Veebiseminar „Küberintsidendi tõeline hind: mida saad juba täna teha, et homme mitte maksta?“

27.01.2026 toimunud veebiseminari saad järelvaadata siin:

Siit saad alla laadida veebiseminari slaidid.

Vastused veebisenimaril esitatud küsimustele

Mis oleks lihtne kuid lollikindel protseduur, et veenduda, kui hankija edastab info uue pangakonto kohta või üleüldse kui tekib uus hankija? Tänapäeval saab kõiki dokumente võltsida. Kas oleks mõistlik paluda vastaspoolel teha 1 EUR ülekanne, et veenduda?

Toomas Oper:
Kuna digitaalselt allkirjastatud dokumenti on raske võltsida, siis oleks üks võimalus see, et IBANi muutmine oleks allkirjastamist nõudev tegevus (teine osapool peab digiallkirjastama lepingu). Allkirja tuleb kontrollida sertifitseeritud teenusepakkuja juures.
1-sendine/eurone ülekanne ei välista otseselt pettust. Alates aastast 2025 on kehtiv EU nõue Verification of Payee (VoP), kus kontrollitakse saaja nime ja IBANi kokkulangevust. Kindlasti tuleb kontrollida, et teil oleks pangas see teenus peal ning pank ei teeks ülekannet, kui saaja nimi ja IBAN kokku ei lange.
Veel turvalahendusi:
– Open Banking / PSD2 põhised kontrollteenused – KYC
– panga kinnituskiri/sertifikaat – eIDAS kvalifitseeritud sertifikaat/allkiri, mida kontrollida
– rahvusvahelised registrid (EU business register jms)
– e-arve ntx PEPPOL jne
– hankija digiallkirjastatud PDF – eIDAS kvalifitseeritud sertifikaat/allkiri, mida kontrollida
– finantsosakond helistab ametlikule numbrile, mitte arvel olevale
– soovitatavalt kombineeritud meetodid

Tarneahelaründed, tippjuhi petuskeem – kuidas riske maandate ja millised kontrollid on Directos sisemiselt kasutusel ning mida soovitate kliendile?

Toomas Oper:
Need on kaks väga erinevat teemat ning lahendused on erinevad. Tarneahela rünnaku eest kaitsmiseks on väga oluline saada aru tarnija riskitasemest, teostada pidevalt tarnija DueDiligennce kontrolle ning kehtestada tarnijale infoturbe nõuded. Lisaks minimeerida õigusi ja ligipääse – võimalusel teha hankijale ka nn micro segmente.
Tippjuhi petuskeem: tüüpiliselt on ettevõtted juurutanud kõrgendatud riskiga tegevuste juures nn 4 silma reegli ning kokku on lepitud tegevused ja küsimused, mida mitte kunagi ei tehta e-kirja või Teamsi vahendusel, vaid alati otse silmast silma. Kui selliseid reegleid ei ole paika pandud, siis soovitame sellega kohe tegelema hakata.
Directos on arvete jm dokumentidega turvaliseks tegelemiseks väga hästi sobiv Menetluse kasutamine, kus kõik arved peavad läbima 8mitmetasandilise) menetluse protsessi vastavalt ettevõttes kehtestatud reeglitele.

Meie tarkvara on mõeldud autohooldustöökojas hooldusega seonduvate tegevuste digitaliseerimiseks, üks funktsionaalsustest on liidestus raamatupidamis- ja teiste tarkvaradega, ehk “liigutame meie kliendi andeid teiste tarkvarade vahel” (kaasa arvatud raamatupidamine, peamiselt arved). Meie küsimus: kuidas ennetada/maandada riske API-ga liidestamistel, millele pöörata rohkem tähelepanu?

Toomas Oper:
API liidestamisel peab pöörama tähelepanu mitmetele asjadele:
1. Autentimise ja saladuste haldus (kõige kriitilisem) – ära hardcode’i api võtit, vaheta võti koheselt, kui on kahtlus, et see on lekkinud. Kasuta IP piirangut.
2. Kontrolli sertifikaati, mida server esitab, et vältida man-in-the-middle rünnakuid. Man-in-the-Middle on rünnak, kus kurjategija sekkub salaja kahe süsteemi vahelisse suhtlusse, et andmeid pealt kuulata või neid omavoliliselt muuta.
3. Vastupidavus ja tõrketaluvus (inglise keeles Resilience) – kasuta lühikesi timeoute, ehita üles retry loogika – näiteks Exponential Backoff meetod (oota 1 sek, siis 2 sek, siis 4 sek jne). Kui saad ikka vea, siis peata protsess teatud ajaks automaatselt, et server saaks taastuda.
4. Valideeri sisendit ja väljundit ning väldi oma baasi koguinfo salvestamist, salvesta ainult seda, mis on tegelikult vajalik.
5. Ära kirjuta logisse tundlikku infot nagu API võti!

Kes on Eestis pädevaimad küberturvalisuse testijad näiteks Microsoft -i tarkvara osas?

Toomas Oper:
Eestis on palju teenusepakkujaid, kes on antud valdkonnas väga pädevad. Tasub küsida testijate käest vajalikud referentsid ja koostada testi skoop, et saada võrreldavad pakkumised.

Palun rääkida ka paroolihalduse võimalustest.

Toomas Oper:
Kindlasti tuleb kasutada paroolihalduse tarkvara. Tarkvarasid on palju ning tuleks uurida funktsionaalsusi, mida vajate, kas on olnud infoturbe intsidente ning milliseid. Brauserite sisse ehitatud vaikimisi seadistustes paroolihaldurid ei ole piisavad ning pahalastel on võimalik sealt parooli ikkagi varastada. Tasub rõhutada, et paroolihaldur üksi on haavatav, kui sellel pole tugevat 2FA-d (nt riistvaraline võti nagu YubiKey).

Kuidas kontrollida, et arve saatja on ka tegelik koostööpartner, mitte pahalane. On olnud juhtub, kuidas koostööpartneri emaili pealt tuli vastus/reply eelnevale kirjale sisuga, et pangaandmed on muutunud ja palun teha ülekanne uuele IBANile (lisas seesama leping koos sisuga, päises muudetud IBAN). Allkirjastatud jne… AGA, tegemist oli petukirjaga.

Toomas Oper:
E-kirjasid on võimalik nn kaaperdada ning lisada sinna pahatahtlik info. Digiallkirjastatud lepingute puhul tuleb dokumendil alati üle kontrollida allkirja õigsus.

Kas ja kuidas on kaitstud Dircto äritarkvara küberrünnaku (AI küberrünnak) eest?

Toomas Oper:
Directo kasutab mitmekihilist küberkaitset ning teeb pidevalt ja regulaarselt teste, et avastada turvaauke, ning jälgib küberturbes toimuvaid arenguid ning tegutseb vastavalt muutustele. AI’d saab kasutada nii küberründes aga õnneks ka küberkaitses. AI rünnakud põhinevad samadel põhimõtetel kui inimese tehtud, seetõttu on kaitse ka sarnane. AI võltsingud on aga väga head ning deepfake Teams kõned on täna reaalsus. Selleks on aga õnneks juba infoturbe teenuste pakkujatel lahendused olemas. Kuid parim kaitse on siiski sisemine kord, näiteks “me ei tee kunagi ülekandeid videokõne peale ilma täiendava kinnituseta teises kanalis”.

Mis on parim praktika uue hankija taustakontrolliks, mis protseduure ja dokumente küsida, veendumaks, et hankija andmed, sh pangakonto vastab tõele. Meil on palju Aasia hankijaid.

Toomas Oper:
Verifitseeri uued hankijad ametlikult panga kinnituskirja ja videokõne abil, et välistada meilivahetuse kaaperdamine ja kinnitada konto kuuluvus. Aasia turu puhul on kriitiline ka ettevõtte kehtivuse kontrollimine kohalikus äriregistris. Kui hankija teatab meili teel pangakonto muutusest, siis eira seda meili ja helista neile varem kokkulepitud (mitte uues meilis olevale) numbrile üle. Pangakontosid muudetakse harva – pettusi tehakse aga iga päev. Vaata ka kõige esimese küsimuse vastust.

Küsin üle, kas e-arved on turvalisemad kui PDF’d, aga kui turvalised? Kas ka nendega on võimalik petta ja kui lihtsalt?

Toomas Oper:
E-arved on PDF’dest tunduvalt turvalisemad, kuna need liiguvad manipuleerimiskindlalt süsteemist süsteemi, vältides ebaturvalist e-posti teel saatmist. Pettuse risk on nendega minimaalne ja eeldab tavaliselt hankija enda majandustarkvara otsest kompromiteerimist, mitte lihtsalt dokumendi võltsimist.

Kas Directo süsteemis on olemas kahefaktoriline autentimine (2FA) kasutajate sisselogimiseks?

Toomas Oper:
Jah, Directo toetab kahefaktorilist autentimist: Smart-ID, ID kaart ja mobiilID.

Mis on küberkindlustus ja kust kohast seda saab?

Keio Kärdla:
Küberkindlustus on teenus, mis aitab klienti küberintsidendi korral, hüvitades kulud ning veendudes, et Klient saaks võimalikult kiiresti abi ja tuge. Küberkindlustust pakub Howden Estonia, selleks võtke ühendust meie spetsialisti või maakleritega.

Kas küberkindlustus katab kahju, mis on tekkinud oma töötaja poolse andmevarguse tõttu?

Keio Kärdla:
Jah, küberkindlustus katab selles kontekstis kahju, kuna tegemist on küberkuriteoga.

Kas küberkindlustus sobib ainult suurtele ettevõtetele?

Keio Kärdla:
Küberkindlustus sobib kõikidele ettevõtetele ehk ettevõttetele, mille käive on 0 – 500M, mis on suunatud just VKE’dele.

Kas küberkindlustuse saamiseks peavad ka mingid baasküberturbe nõuded ettevõttel täidetud olema? Või saab kindlustada nii, et ettevõtte ei tee ennetavalt midagi ning pärast kindlustus kannab kahjud?

Keio Kärdla:
Küberkindlustuse puhul on küberturbe baasnõuded olemas. MFA (mitmikautentimine) ja EDR (lõppseadmete tuvastus ning reageerimine). Küberturbe nõuded tõusevad vastavalt ettevõtte suurusele ja käibele.

Kuidas kindlustus toimib, kui küberpettuse osaliseks saab juhatuse liige ise?

Keio Kärdla:
Kindlustus toimib täpselt sama moodi. Tuleb teavitada intsidendist ning sellega tegelevad eksperdid, tuvastades põhjuse, kahju jne. Näiteks Hekoteki juhtumi näitel: küberkindlustus oleks tekkinud kahjud korvanud. Kuid hilisemalt esitati kohtuhagi finantsjuhi vastu – selles kontekstis vastutab see isik oma isikliku varaga. Siin aitaks teda Juhtkonnavastutuse kindlustus (D&O). Küberkindlustus + Juhtkonnavastutus on mõlemad olulised kindlustusliigid.

Kuidas Teie kontrollite süsteeme enne kindlustuselepingu allkirjastamist?

Keio Kärdla:
Meie kui maaklerid teostame küberraporti. Selleks me kasutame kas Cyberwrite või Cybercube keskkonda, mis väliste näitajate põhjal annavad hinnangu ettevõtte valmidusest ning süsteemidest. See näitab, kas ettevõtte kasutajanimesid on kuskile lekkinud või kas ettevõttel on rämpposti tõrje. Ühtlasi teevad kindlustused omakorda samamoodi väliste/avalike andmete põhjal samasuguse rapordi.

Kas küberkindlustuse sõlmimisel hinnatakse ka kliendi IT süsteeme ja antakse vajadusel juhised selle täiendamiseks?

Keio Kärdla:
Jah, hinnatakse küberturbe meetmete olemasolu vajalikust (MFA ja EDR). Vajadusel antakse juhised nende täiendamiseks ning puudujääkide olemasolul on kate siiski kehtiv kuni 20% limiidist ja puuduste kõrvaldamisel kehtib automaatselt täiskate. Lisaks sellele on küberkindlustuse sõlmijatel võimalik saada sooduseid puuduste kõrvaldamisel.

Kas Eestis pakutakse ka ainult Eesti ettevõttele küberkindlustust? Kas ettevõte peab enne tegema analüüsi vms?

Keio Kärdla:
Küberkindlustus on globaalne toode ning seda pakutakse Eestis ja ka Eesti ettevõtetele. Kindlustaja, kes konkreetselt pakuks ainult Eestis ja Eesti ettevõtetele küberkindlustust, selles vormis ei eksisteeri.

Kas küberkindlustusega ka kaasneb selle riskianalüüs?

Keio Kärdla:
Jah, see on väliste näitajate põhjal teostatud riskiraport. Selleks kasutame Cyberwrite või Cybercube keskkonda.

Kas ja mis vahe on juriidilisest aspektist, kas rünnak on läbi viidud inimese või AI poolt?

Marcus Niin ja Oliver Ämarik:
Vastutuse küsimus taandub AI kasutamise puhul sellele, et kes AI’d kasutab. Üldjuhul on AI taga konkreetne isik/isikute grupp, kes seda küberkuritegevuse otstarbel kasutab. Seega juriidilisest vaatest ei ole vahet, kas rünnak on isiku poolt toime pandud AI’d kasutades või mõnel muul moel. AI on üksnes vahend, mille abil rünne toime pandi.

Millises mahus vastutab küberjuhtumi eest ettevõtte tavatöötaja, kes satub rünnaku ohvriks?

Marcus Niin ja Oliver Ämarik:
Kolmanda isiku õigust kahju hüvitamiseks töötaja arvelt on piiratud töölepingu seadusega. Selle alusel peab tööandja vabastama töötaja kahju hüvitamise ja vajalike kohtukulude kandmise kohustusest ning need kohustused ise täitma juhul, kui töötaja vastutab kolmandale isikule tööülesannete täitmise käigus tekitatud kahju eest. Sellisel juhul katab kahjud äriühing ehk tööandja, kellel on võimalik hiljem tagasinõude korras suunata nõue töötaja vastu.
Kui tööandja soovib esitada töötaja vastu nõude, siis kehtivad ka erinevad piirangud – näiteks tuleb nõue üldjuhul maksma panna ühe aasta jooksul ning sõltuvalt süüst saab piirata kahjuhüvitise suurust. Täiendavad nõuded võivad tuleneda töölepingust. Seadus konkreetseid piire hüvitisele ei sätesta, mistõttu suure kahju ja süü korral võib ka kahjunõue töötaja vastu olla samuti märkimisväärne. Praktikas on näiteks petukirjade alusel pangaülekannete tegemisel 50 000 euro ulatuses töötajalt välja mõistetud sellest ligikaudu 25 000 eurot. Erandina võib kolmas isik nõuda kahju otse töötajalt, kui töötaja on kahju tekitanud tahtlikult. Sellises olukorras võib kahju kannatanud isik valida, kellelt ta kahju hüvitamist nõuab, kas tööandjalt või töötajalt või mõlemalt.

27. jaanuaril 2026 korraldasime koos Howden Estonia ja Soraineniga tasuta küberturvalisuse teemalisele veebiseminari

Küberrünnakud ja pettused on Eestis üha sagedasemad ning nende mõju ettevõtetele võib olla laastav alates rahalistest kahjudest kuni mainekaotuseni. Regulatiivsed nõuded karmistuvad, trahvid suurenevad ja teadlikkus on võtmetähtsusega. Meie veebinar annab praktilise ülevaate, kuidas oma ettevõtet kaitsta, millised riskid on kõige levinumad ning kuidas maandada võimalikke kulukaid tagajärgi ja kohustusi.

Directo ja Howden Estonia küberturbe veebiseminaril:

Saad selge pildi küberriskide tegelikust ulatusest Eestis ja pettuste levikust.
Õpid praktilisi viise, kuidas oma ettevõtet kaitsta ja vähendada intsidentide mõju.
Kuulad päris kahjulugu, mis näitab, kui kalliks võib üks intsident minna.
Mõistad regulatiivseid kohustusi ja trahvide riske, mis võivad kaasneda.
Avad silmad mainekahju ja finantskulude tegelikule suurusele.
Howden Estonia teeb kõigile osalejatele sooduspakkumise Küberkindlustusele.

Veebiseminaril esinevad:

Räägin, miks väide „minult ei ole midagi varastada“ võib olla kalleim enesepettus, mis avab uksed küberpättidele. Selgitan lihtsalt ja otsekoheselt, kuidas tänapäevased automaatsed rünnakud leiavad üles iga haavatava süsteemi ja seda mitte väärtuste, vaid nõrkuste järgi ning miks just see teeb Sinust ootamatu sihtmärgi.

Toomas Oper

Directo infoturbejuht

Räägin sellest, kuidas ettevõtteid paremini kaitsta küberohtude eest ja miks on küberkindlustus muutunud hädavajalikuks. Samuti toon näiteid reaalsetest juhtumitest, kus andmelekked ja pettused on halvanud ettevõtete tegevuse ning põhjustanud suuri rahalisi ja mainekahjusid.

Keio Kärdla

Howden Estonia küberkindlustuse spetsialist

Tutvustame koos kolleeg Oliveriga õiguslikust vaatest küberintsidentidega seotud toiminguid ja tegevusi esimese kriitilise 72 h jooksul ning anname lühikese ülevaate järeltegevustest, tuginedes aktuaalsetele ja praktikas esinenud näidetele.“

Marcus Niin

Sorainen vandeadvokaat

Räägime koos kolleeg Marcusega oma esituses nimega “72 kriitilist tundi” küberintsidentide juriidilisest poolest reaalsete juhtumite näitel”.

Oliver Ämarik

Sorainen advokaat