Information Package for SMEs (EL)

Ευρωπαϊκός Οργανισµός για την Ασφάλεια ∆ικτύων και Πληροφοριών («ENISA») Παραδοτέο ENISA:

Πακέτο Πληροφοριών για Μικροµεσαίες Επιχειρήσεις (ΜΜΕ)

Με παραδείγµατα εκτίµησης κινδύνων / διαχείρισης κινδύνων για δύο ΜΜΕ

(διατίθεται επίσης στην ιστοσελίδα www.enisa.europa.eu/rmra) Υλοποιήθηκε από το Τεχνικό Τµήµα του ENISA Τµήµα ∆ιαχείρισης Κινδύνων σε συνεργασία µε: τον κ. Γεώργιο Πάτση Obrela Security Industries (OSI) www.obrela.com Φεβρουάριος 2007 Γνωστοποίηση Νοµικού Περιεχοµένου Πρέπει να ληφθεί υπόψη ότι, εφόσον δεν ορίζεται διαφορετικά, η παρούσα δηµοσίευση αντιπροσωπεύει τις απόψεις και τις ερµηνείες των συγγραφέων και των συντακτών. Η παρούσα δηµοσίευση δεν πρέπει να ερµηνευθεί ως δράση του ENISA, ή των οργάνων του ENISA, παρά µόνον ότι εγκρίθηκε σύµφωνα µε τον κανονισµό (ΕΚ) αριθ. 460/2004 ENISA. Η εν λόγω δηµοσίευση δεν αντιπροσωπεύει την «τελευταία λέξη» της τεχνικής και µπορεί να ενηµερώνεται από καιρού εις καιρόν. Στοιχεία από τρίτους παρατίθενται εφόσον είναι απαραίτητο. Ο ENISA δεν ευθύνεται για το περιεχόµενο εξωτερικών πηγών συµπεριλαµβανοµένων εξωτερικών ιστοτόπων που αναφέρονται σ’ αυτή την δηµοσίευση. Η παρούσα δηµοσίευση προορίζεται µόνο για εκπαιδευτικούς και ενηµερωτικούς σκοπούς. Ούτε ο ENISA ούτε οποιοδήποτε άλλο πρόσωπο που ενεργεί για λογαριασµό του ευθύνεται για την πιθανή χρήση των πληροφοριών που περιέχονται στην εν λόγω δηµοσίευση. Όλα τα δικαιώµατα προστατεύονται. Κανένα µέρος αυτής της δηµοσίευσης δε µπορεί να αναπαραχθεί, να αποθηκευτεί σε σύστηµα ανάκτησης ή να (ανα)µεταδοθεί σε οποιαδήποτε µορφή ή µε οποιοδήποτε µέσο, ηλεκτρονικό ή µηχανικό, µέσω φωτοαντιγραφής, ηχογράφησης ή µε οποιονδήποτε άλλο τρόπο χωρίς την προηγούµενη έγγραφη άδεια του ENISA πλην των ρητώς προβλεπόµενων από τον νόµο περιπτώσεων ή σύµφωνα µε τους όρους που συµφωνήθηκαν µε τους οργανισµούς που διαθέτουν τα σχετικά δικαιώµατα. Σε κάθε περίπτωση πρέπει να γνωστοποιείται η πηγή. Αιτήµατα για τυχόν αναπαραγωγή του παρόντος µπορεί να σταλούν στην διεύθυνση επικοινωνίας που παρατίθεται στην παρούσα δηµοσίευση. © Ευρωπαϊκός Οργανισµός για την Ασφάλεια ∆ικτύων και Πληροφοριών (ENISA), 2007

Σύνοψη

Το παρόν έγγραφο αποτελεί το δεύτερο παραδοτέο του ENISA όπως αναφέρεται στο Πρόγραµµα Εργασίας του 2006 του ENISA. Μέρη του παρόντος υλικού βασίζονται στην ανάγκη για µια απλουστευµένη προσέγγιση για την εκτίµηση κινδύνων που διαβιβάστηκε στον ENISA. Ο στόχος αυτού του εγγράφου είναι να παράσχει µια απλουστευµένη και συνολική θεώρηση της διαχείρισης κινδύνων/εκτίµησης κινδύνων για χρήση στις µικροµεσαίες επιχειρήσεις (ΜΜΕ). Για την επίτευξη του στόχου αυτού, το παρόν έγγραφο διαρθρώνεται κατά τµηµατικό τρόπο. Συγκροτείται, δηλαδή, από διάφορα µέρη, καθένα από τα οποία αφιερώνεται σε συγκεκριµένες ανάγκες των ενδιαφερόµενων µερών που συµµετέχουν στην διαδικασία εκτίµησης και διαχείρισης κινδύνων. Η φιλοσοφία που διέπει την παραγωγή αυτού του υλικού έγκειται στο να προστατεύσει τους (µη ειδικούς) χρήστες από την πολυπλοκότητα των δραστηριοτήτων που σχετίζονται µε την διαχείριση και την εκτίµηση κινδύνων. Κατά συνέπεια, ορισµένα πολύπλοκα ζητήµατα ασφάλειας έχουν απλουστευθεί στο ελάχιστο που απαιτείται προκειµένου να επιτευχθεί ένα αποδεκτό επίπεδο ασφάλειας. ∆εν υπάρχει αµφιβολία ότι εφόσον απαιτείται υψηλό επίπεδο ασφάλειας πρέπει να ληφθεί υπόψη ο µέγιστος βαθµός πολυπλοκότητας της διαχείρισης ασφάλειας, συµπεριλαµβανοµένης της εµβάθυνσης στη λεπτοµερή µορφή των ανάλογων µέτρων και της ανάλογης τεχνολογίας. Υπ’ αυτή την έννοια, θεωρείται ότι οι ιδέες και η προσέγγιση, που εκτίθενται στο παρόν, καλύπτουν ένα αποδεκτό επίπεδο ασφάλειας για µικρές επιχειρήσεις µε περιορισµένες επενδύσεις στην ασφάλεια. Περισσότερο προηγµένοι τύποι ασφάλειας (π.χ. στοιχεία υποδοµής ζωτικής σηµασίας) θα απαιτούσαν ενδελεχέστερη θεώρηση η οποία υπερβαίνει το πεδίο εφαρµογής του παρόντος εγγράφου. Το εν λόγω υλικό έχει παραχθεί προβλέποντας το συνολικό εύρος δεξιοτήτων των διαφορετικών ενδιαφερόµενων µερών που συµµετέχουν στην διαδικασία εκτίµησης κινδύνων. Η προτεινόµενη διαδικασία εκτίµησης κινδύνων διαρθρώνεται µέσω µιας απλουστευµένης προσέγγισης εκτίµησης τεσσάρων φάσεων. ∆εν υποθέτουµε ότι υφίσταται οποιαδήποτε προηγµένη γνώση ζητηµάτων ασφάλειας από µέρους των χρηστών του υλικού αυτού. Όπου απαιτείται αυτή η γνώση, η παρούσα προσέγγιση αντιπροσωπεύει ένα «µαύρο κουτί» που προσφέρει περιορισµένο αριθµό περιεκτικών επιλογών. Ένα άλλο κριτήριο που πρέπει να ληφθεί υπόψη είναι η σχέση κόστους - αποτελεσµατικότητας σε όλα τα στάδια της εκτίµησης και της διαχείρισης κινδύνων. Το παρόν υλικό µπορεί να βοηθήσει τους υπεύθυνους για την λήψη αποφάσεων να καθορίσουν ποια προσέγγιση ταιριάζει περισσότερο στην επιχείρηση τους για την εκτίµηση των κινδύνων, βάσει δεικτών κόστους και απόδοσης. Επιπλέον, στην περίπτωση που έχει επιλεγεί η διαδικασία αυτοαξιολόγησης, αυτό το έγγραφο παρέχει τα απαραίτητα εργαλεία για τη διεξαγωγή της ίδιας διαδικασίας, χωρίς να απαιτείται προηγούµενη εµπειρία σ' αυτό το πεδίο. Η απλουστευµένη προσέγγιση εκτίµησης κινδύνων, που παρουσιάζεται σ’ αυτό το έγγραφο, αποτελεί ένα παράδειγµα ορθής πρακτικής για την αξιολόγηση των πληροφοριακών κινδύνων. Θεωρείται, ωστόσο, ότι υπάρχουν και άλλες παρόµοιες προσεγγίσεις/ορθές πρακτικές, οι οποίες θα µπορούσαν να χρησιµοποιηθούν αντ’ αυτής. Σε αυτό το πλαίσιο, η παρούσα προσέγγιση δεν αποτελεί ούτε προσπάθεια αντικατάστασης υφιστάµενων προτύπων ούτε επαναπροσδιορισµού ορθών πρακτικών. Αντιθέτως, έχει σχεδιαστεί για να παράσχει στις ενδιαφερόµενες ΜΜΕ ένα εργαλείο που δεν θα µπορούσαν να βρουν εύκολα αλλού. Η εφαρµογή των ιδεών, οι οποίες εκτίθενται στο παρόν, καταδεικνύεται µε την χρήση παραδειγµάτων. Έχουν επιλεγεί δυο αντιπροσωπευτικοί τύποι ΜΜΕ, των οποίων οι κίνδυνοι εκτιµώνται αξιοποιώντας την παρούσα προσέγγιση εκτίµησης. Τα παραδείγµατα αυτά παρουσιάζονται στο πλαίσιο της προτεινόµενης απλουστευµένης προσέγγισης εκτίµησης κινδύνων. Αξίζει να αναφερθεί ότι αυτό το έγγραφο είναι το πρώτο από µια σειρά ανάλογων εγγράφων που θα δοθούν στην δηµοσιότητα από τον ENISA για την παροχή πληροφόρησης σχετικά µε την διαχείριση και την εκτίµηση κινδύνων για τις ΜΜΕ. Παράλληλα, θα υπόκειται σε περαιτέρω βελτιώσεις, προσαρµογές και επεκτάσεις. Στις δραστηριότητες του ENISA, που έπονται στο µέλλον, περιλαµβάνονται η επαλήθευση αυτού του υλικού µέσω πιλοτικών προγραµµάτων σε ΜΜΕ, η αξιολόγηση/επιθεώρηση µέσω οµάδων εµπειρογνωµόνων, η διάχυση µέσω επαγγελµατικών ενώσεων και/ή ενώσεων επαγγελµατικής κατάρτισης κτλ. Ο τελικός στόχος έγκειται στην διαµόρφωση µιας έκδοσης αυτού του εγγράφου που να µπορεί να χρησιµοποιηθεί από τις ΜΜΕ «ως έχει», χωρίς να χρειάζεται δηλαδή περαιτέρω βελτιώσεις/επεξηγήσεις/προσαρµογές. Γι' αυτό τον λόγο, αναφερόµαστε στο παρόν έγγραφο

ως «δοκιµαστική έκδοση», που σηµαίνει ότι θα ακολουθήσουν πρόσθετες βελτιώσεις και προσαρµογές µετά από διάφορες πιλοτικές εφαρµογές, φάσεις ανάπτυξης και διάδοσης του παρόντος, οδηγώντας, συνεπώς, µεσοπρόθεσµα, στην ωρίµανση του παρουσιαζόµενου στο παρόν υλικού.

Στοιχεία επικοινωνίας: Τεχνικό Τµήµα του ENISA, Τµήµα ∆ιαχείρισης Κινδύνων, ∆ρ. Λ. Μαρίνος, Ανώτερος Ειδικός ∆ιαχείρισης Κινδύνων, ηλεκτρονικό ταχυδροµείο (e-mail): RiskMngt@enisa.europa.eu

ENISA 4 ∆ιαχείριση Κινδύνων 13/02/2007

1. Αντικείµενο και πεδίο εφαρµογής

Οι µικροµεσαίες επιχειρήσεις (ΜΜΕ) αποτελούν τοµέα προτεραιότητας ενδιαφέροντος στον οποίο επικεντρώνεται η κυβερνητική οικονοµική πολιτική και θεωρούνται µείζονος σηµασίας για την κοινωνικοοικονοµική ανάπτυξη στην Ευρωπαϊκή Ένωση. Οι ΜΜΕ συνήθως δηµιουργούνται από επιχειρηµατικό πάθος και ελλιπή χρηµατοδότηση, µε επιχειρησιακά συστήµατα, τα οποία συχνά είναι ετερογενή και ανεξάρτητα. Επιπρόσθετα, οι υλικοί και άυλοι επιχειρηµατικοί πόροι των ΜΜΕ ορίζονται στοιχειωδώς και η αξία αυτών των πόρων, συχνά, είναι γνωστή µόνο εν µέρει. Συνήθως, αυτό συµβαίνει µε έναν από τα πιο σηµαντικούς πόρους, δηλαδή, τις πληροφορίες. Όπως συµβαίνει µε κάθε άλλο επιχειρηµατικό πόρο, οι πληροφορίες απαιτείται να διαχειρίζονται και να προστατεύονται µε στρατηγική. Ασφάλεια των πληροφοριών θεωρείται η προστασία των πληροφοριών µέσα σε µια επιχείρηση, συµπεριλαµβανοµένων των συστηµάτων και του υλικού εξοπλισµού που χρησιµοποιούνται για την αποθήκευση, την επεξεργασία και την µετάδοση αυτών των πληροφοριών. Είναι επιβεβληµένο η επιχειρηµατική ηγεσία των ΜΜΕ να κατανοήσει την αξία των πληροφοριών, που εµπεριέχονται στα επιχειρησιακά συστήµατά τους και να διαθέτει πλαίσιο αξιολόγησης και υλοποίησης της ασφάλειας των πληροφοριών. Πολυάριθµα διεθνώς εγκεκριµένα πλαίσια και προγράµµατα ασφάλειας µπορούν να εφαρµοστούν για να προστατεύσουν έναν οργανισµό από την απώλεια πληροφοριών και την ενδεχόµενη ευθύνη. ∆εδοµένου ότι αυτά τα πλαίσια είναι περίπλοκα, καθολικά και, σε τελευταία ανάλυση, ακριβά στην εφαρµογή τους, υιοθετούνται κυρίως από µεγάλους οργανισµούς. Συνήθως, λόγω της δυναµικής και της ad hoc ανάπτυξης πολλών ΜΜΕ, δεν αντιµετωπίζονται συστηµατικά ούτε τα ζητήµατα ενσωµάτωσης ούτε τα θέµατα ασφάλειας κατά το στάδιο της δηµιουργίας µιας επιχείρησης. Για τον λόγο αυτό, πολιτικές και πλαίσια για τον σχεδιασµό της ασφάλειας πληροφοριών και της ανάκτησης από καταστροφή είναι συνήθως πολύ στοιχειώδεις(-η) ή ακόµα και απούσες/απόντα. Συχνά, είναι πιθανό η βασική κατανόηση των κινδύνων που αφορούν στην ασφάλεια των πληροφοριών να µην εκτείνεται πολύ πιο πέρα από τους ιούς και το αντιικό λογισµικό. Οι ακούσιες απειλές θέτουν ορισµένους από τους υψηλότερους κινδύνους για την ασφάλεια των πληροφοριών στις ΜΜΕ και, επιπλέον, συχνά παραµελούνται η κατάρτιση του προσωπικού και τα προγράµµατα ενηµέρωσης. Τα αποτελέσµατα των ερευνών αποκαλύπτουν ότι το επίπεδο της ευαισθητοποίησης σε θέµατα της ασφάλειας των πληροφοριών µεταξύ ηγετών των ΜΜΕ είναι τόσο µεταβλητό όσο και η κατάσταση των πληροφοριακών συστηµάτων, της πληροφορικής τεχνολογίας και της ασφάλειας των πληροφοριών τους. Αν και µια µειονότητα των ΜΜΕ δέχεται ένθερµα πλαίσια ασφάλειας όπως το ISO / IEC 27001 ή το διεθνές ισοδύναµο ISO 17799, τα περισσότερα διοικητικά στελέχη των ΜΜΕ δεν έχουν ακουστά για τα πρότυπα ασφάλειας και θεωρούν την ασφάλεια των πληροφοριών µόνο σαν µια τεχνική παρέµβαση σχεδιασµένη να αντιµετωπίζει τις απειλές από τους ιούς και να επιλαµβάνεται της δηµιουργίας εφεδρικών αντιγράφων ασφάλειας δεδοµένων. Τα διοικητικά στελέχη όχι µόνον κατηγορούνται για το ότι δεν κατανοούν το καθοριστικό ζήτηµα που περιβάλλει την ασφάλεια των πληροφοριών, αλλά οι έρευνες καταλήγουν στο ότι η ηγεσία των ΜΜΕ είναι ανάγκη να καταπιαστεί µε, να κατανοήσει και να υλοποιήσει επίσηµες διαδικασίες ασφάλειας των πληροφοριών, συµπεριλαµβανοµένων των τεχνικών και των οργανωτικών µέτρων. Χωρίς τέτοια µέτρα, οι οργανισµοί τους µπορεί να επηρεαστούν σε υπερβολικό βαθµό από ακούσιες απειλές/ εσκεµµένες επιθέσεις στα συστήµατα πληροφοριών τους, που, εν τέλει, θα µπορούσαν να οδηγήσουν σε αποτυχία της επιχείρησης. Βάσει των περιεχοµένων αυτού του πακέτου πληροφοριών, οι ΜΜΕ θα είναι σε θέση να διενεργούν εκτιµήσεις κινδύνων στα περιβάλλοντά τους, να επιλέγουν και να εφαρµόζουν κατάλληλα µέτρα για την διαχείριση κινδύνων που σχετίζονται µε τη ασφάλεια πληροφοριών. Σ’ αυτό το έγγραφο, υποβοηθούµε τις ΜΜΕ ως προς τον καθορισµό του έργου αυτού, την απόφαση του τρόπου εφαρµογής και διεξαγωγής του και, αν διαθέτουν επαρκείς πόρους, παρέχουµε τις κατευθυντήριες γραµµές για την διενέργεια µιας αυτοαξιολόγησης των πληροφοριακών κινδύνων. Γι’ αυτόν τον

ENISA 7 ∆ιαχείριση Κινδύνων 13/02/2007

σκοπό, προσφέρουµε µια απλή µέθοδο εκτίµησης κινδύνων που οδηγεί σε γρήγορη, σφαιρική αναγνώριση και µετριασµό των πληροφοριακών κινδύνων. Η µέθοδος αξιολόγησης, που παρουσιάζεται σ’ αυτό το έγγραφο, βασίζεται σ’ ένα απλουστευµένο µοντέλο που έχει παραχθεί για µικρές επιχειρήσεις, οι οποίες παρουσιάζουν ορισµένα κοινά χαρακτηριστικά. Πρώτον, η οργανωτική διάρθρωσή τους είναι σχετικά επίπεδη και άτοµα από διαφορετικά επίπεδα οργάνωσης είναι συνηθισµένα να εργάζονται από κοινού. ∆εύτερον, συχνά απαιτούνται άτοµα για πολλαπλές εργασίες, εκθέτοντας τα µέλη του προσωπικού σ’ ολόκληρο το εύρος των διεργασιών και των διαδικασιών που χρησιµοποιούνται στον οργανισµό.

ENISA 8 ∆ιαχείριση Κινδύνων 13/02/2007

2. ∆οµή του εγγράφου

Προκειµένου να καλύψουµε τις ανάγκες διαφόρων τύπων ΜΜΕ έχουµε επιλέξει µια αρθρωτή δοµή γι' αυτό το έγγραφο. Ανάλογα µε τις ανάγκες µιας συγκεκριµένης ΜΜΕ και τον βαθµό στον οποίο προσπαθεί να αντεπεξέλθει στην εκτίµηση κινδύνων, µπορεί να αποβούν χρήσιµα διαφορετικά µέρη αυτού του εγγράφου. Για τις ΜΜΕ, για τις οποίες απαιτείται µια επισκόπηση της διαχείρισης κινδύνων προκειµένου να καθορίσουν την µελλοντική τους στρατηγική θα είναι χρήσιµο το γενικό µέρος αυτού του εγγράφου (βλ. Κεφάλαιο 3. Καθοδήγηση για τον υπεύθυνο λήψης αποφάσεων και Κεφάλαιο 4. Μια απλουστευµένη προσέγγιση: επισκόπηση). Στην περίπτωση που µια ΜΜΕ αποφασίσει να εφαρµόσει την διαδικασία διαχείρισης κινδύνων µε δική της προαίρεση, τότε χρειάζονται τα µέρη αυτού του εγγράφου που περιλαµβάνουν την λεπτοµερή περιγραφή της µεθόδου εκτίµησης κινδύνων και τα παραδείγµατα (βλ. Κεφάλαιο 5. Κατευθυντήριες γραµµές αυτοαξιολόγησης µε δύο παραδείγµατα). Στην περίπτωση της αυτοαξιολόγησης το αναλυτικό υλικό, που βρίσκεται στα παραρτήµατα, είναι απαραίτητο προκειµένου να καθοριστούν τα µέτρα που πρέπει να εφαρµοστούν στον οργανισµό (βλέπε Παράρτηµα Α. Κάρτες οργανωτικού ελέγχου, Παράρτηµα Β. Κάρτες ελέγχου πόρων). Για να καταστεί σαφής ο τρόπος µε τον οποίο µπορεί να χρησιµοποιηθεί το έγγραφο αυτό, παρέχουµε ορισµένες περιπτώσεις χρήσης βάσει των ποικίλων πιθανών ρόλων των αναγνωστών: □ Άτοµα µε διευθυντικά προσόντα: µελετήστε το κεφάλαιο 3 για τους υπεύθυνους λήψης αποφάσεων. Επεξηγεί το υπόβαθρο της ασφάλειας των πληροφοριών και την αναγκαιότητα της διαχείρισης κινδύνων. Σκιαγραφεί πιθανές επιλογές για την υλοποίηση της διαδικασίας διαχείρισης κινδύνων και καθορίζει τα κριτήρια µε τα οποία λαµβάνονται αποφάσεις. Τα ενδιαφερόµενα διοικητικά στελέχη θα ήθελαν ίσως να κατανοήσουν την δοµή της προτεινόµενης διαδικασίας εκτίµησης κινδύνων σ' αυτό το έγγραφο, όπως αυτή παρουσιάζεται στο κεφάλαιο 4. □ Μη πεπειραµένα µέλη µιας οµάδας εκτίµησης κινδύνων: τα µέλη µιας οµάδας εκτίµησης κινδύνων θα χρειαστεί να κατανοήσουν την προτεινόµενη απλουστευµένη προσέγγιση εκτίµησης κινδύνων και να διαβάσουν τα επιµέρους στοιχεία της, καθώς και τα εκτιθέµενα παραδείγµατα (βλέπε Κεφάλαιο 4. Μια απλουστευµένη προσέγγιση: επισκόπηση). □ Έµπειρα µέλη µιας οµάδας εκτίµησης κινδύνων: τα έµπειρα µέλη µιας οµάδας εκτίµησης κινδύνων θα χρειαστεί να διαβάσουν την µέθοδο και να κατανοήσουν τα επιµέρους στοιχεία. Θα είναι, επίσης, σε θέση να αντεπεξέλθουν µε το υλικό που εκτίθεται στα παραρτήµατα και, συγκεκριµένα, µε την επιλογή των µέτρων (στο παρόν έγγραφο αναφέρονται επίσης ως αντίµετρα, έλεγχοι ή έλεγχοι ασφάλειας). Εναλλακτικά, νέα µέτρα µπορούν να εφαρµοστούν για τους υφιστάµενους πόρους ή µπορεί να προστεθούν νέοι πόροι (βλέπε Παράρτηµα Α. Κάρτες οργανωτικού ελέγχου, Παράρτηµα Β. Κάρτες ελέγχου πόρων και Παράρτηµα Γ. Οργανωτικοί έλεγχοι).

ENISA 9 ∆ιαχείριση Κινδύνων 13/02/2007

3. Καθοδήγηση για τον υπεύθυνο λήψης αποφάσεων

3.1 Τι πρέπει να λάβει υπόψη του ο υπεύθυνος λήψης αποφάσεων

Σήµερα, ένα από τα πολυτιµότερα κεφάλαια µιας επιχείρησης είναι η δηµιουργία, η επεξεργασία και η χρήση των πληροφοριών. Η δηµοσιοποίηση, η διακύβευση ή η µη διαθεσιµότητα αυτού του πόρου µπορεί να έχει σοβαρές συνέπειες για την επιχείρηση, να στοιχειοθετήσει παράβαση νοµοθετικών κανόνων και κανονισµών και να επηρεάσει αρνητικά το εµπορικό της σήµα. Η επαρκής ασφάλεια των πληροφοριών και των συστηµάτων επεξεργασίας πληροφοριών αποτελεί θεµελιώδη ευθύνη της διεύθυνσης της επιχείρησης. Οι ιδιοκτήτες και οι υπεύθυνοι λήψης αποφάσεων πρέπει να συνειδητοποιήσουν την τρέχουσα κατάσταση του προγράµµατος ασφάλειας των πληροφοριών τους προκειµένου να προβούν σε σωστές κρίσεις και επενδύσεις περιορίζοντας ανάλογα τους κινδύνους σ’ ένα αποδεκτό επίπεδο. Οι κίνδυνοι που συνδέονται µε τις πληροφορίες µπορούν να οδηγήσουν σε κρίσιµες καταστάσεις όταν παρεκταθούν σε ζωτικής σηµασίας εµπορικά και νοµικά ζητήµατα της επιχείρησης. Συνεπώς, οι κίνδυνοι που συνδέονται µε τις πληροφορίες µπορούν να οδηγήσουν σε γενικότερες και κρισιµότερες κατηγορίες κινδύνων όπως: □ Ο νοµικός κίνδυνος / κίνδυνος συµµόρφωσης, που είναι ο κίνδυνος ο οποίος προκύπτει από παραβιάσεις της νοµοθεσίας ή τη µη συµµόρφωση µε λογιστικούς κανόνες, κανονισµούς, εναρµονισµένες πρακτικές ή ηθικά πρότυπα. Νοµικοί κίνδυνοι ή κίνδυνοι συµµόρφωσης µπορούν να δηµιουργήσουν αρνητική δηµόσια εικόνα για µία επιχείρηση, να οδηγήσουν στην επιβολή ποινικών και αστικών χρηµατικών προστίµων, την καταβολή αποζηµίωσης και την ακύρωση συµβολαίων. Η υποκλοπή πληροφοριών που αφορούν πελάτες, όπως πληροφορίες πιστωτικών καρτών, πληροφορίες οικονοµικής φύσεως, πληροφορίες για θέµατα υγείας ή άλλα προσωπικά δεδοµένα µπορούν, επίσης, να εγείρουν πιθανούς κινδύνους από απαιτήσεις τρίτων. Αναγνωρίζοντας την ασφάλεια των πληροφοριών ως ένα πολύπλευρο ζήτηµα

που προκαλεί ιδιαίτερη ανησυχία και προκειµένου να προστατευθούν τα πολιτικά δικαιώµατα και να διασφαλιστεί η εταιρική ευθύνη, οι κυβερνήσεις της ΕΕ και η Ευρωπαϊκή Ένωση έχουν θεσπίσει νόµους και κανονισµούς, οι οποίοι απαιτούν την συµµόρφωση των φορέων ανεξάρτητα από το µέγεθός τους ή τον κλάδο οικονοµικής δραστηριότητας στον οποίο ανήκουν. Αυτοί οι κανονισµοί υποχρεώνουν τις εταιρείες να εφαρµόζουν εσωτερικούς ελέγχους ώστε να προστατευθούν έναντι των κινδύνων που συνδέονται µε τις πληροφορίες. Στοχεύουν, επίσης, στην βελτίωση των πρακτικών και των διαδικασιών διαχείρισης κινδύνων.

□ Οι κίνδυνοι οικονοµικής σταθερότητας. Η έλλειψη κατάλληλης παραγωγικής υποδοµής, υποδοµής διαχείρισης ή προσωπικού για την υλοποίηση της επιχειρηµατικής στρατηγικής του φορέα µπορεί να οδηγήσει σε αδυναµία επίτευξης των διακηρυγµένων σκοπών και οικονοµικών στόχων που έχουν τεθεί σ' ένα καλά διαχειριζόµενο και ελεγχόµενο περιβάλλον. Η λανθασµένη διαχείριση της ασφάλειας των πληροφοριών µπορεί να επεκταθεί σε

κινδύνους που σχετίζονται µε την οικονοµική σταθερότητα της επιχείρησης. Τέτοιοι κίνδυνοι, µε την σειρά τους, µπορούν να οδηγήσουν σε απάτες, ξέπλυµα βρώµικου

χρήµατος, οικονοµική αστάθεια κτλ. □ Ο κίνδυνος παραγωγικότητας, που είναι ο κίνδυνος ζηµιών εκµετάλλευσης και χαµηλής ποιότητας παροχής υπηρεσιών προς τον πελάτη, σαν συνέπεια της µη απαρέγκλιτης τήρησης βασικών διαδικασιών και ελέγχων επεξεργασίας. Ο κίνδυνος αυτός, συνήθως, αφορά όλες τις συνεργατικές δραστηριότητες παραγωγής, οι οποίες, κατά κάποιο τρόπο, συνεισφέρουν στην συνολική παράδοση ενός προϊόντος ή την συνολική παροχή µιας υπηρεσίας. Ο κίνδυνος παραγωγικότητας δεν περιορίζεται στην χρήση της τεχνολογίας µπορεί εξίσου να είναι το αποτέλεσµα οργανωτικών δραστηριοτήτων. Ο κίνδυνος που

ENISA 10 ∆ιαχείριση Κινδύνων 13/02/2007

προκύπτει από ανεπαρκή ή ελλιπώς ελεγχόµενα συστήµατα και εφαρµογές λογισµικού, τα οποία χρησιµοποιούνται για να υποστηρίξουν το γραφείο εξυπηρέτησης, τις διαδικασίες διαχείρισης κινδύνων, το τµήµα λογιστηρίου ή άλλες µονάδες, υπάγεται σ’ αυτήν την οικογένεια κινδύνων. Η ανεπαρκής διαχείριση της ασφάλειας των πληροφοριών µπορεί να οδηγήσει σε υψηλούς κινδύνους για την παραγωγικότητα συµπεριλαµβανοµένων των υψηλών λειτουργικών εξόδων, των φαινοµένων δυσλειτουργίας, των αποφάσεων κακής διαχείρισης (τιµή, ρευστότητα και ανοίγµατα σε πιστωτικό κίνδυνο) και σε απουσία της ιδιωτικότητας,

καθώς και στην διακοπή της παροχής υπηρεσιών προς τους πελάτες.

□ Φήµη και Εµπιστοσύνη Πελατών. Ενδεχοµένως, ο πιο δύσκολος και, ωστόσο, ένας από τους πιο σηµαντικούς κινδύνους που πρέπει να γίνει κατανοητός είναι ο κίνδυνος πρόκλησης βλάβης στην φήµη της επιχείρησης, ένας άυλος αλλά σηµαντικός πόρος. Θα δώσουν οι πελάτες τους αριθµούς της πιστωτικών καρτών τους σε µια εταιρεία απ’ τη στιγµή που θα διαβάσουν στον τύπο ότι κάποιος παρείσφρησε στην βάση δεδοµένων της εταιρείας; Θα παραµείνουν οι υψηλά ιστάµενοι υπάλληλοι σε µια τόσο ζηµιωµένη εταιρεία; Και, ποια θα είναι η αντίδραση των µετόχων της εταιρείας; Ποια είναι η αναµενόµενη απώλεια των µελλοντικών εσόδων της επιχείρησης; Ποια είναι η αναµενόµενη απώλεια της χρηµατιστηριακής κεφαλαιοποίησης; Πολλοί ιδιοκτήτες ΜΜΕ νοµίζουν πως δεν βρίσκονται σε κίνδυνο λόγω του µεγέθους της επιχείρησής τους και των πληροφοριακών τους πόρων. Οι περισσότεροι θεωρούν ότι οι µεγάλες επιχειρήσεις, οι οποίες διαθέτουν περισσότερους πόρους, είναι οι µόνες που κινδυνεύουν. Όµως αυτό δεν είναι αληθές. Πρώτον, η ευαισθησία των πληροφοριών απευθύνεται στην ποιότητα και όχι στην ποσότητα των πληροφοριών. ∆εύτερον, οι ΜΜΕ δεν διαθέτουν τους πόρους ή το προσωπικό για να αντιµετωπίσουν το ζήτηµα της ασφάλειας µε εξίσου εντατικές µεθόδους όπως αυτές που χρησιµοποιούνται στις µεγάλες επιχειρήσεις και, εποµένως, είναι περισσότερο εκτεθειµένες. Πράγµατι, η νέα τεχνολογία επιτρέπει στις µικρές επιχειρήσεις να χρησιµοποιούν πολλά από τα ίδια πληροφοριακά συστήµατα που διαθέτουν οι µεγάλες επιχειρήσεις. Όµως, µε τον τρόπο αυτό, οι µικρές επιχειρήσεις εκτίθενται οικειοθελώς σε πολλές απειλές που σχετίζονταν παραδοσιακά µε τις µεγάλες επιχειρήσεις. Στην πραγµατικότητα, 56% των µικρών επιχειρήσεων αντιµετώπισαν τουλάχιστον ένα συµβάν ασφάλειας κατά τον τελευταίο χρόνο. ∆υστυχώς, ένα σηµαντικό µέρος των επιχειρήσεων, οι οποίες αντιµετωπίζουν µείζονα βλάβη των υπολογιστικών τους συστηµάτων, ποτέ δεν καταφέρνουν να επανακάµψουν και, έτσι, η επιχείρηση καταρρέει από µόνη της. Εποµένως, προκειµένου να συνεχίσουν την επιτυχηµένη πορεία τους, επιβάλλεται οι ιδιοκτήτες των ΜΜΕ και οι υπεύθυνοι λήψης αποφάσεων να αναγνωρίσουν αυτούς τους σκοπέλους και να λάβουν µέτρα ώστε να αντιµετωπίσουν τα ζητήµατα της ασφάλειας των πληροφοριών. Τα µέτρα (έλεγχοι) περιορισµού των κινδύνων της ασφάλειας των πληροφοριών πρέπει να είναι ανάλογα µε τους κινδύνους που αντιµετωπίζουν οι εν λόγω πληροφορίες. Ωστόσο, η διαδικασία καθορισµού σχετικά µε το ποιοι έλεγχοι ασφάλειας είναι ενδεδειγµένοι και αποτελεσµατικοί από οικονοµική άποψη, αρκετά συχνά είναι ένα πολυσύνθετο και, ορισµένες φορές, υποκειµενικό ζήτηµα.

Μια απ’ τις πρωταρχικές λειτουργίες για να τεθεί αυτή η διαδικασία σε µια πιο αντικειµενική βάση είναι η διαρκής εκτίµηση των κινδύνων που συνδέονται µε την ασφάλεια.

3.2 Τι απαιτείται να γνωρίζει ο υπεύθυνος λήψης αποφάσεων

Η ασφάλεια των πληροφοριών έχει να κάνει µε την αναγνώριση, τον µετριασµό και την διαχείριση κινδύνων που σχετίζονται µε τις πληροφορίες. Η εκτίµηση κινδύνων είναι το πρώτο αναγκαίο µέτρο για την κατανόηση των κινδύνων, διεξάγοντας µια συνολική αναγνώριση και αξιολόγηση κινδύνων αναφορικά µε τους κινδύνους ασφάλειας των πληροφοριών µιας επιχείρησης. Το αποτέλεσµα αυτής της δραστηριότητας είναι ουσιώδες για την διαχείριση της επιχείρησης καθώς οι ενεχόµενοι κίνδυνοι µπορούν να επηρεάσουν σε σηµαντικό βαθµό την εµπιστευτικότητα, την ακεραιότητα και την διαθεσιµότητα των πληροφοριών. Μπορεί, επίσης, να είναι ζωτικής σηµασίας για την διατήρηση

του ανταγωνιστικού προβαδίσµατος, της οικονοµικής σταθερότητας, της νοµικής συµµόρφωσης και της δυνατής εµπορικής εικόνας της επιχείρησης.

Συνεπώς, η εκτίµηση κινδύνων µπορεί να βοηθήσει τους υπεύθυνους λήψης αποφάσεων να:

ENISA 11 ∆ιαχείριση Κινδύνων 13/02/2007

□ Αποτιµήσουν τις οργανωτικές πρακτικές και την τεχνολογική βάση που έχει

εγκατασταθεί.

□ Ενισχύσουν την προστασία των πληροφοριών βάσει των δυνητικών επιπτώσεων στον

οργανισµό.

□ Επικεντρώσουν τις ενέργειες για την ασφάλεια σε σηµαντικά ζητήµατα. Μπορούν να

εγκαταλειφθούν µέτρα που σχετίζονται µε αποδεκτούς κινδύνους.

□ ∆ιασφαλίσουν ότι τα εφαρµοζόµενα µέτρα και οι υλοποιούµενες δαπάνες είναι

πλήρως ανάλογα µε τους κινδύνους στους οποίους εκτίθεται ο οργανισµός. Κατ’ αυτόν τον τρόπο, µπορεί να διατηρηθεί ισορροπία µεταξύ των εξόδων αντιµετώπισης ενός κινδύνου και των οφελών που προέρχονται από την αποφυγή της αρνητικής επίπτωσης.

Κατά την διάρκεια µιας εκτίµησης κινδύνων, µία επιχείρηση πραγµατοποιεί ενέργειες για να: (α) αναγνωρίσει τους κινδύνους ασφάλειας πληροφοριών, (β) αξιολογήσει τους κινδύνους ώστε να καθορίσει προτεραιότητες και (γ) ορίσει τον τρόπο µε τον οποίο θα µετριάσει τους κινδύνους (βλ. επίσης Σχήµα 1). Ωστόσο, η εκτίµηση κινδύνων για την ασφάλεια των πληροφοριών είναι µόνο το πρώτο βήµα για την διαχείριση κινδύνων ασφάλειας των πληροφοριών, η οποία αποτελεί τη συνεχή διαδικασία αναγνώρισης κινδύνων και εφαρµογής σχεδίων για την αντιµετώπισή τους. Το σχήµα 1 απεικονίζει µια διαδικασία διαχείρισης κινδύνων για την ασφάλεια των πληροφοριών και το «µερίδιο» της διαχείρισης κινδύνων που συνιστά η εκτίµηση κινδύνων.

ENISA 12 ∆ιαχείριση Κινδύνων 13/02/2007

Σχήµα 1: ∆ραστηριότητες εκτίµησης κινδύνων σε σχέση µε την διαχείριση κινδύνων για τηνασφάλεια των πληροφοριών.

Σαφώς, η ίδια η εκτίµηση κινδύνων παρέχει µια κατεύθυνση για τις δραστηριότητες που αφορούν στην ασφάλεια των πληροφοριών ενός οργανισµού ενώ δεν οδηγεί απαραίτητα σε σηµαντικές βελτιώσεις εκτός κι αν έχει λάβει χώρα η εφαρµογή µέτρων. Όπως συµβαίνει µε κάθε άλλο τοµέα διαχείρισης, η υλοποίηση µόνο ενός µέρους του κύκλου ζωής της διαχείρισης δεν φέρνει τα επιθυµητά αποτελέσµατα. Καµία αξιολόγηση, ανεξάρτητα από το πόσο εµπεριστατωµένη ή εξειδικευµένη είναι, δε βελτιώνει την θεώρηση της ασφάλειας εκτός αν η επιχείρηση διεκπεραιώνει την εφαρµογή της. Πέρα από την εκτίµηση κινδύνων, η αποτελεσµατική διαχείριση κινδύνων περιλαµβάνει τις ακόλουθες ενέργειες: □ Προγραµµατίστε τον τρόπο µε τον οποίο θα εφαρµοστεί η στρατηγική για την προστασία των πληροφοριών και τα σχέδια για τον µετριασµό των κινδύνων από την αξιολόγηση µέσα από την ανάπτυξη αναλυτικών σχεδίων δράσης. Η δραστηριότητα αυτή µπορεί να περιλαµβάνει µια λεπτοµερή ανάλυση κόστους–οφέλους ποικίλων στρατηγικών και δράσεων. □ Εφαρµόστε τα επιλεγµένα αναλυτικά σχέδια δράσης. □ Παρακολουθήστε την πρόοδο και την αποτελεσµατικότητα των σχεδίων. Η δραστηριότητα αυτή περιλαµβάνει την παρακολούθηση οποιωνδήποτε µεταβολών των επιπέδων κινδύνων. □ Ελέγξτε τις αποκλίσεις στην εκτέλεση των σχεδίων µε την λήψη των κατάλληλων διορθωτικών µέτρων.

3.3 Με ποιον τρόπο θα ενεργήσετε όσον αφορά την ασφάλεια των πληροφοριών

Μέρος της ευθύνης των διευθυντών των µικροµεσαίων επιχειρήσεων είναι να προνοούν για την ασφάλεια του επιχειρηµατικού τους περιβάλλοντος. Σύµφωνα µε τις περισσότερες ισχύουσες νοµικές απαιτήσεις, η ευθύνη για συµβάντα παραβίασης της ασφάλειας βαρύνει

αυτούς. Όπως ακριβώς είναι υποχρεωµένοι να παρέχουν ένα ασφαλές και σταθερό φυσικό περιβάλλον, οφείλουν, παράλληλα, να διασφαλίζουν ότι οι πληροφορίες της επιχείρησής τους προστατεύονται. ∆εδοµένου του γεγονότος, ωστόσο, ότι οι υπολογιστές δεν είναι συσκευές «µιας επισκευής», η προστασία των πληροφοριών αποτελεί σταθερό µέληµα.

ENISA 13 ∆ιαχείριση Κινδύνων 13/02/2007

Οι υπεύθυνοι λήψης αποφάσεων µπορούν να θέσουν σε εφαρµογή την διαδικασία εκτίµησης κινδύνων για το περιβάλλον τους και να ενεργοποιήσουν την λήψη κατάλληλων µέτρων προκειµένου να αντιµετωπίσουν µη αποδεκτούς κινδύνους. Αυτό αποτελεί προϋπόθεση για την διαχείριση της ασφάλειας των πληροφοριών. Για την διεξαγωγή αυτής της διαδικασίας, µπορούν να εφαρµοστούν ποικίλες προσεγγίσεις σχετικά µε την στελέχωση µιας τέτοιας προσπάθειας (επίσης γνωστή ως απόφαση κάποιου να «δηµιουργήσει ή να αγοράσει»). ∆ιαφοροποιούµε τρεις προσεγγίσεις: □ Εσωτερική ανάθεση της εκτίµησης κινδύνων: η εκτίµηση κινδύνων και ο προσδιορισµός των αναγκαίων µέτρων επιτελούνται από το εσωτερικό προσωπικό της επιχείρησης. Η εκτίµηση βασίζεται στην προσέγγιση εκτίµησης κινδύνων που έχει επιλέξει ο οργανισµός (π.χ. µία ορθή πρακτική, ένα γνωστό πρότυπο κτλ.). Η διαδικασία αυτή θα βοηθήσει την επιχείρηση να αποκτήσει άρτια γνώση της προσέγγισης εκτίµησης για επαναλαµβανόµενες περιπτώσεις εφαρµογής της συγκεκριµένης διαδικασίας. □ Εξολοκλήρου εξωτερική ανάθεση της εκτίµησης κινδύνων: σύµφωνα µε αυτήν την προσέγγιση, η συνολική εκτίµηση κινδύνων διενεργείται από έναν εξωτερικό ανάδοχο. Η εκτίµηση βασίζεται στην προσέγγιση εκτίµησης κινδύνων που επιλέγει αυτός. Ο ανάδοχος µπορεί επίσης να αναλάβει την διενέργεια επαναλαµβανόµενων µελλοντικών εκτιµήσεων. ∆εν προβλέπεται µεταφορά τεχνογνωσίας στο εσωτερικό προσωπικό της επιχείρησης για ολόκληρο τον κύκλο ζωής της εκτίµησης κινδύνων/διαχείρισης κινδύνων της ΜΜΕ. □ Εν µέρει εξωτερική ανάθεση της εκτίµησης κινδύνων: σύµφωνα µε την προσέγγιση αυτή θεωρείται ότι η αρχική εκτίµηση κινδύνων διενεργείται από µια εξωτερική εταιρεία. Η εκτίµηση βασίζεται σε µια προσέγγιση εκτίµησης κινδύνων που είναι γνωστή στην ΜΜΕ. Κατά συνέπεια, περαιτέρω εκτιµήσεις κινδύνων µπορούν να διενεργηθούν από το προσωπικό της επιχείρησης. Η αρχική εκτίµηση, η οποία διενεργείται από εξωποριστή, χρησιµεύει ως µεταφορά τεχνογνωσίας στο προσωπικό της ΜΜΕ. Το παρόν έγγραφο παρέχει στις ΜΜΕ όλο το σχετικό υλικό που απαιτείται για τη λήψη αποφάσεων του τύπου να "δηµιουργήσει ή να αγοράσει" µια επιχείρηση. Επιπρόσθετα, παρέχουµε όλες τις απαραίτητες πληροφορίες ώστε να βοηθήσουµε τις ΜΜΕ να διενεργήσουν µια αυτοαξιολόγηση. Η προτεινόµενη προσέγγιση εκτίµησης κινδύνων µπορεί να χρησιµοποιηθεί σε αποφάσεις εσωτερικής ανάθεσης και εν µέρει εξωτερικής ανάθεσης ως κατευθυντήρια γραµµή για τις αρχικές και τις µελλοντικές εκτιµήσεις κινδύνων (βλ. Κεφάλαια 4. Μια απλουστευµένη προσέγγιση: επισκόπηση και 5. Κατευθυντήριες γραµµές αυτοαξιολόγησης µε δύο παραδείγµατα). Κάθε προσέγγιση εκτίµησης κινδύνων, όταν συγκρίνεται µε όλες τις άλλες προσεγγίσεις, συνδέεται µε πλεονεκτήµατα και µειονεκτήµατα. Ο Πίνακας 1 δίνει µια πρώτη εντύπωση των πραγµατικών περιστατικών που διέπουν την απόφαση του τύπου «να δηµιουργήσει ή να αγοράσει» µία ΜΜΕ σε σχέση µε το έργο της εκτίµησης κινδύνων. Οι ακόλουθες παράγραφοι περιέχουν µια λεπτοµερή ανάλυση όσον αφορά στις παραµέτρους και τους παράγοντες που πρέπει να ληφθούν υπόψη όταν επιλέγουµε µια προσέγγιση εκτίµησης κινδύνων για µία ΜΜΕ.

Επιλογές Παράµετροι και παράγοντες µεθόδου υλοποίησης

µεθόδου υλοποίησης ί ή ο ικ ς ικ εκτίµησης ρ υ ρ τε το τε κινδύνων νη ω ω ύ α τρί εσ εσ ητ οσ ό 1 µ ότ ν ενη ω απ ενοι ικ µ µ εν ίτω ύ ύ µ ης ογν τρ ρ ει ησ µ ο πει µ Απαιτο ε Εξάρτηση Απαιτο πόροι Αντικ εκτί Έργ

Εσωτερική Ναι Μικρή 1-5 Άτοµα Χαµηλού -

ENISA 14 ∆ιαχείριση Κινδύνων 13/02/2007

ανάθεση επιπέδου

Εξολοκλήρου Όχι Μεγάλη 1 Άτοµο (για Υψηλού 10-40 εξωτερική την επιπέδου Ηµέρες ανάθεση διαχείριση σχεδίου)

Εν µέρει Ναι Μικρή 1-2 Άτοµα Μεσαίου 5-10 εξωτερική επιπέδου Ηµέρες ανάθεση

Πίνακας 1: Επιλογές µεθόδου υλοποίησης εκτίµησης κινδύνων

Στις ακόλουθες ενότητες, περιγράφουµε κάθε πιθανή επιλογή για την διενέργεια εκτίµησης κινδύνων/διαχείρισης κινδύνων. Ένα ερωτηµατολόγιο θα βοηθήσει τους υπεύθυνους λήψης αποφάσεων να προσδιορίσουν εάν αυτή η επιλογή είναι η ενδεδειγµένη για έναν συγκεκριµένο τύπο ΜΜΕ.

3.3.1 Εσωτερική ανάθεση

Η εσωτερική ανάθεση µπορεί να προσφέρει πολλά πλεονεκτήµατα στον φορέα όπως την

ανάπτυξη εσωτερικής τεχνογνωσίας και ικανοτήτων για την εκτίµηση και την διαχείριση κινδύνων. Σε αυτό το πλαίσιο, ανάλογα µε τις τιµές παροχής συµβουλευτικών υπηρεσιών, που ισχύουν στην αγορά του τοµέα της ασφάλειας, αυτή η προσέγγιση µπορεί να οδηγήσει

σε µείωση των δαπανών. Η επιλογή αυτή είναι ιδιαίτερα ελκυστική για οργανισµούς µε απλή δοµή, επιτυχηµένο ιστορικό στην εσωτερική υλοποίηση παρόµοιων δραστηριοτήτων (δηλ. ISO9001), επαρκείς ικανότητες και δεξιότητες. Το ακόλουθο σύνολο ερωτήσεων µπορεί να χρησιµοποιηθεί για να βοηθήσει να προσδιοριστεί εάν η εκτίµηση κινδύνων ως εσωτερική ανάθεση αποτελεί την σωστή απόφαση για έναν φορέα:

Ερωτήσεις για την λήψη απόφασης Απάντηση ☺

Ναι Όχι

Είναι ο οργανισµός σας µικρός;

Έχει επίπεδη ή απλή ιεραρχική δοµή; ∆ιαθέτετε εσωτερική τεχνογνωσία σε συστήµατα και δίκτυα ΤΠ;

∆ιαθέτει ο οργανισµός σας εξειδικευµένο και διαθέσιµο ανθρώπινο δυναµικό;

Οι επιχειρηµατικές σας δραστηριότητες εξαρτώνται σε µικρό

βαθµό από συστήµατα ΤΠ, περιλαµβάνονται σε αυτές η αποθήκευση ή η επεξεργασία ευαίσθητων δεδοµένων πελατών, έχει, δε, ασχοληθεί ο οργανισµός σας µε παρόµοιες δραστηριότητες, δηλαδή µε διαδικασίες βελτίωσης ποιότητας; Μπορείτε να βρείτε µια οµάδα τριών έως πέντε ατόµων, τα οποία έχουν ευρεία και βαθιά κατανόηση του οργανισµού σας και διαθέτουν, επίσης, τα περισσότερα από τα ακόλουθα προσόντα; □ Ικανότητα επίλυσης προβληµάτων □ Ικανότητα αναλυτικής σκέψης □ Ικανότητα για συλλογική εργασία □ Ηγετικές ικανότητες □ Ικανότητα κατανόησης των επιχειρηµατικών

ENISA 15 ∆ιαχείριση Κινδύνων 13/02/2007

διεργασιών της εταιρίας και της υποκείµενης υποδοµής του οργανισµού

□ ∆υνατότητα δαπάνης λίγων ηµερών απασχόλησης σ’ αυτή την µέθοδο

∆ιαθέτετε µια σχετικά απλή υποδοµή τεχνολογίας των πληροφοριών η οποία είναι καλά κατανοητή από τουλάχιστον ένα άτοµο στον οργανισµό σας;

Σε όσο περισσότερες ερωτήσεις δοθεί η απάντηση «ναι» τόσο µεγαλύτερη είναι η πιθανότητα να είναι η αυτοαξιολόγηση η κατάλληλη επιλογή για µία ΜΜΕ. Χρησιµοποιώντας την προτεινόµενη προσέγγιση εκτίµησης κινδύνων και ορθές πρακτικές (βλ. κεφάλαια 4. Μια απλουστευµένη προσέγγιση: επισκόπηση και 5. Κατευθυντήριες γραµµές αυτοαξιολόγησης µε δύο παραδείγµατα) οι υπεύθυνοι λήψης αποφάσεων θα µπορέσουν να θέσουν σε εφαρµογή µεθόδους εκτίµησης κινδύνων αποτελεσµατικής προσέγγισης µε σκοπό την αναγνώριση και την διαχείριση κινδύνων ασφάλειας των πληροφοριών τους, καθιστώντας εφικτή την συνεχή βελτίωση της θεώρησης της ασφάλειάς τους.

3.3.2 Εξολοκλήρου εξωτερική ανάθεση

Μέσω της εξολοκλήρου εξωτερικής ανάθεσης, µία ΜΜΕ µεταβιβάζει εξολοκλήρου την εκτίµηση και διαχείριση κινδύνων σ’ έναν εξωτερικό ανάδοχο. Η εν λόγω ανάθεση µπορεί να περιλαµβάνει αρχικές καθώς και επαναλαµβανόµενες εκτιµήσεις και δραστηριότητες διαχείρισης που καλύπτουν τον συνολικό κύκλο ζωής της διαχείρισης κινδύνων (π.χ. εφαρµογή και διατήρηση µέτρων). Ο ανάδοχος εφαρµόζει την δική του προσέγγιση εκτίµησης κινδύνων/διαχείρισης κινδύνων. Με τον τρόπο αυτό, ο ανάδοχος δεν µεταφέρει τεχνογνωσία στον πελάτη. Σ’ αυτό το σηµείο πρέπει να σηµειωθεί ότι η εξωτερική ανάθεση δραστηριοτήτων εκτίµησης και διαχείρισης δεν απαλλάσσει την διεύθυνση της ΜΜΕ από την ευθύνη της για την ασφάλεια (των πληροφοριών). Ανάλογα µε την δοµή, την στρατηγική, τους διαθέσιµους πόρους και την κατάσταση της αγοράς, η εξωτερική ανάθεση µπορεί να προσφέρει συγκεκριµένα πλεονεκτήµατα. Η απόφαση για την εξωτερική ανάθεση της εκτίµησης κινδύνων των πληροφοριών επιτρέπει στην ΜΜΕ να επικεντρωθεί σε βασικές επιχειρηµατικές στρατηγικές ενόσω οι περιφερειακές δραστηριότητες ασκούνται από ένα εξωτερικό εµπειρογνώµονα µε εξειδίκευση σε θέµατα ασφάλειας των πληροφοριών. Οι ακόλουθες ερωτήσεις µπορεί να χρησιµοποιηθούν για να βοηθήσουν να καθοριστεί αν η εξολοκλήρου εξωτερική ανάθεση της εκτίµησης κινδύνων αποτελεί την σωστή απόφαση για έναν οργανισµό:

Ερωτήσεις για την λήψη απόφασης Απάντηση ☺

ΝΑΙ Όχι

Θεωρείτε ότι είναι απαραίτητο να διατηρείται αυξηµένη η προσοχή σας σε κύριες ικανότητες και στρατηγικές επιχειρηµατικές διεργασίες; Σας φαίνεται δύσκολο να διαθέσετε από δύο έως πέντε άτοµα, τα οποία έχουν ευρεία και βαθιά κατανόηση του οργανισµού σας και διαθέτουν, επίσης, τα περισσότερα από τα ακόλουθα προσόντα; o Ικανότητα κατανόησης των επιχειρηµατικών

διεργασιών και της υποκείµενης υποδοµής του οργανισµού

ENISA 16 ∆ιαχείριση Κινδύνων 13/02/2007

o Ικανότητα επίλυσης προβληµάτων o Ικανότητα αναλυτικής σκέψης o Ικανότητα για συλλογική εργασία o Ηγετικές ικανότητες o ∆υνατότητα δαπάνης λίγων ηµερών απασχόλησης σ’ αυτή την µέθοδο Έχετε εξαιρετικά πολύπλοκη και σχετικά µεγάλη υποδοµή ΤΠ; Στις επιχειρηµατικές δραστηριότητες και τις υπηρεσίες που παρέχετε περιλαµβάνονται και οικονοµικές συναλλαγές;

Εκµεταλλεύεστε επιχείρηση η οποία υπόκειται σε µεγάλο βαθµό σε αυστηρούς νοµικούς και κανονιστικούς περιορισµούς και/ή εντολές της ΕΕ ή της χώρας δραστηριοποίησής σας;

∆ιαθέτετε µια σχετικά απλή υποδοµή τεχνολογίας των πληροφοριών που είναι καλά κατανοητή από τουλάχιστον ένα άτοµο στον οργανισµό σας;

Και σε αυτή τη περίπτωση, όσο περισσότερες απαντήσεις «ναι» ανακύψουν για έναν οργανισµό τόσο περισσότερο η εξωτερική ανάθεση εξυπηρετεί τις ανάγκες του. Για την εξωτερική ανάθεση δραστηριοτήτων εκτίµησης κινδύνων σ’ έναν τρίτο απαιτείται µια

διαδικασία επιλογής παρόχου, η οποία περιλαµβάνει αφενός την επιµελή και συνολική αξιολόγησή του και αφετέρου την αξιολόγηση των ικανοτήτων του στην ασφάλεια των

πληροφοριών (βλέπε επίσης Παράρτηµα Ε. Απλές συµβουλές, Τρίτοι, Πάροχοι υπηρεσιών). Εφόσον γίνει η επιλογή αυτή, µια συµφωνία επιπέδου υπηρεσίας πρέπει να αποτελεί την πρωταρχική βάση συνεργασίας. Σε αυτήν την συµφωνία πρέπει να οριοθετούνται βασικά στοιχεία όπως η επαγγελµατική πιστοποίηση των µηχανικών ασφάλειας του παρόχου, η εµπιστευτικότητα και η µη δηµοσιοποίηση, το χρονοδιάγραµµα, η κατανοµή πόρων, το κόστος και η µεθοδολογία που θα εφαρµοστεί. Όταν επίκειται η σύναψη µιας Συµφωνίας Επιπέδου Υπηρεσίας (ΣΕΥ), πρέπει να ληφθούν υπόψη οι ακόλουθες ερωτήσεις (δηλαδή σαν ένα είδος καταλόγου ελέγχου για το περιεχόµενο µιας ΣΕΥ): □ Καλύπτονται θέµατα αστικής ευθύνης; Τι θα συµβεί, για παράδειγµα, αν κατά την διάρκεια της εκτίµησης, διακοπούν ή διαταραχθούν σηµαντικές επιχειρηµατικές δραστηριότητες εξαιτίας της ανικανότητας του παρόχου να διενεργήσει µια εκτίµηση της υποκείµενης υποδοµής ΤΠ και δικτύων; □ Προσδιορίζονται µε σαφήνεια οι ευθύνες από την ΣΕΥ; Ποιος θα είναι υπεύθυνος και για ποια ενέργεια/πράξη; Ποια θα είναι η συµµετοχή του οργανισµού όσον αφορά τους πόρους; □ Τεκµηριώνεται µε σαφήνεια το πεδίο εφαρµογής της εργασίας; Τι θα περιλαµβάνει ο πάροχος στο πεδίο εφαρµογής της εργασίας; Συνιστάται θερµά το πεδίο εφαρµογής της εργασίας να περιλαµβάνει ολόκληρο το φάσµα των επιχειρηµατικών δραστηριοτήτων και την υποκείµενη υποδοµή. Σε οποιαδήποτε άλλη περίπτωση είναι πιθανόν το συγκεκριµένο αποτέλεσµα να είναι ανεπαρκές ή ακόµα και παραπλανητικό. □ Με ποιόν τρόπο πρόκειται να ικανοποιηθούν οι νοµικές απαιτήσεις, π.χ. νοµοθεσία για την προστασία των δεδοµένων; □ Ποιοι διακανονισµοί θα εφαρµοστούν ώστε να επιτρέψουν σε όλα τα εµπλεκόµενα στην εξωτερική ανάθεση µέρη, συµπεριλαµβανοµένων και των υπεργολάβων, να έχουν επίγνωση των δικών τους ευθυνών ασφάλειας; □ Με ποιόν τρόπο πρόκειται να διατηρηθούν και να ελεγχθούν η ακεραιότητα και η

εµπιστευτικότητα των πόρων του φορέα;

ENISA 17 ∆ιαχείριση Κινδύνων 13/02/2007

□ Ποιοι φυσικοί και λογικοί έλεγχοι θα χρησιµοποιηθούν ώστε να περιορίσουν και να

θέσουν όρια στην πρόσβαση των εξουσιοδοτηµένων χρηστών σ’ ευαίσθητα επαγγελµατικά δεδοµένα του οργανισµού;

□ Με ποιόν τρόπο πρόκειται να διατηρηθεί η διαθεσιµότητα των υπηρεσιών στο

ενδεχόµενο µιας καταστροφής;

□ Περιλαµβάνεται στους γενικούς και ειδικούς όρους το δικαίωµα ελέγχου των µέτρων

ασφάλειας και προστασίας των πληροφοριών του προµηθευτή;

□ ∆ηλώνονται ρητά οι ελάχιστοι πόροι, η ικανότητα και η επαγγελµατική πιστοποίηση του προµηθευτή; □ Καθορίζονται µε σαφήνεια το περιεχόµενο, η συχνότητα και η δοµή των υποβαλλόµενων εκθέσεων; Σαφώς, οι οργανισµοί µπορούν να προβούν στην ανάθεση εντολής προς τους παρόχους να διενεργήσουν την εκτίµηση βάσει της µεθοδολογίας προσέγγισης διαχείρισης κινδύνων που προτείνεται στο παρόν (βλέπε Κεφάλαιο 5. Κατευθυντήριες γραµµές αυτοαξιολόγησης µε δύο παραδείγµατα). Υπό τον όρο ότι η ΜΜΕ κατανοεί το περιεχόµενο της προτεινόµενης προσέγγισης, αυτό θα της επιτρέψει να ελέγξει καλύτερα τις δραστηριότητες του ανάδοχου.

3.3.3 Εν µέρει Εξωτερική Ανάθεση

Μια λύση µικτών πόρων µπορεί να συνδυάσει τα οφέλη της εσωτερικής αλλά και της εξωτερικής ανάθεσης. Σε µια λύση µικτών πόρων, ο οργανισµός συµµετέχει ενεργά σε µια διαδικασία αυτοαξιολόγησης χρησιµοποιώντας έναν τρίτο ως διαµεσολαβητή. Στο πλαίσιο αυτό, η εκτίµηση βασίζεται σ' ένα υπόδειγµα εκτίµησης κινδύνων που κατανοεί ο πελάτης, π.χ. την προσέγγιση εκτίµησης κινδύνων που παρουσιάζεται στο παρόν (βλ. κεφάλαιο 4. Μία απλουστευµένη προσέγγιση: επισκόπηση). Αυτή είναι µια αναγκαία προϋπόθεση προκειµένου να επιτευχθεί η µεταφορά τεχνογνωσίας µεταξύ αναδόχου και πελάτη. Σ’ αυτή την εκδοχή, η ΜΜΕ αναπτύσσει την ενδοεπιχειρησιακή της ικανότητα ώστε να εκτελεί ορισµένα σηµαντικά καθήκοντα σχετικά µε θέµατα ασφάλειας όταν και όπου αυτό απαιτείται. Μπορούν να προκύψουν καθαρά οφέλη από το γεγονός ότι ο οργανισµός µπορεί να ρυθµίσει και να διαχειριστεί τα µελλοντικά έξοδα του αναδόχου, καθώς και να συνεισφέρει σηµαντικά στην εµπειρογνωµοσύνη που παρέχεται από εξειδικευµένον τρίτον. Το ακόλουθο σύνολο ερωτήσεων µπορεί να χρησιµοποιηθεί για να βοηθήσει να καθοριστεί εάν µία εκτίµηση κινδύνων πρέπει να ανατεθεί εν µέρει σε κάποιον ανάδοχο:

Ερωτήσεις για την λήψη απόφασης Απάντηση ☺

ΝΑΙ Όχι

Θεωρείτε ότι είναι απαραίτητο να διατηρείται αυξηµένη η

προσοχή σας σε κύριες ικανότητες και στρατηγικές επιχειρηµατικές διεργασίες, αλλά και να βελτιώνετε, επίσης, την ευαισθητοποίηση σε θέµατα ασφάλειας εσωτερικών πληροφοριών, όπως και τις δεξιότητες σε θέµατα ασφάλειας των πληροφοριών;

Είναι πιθανό να καταστήσετε διαθέσιµα από ένα έως δύο

άτοµα στον οργανισµό σας, τα οποία έχουν ευρεία και βαθιά κατανόηση του οργανισµού σας και, επίσης, διαθέτουν τα περισσότερα από τα ακόλουθα προσόντα; □ Ικανότητα κατανόησης των επιχειρηµατικών

διεργασιών και της υποκείµενης υποδοµής του οργανισµού

□ Ικανότητα επίλυσης προβληµάτων

ENISA 18 ∆ιαχείριση Κινδύνων 13/02/2007

□ Ικανότητα αναλυτικής σκέψης □ Ικανότητα εργασίας σε οµάδα □ Ηγετικές ικανότητες □ ∆υνατότητα δαπάνης λίγων ηµερών απασχόλησης σ’ αυτή την µέθοδο □ ∆υνατότητα για µεγαλύτερης διάρκειας απασχόληση

Έχετε µία εξαιρετικά πολύπλοκη και σχετικά µεγάλη υποδοµή

συστηµάτων ΤΠ αλλά ένα σχετικά απλό επιχειρηµατικό µοντέλο;

Στις επιχειρηµατικές δραστηριότητες και τις υπηρεσίες που παρέχετε περιλαµβάνονται και οικονοµικές συναλλαγές;

Εκµεταλλεύεστε επιχείρηση η οποία υπόκειται σε µεγάλο βαθµό σε αυστηρούς νοµικούς και κανονιστικούς περιορισµούς και/ή εντολές της ΕΕ ή της χώρας δραστηριοποίησής σας;

Όπως και στις προηγούµενες προσεγγίσεις, όσο περισσότερες ερωτήσεις έχουν απαντηθεί µε ένα «ναι» τόσο περισσότερο η ΜΜΕ προσαρµόζεται καλύτερα στην εν λόγω προσέγγιση υλοποίησης εκτίµησης κινδύνων. Η απόφαση για την εν µέρει εξωτερική ανάθεση µιας εκτίµησης κινδύνων απαιτεί την σύναψη µίας Συµφωνίας Επιπέδου Υπηρεσίας (ΣΕΥ) ως πρωταρχική βάση για την συνεργασία µε τον ανάδοχο. Στα βασικά στοιχεία µιας ΣΕΥ περιλαµβάνονται η επαγγελµατική πιστοποίηση των µηχανικών ασφάλειας του παρόχου, η εµπιστευτικότητα, το χρονοδιάγραµµα, η κατανοµή πόρων, το κόστος και η µεθοδολογία που θα εφαρµοστεί. Και σε αυτή την περίπτωση, οι φορείς µπορούν να προβούν στην ανάθεση εντολής προς τους παρόχους τους να διενεργήσουν µια εκτίµηση βάσει της µεθοδολογίας του ENISA, η οποία προτείνεται στο παρόν (Βλέπε κεφάλαιο 4. Μία απλουστευµένη προσέγγιση: επισκόπηση). Οι ακόλουθες ερωτήσεις πρέπει, κατ’ ελάχιστο, να τεθούν στο πλαίσιο µιας ΣΕΥ στην περίπτωση της εξωτερικής ανάθεση της εκτίµησης κινδύνων για την ασφάλεια των πληροφοριών: □ Συµφωνεί ο ανάδοχος να χρησιµοποιήσει µια προκαθορισµένη προσέγγιση εκτίµησης κινδύνων που είναι εξίσου γνωστή και στον πελάτη (λ.χ. την προτεινόµενη προσέγγιση εκτίµησης κινδύνων); □ Καλύπτονται θέµατα αστικής ευθύνης; Τι θα συµβεί, για παράδειγµα, αν κατά την διάρκεια της εκτίµησης, διακοπούν ή διαταραχθούν σηµαντικές επιχειρηµατικές δραστηριότητες εξαιτίας της ανικανότητας του παρόχου να διενεργήσει µια εκτίµηση της υποκείµενης υποδοµής ΤΠ και δικτύων; □ Προσδιορίζονται µε σαφήνεια οι ευθύνες από την ΣΕΥ; Ποιος θα είναι υπεύθυνος και για ποια ενέργεια/πράξη; Ποια θα είναι η συµµετοχή του οργανισµού όσον αφορά τους πόρους; □ Τεκµηριώνεται µε σαφήνεια το πεδίο εφαρµογής της εργασίας; Τι θα περιλαµβάνει ο πάροχος στο πεδίο εφαρµογής της εργασίας; Συνιστάται θερµά το πεδίο εφαρµογής της εργασίας να περιλαµβάνει ολόκληρο το φάσµα των επιχειρηµατικών δραστηριοτήτων και την υποκείµενη υποδοµή. Σε οποιαδήποτε άλλη περίπτωση, είναι πιθανόν το αποτέλεσµα να είναι ανεπαρκές ή ακόµα και παραπλανητικό. □ Με ποιόν τρόπο πρόκειται να ικανοποιηθούν οι νοµικές απαιτήσεις, π.χ. νοµοθεσία για την προστασία των δεδοµένων; □ Ποιοι διακανονισµοί θα εφαρµοστούν ώστε να επιτρέψουν σ’ όλα τα εµπλεκόµενα στην εξωτερική ανάθεση µέρη, συµπεριλαµβανοµένων και των υπεργολάβων, να έχουν επίγνωση των δικών τους ευθυνών ασφάλειας;

ENISA 19 ∆ιαχείριση Κινδύνων 13/02/2007

□ Με ποιόν τρόπο πρόκειται να διατηρηθούν και να ελεγχθούν η ακεραιότητα και η

εµπιστευτικότητα των πόρων του φορέα;

□ Ποιοι φυσικοί και λογικοί έλεγχοι θα χρησιµοποιηθούν ώστε να περιορίσουν και να θέσουν όρια στην πρόσβαση των εξουσιοδοτηµένων χρηστών σ’ ευαίσθητα επαγγελµατικά δεδοµένα του οργανισµού; □ Με ποιόν τρόπο πρόκειται να διατηρηθεί η διαθεσιµότητα των υπηρεσιών στο ενδεχόµενο

µιας καταστροφής;

□ Περιλαµβάνεται στους γενικούς και ειδικούς όρους το δικαίωµα ελέγχου των µέτρων ασφάλειας και προστασίας των πληροφοριών του προµηθευτή; □ ∆ηλώνονται ρητά οι ελάχιστοι πόροι, η ικανότητα και η επαγγελµατική πιστοποίηση του προµηθευτή; □ Καθορίζονται µε σαφήνεια το περιεχόµενο, η συχνότητα και η δοµή των υποβαλλόµενων εκθέσεων;

ENISA 20 ∆ιαχείριση Κινδύνων 13/02/2007

4. Μια απλουστευµένη προσέγγιση: επισκόπηση

Το παρόν κεφάλαιο εκθέτει το περιεχόµενο µιας απλουστευµένης προσέγγισης εκτίµησης και διαχείρισης κινδύνων, η οποία µπορεί να χρησιµοποιηθεί από ΜΜΕ για αυτοαξιολόγηση, ακόµη και στο πλαίσιο έργων εξωτερικής ανάθεσης, όπως επισηµαίνεται στο Κεφάλαιο 3. Οι περισσότερες από τις υφιστάµενες προσεγγίσεις για την εκτίµηση και την διαχείριση κινδύνων σε θέµατα ασφάλειας, γενικά, επικεντρώνονται στις ανάγκες µεγάλων οργανισµών. Σήµερα, δεν υπάρχει µια απλή προσέγγιση σχεδιασµένη για µικρούς οργανισµούς, τουλάχιστον όχι µε την µορφή δηµοσιοποιηµένων κατευθυντήριων γραµµών. Ορισµένες επιχειρήσεις συµβούλων έχουν αναπτύξει ορθές πρακτικές γι’ αυτό τον σκοπό, αλλά τις χρησιµοποιούν σε έργα πελατών τους. Άλλες προσεγγίσεις, αν και υποστηρίζεται ότι αρµόζουν για ΜΜΕ, παραµένουν αρκετά πολύπλοκες για αυτοαξιολογήσεις (π.χ. η OCTAVE). Από την άλλη πλευρά, όπως έχει ήδη σχολιαστεί, οι περισσότερες ΜΜΕ δεν µπορούν να αντεπεξέλθουν στο κόστος µιας εξολοκλήρου εξωτερικής ανάθεσης της εν λόγω αποστολής σε εξωτερικούς φορείς. Πρόθεσή µας είναι να παράσχουµε στους οργανισµούς αυτούς µια απλή, αποτελεσµατική και φθηνή προσέγγιση για την αναγνώριση και διαχείριση των κινδύνων που συνδέονται µε την ασφάλεια των πληροφοριών τους. Η προκύπτουσα απλουστευµένη προσέγγιση παρέχει στους µικρούς

οργανισµούς µία µέθοδο για την διενέργεια αυτοαξιολογήσεων. Βασίζεται στις αρχές, τα χαρακτηριστικά και τα αποτελέσµατα της OCTAVE , είναι, δε, προσαρµοσµένη στα/τις αντιπροσωπευτικά(-ες) περιβάλλοντα και ανάγκες των ΜΜΕ. Ουσιαστικά, αυτή η προσέγγιση είναι, επίσης, συµβατή µε άλλα υφιστάµενα πρότυπα, όπως, για παράδειγµα, το ISO 13335-2.

Για έναν φορέα, ο οποίος προσβλέπει στην κατανόηση των αναγκών που συνδέονται µε την ασφάλεια των πληροφοριών του, η παρούσα προσέγγιση αποτελεί αυτοαξιολόγηση βασισµένη στον προσδιορισµό του χαρακτηριστικού προφίλ κινδύνων και τεχνική προγραµµατισµού για θέµατα ασφάλειας. Αντίθετα µε τυπικές εκτιµήσεις που εστιάζονται στην τεχνολογία και οι οποίες είναι στοχευµένες µόνο στον τεχνολογικό κίνδυνο, αυτή η µέθοδος στοχεύει στο γενικό πλαίσιο και τους εγγενείς κινδύνους και επικεντρώνεται σε στρατηγικά, πρακτικής φύσεως ζητήµατα. Το βασικό πλεονέκτηµα της παρούσας προσέγγισης είναι ότι µπορεί να παράσχει ένα αποδεκτό επίπεδο ασφάλειας µε µικρή προσπάθεια έργου όσον αυτό αφορά την διαδικασία εκτίµησης και διαχείρισης. Αυτό οφείλεται στις ακόλουθες πτυχές που ενισχύουν την πρακτικότητα: □ Το προφίλ κινδύνων του οργανισµού µπορεί να προσδιοριστεί εύκολα. □ ∆ίνονται τα τυπικά στοιχεία των πόρων για µικρούς οργανισµούς. □ Η προστασία των πόρων µέσω µέτρων (ελέγχων) προκαθορίζεται µέσα από κάρτες ελέγχου. Αυτά τα πλεονεκτήµατα µπορούν να οδηγήσουν σε αυτοαξιολόγηση χαµηλού κόστους από οµάδες µε χαµηλού επιπέδου εµπειρογνωµοσύνη σε θέµατα ασφάλειας. Αν αυτό γίνει προσεκτικά, θα προκύψει ένα αποδεκτό επίπεδο ασφάλειας. Η προτεινόµενη προσέγγιση εκτίµησης µπορεί να εφαρµοστεί από µη ειδικούς. Κατά την διάρκεια µιας εκτίµησης, η οµάδα εκτίµησης δε χρειάζεται να αντιµετωπίσει διάφορες πτυχές απειλών σε ευπρόσβλητους πόρους. Αντιθέτως, προτείνεται ένα προκαθορισµένο επίπεδο προστασίας, σύµφωνα µε τον τύπο του πόρου και του απαιτούµενου επιπέδου ασφάλειας. Η εργασία, που πραγµατοποιείται για την ανάπτυξη ενός προτύπου κινδύνων, στην οποία στηρίζεται αυτή η προσέγγιση, βασίζεται στις ακόλουθες παραδοχές/στοιχεία: □ Εκτίµηση των εγγενών κινδύνων – Συχνά, το περιβάλλον µπορεί να καθορίσει το γενικό πλαίσιο κινδύνων (εγγενείς κίνδυνοι) µέσα στο οποίο ασκείται η οικονοµική δραστηριότητα ή η εκµετάλλευση µιας επιχείρησης. Για παράδειγµα, ένας µικρός οργανισµός, ο οποίος δραστηριοποιείται στην αρτοποιία, εντάσσεται σε ένα γενικό πλαίσιο σηµαντικά µικρότερων

ENISA 21 ∆ιαχείριση Κινδύνων 13/02/2007

κινδύνων απ' ό,τι ένας µικρός οργανισµός που δραστηριοποιείται στην παροχή υπηρεσιών υγειονοµικής περίθαλψης ή συγκέντρωσης επιχειρηµατικών πληροφοριών. Ανεξάρτητα από τα µέτρα ασφάλειας, την υποδοµή και τα έσοδα, οι δυο επιχειρήσεις λειτουργούν σε εξολοκλήρου διαφορετικό περιβάλλον κινδύνων, το οποίο πρέπει να ληφθεί σοβαρά υπόψη πριν καθοριστεί η στρατηγική ασφάλειας των πληροφοριών και επιλεγούν οι ανάλογοι έλεγχοι ασφάλειας. □ Η ποικιλία των εκδοχών απειλών (προφίλ) που διαπιστώνονται στις ΜΜΕ. Στο γενικό πλαίσιο των ΜΜΕ, παρά τη φυσικά αναµενόµενη διασπορά όσον αφορά τους εγγενείς κινδύνους, έχουµε παρατηρήσει ότι οι απειλές είναι µάλλον χαρακτηριστικές και, συχνότατα, όταν οµαδοποιηθούν, µπορούν να διαµορφώσουν προφίλ γενικών απειλών, τα οποία είναι εφαρµόσιµα στην συντριπτική πλειονότητα των ΜΜΕ. Στο πλαίσιο αυτό, η εργασία µας επικεντρώνεται στην προτυποποίηση των απειλών µέσω προφίλ γενικών απειλών. Τα αναπτυγµένα προφίλ κινδύνων βοηθούν στην αντανάκλαση του επιπέδου των εγγενών κινδύνων ενός οργανισµού. Κατά συνέπεια, προσδιορίστηκαν και οµαδοποιήθηκαν τα ανάλογα µέτρα προκειµένου να καλύψουν τις απειλές για τα αντίστοιχα προφίλ κινδύνων. Η προτεινόµενη προσέγγιση είναι αυτοκατευθυνόµενη, πράγµα που σηµαίνει ότι το ανθρώπινο δυναµικό ενός οργανισµού αναλαµβάνει την ευθύνη για την εκτίµηση των κινδύνων, την επιλογή των ελέγχων και τον καθορισµό, κατ’ αυτόν τον τρόπο, της στρατηγικής ασφάλειας του οργανισµού. Αυτή η τεχνική διευρύνει την γνώση των ατόµων πάνω στις πρακτικές και τις διαδικασίες ασφάλειας του οργανισµού τους, έτσι ώστε: (α) να αντιλαµβάνονται την τρέχουσα κατάσταση των πρακτικών

ασφάλειας εντός του οργανισµού, (β) να αναγνωρίζουν τους κινδύνους για τους πλέον κρίσιµους πόρους, (γ) να δίνουν προτεραιότητα στους τοµείς στους οποίους σηµειώνεται

βελτίωση και να ορίζουν την στρατηγική ασφάλειας για τον οργανισµό. Κατά την διαδικασία αυτή, καλύπτεται ολόκληρος ο κύκλος ζωής της εκτίµησης και της διαχείρισης κινδύνων. Κατά την εφαρµογή της προτεινόµενης προσέγγισης, µια µικρή οµάδα ατόµων από επιχειρησιακές (ή επιχειρηµατικές) µονάδες συνεργάζεται µε την τµήµα της τεχνολογίας των πληροφοριών (ΤΠ) για την αντιµετώπιση των αναγκών ασφάλειας του οργανισµού, εξισορροπώντας έτσι δύο βασικές πτυχές της ασφάλειας, δηλαδή τα οργανωτικά µέτρα και τα µέτρα βάσει πόρων.

Οι οργανισµοί ενθαρρύνονται σθεναρά να εφαρµόζουν τις κατευθυντήριες γραµµές και τις ορθές πρακτικές, που περιλαµβάνονται στην εν λόγω προσέγγιση, µόνο ως βραχυπρόθεσµο σχέδιο για την επίτευξη του στόχου το συντοµότερο δυνατόν, καθώς και για την αποτελεσµατική προστασία κρίσιµων και καθοριστικών συστατικών στοιχείων της επιχειρηµατικής τους δραστηριότητας. Το περιεχόµενο της εν λόγω προσέγγισης καλύπτει

σηµαντικούς κινδύνους στους οποίους συχνά εκτίθενται οι ΜΜΕ. Ωστόσο, η προτεινόµενη προσέγγιση δεν αποτελεί οριστική αντικατάσταση της ολοκληρωµένης και ενδελεχούς εκτίµησης κινδύνων για κρίσιµους πόρους. Συνιστούµε θερµά τέτοιου τύπου «καταδύσεις στα βαθιά» για να εκτιµήσουµε καλύτερα τους κινδύνους ειδικότερα εφόσον χρησιµοποιούνται πολύπλοκα εξαρτήµατα για εξαιρετικά πολύτιµους πόρους. Οι στόχοι σχετικά µε την καθιέρωση της εν λόγω προσέγγισης εκτίµησης και διαχείρισης κινδύνων είναι: □ Η βελτίωση των υφιστάµενων ευρωπαϊκών κατωφλίων ασφάλειας των πληροφοριών. Η προσέγγιση µπορεί να χρησιµοποιηθεί ως καταλύτης για την επιτάχυνση των προσπαθειών των ΜΜΕ προς την κατεύθυνση της διαχείρισης κινδύνων της ασφάλειας των πληροφοριών µέσω της αντιµετώπισης υψηλών κινδύνων. Επιπλέον, η στόχευση σε τυπικές περιπτώσεις απειλών, θα βελτιώσει, σε τελευταία ανάλυση, τα υπάρχοντα ευρωπαϊκά κατώφλια ασφάλειας των πληροφοριών. □ Η εκπλήρωση των επιχειρηµατικών απαιτήσεων, καθώς και η ανταπόκριση στο γενικό πλαίσιο και τους περιορισµούς, που διαπιστώνονται κατ’ εξοχήν στα περιβάλλοντα των ΜΜΕ,

αποφεύγοντας, ταυτόχρονα, την εξειδικευµένη ορολογία και εξαλείφοντας καθήκοντα

υψηλών απαιτήσεων, τα οποία ενσωµατώνονται σχεδόν σε κάθε υφιστάµενη, ευρέως διαδεδοµένη επαγγελµατική µεθοδολογία και βιοµηχανικό πρότυπο (δηλαδή την αξιολόγηση των πόρων, την ανάλυση επιχειρηµατικού αντίκτυπου, τον προσδιορισµό απαιτήσεων διασφάλισης κτλ).

ENISA 22 ∆ιαχείριση Κινδύνων 13/02/2007

□ Η χρήση µιας αυτοκατευθυνόµενης προσέγγισης, η οποία είναι προσαρµοσµένη στα µέσα, τους πόρους και την εµπειρογνωµοσύνη που διαπιστώνονται κατ’ εξοχήν σ’ ένα περιβάλλον ΜΜΕ. □ Η επικέντρωση στους κρίσιµους πόρους και τους υψηλότερους κινδύνους. Η µέθοδος αναπτύχθηκε ως ένας απλός και εύχρηστος οδηγός για τον προσδιορισµό και προστασία των πόρων που κρίνονται ότι είναι οι πλέον κρίσιµοι για έναν οργανισµό. □ Η ανάπτυξη µιας αυτοτελούς µεθόδου εκτίµησης και διαχείρισης κινδύνων. Για τον σκοπό της παραγωγής του πρώτου πρακτικού και ρεαλιστικού αποτελέσµατος έχουν χρησιµοποιηθεί οι έλεγχοι OCTAVE. Ωστόσο, η µέθοδος µπορεί να χρησιµοποιήσει, στην ουσία, όλους τους ελέγχους προτύπων που είναι διαθέσιµοι σήµερα (ISO, BS7799, NIST, BSI).

4.2 Παραδοχές εργασίας

Εκτός των προαναφερόµενων στόχων, έχουν γίνει ορισµένες θεωρήσεις/παραδοχές για την ανάπτυξη του παρόντος οδηγού και την προσέγγιση εκτίµησης κινδύνων που παρουσιάζει: □ Σε πολλές περιπτώσεις, η ΜΜΕ µπορεί να µην είναι εξοικειωµένη µε την ασφάλεια των υπολογιστών και, κατά συνέπεια, µπορεί να ωφεληθεί από την πρόσβαση σε υλικό ευαισθητοποίησης, κατάρτισης και καθοδήγησης. □ Η δηµιουργία ενός πλαισίου καθοδήγησης για την ασφάλεια µέσω των επαγγελµατικών φορέων και ενώσεων ΜΜΕ θα βοηθήσει στην προώθηση της κατανόησης των θεµάτων ασφάλειας από εκείνους που διαθέτουν περιορισµένο εύρος γνώσεων στην ασφάλεια των πληροφοριών. □ Οι ΜΜΕ αποτελούν τοµέα προτεραιότητας ενδιαφέροντος στον οποίο επικεντρώνεται η κυβερνητική οικονοµική πολιτική και θεωρούνται µείζονος σηµασίας για την κοινωνικοοικονοµική ανάπτυξη στην Ευρωπαϊκή Ένωση. □ Οι ΜΜΕ συνήθως δηµιουργούνται από επιχειρηµατικό πάθος και ελλιπή χρηµατοδότηση, µε επιχειρησιακά συστήµατα, τα οποία ‘συρράπτονται ατάκτως’ και, κατά συνέπεια, είναι ετερογενή και ανεξάρτητα. □ Οι πολιτικές και τα πλαίσια για τον προγραµµατισµό της ασφάλειας των πληροφοριών και την ανάκτηση µετά από καταστροφή είναι, συνήθως, ανύπαρκτα. Επιπλέον, η βασική κατανόηση των κινδύνων για την ασφάλεια των πληροφοριών στις ΜΜΕ δεν επεκτείνεται πολύ πιο πέρα από τους ιούς και το αντιιικό λογισµικό. □ Οι περισσότεροι διευθυντές ΜΜΕ µόλις και µετά βίας κατανοούν την εξαιρετικά τεχνική και περίπλοκη επιστηµονική ορολογία που σχετίζεται µε την ασφάλεια των πληροφοριών. □ Οι εταιρείες µικρού µεγέθους συνήθως ασκούν τις εργασίες τους στο πλαίσιο ενός τυποποιηµένου περιβάλλοντος επεξεργασίας δεδοµένων, το οποίο όµως είναι σηµαντικό για την επιχείρηση. Χρησιµοποιούν πακέτα όπως «ετοιµοπαράδοτα» προϊόντα, τα οποία συνίστανται εν µέρει ή εξολοκλήρου σ’ ένα «µαύρο κουτί» (µε όλους τους πιθανούς συσχετιζόµενους κινδύνους) και συνδέονται στο ∆ιαδίκτυο, όπου ελλοχεύουν πολλές απειλές ασφάλειας ΤΠ. □ Οι ακούσιες απειλές θέτουν µερικούς από τους υψηλότερους κινδύνους για την ασφάλεια των πληροφοριών στις ΜΜΕ. Ωστόσο, η κατάρτιση του προσωπικού και τα προγράµµατα ευαισθητοποίησης συχνά παραµελούνται. Ακόµα κι αν το προσωπικό των ΜΜΕ έχει εξειδικευµένη γνώση των πληροφοριακών συστηµάτων, µπορεί να µην κατέχει ειδική τεχνογνωσία σε ζητήµατα ασφάλειας ΤΠ. Ένας επιβαρυντικός παράγοντας είναι ότι, γενικά, οι εταιρείες δεν µπορούν να διαθέσουν τα απαραίτητα οικονοµικά µέσα ώστε να επενδύσουν αρκετούς πόρους στην εκτίµηση και την διαχείριση κινδύνων.

ENISA 23 ∆ιαχείριση Κινδύνων 13/02/2007

4.3 Προσέγγιση τεσσάρων φάσεων

Η προτεινόµενη προσέγγιση εκτίµησης κινδύνων χρησιµοποιεί τέσσερις φάσεις για να εξετάσει οργανωτικά θέµατα και ζητήµατα ασφάλειας της τεχνολογίας, παρέχοντας έτσι µια περιεκτική ολιστική εικόνα των αναγκών για την ασφάλεια των πληροφοριών. Οι τέσσερις φάσεις για την προτεινόµενη µέθοδο απεικονίζονται στο Σχήµα 2.

Σχήµα 2: Οι τέσσερις φάσεις στις οποίες στηρίζεται η προτεινόµενη προσέγγιση εκτίµησης κινδύνων

Η προσέγγιση αξιολόγησης κινδύνων εξαρτάται από δυο βασικές πτυχές: (1) το προφίλ επιχειρηµατικών κινδύνων και (2) τον προσδιορισµό κρίσιµων πόρων. Την διαδικασία εκτίµησης κινδύνων διαχειρίζεται µια µικρή διεπιστηµονική οµάδα αξιολόγησης (τρία έως πέντε άτοµα, από το προσωπικό της ΜΜΕ, από εξωτερικό προσωπικό ή ένα µεικτό σχήµα των δύο σύµφωνα µε τον τύπο υλοποίησης που αναφέρεται στο Κεφάλαιο 3.3 Με ποιόν τρόπο θα ενεργήσετε όσον αφορά την ασφάλεια των πληροφοριών), η οποία συγκεντρώνει και αναλύει πληροφορίες και εκπονεί σχέδια µετριασµού µε βάση τους κινδύνους για την ασφάλεια του οργανισµού. Για την αποτελεσµατική διενέργεια της εκτίµησης κινδύνων, η οµάδα πρέπει να διαθέτει ευρεία γνώση των επιχειρηµατικών δραστηριοτήτων (αναφέρονται και ως επιχειρησιακές διαδικασίες) και της υποδοµής ΤΠ του οργανισµού. Ως σηµείο εκκίνησης, η οµάδα ανάλυσης της ΜΜΕ θα χρησιµοποιήσει τον πίνακα αξιολόγησης προφίλ κινδύνων ώστε να προσδιοριστεί το προφίλ των επιχειρηµατικών κινδύνων. Το επόµενο στάδιο περιλαµβάνει τον προσδιορισµό κρίσιµων πόρων και των συναφών απαιτήσεων διασφάλισης όσον αφορά την εµπιστευτικότητα, την ακεραιότητα και την διαθεσιµότητα των δεδοµένων. Ακολούθως, επιλέγονται οι έλεγχοι (κάρτες ελέγχου). Η διαδικασία επιλογής είναι ριζικά απλοποιηµένη µε την χρήση τυποποιηµένων καρτών ελέγχου. Οι οµάδες ολοκληρώνουν την διαδικασία επιλογής ελέγχων απλώς «τραβώντας» τις κάρτες ελέγχου, που συνδέονται µε κινδύνους τόσο για τον οργανισµό όσο και για τους αναγνωρισµένους κρίσιµους πόρους, οι οποίες

ENISA 24 ∆ιαχείριση Κινδύνων 13/02/2007

έχουν δηµιουργηθεί για κάθε επίπεδο του προφίλ κινδύνων, κατηγορία πόρου και απαίτηση διασφάλισης (εµπιστευτικότητα, ακεραιότητα, διαθεσιµότητα). Οι κάρτες ελέγχου περιλαµβάνουν ελέγχους από τον κατάλογο των πρακτικών που χρησιµοποιείται στην OCTAVE. Αυτή η απόφαση ελήφθη διότι οι εν λόγω έλεγχοι είναι αρκετά απλοί και πιο εύκολα κατανοητοί από µη ειδικούς σε θέµατα ασφάλειας. Εναλλακτικά, µπορούν να χρησιµοποιηθούν άλλοι έλεγχοι ασφάλειας. Αυτό ενδεχοµένως να είναι απαραίτητο στην περίπτωση που µία ΜΜΕ διαθέτει ήδη µια πολιτική ασφάλειας βάσει ενός άλλου προτύπου (π.χ. ISO 17799). Κατά το τελευταίο στάδιο, η οµάδα ανάλυσης της ΜΜΕ απασχολείται µε την ιεράρχηση των πόρων σύµφωνα µε την κρισιµότητά τους, την επίδρασή τους στην επιχείρηση και το σχέδιο προστασίας τους. Στις επόµενες παραγράφους περιγράφονται διεξοδικότερα οι φάσεις εκτίµησης κινδύνων.

4.3.1 Φάση 1 – Επιλογή προφίλ κινδύνων

Κατά την διάρκεια αυτής της φάσης, οι οµάδες αξιολόγησης αξιολογούν το προφίλ επιχειρηµατικών κινδύνων τους χρησιµοποιώντας ένα σύνολο προκαθορισµένων ποιοτικών κριτηρίων. Χρησιµοποιώντας τον πίνακα αξιολόγησης προφίλ κινδύνων (Πίνακας 2), οι οµάδες αξιολόγησης είναι σε θέση να αναγνωρίσουν το γενικό πλαίσιο κινδύνων τους. Το γενικό πλαίσιο κινδύνων συνίσταται στο επιχειρηµατικό και εξωτερικό περιβάλλον ενός οργανισµού και µπορεί να κατανεµηθεί σε τέσσερις

περιοχές κινδύνων: νοµικής και κανονιστικής συµµόρφωσης, φήµη και εµπιστοσύνη

πελατών, παραγωγικότητα και οικονοµική σταθερότητα.

Περιοχές Υψηλού Επιπέδου Μεσαίου Επιπέδου Χαµηλού Επιπέδου κινδύνων

Νοµικής και Ο οργανισµός χειρίζεται Ο οργανισµός χειρίζεται τις Ο οργανισµός δεν χειρίζεται κανονιστικής πληροφορίες ευαίσθητης και πληροφορίες προσωπικής αλλά δεδοµένα προσωπικού χαρακτήρα συµµόρφωσης προσωπικής φύσεως των όχι ευαίσθητης φύσεως των εκτόςαπό εκείνα των ατόµων που πελατών πελατών όπως ορίζεται στην απασχολούνται σε αυτόν. συµπεριλαµβανοµένων των νοµοθεσία της ΕΕ περί ιατρικών δεδοµένων και των προστασίαςτων δεδοµένων. προσωπικών δεδοµένων κρίσιµης σηµασίας όπως ορίζεται στην νοµοθεσία της ΕΕ περί προστασίας των δεδοµένων.

Παραγωγικό- Ο οργανισµός απασχολεί Ο οργανισµός απασχολεί Ο οργανισµός απασχολεί τητα περισσότερους από 100 περισσότερους από 50 λιγότερους από 10 εργαζόµενους, εργαζόµενους, οι οποίοι είναι εργαζόµενους, οι οποίοι είναι οι οποίοι είναι υποχρεωµένοι υποχρεωµένοι καθηµερινά να υποχρεωµένοι καθηµερινά να καθηµερινά να έχουν πρόσβαση έχουν πρόσβαση σε έχουν πρόσβαση σε εφαρµογές σε εφαρµογές και υπηρεσίες της εφαρµογές και υπηρεσίες της και υπηρεσίες της επιχείρησης. επιχείρησης. επιχείρησης.

Οικονοµική Τα ετήσια έσοδα του Τα ετήσια έσοδα του Τα ετήσια έσοδα του οργανισµού σταθερότητα οργανισµού υπερβαίνουν τα 25 οργανισµού δεν υπερβαίνουν τα δεν υπερβαίνουν τα 5 εκατ. ευρώ. εκατ. ευρώ ή/και οι οικονοµικές 25 εκατ. ευρώ. συναλλαγές µε τρίτους ή πελάτες λαµβάνουν χώρα ως τµήµα της επιχειρηµατικής δραστηριότητας ως συνήθης διαδικασία.

Φήµη και Η µη διαθεσιµότητα ή η Η µη διαθεσιµότητα ή η Η µη διαθεσιµότητα ή η ποιότητα απώλεια ποιότητα των υπηρεσιών έχουν ποιότητα των υπηρεσιών έχουν των υπηρεσιών δεν έχουν άµεση ή εµπιστοσύνης άµεση επίδραση στις έµµεση επίδραση στις έµµεση επίδραση στις πελατών επιχειρηµατικές επιχειρηµατικές δραστηριότητες επιχειρηµατικές δραστηριότητες δραστηριότητες του του οργανισµού και/ή κάτω του του οργανισµού ή καταλήγουν σε οργανισµού ή/καιπάνω από το 5% της βάσης πελατών έχουν απώλεια εσόδων. 70% της βάσης πελατών έχουν ηλεκτρονική πρόσβαση σε

ENISA 25 ∆ιαχείριση Κινδύνων 13/02/2007

ηλεκτρονική πρόσβαση σε προϊόντα και υπηρεσίες της προϊόντα και υπηρεσίες της επιχείρησης. επιχείρησης.

Πίνακας 2: Πίνακας αξιολόγησης προφίλ κινδύνων

Κάθε περιοχή ταξινοµείται σε τρεις κατηγορίες: υψηλού, µεσαίου και χαµηλού επιπέδου κινδύνων. Αυτές οι κατηγορίες παριστούν ποσοτικά κριτήρια για τον εν λόγω οργανισµό όσον αφορά την περιοχή κινδύνων και βοηθούν στην αναγνώριση ενός επιπέδου κινδύνων. Η οµάδα αξιολογεί τους κινδύνους που αναγνωρίζονται σε κάθε περιοχή έτσι ώστε να δηµιουργήσουν το προφίλ κινδύνων του οργανισµού.

Η πείρα λέει ότι ο υψηλότερος κίνδυνος που αναγνωρίζεται σε µια κατηγορία κινδύνων

καθορίζει το συνολικό προφίλ επιχειρηµατικών κινδύνων. Ένας υψηλός κίνδυνος που φέρεται στην κατηγορία οικονοµικών κινδύνων οριοθετεί το προφίλ υψηλών κινδύνων. Επίσης, ένας κίνδυνος µεσαίου επιπέδου οδηγεί σ’ ένα προφίλ µεσαίων κινδύνων και οι κίνδυνοι χαµηλού επιπέδου σε προφίλ χαµηλών κινδύνων. Για παράδειγµα, ένας κίνδυνος χαµηλού επιπέδου που φέρεται στην φήµη και την εµπιστοσύνη, στην νοµική και κανονιστική συµµόρφωση και στην παραγωγικότητα αλλά είναι υψηλού επιπέδου στην κατηγορία κινδύνων της οικονοµικής σταθερότητας καταλήγει σε προφίλ υψηλών κινδύνων για τον οργανισµό. Ο προσδιορισµός των χαρακτηριστικών (προφίλ) κινδύνων πρέπει να θεωρείται ως πολύ σηµαντική απόφαση, η οποία, ακολούθως, οδηγεί στην επιλογή πόρων που σχετίζονται µε κινδύνους και στην προστασία τους µέσω καρτών ελέγχου.

4.3.2 Φάση 2 – Προσδιορισµός κρίσιµων πόρων

Κατά τη διάρκεια αυτής της φάσης, η οµάδα αξιολόγησης επιλέγει τους κρίσιµους πόρους βάσει της σχετικής σηµασίας για τον οργανισµό και ορίζει τις απαιτήσεις διασφάλισης για κάθε κρίσιµο πόρο. Κατά κανόνα, η διεύθυνση ενός οργανισµού γνωρίζει ποιοι είναι οι βασικοί πόροι του και µπορεί να χρησιµοποιήσει τα περιορισµένα της µέσα ώστε να επικεντρωθεί στην προστασία αυτών των βασικών πόρων. Η οµάδα αξιολόγησης καθορίζει τι είναι σηµαντικό για τον οργανισµό (π.χ. πόροι που συνδέονται µε τις πληροφορίες) και επιλέγει εκείνους τους πόρους που είναι µείζονος σηµασίας για τον οργανισµό, τα οποία ονοµάζονται επίσης και κρίσιµοι πόροι. Στον ακόλουθο πίνακας καθορίζονται οι κατηγορίες των πόρων και των τύπων που εξετάζονται κατά την επιλογή των κρίσιµων πόρων. ∆ίνεται προσοχή στους πόρους, οι οποίοι χρησιµοποιούνται για να βοηθήσουν τον οργανισµό να ασκήσει τις επιχειρηµατικές του δραστηριότητες. Πρέπει να σηµειωθεί ότι οι τύποι πόρων µπορούν να απαρτίζονται από άλλους τύπους πόρων. Για παράδειγµα, τα συστατικά µέρη µιας εφαρµογής µπορεί να είναι διακοµιστές, σταθµοί εργασίας, δροµολογητές, τµήµατα δικτύων κτλ. Πρέπει, επίσης, να σηµειωθεί ότι ο ακόλουθος κατάλογος είναι αντιπροσωπευτικός για τις περισσότερες µικρές επιχειρήσεις, δεν είναι, όµως, εξαντλητικός. Κατόπιν αιτήµατος (π.χ. σε µελλοντικές εκδόσεις του παρόντος εγγράφου), είναι δυνατόν να παρουσιαστούν επιπρόσθετοι πόροι. Ακόµη, είναι δυνατόν ένας τύπος πόρων να χρησιµοποιεί άλλους πόρους για τις λειτουργίες του. Για παράδειγµα, µια εφαρµογή µπορεί να χρησιµοποιεί ως συστατικά της µέρη έναν διακοµιστή, έναν µικρό αριθµό σταθµών εργασίας, µια συσκευή αποθήκευσης και ένα τµήµα δικτύου. Πρέπει να σηµειωθεί, τέλος, ότι πέρα από την προστασία ενός πόρου, όλα τα συστατικά του µέρη πρέπει επίσης να προστατεύονται κατάλληλα.

ENISA 26 ∆ιαχείριση Κινδύνων 13/02/2007

Κατηγορία Περιγραφή Πόρος (τύποι) Πόρων

Συστήµατα Πληροφοριακά συστήµατα που επεξεργάζονται και ∆ιακοµιστής αποθηκεύουν πληροφορίες. Τα συστήµατα αποτελούν ένα Φορητός υπολογιστής συνδυασµό πόρων πληροφοριών, λογισµικού, και υλικού. Σταθµός εργασίας Κάθε ξενιστής H/Y, πελάτης H/Y, διακοµιστής ή δίκτυο µπορεί να θεωρηθεί ως σύστηµα. Κρίσιµα συστήµατα Αρχειοθέτηση και δηµιουργία είναι εκείνα που αναγνωρίζονται ως ουσιώδη για την εφεδρικών αντιγράφων συνεχή παροχή επιχειρηµατικών υπηρεσιών και διάθεση Αποθηκευτικά µέσα προϊόντων, εκείνα που αποθηκεύουν κρίσιµες επιχειρηµατικές πληροφορίες (ιδιοκτησίας πελατών ή επιχειρήσεων) ή αυτά που εκτίθενται στο εξωτερικό περιβάλλον για επιχειρηµατικές λειτουργίες ή υπηρεσίες.

∆ίκτυο Συσκευές σηµαντικές για τα δίκτυα του οργανισµού. Οι ∆ροµολογητές δροµολογητές, οι µεταγωγείς και οι διαποδιαµορφωτές Καλωδίωση (µόντεµ) αποτελούν παραδείγµατα αυτής της κατηγορίας εξαρτηµάτων. Ασύρµατα εξαρτήµατα/συσκευές, όπως τα Πύλες δικτύου κινητά τηλέφωνα και τα σηµεία ασύρµατης πρόσβασης Σηµεία ασύρµατης πρόσβασης που χρησιµοποιεί το προσωπικό για να αποκτά Τµήµα δικτύου (π.χ. καλωδίωση και πρόσβαση σε πληροφορίες (για παράδειγµα, το εξοπλισµός µεταξύ δύο υπολογιστών) ηλεκτρονικό ταχυδροµείο). Κατά κανόνα, κρίσιµα δίκτυα είναι εκείνα που χρησιµοποιούνται γιατην υποστήριξη Λοιπά (SAT, Laser) ουσιωδών κρίσιµων εφαρµογών ή συστηµάτων ή εκείνα που διαµοιράζονται µε τρίτους και συνήθως µη έµπιστα δίκτυα.

Άνθρωποι Τα πρόσωπα που στελεχώνουν έναν οργανισµό, ∆ιαχείριση επιχειρηµατικών πόρων και συµπεριλαµβανοµένων των δεξιοτήτων, της κατάρτισης, ανθρώπινου δυναµικού των γνώσεων τους και της εµπειρίας τους. Κρίσιµα ∆ιαδικασίες και τεχνολογία πρόσωπα είναι εκείνα που παίζουν ουσιαστικό ρόλο στις Έρευνα και Ανάπτυξη παραγωγικές ή επιχειρησιακές διεργασίες. Πρέπει να δοθεί σηµασία στους καθοριστικούς πόρους (άτοµα) που Πωλήσεις και εµπορία (µάρκετινγκ) θεωρούνται αναντικατάστατα ή συνιστούν ένα µόνο Ανάδοχοι και τρίτοι σηµείο αποτυχίας.

Εφαρµογές Κρίσιµες εφαρµογές: εφαρµογές που αποτελούν µέσο για Χρηµατοοικονοµικός έλεγχος ή συνιστούν µέρος της παροχής προϊόντων και Εξυπηρέτηση Πελατών υπηρεσιών. Τυχόν δυσλειτουργία των κρίσιµων ∆ιαχειριστική υποστήριξη εφαρµογών κατά κανόνα έχει ως κατάληξη την σοβαρή παρακώλυση ή ακόµη και την συµφόρηση των Ηλεκτρονικό εµπόριο εξαρτωµένων από αυτές διαδικασιών. Αντιµετώπιση καταστάσεων εκτάκτου ανάγκης

Πίνακας 3: Κατάσταση πόρων

Κατά την διαδικασία της αναγνώρισης, είναι ουσιώδες να ληφθούν υπόψη οι απόψεις των διευθυντικών στελεχών (ή του ιδιοκτήτη της επιχείρησης). Η συµµετοχή των υψηλά ιστάµενων στην ανάλυση διασφαλίζει ότι η επιχειρηµατική αξία των επιχειρηµατικών πόρων πληροφοριών επισηµαίνεται δεόντως.

Στην συνέχεια, είναι αναγκαία η αξιολόγηση των απαιτήσεων διασφάλισης για τους πιο σηµαντικούς πόρους. Οι απαιτήσεις διασφάλισης σκιαγραφούν τα ποιοτικά χαρακτηριστικά ενός πόρου, τα οποία είναι σηµαντικό να προστατευθούν. Κατά την διαδικασία αξιολόγησης εξετάζονται οι ακόλουθες απαιτήσεις διασφάλισης:

□ εµπιστευτικότητα – η ανάγκη διαφύλαξης του ιδιωτικού χαρακτήρα και της µη προσπέλασης από οποιοδήποτε µη εξουσιοδοτηµένο άτοµο των πληροφοριών ιδιοκτήτη, των ευαίσθητων πληροφοριών ή των προσωπικών δεδοµένων

□ ακεραιότητα – η γνησιότητα, η ακρίβεια και η πληρότητα ενός πόρου

□ διαθεσιµότητα – η ιδιότητα ενός πόρου να είναι διαθέσιµη κατά τον χρόνο χρήσης του

ENISA 27 ∆ιαχείριση Κινδύνων 13/02/2007

Οι οµάδες αξιολόγησης πρέπει να χρησιµοποιούν τα κριτήρια επιλογής απαιτήσεων όπως δίνονται στον πίνακα 4 προκειµένου να προσδιορίσουν τις σηµαντικότερες απαιτήσεις διασφάλισης για τις διαφορετικές κατηγορίες πόρων. Οι απαιτήσεις διασφάλισης των πόρων θα χρησιµοποιηθούν αργότερα κατά την επιλογή των καρτών ελέγχου πόρων. Η επιλογή των απαιτήσεων διασφάλισης έχει αναπτυχθεί ως ένας απλός και πρακτικός οδηγός ώστε να προσδιορίζονται οι ιδιότητες ασφάλειας των κρίσιµων πόρων που επιλέχθηκαν προηγουµένως. Οι απαιτήσεις αναδεικνύουν τη σηµασία ενός πόρου και αποτελούν ένα δείκτη του απαιτούµενου επιπέδου προστασίας (π.χ. µέσω της χρήσης κατάλληλων ελέγχων).

Ο ακόλουθος πίνακας θα βοηθήσει τις οµάδες αξιολόγησης να προσδιορίσουν τις απαιτήσεις διασφάλισης για τις διαφορετικές κατηγορίες πόρων που αναφέρονται παραπάνω.

Κατηγορία Εµπιστευτικότητα Ακεραιότητα ∆ιαθεσιµότητα Πόρων

Συστήµατα Ένα σύστηµα µε απαιτήσεις Συστήµατα µε απαιτήσεις Οι απαιτήσεις διαθεσιµότητας εµπιστευτικότητας συχνά ακεραιότητας κατά κανόνα ικανοποιούνται σε συστήµατα χειρίζεται εταιρικές πληροφορίες χειρίζονται συναλλαγές που είναι ζωτικής σηµασίας (έρευνας και ανάπτυξης) χρηµατοοικονοµικής φύσεως, τις για καθηµερινές χαρακτηρισµένες ως προµήθειες αγαθών ή το επιχειρηµατικές λειτουργίες ιδιόκτητες, πληροφορίες βάσης ηλεκτρονικό εµπόριο. και όπου ο χρόνος διακοπής πελατών, ευαίσθητα δεδοµένα λειτουργίας επισύρει συνήθως πελατών ιατρικής ή προσωπικής δαπάνες και έµµεσα έξοδα φύσεως. όσον αφορά την κατανοµή των πόρων.

∆ίκτυο Ένα δίκτυο µε απαιτήσεις Οι απαιτήσεις ακεραιότητας Οι απαιτήσεις διαθεσιµότητας εµπιστευτικότητας κατά κανόνα δικτύου είναι κατά κανόνα είναι ιδιαιτέρως απαραίτητες καλύπτει τις επικοινωνίες και την απαραίτητες όταν οι συναλλαγές όταν το δίκτυο ανταλλαγή πληροφοριών σε µη λαµβάνουν χώρα σε δηµόσιο και χρησιµοποιείται ως τµήµα της ασφαλή και µη έµπιστα διαµοιρασµένο µητροπολιτικό εξυπηρέτησης πελατών ή για περιβάλλοντα. δίκτυο ή σε παρόχους την παροχή υπηρεσιών και τηλεπικοινωνιών. την διάθεση προϊόντων.

Άνθρωποι Οι απαιτήσεις εµπιστευτικότητας Οι απαιτήσεις ακεραιότητας, όταν Οι απαιτήσεις διαθεσιµότητας ικανοποιούνται κατά κανόνα όταν αφορούν ανθρώπους, για ανθρώπινους πόρους είναι οι άνθρωποι χειρίζονται επιλαµβάνονται κοινών µυστικών ιδιαίτερα σηµαντικές όταν οργανωτικές ιδιόκτητες και όπως κλείδες κρυπτογράφησης αυτοί οι άνθρωποι αποτελούν απόρρητες πληροφορίες οι ή συνθηµατικά. Η κατοχή τέτοιων κρίσιµους πόρους για οποίες όταν δηµοσιοποιηθούν γνώσεων εισάγει απειλές, που συνεχείς λειτουργίες που µπορούν να προκαλέσουν βλάβη οφείλονται στον ανθρώπινο αφορούν στην παροχή στο εµπορικό σήµα και στην παράγοντα, και πρέπει να υπηρεσιών και την διάθεση βάση πελατών του οργανισµού. αντιµετωπιστούν µε ανάλογους προϊόντων. ελέγχους.

Εφαρµογές Οι εφαρµογές µε απαιτήσεις Οι εφαρµογές µε απαιτήσεις Οι απαιτήσεις διαθεσιµότητας εµπιστευτικότητας συχνά ακεραιότητας κατά κανόνα ικανοποιούνται σε εφαρµογές χειρίζονται εταιρικές χειρίζονται συναλλαγές που είναι ζωτικής σηµασίας πληροφορίες (έρευνας και χρηµατοοικονοµικής φύσεως, τις για καθηµερινές ανάπτυξης) χαρακτηρισµένες ως προµήθειες αγαθών ή το επιχειρηµατικές λειτουργίες ιδιόκτητες, πληροφορίες βάσης ηλεκτρονικό εµπόριο. και όπου ο χρόνος διακοπής πελατών, ευαίσθητα δεδοµένα λειτουργίας επισύρει συνήθως πελατών ιατρικής ή προσωπικής δαπάνες και έµµεσα έξοδα φύσεως. όσον αφορά την κατανοµή των πόρων.

Πίνακας 4: Πίνακας επιλογής απαιτήσεων διασφάλισης

Ως αποτέλεσµα αυτής της διαδικασίας, οι οµάδες αξιολόγησης πρέπει να έχουν έναν πίνακα κρίσιµων πόρων ταξινοµηµένων ανά κατηγορία πόρου και έναν κατάλογο αντίστοιχων απαιτήσεων διασφάλισης, παράλληλα µε µία αιτιολόγηση ή συµπληρωµατικές πληροφορίες που θα ληφθούν υπόψη κατά την αξιολόγηση.

ENISA 28 ∆ιαχείριση Κινδύνων 13/02/2007

Στην συνέχεια, το αποτέλεσµα θα χρησιµοποιηθεί ως δεδοµένο εισόδου από την Φάση 3 – Επιλογή καρτών ελέγχου, όπως επισηµαίνεται στο επόµενο κεφάλαιο.

4.3.3 Φάση 3 - Επιλογή Καρτών Ελέγχου

Κατά τη Φάση 3, η οµάδα αξιολόγησης επιλέγει τους κατάλληλους ελέγχους βάσει του προφίλ κινδύνων που επιλέγεται για κάθε κατηγορία κινδύνων και της κατάστασης των προσδιορισµένων κρίσιµων πόρων (συµπεριλαµβανοµένων των απαιτήσεών τους). Οι έλεγχοι διαχωρίζονται σε δύο κατηγορίες: τους οργανωτικούς ελέγχους και τον έλεγχο βάσει πόρων. Ολόκληρος ο οργανισµός υποτίθεται ότι αποτελεί ένα ενιαίο περιουσιακό στοιχείο που πρέπει να προστατευθεί. Οι οργανωτικοί έλεγχοι ασφάλειας είναι, κατά κανόνα, περιεκτικοί και εφαρµόζονται στην οργάνωση των πόρων κατά οριζόντιο τρόπο. Αντιθέτως, οι έλεγχοι βάσει πόρων στοχεύουν στην υλοποίηση της προστασίας που απαιτείται από τους πόρους (π.χ. ενισχύοντας τη διαθεσιµότητα ενός συστατικού µέρους ενός κρίσιµου δικτύου). Οι έλεγχοι οµαδοποιούνται περαιτέρω σε κάρτες ελέγχου. ∆ιατίθενται δυο τύποι καρτών ελέγχου για επιλογή από τις οµάδες που διεξάγουν την αξιολόγηση µιας ΜΜΕ: □ Κάρτες ελέγχου οι οποίες περιλαµβάνουν ελέγχους που εφαρµόζονται οριζόντια στον οργανισµό και σχετίζονται µε πρακτικές και διαδικασίες διαχείρισης και □ Κάρτες ελέγχου που εφαρµόζονται σε κρίσιµους πόρους και ταξινοµούνται σε συγκεκριµένες κατηγορίες πόρων. Οι κάρτες ελέγχου είναι κατά κύριο λόγο προεπιλεγµένοι - οµαδοποιηµένοι έλεγχοι σύµφωνα µε τα προφίλ κινδύνων και τις απαιτήσεις διασφάλισης των πόρων. Ο Πίνακας 5 συγκαταριθµεί τις κατηγορίες ελέγχων, τη δοµή τους και την ονοµασία τους µε τον τρόπο που θεωρούνται σε αυτή την προσέγγιση. Όπως έχει ήδη αναφερθεί, οι έλεγχοι αυτοί έχουν υιοθετηθεί από την OCTAVE . Η απόφαση για τη χρησιµοποίηση των ελέγχων αυτών βασίστηκε στην απλότητά τους. Μπορούν αντ΄ αυτών να χρησιµοποιηθούν άλλοι έλεγχοι (π.χ. ISO 17799, IT-Grundschutz κτλ.). Στο παρόν δίνεται µία πιο λεπτοµερής περιγραφή.

Κατηγορία Αρ. Ελέγχου. Ονοµασία ελέγχου Ελέγχων

OP2.4 Επαλήθευση και εξουσιοδότηση OP2.5 ∆ιαχείριση ευπάθειας OP2.6 Κρυπτογράφηση OP2.7 Σχεδιασµός και αρχιτεκτονική ασφάλειας

ENISA 29 ∆ιαχείριση Κινδύνων 13/02/2007

OP3.1 ∆ιαχείριση συµβάντων OP3.2 Γενικές πρακτικές προσωπικού

Πίνακας 5: Έλεγχοι που χρησιµοποιούνται στην εκτιθέµενη προσέγγιση

Αναλόγως, η Φάση 3 της προτεινόµενης προσέγγισης εκτίµησης αποτελείται από δύο ξεχωριστά αλλά εξίσου σηµαντικά στάδια: □ Στάδιο A, Επιλογή οργανωτικών ελέγχων □ Στάδιο B, Επιλογή ελέγχων βάσει πόρων Κατά τη διάρκεια αυτών των σταδίων, οι έλεγχοι ανατίθενται στον οργανισµό (ως ενιαίο σηµαντικό περιουσιακό στοιχείο) και στους προσδιορισµένους κρίσιµους πόρους όπως επισηµαίνονται παρακάτω.

Επιλογή καρτών οργανωτικού ελέγχου

Η επιλογή καρτών οργανωτικού ελέγχου διενεργείται κατά έναν αρκετά σαφή τρόπο: οι οργανωτικοί έλεγχοι είναι διαθέσιµοι για κάθε προφίλ κινδύνων (καθορίζονται στον πίνακα προσδιορισµού χαρακτηριστικού προφίλ κινδύνων). Ο παρακάτω πίνακας αναθέτει τους οργανωτικούς ελέγχους στα προφίλ κινδύνων, όπως αναφέρονται στο κεφάλαιο 4.3.1 Φάση 1 – Επιλογή προφίλ κινδύνων. Οι έλεγχοι που παρατίθενται παρακάτω συνιστώνται προκειµένου να µετριάσετε τους αντίστοιχους οργανωτικούς κινδύνους. Στο Παράρτηµα Γ. Οργανωτικοί Έλεγχοι περιλαµβάνεται µία λεπτοµερής περιγραφή των ελέγχων.

Περιοχές κινδύνων

Νοµικής και κανονιστικής (SP1) (SP1) SP1.1

συµµόρφωσης

(SP4) (SP4) Παραγωγικότητα (SP3) (SP4) SP4.1 (SP4) (SP6) (SP6) (SP5) Οικονοµικές απώλειες (SP2) (SP4) SP4.1 (SP1) (SP4) Φήµη και απώλεια (SP1) (SP4) SP4.1

εµπιστοσύνης πελατών

(SP5) (SP1)

Πίνακας 6: Κάρτες οργανωτικού ελέγχου

Επιλογή καρτών ελέγχου βάσει πόρων

Βάσει του προφίλ κινδύνων και των απαιτήσεων διασφάλισης των πόρων, οι οµάδες αξιολόγησης ΜΜΕ µπορούν να χρησιµοποιούν τον πίνακα καρτών ελέγχου των πόρων (βλ. πίνακα 7) προκειµένου να προσδιορίσουν τους κατάλληλους ελέγχους για την προστασία των κρίσιµων πόρων.

ENISA 30 ∆ιαχείριση Κινδύνων 13/02/2007

Κάρτες ελέγχου πόρων

Πόρος Κάρτες Υψηλών Κάρτες Μεσαίων Κάρτες Κινδύνων Κινδύνων Χαµηλών Κινδύνων

Εφαρµογή CC-1A CC-2A CC-3A

Σύστηµα CC-1S CC-2S CC-3S

∆ίκτυο CC-1N CC-2N CC-3N

Άτοµα CC-1P CC-2P CC-3P

Πίνακας 7: Κάρτες ελέγχου πόρων

Οι κάρτες ελέγχου πόρων οµαδοποιούνται κατά κύριο λόγο σε τρεις κατηγορίες, ανάλογα µε το προφίλ κινδύνων του οργανισµού, την κατηγορία πόρων και την απαίτηση διασφάλισης. Για παράδειγµα, οι οµάδες αξιολόγησης που αντιµετωπίζουν ένα οργανωτικό προφίλ υψηλών κινδύνων θα έχουν διαφορετικές απαιτήσεις διασφάλισης απ' ότι τα προφίλ µεσαίων και χαµηλών κινδύνων. Κάθε κάρτα ελέγχου περιλαµβάνει έναν αριθµό ελέγχων πόρων (βλέπε Παράρτηµα Β. Κάρτες ελέγχου πόρων) προκειµένου να αντιµετωπίσει ολόκληρο το εύρος των κινδύνων και των απαιτήσεων διασφάλισης, όπως απαιτείται στο συγκεκριµένο προφίλ και υπαγορεύεται από τις επιλεγµένες απαιτήσεις διασφάλισης. Στο Παράρτηµα ∆, Έλεγχοι βάσει πόρων, µπορεί να βρεθεί µια πιο αναλυτική περιγραφή των ελέγχων που συµπεριλαµβάνονται στις κάρτες ελέγχου. Χάριν της εν λόγω παρουσίασης, προσθέτουµε, σ’ αυτό το σηµείο, την κάρτα ελέγχου CC-1A. Όπως φαίνεται στον πίνακα, αυτή η κάρτα είναι κατάλληλη για την προστασία µιας εφαρµογής σε µία εκδοχή υψηλών κινδύνων (προφίλ υψηλών κινδύνων).

Αναγνωριστικό κάρτας ελέγχου βάσει πόρων CC-1A

Προφίλ Κινδύνων Υψηλού επιπέδου

Κατηγορία πόρων Εφαρµογή

Απαιτήσεις διασφάλισης η η και και ησ λεια και ΤΠ ηση ική ού ος ύθησ ς ση ς ότ ς ός γράφ µ ων ιση ατος ισης ατ λο ιση ιση πρακτικές ασφά µ µ το ωπικ τή ύου άλεια σιοδ βάντ έλεγχο υ φ µ Υλική ∆ιαχείρ συσ δικτ Εργαλεία ∆ιαχείρ Συστή Παρακο και ασ Επαλήθευ εξο ∆ιαχείρ ευπάθεια Κρυπ Σχεδιασ αρχιτεκτον ασφάλειας ∆ιαχείρ συ Γενικές προσ

∆ιαθεσιµότητα 2.1.6

Πίνακας 8: Παράδειγµα κάρτας ελέγχου για τον πόρο εφαρµογή σε προφίλ υψηλών κινδύνων

Οι οµάδες αξιολόγησης, χρησιµοποιώντας τις προηγούµενες προσδιορισµένες απαιτήσεις διασφάλισης και την κάρτα ελέγχου µπορούν, στην συνέχεια, να προσδιορίσουν ειδικότερους ελέγχους (π.χ. τους ελέγχους για διαθεσιµότητα, εµπιστευτικότητα ή ακεραιότητα). Πρέπει να σηµειωθεί ότι σε περιπτώσεις όπου επιλέγονται περισσότερες από µία απαιτήσεις, οι έλεγχοι που εφαρµόζονται στον πόρο αποτελούν το άθροισµα των ελέγχων για κάθε απαίτηση.

4.3.4 Φάση 4 – Υλοποίηση και ∆ιαχείριση

Κατά την φάση 4 και βάσει της αξιολογηθέντων πληροφοριών, η οµάδα αξιολόγησης δηµιουργεί σχέδια µετριασµού προκειµένου να αντιµετωπίσει τους κινδύνους για τους κρίσιµους πόρους.

ENISA 31 ∆ιαχείριση Κινδύνων 13/02/2007

Απ’ την στιγµή που έχουν προσδιοριστεί: (1) το προφίλ κινδύνων του οργανισµού, (2) οι κρίσιµοι πόροι και (3) οι κάρτες ελέγχου, η οµάδα αξιολόγησης σχεδιάζει την εφαρµογή των επιλεγµένων ελέγχων. Είναι αναµενόµενο ότι λόγω των περιορισµένων µέσων τους, οι ΜΜΕ δεν θα είναι σε θέση να εφαρµόσουν όλους τους καθορισµένους ελέγχους για όλους τους κρίσιµους πόρους µια κι έξω. Από την άποψη αυτή, η ιεράρχηση προτεραιοτήτων αποτελεί βασικό στοιχείο για επιτυχηµένες προσπάθειες µετριασµού των κινδύνων. Ένα σχέδιο υλοποίησης ορίζει τον τρόπο µε τον οποίον ένας οργανισµός προτίθεται να αυξήσει ή να διατηρήσει το υφιστάµενο επίπεδο ασφάλειάς του. Στόχος του είναι να παράσχει µια κατεύθυνση για µελλοντικές προσπάθειες σχετικά µε την ασφάλεια των πληροφοριών µάλλον παρά να βρει µια άµεση λύση σε κάθε ευπάθεια και µέληµα ασφάλειας. Παρακάτω, µπορούν να βρεθούν ορισµένα κριτήρια για την ιεράρχηση ενεργειών προκειµένου για την υλοποίηση προσδιορισµένων καρτών ελέγχου. Αν και δεν µπορούν όλες να εφαρµοστούν σε όλες τις εταιρείες, µπορούν, ωστόσο, να χρησιµεύσουν ως γενικός οδηγός: □ Στρατηγική ευθυγράµµιση µε τους στόχους του οργανισµού: Αυτός ο πόρος υποστηρίζει άµεσα τους στόχους του σχεδίου τεκµηριωµένης οργάνωσης και/ή τοµεακής εργασίας; Ποιοι σκοποί και/ή στόχοι του σχεδίου εργασίας θα υποστηριχθούν και µε ποιόν τρόπο; □ Συνεχείς προσπάθειες βελτίωσης: Ο εν λόγω πόρος υποστηρίζει την προσπάθεια συνεχούς βελτίωσης του πόρου ενός τοµέα; Ποιος είναι ο πόρος συνεχούς βελτίωσης; Με ποιόν τρόπο ο εν λόγω πόρος υποστηρίζει σκοπούς συνεχούς βελτίωσης; □ Νοµικές ή κανονιστικές εντολές: Εφόσον είναι απαραίτητο ένας πόρος να ικανοποιεί κανονιστικές απαιτήσεις, αυτό θα αντικατοπτρίζεται στην ιεράρχηση προτεραιοτήτων. □ Οφέλη του όλου συστήµατος: Τα οφέλη του όλου συστήµατος περιλαµβάνουν βελτιωµένη εξυπηρέτηση πελατών για αρκετές οµάδες πελατών. Θα δοθεί µεγαλύτερη προτεραιότητα στις οµάδες πελατών που θεωρούνται κρίσιµες, αλλά όσο µεγαλύτερη είναι η επηρεαζόµενη οµάδα πελατών τόσο µεγαλύτερο θα είναι το όφελος □ Εξοικονόµηση κόστους/χρόνου: Οι εκτιµήσεις εξοικονόµησης κόστους και/ή χρόνου περιλαµβάνουν την δαπάνη χρόνου του προσωπικού, την εξοικονόµηση χρόνου των πελατών, την δηµιουργία εσόδων και τις άµεσες µειώσεις προϋπολογισµού/κόστους. □ Μείωση κινδύνων: Ως αποτέλεσµα ενός έργου, οι πληροφορίες και/ή οι υπηρεσίες θα αποτρέψουν την απώλεια εσόδων και/ή την µη συµµόρφωση µε πολιτικές, νοµικές και ελεγκτικές απαιτήσεις. Το επόµενο στάδιο είναι η διαδικασία σχεδιασµού, που υποδεικνύει και παρακολουθεί το ακριβές χρονοδιάγραµµα των εργαλείων ασφάλειας και την υλοποίηση των διαδικασιών. Μια βασική ερώτηση, σχεδόν σε κάθε υλοποίηση, είναι αν οι ενδοεπιχειρησιακοί πόροι επαρκούν για να εκπληρώσετε το σχέδιο υλοποίησης. Με άλλα λόγια, ενδεχοµένως να είναι απαραίτητη η λήψη απόφασης είτε για την εσωτερική είτε για την εξωτερική ανάθεση της σχετικής εργασίας υλοποίησης και διαχείρισης.

ENISA 32 ∆ιαχείριση Κινδύνων 13/02/2007

5. Κατευθυντήριες γραµµές αυτοαξιολόγησης µε δύο παραδείγµατα

Σε αυτό κεφάλαιο, θα παρουσιαστεί µια πιο λεπτοµερής ανάλυση των τεσσάρων φάσεων σε λογικά στάδια. Αυτό θα βοηθήσει τις ΜΜΕ: (1) να προσδιορίσουν το προφίλ κινδύνων του οργανισµού τους, (2) να προσδιορίσουν τους κρίσιµους πόρους που είναι ανάγκη να διασφαλιστούν, (3) να επιλέξουν ελέγχους και λύσεις για βελτιωµένη ασφάλεια και, εν τέλει, (4) να αναπτύξουν σχέδια περαιτέρω βελτίωσης. Ωστόσο, ενέργειες και λύσεις που µπορεί να εφαρµοστούν στις ΜΜΕ δεν αφορούν αποκλειστικά και δεν περιορίζονται σε αυτές που παρέχονται στο παρόν. Για µια ακόµη φορά, οι οργανισµοί ενθαρρύνονται σθεναρά να ακολουθούν τις κατευθυντήριες γραµµές και να τηρούν τις ορθές πρακτικές που συµπεριλαµβάνονται σε αυτήν τη µέθοδο µόνο ως βραχυπρόθεσµο σχέδιο, επιδιώκοντας την γρήγορη και αποτελεσµατική προστασία κρίσιµων και καθοριστικών συστατικών στοιχείων των επιχειρήσεών τους. Ωστόσο, η διαδικασία αυτή δεν αντικαθιστά µια ολοκληρωµένη και ενδελεχή προσέγγιση εκτίµησης κινδύνων, η οποία συνίσταται θερµά ως βάση για µια µακροπρόθεσµη στρατηγική διαχείρισης κινδύνων. Πριν επιχειρήσουµε να χρησιµοποιήσουµε τη µέθοδο, οι ΜΜΕ είναι ανάγκη να κατανοήσουν τις ακόλουθες τρεις µοναδικές πτυχές αυτής της µεθόδου: □ Μια µικρή διεπιστηµονική οµάδα ανάλυσης τριών έως πέντε ατόµων διαχειρίζεται την διαδικασία εκτίµησης κινδύνων. Τα µέλη της οµάδας ανάλυσης πρέπει να διαθέτουν, συλλογικά, ευρεία αντίληψη για τις επιχειρηµατικές διαδικασίες και τις διαδικασίες ασφάλειας του οργανισµού, σε τέτοιο βαθµό επάρκειας ώστε να είναι σε θέση να διεξάγουν όλες τις δραστηριότητες εκτίµησης κινδύνων. Γι’ αυτό το λόγο, η µέθοδος δεν απαιτεί επίσηµα εργαστήρια συλλογής δεδοµένων για την έναρξη της αξιολόγησης. □ Η µέθοδος περιλαµβάνει µια περιορισµένη διερεύνηση της υποδοµής των πληροφορικών συστηµάτων. Από τη στιγµή που οι µικροί οργανισµοί συχνά προβαίνουν σε εξωτερική ανάθεση των υπηρεσιών και λειτουργιών ΤΠ που τους αφορούν, κατά κανόνα δεν έχουν αναπτύξει οργανωτικές ικανότητες για τη διαχείριση και την ερµηνεία των αποτελεσµάτων των εργαλείων εκτίµησης ευπάθειας. Ωστόσο, η έλλειψη οργανωτικής ικανότητας για την διαχείριση τέτοιων εργαλείων δεν αποκλείει έναν οργανισµό από τη εδραίωση µιας στρατηγικής για την προστασία των πληροφοριών του. □ Αντί να χρησιµοποιεί δεδοµένα ευπάθειας για τη βελτίωση της άποψής του σχετικά µε τις τρέχουσες πρακτικές ασφάλειας, ένας οργανισµός που διενεργεί µία αξιολόγηση εξετάζει τις εφαρµοζόµενες διαδικασίες προκειµένου να διαµορφώσει και να διατηρήσει την υποδοµή των πληροφορικών συστηµάτων του. Το έγγραφο διαρθρώνεται σε φάσεις και στάδια σύµφωνα µε την δοµή των οικοδοµικών τετραγώνων. Παρέχονται δύο παραδείγµατα για κάθε φάση. Τα παραδείγµατα χρησιµοποιούν τα παρακάτω εταιρικά σενάρια: □ Εταιρία στο παράδειγµα Α. Στο παράδειγµα Α, εξετάζουµε την ειδική περίπτωση µιας µεσαίου µεγέθους εταιρίας, η οποία παρέχει υπηρεσίες υγειονοµικής περίθαλψης µέσω ηλεκτρονικής πρόσβασης, παρέχοντας ιατρική υποστήριξη µέσω του διαδικτύου σε γιατρούς που χρειάζονται συµβουλές για τους ασθενείς τους και πληροφορίες σχετικά µε πρόσφατες προόδους στην ιατρική. Στο πλαίσιο αυτό, η βάση δεδοµένων που υποστηρίζει την εφαρµογή, αποθηκεύει κρίσιµα και εµπιστευτικά δεδοµένα προσωπικού χαρακτήρα. Η εταιρεία απασχολεί 100 άτοµα και διαθέτει τρία τµήµατα, το τµήµα ιατρικής και φαρµακευτικής υποστήριξης, το τµήµα ιατρικής επιστήµης και το τµήµα διαχείρισης, το οποίο περιλαµβάνει δραστηριότητες που αφορούν το ανθρώπινο δυναµικό και τον χρηµατοοικονοµικό έλεγχο.

ENISA 33 ∆ιαχείριση Κινδύνων 13/02/2007

□ Εταιρία στο παράδειγµα B. Στο παράδειγµα Β, η εταιρεία είναι µία δικηγορική εταιρία µικρού µεγέθους. Σ’ αυτήν την περίπτωση, τα συστήµατα ΤΠ χρησιµοποιούνται ευρέως για αποθήκευση πληροφοριών σχετικά µε τις υποθέσεις της εταιρίας, την ανταλλαγή µηνυµάτων ηλεκτρονικού ταχυδροµείου, την προετοιµασία και επεξεργασία των απαραίτητων εγγράφων. Η εταιρεία απασχολεί πέντε δικηγόρους και ένα/µία γραµµατέα.

Παρέχονται επίσης σχήµατα (διαγράµµατα ροής εργασίας) για κάθε φάση και υποδείξεις υλοποίησης για κάθε στάδιο στα περιγεγραµµένα µε διακοπτόµενες γραµµές πλαίσια για κάθε µία από τις επικείµενες περιγραφές φάσης.

ENISA 34 ∆ιαχείριση Κινδύνων 13/02/2007

Φάση 1 – Επιλέξτε το Προφίλ Κινδύνων

Η οµάδα ανάλυσης λαµβάνει υπόψη της τις πτυχές επιχειρηµατικών κινδύνων που αφορούν στην προστασία πληροφοριών, οι οποίες µπορούν: (α) να επηρεάσουν άµεσα ή έµµεσα ή να βλάψουν τη φήµη και την εµπιστοσύνη των πελατών, (β) να έχουν ως αποτέλεσµα τη νοµική και ρυθµιστική µη συµµόρφωση, (γ) να επιφέρουν οικονοµική απώλεια και (δ) να µειώσουν την παραγωγικότητα. Η οµάδα, στην συνέχεια, επιλέγει το κατάλληλο επίπεδο κινδύνων για κάθε περιοχή κινδύνων µε τη χρήση ενός πίνακα αξιολόγησης προφίλ κινδύνων. Οι συγκεκριµένες περιοχές είναι οι ακόλουθες: νοµικών και ρυθµιστικών κινδύνων, κινδύνων για την παραγωγικότητα, την οικονοµική σταθερότητα, την φήµη και απώλεια εµπιστοσύνης πελατών. Όπως παρουσιάζεται στο σχήµα 3, η φάση περιλαµβάνει δύο στάδια.

Σχήµα 3: Φάση 1 – Ροή εργασίας επιλογής προφίλ κινδύνων

Για τον προσδιορισµό του τρέχοντος ή πιθανού επιπέδου κινδύνων, τα µέλη της οµάδας ανάλυσης πρέπει να επισηµάνουν την περιοχή κινδύνων και να διαβάσουν την περιγραφή σε κάθε στήλη. Επιλέγονται οι περιοχές κινδύνων που είναι πιο κοντά στο προφίλ της επιχείρησής τους. Η διαδικασία ακολουθείται για κάθε περιοχή κινδύνων. Στο τέλος, πρέπει να υπάρχει ένας ΠΙΝΑΚΑΣ που επισηµαίνει το εφαρµόσιµο επίπεδο κινδύνου σε κάθε περιοχή κινδύνων.

Παράδειγµα Α. (Προφίλ Υψηλών Κινδύνων)

Στο παράδειγµα Α, η οµάδα χρησιµοποιεί τον πίνακα αξιολόγησης προφίλ κινδύνων προκειµένου να προσδιορίσει το γενικό πλαίσιο κινδύνων της εταιρίας. Μ’ αυτόν τον τρόπο, η οµάδα προσδιορίζει ένα επίπεδο υψηλών κινδύνων (που επισηµαίνεται µε κόκκινο χρώµα) στην περιοχή νοµικών και ρυθµιστικών κινδύνων εφόσον η επιχείρηση χειρίζεται πληροφορίες ευαίσθητης και προσωπικής φύσεως. Ταυτόχρονα, διαπιστώνει επίπεδο υψηλών κινδύνων στην παραγωγικότητα εφόσον απασχολεί 100 άτοµα, ένα επίπεδο µεσαίων κινδύνων (που επισηµαίνεται µε πορτοκαλί χρώµα) στην οικονοµική σταθερότητα και ένα επίπεδο χαµηλών κινδύνων (σηµειώνεται µε µπλε) στη φήµη και την απώλεια εµπιστοσύνης πελατών, όπως παρουσιάζεται στον ακόλουθο πίνακα αξιολόγησης προφίλ κινδύνων.

ENISA 35 ∆ιαχείριση Κινδύνων 13/02/2007

Περιοχές Υψηλού Επιπέδου Μεσαίου Επιπέδου Χαµηλού Επιπέδου κινδύνων

Νοµικών και Η επιχείρηση χειρίζεται Ηεπιχείρηση χειρίζεται τις Η επιχείρηση δεν χειρίζεται ρυθµιστικών πληροφορίες ευαίσθητης και πληροφορίες προσωπικής δεδοµένα προσωπικού προσωπικής φύσεως των αλλά όχι ευαίσθητης φύσεως χαρακτήρα εκτός από εκείνα των πελατών των πελατών όπως ορίζεται ατόµων που απασχολούνται σε συµπεριλαµβανοµένων των στην νοµοθεσία της ΕΕ περί αυτόν. ιατρικών δεδοµένων και των προστασίαςτων δεδοµένων.

προσωπικών δεδοµένων κρίσιµης σηµασίας όπως ορίζεται στην νοµοθεσία της ΕΕ περίπροστασίας των δεδοµένων.

Παραγωγι- Η επιχείρηση απασχολεί Ηεπιχείρηση απασχολεί Η επιχείρηση απασχολεί κότητας περισσότερους από 100 περισσότερους από 50 λιγότερους από 10 εργαζόµενους, εργαζόµενους, οι οποίοι είναι εργαζόµενους, οι οποίοι είναι οι οποίοι είναι υποχρεωµένοι υποχρεωµένοι καθηµερινά να υποχρεωµένοι καθηµερινά να καθηµερινά να έχουν πρόσβαση έχουν πρόσβαση σε έχουν πρόσβαση σε σε εφαρµογές και υπηρεσίες της εφαρµογές και υπηρεσίες της εφαρµογές και υπηρεσίες της επιχείρησης. επιχείρησης. επιχείρησης.

Οικονοµικής Τα ετήσια έσοδα υπερβαίνουν τα Τα ετήσια έσοδα του Τα ετήσια έσοδα του οργανισµού σταθερότητας 25 εκατ. ευρώ ή/και οι οργανισµού δεν δεν υπερβαίνουν τα 5 εκατ. ευρώ. οικονοµικές συναλλαγές µε υπερβαίνουν τα 25 εκατ. τρίτους ή πελάτες λαµβάνουν ευρώ. χώρα ως τµήµα της επιχειρηµατικής δραστηριότητας ως συνήθης διαδικασία.

Φήµης και Η µη διαθεσιµότητα ή η ποιότητα Η µη διαθεσιµότητα ή η Η µη διαθεσιµότητα ή η απώλειας των υπηρεσιών έχουν άµεση ποιότητα των υπηρεσιών ποιότητα των υπηρεσιών δεν εµπιστοσύ- επίδραση στις επιχειρηµατικές έχουν έµµεση επίδραση στις έχουν άµεση ή έµµεση νης δραστηριότητες του οργανισµού επιχειρηµατικές επίδραση στις επιχειρηµατικές πελατών ή/και πάνω από το 70% της δραστηριότητες του δραστηριότητες του βάσης πελατών έχουν οργανισµού και/ήκάτω του 5% οργανισµού ή καταλήγουν σε ηλεκτρονική πρόσβαση σε της βάσης πελατών έχουν απώλεια εσόδων. προϊόντα και υπηρεσίες της ηλεκτρονική πρόσβαση σε επιχείρησης. προϊόντα και υπηρεσίες της επιχείρησης.

Πίνακας 9: Πίνακας αξιολόγησης προφίλ κινδύνων - Παράδειγµα A

Κατόπιν, υπολογίζεται το προφίλ επιχειρηµατικών κινδύνων. Οι περιοχές κινδύνων εκφράζουν ολόκληρο το συνολικό πλαίσιο επιχειρηµατικών κινδύνων. Συνίσταται ότι το προφίλ κινδύνων

πρέπει να ισοδυναµεί µε το υψηλότερο επίπεδο που έχει προσδιοριστεί στις δευτερεύουσες περιοχές κινδύνων στον πίνακα κινδύνων.

Ο παρακάτω πίνακας απεικονίζει τα επίπεδα προσδιορισµένων κινδύνων στις προκαθορισµένες περιοχές κινδύνων και δείχνει πού πρέπει να επικεντρώσει τις προσπάθειές του ο οργανισµός για την εφαρµογή των κατάλληλων ελέγχων ασφάλειας. Ο πίνακας µπορεί να χρησιµοποιηθεί επίσης για την ιεράρχηση προτεραιοτήτων. Τα υψηλά επίπεδα κινδύνων υποδεικνύουν την επιτακτική ανάγκη για βελτίωση ενώ τα χαµηλά επίπεδα κινδύνων υπογραµµίζουν τις ενέργειες που πρέπει να ληφθούν υπόψη για µελλοντική βελτίωση.

ENISA 36 ∆ιαχείριση Κινδύνων 13/02/2007

Περιοχές κινδύνων Επίπεδο Προφίλ κινδύνων κινδύνων

Νοµικών και ρυθµιστικών Υψηλό Υψηλό Παραγωγικότητας Υψηλό Οικονοµικής σταθερότητας Μεσαίο Φήµης και απώλειας εµπιστοσύνης πελατών Χαµηλό

Πίνακας 10: Προφίλ κινδύνων οργανισµού – παράδειγµα A

Παράδειγµα B. (Προφίλ Μεσαίων Κινδύνων)

Στο παράδειγµα B, η οµάδα χρησιµοποιεί τον Πίνακα Αξιολόγησης Προφίλ Κινδύνων για την αναγνώριση του περιβάλλοντος κινδύνων της εταιρείας. Η οµάδα ανάλυσης ενεργεί αναγνωρίζοντας ένα χαµηλό επίπεδο κινδύνων (σηµειώνεται µε µπλε) στην νοµική και ρυθµιστική περιοχή εφόσον η εταιρεία δεν χειρίζεται προσωπικά δεδοµένα εκτός από εκείνα των υπαλλήλων του οργανισµού, ένα χαµηλό επίπεδο κινδύνων στην παραγωγικότητα (σηµειώνεται µε µπλε), ένα χαµηλό επίπεδο κινδύνων (σηµειώνεται µε µπλε) στην οικονοµική σταθερότητα και ένα µεσαίο επίπεδο κινδύνων (σηµειώνεται µε πορτοκαλί) στην φήµη και την απώλεια εµπιστοσύνης πελατών, όπως παρουσιάζεται στον παρακάτω πίνακα αξιολόγησης προφίλ κινδύνων.

ENISA 37 ∆ιαχείριση Κινδύνων 13/02/2007

Περιοχές Κινδύνων Υψηλού επιπέδου Μεσαίου επιπέδου Χαµηλού επιπέδου

Νοµικής και Η επιχείρηση χειρίζεται Η επιχείρηση χειρίζεται τις Η επιχείρηση ∆εν χειρίζεται κανονιστικής πληροφορίες ευαίσθητης και πληροφορίες προσωπικής δεδοµένα προσωπικού συµµόρφωσης προσωπικής φύσεως των αλλά όχι ευαίσθητης φύσεως χαρακτήρα εκτός από εκείνα πελατών των πελατών όπως ορίζεται των ατόµων που συµπεριλαµβανοµένων των στην νοµοθεσία της ΕΕ περί απασχολούνται σε αυτόν. ιατρικών δεδοµένων και των προστασίας των δεδοµένων. προσωπικών δεδοµένων κρίσιµης σηµασίας όπως ορίζεται στην νοµοθεσία της ΕΕ περί προστασίαςτων δεδοµένων.

Παραγωγικότητα Η επιχείρηση απασχολεί Η επιχείρηση απασχολεί Η επιχείρηση απασχολεί περισσότερους από 100 περισσότερους από 50 λιγότερους από 10 εργαζόµενους, οι οποίοι είναι εργαζόµενους, οι οποίοι είναι εργαζόµενους, οι οποίοι είναι υποχρεωµένοι καθηµερινά να υποχρεωµένοι καθηµερινά να υποχρεωµένοι καθηµερινά έχουν πρόσβαση σε έχουν πρόσβαση σε να έχουν πρόσβαση σε εφαρµογές και υπηρεσίες της εφαρµογές και υπηρεσίες της εφαρµογές και υπηρεσίες της επιχείρησης. επιχείρησης. επιχείρησης.

Οικονοµική Τα ετήσια έσοδα του Τα ετήσια έσοδα δεν Τα ετήσια έσοδα δεν σταθερότητα οργανισµού υπερβαίνουν τα υπερβαίνουν τα 25 εκατ. υπερβαίνουν τα 5 εκατ. 25 εκατ. ευρώ ή/και οι ευρώ. ευρώ. οικονοµικές συναλλαγές µε τρίτους ή πελάτες λαµβάνουν χώρα ως τµήµα της επιχειρηµατικής δραστηριότητας ως συνήθης διαδικασία.

Φήµη και απώλεια Η µη διαθεσιµότητα ή η Η µη διαθεσιµότητα ή η Η µη διαθεσιµότητα ή η εµπιστοσύνης ποιότητα των υπηρεσιών ποιότητα των υπηρεσιών ποιότητα των υπηρεσιών δεν πελατών έχουν άµεση επίδραση στις έχουν έµµεση επίδραση έχουν άµεση ή έµµεση επιχειρηµατικές στις επιχειρηµατικές επίδραση στις επιχειρηµατικές δραστηριότητες του δραστηριότητες του δραστηριότητες του οργανισµού ή/και πάνω από οργανισµού και/ή κάτω του οργανισµού ή καταλήγουν σε το 70% της βάσης πελατών 5% της βάσης πελατών απώλεια εσόδων. έχουν ηλεκτρονική πρόσβαση έχουν ηλεκτρονική σε προϊόντα και υπηρεσίες πρόσβαση σε προϊόντα και της επιχείρησης. υπηρεσίες της επιχείρησης.

Πίνακας 11:Πίνακας αξιολόγησης προφίλ κινδύνων - Παράδειγµα B

Κατόπιν, υπολογίζεται το προφίλ επιχειρηµατικών κινδύνων. Οι περιοχές κινδύνων εκφράζουν ολόκληρο το συνολικό πλαίσιο επιχειρηµατικών κινδύνων. Συνίσταται ότι το προφίλ κινδύνων

πρέπει να ισοδυναµεί µε το υψηλότερο επίπεδο που έχει προσδιοριστεί στις δευτερεύουσες περιοχές κινδύνων στον πίνακα κινδύνων.

Ο παρακάτω πίνακας απεικονίζει τα επίπεδα προσδιορισµένων κινδύνων στις προκαθορισµένες περιοχές κινδύνων και δείχνει που πρέπει να επικεντρώσει τις προσπάθειές του ο οργανισµός για την εφαρµογή των κατάλληλων ελέγχων ασφάλειας. Ο πίνακας µπορεί να χρησιµοποιηθεί επίσης για την ιεράρχηση προτεραιοτήτων. Τα υψηλά επίπεδα κινδύνων υποδεικνύουν την επιτακτική ανάγκη για βελτίωση ενώ τα χαµηλά επίπεδα κινδύνων µπορούν να θεωρηθούν ως µια παρατήρηση ασφάλειας, που πρέπει να ληφθεί υπόψη για µελλοντική βελτίωση.

ENISA 38 ∆ιαχείριση Κινδύνων 13/02/2007

Περιοχές κινδύνων Επίπεδο Προφίλ κινδύνων κινδύνων

Νοµικών και ρυθµιστικών Χαµηλό Μεσαίο Παραγωγικότητας Χαµηλό Οικονοµική σταθερότητας Χαµηλό Φήµης και απώλειας εµπιστοσύνης πελατών Μεσαίο

Πίνακας 12: Προφίλ κινδύνων Οργανισµού – Παράδειγµα B

Φάση 2 - Προσδιορίστε τους κρίσιµους πόρους

Η Φάση 2 απαιτεί αποφάσεις που διαµορφώνουν τα δευτερεύοντα στοιχεία της αξιολόγησης— την διαδικασία επιλογή των κρίσιµων πόρων της επιχείρησης. Ανάλογα µε το µέγεθος του φορέα, ο αριθµός των πόρων πληροφοριών που προσδιορίζονται κατά την διάρκεια αυτής της φάσης, θα µπορούσε να υπερβεί µ’ ευκολία τους εκατό. Προκειµένου να καταστεί διαχειρίσιµη η ανάλυση, οι ΜΜΕ είναι ανάγκη να περιορίζουν το επίκεντρο της αξιολόγησης, επιλέγοντας µικρό αριθµό πόρων που είναι οι πλέον κρίσιµοι για την επίτευξη της αποστολής και την κάλυψη των επιχειρηµατικών στόχων του φορέα. Αυτοί είναι οι µόνοι πόροι που θα αναλυθούν κατά τις µετέπειτα δραστηριότητες. Όπως απεικονίζεται στο σχήµα 4, η φάση αυτή περιλαµβάνει τρία στάδια.

Σχήµα 4: Φάση 2 – Προσδιορισµός ροής εργασίας των κρίσιµων πόρων

Στάδιο 1. Επιλέξτε τους πέντε κρισιµότερους πόρους του οργανισµού σας

Όταν επιλέγονται κρίσιµοι πόροι, οι οµάδες δεν περιορίζονται στο να επιλέξουν µόνο πέντε. Κανονικά, πέντε πόροι είναι αρκετοί για να δώσουν την δυνατότητα στους φορείς να αναπτύξουν ένα ικανοποιητικό σύνολο σχεδίων µετριασµού κατά την διάρκεια της φάσης 4. Ωστόσο, τα µέλη της οµάδας ανάλυσης πρέπει να χρησιµοποιούν την κρίση τους για το εάν θα χρησιµοποιήσουν περισσότερους ή λιγότερους από πέντε. Κατά την διάρκεια της διαδικασίας επιλογής των κρίσιµων πόρων, τα µέλη της οµάδας πρέπει να εξετάσουν ποιοι πόροι θα έχουν δυσµενή επίδραση στον φορέα, σ’ ένα από τα ακόλουθα σενάρια: □ ∆ηµοσιοποίηση πληροφοριών σε µη εξουσιοδοτηµένα άτοµα

ENISA 39 ∆ιαχείριση Κινδύνων 13/02/2007

□ Τροποποίηση των πληροφοριών χωρίς εξουσιοδότηση □ Απώλεια ή καταστροφή του πόρου □ ∆ιακοπτόµενη πρόσβαση στον πόρο ή τις αποθηκευµένες πληροφορίες Σε περιπτώσεις όπου οι κρίσιµοι πόροι είναι δύσκολο να προσδιοριστούν, οι οµάδες πρέπει να λάβουν υπόψη τους τις επιχειρηµατικές λειτουργίες/τοµείς εντός του οργανισµού. Αυτές µπορεί να είναι διαφορετικά έργα, οµάδες εργασίας (οµάδες ατόµων µε διαφορετική περιγραφή εργασίας) ή ακόµα και ξεχωριστά οργανωτικά τµήµατα (τµήµα ανθρώπινου δυναµικού, λογιστικό τµήµα, τµήµα εµπορίας, τµήµα πωλήσεων κτλ.). Στην συνέχεια, αυτοί οι πόροι πρέπει να συνταχθούν υπό την µορφή καταλόγου κατά επίπεδο σηµασίας στην επιχειρηµατική διαδικασία. Αφού προσδιοριστούν οι τοµείς που απαιτούν διασφάλιση ή αναδιοργανωθούν οι πόροι του φορέα, το επόµενο στάδιο είναι να συνταχθούν υπό την µορφή καταλόγου όλοι οι πόροι σύµφωνα µε τον αντίκτυπό τους στην επιχειρηµατική διαδικασία. Ένας πιο εφικτός τρόπος για να πραγµατοποιηθεί αυτό, είναι να οµαδοποιήσουµε τους πόρους κατά τµήµα ή λειτουργία οργανωτικής δοµής. Ο κινητήριος µοχλός κατά τον προσδιορισµό των κρίσιµων πόρων είναι η βαρύτητα (κρισιµότητα) των πληροφοριών που επεξεργάζονται ή αποθηκεύονται από αυτόν. Μέσα από την διεξαγωγή της ανάλυσης διάσπασης, τα µέλη της οµάδας µπορούν εύκολα να προσδιορίσουν που και πως αποθηκεύονται ή χρησιµοποιούνται οι κρίσιµες πληροφορίες.

Στάδιο 2. Καταγράψτε το σκεπτικό για την επιλογή κάθε κρίσιµου πόρου

Ενώ επιλέγουµε τους κρίσιµους πόρους στο στάδιο 1, αναλύεται ένας αριθµός ζητηµάτων που σχετίζονται µε αυτούς τους πόρους. Σ’ αυτό το στάδιο, το σκεπτικό για την επιλογή καθενός κρίσιµου πόρου τεκµηριώνεται για µελλοντική παραποµπή κατά την διαδικασία λήψης αποφάσεων. Επιπρόσθετα, κατανοώντας γιατί ένας πόρος είναι κρίσιµος µπορεί να επιτρέψει ευκολότερα τον ορισµό των απαιτήσεων διασφάλισης κατά το επόµενο στάδιο. Για κάθε κρίσιµο πόρο, οι ακόλουθες ερωτήσεις πρέπει να ληφθούν υπόψη και οι απαντήσεις να καταχωρίζονται: □ Γιατί είναι κρίσιµος ο πόρος για την επίτευξη της αποστολής του οργανισµού; □ Ποιος έχει τον έλεγχό του; □ Ποιος είναι υπεύθυνος γι’ αυτόν; □ Ποιος τον χρησιµοποιεί; □ Πώς χρησιµοποιείται; Αυτές οι ερωτήσεις επικεντρώνονται στον τρόπο µε τον οποίο χρησιµοποιούνται οι πόροι και στο γιατί είναι σηµαντικοί. Αν δεν παρέχονται απαντήσεις σ’ όλα αυτά τα ερωτήµατα, πρέπει να εντοπιστούν και να συµπεριληφθούν στην οµάδα ανάλυσης άτοµα εκείνα του οργανισµού που µπορούν να παράσχουν τις απαντήσεις. Οι πληροφορίες που εξάγονται από τις απαντήσεις σε αυτά τα ερωτήµατα θα είναι χρήσιµες αργότερα σ’ αυτή την διαδικασία. Από αυτή την άποψη, οι πληροφορίες που συγκεντρώνονται σε αυτό το στάδιο πρέπει να καταχωρίζονται προσεκτικά.

Στάδιο 3. Αναγνωρίστε τις απαιτήσεις διασφάλισης ενός κρίσιµου πόρου

Γενικά, όταν περιγράφουµε µια απαίτηση διασφάλισης για έναν πόρο, απαιτείται να κατανοηθεί ποια πτυχή του πόρου είναι σηµαντική. Για πόρους πληροφοριών, οι απαιτήσεις διασφάλισης θα επικεντρωθούν στην εµπιστευτικότητα, την ακεραιότητα και την διαθεσιµότητα των πληροφοριών. Οι απαιτήσεις διασφάλισης µπορούν να ποικίλουν για διαφορετικές κατηγορίες πόρων στο πλαίσιο µιας ΜΜΕ, αλλά η προσεκτική επιλογή απαιτήσεων είναι ζωτικής σηµασίας για την εργασία επιλογής ελέγχων που ακολουθεί. Με άλλα λόγια, οι απαιτήσεις υψηλής διαθεσιµότητας απαιτούν ελέγχους υψηλής διαθεσιµότητας κτλ. Οι οµάδες ανάλυσης χρησιµοποιούν τα παρεχόµενα κριτήρια επιλογής απαιτήσεων προκειµένου να προσδιορίσουν τις πιο σηµαντικές απαιτήσεις διασφάλισης. Οι απαιτήσεις διασφάλισης των πόρων

ENISA 40 ∆ιαχείριση Κινδύνων 13/02/2007

θα χρησιµοποιηθούν αργότερα κατά την επιλογή καρτών ελέγχου πόρων. Τα κριτήρια αξιολόγησης των απαιτήσεων διασφάλισης έχουν αναπτυχθεί ως ένας απλός και πρακτικός οδηγός για την αξιολόγηση των απαιτήσεων διασφάλισης όσον αφορά την εµπιστευτικότητα, την ακεραιότητα και την διαθεσιµότητα των επιλεγµένων κρίσιµων πόρων. Η αξιολόγηση υπογραµµίζει την σηµασία των χαρακτηριστικών διασφάλισης των πόρων και υποδεικνύει τους κατάλληλους ελέγχους για την προστασία τους. Ως αποτέλεσµα αυτής της διαδικασίας, οι οµάδες ανάλυσης πρέπει να διαθέτουν έναν πίνακα υπό τη

µορφή καταλόγου κρίσιµων πόρων παράλληλα µε µια σύντοµη περιγραφή της σηµασίας τους για την επίτευξη της επιχειρηµατικής αποστολής της επιχείρησης, τα βασικά στοιχεία

της και τις απαιτήσεις διασφάλισης. Για όλα, και τα τρία στάδια που αναλύθηκαν παραπάνω, µπορούν να χρησιµοποιηθούν οι πίνακες της ενότητας 4.3.2 για τον προσδιορισµό των συναφών πόρων και των απαιτήσεών τους (βλέπε Πίνακας 3 και Πίνακας 4).

ENISA 41 ∆ιαχείριση Κινδύνων 13/02/2007 Παράδειγµα A. (Προφίλ κινδύνων: υψηλού επιπέδου, κρίσιµος πόρος: εφαρµογή - Φάση 2.)

[Στάδιο 1] Στο παράδειγµα A, η Εφαρµογή Ιστού αναγνωρίζεται ως ο κρισιµότερος πόρος, που παρέχει ηλεκτρονική υποστήριξη στους πελάτες – τους γιατρούς. Η εν λόγω εφαρµογή είναι ουσιώδης για την επιχείρηση, καθώς αντιπροσωπεύει το πλέον σηµαντικό στοιχείο των παρεχόµενων υπηρεσιών και εποµένως, επιλέγεται ως ο κρισιµότερος πόρος. [Στάδιο 2] Στο επόµενο στάδιο, τα µέλη της οµάδας τεκµηριώνουν τα στοιχεία που συνιστούν τον πόρο και το σκεπτικό για την επιλογή τους. Με αυτόν τον τρόπο, εν τέλει προσδιορίζουν την Βάση ∆εδοµένων που αποθηκεύει τις πληροφορίες των πελατών, το τµήµα δικτύου που υποστηρίζει την συνδεσιµότητα µε εσωτερικά και εξωτερικά δίκτυα, τον εξυπερετητή ιστού και τους τοίχους προστασίας ως βασικά συστατικά στοιχεία του πόρου. [Στάδιο 3] Στη συνέχεια, προσδιορίζονται οι απαιτήσεις διασφάλισης. Χρησιµοποιώντας τον ακόλουθο πίνακα (Πίνακας 13), οι οµάδες αναγνωρίζουν τα πλαίσια που προσαρµόζονται στις απαιτήσεις τους. Στο παράδειγµα Α, η οµάδα επιλέγει να έχει η βάση δεδοµένων απαιτήσεις εµπιστευτικότητας εφόσον τα αποθηκευµένα δεδοµένα αφορούν τους πελάτες της εταιρείας. Επιλέγουν το δίκτυο να έχει απαιτήσεις διαθεσιµότητας και εµπιστευτικότητας, εφόσον το δίκτυο µεταδίδει πληροφορίες που πρέπει να παραµείνουν άθικτες και απόρρητες για την ολοκλήρωση των συναλλαγών ή της παροχής ενηµέρωσης.

Πόροι Εµπιστευτικότητα Ακεραιότητα ∆ιαθεσιµότητα

Συστήµατα Ένα σύστηµα µε απαιτήσεις Συστήµατα µε απαιτήσεις Οι απαιτήσεις διαθεσιµότητας εµπιστευτικότητας συχνά ακεραιότητας κατά κανόνα ικανοποιούνται σε συστήµατα χειρίζεται εταιρικές πληροφορίες χειρίζονται συναλλαγές που είναι ζωτικής σηµασίας (έρευνας και ανάπτυξης) χρηµατοοικονοµικής φύσεως, την για καθηµερινές χαρακτηρισµένες ως προµήθεια αγαθών ή το επιχειρηµατικές λειτουργίες ιδιόκτητες, πληροφορίες βάσης ηλεκτρονικό εµπόριο. και όπου ο χρόνος διακοπής πελατών, ευαίσθητα δεδοµένα λειτουργίας επισύρει συνήθως πελατών ιατρικής ή προσωπικής δαπάνες και έµµεσα έξοδα φύσεως. όσον αφορά την κατανοµή των πόρων.

∆ίκτυο Ένα δίκτυο µε απαιτήσεις Οι απαιτήσεις ακεραιότητας Οι απαιτήσεις διαθεσιµότητας εµπιστευτικότητας κατά κανόνα δικτύου είναι κατά κανόνα είναι ιδιαιτέρως απαραίτητες καλύπτει τις επικοινωνίες και την απαραίτητες όταν οι συναλλαγές όταν το δίκτυο ανταλλαγή πληροφοριών σε µη λαµβάνουν χώρα σε δηµόσια και χρησιµοποιείται ως τµήµα της ασφαλή και µη έµπιστα διαµοιρασµένα µητροπολιτικά εξυπηρέτησης πελατών ή για περιβάλλοντα. δίκτυα ή σε παρόχους την παροχή υπηρεσιών και τηλεπικοινωνιακών υπηρεσιών. την διάθεση προϊόντων.

Άνθρωποι Οι απαιτήσεις εµπιστευτικότητας Οι απαιτήσεις ακεραιότητας, όταν Οι απαιτήσεις διαθεσιµότητας ικανοποιούνται κατά κανόνα όταν αφορούν ανθρώπους, για ανθρώπινους πόρους είναι οι άνθρωποι χειρίζονται επιλαµβάνονται κοινών µυστικών ιδιαίτερα σηµαντικές όταν οργανωτικές ιδιόκτητες και όπως κλείδες κρυπτογράφησης αυτοί οι άνθρωποι αποτελούν απόρρητες πληροφορίες οι ή συνθηµατικά. Η γνώση αυτών κρίσιµους πόρους για οποίες όταν δηµοσιοποιηθούν των στοιχείων εισάγει απειλές, συνεχείς λειτουργίες που µπορούν να προκαλέσουν βλάβη που οφείλονται στον ανθρώπινο αφορούν στην παροχή στο εµπορικό σήµα και στην παράγοντα, και πρέπει να υπηρεσιών και την διάθεση βάση πελατών του οργανισµού. αντιµετωπιστούν µε ανάλογους προϊόντων. ελέγχους.

ENISA 42 ∆ιαχείριση Κινδύνων 13/02/2007

Εφαρµογές Οι εφαρµογές µε απαιτήσεις Οι εφαρµογές µε απαιτήσεις Οι απαιτήσεις εµπιστευτικότητας συχνά ακεραιότητας κατά κανόνα διαθεσιµότητας χειρίζονται εταιρικές χειρίζονται συναλλαγές ικανοποιούνται σε πληροφορίες (έρευνας και χρηµατοοικονοµικής φύσεως, εφαρµογές που είναι ανάπτυξης) χαρακτηρισµένες την προµήθεια αγαθών ή το ζωτικής σηµασίας για ως ιδιόκτητες, πληροφορίες ηλεκτρονικό εµπόριο. καθηµερινές βάσης πελατών, ευαίσθητα επιχειρηµατικές λειτουργίες δεδοµένα πελατών ιατρικής ή και όπου ο χρόνος προσωπικής φύσεως. διακοπής λειτουργίας επισύρει συνήθως δαπάνες και έµµεσα έξοδα όσον αφορά στην κατανοµή των πόρων.

Πίνακας 13:Πίνακας επιλογής απαιτήσεων διασφάλισης – Παράδειγµα A

Ως αποτέλεσµα της εν λόγω διαδικασίας, οι οµάδες ανάλυσης τεκµηριώνουν και συντάσσουν έναν πίνακα µε τους κρίσιµους πόρους, υπό τη µορφή καταλόγου παράλληλα µε το σκεπτικό για την επιλογή, τα βασικά στοιχεία του σκεπτικού και τις απαιτήσεις διασφάλισης για τις παρεχόµενες υπηρεσίες. Ο παρακάτω πίνακας περιέχει τα αποτελέσµατα του παραδείγµατος Α για την Φάση 1 (βλέπε Πίνακα 14).

Κρίσιµος πόρος Κατηγορία Συστατικά µέρη Απαιτήσεις Σκεπτικό επιλογής πόρου διασφάλισης

Εφαρµογή ηλεκτρονικού Εφαρµογή Βάση δεδοµένων Εµπιστευτικότητα Η εφαρµογή είναι εµπορίου Ακεραιότητα ουσιώδης για την Τοίχος επιχείρηση, καθώς προστασίας ∆ιαθεσιµότητα αντιπροσωπεύει το Τµήµα ∆ικτύου πιο σηµαντικό ∆ιακοµιστής στοιχείο της παροχής υπηρεσιών.

Πίνακας 14: Σκεπτικό απαιτήσεων διασφάλισης

Παράδειγµα B. (Προφίλ κινδύνων: µεσαίου επιπέδου, κρίσιµος πόρος: σύστηµα - Φάση 2.)

[Στάδιο 1] Στο παράδειγµα B, οι σταθµοί εργασίας αναγνωρίζονται ως ο κρισιµότερος πόρος που χρησιµοποιείται για την άσκηση καθηµερινών δραστηριοτήτων συµπεριλαµβανοµένης της αλληλογραφίας µε τους πελάτες, τις πληροφορίες που σχετίζονται µε υποθέσεις των πελατών και των βασικών λογιστικών πληροφοριών όσον αφορά στην τιµολόγηση και στους εισπρακτέους λογαριασµούς. [Στάδιο 2] Στο επόµενο στάδιο, τα µέλη της οµάδας τεκµηριώνουν τα στοιχεία που συνιστούν τον πόρο και το σκεπτικό για την επιλογή τους. Ως εκ τούτου, προσδιορίζουν τέσσερους σταθµούς εργασίας, το εσωτερικό δίκτυο και τον διακοµιστή αρχείων. [Στάδιο 3] Στη συνέχεια, προσδιορίζονται οι απαιτήσεις διασφάλισης. Χρησιµοποιώντας τον ακόλουθο πίνακα, οι οµάδες αναγνωρίζουν τα πλαίσια τα οποία προσαρµόζονται στις απαιτήσεις τους. Στο παράδειγµα B, η οµάδα επιλέγει τους σταθµούς εργασίας µε τις απαιτήσεις διαθεσιµότητας όπως εκείνους που χρησιµοποιούνται για τις καθηµερινές επιχειρηµατικές δραστηριότητες και που, πρέπει, εποµένως, να παραµένουν λειτουργικοί.

Κρίσιµοι πόροι Εµπιστευτικότητα Ακεραιότητα ∆ιαθεσιµότητα

Συστήµατα Ένα σύστηµα µε απαιτήσεις Συστήµατα µε απαιτήσεις Οι απαιτήσεις εµπιστευτικότητας συχνά ακεραιότητας κατά κανόνα διαθεσιµότητας χειρίζεται εταιρικές πληροφορίες χειρίζονται συναλλαγές ικανοποιούνται σε (έρευνας και ανάπτυξης) χρηµατοοικονοµικής φύσεως, την συστήµατα που είναι χαρακτηρισµένες ως προµήθεια αγαθών ή το ζωτικής σηµασίας για

ENISA 43 ∆ιαχείριση Κινδύνων 13/02/2007

ιδιόκτητες, πληροφορίες βάσης ηλεκτρονικό εµπόριο. καθηµερινές πελατών, ευαίσθητα δεδοµένα επιχειρηµατικές λειτουργίες πελατών ιατρικής ή προσωπικής και όπου ο χρόνος φύσεως. διακοπής λειτουργίας

επισύρει συνήθως δαπάνες και έµµεσα έξοδα όσον αφορά την κατανοµή των πόρων.

∆ίκτυο Ένα δίκτυο µε απαιτήσεις Οι απαιτήσεις ακεραιότητας Οι απαιτήσεις διαθεσιµότητας εµπιστευτικότητας κατά κανόνα δικτύου είναι κατά κανόνα είναι ιδιαιτέρως απαραίτητες καλύπτει τις επικοινωνίες και την απαραίτητες όταν οι συναλλαγές όταν το δίκτυο ανταλλαγή πληροφοριών σε µη λαµβάνουν χώρα σε δηµόσια και χρησιµοποιείται ως τµήµα της ασφαλή και µη έµπιστα διαµοιρασµένα µητροπολιτικά εξυπηρέτησης πελατών ή για περιβάλλοντα. δίκτυα ή σε παρόχους την παροχή υπηρεσιών και τηλεπικοινωνιακών υπηρεσιών. την διάθεση προϊόντων.

Άνθρωποι Οι απαιτήσεις εµπιστευτικότητας Οι απαιτήσεις ακεραιότητας, όταν Οι απαιτήσεις διαθεσιµότητας ικανοποιούνται κατά κανόνα όταν αφορούν ανθρώπους, για ανθρώπινους πόρους είναι οι άνθρωποι χειρίζονται επιλαµβάνονται κοινών µυστικών ιδιαίτερα σηµαντικές όταν οργανωτικές ιδιόκτητες και όπως κλείδες κρυπτογράφησης αυτοί οι άνθρωποι αποτελούν απόρρητες πληροφορίες οι ή συνθηµατικά. Η γνώση αυτών κρίσιµους πόρους για οποίες όταν δηµοσιοποιηθούν των στοιχείων εισάγει απειλές, συνεχείς λειτουργίες που µπορούν να προκαλέσουν βλάβη που οφείλονται στον ανθρώπινο αφορούν στην παροχή στο εµπορικό σήµα και στην παράγοντα, και πρέπει να υπηρεσιών και την διάθεση βάση πελατών του οργανισµού. αντιµετωπιστούν µε ανάλογους προϊόντων. ελέγχους.

Εφαρµογές Οι εφαρµογές µε απαιτήσεις Οι εφαρµογές µε απαιτήσεις Οι απαιτήσεις διαθεσιµότητας εµπιστευτικότητας συχνά ακεραιότητας κατά κανόνα ικανοποιούνται σε εφαρµογές χειρίζονται εταιρικές χειρίζονται συναλλαγές που είναι ζωτικής σηµασίας πληροφορίες (έρευνας και χρηµατοοικονοµικής φύσεως, την για καθηµερινές ανάπτυξης) χαρακτηρισµένες ως προµήθεια αγαθών ή το επιχειρηµατικές λειτουργίες ιδιόκτητες, πληροφορίες βάσης ηλεκτρονικό εµπόριο. και όπου ο χρόνος διακοπής πελατών, ευαίσθητα δεδοµένα λειτουργίας επισύρει συνήθως πελατών ιατρικής ή προσωπικής δαπάνες και έµµεσα έξοδα φύσεως. όσον αφορά στην κατανοµή των πόρων.

Πίνακας 15: Πίνακας επιλογής απαιτήσεων διασφάλισης – Παράδειγµα B

Ως αποτέλεσµα της εν λόγω διαδικασίας, οι οµάδες ανάλυσης τεκµηριώνουν και συντάσσουν έναν πίνακα µε τους κρίσιµους πόρους, υπό τη µορφή καταλόγου, παράλληλα µε το σκεπτικό επιλογής, τα βασικά στοιχεία του σκεπτικού και τις απαιτήσεις διασφάλισης για τις παρεχόµενες υπηρεσίες. Ο παρακάτω πίνακας περιέχει τα αποτελέσµατα του παραδείγµατος Β για την Φάση 3 (Πίνακας 16).

ENISA 44 ∆ιαχείριση Κινδύνων 13/02/2007

Κρίσιµος πόρος Τύπος πόρου Συστατικά µέρη Απαιτήσεις Σκεπτικό διασφάλισης επιλογής

Σταθµοί εργασίας Σύστηµα 4 Σταθµοί εργασίας ∆ιαθεσιµότητα Οι σταθµοί

εργασίας είναι Τµήµα δικτύου σηµαντικοί για την εκτέλεση ∆ιακοµιστής καθηµερινών δραστηριοτήτων στις οποίες συµπεριλαµβάνονται η αλληλογραφία µε τους πελάτες, οι πληροφορίες για τις υποθέσεις των πελατών και βασικές λογιστικές πληροφορίες που αφορούν στην τιµολόγηση και στους εισπρακτέους λογαριασµούς.

Πίνακας 16: Σκεπτικό απαιτήσεων διασφάλισης

ENISA 45 ∆ιαχείριση Κινδύνων 13/02/2007

Φάση 3 – Επιλέξτε τις Κάρτες Ελέγχου

Κατά την Φάση 3, τα µέλη της οµάδας ανάλυσης είναι σε θέση να «τραβήξουν» τις κάρτες ελέγχου που σχετίζονται µε τις ήδη καθορισµένες (στην φάση 1) εφαρµόσιµες περιοχές κινδύνων και τον αναλυτικό κατάλογο µε τους προσδιορισµένους κρίσιµους πόρους. Όπως απεικονίζεται στο σχήµα 5, η φάση αυτή περιλαµβάνει τρία στάδια.

Σχήµα 5: Φάση 3 – Ροή εργασίας επιλογής καρτών ελέγχου

Οι κάρτες ελέγχου περιέχουν ελέγχους από τον κατάλογο των πρακτικών που χρησιµοποιούνται στην προσέγγιση OCTAVE. Αυτός ο κατάλογος αποτελεί µια συλλογή καλών πρακτικών στρατηγικής και λειτουργικής διασφάλισης. Ένας οργανισµός που διενεργεί αξιολόγηση κινδύνων για την ασφάλεια των πληροφοριών αυτοαξιολογείται σε σχέση µε αυτόν τον κατάλογο πρακτικών. Ο κατάλογος χρησιµοποιείται ως µέτρο του τι πράττει ορθά ο οργανισµός, όσον αφορά την ασφάλεια, κατά την παρούσα περίοδο (τις τρέχουσες πρακτικές ασφάλειάς του) και τι δεν πράττει ορθά (τα τρωτά σηµεία της οργανωτικής δοµής του). Ο κατάλογος των πρακτικών χωρίζεται, σκόπιµα, σε δυο τύπους ελέγχου: τους οργανωτικούς ελέγχους και τους ελέγχους βάσει πόρων: □ Οι οργανωτικοί έλεγχοι επικεντρώνονται σε οργανωτικά ζητήµατα σε επίπεδο πολιτικής και παρέχουν ορθές πρακτικές γενικής διαχείρισης. Οι οργανωτικοί έλεγχοι περιλαµβάνουν ζητήµατα που άπτονται επιχειρηµατικών δραστηριοτήτων, καθώς και ζητήµατα που απαιτούν σχεδιασµό και συµµετοχή από ολόκληρο τον οργανισµό. □ Οι πρακτικές ελέγχων βάσει πόρων επικεντρώνονται σε ζητήµατα που προκαλούν ανησυχίες σχετικά µε την τεχνολογία. Περιλαµβάνουν, δε, ζητήµατα, τα οποία συνδέονται µε τον τρόπο που οι άνθρωποι χρησιµοποιούν, αλληλεπιδρούν και προστατεύουν την τεχνολογία. Ο κατάλογος των πρακτικών είναι ένας γενικός κατάλογος. ∆εν ειδικεύεται σε κάποιο τοµέα, φορέα ή σύνολο κανονισµών. Μπορεί να τροποποιηθεί ώστε να προσαρµοστεί σε κάποιο πρότυπο δέουσας επιµέλειας συγκεκριµένου τοµέα ή σύνολο κανονισµών (π.χ. τους κανονισµούς της ιατρικής κοινότητας και της HIPPA [Health Insurance Portability and Accountability Act of 1996]). Μπορεί, επίσης, να διευρυνθεί προκειµένου να συµπεριλάβει ειδικά πρότυπα για κάποιον φορέα ή µπορεί να τροποποιηθεί έτσι ώστε να αντικατοπτρίζει την ορολογία ενός συγκεκριµένου τοµέα. Επιπλέον,

ENISA 46 ∆ιαχείριση Κινδύνων 13/02/2007

µπορεί να αντικατασταθεί µε οποιονδήποτε αναλυτικό κατάλογο συµβατών µε πρότυπα ελέγχων.

Οι έλεγχοι οµαδοποιούνται περαιτέρω σε κάρτες ελέγχου, οι οποίοι χωρίζονται σε δυο κατηγορίες / περιοχές ελέγχου: τις περιοχές οργανωτικού ελέγχου και τις περιοχές ελέγχου βάσει πόρων. ∆ιατίθενται δύο τύποι καρτών ελέγχου προς επιλογή από τις οµάδες που διεξάγουν την ανάλυση µιας ΜΜΕ: □ Κάρτες οργανωτικού ελέγχου, οι οποίες περιέχουν ελέγχους που µπορούν να εφαρµοστούν οριζόντια στον οργανισµό και σχετίζονται µε πρακτικές και διαδικασίες διαχείρισης. Οι κάρτες ελέγχου οργάνωσης ασφάλειας είναι, κατά κανόνα, απλές, στοχεύουν, δε, στον µετριασµό τυπικών πληροφοριακών κινδύνων που συνδέονται µε το οργανωτικό προφίλ του φορέα. □ Κάρτες ελέγχου βάσει πόρων, οι οποίες εστιάζονται στους κρίσιµους πόρους και ειδικεύονται ανά κατηγορία πόρου. Οι κάρτες ελέγχου αποτελούν ουσιαστικά προκαθορισµένους – οµαδοποιηµένους ελέγχους σύµφωνα µε τα προφίλ κινδύνων και τις απαιτήσεις διασφάλισης πόρων. Όπως αναφέρθηκε παραπάνω, οι κυριότερες οµάδες πόρων ενός φορέα/οργανισµού είναι: οι πληροφορίες, το σύστηµα/δίκτυο, οι άνθρωποι και οι εφαρµογές. Οι κάρτες ελέγχου βάσει πόρων δηµιουργούνται µε σκοπό την επικέντρωσή τους σε καθηµερινές εργασίες και στοχεύουν σε ειδικούς για τον κάθε πόρο κινδύνους. Μπορείτε να βρείτε µία αναλυτική περιγραφή των οργανωτικών ελέγχων στο Παράρτηµα Γ. Οργανωτικοί Έλεγχοι

Στάδιο 1. Επιλέξτε τις κάρτες οργανωτικού ελέγχου

Κατά την διάρκεια αυτού του σταδίου, οι οµάδες ανάλυσης επιλέγουν τις κάρτες οργανωτικού ελέγχου για τις περιοχές κινδύνων που έχουν προσδιοριστεί στην φάση 1 (προσδιορισµός χαρακτηριστικών των προφίλ κινδύνων) και δι’ αυτού καθορίζουν την κατεύθυνση των προσπαθειών που θα αναληφθούν για την ασφάλεια των πληροφοριών του οργανισµού. Ωστόσο, πρακτικοί λόγοι αποτρέπουν τις ΜΜΕ από το να υλοποιήσουν άµεσα όλες τις πρωτοβουλίες που αναλαµβάνονται µετά την αξιολόγηση. Οι οργανισµοί είναι πιθανό ότι διαθέτουν περιορισµένα κεφάλαια και διαθέσιµο προσωπικό για την υλοποίηση της στρατηγικής προστασίας. Μετά την αξιολόγηση, η οµάδα ανάλυσης ιεραρχεί τις δραστηριότητες που αφορούν στην στρατηγική προστασίας και κατόπιν επικεντρώνεται στην υλοποίηση των δραστηριοτήτων ύψιστης προτεραιότητας. Είναι διαθέσιµοι οργανωτικοί έλεγχοι για κάθε προφίλ κινδύνων όπως καθορίζεται στον πίνακα προσδιορισµού προφίλ κινδύνων.

Στάδιο 2. Επιλέξτε ελέγχους βάσει πόρων

Βάσει του προφίλ κινδύνων και των απαιτήσεων διασφάλισης πόρων, οι οµάδες ανάλυσης των ΜΜΕ µπορούν να χρησιµοποιήσουν τον πίνακα καρτών ελέγχου πόρων (βλέπε Παράρτηµα Γ. Οργανωτικοί Έλεγχοι ) για τον προσδιορισµό των κατάλληλων ελέγχων πόρων. Οι κάρτες ελέγχου βάσει πόρων είναι στοιχειώδεις έλεγχοι, οι οποίοι οµαδοποιούνται σε τρεις κατηγορίες, σύµφωνα µε το προφίλ κινδύνων, την κατηγορία πόρου και την απαίτηση διασφάλισης του οργανισµού. Για παράδειγµα, οι οµάδες ανάλυσης λόγω ενός προφίλ υψηλών κινδύνων ενός οργανισµού έχουν διαφορετικούς κινδύνους και απαιτήσεις διασφάλισης σε αντίθεση µε προφίλ µεσαίων ή χαµηλών κινδύνων. Οµοίως, οι κάρτες ελέγχου περιλαµβάνουν περισσότερους ελέγχους για την αντιµετώπιση ενός µεγαλύτερου φάσµατος κινδύνων και απαιτήσεων διασφάλισης.

Στάδιο 3. Τεκµηριώστε τον αναλυτικό κατάλογο των επιλεγµένων ελέγχων και το σκεπτικό

Ενόσω τραβάτε τις κάρτες ελέγχου κρίσιµων πόρων στο στάδιο 2, θα έχετε την δυνατότητα να αναλύσετε πολλά ζητήµατα που σχετίζονται µε τους εν λόγω ελέγχους. Σε αυτό το στάδιο τεκµηριώνετε το σκεπτικό σας για την επιλογή κάθε κάρτας ελέγχου και τις απαραίτητες ενέργειες για την υλοποίηση. Επιπλέον, κατανοώντας τις κάρτες ελέγχου, θα είστε σε προσφορότερη θέση προκειµένου να καθορίσετε καλύτερα τα σχέδια δράσης κατά τη διάρκεια του επόµενου σταδίου. Για

ENISA 47 ∆ιαχείριση Κινδύνων 13/02/2007

κάθε κάρτα ελέγχου, στοχαστείτε και καταγράψτε την απάντησή σας στο ακόλουθο ερώτηµα: Τι απαιτείται, όσον αφορά τους πόρους και τις αλλαγές, για την υλοποίηση των επιλεγµένων ελέγχων; Αναλύστε τις λειτουργικές πτυχές του κάθε ελέγχου. Μελετήστε τα ακόλουθα ερωτήµατα για κάθε έναν από αυτούς. □ Ποιος πρέπει να τον υλοποιήσει; □ Ποιος πρέπει να είναι υπεύθυνος γι’ αυτόν; □ Ποιος πρέπει να ωφεληθεί απ’ αυτόν; □ Πώς πρέπει να υλοποιηθεί; Τα ερωτήµατα αυτά επικεντρώνονται στον τρόπο µε τον οποίο πρέπει να χρησιµοποιηθούν οι έλεγχοι και γιατί αυτοί είναι σηµαντικοί. Αν δεν µπορείτε να απαντήσετε σε όλα αυτά τα ερωτήµατα, µπορεί να χρειάζεται να ζητήσετε να το κάνουν άτοµα του οργανισµού σας που µπορούν να απαντήσουν σε αυτά. Οι πληροφορίες που προσδιορίζετε απαντώντας σ' αυτά τα ερωτήµατα θα σας φανούν χρήσιµες στην φάση 4 όταν θα εκπονήσετε τα σχέδια µετριασµού κινδύνων. Βεβαιωθείτε ότι αυτές οι πληροφορίες καταγράφονται.

Παράδειγµα A. (Προφίλ κινδύνων: υψηλού επιπέδου, κρίσιµος πόρος: εφαρµογή)

[Στάδιο 1] Στο στάδιο 1, οι οµάδες ανάλυσης που χρησιµοποιούν τον πίνακα αξιολόγησης προφίλ κινδύνων και τον πίνακα οργανωτικών ελέγχων (Πίνακας 17) επιλέγουν κάρτες οργανωτικού ελέγχου για τις περιοχές κινδύνων που προσδιορίστηκαν στην φάση 1 (προσδιορισµός προφίλ κινδύνων), καθορίζοντας δι’ αυτού την κατεύθυνση των προσπαθειών που θ’ αναληφθούν για την ασφάλεια των πληροφοριών στον οργανισµό. Στο παράδειγµα Α οι οργανωτικοί έλεγχοι για υψηλό επίπεδο νοµικών και ρυθµιστικών κινδύνων εισηγούνται πρακτικές ασφάλειας (ελέγχους) που υπαγορεύονται από τους οργανωτικούς ελέγχους SP1 και SP4. Κατά τον ίδιο τρόπο, ένας υψηλός κίνδυνος στην κατηγορία κινδύνων παραγωγικότητας επιβάλει την ανάγκη για αντίµετρα και πρακτικές που εφαρµόζονται από τους οργανωτικούς ελέγχους SP3, SP4, SP5 και SP6. Για µεσαίου επιπέδου κινδύνους στην οικονοµική σταθερότητα, υπαγορεύεται ο έλεγχος SP4 και για το χαµηλό επίπεδο κινδύνων φήµης και απώλειας εµπιστοσύνης πελατών, ο SP4.1 (η ενότητα περιλαµβάνεται στους ελέγχους του SP4).

υ υ υ ού ηλ µ Περιοχές κινδύνων Υψηλού επιπέδο Μεσαίου επιπέδο Χα επιπέδο

Νοµικών και Ρυθµιστικών (SP1) (SP1) SP1.1 (SP4) (SP4) Παραγωγικότητας (SP3) (SP4) SP4.1

(SP4)

(SP6) (SP6)

(SP5)

Οικονοµικής απώλειας (SP2) (SP4) SP4.1 (SP1) (SP4) Φήµης και Απώλειας (SP1) (SP4) SP4.1

Εµπιστοσύνης Πελατών

(SP5) (SP1)

ENISA 48 ∆ιαχείριση Κινδύνων 13/02/2007

Πίνακας 17: Επιλογή Οργανωτικών Ελέγχων– Παράδειγµα A

[Στάδιο 2] Στο στάδιο 2, η οµάδα ανάλυσης επιλέγει την/τις κάρτα (κάρτες) ελέγχου βάσει πόρων χρησιµοποιώντας τον πίνακα καρτών ελέγχου βάσει πόρων. Στο παράδειγµα Α, δεδοµένου του προφίλ υψηλών κινδύνων του οργανισµού που προσδιορίστηκε στη φάση 1 και του τύπου κρίσιµων πόρων που προσδιορίστηκαν στο στάδιο 2, επιλέγουν την κάρτα 1 για εφαρµογές προφίλ υψηλών κινδύνων, συγκεκριµένα την κάρτα CC-1A.

Πίνακας καρτών ελέγχου

Κρίσιµοι πόροι Κάρτες υψηλών Κάρτες µεσαίων Κάρτες χαµηλών κινδύνων κινδύνων κινδύνων

Εφαρµογή CC-1A CC-2A CC-3A Σύστηµα CC-1S CC-2S CC-3S ∆ίκτυο CC-1N CC-2N CC-3N Άνθρωποι CC-1P CC-2P CC-3P

Πίνακας 18: Επιλογή ελέγχων βάσει πόρων – παράδειγµα A

Στο παράδειγµα Α, η επιλεγµένη κάρτα (βλέπε Παράρτηµα B. Κάρτες ελέγχου ) παρουσιάζει τους απαραιτήτους ελέγχους για µια εφαρµογή που εκτελείται σε έναν οργανισµό µε ένα προφίλ κινδύνων. Η οµάδα προσδιορίζει τους ελέγχους οι οποίοι ικανοποιούν τις απαιτήσεις διασφάλισης που προσδιορίζονται στη φάση 3. Σ’ αυτό το παράδειγµα, χρησιµοποιούνται οι απαιτήσεις εµπιστευτικότητας και διαθεσιµότητας. Επιλέγονται οι ακόλουθοι έλεγχοι πόρων 2.1.3, 2.1.6, 2.4.2, 2.5.1, και 2.6.1.

Μοναδικό Αναγνωριστικό κάρτας ελέγχου βάσει πόρων CC-1A

Προφίλ κινδύνων Υψηλού επιπέδου

Κατηγορία πόρου Εφαρµογή

Απαιτήσεις ι ης ι η ές διασφάλισης η κα κα ησ ΤΠ και κτικ ύ λεια ύθησ υ ση τησ ική ων ος ός κο λο γράφ µ ων Πρα ιση άτ ν ισης ατ ιση ιση ασφά µ µ το ωπι ύω σιοδό Ελέγχο βάντ πάθειας µ Υλική ∆ιαχείρ Συστη ∆ικτ Εργαλεία ∆ιαχείρ Συστή Ασφάλεια Παρακο και Επαλήθευ Εξου ∆ιαχείρ Ευ Κρυπ Σχεδιασ αρχιτεκτον ασφάλειας ∆ιαχείρ Συ Γενικές Προσ

Εµπιστευτικότητα 2.1.3 2.4.2 2.5.1 2.6.1

Ακεραιότητα 2.1.4 2.4.2 2.5.1 2.6.1

∆ιαθεσιµότητα 2.1.6

Πίνακας 19: CC-1A Κάρτα ελέγχου βάσει πόρων – παράδειγµα A

[Στάδιο 3] Στο στάδιο 3, οι οµάδες ανάλυσης ασχολούνται µε την συγκέντρωση δεδοµένων και την ανάλυση των αποτελεσµάτων που παρήχθησαν στα στάδια 1 και 2. Η τεκµηρίωση των αποτελεσµάτων των προηγούµενων σταδίων, τόσο των επιλεγµένων ελέγχων βάσει πόρων όσο και των οργανωτικών ελέγχων παρουσιάζονται σε µορφή αναλυτικού κατάλογου στον παρακάτω πίνακα.

ENISA 49 ∆ιαχείριση Κινδύνων 13/02/2007

Πόροι Έλεγχος Σκεπτικό επιλογής

Έλεγχοι βάσει πόρων 2.1.3 Οι έλεγχοι διαχείρισης συστηµάτων και δικτύων 2.1.6 είναι ουσιώδεις για την διατήρηση της διαθεσιµότητας και της εµπιστευτικότητας του υπό εξέταση πόρου. 2.1.4 Η ακεραιότητα της εφαρµογής είναι σηµαντική διότι τα ιατρικά δεδοµένα πρέπει να είναι ακριβή.

2.4.2 Η επαλήθευση και η εξουσιοδότηση µπορούν να διασφαλίσουν ελεγχόµενη πρόσβαση στον υπό εξέταση πόρο είτε για εσωτερικούς και εξωτερικούς χρήστες είτε για τρίτους.

2.5.1 Η διαχείριση της ευπάθειας, συµπεριλαµβανοµένων της συνήθους εκτίµησης ευπάθειας και των απαραίτητων δραστηριοτήτων αποκατάστασης, είναι σηµαντική προκειµένουνα αξιολογήσουµε τα µέτρα και τα συστήµατα ασφάλειας. 2.6.1 Οι εµπιστευτικές πληροφορίες πρέπει να προστατεύονται κατά τη διάρκεια της µεταφοράς και της αποθήκευσης. Οργανωτικοί έλεγχοι SP1 Ευαισθητοποίηση καικατάρτισησε θέµατασχετικά µε τηνασφάλεια. SP3 ∆ιαχείριση ασφάλειας SP4 Πολιτική ασφάλειας SP5, Συλλογική διαχείριση SP6 Ανάκτηση µετά από καταστροφή

Πίνακας 20: Πίνακας επιλεγµένων ελέγχων και σκεπτικό – παράδειγµα A

Παράδειγµα B. (Προφίλ κινδύνων: µεσαίου επιπέδου, κρίσιµος πόρος: σύστηµα)

Στο στάδιο 1, οι οµάδες ανάλυσης, που χρησιµοποιούν τον πίνακα οργανωτικών ελέγχων (Πίνακας 21), επιλέγουν τις κάρτες οργανωτικού ελέγχου για τις περιοχές κινδύνων που προσδιορίστηκαν στο στάδιο 1 (Στάδιο 1 – Πίνακας αξιολόγησης προφίλ κινδύνων), καθορίζοντας την κατεύθυνση των προσπαθειών για την διασφάλιση των πληροφοριών στον οργανισµό. Για το παράδειγµα B, ο οργανωτικός έλεγχος, που επιβάλλεται για χαµηλού επιπέδου νοµικούς και ρυθµιστικούς κινδύνους είναι ο SP1.1 ενώ για χαµηλού επιπέδου κινδύνους παραγωγικότητας και οικονοµικής σταθερότητας είναι ο SP4.1. Οι κίνδυνοι µεσαίου επιπέδου της φήµης και της απώλειας εµπιστοσύνης πελατών επιβάλλουν την χρήση των οργανωτικών ελέγχων SP1 και SP4. Ο Πίνακας 21 συνοψίζει τους ελέγχους αποτύπωσης για το προαναφερθέν παράδειγµα Β.

υ υ υ ού ηλ µ Περιοχές κινδύνων Υψηλού επιπέδο Μεσαίου επιπέδο Χα επιπέδο

Νοµικών και Ρυθµιστικών (SP1) (SP1) SP1.1 (SP4) (SP4) Παραγωγικότητας (SP3) (SP4) SP4.1 (SP4)

ENISA 50 ∆ιαχείριση Κινδύνων 13/02/2007

(SP6) (SP6)

(SP5) Οικονοµικής απώλειας (SP2) (SP4) SP4.1 (SP1) (SP4) Φήµης και απώλειας (SP1) (SP4) SP4.1

εµπιστοσύνης πελατών

(SP5) (SP1)

Πίνακας 21: Επιλογή οργανωτικών ελέγχων – παράδειγµα B

[Στάδιο 2] Στο στάδιο 2, η οµάδα ανάλυσης επιλέγει την/τις κάρτα (κάρτες) ελέγχου βάσει πόρων χρησιµοποιώντας τον πίνακα καρτών ελέγχου βάσει πόρων. Στο παράδειγµα Β, δεδοµένου του προφίλ µεσαίου επιπέδου κινδύνων του οργανισµού, που προσδιορίστηκε στην φάση 1 (Στάδιο 1) και του τύπου κρίσιµου πόρου, που προσδιορίστηκε στο στάδιο 2, επιλέγουν την κάρτα 2 για συστήµατα προφίλ µεσαίου επιπέδου κινδύνων, δηλαδή την κάρτα CC-2S.

Πίνακας καρτών ελέγχου

Κρίσιµοι πόροι Κάρτες υψηλών Κάρτες µεσαίων Κάρτες χαµηλών κινδύνων κινδύνων κινδύνων

Εφαρµογή CC-1A CC-2A CC-3A Σύστηµα CC-1S CC-2S CC-3S ∆ίκτυο CC-1N CC-2N CC-3N Άνθρωποι CC-1P CC-2P CC-3P

Πίνακας 22:Επιλογή καρτών ελέγχου βάσει πόρων – παράδειγµα B

Η κάρτα που επιλέχθηκε στο παράδειγµα B (βλέπε Παράρτηµα Β. Κάρτες ελέγχου πόρων) απεικονίζει τους απαραίτητους ελέγχους για πόρους του συστήµατος σε έναν οργανισµό µε προφίλ µεσαίου επιπέδου κινδύνων. Η οµάδα προσδιορίζει τους ελέγχους που επιλαµβάνονται των απαιτήσεων διασφάλισης οι οποίοι προσδιορίστηκαν στην φάση 3. Ακολουθώντας τα αποτελέσµατα του παραδείγµατος Β από την φάση 2 (στάδιο 3), χρησιµοποιούνται απαιτήσεις διαθεσιµότητας για τον προσδιορισµό των κατάλληλων ελέγχων από την κάρτα ελέγχου CC-2S. Συνεπώς, επιλέγονται οι έλεγχοι πόρων 2.1.7, 2.1.6.

Μοναδικό Αναγνωριστικό κάρτας ελέγχου βάσει πόρων CC-2S

Προφίλ κινδύνων Μεσαίου επιπέδου

Κατηγορία πόρου Σύστηµα

Απαιτήσεις η η ∆ιασφάλισης και και ησ λεια και ΤΠ ηση ική ού ος ύθησ ς ση ότ ς ός ων ιση ατος ισης ατ λο ιση γράφ µ ιση πρακτικές ασφά µ µ το ωπικ τή ύου έλεγχο σιοδ βάντ υ µ Υλική ∆ιαχείρ συσ δικτ Εργαλεία ∆ιαχείρ Συστή Παρακο και ασφάλειας Επαλήθευ εξο ∆ιαχείρ ευπάθεια Κρυπ Σχεδιασ αρχιτεκτον ασφάλειας ∆ιαχείρ συ Γενικές προσ

Εµπιστευτι- 2.1.6

κότητα 2.1.7

ENISA 51 ∆ιαχείριση Κινδύνων 13/02/2007

∆ιαθεσιµότητα 2.1.6

Πίνακας 23: Κάρτα ελέγχου CC-2S βάσει πόρων – Παράδειγµα B

[Στάδιο 3] Στο στάδιο 3, οι οµάδες ανάλυσης ασχολούνται µε την συγκέντρωση δεδοµένων και την ανάλυση των αποτελεσµάτων που παρήχθησαν στα Στάδια 1 και 2. Τεκµηριώνοντας τα αποτελέσµατα των προηγούµενων σταδίων, παρατίθενται, στην συνέχεια, στον παρακάτω πίνακα, υπό την µορφή αναλυτικού καταλόγου τόσο οι επιλεγµένοι βάσει πόρων έλεγχοι όσο και οι οργανωτικοί έλεγχοι.

Πόρος Έλεγχος Σκεπτικό επιλογής

2.1.7

Πίνακας 24: Σκεπτικό επιλογής ελέγχων – Παράδειγµα B

Φάση 4 – Υλοποίηση και ∆ιαχείριση

Κατά την φάση 4, η οµάδα ανάλυσης προσδιορίζει τις ενέργειες και καταρτίζει έναν αναλυτικό κατάλογο ενεργειών, διακηρύσσοντας την κατεύθυνση για την βελτίωση της ασφάλειας. Για την επιτυχηµένη υλοποίηση είναι ουσιώδης η εξεύρεση χρηµατοδότησης για την συνεχή βελτίωση της ασφάλειας από τα ανώτατα στελέχη της επιχείρησης (υπεύθυνοι λήψεως αποφάσεων).

ENISA 52 ∆ιαχείριση Κινδύνων 13/02/2007

Σχήµα 6: Φάση 4 – Ροή εργασίας υλοποίησης και διαχείρισης

Στάδιο 1. Ανάλυση ελλείψεων

Η ανάλυση ελλείψεων είναι ουσιώδης προκειµένου για την βελτίωση του τρόπου µε τον οποίο ένας οργανισµός χειρίζεται την ασφάλεια πληροφοριών, καθώς και για την εδραίωση της παρούσας κατάστασης ασφάλειας, πράγµα που σηµαίνει εµπέδωση του ό,τι γίνεται µε ορθό τρόπο, στις παρούσες συνθήκες, και πού απαιτείται βελτίωση. Σ’ αυτό το στάδιο, οι οµάδες ανάλυσης ασχολούνται µε την αξιολόγηση των τρεχόντων πρακτικών σε θέµατα ασφάλειας του οργανισµού σε σχέση µε τους ελέγχους όπως αυτοί απεικονίζονται στις κάρτες ελέγχου. Οι οµάδες ανάλυσης διαβάζουν προσεκτικά τις επιλεγµένες κάρτες ελέγχου και εκµαιεύουν αναλυτικές πληροφορίες από αυτές για τις τρέχουσες πολιτικές, διαδικασίες και πρακτικές ασφάλειας του οργανισµού, παρέχοντας µ’ αυτόν τον τρόπο ένα σηµείο εκκίνησης για βελτίωση. Κατά την διαδικασία της ανάλυσης ελλείψεων, οι οµάδες χρησιµοποιούν τις κάρτες ελέγχου σαν «απαιτήσεις» και αξιολογούν τις ελλείψεις µεταξύ αυτών και των τρεχόντων πρακτικών ασφάλειας, τόσο στο επίπεδο της οργάνωσης όσο και σε αυτό των κρίσιµων πόρων. Οι οµάδες ανάλυσης πρέπει να τεκµηριώσουν προσεκτικά τα αποτελέσµατα µε την µορφή δυο διακριτών σχεδίων – (1) ένα για την οργανωτική βελτίωση και (2) ένα για την προστασία των πόρων. Το αποτέλεσµα αυτής της διαδικασίας µπορεί να αποτελέσει την βάση για την εργασία σχεδιασµού που έπεται. Αυτή διαχωρίζεται σε δυο κατηγορίες: (α) τους οργανωτικούς ελέγχους, όπου οι οµάδες ανάλυσης πρέπει να αναγνωρίσουν τι κάνουν και τι δεν κάνουν και να καθορίσουν τις ενέργειες για βελτίωση σε οργανωτικό επίπεδο και (β) τους ελέγχους βάσει πόρων, όπου οι οµάδες ανάλυσης αξιολογούν τα υφιστάµενα µέτρα προστασίας για τους προσδιορισµένους κρίσιµους πόρους.

Στάδιο 2. Καταρτίστε σχέδια µετριασµού κινδύνων

Σ’ αυτό το στάδιο, τα µέλη των οµάδων ανάλυσης έχουν ήδη προσδιορίσει τους κρίσιµους πόρους, το προφίλ κινδύνων του οργανισµού τους, τις απαιτήσεις διασφάλισης και έχουν περαιτέρω επιλέξει κατάλληλους ελέγχους ενώ είναι έτοιµοι να καθορίσουν την προσέγγιση µετριασµού κινδύνων για κάθε προσδιορισµένη περιοχή κινδύνων και κάθε προσδιορισµένο κρίσιµο πόρο.

ENISA 53 ∆ιαχείριση Κινδύνων 13/02/2007

Λαµβάνοντας αυτά τα αρχικά µέτρα προς την κατεύθυνση της βελτίωσης της ασφάλειας, οι φορείς µπορούν να αρχίσουν να καταστρώνουν το δυναµικό που απαιτείται για την υλοποίηση της στρατηγικής για την προστασία τους. Το αποτέλεσµα αυτής της εργασίας είναι το σχέδιο µετριασµού κινδύνων, το οποίο οδηγεί σε µια σειρά µέτρων που µπορεί να πάρει ένας οργανισµός για ν’ αυξήσει ή να διατηρήσει το υφιστάµενο επίπεδο ασφάλειάς του. Στόχος του σχεδίου είναι µάλλον να παράσχει µια κατεύθυνση για την ανάληψη µελλοντικών προσπαθειών σχετικά µε την ασφάλεια των πληροφοριών παρά να βρει µια άµεση λύση σε κάθε τρωτό σηµείο της ασφάλειας ή σε κάθε σχετική ανησυχία. ∆εδοµένου ότι ένα σχέδιο µετριασµού παρέχει την οργανωτική κατεύθυνση όσον αφορά τις δραστηριότητες για την ασφάλεια των πληροφοριών, προτείνουµε η διάρθρωσή του να γίνει µε βάση τις επιλεγµένες (φάση 3) κάρτες ελέγχου (οργανωτικές και βάσει κρίσιµων πόρων).

Στάδιο 3. Υλοποίηση, παρακολούθηση και έλεγχος

Μια απ’ τις αρχές της µεθόδου εκτίµησης κινδύνων είναι να τεθούν τα θεµέλια για µια συνεχή διαδικασία. Αυτή η αρχή ικανοποιεί την ανάγκη υλοποίησης των αποτελεσµάτων µιας αξιολόγησης των κινδύνων που αφορούν στην ασφάλεια των πληροφοριών, παρέχοντας την βάση για βελτίωση της ασφάλειας. Αν ένας οργανισµός δεν καταφέρει να υλοποιήσει τα αποτελέσµατα µιας

αξιολόγησης, δε θα καταφέρει να βελτιώσει επίσης και την στάση του απέναντι στην ασφάλειά του.

Ένα από τα δυσκολότερα καθήκοντα σε κάθε δραστηριότητα βελτίωσης είναι η διατήρηση του δυναµικού που παράγεται κατά την διάρκεια µιας αξιολόγησης. Ωστόσο, πρακτικοί λόγοι αποτρέπουν τους περισσότερους φορείς από το να υλοποιήσουν άµεσα όλες τις πρωτοβουλίες µετά την αξιολόγηση. Ενδεχοµένως, οι ΜΜΕ να διαθέτουν περιορισµένα κεφάλαια και προσωπικό για την υλοποίηση της στρατηγικής προστασίας.

Σε αυτό το στάδιο, οι οµάδες ανάλυσης ιεραρχούν τις δραστηριότητες και στην συνέχεια επικεντρώνονται στην υλοποίηση των δραστηριοτήτων ύψιστης προτεραιότητας.

Παρέχονται τρεις διακριτές δυνατότητες επιλογής: □ ∆ιαδικασία αποδοχής κινδύνων. Όταν ένας κίνδυνος είναι αποδεκτός, δε λαµβάνει χώρα καµία ενέργεια για την µείωση των κινδύνων και οι συνέπειες γίνονται αποδεκτές στην περίπτωση που ο κίνδυνος αποκτήσει πραγµατική υπόσταση. □ ∆ιαδικασία µετριασµού κινδύνων. Όταν ένας κίνδυνος αµβλύνεται, προσδιορίζονται και ενισχύονται οι ενέργειες που έχουν σχεδιαστεί για την αντιµετώπιση της απειλής και µέσω αυτών ο κίνδυνος µειώνεται. Τώρα που έχουν προσδιοριστεί τα ειδικά αντικείµενα ενεργειών, τα µέλη της οµάδας ανάλυσης επιβάλλεται να αναθέσουν ευθύνες για την αποπεράτωσή τους, καθώς και να ορίσουν µια ηµεροµηνία αποπεράτωσης. Πρέπει, δε, να επαναδιαταχθεί η σειρά των απαντήσεων για τις ακόλουθες ερωτήσεις – για κάθε επιµέρους αντικείµενο ενεργειών—: □ Ποιος θα είναι υπεύθυνος για κάθε επιµέρους αντικείµενο ενεργειών; □ Τι µπορεί να κάνει η διαχείριση για να διευκολύνει την αποπεράτωση αυτού του αντικειµένου ενεργειών; □ Πόσο θα κοστίσει; □ Πόσο θα διαρκέσει; □ Μπορούµε να το κάνουµε µόνοι µας; □ Χρειαζόµαστε εξωτερική βοήθεια;

ΣΗΜΕΙΩΣΗ:

Οι δυο τελευταίες ερωτήσεις είναι ζωτικής σηµασίας για το εάν ένας οργανισµός µπορεί να χειριστεί την υλοποίηση των απαραίτητων ελέγχων µέσω εσωτερικής ανάθεσης. Οι απαντήσεις

ENISA 54 ∆ιαχείριση Κινδύνων 13/02/2007

στις ερωτήσεις αυτές είναι εξίσου σηµαντικές και πολύ δύσκολο να στοιχειοθετηθούν εφόσον έχουν και οι δυο διαδικασίες (η εξωτερική και η εσωτερική ανάθεση) οφέλη αλλά και µειονεκτήµατα. Η εξωτερική ανάθεση συνιστά για έναν οργανισµό απόφαση «να δηµιουργήσει ή να αγοράσει» και η οποία εφαρµόζεται στον εν λόγω πόρο. Η εξωτερική ανάθεση, εφόσον γίνεται µε ορθό τρόπο, µπορεί να προσφέρει σαφή πλεονεκτήµατα. Οι κύριοι στόχοι για την εξωτερική ανάθεση είναι, πέρα από τις λειτουργίες υποστήριξης, η µείωση κόστους, η σµίκρυνση των συστηµάτων και η επιθυµία του φορέα για την επικέντρωση του ενδιαφέροντος στις επιχειρηµατικές δραστηριότητες του (βασική αυτάρκεια). Η έλλειψη αυτάρκειας στην ΤΟ, σε έναν οργανισµό, µπορεί, επίσης, να αποτελέσει αιτία για την εξωτερική ανάθεση της ΤΠ. Καθώς η ΤΠ γίνεται ολοένα και πιο σηµαντική, οι εταιρείες συχνά αντιµετωπίζουν µια εκτεταµένη αναντιστοιχία µεταξύ των ικανοτήτων και των δεξιοτήτων που απαιτούνται για την πραγµάτωση του δυναµικού της ΤΠ και της πραγµατικότητας της δικής τους εσωτερικής τεχνολογικής εµπειρογνωσίας. Ωστόσο, υπάρχουν αρκετές εναλλακτικές επιλογές που πρέπει να µελετηθούν και οι οποίες συνδυάζουν τις βασικές ικανότητες του οργανισµού µε την εξωτερική ή από τρίτους υποστήριξη (εν µέρει ή πλήρης εξωτερική ανάθεση). Όπως συνάγεται απ’ το σχήµα 7, τόσο η διαχείριση όσο και η υλοποίηση µπορούν να εξωποριστούν. Οι υπηρεσίες που κατά κανόνα διαπιστώνεται ότι µπορούν να προµηθεύσουν οι πάροχοι, µπορούν να συνοψιστούν ως ακολούθως:

Σχήµα 7: Εναλλακτικές επιλογές εξωτερικής ανάθεσης διαχείρισης έναντι υλοποίησης

□ Εξωτερική Ανάθεση ∆ιαχείρισης. Στην εξωτερική ανάθεση της διαχείρισης, οι πάροχοι παρέχουν υπηρεσίες διαχείρισης στην ασφάλεια των πληροφοριών. Με άλλα λόγια, ο πάροχος αναθέτει σ’ έναν υπεύθυνο ασφάλειας να διαχειριστεί το πρόγραµµα ασφάλειάς σας. Οι χρεώσεις, κατά κανόνα, υπολογίζονται σε ένα τριµηνιαίο τέλος ανάλογα µε το µέγεθος και την πολυπλοκότητα του οργανισµού, τις απαραίτητες δεξιότητες και την κουλτούρα. □ Συµµόρφωση ελεγχόµενης πολιτικής. Στο πλαίσιο συµφωνιών/συµβάσεων τύπου συµµόρφωσης ελεγχόµενης πολιτικής, οι ειδικοί σύµβουλοι ασφαλείας διενεργούν τακτικά προγραµµατισµένους ελέγχους προκειµένου να διασφαλίσουν την συνεχή συµµόρφωση µε την εδραιωµένη πολιτική και τους καθιερωµένους ελέγχους για την ασφάλεια των πληροφοριών σας ώστε να προσδιοριστεί οιαδήποτε περίπτωση µη συµµόρφωσης. Ως αποτέλεσµα αυτής της τακτικής διαδικασίας, λαµβάνετε µία αναλυτική έκθεση για την συνολική κατάσταση των συστηµάτων, τις περιοχές µη συµµόρφωσης, καθώς και καθοδήγηση για τον τρόπο µε τον οποίο θα επαναφέρετε αυτά τα συστήµατα σε κατάσταση συµµόρφωσης. Περιλαµβάνονται, επίσης, αναφορές και ανάλυση των σύγχρονων τάσεων που σας βοηθά να καθορίσετε αν η θεώρησή σας για την ασφάλεια βελτιώνεται ή όχι, και γιατί. □ Εκτιµήσεις ελεγχόµενης ευπάθειας. Σύµφωνα µε αυτές τις µορφές συµφωνιών επιπέδου υπηρεσίας, οι πάροχοι προµηθεύουν ένα µοναδικό σύνολο υπηρεσιών εκτίµησης

ENISA 55 ∆ιαχείριση Κινδύνων 13/02/2007

ευπάθειας που µπορεί να προσαρµοστεί ανάλογα ώστε να επικεντρωθεί σε όλα τα πιθανά σηµεία εισόδου των πληροφοριών ενός οργανισµού: το ∆ιαδίκτυο, τα εσωτερικά δίκτυα, οι εφαρµογές, η τηλεπρόσβαση, και οι ασύρµατες εφαρµογές. Βάσει των κινητήριων µοχλών της επιχείρησης, των τεχνικών της πόρων, και των παραγόντων απειλών, οι πάροχοι βοηθούν τους πελάτες να καθορίσουν το κατάλληλο χρονικό διάστηµα για επαναλαµβανόµενες αξιολογήσεις και τον βέλτιστο βαθµό διερεύνησης του βάθους και του εύρους των. □ Υποστήριξη ελεγχόµενων λειτουργιών. Η διαρκής παροχή υπηρεσιών υποστήριξης λειτουργιών ασφάλειας παρέχει τους πόρους στους οργανισµούς - πελάτες προκειµένου να καλύψουν τις εσωτερικές λειτουργίες ασφάλειας σε καθηµερινή βάση. Κατά κανόνα, οι πάροχοι προσφέρουν διαφορετικά και αρθρωτά επίπεδα υποστήριξης από απλές συµβουλές/προπαίδευση για την υλοποίηση λύσεων και πολιτικών ασφάλειας έως την µηχανίκευση και την τεχνική υλοποίηση της υποδοµής ασφάλειας. Κατά κανόνα, οι λειτουργίες ασφάλειας περιλαµβάνουν εργασίες όπως σταθεροποίηση του διακοµιστή, αλλαγές στην διάταξη ασφάλειας, επιδιορθώσεις ασφάλειας εφαρµογών κλπ. □ Αντιµετώπιση καταστάσεων έκτακτης ανάγκης και συµβάντων. Οι υπηρεσίες αντιµετώπισης καταστάσεων έκτακτης ανάγκης και συµβάντων διασφαλίζουν την υποστήριξη από ειδικευµένους µηχανικούς στις εγκαταστάσεις σας σε καταστάσεις έκτακτης ανάγκης ή κρίσης. Οι υπηρεσίες σε καταστάσεις έκτακτης ανάγκης και συµβάντα δίνουν την δυνατότητα σε οργανισµούς-πελάτες να ανταποκρίνονται άµεσα και µε αυτοπεποίθηση σε συµβάντα ασφάλειας που συνδέονται µε υπολογιστές – συµπεριλαµβανοµένης της διακύβευσης συστηµάτων, την προσβολή από ιούς και επιθέσεις άρνησης υπηρεσιών – βοηθώντας σας να ελαχιστοποιήσετε τον χρόνο διακοπής λειτουργίας λόγω βλάβης και την απώλεια εσόδων. Οι συµφωνίες επιπέδου υπηρεσίας (ΣΕΥ) ανάµεσα στα ενδιαφερόµενα µέρη πρέπει να επιλαµβάνονται των απαιτήσεων διασφάλισης των οργανισµών, οι οποίοι προβαίνουν σε εξωτερική ανάθεση της διαχείρισης και του ελέγχου όλων ή µέρους των πληροφοριακών συστηµάτων, των δικτύων και/ή των περιβαλλόντων εργασίας τους. Οποιαδήποτε ΣΕΥ για την εξωτερική ανάθεση της διαχείρισης και των λειτουργιών ασφάλειας των πληροφοριών πρέπει να επιλαµβάνεται των ακόλουθων ζητηµάτων (ελέγχων): Α. Επίπεδο εξωτερικής ανάθεσης και θέµατα αστικής ευθύνης Β. Παρακολούθηση Συµµόρφωσης Γ. Ευθύνες ∆ιαχείρισης ∆. Πεδίο εφαρµογής της εργασίας Ε. Τον τρόπο µε τον οποίο ικανοποιούνται οι νοµικές απαιτήσεις, π.χ. η νοµοθεσία περί προστασίας δεδοµένων ΣΤ. Ποιοι διακανονισµοί θα εφαρµοστούν ώστε να επιτρέψουν σε όλα τα εµπλεκόµενα στην εξωτερική ανάθεση µέρη, συµπεριλαµβανοµένων των υπεργολάβων, να έχουν επίγνωση των δικών τους ευθυνών ασφάλειας Ζ. Με ποιόν τρόπο πρόκειται να διατηρηθούν και ελεγχθούν η ακεραιότητα και η εµπιστευτικότητα των επιχειρηµατικών πόρων του φορέα Η. Ποιοι φυσικοί και λογικοί έλεγχοι θα χρησιµοποιηθούν ώστε να περιορίσουν και να θέσουν όρια στην πρόσβαση των εξουσιοδοτηµένων χρηστών σ’ ευαίσθητα επαγγελµατικά δεδοµένα του οργανισµού Θ. Με ποιόν τρόπο πρόκειται να διατηρηθεί η διαθεσιµότητα υπηρεσιών σε περίπτωση καταστροφής Ι. Το δικαίωµα ελέγχου Κ. Επάρκεια πόρων και επαγγελµατική πιστοποίηση Λ. Περιεχόµενο, συχνότητα και δοµή υποβαλλόµενων εκθέσεων

ENISA 56 ∆ιαχείριση Κινδύνων 13/02/2007 Παράδειγµα A. (Προφίλ Κινδύνων: Υψηλό, Κρίσιµοι Πόροι: Εφαρµογή)

[Στάδιο 1] Σ’ αυτό το στάδιο, οι οµάδες ανάλυσης ασχολούνται µε την αξιολόγηση των τρεχόντων πρακτικών ασφάλειας του οργανισµού σε σύγκριση µε τους ελέγχους που περιγράφονται στις κάρτες ελέγχου. Οι οµάδες ανάλυσης διαβάζουν τους ελέγχους προσεκτικά και εκµαιεύουν αναλυτικές πληροφορίες για τις τρέχουσες πολιτικές, διαδικασίες και πρακτικές ασφάλειας του οργανισµού, παρέχοντας έτσι ένα σηµείο εκκίνησης για βελτίωση. Ο ακόλουθος πίνακας αναφέρεται στο παράδειγµα A:

Πόρος Έλεγχος Ακολουθούµε, κατά την παρούσα περίοδο, τους ελέγχους που περιλαµβάνονται στις κάρτες ελέγχους;

Έλεγχοι βάσει πόρων 2.1.3 Όχι 2.1.4 Εν µέρει 2.1.6 Όχι 2.4.2 Εν µέρει 2.5.1 Όχι 2.6.1 Όχι Οργανωτικοί Έλεγχοι SP1 Όχι SP3 Όχι SP4 Ναι SP5 Όχι SP6 Εν µέρει

Πίνακας 25: Αναλυτικός κατάλογος ανάλυσης ελλείψεων – παράδειγµα A

[Στάδιο 2] Στο στάδιο 2, οι οµάδες ανάλυσης διαβάζουν τους ελέγχους (Παράρτηµα A, B, Γ, ∆) και αποφασίζουν τις απαραίτητες ενέργειες.

Πόρος Έλεγχος ∆ράση

Έλεγχοι βάσει πόρων 2.1.3 Η οµάδα αποφασίζει να προστατεύσει ευαίσθητα δεδοµένα µε τη χρήση ασφαλών µεθόδων αποθήκευσης όπως καθορισµένες αλληλουχίες φύλαξης, δηµιουργία εφεδρικών αντιγράφων, αποθηκευόµενων εκτός των εγκαταστάσεων της επιχείρησης, αφαιρούµενα µέσααποθήκευσης, διαδικασία απόρριψης ευαίσθητων δεδοµένων ή των µέσων αποθήκευσής τους. 2.1.4 Η οµάδα αποφασίζει να προστατεύσει ευαίσθητα δεδοµένα επαληθεύοντας τακτικά την ακεραιότητα της εγκατεστηµένης βάσης λογισµικού για την εφαρµογή.

2.4.2 Η οµάδα αποφασίζει να καθιερώσει τεκµηριωµένες πολιτικές και διαδικασίες χρήσης πληροφοριών για ατοµική και οµαδική πρόσβαση ώστε να: (A) θεσπίζονται κανόνες για την εκχώρηση του κατάλληλου επιπέδου πρόσβασης, (B) θεµελιωθεί το αρχικό δικαίωµα πρόσβασης, (Γ) τροποποιηθεί το δικαίωµα πρόσβασης (∆) διακοπεί το δικαίωµα πρόσβασης και (Ε) να αναθεωρούνται και να επαληθεύονται περιοδικά τα δικαιώµαταπρόσβασης.

ENISA 57 ∆ιαχείριση Κινδύνων 13/02/2007

2.5.1 Η οµάδα αποφασίζει να επιλέξει εργαλεία αξιολόγησης ευπάθειας, καταλόγους ελέγχου και δέσµες ενεργειών (scripts), συµβαδίζοντας µε γνωστούς τύπους ευπάθειας και µεθόδους προσβολής, αναθεωρώντας πηγές πληροφοριών για ανακοινώσεις ευπάθειας, συναγερµούς και προειδοποιήσεις ασφάλειας, αναγνωρίζοντας στοιχεία υποδοµής προς αξιολόγηση, προγραµµατίζοντας αξιολογήσεις ευπάθειας, ερµηνεύοντας και ανταποκρινόµενη στα αποτελέσµατα, συντηρώντας την ασφαλή αποθήκευση και διάθεση των δεδοµένων ευπάθειας.

2.6.1 Η οµάδα αποφασίζει να ΜΗΝ υλοποιήσει κρυπτογράφηση των µεταδιδόµενων δεδοµένων. Τα αποθηκευµένα δεδοµένα προστατεύονται σε σχέση µε την εµπιστευτικότητα µε τη χρήση ενός συστήµατος ελέγχου πρόσβασης. Οργανωτικοί Έλεγχοι SP1 Η οµάδα αποφασίζει να ξεκινήσει µια εκστρατεία βασικής ευαισθητοποίησης παρέχοντας εκπαίδευση σε όλους τους δικηγόρους σχετικά µε τους κινδύνους που ενέχονται από τη χρήση του ηλεκτρονικού ταχυδροµείου, του διαδικτύου κλπ.

SP3 Η λειτουργία διαχείρισης ασφάλειας πρέπει να καθιερωθεί. Η εργασία αυτή θα ανατεθεί σ΄ έναν υπεύθυνο ασφάλειας. SP4 Η οµάδα αποφασίζει, επίσης, να αναπτύξει µια γενική πολιτική ασφάλειας που καθορίζει την κυριότητα των πληροφοριών και τις ευθύνες για πληροφορίες. SP5 Αποφασίζονται οι διαδικασίες συλλογικής διαχείρισης που αφορούν τρίτους οι οποίοι είναι υπεύθυνοι για την συντήρηση της εφαρµογής.

SP6 Το σχέδιο ανάκτησης από καταστροφή πρέπει να υλοποιείται και να ελέγχεται τακτικά.

Πίνακας 26: Αναλυτικός κατάλογος ενεργειών – Παράδειγµα A

[Στάδιο 3] Στο στάδιο 3 για το παράδειγµα A., οι οµάδες ανάλυσης ιεραρχούν τις δραστηριότητες και στην συνέχεια εστιάζονται στην υλοποίηση των δραστηριοτήτων ύψιστης προτεραιότητας. Αποφασίζουν να υλοποιήσουν τις ενέργειες υψηλής προτεραιότητας µέσα στο επόµενο τρίµηνο, τις ενέργειες µεσαίας προτεραιότητας για τους επόµενους έξι µήνες και τις ενέργειες χαµηλής προτεραιότητας πριν το τέλος του ερχόµενου χρόνου. Τώρα που έχετε προσδιορίσει συγκεκριµένα αντικείµενα ενεργειών για τον αναλυτικό κατάλογο ενεργειών, πρέπει να αναθέσετε την ευθύνη της αποπεράτωσής τους, καθώς και µια ηµεροµηνία αποπεράτωσης. Απαντήστε τις παρακάτω ερωτήσεις για κάθε αντικείµενο ενεργειών στον αναλυτικό κατάλογό σας και καταγράψτε τα αποτελέσµατα: □ Ποιος θα είναι υπεύθυνος για κάθε επιµέρους αντικείµενο ενεργειών; □ Μέχρι pοιa ηµeροµηνίa χρeιάζetaι νa dιeυθetηθeί tο aνtικeίµeνο eνeργeιών; □ Τι µπορεί να κάνει η διαχείριση για να διευκολύνει την αποπεράτωση αυτού του αντικειµένου ενεργειών; □ Πόσο θα κοστίσει; □ Πόσο θα διαρκέσει; □ Μπορούµε να το κάνουµε µόνοι µας; □ Χρειαζόµαστε εξωτερική βοήθεια;

Το αποτέλεσµα του σχεδίου τους συνοψίζεται στον παρακάτω πίνακα:

Πόρος Έλεγχος Υπεύθυνος Απαιτούµενη Καµπή Προτεραιότητα εξωτερική βοήθεια

Έλεγχοι βάσει 2.1.3 Εργαζόµενος Όχι ΜΜ / ΗΗ Υψηλή

ENISA 58 ∆ιαχείριση Κινδύνων 13/02/2007

πόρων A 2.1.4 Εργαζόµενος Ναι Μεσαία A 2.1.6 Εργαζόµενος Ναι Υψηλή A 2.4.2 Εργαζόµενος Ναι Μεσαία A 2.5.1 Εργαζόµενος Ναι Χαµηλή A 2.6.1 Εργαζόµενος Όχι Μεσαία A Οργανωτικοί έλεγχοι SP1 Εργαζόµενος Όχι Χαµηλή B SP3 Εργαζόµενος Όχι Μεσαία B SP4 Εργαζόµενος Ναι Μεσαία B SP5, Εργαζόµενος Όχι Υψηλή B SP6 Εργαζόµενος Όχι Υψηλή B

Πίνακας 27: Σχέδιο υλοποίησης – Παράδειγµα A

Παράδειγµα B. (Προφίλ κινδύνων: µεσαίου επιπέδου, κρίσιµος πόρος: Σύστηµα)

[Στάδιο 1] Σ’ αυτό το στάδιο, οι οµάδες ανάλυσης ασχολούνται µε την αξιολόγηση των τρεχόντων πρακτικών ασφάλειας του οργανισµού σε σχέση µε τους ελέγχους που περιγράφονται στις κάρτες ελέγχου. Οι οµάδες ανάλυσης διαβάζουν προσεκτικά τους ελέγχους που εφαρµόζονται στο προφίλ τους (όπως απεικονίζεται στις επιλεγµένες κάρτες ελέγχου – Φάση 3, Στάδιο 3), και εκµαιεύουν αναλυτικές πληροφορίες για τις τρέχουσες πολιτικές, διαδικασίες και πρακτικές ασφάλειας ενός οργανισµού, παρέχοντας έτσι ένα σηµείο εκκίνησης για βελτίωση. Ο ακόλουθος πίνακας αναφέρεται στο Παράδειγµα B:

Πόρος Έλεγχος Ακολουθούµε, κατά την παρούσα περίοδο, τους ελέγχους που περιλαµβάνονται στις κάρτες ελέγχου;

Έλεγχοι βάσει πόρων 2.1.6 Όχι

2.1.7 Ναι Οργανωτικοί έλεγχοι SP1 Εν µέρει SP4 Ναι SP1.1 Όχι SP4.1 Ναι

Πίνακας 28: Αναλυτικός κατάλογος ανάλυσης ελλείψεων – παράδειγµα B

[Στάδιο 2] Στο στάδιο 2, οι οµάδες ανάλυσης διαβάζουν τους ελέγχους (Παράρτηµα A, B, Γ, ∆) και αποφασίζουν για τις απαραίτητες ενέργειες.

ENISA 59 ∆ιαχείριση Κινδύνων 13/02/2007

Πόρος Έλεγχος Ενέργειες

2.1.7 Η οµάδα αποφασίζει να ενηµερώσει και να εκπαιδεύσει ολόκληρο το προσωπικό προκειµένου να κατανοήσει και να µπορέσει να ασκήσει τις αρµοδιότητές του σύµφωνα µε τα σχέδια δηµιουργίας εφεδρικών αντιγράφων. Οργανωτικοί Έλεγχοι SP1 Η οµάδα αποφασίζει να εκκινήσει µια βασική εκστρατεία ευαισθητοποίησης εκπαιδεύοντας όλους τους δικηγόρους σχετικά µε τους κινδύνους που ενέχονται στην χρήση ηλεκτρονικού ταχυδροµείου, διαδικτύου κτλ.. SP4 Η οµάδα αποφασίζει, επίσης, να αναπτύξει µια γενική πολιτική ασφάλειας καθορίζοντας την κυριότητα των πληροφοριών και τις ευθύνες για τις πληροφορίες. SP1.1 Περιλαµβάνονται στο SP1.

SP4.1 Περιλαµβάνονται στην SP4.

Πίνακας 29: Αναλυτικός κατάλογος ενεργειών – παράδειγµα B

[Στάδιο 3] Στο στάδιο 3 του παραδείγµατος B, οι οµάδες ανάλυσης ιεραρχούν τις δραστηριότητες και στην συνέχεια, επικεντρώνονται στην υλοποίηση των δραστηριοτήτων ύψιστης προτεραιότητας. Αποφασίζουν να υλοποιήσουν τις ενέργειες υψηλής προτεραιότητας µέσα στο επόµενο τρίµηνο, τις ενέργειες µεσαίας προτεραιότητας για τους επόµενους έξι µήνες και τις δραστηριότητες χαµηλής προτεραιότητας πριν το τέλος του ερχόµενου χρόνου. Τώρα που έχετε αναγνωρίσει συγκεκριµένα αντικείµενα δράσεων για τον αναλυτικό κατάλογο ενεργειών, πρέπει να αναθέσετε την ευθύνη της αποπεράτωσής τους, καθώς και µια ηµεροµηνία αποπεράτωσης. Απαντήστε τις παρακάτω ερωτήσεις για κάθε αντικείµενο ενεργειών στον αναλυτικό κατάλογό σας και καταγράψτε τα αποτελέσµατα: □ Ποιος θα είναι υπεύθυνος για κάθε επιµέρους αντικείµενο ενεργειών; □ Μέχρι pοιa ηµeροµηνίa χρeιάζetaι νa dιeυθetηθeί tο aνtικeίµeνο eνeργeιών; □ Τι µπορεί να κάνει η διαχείριση για να διευκολύνει την αποπεράτωση αυτού του αντικειµένου ενεργειών; □ Πόσο θα κοστίσει; □ Πόσο θα διαρκέσει; □ Μπορούµε να το κάνουµε µόνοι µας; □ Χρειαζόµαστε εξωτερική βοήθεια; Τα αποτελέσµατα του σχεδίου τους συνοψίζεται στον παρακάτω πίνακα:

Πόρος Έλεγχος Υπεύθυνος Απαιτούµενη εξωτερική ∆είκτης Προτεραιότητα βοήθεια

Έλεγχοι βάσει πόρων 2.1.6 Εργαζόµενος Όχι ΜΜ/ΗΗ Υψηλή A 2.1.7 Εργαζόµενος Όχι Υψηλή A Οργανωτικοί Έλεγχοι SP1 Εργαζόµενος Όχι Μεσαία A SP4 Εργαζόµενος Όχι Χαµηλή

ENISA 60 ∆ιαχείριση Κινδύνων 13/02/2007

A SP1.1 Εργαζόµενος Όχι Χαµηλή A SP4.1 Εργαζόµενος Όχι Υψηλή A

Πίνακας 30: Σχέδιο υλοποίησης – Παράδειγµα B

ENISA 61 ∆ιαχείριση Κινδύνων 13/02/2007

Παράρτηµα A. Κάρτες Οργανωτικού Ελέγχου

Ευαισθητοποίηση και κατάρτιση σε θέµατα σχετικά µε την ασφάλεια. (SP1)

SP1 Η κάρτα ελέγχου ευαισθητοποίησης και κατάρτισης σε θέµατα ασφάλειας περιλαµβάνει ελέγχους που απαιτούν την κατανόηση από µέρους των µελών του προσωπικού των ρόλων και των υπευθυνοτήτων τους σχετικά µε την ασφάλεια. Πρέπει να παρέχονται σε ολόκληρο το προσωπικό ευαισθητοποίηση, κατάρτιση και περιοδικές υποµνήσεις για θέµατα ασφάλειας. Η κατανόηση και οι ρόλοι του προσωπικού πρέπει να τεκµηριώνονται µε σαφήνεια και η συµµόρφωση πρέπει να επαληθεύεται σε περιοδική βάση.

Στρατηγική Ασφάλειας (SP2)

SP2 Η κάρτα ελέγχου στρατηγικής περιλαµβάνει ελέγχους που απαιτούν την συστηµατική ενσωµάτωση των µεληµάτων ασφάλειας στις επιχειρηµατικές στρατηγικές του οργανισµού. Επίσης, οι πολιτικές και οι στρατηγικές ασφάλειας πρέπει να λαµβάνουν υπόψη τους τις στρατηγικές και τους στόχους του οργανισµού. Οι στρατηγικές, οι επιδιώξεις και οι στόχοι σε θέµατα ασφάλειας πρέπει να τεκµηριώνονται, να ανανεώνονται, να ενηµερώνονται και να κοινοποιούνται συστηµατικά στον οργανισµό.

∆ιαχείριση Ασφάλειας (SP3)

SP3 Η κάρτα ελέγχου διαχείρισης ασφάλειας περιλαµβάνει ελέγχους που απαιτούν την εφαρµογή στην πράξη της διαδικασίας διαχείρισης. Η εν λόγω διαδικασία οφείλει να αξιολογεί διαρκώς τα απαιτούµενα επίπεδα ασφάλειας των πληροφοριών και να καθορίζει τους κατάλληλους, αλλά και ισορροπηµένους από την άποψη κόστους/κινδύνου(-ων), ελέγχους οι οποίοι πρέπει όχι µόνο να υλοποιούνται αλλά και να τεκµηριώνονται.

Πολιτικές και Κανονισµοί Ασφάλειας (SP4)

SP4 Η κάρτα ελέγχου απαιτεί ο οργανισµός να διαθέτει ένα ολοκληρωµένο σύνολο τεκµηριωµένων, επίκαιρων πολιτικών για την ασφάλεια των πληροφοριών, οι οποίες θα ανανεώνονται και θα ενηµερώνονται σε περιοδική βάση.

Συλλογική ∆ιαχείριση Ασφάλειας (SP5)

SP5 Οι κάρτες ελέγχου συλλογικής διαχείρισης περιλαµβάνουν ελέγχους ασφάλειας που εφαρµόζουν στην πράξη ελεγχόµενες και επιβεβληµένες διαδικασίες για την προστασία των πληροφοριών του οργανισµού όταν αυτός συνεργάζεται µε εξωτερικούς φορείς (π.χ. τρίτους, συνεργάτες, υπεργολάβους ή εταίρους).

Σχεδιασµός Έκτακτης Ανάγκης / Ανάκτηση µετά από Καταστροφή (SP6)

SP6 Οι κάρτες ελέγχου σχεδιασµού έκτακτης ανάγκης / ανάκτησης µετά από καταστροφή ενσωµατώνουν ελέγχους ασφάλειας προκειµένου να διασφαλίσουν την συνέχιση των επιχειρηµατικών δραστηριοτήτων στην περίπτωση καταστροφής ή µη διαθεσιµότητας των πληροφοριών. Τα βασικά στοιχεία της κάρτας ελέγχου είναι:

□ τα σχέδια συνέχισης των επιχειρηµατικών δραστηριοτήτων ή λειτουργίας έκτακτης ανάγκης,

□ το/τα σχέδιο(-α) ανάκτησης µετά από καταστροφή και

□ το/τα σχέδιο(-α) έκτακτης ανάγκης για την αντιµετώπιση καταστάσεων έκτακτης ανάγκης.

ENISA 62 ∆ιαχείριση Κινδύνων 13/02/2007 3

Παράρτηµα B. Κάρτες ελέγχου πόρων

Μοναδικό αναγνωριστικό καρτών ελέγχου βάσει πόρων CC-1A

Προφίλ Κινδύνων Υψηλού επιπέδου

Κατηγορία πόρου Εφαρµογή

Απαιτήσεις ύ ∆ιασφάλισης η ν η ο και και τω ν ησ και λεια ηση ύθησ ς ιώ ική γενικ ού ος ρ ση ός ότ ς ων ιση ατος ισης ατ λο ιση γράφ µ ιση ασφά µ µ ογίας οφο το τικές ωπικ τή ύου έλεγχο σιοδ βάντ νολ υ µ Υλική ∆ιαχείρ συσ δικτ Εργαλεία ∆ιαχείρ Συστή Παρακο και ασφάλειας τεχ πληρ Επαλήθευ εξο ∆ιαχείρ ευπάθεια Κρυπ Σχεδιασ αρχιτεκτον ασφάλειας ∆ιαχείρ συ Πρακ προσ

∆ιαθεσιµότητα 2.1.6

Οι έλεγχοι που βασίζονται στην εµπιστευτικότητα για ένα προφίλ οργανωτικής δοµής υψηλών κινδύνων επιλαµβάνονται κατ’ εξοχήν απαιτήσεων διασφάλισης στο επίπεδο µίας εφαρµογής, ενός συστήµατος, ενός δικτύου και ανθρώπινων πόρων προκειµένου να διασφαλίσουν τον κύκλο ζωής κρίσιµων πληροφοριών. Οι έλεγχοι επιλέγονται κυρίως µε στόχο την αποφυγή διαρροής πληροφοριών προς µη εξουσιοδοτηµένες οντότητες ανεξάρτητα εάν αυτές είναι εξωτερικές ή εσωτερικές ως προς το περιβάλλον της επιχείρησης. Απαραίτητοι έλεγχοι για την προστασία της εµπιστευτικότητας κρίσιµων πόρων είναι οι ακόλουθοι: OP2.4.2 Ο έλεγχος απαιτεί τεκµηριωµένες πολιτικές και διαδικασίες χρήσης πληροφοριών για ατοµική και οµαδική πρόσβαση ώστε να: (A) θεσπίζονται κανόνες για την εκχώρηση του κατάλληλου επιπέδου πρόσβασης, (B) θεµελιωθεί το αρχικό δικαίωµα πρόσβασης, (Γ) τροποποιηθεί το δικαίωµα πρόσβασης (∆) διακοπεί το δικαίωµα πρόσβασης και (Ε) αναθεωρούνται και επαληθεύονται περιοδικά τα δικαιώµατα πρόσβασης. OP2.5.1 Ο έλεγχος απαιτεί την ύπαρξη ενός τεκµηριωµένου συνόλου διαδικασιών για την διαχείριση των τρωτών σηµείων, συµπεριλαµβανοµένης της επιλογής εργαλείων αξιολόγησης ευπάθειας, καταλόγων ελέγχου και δεσµών ενεργειών (scripts), συµβαδίζοντας µε γνωστούς τύπους ευπάθειας και µεθόδους προσβολής, αναθεωρώντας πηγές πληροφοριών για ανακοινώσεις ευπάθειας, συναγερµούς και προειδοποιήσεις ασφάλειας, αναγνωρίζοντας στοιχεία υποδοµής προς αξιολόγηση, προγραµµατίζοντας αξιολογήσεις ευπάθειας, ερµηνεύοντας αποτελέσµατα, συντηρώντας την ασφαλή αποθήκευση και διάθεση των δεδοµένων ευπάθειας. OP2.1.3 Ο έλεγχος απαιτεί να προστατεύονται οι ευαίσθητες πληροφορίες δια της ασφαλούς αποθήκευσης µε µεθόδους όπως: καθορισµένες αλληλουχίες φύλαξης, δηµιουργία εφεδρικών αντιγράφων αποθηκευόµενων εκτός των εγκαταστάσεων της επιχείρησης, αφαιρούµενα µέσα αποθήκευσης, διαδικασία απόρριψης ευαίσθητων δεδοµένων ή των µέσων αποθήκευσής τους. OP2.1.4 Ο έλεγχος απαιτεί την τακτική επαλήθευση της ακεραιότητας του εγκατεστηµένου λογισµικού. OP2.1.6 Ο έλεγχος απαιτεί την ύπαρξη ενός τεκµηριωµένου σχεδίου δηµιουργίας εφεδρικών αντιγράφων δεδοµένων, το οποίο ενηµερώνεται σε τακτική βάση, ελέγχεται περιοδικά, επιβάλει τακτικά προγραµµατισµένη δηµιουργία εφεδρικών αντιγράφων όχι µόνον του λογισµικού αλλά και των δεδοµένων και προϋποθέτει περιοδικό έλεγχο και επαλήθευση της ικανότητας επαναφοράς των δεδοµένων από τα εφεδρικά αντίγραφα. OP2.6.1 Ο έλεγχος απαιτεί κατάλληλους ελέγχους ασφάλειας, οι οποίοι πρέπει να χρησιµοποιούνται για την προστασία των ευαίσθητων δεδοµένων ενόσω αυτά βρίσκονται σε κατάσταση αποθήκευσης και κατά την µετάδοση, συµπεριλαµβανοµένων της κρυπτογράφησης των δεδοµένων, της κρυπτογράφησης κατά την µετάδοση, της κρυπτογράφησης δεδοµένων κατά την εγγραφή σε δίσκο, της

ENISA 63 ∆ιαχείριση Κινδύνων 13/02/2007

χρήσης δηµόσιου κλειδιού, της τεχνολογίας ιδεατού ιδιωτικού δικτύου και της κρυπτογράφησης για οποιαδήποτε µετάδοση µέσω διαδικτύου.

ENISA 64 ∆ιαχείριση Κινδύνων 13/02/2007

Μοναδικό αναγνωριστικό καρτών ελέγχου βάσει πόρων CC-1S

Προφίλ κινδύνων Υψηλού επιπέδου

Κατηγορία πόρου Σύστηµα

Απαιτήσεις ∆ιασφάλισης η ν η κές και και τω ν ησ λεια και ιώ ηση ική ού ος ύθησ ς ση ρ ότ ς ός λο γράφ µ ων πρακτι ιση ατος ισης ατ ογίας ιση ιση ασφά µ µ το ωπικ οφο τή ύου έλεγχο σιοδ βάντ νολ υ µ Υλική ∆ιαχείρ συσ δικτ Εργαλεία ∆ιαχείρ Συστή Παρακο και ασφάλειας τεχ πληρ Επαλήθευ εξο ∆ιαχείρ ευπάθεια Κρυπ Σχεδιασ αρχιτεκτον ασφάλειας ∆ιαχείρ συ Γενικές προσ

Εµπιστευτικότητα

Ακεραιότητα

∆ιαθεσιµότητα

Ένα υψηλό προφίλ κινδύνων υποδηλώνει απειλές που λαµβάνουν χώρα κατά την µη διαθεσιµότητα του συστήµατος και που οδηγούν στη έλλειψη διαθεσιµότητας της υπηρεσίας στην επιχείρηση. Τα συστήµατα δεν είναι σε θέση να φιλοξενήσουν επιχειρηµατικές εφαρµογές ή µπορεί να προκαλέσουν απώλεια κρίσιµων πληροφοριών. Η πηγή προέλευσης των απειλών µπορεί να είναι η αστάθεια του συστήµατος οφειλόµενη σε µηχανική δυσλειτουργία ή εσφαλµένη εγκατάσταση και χρήση. Οι συστηµικοί έλεγχοι περί εµπιστευτικότητας για προφίλ υψηλού επιπέδου κινδύνων οργανωτικής δοµής περιλαµβάνουν µεθόδους που διασφαλίζουν την κατάλληλη διαµόρφωση και λειτουργικότητα του συστήµατος. Οι συστηµικοί έλεγχοι περί ακεραιότητας για ένα προφίλ υψηλών κινδύνων οργανωτικής δοµής επιλαµβάνονται κατ’ εξοχήν απαιτήσεων διασφάλισης στο επίπεδο εφαρµογής ή συστήµατος ή δικτύου ή ανθρώπινων πόρων προκειµένου να διασφαλίσουν τη σταθερότητα του συστήµατος και την ακεραιότητα των κρίσιµων πληροφοριών. Η συνεχής διαθεσιµότητα του συστήµατος αποτελεί προϋπόθεση για την συνέχιση των επιχειρηµατικών δραστηριοτήτων. Οι έλεγχοι επιλέγονται κυρίως για να επιλαµβάνονται πληροφοριών όσον αφορά την δηµοσιοποίησή τους σε µη εξουσιοδοτηµένες οντότητες ανεξάρτητα εάν αυτές είναι εξωτερικές ή εσωτερικές ως προς το περιβάλλον του οργανισµού. Απαραίτητοι έλεγχοι για την διασφάλιση της ακεραιότητας των κρίσιµων πόρων είναι οι ακόλουθοι: OP2.1.3 Ο έλεγχος απαιτεί να προστατεύονται οι ευαίσθητες πληροφορίες δια της ασφαλούς αποθήκευσης µε µεθόδους όπως: καθορισµένες αλληλουχίες φύλαξης, δηµιουργία εφεδρικών αντιγράφων, που αποθηκεύονται εκτός των εγκαταστάσεων της επιχείρησης, αφαιρουµένων µέσων αποθήκευσης, διαδικασίας απόρριψης ευαίσθητων δεδοµένων ή των µέσων αποθήκευσής τους. OP2.1.4 Ο έλεγχος απαιτεί την τακτική επαλήθευση της ακεραιότητας του εγκατεστηµένου λογισµικού. OP2.1.5 Ο έλεγχος απαιτεί την ενηµέρωση όλων των συστηµάτων σε σχέση µε αναθεωρήσεις, προγράµµατα επιδιόρθωσης (patches) και συµβουλές για την ασφάλεια. OP2.1.6 Ο έλεγχος απαιτεί την ύπαρξη ενός τεκµηριωµένου σχεδίου δηµιουργίας εφεδρικών αντιγράφων δεδοµένων, το οποίο ενηµερώνεται σε τακτική βάση, ελέγχεται περιοδικά, επιβάλει τακτικά προγραµµατισµένη δηµιουργία εφεδρικών αντιγράφων όχι µόνον του λογισµικού αλλά και των δεδοµένων και προϋποθέτει περιοδικό έλεγχο και επαλήθευση της ικανότητας επαναφοράς των δεδοµένων από τα εφεδρικά αντίγραφα. OP 2.1.7 Ο έλεγχος απαιτεί ολόκληρο το προσωπικό να κατανοεί και να είναι σε θέση να ασκεί τις αρµοδιότητές του σύµφωνα µε τα σχέδια δηµιουργίας εφεδρικών αντιγράφων.

ENISA 65 ∆ιαχείριση Κινδύνων 13/02/2007

OP2.1.8 Ο έλεγχος απαιτεί οι µεταβολές στο υλικό και το λογισµικό ΤΠ να είναι προγραµµατισµένες , ελεγχόµενες και τεκµηριωµένες. OP2.1.9 Ο έλεγχος απαιτεί τα µέλη του προσωπικού ΤΠ να ακολουθούν διαδικασίες κατά την έκδοση, την αλλαγή και την διακοπή χρήσης συνθηµατικών, των λογαριασµών και των προνοµίων των χρηστών. Απαιτείται αναγνώριση µοναδικού χρήστη για όλους τους χρήστες των πληροφοριακών συστηµάτων, συµπεριλαµβανοµένων των χρηστών τρίτων. Προτερόθετοι (default) λογαριασµοί και προτερόθετα συνθηµατικά αφαιρούνται από τα συστήµατα. OP2.1.10 Ο έλεγχος απαιτεί να «εκτελούνται» µόνο οι απαραίτητες υπηρεσίες στα συστήµατα – όλες οι µη απαραίτητες υπηρεσίες έχουν αφαιρεθεί. OP2.2.1 Ο έλεγχος απαιτεί να επανεξετάζονται, σε τακτική βάση, όλα τα νέα εργαλεία, όλες οι νέες διαδικασίες και όλοι οι νέοι µηχανισµοί ασφάλειας ως προς την εφαρµοσιµότητά τους σχετικά µε την ανταπόκρισή τους στις στρατηγικές ασφάλειας του οργανισµού. OP2.2.2 Ο έλεγχος απαιτεί να χρησιµοποιούνται, να επανεξετάζονται, να ενηµερώνονται ή να αντικαθιστώνται, σε τακτική βάση, τα εργαλεία και οι µηχανισµοί για την ασφαλή διαχείριση του συστήµατος και του δικτύου. Παραδείγµατα: διατάξεις ελέγχου ακεραιότητας δεδοµένων, κρυπτογραφικά εργαλεία, διαγνώστες ευπάθειας, εργαλεία ελέγχου ποιότητας συνθηµατικών, ανιχνευτές ιών, εργαλεία διαχείρισης διαδικασιών, συστήµατα ανίχνευσης παρείσδυσης, ασφαλείς διαδικασίες τηλεδιαχείρησης, εργαλεία εξυπηρέτησης δικτύου, αναλυτές κίνησης, εργαλεία αντιµετώπισης συµβάντων, εργαλεία ανάλυσης δεδοµένων για την πρόληψη εγκληµατικών ενεργειών. OP2.3.1 Ο έλεγχος απαιτεί να χρησιµοποιούνται, τακτικά, από τον οργανισµό τα εργαλεία ελέγχου και παρακολούθησης των συστηµάτων και των δικτύων. Η δραστηριότητα παρακολουθείται από το προσωπικό ΤΠ , η δραστηριότητα των δικτύων και των συστηµάτων καταχωρίζεται σε ηµερολόγιο / καταγράφεται, οι καταχωρήσεις σε ηµερολόγιο ανασκοπούνται σε τακτική βάση, η ασυνήθιστη δραστηριότητα περιγράφεται σύµφωνα µε την κατάλληλη πολιτική ή διαδικασία, τα, δε, εργαλεία επανεξετάζονται και ενηµερώνονται περιοδικά. OP2.4.1 Ο έλεγχος απαιτεί να χρησιµοποιούνται οι κατάλληλοι έλεγχοι πρόσβασης και η κατάλληλη επιβεβαίωση γνησιότητας των χρηστών (π.χ. έγκριση µετατροπής αρχείων, διαµόρφωση δικτύου) που συνάδει µε την σχετική πολιτική για τον περιορισµό της πρόσβασης των χρηστών σε πληροφορίες, προγράµµατα γενικής-κοινής χρήσης συστήµατος, σε κώδικα πηγής προγράµµατος, ευαίσθητα συστήµατα, ειδικές εφαρµογές και διατάξεις ελέγχου, συνδέσεις δικτύου µέσα στον οργανισµό, συνδέσεις δικτύου εκτός του οργανισµού. OP2.4.3 Ο έλεγχος απαιτεί οι µέθοδοι/µηχανισµοί ελέγχου πρόσβασης να περιορίζουν την πρόσβαση σε πόρους σύµφωνα µε τα δικαιώµατα πρόσβασης που καθορίζονται από τις πολιτικές και τις διαδικασίες. OP2.4.6 Ο έλεγχος απαιτεί να χρησιµοποιούνται µηχανισµοί επιβεβαίωσης γνησιότητας για την προστασία της διαθεσιµότητας, της ακεραιότητας και της εµπιστευτικότητας των ευαίσθητων δεδοµένων. Τέτοια παραδείγµατα είναι οι ψηφιακές υπογραφές και η βιοµετρική. OP2.6.1 Ο έλεγχος απαιτεί κατάλληλους ελέγχους ασφάλειας, που πρέπει να χρησιµοποιούνται για την προστασία των ευαίσθητων δεδοµένων ενόσω αυτά βρίσκονται σε κατάσταση αποθήκευσης και κατά τη διάρκεια της µετάδοσης, συµπεριλαµβανοµένων της κρυπτογράφησης κατά τη διάρκεια της µετάδοσης, της κρυπτογράφησης δεδοµένων κατά την εγγραφή σε δίσκο, της χρήσης υποδοµής δηµόσιου κλειδιού, της τεχνολογίας ιδεατού ιδιωτικού δικτύου και της κρυπτογράφησης για οποιαδήποτε µετάδοση µέσω διαδικτύου. OP2.7.1 Ο έλεγχος απαιτεί η αρχιτεκτονική και ο σχεδιασµός του συστήµατος για καινούρια και µη αναθεωρηµένα συστήµατα να συµπεριλαµβάνει προβληµατισµούς για στρατηγικές, πολιτικές και διαδικασίες ασφάλειας, το ιστορικό διαρροών ασφάλειας και τα αποτελέσµατα αξιολογήσεων κινδύνων ασφάλειας. OP2.7.2 Ο έλεγχος απαιτεί να διαθέτει ο οργανισµός ενηµερωµένα διαγράµµατα, τα οποία απεικονίζουν την αρχιτεκτονική ασφάλειας που διατρέχει το σύνολο του οργανισµού και την τοπολογία δικτύου.

ENISA 66 ∆ιαχείριση Κινδύνων 13/02/2007

Μοναδικό αναγνωριστικό καρτών ελέγχου βάσει πόρων CC-1N

Προφίλ κινδύνων Υψηλού επιπέδου

Κατηγορία πόρου ∆ίκτυο

Απαιτήσεις ∆ιασφάλισης η ν η κές και και τω ν ησ και λεια ηση ύθησ ς ιώ ση ική ού ος ρ ότ ς ός µ ων πρακτι ιση ατος ισης ατ λο ιση γράφ ιση ασφά µ µ ογίας οφο το ωπικ τή ύου σιοδ βάντ έλεγχο νολ υ µ Υλική ∆ιαχείρ συσ δικτ Εργαλεία ∆ιαχείρ Συστή Παρακο και ασφάλειας τεχ πληρ Επαλήθευ εξο ∆ιαχείρ ευπάθεια Κρυπ Σχεδιασ αρχιτεκτον ασφάλειας ∆ιαχείρ συ Γενικές προσ

Ακεραιότητα

∆ιαθεσιµότητα 1.1.4 2.4.6

Ένα προφίλ υψηλών κινδύνων υποδηλώνει απειλές, οι οποίες λαµβάνουν χώρα σε τρωτά σηµεία του δικτύου που µπορεί να οδηγήσουν σε εξωτερικές προσβολές ή σε εσωτερική µη εξουσιοδοτηµένη πρόσβαση σε ορισµένες περιοχές υψηλού ενδιαφέροντος ή κινδύνων του δικτύου. Η απουσία ασφάλειας δικτύου έχει άµεσο και απευθείας αποτέλεσµα σε εκτελούµενες εφαρµογές και στην ροή των πληροφοριών. Οι βασιζόµενοι στο δίκτυο έλεγχοι εµπιστευτικότητας για ένα οργανωτικό προφίλ υψηλών κινδύνων πρέπει να προστατεύει τις κρίσιµες εσωτερικές πληροφορίες από δυνητική απώλεια ή παράνοµη χρήση. Επιπρόσθετα, οι πληροφορίες που αποθηκεύονται σε δίκτυο πρέπει να είναι διαθέσιµες και εύκολα προσβάσιµες ενώ πρέπει, επίσης, να διαχωρίζονται σύµφωνα µε το επίπεδο κρισιµότητας. Απαραίτητοι έλεγχοι για την διασφάλιση της εµπιστευτικότητας, της ακεραιότητας και της διαθεσιµότητας σε ένα δίκτυο είναι οι ακόλουθοι: OP2.6.1 Ο έλεγχος απαιτεί κατάλληλους ελέγχους ασφάλειας, που πρέπει να χρησιµοποιούνται για την προστασία των ευαίσθητων δεδοµένων ενόσω αυτά βρίσκονται σε κατάσταση αποθήκευσης και κατά τη διάρκεια της µετάδοσης, συµπεριλαµβανοµένων της κρυπτογράφησης δεδοµένων κατά τη διάρκεια της µετάδοσης, της κρυπτογράφησης δεδοµένων κατά την εγγραφή σε δίσκο, της χρήσης υποδοµής δηµόσιου κλειδιού, της τεχνολογίας ιδεατού ιδιωτικού δικτύου και της κρυπτογράφησης για οποιαδήποτε µετάδοση µέσω διαδικτύου. OP2.4.6 Ο έλεγχος απαιτεί να χρησιµοποιούνται µηχανισµοί επιβεβαίωσης γνησιότητας για την προστασία της διαθεσιµότητας, της ακεραιότητας και της εµπιστευτικότητας των ευαίσθητων δεδοµένων. Τέτοια παραδείγµατα είναι οι ψηφιακές υπογραφές και η βιοµετρική. OP2.7.2 Ο έλεγχος απαιτεί να διαθέτει ο οργανισµός ενηµερωµένα διαγράµµατα, τα οποία απεικονίζουν την αρχιτεκτονική ασφάλειας που διατρέχει το σύνολο του οργανισµού και την τοπολογία δικτύου. OP2.1.1 Ο έλεγχος απαιτεί να υπάρχουν τεκµηριωµένο(-α) σχέδιο(-α) ασφάλειας για την προστασία των συστηµάτων και των δικτύων. OP2.4.1 Ο έλεγχος απαιτεί να χρησιµοποιούνται οι κατάλληλοι έλεγχοι πρόσβασης και η κατάλληλη επιβεβαίωση γνησιότητας χρηστών (π.χ. έγκριση µετατροπής αρχείων, διαµόρφωση δικτύου) που συνάδει µε την σχετική πολιτική για τον περιορισµό της πρόσβασης των χρηστών σε πληροφορίες, προγράµµατα γενικής-κοινής χρήσης συστήµατος, σε κώδικα πηγής προγράµµατος, ευαίσθητα

ENISA 67 ∆ιαχείριση Κινδύνων 13/02/2007

συστήµατα, ειδικές εφαρµογές και διατάξεις ελέγχου, συνδέσεις δικτύου µέσα στον οργανισµό, συνδέσεις δικτύου εκτός του οργανισµού. OP2.4.3 Ο έλεγχος απαιτεί οι µέθοδοι/µηχανισµοί ελέγχου πρόσβασης να περιορίζουν την πρόσβαση σε πόρους σύµφωνα µε τα δικαιώµατα πρόσβασης που καθορίζονται από τις πολιτικές και τις διαδικασίες. OP2.1.10 Ο έλεγχος απαιτεί µόνο οι απαραίτητες υπηρεσίες να «εκτελούνται» στα συστήµατα – όλες οι µη απαραίτητες υπηρεσίες έχουν αφαιρεθεί. OP 2.5.3 Ο έλεγχος απαιτεί οι αξιολογήσεις τρωτών σηµείων της τεχνολογίας να διενεργούνται σε περιοδική βάση και τα τρωτά σηµεία να αντιµετωπίζονται αφότου αναγνωρίζονται. OP1.1.4 Ο έλεγχος απαιτεί να υπάρχουν τεκµηριωµένες πολιτικές και διαδικασίες για την διαχείριση επισκεπτών, συµπεριλαµβανοµένων των καταγραφών στοιχείων εισόδου, συνοδείας, πρόσβασης, υποδοχής και φιλοξενίας. OP2.4.6 Ο έλεγχος απαιτεί να χρησιµοποιούνται µηχανισµοί επιβεβαίωσης γνησιότητας για την προστασία της διαθεσιµότητας, της ακεραιότητας και της εµπιστευτικότητας των ευαίσθητων δεδοµένων. Τέτοια παραδείγµατα είναι οι ψηφιακές υπογραφές και η βιοµετρική.

ENISA 68 ∆ιαχείριση Κινδύνων 13/02/2007

Μοναδικό αναγνωριστικό καρτών ελέγχου πόρων CC-1P

Προφίλ κινδύνων Υψηλού επιπέδου

Κατηγορία πόρου Ανθρώπινο δυναµικό

Απαιτήσεις ∆ιασφάλισης η ν η κές και και τω ν ησ λεια και ς ιώ ηση ική ού ος ύθησ ση ρ ότ ς ός λο γράφ µ ων πρακτι ιση ατος ισης ατ ιση ιση ασφά µ µ ογίας οφο το ωπικ τή ύου έλεγχο σιοδ βάντ νολ υ µ Υλική ∆ιαχείρ συσ δικτ Εργαλεία ∆ιαχείρ Συστή Παρακο και ασφάλειας τεχ πληρ Επαλήθευ εξο ∆ιαχείρ ευπάθεια Κρυπ Σχεδιασ αρχιτεκτον ασφάλειας ∆ιαχείρ συ Γενικές προσ

Εµπιστευτικότητα 3.2.1

Ακεραιότητα 3.2.1

∆ιαθεσιµότητα

Ένα προφίλ υψηλών κινδύνων υποδηλώνει απειλές, οι οποίες λαµβάνουν χώρα κατά την διαχείριση του ανθρώπινου δυναµικού και των ανθρώπινων πόρων γενικά. Το επίπεδο δέσµευσης του προσωπικού σχετικά µε την χρήση των κατάλληλων ελέγχων ασφάλειας στους δικτυακούς πόρους καθορίζει το επίπεδο προστασίας που µπορεί να επιτευχθεί. Ο χειρισµός των πληροφοριών και η επαναχρησιµοποίηση παλαιότερων εγγραφών µεγάλης αξίας για τον οργανισµό αποτελεί έναν κρίσιµο πόρο. Οι εσωτερικές ή εµπιστευτικές πληροφορίες από το προσωπικό πρέπει να αντιµετωπίζονται ευλαβικά. Η παρακολούθηση των πολιτικών προσωπικού για τις διαδικασίες αυτές διασφαλίζει την εµπιστευτικότητα, την ακεραιότητα και την διαθεσιµότητα των πληροφοριών. Απαραίτητοι έλεγχοι για την διασφάλιση της εµπιστευτικότητας, της ακεραιότητας και της διαθεσιµότητας των πληροφοριών σε συνδυασµό µε ένα πόρο ζωτικής σηµασίας, όπως το ανθρώπινο δυναµικό, είναι οι ακόλουθοι: OP3.2.1 Ο έλεγχος απαιτεί να ακολουθούν τα µέλη του προσωπικού ορθές πρακτικές ασφάλειας,

που σηµαίνει: να διασφαλίζουν τις πληροφορίες για τις οποίες είναι υπεύθυνοι να µην αποκαλύπτουν

ευαίσθητα δεδοµένα σε τρίτους (αντίσταση στη χειραγώγηση) να έχουν επαρκή ικανότητα χρήσης

υλικού και λογισµικού πληροφορικής τεχνολογίας να χρησιµοποιούν ορθές πρακτικές συνθηµατικών

να κατανοούν και να ακολουθούν πολιτικές και να τηρούν κανονισµούς ασφάλειας να αναγνωρίζουν και να αναφέρουν συµβάντα. OP3.2.2 Ο έλεγχος απαιτεί ολόκληρο το προσωπικό, σε όλα τα επίπεδα ευθύνης, να εφαρµόζει τα καθήκοντα και την υπευθυνότητα που του έχει ανατεθεί σχετικά µε την ασφάλεια των πληροφοριών. OP3.2.3 Ο έλεγχος απαιτεί να υπάρχουν τεκµηριωµένες διαδικασίες για την εξουσιοδότηση και την επίβλεψη εκείνων που εργάζονται µε ευαίσθητα δεδοµένα ή που εργάζονται σε τοποθεσίες όπου αποθηκεύονται αυτά τα δεδοµένα. Σε αυτούς συµπεριλαµβάνονται οι εργαζόµενοι, οι εργολάβοι, οι εταίροι, οι συνεργάτες και το προσωπικό από τρίτους, το προσωπικό συντήρησης συστηµάτων ή το προσωπικό συντήρησης εγκαταστάσεων. OP1.1.4 Ο έλεγχος απαιτεί να υπάρχουν τεκµηριωµένες πολιτικές και διαδικασίες για την διαχείριση επισκεπτών, συµπεριλαµβανοµένων των καταγραφών στοιχείων εισόδου, συνοδείας, των ηµερολογίων πρόσβασης, της υποδοχής και φιλοξενίας. OP1.3.2 Ο έλεγχος απαιτεί να µπορούν να καταγράφονται οι ενέργειες, είτε ενός ατόµου ή µίας οµάδας, όσον αυτό αφορά όλα τα φυσικά ελεγχόµενα µέσα.

ENISA 69 ∆ιαχείριση Κινδύνων 13/02/2007

Μοναδικό αναγνωριστικό καρτών ελέγχου πόρων CC-2A

Προφίλ κινδύνων Μέτριου επιπέδου

Κατηγορία πόρου Εφαρµογή

Απαιτήσεις ∆ιασφάλισης η ν η κές και και τω ν ησ λεια και ιώ ηση ική ού ος ύθησ ς ση ρ ότ ς ός λο γράφ µ ων πρακτι ιση ατος ισης ατ ιση ιση ασφά µ µ ογίας οφο το ωπικ τή ύου έλεγχο σιοδ βάντ νολ υ µ Υλική ∆ιαχείρ συσ δικτ Εργαλεία ∆ιαχείρ Συστή Παρακο και ασφάλειας τεχ πληρ Επαλήθευ εξο ∆ιαχείρ ευπάθεια Κρυπ Σχεδιασ αρχιτεκτον ασφάλειας ∆ιαχείρ συ Γενικές προσ

Εµπιστευτικότητα 2.4.2 2.6.1

Ακεραιότητα 2.4.2

∆ιαθεσιµότητα 2.1.6

Ένα προφίλ µέτριων κινδύνων υποδηλώνει την αποθήκευση και επεξεργασία εσωτερικών ή µέτριας αξίας σχετικών µε την ιδιοκτησία πληροφοριών που θα µπορούσε τυπικά να επισύρει την εµφάνιση ενός προφίλ γενικών απειλής που θα περιελάµβανε εξωτερικές κακόβουλες οντότητες που σκοπεύουν να παραβιάσουν ή να διακυβεύσουν την εµπιστευτικότητα ειδικών και µέτριας αξίας πληροφοριών. Οι έλεγχοι εµπιστευτικότητας που βασίζονται στις εφαρµογές για ένα οργανωτικό προφίλ µέτριων κινδύνων επιλαµβάνονται κατ’ εξοχήν απαιτήσεων διασφάλισης στο επίπεδο µίας εφαρµογής, ενός συστήµατος, ενός δικτύου και ανθρώπινων πόρων προκειµένου να διασφαλίσουν τον κύκλο ζωής κρίσιµων πληροφοριών. Οι έλεγχοι εµπιστευτικότητας που βασίζονται στην ακεραιότητα για ένα προφίλ οργανωτικής δοµής µέτριου κινδύνων καθορίζουν το επίπεδο ακρίβειας των πληροφοριών µίας εφαρµογής ενώ η διαθεσιµότητα αφορά το επίπεδο προσβασιµότητας. Απαραίτητοι έλεγχοι για την προστασία της εµπιστευτικότητας, της ακεραιότητας και της διαθεσιµότητας στις εφαρµογές είναι οι ακόλουθοι: OP2.4.2 Ο έλεγχος απαιτεί τεκµηριωµένες πολιτικές και διαδικασίες χρήσης πληροφοριών για ατοµική και οµαδική πρόσβαση ώστε να καθιερωθούν κανόνες για την εκχώρηση του κατάλληλου επιπέδου πρόσβασης, θεµελιωθεί το αρχικό δικαίωµα πρόσβασης, τροποποιηθεί το δικαίωµα πρόσβασης, διακοπεί το δικαίωµα πρόσβασης και για να ανασκοπούνται και να επαληθεύονται περιοδικά τα δικαιώµατα πρόσβασης. OP2.6.1 Ο έλεγχος απαιτεί κατάλληλους ελέγχους ασφάλειας, που πρέπει να χρησιµοποιούνται για την προστασία των ευαίσθητων δεδοµένων ενόσω αυτά βρίσκονται σε κατάσταση αποθήκευσης και κατά τη διάρκεια της µετάδοσης, συµπεριλαµβανοµένων της κρυπτογράφησης των δεδοµένων κατά τη διάρκεια της µετάδοσης, της κρυπτογράφησης δεδοµένων κατά την εγγραφή σε δίσκο, της χρήσης υποδοµής δηµόσιου κλειδιού, της τεχνολογίας ιδεατού ιδιωτικού δικτύου και της κρυπτογράφησης για οποιαδήποτε µετάδοση µέσω διαδικτύου. OP2.1.6 Ο έλεγχος απαιτεί την ύπαρξη ενός τεκµηριωµένου σχεδίου δηµιουργίας εφεδρικών αντιγράφων δεδοµένων, το οποίο ενηµερώνεται σε τακτική βάση, ελέγχεται περιοδικά, επιβάλει τακτικά προγραµµατισµένη δηµιουργία εφεδρικών αντιγράφων όχι µόνον του λογισµικού αλλά και των δεδοµένων και προϋποθέτει περιοδικό έλεγχο και επαλήθευση της ικανότητας επαναφοράς των δεδοµένων από τα εφεδρικά αντίγραφα. OP2.1.7 Ο έλεγχος απαιτεί ολόκληρο το προσωπικό να κατανοεί και να είναι σε θέση να ασκεί τις αρµοδιότητές του σύµφωνα µε τα σχέδια δηµιουργίας εφεδρικών αντιγράφων.

ENISA 70 ∆ιαχείριση Κινδύνων 13/02/2007

Μοναδικό αναγνωριστικό καρτών ελέγχου βάσει πόρων CC-2S

Προφίλ κινδύνων Μέτριου επιπέδου

Κατηγορία πόρου Σύστηµα

Απαιτήσεις ∆ιασφάλισης η ν η κές και και τω ν ησ λεια και ιώ ηση ική ού ος ύθησ ς ση ρ ότ ς ός ων λο γράφ µ πρακτι ιση ατος ισης ατ ιση ιση ασφά µ µ ογίας οφο το ωπικ τή ύου σιοδ βάντ έλεγχο νολ υ µ Υλική ∆ιαχείρ συσ δικτ Εργαλεία ∆ιαχείρ Συστή Παρακο και ασφάλειας τεχ πληρ Επαλήθευ εξο ∆ιαχείρ ευπάθεια Κρυπ Σχεδιασ αρχιτεκτον ασφάλειας ∆ιαχείρ συ Γενικές προσ

Εµπιστευτικότητα 2.1.6

∆ιαθεσιµότητα 2.1.6

Ένα προφίλ µέτριων κινδύνων υποδηλώνει απειλές µέτριου επιπέδου που λαµβάνουν χώρα σε αστάθειες του συστήµατος και που οδηγούν στη µη διαθεσιµότητα της υπηρεσίας στην επιχείρηση για ένα σύντοµο χρονικό διάστηµα. Τα συστήµατα δεν είναι σε θέση να υποστηρίξουν δεόντως εφαρµογές ή λειτουργίες. Οι βασισµένοι στο σύστηµα έλεγχοι για ένα οργανωτικό προφίλ µέτριων κινδύνων περιλαµβάνουν µεθόδους που διασφαλίζουν την κατάλληλη διαµόρφωση και λειτουργικότητα του συστήµατος για ενδεδειγµένη πρόσβαση. Απαραίτητοι έλεγχοι για την προστασία της εµπιστευτικότητας, της ακεραιότητας και της διαθεσιµότητας συστηµάτων είναι οι ακόλουθοι: OP2.4.1 Ο έλεγχος απαιτεί να χρησιµοποιούνται οι κατάλληλοι έλεγχοι πρόσβασης και η κατάλληλη επιβεβαίωση γνησιότητας χρηστών (π.χ. έγκριση µετατροπής αρχείων, διαµόρφωση δικτύου) που συνάδει µε την σχετική πολιτική για τον περιορισµό της πρόσβασης των χρηστών σε πληροφορίες, προγράµµατα γενικής-κοινής χρήσης συστήµατος, σε πηγαίο κώδικα προγράµµατος, ευαίσθητα συστήµατα, ειδικές εφαρµογές και διατάξεις ελέγχου, συνδέσεις δικτύου µέσα στον οργανισµό, συνδέσεις δικτύου εκτός του οργανισµού. OP2.1.6 Ο έλεγχος απαιτεί την ύπαρξη ενός τεκµηριωµένου σχεδίου δηµιουργίας εφεδρικών αντιγράφων δεδοµένων, το οποίο ενηµερώνεται σε τακτική βάση, ελέγχεται περιοδικά, επιβάλει τακτικά προγραµµατισµένη δηµιουργία εφεδρικών αντιγράφων όχι µόνον του λογισµικού αλλά και των δεδοµένων και προϋποθέτει περιοδικό έλεγχο και επαλήθευση της ικανότητας επαναφοράς των δεδοµένων από τα εφεδρικά αντίγραφα. OP2.1.7 Ο έλεγχος απαιτεί ολόκληρο το προσωπικό να κατανοεί και να είναι σε θέση να ασκεί τις αρµοδιότητές του σύµφωνα µε τα σχέδια δηµιουργίας εφεδρικών αντιγράφων. OP2.1.9 Ο έλεγχος απαιτεί τα µέλη του προσωπικού της τεχνολογίας των πληροφοριών να ακολουθούν διαδικασίες κατά την έκδοση, την αλλαγή και την διακοπή χρήσης συνθηµατικών, των λογαριασµών και των προνοµίων κάθε χρήστη. Απαιτείται αναγνώριση µοναδικού χρήστη για όλους τους χρήστες των πληροφοριακών συστηµάτων, συµπεριλαµβανοµένων των χρηστών τρίτων µερών. Προτερόθετοι λογαριασµοί και προτερόθετα συνθηµατικά αφαιρούνται από τα συστήµατα.

ENISA 71 ∆ιαχείριση Κινδύνων 13/02/2007

Μοναδικό αναγνωριστικό καρτών ελέγχου βάσει πόρων CC-2N

Προφίλ κινδύνων Μέτριου επιπέδου

Κατηγορία πόρου ∆ίκτυο

Απαιτήσεις η ν η κές ∆ιασφάλισης και και τω ν ησ λεια και ιώ ηση ική ού ος ύθησ ς ση ρ ότ ς ός ατος λο γράφ µ πρακτι ιση ισης ατ ογίας ιση ιση ασφά µ µ το ωπικ οφο άντων τή ύου σιοδ β έλεγχο νολ υ µ Υλική ∆ιαχείρ συσ δικτ Εργαλεία ∆ιαχείρ Συστή Παρακο και ασφάλειας τεχ πληρ Επαλήθευ εξο ∆ιαχείρ ευπάθεια Κρυπ Σχεδιασ αρχιτεκτον ασφάλειας ∆ιαχείρ συ Γενικές προσ

Εµπιστευτικότητα 2.6.1

Ακεραιότητα 2.4.3

∆ιαθεσιµότητα 2.1.5

Ένα προφίλ µέτριων κινδύνων υποδηλώνει απειλές, οι οποίες λαµβάνουν χώρα σε τρωτά σηµεία του δικτύου λόγω εσφαλµένης ή ανεπαρκώς εφαρµοζόµενης αρχιτεκτονικής δικτύου και που µπορεί να οδηγήσουν σε εξωτερικές απειλές ή εσωτερική µη εξουσιοδοτηµένη πρόσβαση σε ορισµένες περιοχές του δικτύου ή µέτριου ενδιαφέροντος και µέτριας οργανωτικής αξίας. Η απουσία ασφάλειας δικτύου έχει άµεσο και απευθείας αποτέλεσµα σε εκτελούµενες εφαρµογές και στην ροή των πληροφοριών. Ο κίνδυνος θεωρείται µέτριος όταν το σύστηµα δεν επιτρέπει την πρόσβαση σε κρίσιµα συστατικά στοιχεία που θα µπορούσαν να επηρεάσουν άµεσα την φήµη ή την οικονοµική υγεία του οργανισµού. Απαραίτητοι έλεγχοι για την προστασία της εµπιστευτικότητας, της ακεραιότητας και της διαθεσιµότητας σε ένα δίκτυο είναι οι ακόλουθοι: OP2.6.1 Ο έλεγχος απαιτεί κατάλληλους ελέγχους ασφάλειας, που πρέπει να χρησιµοποιούνται για την προστασία των ευαίσθητων δεδοµένων ενόσω αυτά βρίσκονται σε κατάσταση αποθήκευσης και κατά τη διάρκεια της µετάδοσης, συµπεριλαµβανοµένων της κρυπτογράφησης των δεδοµένων κατά τη διάρκεια της µετάδοσης, της κρυπτογράφησης δεδοµένων κατά την εγγραφή σε δίσκο, της χρήσης υποδοµής δηµόσιου κλειδιού, της τεχνολογίας ιδεατού ιδιωτικού δικτύου και της κρυπτογράφησης για οποιαδήποτε µετάδοση µέσω διαδικτύου. OP2.4.3 Ο έλεγχος απαιτεί οι µέθοδοι/µηχανισµοί ελέγχου πρόσβασης να περιορίζουν την πρόσβαση σε πόρους σύµφωνα µε τα δικαιώµατα πρόσβασης που καθορίζονται από τις πολιτικές και τις διαδικασίες. OP2.1.5 Ο έλεγχος απαιτεί την ενηµέρωση όλων των συστηµάτων σε σχέση µε αναθεωρήσεις, προγράµµατα επιδιόρθωσης και συστάσεις για ελέγχους ασφάλειας.

ENISA 72 ∆ιαχείριση Κινδύνων 13/02/2007

Μοναδικό αναγνωριστικό καρτών ελέγχου πόρων CC-2P

Προφίλ κινδύνων Μέτριου επιπέδου

Κατηγορία πόρου Ανθρώπινο δυναµικό

Απαιτήσεις η ν η κές ∆ιασφάλισης και και τω ν ησ λεια και ιώ ηση ική ού ος ύθησ ς ση ρ ότ ς ός ατος λο γράφ µ πρακτι ιση ισης ατ ογίας ιση ιση ασφά µ µ το ωπικ οφο άντων τή ύου σιοδ β έλεγχο νολ υ µ Υλική ∆ιαχείρ συσ δικτ Εργαλεία ∆ιαχείρ Συστή Παρακο και ασφάλειας τεχ πληρ Επαλήθευ εξο ∆ιαχείρ ευπάθεια Κρυπ Σχεδιασ αρχιτεκτον ασφάλειας ∆ιαχείρ συ Γενικές προσ

Εµπιστευτικότητα 3.2.1

Ακεραιότητα 3.2.1

∆ιαθεσιµότητα 1.1.4

Ένα προφίλ µέτριων κινδύνων υποδηλώνει απειλές, οι οποίες λαµβάνουν χώρα κατά την διαχείριση των ανθρώπινων πόρων µεσαίου µεγέθους επιχειρήσεων όταν οι τρέχουσες πολιτικές ασφάλειας µπορούν να οδηγήσουν σε επιχειρηµατικά προβλήµατα µέτριας επίπτωσης. Τα συµβάντα που προκύπτουν από την αδόκιµη χρήση των συνθηµατικών ή των δικαιωµάτων πρόσβασης µπορεί να οδηγήσουν σε διαρροή των πληροφοριών. Ένα µέτριο επίπεδο εµπιστευτικότητας των πληροφοριών καθορίζει το επίπεδο κινδύνων ή την απώλεια χρηµάτων για τον οργανισµό. Η παρακολούθηση των πολιτικών προσωπικού για τις διαδικασίες αυτές διασφαλίζει την εµπιστευτικότητα, την ακεραιότητα και την διαθεσιµότητα των πληροφοριών. Απαραίτητοι έλεγχοι για την διασφάλιση της εµπιστευτικότητας, της ακεραιότητας και της διαθεσιµότητας των πληροφοριών σε συνδυασµό µε ένα κρίσιµο πόρο είναι οι ακόλουθοι: OP3.2.1 Ο έλεγχος απαιτεί να ακολουθούν τα µέλη του προσωπικού ορθές πρακτικές ασφάλειας,

που σηµαίνει: να διασφαλίζουν τις πληροφορίες για τις οποίες είναι υπεύθυνοι να µην αποκαλύπτουν

ευαίσθητα δεδοµένα σε τρίτους (αντίσταση στη χειραγώγηση) να έχουν επαρκή ικανότητα χρήσης

υλικού και λογισµικού πληροφοριακής τεχνολογίας να χρησιµοποιούν ορθές πρακτικές συνθηµατικών

να κατανοούν και να ακολουθούν πολιτικές και να τηρούν κανονισµούς ασφάλειας να αναγνωρίζουν και να αναφέρουν συµβάντα. OP3.2.2 Ο έλεγχος απαιτεί ολόκληρο το προσωπικό, σε όλα τα επίπεδα ευθύνης, να εφαρµόζει τα καθήκοντα και την υπευθυνότητα που τους έχει ανατεθεί σχετικά µε την ασφάλεια των πληροφοριών. OP1.1.4 Ο έλεγχος απαιτεί να υπάρχουν τεκµηριωµένες πολιτικές και διαδικασίες για την διαχείριση επισκεπτών, συµπεριλαµβανοµένων των καταγραφών στοιχείων εισόδου, συνοδείας, πρόσβασης, υποδοχής και φιλοξενίας.

ENISA 73 ∆ιαχείριση Κινδύνων 13/02/2007

Μοναδικό αναγνωριστικό καρτών ελέγχου βάσει πόρων CC-3A

Προφίλ κινδύνων Χαµηλού Επιπέδου

Κατηγορία πόρου Εφαρµογή

Απαιτήσεις ∆ιασφάλισης η ν η κές και και τω ν ησ λεια και ιώ ηση ική ού ος ύθησ ς ση ρ ότ ς ός λο γράφ µ πρακτι ιση ατος ισης ατ ογίας ιση ιση ασφά µ µ το ωπικ οφο άντων τή ύου έλεγχο σιοδ β νολ υ µ Υλική ∆ιαχείρ συσ δικτ Εργαλεία ∆ιαχείρ Συστή Παρακο και ασφάλειας τεχ πληρ Επαλήθευ εξο ∆ιαχείρ ευπάθεια Κρυπ Σχεδιασ αρχιτεκτον ασφάλειας ∆ιαχείρ συ Γενικές προσ

Εµπιστευτικότητα 2.4.2

Ακεραιότητα

∆ιαθεσιµότητα

Ένα προφίλ χαµηλών κινδύνων υποδηλώνει την αποθήκευση και την επεξεργασία δηµόσιων ή εσωτερικών πληροφοριών αλλά χωρίς κρίσιµο επίπεδο σπουδαιότητας που θα συνεπαγόταν κάτι περισσότερο από µία ελάχιστη απώλεια χρηµάτων. Η φήµη του οργανισµού δεν διακυβεύεται. Εν τούτοις, πρέπει να εφαρµόζονται οι έλεγχοι που θα αποσοβούσαν ακόµη και αυτού του τύπου την διαρροή πληροφοριών και που θα µπορούσαν να εξασφαλίσουν τον κύκλο ζωής των πληροφοριών. Επιπρόσθετα, ακόµη και εάν δεν υφίσταται επίπτωση στην εµπιστευτικότητα, πρέπει να διασφαλίζεται η ακεραιότητα και η διαθεσιµότητα των πληροφοριών για κάθε εξουσιοδοτηµένο χρήστη. Απαραίτητος έλεγχος σχετικά µε την εµπιστευτικότητα αυτού του περιουσιακού στοιχείου εφαρµογής είναι ο ακόλουθος: OP2.4.2 Ο έλεγχος απαιτεί τεκµηριωµένες πολιτικές και διαδικασίες χρήσης πληροφοριών για ατοµική και οµαδική πρόσβαση ώστε να καθιερωθούν κανόνες για την εκχώρηση του κατάλληλου επιπέδου πρόσβασης, να θεµελιωθεί το αρχικό δικαίωµα πρόσβασης, να τροποποιηθεί το δικαίωµα πρόσβασης, να διακοπεί το δικαίωµα πρόσβασης και να ανασκοπούνται και να επαληθεύονται περιοδικά τα δικαιώµατα πρόσβασης.

ENISA 74 ∆ιαχείριση Κινδύνων 13/02/2007

Μοναδικό αναγνωριστικό καρτών ελέγχου βάσει πόρων CC-3S

Προφίλ κινδύνων Χαµηλού επιπέδου

Κατηγορία πόρου Σύστηµα

Απαιτήσεις ∆ιασφάλισης η ν η κές και και τω ν ησ λεια και ς ιώ ηση ική ού ος ύθησ ση ρ ότ ς ός ατος λο γράφ µ πρακτι ιση ισης ατ ογίας ιση ιση ασφά µ µ το ωπικ οφο άντων τή ύου έλεγχο σιοδ β νολ υ µ Υλική ∆ιαχείρ συσ δικτ Εργαλεία ∆ιαχείρ Συστή Παρακο και ασφάλειας τεχ πληρ Επαλήθευ εξο ∆ιαχείρ ευπάθεια Κρυπ Σχεδιασ αρχιτεκτον ασφάλειας ∆ιαχείρ συ Γενικές προσ

Εµπιστευτικότητα 2.1.9 2.4.1

Ακεραιότητα 2.4.1

∆ιαθεσιµότητα 2.1.6

Ένα προφίλ χαµηλών κινδύνων υποδηλώνει το ελάχιστο επίπεδο απειλών που συνεπάγονται δυνητικές αστάθειες του συστήµατος που οδηγούν σε µη διαθεσιµότητα της υπηρεσίας στην επιχείρηση για ένα σύντοµο χρονικό διάστηµα. Οι βασισµένοι στο σύστηµα έλεγχοι για οργανωτικό προφίλ ελάχιστων κινδύνων περιλαµβάνουν µεθόδους που διασφαλίζουν την κατάλληλη διάταξη και λειτουργικότητα του συστήµατος για ενδεδειγµένη πρόσβαση. Η επίπτωση στην µη διαθεσιµότητα του συστήµατος δεν επηρεάζει την φήµη του οργανισµού δεδοµένου ότι οι πληροφορίες δεν είναι ούτε ιδιωτικού χαρακτήρα ούτε καθοριστικές για τον οργανισµό. Η µη διαθεσιµότητα του συστήµατος δεν επηρεάζει την ποιότητα της υπηρεσίας ή του προϊόντος. Απαραίτητος έλεγχος για την προστασία της εµπιστευτικότητας και της διαθεσιµότητας στα συστήµατα είναι ο ακόλουθος: OP2.4.1 Ο έλεγχος απαιτεί να χρησιµοποιούνται οι κατάλληλοι έλεγχοι πρόσβασης και η κατάλληλη επιβεβαίωση γνησιότητας χρηστών (π.χ. έγκριση µετατροπής αρχείων, διαµόρφωση δικτύου) που συνάδει µε την σχετική πολιτική για τον περιορισµό της πρόσβασης των χρηστών σε πληροφορίες, προγράµµατα γενικής-κοινής χρήσης συστήµατος, σε κώδικα πηγής προγράµµατος, ευαίσθητα συστήµατα, ειδικές εφαρµογές και διατάξεις ελέγχου, συνδέσεις δικτύου µέσα στον οργανισµό, συνδέσεις δικτύου εκτός του οργανισµού. OP2.1.6 Ο έλεγχος απαιτεί την ύπαρξη ενός τεκµηριωµένου σχεδίου δηµιουργίας εφεδρικών αντιγράφων δεδοµένων, το οποίο ενηµερώνεται σε τακτική βάση, ελέγχεται περιοδικά, επιβάλει τακτικά προγραµµατισµένη δηµιουργία εφεδρικών αντιγράφων όχι µόνον του λογισµικού αλλά και των δεδοµένων και προϋποθέτει περιοδικό έλεγχο και επαλήθευση της ικανότητας επαναφοράς των δεδοµένων από τα εφεδρικά αντίγραφα. OP2.1.9 Ο έλεγχος απαιτεί τα µέλη του προσωπικού της τεχνολογίας των πληροφοριών να ακολουθούν διαδικασίες κατά την έκδοση, την αλλαγή και την διακοπή χρήσης συνθηµατικών, των λογαριασµών και των προνοµίων κάθε χρήστη. Απαιτείται αναγνώριση µοναδικού χρήστη για όλους τους χρήστες των πληροφοριακών συστηµάτων, συµπεριλαµβανοµένων των χρηστών τρίτων µερών. Προτερόθετοι λογαριασµοί και προτερόθετα συνθηµατικά αφαιρούνται από τα συστήµατα

ENISA 75 ∆ιαχείριση Κινδύνων 13/02/2007

Μοναδικό αναγνωριστικό καρτών ελέγχου βάσει πόρων CC-3N

Προφίλ κινδύνων Χαµηλού επιπέδου

Κατηγορία πόρου ∆ίκτυο

Απαιτήσεις ∆ιασφάλισης η ν η κές και και τω ν ησ λεια και ιώ ηση ική ού ος ύθησ ς ση ρ ότ ς ός λο γράφ µ πρακτι ιση ατος ισης ατ ιση ιση ασφά µ µ ογίας οφο το άντων ωπικ τή ύου σιοδ β έλεγχο νολ υ µ Υλική ∆ιαχείρ συσ δικτ Εργαλεία ∆ιαχείρ Συστή Παρακο και ασφάλειας τεχ πληρ Επαλήθευ εξο ∆ιαχείρ ευπάθεια Κρυπ Σχεδιασ αρχιτεκτον ασφάλειας ∆ιαχείρ συ Γενικές προσ

Εµπιστευτικότητα 2.6.1

Ακεραιότητα

∆ιαθεσιµότητα

Ένα προφίλ χαµηλού επιπέδου κινδύνων υποδηλώνει απειλές που λαµβάνουν χώρα σε ελάσσονος σηµασίας τρωτά σηµεία του δικτύου ή σε µη διαθεσιµότητα λόγω εσφαλµένης ή ανεπαρκώς εφαρµοζόµενης αρχιτεκτονικής δικτύου. Η επίδραση ωστόσο µπορεί να θεωρηθεί αµελητέα από τη στιγµή που οι πληροφορίες δεν είναι µεγάλου ενδιαφέροντος ούτε υψηλού βαθµού εµπιστευτικότητας για τον οργανισµό. Κατά συνέπεια, η δυνητική οικονοµική απώλεια για τον οργανισµό είναι µικρή. Παρ’ όλ’ αυτά, συνιστώνται οι έλεγχοι ασφάλειας που επιλαµβάνονται κρυπτογραφηµένων µεταβιβαζόµενων πληροφοριών. Απαραίτητοι έλεγχοι για την διασφάλιση της εµπιστευτικότητας στο πλαίσιο ενός δικτύου είναι ο ακόλουθος ένας: OP2.6.1 Ο έλεγχος απαιτεί κατάλληλους ελέγχους ασφάλειας, που πρέπει να χρησιµοποιούνται για την προστασία των ευαίσθητων δεδοµένων ενόσω αυτά βρίσκονται σε κατάσταση αποθήκευσης και κατά τη διάρκεια της µετάδοσης, συµπεριλαµβανοµένων της κρυπτογράφησης των δεδοµένων κατά τη διάρκεια της µετάδοσης, της κρυπτογράφησης δεδοµένων κατά την εγγραφή σε δίσκο, της χρήσης υποδοµής δηµόσιου κλειδιού, της τεχνολογίας ιδεατού ιδιωτικού δικτύου και της κρυπτογράφησης για οποιαδήποτε µετάδοση µέσω διαδικτύου.

ENISA 76 ∆ιαχείριση Κινδύνων 13/02/2007

Μοναδικό αναγνωριστικό καρτών ελέγχου βάσει πόρων CC-3P

Προφίλ κινδύνων Χαµηλού επιπέδου

Κατηγορία πόρου Ανθρώπινο δυναµικό

Απαιτήσεις ∆ιασφάλισης η ν η κές και και τω ν ησ λεια και ιώ ηση ική ού ος ύθησ ς ση ρ ότ ς ός λο γράφ µ πρακτι ιση ατος ισης ατ ιση ιση ασφά µ µ ογίας οφο το άντων ωπικ τή ύου σιοδ β έλεγχο νολ υ µ Υλική ∆ιαχείρ συσ δικτ Εργαλεία ∆ιαχείρ Συστή Παρακο και ασφάλειας τεχ πληρ Επαλήθευ εξο ∆ιαχείρ ευπάθεια Κρυπ Σχεδιασ αρχιτεκτον ασφάλειας ∆ιαχείρ συ Γενικές προσ

Εµπιστευτικότητα

Ακεραιότητα

∆ιαθεσιµότητα 1.1.4

Ένα προφίλ χαµηλού επιπέδου κινδύνων υποδηλώνει απειλές µε µικρό αντίκτυπο στην διαχείριση των ανθρώπινων πόρων όταν οι τρέχουσες πρακτικές ασφάλειας θα µπορούσαν να οδηγήσουν στην δηµιουργία προβληµάτων στην επιχείρηση αλλά µε τον ελάχιστο κίνδυνο για τον οργανισµό. Η κρισιµότητα των πληροφοριών δεν είναι υψηλού βαθµού/επιπέδου. Κατά συνέπεια, η επίπτωση, µε οικονοµικούς όρους, είναι χαµηλή και η απώλεια χρηµάτων θεωρείται αµελητέα. Ωστόσο, η παρακολούθηση των πολιτικών προσωπικού για τις διαδικασίες αυτές διασφαλίζει περαιτέρω την εµπιστευτικότητα, την ακεραιότητα και την διαθεσιµότητα των πληροφοριών. Απαραίτητοι έλεγχοι για την διασφάλιση της εµπιστευτικότητας και της διαθεσιµότητας των πληροφοριών σε συνδυασµό µε τους ανθρώπινους πόρους είναι ο ακόλουθος ένας: OP1.1.4 Ο έλεγχος απαιτεί να υπάρχουν τεκµηριωµένες πολιτικές και διαδικασίες για την διαχείριση επισκεπτών, συµπεριλαµβανοµένων των καταγραφών στοιχείων εισόδου, συνοδείας, πρόσβασης, υποδοχής και φιλοξενίας.

ENISA 77 ∆ιαχείριση Κινδύνων 13/02/2007

Παράρτηµα Γ. Οργανωτικοί Έλεγχοι

Ευαισθητοποίηση και κατάρτιση σε θέµατα σχετικά µε τηνασφάλεια (SP1)

SP1.1 Τα µέλη του προσωπικού κατανοούν τα ανατεθέντα καθήκοντα και αρµοδιότητές τους σε θέµατα σχετικά µε την ασφάλεια. Αυτό τεκµηριώνεται και επαληθεύεται. SP1.2 Υπάρχει επαρκής αριθµός εσωτερικών εµπειρογνωµόνων για όλες τις υποστηριζόµενες υπηρεσίες, µηχανισµούς και τεχνολογίες (π.χ. τήρηση αρχείου ηµερολογίου, παρακολούθηση ή κρυπτογράφηση), συµπεριλαµβανοµένης της ασφαλούς λειτουργίας των παραπάνω. Το ζήτηµα αυτό τεκµηριώνεται και επαληθεύεται. SP1.3 Υπάρχει πρόβλεψη, για ολόκληρο το προσωπικό, ως προς την ευαισθητοποίηση και την κατάρτιση καθώς και για περιοδικές υποµνήσεις σε θέµατα σχετικά µε την ασφάλεια. Η κατανόηση των θεµάτων αυτών από το προσωπικό τεκµηριώνεται και η συµµόρφωση επαληθεύεται περιοδικά. Η κατάρτιση περιλαµβάνει τα παρακάτω θέµατα: · στρατηγικές, σκοποί και στόχοι ασφάλειας · κανονισµοί, πολιτικές και διαδικασίες ασφάλειας · πολιτικές και διαδικασίες συνεργασίας µε τρίτους · σχέδια έκτακτης ανάγκης και ανάκτησης µετά από καταστροφή · απαιτήσεις υλικής ασφάλειας · υπό το πρίσµα των χρηστών, όσον αφορά: - την διαχείριση του συστήµατος και του δικτύου - τα εργαλεία διαχείρισης του συστήµατος - την παρακολούθηση και τον έλεγχο για την υλική ασφάλεια και την ασφάλεια της τεχνολογίας ων πληροφοριών - την επιβεβαίωση γνησιότητας και την εξουσιοδότηση - την διαχείριση ευπάθειας - την κρυπτογράφηση - την αρχιτεκτονική και τον σχεδιασµό · την διαχείριση συµβάντων · τις γενικές πρακτικές προσωπικού · την συµµόρφωση, τις κυρώσεις και τα πειθαρχικά µέτρα για παραβιάσεις ασφάλειας · τον τρόπο µε τον οποίο µπορούν να έχουν την ενδεδειγµένη πρόσβαση σε ευαίσθητα δεδοµένα ή να εργάζονται σε περιοχές στις οποίες τα ευαίσθητα δεδοµένα είναι προσβάσιµα · την οριστική λήξη των σχετικών µε την ασφάλεια πολιτικών και διαδικασιών

Στρατηγική ασφάλειας (SP2)

SP2.1 Οι επιχειρηµατικές στρατηγικές του οργανισµού ενσωµατώνουν, µε προγραµµατισµένο τρόπο, µελήµατα ασφάλειας. SP2.2 Οι στρατηγικές και πολιτικές ασφάλειας λαµβάνουν υπόψη τους τις/τους επιχειρηµατικές(-ούς) στρατηγικές και σκοπούς του οργανισµού. SP2.3 Οι στρατηγικές, σκοποί και στόχοι ασφάλειας τεκµηριώνονται και επανεξετάζονται, ενηµερώνονται και γνωστοποιούνται στον οργανισµό.

ENISA 78 ∆ιαχείριση Κινδύνων 13/02/2007

∆ιαχείριση ασφάλειας (SP3)

SP3.1 Η διεύθυνση διαθέτει επαρκή κονδύλια και επαρκείς πόρους σε ενέργειες για την ασφάλεια πληροφοριών. SP3.2 Καθορίζονται τα ανατεθέντα καθήκοντα και οι σχετικές αρµοδιότητες για ολόκληρο το προσωπικό του οργανισµού. SP3.3 Οι πρακτικές πρόσληψης και απόλυσης προσωπικού του οργανισµού λαµβάνουν υπόψη τους τα ζητήµατα ασφάλειας των πληροφοριών. SP3.4 Τεκµηριώνονται και επιβάλλονται τα απαιτούµενα επίπεδα ασφάλειας των πληροφοριών, καθώς και ο τρόπος εφαρµογής τους σε άτοµα και οµάδες. SP3.5 Ο οργανισµός διαχειρίζεται τους κινδύνους της ασφάλειας των πληροφοριών, συµπεριλαµβανοµένων: · της εκτίµησης κινδύνων για την ασφάλεια των πληροφοριών, όχι µόνο σε περιοδική βάση, αλλά και σε απόκριση σε σηµαντικές αλλαγές που συντελούνται στην τεχνολογία, καθώς και όσον αφορά τις εσωτερικές/εξωτερικές απειλές ή τα συστήµατα και τις λειτουργίες του οργανισµού · της λήψης µέτρων για τον µετριασµό των κινδύνων σε ένα αποδεκτό επίπεδο · της διατήρησης ενός αποδεκτού επιπέδου κινδύνων · της αξιοποίησης των εκτιµήσεων των κινδύνων για την ασφάλεια των πληροφοριών προκειµένου αυτό να βοηθήσει στην επιλογή αποτελεσµατικών από την άποψη κόστους/ασφάλειας µέτρων και την εξισορρόπηση του κόστους εφαρµογής έναντι δυνητικών απωλειών SP3.6 Η διεύθυνση λαµβάνει συνήθεις εκθέσεις και ενεργεί βάσει συνήθων εκθέσεων που συνοψίζουν τα αποτελέσµατα: · της επισκόπησης των ηµερολόγιων των συστηµάτων · της επισκόπησης διαδροµών ελέγχου · των εκτιµήσεων/αξιολογήσεων τρωτών σηµείων της τεχνολογίας · των σχετικών µε την ασφάλεια συµβάντων καθώς και των αποκρίσεων σε αυτά · των εκτιµήσεων κινδύνων · της επισκόπησης υλικής ασφάλειας · των σχεδίων και των συστάσεων για την βελτίωση της ασφάλειας

Πολιτικές και κανονισµοί ασφάλειας (SP4)

SP4.1 Ο οργανισµός διαθέτει ολοκληρωµένο σύνολο τεκµηριωµένων, επίκαιρων πολιτικών για την ασφάλεια των πληροφοριών οι οποίες ανανεώνονται και ενηµερώνονται σε περιοδική βάση. Οι πολιτικές αυτές επιλαµβάνονται των κυριότερων θεµατικών πεδίων ασφάλειας, συµπεριλαµβανοµένων:

· της στρατηγικής και διαχείρισης ασφάλειας · της διαχείρισης κινδύνων ασφάλειας · της υλικής ασφάλειας · της διαχείρισης των συστηµάτων καιτων δικτύων · των εργαλείων διαχείρισης του/των συστήµατος/συστηµάτων · της παρακολούθησης και του ελέγχου · της επιβεβαίωσης γνησιότητας και της εξουσιοδότησης · της διαχείρισης ευπάθειας · της κρυπτογράφησης · της αρχιτεκτονικής και του σχεδιασµού ασφάλειας

ENISA 79 ∆ιαχείριση Κινδύνων 13/02/2007

· της διαχείρισης συµβάντων · των πρακτικών του προσωπικού ασφάλειας · της ισχύουσας νοµοθεσίας και των κανονισµών · της ευαισθητοποίησης και της εκπαίδευσης · της συλλογικής ασφάλειας των πληροφοριών · του σχεδιασµού έκτακτης ανάγκης και της ανάκτησης µετά από καταστροφή

SP4.2 Υπάρχει τεκµηριωµένη διαδικασία για την διαχείριση των πολιτικών ασφάλειας, που περιλαµβάνει: · την δηµιουργία · την διαχείριση (συµπεριλαµβανοµένων περιοδικών ανασκοπήσεων και ενηµερώσεων) · την επικοινωνία SP4.3 Ο οργανισµός διαθέτει τεκµηριωµένη διαδικασία γιαπεριοδική αξιολόγηση (τεχνική και µη) της συµµόρφωσης µε τις πολιτικές ασφάλειας των πληροφοριών, την ισχύουσα νοµοθεσία και τους κανονισµούς καιτις απαιτήσεις ασφάλισης. SP4.4 Ο οργανισµός διαθέτει τεκµηριωµένη διαδικασία γιατην συµµόρφωση µε τις πολιτικές ασφάλειας των πληροφοριών, την ισχύουσα νοµοθεσία και τους κανονισµούς και τις απαιτήσεις ασφάλισης. SP4.5 Ο οργανισµός εφαρµόζει οµοιόµορφα τις πολιτικές ασφάλειάς του. SP4.6 Η εξέταση και η αναθεώρηση των πολιτικών και των διαδικασιών ασφάλειας περιορίζεται στο εξουσιοδοτηµένο προσωπικό.

Συλλογική ∆ιαχείριση Ασφάλειας (SP5)

SP5.1 Ο οργανισµός διαθέτει τεκµηριωµένες, ελεγχόµενες και εφαρµοζόµενες στην πράξη διαδικασίες για την προστασία των πληροφοριών του κατά την συνεργασία του µε εξωτερικούς φορείς (π.χ. τρίτους, συνεργάτες, υπεργολάβους ή εταίρους). SP5.2 Ο οργανισµός διαθέτει ελεγµένες(-ους) υπηρεσίες, µηχανισµούς και τεχνολογίεςπου ανατίθενται σε τρίτους και που ανταποκρίνονται στις ανάγκες και εκπληρώνουν τις απαιτήσεις του. SP5.3 Ο οργανισµός τεκµηριώνει, παρακολουθεί και εφαρµόζει στην πράξη στρατηγικές για την προστασία των πληροφοριών που ανήκουν σε εξωτερικούς φορείς, η πρόσβαση στις οποίες γίνεται µέσω των δικών του στοιχείων υποδοµής ή οι οποίες χρησιµοποιούνται από το δικό του προσωπικό. SP5.4 Ο οργανισµός παρέχει και εξακριβώνει την ευαισθητοποίηση για και την εκπαίδευση σε εφαρµόσιµες πολιτικές και διαδικασίες ασφάλειας εξωτερικών φορέων για το προσωπικό που σχετίζεται µε αυτούς τους φορείς. SP5.5 Υπάρχουν τεκµηριωµένες διαδικασίες για το εξωτερικό προσωπικό, του οποίου έχει καταγγελθεί η σύµβαση, που καθορίζουν τα κατάλληλα µέτρα ασφάλειας για τον τερµατισµό της πρόσβασής του σε πληροφορίες. Οι διαδικασίες αυτές κοινοποιούνται στον εξωτερικό φορέα και συντονίζονται µε αυτόν.

Σχεδιασµός έκτακτης ανάγκης / Ανάκτηση µετά από καταστροφή (SP6)

SP6.1 Έχει γίνει ανάλυση των λειτουργιών, των εφαρµογών και της κρισιµότητας των δεδοµένων. SP6.2 Ο οργανισµός έχει τεκµηριώσει · την συνέχιση των επιχειρηµατικών δραστηριοτήτων ή των σχεδίων λειτουργίας σε κατάσταση έκτακτης ανάγκης · το/τα σχέδιο(-α) ανάκτησης µετά από καταστροφή · το/τα σχέδιο(-α) έκτακτης ανάγκης για την αντιµετώπιση καταστάσεων έκτακτης ανάγκης SP6.3 Τα σχέδια έκτακτης ανάγκης, ανάκτησης µετά από καταστροφή και συνέχισης των επιχειρηµατικών δραστηριοτήτων λαµβάνουν υπόψη τους τις απαιτήσεις και τους ελέγχους φυσικής και ηλεκτρονικής πρόσβασης.

ENISA 80 ∆ιαχείριση Κινδύνων 13/02/2007

SP6.4 Τα σχέδια έκτακτης ανάγκης, ανάκτησης µετά από καταστροφή και συνέχισης των επιχειρηµατικών δραστηριοτήτων επανεξετάζονται, ελέγχονται και αναθεωρούνται περιοδικά. SP6.5 Το σύνολο του προσωπικού: · είναι ενήµερο για τα σχέδια έκτακτης ανάγκης, ανάκτησης µετά από καταστροφή και συνέχισης των επιχειρηµατικών δραστηριοτήτων · κατανοεί και είναι σε θέση να ασκήσει τις αρµοδιότητές του

ENISA 81 ∆ιαχείριση Κινδύνων 13/02/2007

Παράρτηµα ∆. Έλεγχοι βάσει πόρων

Υλική ασφάλεια (OP1)

Σχέδια και ∆ιαδικασίες Υλικής ασφάλειας (OP1.1)

Υπάρχει(-ουν) τεκµηριωµένο(-α) σχέδιο(-α) ασφάλειας των εγκαταστάσεων για την προστασία των χώρων, OP1.1.1 των κτιρίων και οποιωνδήποτε αυστηρά ελεγχόµενων περιοχών. OP1.1.2 Τα σχέδια αυτά επανεξετάζονται, ελέγχονται και αναθεωρούνται περιοδικά. OP1.1.3 Οι διαδικασίες και οι µηχανισµοί υλικής ασφάλειας επιθεωρούνται και αναθεωρούνται τακτικά. Υπάρχουν τεκµηριωµένες πολιτικές και διαδικασίες για την διαχείριση των επισκεπτών, που περιλαµβάνουν · την εισαγωγή στοιχείων αναγνώρισης OP1.1.4 · την συνοδεία · τα ηµερολόγια πρόσβασης · υποδοχή και φιλοξενία Υπάρχουν τεκµηριωµένες πολιτικές καιδιαδικασίες γιατον φυσικό έλεγχο υλικού καιλογισµικού, συµπεριλαµβανοµένων: · των σταθµών εργασίας, φορητών υπολογιστών, διααποδιαµορφωτών, ασύρµατων εξαρτηµάτων και όλων των άλλων µονάδων που χρησιµοποιούνται για την πρόσβαση σε πληροφορίες · της πρόσβασης, αποθήκευσης και ανάκτησης δεδοµένων εφεδρικών αντιγράφων OP1.1.5 · της αποθήκευσης ευαίσθητων δεδοµένων σε υλικά καιηλεκτρονικά µέσα · της διάθεσης ευαίσθητων δεδοµένων ή των µέσων στα οποία αποθηκεύονται

· της επαναχρησιµοποίησης και ανακύκλωσης χαρτιού και ηλεκτρονικών µέσων

Έλεγχος φυσικής πρόσβασης (OP1.2)

Υπάρχουν τεκµηριωµένες πολιτικές και διαδικασίες για ατοµική και οµαδική πρόσβαση που καλύπτουν: · τους κανόνες για την παροχή του ενδεδειγµένου επιπέδου φυσικής πρόσβασης · τους κανόνες για τον καθορισµό ενός αρχικού δικαιώµατος πρόσβασης OP1.2.1 · την τροποποίηση του δικαιώµατος πρόσβασης · την διακοπή του επιπέδου πρόσβασης · την περιοδική αναθεώρηση και επαλήθευση των δικαιωµάτων πρόσβασης Υπάρχουν τεκµηριωµένες πολιτικές διαδικασίες και µηχανισµοί γιατον έλεγχο της φυσικής πρόσβασης σε καθορισµένες οντότητες. Συγκεκριµένα περιλαµβάνονται: OP1.2.2 · οι χώροι εργασίας · το υλικό (υπολογιστές, συσκευές επικοινωνίας κλπ) και µέσα λογισµικού Υπάρχουν τεκµηριωµένες διαδικασίες για την εξακρίβωση της εξουσιοδότησης πρόσβασης πριν από την OP1.2.3 παροχή φυσικής πρόσβασης. Οι σταθµοί εργασίας και άλλες µονάδες που επιτρέπουν την πρόσβαση σε ευαίσθητα δεδοµένα όντως OP1.2.4 διασφαλίζονται προκειµένου να αποτραπεί η µη εξουσιοδοτηµένη πρόσβαση.

Παρακολούθηση και έλεγχος υλικής ασφάλειας (OP1.3)

OP1.3.1 Τηρούνται αρχεία συντήρησης για την τεκµηρίωση των επισκευών και των τροποποιήσεων του υλικού. OP1.3.2 Μπορούν να καταχωρίζονται οι ενέργειες ενός ατόµου ή οµάδας που αφορούν σε φυσικά ελεγχόµενα µέσα. OP1.3.3 Τααρχεία ελέγχουκαιπαρακολούθησης εξετάζονταιτακτικάγιατυχόνανωµαλίες καιλαµβάνονται, ανάλογα µετιςανάγκες, διορθωτικά µέτρα.

ENISA 82 ∆ιαχείριση Κινδύνων 13/02/2007

Ασφάλεια της τεχνολογίας των πληροφοριών (OP2)

∆ιαχείριση συστηµάτων και δικτύων (OP2.1)

OP2.1.1 Υπάρχει(-ουν) τεκµηριωµένο(-α) σχέδιο(-α) ασφάλειας για την διαφύλαξη των συστηµάτων και των δικτύων. OP2.1.2 Το/Τα σχέδιο(-α) ασφάλειας αναθεωρούνται, ελέγχονται και ενηµερώνονται περιοδικά. Τα ευαίσθητα δεδοµένα προστατεύονται µέσω ασφαλούς αποθήκευσης, όπως, για παράδειγµα, µέσω: · καθορισµένων αλληλουχιών φύλαξης OP2.1.3 · εφεδρικών αντιγράφων που αποθηκεύονται εκτός οργανισµού · αφαιρούµενων µέσων αποθήκευσης · διαδικασίας απόρριψης των ευαίσθητων δεδοµένων ή των µέσων αποθήκευσής τους OP2.1.4 Επαληθεύεται τακτικά η ακεραιότητα του εγκατεστηµένου λογισµικού. Όλα τα συστήµατα ενηµερώνονται σε σχέση µε αναθεωρήσεις, προγράµµατα επιδιόρθωσης και συστάσεις OP2.1.5 για ελέγχους ασφάλειας. Υπάρχει τεκµηριωµένο σχέδιο δηµιουργίας εφεδρικών αντιγράφων δεδοµένων, το οποίο: · ενηµερώνεται τακτικά · ελέγχεται περιοδικά OP2.1.6 · επιβάλλειτον τακτικό προγραµµατισµόδηµιουργίας εφεδρικώναντιγράφωνκαιτου λογισµικού καιτων δεδοµένων · απαιτεί τον/την περιοδικό(-ή) έλεγχο και επαλήθευση της ικανότητας επαναφοράς των δεδοµένων από εφεδρικά αντίγραφα Ολόκληρο το προσωπικό κατανοεί και είναι σε θέση να ασκήσει τις αρµοδιότητές σύµφωνα µε τα σχέδια OP2.1.7 δηµιουργίας εφεδρικών αντιγράφων. Οι αλλαγές στο υλικό και το λογισµικό της τεχνολογίας των πληροφοριών προγραµµατίζονται, ελέγχονται και OP2.1.8 τεκµηριώνονται. Τα µέλη του προσωπικού της τεχνολογίας των πληροφοριών ακολουθούν διαδικασίες κατάτην έκδοση, την αλλαγή και την διακοπή χρήσης συνθηµατικών, των λογαριασµών καιτων προνοµίων των χρηστών. OP2.1.9 · Απαιτείταιαναγνώριση µοναδικούχρήστη γιαόλουςτουςχρήστεςτωνπληροφοριακώνσυστηµάτων, συµπεριλαµβανοµένωντωνχρηστώντρίτων. · Προτερόθετοι λογαριασµοί και προτερόθετα συνθηµατικά αφαιρούνται από τα συστήµατα. Μόνο οι απαραίτητες υπηρεσίες «εκτελούνται» στα συστήµατα – όλες οι µη απαραίτητες OP2.1.10 υπηρεσίες έχουν αφαιρεθεί.

Εργαλεία ∆ιαχείρισης Συστήµατος (OP2.2)

Τα νέα εργαλεία, οι νέες διαδικασίες και νέοι µηχανισµοί ασφάλειας αναθεωρούνται ως προς την OP2.2.1 εφαρµοστικότητά τους σχετικά µε την επίτευξη των στρατηγικών ασφάλειας του οργανισµού. Χρησιµοποιούνται εργαλεία και µηχανισµοί για την ασφαλή διαχείριση των συστηµάτων και των δικτύων, που OP2.2.2 αναθεωρούνται και ενηµερώνονται ή αντικαθίστανται τακτικά. Παραδείγµαταείναι: · διατάξεις ελέγχου ακεραιότητας δεδοµένων · κρυπτογραφικά εργαλεία · διαγνώστες ευπάθειας · εργαλεία ελέγχου ποιότητας συνθηµατικών · ανιχνευτές ιών · εργαλεία διαχείρισης διαδικασιών · συστήµατα ανίχνευσης παρείσδυσης · ασφαλείς διαδικασίες τηλεδιαχείρησης

ENISA 83 ∆ιαχείριση Κινδύνων 13/02/2007

· εργαλεία εξυπηρέτησης δικτύου · αναλυτές κίνησης · εργαλεία αντιµετώπισης συµβάντων · εργαλεία ανάλυσης δεδοµένων για την πρόληψη εγκληµατικών ενεργειών

Παρακολούθηση και έλεγχος της ασφάλειας της τεχνολογίας των πληροφοριών (OP2.3)

Επιβεβαίωση Γνησιότητας και Εξουσιοδότηση (OP2.4)

∆ιαχείριση Ευπάθειας (OP2.5)

OP2.5.1 Υπάρχει ένα τεκµηριωµένο σύνολο διαδικασιών για την διαχείριση τρωτών σηµείων, που περιλαµβάνει:

ENISA 84 ∆ιαχείριση Κινδύνων 13/02/2007

· την επιλογή εργαλείων αξιολόγησης ευπάθειας, καταλόγων ελέγχου και δεσµών ενεργειών · την συµπόρευση µε γνωστούς τύπουςευπάθειας και µεθόδους προσβολής ευαισθησίας · την ανασκόπηση πηγών πληροφοριών για ανακοινώσεις, συναγερµούς και προειδοποιήσεις ασφάλειας · τον προσδιορισµό σηµαντικών στοιχείων υποδοµής προς αξιολόγηση · τον προγραµµατισµό αξιολογήσεων ευπάθειας · την ερµηνεία και την ανταπόκριση σε αποτελέσµατα · την συντήρηση της ασφαλούς αποθήκευσης και την διάθεση των δεδοµένων ευπάθειας. OP2.5.2 Τηρούνται οι διαδικασίες διαχείρισης ευπάθειας και αναθεωρούνται και ενηµερώνονται περιοδικά. Οι εκτιµήσεις ευπάθειας διενεργούνται σε περιοδική βάση και τα τρωτά σηµεία αντιµετωπίζονται όταν OP2.5.3 προσδιορίζονται.

Κρυπτογράφηση (OP2.6)

Χρησιµοποιούνται οι κατάλληλοι έλεγχοι ασφάλειας για την προστασία των ευαίσθητων δεδοµένων ενόσω αυτά βρίσκονται σε κατάσταση αποθήκευσης αλλά και κατά την µετάδοση, που περιλαµβάνουν: · την κρυπτογράφηση των δεδοµένων κατά την µετάδοση, · την κρυπτογράφηση δεδοµένων κατά την εγγραφή σε δίσκο OP2.6.1 · την χρήση υποδοµής δηµόσιου κλειδιού · την τεχνολογία ιδεατού ιδιωτικού δικτύου · την κρυπτογράφηση για οποιαδήποτε µετάδοση µέσω διαδικτύου Χρησιµοποιούνται κρυπτοθετηµένα πρωτόκολλα κατά την τηλεδιαχείριση συστηµάτων, δροµολογητών και OP2.6.2 τοίχων προστασίας. OP2.6.3 Οι έλεγχοι και τα πρωτόκολλα κρυπτογράφησης ανασκοπούνται, επαληθεύονται και αναθεωρούνται τακτικά.

Σχεδιασµός και Αρχιτεκτονική Ασφάλειας (OP2.7)

Ασφάλεια Προσωπικού (OP3)

∆ιαχείριση Συµβάντων (OP3.1)

Υφίστανται τεκµηριωµένες διαδικασίες για την αναγνώριση, καταγραφή και αντιµετώπιση τυχόν συµβάντων και παραβιάσεων της ασφάλειας, οι οποίες περιλαµβάνουν: · βασισµένα στο ∆ιαδίκτυο συµβάντα OP3.1.1 · συµβάντα φυσικής πρόσβασης · συµβάντα χειραγώγησης OP3.1.2 Οι διαδικασίες διαχείρισης συµβάντων ελέγχονται, επαληθεύονται και αναθεωρούνται περιοδικά. OP3.1.3 Υπάρχουν τεκµηριωµένες πολιτικές και διαδικασίες για την συνεργασία µε υπηρεσίες εφαρµoγής τoυ vόµoυ

Γενικές Πρακτικές Προσωπικού (OP3.2)

OP3.2.1 Τα µέλη του προσωπικού ακολουθούν ορθές πρακτικές ασφάλειας, όπως για παράδειγµα: · διασφαλίζοντας τις πληροφορίες για τις οποίες είναι υπεύθυνοι

ENISA 85 ∆ιαχείριση Κινδύνων 13/02/2007

· µη αποκαλύπτοντας ευαίσθητα δεδοµένα σε τρίτους (αντίσταση στη χειραγώγηση) · διαθέτοντας επαρκείς ικανότητεςγια την χρήση τουυλικού και τουλογισµικού της τεχνολογίας τωνπληροφοριών · χρησιµοποιώντας ορθές πρακτικές για τα συνθηµατικά · κατανοώντας και τηρώντας τις πολιτικές και τους κανονισµούς ασφάλειας · αναγνωρίζοντας και αναφέροντας συµβάντα Ολόκληρο το προσωπικό, σε όλα τα επίπεδα ευθύνης, εφαρµόζει τα καθήκοντα και την υπευθυνότητα που του OP3.2.2 έχει ανατεθεί σχετικά µε την ασφάλεια των πληροφοριών Υπάρχουν τεκµηριωµένες διαδικασίες για την εξουσιοδότησηκαι την επίβλεψη εκείνων που εργάζονται µεευαίσθητα δεδοµένα ή που εργάζονται σε τοποθεσίες όπου αποθηκεύονται αυτά τα δεδοµένα. Και πιο συγκεκριµένα για: · τους εργαζόµενους OP3.2.3 · τους εργολάβους, εταίρους, συνεργάτες και το προσωπικό από τρίτους · το προσωπικό συντήρησης συστηµάτων · το προσωπικό συντήρησης εγκαταστάσεων

ENISA 86 ∆ιαχείριση Κινδύνων 13/02/2007 4

Παράρτηµα Ε. Απλές συµβουλές

ΣΗΜΑΝΤΙΚΕΣ ΥΠΟ∆ΕΙΞΕΙΣ ΑΣΦΑΛΕΙΑΣ ΓΙΑ ΜΙΚΡΟΜΕΣΑΙΕΣ ΕΠΙΧΕΙΡΗΣΕΙΣ Τα ακόλουθα συνιστούν τις θεµελιώδεις προϋποθέσεις µέσων άµυνας για την εταιρία σας ∆ιεξαγωγή διαδικασιών ελέγχου µε φίλτρα ελέγχου για όλους τους εργαζόµενους και αναδόχους σας (π.χ. βάσει αναφορών ή εισηγήσεων) Γνώση και τεκµηρίωση των πολύτιµων πόρων του οργανισµού σας ∆ιάθεση σύντοµων, αποδοτικών και επαρκώς τεκµηριωµένων διαδικασιών ασφάλειας ∆ιεξαγωγή βασικής εκπαίδευσης ευαισθητοποίησης σε θέµατα ασφάλειας για τους εργαζόµενούς σας Ταχεία ή αυτόµατη εφαρµογή προγραµµάτων επιδιόρθωσης τρωτών σηµείων λογισµικού µετά από τον έλεγχο της λειτουργικότητάς τους Γνώση του διαθέτοντος πρόσβαση στα συστήµατά σας και γιατί Χρήση δύσκολων συνθηµατικών και τακτική αλλαγή τους Επιβεβαίωση περί της εφαρµογής αντιιικών διεργασιών σε όλους τους υπολογιστές και τις κινητές συσκευές σας, καθώς και περί της αυτόµατης ενηµέρωσης του συστήµατος για αντιιική προστασία Χρήση διαφορετικών αντιιικών προϊόντων για τους διακοµιστές και τους Η/Υ πελάτες του δικτύου σας Χρήση συστήµατος φιλτραρίσµατος για προστασία έναντι του περιεχοµένου ανεπίκλητων ηλεκτρονικών µηνυµάτων, µηχανισµού εξαπάτησης, καθώς και κακόβουλου και απαγορευµένου περιεχοµένου Χρήση τοίχου προστασίας, ιδιαίτερα εάν διαθέτετε ευρυζωνική πρόσβαση στο διαδίκτυο Χρήση ενός «όλα σε ένα» δικτυακού συστήµατος άµυνας µε ένα µικρό δίκτυο Συνθηµατικά

Αυτά είναι τα κλειδιά σας για πρόσβαση στις ηλεκτρονικές σας πληροφορίες. Οποιοσδήποτε µπορεί να προσπελάσει τις πληροφορίες που δεν προστατεύονται µε συνθηµατικό. Εάν επιλέγετε εύκολα συνθηµατικά, είναι αρκετά πιθανό κάποιος να µπορέσει να τα µαντέψει ή να τα αποκρυπτογραφήσει. Στην συνέχεια παρέχονται ορισµένες υποδείξεις για δύσκολα συνθηµατικά.

• Ανοίξτε ένα λεξικό σε µία τυχαία σελίδα και επιλέξτε µία µακροσκελή λέξη (ας πούµε µε 4 συλλαβές). Χρησιµοποιήστε αυτή τη λέξη αλλά εισάγετε τον αριθµό σελίδας στο µέσο της. Για παράδειγµα εάν η λέξη <multifarious> βρίσκεται στην σελίδα 345 του λεξικού σας, το συνθηµατικό σας θα είναι <multi345farious>. (Εάν ξεχάσετε το συνθηµατικό, πρέπει να θυµάστε ποια σελίδα επιλέξατε.)

ENISA 87 ∆ιαχείριση Κινδύνων 13/02/2007

• Επιλέξτε µία «συνθηµατική φράση» που σηµαίνει κάτι για σας. Για παράδειγµα «η ζέβρα µου λέγεται Σποτ και είναι 9 χρονών”. Η φράση αυτή µπορεί να µετασχηµατιστεί στο συνθηµατικό <mzicS&i9yo>. Αυτό είναι ένα δυσπροσπέλαστο συνθηµατικό διότι εµπεριέχει γράµµατα, αριθµούς και ειδικούς χαρακτήρες. Το «σπάσιµό» του είναι εξαιρετικά δύσκολο.

Απαράβατοι κανόνες για τα συνθηµατικά είναι οι παρακάτω:

• χρησιµοποιείτε τουλάχιστον 8 χαρακτήρες για το συνθηµατικό • βεβαιωθείτε ότι αλλάζετε τακτικά συνθηµατικά – π.χ. κάθε µήνα. • εάν ένας εργαζόµενος αποχωρήσει, αλλάξτε το παλιό συνθηµατικό του αµέσως. • χρησιµοποιείτε ένα συνθηµατικό για κάθε εφαρµογή - µη χρησιµοποιείτε το ίδιο συνθηµατικό παντού.

Απ’ την άλλη πλευρά, υπάρχουν ορισµένα πράγµατα που δεν πρέπει να κάνετε µε τα συνθηµατικά. Σε αυτά περιλαµβάνονται τα παρακάτω:

• µην γράφετε ένα συνθηµατικό! • µην χρησιµοποιείτε το όνοµά σας, το όνοµα του συντρόφου σας, τα ονόµατα των παιδιών σας, τον αριθµό της άδειας κυκλοφορίας του αυτοκινήτου σας, ηµεροµηνίες γενεθλίων και ο,τιδήποτε άλλο για σας ή την οικογένειά σας που είναι ευρέως γνωστά ή που µπορεί εύκολα να αποκρυπτογραφηθούν µε λίγο “χειραγώγηση” • Μην χρησιµοποιείτε προσωπικούς ειδικούς κωδικούς, όπως, για παράδειγµα, τον αριθµό τηλεφώνου σας, τον αριθµό ταυτότητάς σας, τον αριθµό αδείας του λογισµικού, που όλα µπορεί να εντοπιστούν. • Μην χρησιµοποιείτε τους ίδιους αριθµούς ή γράµµατα, π.χ. <11111111> σε ένα συνθηµατικό και µην χρησιµοποιείτε την λέξη συνθηµατικό <password> διότι αυτό είναι ακριβώς το πρώτο που θα δοκιµάσει ένας ηλεκτρονικός πειρατής (χάκερ). • Μην µοιράζεστε το συνθηµατικό σας µε άλλους • Μην χρησιµοποιείτε ένα προτερόθετο συνθηµατικό που παρέχεται µε ένα στοιχείο του λογισµικού– αλλάξτε το • Μην χρησιµοποιείτε λειτουργίες ερωτήσεων του τύπου «Θυµήσου το συνθηµατικό» σε ένα υπολογιστή διότι τα συνθηµατικά που αποθηκεύονται µε αυτόν τον τρόπο είναι ευκόλως ανακτήσιµα µε ελάχιστη απαιτούµενη δεξιότητα.

Εν συντοµία, να µεταχειρίζεστε το συνθηµατικό σας µε προσοχή. Επιλέξετε ένα δύσκολο συνθηµατικό, αλλάζετέ το τακτικά και διαφυλάξτε το.

Ιοί, Σκουλήκια και ∆ούρειοι Ίπποι

Οι γλωσσαµύντορες θα έλεγαν ότι όλα αυτά είναι διαφορετικά µεταξύ τους αλλά από επιχειρηµατική άποψη µπορείτε να τα µεταχειρίζεστε µε τον ίδιο τρόπο. Το κρίσιµο σηµείο είναι ότι όλα αυτά µπορούν να προκαλέσουν, και όντως προκαλούν βλάβη, στους υπολογιστές και στις πληροφορίες που αποθηκεύονται σε αυτούς. Ωστόσο, η αποφυγή τους είναι πραγµατικά απλή. Χρησιµοποιείστε αντιιικό λογισµικό. Οποιοδήποτε αντιιικό λογισµικό επαρκεί δεδοµένου ότι όλα δουλεύουν, πάνω – κάτω, µε τον ίδιο τρόπο και κάνουν την ίδια δουλειά. Το σηµαντικότερο όλων είναι απλά η χρήση ενός λογισµικού προγράµµατος.

ENISA 88 ∆ιαχείριση Κινδύνων 13/02/2007

Αυτό που οι περισσότεροι άνθρωποι δεν αντιλαµβάνονται είναι ότι το αντιιικό λογισµικό πρέπει να ενηµερώνεται διαρκώς. Αυτό σηµαίνει καθηµερινές, ναι, καθηµερινές ενηµερώσεις, διότι οι συγγραφείς αυτού του λογισµικού ανακοινώνουν νέες εκδόσεις καθηµερινά.

Εάν δεν εγκαταστήσετε το λογισµικό αυτό και δεν το ενηµερώνετε τόσο τακτικά, είναι 100% εγγυηµένο ότι θα «κολλήσετε» κάποιο ιό αργά ή γρήγορα.

Οποιοδήποτε αντιιικό λογισµικό χρησιµοποιείτε, πρέπει να το εγκαταστήσετε προκειµένου να ελέγχει αυτόµατα οποιαδήποτε νέα δεδοµένα. Μ’ αυτόν τον τρόπο, εάν λάβετε καινούρια δεδοµένα σε µία δισκέτα, ένα σύµπυκνο δίσκο (CD), ή από το ∆ιαδίκτυο, οι πληροφορίες αυτές θα ελέγχονται για την ύπαρξη ή µη ιών πριν αυτοί προκαλέσουν κάποια βλάβη.

Ένας χρυσός κανόνας είναι ότι οποιαδήποτε προσβεβληµένα από ιούς αρχεία ή δεδοµένα πρέπει να καταστρέφονται. Ορισµένα αντιιικά λογισµικά διατείνονται ότι απολυµαίνουν αρχεία αλλά αυτό δεν είναι ποτέ εγγυηµένο. Η ασφαλέστερη άποψη είναι να καταστρέφετε το/τα αρχείο(-α) που έχουν προσβληθεί από ιό. Εάν πρόκειται για ηλεκτρονικό µήνυµα, το καταστρέφετε χωρίς να το ανοίξετε!

Ανεπίκλητα ηλεκτρονικά µηνύµατα (spam)

Μπορεί να νοµίζετε ότι τα µηνύµατα αυτά είναι απλώς ένας κακός µπελάς, αλλά, δυστυχώς, κρύβουν εξίσου κινδύνους. Ανεπίκλητα ηλεκτρονικά µηνύµατα µπορεί να:

• είναι ένα πρόσχηµα γι’ απάτη • είναι ένα επικίνδυνο αλυσιδωτό µηνύµατα ηλεκτρονικού ταχυδροµείου • περιέχει έναν κρυφό κώδικα ο οποίος µπορεί να αλλάξει τις ρυθµίσεις του υπολογιστή σας (π.χ. να σας κατευθύνει σε έναν ιστότοπο πορνογραφικού περιεχοµένου) • περιέχει έναν κρυφό κώδικα ο οποίος µετατρέπει τον υπολογιστή σας σε φορέα αναµετάδοσης ανεπίκλητων µηνυµάτων (που σηµαίνει ότι ένας µεγάλος όγκος ανεπίκλητων µηνυµάτων στέλνεται από τον υπολογιστή σας σε ολόκληρο τον κόσµο) και δι’ αυτού στέλνονται οι διευθύνσεις των πελατών σας σε ολόκληρο τον κόσµο και µε ένα καινούριο αντίγραφο ανεπίκλητων µηνυµάτων/σκουλικιού/δούρειου ίππου που επισυνάπτεται σε αυτόν!

Στην περίπτωση του κρυφού κώδικα, ο κώδικας αυτός, κατά πάσα πιθανότητα εµπίπτει στην κατηγορία ‘∆ούρειος Ίππος’ και µπορεί να εντοπιστεί από το αντιιικό λογισµικό σας. Ωστόσο, υπάρχουν ορισµένοι κανόνες που χρειάζεται να ακολουθήσετε στην περίπτωση των ανεπίκλητων ηλεκτρονικών µηνυµάτων και εφόσον το κάνετε αυτό θα ελαχιστοποιήσετε οποιουσδήποτε κινδύνους. • Εάν το ηλεκτρονικό µήνυµα δεν έχει προφανή αξία ούτε οποιαδήποτε σχέση µε την επιχείρησή σας, είναι ηµιαναλφάβητο κλπ. απλώς διαγράψτε το χωρίς να το ανοίξετε. • Να µην αποκρίνεστε σε ανεπίκλητα ηλεκτρονικά µηνύµατα. Η διεύθυνση ηλεκτρονικού ταχυδροµείου σας έχει εντοπιστεί, µε τον ένα ή τον άλλο τρόπο, και οι αποστολείς ανεπίκλητων ηλεκτρονικών µηνυµάτων δεν γνωρίζουν εάν υπάρχετε πραγµατικά. • Εάν απαντήσετε, θα επιβεβαιώσετε την παρουσία σας και θα λάβετε πολύ περισσότερα τέτοια ηλεκτρονικά µηνύµατα. • Μην πατάτε το πλήκτρο “πατήστε εδώ για να αφαιρέσετε το όνοµά σας από τον κατάλογο διευθύνσεών µας” που βρίσκεται στο ηλεκτρονικό µήνυµα.

ENISA 89 ∆ιαχείριση Κινδύνων 13/02/2007

Πρόκειται, συνήθως, για απάτη. ∆εν θα αφαιρεθεί η διεύθυνσή σας, απλώς θα επιβεβαιώσετε την παρουσία σας. • Μην γνωστοποιείτε την διεύθυνση του ηλεκτρονικού σας ταχυδροµείου παρά µόνον σε ανθρώπους που µπορείτε να εµπιστευθείτε. • Αυτό είναι πολύ δύσκολο όταν ασκείτε επιχειρηµατική δραστηριότητα διότι επιθυµείτε η διεύθυνση του ηλεκτρονικού σας ταχυδροµείου να είναι ευρέως διαθέσιµη. Εξετάστε το ενδεχόµενο να έχετε δύο διευθύνσεις

ηλεκτρονικού ταχυδροµείου µία δηµοσιοποιηµένη και µία για προσωπική χρήση, η οποία να ελέγχεται προσεκτικά. • Εάν ένας ιστότοπος στο ∆ιαδίκτυο σας ζητά την διεύθυνση του ηλεκτρονικού σας ταχυδροµείου κάντε µία γρήγορη εκτίµηση κινδύνων. Πρόκειται για ένα σύννοµο οργανισµό που έχει αποδεδειγµένη φήµη; Ή είναι κάποιος για τον οποίο δεν έχετε ακουστά και ο οποίος δεν µνηµονεύει µία φυσική επιχειρηµατική διεύθυνση στον ιστότοπό του; Να θυµάστε ότι οι απατεώνες παριστάνουν ότι δραστηριοποιούνται ως σύννοµες επιχειρήσεις. • Οι ιστοσελίδες που σας υπόσχονται ότι θα σας αφαιρέσουν από καταλόγους διευθύνσεων ανεπίκλητων ηλεκτρονικών µηνυµάτων γενικά δεν το κάνουν. Μην τις χρησιµοποιείτε.

Το κλείδωµα ανεπίκλητων ηλεκτρονικών µηνυµάτων είναι ένα ενδεχόµενο. ∆ιατίθεται ειδικό λογισµικό κλειδώµατος αλλά µπορεί να είναι πολύ ακριβό για µικρές επιχειρήσεις. Είναι πιθανόν να συµφέρει να ζητήσετε από τον Πάροχό σας Υπηρεσιών ∆ιαδικτύου (ISP) εάν µπορεί – έναντι µικρής πρόσθετης αµοιβής – να σας παράσχει κλείδωµα ανεπίκλητων ηλεκτρονικών µηνυµάτων χρησιµοποιώντας δικά του µέσα. Ωστόσο, µια χρήσιµη συµβουλή: το κλείδωµα ανεπίκλητων ηλεκτρονικών µηνυµάτων είναι τέχνη όσο και επιστήµη. Μπορείτε, το ίδιο εύκολα, να κλειδώσετε σύννοµα ηλεκτρονικά µηνύµατα εάν τα κριτήρια κατά των ανεπίκλητων ηλεκτρονικών µηνυµάτων είναι πολύ αυστηρά.

Υ.Γ. Εάν λάβετε ένα ηλεκτρονικό µήνυµα το οποίο θέτει σε άµεση απειλή την επιχείρησή σας, µε τον ένα ή τον άλλο τρόπο, π.χ. εκβιαστικές απειλές, να έρθετε σε επαφή µε την αρµόδια Αστυνοµική αρχή της περιοχής σας και µάλιστα αµέσως. Θα παραπεµφθείτε γρήγορα σε µία οµάδα, η οποία έχει εκπαιδευτεί να διαχειρίζεται ηλεκτρονικές απειλές. Κάτι τέτοιο είναι πολύ πιθανό να µη σας συµβεί, αλλά για καλό και για κακό…

Κατασκοπευτικό λογισµικό (spyware)

Αυτά είναι µικρά προγράµµατα που παρεισφρύουν στο υπολογιστικό σας σύστηµα προκειµένου να συγκεντρώσουν λαθραία πληροφορίες για τον/την χρήστη/επιχείρηση χωρίς αυτός/αυτή να το γνωρίζουν. Το µεγαλύτερο µέρος αυτού του λογισµικού αφορά σε διαφηµιστικούς σκοπούς αλλά µπορεί επίσης να συγκεντρώσει πληροφορίες για διευθύνσεις ηλεκτρονικού ταχυδροµείου, ακόµα και για συνθηµατικά αλλά και στοιχεία για πιστωτικές κάρτες.

Πρόσφατα, δηµοσιεύθηκαν επίσηµες προειδοποιήσεις σχετικά µε το κατασκοπευτικό λογισµικό το οποίο χρησιµοποιείται για την συγκέντρωση ευαίσθητων από εµπορική άποψη δεδοµένων, π.χ. στοιχεία συµβάσεων. Το κατασκοπευτικό λογισµικό δεν είναι ο,τι καλύτερο και ο προσεκτικός χρήστης προσπαθεί να το περιορίσει ή να το αφαιρέσει εντελώς. ∆ιατίθενται δύο καλά πακέτα από το ∆ιαδίκτυο τα οποία αφαιρούν το κατασκοπευτικό λογισµικό. Και τα δύο είναι για προσωπική χρήση, οι επιχειρήσεις, παρ’ ολ’ αυτά αναµένεται ότι θα τα αγοράσουν. Είναι τα: • Lavasoft’s <Ad-aware> • Spybot

ENISA 90 ∆ιαχείριση Κινδύνων 13/02/2007

Συνιστάται να µεταφορτώσετε («κατεβάσετε») και τα δύο αυτά πακέτα και να τα εκτελείτε τουλάχιστον µία φορά τη βδοµάδα. Θα εκπλαγείτε µε το τι µπορούν να εντοπίσουν. (Και µην ξεχνάτε ότι πρέπει να ενηµερώνονται επίσης!)

«Τοίχοι προστασίας» (firewalls)

Τα συστήµατα αυτά πήραν τα όνοµά τους από τα φυσικά φράγµατα που κατασκευάζονται σε κτίρια για την καταπολέµηση της εξάπλωσης της φωτιάς. Με όρους πληροφορικής, ένας «τοίχος προστασίας» δρα ως φραγµός για την αποτροπή µη εξουσιοδοτηµένης χρήσης προς/από ένα ιδιωτικό υπολογιστικό σύστηµα. ∆είτε το σαν ένα είδος πόρτας ασφάλειας και αντικλεπτικού συναγερµού για υπολογιστές. Βοηθά στον περιορισµό όλων εκείνων των εσκεµµένων απειλών που σκιαγραφήθηκαν προηγουµένως. Ένας «τοίχος προστασίας» θεωρείται σήµερα απαραίτητος εάν έχετε έναν ή περισσότερους υπολογιστές συνδεδεµένους µε το ∆ιαδίκτυο.

Ο «τοίχος προστασίας» είναι είτε ένα τµήµα λογισµικού είτε ένα είδος υλικού. Για την προστασία µεγάλων υπολογιστικών συστηµάτων µπορεί να είναι ένας συνδυασµός λογισµικού και υλικού.

Βασικά ένας «τοίχος προστασίας» ελέγχει όλα τα δεδοµένα που εισέρχονται ή ακόµη και όσα εξέρχονται από έναν υπολογιστή ώστε να διασφαλιστεί ότι αυτά είναι σύννοµα. Συγκεκριµένα αυτό σηµαίνει ότι: ο «τοίχος προστασίας» είναι η καλύτερη άµυνά σας έναντι ενός χάκερ. Για να δώσουµε ένα ζωντανό παράδειγµα, ένας «τοίχος προστασίας» µπορεί να αναχαιτίσει την ανάληψη του ελέγχου του υπολογιστή σας µέσω µίας έµπιστης τρίτης οντότητας και την ρύθµισή του ως αναµεταδότη ανεπίκλητων µηνυµάτων. Είναι άξιο µνείας ότι όταν συνδέετε τον υπολογιστή σας µε το ∆ιαδίκτυο, ανοίγετε 65.536 “πόρτες” – ή από τεχνική άποψη “θύρες” – µέσω των οποίων µπορούν να εισχωρήσουν δεδοµένα στον υπολογιστή σας. Αυτό που πραγµατικά χρειάζεται να κάνετε είναι να αφήνετε ανοιχτές µόνον τις απαραίτητες θύρες για να στέλνετε και να λαµβάνετε δεδοµένα και να παραµένουν κλειστές κατά το υπόλοιπο του χρόνου που είστε συνδεδεµένοι µε το ∆ιαδίκτυο.

Πρόκειται για ένα εξαιρετικά περίπλοκο πεδίο της επιστήµης των υπολογιστών και το παρόν δεν αποτελεί τον χώρο όπου µπορούν να αναπτυχθούν διεξοδικά οι αρχές και οι πρακτικές του, οι οποίες αποτελούν αντικείµενο διδακτορικών διατριβών. Για καλή τύχη, οι τοίχοι προστασίας λογισµικού είναι σήµερα ανέξοδοι, εύκολοι στην χρήση και εύκολα διαθέσιµοι. Εάν έχετε έναν υπολογιστή, αγοράστε ένα τοίχο προστασίας λογισµικού. Είναι εύκολος στην εγκατάστασή του. Εσείς απλώς αποδέχεστε τις προτερόθετες ρυθµίσεις του. Εάν έχετε δύο ή περισσότερους υπολογιστές συνδεδεµένους µε το ∆ιαδίκτυο, ένας τοίχος προστασίας υλικού αποτελεί την καλύτερη επένδυση και µπορεί να εγκατασταθεί ανάµεσα σε όλους τους υπολογιστές σας και στο καλώδιο το οποίο εξέρχεται προς το ∆ιαδίκτυο. Οι τοίχοι προστασίας υλικού είναι πιο πολύπλοκοι και είναι προτιµότερο να βάλετε έναν ειδικό να τον εγκαταστήσει και να τον διαµορφώσει. Ένας επαγγελµατίας θα διασφαλίσει το γεγονός ότι ο τοίχος σας δεν είναι τόσο ασφαλής έτσι ώστε να µην µπορείτε να συνδεθείτε µε το ∆ιαδίκτυο.

(Επιχειρήσεις που διαθέτουν έναν ή περισσότερους υπολογιστές θα µπορούσαν να αγοράσουν ένα συνδυασµό λογισµικών τύπου τοίχου προστασίας και αντιικού σε ένα πακέτο. Κάτι τέτοιο επιφέρει οικονοµικά και τεχνικά πλεονεκτήµατα για την µικρή επιχείρηση.)

ENISA 91 ∆ιαχείριση Κινδύνων 13/02/2007 Προγράµµατα επιδιόρθωσης (patches)

Τα προγράµµατα επιδιόρθωσης είναι λιγότερο γνωστά αλλά είναι πολύ σηµαντικά και συνδέονται µε ιούς και την ηλεκτρονική παρείσφρηση. Όλα τα προγράµµατα λογισµικού παρουσιάζουν προβλήµατα και ελαττώµατα. Στις περισσότερες περιπτώσεις, τα ελαττώµατα είναι τόσο επουσιώδη που µπορούν να αγνοηθούν και ενδεχοµένως να µην έχουν κανένα αντίκτυπο στην οποιαδήποτε επιχείρηση. Ορισµένα, ωστόσο, ελαττώµατα είναι εξαιρετικά σηµαντικά για να αγνοηθούν.

Όλοι οι παραγωγοί λογισµικού παρέχουν προγράµµατα επιδιόρθωσης - δηλαδή ενηµερώσεις λογισµικού σχεδιασµένες ώστε να αφαιρούν προβλήµατα από το λογισµικό τους. Εάν έχετε έναν και µοναδικό υπολογιστή που δεν είναι συνδεδεµένος µε οτιδήποτε άλλο (όπως µε έναν άλλον υπολογιστή, το ∆ιαδίκτυο κλπ) ενδεχοµένως να µην χρειάζεται να ανησυχείτε για τα προγράµµατα επιδιόρθωσης εφόσον ο υπολογιστής σας δουλεύει άψογα.

Τα παρακάτω ζητήµατα αφορούν κυρίως το λειτουργικό σύστηµα του υπολογιστή σας. Αυτό είναι το βασικό πρόγραµµα που εκτελείται στην καρδιά του υπολογιστή σας. Μπορεί να χρησιµοποιείτε κάποια έκδοση του Microsoft Windows, ενδεχοµένως Apple OSX ή ίσως Unix/Linux. Όλα αυτά τα λειτουργικά συστήµατα χρειάζονται, κατά καιρούς, επιδιόρθωση. Παρ’ όλ’ αυτά πολλές εφαρµογές χρειάζονται επίσης σποραδική επιδιόρθωση. Οι φυλλοµετρητές ∆ιαδικτύου και τα πακέτα ηλεκτρονικού ταχυδροµείου συχνά χρειάζονται επιδιόρθωση και δεν είναι ασύνηθες για τα συνήθη λογιστικά πακέτα να χρειάζονται ένα πρόγραµµα επιδιόρθωσης.

Εάν δεν ενηµερώνετε τα προγράµµατα επιδιόρθωσης λογισµικού, διακινδυνεύετε να υποστεί βλάβη το λογισµικό σας ή, στην περίπτωση του φυλλοµετρητή ή του ηλεκτρονικού ταχυδροµείου, να επιτρέψετε σε κακόβουλο λογισµικό να αλλοιώσει την λειτουργία του υπολογιστή σας ή σε κακόβουλους χρήστες να αποκτήσουν τον έλεγχο του υπολογιστή σας.

Οι περισσότεροι κατασκευαστές λογισµικού παρέχουν µία υπηρεσία ειδοποίησης µέσω ηλεκτρονικού ταχυδροµείου που ενηµερώνει τους πελάτες τους όταν εκδίδονται νέα προγράµµατα επιδιόρθωσης. Συνήθως διαβαθµίζουν σε µία κλίµακα αυτές τις ειδοποιήσεις από κρίσιµες έως αναµενόµενες. Εάν λάβετε µία προειδοποίηση για ένα πρόγραµµα επιδιόρθωσης ζωτικής σηµασίας, το οποίο επηρεάζει ένα τµήµα του λογισµικού στο οποίο στηρίζεται η εύρυθµη λειτουργία της επιχείρησής σας, συνιστάται να το εγκαταστήσετε το συντοµότερο δυνατό. Η συνέχιση των επιχειρηµατικών δραστηριοτήτων σας ενδεχοµένως να εξαρτάται από αυτό το γεγονός. Μπορείτε, επίσης, να ελέγχετε τον ιστότοπο του προµηθευτή του λογισµικού σας για ενδιαφέρουσες ειδήσεις ή ενηµερώσεις.

Σήµερα οι περισσότεροι κατασκευαστές λογισµικού προσφέρουν αυτόµατες ενηµερώσεις µέσω του διαδικτύου.

∆ηµιουργία εφεδρικών αντιγράφων (backup)

H δηµιουργία εφεδρικών αντιγράφων είναι η διαδικασία µε την οποία παίρνετε ένα αντίγραφο ηλεκτρονικών δεδοµένων, όπως, για παράδειγµα, ενός αρχείου λογαριασµών. Γιατί να µπείτε στον κόπο; ∆ιότι τα ηλεκτρονικά δεδοµένα είναι πολύ εύκολο να χαθούν, εγκαταλειφθούν από αµέλεια ή να καταστραφούν. Εάν χάσετε το µοναδικό αντίγραφο των ηλεκτρονικών λογαριασµών σας, µε ποιον τρόπο θα διαχειριστείτε την επιχείρησή σας την επόµενη µέρα;

ENISA 92 ∆ιαχείριση Κινδύνων 13/02/2007

Ένα τυπικό και αποτελεσµατικό καθεστώς δηµιουργίας εφεδρικών αντιγράφων θα αποτρέψει µεγάλο µέρος των φυσικών ή τυχαίων απειλών που αναφέρθηκαν προηγουµένως. Μπορείτε να αντιγράψετε θεµελιώδους σηµασίας δεδοµένα σε:

• µία µαγνητική ταινία (παλιότερη µέθοδος που, όµως, αξίζει να την εξετάσετε εξαιτίας του ότι µπορείτε να την επαναχρησιµοποιήσετε) • µία µονάδα αντιγραφής δίσκου (κατά προτίµηση αφαιρέσιµη) • ένα σύµπυκνο δίσκο (CD) (των περίπου 700 Mb) ή ένα ψηφιακό βιντεοδίσκο (DVD) (των περίπου 4.3 Gb)

Πρέπει να εξετάσετε το ενδεχόµενο του να δηµιουργείτε πολλαπλά εφεδρικά αντίγραφα δεδοµένων κρίσιµης σηµασίας χρησιµοποιώντας µέσα τριών γενιών. Για παράδειγµα, κρατώντας τα δεδοµένα «του τέλους της εβδοµάδας» των τελευταίων τριών εβδοµάδων µε κυλιόµενο τρόπο έτσι ώστε να έχετε πάντοτε εφεδρικά αρχεία τριών εβδοµάδων (ή γενιών) για κάθε ενδεχόµενο στην περίπτωση που χρειάζεται να ξαναδηµιουργήσετε το σύστηµα. Ένα ενδεδειγµένο καθεστώς δηµιουργίας εφεδρικών αντιγράφων για µια επιχείρηση (ακόµη και µιας ατοµικής επιχείρησης) είναι:

• στο τέλος κάθε εργάσιµης ηµέρας – δηµιουργία εφεδρικών αντιγράφων όλων των αρχείων που αλλάχθηκαν την ηµέρα αυτή • στο τέλος κάθε εβδοµάδας - δηµιουργία εφεδρικών αντιγράφων όλων των εφαρµογών (λογαριασµών, αλληλογραφίας κλπ) • στο τέλος κάθε µήνα - δηµιουργία εφεδρικών αντιγράφων και του λειτουργικού συστήµατος επίσης

Εάν πρέπει να ανακατασκευάσετε τον υπολογιστή µετά από µία καταστροφική βλάβη, θα χρησιµοποιήσετε τα εφεδρικά αντίγραφα του “τέλους µήνα” για να επαναφέρετε το λειτουργικό σύστηµα. Στην συνέχεια επαναφέρατε τα εφεδρικά αντίγραφα εφαρµογών του «τέλους εβδοµάδας”. Στο τέλος, επαναφέρατε κάθε εφεδρικό αντίγραφο του “τέλους ηµέρας” που δηµιουργήθηκε µετά το τελευταίο του “τέλους εβδοµάδας”. Μ’ αυτόν τον τρόπο, θα ανακατασκευάσετε ολόκληρο το σύστηµα. Εάν δεν µπορεί να διαβαστεί κανένα από τα εφεδρικά αντίγραφα (ένα εκπληκτικά κοινό φαινόµενο ανεξάρτητα από το µέσο δηµιουργίας εφεδρικών αντιγράφων), µπορείτε να επιστρέψετε στο προηγούµενο από τα τρία αντίγραφα και να ξεκινήσετε από εκεί. Εάν συµβεί αυτό, είναι µάλλον απίθανο να αποκαταστήσετε όλα τα αρχεία δεδοµένων σας. Αναπόφευκτα κάτι θα χαθεί και στα µέσα που υπέστησαν βλάβη. Αυτό ωστόσο είναι προτιµότερο από το να χάσετε όλα τα πολύτιµα δεδοµένα σας.

Αυτό το καθεστώς δηµιουργίας εφεδρικών αντιγράφων χρησιµοποιείται από τότε που εφευρέθηκαν οι υπολογιστές και έχει αποδειχθεί ότι είναι αξιόπιστο µε την πάροδο του χρόνου. Πιο περίπλοκα καθεστώτα δηµιουργίας εφεδρικών αντιγράφων µπορούν να χρησιµοποιηθούν όπου οι αλλαγές δεδοµένων γίνονται µε ταχύ ρυθµό ή όταν υφίστανται δεδοµένα υψηλής αξίας. Να είστε προετοιµασµένοι για την αλλαγή εάν οι κίνδυνοι που απειλούν την επιχείρησή σας µεταβληθούν.

Να διατηρείτε τα εφεδρικά σας αντίγραφα σε ασφαλή τοποθεσία. Είναι τόσο πολύτιµα όσο και τα πρωτότυπα δεδοµένα σας, υπόκεινται, δε, στις ίδιες αρχές αναγνώρισης εξουσιοδότησης. Μην τα αφήνετε σε µέρη από όπου µπορούν να κλαπούν ή να υποστούν βλάβη. Και, φυσικά, µην τα αφήνετε πάνω στον υπολογιστή σας. Εάν αυτός καεί, τι θα συµβεί στα εφεδρικά σας αντίγραφα ασφάλειας; Στην ιδανική περίπτωση, να φυλάτε τα εφεδρικά σας αντίγραφα σε ένα εντελώς διαφορετικό κτίριο από αυτό στο οποίο βρίσκεται ο

ENISA 93 ∆ιαχείριση Κινδύνων 13/02/2007

υπολογιστής σας. Εάν το γραφείο σας υποστεί ολοσχερή καταστροφή από φωτιά, δεν θα θέλατε να έχουν την ίδια µοίρα τα εφεδρικά σας αντίγραφα!

Ένα µείζον πρόβληµα µε τα εφεδρικά αντίγραφα λαµβάνει χώρα όταν ο ιδιοκτήτης λησµονεί να τα επισηµάνει δεόντως µε την ηµεροµηνία και το θέµα τους. Στην περίπτωση αυτή όταν το εφεδρικό αντίγραφο χρειαστεί σε συνθήκες βιάσης….

Μία εναλλακτική επιλογή, εάν έχετε µεγάλο αριθµό εφεδρικών αντιγράφων σε διαφορετικά µέσα, είναι να αγοράσετε ένα “πυρασφαλές χρηµατοκιβώτιο”. Ένα τέτοιο χρηµατοκιβώτιο µπορεί να φυλάσσεται στις εγκαταστάσεις της επιχείρησης αλλά πρέπει να γνωρίζετε ότι µετά από µία πολύ δυνατή φλογερή φωτιά µπορεί να πρέπει να περάσουν 2/3 ηµέρες πριν το χρηµατοκιβώτιο έχει κρυώσει αρκετά για να ανοιχθεί.

Υποκλοπή πληροφοριών και ταυτότητας

Πρόκειται για µία από τις γρηγορότερα αναπτυσσόµενες αξιόποινες πράξεις τόσο στο Ηνωµένο Βασίλειο όσο και σε άλλες ανεπτυγµένες χώρες. Έχει δοθεί µεγάλη δηµοσιότητα στο γεγονός αυτό αλλά το σηµαντικό ζητούµενο δεν αναφέρεται. Η υποκλοπή πληροφοριών και στοιχείων ταυτότητας µπορεί να επηρεάσει εξίσου τις επιχειρήσεις και τους ιδιώτες.

Για µία επιχείρηση είναι ζωτικής σηµασίας οι παλιές πληροφορίες να καταστρέφονται µε ασφαλή τρόπο. Σε αυτό συµπεριλαµβάνονται και τα έγγραφα και τα ηλεκτρονικά αντίγραφα. ∆εν είναι κάτι καινούριο για µικρές επιχειρήσεις, οι οποίες διαθέτουν δικές τους ιστοσελίδες, να υποκλέπτονται στοιχεία από τον ιστότοπό τους από κάποιον που έχει κλέψει παλιά επιστολόχαρτα µε κεφαλίδες αποστολέα και έχει βρει σε αυτά υπογραφές διευθυντικών στελεχών. Αυτός ο τρόπος χρησιµοποιείται για να χαλκεύονται επιστολές στις υπηρεσίες καταχώρησης ονοµασίας στο διαδίκτυο έτσι ώστε να επανακαταχωρηθεί ο ιστότοπος σε µία νέα φυσική διεύθυνση. Στην συνέχεια οργανώνεται µία δόλια επιχείρηση και χορηγούνται έτσι επιχειρηµατικά δάνεια.

Μπορεί επίσης να κλαπούν στοιχεία ταυτότητας ιδιωτών µε πρόθεση απάτης. Παρά το γεγονός ότι δεν θα καταστείτε υπόλογος για µία ξεκάθαρη απάτη που διαπράχθηκε από άλλους, το πρόβληµα µε την κλοπή στοιχείων ταυτότητας είναι η ανάκτηση της αξιοπιστίας σας από τράπεζες και άλλους χρηµατοοικονοµικούς οργανισµούς και ιδιαίτερα από υπηρεσίες/φορείς πιστωτικής αναφοράς. Ορισµένα πράγµατα που πρέπει να κάνετε:

• Μην δίνετε προσωπικές πληροφορίες, µέσω του ∆ιαδικτύου, ηλεκτρονικών µηνυµάτων, από το τηλέφωνο ή µέσα από επιστολές, σε οποιονδήποτε εκτός εάν είστε ήδη βέβαιοι ότι µπορείτε να τον/τη εµπιστευθείτε. • Να θυµάστε ότι οι τράπεζες δεν ζητούν ποτέ να επιβεβαιώσουν οι πελάτες τους τα συνθηµατικά ή τους κώδικες πρόσβασής τους µέσω ηλεκτρονικού ταχυδροµείου, οπότε µην δίνετε τέτοιες πληροφορίες. • Μην πετάτε εµπιστευτικά επιχειρηµατικά ή προσωπικά έγγραφα πριν τα τεµαχίσετε πρώτα και, στην ιδανική περίπτωση, χρησιµοποιήστε έναν καταστροφέα εγγράφων που έχει διπλή φορά κοπής (εγκάρσια και διαγώνια). • Ηλεκτρονικό ή µαγνητικό υλικό, που δεν είναι πλέον χρήσιµο, πρέπει να καταστρέφεται µε φυσικά τρόπο και έως του σηµείου που δεν µπορεί να ξαναχρησιµοποιηθεί.

ENISA 94 ∆ιαχείριση Κινδύνων 13/02/2007

• Εάν έχετε ανενεργούς επιχειρηµατικούς τραπεζικούς λογαριασµούς ή γραµµές συναλλαγής µε παλιούς προµηθευτές, κλείστε τους/τες διότι θα µπορούσαν τύχουν εκµετάλλευσης µε πρόθεση απάτης.

Σε κάθε περίπτωση, πρέπει να ελέγχετε εξονυχιστικά, γραµµή – γραµµή, αµέσως µόλις τα πάρετε στα χέρια σας, τα αντίγραφα κίνησης τραπεζικών λογαριασµών και άλλα οικονοµικά έγγραφά σας. Οποιεσδήποτε ανεπιθύµητες πληρωµές ή χρεωστικές εγγραφές πρέπει να διερευνώνται άµεσα. Η τράπεζά σας δεν θα ενοχληθεί στην περίπτωση που έχετε οποιεσδήποτε απορίες. Ανησυχούν και αυτοί, το ίδιο µε εσάς, προκειµένου για τον περιορισµό της απάτης. Ένα άλλο θέµα είναι να ελέγχετε περιοδικά τις προσωπικές ή επαγγελµατικές πιστωτικές σας εγγραφές για οποιαδήποτε από τα ακόλουθα απροσδόκητα συµβάντα:

• ερωτήµατα σχετικά µε την πιστωτική σας επιφάνεια από εταιρίες µε τις οποίες δεν είχατε ποτέ καµία συναλλαγή ή δοσοληψία, • προσβλητικά σχόλια σχετικά µε την πιστωτική σας επιφάνεια, • ειδοποιήσεις αλλαγής διεύθυνσης, ή • αναφορές σε αποφάσεις δικαστηρίων κλπ

Ασύρµατα ∆ίκτυα

Τα ασύρµατα δίκτυα (WiFi εν συντοµία) είναι πολύ ελκυστικά για µικρές επιχειρήσεις. Είναι ανέξοδα στην εγκατάσταση, εύκολα στην διαµόρφωση, παρέχουν ευελιξία και µετριάζουν την δυσκολία και την δαπανηρή διαδικασία καλωδίωσης. ∆υστυχώς, είναι επίσης πολύ εύκολο να δηµιουργηθεί ένα δίκτυο WiFi που επιτρέπει στον οποιονδήποτε και στον καθένα να διαβάσει τα εµπιστευτικά επιχειρηµατικά σας στοιχεία.

Ο µεγάλος κίνδυνος είναι ότι οποιοσδήποτε εντός της ασύρµατης περιοχής µπορεί να χρησιµοποιήσει το WiFi δίκτυό σας. Μπορεί να χρησιµοποιήσει την σύνδεσή σας στο ∆ιαδίκτυο δωρεάν, να λάβει γνώση της µεταφοράς δεδοµένων σας, π.χ. ηλεκτρονικών µηνυµάτων ή συνθηµατικών, να έχει πρόσβαση σε αρχεία δεδοµένων στους υπολογιστές σας ή ακόµη και να ξετρυπώσει τα στοιχεία του τραπεζικού σας λογαριασµού. Ένα µη ασφαλές δίκτυο WiFi συνιστά µεγάλο κίνδυνο βιοµηχανικής κατασκοπίας.

Η δηµιουργία δικτύου WiFi στην επιχείρησή σας απαιτεί προσεκτικό σχεδιασµό και ενδεχοµένως να απαιτηθεί βοήθεια από ειδικούς. Η επεξηγηµατική αυτή σηµείωση δεν µπορεί να αποτελέσει πλήρη οδηγό για την δηµιουργία ενός δικτύου. Το σηµαντικό σηµείο εδώ είναι ότι ένα δίκτυο WiFi µπορεί και πρέπει να δηµιουργηθεί µε ασφάλεια έτσι ώστε µόνο εσείς και το προσωπικό σας να µπορείτε να το χρησιµοποιείτε, να έχετε πρόσβαση σε και να διαµοιράζεστε δεδοµένα. Ακολουθούν ορισµένες βασικές υποδείξεις.

Κατ’ αρχήν, δυστυχώς, ορισµένες σηµαντικές τεχνικές παρατηρήσεις. Κάθε WiFi πρέπει να συµµορφώνεται µε το πρότυπο 802.11 του Ινστιτούτου Ηλεκτρολόγων και Ηλεκτρονικών Μηχανικών (IEEE). Υπάρχουν επιµέρους υποσύνολα σε αυτό το πρότυπο. Τα σηµαντικά για εσάς είναι τα 802.11 G και 802.11N. Το υποσύνολο ‘G’ αφορά στο εν λόγω ζήτηµα ενώ το ‘N’ αποµακρύνεται κάπως από αυτό. Για επιχειρηµατικούς σκοπούς, επικεντρωθείτε στο ‘G’ τώρα, αν και, σήµερα πωλούνται τα ονοµαζόµενα “προ N” εργαλεία, τα οποία όµως µπορεί να µην συµµορφώνονται πλήρως µε το τελικό πρότυπο ‘N’. Το ‘N’ προσφέρει πολύ µεγαλύτερες ταχύτητες µετάδοσης και δυνητικά καλύτερη ασφάλεια. Μην δελεαστείτε από τις παρωχηµένες σήµερα παραλλαγές ‘A’ ή ‘B’ καθώς είναι βραδύτερες και λιγότερο ασφαλείς.

ENISA 95 ∆ιαχείριση Κινδύνων 13/02/2007

Μην βασίζεστε στην δήλωση επιδόσεων του κατασκευαστή. Γενικά θα έχετε τη µισή ταχύτητα µετάδοσης για τη µισή απόσταση εκτός εάν λειτουργείτε σε εργαστηριακές συνθήκες. Οι κτιριακές κατασκευές µπορεί να έχουν µία σαφή επίδραση στην επίδοση ενός WiFi ενώ τα πέτρινα κτίρια παρουσιάζουν τα περισσότερα προβλήµατα.

Tι θα χρειαστείτε:

• Έναν ασύρµατο δροµολογητή, ο οποίος µεταδίδει και λαµβάνει τα σήµατα δεδοµένων που εκπέµπονται σε ολόκληρο το γραφείο. Μπορεί να συντονιστούν πιο εξεζητηµένοι δροµολογητές έτσι ώστε το σήµα να περιορίζεται τόσο όσο να καλύπτει απλώς το κτίριο σας. • Ευρυζωνική σύνδεση , εάν δεν έχετε ήδη. • Έναν ασύρµατο προσαρµογέα για κάθε υπολογιστή. Οι περισσότεροι σύγχρονοι φορητοί υπολογιστές διατίθενται, σήµερα, µε ενσωµατωµένο προσαρµογέα αλλά οι υπολογιστές γραφείου χρειάζονται ξεχωριστό προσαρµογέα. Συνιστάται ένας ασύρµατος προσαρµογέας ο οποίος συνδέεται απευθείας σε µία θύρα USB.

Στην περίπτωση όπου µία επιχείρηση διαθέτει έναν ήδη εγκατεστηµένο κεντρικό διακοµιστή αρχείων µε αποκατεστηµένη σύνδεση στο ∆ιαδίκτυο, ο δροµολογητής θα είναι άµεσα συνδεδεµένος στον διακοµιστή αρχείων. Τα µικρά γραφεία µπορούν να αγοράσουν ένα δροµολογητή µε ενσωµατωµένο ευρυζωνικό διααποδιαµορφωτή (µόντεµ). Μπορούν να αγοραστούν πιο εξεζητηµένα “µαύρα κουτιά”, τα οποία συνδυάζουν δροµολογητή µε τοίχο προστασίας για πρόσθετη προστασία. Μία καλή υπόδειξη είναι να αγοράσετε ολόκληρο τον WiFi εξοπλισµό σας από τον ίδιο κατασκευαστή. Μην αναµειγνύετε και ταιριάζετε προϊόντα επειδή, εάν αυτή η επιλογή δεν έχει το επιδιωκόµενο αποτέλεσµα, όλοι οι προµηθευτές θα αλληλοκατηγορούνται. Και, φυσικά, µην αγοράζετε ένα άγνωστης εµπορικής ονοµασίας προϊόν.

Οι παρακάτω τεχνικές παρατηρήσεις είναι ουσιώδεις για την ασφάλεια:

• Κάθε µετάδοση δεδοµένων πρέπει να είναι κρυπτογραφηµένη. Μην χρησιµοποιείτε κρυπτογράφηση προστασίας ασύρµατου ισοδύναµης µε ενσύρµατη (WEP). Χρησιµοποιήστε, αντί γι’ αυτή, ασύρµατη προστατευόµενη πρόσβαση (WPA ή WPA2). • Χρησιµοποιείτε προ-µοιρασµένα κλειδιά (PSK) για την δηµιουργία µίας µορφής συνθηµατικού ανάµεσα στους υπολογιστές και τον δροµολογητή σας. Συνιστάται η χρήση µίας µακροσκελούς κλείδας. • ∆ηµιουργήστε µία µοναδική ονοµασία για το WiFi δίκτυο σας µέσω της αντίστοιχης υπηρεσίας . • Θέστε αναγνωριστικά (SSID). ∆ηµιουργήστε µία ασφαλή ονοµασία. • ∆ιαµορφώστε τον WiFi δροµολογητή σας έτσι ώστε να µην εκπέµπεται το SSID σας. • Μην χρησιµοποιείτε ποτέ την προτερόθετη ονοµασία του SSID του κατασκευαστή. • Καταχωρείστε τις διευθύνσεις ελέγχου πρόσβασης µέσων (MAC) των υπολογιστών του γραφείου σας στον δροµολογητή σας και δηµιουργήστε έναν κανόνα όπου µόνο οι καταχωρηµένες διευθύνσεις MAC µπορούν να συνδιαλέγονται µε αυτόν. • Βεβαιωθείτε ότι τα λειτουργικά συστήµατα του διακοµιστή και των λοιπών υπολογιστών σας υποστηρίζουν το WiFi πριν αγοράσετε το εξοπλισµό!

Εάν όλα αυτά ακούγονται κάπως δύσκολα, µην αποπειραθείτε να φτιάξετε µόνοι σας το δίκτυό σας. Ζητήστε από έναν ειδικό να σας εγκαταστήσει το WiFi δίκτυό σας. Μην ξεχνάτε

ENISA 96 ∆ιαχείριση Κινδύνων 13/02/2007

ότι τα δεδοµένα σας είναι ενδεχοµένως το σηµαντικότερο περιουσιακό σας στοιχείο και είναι ανάγκη να προστατευθεί µε ένα ασφαλές WiFi. Στο κάτω-κάτω, δεν θέλετε να µετατρέψετε το δίκτυό σας σε ένα σηµείο ελεύθερης πρόσβασης για το κοινό.

Τρίτοι

Σε διάφορες επιχειρηµατικές δραστηριότητες, που αφορούν τις ΜΜΕ, εµπλέκονται αρκετά συχνά τρίτοι. Στις συνήθεις δεσµεύσεις τους περιλαµβάνονται η παροχή συµβουλευτικών υπηρεσιών για την διαχείριση εµπορικών υποθέσεων και την εµπορία (µάρκετινγκ), καθώς και η υποστήριξη κρίσιµων συστηµάτων της τεχνολογίας των πληροφοριών. Συχνότατα σε αυτούς παρέχεται πρόσβαση σε εµπιστευτικές εταιρικές πληροφορίες ή πρόσβαση σε συστήµατα και υποδοµή δικτύων για λόγους συντήρησης. Είναι απαραίτητο οι επιχειρήσεις να διασφαλίσουν την εµπιστευτικότητα αυτών των πληροφοριών όχι µόνο συµβατικά αλλά και µέσω µίας διαδικασίας διαχείρισης ελέγχου ενδεδειγµένης πρόσβασης. Οι ΜΜΕ πρέπει, κατ’ ελάχιστο, να λάβουν υπόψη τους παρακάτω ελέγχους όταν συναλλάσσονται µε τρίτους:

• Σύναψη συµφωνίας εµπιστευτικότητας και τήρησης του απορρήτου. • Παροχή πρόσβασης σε πληροφορίες, εφόσον συντρέχει λόγος ενηµέρωσης, που σηµαίνει ότι πρέπει να παρέχεται πρόσβαση σε τρίτους σε πληροφορίες που είναι απολύτως απαραίτητες προκειµένου να εκτελέσουν την εργασία τους. • ∆ΕΝ πρέπει να παρέχεται πρόσβαση υποστήριξης τεχνολογίας της πληροφορίας σε τρίτους σε µόνιµη βάση εκτός εάν αυτό είναι αναγκαίο και προβλέπεται ρητά. Η πρόσβαση πρέπει να διακόπτεται άµεσα µετά την ολοκλήρωση των αναγκαίων δραστηριοτήτων. Οι διαδροµές ελέγχου πρέπει να εκτυπώνονται και να ανασκοπούνται προκειµένου να επαληθευθεί ότι οι δραστηριότητες που έλαβαν χώρα περιορίζονταν σε σύννοµες διαδικασίες συντήρησης. • Αιτηθείτε από το τρίτο µέρος το δικαίωµά σας να ελέγχετε τα µέτρα προστασίας ασφάλειάς του ιδιαίτερα σε περιπτώσεις όπου εταιρικές πληροφορίες χαρακτηρισµένες ως ιδιόκτητες και εµπιστευτικές υπόκεινται σε επεξεργασία στις κτιριακές εγκαταστάσεις του.

ENISA 97 ∆ιαχείριση Κινδύνων 13/02/2007 Πάροχοι Υπηρεσιών

Οι πάροχοι υπηρεσιών είναι βασικά οι πάροχοι υπηρεσιών διαδικτύου (ISP), οι πάροχοι υπηρεσιών εφαρµογών (ASP) και οι πάροχοι τηλεπικοινωνιακών υπηρεσιών. Πριν επιλέξετε έναν πάροχο, τα αρµόδια πρόσωπα πρέπει να ενηµερωθούν για τους κανονισµούς που έχουν θεσπιστεί από τον εν δυνάµει υποψήφιο, για παράδειγµα εάν έχουν τεθεί ανώτατα όρια για το εύρος ζώνης , εάν φιλτράρονται τα ηλεκτρονικά µηνύµατα και, εάν ναι, σύµφωνα µε ποιους κανόνες.

Οι πάροχοι συνήθως αποθηκεύουν δεδοµένα χρηστών για σκοπούς τιµολόγησης (επωνυµία, διεύθυνση, αναγνωριστικό χρήστη , τραπεζικό λογαριασµό) καθώς και δεδοµένα σύνδεσης και µετάδοσης περιεχοµένου (για µια δεδοµένη χρονική περίοδο που ποικίλει από τον ένα πάροχο στον άλλο).

Οι χρήστες πρέπει να ζητούν από τους παρόχους τους για ποιο χρονικό διάστηµα και ποια στοιχεία των δεδοµένων τους παραµένουν αποθηκευµένα. Κατά την επιλογή ενός παρόχου, πρέπει να ληφθεί υπόψη ότι οι πάροχοι στην ΕΕ πρέπει να συµµορφώνονται µε τις διατάξεις για την προστασία της ιδιωτικότητας των δεδοµένων που ισχύουν για την επεξεργασία των πληροφοριών αυτών.

Μέσω της κρυπτογράφησης, οι χρήστες µπορούν να αποτρέψουν τους παρόχους από το να είναι σε θέση να διαβάσουν το περιεχόµενο των διαβιβαζόµενων δεδοµένων.

Πρόσθετοι έλεγχοι:

• Σύµφωνα µε ποια κριτήρια επιλέγεται ο πάροχος; • Ποια µέτρα ασφάλειας εφαρµόζει ο πάροχος; • Σύµφωνα µε ποια κριτήρια φιλτράρονται τα ηλεκτρονικά µηνύµατα από τον πάροχο (Πάροχοι Ηλεκτρονικού Ταχυδροµείου); Είναι το προσωπικό διαθέσιµο 24 ώρες το 24ωρο για την αντιµετώπιση τεχνικών προβληµάτων και πόσο ικανό είναι; • Πόσο καλά προετοιµασµένος είναι ο πάροχος για την περίπτωση βλάβης ενός ή περισσότερων συστηµάτων ΤΠ (σχεδιασµός έκτακτης ανάγκης, αντίληψη για τον τρόπο δηµιουργίας αντιγράφων)? • Ποιο επίπεδο διαθεσιµότητας µπορεί να εγγυηθεί ο πάροχος (µέγιστο διάρκειας διακοπής λειτουργίας); Ελέγχει τακτικά το ότι οι συνδέσεις των πελατών παραµένουν σταθερές και εάν έχουν ληφθεί τα µέτρα που απαιτούνται; • Τι κάνει ο πάροχος για να διαφυλάξει την ασφάλεια των συστηµάτων ΤΠ και των πελατών του; Πρέπει να τηρείται η πολιτική ασφάλειας των πληροφοριών και να ακολουθούνται συστηµατικά οι κατευθυντήριες γραµµές ασφάλειας κάθε παρόχου. Πρέπει, επίσης, να είναι εφικτό σε εξωτερικούς χρήστες να επιθεωρούν τις κατευθυντήριες γραµµές ασφάλειας. Το προσωπικό του παρόχου πρέπει να είναι ενηµερωµένο για τα θέµατα της ασφάλειας της τεχνολογίας των πληροφοριών (ΤΠ) και θα υποχρεώνεται να τηρεί τις κατευθυντήριες γραµµές ασφάλειας. Πρέπει, επίσης, να του παρέχεται τακτική εκπαίδευση (όχι µόνο σε θέµατα ασφάλειας).

Προστασία και Ιδιωτικότητα ∆εδοµένων

Πέραν των ανθρώπων που απασχολείτε, τι θεωρείτε ως βασικό αγαθό της επιχειρηµατικής σας οργάνωσης, το οποίο είναι αθέατο, κατά κύριο λόγο υποτιµηµένο, που µπορεί να χρησιµοποιηθεί κατά εσφαλµένο τρόπο από λάθος αποδέκτη και να χαθεί αυτοστιγµεί;

ENISA 98 ∆ιαχείριση Κινδύνων 13/02/2007

H πιθανότερη απάντηση είναι οι πληροφορίες. Οι επιχειρηµατικές πληροφορίες υπόκεινται σε επιθεώρηση και επεξεργασία, από τα κατάλληλα άτοµα τότε που τις χρειάζονται, µε βάση την ορθή πολιτική ασφάλειας των πληροφοριών. Σήµερα, η νοµοθεσία απαιτεί από εσάς να διασφαλίζετε ότι οι πληροφορίες που τηρούνται για τους ανθρώπους προστατεύονται επαρκώς.

Οι απαιτήσεις της εν λόγω νοµοθετικής πράξης µπορούν να συνοψιστούν ως εξής:

• Αξιολόγηση των κινδύνων που αφορούν σε πληροφορίες προσωπικού και ευαίσθητου χαρακτήρα • Αναγνώριση των αναγκαίων ελέγχων για την προστασία των δεδοµένων και της ιδιωτικότητας • Ανάπτυξη και εφαρµογή πολιτικής ασφάλειας των πληροφοριών

ENISA 99 ∆ιαχείριση Κινδύνων 13/02/2007

Παραποµπές

1. The fraud advisory Panel – Cyber crime what every SME should know about 2. Jack A. Jones, CISSP, CISM, CIS - An Introduction to Factor Analysis of Information Risk (FAIR) - A framework for understanding, analyzing, and measuring information risk 3. ENISA - Risk Assessment and Risk Management Methods: Information Packages for Small and Medium Sized Enterprises (SMEs) 4. ENISA - Risk Management: Implementation principles and Inventories for Risk Management/Risk Assessment methods and tools 5. ISO 27001

6. DTI – Directors Guide for Information Security

7. Oxford Integrated Systems - Security in an Uncertain World SME’s and a Level Playing Field

8. COMMISSION OF THE EUROPEAN COMMUNITIES - DIRECTORATE GENERAL - B6: Security of Telecommunications and Information Systems -Information Technology Security Evaluation Manual (ITSEM) Version 1.0

9. UK Department of Trade and Industry, Information Technology Security Evaluation Criteria ( ITSEC )

10. Leeds Council - Information Assurance Guide and Questionnaire for Small & Medium Sized Businesses (SMEs)

11. Russell Morgan - Information Security for Small Businesses

12. Network and Information Security Report – ICTSB / NISSG

13. COMMISSION RECOMMENDATION of 3 April 1996 concerning the definition of small and medium-sized enterprises

14. The OCTAVE (SM) Method Implementation Guide Version 2.0

15. Charles A. Shoniregun, Impacts and Risk Assessment of Technology for Internet Security – Enabled Information Small-Medium Enterprises

16. Official Journal of the European Union (20.5.2003)

17. Risk Management among SMEs Executive report of discovery research by Alpa A. Virdi (November 2005) Institute of Chartered Accountants in England and Wales

18. Reputation: Risk of risks (An Economist Intelligence Unit white paper) December 2005

19. Risk management service for SMEs (Newsletter) International Accounting Bulletin: 3, May 24, 2006. ISSN: 0265-0223, Lafferty Publications Ltd

20. Information Security Guide for Small businesses (Hong Kong Computer Emergency Response Team Coordination Centre (HKCERT), INFOSEC of the office of Government Chief Information Officer (OGCIO) and the Technology Crime Division HK Police force of the HKSAR Government.)

21. http://sme.cordis.lu/home/index.cfm (SME TechWeb)

22. http://europa.eu.int/information_society/policy/ecomm/info_centre/documentation/legislation/index_en .htm#top (Europe’s Information Society – Thematic Portal)

ENISA 100