IT Professional Security - ΤΕΥΧΟΣ 36
Περιοδικό για το Enterprise Computing και την ασφάλεια πληροφοριών.
Περιοδικό για το Enterprise Computing και την ασφάλεια πληροφοριών.
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
COVER ISSUE<br />
Ανθρώπινος Παράγοντας ..ο καταλυτικός ρόλος και τα λάθη<br />
γίνει κατανοητό, είναι ότι δεν χρειάζεται η βοήθεια εξωτερικών<br />
συνεργατών για τη διενέργεια των αξιολογήσεων κινδύνων.<br />
Χρειάζεται ουσιαστική ενασχόληση του τμήματος / υ-<br />
πευθύνου της Ασφάλειας Πληροφοριών. Εξ άλλου, η αξιολόγηση<br />
κινδύνων είναι ακρογωνιαίος λίθος της ασφάλειας<br />
πληροφοριών και δε νοείται επαγγελματίες του χώρου να κρατούν<br />
αποστάσεις και να μην εμπλέκονται ενεργά (ακόμα και<br />
να αποφεύγουν) στη συγκεκριμένη διεργασία.<br />
Ελλιπείς διαχείριση των διορθωτικών ενεργειών<br />
σε συνέχεια των αξιολογήσεων κινδύνων<br />
Εάν υποθέσουμε ότι τα αποτελέσματα της εκάστοτε αξιολόγησης<br />
κινδύνων είναι το αποτέλεσμα μιας αποτελεσματικές διεργασίας,<br />
τότε η συνέχεια και η ολοκλήρωση της διεργασίας απαιτεί<br />
την αντιμετώπιση των κινδύνων και την υλοποίηση εκείνων των<br />
δικλείδων ασφάλειας που θα μειώσουν τον κίνδυνο σε αποδεκτό<br />
για τον Οργανισμό επίπεδο. Η συνεχής παρακολούθηση και<br />
ο έλεγχος υλοποίησης των διορθωτικών ενεργειών που αφορούν<br />
στη αντιμετώπιση των κινδύνων, είναι ακόμα σημαντικότερη διαδικασία,<br />
η οποία συχνά παραβλέπεται.<br />
Το συνηθέστερο φαινόμενο αφορά στην παράληψη των ελέγχων<br />
υλοποίησης των διορθωτικών ενεργειών, αλλά και στην<br />
ελαστικότητα στους χρόνους υλοποίησης των διορθωτικών<br />
ενεργειών.<br />
Ένα ακόμα σημείο που χρίζει προσοχής, είναι η δημιουργία ε-<br />
νός ενιαίου καταλόγου με όλους τους κινδύνους σχετικά με την<br />
ασφάλεια πληροφοριών, από όποια διεργασία αξιολόγησης κινδύνων<br />
και αν αυτά προέρχονται (penetration testing, vulnerability<br />
assessment, security testing, κτλ). Ο τρόπος αποτύπωσης, περιγραφής<br />
αλλά και αξιολόγησης πρέπει να είναι ενιαίος και να δίνει<br />
τη πραγματική εικόνα του κινδύνου σε σχέση με την επίδρασή<br />
του στους επιχειρηματικούς στόχους και επιδιώξεις.<br />
Εκπαίδευση και ενημέρωση χρηστών<br />
Μεγάλη κουβέντα και πολλές ώρες έχουν αφιερωθεί στη περιγραφή<br />
της αναγκαιότητας για εκπαίδευση και ενημέρωση των<br />
χρηστών. Ακόμα περισσότερες ώρες έχουν αφιερωθεί στη περιγραφή<br />
ενός αποτελεσματικού τρόπου εκπαίδευση των χρηστών<br />
σε θέματα ασφάλειας πληροφοριών. Δυστυχώς όμως πολλές<br />
λιγότερες ώρες έχουν αφιερωθεί στην εκπαίδευση.<br />
Ακόμα και στις περιπτώσεις που αυτό γίνεται, υπάρχουν κάποια<br />
λάθη που χρειάζεται να παραλειφθούν.<br />
Η εκπαίδευση δεν είναι στοχευμένη στο κοινό που την παρακολουθεί.<br />
Συνήθως αποτελείται από γενικούς όρους και θεωρίες<br />
και κάποιες φορές προσπαθεί να ανάλυσει στο κοινό<br />
επιθέσεις κακόβουλων χρηστών χρησιμοποιώντας τεχνικούς<br />
όρους.<br />
Δε υπάρχει πρόγραμμα εκπαίδευσης το οποίο να έχει συνέχεια,<br />
να αποτελείται από διαφορετικές θεματικές ενότητες<br />
οι οποίες θα καλυφθούν με περισσότερες της μιας εκπαίδευσης.<br />
Ο τελικός χρήστης χρειάζεται πρώτα να κατανοήσει την αξία των<br />
πληροφοριών που διαχειρίζονται σε καθημερινή βάση και στη<br />
συνέχεια να δεχθεί στοχευμένα μηνύματα και να κατανοήσει<br />
πολιτικές, διαδικασίες και τεχνικούς μηχανισμούς που λειτουργούν<br />
σε σχέση με τα μηνύματα που θέλει να περάσει η εκάστοτε<br />
εκπαίδευση.<br />
Νομιμοποίηση των εξαιρέσεων<br />
Κάθε κανόνας έχει και την εξαίρεσή του, είναι και αυτό ένας κανόνας.<br />
Σε πολλούς Οργανισμούς συναντούμε συχνά τη νομιμοποίηση<br />
των εξαιρέσεων. Κάτω από την δικαιολογία ότι ο Ε-<br />
πιχειρηματικός Υπεύθυνος των πληροφοριών αποδέχεται τον<br />
κίνδυνο από τη μη τήρηση κάποιων κανόνων ασφάλειας πληροφοριών.<br />
Πολλές φορές η εν λόγο αποδοχή συνοδεύεται α-<br />
πό φόρμες ..... απαλλαγής. Το συγκεκριμένο τέχνασμα λειτουργεί<br />
σε περιπτώσεις συμμόρφωσης με κάποια ‘γνωστά’ πρότυπα.<br />
Στην πραγματικότητα αποτελεί αναβολή υλοποίησης των κανόνων<br />
και συμβιβασμό με τον κίνδυνο. Οι εξαιρέσεις πρέπει να είναι<br />
οι ελάχιστες δυνατές και η ισχύς τους πρέπει να επαναξιολογείται<br />
σε ετήσια βάση.<br />
Κανόνες και απαιτήσεις ασφάλειας σε προτάσεις<br />
συνεργασίας, λειτουργικές προδιαγραφές<br />
και συμβάσεις<br />
Μία από τις μεγάλες και αναμφισβήτητες αλήθειες στην ασφάλεια<br />
πληροφοριών, είναι ότι η εκ των υστέρων υλοποίηση των<br />
16 | security
Change language