ΠΟΛΙΤΙΚΕΣ ΚΑΙ ΔΙΑΧΕΙΡΙΣΗ ΑΣΦΑΛΕΙΑΣ Οργανωσιακό πλαίσιο Ασφάλειας Πληροφοριών Σωκράτης Κ. Κάτσικας ska@unipi.gr

Agenda Πολιτικές ασφάλειας Ιεραρχία πολιτικών Σκοπιμότητα ύπαρξης Πολιτική ασφάλειας πληροφοριών Θεματικές πολιτικές Άλλα στοιχεία του οργανωσιακού πλαισίου Επιθυμητά χαρακτηριστικά πολιτικών Κύκλος ζωής πολιτικών Αρμοδιότητα ανάπτυξης

Πολιτικές ασφάλειας… Πολιτική (Policy) είναι μια τυπική, σύντομη και υψηλού επιπέδου δήλωση ή σχέδιο, που εκφράζει τις γενικές πεποιθήσεις, τους σκοπούς, τους στόχους και τις αποδεκτές διαδικασίες ενός οργανισμού σε μια συγκεκριμένη θεματική περιοχή.

…Πολιτικές ασφάλειας Οι πολιτικές εστιάζουν στα επιθυμητά αποτελέσματα και όχι στους τρόπους επίτευξής τους· γι’ αυτό συμπληρώνονται με κανόνες και οδηγίες. Η συμμόρφωση με τις πολιτικές είναι υποχρεωτική, ενώ η μη συμμόρφωση αποτελεί πειθαρχικό παράπτωμα.

Agenda Πολιτικές ασφάλειας Ιεραρχία πολιτικών Σκοπιμότητα ύπαρξης Πολιτική ασφάλειας πληροφοριών Θεματικές πολιτικές Άλλα στοιχεία του οργανωσιακού πλαισίου Επιθυμητά χαρακτηριστικά πολιτικών Κύκλος ζωής πολιτικών Αρμοδιότητα ανάπτυξης

Agenda Πολιτικές ασφάλειας Ιεραρχία πολιτικών Σκοπιμότητα ύπαρξης Πολιτική ασφάλειας πληροφοριών Θεματικές πολιτικές Άλλα στοιχεία του οργανωσιακού πλαισίου Επιθυμητά χαρακτηριστικά πολιτικών Κύκλος ζωής πολιτικών Αρμοδιότητα ανάπτυξης

8 Σκοπιμότητα Ύπαρξης… Συμμόρφωση με τις απαιτήσεις τεκμηρίωσης του ΣΔΑΠ. Νομική ή κανονιστική υποχρέωση Ενιαίο πλαίσιο ένταξης νέων προϊόντων και εργαλείων ασφάλειας Μοχλός καθοδήγησης της επιλογής και υλοποίησης των μέτρων ασφαλείας

…Σκοπιμότητα Ύπαρξης… 9 …Σκοπιμότητα Ύπαρξης… Κανάλι για την επικοινωνία των εμπλεκομένων στα ζητήματα ασφάλειας (χρήστες, διοίκηση, διαχειριστές συστημάτων κ.λπ.). Υποβοήθηση της ανάπτυξης σχέσεων εμπιστοσύνης με πελάτες και συνεργάτες. Διασφάλιση των απαραίτητων πόρων και αποδοτική διαχείριση της ασφάλειας πληροφοριών.

10 …Σκοπιμότητα Ύπαρξης Σηματοδοτεί τη βούληση της διοίκησης η ασφάλεια να αποτελεί σημαντικό ζήτημα. Κεντρική θέση στη δημιουργία κουλτούρας ασφάλειας.

Agenda Πολιτικές ασφάλειας Ιεραρχία πολιτικών Σκοπιμότητα ύπαρξης Πολιτική ασφάλειας πληροφοριών Θεματικές πολιτικές Άλλα στοιχεία του οργανωσιακού πλαισίου Επιθυμητά χαρακτηριστικά πολιτικών Κύκλος ζωής πολιτικών Αρμοδιότητα ανάπτυξης

Πολιτική ασφάλειας πληροφοριών… Στο ψηλότερο επίπεδο (Tier 1), ο οργανισμός καθορίζει την πολιτική ασφάλειας πληροφοριών (information security policy), η οποία εγκρίνεται από τη διοίκηση και καθορίζει την προσέγγιση του οργανισμού στη διαχείριση των στόχων που έχει σχετικά με την ασφάλεια πληροφοριών.

…Πολιτική ασφάλειας πληροφοριών… Η πολιτική αυτή αναφέρεται και ως εταιρική (ή οργανωσιακή) πολιτική ασφάλειας πληροφοριών (Corporate/Organizational security policy) ή ως πολιτική ασφάλειας πληροφοριών υψηλού επιπέδου (High level information security policy).

…Πολιτική ασφάλειας πληροφοριών… Πρέπει, κατ’ ελάχιστο, να περιέχει: Τους στόχους και τα σχέδια του οργανισμού σχετικά με την ασφάλεια πληροφοριών Ρόλους και καθήκοντα σχετικά με την ασφάλεια πληροφοριών Επισήμανση της σημασίας που δίνει η διοίκηση στη συμμόρφωση του προσωπικού με την πολιτική

…Πολιτική ασφάλειας πληροφοριών… Δέσμευση σχετικά με τους πόρους που διατίθενται προκειμένου να αναπτυχθεί, να υλοποιηθεί, να λειτουργήσει και να συντηρηθεί το ΣΔΑΠ. Δέσμευση της διοίκησης για την ενεργό συμμετοχή και υποστήριξή της στη συνεχή βελτίωση του ΣΔΑΠ Δέσμευση της διοίκησης για επανεξέταση του ΣΔΑΠ σε τακτά διαστήματα

…Πολιτική ασφάλειας πληροφοριών Διασφάλιση της παροχής κατάλληλης κατάρτισης στο προσωπικό που επηρεάζεται από το ΣΔΑΠ, έτσι ώστε να έχουν τις γνώσεις και δεξιότητες που απαιτούνται προκειμένου να μπορούν να ανταποκριθούν στα καθήκοντά τους.

Agenda Πολιτικές ασφάλειας Ιεραρχία πολιτικών Σκοπιμότητα ύπαρξης Πολιτική ασφάλειας πληροφοριών Θεματικές πολιτικές Άλλα στοιχεία του οργανωσιακού πλαισίου Επιθυμητά χαρακτηριστικά πολιτικών Κύκλος ζωής πολιτικών Αρμοδιότητα ανάπτυξης

Θεματικές πολιτικές… Στο αμέσως χαμηλότερο επίπεδο (Tier 2), η πολιτική ασφάλειας πληροφοριών υποστηρίζεται από θεματικές πολιτικές, οι οποίες στοχεύουν είτε σε συγκεκριμένες ομάδες ατόμων μέσα στον οργανισμό ή καλύπτουν συγκεκριμένα θέματα.

…Θεματικές πολιτικές… Παραδείγματα θεματικών πολιτικών που περιέχονται στο πρότυπο ISO/IEC 27002: Πολιτική ελέγχου πρόσβασης Πολιτική κατηγοριοποίησης και χειρισμού πληροφοριών Πολιτική φυσικής και περιβαλλοντικής ασφάλειας

…Θεματικές πολιτικές… Πολιτικές για θέματα τελικού χρήστη, όπως: Πολιτική αποδεκτής χρήσης αγαθών Πολιτική καθαρού γραφείου και καθαρής οθόνης Πολιτική μετάδοσης πληροφοριών Πολιτική κινητών συσκευών και τηλεργασίας Πολιτική περιορισμών στην εγκατάσταση και χρήση λογισμικού

…Θεματικές πολιτικές… Πολιτική αντιγράφων ασφαλείας Πολιτική μετάδοσης πληροφοριών Πολιτική προστασίας από κακόβουλο λογισμικό Πολιτική διαχείρισης τεχνικών ευπαθειών Πολιτική κρυπτογραφικών μέτρων ασφάλειας Πολιτική ασφάλειας επικοινωνιών Πολιτική ιδιωτικότητας και προστασίας πληροφοριών προσωπικού χαρακτήρα Πολιτική σχέσεων με τους προμηθευτές.

…Θεματικές πολιτικές… Μια θεματική πολιτική ασφάλειας πρέπει, κατ’ ελάχιστο, να περιέχει: Το θέμα στο οποίο αφορά. Τους στόχους, τους όρους και τις προϋποθέσεις που θέτει. Τις κατευθύνσεις της διοίκησης για το θέμα. Αυτούς στους οποίους απευθύνεται η πολιτική.

…Θεματικές πολιτικές Το πεδίο εφαρμογής της πολιτικής. Τους ρόλους και τα καθήκοντα του προσωπικού σχετικά με την πολιτική. Τις κυρώσεις σε περίπτωση μη συμμόρφωσης του προσωπικού με την πολιτική. Αυτούς με τους οποίους κάποιος πρέπει να επικοινωνήσει για θέματα σχετικά με την πολιτική.

Agenda Πολιτικές ασφάλειας Ιεραρχία πολιτικών Σκοπιμότητα ύπαρξης Πολιτική ασφάλειας πληροφοριών Θεματικές πολιτικές Άλλα στοιχεία του οργανωσιακού πλαισίου Επιθυμητά χαρακτηριστικά πολιτικών Κύκλος ζωής πολιτικών Αρμοδιότητα ανάπτυξης

Πολιτικές συστήματος Τέλος, στο κατώτατο επίπεδο (Tier 3) οι πολιτικές εστιάζουν σε μια συγκεκριμένη εφαρμογή ή σε ένα σύστημα. Μια τέτοια πολιτική καλύπτει θέματα όπως π.χ. ποιος έχει εξουσιοδότηση να διαβάζει ή να τροποποιεί δεδομένα, κάτω από ποιες προϋποθέσεις ισχύουν οι εξουσιοδοτήσεις αυτές, ή πώς ελέγχεται η απομακρυσμένη πρόσβαση σε ένα συγκεκριμένο σύστημα ή εφαρμογή.

Κανόνες Οι κανόνες (Standards) είναι υποχρεωτικές απαιτήσεις που υποστηρίζουν τις πολιτικές. Οι κανόνες καλύπτουν θέματα όπως π.χ. τι υλικό και λογισμικό πρέπει να χρησιμοποιείται, ποιο πρωτόκολο απομακρυσμένης πρόσβασης πρέπει να υλοποιηθεί, ή ποιος είναι αρμόδιος για να εγκρίνει κάτι.

Διαδικασίες Διαδικασία (Procedure) είναι μια σειρά βημάτων που ακολουθούμε, υποχρεωτικά, προκειμένου να πετύχουμε ένα τελικό σκοπό. Πολιτικές vs Διαδικασίες. Παράδειγμα: πολιτική συνθηματικών vs διαδικασία διαχείρισης συνθηματικών Δεν είναι απαραίτητο να υπάρχει μια-προς-μια αντιστοιχία μεταξύ πολιτικών και διαδικασιών.

Οδηγίες Οι οδηγίες (Guidelines) είναι γενικές δηλώσεις, συστάσεις ή διοικητικές εντολές που στοχεύουν στην επίτευξη των στόχων μιας πολιτικής, διαμορφώνοντας ένα πλαίσιο για την υλοποίηση των διαδικασιών. Οι οδηγίες δεν είναι υποχρεωτικές Μπορούν επίσης να χρησιμοποιηθούν και ως πρόδρομοι θεμάτων που κάποια στιγμή θα περάσουν ως στοιχεία πολιτικής. Αλλάζουν συχνά, καθώς αλλάζει το περιβάλλον.

Agenda Πολιτικές ασφάλειας Ιεραρχία πολιτικών Σκοπιμότητα ύπαρξης Πολιτική ασφάλειας πληροφοριών Θεματικές πολιτικές Άλλα στοιχεία του οργανωσιακού πλαισίου Επιθυμητά χαρακτηριστικά πολιτικών Κύκλος ζωής πολιτικών Αρμοδιότητα ανάπτυξης

Επιθυμητά χαρακτηριστικά Είναι εύκολα κατανοητή. Είναι εφαρμόσιμη. Είναι εφικτή. Είναι εκτελεστή. Εφαρμόζεται σταδιακά. Έχει προληπτικό χαρακτήρα. Δεν είναι απόλυτη.

Agenda Πολιτικές ασφάλειας Ιεραρχία πολιτικών Σκοπιμότητα ύπαρξης Πολιτική ασφάλειας πληροφοριών Θεματικές πολιτικές Άλλα στοιχεία του οργανωσιακού πλαισίου Επιθυμητά χαρακτηριστικά πολιτικών Κύκλος ζωής πολιτικών Αρμοδιότητα ανάπτυξης

Κύκλος ζωής πολιτικής

Agenda Ιεραρχία πολιτικών Σκοπιμότητα ύπαρξης Πολιτικές ασφάλειας Πολιτική ασφάλειας πληροφοριών Θεματικές πολιτικές Άλλα στοιχεία του οργανωσιακού πλαισίου Επιθυμητά χαρακτηριστικά πολιτικών Κύκλος ζωής πολιτικών Αρμοδιότητα ανάπτυξης

Φάση Στάδιο Αρμόδιος ρόλος Πολιτικές ασφάλειας Κανόνες Διαδικασίες Οδηγίες Ανάπτυξη Δημιουργία Ομάδα ασφάλειας Οικεία επιχειρησιακή μονάδα Έλεγχος Επιτροπή αξιολόγησης πολιτικών Ομάδα ασφάλειας και οικεία επιχειρησιακή μονάδα Έγκριση Διευθύνων Σύμβουλος Διευθυντής πληροφορικής Αρμόδιο εκτελεστικό μέλος του ΔΣ Υλοποίηση Δημοσιοποίηση Αρμόδια υπηρεσία του οργανισμού Συμμόρφωση Διευθυντές και υπάλληλοι σε όλον τον οργανισμό Εξαιρέσεις Δεν νοούνται Συντήρηση Επίγνωση Παρακολούθηση Διευθυντές και υπάλληλοι, ομάδα ασφάλειας, ομάδα ελέγχου Επιβολή Διευθυντές Διευθυντές οικείας επιχειρησιακής μονάδας Δεν νοείται Απόσυρση