Μηχανισμοί διασφάλισης της ασφάλειας των συστημάτων πληροφοριών

Σε αυτό το άρθρο θα εξετάσουμε τους βασικούς μηχανισμούς ασφάλειας των συστημάτων πληροφοριών και γιατί οι εταιρείες τους χρειάζονται.

Ας δούμε πρώτα τη θεωρία.

Σύστημα πληροφοριών (στο εξής — ΣΠ) είναι ένα σύνολο λογισμικού και υλικού, καθώς και διαδικασιών και μεθόδων επεξεργασίας πληροφοριών εντός της επιχείρησης. Το ΣΠ χρησιμοποιείται για τη συλλογή, ανάλυση, αποθήκευση και μεταφορά δεδομένων. Ένα καλά δομημένο ΣΠ επιτρέπει στις εταιρείες να βελτιστοποιούν τις εργασιακές διαδικασίες και να επιτυγχάνουν ταχύτερα τους επιχειρηματικούς τους στόχους.

Ασφάλεια πληροφοριών (στο εξής — ΑΠ) — κατάσταση του συστήματος πληροφοριών, στο πλαίσιο της οποίας διασφαλίζεται η προστασία των προστατευόμενων πληροφοριών από μη εξουσιοδοτημένη πρόσβαση με σκοπό την αποκάλυψη, χρήση, τροποποίηση και καταστροφή τους.

Πληροφοριακά περιουσιακά στοιχεία (στο εξής ΠΠΣ) είναι οποιαδήποτε πληροφορία που ανήκει, διαχειρίζεται ή τηρείται από μια επιχείρηση. Τα πληροφοριακά περιουσιακά στοιχεία περιλαμβάνουν τεκμηρίωση, διαγράμματα, σχέδια, εικόνες, αρχεία βίντεο και ήχου, βάσεις δεδομένων, διαδικτυακούς πόρους κ.λπ.

Μηχανισμοί ασφάλειας συστημάτων πληροφοριών (στο εξής μηχανισμοί ΔΑΣΠ) — σύνολο υλικού, οργανωτικών μέσων και λογισμικού που χρησιμοποιούνται για τη διατήρηση της σταθερότητας και της ασφάλειας του ΣΠ της εταιρείας.

Γιατί πρέπει να προστατεύονται οι πληροφορίες;

Πληροφορία είναι κάθε μορφή γνώσης που μπορεί να χρησιμοποιηθεί, αποθηκευτεί, μετασχηματιστεί και μεταδοθεί. Οι πληροφορίες, είτε ανήκουν σε άτομα είτε σε εταιρείες, μπορούν να είναι πολύτιμες επειδή δεν είναι γνωστές σε τρίτους, οι οποίοι θα μπορούσαν να τις χρησιμοποιήσουν με κακόβουλη πρόθεση, για δικό τους πλουτισμό ή για να αποκτήσουν ανταγωνιστικό πλεονέκτημα.

Κάθε πολύτιμη πληροφορία που κατέχει μια εταιρεία αποτελεί πληροφοριακό περιουσιακό στοιχείο της.

Οι πληροφορίες ενός οργανισμού μπορούν να ταξινομηθούν ως εξής.

Οι πληροφορίες ενός οργανισμού μπορούν να ταξινομηθούν ως εξής

• Δημόσιες. Δεδομένα που δεν χρειάζονται προστασία και των οποίων η αποκάλυψη δεν θα είχε συνέπειες για κάποιο άτομο ή για τον οργανισμό.
• Εμπιστευτικές. Πληροφορίες των οποίων η αποκάλυψη θα μπορούσε να προκαλέσει υλική, οικονομική, φήμης ή άλλη ζημία στην εταιρεία ή να θέσει σε κίνδυνο την ασφάλεια ενός ατόμου ή μιας εταιρείας. Για την προστασία εμπιστευτικών πληροφοριών, πρέπει να θεσπιστεί καθεστώς εμπορικού απορρήτου στην εταιρεία.
• Νομικά προστατευόμενες. Σε αυτές περιλαμβάνονται κρατικά, ιατρικά, υπηρεσιακά, οικογενειακά, στρατιωτικά απόρρητα και προσωπικά δεδομένα πολιτών.

Για να μην περιέλθουν σημαντικές πληροφορίες στα χέρια εισβολέων, είναι απαραίτητο να ληφθούν μέτρα προστασίας τους. Διακρίνονται τα εξής μέτρα προστασίας πληροφοριών σε μια επιχείρηση.

Οργανωτικά (διοικητικά). Ανάπτυξη και εφαρμογή πολιτικής ΑΠ, εργασία με τους εσωτερικούς κανονισμούς της εταιρείας, εκπαίδευση του προσωπικού στις βασικές αρχές της ΑΠ.

Φυσικά. Περιορισμός της φυσικής πρόσβασης στους χώρους αποθήκευσης των ΠΠΣ της εταιρείας: εγκατάσταση θυρών, κλειδαριών, συστημάτων βιντεοεπιτήρησης, συστημάτων συναγερμού. Όχι μόνο οι άνθρωποι, αλλά και οι φυσικές καταστροφές αποτελούν απειλή για τα δεδομένα. Για την προστασία ευαίσθητων δεδομένων, είναι απαραίτητο να χρησιμοποιούνται αξιόπιστα χρηματοκιβώτια και να εγκαθίστανται συστήματα πυρανίχνευσης.

Υλικού και τεχνικά. Χρήση ηλεκτρονικών και ηλεκτρονικομηχανικών συσκευών.

Λογισμικού. Λογισμικό που εγκαθίσταται σε διακομιστές και εξοπλισμό: συστήματα DLP, προγράμματα προστασίας από ιούς, συστήματα ελέγχου πρόσβασης, τείχη προστασίας, συστήματα SIEM κ.ο.κ.

Κρατικά μέτρα ρύθμισης της προστασίας εμπιστευτικών πληροφοριών

Ένα ευρέως γνωστό σύνολο προτύπων μεταξύ επαγγελματιών ΑΠ είναι η σειρά ISO/IEC. Αναφέρεται συχνότερα από ειδικούς κατά την εφαρμογή μηχανισμών ΔΑΣΠ στις διαδικασίες μιας επιχείρησης.

• ISO/IEC 27001:2013 είναι το πιο γνωστό πρότυπο της σειράς. Περιγράφει βασικούς όρους και ορισμούς, καθώς και πτυχές της διαχείρισης ΑΠ, και παρέχει πρακτικές οδηγίες για την οικοδόμηση ενός αποτελεσματικού και βιώσιμου συστήματος ΑΠ.
• ISO/IEC 15408 — κατάλογος κριτηρίων για την αξιολόγηση της ασφάλειας τεχνολογιών πληροφορικής (σε επίπεδο λογισμικού και υλικού), καθώς και απαιτήσεις για τη λειτουργικότητα των χαρακτηριστικών ασφαλείας. Επιπλέον, το έγγραφο περιέχει αιτιολογήσεις απειλών, βασικές πολιτικές και απαιτήσεις.
• ISO/IEC 29100 — περιγράφει πρακτικές διατήρησης της ΑΠ και ένα γενικό πλαίσιο ιδιωτικότητας.

Ο πλήρης κατάλογος διεθνών προτύπων είναι διαθέσιμος στον επίσημο ιστότοπο του Διεθνούς Οργανισμού Τυποποίησης.

Εκτός από την προστασία των προστατευόμενων δεδομένων, καθώς και κρατικών, τραπεζικών, ιατρικών και άλλων απορρήτων, οι εταιρείες πρέπει να οργανώνουν την ασφάλεια της συλλογής, αποθήκευσης και μετάδοσης προσωπικών δεδομένων χρηστών — εργαζομένων, πελατών, συνεργατών, αναδόχων κ.λπ.

Ο όρος προσωπικά δεδομένα (στο εξής «ΠΔ») αναφέρεται σε οποιαδήποτε ευαίσθητη πληροφορία σχετικά με έναν χρήστη: τη διεύθυνση κατοικίας, τη διεύθυνση διαμονής, τον τόπο εργασίας, τα στοιχεία εισοδήματος, τον αριθμό τηλεφώνου, τα διαβατηριακά στοιχεία, τα τραπεζικά στοιχεία, το email κ.ο.κ. Οι εταιρείες που χρησιμοποιούν προσωπικά δεδομένα πρέπει να εφαρμόζουν ένα σύνολο μέτρων ώστε οι πληροφορίες των χρηστών να μην περιέρχονται στα χέρια εγκληματικών ομάδων στον κυβερνοχώρο.

Για την προστασία των προσωπικών δεδομένων, οι επιχειρήσεις υποχρεούνται να:

• συλλέγουν πληροφορίες για έναν χρήστη μόνο με τη συγκατάθεσή του, είτε γραπτώς είτε ηλεκτρονικά·
• ενημερώνουν υποχρεωτικά τους χρήστες για τη συλλογή προσωπικών δεδομένων, καθώς και για τους σκοπούς της συλλογής και της επεξεργασίας·
• μη μεταφέρουν τα προσωπικά δεδομένα των χρηστών σε τρίτους·
• εφαρμόζουν ένα σύνολο τεχνικών, τεχνολογικών και οργανωτικών μέτρων που αποσκοπούν στην ελαχιστοποίηση των κινδύνων διαρροής δεδομένων.

Η συμμόρφωση με τις κανονιστικές απαιτήσεις παρακολουθείται μέσω επιθεωρήσεων. Οι κανονιστικές επιθεωρήσεις μπορεί να είναι προγραμματισμένες ή να ξεκινήσουν ως αποτέλεσμα ευρείας κλίμακας συμβάντων ΑΠ.

Για τη δημιουργία ενός σταθερού και αξιόπιστου ΣΠ επιχείρησης, συνιστάται η εγκατάσταση εξειδικευμένου λογισμικού: τείχη προστασίας, προγράμματα προστασίας από ιούς, εργαλεία ανίχνευσης εισβολών, συστήματα πρόληψης διαρροών δεδομένων που προκαλούνται από χρήστες (συστήματα DLP), συστήματα ανίχνευσης συμβάντων ΑΠ (συστήματα SIEM).

Σημειωτέον ότι κάθε προϊόν που εφαρμόζεται πρέπει να πληροί τις υποχρεωτικές απαιτήσεις πιστοποίησης που ορίζει η ισχύουσα νομοθεσία. Χωρίς πιστοποίηση λογισμικού, τα μέτρα προστασίας θα θεωρηθούν από τις εποπτικές αρχές ανίσχυρα.

Αλγόριθμος ενιαίου μηχανισμού διασφάλισης της ΑΠ

Για την προστασία ευαίσθητων πληροφοριών που δεν σχετίζονται με κρατικά απόρρητα ή προσωπικά δεδομένα, μια επιχείρηση μπορεί να εφαρμόσει ένα σύνολο μέτρων βάσει των στόχων ΑΠ, του προϋπολογισμού και των δυνατοτήτων της. Αυτό μπορεί να γίνει είτε εσωτερικά είτε με τη χρήση ολοκληρωμένων λύσεων, όπως συστήματα SIEM και DLP. Επιπλέον, κατά την επιλογή μιας λύσης, αξίζει να εξεταστεί εάν η επιχείρηση χρησιμοποιεί αυτοματοποιημένα συστήματα ελέγχου διεργασιών (ΑΣΕΔ), συστήματα CRM, διάφορο λογισμικό αυτοματοποίησης διαχείρισης εγγράφων κ.λπ.

Σε αυτή την περίπτωση, ανεξάρτητα από την επιλεγμένη στρατηγική, οι μηχανισμοί προστασίας του ΣΠ θα είναι ενιαίοι για όλες τις επιχειρήσεις. Ο παρακάτω αλγόριθμος αποτελεί ένα παράδειγμα:

• έλεγχος της τρέχουσας κατάστασης του συστήματος ΑΠ·
• αναζήτηση, εντοπισμός και καταγραφή τρωτών σημείων, έλεγχος του δικτύου και των στοιχείων της υποδομής·
• ανάπτυξη, έγκριση και εφαρμογή της πολιτικής ΑΠ στην εργασία της εταιρείας·
• εφαρμογή μηχανισμών εξουσιοδότησης και ταυτοποίησης· 
• εφαρμογή μηχανισμού διαφοροποίησης πρόσβασης· 
• συνεχής παρακολούθηση της κατάστασης της ΑΠ, αναζήτηση, εντοπισμός και καταγραφή συμβάντων ΑΠ και, επιπλέον, δημιουργία καταλόγου κανόνων αντιμετώπισής τους·
• προστασία των καναλιών επικοινωνίας μέσω των οποίων απομακρυσμένοι χρήστες μπορούν να συνδέονται στο ΣΠ της εταιρείας·
• εισαγωγή χαρακτηριστικών κρυπτογραφικής ασφάλειας στη λειτουργία του ΣΠ·
• Συνεχής παρακολούθηση της διαμόρφωσης του ΣΠ και της συμβατότητας των στοιχείων του.

Σημαντικό: κατά την εφαρμογή μηχανισμών ΔΑΣΠ, πρέπει να τηρείται η αρχή της λογικής επάρκειας. Αυτό σημαίνει ότι το κόστος εφαρμογής της προστασίας δεδομένων δεν πρέπει να υπερβαίνει την αξία τους, και τα λαμβανόμενα μέτρα δεν πρέπει να επηρεάζουν την αποδοτικότητα των επιχειρησιακών διαδικασιών.

Στη συνέχεια, θα εξετάσουμε λεπτομερώς τα μέτρα ασφάλειας ΣΠ μιας επιχείρησης.

Μηχανισμοί διασφάλισης της ασφάλειας των συστημάτων πληροφοριών

Ας δούμε τα πιο δημοφιλή μέτρα που στοχεύουν στην προστασία των προστατευόμενων ΠΠΣ.

Έλεγχος πρόσβασης (Access Control, επίσης AC)

Ο έλεγχος πρόσβασης είναι ένας μηχανισμός που σας επιτρέπει να διαχειρίζεστε τα επίπεδα πρόσβασης των χρηστών σε εταιρικά δεδομένα και πόρους.

Ο αποτελεσματικός έλεγχος πρόσβασης μπορεί να βοηθήσει:

• να μειώσει σημαντικά τους κινδύνους διαρροής ΠΠΣ σημαντικών για την εταιρεία·
• να τηρήσετε τις κανονιστικές απαιτήσεις και να αποφύγετε κυρώσεις.

Ο έλεγχος πρόσβασης διαχειρίζεται σε τρεις φάσεις.

• Το πρώτο βήμα είναι η ταυτοποίηση και η πιστοποίηση του χρήστη.
• Το δεύτερο στάδιο — μετά την εξουσιοδότηση, το σύστημα καθορίζει το επίπεδο πρόσβασης σε συγκεκριμένα ΠΠΣ, δηλαδή ποιες ενέργειες μπορεί να εκτελέσει ο χρήστης: λήψη, τροποποίηση, διαγραφή, ανάγνωση κ.ο.κ.
• Το τρίτο στάδιο — το σύστημα παρέχει την πρόσβαση. Εάν χρειάζεται, μπορείτε να ελέγχετε την περαιτέρω εργασία του εργαζομένου με το εμπιστευτικό αρχείο.

Για να ελαχιστοποιηθούν οι κίνδυνοι διαρροής ΠΠΣ της επιχείρησης λόγω ανθρώπινου παράγοντα, συνιστάται ο έλεγχος πρόσβασης σε εμπιστευτικά δεδομένα τουλάχιστον μία φορά κάθε 6 μήνες.

Ταυτοποίηση και πιστοποίηση (Identification and Authentication, επίσης IAF)

Η ταυτοποίηση καθορίζει ποιος είναι ένας χρήστης, για παράδειγμα, μέσω του ονόματος λογαριασμού ή ενός προσωπικού αναγνωριστικού.

Η πιστοποίηση είναι ο τρόπος με τον οποίο ένας χρήστης αποδεικνύει ότι είναι ο νόμιμος κάτοχος ενός λογαριασμού. Η πιστοποίηση εδραιώνει την ταυτότητα με τη χρήση κωδικών πρόσβασης, βιομετρικών στοιχείων ή κωδικών ασφαλείας που αποστέλλονται σε αξιόπιστο αριθμό τηλεφώνου. Συνιστάται η πολυπαραγοντική πιστοποίηση για τη μείωση των κινδύνων μη εξουσιοδοτημένης πρόσβασης.

Η διαδικασία ταυτοποίησης και πιστοποίησης μπορεί να είναι συγκεντρωτική για τους χρήστες εντός μιας ενιαίας επιχείρησης. Σε αυτό το σχήμα εργασίας, στους χρήστες θα εκχωρούνται αναγνωριστικά τα οποία μπορούν να χρησιμοποιήσουν για να συνδεθούν ταυτόχρονα σε πολλούς λογαριασμούς: υπηρεσίες, εφαρμογές, υπηρεσίες ηλεκτρονικού ταχυδρομείου και άλλα.

Μόνο αφού ένας χρήστης έχει ταυτοποιηθεί και πιστοποιηθεί μπορεί να αποκτήσει εξουσιοδοτημένη πρόσβαση στο ΣΠ της επιχείρησης και στους πόρους του.

Περιορισμός περιβάλλοντος λογισμικού (Software Environment Restriction, SER)

Διάφορες υπηρεσίες, λογισμικό και τα στοιχεία του που δεν χρησιμοποιούνται από τους εργαζομένους για την εκτέλεση των εργασιακών τους καθηκόντων ενδέχεται να έχουν τρωτά σημεία που μπορούν να αξιοποιηθούν από επιτιθέμενους για την απόκτηση μη εξουσιοδοτημένης πρόσβασης στο ΣΠ και στους πόρους του. Ως εκ τούτου, συνιστάται στις επιχειρήσεις να εφαρμόζουν μέτρα περιορισμού του περιβάλλοντος λογισμικού.

Μεταξύ άλλων, η διαδικασία ΠΠΛ περιλαμβάνει τις ακόλουθες ενέργειες:

• ρύθμιση της εκκίνησης λογισμικού και των στοιχείων του (συμπεριλαμβανομένης της εκκίνησης του λειτουργικού συστήματος), καθώς και διαμόρφωση των παραμέτρων εκκίνησης·
• έλεγχο του λογισμικού που εκτελείται·
• ρύθμιση της εγκατάστασης λογισμικού και των στοιχείων του·
• διαχείριση προσωρινών αρχείων.

Διάφορα σενάρια εντολών, προγράμματα οδήγησης, υποσυστήματα, συστήματα αρχείων, διεπαφές, ορισμένοι διακομιστές ιστού κ.λπ. ενδέχεται να διαθέτουν περιττή ή απειλητική για την ΑΠ λειτουργικότητα. Η απενεργοποίηση ή η αφαίρεση όλων των αχρησιμοποίητων υπηρεσιών, συστημάτων, πρωτοκόλλων και λειτουργιών μπορεί να μειώσει σημαντικά τον κίνδυνο κυβερνοεπιθέσεων.

Έλεγχος ασφαλείας

Πρόκειται για μια αξιολόγηση των δεικτών κατάστασης της ΑΠ ως προς τη συμμόρφωσή τους με την εγκεκριμένη πολιτική ασφαλείας της επιχείρησης. Σκοπός του ελέγχου είναι ο εντοπισμός τρωτών σημείων στο ΣΠ, η αξιολόγηση των υφιστάμενων κινδύνων και η κατηγοριοποίησή τους, καθώς και η διατύπωση συστάσεων για τη μείωση της πιθανότητας πραγματοποίησής τους.

Βάσει των αποτελεσμάτων του ελέγχου, συντάσσεται αναφορά σχετικά με την τρέχουσα κατάσταση του ΣΠ, τα τρωτά σημεία που εντοπίστηκαν και τις συστάσεις για την εξάλειψή τους. Αυτό επιτρέπει στη διοίκηση του οργανισμού να λαμβάνει τεκμηριωμένες αποφάσεις για τον μετριασμό των κινδύνων και τη βελτίωση των μηχανισμών προστασίας.

Ο έλεγχος εξετάζει:

• την υπάρχουσα πολιτική ασφαλείας·
• τις εφαρμοζόμενες διαδικασίες και την αποτελεσματικότητά τους·
• τα τεχνικά μέσα προστασίας που χρησιμοποιούνται — λογισμικό προστασίας από ιούς, συστήματα πρόληψης εισβολών, τείχη προστασίας κ.λπ.·
• τα οργανωτικά μέτρα που εφαρμόζονται — πιστοποίηση και ταυτοποίηση, έλεγχο πρόσβασης, εκπαίδευση εργαζομένων στις βασικές αρχές της ΑΠ κ.λπ.·
• τα πιθανά τρωτά σημεία και τους κινδύνους που προκύπτουν από αυτά.

Ο έλεγχος ασφαλείας μπορεί να πραγματοποιηθεί είτε εσωτερικά είτε από εξωτερικούς ελεγκτές. Η επιλογή θα πρέπει να βασίζεται στο μέγεθος της εταιρείας και στην πολυπλοκότητα των καθηκόντων που αντιμετωπίζει το ΣΠ.

Προστασία από ιούς (Antivirus Protection, AVP)

Η προστασία από ιούς, στο πλαίσιο της διατήρησης του ΣΠ μιας επιχείρησης, είναι ένα σύνολο μέτρων και τεχνολογιών που χρησιμοποιούνται για τον εντοπισμό, τον αποκλεισμό και την εξάλειψη κακόβουλου λογισμικού (ιοί, worms, Trojans και άλλα) από τις συσκευές του προσωπικού ή εντός του εταιρικού δικτύου.

Μεταξύ άλλων, ξεχωρίζουν τα ακόλουθα στοιχεία της αντιικής άμυνας μιας επιχείρησης.

• Λογισμικό προστασίας από ιούς.
• Τακτική ενημέρωση των υπογραφών, δηλαδή της βάσης δεδομένων ιών, ώστε τα προγράμματα προστασίας από ιούς να μπορούν να εντοπίζουν και να εξαλείφουν κακόβουλο λογισμικό εγκαίρως.
• Τακτική σάρωση του ΣΠ για την αναζήτηση νέων απειλών.
• Συνεχής παρακολούθηση της δραστηριότητας του λογισμικού για τον εντοπισμό ύποπτης συμπεριφοράς που ενδέχεται να σχετίζεται με τη δράση ιών ή άλλου κακόβουλου λογισμικού.
• Τείχος προστασίας. Απαιτείται για τον έλεγχο της εισερχόμενης και εξερχόμενης κίνησης δικτύου.
• Sandbox. Ένα απομονωμένο περιβάλλον για την εκτέλεση ύποπτου λογισμικού και την ανάγνωση αρχείων, το οποίο σας επιτρέπει να διερευνάτε με ασφάλεια τη συμπεριφορά τους και τον αντίκτυπό τους στο ΣΠ.

Σημαντικό! Για να διατηρηθεί αποτελεσματική η προστασία από ιούς, είναι απαραίτητο να ενημερώνεται εγκαίρως όχι μόνο το λογισμικό προστασίας από ιούς, αλλά και κάθε άλλο λογισμικό εγκατεστημένο στο ΣΠ. Μαζί με την εισαγωγή νέων λειτουργιών λογισμικού, οι προγραμματιστές εξαλείφουν επίσης τρωτά σημεία που εντοπίστηκαν μεταξύ των ενημερώσεων.

Σύστημα πρόληψης εισβολών (Intrusion Prevention System, επίσης PSB)

Το σύστημα πρόληψης εισβολών είναι ένα εργαλείο ασφάλειας δικτύου που παρακολουθεί το δίκτυο σε πραγματικό χρόνο για κακόβουλη δραστηριότητα και λαμβάνει μέτρα για την αποτροπή της, συμπεριλαμβανομένης της ειδοποίησης, του αποκλεισμού ή της αφαίρεσής της σε περίπτωση εμφάνισής της. Ένα IDS μπορεί να είναι μια συσκευή υλικού ή ένα πακέτο λογισμικού, ή συνδυασμός των δύο.

Συνήθως, το PSB λειτουργεί ως εξής: εάν ένας μη εξουσιοδοτημένος χρήστης αποκτήσει πρόσβαση στο δίκτυο, το σύστημα εντοπίζει την ύποπτη δραστηριότητα, καταγράφει τη διεύθυνση IP και ανταποκρίνεται στην απειλή, λαμβάνοντας υπόψη τους κανόνες που έχει προδιαμορφώσει ο διαχειριστής του δικτύου.

Διασφάλιση ακεραιότητας (Integrity Assurance, επίσης AI)

Οι οργανισμοί που εργάζονται με προσωπικά δεδομένα και ευαίσθητες πληροφορίες υποχρεούνται να:

• ελέγχουν την ακεραιότητα των ΠΔ, καθώς και την ακεραιότητα του λογισμικού προστασίας πληροφοριών·
• δημιουργούν προϋποθέσεις για τη διατήρηση της σταθερότητας και τη δυνατότητα ανάκτησης του λογισμικού σε περίπτωση συμβάντων· 
• ρυθμίζουν τα δικαιώματα του προσωπικού για την καταχώριση πληροφοριών στο ΣΠ·
• ελέγχουν την ακεραιότητα, την πληρότητα και την ορθότητα των πληροφοριών που καταχωρίζονται στο ΣΠ κ.λπ.

Διασφάλιση διαθεσιμότητας (Ensuring Accessibility, επίσης EA)

Οι επιχειρήσεις πρέπει να:

• εισάγουν ανθεκτικά στα σφάλματα τεχνικά μέσα στη λειτουργία του ΣΠ·
• δημιουργούν αντίγραφα ασφαλείας των προστατευόμενων δεδομένων·
• υποστηρίζουν τη δυνατότητα αποκατάστασης των προστατευόμενων δεδομένων από αντίγραφα ασφαλείας κ.λπ.

Προστασία τεχνικών μέσων και συστημάτων (PTS)

Οι οργανισμοί που διαχειρίζονται προστατευόμενες πληροφορίες πρέπει να:

• λαμβάνουν μέτρα για την προστασία των δεδομένων που επεξεργάζονται τεχνικά μέσα·
• περιορίζουν την πρόσβαση σε χώρους όπου βρίσκεται ο εξοπλισμός αποθήκευσης και επεξεργασίας προστατευόμενων δεδομένων·
• μειώνουν τους κινδύνους περιβαλλοντικής επίδρασης στα τεχνικά μέσα κ.λπ.

Για τον πλήρη κατάλογο των κανονισμών της ισχύουσας νομοθεσίας σχετικά με τη διασφάλιση της ακεραιότητας και της διαθεσιμότητας των δεδομένων, καθώς και σχετικά με μέτρα προστασίας τεχνικών μέσων, επισκεφθείτε την επίσημη πύλη του αρμόδιου οργανισμού.

Προστασία του (αυτοματοποιημένου) συστήματος πληροφοριών και των στοιχείων του (ISP)

Οι συστάσεις ISP υποχρεώνουν τις εταιρείες να:

αναπτύσσουν και εφαρμόζουν κανόνες και διαδικασίες προστασίας δεδομένων· προστατεύουν την περίμετρο του ΣΠ της επιχείρησης· περιορίζουν την πρόσβαση σε απαγορευμένους διαδικτυακούς πόρους· απαγορεύουν μη εξουσιοδοτημένες συνδέσεις σε περιφερειακές συσκευές· χρησιμοποιούν χαρακτηριστικά ασφάλειας ασύρματων δικτύων κ.λπ.

Ο πλήρης κατάλογος κανονισμών είναι διαθέσιμος στον ιστότοπο του αρμόδιου οργανισμού.

Σχεδιασμός διαχείρισης ασφαλείας (Security Management Planning, SMP)

SMP — είναι η διαδικασία ανάπτυξης και εφαρμογής στρατηγικών και τακτικών για τη διατήρηση της ασφάλειας σε έναν οργανισμό.

Στάδια του SMP:

• ανάλυση κινδύνων, δηλαδή εντοπισμός πιθανών απειλών και τρωτών σημείων που ενδέχεται να επηρεάσουν αρνητικά το ΣΠ του οργανισμού·
• ανάπτυξη, εφαρμογή ή επικαιροποίηση κανόνων (πολιτικών): δηλαδή δημιουργία ενός εγγράφου που καθορίζει τους στόχους, τις αρχές και τις απαιτήσεις για την προστασία ευαίσθητων πληροφοριών·
• επιλογή μεθόδων και μέσων προστασίας, π.χ. εγκατάσταση βιντεοεπιτήρησης, οργάνωση φυσικής ασφάλειας, εφαρμογή μηχανισμών ελέγχου πρόσβασης κ.λπ.·
• κατανομή αρμοδιοτήτων και πόρων.

Διαχείριση ενημερώσεων λογισμικού (Software Update Management, επίσης SUM)

Η διαχείριση ενημερώσεων λογισμικού — είναι η διαδικασία τακτικής ενημέρωσης του λογισμικού σε εξοπλισμό, διακομιστές και άλλες συσκευές του ΣΠ.

Το SUM απαιτείται για:

• την εξάλειψη τρωτών σημείων για την προστασία από κυβερνοαπειλές·
• τη βελτίωση της ανθεκτικότητας και της απόδοσης του ΣΠ·
• τη συμμόρφωση με τις κανονιστικές εντολές· 
• τη σωστή λειτουργία του λογισμικού και των εφαρμοζόμενων μηχανισμών και πρακτικών γενικότερα.

Υπάρχουν διάφορα στάδια στη διαχείριση του συστήματος SUM: Προγραμματισμός ενημερώσεων > Λήψη ενημερώσεων στις συσκευές > Εγκατάσταση > Δοκιμή > Παρακολούθηση > Επαναφορά ενημερώσεων (εάν χρειάζεται).

Για την αποτελεσματική διαχείριση των αναβαθμίσεων, χρειάζεστε εξειδικευμένα εργαλεία και μέσα.

Αντιμετώπιση συμβάντων ασφαλείας (Security Incident Response, επίσης SIR)

Η διαδικασία αποτελείται από 3 βήματα.

• Εντοπισμός και περιορισμός. Στο στάδιο αυτό, είναι σημαντικό να προσδιοριστεί πού συνέβη το συμβάν και ποιος το προκάλεσε. Επιπλέον, είναι σημαντικό να ληφθούν μέτρα για τον περιορισμό της εξάπλωσης του συμβάντος.
• Αξιολόγηση και αποκατάσταση επιπτώσεων. Κάθε επίπτωση συμβάντων στο ΣΠ της εταιρείας πρέπει να αναλύεται και να εξουδετερώνεται.
• Ανάλυση και καταγραφή συμβάντος. Βάσει των δεδομένων που συλλέγονται, ο υπεύθυνος πρέπει να λαμβάνει μέτρα για την εξάλειψη των αρχικών αιτίων του συμβάντος.

Διασφάλιση ενεργειών σε καταστάσεις έκτακτης ανάγκης (EAM)

Ένας κατάλογος απαιτήσεων για τη διασφάλιση της ασφάλειας δεδομένων σε ασυνήθιστες καταστάσεις, ο οποίος ρυθμίζει:

• τον αλγόριθμο αντιμετώπισης σε περίπτωση έκτακτης ανάγκης·
• τους κανόνες κατάρτισης ενός σχεδίου ενεργειών έκτακτης ανάγκης·
• τις μεθόδους εκπαίδευσης του προσωπικού στους κανόνες συμπεριφοράς σε καταστάσεις έκτακτης ανάγκης κ.λπ.

Σύμφωνα με το έγγραφο, οι εταιρείες που διαχειρίζονται προσωπικά και εμπιστευτικά δεδομένα υποχρεούνται να:

• δημιουργούν εναλλακτικά σημεία αποθήκευσης και επεξεργασίας προστατευόμενων δεδομένων σε περίπτωση συμβάντων·
• διασφαλίζουν τη σταθερότητα και τη δυνατότητα αποκατάστασης του λογισμικού, των τεχνικών μέσων και των καναλιών επικοινωνίας σε περίπτωση βλαβών και ατυχημάτων·
• αναλύουν συμβάντα και λαμβάνουν μέτρα για τη μείωση των κινδύνων επανάληψής τους κ.λπ.

Ενημέρωση και εκπαίδευση προσωπικού

Πρόκειται για ένα σύνολο μέτρων που στοχεύουν στην ευαισθητοποίηση των εργαζομένων σχετικά με τη σημασία της ΑΠ, στην εκπαίδευσή τους στη σωστή χρήση των πόρων και μηχανισμών ΑΠ και στην αντιμετώπιση συμβάντων. Η διαδικασία ενημέρωσης και εκπαίδευσης προσωπικού αναφέρεται επίσης ως «ευαισθητοποίηση» του προσωπικού.

Η εφαρμογή του μηχανισμού ενημέρωσης και εκπαίδευσης προσωπικού επιτρέπει τη σημαντική μείωση των κινδύνων διαρροής δεδομένων λόγω σφάλματος του προσωπικού.

Η ενημέρωση και εκπαίδευση προσωπικού περιλαμβάνει:

• τη διεξαγωγή διαφόρων σεμιναρίων, εκπαιδεύσεων, webinars·
• τη διάδοση πληροφοριών σχετικά με τρέχουσες απειλές με οποιαδήποτε μέθοδο βολεύει την εταιρεία (αποστολές μέσω υπηρεσιών email, εφαρμογών ανταλλαγής μηνυμάτων όπως Teams ή Zoom)·
• τη διεξαγωγή ασκήσεων για την εξάσκηση των αποκτηθεισών δεξιοτήτων.

Εν κατακλείδι

Η εφαρμογή γενικών μηχανισμών ασφάλειας των συστημάτων πληροφοριών σήμερα δεν αποτελεί απλώς μια αναγκαιότητα — είναι άμεση υποχρέωση για κάθε οργανισμό που διαχειρίζεται προσωπικές πληροφορίες εργαζομένων και πελατών, καθώς και πληροφορίες που αποτελούν εμπορικά απόρρητα.

Η συμμόρφωση με τα προβλεπόμενα μέτρα θα παρακολουθείται μέσω κανονιστικών επιθεωρήσεων. Εάν η υποδομή ΣΠ της εταιρείας δεν συμμορφώνεται με τους κανονισμούς, οι εποπτικές αρχές ενδέχεται να επιβάλουν κυρώσεις ή πρόστιμα στην εταιρεία.