3. Εφόσον επιβεβαιώσει η ΕΜΑ, το Συμβούλιο καλείται να εγκρίνει τη συνημμένη πολιτική ασφαλείας.

Transcript

1 Συμβούλιο της Ευρωπαϊκής Ένωσης Βρυξέλλες, 6 Ιουλίου 2015 (OR. en) 10416/15 CSCI 43 CSC 162 ΣΗΜΕΙΩΜΑ ΣΗΜΕΙΟΥ «I/Α» της: Επιτροπής Ασφαλείας του Συμβουλίου προς: την ΕΜΑ/ το Συμβούλιο Θέμα: Πολιτική ασφαλείας για τη διασφάλιση των πληροφοριών σχετικά με τη μηχανοτεχνία ασφαλείας των συστημάτων επικοινωνίας και πληροφοριών 1. Η απόφαση του Συμβουλίου σχετικά με τους κανόνες ασφαλείας για την προστασία των διαβαθμισμένων πληροφοριών της ΕΕ 1 προβλέπει ότι «εφόσον απαιτείται, το Συμβούλιο, κατόπιν συστάσεως της Επιτροπής Ασφαλείας, εγκρίνει πολιτικές ασφαλείας καθορίζοντας μέτρα για την εφαρμογή της παρούσας απόφασης.» (πρβλ. άρθρο 6 παρ. 1). 2. Η Επιτροπή Ασφαλείας του Συμβουλίου συμφώνησε να εισηγηθεί μία πολιτική που θα θεσπίσει πρότυπα για τη μηχανοτεχνία ασφαλείας των συστημάτων επικοινωνίας και πληροφοριών (CIS) για την προστασία των διαβαθμισμένων πληροφοριών της ΕΕ (ΔΠΕΕ) στα CIS όσον αφορά την εμπιστευτικότητα, την ακεραιότητα, τη διαθεσιμότητα και, όπου απαιτείται, τη γνησιότητα και τη μη άρνηση αναγνώρισης πληροφοριών. 3. Εφόσον επιβεβαιώσει η ΕΜΑ, το Συμβούλιο καλείται να εγκρίνει τη συνημμένη πολιτική ασφαλείας. 1 Απόφαση 2013/488/ΕΕ του Συμβουλίου, ΕΕ L 274, , σ /15 ΧΓ/γπ 1

2 Η σελίδα παρέμεινε σκοπίμως κενή 10416/15 ΧΓ/γπ 2

3 Πολιτική ασφαλείας για τη ΔΠ όσον αφορά τη μηχανοτεχνία ασφαλείας των συστημάτων επικοινωνίας και πληροφοριών IASP /15 ΧΓ/γπ 3

4 I ΣΚΟΠΟΣ ΚΑΙ ΠΕΔΙΟ ΕΦΑΡΜΟΓΗΣ 1. Η παρούσα πολιτική, που εγκρίθηκε από το Συμβούλιο δυνάμει του άρθρου 6, παρ. 1 των κανόνων ασφαλείας του Συμβουλίου (στο εξής ΚΑΣ), θεσπίζει κανόνες για την προστασία των διαβαθμισμένων πληροφοριών της ΕΕ (ΔΠΕΕ). Αποτελεί δε δέσμευση για την επιδίωξη αντίστοιχου επιπέδου εφαρμογής των ΚΑΣ. 2. Η παρούσα πολιτική καθορίζει ειδικές αρχές ασφαλείας και δραστηριότητες που θα ενταχθούν σε ένα πλαίσιο μηχανοτεχνίας του CIS ενός οργανισμού για να εξασφαλίσουν ότι θέματα ασφαλείας λαμβάνονται εγκαίρως υπόψη κατά την ανάπτυξη CIS. 3. Το Συμβούλιο και η Γενική Γραμματεία του Συμβουλίου (ΓΓΣ) θα εφαρμόζουν την παρούσα πολιτική ασφαλείας όσον αφορά την προστασία των ΔΠΕΕ στους χώρους τους και στα συστήματα επικοινωνιών και πληροφοριών που χρησιμοποιούν. 4. Τα κράτη μέλη ενεργούν σύμφωνα με τους εθνικούς νόμους και κανονισμούς κατά τρόπον ώστε να τηρούνται οι κανόνες που ορίζουν οι πολιτικές ασφαλείας όταν μία ΔΠΕΕ χρησιμοποιείται σε εθνικές δομές, περιλαμβανομένων των εθνικών CIS. 5. Οι οργανισμοί και τα όργανα της ΕΕ που συστάθηκαν δυνάμει του τίτλου V, κεφ. 2, της ΣΕΕ, η Ευρωπόλ και η Eurojust, θα πρέπει να χρησιμοποιούν αυτήν την πολιτική ασφαλείας ως σημείο αναφοράς για την εφαρμογή κανόνων ασφαλείας στις δικές τους δομές. 6. Η μηχανοτεχνία ασφαλείας συστήματος (SSE) πρέπει να διασφαλίζει ότι η διάταξη ασφαλείας των CIS ευθυγραμμίζεται με προσδοκίες ασφαλείας βάσει κινδύνων. Η έλλειψη αυτής της ευθυγράμμισης, λόγω μη αναμενόμενης ύπαρξης ή απουσίας δυνατοτήτων, αφήνει ανοικτά μονοπάτια για απαρατήρητες καταχρήσεις των CIS. Η παρούσα πολιτική καθορίζει ελάχιστες αρχές και δραστηριότητες που πρέπει να εκτελούνται κατά τη φάση της τεχνικοοικονομικής μελέτης ενός CIS (όπως ορίζεται στην πολιτική ασφαλείας για τη ΔΠ στον κύκλο ζωής των CIS 1 ) για να μειώνουν, σε βάση διαχείρισης του κινδύνου, αυτά τα εν δυνάμει μονοπάτια. 2 Βλ. έγγρ / /15 ΧΓ/γπ 4

5 7. Η παρούσα πολιτική δεν περιγράφει ένα ειδικό πλαίσιο για τη SSE. Μάλλον, ο οργανισμός πρέπει να ενσωματώσει την παρούσα πολιτική στο πλαίσιο μηχανοτεχνίας του CIS του και να διασφαλίζει την ύπαρξη των απαραίτητων πόρων που να στηρίζουν την εφαρμογή του. Κατάλληλες κατευθυντήριες γραμμές θα εκθέσουν λεπτομερώς, ανά στόχο ασφαλείας, κοινή ελάχιστη εφαρμογή αυτών των αρχών και δραστηριοτήτων. II ΜΗΧΑΝΟΤΕΧΝΙΑ ΑΣΦΑΛΕΙΑΣ ΣΥΣΤΗΜΑΤΟΣ Αρχές μηχανοτεχνίας ασφαλείας συστήματος 8. Ο οργανισμός πρέπει να αναπτύξει διαδικασίες για να εφαρμόσει τις αρχές που αναφέρονται κατωτέρω. Κάθε απόκλιση από αυτές τις αρχές πρέπει να αιτιολογείται στην τεκμηρίωση ασφαλείας του CIS. α) διαρκής πρόκληση ασφαλείας: τυχόν παραδοχές και αποδεικτικά στοιχεία ασφάλειας πρέπει να αμφισβητούνται σε τακτική βάση, εφόσον κρίνεται σκόπιμο από την αρχή διαπίστευσης β) ασφαλείς διαρθρώσεις: πρέπει να ακολουθούνται ορθές πρακτικές στην αρχιτεκτονική και τη διάρθρωση σχεδιασμού, που να εφαρμόζουν τουλάχιστον τις έννοιες της εις βάθος άμυνας, της διαστρωμάτωσης/ κατακερματισμού, ελαχιστότητας και απλότητας. Τα σκεπτικά πίσω από την επιλογή των διατάξεων πρέπει να είναι τεκμηριωμένα γ) προϊόν ασφάλειας: τα CIS πρέπει να βασίζονται σε πιστοποιημένα προϊόντα σύμφωνα με την αντίστοιχη πολιτική ΔΠ και όπως καταγράφεται στην επιχειρηματική αρχιτεκτονική ασφαλείας (ESA). Η επιλογή ενός προϊόντος το οποίο δεν πληροί την προϋπόθεση αυτή πρέπει να τεκμηριώνεται και να αιτιολογείται από την αρμόδια επιχειρησιακή αρχή ΔΠ και υπόκειται σε έγκριση στο πλαίσιο της διαδικασίας διαπίστευσης. Η εφαρμογή ορίζεται μέσω συμφωνημένης και επικαιροποιημένης διάρθρωσης (ή διαρθρώσεων) και τελεί υπό τον έλεγχο εκπαιδευμένου προσωπικού δ) εκπαίδευση ασφαλείας: προσωπικό που ενέχεται σε δραστηριότητες μηχανοτεχνίας που αφορούν την ασφάλεια ή έχουν επίπτωση σε αυτήν (π.χ. αρχιτεκτονική, σχεδιασμός, κωδικοποίηση, διαμόρφωση, δοκιμές, προμήθεια...) πρέπει να εκπαιδεύονται στο κατάλληλο επίπεδο θα πρέπει να τηρούνται αρχεία της κατάρτισης αυτής 10416/15 ΧΓ/γπ 5

6 ε) υπηρεσίες ασφαλείας; κάθε CIS πρέπει να εφαρμόζει, τουλάχιστον, υπηρεσίες ασφαλείας ταυτοποίησης και εξακρίβωσης στοιχείων, ελέγχου πρόσβασης και υποχρέωσης λογοδοσίας. Οι αντίστοιχοι μηχανισμοί πρέπει να πληρούν το επίπεδο ισχύος και διασφάλισης που ζητά η δήλωση απαιτήσεων ασφαλείας ανταποκρινόμενων στο ιδιαίτερο σύστημα (SSRS) στ) ρόλοι ασφαλείας: οι ρόλοι ανάπτυξης του συστήματος και διασφάλισης της ποιότητας (περιλαμβανομένης της διαπίστευσης) δεν μπορούν να επιτελούνται από τους ίδιους φορείς ζ) διαχωρισμός συστημάτων: τα συστήματα λειτουργίας και δοκιμών θα πρέπει να είναι διαφορετικά. Εάν το λειτουργικό σύστημα χρησιμοποιείται και για την εκτέλεση δοκιμών αναβάθμισης (π.χ. μπάλωμα, νέα έκδοση λογισμικού...), η τεκμηρίωση ασφαλείας πρέπει να περιλαμβάνει όλα τα καθήκοντα που πρέπει να εκτελεστούν για να αποφευχθεί η διακινδύνευση των στόχων ασφαλείας του CIS. Θεώρηση πλαισίου ασφαλείας του CIS 9. Η ασφάλεια των CIS μπορεί να τεθεί σε κίνδυνο, πολύ πριν το σύστημα διατεθεί προς λειτουργική χρήση: ανεπαρκής εκτίμηση των πιθανών τρωτών σημείων στη μηχανοτεχνία και σε μελλοντικά λειτουργικά περιβάλλοντα μπορούν να ανοίξουν ευκαιρίες για την ενσωμάτωση (ή την παραμονή) ανεπιθύμητων συστατικών ή λειτουργικών δυνατοτήτων που θα μπορούσαν να επηρεάσουν τη διάταξη ασφαλείας. 10. Για να εντοπίζει και να αξιολογεί αυτά τα πιθανά τρωτά σημεία, ο οργανισμός πρέπει να καταρτίσει, και να επικαιροποιεί, μια θεώρηση πλαισίου ασφαλείας των CIS. Ενσωματωμένη στην ESA, η θεώρηση αυτή πρέπει: α) να εντοπίζει και να παρακολουθεί όλους τους πόρους που χρησιμοποιούνται κατά τη διάρκεια του κύκλου ζωής του CIS, είτε είναι τεχνικοί (π.χ. ξαναχρησιμοποιημένοι αλγόριθμοι, πρότυπα κωδικοποίησης, εργαλεία όπως ο μεταγλωττιστής...), προσωπικό (π.χ. τεχνογνωσία, εκκαθάριση...), εγκαταστάσεις (π.χ. επίπεδο προστασίας, πρόσβαση...) ή διαδικασίες (π.χ. δημόσιες συμβάσεις, αλυσίδα εφοδιασμού, μπαλώματα...) β) να ορίζει το επίπεδο αξιοπιστίας που αποδίδεται σε αυτούς τους πόρους γ) να στηρίζεται από κατάλληλες διαδικασίες για να ορίσει πώς θα εισάγει, θα τροποποιεί ή θα ανακαλεί πόρους δ) να τίθεται υπό αμφισβήτηση, όσον αφορά την ασφάλεια των παραδοχών και την αξιοπιστία, ώστε να εξασφαλίζεται η συνεχής της συμμόρφωση με τη διάθεση ανάληψης κινδύνων του οργανισμού /15 ΧΓ/γπ 6

7 11. Κατά την ανάπτυξη ενός νέου CIS (ή μιας νέας συνιστώσας υφιστάμενου CIS) η θεώρηση θα χρησιμοποιείται για να συμπληρωθεί η νοερή αρχιτεκτονική ασφαλείας που αναπτύσσεται κατά τη φάση αιτιολόγησης με πρόσθετες αρχιτεκτονικές απαιτήσεις για να αντιμετωπιστούν δυνητικά τρωτά σημεία και απειλές. Οι πρόσθετες αυτές απαιτήσεις πρέπει να απευθύνονται στο σύστημα ειδικής εκτίμησης κινδύνου και να τεκμηριώνονται στο ΕΔΑΑ. Δραστηριότητες μηχανοτεχνίας ασφαλείας συστήματος 12. Για να εξασφαλιστεί η πρέπουσα ενσωμάτωση της ασφαλείας στα συστήματα, οι διαδικασίες αρχιτεκτονικού πλαισίου του CIS και διαχείρισης του σχεδίου του οργανισμού πρέπει να περιλαμβάνουν τουλάχιστον τις ακόλουθες δραστηριότητες: α) επιλογή γλωσσών για ανάπτυξη επιχειρησιακών και αρχιτεκτονικών μοντέλων ικανών να αντιπροσωπεύουν τις ανησυχίες του CIS όσον αφορά την ασφάλεια β) παραγωγή θεωρήσεων λεπτομερούς αρχιτεκτονικής και σχεδιασμού που να ενσωματώνουν υπηρεσίες και μηχανισμούς ασφαλείας γ) ανάπτυξη ενός πλαισίου υποθέσεων διασφάλισης της ασφαλείας για να ορίζεται πώς πρέπει να εκφράζονται και να δοκιμάζονται ισχυρισμοί και αποδεικτικά στοιχεία. 13. Ο οργανισμός πρέπει να αναπτύξει μια στρατηγική για την ανάπτυξη του CIS (ή συστατικών του) μέσω είτε εσωτερικών πόρων ή εξωτερικού (-ών) προμηθευτή (-ών). Η στρατηγική αυτή πρέπει να καλύπτει τις πτυχές ασφαλείας των ακόλουθων τουλάχιστο πτυχών: α) εσωτερική ικανότητα να αναπτύσσεται CIS που να συμμορφώνεται με ειδικούς στόχους ασφαλείας β) κριτήρια προς επιλογή μεταξύ εσωτερικής ή εξωτερικής ανάπτυξης CIS γ) διατάξεις περί προμηθειών για να λαμβάνονται δεόντως υπόψη οι απαιτήσεις ασφαλείας κατά την επιλογή μιας προσφοράς δ) διατάξεις που να περιλαμβάνονται στα έγγραφα συμβάσεων και να ορίζουν τα δικαιώματα και τις υποχρεώσεις των προμηθευτών /15 ΧΓ/γπ 7

8 14. Για να πλαισιώσει την ανάπτυξη του CIS ο οργανισμός πρέπει α) να αναπτύξει ένα αποθετήριο λύσεων και καλά τεκμηριωμένη και ελεγχόμενη αρχιτεκτονική η οποία να πληροί τις πιο βασικές επιχειρηματικές ανάγκες του οργανισμού β) να ορίσει έναν κατάλογο με επιτελικούς ελέγχους ασφαλείας που μπορούν να χρησιμοποιηθούν για την υλοποίηση ενός επιπέδου ασφαλείας. Οι έλεγχοι αυτοί πρέπει να στηρίζονται από κατάλληλες διαδικασίες για το πώς να αποδεικνύεται η αποτελεσματικότητα γ) να ορίσει εγκεκριμένα περιβάλλοντα για ανάπτυξη CIS, αναφέροντας τους πόρους (δηλ. εγκαταστάσεις, λογισμικό, εργαλεία, προσωπικό...) που θα χρησιμοποιηθούν για να εγγυηθούν την ακεραιότητα και την εμπιστευτικότητα των δοκιμών του συστήματος κατά την ανάπτυξή του. Αυτά τα εγκεκριμένα περιβάλλοντα θα είναι ευθυγραμμισμένα με τη θεώρηση πλαισίου ασφαλείας των CIS. 15. Κατά την ανάπτυξη ενός συστήματος, διαδικασίες πρέπει να εξασφαλίζουν ότι α) κάθε παρέκκλιση από το αποθετήριο της ESA πρέπει να δικαιολογείται, καθώς κάθε χρήση νέου προϊόντος ή παραλλαγής πρέπει είτε να υποστηρίζεται από απόδειξη ικανότητας με όρους ασφαλειακού διασχηματισμού και λειτουργίας, είτε να γίνεται ρητά δεκτή από την Αρχή Διαπίστευσης Ασφαλείας β) όταν ένα πολύπλοκο σύστημα πρέπει να κατατμηθεί, οι στόχοι ασφαλείας των μερών παραμένουν ευθυγραμμισμένοι με εκείνους του συστήματος στο σύνολό του γ) όταν η αρχιτεκτονική ή ο σχεδιασμός υφίσταται σημαντικές εξελίξεις, πρέπει να εγκριθούν επικαιροποιημένες θεωρήσεις από τα ενδιαφερόμενα μέρη για να επιβεβαιώσουν ότι οι ανησυχίες τους περί της ασφάλειας εξακολουθούν να αντιμετωπίζονται επαρκώς. Δοκιμές ασφαλείας συστήματος 16. Ο οργανισμός πρέπει να σχεδιάζει σταδιακές δοκιμές ασφαλείας κατά την ανάπτυξη του συστήματος. Οι δοκιμές που πρέπει να διενεργούνται για να εγγυώνται τη διάταξη ασφαλείας του CIS όταν το σύστημα είναι εγκατεστημένο στις λειτουργικές εγκαταστάσεις πρέπει να τεκμηριώνονται σε ένα έγγραφο δοκιμών της εγκατάστασης CIS. Το έγγραφο αυτό θα αποτελέσει μέρος των λειτουργικών διαδικασιών ασφαλείας (SecOPs) /15 ΧΓ/γπ 8

9 17. Πρέπει να αναπτυχθούν μία ή περισσότερες υποθέσεις ασφαλείας για να ορίζουν πώς ισχυρισμοί ασφαλείας μπορούν να υποστηρίζονται από αποδεικτικά στοιχεία. Τα στοιχεία πρέπει να είναι μετρήσιμα, αναπαραγώγιμα και να βασίζονται σε απτές παραμέτρους. Οι υποθέσεις πρέπει να εξασφαλίζουν ότι η ισχύς και η εξασφάλιση των μηχανισμών ασφαλείας είναι αυτές που απαιτούνται στο ΕΔΑΑ. 18. Ο οργανισμός πρέπει να διασφαλίζει ότι α) οι στόχοι, οι διαδικασίες και τα εργαλεία των δοκιμών είναι αντίστοιχα με την υπόθεση ασφαλείας β) οι δοκιμές εκτελούνται από εκπαιδευμένο προσωπικό γ) μερική δοκιμή της ασφαλείας πρέπει να εκτελείται το συντομότερο δυνατόν κατά τη διαδικασία ανάπτυξης προκειμένου να αποφευχθούν αποφάσεις μερικής ανάπτυξης, τα αποτελέσματα της οποίας ίσως εμποδίσουν τους στόχους ασφαλείας του CIS δ) όταν ανατίθενται εξωτερικά, οι δοκιμές πρέπει να υποστηρίζονται από διαδικασίες που εξασφαλίζουν επαρκή έλεγχο των εκτελούμενων δοκιμών και ταξινόμηση των δεδομένων της δοκιμής. Παραδοτέα της φάσης μηχανοτεχνίας 19. Το σύστημα που διατίθεται για λειτουργική χρήση πρέπει να περιλαμβάνει τουλάχιστον την ακόλουθη τεκμηρίωση ασφαλείας: α) ΕΔΑΑ (SSRS) β) ΛΔΑ (SecOPs) γ) Σχέδια ασφαλειακών πόρων που να συντηρούν την ασφάλεια, περιλαμβανομένων λεπτομερών όρων και εξασφάλισης προμηθειών και εξωτερικών αναθέσεων, αν υπάρχουν /15 ΧΓ/γπ 9