nõude: ISO 27001 sertifikaat 6 kuu jooksul. Juhtkond ei teadnud, kust alustada ega kui kaugel nad tegelikult olid.

Viisime läbi põhjaliku lünkade analüüsi — vaatasime läbi kõik 93 ISO 27001:2022 kontrolli, intervjueerisime võtmeisikuid ja hindasime olemasolevaid dokumente. Kolme nädalaga oli käes selge tegevusplaan: mis on korras, mis vajab tähelepanu, mis tuleb nullist ehitada.

Klient alustas sertifitseerimisprotsessi täpse ajaraamiga ja eelarvega — ilma üllatusteta.

E-kaubanduse ettevõte oli tegutsenud aastaid ilma ametliku andmekaitseametnikuta. Järelevalveasutuse käest saadud küsimustik tekitas paanika: kus on andmete töötlemise register? Milliste tarnijatega on sõlmitud andmetöötluse lepingud?

Kaardistasime kõik isikuandmete vood — kliendid, töötajad, tarnijad. Koostasime täieliku andmetöötlusregistri (ROPA), auditeerisime kõik kolmandate osapoolte lepingud GDPR nõuete vastu ja täiendasime puuduolevad DPA-d. Lisaks uuendatud privaatsuspoliitika ja töötajate lühikoolitus.

Finantsvahendusettevõte soovis teada, kas ja kuidas NIS2 nende tegevust mõjutab — enne kui seadus Eestis jõustub. Juhtkond kartis, et vajavad ISO 27001 sertifikaati, mis oleks olnud kulukas ja aeganõudev.

Hindasime NIS2 kohaldatavust, sektori klassifikatsiooni ja olemasolevaid turvameetmeid. Selgus: ettevõte on oluline ettevõte Annex II all, kuid neil on juba olemas ligi 70% nõutavatest meetmetest. Koostasime fookustatud lünkade loetelu ja 90-päevase tegevuskava.

Tootmisettevõte vajas ISO 27001 sertifitseerimiseks kohustuslikku riskianalüüsi, kuid nende sisetiim puudus vajalikust metoodikast. Olemasolev "riskiregister" oli Exceli tabel ilma metoodika või prioritiseerimiseta.

Viisime läbi täieliku infoturbe riskianalüüsi ISO 27005 metoodika järgi: varade inventuur, ohtude ja haavatavuste tuvastamine, riskide hindamine ja prioritiseerimine, riskikäitlusplaanid. Lõppdokument vastas sertifitseeriva asutuse nõuetele esimesel esitamisel.

Tervishoiusektori ettevõte sai teada, et NIS2 nõuab märkimisväärsetest intsidentidest teavitamist 24 tunni jooksul. Neil polnud ühtegi dokumenteeritud protseduuri — intsidentidega tegeleti juhuslikult, kes just kohal oli.

Koostasime täieliku intsidentide käitlemise raamistiku: intsidentide klassifikatsioon, eskalatsiooniahel, teatamise malli järelevalveasutusele, siseuurimise protseduur ja õppimise mehhanism. Koolitusuuring näitas, et personal suutis pärast 2-tunnist koolitust intsidente korrektselt tuvastada ja eskaleerida.

IT-lahendusi pakkuv ettevõte soovis osaleda riigihankemenetluses, kus nõuti E-ITS (Eesti infoturbestandard) baastaseme vastavust. Neil puudus igasugune ülevaade, kas nad vastavad nõuetele.

Auditeerisime ettevõtte infosüsteemid ja protsessid E-ITS baastaseme nõuete vastu. Leidsime 11 lünka, millest 4 vajasid kiireid tehnilisi muudatusi. Kõik lüngad suleti 6 nädalaga — täpselt enne hanke esitamistähtaega.

Finantsteenuste ettevõte oli kohustatud ISO 27001 raames hindama oma kriitiliste tarnijate turvataset. Neil oli 23 tarnijat, kellest nad ei teadnud, kellelt alustada ega kuidas hinnata.

Koostasime tarneahela riskide hindamise metoodika ja küsimustiku. Klassifitseerisime kõik tarnijad kriitilisuse järgi, viisime läbi dokumendianalüüsi kõrge riskiga tarnijate kohta ja koostasime iga tarnija kohta lühikese hinnangu. Lõpptulemusena oli ettevõttel täielik tarneahela riskiregister ja järelmeetmete plaan.

Kiiresti kasvanud SaaS-ettevõte oli jõudnud punkti, kus suurkliendid nõudsid turvadokumentatsiooni enne lepingute sõlmimist. Ettevõttel polnud ühtegi infoturbepoliitikat — ei digitaalset ega paberkandjal.

Koostasime täieliku infoturbepoliitikate paketi: üldine infoturbepoliitika, paroolide halduse poliitika, kaugtöö turvalisuse juhend, intsidentide käitlemise kord, andmete klassifikatsiooniskeem ja vastuvõetava kasutuse poliitika. Kõik dokumendid kohandati ettevõtte tegelikule töökorraldusele — mitte üldised mallid.