IT Professional Security - ΤΕΥΧΟΣ 52
Περιοδικό για το Enterprise Computing και την ασφάλεια πληροφοριών.
Περιοδικό για το Enterprise Computing και την ασφάλεια πληροφοριών.
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
Mobile <strong>Security</strong><br />
www.itsecuritypro.gr 11/12.2017 • Τεύχος <strong>52</strong> • Τιµή 5€<br />
11/12.2017 <strong>ΤΕΥΧΟΣ</strong> <strong>52</strong><br />
Mobile<br />
<strong>Security</strong><br />
• GDPR: Ο Μάιος είναι κοντά, εσείς πόσο έτοιµοι είστε;<br />
• PrivacyFlag - Ιδιωτικότητα στο ∆ιαδίκτυο µέσω<br />
Πληθοπορισµού<br />
• Οι προκλήσεις διασφάλισης προσωπικών δεδοµένων<br />
στις έξυπνες πόλεις
T<strong>52</strong>11/12.2017<br />
Editorial<br />
2018 … “πεδίο δράσης λαμπρό”<br />
Όπως συμβαίνει κάθε χρόνο στο τέλος του έτους, πολλές<br />
από τις εταιρίες και τους φορείς που δραστηριοποιούνται στο<br />
τομέα της ψηφιακής ασφάλειας, ανακοινώνουν τις προβλέψεις<br />
του για τις ψηφιακές απειλές που θα συναντήσουμε τον<br />
επόμενο χρόνο.<br />
Κοινός τόπος σε ότι αφορά τις προβλέψεις για το 2018 είναι<br />
ότι θα συνεχιστούν οι επιθέσεις τύπου Ransomware και μάλιστα<br />
με μεγαλύτερη ένταση και με επέκταση των στόχων. Είναι<br />
αλήθεια ότι πολλές μεγάλες επιχειρήσεις δίνουν ολοένα και<br />
περισσότερη βαρύτητα στα θέμα προστασίας στο κυβερνοχώρο<br />
και επενδύουν σε ανθρώπινους και τεχνολογικούς πόρους<br />
προκειμένου να είναι έτοιμες να αμυνθούν αποτελεσματικά σε<br />
ενδεχόμενες προηγμένες επιθέσεις αυτού του τύπου. Όμως<br />
πολλές μικρομεσαίες επιχειρήσεις παροχής προϊόντων ή υπηρεσιών<br />
δεν έχουν υιοθετήσει τη λογική και πρακτική της προστασίας<br />
των δεδομένων τους έναντι αυτών των επιθέσεων,<br />
κάτι που τις καθιστά ιδιαίτερα ελκυστικούς στόχους.<br />
Επίσης, όλοι συμφωνούν ότι τα mobile κακόβουλα λογισμικά<br />
θα αυξηθούν ποσοτικά και θα ενισχυθούν ποιοτικά<br />
τον επόμενο χρόνο, για αυτό και η παγκόσμια αγορά ψηφιακής<br />
ασφάλειας συνεχώς προσπαθεί να εξελίσσει τις λύσεις<br />
προστασίας για φορητές συσκευές που πολλές φορές αποτελούν<br />
το ευάλωτό σημείο εισόδου των κυβερνοεγκληματιών<br />
στο δίκτυο μας εταιρίας. Ο τομέας της ασφάλειας των<br />
δεδομένων που συλλέγονται και μεταφέρονται μέσω του IoT<br />
θα αποτελέσει επίσης μια μεγάλη πρόκληση για τον ψηφιακό<br />
κόσμο την χρονιά που έρχεται.<br />
Το 2018, μπορεί να χαρακτηριστεί ως “χρονιά GDPR”,<br />
αφού ο νέος ευρωπαϊκός κανονισμός για την προστασία<br />
των δεδομένων θα τεθεί σε ισχύ το Μάιο του 2018, επιφέροντας<br />
σημαντικές αλλαγές στις απαιτήσεις και στη λειτουργία<br />
όλων των επιχειρήσεων και των οργανισμών που διαχειρίζονται<br />
δεδομένα. Η ανάγκη συμμόρφωσης με τις απαιτήσεις<br />
του νέου κανονισμού, καθώς και ο σημαντικός ρόλος του<br />
Data Protection Officer, αλλά και του τομέα του Cyber<br />
Insurance, διαμορφώνουν ένα νέο περιβάλλον στο οποίο οι<br />
εταιρίες, οι χρήστες και οι πάροχοι λύσεων και υπηρεσιών<br />
που σχετίζονται με τη ψηφιακή ασφάλεια με την ευρύτερη<br />
έννοια θα πρέπει να αναπροσαρμόσουν τη στρατηγική τους.<br />
Όλες αυτές οι τάσεις που θα εμφανιστούν το 2018, συνθέτουν<br />
ένα εντελώς νέο περιβάλλον στον ψηφιακό κόσμο και παράλληλα<br />
δημιουργούν ένα λαμπρό πεδίο δράσης για τις εταιρίες,<br />
τους φορείς και τους επαγγελματίες που δραστηριοποιούνται<br />
στην ασφάλεια πληροφοριών. Όλοι αυτοί, οφείλουν σε<br />
πρώτη φάση να ευαισθητοποιήσουν τους οργανισμούς και<br />
τους χρήστες για τα θέματα προστασίας των δεδομένων και<br />
παράλληλα να ανταποκριθούν αποτελεσματικά και με ευθύνη<br />
στον κρίσιμο ρόλο που έχουν.<br />
Βλάσης Αμανατίδης<br />
Εκδότης<br />
Κώστας Νόστης<br />
Σύμβουλος Έκδοσης<br />
Νίκη Πανδή<br />
Αρχισυντάκτης<br />
Βλάσης Αμανατίδης<br />
v.amanatidis@smartpress.gr<br />
Συνεργάτες<br />
Δημήτρης Θωμαδάκης<br />
Ευαγγελία Βαγενά<br />
Νότης Ηλιόπουλος<br />
Αριστοτέλης Λυμπερόπουλος<br />
Δημήτρης Παπίτσης<br />
Αλέξανδρος Σουλαχάκης<br />
Παναγιώτα Τσώνη<br />
Διεύθυνση Διαφήμισης<br />
Νίκος Σαράφογλου<br />
n.sarafoglou@smartpress.gr<br />
DTP<br />
Νίκος Χαλκιαδάκης<br />
Διεύθυνση Events<br />
Ανδρέας Καραντώνης<br />
Διεύθυνση Marketing<br />
Ειρήνη Νόστη<br />
Υπεύθυνη Social Media<br />
Αγγελική Νόστη<br />
Γραμματεία Εμπορικού<br />
Έλλη Μαστρομανώλη<br />
Φωτογράφος<br />
Εβίνα Αλεξανδρή<br />
Λογιστήριο<br />
Ανδρέας Λουλάκης<br />
Consulting by<br />
SPEG<br />
τηλ.: 210 <strong>52</strong>38777,<br />
www.speg.gr, info@speg.gr<br />
Ιδιοκτήτης<br />
Smart Press<br />
Μάγερ 11, 10438, Αθήνα<br />
Τηλ.: 210 <strong>52</strong>01500, 210 <strong>52</strong>30000,<br />
Fax: 210 <strong>52</strong>41900<br />
Τμήμα συνδρομών<br />
support@securitymanager.gr<br />
www.smartpress.gr<br />
www.itsecuritypro.gr<br />
www.securitymanager.gr<br />
info@securitymanager.gr<br />
support@securitymanager.gr<br />
ΚΩΔΙΚΟΣ 01-8267<br />
2 security
security<br />
3
T<strong>52</strong>11/12.2017<br />
Contents<br />
34 36 40<br />
2 | editorial<br />
6 News<br />
Report<br />
14 | European Cyber <strong>Security</strong><br />
Challenge 2017: H επόμενη<br />
μέρα<br />
Cover issue<br />
18 | Mobile <strong>Security</strong><br />
Issue<br />
24 | Mobile Device Management:<br />
Πώς να διαχειριστείτε την<br />
ασφάλεια των φορητών<br />
συσκευών σας!<br />
26 | Ξεκινώντας με τη διαχείριση της<br />
επιχειρησιακής φορητότητας<br />
30 | Μια λύση MDM δεν είναι<br />
επιλογή, αλλά αναγκαιότητα<br />
33 | Η ασφάλιση cyber insurance ως<br />
εργαλείο διαχείρισης κινδύνου<br />
για κάθε εταιρία<br />
34 | GDPR: Ο Μάιος είναι κοντά, εσείς<br />
πόσο έτοιμοι είστε;<br />
36 | PrivacyFlag - Ιδιωτικότητα στο<br />
Διαδίκτυο μέσω Πληθοπορισμού<br />
40 | Οι προκλήσεις διασφάλισης<br />
προσωπικών δεδομένων στις<br />
έξυπνες πόλεις<br />
42 | Ένωση Ασφάλειας: Αναβάθμιση<br />
των συστημάτων πληροφοριών<br />
για καλύτερη προστασία των<br />
πολιτών της Ε.Ε.<br />
Business <strong>IT</strong><br />
2 | Η Bitdefender παρουσίασε την<br />
Next-Gen πλατφόρμα ασφαλείας<br />
Gravity Zone Elite<br />
3 | Η Seqrite στην 1η θέση στο AV –<br />
Comparatives Performance Test<br />
3 | GDPR Conference με τη σφραγίδα<br />
της TÜV AUSTRIA HELLAS<br />
4 | Η Aspida κέρδισε το βραβείο<br />
Intelligence Big Data της Lloyd List<br />
στα Greek Shipping Awards<br />
4 | Η Dell EMC ενισχύει και επεκτείνει τα<br />
συστήματα αποθήκευσης που βασίζονται<br />
αποκλειστικά σε τεχνολογία flash<br />
5 | Tο μεγαλύτερο, παγκοσμίως, Intelbased<br />
Supercomputer νέαςγενιάς<br />
βρίσκεται στη Βαρκελώνη και<br />
υλοποιήθηκε από την Lenovo<br />
4 security
security<br />
5
T<strong>52</strong>11/12.2017<br />
News<br />
Η ESET προβλέπει τις τάσεις που θα απασχολήσουν την<br />
κυβερνοασφάλεια το 2018<br />
Αύξηση των περιστατικών και<br />
των κινδύνων που απειλούν την<br />
κυβερνοασφάλεια αναμένει το 2018 η<br />
ESET, σύμφωνα με τις προβλέψεις της<br />
στη σχετική έκθεση που δημοσίευσε<br />
σήμερα. Η έκθεση «Cybersecurity Trends<br />
2018: The Cost of our Connected World»,<br />
που έχουν επιμεληθεί οι ειδικοί στον τομέα<br />
κυβερνοασφάλειας της ESET, παρουσιάζει<br />
θέματα που θα απασχολήσουν όλους<br />
μας κατά τη νέα χρονιά, δεδομένης της<br />
αύξησης στη συχνότητα αλλά και την<br />
πολυπλοκότητα των περιστατικών στον<br />
κυβερνοχώρο που σημειώθηκε το 2017.<br />
Η έκθεση επικεντρώνεται στο ransomware,<br />
τις επιθέσεις σε κρίσιμα<br />
συστήματα υποδομών, στο malware και<br />
στην καταπολέμηση της εγκληματικής<br />
δραστηριότητας, καθώς και στις κυβερνοαπειλές που<br />
στοχεύουν στις εκλογικές εκστρατείες και στα προσωπικά<br />
δεδομένα.<br />
Η έκθεση εξετάζει την έκρηξη του ransomware και<br />
το γεγονός ότι πολλές εταιρίες εξακολουθούν να είναι<br />
διατεθειμένες να δαπανήσουν μεγάλα ποσά σε λύτρα παρά<br />
να επενδύσουν στην άμυνα ενάντια σε κυβερνοεπιθέσεις,<br />
προειδοποιώντας ότι αυτή η συγκεκριμένη τάση, που δεν<br />
εξασφαλίζει τη βιωσιμότητα μίας επιχείρησης, είναι πιθανό<br />
να συνεχιστεί το 2018.Ο Stephen Cobb, Senior <strong>Security</strong><br />
Researcher της ESET, που είχε προβλέψει ότι το 2017 θα<br />
εμφανιστεί η τάση των αυξημένων επιθέσεων στις κρίσιμες<br />
υποδομές, προβλέπει ότι θα υπάρξουν περαιτέρω απειλές<br />
ενάντια σε συστήματα υποδομών το 2018, σημειώνοντας ότι:<br />
«Ενώ πολλές μεγάλες επιχειρήσεις φαίνεται ότι πλέον<br />
υπολογίζουν περισσότερο την ασφάλεια στον κυβερνοχώρο,<br />
και οι ομάδες ασφαλείας φροντίζουν τόσο για κατάλληλες<br />
επενδύσεις όσο και για έμπειρα στελέχη για να γίνεται καλή<br />
δουλειά, πολλές μικρότερες επιχειρήσεις που προμηθεύουν<br />
αγαθά και υπηρεσίες σε μεγαλύτερους οργανισμούς ακόμη<br />
δυσκολεύονται. Το γεγονός αυτό τις καθιστά ελκυστικό στόχο».<br />
Η επιτυχημένη συνεργασία της ESET με τη Microsoft,<br />
την Europol και το FBI οδήγησε στη σύλληψη των<br />
κυβερνοεγκληματιών που εμπλέκονταν στο botnet Gamarue.<br />
Στο κεφάλαιο της έκθεσης «Doing time for cybercrime: police<br />
and malware research join force», αποτυπώνεται η σημασία<br />
της συνεργασίας των εταιριών ασφάλειας και των υπηρεσιών<br />
επιβολής του νόμου και η συμβολή της στο να καταστεί το<br />
Διαδίκτυο ασφαλέστερο για όλους, εκτός από τους εγκληματίες<br />
του κυβερνοχώρου. Ο κανονισμός GDPR θα αρχίσει να ισχύει<br />
από το Μάιο του 2018, αντικαθιστώντας την προηγούμενη<br />
σχετική οδηγία (Data Protection Directive). Το γεγονός αυτό<br />
σηματοδοτεί την αύξηση του ενδιαφέροντος από πλευράς<br />
νομοθεσίας σχετικά με την προστασία των δεδομένων. Στην<br />
έκθεση, ο ειδικός ασφαλείας της ESET Tony Anscombe<br />
επικεντρώνεται στην ευαισθητοποίηση των χρηστών σχετικά<br />
με τη συλλογή δεδομένων, τους κινδύνους που αντιμετωπίζουν<br />
τα δεδομένα που συλλέγονται μέσω του IoT και τα σημαντικά<br />
πρόστιμα για επιχειρήσεις που δεν προστατεύουν τα προσωπικά<br />
δεδομένα.Κατά το 2017, οι τεχνολογικές καινοτομίες και η<br />
χρήση τους προσέφεραν αξιόλογες δυνατότητες στον ψηφιακό<br />
κόσμο, από την άλλη όμως συντέλεσαν στην έκθεση των<br />
χρηστών σε νέες μορφές απειλών. Διαπιστώθηκε επίσης ότι οι<br />
κυβερνοεγκληματίες επικεντρώνονται στις επιθέσεις τους σε<br />
ευαίσθητες και ιδιωτικές πληροφορίες. Το 2018 είναι η χρονιά<br />
που οι χρήστες πρέπει να αυξήσουν την ευαισθητοποίησή τους<br />
για τις απειλές στον κυβερνοχώρο και να διαχειριστούν πιο<br />
υπεύθυνα την παρουσία τους στον ψηφιακό κόσμο.<br />
6 security
security<br />
7
T<strong>52</strong>11/12.2017<br />
News<br />
Έξι τρόπους που ο GDPR θα επηρεάσει το Τμήμα Ανθρώπινου Δυναμικού<br />
αναδεικνύει η GlobalSign<br />
μόνο για όσο διάστημα είναι απαραίτητα για την λειτουργία<br />
τους. Ένα καλό παράδειγμα είναι τα δεδομένα των<br />
προσωρινά απασχολουμένων – μπορεί να χρειαστεί να<br />
κρατήσετε τέτοιου είδους λεπτομέρειες μόνο για πολύ<br />
σύντομες περιόδους, μετά την παρέλευση των οποίων<br />
δεν επιτρέπεται πλέον να διατηρείτε τα δεδομένα.<br />
Ο GDPR θα ισχύσει για όλες τις επιχειρήσεις που διαχειρίζονται<br />
δεδομένα Ευρωπαίων πολιτών (συμπεριλαμβανομένου<br />
του προσωπικού τους) και σε όσες ανακαλυφθεί ότι παραβιάζουν<br />
οποιονδήποτε από τους κανονισμούς, ενδέχεται να<br />
τους επιβληθούν κυρώσεις που αγγίζουν τα €20 εκατομμύρια<br />
ή το 4% του παγκόσμιου κύκλου εργασιών τους (όποιο<br />
είναι μεγαλύτερο). Ο GDPR θα έχει σοβαρές επιπτώσεις και<br />
για τα τμήματα ανθρώπινου δυναμικού και τη διαχείριση του<br />
προσωπικού, καθώς οι εταιρείες θα πρέπει να έχουν πιο<br />
ευέλικτα συστήματα για τα δεδομένα τους. Ας ρίξουμε μια<br />
ματιά σε έξι βασικούς τρόπους με τους οποίους ο GDPR θα<br />
επηρεάσει το τμήμα ανθρωπίνων πόρων σας καθώς και στις<br />
αλλαγές που πρέπει να κάνετε για να συμμορφωθείτε.<br />
1. Η συγκατάθεση είναι υποχρεωτική - Παρόλο που απαιτείται<br />
συγκατάθεση για να έχετε στη κατοχή σας δεδομένα<br />
του προσωπικού σας εδώ και αρκετά χρόνια, οι κανόνες<br />
GDPR θα εισαγάγουν την ανάγκη για “συγκεκριμένη, ενημερωμένη<br />
και αδιαμφισβήτητη συγκατάθεση”, επομένως<br />
είναι πιθανό οποιαδήποτε συγκατάθεση που έχετε αποκτήσει<br />
έως σήμερα από το προσωπικό σας για να έχετε στην<br />
κατοχή σας δεδομένα του θα πρέπει να αναδιατυπωθεί έτσι<br />
ώστε να μην υπάρχει η παραμικρή περίπτωση αβεβαιότητας<br />
ή ασάφειας για τα δεδομένα που συλλέγονται.<br />
2. Τα δεδομένα δεν γίνεται να αποθηκεύονται για απεριόριστο<br />
χρονικό διάστημα - Ο νέος Γενικός Ευρωπαϊκός<br />
Κανονισμός Προστασίας των Δεδομένων ορίζει<br />
ότι οι οργανισμοί επιτρέπεται να διατηρούν δεδομένα<br />
3. Τα δεδομένα μπορούν να χρησιμοποιηθούν μόνο<br />
για τον επιδιωκόμενο σκοπό - Θα πρέπει επίσης να<br />
σημειωθεί ότι τα τμήματα HR θα περιορίζονται από τον<br />
GDPR αναφορικά με τους τρόπους που μπορούν να<br />
χρησιμοποιήσουν τα προσωπικά δεδομένα των εργαζομένων<br />
της εταιρείας. Πιο συγκεκριμένα, θα πρέπει οι<br />
εργαζόμενοι να είναι ενήμεροι για τους τρόπους που θα<br />
χρησιμοποιηθούν τα δεδομένα και η εταιρεία δεν θα επιτρέπεται<br />
να τα χρησιμοποιήσει για οποιονδήποτε άλλο<br />
σκοπό πέρα από τον επιδιωκόμενο.<br />
4. Οι παραβιάσεις δεδομένων πρέπει να κοινοποιούνται<br />
- Αναμφισβήτητα, ένας από τους βασικούς λόγους<br />
για τους οποίους θα εφαρμοστεί ο GDPR είναι η αντιμετώπιση<br />
της τεράστιας αύξησης της πειρατείας και των<br />
κυβερνοεπιθέσεων. Υπάρχει μία ολοένα και μεγαλύτερη<br />
ανησυχία μεταξύ των νομοθετών, ότι οι εταιρείες<br />
δεν κάνουν αρκετά –και δεν επενδύουν αρκετά- για να<br />
προστατεύσουν τόσο την ίδια την επιχείρηση όσο και τα<br />
δεδομένα που κατέχουν από εγκληματίες χάκερ.<br />
5. Έλεγχοι ποινικού μητρώου - Το GDPR δεν έχει το<br />
παραμικρό πρόβλημα με την συνέχιση της πρότυπης<br />
ή βελτιστοποιημένης Disclosure and Barring Service<br />
(DBS), με τους νέους κανόνες να υπάρχει περίπτωση να<br />
μην επιτρέπουν πλέον την εκτέλεση βασικών ελέγχων<br />
DBS σε όλους τους υπαλλήλους.<br />
6. Τα δεδομένα πρέπει να είναι κρυπτογραφημένα -<br />
Θα πρέπει να έχουν ληφθεί μέτρα ασφαλείας για όλα<br />
τα δεδομένα που συλλέγονται από το τμήμα ανθρώπινων<br />
πόρων για λόγους συμμόρφωσης βεβαίως με το<br />
νέο GDPR. Όλα τα ευαίσθητα προσωπικά δεδομένα πρέπει<br />
να αντιμετωπίζονται με την απαραίτητη προσοχή και<br />
ένας από τους πιο αποτελεσματικούς τρόπους για την<br />
προστασία τους είναι η κρυπτογράφηση τους.<br />
8 security
security<br />
9
T<strong>52</strong>11/12.2017<br />
News<br />
Οι προβλέψεις της Kaspersky Lab για τις ψηφιακές απειλές του 2018<br />
Περισσότερα high–end mobile κακόβουλα λογισμικά.<br />
Τα τελευταία δύο χρόνια, η κοινότητα της ασφάλειας<br />
έχει αποκαλύψει προηγμένο κακόβουλο λογισμικό<br />
για φορητές συσκευές, το οποίο, σε συνδυασμό με exploits,<br />
αποτελεί ένα ισχυρό όπλο εναντίον του οποίου δεν υπάρχει<br />
επαρκής προστασία.<br />
Οι καταστροφικές επιθέσεις θα συνεχίσουν να αυξάνονται.<br />
Οι επιθέσεις Shamoon0 και StoneDrill που<br />
αναφέρθηκαν στις αρχές του 2017 και η επίθεση ExPetr/<br />
NotPetya τον Ιούνιο αποκάλυψαν την αυξανόμενη τάση για<br />
καταστροφικές επιθέσεις.<br />
Περισσότερες επιθέσεις θα οδηγήσουν με αναγνωριστικό<br />
τρόπο και δημιουργία προφίλ στην προστασία<br />
των πιο πολύτιμων exploitsτων εισβολέων. Οι επιτιθέμενοι<br />
θα σπαταλούν περισσότερο χρόνο στην αναγνώριση<br />
και θα χρησιμοποιούν εργαλεία δημιουργίας προφίλ, όπως<br />
το «BeEF» για να διαπιστώσουν αν μπορούν να χρησιμοποιήσουν<br />
ένα λιγότερο κοστοβόρο non-zero day exploit.<br />
Τα επόμενα χρόνια, ο κόσμος θα δει ακόμα περισσότερα<br />
νόμιμα λογισμικά να «μολύνονται» από ομάδες που στοχεύουν<br />
σε ευρύτερα προφίλ θυμάτων και γεωγραφικές<br />
περιοχές, με το πρόσθετο πλεονέκτημα ότι τέτοιες επιθέσεις<br />
είναι εξαιρετικά δύσκολο να εντοπιστούν και να μετριαστούν,<br />
σύμφωνα με τις Προβλέψεις Στοχευμένων Απειλών<br />
της Kaspersky Lab για το 2018. Άλλες επιθέσεις που είναι<br />
δύσκολο να εμποδιστούν, όπως αυτές που αφορούν κακόβουλο<br />
λογισμικό high–end φορητών συσκευών, θα αυξηθούν<br />
επίσης, καθώς οι επιτιθέμενοι καταφεύγουν σε νέες<br />
μεθόδους για να παραβιάζουν ολοένα και πιο προστατευμένους<br />
στόχους.<br />
Το 2017, οι επιθέσεις σε συστήματα εφοδιαστικής αλυσίδας,<br />
όπως οι Shadowpad και ExPetya, μας έδειξαν πόσο εύκολα<br />
το λογισμικό τρίτων μπορεί να χρησιμοποιηθεί για να καταφέρουν<br />
να εισέλθουν σε επιχειρήσεις. Αυτή η απειλή αναμένεται<br />
να αυξηθεί το 2018, καθώς μερικοί από τους πιο<br />
επικίνδυνους φορείς παγκοσμίως ξεκίνησαν να υιοθετούν<br />
αυτήν την προσέγγιση ως μία εναλλακτική στις τεχνικές<br />
τύπου watering hole ή επειδή άλλες προσπάθειες να διεισδύσουν<br />
απέτυχαν.<br />
Οι υπόλοιπες προβλέψεις στοχευμένων απειλών για το<br />
2018 περιλαμβάνουν:<br />
Θα ανακαλυφθούν εξελιγμένες επιθέσεις οι οποίες<br />
θα βρίσκουν τον τρόπο σύνδεσης μεταξύ λειτουργικού<br />
συστήματος και firmware. Το Unified Extensible<br />
Firmware Interface (UEFI) είναι το λογισμικό διεπαφής<br />
ανάμεσα στο firmware και στο λειτουργικό σύστημα στους<br />
σύγχρονους υπολογιστές. Οι ειδικοί της Kaspersky Lab<br />
αναμένουν ότι περισσότεροι απειλητικοί φορείς θα κάνουν<br />
χρήση των εξαιρετικά προηγμένων δυνατοτήτων της<br />
UEFI για τη δημιουργία κακόβουλου λογισμικού, το οποίο<br />
θα μπορεί να εγκατασταθεί προτού καν οποιαδήποτε antimalware<br />
λύση ή ακόμα και το ίδιο το λειτουργικό σύστημα<br />
προλάβουν να εκκινήσουν.<br />
Περισσότερες παραβιάσεις router και modem. Αυτός ο<br />
γνωστός τομέας ευπάθειας έχει αγνοηθεί σε μεγάλο βαθμό<br />
ως εργαλείο για προηγμένους στοχευμένους επιτιθέμενους.<br />
Βρίσκονται σε μια κρίσιμη συγκυρία για έναν εισβολέα που<br />
επιδιώκει να κερδίσει μόνιμη και μυστική πρόσβαση σε ένα<br />
δίκτυο, και θα μπορούσαν να επιτρέψουν σε έναν εισβολέα<br />
ακόμη και να κρύψει τα ίχνη του.<br />
Οι πλήρεις προβλέψεις της Kaspersky Lab για τις ψηφιακές<br />
απειλές του 2018 είναι διαθέσιμες στον ειδικό ιστότοπο<br />
Securelist.com.<br />
10 security
security<br />
11
T<strong>52</strong>11/12.2017<br />
News<br />
Ερευνητικά κέντρα κυβερνοασφάλειας για την κρυπτογράφηση<br />
συγκροτεί η ΕΕ<br />
Σε ένα νέο σχέδιο σύστασης ερευνητικών κέντρων στον<br />
τομέα της κυβερνοασφάλειας που θα επικεντρωθεί εν μέρει<br />
στις τεχνολογίες κρυπτογράφησης συμφώνησα πρόσφατα<br />
τα κράτη μέλη της ΕΕ. Οι Ευρωπαίοι υπουργοί θέλουν το<br />
δίκτυο κέντρων για την κυβερνοασφάλεια να διερευνήσει<br />
διαφορετικές μεθόδους κρυπτογράφησης ως τρόπο οικοδόμησης<br />
εμπιστοσύνης των καταναλωτών στα προϊόντα τεχνολογίας.<br />
Το Σεπτέμβριο, η Ευρωπαϊκή Επιτροπή ανακοίνωσε ότι<br />
μπορεί να δημιουργήσει ένα νέο δίκτυο κέντρων για την<br />
ασφάλεια στον κυβερνοχώρο, ως μέρος μιας ευρείας αναθεώρησης<br />
των μέτρων της ΕΕ για την προστασία των εταιρειών<br />
και των κυβερνητικών γραφείων από τους χάκερ. Το<br />
Ευρωπαϊκό Κοινοβούλιο και τα κράτη μέλη πρέπει να διαπραγματευτούν<br />
και να εγκρίνουν την επικείμενη πρόταση<br />
για τη συγκρότηση των νέων κέντρων για την κυβερνοασφάλεια.<br />
Ως βραχυπρόθεσμη δοκιμή του εν λόγω σχεδίου,<br />
η Επιτροπή πρότεινε τον Σεπτέμβριο να δημιουργήσει ένα<br />
πιλοτικό ερευνητικό κέντρο με χρηματοδότηση ύψους 50<br />
εκατομμυρίων ευρώ.<br />
Ανώνυμη πηγή της ΕΕ ανέφερε ότι τα κέντρα θα μπορούσαν<br />
να αξιολογήσουν τα πρότυπα κρυπτογράφησης, όπως<br />
επίσης και με ποιο τρόπο οι αρχές σε ορισμένα κράτη μέλη<br />
δοκιμάζουν ήδη προϊόντα. Το γεγονός αυτό θα μπορούσε να<br />
έχει ως αποτέλεσμα οι καταναλωτές να χρησιμοποιούν περισσότερο<br />
την τεχνολογία κρυπτογράφησης, εάν έχει ελεγχθεί<br />
από ερευνητές της ΕΕ. Τα<br />
κράτη μέλη κατέστησαν σαφές<br />
ότι θέλουν τα νέα κέντρα να<br />
διεξάγουν την έρευνα κρυπτογράφησης,<br />
επειδή «δεν θέλουν<br />
να εκχωρήσουν αυτή την<br />
αρμοδιότητα σε οποιοδήποτε<br />
ευρωπαϊκό θεσμικό όργανο»,<br />
πρόσθεσε η πηγή. Τα ζητήματα<br />
της κυβερνοασφάλειας αποτελούν<br />
ευαίσθητο τομέα για τις<br />
εθνικές κυβερνήσεις με πολλούς<br />
να εμφανίζονται ιδιαίτερα<br />
επιφυλακτικοί όσον αφορά την<br />
ανταλλαγή πληροφοριών με<br />
άλλες χώρες της ΕΕ. Τα κράτη<br />
μέλη έχουν πιέσει την Επι-<br />
τροπή να συντονίσει την προσέγγιση της ΕΕ όσον αφορά<br />
την κρυπτογράφηση.<br />
Πάντως, η Κομισιόν προτίθεται να διαθέσει περισσότερους<br />
πόρους στη Europol, για να αναπτύξει μεθόδους για<br />
την κρυπτογράφηση. Ανέφερε, ακόμη, ότι θα δημιουργήσει<br />
ένα δίκτυο, για να βοηθήσει τις αρχές επιβολής του νόμου<br />
των κρατών μελών να επικοινωνούν σχετικά με τις τεχνικές<br />
πρόσβασης σε κρυπτογραφημένα δεδομένα για έρευνες.<br />
Από την πλευρά τους, οι εταιρείες τεχνολογίας έχουν<br />
προειδοποιήσει ενάντια σε οποιαδήποτε μέτρα που θα<br />
μπορούσαν να αποδυναμώσουν την κρυπτογράφηση. Για<br />
ορισμένους από τον κλάδο της τεχνολογίας, το σχέδιο διεξαγωγής<br />
έρευνας σχετικά με τις τεχνολογίες ασφαλείας συνιστά<br />
ένα μήνυμα για το γεγονός ότι οι νομοθέτες της ΕΕ<br />
ενδέχεται να ενθαρρύνουν τις εταιρείες να χρησιμοποιούν<br />
καλύτερη κρυπτογράφηση.<br />
«Η ιδέα της περισσότερης έρευνας, μεγαλύτερης εστίασης<br />
και περισσότερων δαπανών για την κρυπτογράφηση είναι<br />
εξαιρετικά σημαντική για την προστασία της ψηφιακής μας<br />
οικονομίας και των υποδομών που εξαρτώνται από την<br />
κρυπτογράφηση, είτε πρόκειται για τράπεζες, είτε για μεταφορές<br />
είτε για κυβερνήσεις», δήλωσε ο director of policy<br />
της Business Software Alliance, Thomas Boué.<br />
Σύμφωνα με τα σχέδια της Επιτροπής, τα ερευνητικά κέντρα<br />
θα συντονίζονται με άλλα γραφεία της ΕΕ, συμπεριλαμβανομένης<br />
της ENISA που εδρεύει στην Αθήνα και της Europol.<br />
12 security
security<br />
13
T<strong>52</strong>11/12.2017<br />
Report<br />
European Cyber <strong>Security</strong><br />
Challenge 2017:<br />
H επόμενη μέρα<br />
Ο Ευρωπαϊκός Διαγωνισμός Κυβερνοασφάλειας European Cyber <strong>Security</strong> Challenge 2017<br />
αποτελεί μια διοργάνωση που πραγματοποιήθηκε για πρώτη φορά το 2015 στη Λουκέρνη<br />
της Ελβετίας και έκτοτε αποσκοπεί στην ανεύρεση, προσέλκυση και ανάδειξη νέας γενιάς<br />
ταλέντων στο χώρο της προστασίας και ασφάλειας πληροφοριακών συστημάτων και δικτύων.<br />
διαγωνισμός αποτελεί μία πρωτοβουλία του<br />
Ο<br />
Ευρωπαϊκού Οργανισμού για την Ασφάλεια<br />
Δικτύων και Πληροφοριών ENISA<br />
(European Union Agency for Network and<br />
Information <strong>Security</strong>), που λειτουργεί ως το<br />
κέντρο εμπειρογνωμοσύνης σε θέματα ψηφιακής ασφάλειας<br />
για την Ευρωπαϊκή Ένωση. Οι χώρες που συμμετέχουν εκπροσωπούνται<br />
από μία και μοναδική ομάδα, που αποτελείται από<br />
δέκα διαγωνιζόμενους, έναν προπονητή και έναν κριτή.<br />
Την ευθύνη της Ελληνικής συμμετοχής στο διαγωνισμό φέρει<br />
το Τμήμα Ψηφιακών Συστημάτων του Πανεπιστημίου<br />
Πειραιώς. Πιο συγκριμένα, με επικεφαλής τον Αναπληρωτή<br />
Καθηγητή του Τμήματος κύριο Χρήστο Ξενάκη, μια<br />
εξειδικευμένη ομάδα εθελοντών που ασχολούνται με τον<br />
χώρο της κυβερνοασφάλειας προετοίμασαν την Ελληνική<br />
συμμετοχή στον πανευρωπαϊκό διαγωνισμό ECSC 2017. Η<br />
φετινή διοργάνωση υποστηρίχτηκε ενεργά από το Υπουργείο<br />
Ψηφιακής Πολιτικής, Τηλεπικοινωνιών & Ενημέρωσης<br />
και την ελληνική πρεσβεία στην Ισπανία.<br />
Ο διαγωνισμός διεξήχθη μεταξύ 30 Οκτωβρίου και 3 Νοεμβρίου<br />
2017, στη Μάλαγα της Ισπανίας. H Ελλάδα συμμετέχει<br />
στο διαγωνισμό από το 2016.<br />
Η ελληνική ομάδα, κατετάγη στη 12η θέση, από την 1η θέση<br />
που κατείχε στο μεγαλύτερο διάστημα του διαγωνισμού, μετά<br />
από μία γενικά προβληματική σε θέματα οργάνωσης διαγωνιστική<br />
διαδικασία (σ.σ. η Ισπανία ήταν η διοργανώτρια χώρα).<br />
14 security
European Cyber <strong>Security</strong> Challenge 2017<br />
Το χρονικό του φετινού<br />
διαγωνισμού<br />
Πιο συγκεκριμένα, ο διαγωνισμός<br />
καθυστέρησε να ξεκινήσει πάνω από<br />
μία ώρα, λόγω τεχνικών προβλημάτων.<br />
Με την έναρξη της διαγωνιστικής<br />
διαδικασίας και ενώ τα τεχνικά<br />
προβλήματα είχαν λυθεί, εν μέρει, η<br />
ελληνική συμμετοχή ξεκίνησε δυνατά<br />
παραμένοντας στην 1η θέση για<br />
πάνω από 5 ολόκληρες ώρες. Στη<br />
συνέχεια, η διαγωνιστική πλατφόρμα<br />
κατέρρευσε, επακολούθησε μία<br />
χειροκίνητη διαγωνιστική διαδικασία,<br />
στην οποία επικράτησε σύγχυση,<br />
τόσο στη διανομή των ασκήσεων μεταξύ<br />
των 15 διαγωνιζομένων χωρών, όσο και στη συλλογή<br />
των αποτελεσμάτων. Η διανομή των challenges γινόταν πλέον<br />
μέσω USB memory sticks σε κάθε ομάδα ξεχωριστά. Η διαδικασία<br />
αυτή θεωρήθηκε διαβλητή, καθώς δεν υπήρχε κεντρικός<br />
συντονισμός και έλεγχος του υλικού διανομής. Σε αυτό το<br />
διάστημα, τα scoreboards έσβησαν και οι ομάδες δεν γνώριζαν<br />
τη θέση τους καθώς η κριτική επιτροπή πλέον κατέγραφε το<br />
σκορ χειροκίνητα.<br />
Μετά την ολοκλήρωση της διαγωνιστικής διαδικασίας, η ελληνική<br />
συμμετοχή δεν κατάφερε να διακριθεί σε υψηλή θέση και<br />
κατέλαβε τελικώς, μετά από πολλές διαβουλεύσεις, τη 12η θέση.<br />
H ελληνική συμμετοχή ξεκίνησε δυνατά παραμένοντας στην 1η θέση<br />
για πάνω από 5 ολόκληρες ώρες<br />
Οι χορηγοί της ομάδας<br />
Σε όλη τη διάρκεια της προετοιμασίας και της διεξαγωγής του<br />
διαγωνισμού, μεγάλοι αρωγοί της εθνικής ομάδας ήταν οι χο-<br />
Η ελληνική ομάδα εν δράσει.<br />
ρηγοί και υποστηρικτές αυτής της προσπάθειας που αξίζει να<br />
αναφέρουμε.<br />
Στους Diamond Sponsors οι εταιρείες ADACOM και FOCAL<br />
POINT είχαν ενεργή συμμετοχή στην οργάνωση και το σχεδιασμό<br />
της εκπαίδευσης της ομάδας μαζί με την ομάδα εθελοντών<br />
Greunion, προσφέροντας την τεχνογνωσία τους καθώς και ειδική<br />
πλατφόρμα προσομοίωσης εικονικών κυβερνοεπιθέσεων.<br />
Επίσης, η Aegean Airlines ως Diamond Transportation<br />
Sponsor ανέλαβε τη μετάβαση της ομάδας στην Ισπανία. Πέραν<br />
όμως των Diamond sponsorships υπήρχαν και άλλες κατηγορίες<br />
χορηγιών που με τη συμβολή τους βοήθησαν να πραγματοποιηθεί<br />
φέτος η Ελληνική αποστολή.<br />
Platinum Sponsor: Media Markt, Όμιλος Quest (Info Quest<br />
Technologies, Uni Systems), υποστήριξαν ενεργά την ελληνική<br />
ομάδα.<br />
Gold Sponsors: Neurosoft, UB<strong>IT</strong>ECH<br />
Silver Sponsors: Exus<br />
Supporters: Netsquare, Thales, Αθήνα – Διεθνής Αερολιμένας<br />
Ελευθέριος Βενιζέλος<br />
Equipment Supporters: Alcatel, devolo, Sencor<br />
Η εθνική μας ομάδα, διαθέτει το δικό της ψηφιακό χώρο στη<br />
διεύθυνση www.ecsc.gr αλλά και σελίδα στο Facebook www.<br />
facebook.com/HellenicTeam-EuropeanCyber<strong>Security</strong>Challenge<br />
όπου οι ενδιαφερόμενοι μπορούν να ενημερώνονται για όλες τις<br />
λεπτομέρειες του φετινού διαγωνισμού αλλά και του επόμενου<br />
που θα διεξαχθεί τον Οκτώβριο του 2018 στο Λονδίνο.<br />
Μια εξαιρετική ευκαιρία για την ανάδειξη μιας νέας<br />
γενιάς ταλέντων στο χώρο της κυβερνοασφάλειας<br />
Με αφορμή τη διοργάνωση του διαγωνισμού European Cyber<br />
<strong>Security</strong> Challenge είχαμε την ευκαιρία να συνομιλήσουμε με<br />
security<br />
15
T<strong>52</strong>11/12.2017<br />
Report<br />
τον επικεφαλή της Ελληνικής συμμετοχής και Αναπληρωτή<br />
Καθηγητή Τμήματος Ψηφιακών Συστημάτων στο Πανεπιστήμιο<br />
Πειραιώς, Χρήστο Ξενάκη, ο<br />
οποίος μας μετέφερε τις εντυπώσεις<br />
του και γενικότερα τις προεκτάσεις<br />
που έχει ευρύτερα.<br />
Χρήστος Ξενάκης<br />
Αναπληρωτής Καθηγητής Τμήματος<br />
Ψηφιακών Συστημάτων<br />
Πανεπιστήμιο Πειραιώς<br />
Επικεφαλής της ελληνικής συμμετοχής<br />
στο European Cyber <strong>Security</strong><br />
Challenge<br />
Τι σηματοδοτεί ευρύτερα αυτός ο διαγωνισμός για<br />
τις προσπάθειες σχετικά με την ψηφιακή ασφάλεια<br />
στην Ευρώπη;<br />
Καθώς η τεχνολογία εξελίσσεται με ραγδαίους ρυθμούς και<br />
καλύπτει όλο και μεγαλύτερο μέρος της καθημερινής μας ζωής<br />
και εργασίας, δημιουργούνται συνεχώς περισσότεροι κίνδυνοι,<br />
τους οποίους καλούμαστε να αντιμετωπίσουμε έγκαιρα και επιτυχώς.<br />
Σε καθημερινή βάση εξελίσσονται κυβερνοεπιθέσεις, για<br />
τις οποίες η κοινωνίας μας θα πρέπει να σχεδιάσει και να εφαρμόσει<br />
τόσο διαδικασίες όσο και μέτρα για την πρόληψη και την<br />
καταστολή τους. Η ψηφιακή ασφάλεια είναι ένας κλάδος που<br />
χαρακτηρίζεται από έντονη και διαρκή εξέλιξη, γεγονός που<br />
δημιουργεί μεγάλες ανάγκες για ανθρώπινο δυναμικό υψηλής<br />
και διαρκούς εξειδίκευσης. Ο πανευρωπαϊκός<br />
διαγωνισμός κυβερνοασφάλειας<br />
(ECSC) αποτελεί, λοιπόν την ευκαιρία για την<br />
«ανακάλυψη και εκπαίδευση» ταλαντούχων<br />
νέων που διαθέτουν την όρεξη αλλά και τις<br />
ικανότητες να απασχοληθούν σε αυτόν τον<br />
τομέα. Άλλωστε, ακριβώς αυτός είναι και<br />
ο σκοπός του διαγωνισμού: η ανεύρεση,<br />
προσέλκυση και ανάδειξη μιας νέας γενιάς<br />
ταλέντων στο χώρο της κυβερνοασφάλειας,<br />
μέσω μιας σειράς απαιτητικών<br />
δοκιμασιών. Οι ομάδες διαγωνίζονται<br />
σε διάφορες πτυχές της ασφάλειας των<br />
πληροφορικών συστημάτων και καλούνται<br />
να λάβουν μέρος σε εικονικές μάχες, εκτελώντας<br />
ενέργειες επίθεσης αλλά και άμυνας,<br />
ώστε να αντιμετωπίσουν τις κυβερνοεπιθέσεις,<br />
όπως ακριβώς συμβαίνει και στην πραγματικότητα<br />
με τα πληροφορικά συστήματα επιχειρήσεων, τραπεζών και κυβερνητικών<br />
φορέων. Επομένως, ο διαγωνισμός είναι μία εξαιρετική<br />
ευκαιρία για την ανάδειξη ικανών νέων ατόμων που θα<br />
μπορούν να καλύψουν την αυξημένη ζήτηση του κλάδου, αλλά<br />
και φρέσκων ιδεών και λύσεων για προβλήματα που προκύπτουν<br />
καθημερινά.<br />
Πως σχολιάζετε τη φετινή κατάταξη της ελληνικής<br />
ομάδας;<br />
Ως επικεφαλής της οργανωτικής ομάδας της εθνικής<br />
αποστολής,καταρχάς, θέλω να ευχαριστήσω και δημόσια όλα<br />
μέλη της εθνικής ομάδας, τόσο για την αγωνιστική προσπάθεια<br />
την οποία κατέβαλαν, όσο και για το ήθος και την συμπεριφορά<br />
τους κατά τη διάρκεια του διαγωνισμού. Το Πανεπιστήμιο Πειραιώς,<br />
ως κεντρικός φορέας της Εθνικής διοργάνωσης, θα συνεχίσει<br />
την προσπάθεια συμμετοχής της χώρας μας στο ECSC<br />
τα επόμενα χρόνια, στοχεύοντας στη συνεχή εκπαίδευση των<br />
νέων μας στο χώρο της κυβερνοασφάλειας, που αποτελεί και<br />
βασικό στόχο του διαγωνισμού.Ένα ασφαλές συμπέρασμα στο<br />
οποίο σίγουρα μπορούμε να καταλήξουμε από το European<br />
Cyber <strong>Security</strong> Challenge 2017, είναι ότι χρειάζεται πολλή δουλειά<br />
και προσπάθεια, τόσο σε ευρωπαϊκό όσο και σε εθνικό<br />
επίπεδο, ώστε να βελτιωθεί η τεχνογνωσία και οι ικανότητες<br />
όλων μας στον τομέα της ασφάλειας του κυβερνοχώρου και<br />
εμείς ως Πανεπιστήμιο Πειραιώς θα συμβάλλουμε ενεργά προς<br />
αυτή την κατεύθυνση. Η ομάδα έχει αρχίσει ήδη να σχεδιάζει τη<br />
συμμετοχή της στο διαγωνισμό ECSC 2018,που θα διεξαχθεί<br />
στο Λονδίνο και από τις αρχές του 2018 θα ανακοινωθούν λεπτομέρειες<br />
για αυτό.<br />
Η ελληνική ομάδα έξω από την ελληνική πρεσβεία στη Μαδρίτη, λίγο<br />
πριν αναχωρήσει για Μάλαγα (Οκτώβριος 2017).<br />
16 security
European Cyber <strong>Security</strong> Challenge 2017<br />
Τα μέλη της εθνικής ομάδας που συμμετείχαν φέτος στον ECSC 2017 είναι με αλφαβητική σειρά οι εξής:<br />
Γύφτος Μάριος - Δημάκης Φάνης - Ζαχαριουδάκης Γιάννης - Καμαρινάκης Νίκος - Καπλανέλης Ευστράτιος - Κολιός Παύλος Κολιός - Μάντος<br />
Πέτρος Λάζαρος Κάρολος - Τουλουμτζίδης Λευτέρης - Τσεκαλάς Γιώργος Δαυίδ - Τσιμπούκης Αναστάσιος<br />
Ποια είναι τα ποιοτικά χαρακτηριστικά της ελληνικής<br />
αποστολής και γενικότερα το υπόβαθρο και<br />
το ταλέντο αυτών των παιδιών και πως μπορεί να<br />
αξιοποιηθούν περαιτέρω ;<br />
Αρχικά, να αναφερθεί πως για τη συγκρότηση της ελληνικής<br />
ομάδας διεξήχθησαν πανελλήνιοι προκριματικοί αγώνες. Η διαδικασία<br />
ξεκίνησε με το αρχικό κάλεσμα τον Απρίλιο 2017, ενώ<br />
ο προκριματικός διαγωνισμός διεξήχθη τον Ιούνιο του 2017<br />
όπου διαμορφώθηκε και η τελική δεκάδα. Στη δεκάδα συμμετείχαν<br />
νέοι ηλικίας μεταξύ 15 και 25 ετών. Τα δύο νεότερα μέλη<br />
της ομάδας είναι ηλικίας 15 και 16 ετών, μαθητές λυκείου, οι<br />
οποίοι δεν έχουν λάβει κάποια εξειδικευμένη εκπαίδευση και<br />
ασχολούνται με τον χώρο της κυβερνοασφάλειας από χόμπι. Οι<br />
υπόλοιποι οχτώ είναι φοιτητές,οι οποίοι προέρχονταιαπό διάφορες<br />
σχολές Πληροφορικής και Τεχνολογίας, όπου έχουν λάβει<br />
εξειδικευμένη ψηφιακή παιδεία και εξειδίκευση. Η εντατική<br />
προπόνηση στα πλαίσια της Εθνικής ομάδας αλλά και η εμπειρία<br />
από τη συμμετοχή στο διαγωνισμό «ανοίγουν» νέους ορίζοντες<br />
στα μέλη της ομάδας για μια πολλά υποσχόμενη επαγγελματική<br />
πορεία στον ευρύτερο τομέα της ασφάλειας αλλά και της τεχνολογίας,<br />
καθώς είναι φανερό ότι έχουν πολλά να προσφέρουν.<br />
Ποια τα οφέλη για το ακαδημαϊκό έργο στο πανεπιστήμιο<br />
σχετικά με την ψηφιακή ασφάλεια;<br />
Το Ακαδημαϊκό έργο του Πανεπιστημίου μπορεί να εξειδικευτεί<br />
στον τομέα της εκπαίδευση, της έρευνας και της ανάπτυξης.<br />
Δράσεις όπως το ECSC δίνουν τη δυνατότητα στο Πανεπιστήμιο<br />
να εκτελέσει τον εκπαιδευτικό του ρόλο πέρα από τα στενά<br />
όρια της Ακαδημαϊκής κοινότητας, απευθυνόμενο άμεσα στην<br />
Ελληνική κοινωνία. Επίσης, η τεχνογνωσία που τα μέλη του Πανεπιστημίου<br />
αποκτούν από τη συμμετοχή τους σε δράσεις όπως<br />
το ECSC, τροφοδοτούν και αναβαθμίζουν την εκπαιδευτική διαδικασία<br />
εντός αυτού. Παράλληλα, μέσα από τέτοιου είδους διαγωνισμούς<br />
καθώς και ερευνητικά έργα, στα οποία εμπλέκονται<br />
τόσο προπτυχιακοί όσο και μεταπτυχιακοί φοιτητές, το Πανεπιστήμιο,<br />
εκπαιδεύει τη νέα γενιά στελεχών που θα κληθούν να<br />
επανεκκινήσουν την Ελληνική οικονομία στη σύγχρονη ψηφιακή<br />
εποχή. Η προσπάθεια αυτή βρίσκεται σε ένα ώριμο στάδιο<br />
πλέον εάν λάβουμε υπόψη μας ότι το Εργαστήριο Ασφάλειας<br />
Συστημάτων του Τμήματος Ψηφιακών Συστημάτων του Πανεπιστημίου<br />
Πειραιά, συμμετέχει σε 3 μεγάλα Ευρωπαϊκά Προγράμματα<br />
Αριστείας που χρηματοδοτούνται από το Horizon<br />
2020, ενώ άλλα δύο θα ξεκινήσουν τον Ιανουάριο 2018. Τα προγράμματα<br />
αυτά στοχεύουν στην επίλυση σύγχρονων προβλημάτων<br />
και στην ανάπτυξη πραγματικών λύσεων όπως: α) η<br />
αντικατάσταση των passwords από βιομετρικά χαρακτηριστικά<br />
αυθεντικοποίησης (έργο ReCRED), β) η ψηφιακή ασφάλεια<br />
στα αυτοκίνητα νέας γενιάς (έργο SAFERtec), γ) η ασφάλεια<br />
και ιδιωτικότητα στα ιατρικά δεδομένα (CrowdHEALTH), δ) η<br />
ασφαλής κρυπτογράφηση μετά την έλευση των κβαντικών Η/Υ<br />
(FutureTPM) και ε) η ασφάλεια και ιδιωτικότητα στα έξυπνα δίκτυα<br />
ενέργειας (έργο SealedGrid)<br />
security<br />
17
T<strong>52</strong>11/12.2017<br />
Cover Issue<br />
Mobile <strong>Security</strong><br />
Σε κάθε περίπτωση, σε όλες τις επιχειρήσει και τους οργανισμούς που αποδέχονται τη χρήση<br />
των mobile συσκευών από το προσωπικό τους για τη διαχείριση επιχειρηματικών λειτουργιών,<br />
η ασφάλεια πρέπει να αποτελεί βασική προτεραιότητα.<br />
ίναι γεγονός ότι οι σύγχρονοι οργανισμοί και<br />
Ε<br />
επιχειρήσεις έχουν αναγνωρίσει πλήρως<br />
την ανάγκη χρήσης των mobile συσκευών<br />
του προσωπικού τους για την διαχείριση και<br />
διεκπεραίωση εργασιών και επιχειρηματικών<br />
λειτουργιών.<br />
Πολλές επιχειρήσεις εφαρμόζουν πολιτικές BYOD (bring your<br />
own device), ενώ άλλες έχουν υιοθετήσει ένα υβριδικό μοντέλο<br />
διαχείρισης των φορητών συσκευών που ονομάζεται<br />
COPE (corporate owned & personally enabled). Επίσης, αρκετές<br />
είναι οι εταιρείες που επιλέγουν να εφαρμόσουν λύσεις<br />
EMM (enterprise mobility management) ή MDM (mobile<br />
device management), ώστε να διαχειριστούν με τον καλύτερο<br />
δυνατό τρόπο τον έλεγχο των συσκευών που έχουν πρόσβαση<br />
σε εταιρικά δεδομένα.<br />
Σύμφωνα με πρόσφατη μελέτη της Gartner, καθίσταται όλο<br />
και πιο σημαντική, η διαδικασία της έρευνας από πλευράς<br />
των υπευθύνων ασφάλειας πληροφοριών, προκειμένου να<br />
αναζητήσουν τις κατάλληλες διαθέσιμες λύσεις και υπηρεσίες<br />
mobile προστασίας από απειλές, καθώς και το πώς<br />
αυτές πρέπει να προσαρμόζονται στις λειτουργίες της κάθε<br />
επιχείρησης. Και αυτό, γιατί οι εξελιγμένες mobile απειλές<br />
με την ικανότητα να στοχεύουν πολύτιμα εταιρικά δεδομένα<br />
και συσκευές, είναι εδώ και καιρό μια πραγματικότητα που<br />
κανείς δεν μπορεί να αγνοήσει.<br />
Επιχειρώντας να οριοθετήσουμε τις βασικές λειτουργίες και<br />
διαδικασίες για τις οποίες οι σημερινές επιχειρήσεις και οργανισμοί<br />
εκφράζουν σοβαρές ανησυχίες σχετικά με τη χρήση<br />
των mobile συσκευών του προσωπικού τους, θα μπορούσαμε<br />
να θέσουμε τα παρακάτω 6 βασικά ερωτήματα;<br />
1. Τα mobile apps στις συσκευές των υπαλλήλων μας,<br />
αποτελούν απειλή κατά της ασφάλειας; Καθώς υπάρχει<br />
πρόσβαση σε όλο και περισσότερα ευαίσθητα δεδομένα<br />
μέσω mobile συσκευών, το κακόβουλο λογισμικό γί-<br />
18 security
Του Δημήτρη Θωμαδάκη<br />
νεται αισθητά πιο περίπλοκο και οι μη-κακόβουλες από τη<br />
φύση τους, αλλά ριψοκίνδυνες εφαρμογές, αποτελούν<br />
για τις εταιρείες μία μεγάλη πρόκληση.<br />
2. Μήπως οι υπάλληλοι μας, εγκαθιστούν<br />
εφαρμογές iOS και Android από άγνωστες<br />
πηγές; Τώρα πια είναι εύκολο να<br />
αποκτήσουμε εφαρμογές iOS και Android<br />
από πηγές εκτός των επίσημων app<br />
stores, κάτι που βάζει στην εξίσωση<br />
νέους κινδύνους.<br />
3. Υπάρχουν συσκευές iOS και<br />
Android στο δίκτυο μας, που έχουν<br />
γίνει jailbreak ή root; Εκτιμάται ότι<br />
σε ένα ποσοστό 8% των συσκευών<br />
iOS έχει γίνει jailbreak (τροποποίηση<br />
του λειτουργικού συστήματος, αφαιρώντας<br />
τυχόν περιορισμούς), ενώ τα παραδοσιακά<br />
εργαλεία δεν μπορούν να χρησιμοποιηθούν<br />
για την ανίχνευση των jailbreaks.<br />
4. Είναι επαρκείς οι λύσεις MDM για την ασφάλεια των<br />
εταιρικών δεδομένων σε mobile συσκευές; Οι λύσεις<br />
MDM και γενικότερα οι λύσεις διαχείρισης και περιορισμού<br />
χρήσης των mobile συσκευών, μπορούν να αποτελέσουν<br />
ένα σημαντικό τμήμα της υποδομής για την mobile<br />
ασφάλεια, όμως δεν προσφέρουν απόλυτη προστασία από<br />
μόνες τους, κατά των προηγμένων mobile malware.<br />
5. Χρησιμοποιούν οι υπάλληλοι τα δικά τους mobile εργαλεία,<br />
θέτοντας τα ευαίσθητα δεδομένα σε κίνδυνο;<br />
Οι υπάλληλοι όπως και όλοι οι χρήστες των mobile συσκευών<br />
απαιτούν την καλύτερη δυνατή εμπειρία χρήσης και αν<br />
δεν υιοθετηθούν λύσεις ενίσχυσης της παραγωγικότητας<br />
και ασφάλειας, τα εταιρικά δεδομένα τίθενται σε κίνδυνο.<br />
6. Μπορούν οι mobile συσκευές των υπαλλήλων να διακινδυνεύσουν<br />
να δεχτούν επίθεση, όταν συνδέονται<br />
σε ασύρματα δίκτυα, ακόμα και αν χρησιμοποιούν<br />
VPN; Οι επιτιθέμενοι χρησιμοποιούν διάφορες τεχνικές<br />
για να παγιδεύουν την κίνηση του δικτύου από και προς<br />
κάποια mobile συσκευή, με την πιο γνωστή να είναι η τεχνική<br />
επίθεσης man-in-the-middle. Εφόσον μεσολαβεί<br />
ένας χρόνος μεταξύ της σύνδεσης σε ένα νέο WiFi και της<br />
σύνδεσης στο VPN, θα υπάρχει πάντα και ένα παράθυρο<br />
για να γίνει μια επίθεση.<br />
Ας δούμε όμως παρακάτω πιο αναλυτικά τις απαντήσεις σε<br />
αυτά τα 6 ερωτήματα που μπορούν να βοηθήσουν στην κατανόηση<br />
των βασικών σημείων μιας πολιτικής και πρακτικής<br />
ασφάλειας για τη χρήση των mobile συσκευών.<br />
Κατά πόσο οι mobile εφαρμογές των συσκευών<br />
των υπαλλήλων σε μια εταιρεία, αποτελούν απειλή<br />
για την ασφάλεια;<br />
Προκειμένου να απαντήσουμε σε αυτήν την ερώτηση, πρέπει<br />
πρώτα να κατανοήσουμε τις κατηγορίες των σημερινών<br />
εφαρμογών που μπορεί να αποτελέσουν απειλή. Σε γενικές<br />
γραμμές θα μπορούσαμε να τις κατηγοριοποιούμε σε δυο<br />
βασικές κατηγορίες:<br />
Κακόβουλες εφαρμογές: Mobile εφαρμογές που είναι σχεδιασμένες<br />
προκειμένου να εκμεταλλεύονται κάποια ευπάθεια,<br />
ώστε να δημιουργήσουν ένα κενό ασφαλείας για τη συσκευή<br />
και τα δεδομένα που βρίσκονται σε αυτή.<br />
Επισφαλείς ή ριψοκίνδυνες εφαρμογές: Mobile εφαρμογές<br />
που επιδεικνύουν φαινομενικά ακίνδυνη συμπεριφορά<br />
σε λογικό πλαίσιο, αλλά μπορεί να παραβιάσουν την ασφαλείας.<br />
Για παράδειγμα, μία τέτοια εφαρμογή μπορεί να είναι<br />
ένα application που στέλνει δεδομένα των επαφών μας σε<br />
ξένους servers.<br />
Γιατί όπως ένας επιτιθέμενος να επιλέξει μία mobile συσκευή,<br />
μεταξύ τόσων, επιλογών, προκειμένου να επιτεθεί στο δίκτυο<br />
μιας επιχείρησης; Η απάντηση βρίσκεται στην συνεχή εξέλιξη<br />
των κακόβουλων λογισμικών και στο γεγονός ότι επιτιθέμενοι<br />
γνωρίζουν ότι αποκτώντας πρόσβαση σε μια φορητή συσκευή<br />
ενός υπαλλήλου μιας εταιρίας, μπορούν να αποκτήσουν πρόσβαση<br />
και σε εταιρικά δεδομένα.<br />
Όσον αφορά το εύρος των επισφαλών ή ριψοκίνδυνων εφαρμογών,<br />
είναι αλήθεια ότι οι οργανισμοί δεν ελέγχουν τους<br />
υπαλλήλους τους σε ότι αφορά τις εφαρμογές που κατεβά-<br />
security<br />
19
T<strong>52</strong>11/12.2017<br />
Cover Issue<br />
ζουν. Άρα δεν υπάρχει ορατότητα και σαφή γνώση για το τι<br />
ακριβώς κάνει κάθε εφαρμογή στη συσκευή του κάθε χρήστη.<br />
Αυτό είναι για τις εταιρείες που θέλουν να ενισχύσουν<br />
την παραγωγικότητα στο χώρο εργασίας αλλά και να μην<br />
περιορίσουν την εμπειρία του κάθε χρήστη είναι κάτι συνηθισμένο,<br />
αλλά παράλληλα είναι κάτι που μπορεί να επιφέρει<br />
νέους κινδύνους.<br />
Μία εφαρμογή λοιπόν κρίνεται επισφαλής υποκειμενικά. Όμως<br />
τουλάχιστον απαιτείται να υπάρχει ένας στοιχειώδης έλεγχος<br />
στις εφαρμογές που εισέρχονται στο δίκτυο και στις δυνατότητες<br />
που έχουν. Μόνο έτσι μπορούμε να λάβουμε σωστές<br />
και τεκμηριωμένες αποφάσεις προκειμένου να διατηρήσουμε<br />
την ισορροπία που χρειάζεται, έτσι ώστε από την μια πλευρά<br />
να ενισχυθεί η παραγωγικότητα ενώ από την άλλη πλευρά να<br />
προστατευτούν τα εταιρικά δεδομένα.<br />
Κατά πόσο οι εταιρικοί χρήστες, εγκαθιστούν<br />
εφαρμογές iOS και Android από άγνωστες πηγές;<br />
Σε πρόσφατη μελέτη της για το mobile κακόβουλο λογισμικό, η<br />
Gartner αποκαλύπτει ότι μία από τις κύριες πηγές για τις σημερινές<br />
επιθέσεις, είναι τα ανεπίσημα app stores. Μία κοινή τακτική<br />
των κυβερνοεγκληματιών, είναι να κατεβάζουν δημοφιλείς<br />
εφαρμογές, να τις επαναπρογραμματίζουν με κακόβουλο κώδικα<br />
και να τις ανεβάζουν σε πλατφόρμες διανομής τρίτων, ή να<br />
κλέβουν πιστοποιητικά εταιρειών ανάπτυξης εφαρμογών, ώστε<br />
τα Apps τους να εμφανίζονται ως νόμιμα υπογεγραμμένα.<br />
Οι εφαρμογές που κατεβαίνουν εκτός των επίσημων app stores,<br />
όπως το Google Play Store και το Apple App Store, εγκαθίστανται<br />
με τη μέθοδο sideload (χειροκίνητα) και είναι εκ φύσεως<br />
επισφαλείς, λόγω του γεγονότος ότι παρακάμπτουν την επισκόπηση<br />
και τον έλεγχο που γίνεται από τα επίσημα app stores.<br />
Συγκεκριμένα, η Apple έχει διαμορφώσει μια καλή φήμη στη διατήρηση<br />
της καθαρότητας του App Store από κακόβουλο λογισμικό,<br />
αλλά υπάρχει μία αυξανόμενη τάση για φόρτωση εφαρμογών<br />
στο iOS μέσω sideload, που δεν απαιτεί jailbreak. Εφαρμογών<br />
δηλαδή που κάνουν κατάχρηση των εταιρικών προφίλ<br />
παροχής υπηρεσιών. Όταν οι υπάλληλοι βλέπουν μία ειδοποίηση<br />
ασφαλείας στη συσκευή τους, την πρώτη φορά που κατεβάζουν<br />
μία εταιρική εφαρμογή από κάποιο νέο προγραμματιστή, έχουν<br />
συνηθίσει να πατούν το πλήκτρο αποδοχής. Ως αποτέλεσμα, οι<br />
κακόβουλοι hackers, που αποκτούν έγκυρα πιστοποιητικά, υπογεγραμμένα<br />
από την Apple, μπορούν να εκμεταλλευτούν αυτή<br />
τη μεταβαλλόμενη εταιρική δυναμική, ώστε να στοχεύσουν σε<br />
χρήστες με εφαρμογές οι οποίες δεν ελέγχθηκαν ποτέ από την<br />
Apple. Ευτυχώς, πολλές από αυτές τις sideload εφαρμογές μπορούν<br />
να εντοπιστούν, εξετάζοντας ποιος υπέγραψε τα πιστοποιητικά<br />
τους. Αν υπογράφηκαν από κάποια οντότητα εκτός της<br />
εταιρείας, θα είναι καλό να ερευνηθεί το θέμα περισσότερο, ή<br />
να μπλοκαριστούν τελείως αυτές οι εφαρμογές.<br />
Υπάρχουν iOS και Android συσκευές στο δίκτυο,<br />
στις οποίες έχει γίνει jailbreak ή root;<br />
Είναι γενικά γνωστό στους επαγγελματίες της ασφάλειας ότι<br />
αν το λειτουργικό σύστημα κάποιας συσκευής παραβιαστεί,<br />
τότε το παιχνίδι σε ότι αφορά την ασφάλεια των δεδομένων<br />
έχει ουσιαστικά χαθεί. Κάθε απόπειρα για προστασία των δεδομένων<br />
της συσκευής μέσω λογισμικού ασφάλειας, είναι<br />
πολύ πιθανόν να αποτύχει σε μια τέτοια περίπτωση. Ας δούμε<br />
όμως κάποιους σύντομους ορισμούς που θα βοηθήσουν<br />
στην κατανόηση των συγκεκριμένων όρων.<br />
Jailbreak στο iOS: Είναι η διαδικασία αφαίρεσης των περιορισμών<br />
hardware στο λειτουργικό σύστημα, μεταβάλλοντας τους<br />
πυρήνες συστήματος του iOS, ώστε να επιτρέπεται η πρόσβαση<br />
στο file system για ανάγνωση και εγγραφή δεδομένων.<br />
Root στο Android: Η απόκτηση πρόσβασης επιπέδου<br />
administrator ή χρήστη με αυξημένα δικαιώματα στο λειτουργικό<br />
σύστημα Android, επιτρέποντας σε κάποιον χρήστη να αλλάξει,<br />
να αφαιρέσει ή να αντικαταστήσει το λειτουργικό σύστημα.<br />
Γιατί όμως κάποιοι χρήστες επιχειρούν να κάνουν jailbreak ή<br />
root στις συσκευές τους; Πολλοί χρήστες προβαίνουν συνειδητά<br />
σε jailbreak ή root στις συσκευές τους, για μη κακόβουλους<br />
σκοπούς. Οι συνήθεις λόγοι περιλαμβάνουν<br />
● Το κατέβασμα εφαρμογών από πηγές τρίτων.<br />
● Το μπλοκάρισμα διαφημίσεων και την αφαίρεση προ-εγκατεστημένων<br />
προγραμμάτων προωθητικού χαρακτήρα.<br />
● Τη βελτίωση των λειτουργιών της συσκευής, όπως η δημιουργία<br />
mobile hotspots χωρίς επιπλέον χρέωση.<br />
● Το ξεκλείδωμα της συσκευής ώστε να χρησιμοποιείται σε<br />
όλα τα δίκτυα κινητής.<br />
● Την πρόσβαση σε πειρατικές εφαρμογές από αντίστοιχες<br />
πηγές.<br />
20 security
Πόσο επαρκείς είναι οι λύσεις MDM για την ασφάλεια<br />
των εταιρικών δεδομένων σε mobile συσκευές;<br />
Οι σύγχρονοι επαγγελματίες <strong>IT</strong> αναγνωρίζουν την ανάγκη για μία<br />
πολυεπίπεδη προσέγγιση στη mobile ασφάλεια. Σε αυτή τη προσέγγιση<br />
οι λύσεις EMM και MDM μπορούν να αποτελέσουν σημαντικό<br />
τμήμα μίας εταιρικής mobile στρατηγικής, όμως θα πρέπει<br />
να λάβουμε υπόψη και ορισμένους περιορισμούς που υπάρχουν.<br />
Σε ότι αφορά τις λύσεις EMM, μπορούμε να πούμε ότι παρατηρούνται<br />
ορισμένα κενά στην προστασία των mobile endpoints.<br />
Σύμφωνα, με πρόσφατη μελέτη της Gartner, σε διάφορες λύσεις<br />
EMM έχουν παρατηρηθεί περιορισμοί σε ότι αφορά την έλλειψη<br />
ικανότητας να ανιχνεύουν προηγμένες ευπάθειες σε πλατφόρμες<br />
και εφαρμογές. Επίσης, έχει διαπιστωθεί περιορισμένη<br />
ικανότητα ανίχνευσης προηγμένων απειλών (advanced threats)<br />
από κακόβουλο λογισμικό. Τα εργαλεία MTD (mobile threat<br />
defense) βοηθούν στην κάλυψη αυτού του κενού, προστατεύοντας<br />
τις επιχειρήσεις από απειλές σε mobile πλατφόρμες. Tα<br />
κενά περιλαμβάνουν αυτό που αναφέραμε και προηγουμένως,<br />
δηλαδή την ανίχνευση jailbreak ή root. Όπως σημειώσαμε και<br />
παραπάνω, αν σε μία συσκευή έχει γίνει jailbreak ή root, τότε η<br />
όποια επένδυση στην ασφάλεια μπορεί να αποδειχτεί αναποτελεσματική.<br />
Ενώ, οι περισσότερες λύσεις MDM /EMM υποστηρίζουν<br />
ότι περιλαμβάνουν ανίχνευση jailbreak και root, δεν είναι<br />
πάντα αποτελεσματικές, λόγω της φύσης των επιθέσεων που<br />
στοχεύουν τον πυρήνα του λειτουργικού συστήματος.<br />
Για πολλές επιχειρήσεις, οι λύσεις MDM καθίστανται ιδιαίτερα<br />
σημαντικές στο πλαίσιο της στρατηγικής ασφάλειας που εφαρμόζουν.<br />
Όμως πολλοί υπεύθυνοι για την ψηφιακή ασφάλεια<br />
σε μια επιχείρηση αναγνωρίζουν τα κενά που αναφέρθηκαν<br />
και την ανάγκη να καλυφθούν, ώστε να επιτευχθεί η απαραίτητη<br />
ορατότητα στο εξελιγμένο κακόβουλο λογισμικό και στις<br />
συσκευές με jailbreak ή root.<br />
Πως όμως μπορούμε να προστατέψουμε τα εταιρικά δεδομένα<br />
από τις συνέπειες αυτών των ενεργειών; Η προστασία<br />
κατά αυτών των αναδυόμενων απειλών ξεκινάει γνωρίζοντας<br />
πρώτα από όλα τι συσκευές συνδέονται στο δίκτυο. Παρ’ όλα<br />
αυτά, οι συσκευές με jailbreak ή root είναι δύσκολο να ανιχνευτούν.<br />
Αν και οι λύσεις MDM προσφέρουν βασική ανίχνευση<br />
jailbreak, μάχονται συνεχώς κατά χρηστών που προσπαθούν<br />
να αποφύγουν αυτή την ανίχνευση.<br />
Χρησιμοποιούν οι εταιρικοί χρήστες τα δικά τους<br />
mobile εργαλεία, θέτοντας τα ευαίσθητα δεδομένα<br />
σε κίνδυνο;<br />
Όπως γνωρίζουν καλά πολλοί υπεύθυνοι ΙΤ, οι λύσεις εταιρικού<br />
cloud έχουν επιτρέψει στους υπαλλήλους να υιοθετήσουν<br />
και δικά τους εργαλεία παραγωγικότητας. Αυτό συχνά γίνεται<br />
όταν οι παρεχόμενες λύσεις πληροφορικής είναι δύσκολες<br />
στη χρήση ή όταν οι χρήστες νιώθουν ότι παραβιάζεται η ιδιωτικότητα<br />
τους. Παρ’ όλα αυτά, η ανάγκη για φιλική προς τον<br />
χρήση εμπειρία στις mobile συσκευές είναι ιδιαίτερα σημαντική<br />
όσο και η ασφάλεια των εταιρικών δεδομένων για την<br />
αποτροπή παραβιάσεων. Οι χρήστες απαιτούν την καλύτερη<br />
δυνατή εμπειρία χρήσης των mobile συσκευών, αναζητώντας<br />
παράλληλα τρόπους για τη διασφάλιση των δεδομένων και της<br />
ενίσχυσης της παραγωγικότητας τους. Αν η εμπειρία χρήσης<br />
υπολείπεται, οι χρήστες είναι πολύ πιθανόν να επιλέξουν άλλες<br />
τεχνολογίες και επιλογές που καλύπτουν τις ανάγκες τους, με<br />
ότι αυτό μπορεί να συνεπάγεται για την ασφάλεια.<br />
Επίσης, η προστασία προσωπικών δεδομένων, είναι ή πρέπει<br />
να είναι στις κορυφαίες προτεραιότητες για τους σημερινούς<br />
χρήστες αλλά και τους διαχειριστές. Οι λύσεις ασφαλείας που<br />
θεωρούνται πολύ επεμβατικές με την ανεξέλεγκτη πρόσβαση<br />
στα δεδομένα των χρηστών, συχνά απορρίπτονται. Αυτό αποκτά<br />
ακόμα μεγαλύτερη ισχύ σε ένα περιβάλλον BYOD. Οι σύγχρονες<br />
εταιρείες αναγνωρίζουν καταρχήν ότι η εμπειρία χρήσης παίζει<br />
σημαντικό ρόλο στην αποδοχή των mobile λύσεων <strong>IT</strong> από τους<br />
υπαλλήλους. Όπως προτείνει η Gartner λοιπόν, οι επιχειρήσεις<br />
θα πρέπει να επικεντρώσουν τις προσπάθειες τους στην παροχή<br />
νέας γενιάς λύσεων ασφάλειας που είναι προσαρμοσμένες<br />
για mobile χρήση και θα εξυπηρετούν ταυτόχρονα την εμπειρία<br />
χρήσης και την προστασία των δεδομένων.<br />
Πόσο πιθανή είναι μια επίθεση man-in-the- middle<br />
με την σύνδεση των συσκευών σε Wi-Fi δίκτυα ή<br />
VPN ;<br />
Σε γενικές γραμμές, μια επίθεση man-in-the- middle, εκτελείται<br />
από ένα άτομο ή υπολογιστή που “κάθεται” σε κάποια<br />
δικτυακή σύνδεση και “κρυφακούει” τις πληροφορίες που διακινούνται.<br />
Οι επιτιθέμενοι μπορούν να συλλέξουν και να αποθηκεύσουν<br />
αυτές τις πληροφορίες, ακόμα και να τις αποκρυπτογραφήσουν,<br />
παρά την ισχυρή κρυπτογράφηση που μπορεί<br />
security<br />
21
T<strong>52</strong>11/12.2017<br />
Cover Issue<br />
να χρησιμοποιείται από πολλές επιχειρήσεις, όπως οι πάροχοι<br />
υπηρεσιών email. Στις mobile συσκευές, τέτοιες επιθέσεις<br />
στοχεύουν στην παρεμβολή μεταξύ δεδομένων που μεταφέρονται<br />
μέσω 4G και WiFi, χρησιμοποιώντας εργαλεία hacking<br />
για να βλέπουν τις κρυπτογραφημένες πληροφορίες. Πολλές<br />
επιθέσεις αυτού του τύπου, μπορούν να πραγματοποιηθούν<br />
με διάφορους τρόπους και συνήθως απαιτούν δύο βήματα. Το<br />
πρώτο βήμα είναι η είσοδος στην κίνηση δεδομένων του δικτύου.<br />
Αν ένας επιτιθέμενος έχει φυσική πρόσβαση στη στοχευμένη<br />
συσκευή, μπορεί να στήσει ένα ψεύτικο δίκτυο WiFi ή<br />
4G γι’ αυτό το σκοπό. Αφού εισέλθει στο δίκτυο, ο επιτιθέμενος<br />
μπορεί να χρησιμοποιήσει τη σύνδεση ή τον χρήστη για να δει<br />
τα κρυπτογραφημένα δεδομένα. Παρακάτω αναφέρονται κάποιοι<br />
τρόποι με τους οποίους μπορεί να γίνει αυτό:<br />
Υποκλοπή πιστοποιητικού από τον server - Ο επιτιθέμενος<br />
παρεμβάλλει μία κακόβουλη υπογραφή υπό τον έλεγχο του,<br />
στο σύστημα πιστοποιητικών της συσκευής-θύμα, επιτρέποντας<br />
του να «μεταμφιέζεται» ως έμπιστη πηγή και να βλέπει<br />
τα κρυπτογραφημένα δεδομένα.<br />
Αφαίρεση SSL - Ο επιτιθέμενος ουσιαστικά αφαιρεί την πρό-<br />
σθετη ασφάλεια που προσφέρουν οι συνδέσεις HTTPS, επιτρέποντας<br />
σε δεδομένα που κανονικά είναι να, να εμφανίζονται ως απλό κείμενο.<br />
κρυπτογραφημέ-<br />
Υποβάθμιση του πρωτοκόλλου TLS - Εδώ, ο επιτιθέμενος<br />
χρησιμοποιεί τη σύνδεση για να υποβαθμίσει το πρωτόκολλο<br />
ή την κρυπτογράφηση και να μειώσει τις εγγυήσεις ασφαλείας<br />
για την εκάστοτε σύνδεση.<br />
αεροδρομίου ή εταιρείας. Ένα δίκτυο ξενοδοχείου που έχει γίνει<br />
spoof, αποτελεί μία ακόμα προσέγγιση επίθεσης man-in-themiddle.<br />
Πολλά ξενοδοχεία χρησιμοποιούν ενδιάμεση σελίδα σύνδεσης<br />
που απαιτεί στοιχεία όπως τον αριθμό δωματίου και αποδοχή<br />
των όρων χρήσης, ώστε να δώσει πρόσβαση μέσω WiFi.<br />
Αυτή η σελίδα συνήθως έχει την ταυτότητα του ξενοδοχείου και<br />
μοιάζει αξιόπιστη. Αυτή η διαδικασία εγκατάστασης διευκολύνει<br />
τον επιτιθέμενο ώστε να ξεγελάσει κάποιον ανυποψίαστο πελάτη<br />
ξενοδοχείου προκειμένου αυτός να συνδεθεί σε ένα δίκτυο με<br />
spoof και να εισάγει τα στοιχεία του. Εφόσον οι mobile συσκευές<br />
προσφέρουν διαφορετική εμπειρία περιήγησης στο διαδίκτυο<br />
από τους υπολογιστές, κάποιοι μπορεί να μην αντιληφθούν τις<br />
πιθανές παραβάσεις που παρεμβάλλονται. Για παράδειγμα, ο επιτιθέμενος<br />
έχει πρόσβαση όχι μόνο σε όλα τα δεδομένα που μετακινούνται<br />
στο δίκτυο, αλλά επίσης μπορεί να αποκρυπτογραφήσει<br />
την κίνηση των δεδομένων και να δει όλα όσα ήταν προστατευμένα.<br />
Αυτό μπορεί να περιλαμβάνει email, πληροφορίες<br />
που ανταλλάσσονται μεταξύ εφαρμογών, γραπτά μηνύματα, κ.ά.<br />
Σε κάθε περίπτωση το ρίσκο είναι μεγάλο και απαιτείται ιδιαί-<br />
τερη προσοχή από τους χρήστες<br />
Πως μπορούν οι υπάλληλοι αλλά και οι απλοί χρήστες<br />
να πέσουν θύματα man-in-the-middle επίθεσης;<br />
Οι επιθέσεις αυτού του τύπου σε εταιρικές συσκευές, είναι πιο<br />
πιθανό να προέλθουν από δίκτυα WiFi. Ο επιτιθέμενος μπορεί να<br />
ξεγελάσει το υποψήφιο θύμα του ώστε να συνδεθεί σε ένα WiFi<br />
που έχει γίνει spoof, μοιάζοντας με νόμιμο δίκτυο ξενοδοχείου,<br />
22 security
security<br />
23
T<strong>52</strong>11/12.2017<br />
Issue<br />
Mobile Device Management:<br />
Πώς να διαχειριστείτε την ασφάλεια των<br />
φορητών συσκευών σας!<br />
Τα smartphones έχουν μπει για τα καλά στην ζωή μας, είτε την προσωπική είτε την επαγγελματική.<br />
Πέρα από το γεγονός ότι μας κρατούν συνδεδεμένους με τον κόσμο, υπάρχουν πολλές<br />
εργασίες που οι χρήστες πραγματοποιούν στις μέρες μας μέσα από τα smartphones: μηνύματα<br />
ηλεκτρονικού ταχυδρομείου, επισκόπηση εγγράφων και τηλεδιάσκεψη είναι μερικές από αυτές<br />
ι επιχειρήσεις για να υποστηρίξουν τους<br />
Ο<br />
εργαζόμενους τους που βρίσκονται εν<br />
κινήσει τους παρέχουν handhelds όπως<br />
smartphones, tablets και φορητούς υπολογιστές<br />
που τους δίνουν τη δυνατότητα να<br />
δουλεύουν ενώ ταξιδεύουν ή βρίσκονται σπίτι. Ακόμα, δεν<br />
είναι λίγες οι επιχειρήσεις που υποστηρίζουν το concept "<br />
Bring Your Own Device (BYOD)" που δίνει τη δυνατότητα<br />
στους εργαζομένους να έχουν πρόσβαση στο δίκτυο<br />
της επιχείρησης μέσα από τα προσωπικά τους handhelds.<br />
Τα διαφορετικά λειτουργικά συστήματα, η παραμετροποίηση<br />
και η ποικιλία του hardware, οι τροποποιήσεις στα<br />
λειτουργικά συστήματα από τους παρόχους κινητών συσκευών<br />
έχουν οδηγήσει σε μια υπεραφθονία συσκευών.<br />
Αυτό αποτελεί σοβαρή πρόκληση για την ασφάλεια των<br />
επιχειρήσεων / οργανισμών που υποστηρίζουν φορητές<br />
συσκευές. Μερικές από τις σημαντικότερες προκλήσεις<br />
που αντιμετωπίζουν οι οργανισμοί είναι:<br />
Έλλειψη φυσικής ασφάλειας: Οι φορητές συσκευές,<br />
όπως το smartphones, μπορούν εύκολα να κλαπούν. Ο<br />
κλέφτης αποκτά πρόσβαση στα δεδομένα της συσκευής<br />
και της επιχείρησης μέσω των επιχειρηματικών εφαρμογών<br />
που είναι εγκατεστημένες στο κινητό.<br />
Μη αξιόπιστα δίκτυα: Οι χρήστες καθώς ταξιδεύουν συνηθίζουν<br />
να συνδέουν τις συσκευές τους σε δίκτυα (Wi-Fi)<br />
που δεν είναι αξιόπιστα π.χ. cafes, εστιατόρια, κλαμπ. Αυτά<br />
τα δίκτυα είναι εξαιρετικά επιρρεπή σε hacking.<br />
Μη αξιόπιστες εφαρμογές (applications): Εφαρμογές<br />
όπως τα παιχνίδια ή τα μέσα κοινωνικής δικτύωσης διαβάζουν<br />
τα δεδομένα από τη συσκευή και τα ανεβάζουν στους<br />
διακομιστές τους. Αυτό αποτελεί απειλή για τα εταιρικά<br />
δεδομένα που είναι αποθηκευμένα στα κινητά τηλέφωνα.<br />
24 security
Angelo Gentili<br />
Business Development Manager PartnerNET<br />
www.partnernet.gr<br />
Αλληλεπίδραση με άλλα συστήματα: Οι χρήστες συνδέουν<br />
τις φορητές τους συσκευές με τους προσωπικούς<br />
υπολογιστές - φορητούς ή επιτραπέζιους - για να μεταφέρουν<br />
μουσική, βίντεο κ.λ.π. Αυτοί οι υπολογιστές θέτουν<br />
σε κίνδυνο την ασφάλεια των δεδομένων μιας επιχείρησης<br />
που είναι αποθηκευμένα σε αυτές τις συσκευές.<br />
Μη αξιόπιστες φορητές συσκευές: Οι εργαζόμενοι δεν<br />
συνηθίζουν να πραγματοποιούν άμεσες αναβαθμίσεις και<br />
συχνές ενημερώσεις στα patches αφήνοντας τις φορητές<br />
συσκευές ευάλωτες.<br />
Ασφάλεια Κινητών Συσκευών<br />
Με τόσα πολλά προβλήματα που εμφανίζονται συνεχώς γύρω<br />
από την ασφάλεια των φορητών συσκευών, μερικές φορές<br />
φαίνεται σαν να μην είναι και τόσο καλή ιδέα να χρησιμοποιούμε<br />
τις φορητές συσκευές για επαγγελματικούς σκοπούς.<br />
Ωστόσο, λαμβάνοντας υπόψη την εξοικονόμηση χρόνου που<br />
προσφέρουν διαπιστώνουμε ότι η χρήση τους είναι αναπόφευκτη!<br />
Ως εκ τούτου, είναι σημαντικό για τις επιχειρήσεις<br />
να υιοθετήσουν πρακτικές πριν δημιουργήσουν ένα ασφαλές<br />
mobile περιβάλλον για τους εργαζομένους τους όπως:<br />
Εφαρμογή Πολιτικής Ασφάλειας: Όλες οι συσκευές<br />
πρέπει να συμμορφώνονται με την πολιτική ασφαλείας η<br />
οποία πρέπει να περιλαμβάνει τα εξής:<br />
● Περιορισμό πρόσβασης σε hardware όπως κάμερες,<br />
USBs, Bluetooth και αποσπώμενα αποθηκευτικά μέσα.<br />
● Περιορισμό πρόσβασης σε native εφαρμογές, όπως<br />
email client, calendar, built-in browser, contacts κ.λ.π.<br />
● Διαχείριση του Wi-Fi network interface, συμπεριλαμβανομένου<br />
του enforced security protocol για<br />
όλες τις συνδέσεις.<br />
● Περιορισμό ή αποτροπή πρόσβασης σε επιχειρηματικές<br />
υπηρεσίες που βασίζονται στο rooting ή το jailbreak<br />
status για να διασφαλίζεται ότι μόνο οι ασφαλείς συσκευές<br />
έχουν πρόσβαση στις πληροφορίες της εταιρείας<br />
● Επιλογή / προμήθεια μόνο ασφαλών συσκευών για ενσωμάτωση<br />
στην υφιστάμενη επιχειρηματική υποδομή.<br />
Data Communication και αποθήκευση δεδομένων<br />
● Εξασφάλιση ισχυρής κρυπτογράφησης για την πρόσβαση<br />
των δεδομένων της επιχείρησης<br />
● Επιβολή ισχυρής κρυπτογράφησης για τα data που<br />
αποθηκεύονται στις συσκευές. Συνδέστε την αποσπώμενη<br />
αποθηκευτική μονάδα με κάθε συσκευή<br />
χρησιμοποιώντας τεχνικές κρυπτογράφησης<br />
● Δυνατότητα αποκλεισμού, από απόσταση, της συσκευής<br />
ή των συσκευών για τις οποίες υπάρχει αναφορά<br />
ότι έχουν κλαπεί ή χαθεί<br />
● Αυτόματος αποκλεισμός των συσκευών μετά από<br />
συγκεκριμένο αριθμό ανεπιτυχών προσπαθειών<br />
ελέγχου ταυτοποίησης<br />
Ταυτοποίηση χρήστη και συσκευής<br />
● Εφαρμογή ισχυρών κανόνων ταυτοποίησης χρησιμοποιώντας<br />
token μιας χρήσης ή two stage authentication<br />
για πρόσβαση στο εταιρικό δίκτυο<br />
● Ενεργοποίηση αυτόματου κλειδώματος όταν η συσκευή<br />
είναι αδρανής για συγκεκριμένη διάρκεια (π.χ. 5 λεπτά)<br />
● Ενεργοποίηση κλειδώματος από απόσταση για να<br />
είναι εφικτό το κλείδωμα της συσκευής εάν παρατηρηθεί<br />
ύποπτη συμπεριφορά στη συσκευή<br />
● Εφαρμογή μίας ολοκληρωμένης λύσης Mobile<br />
Device Management (MDM) για τη διαχείριση του συνόλου<br />
των συσκευών μιας επιχείρησης<br />
Applications (Apps)<br />
● Περιορισμός των apps που μπορούν να εγκατασταθούν<br />
● Χρήση συγκεκριμένων μόνο apps stores για εγκατάσταση<br />
εφαρμογών<br />
Από τη φύση τους οι φορητές συσκευές είναι επιρρεπείς σε<br />
hacks! Ωστόσο, με σωστή διαχείριση οι συσκευές μπορούν<br />
να χρησιμοποιηθούν με ασφάλεια για να διασφαλιστεί ότι οι<br />
πληροφορίες και το δίκτυο της εταιρείας δεν τίθενται σε κίνδυνο.<br />
Το λογισμικό Mobile Device Management (MDM)<br />
καθιστά τη διαχείριση της ασφάλειας των handhelds, εύκολη,<br />
και ενσωματώνεται στην υφιστάμενη υποδομή ασφάλειας<br />
του οργανισμού σας. Με την εφαρμογή της κατάλληλης<br />
πολιτικής ασφάλειας οι φορητές συσκευές μπορούν να παρέχουν<br />
τις βελτιώσεις στην αποδοτικότητα που υπόσχονται.<br />
Για να μάθετε περισσότερα για τη λύση Seqrite Mobile<br />
Device Management (MDM) καλέστε την PartnerNET<br />
στο 210 7100000.<br />
security<br />
25
T<strong>52</strong>11/12.2017<br />
Issue<br />
Ξεκινώντας με τη διαχείριση της<br />
επιχειρησιακής φορητότητας<br />
Οι φορητές συσκευές αποτελούν βασικό εργαλείο<br />
στις επιχειρήσεις και προσφέρουν τεράστια<br />
οφέλη για την παραγωγικότητα των εργαζομένων.<br />
Όμως, καθώς τα εταιρικά δεδομένα και<br />
τα μηνύματα ηλεκτρονικού ταχυδρομείου που<br />
βρίσκονται σε φορητές συσκευές ολοένα και<br />
αυξάνονται, είναι πλέον σαφές ότι υπάρχουν<br />
πολλοί κίνδυνοι απώλειας δεδομένων που μπορεί<br />
να είναι ευαίσθητα και εμπιστευτικά.<br />
πό αυτό το πρίσμα, πολλοί οργανισμοί<br />
υ<br />
αναζητούν λύσεις διαχείρισης επιχειρησιακής<br />
φορητότητας (Enterprise Mobility<br />
Management / EMM), ώστε να μπορούν<br />
να προστατεύσουν και να ασφαλίσουν τα<br />
εταιρικά δεδομένα στις φορητές συσκευές χωρίς να επηρεάζουν<br />
όμως την παραγωγικότητα των εργαζομένων τους. Η<br />
ύπαρξη μιας αποτελεσματικής στρατηγικής διαχείρισης της<br />
φορητότητας απαιτεί να διατηρήσετε όλα τα δομικά συστατικά<br />
ενός σύγχρονου επιχειρησιακού περιβάλλοντος: Φορητότητα,<br />
Παραγωγικότητα και Ασφάλεια.<br />
Επιπλέον, η διαχείριση της φορητότητας πρέπει να γίνει όσο<br />
το δυνατόν πιο εύκολα και απλά. Βρισκόμαστε ξεκάθαρα<br />
στην εποχή της φορητότητας στις επιχειρήσεις, όπου όλες οι<br />
εταιρείες και οι οργανισμοί χρειάζονται ορατότητα και έλεγχο<br />
πάνω στο ποιος μετακινεί ή έχει μαζί του εταιρικά δεδομένα,<br />
και βεβαίως πότε και που αυτά χρησιμοποιούνται από<br />
ποιες εφαρμογές και με ποιες συσκευές. Απαιτείται λοιπόν<br />
μια ιδιαίτερη λύση αφού το προσωπικό χρησιμοποιεί τις ίδιες<br />
φορητές συσκευές, τόσο για τη διαχείριση των προσωπικών<br />
τους όσο και των επαγγελματικών τους δεδομένων.<br />
Είναι γεγονός ότι δεν υπάρχει ευαισθητοποίηση από μέρους<br />
των χρηστών σχετικά με τα δεδομένα και τις εφαρμογές<br />
σε φορητές συσκευές καθώς και για τους τρόπους<br />
με τους οποίους μπορεί να επηρεαστεί η ακεραιότητα των<br />
εταιρικών δεδομένων. Έτσι, οι εταιρείες χρειάζονται μια<br />
λύση ΕΜΜ που θα προστατεύει τις φορητές συσκευές από<br />
κακόβουλο λογισμικό και άλλους κινδύνους διατηρώντας<br />
παράλληλα ασφαλές και προστατευμένο τόσο το περιεχόμενο<br />
όσο και τις εφαρμογές που διαθέτουν. Μία αποτελεσματική<br />
στρατηγική δεν έχει να κάνει τόσο με την επιλογή<br />
της φορητότητας, της ασφάλειας ή της παραγωγικότητας<br />
αλλά κυρίως με την διαχείριση της φορητότητας ώστε να<br />
μπορέσουν τόσο οι επιχειρήσεις όσο και τα άτομα μεμονωμένα<br />
να κάνουν τη δουλειά τους καλύτερα. Μία κατάλληλη<br />
λύση ΕΜΜ θα πρέπει να μπορεί να βοηθήσει τους οργανισμούς<br />
να απομακρυνθούν από τις περιοριστικές πολιτικές<br />
περί συσκευών και περιεχομένου και να κατευθυνθούν<br />
προς ασφαλή περιβάλλοντα όπου τα προστατευμένα δεδομένα<br />
είναι προσβάσιμα εύκολα και από οπουδήποτε για<br />
τους εργαζομένους που βρίσκονται εν κινήσει.<br />
Διαχείριση Επιχειρησιακής Φορητότητας<br />
Η Διαχείριση Επιχειρησιακής Φορητότητας (EMM) επιτρέπει<br />
στις επιχειρήσεις να διαχειρίζονται και να προστατεύουν<br />
οτιδήποτε βρίσκεται εν κινήσει, δηλαδή χρήστες,<br />
δεδομένα, εφαρμογές και συσκευές. Οι λύσεις EMM εφαρμόζονται<br />
για συσκευές τύπου smartphone και tablet και<br />
πρέπει να υποστηρίζουν πολλαπλά λειτουργικά συστήματα.<br />
Τα βασικά συστατικά μίας λύσεις EMM περιλαμβάνουν:<br />
Διαχείριση Φορητών Συσκευών (MDM), Διαχείριση<br />
Εφαρμογών για Φορητές Συσκευές (Mobile Application<br />
26 security
Affordable Cutting Edge<br />
Γιώργος Καπανίρης<br />
Διευθυντής Στρατηγικής Ανάπτυξης, NSS<br />
www.nss.gr<br />
Management / MAM) και Ασφάλεια Φορητών Συσκευών<br />
και Διαχείριση Περιεχομένου Φορητών Συσκευών (Mobile<br />
Content Management / MCM). Υπό το πρίσμα της ευρείας<br />
χρήσης των φορητών συσκευών στους εργασιακούς χώρους,<br />
οι λύσεις EMM γίνονται όλο και περισσότερο απαραίτητες<br />
για εταιρίες όλων των μεγεθών. Η φορητότητα<br />
έχει αρχίσει να γίνεται δημοφιλής και απαραίτητη και στις<br />
μικρομεσαίες επιχειρήσεις επίσης. Εάν θέλετε να υιοθετήσετε<br />
μία αποτελεσματική στρατηγική Διαχείρισης Επιχειρηματικής<br />
Φορητότητας, καλό θα ήταν να ακολουθήσετε<br />
μια προσέγγιση 3 βημάτων:<br />
Βήμα # 1 - Προστατέψτε χρήστες και συσκευές<br />
Σήμερα, όλο και περισσότεροι εργαζόμενοι εξαρτώνται<br />
από φορητές συσκευές για την οργάνωση τόσο της προσωπικής<br />
τόσο και της επαγγελματικής τους ζωής. Δείτε<br />
πώς μια λύση Διαχείρισης Επιχειρησιακής Φορητότητας<br />
μπορεί να σας βοηθήσει να κρατήσετε ασφαλείς τους χρήστες<br />
αλλά και τις φορητές συσκευές σας:<br />
1) Δημιουργήστε πολιτική υποχρεωτικού κωδικού πρόσβασης<br />
στις φορητές συσκευές. Οι φορητές συσκευές των<br />
εργαζομένων περιέχουν τα εταιρικά σας δεδομένα καθώς<br />
βρίσκονται εν κινήσει. Μια μη προστατευμένη ή ξεκλειδωμένη<br />
φορητή συσκευή είναι σαν μια ανοιχτή πόρτα, παρέχοντας<br />
πρόσβαση στις ευαίσθητες πληροφορίες σας στον<br />
οποιονδήποτε.<br />
2) Βοηθήστε τους χρήστες να βρουν χαμένες συσκευές ή<br />
να σβήσουν τα δεδομένα σε χαμένες ή κλεμμένες συσκευές.<br />
Όταν οι εργαζόμενοι τυγχάνει να ξεχάσουν ή να χάσουν<br />
τις φορητές τους συσκευές, θα πρέπει από την κονσόλα<br />
διαχείρισης να είστε σε θέση να τις κλειδώσετε εξ αποστάσεως<br />
ή και να σβήσετε τα εταιρικά σας δεδομένα, ώστε οι<br />
πληροφορίες και τα δεδομένα της εταιρείας να παραμένουν<br />
προστατευμένα από τυχόν παραβιάσεις ασφαλείας<br />
και κινδύνους συμμόρφωσης.<br />
3) Παρέχετε στους χρήστες εργαλεία αυτοεξυπηρέτησης<br />
(helpdesk) για να μειώσετε την επιβάρυνση στο τμήμα <strong>IT</strong>.<br />
Τα αποτελεσματικά εργαλεία αυτοεξυπηρέτησης για καθημερινές<br />
εργασίες, όπως η προσθήκη μίας νέας συσκευής<br />
στο δίκτυο, ο εντοπισμός ενός κινητού που χάθηκε, η<br />
επαναφορά κωδικών πρόσβασης κλπ. σημαίνει μηδενική<br />
συμμετοχή του τμήματος <strong>IT</strong> και είναι σημαντικές για να μειώσετε<br />
το χρόνο, το έργο και το κόστος της διαχείρισης των<br />
φορητών σας συσκευών.<br />
4) Βεβαιωθείτε ότι οι συσκευές προστατεύονται από εφαρμογή<br />
ασφαλείας φορητών συσκευών και antivirus που να ενημερώνονται<br />
τακτικά. Προστατέψτε τους χρήστες του κινητού<br />
σας από κακόβουλο λογισμικό, κακόβουλες ιστοσελίδες αλλά<br />
και άλλες απειλές προσθέτοντας μία αποτελεσματική και επικαιροποιημένη<br />
προστασία για τον ιστό αλλά και από ιούς, ειδικά<br />
για τους χρήστες που χρησιμοποιούν συσκευές Android.<br />
Βήμα # 2 - Προστατέψτε το δίκτυό σας<br />
Βεβαιωθείτε ότι το δίκτυο στην επιχείρησή σας παραμένει<br />
ασφαλές. Επιπλέον, είναι απολύτως απαραίτητο να βεβαιωθείτε<br />
ότι όλες οι φορητές συσκευές που έχουν πρόσβαση<br />
στους δικτυακούς πόρους σας χρησιμοποιούν κάποιο<br />
ασφαλές δίκτυο Wi-Fi.<br />
1) Καθιερώστε ενέργειες και διαδικασίες συμμόρφωσης<br />
και καθοδήγησης σχετικά με την πρόσβαση στο εταιρικό<br />
δίκτυο καθώς και σε δίκτυα Wi-Fi. Αποκλείστε τις μη<br />
συμμορφούμενες φορητές συσκευές από το να έχουν<br />
πρόσβαση στο εταιρικό σας δίκτυο μέσω Wi-Fi, ώστε να<br />
μειωθεί ο κίνδυνος παραβίασης δεδομένων.<br />
2) Καθορίστε τις βασικές ρυθμίσεις ασφάλειας με τον<br />
περιορισμό ανεπιθύμητων δυνατοτήτων. Δώστε στους<br />
χρήστες των φορητών σας συσκευών πρόσβαση σε εφαρμογές<br />
και δυνατότητες που χρειάζονται για να κάνουν τη<br />
δουλειά τους αλλά ταυτόχρονα, περιορίστε τη πρόσβαση<br />
σε εφαρμογές που είναι επικίνδυνες και που αποτελούν<br />
χάσιμο χρόνου. Για παράδειγμα, μπορείτε να αποκλείσετε<br />
την πρόσβαση σε εφαρμογές κοινωνικής δικτύωσης ή<br />
εφαρμογές instant messaging.<br />
3) Διευκολύνετε την ασφαλή περιήγηση για τις εφαρμογές<br />
που χρησιμοποιούνται συχνά - Δημιουργήστε ένα ασφαλές<br />
περιβάλλον περιήγησης για το περιβάλλον εργασίας<br />
σας προσθέτοντας ένα επιπλέον επίπεδο ασφάλειας γύρω<br />
από το σύνολο των εφαρμογών και ιστοσελίδων που χρησιμοποιούνται<br />
περισσότερο από τους χρήστες σας.<br />
Βήμα # 3 - Προστασία εταιρικών δεδομένων<br />
Προκειμένου οι εργαζόμενοι που μετακινούνται συχνά να<br />
είναι παραγωγικοί, είναι απαραίτητο να έχουν πρόσβαση<br />
στα εταιρικά δεδομένα από τις φορητές τους συσκευές.<br />
Μερικά από αυτά τα εταιρικά δεδομένα, για παράδειγμα,<br />
security<br />
27
T<strong>52</strong>11/12.2017<br />
Issue<br />
αφορούν το τμήμα πωλήσεων ή αποτελούν οικονομικά<br />
στοιχεία που ενδέχεται να είναι ευαίσθητα ή ίσως και<br />
εμπιστευτικά και απαιτείται να είναι προστατευμένα. Είναι<br />
πλέον σαφές ότι στην εποχή μας οι εργαζόμενοι εργάζονται<br />
πολύ συχνά πλέον από τις φορητές τους συσκευές<br />
αφού χρησιμοποιούν συνεχώς την εφαρμογή ηλεκτρονικού<br />
ταχυδρομείου, ανταλλάσσουν μηνύματα IM (instant<br />
messaging) ή βλέπουν αρχεία απευθείας στο σύννεφο<br />
μέσω μία εφαρμογής online cloud storage. Αυτό σημαίνει<br />
ότι τα εταιρικά σας δεδομένα διατρέχουν μεγάλο κίνδυνο,<br />
εκτός και αν λάβετε τα απαραίτητα μέτρα για να διασφαλίσετε<br />
ότι είναι προστατευμένα και ασφαλή:<br />
1) Ασφαλίστε το ηλεκτρονικό ταχυδρομείο, τα αρχεία σας<br />
και πολλά άλλα με τη χρήση μίας απομονωμένης περιοχής<br />
ασφαλούς περιεχομένου (secure container). Τα container<br />
ηλεκτρονικού ταχυδρομείου απομονώνουν την εταιρική αλληλογραφία<br />
στη φορητή συσκευή του χρήστη και έτσι δεν<br />
χρειάζεται να ανησυχείτε για την ασφάλεια των μηνυμάτων.<br />
Τα μηνύματα ηλεκτρονικού ταχυδρομείου επίσης κρυπτογραφούνται<br />
για προστασία από την πρόσβαση τρίτων και τα<br />
συνημμένα αρχεία στα emails ανοίγουν στο container, ώστε<br />
να αποφευχθεί η διαρροή σε εφαρμογές τρίτων. Με αυτό το<br />
τρόπο θα είστε σε θέση να διασφαλίσετε ότι η κοινή χρήση<br />
αρχείων και οποιαδήποτε άλλη συνεργασία (collaboration)<br />
ή ανταλλαγή πληροφοριών πραγματοποιείται σε ασφαλή<br />
container και χώρους εργασίας (workspaces).<br />
2) Τυποποιήστε τη πρόσβαση στο cloud και διασφαλίστε<br />
τη συνεργασία (collaboration) στις cloud υπηρεσίες.<br />
Είτε θέλετε είτε όχι, οι χρήστες σας ενδέχεται να μοιράζονται<br />
έγγραφα χρησιμοποιώντας δημόσιες υπηρεσίες<br />
αποθήκευσης cloud όπως για παράδειγμα το Dropbox, το<br />
Google Drive, το Box κα. Βεβαιωθείτε ότι έχετε μια καλά<br />
καθορισμένη πολιτική που αφορά το cloud storage και<br />
παράλληλα πολιτικές για την προστασία των αρχείων και<br />
εργαλεία κρυπτογράφησης αρχείων.<br />
3) Προστατεύστε τις σημαντικές εξατομικευμένες<br />
επιχειρησιακές εφαρμογές. Προσθέστε ένα επιπλέον<br />
επίπεδο δυνατοτήτων ασφάλειας και διαχείρισης στις επιχειρησιακές<br />
σας εφαρμογές, όπως π.χ. στην υποστήριξη<br />
πελατών ή στη διαχείριση πελατών (CRM), χρησιμοποιώντας<br />
τεχνικές είτε μέσω της χρήση ειδικών βιβλιοθηκών<br />
που μπορούν να ενσωματωθούν στις εφαρμογές κατά την<br />
ανάπτυξή τους (SDK) ή χρησιμοποιώντας ενός συστήματος<br />
«περιτύλιξης» που αποτελεί μία λύση ασφάλειας που<br />
περιβάλλει αυτόματα τις πολιτικές ασφαλείας γύρω από<br />
μεμονωμένες εφαρμογές (App Wrapping).<br />
Συμπέρασμα<br />
Είναι δεδομένο ότι οι εταιρίες έρχονται ολοένα και πιο κοντά<br />
στο να υιοθετήσουν για χάρη της ευκολίας και της αυξημένης<br />
παραγωγικότητας την φορητότητα και το BYOD (Bring<br />
Your Own Device), δηλαδή τη χρήση προσωπικών φορητών<br />
συσκευών στην εργασία. Επομένως, η αγωνία να εξασφαλιστεί<br />
η ασφάλεια σε συνδυασμό με τη φορητότητα και την<br />
παραγωγικότητα γίνεται όλο και μεγαλύτερη. Όμως, με τα<br />
συστήματα Διαχείρισης της Επιχειρησιακής Φορητότητας<br />
και τα τρία παραπάνω πολύτιμα στοιχεία μπορούν να συνυπάρχουν.<br />
Μία καλή λύση Διαχείρισης Επιχειρησιακής Φορητότητας<br />
(EMM, Enterprise Mobility Management) μπορεί<br />
να επιτρέψει σε επιχειρήσεις και οργανισμούς να διατηρήσουν<br />
σε ξεχωριστά σημεία την προσωπική και επαγγελματική<br />
ταυτότητα των υπαλλήλων τους.<br />
Η λύση Sophos Mobile είναι μία από τις περισσότερο βραβευμένες<br />
λύσεις Διαχείρισης Επιχειρησιακής Φορητότητας για<br />
εταιρείες και οργανισμούς που θέλουν να επενδύουν τον λιγότερο<br />
δυνατό χρόνο και τη λιγότερη δυνατή προσπάθεια για τη<br />
διαχείριση και την ασφάλεια των φορητών συσκευών. Τώρα,<br />
μπορείτε να διαχειριστείτε τις φορητές συσκευές μέσω του εύχρηστου,<br />
web-based και ενοποιημένου interface διαχείρισης<br />
του Sophos Central στο Cloud ενώ παράλληλα διαχειρίζεστε<br />
την ασφάλεια των τερματικών συσκευών, του δικτύου ή του<br />
διακομιστή σας χρησιμοποιώντας την ίδια ακριβώς κονσόλα,<br />
κάτι ιδιαίτερα καινοτόμο και μεγάλο σημείο διαφοροποίησης<br />
από τον ανταγωνισμό. Χάρη στην κορυφαία προστασία δεδομένων,<br />
την ολοκληρωμένη ασφάλεια, την εξαιρετική σχέση<br />
ποιότητας / τιμής και τις ευέλικτες επιλογές διαχείρισης, η λύση<br />
Sophos Mobile είναι ο καλύτερος τρόπος για να επιτρέψετε την<br />
χρήση φορητών συσκευών στο εργασιακό περιβάλλον της<br />
επιχείρησής σας, ενώ παράλληλα διατηρείτε τους χρήστες σας<br />
παραγωγικούς, τα προσωπικά τους δεδομένα απολύτως ιδιωτικά<br />
και βεβαίως τα εταιρικά δεδομένα σας ασφαλή.<br />
28 security
security<br />
29
T<strong>52</strong>11/12.2017<br />
Issue<br />
Μια λύση MDM δεν είναι επιλογή,<br />
αλλά αναγκαιότητα<br />
O σημαντικός ρόλος των φορητών συσκευών επικοινωνίας στη διαμόρφωση του τρόπου εργασίας<br />
είναι αναμφισβήτητος .Όταν όμως η χρήστη των κινητών τηλεφώνων για τις εταιρικές διεργασίες<br />
συνοδεύεται και με μια μέριμνα για τη προστασία των εταιρικών δεδομένων μέσω λύσεων MDM,<br />
τότε γίνεται ακόμα περισσότερο αποτελεσματική και αποδοτική.<br />
όλις έγιναν προσιτά τα κινητά τηλέφωνα<br />
μ<br />
πριν 20 περίπου χρόνια, έγιναν αμέσως<br />
αναπόσπαστο μέρος της καθημερινότητάς<br />
μας. Σύντομα έγινε ξεκάθαρο ότι θα διαδραμάτιζαν<br />
σημαντικό ρόλο στην μελλοντική<br />
διαμόρφωση του τρόπου εργασίας. Οι χρήστες ελευθερώθηκαν<br />
από τα παραδοσιακά γραφεία και μπόρεσαν να<br />
αυξήσουν την παραγωγικότητας τους δημιουργώντας ένα<br />
νέο είδος εργαζομένου που έχει πιά όλα τα εργαλεία σε μια<br />
μόνο συσκευή. Οι νέες αυτές στρατιές χρηστών έχουν κυριολεκτικά<br />
στις τσέπες τους εταιρικά δεδομένα δημιουργώντας<br />
διάφορα ενδεχόμενα και απειλές.<br />
Ως εκ τούτου, μια λύση MDM δεν είναι επιλογή, αλλά<br />
αναγκαιότητα. H Cysoft διαθέτει δύο σχετικές λύσεις.<br />
Η μια συμπληρώνει την άλλη (Mobile Device Manager<br />
Plus της Manage Engine για διαχείριση και Trend Micro<br />
Mobile <strong>Security</strong>, μέρος του Endpoint Protection για προστασία<br />
από ιούς και κακόβουλο λογισμικό) δημιουργώντας<br />
μια μοναδικά αποτελεσματική λύση.<br />
Mobile Device Manager Plus<br />
Το Mobile Device Manager Plus προσφέρει μια πληθώρα<br />
δυνατοτήτων σε όλο το φάσμα της διαχείρισης και<br />
ασφάλειας κινητών συσκευών αντιμετωπίζοντας το θέμα<br />
αποτελεσματικά και οικονομικά.<br />
Έξυπνη Διαχείριση – Υποστηρίζει καταγραφή συσκευών<br />
Over-The-Air (OTA) για εξυπνότερη διαχείριση συσκευών,<br />
μαζική καταχώριση συσκευών με αρχείο CSV καθώς και<br />
αυτοματοποιημένη μαζική εγγραφή συσκευών iOS και<br />
Android με Apple DEP και Samsung KNOX. Επίσης προσφέρει<br />
δυνατότητα πιστοποίησης εγγραφής με κωδικό<br />
One-Time ή / και με τα στοιχεία Active Directory του χρήστη.<br />
Παράλληλα επιτρέπει εγγραφή συσκευών χρησιμοποιώντας<br />
self-service portal και εγγραφή και διαχείριση<br />
πολλαπλών συσκευών για τον ίδιο χρήστη.<br />
Προηγμένη Διαχείριση Προφίλ – Προσφέρει διανομή<br />
πόρων μέσω πολιτικών ανάλογα με τον χρήστη καθώς και<br />
δυνατότητα περιορισμού χρήσης ορισμένων λειτουργιών<br />
– πιθανών απειλών όπως κάμερα, YouTube, Safari κλπ.<br />
30 security
Αλεξία Χριστοφή<br />
Managing Director CYSOFT<br />
www.cysoſt.gr<br />
Επιτρέπει τη ρύθμιση επαφών ηλεκτρονικού ταχυδρομείου,<br />
επαφών, Wi-Fi και VPN over-the-air (OTA) και διαθέτει<br />
δυνατότητα διαχώρισης συσκευών σε ομάδες βάση ιεραρχία,<br />
τμήμα κλπ.<br />
Ολοκληρωμένη Διαχείρισης Κινητών Συσκευών –<br />
Υποστηρίζει την παρακολούθηση συσκευών για διασφάλιση<br />
ενημερώσεων και επιτυγχάνει διάγνωση προβλημάτων<br />
συσκευών, χρηστών ή εφαρμογών από μια κεντρική<br />
πλατφόρμα. Παράλληλα έχει δυνατότητα επαναφοράς<br />
ξεχασμένων κωδικών πρόσβασης και ενημέρωσης ρυθμίσεων<br />
σε πραγματικό χρόνο.<br />
Διαχείριση mobile εφαρμογών – Παρέχει διαχείριση/διανομή<br />
εξωτερικών και εσωτερικών εφαρμογών και εφαρμογών<br />
App Store, ενώ μέσω του Apple Volume Purchase<br />
Program (VPP)/ Android for Work(AfW) προσφέρει απρόσκοπτη<br />
διανομή εμπορικών εφαρμογών. Επίσης, βεβαιώνει<br />
ότι οι συσκευές χρησιμοποιούνται μόνο για τους απαιτούμενους<br />
σκοπούς με τη χρήση του App Lock / Kiosk Mode<br />
και έχει τη δυνατότητα να εγκαθιστά εφαρμογές σιωπηλά<br />
χωρίς παρέμβαση του χρήστη. Εφαρμόζει ρυθμίσεις και παραμέτρους<br />
εφαρμογών κατά τη διανομή, χρησιμοποιώντας<br />
Managed App Configurations, περιορίζει τις εφαρμογές σε<br />
«κουτάκια» για να αποτραπεί η ανάμειξη των δεδομένων<br />
των εφαρμογών και “μαυροπινακίζει” εφαρμογές που δεν<br />
συμμορφώνονται με τους κανονισμούς.<br />
Πλήρης διαχείριση ηλεκτρονικού ταχυδρομείου<br />
– Εφαρμογή πολιτικών ασφάλειας e-mail σε συσκευές<br />
Over-The-Air (OTA) με δυνατότητα να περιορίζει και να<br />
ομαδοποιεί μηνύματα ηλεκτρονικού ταχυδρομείου για την<br />
αποτροπή υποκλοπών. Παράλληλα ελέγχει τις συσκευές<br />
από τις οποίες είναι δυνατή η πρόσβαση στον εταιρικό λογαριασμό<br />
ηλεκτρονικού ταχυδρομείου και περιορίζει τον<br />
χρήστη να κάνει οποιεσδήποτε αλλαγές στον λογαριασμό<br />
ηλεκτρονικού ταχυδρομείου. Ταυτόχρονα, προβάλει και<br />
αποθηκεύει συνημμένα απευθείας στην εφαρμογή MDM.<br />
Διαχείριση υψηλής ασφάλειας συσκευών – Υποστηρίζει<br />
ελεγχόμενη περιπλοκότητα για τους κωδικούς<br />
πρόσβασης για καλύτερη προστασία και επιβάλει περιορισμούς<br />
σε λειτουργίες όπως ενεργοποίηση / απενεργοποίηση<br />
του icloud, Passbook, iTunes κ.λπ. Μπορείτε<br />
ακόμα να προστατεύστε τα εταιρικά δεδομένα εμποδίζοντας<br />
την πρόσβαση μη εξουσιοδοτημένων συσκευών στο<br />
εταιρικό δίκτυο και να παρακολουθήσετε την γεωγραφική<br />
θέσης των διαχειριζόμενων συσκευών ανά πάσα στιγμή.<br />
Επίσης, παρέχει απομακρυσμένο κλείδωμα συσκευής για<br />
την αποφυγή της μη εξουσιοδοτημένης χρήσης απολεσθέντων<br />
ή κλεμμένων συσκευών και επιτυγχάνει διαγραφή<br />
εταιρικών δεδομένων ή ολοκληρωτική διαγραφή συσκευής<br />
προς αποφυγή απώλειας / κλοπής δεδομένων.<br />
Asset Tracking – Παρακολούθηση συσκευών και δημιουργία<br />
λεπτομερών αναφορών για την καταγραφή λεπτομερειών<br />
κινητών συσκευών - πιστοποιητικά, εγκατεστημένες εφαρμογές,<br />
χρήση μνήμης κ.λπ., λεπτομερείς αναλυτικές αναφορές<br />
για απόθεμα υλικού και λογισμικού, καθώς και αναφορές<br />
σε jail-broken ή rooted συσκευές για τη διασφάλιση της συμμόρφωσης.<br />
Επίσης υποστηρίζει δημιουργία αναφορών για<br />
εφαρμογές από συσκευές, συσκευές ανά μοντέλο κ.λπ.<br />
Trend Micro Mobile <strong>Security</strong><br />
Το Trend Micro Mobile <strong>Security</strong> προφέρει πλήρη ορατότητα<br />
και έλεγχο των φορητών συσκευών, εφαρμογών<br />
και δεδομένων μέσω μιας ενιαίας κονσόλας, οικονομικά<br />
και απλά.<br />
Κεντρική διαχείριση - Παρέχει κεντρική διαχείριση<br />
απειλών και διαχείρισης πολιτικής DLP σε όλα τα επίπεδα<br />
με το Trend Micro Control Manager. Επίσης, προσφέρει<br />
άμεση εικόνα χρηστών και συσκευών/υπολογιστών με το<br />
ιστορικό απειλών σε βάθος χρόνου συμβάλλοντας στον<br />
εντοπισμό προηγμένων απειλών που ενδέχεται να στοχεύουν<br />
συγκεκριμένους χρήστες. Υποστηρίζει ομοιόμορφη<br />
επιβολή πολιτικών προστασίας δεδομένων σε όλα όλο<br />
το δίκτυο και εγγραφή συσκευών με επιλογή διαδικτυακά,<br />
security<br />
31
T<strong>52</strong>11/12.2017<br />
Issue<br />
με κώδικα QR ή iTunes download. Προσφέρει άμεση και<br />
συνοπτική εικόνα όλων των συσκευών εγγεγραμμένες ή<br />
μη και παρέχει ορατότητα στον αριθμό, τους τύπους και<br />
τη διαμόρφωση των συσκευών που έχουν πρόσβαση σε<br />
εταιρικούς πόρους<br />
Ασφάλεια κινητής συσκευής - Αξιοποιεί την κορυφαία<br />
προστασία της Trend Micro με βάση το cloud-based Trend<br />
Micro Smart Protection Network . Εντοπίζει και αποκλείει<br />
κακόβουλες εφαρμογές, αρχεία δεδομένων και<br />
προσφέρει υπηρεσίες Web Reputation. Με το IDS εντοπίζει<br />
επιθέσεις στη συσκευή μέσω εφαρμογών δικτύου, θυρών<br />
και υπηρεσιών, ενώ παρακολουθεί, αποκλείει και καταγράφει<br />
κλήσεις, SMS και MMS που αποστέλλονται από και<br />
προς συσκευές βάσει πολιτικής χρήστη.<br />
Προστασία δεδομένων - Προστατεύει τα εταιρικά δεδομένα<br />
με απομακρυσμένο κλείδωμα και διαγραφή, επιλεκτική<br />
διαγραφή ή εντοπισμός συσκευών σε περίπτωση<br />
κλεμμένου ή χαμένου τηλεφώνου. Επιβάλλει κρυπτογράφηση<br />
δεδομένων και συμμόρφωση και ειδοποιεί τους διαχειριστές<br />
για jailbroken ή μη εξουσιοδοτημένες συσκευές.<br />
Εξουσιοδοτεί τον διαχειριστή να κλειδώνει ή να επιτρέπει<br />
λειτουργίες κινητής συσκευής, όπως κάμερες, συσκευές<br />
ανάγνωσης καρτών Bluetooth®, 3G / 4G και SD ενώ<br />
ενημερώνει για συσκευές που δεν έχουν εγγραφεί, αλλά<br />
εξακολουθούν να έχουν πρόσβαση στο εταιρικό δίκτυο.<br />
Επίσης, επιτρέπει την ανάπτυξη, την διαχείριση και την<br />
ρύθμιση των παραμέτρων του Knox σε συσκευές συμβα-<br />
τές με Samsung Knox<br />
Διαχείριση εφαρμογών για κινητά - Αποτρέπει τη χρήση<br />
μη εξουσιοδοτημένων, επικίνδυνων εφαρμογών σε συσκευές<br />
συνδεδεμένες στο δίκτυο με blacklist και whitelist.<br />
Παρέχει διαχείριση αποθεμάτων και αναφορές για καλύτερη<br />
ορατότητα των εφαρμογών που χρησιμοποιούνται στις συσκευές,<br />
τις ομάδες και την εταιρεία. Επίσης, επιτρέπει την διαχείριση<br />
ή και να αποκλείει συγκεκριμένους τύπους εφαρμογών<br />
που βασίζονται σε κατηγορίες με το νέο Category<br />
App Management. Ενεργοποιεί εφαρμογές σε συσκευές<br />
το Corporate App Store για να επιταχύνει τη χρήση προαιρετικών<br />
ή / και απαιτούμενων επιχειρηματικών εφαρμογών<br />
- με προγράμματα αγοράς όγκου ενσωματωμένα<br />
στο app store. Αναγνωρίζει και αποκλείει εφαρμογές που<br />
δημιουργούν κίνδυνο ασφάλειας ή ιδιωτικού απορρήτου,<br />
συσχετίζοντας τα εγκατεστημένα δεδομένα της εφαρμογής<br />
με την υπηρεσία Trend Micro Mobile Application Reputation<br />
Service και παράλληλα ενεργοποιεί την διαχείριση του<br />
Volume Purchase Programs σε συσκευές iOS<br />
Διαχείριση συσκευών κινητής τηλεφωνίας - Επιτρέπει<br />
εξ’ αποστάσεως εγγραφή, παρέχει και απομακρύνει<br />
συσκευές με ρυθμίσεις εταιρικού δικτύου, όπως VPN,<br />
Exchange ActiveSync και Wi-Fi®. Παράλληλα, διευκολύνει<br />
την ανάπτυξη υπηρεσιών Apple TV και AirPrint για χρήστες<br />
του iOS και υποστηρίζει εντοπισμό συσκευών και διαχείριση<br />
αποθεμάτων για την εξασφάλιση και παρακολούθηση<br />
συσκευών που ανήκουν σε εταιρείες και εργαζόμενους<br />
εγγεγραμμένα ή μη. Επιτρέπει τις πολιτικές διασταυρούμενων<br />
συσκευών και ομάδων για συνεπή εφαρμογή των<br />
απαιτήσεων ασφάλειας και διαχείρισης και προσφέρει διαχείριση<br />
εξουσιοδοτημένων συσκευών και ανάπτυξη σχετικών<br />
πολιτικών μέσω της ταυτότητας του International<br />
Mobile Equipment Identity (IMEI), Wi-Fi, και Mac address.<br />
Τέλος, περιορίζει τις λειτουργίες του τηλεφώνου, όπως<br />
τροποποίηση λογαριασμού, περιαγωγή, η AirDrop, έλεγχο<br />
δεδομένων, η οθόνη κλειδώματος, η αντιστοίχιση, Find My<br />
Friends και πολλά άλλα.<br />
32 security
Νίκος Γεωργόπουλος<br />
Cyber Privacy Risks Insurance Advisor, Cromar Coverholder at Lloyd’s,<br />
Email: Nikos.georgopoulos@cromar.gr, www.cyberinsurancequote.gr<br />
Η ασφάλιση cyber insurance<br />
ως εργαλείο διαχείρισης κινδύνου<br />
για κάθε εταιρία.<br />
Σύμφωνα με τα στοιχεία των τελευταίων ετών η παραδοσιακή προστασία που βασίζεται σε<br />
signature-based τεχνικές είναι αναποτελεσματική ενάντια στις σύγχρονες επιθέσεις, οι οποίες<br />
είναι επίμονες, πολυμορφικές και στοχεύουν σε zero-day vulnerabilities.<br />
ασφάλιση Cyber Insurance αποτελεί ένα κρίσιμο<br />
κομμάτι της στρατηγικής για τη διαχείρι-<br />
Η<br />
ση των κινδύνων, που πρέπει να χρησιμοποιεί<br />
κάθε εταιρεία για να διαχειριστεί τον υπολειπόμενο<br />
κίνδυνο (residual risk), που δεν μπορεί να<br />
μειώσει με τη χρήση διαδικασιών και πολιτικών διαχείρισης.<br />
Λαμβάνοντας υπόψη ότι 100% ασφάλεια δεν υπάρχει, οι<br />
εταιρείες θα πρέπει να εξετάσουν τη δυνατότητα μεταφοράς<br />
του κινδύνου που απομένει σε ασφαλιστικά προϊόντα cyber<br />
insurance. Ενώ η ασφάλιση δεν μπορεί να εμποδίσει ένα περιστατικό<br />
παραβίασης ασφάλειας, μπορεί, εκτός από την κάλυψη<br />
των οικονομικών επιπτώσεων, να βοηθήσει στην καλύτερη<br />
υλοποίηση του πλάνου αντιμετώπισης περιστατικών (Incident<br />
Response Plan) παραβίασης συστημάτων και απώλειας προσωπικών<br />
δεδομένων παρέχοντας εξειδικευμένες ομάδες ειδικών<br />
με εμπειρία στη διαχείριση και τις απαραίτητες υποδομές<br />
όταν εμφανίζεται συμβάν, μειώνοντας τις επιπτώσεις της παραβίασης<br />
στους πελάτες και τη φήμη της εταιρείας.<br />
Ας δούμε τι νέο φέρνει ο Γενικός Κανονισμός για την Προστασία<br />
των Δεδομένων και ποιοί παράγοντες θα βοηθήσουν<br />
την ανάπτυξη της Ευρωπαϊκής αγοράς ασφάλισης Cyber<br />
Insurance, η οποία εκτιμάται ότι θα φθάσει τα €900εκ το<br />
2020 από €190εκ το 2016.<br />
Ο Γενικός Κανονισμός για την προστασία των δεδομένων<br />
απαιτεί την λήψη τεχνικών και οργανωτικών μέτρων από<br />
κάθε εταιρία για την προστασία των δεδομένων που διαχειρίζεται<br />
και απαιτεί γνωστοποίηση των περιστατικών<br />
παραβίασης συστημάτων και απώλειας δεδομένων εντός<br />
72ωρών από την ανακάλυψή τους στην αρμόδια αρχή.<br />
Επίσης, προβλέπει πρόστιμα για τις εταιρείες που δεν κατάφεραν<br />
να δια- τηρήσουν την ασφάλεια των πληροφοριών<br />
που διαχειρίζονται, τα οποία μπορούν να φθάσουν έως το<br />
4% του τζίρου τους ή 20 εκατ. ευρώ, όποιο από τα δύο είναι<br />
μεγαλύτερο. Η εφαρμογή των παραπάνω προστίμων θα<br />
ισχύει μετά τις 25 Μαΐου 2018. Ενδυναμώνει τα δικαιώματα<br />
του Ευρωπαίου πολίτη και του δίνει το δικαίωμα να ενημερώνεται<br />
από τις εταιρίες που συνεργάζεται αν υπήρξαν περιστατικά<br />
παραβίασης και την δυνατότητα διεκδίκησης αποζημιώσεων<br />
από αυτές. Οι παράγοντες που θα βοηθήσουν<br />
στην ανάπτυξη της συγκεκριμένης αγοράς είναι:<br />
● Η εφαρμογή του Κανονισμού ο οποίος δημιουργεί το νέο<br />
πλαίσιο διαχείρισης προσωπικών δεδομένων για όλες τις<br />
εταρίες που διατηρούν δεδομένα Ευρωπαϊων πολιτών, η<br />
υποχρέωση γνωστοποίησης και τα πρόστιμα που εισάγει<br />
● Η ευαισθητοποίηση των πελατών και των εταιριών, ήδη<br />
ο κίνδυνος βρίσκεται στην 14η θέση κατάταξης και αναμένεται<br />
να φθάσει στην 8η θέση το 2018<br />
● Η αύξηση του αριθμού των περιστατικών που θα γίνονται<br />
πλέον γνωστά λόγω της υποχρεωτικής γνωστοποίησης<br />
● Η αύξηση του κόστους διαχείρισης των περιστατικών<br />
αυτών λόγω της εισαγωγής του Κανονισμού, σήμερα το<br />
κόστος είναι περίπου 35% μικρότερο από το αντίστοιχο<br />
στις Ηνωμένες Πολιτείες<br />
Ο Κανονισμός θα αναγκάσει επιπλέον τις εταιρείες να συμμορφωθούν<br />
στα νέα δεδομένα και να προετοιμαστούν κατάλληλα<br />
επιλέγοντας προϊόντα και υπηρεσίες προστασίας των πληροφοριών<br />
που διαχειρίζονται που θα τις βοηθήσουν να αντιμετωπίσουν<br />
αποτελεσματικά μελλοντικά περιστατικά, δημιουργώντας<br />
τις κατάλληλες συνθήκες που θα εξασφαλίσουν την<br />
ασφαλισιμότητα των εταιρειών και την ανάπτυξη της αγοράς<br />
του cyber insurance.<br />
security<br />
33
T<strong>52</strong>11/12.2017<br />
Issue<br />
GDPR: Ο Μάιος είναι κοντά, εσείς<br />
πόσο έτοιμοι είστε;<br />
Η αλήθεια είναι ότι ο καιρός πλησιάζει ολοένα και πιο κοντά στην ημερομηνία που έχει τεθεί<br />
επίσημα από την Ευρωπαϊκή Ένωση ως καταληκτική για την εφαρμογή του περίφημου Γενικού<br />
Κανονισμού για την Προστασία Προσωπικών Δεδομένων, κοινώς γνωστό και ως General Data<br />
Protection Regulation (GDPR).<br />
λοι μας, ανεξαρτήτως εταιρικής δραστηριότητας,<br />
φύσης και κλάδου, έχουμε ενημερωθεί<br />
Ο<br />
από τα ποικίλα ενημερωτικά έντυπα, email<br />
εταιριών, σεμινάρια παντός τύπου και διαλέξεις<br />
για το GDPR. Υπάρχουν όμως ακόμη αρκετά<br />
ερωτηματικά τόσο για τον τρόπο με τον οποίο θα εφαρμοστεί<br />
ο Γενικός Κανονισμός GDPR στην πράξη, όσο και<br />
για την πρωτοφανή επιβολή προστίμων τόσο μεγάλου ύψους.<br />
Ήδη από τις 27 Απριλίου του 2016, ψηφίστηκε από το Ευρωπαϊκό<br />
Κοινοβούλιο ο εν λόγω Κανονισμός για την προστασία<br />
των φυσικών προσώπων έναντι της επεξεργασίας των<br />
δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη<br />
κυκλοφορία των δεδομένων αυτών και την κατάργηση της<br />
οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία<br />
Δεδομένων), ο οποίος τέθηκε σε ισχύ έναν μήνα αργότερα,<br />
τον Μάιο του ιδίου έτους. Έχει δοθεί όμως μια περίοδος χάριτος<br />
δύο ετών για να εφαρμοστεί ως νομοθέτημα άμεσης<br />
εφαρμογής στις χώρες μέλη της Ευρωπαϊκής Ένωσης, τον<br />
ερχόμενο Μάιο και συγκεκριμένα στις 25 Μαΐου του 2018.<br />
Ο Γενικός Κανονισμός GDPR, ουσιαστικά δεν είναι κάτι εντελώς<br />
καινούργιο αφού προϋπήρχε ήδη ο 95/46/ΕΚ και είχε<br />
τεθεί σε ισχύ στην Ελλάδα στο πλαίσιο του 2472/97, βάζοντας<br />
γερές βάσεις για έννοιες όπως “δεδομένα προσωπικού χαρακτήρα”,<br />
“ευαίσθητα προσωπικά δεδομένα”, “επεξεργασία<br />
προσωπικών δεδομένων”, “υπεύθυνος επεξεργασίας”, “εκτελών<br />
την επεξεργασία” αλλά και πολλές επιπλέον έννοιες,<br />
που βεβαίως συναντάμε και στο GDPR. Ποια επομένως η<br />
ειδοποιός διαφορά μεταξύ GDPR και 95/46/ΕΚ; Η μια<br />
βασική παράμετρος είναι το ύψος των προστίμων, τα οποία<br />
θα μπορούν να αγγίζουν το 2-4% του παγκόσμιου τζίρου<br />
ή τα 20 εκατομμύρια ευρώ (οποιοδήποτε από τα δύο ποσά<br />
είναι υψηλότερο), της εκάστοτε εταιρείας που έχει παραβιάσει<br />
ακούσια ή εκούσια τις αρχές της επεξεργασίας δεδομένων<br />
προσωπικού χαρακτήρα φυσικών προσώπων, οι οποίες<br />
αποτυπώνονται αναλυτικά στα άρθρα του GDPR. Η δεύτερη<br />
παράμετρος είναι η αυτή καθαυτή επιβολή των προστίμων.<br />
Μεταξύ άλλων, μια σημαντική προσθήκη στον Γενικό Κανονισμό<br />
GDPR είναι και η έννοια του Υπεύθυνου Προστασίας<br />
Δεδομένων (Data Protection Officer-DPO). Ο<br />
DPO έχει ρόλο διαμεσολαβητή μεταξύ όλων των εμπλεκομένων<br />
μερών (π.χ. Εποπτική Αρχή, υποκείμενα δεδομένων,<br />
τμήματα και υπηρεσίες της εταιρείας). Πρόκειται για<br />
τον άνθρωπο εκείνο ο οποίος θα ενημερώνει τους χρήστες<br />
των οποίων τα δεδομένα επεξεργάζεται η εταιρεία αλλά<br />
και θα είναι εκείνος ο οποίος έρχεται σε επικοινωνία με την<br />
Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα<br />
(ΑΠΔΠΧ) για τυχόν ενημερώσεις συμβάντων, επικοινωνία<br />
για επικείμενους ελέγχους και λοιπές διαδικασίες.<br />
Πέρα όμως από τις νέες έννοιες και τα πλαίσια που<br />
έχουν τεθεί για την ορθή εφαρμογή του Γενικού Κανονισμού<br />
GDPR, το πιο σημαντικό κομμάτι για την ελληνική<br />
επιχειρηματικότητα είναι ότι τίθενται τα θεμέλια για μια<br />
ασφαλή πλέον εταιρική υποδομή πληροφορικής,<br />
έστω και με την μορφή της επιβολής.<br />
34 security
Του Κωνσταντίνου Βαβούση<br />
Strategic Manager, Trust Information Technologies<br />
kv@trust-it.gr<br />
Υπογραμμίζουμε ότι υπόλογες απέναντι στον Γενικό Κανονισμό<br />
GDPR είναι οι εταιρείες εκείνες οι οποίες διαχειρίζονται<br />
προσωπικά δεδομένα πολιτών της ΕΕ, είτε εδρεύουν<br />
στην Ε.Ε. είτε όχι. Όπως προβλέπει ο ίδιος ο Κανονισμός<br />
και λόγω των υψηλών προστίμων, οι επιχειρήσεις δεν θα<br />
έχουν άλλη επιλογή πέραν της συμμόρφωσης. Τα υψηλά<br />
πρόστιμα και οι σοβαρές κυρώσεις είναι ένα ρίσκο που<br />
κανείς δεν μπορεί να αγνοήσει. Επομένως, όσο το δυνατόν<br />
γρηγορότερα ξεκινήσει μια εταιρεία να προετοιμάζεται<br />
τόσο πιο γρήγορα θα είναι έτοιμη για το GDPR.<br />
Οι εταιρείες πλέον καλούνται να ασχοληθούν σοβαρά<br />
με την προστασία των πληροφοριακών τους συστημάτων<br />
και την προάσπιση των δεδομένων τους,<br />
κάνοντας τακτικά ελέγχους ασφάλειας δικτύων και υποδομών,<br />
υλοποιώντας πολιτικές ασφάλειας και διαδικασίες<br />
για την διαχείριση τόσο των εταιρικών πόρων όσο και των<br />
δεδομένων, αλλά και εκπαιδεύοντας τους χρήστες πληροφοριακών<br />
συστημάτων για την ορθή χρήση της εταιρικής<br />
υποδομής και των δεδομένων που διαχειρίζονται.<br />
Ένα επιπλέον σημαντικό κομμάτι που ακόμη δεν έχει αποτυπωθεί<br />
επαρκώς στα διοικητικά συμβούλια των υπόλογων<br />
εταιρειών στο GDPR, είναι ο εναπομείναντας κίνδυνος<br />
(residual risk) τον οποίο η εταιρεία καλείται να διαχειριστεί,<br />
ύστερα από την υλοποίηση όλων εκείνων των οργανωτικών<br />
και τεχνικών μέτρων ασφάλειας. Σε αυτό το σημείο έρχονται<br />
να παράσχουν τις υπηρεσίες τους ασφαλιστικές εταιρείες στα<br />
πλαίσια του cyber insurance, για την ανάληψη του κινδύνου<br />
ή των κινδύνων που αδυνατεί να καλύψει η εταιρεία. Πρόκειται<br />
για ένα πολύ λεπτό σημείο στο οποίο πλέον η εκάστοτε<br />
εταιρεία καλείται να αποφασίσει αν συμφέρει περισσότερο να<br />
εφαρμόσει επιπλέον τεχνικά και οργανωτικά μέτρα για την<br />
ελάττωση του κινδύνου περαιτέρω ή συμφέρει να καλυφθεί<br />
μέσω κάποιου ασφαλιστικού προγράμματος.<br />
Παρακάτω παρατίθενται ορισμένες οδηγίες οι οποίες θα<br />
σας βοηθήσουν στην προετοιμασία σας σχετικά με την<br />
συμμόρφωση με τον Γενικό Κανονισμό GDPR:<br />
● Δέσμευση της διοίκησης για την προστασία των προσωπικών<br />
δεδομένων και ανάθεση ευθυνών.<br />
● Αξιολόγηση των δραστηριοτήτων της εταιρείας και<br />
προσδιορισμός των προσωπικών δεδομένων προς<br />
επεξεργασία.<br />
● Καθορισμός Υπεύθυνου Προστασίας Δεδομένων (Data<br />
Protection Officer - DPO) εφόσον αυτό είναι απαραίτητο.<br />
● Υιοθέτηση οργανωτικών και τεχνικών μέτρων ασφάλειας<br />
όπως πολιτικές ασφάλειας, εγκατάσταση και παραμετροποίηση<br />
υλικού και λογισμικού ασφάλειας, κατάρτιση<br />
πλάνου διαχείρισης περιστατικών ασφάλειας, τακτικοί<br />
●<br />
●<br />
●<br />
●<br />
●<br />
●<br />
●<br />
●<br />
●<br />
έλεγχοι ασφάλειας, ανάλυση/εκτίμηση αντικτύπου σχετικά<br />
με την προστασία προσωπικών δεδομένων (Data<br />
Privacy Impact Assessment DPIA), αξιολόγηση και<br />
ανάλυση κινδύνων (Risk Assessment) κλπ.<br />
Εκπαίδευση εργαζομένων ανά τακτά χρονικά διαστήματα<br />
σε θέματα ασφάλειας.<br />
Καθορισμός σκοπού για την επεξεργασία προσωπικών<br />
δεδομένων.<br />
Σαφής καθορισμός των εκτελούντων την επεξεργασία<br />
των προσωπικών δεδομένων των υποκειμένων.<br />
Ρητή συγκατάθεση του υποκειμένου για την επεξεργασία<br />
των δεδομένων του.<br />
Σαφής καθορισμός της περιόδου διατήρησης των προσωπικών<br />
δεδομένων των υποκειμένων.<br />
Σαφής ενημέρωση των υποκειμένων για τους ακριβής<br />
λόγους επεξεργασίας.<br />
Αξιολόγηση υφιστάμενων συμβάσεων τρίτων παρόχων<br />
αλλά και καθορισμός πλαισίου για μελλοντικές συνεργασίες,<br />
σχετικά με την διαχείριση προσωπικών δεδομένων.<br />
Καθορισμών κατάλληλων μέτρων προστασίας των<br />
προσωπικών δεδομένων των υποκειμένων.<br />
Μεταφορά δεδομένων μόνο σε περίπτωση σαφούς<br />
πλαισίου, ιδιαίτερα όταν πρόκειται για τρίτες χώρες.<br />
Με μεθοδικότητα και ιδιαίτερη προσοχή, θα πρέπει μέχρι την<br />
25η Μαΐου του ερχόμενου έτους, να έχουν γίνει αποδεδειγμένα<br />
βήματα τόσο για την προστασία της εταιρικής σας υποδομής<br />
όσο και για τα προσωπικά και τα ευαίσθητα προσωπικά δεδομένα<br />
που η εταιρεία διαχειρίζεται. Θα πρέπει να έχετε ορίσει DPO<br />
και να έχετε ξεκινήσει πρόγραμμα εκπαίδευσης και επιμόρφωσης<br />
των εργαζομένων σας. Εμπιστευτείτε τις εταιρείες/συμβούλους<br />
σε θέματα ασφάλειας ώστε να καταφέρετε το μέγιστο<br />
δυνατό αποτέλεσμα μέχρι την καταληκτική ημερομηνία αλλά<br />
και ενημερωθείτε από τις ασφαλιστικές εταιρείες για τα διαθέσιμα<br />
προγράμματα σχετικά με το cyber insurance.<br />
security<br />
35
T<strong>52</strong>11/12.2017<br />
Issue<br />
PrivacyFlag - Ιδιωτικότητα στο<br />
Διαδίκτυο μέσω Πληθοπορισμού<br />
Οι σύγχρονες τεχνολογικές εξελίξεις καθιστούν το αίτημα της ιδιωτικότητας περισσότερο επίκαιρο<br />
από κάθε άλλη φορά. Το ερευνητικό έργο Privacy Flag παρέχει τις μεθοδολογίες και εργαλεία<br />
για να καλύψει τις σημερινές απαιτήσεις στο τομέα αυτό.<br />
Γενικά για την Ιδιωτικότητα<br />
Πριν από περίπου 130 χρόνια έγινε η πρώτη αναφορά στην<br />
Ιδιωτικότητα ως δικαίωμα των πολιτών. Ο κλασικός ορισμός<br />
της ιδιωτικότητας είναι το δικαίωμα ενός ατόμου ή<br />
μιας ομάδας να προστατεύεται από οποιαδήποτε παρεμβολή<br />
στην ιδιωτική του ζωή. Αυτό σημαίνει ότι ένα άτομο<br />
μπορεί να είναι επιλεκτικό υπό κάποιους όρους ως προς<br />
το τι πρέπει να γνωρίζουν οι άλλοι για το πρόσωπό του και<br />
πόσο δημόσιο ή ιδιωτικό θα είναι.<br />
Τα δικαιώματα ιδιωτικού απορρήτου ενδέχεται να διαφέρουν<br />
ανάλογα με το νομικό πλαίσιο που ισχύει. Για παράδειγμα,<br />
η ιδιωτικότητα των πληροφοριών καθορίζει τη<br />
νομιμότητα του τρόπου συλλογής, συνδυασμού και διανομής<br />
των πληροφοριών σχετικά με ένα άτομο δηλαδή τα<br />
προσωπικά του δεδομένα.<br />
Η ιδιωτικότητα είναι θεμελιώδες δικαίωμα κάθε πολίτη της<br />
Ευρωπαϊκής Ένωσης. Θα πρέπει να αποφεύγεται η χρήση<br />
προσωπικών δεδομένων για την παρακολούθηση και δημιουργία<br />
προφίλ των ατόμων δίχως να έχουν γνώση και<br />
να έχουν παραχωρήσει σχετική άδεια. Τα άτομα, ως υποκείμενα<br />
δεδομένων, πρέπει να γνωρίζουν πώς μπορεί να<br />
δημιουργηθεί το ψηφιακό αποτύπωμα τους στο Διαδίκτυο<br />
και τους σκοπούς για τους οποίους μπορούν ή όχι να χρησιμοποιηθούν<br />
τα προσωπικά τους δεδομένα.<br />
Ο νέος κανονισμός GDPR (General Data Protection<br />
Regulation – Γενικός Κανονισμός για την Προστασία των<br />
Δεδομένων) της ΕΕ επεκτείνει αυτή την προστασία, αναγνωρίζοντας<br />
το δικαίωμα των ατόμων να ελέγχουν τη<br />
χρήση των προσωπικών τους δεδομένων, ακόμη και μετά<br />
την κοινοποίηση τους. Το ερευνητικό έργο Privacy Flag<br />
παρέχει τις μεθοδολογίες και εργαλεία για να διασφαλίσει<br />
την τήρηση αυτών των δικαιωμάτων.<br />
36 security
Των Βασίλη Βλάχου 1,2 ,<br />
Αντελίνα Μάδια1 ,3 , Ιωάννη Σταματίου 1,4<br />
και Σωτήρη Νικολετσέα 1,3<br />
Το λογότυπο του έργου Privacy Flag<br />
Οι σύγχρονες τεχνολογικές εξελίξεις καθιστούν το συγκεκριμένο<br />
αίτημα περισσότερο επίκαιρο από κάθε άλλη χρονική<br />
στιγμή. Η καθιέρωση του Διαδικτύου ως το βασικό εργαλείο<br />
εργασίας, επικοινωνίας και ψυχαγωγίας σε παγκόσμιο επίπεδο<br />
επέφερε πολλά και ουσιαστικά οφέλη. Η μετεξέλιξη του<br />
Διαδικτύου από μια απλή μηχανή αναζήτησης και παράθεσης<br />
πληροφοριών οδήγησε στην δημιουργία ενός ευρύτατου οικοσυστήματος<br />
το οποίο καλύπτει σχεδόν κάθε ανθρώπινη<br />
δραστηριότητα. Η επίτευξη των σχετικών υπηρεσιών απαιτεί<br />
τις ανάλογες επενδύσεις σε υποδομές αλλά κυρίως και πρωτίστως<br />
την αλληλεπίδραση με τους χρήστες. Η διασύνδεση<br />
μεταξύ μηχανών και ανθρώπων μπορεί να προσφέρει υψηλής<br />
διαδραστικότητας εμπειρίες αλλά παράλληλα δημιουργεί<br />
και επεξεργάζεται τεράστιο όγκο δεδομένων.<br />
Οι σύγχρονες εξελίξεις σε τεχνολογικό επίπεδο και ειδικότερα<br />
η ανάπτυξη της νεφοϋπολογιστικής (cloud<br />
computing) η οποία βασίζεται στην υλοποίηση ταχύτατων<br />
δικτύων επικοινωνίας σε συνδυασμό με την ραγδαία αύξηση<br />
της χωρητικότητας των διαθέσιμων αποθηκευτικών<br />
μέσων όπως επίσης και την ύπαρξη ισχυρών πολυπύρηνων<br />
επεξεργαστών έδωσαν την δυνατότητα να κατασκευαστούν<br />
ευέλικτες πλατφόρμες νεφοϋπολογιστικών<br />
συστημάτων που παρέχουν ελαστικότητα στην χρήση των<br />
διαθέσιμων πόρων επιτρέποντας την βέλτιστη αξιοποίηση<br />
όλων των υποδομών. Στις περισσότερες περιπτώσεις<br />
η επιλογή μοντέλων νεφουπολογιστικών πλατφορμών<br />
αξιοποιείται για την ανάλυση και επεξεργασία τεράστιου<br />
όγκου δεδομένων που προκύπτουν από την συμμετοχή<br />
των πολιτών σε διαδικτυακές υπηρεσίες. Οι σύγχρονοι αλγόριθμοι<br />
Τεχνητής Νοημοσύνης (Artificial Intelligence)<br />
και Μηχανικής Μάθησης (Machine Learning) επιτρέπουν<br />
την εξαγωγή προτύπων που μπορούν με ακρίβεια να<br />
προβλέπουν τις τάσεις, τις συνήθειες αλλά και τις ιδεολογικές,<br />
πολιτικές και άλλες προτιμήσεις των χρηστών.<br />
Το Privacy Flag είναι ένα ευρωπαϊκό ερευνητικό πρόγραμμα<br />
για την προστασία των προσωπικών δεδομένων.<br />
Οι εμπειρογνώμονες στον τομέα του Δικαίου και των Τεχνολογιών<br />
της Πληροφορίας και των Επικοινωνιών (ΤΠΕ)<br />
έχουν αναπτύξει μια καινοτόμο μεθοδολογία που ονομάζεται<br />
Universal Privacy Risk Area Assessment Methodology<br />
(UPRAAM) προκειμένου να αξιολογήσουν τη συμμόρφωση<br />
των εφαρμογών, των δικτυακών τόπων και των εφαρμογών<br />
του Διαδικτύου (Internet of Things) με τον GDPR και τον Ελβετικό<br />
νόμο περί προστασίας των δεδομένων. Χρησιμοποιώντας<br />
το UPRAAM, το Privacy Flag αναπτύσσει ένα σύνολο<br />
εργαλείων που επιτρέπουν στους πολίτες να ελέγχουν εάν<br />
τηρούνται τα δικαιώματά τους ως υποκείμενα των δεδομένων,<br />
καθώς και εργαλεία και υπηρεσίες που βοηθούν τις<br />
εταιρείες να συμμορφώνονται με τις απαιτήσεις προστασίας<br />
προσωπικών δεδομένων. Το Privacy Flag συγχρηματοδοτείται<br />
από την Ευρωπαϊκή Επιτροπή και την Ελβετική Δημόσια<br />
Γραμματεία Εκπαίδευσης, Έρευνας και Καινοτομίας<br />
στα πλαίσια του προγράμματος Horizon2020. Ο βασικός<br />
στόχος του PrivacyFlag είναι η ενίσχυση της ιδιωτικότητας<br />
στο Διαδίκτυο μέσω της ενημέρωσης και έγκαιρης πληροφόρησης<br />
των Ευρωπαίων χρηστών. Η κοινοπραξία των<br />
εταίρων που συμμετέχουν στο έργο αποτελείται από τις εταιρείες<br />
ΟΤΕ, Mandat International, Velti, DunavNet, HW<br />
Communications και Archimède Solutions. Συμμετέχουν<br />
τα γνωστά ακαδημαϊκά ιδρύματα του Πανεπιστημίου του<br />
Λουξεμβούργου, το Ινστιτούτο Τεχνολογίας Υπολογιστών<br />
& Εκδόσεων «Διόφαντος», το Πανεπιστήμιο του<br />
Μπρίστολ, το Πολυτεχνείο της Λουλέα, το Εθνικό και<br />
Καποδιστριακό Πανεπιστήμιο Αθηνών και το Ιταλικό<br />
Ινστιτούτο για την Ιδιωτικότητα (Istituto Italiano per la<br />
Privacy).<br />
Η αρχιτεκτονική του συστήματος βασίζεται σε διακριτά<br />
υποσυστήματα.<br />
1 Ινστιτούτο Τεχνολογίας Υπολογιστών και Εκδόσεων «Διόφαντος», Πάτρα<br />
2 Τμήμα Μηχανικών Πληροφορικής Τ.Ε, ΤΕΙ Θεσσαλίας<br />
3 Τμήμα Μηχανικών Η/Υ και Πληροφορικής, Πανεπιστήμιο Πατρών<br />
4 Τμήμα Διοίκησης Επιχειρήσεων, Πανεπιστήμιο Πατρών<br />
security<br />
37
T<strong>52</strong>11/12.2017<br />
Issue<br />
Το πρόσθετο Privacy Flag WebAddOn<br />
Το PrivacyFlag πρόσθετο για τα προγράμματα<br />
πλοήγησης του Διαδικτύου<br />
Το PrivacyFlag WebAddOn είναι μια επέκταση (πρόσθετο)<br />
του δημοφιλέστερου σύμφωνα με όλες τις μετρήσεις<br />
προγράμματος πλοήγησης Chrome το οποίο αναλαμβάνει<br />
να συμβουλεύει τον χρήστη κατά την περιήγηση του στο<br />
Διαδίκτυο. Ειδικότερα το PF WebAddOn σε κάθε σελίδα<br />
που επισκέπτεται ο χρήστης εμφανίζει ένα μικρό, σύντομο<br />
και περιεκτικό ερωτηματολόγιο με ερωτήσεις σχετικά<br />
με το που μεταφέρονται, αποθηκεύονται και αξιοποιούνται<br />
τα δεδομένα του χρήστη από τον συγκεκριμένο ιστότοπο.<br />
Οι ερωτήσεις αυτές ακολουθούν όσο πιο πιστά γίνεται το<br />
πνεύμα και την φιλοσοφία του νέου κανονισμού της Ευρωπαϊκής<br />
Ένωσης GDPR και έχουν διττό χαρακτήρα. Αφ' ενός<br />
προβληματίζουν το χρήστη για τα θέματα που αφορούν<br />
την ιδιωτικότητα του σε περίπτωση που δεν τον/την είχαν<br />
απασχολήσει μέχρι τώρα και παράλληλα παρέχουν χρήσιμη<br />
πληροφόρηση στη κεντρική Βάση Δεδομένων του<br />
PrivacyFlag για την εξαγωγή χρήσιμων στατιστικών στοιχείων.<br />
Πέραν της ενημερωτικής χρήσης του PF WebAddOn<br />
παρέχεται και διαρκής ενημέρωση που είναι η σημαντικότερη<br />
λειτουργία του. Στο παρασκήνιο το PF WebAddOn σε<br />
συνεργασία με τον PF εξυπηρετητή πραγματοποιούν ένα<br />
σύνολο από βασικούς τεχνικούς ελέγχους που εξετάζουν<br />
τον εκάστοτε Διαδικτυακό τόπο για την ποιότητα διαχείρισης<br />
των δεδομένων και την γενικότερη ασφάλεια του σε<br />
τεχνικό επίπεδο. Έτσι για παράδειγμα πραγματοποιείται<br />
ένα σύνολο δοκιμών για την αξιολόγηση του σε πολλά διαφορετικά<br />
επίπεδα όπως για παράδειγμα η ποιότητα των<br />
κρυπτογραφικών αλγορίθμων και πιστοποιητικών που<br />
χρησιμοποιεί (αν χρησιμοποιεί) για την ασφαλή μετάδοση<br />
των δεδομένων από το σύστημα του χρήστη προς τον<br />
εκάστοτε διακομιστή. Σε τεχνολογικό επίπεδο εξετάζονται<br />
οι λύσεις και υλοποιήσεις που υιοθετούνται από την εκάστοτε<br />
ιστοσελίδα ως προς την ωριμότητα και στιβαρότητα<br />
τους με βάση τα γνωστά καταγεγραμμένα περιστατικά και<br />
το ιστορικό τους. Πεπαλαιωμένες τεχνολογίες όπως τα<br />
στοιχεία ελέγχου ActiveX θεωρούνται εξαιρετικά ανασφαλείς<br />
λύσεις και βαθμολογούνται αρνητικά. Το ίδιο ισχύει<br />
και για πλατφόρμες που έχουν εμφανίσει μεγάλο αριθμό<br />
ευπαθειών και κενών ασφαλείας. Χαρακτηριστικές περιπτώσεις<br />
είναι η Java και οι πολυμεσικές εφαρμογές που<br />
βασίζονται σε Flash. Επιπρόσθετα, δεν αξιολογείται θετικά<br />
και η χρήση διεπαφών και λειτουργιών που βασίζονται σε<br />
αναμφίβολα καινοτόμες τεχνολογίες όπως η HTML5 ή το<br />
WebRTC όταν ενεργοποιούν πρόσθετη λειτουργικότητα<br />
που μπορεί να οδηγήσει σε θέματα ιδιωτικότητας. Το κύριο<br />
βάρος ωστόσο δίνεται στην αναγνώριση συστατικών σε μια<br />
ιστοσελίδα όπως τα cookies ή και άλλων επίμονων τεχνικών<br />
παρακολούθησης όπως τα third party cookies, LSO<br />
κ.λπ. όπου μπορούν να καταγράψουν με ακρίβεια αρκετές<br />
από τις διαδικτυακές συνήθειες των χρηστών. Αυξημένος<br />
αριθμός τέτοιων αντικειμένων σηματοδοτεί αρνητική<br />
προδιάθεση ως προς την προστασία της ιδιωτικότητας των<br />
επισκεπτών σε ένα ιστότοπο. Επίσης εκτελούνται κάποιοι<br />
βασικοί έλεγχοι για την αποφυγή ύπαρξης συνδέσμων<br />
που ενδεχομένως μπορεί να παραπέμπουν σε ιστοσελίδες<br />
με κακόβουλο λογισμικό. Το αποτελέσματα της τεχνικής<br />
ανάλυσης αποστέλλεται τον εξυπηρετητή του PrivacyFlag<br />
όπου συνδυαστικά με τις αξιολογήσεις του χρήστη προκύπτει<br />
μια εκτίμηση για το πόσο κοντά στις βασικές καλές<br />
αρχές της ιδιωτικότητας βρίσκεται η εκάστοτε ιστοσελίδα.<br />
Η διαδικασία της αξιολόγησης είναι πλήρως ανώνυμη και<br />
δεν καταγράφεται κανένα προσωπικό στοιχείο του χρήστη.<br />
38 security
της εκάστοτε εφαρμογής αλλά και των απαντήσεων που<br />
έχουν δώσει όλοι οι άλλοι χρήστες που αξιολόγησαν την<br />
ίδια εφαρμογή προκύπτει ένα τελικός δείκτης συμμόρφωσης<br />
με καλές πρακτικές ως προς την ιδιωτικότητα.<br />
Το Privacy Flag Smartphone App<br />
Για το λόγο αυτό πέραν της ασφαλούς κρυπτογραφημένης<br />
επικοινωνίας που είναι προενεργοποιημένη κατά την<br />
εγκατάσταση του προσθέτου, υπάρχει παράλληλα η δυνατότητα<br />
για την αξιοποίηση του πρωτοκόλλου TOR καθώς<br />
προσφέρεται στο χρήστη και η σχετική επιλογή.<br />
Η εφαρμογή PrivacyFlag για τα έξυπνα κινητά<br />
τηλέφωνα<br />
Σε αντιστοιχία με το πρόσθετο PrivacyFlag WebAddOn<br />
υπάρχει η εφαρμογή PrivacyFlag SmartApp που αξιολογεί<br />
τις εγκατεστημένες εφαρμογές σε ένα έξυπνο κινητό<br />
τηλέφωνο και τις ταξινομεί ανάλογα με τα δικαιώματα πρόσβασης<br />
που χρησιμοποιούν για να αποκτήσουν σε ευαίσθητα<br />
υποσυστήματα του κινητού τηλεφώνου. Ο αλγόριθμος<br />
του PrivacyFlag ταξινομεί τα σχετικά δικαιώματα που<br />
αιτείται η κάθε εφαρμογή σε διάφορες διακριτές κατηγορίες<br />
και αναλόγως υπολογίζει<br />
ένα δείκτη της αξίας των<br />
δεδομένων που δύναται<br />
να αποκτήσει η εφαρμογή.<br />
Παράλληλα με την αυτόματη<br />
αξιολόγηση ο χρήστης<br />
όπως και στην περίπτωση<br />
του PrivacyFlag<br />
WebAddOn καλείται να<br />
απαντήσει σε μια σειρά<br />
ερωτήσεων που βασίζονται<br />
στη μεθοδολογία<br />
UPRAAM. Τα αποτελέσματα<br />
αποστέλλονται στον διακομιστή<br />
του PrivacyFlag<br />
όπου μαζί με τα ευρήματα<br />
της τεχνικής αποτίμησης<br />
Το PrivacyFlag Observatory<br />
Το ερευνητικό έργο Privacy Flag προσφέρει ένα παρατηρητήριο<br />
για την Ιδιωτικότητα στο Διαδίκτυο. Τα ευρήματα<br />
που προκύπτουν από την μαζική χρήση του PrivacyFlag<br />
WebAddOn καθώς και του PrivacyFlag SmartApp συγκεντρώνονται<br />
στον κεντρικό εξυπηρετητή του Privacy Flag<br />
και επεξεργάζονται στατιστικά με πολλαπλούς τρόπους και<br />
την χρήση των κατάλληλων μαθηματικών μοντέλων για<br />
την εξαγωγή των σχετικών τάσεων αλλά και για τον εντοπισμό<br />
αντικανονικών τιμών (outliers). Τα παραπάνω αποτυπώνονται<br />
συγκεντρωτικά στον ιστότοπο του PrivacyFlag<br />
Observatory όπου με σύγχρονα διαδραστικά διαγράμματα<br />
μπορούν χρήστες, επιστήμονες και όσοι έχουν ενδιαφέρον<br />
για την εξέλιξη της ιδιωτικότητας να παρακολουθήσουν τον<br />
βαθμό υιοθέτησης καλών πρακτικών σε τεχνολογικά θέματα<br />
και λύσεις κρυπτογραφίας αλλά και τις περιπτώσεις όπου<br />
είναι απαραίτητη η αντικατάσταση παλιών προβληματικών<br />
πλατφορμών που όμως εξακολουθούν να καταγράφουν<br />
σημαντικό ποσοστό χρηστών. Το PrivacyFlag εκτός από<br />
ένα χρήσιμο επιστημονικό βοήθημα μπορεί αναμφίβολα<br />
να αποτελέσει και ένα χρήσιμο εργαλείο χάραξης πολιτικής<br />
από τους εμπλεκόμενους αξιωματούχους και παράγοντες<br />
(stakeholders) σε Ευρωπαϊκό επίπεδο.<br />
Περισσότερες πληροφορίες και όλα τα εργαλεία είναι διαθέσιμα<br />
στο https://privacyflag.eu/<br />
Το Privacy Flag Observatory<br />
security<br />
39
T<strong>52</strong>11/12.2017<br />
Issue<br />
Οι προκλήσεις διασφάλισης<br />
προσωπικών δεδομένων<br />
στις έξυπνες πόλεις<br />
Η έννοια της “έξυπνης πόλης’’ ακούγεται όλο και περισσότερο τον τελευταίο καιρό και έχει εισβάλει σε<br />
μεγάλο βαθμό στην καθημερινότητα μας.<br />
λίστα των έξυπνων πόλεων αριθμεί πολλές<br />
& μεγάλες πόλεις τόσο διεθνώς, όπως<br />
Η<br />
Νέα Υόρκη, Βαρκελώνη, Δανία, Βιέννη,<br />
Άμστερνταμ, όσο και στον ελληνικό χώρο<br />
όπως τα Τρίκαλα, η Καλαμάτα, το Ηράκλειο,<br />
η Θεσσαλονίκη και η Αθήνα.<br />
Παρότι οι περισσότερες έρευνες που έχουν γίνει με αντικείμενο<br />
την έξυπνη πόλη εστιάζουν στις αδιαμφισβήτητες θετικές<br />
επιπτώσεις, με κυρίαρχη αυτή της βελτίωσης της ποιότητας<br />
ζωής των πολιτών, εκφράζονται τα τελευταία χρόνια<br />
ανησυχίες ως προς τη χρήση των προσωπικών δεδομένων<br />
για δευτερεύοντες σκοπούς, δηλαδή άλλο σκοπό από<br />
αυτό που πρωταρχικά προοριζόταν. Χαρακτηριστικό παράδειγμα<br />
αποτελεί η ING Bank, η οποία ανακοίνωσε το 2014<br />
την πρόθεσή της να μοιραστεί τα στοιχεία των πελατών της<br />
με εμπορικούς φορείς για να εξαχθούν στατιστικά συμπεράσματα<br />
για το προφίλ του μέσου καταναλωτή. Το γεγονός αυτό<br />
προκάλεσε κύμα αντιδράσεων από τους πελάτες, πολλοί<br />
εκ των οποίων απέσυραν τους λογαριασμούς τους από την<br />
τράπεζα, με αποτέλεσμα η τελευταία να ακυρώσει τα πλάνα<br />
της και να απολογηθεί δημοσίως. Αντίστοιχα, αντιμέτωπη με<br />
την αντίδραση 700.000 Άγγλων πολιτών βρέθηκε η Εθνική<br />
Υπηρεσία Υγείας της Αγγλίας όταν αποκαλύφθηκε ότι το<br />
αρχείο με το ιστορικό των ασθενών είχε μοιραστεί σε ασφαλιστικές<br />
εταιρείες, χωρίς οι πολίτες να έχουν λάβει γνώση.<br />
Επιπλέον από τεχνική σκοπιά, οι λύσεις έξυπνων πόλεων<br />
κάνουν χρήση πολλών, διαφορετικών και ταυτόχρονα περίπλοκων,<br />
ψηφιακών τεχνολογιών και υποδομής ICT, που<br />
πολλές φορές στερούνται κρυπτογράφησης ή αλληλεπιδρούν<br />
με μη ασφαλή, παλιά συστήματα, γεγονός που τα<br />
καθιστά ευάλωτα σε ψηφιακές επιθέσεις (διαθεσιμότητας,<br />
εμπιστευτικότητας ή ακεραιότητας).<br />
Δεδομένου ότι οι υπηρεσίες μιας έξυπνης πόλης είναι ένα είδος<br />
cloud computing και μάλιστα στη συντριπτική τους πλειο-<br />
40 security
Έλενα Μπούα<br />
Procurement Manager in OTE Group Finance Division MsC ‘<br />
’Management & Economics of Telecom Networks’’<br />
ψηφία είναι υπηρεσίες που δίνονται από τρίτα μέρη και όχι την<br />
ίδια την πόλη, οι πιο συνηθισμένοι κίνδυνοι που έχουν παρατηρηθεί<br />
είναι: η Εξάντληση πόρων (resource exhaustion), η<br />
Διακύβευση του interface για τη διαχείριση της υπηρεσίας<br />
(management GUI and API compromise), η Έλλειψη απομόνωσης<br />
πόρων (lack of resource isolation), Κλείδωμα<br />
δεδομένων / παρόχου υπηρεσιών (Data/Vendor Lock-In),<br />
Υποκλοπή λογαριασμών/δεδομένων (Intercepting data),<br />
Άγνωστο προφίλ κινδύνου (Unknown Risk Profile), Απώλεια<br />
και διαρροή δεδομένων (Data Loss or Leakage).<br />
Μελέτη συμβάσεων με αντικείμενο τις έξυπνες<br />
πόλεις<br />
Αναγνωρίζοντας αυτά τα προβλήματα, στα πλαίσια Μεταπτυχιακής<br />
Διατριβής, και προκειμένου να διαπιστωθεί ο βαθμός<br />
διασφάλισης των προσωπικών δεδομένων των χρηστών<br />
απέναντι στους κινδύνους αυτούς, μελετήθηκαν συμβάσεις με<br />
αντικείμενο έξυπνες εφαρμογές σε δήμους τόσο στον ελληνικό<br />
όσο και στον ευρωπαϊκό χώρο. Τα αποτελέσματα ανέδειξαν<br />
σημαντική έως και πλήρη σε κάποιες περιπτώσεις έλλειψη<br />
ενός πλαισίου διασφάλισης των βασικών δικαιωμάτων,<br />
της ιδιωτικότητας και της ασφάλειας των δεδομένων των<br />
χρηστών & ταυτόχρονα πολιτών μιας έξυπνης πόλης.<br />
Ως συμπέρασμα, κρίνεται επιτακτική ανάγκη σε κάθε περίπτωση<br />
που ένας δήμος ή μια πόλη επιλέγει την παροχή<br />
μιας «έξυπνης» υπηρεσίας στους δημότες ή πολίτες του,<br />
να προβεί σε μια διαδικασία αναγνώρισης και αποτίμησης<br />
κινδύνων και να υλοποιεί για την αντιμετώπισή τους<br />
όπου αυτό είναι δυνατό ένα νομικά κατοχυρωμένο πλαισίου<br />
συνεργασίας μεταξύ των δημοτικών φορέων και των<br />
εταιρειών παροχής τεχνολογικών λύσεων. Με τον τρόπο<br />
αυτό, θα αποτυπώνονται ρητά συγκεκριμένοι όροι και<br />
SLAs στις διαδικασίες προμήθειας μιας έξυπνης πόλης και<br />
στις συμβάσεις και θα υπάρχουν οι αντίστοιχες κυρώσεις<br />
σε περίπτωση μη τήρησης αυτών.<br />
Ακολουθούν κάποια ενδεικτικά παραδείγματα:<br />
● Κίνδυνος της εξάντλησης των πόρων και υποκλοπής<br />
λογαριασμών/δεδομένων μπορούν να αντιμετωπιστούν<br />
με συγκεκριμένους όρους μιας σύμβασης, όπως<br />
software integrity checks, εφαρμογή κρυπτογραφίας<br />
και εφαρμογή μηχανισμών αυθεντικοποίησης.<br />
● Κίνδυνος έλλειψης απομόνωσης πόρων και κλείδωμα δεδομένων<br />
μπορούν να αντιμετωπιστούν με τη συμφωνία<br />
μεσεγγύησης (escrow agreement), ώστε να διασφαλιστεί<br />
η απρόσκοπτη και αδιάλειπτη παροχή της υπηρεσίας.<br />
● Κίνδυνος διακύβευσης του interface μπορεί να αντιμετωπιστεί<br />
με την τήρηση διεθνών προτύπων όπως το ISO<br />
27034, εφαρμογή μεθόδων αυθεντικοποίησης, περιορισμούς<br />
διεύθυνσης IP, administrator roles & privileges.<br />
Ανάγκη για χρηματοδότηση<br />
Παράλληλα με την έννοια της ασφάλειας και ιδιωτικότητας,<br />
εξίσου σημαντική είναι και η έννοια της χρηματοδότησης.<br />
Απόδειξη αυτού είναι ότι όσο καλά σχεδιασμένο και αν είναι<br />
ένα έργο, όσο και αν συμμετέχουν ενεργά και αποτελεσματικά<br />
όλοι οι εμπλεκόμενοι φορείς, το όραμα μιας έξυπνης<br />
πόλης δεν μπορεί να επιτευχθεί, εάν δεν εξασφαλιστεί η<br />
απαραίτητη χρηματοδότηση.<br />
Από τις περιπτώσεις των έξυπνων πόλεων που έχουν μελετηθεί<br />
τόσο διεθνώς όσο και σε ελληνικό επίπεδο, προκύπτει<br />
ότι δεν υπάρχει ένα συγκεκριμένο και σταθερό σχήμα χρηματοδότησης.<br />
Κάθε εφαρμογή έξυπνης πόλης υλοποιείται με<br />
διαφορετικό τρόπο. Υπάρχουν έργα που βασίζονται σε ευρωπαϊκές<br />
χρηματοδοτήσεις (Horizon 2020, Interreg, URBACT ΙΙΙ,<br />
ELENA, JESSICA κ.α.), έργα που βασίζονται στην ανάληψη<br />
ιδιωτικών πρωτοβουλιών από μεγάλες ή νεοσύστατες εταιρείες<br />
(startups) για υλοποίηση πιλοτικών ή δοκιμασμένων<br />
εφαρμογών για λόγους εμπορικής προβολής κ.α.<br />
Το μόνο σίγουρο είναι ότι κάθε πόλη, που θέλει να εξασφαλίσει<br />
μια επαρκή χρηματοδότηση, θα πρέπει να δημιουργήσει<br />
ένα καλά σχεδιασμένο και ελκυστικό business<br />
plan, στο οποίο θα αναλύονται βασικές παράμετροι όπως<br />
τα ενδεχόμενα ρίσκα, οι πηγές χρηματοδότησης, ο αριθμός<br />
των εμπλεκόμενων μερών, η διάρκεια της χρηματοδότησης,<br />
με σκοπό να αποδεικνύεται η βιωσιμότητα της λύσης.<br />
Συνοψίζοντας, η έννοια της χρηματοδότησης είναι άρρηκτα<br />
συνδεδεμένη με τις έννοιες της ασφάλειας και ιδιωτικότητας<br />
και το σημείο τομής τους είναι οι έξυπνες διαδικασίες προμήθειας<br />
και τα SLAs που θα πρέπει να αποτελούν κομμάτι κάθε<br />
σύμβασης στο πλαίσιο έργων έξυπνης πόλης.<br />
security<br />
41
T<strong>52</strong>11/12.2017<br />
Issue<br />
Ένωση Ασφάλειας:<br />
Αναβάθμιση των συστημάτων<br />
πληροφοριών για καλύτερη προστασία<br />
των πολιτών της Ε.Ε.<br />
Η Ευρωπαϊκή Επιτροπή προτείνει να γεφυρωθούν τα κενά πληροφόρησης μέσω της αναβάθμισης<br />
των συστημάτων πληροφοριών της ΕΕ για τη διαχείριση της ασφάλειας, των συνόρων και<br />
της μετανάστευσης και μέσω της συνεργασίας τους με πιο έξυπνο και αποδοτικό τρόπο.<br />
ε τα μέτρα αυτά θα καταστεί δυνατή η<br />
μ<br />
ανταλλαγή πληροφοριών και δεδομένων<br />
μεταξύ των διαφόρων συστημάτων και θα<br />
διασφαλίζεται ότι οι συνοριοφύλακες και οι<br />
αστυνομικοί θα έχουν πρόσβαση στη σωστή<br />
πληροφόρηση ακριβώς όταν και όπου χρειάζεται ώστε<br />
να επιτελέσουν το έργο τους, αλλά και συγχρόνως θα εξασφαλίζονται<br />
τα υψηλότερα δυνατά πρότυπα προστασίας<br />
των δεδομένων και ο πλήρης σεβασμός των θεμελιωδών<br />
δικαιωμάτων. Στο πλαίσιο των πρόσφατων προκλήσεων<br />
στον τομέα της ασφάλειας και της μετανάστευσης, η πρόταση<br />
θα ενισχύσει την ασφάλεια των πολιτών της ΕΕ, διευκολύνοντας<br />
τη διαχείριση των εξωτερικών συνόρων της<br />
ΕΕ και ενισχύοντας την εσωτερική ασφάλεια.<br />
Ο πρώτος αντιπρόεδρος της Επιτροπής, κ. Φρανς Τίμερμανς,<br />
δήλωσε σχετικά: «Η ταχύτητα έχει σημασία όταν θέλουμε να<br />
προστατεύσουμε τη ζωή των πολιτών μας από την τρομοκρατία<br />
και να σώσουμε ζωές. Επί του παρόντος τα συστήματα<br />
πληροφοριών της ΕΕ για την ασφάλεια και τη διαχείριση των<br />
συνόρων λειτουργούν χωριστά, γεγονός το οποίο επιβραδύνει<br />
την επιβολή του νόμου. Με την πρότασή μας θα καταστούν<br />
πλήρως διαλειτουργικά. Τούτο σημαίνει ότι οι αρχές επιβολής<br />
του νόμου, σε ολόκληρη την ΕΕ, θα είναι σε θέση να αξιοποιούν<br />
απευθείας και αμέσως όλες τις διαθέσιμες πληροφορίες.»<br />
Ο Επίτροπος Μετανάστευσης, Εσωτερικών Υποθέσεων και<br />
Ιθαγένειας, κ. Δημήτρης Αβραμόπουλος, δήλωσε σχετικά:<br />
«Yλοποιούμε το τελικό και πιο σημαντικό στοιχείο των<br />
εργασιών μας για τη γεφύρωση των κενών και την εξάλειψη<br />
42 security
των‘‘τυφλών σημείων’’ στα συστήματα πληροφοριών που<br />
διαθέτουμε για τη διαχείριση της ασφάλειας, των συνόρων<br />
και της μετανάστευσης. Από εδώ και στο εξής, οι συνοριοφύλακες,<br />
οι αστυνομικοί και το προσωπικό των υπηρεσιών<br />
μετανάστευσης θα πρέπει να έχουν τις σωστές πληροφορίες<br />
την κατάλληλη στιγμή για να μπορούν να κάνουν σωστά τη<br />
δουλειά τους. Πρόκειται για εμβληματική πρωτοβουλία της<br />
παρούσας Επιτροπής καλώ δε τους συννομοθέτες να της<br />
δώσουν προτεραιότητα και να ολοκληρώσουν το έργο τους<br />
εντός του 2018.»<br />
Ο Επίτροπος για την Ένωση Ασφάλειας, κ. Τζούλιαν Κινγκ,<br />
δήλωσε: «Οι τρομοκράτες και οι δράστες σοβαρών εγκλημάτων<br />
δεν θα πρέπει να ξεφεύγουν ή να ξεγελούν τα ραντάρ<br />
μας. Πρόκειται για μια φιλόδοξη νέα προσέγγιση για<br />
τη διαχείριση και τη χρήση των υφιστάμενων πληροφοριών:<br />
πιο έξυπνη και πιο στοχευμένη. Θα αντιμετωπίζει τη<br />
χρήση πολλαπλών ταυτοτήτων και θα ενισχύει τους αποτελεσματικούς<br />
αστυνομικούς ελέγχους, συνδέοντας μεταξύ<br />
τους τα διαθέσιμα στοιχεία, ώστε να προστατεύει τους<br />
πολίτες της ΕΕ εξασφαλίζοντας ταυτόχρονα την προστασία<br />
των δεδομένων εκ σχεδιασμού και εξ ορισμού.»<br />
Σήμερα τα συστήματα πληροφοριών της ΕΕ δεν επικοινωνούν<br />
μεταξύ τους — οι πληροφορίες αποθηκεύονται<br />
χωριστά σε μη διασυνδεδεμένα συστήματα, με αποτέλεσμα<br />
να είναι κατακερματισμένες, πολύπλοκες και δυσχερείς στον<br />
χειρισμό. Ο κίνδυνος που αυτό συνεπάγεται είναι να παραμένουν<br />
αναξιοποίητα στοιχεία και να διαφεύγουν τον εντοπισμό<br />
οι τρομοκράτες και οι εγκληματίες που χρησιμοποιούν<br />
πολλαπλές ή πλαστές ταυτότητες, διακυβεύοντας την εσωτερική<br />
ασφάλεια της ΕΕ και καθιστώντας δυσχερέστερη τη<br />
διαχείριση των συνόρων και της μετανάστευσης. Τα μέτρα<br />
που προτείνονται σήμερα θα γεφυρώσουν αυτά τα κενά και<br />
θα διασφαλίζουν ότι οι πληροφορίες που παρέχονται στους<br />
συνοριοφύλακες και στην αστυνομία είναι πλήρεις, ακριβείς<br />
και αξιόπιστες. Τα νέα εργαλεία θα συμβάλουν στον καλύτερο<br />
εντοπισμό ατόμων που συνιστούν απειλή, όχι μόνο κατά<br />
τη διέλευση των συνόρων της ΕΕ, αλλά και όταν ταξιδεύουν<br />
στο εσωτερικό του χώρου Σένγκεν. Με την ταυτόχρονη διασταύρωση<br />
πληροφοριών σε διάφορες βάσεις δεδομένων και<br />
τον εξορθολογισμό της πρόσβασης από τις αρχές επιβολής<br />
του νόμου, τα νέα εργαλεία θα επιτρέπουν στους συνοριοφύλακες<br />
ή στην αστυνομία να ενημερώνονται γρήγορα εάν<br />
ένα άτομο χρησιμοποιεί πολλαπλές ή πλαστές ταυτότητες.<br />
Σύνδεση των επιμέρους στοιχείων και εξάλειψη των<br />
τυφλών σημείων<br />
Η σημερινή πρόταση εισάγει νέα στοιχεία, για πιο έξυπνη<br />
και πιο στοχευμένη χρήση των διαθέσιμων πληροφοριών<br />
στα υφιστάμενα και στα μελλοντικά συστήματα. Τούτο θα<br />
επιτρέψει στις εθνικές αρχές:<br />
● να αξιοποιούν με το βέλτιστο τρόπο τα υφιστάμενα<br />
δεδομένα. Μία ευρωπαϊκή πύλη αναζήτησης θα οδηγεί<br />
σε μία και μόνη πηγή («one-stop shop») σε οθόνη υπολογιστή<br />
όταν οι συνοριοφύλακες ή οι αστυνομικοί ελέγχουν<br />
έγγραφα ταυτότητας. Αντί να πρέπει να αποφασίσει<br />
ποια βάση δεδομένων θα ελέγξει σε μια συγκεκριμένη κατάσταση,<br />
το προσωπικό θα είναι σε θέση να πραγματοποιεί<br />
ταυτόχρονη αναζήτηση σε πολλαπλά συστήματα πληροφοριών<br />
της ΕΕ. Κατ’ αυτό τον τρόπο, θα γεφυρωθούν κενά<br />
πληροφόρησης και θα διασφαλιστεί ότι το προσωπικό θα<br />
έχει την πλήρη εικόνα για ένα άτομο χωρίς καθυστέρηση.<br />
● να εντοπίζουν τυχόν πολλαπλές ταυτότητες και να<br />
καταπολεμούν την υποκλοπή ταυτότητας. Μια κοινή<br />
υπηρεσία βιομετρικής αντιστοίχισης θα κάνει χρήση<br />
βιομετρικών δεδομένων, όπως τα δακτυλικά αποτυπώματα<br />
ή οι εικόνες προσώπου, για τη σάρωση των υφιστάμενων<br />
βάσεων δεδομένων και την ανίχνευση πληροφοριών<br />
στα διάφορα συστήματα πληροφοριών της ΕΕ.<br />
Ένα κοινό αποθετήριο δεδομένων ταυτότητας θα παρέχει<br />
βασικά προσωπικά χαρακτηριστικά και βιομετρικά<br />
στοιχεία, όπως τα ονόματα και οι ημερομηνίες γέννησης<br />
των πολιτών τρίτων χωρών, έτσι ώστε να είναι δυνατή<br />
η αξιόπιστη ταυτοποίησή τους. Με βάση αυτά, ένας ανιχνευτής<br />
πολλαπλών ταυτοτήτων θα ενημερώνει αμέσως<br />
τους συνοριοφύλακες και τους αστυνομικούς για τις περιπτώσεις<br />
πολλαπλών ή πλαστών ταυτοτήτων.<br />
● να διενεργούν ταχείς και αποτελεσματικούς ελέγχους.<br />
Κατά τη διενέργεια ελέγχων στο εσωτερικό μιας<br />
χώρας, οι αστυνομικοί θα είναι σε θέση να αναζητούν δεδομένα<br />
ταυτότητας υπηκόων τρίτων χωρών και να τους<br />
ταυτοποιούν, με σκοπό, μεταξύ άλλων, την ανίχνευση<br />
πολλαπλών ταυτοτήτων.<br />
Επίσης, όσον αφορά το προσωπικό επιβολής του νόμου με<br />
αρμοδιότητες την πρόληψη, τη διερεύνηση, την ανίχνευση ή<br />
τη δίωξη σοβαρών εγκλημάτων ή τρομοκρατίας, η Επιτροπή<br />
προτείνει δύο στάδια πρόσβασης στις πληροφορίες που<br />
χρειάζονται για υπηκόους τρίτων χωρών στα συστήματα τα<br />
οποία δεν ανήκουν στον τομέα της επιβολής του νόμου. Με<br />
πλήρη σεβασμό της προστασίας των δεδομένων, η προσέγγιση<br />
αυτή διασαφηνίζει ότι, ως πρώτο βήμα, η αναζήτηση θα<br />
διενεργείται βάσει συστήματος θετικής/αρνητικής απάντησης<br />
(hit/no-hit). Ως δεύτερο βήμα, σε περίπτωση «θετικής απάντησης»,<br />
τα όργανα επιβολής του νόμου μπορούν να ζητούν πρόσβαση<br />
στις πληροφορίες που απαιτούνται σύμφωνα με τους<br />
αντίστοιχους κανόνες και διασφαλίσεις.<br />
security<br />
43
Change language