Οδηγίες της Εθνικής Αρχής Κυβερνοασφάλειας για την προστασία των πληροφοριακών υποδομών των επιχειρήσεων από κυβερνοεπιθέσεις

ΚΟΥΡΗΤΗΣ:

• ΕΙΠΑΝ ΝΑ ΔΙΚΑΙΟΛΟΓΗΣΟΥΝ ΤΑ "ΜΙΣΘΑ ΤΟΥΣ" , ΒΡΗΚΑΝ ΕΝΑΝ ΓΕΝΙΚΟ ΟΔΗΓΟ ΣΤΟ ΔΙΑΔΙΚΤΥΟ, ΤΟΝ ΜΕΤΕΦΡΑΣΑΝ ΚΑΙ ΤΟΝ ΑΝΕΒΑΣΑΝ. ΔΕΝ ΕΧΕΙ ΛΑΘΗ Ο ΓΕΝΙΚΟΣ ΟΔΗΓΟΣ. ΕΙΝΑΙ ΟΜΩΣ "ΚΙΝΕΖΙΚΑ" ΓΙΑ ΤΟ 90% ΤΩΝ ΕΠΙΧΕΙΡΗΣΕΩΝ, ΤΩΝ ΕΠΑΓΓΕΛΜΑΤΙΩΝ ΚΑΘΩΣ ΚΑΙ ΓΙΑ ΤΟ ΔΗΜΟΣΙΟ.
• ΑΠΟ ΤΟΝ ΠΡΩΤΟΤΥΠΟ ΟΔΗΓΟ ΣΤΗΝ ΑΓΓΛΙΚΗ ΕΛΕΙΠΕ, ΟΠΟΤΕ ΛΕΙΠΕΙ ΚΑΙ ΑΠΟ ΤΟΝ ΜΕΤΑΦΡΑΣΜΕΝΟ, ΠΩΣ ΟΛΑ ΑΥΤΑ ΔΕΝ ΕΧΟΥΝ ΝΟΗΜΑ ΑΝ ΧΡΗΣΙΜΟΠΟΙΕΙΤΕ "Windows 10" [και ΟΧΙ "Windows LTSC" ή ΑΛΛΗ ΕΙΔΙΚΗ ΕΚΔΟΣΗ ΤΟΥΣ (ναι υπάρχει και τέτοια, αλλά πρέπει πρώτα να την ζητήσετε από τη Microsoft) ΕΙΔΙΚΑ ΓΙΑ ΥΠΗΡΕΣΙΕΣ ΑΣΦΑΛΕΙΑΣ.]
• ΤΑ ΧΑΛΙΑ ΤΗΣ ΙΣΤΟΣΕΛΙΔΟΣ "Εθνικής Αρχής Κυβερνοασφάλειας" ΔΕΙΧΝΟΥΝ ΚΑΙ ΤΟ ΕΠΙΠΕΔΟ ΤΩΝ ΣΤΕΛΕΧΩΝ ΤΗΣ ΠΟΥ ΕΧΟΥΝ ΜΑΛΙΣΤΑ ΤΟ ΘΡΑΣΣΟΣ ΝΑ ΣΑΣ ΣΥΜΒΟΥΛΕΥΟΥΝ. [ΣΗΜΕΙΩΝΩ ΠΩΣ Ο DNS Server ΤΟΥΣ, ΕΞΥΠΗΡΕΤΕΙ ΕΠΙΣΗΣ ΤΟ ΚΟΙΝΟΒΟΥΛΙΟ, ΤΟΝ ΠΡΩΘΥΠΟΥΡΓΟ ΚΑΙ ΑΛΛΕΣ ΚΥΒΕΡΝΗΤΙΚΕΣ ΣΕΛΙΔΕΣ [hellenicparliament.gr,primeminister.gr, gov.gr].
• ΤΗΝ ΑΣΦΑΛΕΙΑ ΤΗΝ ΕΧΕΙ ΑΝΑΛΑΒΕΙ, ΜΑΛΛΟΝ ΜΕ ΣΥΜΒΑΣΗ (ΘΑ ΣΑΣ ΓΕΛΑΣΩ) Η https://www.imperva.com/, ΟΧΙ ΚΑΠΟΙΑ ΕΛΛΗΝΙΚΗ ΑΡΧΗ. ΝΑΙ, ΣΕ ΤΕΤΟΙΑ ΧΑΛΙΑ ΦΤΑΣΑΜΕ. ΤΗΝ ΑΣΦΑΛΕΙΑ ΤΗΣ "Εθνικής Αρχής Κυβερνοασφάλειας" ΤΗΝ ΕΧΕΙ ΜΙΑ ΙΔΙΩΤΙΚΗ ΕΤΑΙΡΕΙΑ ΜΕ ΕΔΡΑ ΤΙΣ ΗΠΑ.
• ΟΧΙ ΔΕΝ ΦΤΑΙΝΕ ΦΥΣΙΚΑ ΜΟΝΟΝ ΑΥΤΟΙ , ΦΤΑΙΕΙ Ο ΠΡΟΙΣΤΑΜΕΝΟΣ ΤΟΥΣ ΚΑΙ ΒΕΒΑΙΑ Ο ΓΕΝΙΚΟΣ ΨΗΦΙΑΚΟΣ ΑΝΑΛΦΑΒΗΤΙΣΜΟΣ ΤΟΥ 90% ΤΩΝ ΕΛΛΗΝΩΝ.

ΤΟΥΤΩΝ ΛΕΧΘΕΝΤΩΝ, ΔΙΑΒΑΣΤΕ ΤΟΝ ΟΔΗΓΟ ΤΟΥΣ...

Στο επίκεντρο της προσπάθειας για την ανάπτυξη ενός συστήματος διαχείρισης της ασφάλειας των πληροφοριών και των δικτύων πρέπει να βρίσκεται η μεθοδολογία προσέγγισης βάσει κινδύνου, με σκοπό την προστασία της εμπιστευτικότητας, της ακεραιότητας, της διαθεσιμότητας και της ιδιωτικότητας. Συγκεκριμένα:

1) Αναπτύξτε πολιτικές ασφάλειας, κατευθυντήριες οδηγίες και διαδικασίες για την προστασία των πληροφοριακών αγαθών και των σχετικών συστημάτων, οι οποίες να επεκτείνονται και σε προμηθευτές υπηρεσιών και αγαθών, καθώς και σε παρόχους υπηρεσιών νέφους (cloud).

2) Χρησιμοποιείτε κατάλληλα παραμετροποιημένο και ενημερωμένο λογισμικό προστασίας από κακόβουλο κώδικα (anti-malware software) με κεντρική διαχείριση. Επίσης, να υφίσταται σχέδιο (patch management) για την προγραμματισμένη εγκατάσταση των ενημερώσεων ασφάλειας (security updates) στα λειτουργικά συστήματα και τις εφαρμογές.

3) Διαχείριση λογαριασμών και έλεγχος πρόσβασης:

• *Η πρόσβαση σε πληροφορίες και συστήματα θα πρέπει να γίνεται βάσει ρόλων και καθηκόντων, σύμφωνα με την προσέγγιση “need-to-know-basis” και “least privilege”.
• *Η χρήση των λογαριασμών διαχείρισης θα πρέπει να γίνεται αποκλειστικά για διαχειριστικές εργασίες. Ανάλογα με την κρισιμότητα των δεδομένων και των συστημάτων, συστήνονται επιπλέον μέτρα, όπως π.χ. η χρήση υπολογιστών αποκλειστικά για διαχείριση, καθώς και η αυθεντικοποίηση δύο παραγόντων (two-factor-authentication).
• *Χρησιμοποιείστε ισχυρούς κωδικούς πρόσβασης (strong passwords). Συνιστάται οι κωδικοί πρέπει να έχουν μήκος τουλάχιστον 10 χαρακτήρων με συνδυασμό κεφαλαίων, μικρών, ειδικών χαρακτήρων και αριθμών.
• *Τηρείτε αρχεία καταγραφής (log files) στο δίκτυο, στους servers, στα λειτουργικά συστήματα και τις εφαρμογές, τα οποία θα ελέγχονται τακτικά για ανίχνευση επιθέσεων και προσπαθειών παραβίασης των συστημάτων.

4) Υλοποιήστε πολυεπίπεδη άμυνα:

• *Στην εξωτερική περίμετρο με τη χρήση firewalls, IDS (Intrusion Detection Systems), IPS (Intrusion Prevention Systems), access control lists κ.α..
• *Εσωτερικά με την τμηματοποίση του δικτύου (είτε με φυσικό τρόπο είτε με εικονικό τρόπο [virtual lans]) και την υλοποίηση κανόνων πρόσβασης (σε χρήστες και συσκευές) και περιορισμού δικαιωμάτων, καθώς και τη δημιουργία DMZ.

5) Υλοποιήστε σε τακτική βάση προγράμματα ευαισθητοποίησης του προσωπικού και διαμόρφωσης κουλτούρας ασφάλειας (security awareness training). Η συντριπτική πλειοψηφία των σύγχρονων κυβερνοεπιθέσεων ξεκινά με επιθέσεις κοινωνικής μηχανικής (π.χ. phishing email, spam).

6) Η απομακρυσμένη πρόσβαση (remote access) στα συστήματα του Οργανισμού θα πρέπει να γίνεται με τη χρήση VPN με ισχυρή κρυπτογράφηση, καθώς και χρήση αυθεντικοποίησης 2 παραγόντων (two-factor-authentication).

7) Αναπτύξτε ένα σχέδιο αντιμετώπισης περιστατικών (incidence response plan), το οποίο θα περιλαμβάνει σαφείς ρόλους και ενέργειες και θα δοκιμάζεται σε περιοδική βάση.

8) Θα πρέπει να τηρείτε τακτικά αντίγραφα ασφαλείας (backup) των δεδομένων σας, διασφαλίζοντας την αποτελεσματική ανάκτησή τους (recovery) σε περίπτωση απώλειας. Επίσης, τα αντίγραφα ασφαλείας των κρίσιμων και ευαίσθητων δεδομένων θα πρέπει να αποθηκεύονται με ασφαλή τρόπο και περιορισμό πρόσβασης.

9) Εφαρμόζετε μηχανισμούς κρυπτογράφησης στα κρίσιμα και προσωπικά δεδομένα που τηρούνται στον Οργανισμό, προκειμένου να εξασφαλίζεται η εμπιστευτικότητα και η ιδιωτικότητά τους σε όλα τα στάδια του κύκλου ζωής τους.

10) Εφαρμόζετε μέτρα προστασίας και ανάκαμψης από φυσικές και περιβαλλοντικές απειλές (διαταραχή ηλεκτροδότησης, πλημμύρες, πυρκαγιές κ.λπ.).

https://mindigital.gr/archives/1629

ΣΧΕΤΙΚΟ:  Kaspersky, THE STATE OF INDUSTRIAL CYBERSECURITY IN THE ERA OF DIGITALIZATION