Εφαρμογή Πολιτικών Ασφαλείας

Εφαρμογή Πολιτικών Ασφάλειας

• Η Πολιτική Ασφάλειας των Πληροφοριακών Συστημάτων (ΠΣ) είναι σύνολο κανόνων και οδηγιών για την προστασία δεδομένων και συστημάτων ενός οργανισμού.
• Καθορίζει ποιος έχει πρόσβαση στις πληροφορίες, πώς διαχειρίζονται και τι μέτρα προστασίας λαμβάνονται.
• Είναι καταγεγραμμένη σε έγγραφο που πρέπει να γνωρίζουν και να ακολουθούν οι χρήστες του συστήματος.

Πρόσβαση στις πληροφορίες

• Η πρόσβαση κατηγοριοποιείται σε επίπεδα, ανάλογα με το δικαίωμα χρήσης των δεδομένων.
• Τα βασικά επίπεδα πρόσβασης είναι:
  • Δημόσια (Public): διαθέσιμες σε όλους.
  • Περιορισμένη (Restricted): σε συγκεκριμένα άτομα/ομάδες.
  • Εσωτερική (Internal): μόνο σε άτομα εντός οργανισμού.
  • Προσωπική/Εμπιστευτική (Confidential): σε συγκεκριμένους χρήστες με εξουσιοδότηση.
  • Απόρρητη (Classified/Secret): μόνο σε άτομα με υψηλή εξουσιοδότηση.
• Παραδείγματα:
  • Δημόσια πρόσβαση: δημόσια ιστοσελίδα ή ανοιχτό έγγραφο στο διαδίκτυο.
  • Περιορισμένη πρόσβαση: Έγγραφα εταιρείας που βλέπουν μόνο οι υπάλληλοι.
  • Εσωτερική πρόσβαση: Δεδομένα που βλέπουν οι εργαζόμενοι μιας επιχείρησης, αλλά όχι το κοινό.
  • Προσωπική/Εμπιστευτική πρόσβαση: Ιατρικά αρχεία που βλέπει μόνο ο γιατρός και ο ασθενής.
  • Απόρρητη πρόσβαση: Δεδομένα όπως κρατικά μυστικά, που βλέπουν εξουσιοδοτημένοι αξιωματούχοι.

Ρόλοι Χρηστών

• Οι χρήστες κατηγοριοποιούνται σε ρόλους, ανάλογα με τα δικαιώματα που έχουν.
• Οι ρόλοι περιλαμβάνουν:
  • Διαχειριστής (Administrator): πλήρης πρόσβαση και διαχείριση ρυθμίσεων, χρηστών, δεδομένων.
  • Εξουσιοδοτημένος Χρήστης (Privileged User): πρόσβαση σε συγκεκριμένες κρίσιμες πληροφορίες.
  • Απλός Χρήστης (Regular User): μπορεί να βλέπει και να επεξεργάζεται δεδομένα, αλλά όχι να τα διαχειρίζεται.
  • Επισκέπτης (Guest User): περιορισμένη πρόσβαση μόνο σε βασικές πληροφορίες.
• Τα επίπεδα πρόσβασης και οι ρόλοι χρηστών είναι σημαντικά για την ασφάλεια και τη διαχείριση δεδομένων.

Διαχείριση Πληροφοριών

• Οι πληροφορίες πρέπει να διαχειρίζονται σωστά και να προστατεύονται από κινδύνους.
• Κακόβουλες επιθέσεις:
  • Επιθέσεις από hackers για κλοπή/αλλοίωση δεδομένων.
  • Διάδοση κακόβουλου λογισμικού (ιοί, ransomware).
  • Απάτες τύπου phishing για κλοπή προσωπικών στοιχείων.
• Λάθη χρηστών:
  • Διαγραφή αρχείων κατά λάθος.
  • Κοινοποίηση εμπιστευτικών πληροφοριών σε λάθος άτομα.
  • Χρήση εύκολων κωδικών που μπορούν να παραβιαστούν εύκολα.
• Μέτρα προστασίας:
  • Χρήση ισχυρών κωδικών πρόσβασης
  • Τακτικά αντίγραφα ασφαλείας (backups).
  • Ενημέρωση λογισμικού/λειτουργικών συστημάτων.
  • Εκπαίδευση χρηστών σχετικά με ασφαλείς πρακτικές.
• Η σωστή διαχείριση διασφαλίζει ότι οι κρίσιμες πληροφορίες δεν θα χαθούν, παραβιαστούν ή χρησιμοποιηθούν με κακόβουλο τρόπο.

Εφαρμογή Πολιτικής Ασφάλειας

• Η εφαρμογή είναι σημαντική για:
  • Οργάνωση της ασφάλειας.
  • Επικοινωνία των κανόνων.
  • Οικονομία πόρων.
  • Δημιουργία κουλτούρας ασφάλειας.
  • Νομικές υποχρεώσεις.
  • Ενίσχυση της εμπιστοσύνης
• Η Πολιτική Ασφάλειας παρέχει πλαίσιο για την προστασία δεδομένων και συστημάτων.

Είδη Πολιτικών Ασφάλειας

• Πολιτικές Ασφάλειας Πληροφοριών: Αφορούν την πρόσβαση στα δεδομένα και την προστασία τους.
• Πολιτικές Ασφάλειας Λειτουργικών Συστημάτων: Σχετίζονται με τους κανόνες για τη χρήση και συντήρηση των συστημάτων.
• Πολιτικές Ασφάλειας Δικτύων: Καθορίζουν την προστασία των επικοινωνιών, δικτύων και Διαδικτύου.

Κίνδυνοι και Ασφαλείς Κωδικοί

• Η χρήση ασφαλών κωδικών πρόσβασης είναι σημαντική.
• Αδύναμοι κωδικοί πρόσβασης, όπως "password" ή "123456", είναι επικίνδυνοι.
• Σημαντικοί κωδικοί πρόσβασης:
  • Ο κωδικός του e-mail.
  • Ο κωδικός κοινωνικών δικτύων.
• Για ισχυρούς κωδικούς:
  • Συνδυάστε κεφαλαία/πεζά, αριθμούς/σύμβολα.
  • Χρησιμοποιήστε τουλάχιστον 8 χαρακτήρες.
  • Αποφύγετε απλές λέξεις.
  • Χρησιμοποιήστε διαφορετικούς κωδικούς για κάθε λογαριασμό.
  • Αλλάζετε τους κωδικούς τακτικά.
  • Μην αποθηκεύετε/μοιράζεστε τους κωδικούς.
• Κόλπο για ασφαλή κωδικό: Επιλέξτε φράση, κρατήστε αρχικά και προσθέστε στοιχεία του ιστοτόπου.

Ασφάλεια στο Διαδίκτυο και Γονικός Έλεγχος

• Η προστασία των παιδιών στο διαδίκτυο είναι σημαντική.
• Χρήση εφαρμογών όπως ο Γονικός Έλεγχος στα Windows και τα εργαλεία της Google για περιορισμό της πρόσβασης.
• Ενημέρωση των γονέων και ενεργοποίηση εργαλείων όταν είναι απαραίτητο.

Παράδειγμα Πολιτικής Ασφάλειας Πληροφοριακού Συστήματος

• Οργανισμός: Τεχνικό Λύκειο "Ασφάλεια & Δίκτυα".
• Τμήμα: Διοίκηση & Διαχείριση Δεδομένων.
• Έγκριση: Διεύθυνση Πληροφορικής.
• Ημερομηνία Έναρξης: 01/01/2025.
• Αναθεώρηση: Ετήσια (κάθε Ιανουάριο).

Σκοπός Πολιτικής Ασφάλειας

• Καθορίζει τα μέτρα για την προστασία δεδομένων, την ακεραιότητα και τη διαθεσιμότητα των πληροφοριακών συστημάτων του Τεχνικού Λυκείου "Ασφάλεια & Δίκτυα".
• Στόχοι:
  • Προστασία δεδομένων από μη εξουσιοδοτημένη πρόσβαση.
  • Πρόληψη απώλειας/αλλοίωσης πληροφοριών.
  • Διασφάλιση της ορθής χρήσης των συστημάτων.
  • Εκπαίδευση για σωστή διαχείριση της ασφάλειας.

Επίπεδα Πρόσβασης

• Διαχειριστής (Administrator): Διαχείριση όλου του συστήματος.
• Καθηγητής: Πρόσβαση σε βαθμολογίες, προσωπικά στοιχεία μαθητών.
• Μαθητής: Πρόσβαση μόνο σε δικά του δεδομένα.
• Εξωτερικός επισκέπτης: Πρόσβαση σε κοινόχρηστα εκπαιδευτικά αρχεία.

Μέτρα Ασφάλειας

• Πρόσβαση στο δίκτυο και υπολογιστές
  • Προσωπικό όνομα χρήστη και κωδικός για όλους.
  • Δικαιώματα καθηγητών μόνο για αρχεία μαθητών.
  • Απαγόρευση πρόσβασης μαθητών σε διαχειριστικές ρυθμίσεις.
  • Δεν επιτρέπεται η χρήση δημόσιων WiFi για πρόσβαση στα σχολικά δεδομένα.
• Διαχείριση Κωδικών Πρόσβασης
  • Τουλάχιστον 8 χαρακτήρες, με κεφαλαία, πεζά, αριθμούς & σύμβολα.
  • Απαγόρευση ίδιου κωδικού σε πολλούς λογαριασμούς.
  • Αλλαγή κωδικού κάθε 6 μήνες για μαθητές/καθηγητές.
  • Απαγόρευση στους διαχειριστές να ζητούν τους κωδικούς άλλων χρηστών.
• Αντίγραφα Ασφαλείας (Backups)
  • Αυτόματη δημιουργία αντιγράφων ασφαλείας κάθε εβδομάδα.
  • Φύλαξη των αντιγράφων σε ασφαλές απομακρυσμένο σύστημα.
  • Απαγόρευση διαγραφής αρχείων από μαθητές στους διακομιστές του σχολείου.
• Χρήση USB & Εξωτερικών Συσκευών
  • Επιτρέπεται μόνο η χρήση USB που έχουν εγκριθεί από το σχολείο.
  • Έλεγχος των USB με λογισμικό προστασίας από ιούς πριν τη χρήση.
  • Απαγόρευση σύνδεσης προσωπικών συσκευών στα σχολικά δίκτυα χωρίς άδεια.
• Ασφάλεια Ηλεκτρονικού Ταχυδρομείου
  • Απαγόρευση αποστολής προσωπικών δεδομένων μέσω μη ασφαλών emails.
  • Χρήση μόνο του επίσημου σχολικού λογαριασμού email από καθηγητές.
  • Απαγόρευση λήψης email από άγνωστες διευθύνσεις για τους μαθητές.
• Πρόληψη Κακόβουλων Επιθέσεων
  • Ενημερωμένο antivirus σε όλους τους υπολογιστές.
  • Απαγόρευση εγκατάστασης προγραμμάτων χωρίς έγκριση για τους μαθητές.
  • Άμεση αναφορά ύποπτων δραστηριοτήτων στη διοίκηση.

Κυρώσεις για Παραβίαση της Πολιτικής Ασφάλειας

• Μη συμμόρφωση μπορεί να οδηγήσει σε:
  • Προειδοποίηση και εκπαίδευση.
  • Προσωρινή απώλεια πρόσβασης.
  • Οριστική απώλεια δικαιωμάτων πρόσβασης ή άλλες ποινές (π.χ. hacking).

Τελικές Διατάξεις

• Η Πολιτική Ασφάλειας ισχύει για όλους τους χρήστες.
• Οποιαδήποτε αλλαγή ανακοινώνεται εγγράφως.
• Το σχολείο μπορεί να αναθεωρήσει την πολιτική όποτε κρίνεται απαραίτητο.