Septembri algul lahvatas Eesti meedias ID-kaardi skandaal, mis paisus mõnede kommentaatorite arvates lausa maailmalõpuliseks, justkui olnuks Eesti e-riigi maine ühe ropsuga täiesti hävitatud kogu maailma silmis. Teiste arvates polnud tegu millegi muu kui järjekordse teoreetilise turvariski ilminguga, mis on tarkvaraarenduste loomulik protsess, kusjuures kõik sellised riskid on eeskujulikus ning eesrindlikus e-Eestis alati suudetud maandada, st alati on leitud uued, turvalisemad ID-lahendused enne kui reaalne, kasvõi ühe ID-varguse oht realiseerunuks.
Meenutan, mis juhtus. Riigi Infosüsteemide Amet ehk RIA küberintsidentide osakond sai 30. augustil teate uuest ID-kaardi kiibiga seotud riskist rahvusvaheliselt teadlaste grupilt 30, misjärel seda analüüsiti põhjalikult. Asjatundjate radarile saabub iga päev kümneid taolisi teateid. Teadlased olid avastanud teoreetilise turvariski, mis puudutab pärast 2014. aasta oktoobrit Eestis välja antud ID-kaarte. Kiibis peituv turvarisk võib ohustada 750 000 kaarti, mis on välja antud pärast 2014. aasta 16. oktoobrit. Varem väljastatud ID-kaartidel oli kasutusel teine kiip ning neid see risk ei mõjuta. Samuti ei puuduta antud turvarisk mobiil-ID-d. RIA teavitas kiibi turvariskist valitsust, valitsus kutsus kiiresti kokku kriisikommunikatsiooni grupi ja seejärel otsustas peaminister teavitada isiklikult avalikkust.
12. septembri pressikonverentsil teatas RIA peadirektor Taimar Peterkop, et ohuhinnang on endine: ID-kaardil on teoreetiline turvarisk, mida keegi pole seni suutnud praktikas realiseerida. RIA töötab jätkuvalt turvariski likvideerimise nimel. Eesmärk on jõuda enne kauguuenduse lahenduseni, kui ID-kaart suudetakse praktikas esimest korda n-ö lahti muukida: “Olen optimistlik, et avalikkusele lubatud kahe kuu jooksul suudame lahenduse kasutusele võtta nii uute kaartide tootmiseks kui ka varem väljastatud kaartide uuendamiseks.“
Siinkirjutaja ei ole IT-spetsialist, sestap kommenteerin toimunut vaid avalike suhete ja Eesti riigi kriisikommunikatsiooni vaatenurgast, mida olen õppinud ja mis alal olen 1999-2003 Riigikogus töötanud.
Eesti valitsusjuht Jüri Ratas tegi kaks olulist kriisikommunikatsiooni otsust: esiteks otsustas ta seekordsest ID-kaardi turvariskist kohemaid teavitada Eesti avalikkust, mitte jätta see ametkondlikuks saladuseks. Võimaliku riski kohese avalikustamise otsuse eest tuleb peaministrit kiita, sest teoreetiline oht hõlmas esmakordselt niivõrd suurt arvu Eestis välja antud ID-kaartide digitaalseid sertifikaate.
Paraku ei andnud peaminister avalikkuse teavitamise ülesannet mitte RIA juhile ega Eesti IT-valdkonna tippekspertidele ega ka mitte antud valdkonna ministrile, vaid pidas vajalikuks teha ID-kaardi teoreetilise ohu olemasolu teatavaks isiklikult peaministri pressikonverentsil. Tekkis õigustatud küsimus, miks oli vaja vaid teoreetilise (matemaatilise võimaluse) ohust, mille likvideerimine on tõenäoline mõne lähikuu jooksul, teha asjast nii suurt numbrit? Kas ei kahjustanud selline tipptasemel poliitilise tähelepanu pööramine Eesti riigi mainet rohkemgi, kui üks (tõsi, suuremahuline) ID-kaardi turvaoht, mis pealegi ei johtunud mitte Eestis tehtud veast, vaid seisnes välismaalt sisse ostetud kaardikiipides. Pealegi on samasugused ohustatud kiibid käibel ka paljude teiste Euroopa riikide pangajt süsteemide kaartides, kuid sellele rahvusvahelisele aspektile ei pööratud peaministri pressikonverentsil üldse tähelepanu. Nimelt kasutatakse samasugust kiipi miljonite kaupa ka teiste riikide krediitkaartides, teistes ID-kaartides, peamiselt küll autentimiseks. Tõsi, neid ei ole seni kasutatud mitte niisama võimsalt nagu Eesti ID-kaart seda teeb: tegemist on nagu maasturiga, mida enamus kasutab vaid linnasõiduks, kuigi auto suudaks teha palju enamat, meie kasutame aga esimesena maasturit ka palgiveoks ja metsatöödeks, kuigi pole veel teada, kas meie tarkvara on selleks piisav.
Keskerakonna peaminister sai teenitult kaela süüdistused erakonnapoliitilise kasu tagaajamises, sest Keskerakond on ju kaua aastaid võidelnud e-valimiste vastu, arvates, et e-valimistel saavad nemad proportsionaalselt vähem hääli kui teised erakonnad. Tegelikult ei erine paber- ja e-hääletuste valijaskond üksteisest enam kuigivõrd, vähemasti mitte statistiliselt olulisel ega valimistulemusi mõjutaval määral.
Nüüd on Keskerakond saanud endale e-valimiste vastaseks võitluskaaslaseks ka Eesti Konservatiivse Rahvaerakonna, kes kaebas äsja kohtusse riikliku valimiskomisjoni otsuse, mille kohaselt oktoobris toimuvatel kohalikel valimistel on e-valimised endiselt lubatud, sest teadlaste avastatud ID-kaardi kiibil peituvat turvariski ei pidanud valimiskomisjon lähikuudel reaalseks identiteedivarguse ohuks. Fakti, et üks parlamendierakond ei usalda omaenda riigi valimiskomisjoni ega RIA eksperte, võib lugeda märksa reaalsemaks ohuks Eesti mainele kui seda on vaid teoreetiline, praktiliselt likvideerimisel olev turvarisk.
Kui me ise oma e-riiki ei usu ning omaenda parimate spetsialistide seisukohad pelgalt poliitilistel eesmärkidel küsimärgistame, kuidas saame siis eeldada, et teised meie e-riigist lugu peaksid ja seda endale eeskujuks seaksid?
Rahvusvahelisest vaatenurgast on siiski tegemist pigem väikse tormiga veeklaasis. Tõsi, ilmus paar kriitilist artiklit, Financial Times’s ja Frankfurter Allgemaine’s, kus kirjutati, et Tallinnal on probleem ja et Eesti ID-kaart sai häbistava löögi (tänu peaministrile!), teema korjasid üles ka paar tehnoloogiaportaali, kuid laiem tähelepanu rahvusvahelises meedias jäi siiski olematuks. Sellel on mitu põhjust. Esiteks oli tegu tõesti vaid teoreetilise riskiga, mis on esmaavastusliku tarkvaraarenduse paratamatu nähe ja mille maandamisega tegelevad IT-eksperdid kogu ilmas iga päev. Teiseks on ingliskeelsel meedial olnud samal ajal tegemist hoopis suuremate, sadu miljoneid inimesi puudutavate identiteedivarguste skandaalidega, mis on juba juhtunud. Näiteks tänavu kevadel toimunud häkkimist ühe USA suurima krediidibüroo Equifax andmepanka, mis avastati augustis ja kust võidi varastada vähemasti 140 miljoni inimese kõikvõimalikud isikuandmed.
Kui asetame Eestis toimunu pisutki laiemale kaardile, siis näeme, et Eesti ID-turvalisus ei ole praegu tegelikult rohkem ohus kui ta oli eile või on homme, sest Eesti on aastakümnete jooksul välja arendanud võimekuse tulla toime sedalaadi ohtudega tänapäeva infoühiskonnas ning ka kõnesolev juhtum on selle võimekuse heaks kinnituseks. Mina kavatsen igatahes oktoobris endiselt e-valida, nagu olen teinud viimased kümme aastat. Usaldagem ikka ise oma e-riiki, siis saavad ka teised meid usaldada.
Sirje Kiin
