Lesson Learned για την αύξηση της προστασίας των Εθνικά Χαρακτηρισμένων Ευρωπαϊκών υποδομών Ζωτικής σημασίας Έλλη Παγουρτζή ΚΕ.ΜΕ.Α. 1
ΠΡΟΤΥΠΑ ΣΧΕΔΙΑ Σχέδιο Εκτίμησης Επικινδυνότητας Σχέδιο Εκτίμησης Τρωτότητας Σχέδιο Αναφοράς Ασφάλειας Λειτουργίας - Security Σχέδιο Διαχείρισης Εκτάκτων Καταστάσεων & Αδιάλειπτης Λειτουργίας 2
Σχέδιο Εκτίμησης Επικινδυνότητας Χαρακτηρισμός εγκατάστασης Αναγνώριση κρίσιμων στοιχείων εγκατάστασης δυνητικών στόχων Κατηγοριοποίηση απειλών Συνιστώσες επικινδυνότητας Μήτρα επικινδυνότητας 3
Σχέδιο Εκτίμησης Επικινδυνότητας - Χαρακτηρισμός εγκατάστασης Γεωγραφικά, χωροταξικά και κτιριολογικά χαρακτηριστικά Τεχνικές υποδομές και συστήματα παραγωγής/λειτουργίας, μεταφοράς/διακίνησης, κλπ, υποστηρικτικά συστήματα και εξοπλισμός λειτουργίας και προστασίας Συναρτώμενες/συνδεδεμένες εξωτερικές υποδομές, εξοπλισμός και συστήματα λειτουργίας ή υποστήριξης Αξία και κρισιμότητα, υποδομών, συστημάτων, λειτουργικών τομέων, δικτύων, εξοπλισμού, λειτουργιών, κλπ Χαρακτηριστικά από άποψη ασφάλειας εγγύς περιβάλλουσας περιοχής Αρχές Ασφάλειας και Έκτακτης Ανάγκης 4
Σχέδιο Εκτίμησης Επικινδυνότητας -Αναγνώριση κρίσιμων στοιχείων εγκατάστασης δυνητικών στόχων Επιλογή κριτηρίων σημαντικότητας στόχων Συνέπειες απώλειας : απώλειες, κόστος - χρόνος αποκατάστασης Αναγνώριση εγκατάστασης Επιτόπιος έλεγχος, σχέδια, συνεντεύξεις με προσωπικό Ανάλυση ιστορικού περιστατικών Προηγούμενες αξιολογήσεις «Εκ των έσω απειλή» 5
Σχέδιο Εκτίμησης Επικινδυνότητας -Κατηγοριοποίηση απειλών Αναγνώριση, καταγραφή και διάκριση απειλών/κινδύνων, συνολικά και ανά κρίσιμη υποδομή/σύστημα/ λειτουργικό τομέα Ανθρωπογενείς απειλές (εξωτερικές) Εκ των έσω απειλή (Insider threat) Τεχνολογικοί κίνδυνοι-ατυχήματα Κίνδυνοι από φυσικά φαινόμενα 6
Σχέδιο Εκτίμησης Επικινδυνότητας Συνιστώσες επικινδυνότητας Πιθανοφάνεια: εκτίμηση των συνθηκών για την εκδήλωση της απειλής/κινδύνου Εγκατάσταση : α) ελκυστικότητα β) τρωτότητα Δυνατότητες επιτιθεμένου Πραγματοποίηση Απειλής Αντίκτυπος: Κατηγοριοποίηση επιπτώσεων Ανθρώπινες απώλειες Οικονομία Περιβάλλον Φήμη Επιθυμία Πρόθεση Κίνητρο Πόροι Δυνατότητα Γνώση 7
Σχέδιο Εκτίμησης Επικινδυνότητας Μήτρα επικινδυνότητας 8
Σχέδιο Εκτίμησης Τρωτότητας Ανάλυση τρωτότητας Αναγνώριση ευπαθειών/αδυναμιών βάσει σεναρίων πιθανής εκδήλωσης κάθε συγκεκριμένης απειλής/κινδύνου, σε κρίσιμα στοιχεία, υποδομές, συστήματα και λειτουργικούς τομείς της εγκατάστασης, με διάκριση σε: Δομικά/κτιριολογικά χαρακτηριστικά Στοιχεία τεχνικού, λειτουργικού και υποστηρικτικού εξοπλισμού Συστήματα φυσικής και ηλεκτρονικής ασφάλειας Διοικητικές/Οργανωτικές Διαδικασιών λήψης αποφάσεων, συντονισμού και διαχείρισης συμβάντων/εκτάκτων αναγκών Ανθρώπινου παράγοντα/κουλτούρας ασφάλειας 9
Αξιολόγηση συναγερμού Εξουδετέρωση Σχέδιο Εκτίμησης Τρωτότητας Εκτίμηση τρωτότητας Χρήση της αρχής: «Αποτροπή, ανίχνευση, καθυστέρηση, εξουδετέρωση» (Deter, detect, delay, response) Έναρξη Τερματισμός Συστήματα Καθυστέρησης Χρόνος αντιμετώπισης Αρχικός συναγερμός Ανίχνευση Απόκρισης Χρόνος T 0 T A T I T C 10
Σχέδιο Εκτίμησης Τρωτότητας Διαδικασία εκτίμησης τρωτότητας 11
Σχέδιο Εκτίμησης Τρωτότητας Επιλογή σεναρίου Επιτιθέμενοι ομάδα αντιμετώπισης Ανάλυση σεναρίου και εκτίμηση χρόνων για κάθε δράση Τα σενάρια να έχουν σημαντικές διαφοροποιήσεις ώστε να είναι διακριτές οι διαφορές τους και να κατηγοριοποιούνται οι απειλές σύμφωνα με το βαθμό προτεραιότητα τους Οι επιτιθέμενοι να χρησιμοποιούν όλο το εύρος των δυνατοτήτων (cyber, εναέριες, μαζικές, ) και συνδυαστικά Επιλογή διαδρομής εκδήλωσης της επίθεσης ώστε να συμπεριλαμβάνει πολλαπλά στοιχεία της εγκατάστασης - Περαιτέρω ανάλυση για τα επικρατέστερα σενάρια - Τρόποι διαφυγής 12
Σχέδιο Αναφοράς Ασφάλειας Λειτουργίας - security Δυναμικά εξελισσόμενο εργαλείο Οργάνωσης & Διαχείρισης της Ασφάλειας (Security) των Υποδομών Ζωτικής Σημασίας (Υ.Ζ.Σ.) σε επίπεδο καθημερινότητας Επικεντρώνεται στον προσδιορισμό του πλαισίου προστασίας από κακόβουλες ανθρωπογενείς απειλές/κινδύνους και στην εύρυθμη λειτουργία της υποδομής 13
Σχέδιο Αναφοράς Ασφάλειας Λειτουργίας - security Συσχέτιση με άλλα σχέδια Σχέδια Επικινδυνότητας & Τρωτότητας Σχέδιο Αναφοράς Ασφάλειας Λειτουργίας Σχέδιο Αντιμετώπισης Έκτακτης Ανάγκης & Αδιάλειπτης Λειτουργίας Σχέδιο Security σε κατάσταση Business as usual 14
Σχέδιο Αναφοράς Ασφάλειας Λειτουργίας - security Προαπαιτούμενα Σχεδιασμός Εφαρμογή Παρακολούθηση Επικαιροποίηση 15
Σχέδιο Αναφοράς Ασφάλειας Λειτουργίας - security Προαπαιτούμενα ΠΟΛΙΤΙΚΗ ΟΡΓΑΝΟΓΡΑΜΜΑ ΑΡΜΟΔΙΟΤΗΤΕΣ / ΠΕΡΙΓΡΑΦΕΣ ΚΑΘΗΚΟΝΤΩΝ ΠΡΟΥΠΟΛΟΓΙΣΜΟΣ ΜΕΘΟΔΟΛΟΓΙΑ ΕΠΙΛΟΓΗΣ ΕΛΑΧΙΣΤΩΝ ΜΕΤΡΩΝ & ΔΙΑΔΙΚΑΣΙΩΝ ΑΣΦΑΛΕΙΑΣ 16
Σχέδιο Αναφοράς Ασφάλειας Λειτουργίας - security Σχεδιασμός ΥΦΙΣΤΑΜΕΝΗ / ΤΡΕΧΟΥΣΑ ΝΟΜΟΘΕΣΙΑ ΠΡΟΣΔΙΟΡΙΣΜΟΣ ΚΡΙΣΙΜΩΝ ΠΕΡΙΟΥΣΙΑΚΩΝ ΣΤΟΙΧΕΙΩΝ ΕΚΤΙΜΗΣΗ ΕΠΙΚΙΝΔΥΝΟΤΗΤΑΣ ΚΑΙ ΤΡΩΤΟΤΗΤΑΣ ΑΝΑΓΝΩΡΙΣΗ ΕΝΔΙΑΦΕΡΟΜΕΝΩΝ ΜΕΡΩΝ 17
Σχέδιο Αναφοράς Ασφάλειας Λειτουργίας - security Εφαρμογή ΤΕΧΝΙΚΑ ΜΕΤΡΑ ΑΣΦΑΛΕΙΑΣ ΔΙΑΔΙΚΑΣΙΕΣ ΑΣΦΑΛΕΙΑΣ ΒΑΘΜΙΑΙΑ ΜΕΤΡΑ ΑΣΦΑΛΕΙΑΣ ΕΠΙΚΟΙΝΩΝΙΑ ΚΑΙ ΔΙΚΤΥΩΣΗ ΕΚΠΑΙΔΕΥΣΗ 18
Σχέδιο Αναφοράς Ασφάλειας Λειτουργίας - security Παρακολούθηση ΕΠΙΘΕΩΡΗΣΗ / ΕΛΕΓΧΟΣ ΕΦΑΡΜΟΓΗΣ ΜΕΤΡΩΝ ΚΑΙ ΔΙΑΔΙΚΑΣΙΩΝ ΣΤΟΧΟΙ / ΔΕΙΚΤΕΣ ΕΠΙΔΟΣΗΣ ΣΥΛΛΟΓΗ ΣΤΟΙΧΕΙΩΝ / ΑΝΑΦΟΡΕΣ / ΣΤΑΤΙΣΤΙΚΑ ΔΙΑΧΕΙΡΙΣΗ ΕΓΓΡΑΦΩΝ ΚΑΙ ΤΗΡΗΣΗ ΑΡΧΕΙΟΥ Επικαιροποίηση 19
Σχέδιο Διαχείρισης Εκτάκτων Καταστάσεων & Αδιάλειπτης Λειτουργίας Η επιχειρησιακή συνέχεια : «Το τεκμηριωμένο πλαίσιο οργάνωσης του μηχανισμού απόκρισης ενός οργανισμού, προκειμένου σε περίπτωση απρόβλεπτου συμβάντος να μειωθούν οι απώλειες σε κάθε επίπεδο (άνθρωποι, πάγια, έσοδα, φήμη) και οι κρίσιμες λειτουργίες του να επανέλθουν, στο πρακτικότερο δυνατό χρονικό διάστημα» 20
Σχέδιο Διαχείρισης Εκτάκτων Καταστάσεων & Αδιάλειπτης Λειτουργίας Σύνδεση με λοιπά θέματα ασφάλειας Αλληλεξαρτήσεις με άλλους οργανισμούς Διαχείριση κινδύνων Διαχείριση τρωτότητας Διαχείριση Ασφάλειας Μετάδοση κρίσης Επιπτώσεις Κυκλική συνάφεια 21
Σχέδιο Διαχείρισης Εκτάκτων Καταστάσεων & Αδιάλειπτης Λειτουργίας ΠΡΟΒΛΗΜΑΤΙΣΜΟΙ Έχουμε αναγνωρίσει όλες τις απειλές / ρίσκα; Μπορούμε να προβλέψουμε σωστά την πιθανότητα; Είναι οι αριθμητικές κλίμακες κατάλληλες; Ο αντίκτυπος λαμβάνει υπόψη την παράμετρο χρόνο; Μήπως πολλές φορές η λύση μετατρέπεται σε ρίσκο; Το «απροσδόκητο» είναι η πραγματική πρόκληση Ο λειτουργικός κίνδυνος χρειάζεται κοινή λογική / η στατιστική ανάλυση από μόνη της δεν επαρκεί 22
Σχέδιο Διαχείρισης Εκτάκτων Καταστάσεων & Αδιάλειπτης Λειτουργίας Στρατηγικές προστασίας Υποδομών Έγκαιρος υπολογισμός και αναγνώριση αλληλεξαρτήσεων Υιοθέτηση Standards (π.χ. ISO22301:2012 Business Continuity Management) Ανάπτυξη Ανθεκτικότητας και Αδιάλειπτης Λειτουργίας σε όλα τα επίπεδα Δυναμική Επικαιροποίηση σχεδίων από κοινού με τα εμπλεκόμενα μέρη Δοκιμές, Εκπαίδευση, Δοκιμές, Αξιολόγηση, Δοκιμές,... 23
Ευχαριστώ πολύ για την προσοχή σας www.ciprotection.gr e.pagourtzi@kemea-research.gr 24