Ψηφιακό Τεκμήριο
Ψηφιακό Τεκμήριο
Ψηφιακό Τεκμήριο
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
δίκτυα με τα οποία συνδέονται τα συστήματα του Οργανισμού, τα δεδομένα που αυτά<br />
αποθηκεύουν, επεξεργάζονται και διακινούν, τους τρόπους και τα επίπεδα<br />
πρόσβασης. Τα παραπάνω αποτελέσματα των απειλών αποτελούν τους κύριους<br />
κινδύνους της ασφάλειας πληροφοριών. Ο προσδιορισμός και η αξιολόγηση των<br />
κινδύνων αυτών αποτελεί αντικείμενο της διαδικασίας αξιολόγησης κινδύνων.<br />
2.2.4 Εντοπισμός Αδυναμιών Ασφάλειας<br />
Σκοπός του σταδίου αυτού, κατά το οποίο προσδιορίζονται οι αδυναμίες ασφάλειας<br />
που αφορούν στην περιοχή υπό εξέταση, είναι η δημιουργία λίστας με τις αδυναμίες,<br />
οι οποίες θα μπορούσαν να αποτελέσουν αντικείμενο εκμετάλλευσης από τις απειλές.<br />
Οι αδυναμίες ασφάλειας δεν προκύπτουν μόνο από την έλλειψη ή την<br />
αναποτελεσματικότητα των τεχνικών δικλείδων ασφάλειας, αλλά πηγάζουν από λάθη<br />
κατά τη σχεδίαση των συστημάτων (design vulnerabilities), από λανθασμένη<br />
υλοποίηση ενός σχεδιαστικά καλού συστήματος (implementation vulnerabilities), από<br />
λάθη κατά την παραμετροποίηση (configuration vulnerabilities), από μη τήρηση των<br />
προδιαγραφών ασφάλειας έτσι όπως αυτές προκύπτουν από την Πολιτική Ασφάλειας,<br />
τις πρότυπες οδηγίες ασφάλειας και τις διεθνείς πρακτικές ασφάλειας. Επίσης,<br />
αδυναμίες ασφάλειας προκύπτουν από την έλλειψη ή την αναποτελεσματικότητα<br />
δικλείδων ασφάλειας, οι οποίες αφορούν στην ασφαλή διαχείριση της πληροφορίας,<br />
είτε αυτή γίνεται από πληροφορικά συστήματα, είτε από ανθρώπινο παράγοντα.<br />
Έλεγχος Τήρησης Προδιαγραφών Ασφάλειας (Gap Analysis)<br />
Στα πλαίσια διενέργειας του συγκεκριμένου ελέγχου εξετάζεται η εναρμόνιση της<br />
ελεγχόμενης περιοχής με τις απαιτήσεις ασφάλειας του Οργανισμού, έτσι όπως αυτές<br />
προσδιορίζονται από τα ακόλουθα:<br />
• Αρχές και στόχους του Οργανισμού<br />
• Πολιτική Ασφάλειας του Οργανισμού<br />
• Διαδικασίες Ασφάλειας (τεχνικού περιεχομένου και μη)<br />
• Οδηγίες Ασφάλειας<br />
• Νομικές, κανονιστικές και συμβατικές υποχρεώσεις<br />
• Διεθνείς πρακτικές ασφάλειας οι οποίες εφαρμόζονται σε Οργανισμούς οι<br />
οποίοι<br />
• Επεξεργάζονται δεδομένα της ίδιας ή και μεγαλύτερης κρισιμότητας με τον<br />
Οργανισμό<br />
• Διεθνή πρότυπα ασφάλειας<br />
Έλεγχος Τεχνικών Αδυναμιών (Vulnerability Assessment)<br />
Η συγκεκριμένη ενότητα ελέγχων αφορά σε τεχνικές αδυναμίες ασφάλειας στην<br />
αρχιτεκτονική ασφάλειας, καθώς και σε όλους τους πληροφοριακούς πόρους και<br />
λογισμικό που αυτοί διαθέτουν. Είναι απόλυτα τεχνικής φύσεως και εξετάζει έμφυτες<br />
(εγγενείς) αδυναμίες της σχεδίασης ενός πληροφοριακού συστήματος ή μιας<br />
εφαρμογής (design vulnerabilities), είτε αυτές αφορούν λογισμικό είτε υλικό,<br />
αδυναμίες που οφείλονται σε λανθασμένη υλοποίηση ενός σχεδιαστικά καλού<br />
συστήματος (implementation vulnerabilities) και αδυναμίες που οφείλονται σε λάθη<br />
15
Change language