Σχέδιο Ασφάλειας (Security Plan)

Показать описание

ΛΕΙΤΟΥΡΓΙΚΑ ΣΥΣΤΗΜΑΤΑ ΚΑΙ ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΑΚΩΝ ΣΥΣΤΗΜΑΤΩΝ
Ασφάλεια Πληροφοριακών Συστημάτων
Σχέδιο Ασφάλειας (Security Plan).
Το Σχέδιο Ασφαλείας είναι ένα έγγραφο
που αποτελείται από το άθροισμα
(Α) των Πολιτικών Ασφαλείας και
(Β) των Μέτρων Ασφαλείας (Controls) ή Αντιμέτρων (Countermeasures)
που εφαρμόζονται σε ένα Πληροφοριακό Σύστημα.
Α) Πολιτική Ασφαλείας (Security Policy).
Η Πολιτική Ασφαλείας ενός Πληροφοριακού Συστήματος
είναι ένα έγγραφο
στο οποίο περιγράφονται οι στόχοι της ασφάλειας,
η προστασία του Πληροφοριακού Συστήματος,
και οι διαδικασίες που πρέπει να ακολουθούνται από όλους,
ώστε να επιτευχθούν αυτοί οι στόχοι.
Για να δημιουργηθεί η Πολιτική Ασφαλείας
θα πρέπει να εντοπιστούν
και να χαρακτηριστούν
με έναν βαθμό εμπιστευτικότητας
οι πληροφορίες που θα πρέπει να προστατευτούν.
Στη συνέχεια θα πραγματοποιηθεί
διαδικασία Διαχείρισης Κινδύνου (ή Επικινδυνότητας)
και τα αποτελέσματά της θα χρησιμοποιηθούν,
ώστε να επιλεχθούν τα κατάλληλα Αντίμετρα Ασφαλείας
για την προστασία των κρίσιμων πληροφοριών του συστήματος.
Η Πολιτική Ασφαλείας ενός οργανισμού θα πρέπει να ικανοποιεί:
Τη διοίκησή του.
Τα μέλη του.
Τους πελάτες του,
Τους νομικούς περιορισμούς και υποχρεώσεις που ισχύουν για την λειτουργία του οργανισμού,γιατί δεδομένα τους θα αποθηκεύονται στο Πληροφοριακό Σύστημα.
(Παράδειγμα: εάν το ΠΣ κρατά ιατρικές εξετάσεις ασθενών,
(φαρμακα που εχει λαβει και ποιοι γιατροι επιβλεπουν)
τότε θα χρειάζονται διαβεβαίωση πως αυτά θα είναι ασφαλή και δεν θα διαρρεύσουν σε τρίτους).
Β) Αντίμετρα (Countermeasures) ή Μέτρα Ασφαλείας (Security Measures) ή Έλεγχοι (Controls)
Για να ικανοποιηθούν οι απαιτήσεις ασφαλείας του ΠΣ
και να μειωθεί η επικινδυνότητα στο επιθυμητό επίπεδο
σχεδιάζονται μέτρα που καλύπτουν τις παρακάτω κατηγορίες:
1.Διοικητικά μέτρα (administrative)
(οργάνωση και διαχείριση της Ασφάλειας του ΠΣ) περιγράφονται:
οι ρόλοι και οι αρμοδιότητες του προσωπικού,
ο τρόπος διαχείρισης πληροφοριών,
ο κώδικας δεοντολογίας (εσωτερικών κανόνων),
η εκπαίδευση χρηστών για τις λειτουργίες του Π.Σ,
η διαδικασία πρόσληψης και αποχώρησης υπαλλήλου (πχ δέσμευση εμπιστευτικότητας), και η διαβάθμιση πληροφοριών

2. Tεχνικά μέτρα:
έλεγχος πρόσβασης (διαχείριση χρηστών, συνθηματικών),
ασφάλεια επικοινωνιών,
λειτουργία των αρχείων καταγραφής (log files)
και διαδικασία λήψης αντιγράφων ασφαλείας (Backup),
αποσπώμενα μέσα αποθήκευσης,
μέτρα για την διαχείριση και υποστήριξη προμήθειας Λογισμικού και Υλικού,
μέτρα ανάπτυξης και συντήρησης εφαρμογών (ασφαλής δοκιμές τους),
απογραφή λογισμικού και υλικού,
αδιάλειπτη παροχή ρεύματος (UPS) και
τρόπο διαχείρισης περιστατικών ασφαλείας (security incident).
3. Μέτρα φυσικής ασφάλειας:
από φυσικές καταστροφές,
ασφάλεια πρόσβασης
στις κτιριακές εγκαταστάσεις, υπολογιστικού και δικτυακού εξοπλισμού (πχ κλειδαριές με συρματόσχοινο)
Για να είναι αποτελεσματικά τα Μέτρα Ασφαλείας ή Αντίμετρα,
θα πρέπει να εφαρμόζονται σωστά.
Παράγοντες που επηρεάζουν την εφαρμογή τους είναι:
A) Η κατανόηση από μέρους των χρηστών της σημαντικότητας χρήσης τους.
B) Ο τακτικός έλεγχος της αποτελεσματικότητας και της εφαρμογής τους.
Γ) Η εύκολη χρήση τους από τους χρήστες.