Pinnapealne audit ei tõesta e-valimiste usaldusväärsust

E-valimiste usaldusväärsuse kinnituseks kasutatakse väidet, et süsteemi on korduvalt auditeeritud ja leitud laitmatu olevat. Väide vastab tõele selles osas, et auditeid on korraldatud, küll aga eksib eeldades, et hindamised süsteemi usaldusväärsust tõestasid.

Sõltumatu audiitori rollis esineb MKM stammaudiitor KPMG, mitmeid auditeid viivad läbi süsteemi arendajad ise. Tõeliselt sõltumatuid rahvusvahelisi spetsialiste ei soovita süsteemile ligi lasta, nagu tõestab EKRE ministri algatatud auditihanke kiire tühistamine peale valitsuspööret ja Reformierakonda esindava ministri võimule pääsemist.

Sõltumatu auditi näitena tuuakse konsultatsioonifirma KPMG koostatud dokumenti “Valimiste infosüsteemide ja nendega seotud protsesside turvalisuse terviklik auditeerimine ja hindamine Majandus- ja Kommunikatsiooniministeeriumile” [1]. Antud dokumendi vormistusele pole midagi ette heita, küll aga võib täheldada probleeme selle eesmärgi ning sisu osas. Uuring on nii fragmentaarne, et sõna “terviklik” ei ole küll paslik selle pealkirjas kasutada.

MKM avaldas toonase minister Suti juhtimisel teate “Majandus- ja Kommunikatsiooniministeeriumi tellimusel valminud audit kinnitab, et Eesti e-valimistel on tagatud väga kõrgel tasemel hääletamise salajasus, infosüsteemide vastupidavus, turvaskeemide tugevus ning hääletaja sõltumatus” [2].

Tegelikult leiti auditis terve rida erineval tasemel probleeme, millest osa lubati parandada enne käesoleva aasta Riigikogu valimisi, teised 2023. aasta lõpus.

Paar päeva tagasi küsitles Delfi Forte ajakirjanik RIA valimiste infosüsteemide arenduse osakonna juhatajat [3]. Vastused olid ebamäärased: midagi on tehtud, midagi on parandatud, teostajad ise hindavad oma tööd ja leiavad selle hea olevat. Ebaproportsionaalselt palju tähelepanu pööratakse kontekstist välja tõstetud pisiprobleemidele, nagu “valimiste infosüsteemi seansihalduse sessiooni pikkus ei ole kooskõlas parimate praktikatega” või teatud dokumentatsiooni parandamine.

Audit puudutab küll formaalseid nõudeid ning üksikuid detaile, jättes uurimise alt välja tõsised probleemid. Näiteks seda, kuidas kaitsta süsteemi võimalike sisemiste rünnete eest, ei puudutata üldse. Tähelepanu ei pöörata vajadusele kasutada riikliku tähtsusega tarkvara väljatöötamisel antud tasemele vastavat riskihaldust, protseduure ning projektijuhtimise meetodeid.

E-hääletuse tarkvara käivitamisel on praktiliselt iga kord välja tulnud mingid süsteemsed või hooletusvead, kuid ei auditis ega selle kommentaarides ole näha, et lohaka töökorralduse probleemi oleks teadvustatud või selle parandamiseks midagi ette võetud. E-hääletusega seoses on läbi aastate välja tulnud tõsiseid anomaaliaid, mille põhjuste uurimine ega kõrvaldamine ei pälvi tähelepanu.

Kohati kummaline on riskide hindamine KPMG audiitorite poolt. Näiteks jätkusuutliku arenduse puudumine või ebapiisava testimise punkt on millegipärast määratud sama riskantseks kui juba mainitud tehniline detail – infosüsteemi seansihalduse sessiooni pikkus.

Kui KPMG auditit lähemalt uurida, siis ilmneb, et selles on kasutatud minister Kingo poolt 2019. aastal loodud töögrupi lõppraporti punkte. Nagu teame, siis selle töögrupi enamuse moodustasid e-valimiste süsteemi väljatöötamisega seotud spetsialistid ning ametnikud. Kuna töörühma lõppraport koostati hääletuse teel, siis suruti sealt välja kõik ettepanekud, mis oleks süsteemi vaadeldavust ning kontrollitavust päriselt suurendanud. Kuna antud raport kukkus välja lünklik ning pinnapealne, siis sellele tuginevad auditid ei saa parema kvaliteediga olla.

Aruanne, mis tegeleb kosmeetiliste pisiprobleemidega, jättes tõelised turvariskid tähelepanuta, ei tõesta süsteemi usaldusväärsust. Riigi seisukohalt olulise tarkvarasüsteemi usaldusväärsus ei saa ega tohi olla usu küsimus.

Karl Olaf Rääk
Endine ettevõtlus- ja infotehnoloogiaministri nõunik
28 aasta pikkuse kogemusega tarkvaraspetsialist

Viited

[1] Valimiste infosüsteemide ja nendega seotud protsesside turvalisuse terviklik auditeerimine ja hindamine Majandus- ja Kommunikatsiooniministeeriumile (KPMG, 11.05.2022). NB! Viide laadib pdf dokumendi.
https://www.mkm.ee/media/7414/download

[2] Audit: e-valimised on turvalised (MKM, 21.06.2022)
https://www.mkm.ee/uudised/audit-e-valimised-turvalised

[3] AASTA HILJEM | Mis on saanud KPMG auditiga tuvastatud valimiste infosüsteemi turvariskidest? (Delfi Forte 08.03.2023)
https://forte.delfi.ee/artikkel/120154444/aasta-hiljem-mis-on-saanud-kpmg-auditiga-tuvastatud-valimiste-infosusteemi-turvariskidest