Πολιτικές Ασφάλειας Πληροφοριακών Συστημάτων

Εφαρμογή Πολιτικών Ασφάλειας

• Η Πολιτική Ασφάλειας των Πληροφοριακών Συστημάτων (ΠΣ) είναι ένα σύνολο κανόνων και οδηγιών, στοχεύοντας στην προστασία δεδομένων και συστημάτων.
• Καθορίζει ποιος έχει πρόσβαση σε πληροφορίες, πώς διαχειρίζονται οι πληροφορίες και τα μέτρα προστασίας από επιθέσεις ή λάθη.
• Η πολιτική καταγράφεται σε έγγραφο, το οποίο πρέπει να γνωρίζουν και να τηρούν όλοι οι χρήστες.

Πρόσβαση στις Πληροφορίες

• Η πρόσβαση κατηγοριοποιείται σε επίπεδα ανάλογα με το δικαίωμα πρόσβασης, επεξεργασίας και διαχείρισης δεδομένων.

Επίπεδα Πρόσβασης:

• Δημόσια Πρόσβαση (Public Access): Πληροφορίες διαθέσιμες σε όλους χωρίς περιορισμούς, π.χ. δημόσια ιστοσελίδα.
• Περιορισμένη Πρόσβαση (Restricted Access): Πληροφορίες διαθέσιμες μόνο σε συγκεκριμένα άτομα ή ομάδες, π.χ. έγγραφα εταιρείας για υπαλλήλους.
• Εσωτερική Πρόσβαση (Internal Access): Πληροφορίες προσβάσιμες μόνο σε άτομα που ανήκουν στον οργανισμό, π.χ. δεδομένα για εργαζομένους, όχι για το κοινό.
• Προσωπική / Εμπιστευτική Πρόσβαση (Confidential Access): Πληροφορίες διαθέσιμες μόνο σε εξουσιοδοτημένους χρήστες, π.χ. ιατρικά αρχεία για γιατρό και ασθενή.
• Απόρρητη Πρόσβαση (Classified/ Secret Access): Πληροφορίες πολύ σημαντικές, επιτρέπονται μόνο σε άτομα με υψηλό επίπεδο εξουσιοδότησης, π.χ. κρατικά μυστικά για αξιωματούχους.

Ρόλοι Χρηστών

• Οι χρήστες κατηγοριοποιούνται σε ρόλους βάσει των δικαιωμάτων τους στο σύστημα.
• Διαχειριστής (Administrator): Πλήρης πρόσβαση για διαχείριση ρυθμίσεων, χρηστών και δεδομένων.
• Εξουσιοδοτημένος Χρήστης (Privileged User): Πρόσβαση σε συγκεκριμένες κρίσιμες πληροφορίες.
• Απλός Χρήστης (Regular User): Δυνατότητα προβολής και επεξεργασίας δεδομένων, αλλά όχι διαχείρισης.
• Επισκέπτης (Guest User): Περιορισμένη πρόσβαση μόνο σε βασικές πληροφορίες.
• Τα επίπεδα πρόσβασης και οι ρόλοι χρηστών είναι θεμελιώδεις για την ασφάλεια και τη διαχείριση δεδομένων σε ένα πληροφοριακό σύστημα.

Διαχείριση Πληροφοριών

• Οι πληροφορίες πρέπει να διαχειρίζονται σωστά και να προστατεύονται από κινδύνους.

Κίνδυνοι

• Κακόβουλες επιθέσεις:
  • Επιθέσεις από χάκερς που κλέβουν ή αλλοιώνουν δεδομένα.
  • Διάδοση κακόβουλου λογισμικού (ιούς, ransomware) που κλειδώνει ή καταστρέφει δεδομένα.
  • Phishing για κλοπή προσωπικών στοιχείων.
• Λάθη χρηστών:
  • Ακούσια διαγραφή αρχείων.
  • Κοινοποίηση εμπιστευτικών πληροφοριών σε λάθος άτομα.
  • Χρήση αδύναμων κωδικών που παραβιάζονται εύκολα.

Μέτρα Προστασίας

• Χρήση ισχυρών κωδικών πρόσβασης.
• Τακτικά αντίγραφα ασφαλείας (backups).
• Ενημέρωση λογισμικού και λειτουργικών συστημάτων.
• Εκπαίδευση χρηστών σε ασφαλείς πρακτικές.
• Η σωστή διαχείριση και προστασία των πληροφοριών διασφαλίζει την ακεραιότητα των προσωπικών δεδομένων.

Εφαρμογή Πολιτικής Ασφάλειας

• Εφαρμογή της Πολιτικής Ασφάλειας είναι σημαντική για πολλούς λόγους.
• Οργάνωση ασφάλειας: Δομημένο πλαίσιο για προστασία δεδομένων και συστημάτων.
• Επικοινωνία κανόνων: Κατανόηση από όλους για το τι επιτρέπεται.
• Οικονομία πόρων: Εφαρμογή ασφάλειας λαμβάνοντας υπόψη τους περιορισμούς.
• Δημιουργία κουλτούρας ασφάλειας: Εκπαίδευση εργαζομένων στην υπεύθυνη διαχείριση.
• Νομικές υποχρεώσεις: Απαιτείται από το νόμο για πολλούς οργανισμούς.
• Ενίσχυση εμπιστοσύνης: Εξασφαλίζει συνεργασία, αποδεικνύοντας σοβαρή αντιμετώπιση της ασφάλειας.

Είδη Πολιτικών Ασφάλειας

• Πολιτικές Ασφάλειας Πληροφοριών: Προστασία δεδομένων από μη εξουσιοδοτημένη χρήση.
• Πολιτικές Ασφάλειας Λειτουργικών Συστημάτων: Κανόνες για χρήση και συντήρηση υπολογιστικών συστημάτων.
• Πολιτικές Ασφάλειας Δικτύων: Προστασία επικοινωνιών και δικτύων από επιθέσεις.

Κίνδυνοι και Κωδικοί

• Η χρήση ασφαλών κωδικών πρόσβασης είναι θεμελιώδης.

Παραβιάσεις

• Λογαριασμοί χρηστών χακαρισμένοι λόγω αδύναμων κωδικών.

Σημαντικοί Κωδικοί

E-mail: Παραβίαση οδηγεί σε αλλαγή κωδικών και σε άλλες ιστοσελίδες. Κοινωνικά δίκτυα: Κίνδυνος λόγω σύνδεσης πολλών εφαρμογών.

Δημιουργία Ισχυρών Κωδικών

• Συνδυασμός κεφαλαίων, πεζών, αριθμών και συμβόλων.
• Τουλάχιστον 8 χαρακτήρες.
• Αποφυγή απλών λέξεων και διαφορετικοί κωδικοί για κάθε λογαριασμό.
• Τακτική αλλαγή και μη αποθήκευση στον περιηγητή ή κοινοποίηση.
• Κόλπο για ασφαλή κωδικό: Χρήση φράσης, τα αρχικά της και προσθήκη γραμμάτων ιστοσελίδας και συμβόλου.

Ασφάλεια στο Διαδίκτυο και Γονικός Έλεγχος

• Η προστασία των ανηλίκων στο διαδίκτυο είναι σημαντική.
• Εφαρμογές και εργαλεία περιορίζουν την πρόσβαση σε ακατάλληλο περιεχόμενο.
• Οι γονείς πρέπει να είναι ενημερωμένοι και να ενεργοποιούν τις κατάλληλες ρυθμίσεις.

Παράδειγμα Πολιτικής Ασφάλειας Πληροφοριακού Συστήματος

• Τεχνικό Λύκειο "Ασφάλεια & Δίκτυα".
• Τμήμα Διοίκησης & Διαχείρισης Δεδομένων.
• Έγκριση από τη Διεύθυνση Πληροφορικής.
• Έναρξη: 01/01/2025.
• Αναθεώρηση: Ετήσια (κάθε Ιανουάριο).

Σκοπός

• Διασφάλιση της προστασίας, ακεραιότητας και διαθεσιμότητας των πληροφοριακών συστημάτων.

Στόχοι

• Προστασία δεδομένων από μη εξουσιοδοτημένη πρόσβαση.
• Πρόληψη απώλειας ή αλλοίωσης πληροφοριών.
• Διασφάλιση της ορθής χρήσης των υπολογιστικών συστημάτων.
• Εκπαίδευση μαθητών και προσωπικού.

Επίπεδα Πρόσβασης

• Διαχειριστής (Administrator): Απόρρητη πρόσβαση και διαχείριση όλου του συστήματος.
• Καθηγητής: Εσωτερική πρόσβαση και δικαίωμα πρόσβασης σε βαθμολογίες & στοιχεία μαθητών.
• Μαθητής: Περιορισμένη πρόσβαση μόνο στα δικά του δεδομένα.
• Εξωτερικός επισκέπτης: Δημόσια πρόσβαση σε κοινόχρηστα αρχεία.

Μέτρα Ασφάλειας

Δίκτυο/Υπολογιστές

• Χρήση προσωπικού ονόματος/κωδικού.
• Δικαιώματα καθηγητών μόνο για αρχεία μαθητών τους.
• Απαγόρευση πρόσβασης μαθητών σε διαχειριστικές ρυθμίσεις.
• Απαγόρευση χρήσης δημόσιων WiFi για πρόσβαση σε σχολικά δεδομένα.

Διαχείριση Κωδικών

• Τουλάχιστον 8 χαρακτήρες με κεφαλαία, πεζά, αριθμούς & σύμβολα.
• Απαγόρευση ίδιου κωδικού σε πολλούς λογαριασμούς.
• Αλλαγή κωδικού κάθε 6 μήνες από μαθητές/καθηγητές.
• Απαγόρευση ζήτησης κωδικών άλλων χρηστών από διαχειριστές.

Αντίγραφα Ασφαλείας (Backups)

• Αυτόματη δημιουργία αντιγράφων ασφαλείας εβδομαδιαία.
• Φύλαξη αντιγράφων σε ασφαλές απομακρυσμένο σύστημα.
• Αδυναμία διαγραφής αρχείων μαθητών στους διακομιστές του σχολείου.

USB/Εξωτερικές Συσκευές

• Χρήση μόνο εγκεκριμένων USB από το σχολείο.
• Έλεγχος USB με λογισμικό προστασίας από ιούς πριν τη χρήση.
• Απαγόρευση σύνδεσης προσωπικών συσκευών στα σχολικά δίκτυα χωρίς άδεια.

Ασφάλεια E-mail

• Απαγόρευση αποστολής προσωπικών δεδομένων μέσω μη ασφαλών emails.
• Χρήση μόνο επίσημου σχολικού λογαριασμού email από καθηγητές.
• Απαγόρευση λήψης email από άγνωστες διευθύνσεις στους μαθητές.

Πρόληψη Κακόβουλων Επιθέσεων

• Ενημερωμένο antivirus σε όλους τους υπολογιστές.
• Απαγόρευση εγκατάστασης προγραμμάτων χωρίς έγκριση από μαθητές.
• Αναφορά ύποπτων δραστηριοτήτων άμεσα στη διοίκηση.

Κυρώσεις

• Προειδοποίηση/εκπαίδευση σε μικρές παραβιάσεις.
• Προσωρινή απώλεια πρόσβασης σε σοβαρές παραβιάσεις.
• Οριστική απώλεια δικαιωμάτων/άλλες ποινές σε κακόβουλες ενέργειες (π.χ. hacking).

Τελικές Διατάξεις

• Η Πολιτική Ασφάλειας ισχύει για όλους τους χρήστες.
• Οι αλλαγές ανακοινώνονται εγγράφως.
• Δυνατότητα αναθεώρησης της πολιτικής από το σχολείο.

Σύνοψη

• Εξασφάλιση ασφαλούς περιβάλλοντος πληροφορικής για μαθητές, καθηγητές και προσωπικό, με προστασία δεδομένων και υποδομών.