ΔΘΝΗΚΖ ΥΟΛΖ ΓΖΜΟΗΑ ΓΗΟΗΚΖΖ ΗΕ ΔΚΠΑΗΓΔΤΣΗΚΖ ΔΗΡΑ ΣΜΖΜΑ ΓΔΝΗΚΖ ΓΗΟΗΚΖΖ ΣΔΛΗΚΖ ΔΡΓΑΗΑ

ΔΘΝΗΚΖ ΥΟΛΖ ΓΖΜΟΗΑ ΓΗΟΗΚΖΖ ΗΕ ΔΚΠΑΗΓΔΤΣΗΚΖ ΔΗΡΑ ΣΜΖΜΑ ΓΔΝΗΚΖ ΓΗΟΗΚΖΖ ΣΔΛΗΚΖ ΔΡΓΑΗΑ Θέμα: Αζθάλεια Γεδομένων και Πποζηαζία Ηδιωηικόηηηαρ Γιεθνείρ και Δςπωπαϊκέρ Ππωηοβοςλίερ Δπιβλέποςζα: ιοςγλέ Δςθποζύνη ποςδαζηήρ: Βαλμάρ Δςάγγελορ ΑΘΖΝΑ - 2006

2 ΠΔΡΗΔΥΟΜΔΝΑ ελ. Α. Πεπίληψη 4 Β. Summary 6 Γ. Λέξειρ Κλειδιά 8 Γ. Διζαγωγή. 9 1. Αζθάλεια και Πποζηαζία Πποζωπικών Γεδομένων... 12 1.1. Παξνπζίαζε Βαζηθψλ Δλλνηψλ Αζθάιεηαο... 15 1.1.1 Οξηζκόο Αζθάιεηαο Γεδνκέλσλ.... 15 1.1.2 Τνκείο Άμνλεο Αζθάιεηαο.... 17 1.1.3 Πνιηηηθέο Αζθάιεηαο... 21 1.2. Παξνπζίαζε Βαζηθψλ Δλλνηψλ Πξνζηαζίαο Πξνζσπηθψλ Γεδνκέλσλ....... 27 1.2.1 Οξηζκόο Πξνζηαζίαο Πξνζσπηθώλ Γεδνκέλσλ.... 28 1.2.2 Πνιηηηθέο Πξνζηαζίαο Πξνζσπηθώλ Γεδνκέλσλ. 30 1.2.3 Τερλνινγίεο Πξνζηαζίαο Ιδησηηθόηεηαο (PETs)... 34 2. Γιεθνείρ και Δςπωπαϊκέρ Ππωηοβοςλίερ. 38 2.1 Γηεζλείο Οξγαληζκνί (ΟΖΔ, ΟΟΑ,EDPS)..... 39 2.2 Δπξσπατθή Έλσζε.... 41 2.3. Παξνπζίαζε Αξρψλ Πξνζηαζίαο Πξνζσπηθψλ Γεδνκέλσλ Ννκνζεζία θαη Πξσηνβνπιίεο γηα ηελ Αζθάιεηα θαη ηελ Πξνζηαζία Γεδνκέλσλ... 44 2.3.1. Δπξσπατθέο Αξρέο... 45 2.3.1.1 Διιάδα.. 45 2.3.1.2 Κύπξνο... 51

3 2.3.1.3 Απζηξία.. 54 2.3.1.4 Γεξκαλία. 57 2.3.1.5 Πνισλία..... 61 2.3.1.6 Φηλιαλδία... 65 2.3.1.7 Γαιιία. 69 2.3.1.8 Ιζπαλία... 73 2.3.1.9 Αγγιία. 78 2.3.2 Καλαδάο. 84 2.3.3 Απζηξαιία.. 90 3. ςμπεπάζμαηα.... 96 Δ. Βιβλιογπαθία 100

4 Α. ΠΔΡΗΛΖΦΖ Ζ ζπγθεθξηκέλε εξγαζία έρεη δχν αληηθείκελα: Α. Γλσξηκία κε ηηο βαζηθέο έλλνηεο ηεο αζθάιεηαο ησλ πξνζσπηθψλ δεδνκέλσλ θαη ηεο πξνζηαζίαο ηεο ηδησηηθφηεηαο ψζηε λα γίλνπλ θαηαλνεηέο νη απεηιέο θαη λα παξνπζηαζηνχλ νη ηξφπνη πνπ ρξεζηκνπνηνχληαη επξέσο πξνο αληηκεηψπηζή ηνπο. ην ηκήκα απηφ ηεο εξγαζίαο παξνπζηάδνληαη νη ηνκείο άμνλεο ηεο αζθάιεηαο, νη πνιηηηθέο αζθάιεηαο θαη νη πνιηηηθέο πξνζηαζίαο πξνζσπηθψλ δεδνκέλσλ, ηα ζηνηρεία πνπ είλαη απαξαίηεηα γηα ηελ αλάπηπμε ππνδνκήο αζθάιεηαο θαη γίλεηαη αλαθνξά ζε έλα νινθιεξσκέλν ζχζηεκα αζθάιεηαο πνπ πξέπεη λα πεξηιακβάλεη φινπο ηνπο ηνκείο αζθάιεηαο, ζηε ζρεηηθή λνκνζεζία θαζψο θαη ζηηο ηερλνινγίεο ελίζρπζεο ηδησηηθφηεηαο (Privacy Enhancing Technologies PETs). Β. Παξνπζηάδνληαη νη λνκνζεζίεο πνπ εθαξκφδνληαη θαζψο θαη νη αξκνδηφηεηεο ησλ, επηθνξηηζκέλσλ κε ηελ επίβιεςε ηνπ λφκνπ, Αξρψλ Πξνζηαζίαο Πξνζσπηθψλ Γεδνκέλσλ. Δπίζεο αλαθέξνληαη νη πξαθηηθέο πνπ αθνινπζνχλ νη ρψξεο, δειαδή ζέκαηα αζθάιεηαο ζπγθεθξηκέλα ζην λνκνζεηηθφ πιαίζην θάζε ρψξαο θαη ηηο πξσηνβνπιίεο ζε επίπεδν αζθάιεηαο θαη ηδησηηθφηεηαο. Ξεθηλνχκε πξψηα απφ ηε γεληθφηεξε (δηεζλή) θιίκαθα, έπεηηα πεξλάκε ζε εηδηθφηεξε (επξσπατθή) θαη ηέινο ζε ζπγθεθξηκέλε παξνπζηάδνληαο θάπνηα επηιεγκέλα θξάηε, εληφο θαη εθηφο Δπξσπατθήο Έλσζεο. ην ηέινο ηεο εξγαζίαο ππάξρνπλ θάπνηα ζπκπεξάζκαηα ζρεηηθά κε ηηο αξρέο πξνζηαζίαο πξνζσπηθψλ δεδνκέλσλ ησλ ρσξψλ πνπ επηιέρζεθαλ λα παξνπζηαζηνχλ, ηελ αληίζηνηρε λνκνζεζία ηνπο θαη ηηο πξσηνβνπιίεο πνπ έρνπλ αλαιάβεη πξνθεηκέλνπ λα δηαπηζησζεί ε πθηζηάκελε θαηάζηαζε θαη πνηέο πξννπηηθέο ππάξρνπλ πξνθεηκέλνπ λα γίλνπλ βειηηψζεηο θαη πξνζζήθεο. Αθνινπζήζεθε ε κεζνδνινγία ηεο έξεπλαο απφ ηηο πξσηνγελείο πεγέο θπξίσο ζηνπο δηαδηθηπαθνχο ηφπνπο δηεζλψλ νξγαληζκψλ θαη ησλ Αξρψλ Πξνζηαζίαο Πξνζσπηθψλ Γεδνκέλσλ ησλ επηκέξνπο θξαηψλ. Δπηθνπξηθά ρξεζηκνπνηήζεθαλ νξηζκέλεο βηβιηνγξαθηθέο πεγέο θαζψο θαη δεκνζηεχκαηα απφ ηνλ εκεξήζην Σχπν, φπσο επίζεο θαη απφ ηνπο δηαδηθηπαθνχο ηνπο

5 ηφπνπο. Απνηέιεζκα ησλ παξαπάλσ ήηαλ ε εχξεζε ησλ θξίζηκσλ εθείλσλ ζηνηρείσλ ψζηε λα πξαγκαηνπνηεζεί απηή ε εξγαζία, φπσο ησλ βαζηθψλ νξηζκψλ θαη ελλνηψλ, ηεο λνκνζεζίαο, ησλ πξσηνβνπιηψλ θαη ησλ δξαζηεξηνηήησλ ησλ Αξρψλ Πξνζηαζίαο Πξνζσπηθψλ Γεδνκέλσλ ησλ θξαηψλ πνπ παξνπζηάδνληαη. Χο ηειηθφ ζπκπέξαζκα ππνζηεξίδεηαη φηη ππάξρεη πνιχ ηθαλνπνηεηηθφ δηεζλέο θαη επξσπατθφ πιαίζην γηα ηελ αζθάιεηα ησλ πξνζσπηθψλ δεδνκέλσλ θαη ηελ πξνζηαζία ηεο ηδησηηθφηεηαο. Δπίζεο νη Αξρέο έρνπλ πνιιέο δπλαηφηεηεο πξνθεηκέλνπ λα επηβιέπνπλ ηελ εθαξκνγή ηνπ λφκνπ. Δξσηεκαηηθά φκσο ππάξρνπλ αλ θαη θαηά πφζνλ ην ππάξρνλ πιαίζην ζα ζπλερίζεη λα πθίζηαηαη ελ φςεη ησλ λέσλ αζχκκεηξσλ απεηιψλ πνπ έρνπλ εκθαληζηεί ηα ηειεπηαία ρξφληα κε πξνεμάξρνλ εθείλν ηεο δηεζλνχο ηξνκνθξαηίαο.

6 Β. SUMMARY This paper has two objectives: A. Acquaintance with the basic concepts of the safety of personal data and the protection of privacy so that the reader can understand the threats concerning these matters and the presentation of the ways that are used widely to confront these threats. In this section of the paper are presented the sectors - axes of safety, the security policies, the technologies for the protection of privacy and the policies for the protection of personal data, the elements that are essential for the development of a security infrastructure, a complete security system that should include all the sectors of security, the relative legislation as well as Privacy Enhancing Technologies - PETs. B. In this section there is the presentation of the legislation that is applied as well as the competences of the Authorities of Protection of Personal Data that are charged with the supervision of law, Also there is reference to the practices that the countries follow, namely the security issues in the legislative frame of each country and the initiatives in the security and privacy level. The start is from the general (international) scale, then the special (European) and finally in the particular presenting some selected states, inside and outside the European Union. In the end of this paper there are some conclusions regarding the authorities of protection of personal data of the countries that were selected for presentation, their legislation and the initiatives that they have undertaken so that one can realise the existing situation and what prospects exist for improvements and additions. The methodology that was mainly followed was the research from primary sources in the websites of international organizations and in the websites of the Authorities of Protection of Personal Data of the individual states. Complementarily the previous sources certain bibliographic sources are used as well as articles from the daily Press and also from their websites. The result was the finding of the critical elements for the creation of this paper, i.e. the basic definitions and concepts, the legislation, the initiatives

7 and the activities of the Authorities of Protection of Personal Data of the states that are presented. As a final conclusion it is supported that there exists a very satisfactory international and European frame for the security of the personal data and the protection of privacy. Also the Authorities have a lot of capabilities for the supervising of the law s implementation. However some questions exist concerning the existing frame and particularly if it will continue to exist in view of the new asymmetrical threats that have aroused in the recent years, mainly the threat from the international terrorism.

8 Γ. Λέξειρ Κλειδιά Αζθάιεηα πξνζσπηθψλ δεδνκέλσλ, πξνζηαζία ηδησηηθφηεηαο, ππνθείκελν πξνζσπηθψλ δεδνκέλσλ, ππεχζπλνο επεμεξγαζίαο, επαίζζεηα πξνζσπηθά δεδνκέλα, ηνκείο αζθάιεηαο, άμνλεο αζθάιεηαο, ζρέδην αζθάιεηαο, ππνδνκή αζθάιεηαο, νινθιεξσκέλν ζχζηεκα αζθάιεηαο, ζρέδην έθηαθηεο αλάγθεο, πνιηηηθή αζθάιεηαο, πνιηηηθή πξνζηαζίαο πξνζσπηθψλ δεδνκέλσλ, ηερλνινγίεο ελίζρπζεο ηδησηηθφηεηαο, privacy enhancing technologies (PETs), Αξρή Πξνζηαζίαο Πξνζσπηθψλ Γεδνκέλσλ.

9 Γ. Διζαγωγή Ζ ξαγδαία εμέιημε ηεο θνηλσλίαο ηεο πιεξνθνξίαο πνπ βαζίδεηαη ζηηο λέεο ηερλνινγίεο επηθνηλσληψλ θαη πιεξνθνξηθήο, ζηελ εθηεηακέλε ρξήζε ηνπ δηαδηθηχνπ θαη ζε λέεο δηαδηθαζίεο θαη λέεο εηδηθφηεηεο, ε ρξήζε ησλ νπνίσλ βνεζά ζηε βειηίσζε ηεο πνηφηεηαο δσήο ησλ πνιηηψλ, αιιάδεη παιηέο πξαθηηθέο αιιειεπίδξαζεο ηεο θνηλσλίαο θαη πξνσζεί ηελ ηζφηεηα θαη ηελ δεκνθξαηία. Δπίζεο βνεζά ζηε βειηίσζε ηεο παξαγσγηθφηεηαο θαη ηεο αληαγσληζηηθφηεηαο ησλ επηρεηξήζεσλ θαη αλνίγεη λέεο αγνξέο θαη επηρεηξεκαηηθέο επθαηξίεο. Γηα λα θαηαζηεί εθηθηή ε εθκεηάιιεπζε ησλ επθαηξηψλ πνπ καο παξνπζηάδνληαη κέζσ ηεο θνηλσλίαο ηεο πιεξνθνξίαο θαη λα εμαιεηθζνχλ νη απεηιέο πνπ ελδερνκέλσο ειινρεχνπλ, ζα πξέπεη φινη νη ζπκκεηέρνληεο λα έρνπλ εκπηζηνζχλε ζηηο δηαδηθαζίεο απηψλ ησλ αιιαγψλ. Ζ εκπηζηνζχλε απηή απφ ηελ πιεπξά ησλ πνιηηψλ αιιά θαη ηνπ επηρεηξεκαηηθνχ θφζκνπ κπνξεί λα απμεζεί κέζσ βειηηψζεσλ ζηελ αζθάιεηα ησλ πξνζσπηθψλ δεδνκέλσλ θαη ζηελ πξνζηαζία ηεο ηδησηηθφηεηαο. Οη απεηιέο θαηά ηεο θνηλσλίαο ηεο πιεξνθνξίαο πεξηιακβάλνπλ ηελ παξαβίαζε ηεο ηδησηηθφηεηαο, ηελ απνζηνιή αλεπηζχκεησλ ε/θαη θαθφβνπισλ κελπκάησλ ειεθηξνληθνχ ηαρπδξνκείνπ, ηελ δηαθίλεζε πεηξαηηθψλ αληηγξάθσλ, ηνπο ηνχο ησλ ππνινγηζηψλ θαζψο θαη δηάθνξεο κνξθέο ειεθηξνληθνχ πνιέκνπ. Ζ επηηπρήο αληηκεηψπηζε ησλ παξαπάλσ θηλδχλσλ απνηειεί κηα πξφθιεζε ε νπνία πξνζθέξεη πνιιέο επθαηξίεο πνπ κπνξνχκε λα εθκεηαιιεπηνχκε κέζσ ηεο νξζήο ρξήζεο εξγαιείσλ πξνζηαζίαο πνπ κπνξνχλ λα βειηηψζνπλ ην αίζζεκα ηεο αζθάιεηαο ησλ πνιηηψλ αλαθνξηθά κε ηα πξνζσπηθά ηνπο δεδνκέλα, λα δεκηνπξγήζνπλ λέεο επηρεηξήζεηο, αγνξέο θαη ζέζεηο εξγαζίαο θαη λα κεηψζνπλ ην φπνην θφζηνο ζπλεπάγεηαη ν θίλδπλνο ησλ πηζαλψλ απεηιψλ. Υαξαθηεξηζηηθφ παξάδεηγκα πνπ κπνξεί λα αλαθεξζεί εδψ είλαη ηα ζέκαηα αζθάιεηαο θαη πξνζηαζίαο ηεο ηδησηηθφηεηαο πνπ αλαθχπηνπλ απφ ηε ρξήζε ηνπ δηαδηθηχνπ. Σα πξνζσπηθά δεδνκέλα έρνπλ κεγάιε ζεκαζία ζηελ θνηλσλία ηεο πιεξνθνξίαο. Δίλαη απαξαίηεηε ε αζθαιήο επεμεξγαζία ηνπο, ε πξνζηαζία ηνπο θαζψο θαη ε πξνζηαζία ηεο ηδησηηθφηεηαο ησλ θπζηθψλ πξνζψπσλ. Θα πξέπεη λα ζεκεησζεί φηη ηα παξαπάλσ δελ ηζρχνπλ απνθιεηζηηθά θαη κφλν

10 ζηελ θνηλσλία ηεο πιεξνθνξίαο θαη ζην Γηαδίθηπν αιιά επεθηείλνληαη θαη ζηε «ζπκβαηηθή» θνηλσλία. Γελ είλαη ιίγεο νη πεξηπηψζεηο ζηηο νπνίεο ηα πξνζσπηθά δεδνκέλα ησλ πνιηηψλ γίλνληαη αληηθείκελν επεμεξγαζίαο ελ αγλνία ηνπο κέζσ αζέκηησλ επηρεηξεκαηηθψλ πξαθηηθψλ (πρ παξαπιαλεηηθέο επηζηνιέο, ελνριεηηθέο ηειεθσληθέο θιήζεηο θηι). Δίλαη ινηπφλ επηηαθηηθή ε αλάγθε χπαξμεο ελφο ζπλνιηθνχ πιαηζίνπ πνπ ζα ξπζκίδεη ηνλ ηξφπν κε ηνλ νπνίν ζα ζπιιέγνληαη, επεμεξγάδνληαη θαη απνζεθεχνληαη ηα πξνζσπηθά δεδνκέλα ζε ζπλάξηεζε κε ηελ επαξθή πξνζηαζία ηεο ηδησηηθφηεηαο ησλ θπζηθψλ πξνζψπσλ ηφζν ζην ζρεηηθά άγλσζηφ λέν ςεθηαθφ πεξηβάιινλ φζν θαη ζην γλψξηκν, παιηφ «ζπκβαηηθφ». ην ζεκείν απηφ ζα πξέπεη λα πξνζηεζεί ην γεγνλφο ηεο επηβνιήο (απφ ηε λνκνζεζία γηα ηελ πξνζηαζία ησλ δεδνκέλσλ) ηεο αζθαινχο επεμεξγαζίαο ησλ πξνζσπηθψλ δεδνκέλσλ θαζψο ππάξρνπλ ζπγθεθξηκέλα άξζξα ζηνπο λφκνπο πνπ αλαθέξνληαη ζε ζπγθεθξηκέλα νξγαλσηηθά θαη ηερληθά κέηξα αζθάιεηαο. Ζ ζπγθεθξηκέλε εξγαζία έρεη δχν αληηθείκελα, ζε ζηελή ζπζρέηηζε κεηαμχ ηνπο. Σν πξψην είλαη ε γλσξηκία ηνπ αλαγλψζηε κε ηηο βαζηθέο έλλνηεο ηεο αζθάιεηαο ησλ πξνζσπηθψλ δεδνκέλσλ θαη ηεο πξνζηαζίαο ηεο ηδησηηθφηεηαο έηζη ψζηε λα θαηαλνήζεη ηηο απεηιέο θαη λα γλσξίζεη ηνπο ηξφπνπο πνπ ρξεζηκνπνηνχληαη επξέσο πξνο αληηκεηψπηζή ηνπο. ην ηκήκα απηφ ηεο εξγαζίαο παξνπζηάδνληαη νη ηνκείο άμνλεο ηεο αζθάιεηαο, νη πνιηηηθέο αζθάιεηαο θαη νη πνιηηηθέο πξνζηαζίαο πξνζσπηθψλ δεδνκέλσλ. Δπίζεο παξνπζηάδνληαη ηα ζηνηρεία πνπ είλαη απαξαίηεηα γηα ηελ αλάπηπμε ππνδνκήο αζθάιεηαο θαη γίλεηαη αλαθνξά ζε έλα νινθιεξσκέλν ζχζηεκα αζθάιεηαο πνπ πξέπεη λα πεξηιακβάλεη φινπο ηνπο ηνκείο αζθάιεηαο. Με ηνλ ηξφπν απηφ επηηπγράλεηαη θαη ε αζθαιήο επεμεξγαζία ησλ δεδνκέλσλ πνπ ηελ ρξεηαδφκαζηε γηα λα αληηκεησπίζνπκε ηηο απεηιέο θαη δηφηη θάηη ηέηνην επηβάιιεηαη απφ ηε λνκνζεζία. εκαληηθφ ξφιν ζε απηφ παίδνπλ νη ηερλνινγίεο ελίζρπζεο ηεο ηδησηηθφηεηαο (Privacy Enhancing Technologies PETs) νη νπνίεο βνεζνχλ ηφζν ηνπο νξγαληζκνχο φζν θαη ηα ππνθείκελα ψζηε λα πξνζηαηεπζνχλ απφ ηηο ελδερφκελεο απεηιέο. Μεηά ηε γλσξηκία κε ηνπο παξαπάλσ βαζηθνχο φξνπο πεξλάκε ζην δεχηεξν αληηθείκελν, ζην νπνίν καο απαζρνινχλ δχν ζέκαηα: Ξεθηλνχκε κε κηα αλαθνξά ζηηο πξσηνβνπιίεο πνπ ππάξρνπλ ζε δηεζλέο επίπεδν, πεξλάκε ζηηο ζρεηηθέο λνκνζεζίεο πνπ εθαξκφδνληαη ζηηο ρψξεο πνπ παξνπζηάδνληαη

11 ζηελ εξγαζία, ζηηο αξκνδηφηεηεο ησλ, επηθνξηηζκέλσλ κε ηελ επίβιεςε ηνπ λφκνπ, Αξρψλ Πξνζηαζίαο Πξνζσπηθψλ Γεδνκέλσλ θαζψο θαη ζηνλ ηξφπν ιεηηνπξγίαο ηνπο. Έπεηηα ζεηξά έρεη ε αλαθνξά ζε ζέκαηα αζθάιεηαο ζπγθεθξηκέλα ζην λνκνζεηηθφ πιαίζην θάζε ρψξαο θαη ζηηο πξσηνβνπιίεο ζε επίπεδν αζθάιεηαο θαη ηδησηηθφηεηαο. Ζ πνξεία καο αξρίδεη απφ ηε γεληθφηεξε (δηεζλή) θιίκαθα, ζπλερίδεη έπεηηα ζηελ εηδηθφηεξε (επξσπατθή) θαη θαηαιήγεη ζηε ζπγθεθξηκέλε, παξνπζηάδνληαο θάπνηα επηιεγκέλα θξάηε, εληφο θαη εθηφο Δπξσπατθήο Έλσζεο. ην ηέινο ηεο εξγαζίαο γίλεηαη κηα πξνζπάζεηα λα εμαρζνχλ θάπνηα ζπκπεξάζκαηα ζρεηηθά κε ηηο αξρέο πξνζηαζίαο πξνζσπηθψλ δεδνκέλσλ ησλ ρσξψλ πνπ επηιέρζεθαλ λα παξνπζηαζηνχλ, ηελ αληίζηνηρε λνκνζεζία ηνπο θαη ηηο πξσηνβνπιίεο πνπ έρνπλ αλαιάβεη πξνθεηκέλνπ λα δηαπηζησζεί ε πθηζηάκελε θαηάζηαζε θαη πνηέο πξννπηηθέο ππάξρνπλ πξνθεηκέλνπ λα γίλνπλ βειηηψζεηο θαη πξνζζήθεο.

12 1. Αζθάλεια και Πποζηαζία Πποζωπικών Γεδομένων Σν δήηεκα ηεο αζθάιεηαο θαη πξνζηαζίαο ησλ πξνζσπηθψλ δεδνκέλσλ δελ είλαη επξέσο δηαδεδνκέλν θαζφηη έρεη απνθηήζεη κηα «κεηαθπζηθή» ρξνηά, κε ηελ έλλνηα φηη ζηελ θαζεκεξηλφηεηά καο έρνπκε θάπνηεο θαηαζηάζεηο σο δεδνκέλεο κε απνηέιεζκα λα κελ δίλνπκε ηδηαίηεξε ζεκαζία ζε νξηζκέλεο θξίζηκεο ιεπηνκέξεηεο, νη νπνίεο έρνπκε ηελ εληχπσζε φηη αθνξνχλ ηνπο «εηδηθνχο». Γηα παξάδεηγκα δελ είλαη πνιινί εθείλνη νη νπνίνη κπαίλνπλ ζηνλ θφπν λα αιιάδνπλ θάζε ηφζν ηνπο θσδηθνχο πνπ ρξεζηκνπνηνχλ ζηελ θάξηα αλάιεςεο κεηξεηψλ, ζην ινγαξηαζκφ ηνπ ειεθηξνληθνχ ηνπο ηαρπδξνκείνπ ή ζηνλ θσδηθφ πξφζβαζεο ηνπ ππνινγηζηή ηεο εξγαζίαο ηνπο αλ έρνπλ βέβαηα επαλαπαπκέλνη ζην φηη πηζηεχνπλ φηη δελ είλαη ηφζν ζεκαληηθνί «ζηφρνη» ψζηε λα αζρνιεζεί θάπνηνο θαθφβνπινο καδί ηνπο. ην ζεκείν απηφ ηίζεηαη ην δήηεκα ηεο αζθάιεηαο. Γηφηη δελ είλαη δεδνκέλν φηη είκαζηε αζθαιείο απφ ηε ζηηγκή πνπ ζα εγθαηαζηήζνπκε ηα πιένλ ζχγρξνλα κέζα αζθάιεηαο αλ νη ρεηξηζηέο ηνπο (πρ: νη εξγαδφκελνη ζε κηα επηρείξεζε) δελ θαηαλνήζνπλ ηελ έλλνηα ηεο αζθάιεηαο πνπ απνξξέεη απφ ηελ ζπκπεξηθνξά ηνπο ζηνλ ςεθηαθφ θαη φρη κφλν θφζκν. Τπφ ηελ παξαπάλσ έλλνηα ε αζθάιεηα ησλ πιεξνθνξηψλ θαη ησλ πιεξνθνξηαθψλ ζπζηεκάησλ δηαρσξίδεηαη απφ ηελ έλλνηα ηεο πξνζηαζίαο ησλ πξνζσπηθψλ δεδνκέλσλ. Ζ αζθάιεηα εληνπίδεηαη ζηελ απνθπγή δηαξξνήο πξνο ηξίηνπο παληφο ηχπνπ πιεξνθνξηψλ δσηηθήο ζεκαζίαο 1 (πρ: βηνκεραληθή θαηαζθνπία) κέζσ ηεο εθαξκνγήο ηεο θαηάιιειεο, θαηά πεξίπησζε, πνιηηηθήο αζθάιεηαο (security policy), ελψ ε πξνζηαζία πξνζσπηθψλ δεδνκέλσλ αλαθέξεηαη ζηε ζχκθσλε κε ην λφκν ρξήζε ησλ δεδνκέλσλ πνπ έρνπλ ζπιιερζεί, δειαδή ζηελ εθαξκνγή πνιηηηθήο πξνζηαζίαο ηεο ηδησηηθφηεηαο (privacy policy). 1 Υαξαθηεξηζηηθφο είλαη ν νξηζκφο πνπ δίλεη γηα ηελ αζθάιεηα ησλ πιεξνθνξηψλ ην Φηλιαλδηθφ Τπνπξγείν Οηθνλνκηθψλ ζηνλ νδεγφ ρξεζηψλ γηα ηελ αζθάιεηα ησλ πιεξνθνξηψλ: «Information security means the appropriate protection of information, systems, services and data communications by administrative, technical and other measures both in ordinary and exceptional circumstances. The confidentiality, integrity and availability of information is protected against threats and damage caused by faults in hardware and software, natural events and wilful, negligent or accidental events.» User s Information Security Instruction, Ministry of Finance - VAHTI, Finland, Helsinki, 05/2003, pg 8.

13 ην ζεκείν απηφ ζα πξέπεη λα ηνλίζνπκε φηη καο ελδηαθέξεη ε αζθάιεηα απφ ηελ άπνςε ηεο αζθαινχο επεμεξγαζίαο ησλ πξνζσπηθψλ δεδνκέλσλ. Οη θαζεκεξηλέο δξαζηεξηφηεηεο ελφο νξγαληζκνχ είλαη εμαξηεκέλεο ζε κεγάιν βαζκφ απφ ηα πιεξνθνξηαθά ζπζηήκαηα θαζψο κεγάινο φγθνο πιεξνθνξηψλ (άξα θαη πξνζσπηθψλ δεδνκέλσλ) δηέξρεηαη θαη απνζεθεχεηαη ζε απηά. Γηα ην ιφγν απηφ ε αζθάιεηα ησλ δεδνκέλσλ δελ ζα πξέπεη λα αληηκεησπίδεηαη σο κηα μερσξηζηή δηαδηθαζία απνθνκκέλε απφ ηελ θαζεκεξηλή πξαθηηθή, αιιά σο έλα αλαπφζπαζην κέξνο ηεο. Σα πξνζσπηθά δεδνκέλα πνπ ζπιιέγεη θαη επεμεξγάδεηαη ν ππεχζπλνο επεμεξγαζίαο 2 απνηεινχλ αληηθείκελν δσηηθήο ζεκαζίαο. Απηφ ηζρχεη ζε κηθξφηεξν ή κεγαιχηεξν βαζκφ γηα φινπο ηνπο νξγαληζκνχο αλεμάξηεηα απφ ην είδνο, ην κέγεζνο, θαη ηνλ επηρεηξεζηαθφ θιάδν ζηνλ νπνίν δξαζηεξηνπνηνχληαη. Γηα ηνλ ιφγν απηφ, αλαθχπηεη σο ζέκα κείδνλνο ζεκαζίαο, ε πξνζηαζία ησλ δεδνκέλσλ θαη ε αζθαιήο επεμεξγαζία ηνπο απφ ηνλ ππεχζπλν επεμεξγαζίαο. Σα δεδνκέλα πνπ αλαθέξνληαη εδψ κπνξνχλ λα δηαηίζεηαη ζε δηάθνξεο κνξθέο φπσο, έληππε ή ρεηξφγξαθε ζε ραξηί, ζε ειεθηξνληθή κνξθή, απνζεθεπκέλα ζε ζπζηήκαηα ππνινγηζηψλ ή δηαθηλνχκελα ζε δίθηπα θάζε είδνπο, κέζσ ειεθηξνληθνχ ηαρπδξνκείνπ ή άιισλ ππεξεζηψλ. ηνλ ζεκεξηλφ ηδηαίηεξα αληαγσληζηηθφ ρψξν ησλ επηρεηξήζεσλ (αιιά θαη ησλ νξγαληζκψλ θάζε ηχπνπ), ηα δεδνκέλα είλαη έλα επαπεηινχκελν αληηθείκελν θαη νη απεηιέο κπνξνχλ λα πξνέξρνληαη απφ πνιιέο πεγέο. Οη απεηιέο απηέο κπνξνχλ λα είλαη εζσηεξηθέο ή εμσηεξηθέο. Μπνξνχλ λα είλαη ζπκπησκαηηθέο ή λα πξνέξρνληαη απφ εζειεκέλε θαθή πξφζεζε πξφθιεζεο δεκηψλ ζηνλ νξγαληζκφ. Ηδηαίηεξα κεηά ηηο εμειίμεηο ησλ ηερλνινγηψλ πιεξνθνξηθήο θαη επηθνηλσληψλ θαη ηελ επξεία αλάπηπμε θαη ρξήζε εηαηξηθψλ δηθηχσλ θαη εθαξκνγψλ φπσο ην ειεθηξνληθφ ηαρπδξνκείν, νη ζπλαιιαγέο κέζσ ηνπ δηαδηθηχνπ, θιπ, νη απεηιέο θαηά ησλ δεδνκέλσλ ελφο νξγαληζκνχ, έρνπλ απμεζεί. 2 χκθσλα κε ηνλ νξηζκφ πνπ δίλεηαη ηελ νδεγία 95/46/ΔΚ «ππεχζπλνο ηεο επεμεξγαζίαο» είλαη ην θπζηθφ ή λνκηθφ πξφζσπν, ε δεκφζηα αξρή, ε ππεξεζία ή νπνηνζδήπνηε άιινο θνξέαο πνπ κφλνο ή απφ θνηλνχ κε άιινπο θαζνξίδεη ηνπο ζηφρνπο θαη ηνλ ηξφπν ηεο επεμεξγαζίαο ησλ δεδνκέλσλ πξνζσπηθνχ ραξαθηήξα. Όηαλ νη ζηφρνη θαη ν ηξφπνο ηεο επεμεξγαζίαο θαζνξίδνληαη απφ λνκνζεηηθέο ή θαλνληζηηθέο δηαηάμεηο, εζληθέο ή θνηλνηηθέο, ν ππεχζπλνο ηεο επεμεξγαζίαο ή ηα εηδηθά θξηηήξηα γηα ηνλ νξηζκφ ηνπ κπνξνχλ λα θαζνξίδνληαη απφ ην εζληθφ ή ην θνηλνηηθφ δίθαην.

14 Κχξην ραξαθηεξηζηηθφ ησλ απεηιψλ ζην πιεξνθνξηαθφ πεξηβάιινλ είλαη ε πνιππινθφηεηα θαη ε ηαρχηαηε πξνζαξκνγή ηνπο ζηα ζπζηήκαηα αζθάιεηαο. Ζ ηαρχηαηε πξφνδνο ησλ ζρεηηθψλ ηερλνινγηψλ εκθαλίδεη δχν φςεηο: απφ ηε κία κεξηά βνεζάεη ζηε βειηίσζε ησλ παξερφκελσλ ππεξεζηψλ, ζηελ δεκηνπξγία λέσλ θαη ζηελ θαιχηεξε αληηκεηψπηζε ησλ απεηιψλ, απφ ηελ άιιε φκσο ε δηάρπζή ηεο πξνζθέξεη λέα εξγαιεία ζε φπνηνπο απνζθνπνχλ ζηελ εχξεζε ηξσηψλ ζεκείσλ ησλ πιεξνθνξηαθψλ ζπζηεκάησλ. Δλλνείηαη πσο φζν πην επαίζζεηα δεδνκέλα δηαθηλνχληαη ζε έλα ζχζηεκα ηφζν πην πηζαλφ είλαη λα δερζεί πιήγκαηα άξα θαη ηφζν πην ζνβαξέο ζα είλαη νη φπνηεο επηπηψζεηο απφ κηα ηέηνηα εμέιημε. Έηζη ινηπφλ ε λνκνζεζία επηβάιιεη ζε θάζε νξγαληζκφ (ηδησηηθφ ή θξαηηθφ) πνπ ρξεζηκνπνηεί πιεξνθνξηαθά ζπζηήκαηα λα θαζηεξψζεη πςειά επίπεδα αζθάιεηαο θαη πξνζηαζίαο ησλ πξνζσπηθψλ δεδνκέλσλ πνπ επεμεξγάδεηαη θαζψο θαη λα γλσζηνπνηεί ην αξρείν ησλ δεδνκέλσλ απηψλ ζηελ αληίζηνηρε Αξρή (ή Δπίηξνπν) Πξνζηαζίαο Πξνζσπηθψλ Γεδνκέλσλ. ε νξηζκέλεο ρψξεο είλαη δπλαηή ε εθαξκνγή θαλφλσλ αζθάιεηαο πξνζσπηθψλ δεδνκέλσλ θαη πξνζηαζίαο ηεο ηδησηηθφηεηαο ησλ ππνθεηκέλσλ ησλ πξνζσπηθψλ δεδνκέλσλ 3 κε βάζε ηα ηδηαίηεξα ραξαθηεξηζηηθά ηνπ θάζε νξγαληζκνχ, αιιά πάληα ζε άκεζε ζπλάξηεζε κε ηελ θείκελε λνκνζεζία 4. 3 χκθσλα κε ηνλ νξηζκφ πνπ δίλεηαη απφ ηελ νδεγία 95/46/ΔΚ «ππνθείκελν ησλ δεδνκέλσλ» ή «ην πξφζσπν ζην νπνίν αλαθέξνληαη ηα δεδνκέλα» ή «ην πξφζσπν ηνπ νπνίνπ ε ηαπηφηεηα κπνξεί λα εμαθξηβσζεί» ινγίδεηαη ην πξφζσπν εθείλν πνπ κπνξεί λα πξνζδηνξηζηεί, άκεζα ή έκκεζα, ηδίσο βάζεη αξηζκνχ ηαπηφηεηαο ή βάζεη ελφο ή πεξηζζνηέξσλ ζπγθεθξηκέλσλ ζηνηρείσλ πνπ ραξαθηεξίδνπλ ηελ ππφζηαζή ηνπ απφ θπζηθή, βηνινγηθή, ςπρνινγηθή, νηθνλνκηθή, πνιηηηζηηθή ή θνηλσληθή άπνςε. 4 Απηφ ην ραξαθηεξηζηηθφ ην βξίζθνπκε ζηε λνκνζεζία ηεο Απζηξαιίαο θαη ηνπ Καλαδά (βι. παξαθάησ ζηελ παξνπζίαζε ησλ θξαηψλ απηψλ). ηα θξάηε απηά δίλεηαη ε δπλαηφηεηα ζε θξαηηθέο ππεξεζίεο θαη ηδησηηθέο επηρεηξήζεηο λα δηακνξθψλνπλ κφλεο ηνπο ηνλ θψδηθα ζπκπεξηθνξάο ηνπο ζε ζέκαηα πξνζηαζίαο πξνζσπηθψλ δεδνκέλσλ θαη πξνζηαζίαο ηεο ηδησηηθφηεηαο κε βάζε νξηζκέλεο θνηλά παξαδεθηέο αξρέο. Με ηνλ ηξφπν απηφ ε λνκνζεζία παξνπζηάδεη κεγάιε επειημία σο πξνο ηηο κειινληηθέο εμειίμεηο ζηνλ ηνκέα απηφ, αθνχ κπνξεί λα δηακνξθψλεηαη δπλακηθά κε ηελ πάξνδν ηνπ ρξφλνπ.

15 1.1. Παξνπζίαζε Βαζηθψλ Δλλνηψλ Αζθάιεηαο ην ππνθεθάιαην απηφ ζα παξνπζηαζηνχλ νη βαζηθέο έλλνηεο ηεο αζθάιεηαο ησλ δεδνκέλσλ πξνθεηκέλνπ λα δηαζαθεληζηνχλ νη δηαθνξέο πνπ ππάξρνπλ κε ηελ πξνζηαζία ησλ δεδνκέλσλ. Ξεθηλψληαο δίλνπκε ηνλ νξηζκφ γηα ην ηη ζεκαίλεη αζθάιεηα δεδνκέλσλ. ηε ζπλέρεηα πξνρσξνχκε ζηελ παξνπζίαζε ησλ ηνκέσλ αμφλσλ αζθαιείαο. ην ηέινο θαηαιήγνπκε λα παξνπζηάζνπκε ηηο πνιηηηθέο αζθαιείαο, πνηέο αξρέο ηηο δηέπνπλ θαη πσο κπνξνχλ λα εθαξκνζηνχλ. 1.1.1. Οξηζκόο Αζθάιεηαο Γεδνκέλσλ Αλ ζειήζνπκε λα θάλνπκε κηα αλάιπζε ηεο έλλνηαο ηεο αζθάιεηαο ησλ δεδνκέλσλ πξνθχπηνπλ ηα εμήο ηξία ζηνηρεία 5 : Δκπηζηεπηηθόηεηα (Confidentiality): Ζ δηαζθάιηζε φηη ηα δεδνκέλα είλαη πξνζπειάζηκα κφλνλ απφ εθείλνπο πνπ είλαη εμνπζηνδνηεκέλνη λα ηα πξνζπειαχλνπλ Αθεξαηόηεηα (Integrity): Ζ δηαζθάιηζε ηεο αθξίβεηαο θαη ηεο πιεξφηεηαο ησλ δεδνκέλσλ θαη ησλ κεζφδσλ επεμεξγαζίαο ηνπο Γηαζεζηκόηεηα (Availability): Ζ δηαζθάιηζε φηη νη εμνπζηνδνηεκέλνη ρξήζηεο έρνπλ πξφζβαζε ζηα δεδνκέλα θαη ηνπο ζρεηηθνχο κε απηά πφξνπο (πρ ζπζηήκαηα πιεξνθνξηθήο) νπνηεδήπνηε απηφ απαηηείηαη. Τπάξρεη ινηπφλ ε αλάγθε γηα θάζε νξγαληζκφ λα πξνζηαηέςεη ηα δεδνκέλα ηνπ θαζψο θαη ηα πξνζσπηθά δεδνκέλα πνπ αθνξνχλ ηα θπζηθά πξφζσπα πνπ είλαη θαηαρσξεκέλα ζην αξρείν ηνπ, αλαπηχζζνληαο θαη εθαξκφδνληαο ηελ θαηάιιειε Πνιηηηθή Αζθάιεηαο Πιεξνθνξηψλ θαη ιακβάλνληαο φια ηα απαξαίηεηα κέηξα γηα ηελ πινπνίεζή ηεο. Ζ αλάγθε γηα ηελ εθαξκνγή κέηξσλ αζθάιεηαο γηα ηελ πξνζηαζία ησλ δεδνκέλσλ πξνθχπηεη θαη απφ ηε λνκνζεζία πεξί πξνζηαζίαο πξνζσπηθψλ δεδνκέλσλ. ην ρψξν ηεο Δπξσπατθήο Έλσζεο πξσηαγσληζηηθφ ξφιν παίδεη 5 «Πξαγκαηνπνηήζεθε κε επηηπρία ε εκεξίδα "Αζθάιεηα Πιεξνθνξηψλ" ηεο ππεξεζίαο CYTANET ηεο ΑΣΖΚ», http://www.cyta.com.cy/pr/newsletter/ Archive2002/June/page01_12.htm

16 ε νδεγία 95/46/ΔΚ 6 θαη νη επηκέξνπο εζληθέο λνκνζεζίεο πνπ θαζνξίδνπλ ηα ζρεηηθά ζέκαηα. ε δηεζλέο επίπεδν ππάξρνπλ ηα ςεθίζκαηα ηνπ ΟΖΔ 7 θαζψο θαη νη θαηεπζπληήξηεο γξακκέο πνπ έρεη εθδψζεη ν ΟΟΑ 8. Γηα ηνλ ζθνπφ απηφ απαηηείηαη ε αλάπηπμε θαη ελζσκάησζε ζηελ ιεηηνπξγία ηνπ νξγαληζκνχ, ελφο πζηήκαηνο Γηαρείξηζεο Αζθάιεηαο Πιεξνθνξηψλ 9. Ζ αζθάιεηα ησλ πξνζσπηθψλ δεδνκέλσλ επηηπγράλεηαη κέζσ κηαο ζπλνιηθήο θαη ζπζηεκαηηθήο πξνζέγγηζεο ηνπ νξγαληζκνχ ζηελ δηαρείξηζε ησλ δεδνκέλσλ ηνπ θαζψο θαη ησλ θηλδχλσλ πνπ ηα απεηινχλ, έηζη ψζηε ηα δεδνκέλα λα παξακέλνπλ αζθαιή. Οη σθέιεηεο γηα έλαλ νξγαληζκφ απφ ηελ εηζαγσγή ελφο πζηήκαηνο Γηαρείξηζεο Αζθάιεηαο Πιεξνθνξηψλ είλαη ζεκαληηθέο θαη πνιιαπιέο. Δλδεηθηηθά αλαθέξνληαη νη εμήο σθέιεηεο απφ ηελ εθαξκνγή ελφο ηέηνηνπ ζπζηήκαηνο: Αμηνπηζηία, εκπηζηεπηηθφηεηα θαη δεκηνπξγία εκπηζηνζχλεο απφ ηελ πιεπξά ησλ πειαηψλ σο απνηέιεζκα ηεο αζθάιεηαο ησλ δεδνκέλσλ πνπ αθνξά ηνπο πειάηεο. Δμνηθνλφκεζε θφζηνπο ιφγσ ηεο κείσζεο ησλ θηλδχλσλ απψιεηαο δεδνκέλσλ ή θνηλνπνίεζήο ηνπο ζε ηξίηνπο. Σν θφζηνο ηεο παξαβίαζεο ηεο αζθάιεηαο δεδνκέλσλ κε νπνηνλδήπνηε ηξφπν, κπνξεί λα είλαη ζεκαληηθφ. Ζ εθαξκνγή πζηήκαηνο Γηαρείξηζεο Αζθάιεηαο Πιεξνθνξηψλ δίλεη ζεκαληηθή αμία ζηνλ νξγαληζκφ θαη έρεη ηδηαίηεξα ζεηηθέο επηπηψζεηο ζηελ ζηάζε ησλ επελδπηψλ ή ησλ κεηφρσλ. πκκφξθσζε κε ην θαλνληζηηθφ πιαίζην πεξί ρεηξηζκνχ δεδνκέλσλ. Ζ εθαξκνγή πζηήκαηνο Γηαρείξηζεο Αζθάιεηαο Πιεξνθνξηψλ 6 Οδεγία 95/46/ΔΚ ηνπ Δπξσπατθνχ Κνηλνβνπιίνπ θαη ηνπ πκβνπιίνπ ηεο 24εο Οθησβξίνπ 1995 γηα ηελ πξνζηαζία ησλ θπζηθψλ πξνζψπσλ έλαληη ηεο επεμεξγαζίαο δεδνκέλσλ πξνζσπηθνχ ραξαθηήξα θαη γηα ηελ ειεχζεξε θπθινθνξία ησλ δεδνκέλσλ απηψλ, Δπίζεκε Δθεκεξίδα αξηζ. L 281 ηεο 23/11/1995 ζ. 0031 0050, http://eur-lex.europa.eu 7 Κπξηφηεξν είλαη ην ςήθηζκα 57/239. United Nations, General Assembly, Resolution adopted by the General Assembly, 57/239, Creation of a global culture of cybersecurity, A/RES/57/239/31.1.2003 8 OECD guidelines for the security of information systems and networks: towards a culture of security, Έγγξαθν απφ ηνλ δηαδηθηπαθφ ηφπν ηνπ ΟΟΑ γηα ηελ αζθάιεηα ησλ πιεξνθνξηαθψλ ζπζηεκάησλ θαη ησλ δηθηχσλ ζηε δηεχζπλζε http://webdomino1.oecd.org/ COMNET/STI/IccpSecu.nsf?OpenDatabase 9 «πζηήκαηα Γηαρείξηζεο Αζθάιεηαο Πιεξνθνξηψλ», http://www.vrc.gr:8080/roadmaps/roadmaps/quality/page.html?page_id=2030

17 αληηκεησπίδεη κε ζπζηεκαηηθφ ηξφπν φια ηα ζέκαηα ζπκκφξθσζεο κε ηελ ζρεηηθή λνκνζεζία. Γηαζθάιηζε θαη επίδεημε δέζκεπζεο ζε φια ηα επίπεδα ηνπ νξγαληζκνχ. Γηα ηελ αλάπηπμε θαη εθαξκνγή πζηεκάησλ Γηαρείξηζεο Αζθάιεηαο Πιεξνθνξηψλ, ππάξρνπλ δχν αιιεινζπκπιεξνχκελα πξφηππα, ηα νπνία απνηεινχλ ηελ ζεηξά πξνηχπσλ BS7799 θαη έρνπλ αλαπηπρζεί απφ ηνλ νξγαληζκφ BSI 10. 1.1.2. Τνκείο - Άμνλεο Αζθάιεηαο Ζ Αζθάιεηα σο πνιπζχλζεηε έλλνηα πεξηιακβάλεη αξθεηά ππνζχλνια. Γελ αλαθεξφκαζηε κφλν ζην ππνζχλνιν ηεο αζθάιεηαο ησλ πιεξνθνξηψλ, αιιά επεθηεηλφκαζηε θαη ζηα ππφινηπα έηζη ψζηε λα νξγαλψζνπκε έλα πεξηβάιινλ νινθιεξσκέλεο αζθάιεηαο. Απηφ είλαη έλα θξίζηκν ζεκείν δηφηη, φπσο ζα δνχκε ζηηο γξακκέο πνπ αθνινπζνχλ, νη επηκέξνπο ηνκείο είλαη νπζηαζηηθά ζπλδεδεκέλνη, ζπκίδνληαο θξίθνπο αιπζίδαο. Δίλαη ζεκαληηθφ λα ππνγξακκίζνπκε εδψ ηε ζεκαζία ηνπ πεξηβάιινληνο νινθιεξσκέλεο αζθάιεηαο δηφηη ε χπαξμε ελφο θαη κφλν «αδχλακνπ θξίθνπ» ζε απηή ηελ αιπζίδα κπνξεί λα ζεκάλεη ηελ θαηάξξεπζε φινπ ηνπ νηθνδνκήκαηνο αζθάιεηαο ελφο νξγαληζκνχ. Οη βαζηθνί ηνκείο αζθάιεηαο, νη νπνίνη παξνπζηάδνληαη νλνκαζηηθά εδψ θαη κε ιίγα ιφγηα παξαθάησ, είλαη νη αθφινπζνη 11 : Φπζηθή αζθάιεηα Αζθάιεηα πξνζσπηθνχ Αζθάιεηα ζπζηεκάησλ πιεξνθνξηθήο θαη επηθνηλσληψλ Αζθάιεηα αλάπηπμεο θαη ζπληήξεζεο πνπ πιεξνθνξηαθνχ ζπζηήκαηνο Οξγάλσζε θαη δηαρείξηζε ηεο αζθάιεηαο ηνπ πιεξνθνξηαθνχ ζπζηήκαηνο ρέδην αλάθακςεο απφ θαηαζηξνθέο θαη ζρέδην ζπλέρεηαο δηαδηθαζηψλ Έιεγρνο θαη ζπκκφξθσζε 10 http://www.bsi.com 11 ηνπγιέ Δπθξνζχλε, ρέδην Αζθάιεηαο (Security Plan) ρέδην Αληηκεηψπηζεο Έθηαθησλ πκβάλησλ (Contingency Plan), Γηαθάλεηεο Παξνπζίαζεο ζηελ ΔΓΓ, 23/06/2006

18 Χο θπζηθή αζθάιεηα ελλννχκε ηελ αζθάιεηα ησλ εγθαηαζηάζεσλ ηνπ νξγαληζκνχ 12. Γειαδή ν θαζνξηζκφο κίαο πεξηκέηξνπ αζθάιεηαο, ε πξφλνηα γηα πξνζηαζία απφ εηζβνιέο θαθφβνπιεο ελέξγεηεο κέζσ ειέγρσλ θαη επηηήξεζεο εηζφδσλ εμφδσλ, κε ηε ρξήζε εηδηθψλ θαξηψλ εηζφδνπ, ηελ θαζηέξσζε δηαθνξεηηθψλ δσλψλ αζθάιεηαο θαη ηελ παξνπζία πξνζσπηθνχ αζθαιείαο ζηηο θξίζηκεο πεξηνρέο. εκαληηθή επίζεο είλαη ε πξνζηαζία απφ θπζηθέο θαηαζηξνθέο κε ηελ εγθαηάζηαζε εηδηθψλ ζπζηεκάησλ αλίρλεπζεο ππξφο, εζηηψλ ζεξκφηεηαο θαη θαπλνχ, ζπζηεκάησλ απηφκαηεο ππξφζβεζεο θαζψο θαη ε επάξθεηα θιηκαηηζκνχ θαη εμαεξηζκνχ. Μέξηκλα ζα πξέπεη επίζεο λα δνζεί θαη γηα ηελ αζθάιεηα ηνπ εμνπιηζκνχ ηνπ νξγαληζκνχ θαη θπξίσο ηνπ εμνπιηζκνχ επεμεξγαζίαο δεδνκέλσλ (πξνζηαζία ηνπ data center, ππνζηήξημε εμνπιηζκνχ, ρξήζε ηδησηηθνχ εμνπιηζκνχ, ζχζηεκα αδηάιεηπηεο παξνρήο ειεθηξηθνχ ξεχκαηνο, χπαξμε εθεδξηθήο γελλήηξηαο, πξνζηαζία ηειεπηθνηλσληαθψλ θαισδηψζεσλ, πξνζηαζία απφ θινπή εμνπιηζκνχ) θαζψο θαη ησλ ζηαζκψλ εξγαζίαο κέζσ ειεγρφκελεο πξφζβαζεο ζε ζηαζκνχο εξγαζίαο θαη παξαθνινχζεζεο ησλ εθηππψζεσλ. Ζ αζθάιεηα ηνπ πξνζσπηθνχ είλαη έλα κεγάιν θεθάιαην ζηελ ππνδνκή αζθάιεηα πνπ θαιείηαη λα αλαπηχμεη ν νξγαληζκφο θαζψο αλαθέξεηαη ζην εμαηξεηηθά επαίζζεην θνκκάηη ηεο αζθάιεηαο πνπ δελ είλαη άιιν απφ απηφ ηνπ αλζξψπηλνπ δπλακηθνχ 13. Δίλαη πξνθαλέο φηη νπνηνδήπνηε ζχζηεκα αζθάιεηαο εγθαηαζηαζεί νπνπδήπνηε, δελ ζα είλαη δπλαηφ λα επηθέξεη ηα αλακελφκελα απνηειέζκαηα αλ δελ πιαηζηψλεηαη απφ ην θαηάιιειν πξνζσπηθφ. Δδψ λα ππνγξακκίζνπκε φηη δελ αλαθεξφκαζηε κφλν ζην πξνζσπηθφ αζθαιείαο, αιιά ζην αλζξψπηλν δπλακηθφ ηνπ νξγαληζκνχ. Ξεθηλψληαο ινηπφλ απφ ηηο θαηάιιειεο δηαδηθαζίεο πξφζιεςεο, πεξλάκε ζηελ εθπαίδεπζε θαηάξηηζε ηνπ πξνζσπηθνχ ζε ζρέζε κε ηηο δηαδηθαζίεο θαη ηηο πξαθηηθέο αζθάιεηαο θαη ζηελ πεξηγξαθή ζέζεσλ εξγαζίαο θαη θαζεθφλησλ. Απηφ κε ηε ζεηξά ηνπ ζα επηηξέςεη ηελ παξνρή ησλ ζρεηηθψλ εμνπζηνδνηήζεσλ θαη δηαβαζκίζεσλ κεηαμχ ηνπ πξνζσπηθνχ. Με ηνλ ηξφπν απηφ πξνζηαηεχεηαη ε εκπηζηεπηηθφηεηα θαη ην απφξξεην ησλ πιεξνθνξηψλ θαη κεηψλνληαη ζην ειάρηζην νη παξαβάζεηο ησλ θαλφλσλ αζθαιείαο. Γελ ζα 12 Φπζηθή Αζθάιεηα, http://www.space.gr/pages.php?langid=1&pageid=59 13 Μίηληθ Κέβηλ, άηκνλ Οπίιηακ, Ζ ηέρλε ηεο απάηεο, εθδφζεηο Χθεαλίδα, Αζήλα, 2003, ζει 31-34.

19 πξέπεη λα πεξάζεη απαξαηήξεην βέβαηα ην δήηεκα ηνπ ειέγρνπ ηεο πξφζβαζεο ησλ επηζθεπηψλ ζηηο εγθαηαζηάζεηο θαη ζηνλ εμνπιηζκφ θαζψο θαη ηεο πξφζβαζεο ησλ εμσηεξηθψλ ζπλεξγαηψλ θαη αλαδφρσλ. Άιινο βαζηθφο ηνκέαο ηεο αζθάιεηαο είλαη ε αζθάιεηα ησλ ζπζηεκάησλ πιεξνθνξηθήο θαη ησλ επηθνηλσληψλ. Σα δεηήκαηα πνπ καο απαζρνινχλ εδψ είλαη ε πξνζηαζία απφ επηβιαβέο ηνκνξθηθφ ινγηζκηθφ 14 (antivirus, e-mail filtering, web filtering, spyware, antispam), ε δεκηνπξγία εθεδξηθψλ αληηγξάθσλ αζθαιείαο (back-up), ε δηαρείξηζε ηεο αζθάιεηαο δηθηχσλ ηειεπηθνηλσληψλ θαη ε αζθαιήο δηαρείξηζε ησλ κέζσλ απνζήθεπζεο δεδνκέλσλ θαη ηεο κεηαθνξάο ησλ δεδνκέλσλ. Λφγσ ηεο θαζνιηθήο δηάδνζεο ηνπ δηαδηθηχνπ (internet) ζεκαληηθφ είλαη λα εζηηάζνπκε ζηελ αζθάιεηα θαηά ηελ κεηάδνζε δεδνκέλσλ κέζσ ηνπ Internet, κέζσ ηεο θξππηνγξάθεζεο ησλ εμεξρφκελσλ δεδνκέλσλ, αιιά θαη ηεο δεκηνπξγίαο θαηάιιειεο ζπλείδεζεο εθ κέξνπο ηνπ πξνζσπηθνχ ζρεηηθά κε ηελ αζθαιή ρξήζε ηνπ Internet θαη ηνπ ειεθηξνληθνχ ηαρπδξνκείνπ. Σέινο ζα πξέπεη λα δνζεί ηδηαίηεξε πξνζνρή ζηνλ έιεγρν πξφζβαζεο ησλ ρξεζηψλ, ζηα δηθαηψκαηα πνπ έρεη ν θαζέλαο ζην δίθηπν ηνπ νξγαληζκνχ θαζψο θαη ε ηαπηνπνίεζε θαη απζεληηθνπνίεζε ηνπ θάζε ρξήζηε κέζσ ηνπ ειέγρνπ ηεο πξφζβαζεο ζην ζχζηεκα θαη ηεο ρξεζηκνπνίεζήο ηνπ. Πεξλψληαο ζηελ αζθάιεηα αλάπηπμεο θαη ζπληήξεζεο 15 μερσξίδνπκε ηελ αλάιπζε θαη ηνλ πξνζδηνξηζκφ ησλ απαηηήζεσλ αζθαιείαο σο πξψην καο ζηφρν. Έπεηηα επέξρεηαη ν δηαρσξηζκφο ησλ πεξηβαιιφλησλ αλάπηπμεο θαη ησλ δνθηκψλ απφ ηηο εγθαηαζηάζεηο ιεηηνπξγίαο κέζσ ησλ ζρεηηθψλ δηαδηθαζηψλ δνθηκψλ θαη απνδνρήο ηνπ ζπζηήκαηνο. Απηφ ην βήκα επηηπγράλεηαη κε ηε βνήζεηα ειέγρσλ ηεο επάξθεηαο κεραληζκψλ αζθάιεηαο ηνπ ινγηζκηθνχ θαηά ηελ αλάπηπμε θαη ειέγρσλ ζπληήξεζεο αιιαγήο - αλαβάζκηζεο ινγηζκηθνχ θαη ζπζηεκάησλ. Θα πξέπεη, επίζεο, λα νξηζηνχλ νη πξνβιεπφκελεο δηαδηθαζίεο δηαρείξηζεο αιιαγψλ θαζψο θαη ε ηεθκεξίσζε ησλ δηαδηθαζηψλ ιεηηνπξγίαο θαη ρξήζεο ηνπ ζπζηήκαηνο. 14 ππξάθεο Π., Κξππηντνί, ν δνύξεηνο ίππνο ηεο ειεθηξνληθήο αζθάιεηαο, ΒήκαScience/ Πιεξνθνξηθή, ζει. 4 (50), Κπξηαθή 16 Απξηιίνπ 2006 15 ηνπγιέ Δπθξνζχλε, φ.π.

20 Έλαο άιινο ηνκέαο ηεο έλλνηαο ηεο αζθάιεηαο είλαη ε νξγάλσζε θαη δηαρείξηζε αζθάιεηαο 16. Λφγσ ηεο ζεκαζίαο ηνπ δεηήκαηνο είλαη επφκελν λα ρξεηάδεηαη κηα ιεπηνκεξψο ζρεδηαζκέλε ζηξαηεγηθή γηα ηελ αζθάιεηα ε νπνία λα ζρεδηάδεη ζαθψο ηηο επηρεηξεζηαθέο δηαδηθαζίεο θαη ηελ επζχλε γηα ηελ αζθάιεηα, ζε έλα νξγαλσηηθφ ζρήκα δηαρείξηζεο ηεο αζθάιεηαο. Με ηνλ ηξφπν απηφ κπνξνχκε λα έρνπκε ηελ θαηάιιειε, θαηά πεξίπησζε θαηαλνκή θαζεθφλησλ, αξκνδηνηήησλ θαη ξφισλ πνπ ζρεηίδνληαη κε ηελ αζθάιεηα. Γελ πξέπεη βέβαηα λα ιείπεη θαη ε δηαηχπσζε κε ζαθήλεηα ηεο ηεθκεξίσζεο ησλ δηαδηθαζηψλ αζθάιεηαο ζε φιν ην πξνζσπηθφ πξνθεηκέλνπ λα έρνπλ φινη ηελ δπλαηφηεηα επαξθνχο ελεκέξσζεο αιιά θαη ζπκκεηνρήο ζην γεληθφηεξν ζρέδην αζθάιεηαο ηνπ νξγαληζκνχ. Δδψ ζα πξέπεη λα ηνληζηεί φηη ε ζπκκεηνρή ηνπ πξνζσπηθνχ είλαη απαξαίηεηε (θαζψο ζα πξέπεη λα είλαη ζε ζέζε λα πξνβαίλνπλ ζε αλαθνξέο πεξηζηαηηθψλ παξαβίαζεο αζθάιεηαο θαη δπζιεηηνπξγηψλ ηνπ ζπζηήκαηνο) νπφηε ε κέξηκλα γηα ηελ θαηάιιειε ελεκέξσζε θαη εθπαίδεπζε ησλ ρξεζηψλ είλαη απαξαίηεηε ψζηε λα έρνπκε ηα θαιχηεξα δπλαηά απνηειέζκαηα. Δδψ ζα πξέπεη λα ζεκεησζεί φηη ε δηαρείξηζε ζρέζεσλ θαη πξφζβαζεο ηξίησλ θνξέσλ ζην ζχζηεκα θαζψο θαη ε ελεκέξσζε θαη ε αλαζεψξεζε ηνπ ζρεδίνπ αζθαιείαο, ηεο πνιηηηθήο αζθαιείαο θαη ηνπ ζρεδίνπ έθηαθηεο αλάγθεο απνηεινχλ έλα απφ ηα δεδνκέλα πνπ ζα πξέπεη λα ιεθζνχλ ππ φςηλ θαηά ηε δηαδηθαζία νξγάλσζεο ελφο πιήξνπο ζπζηήκαηνο αζθαιείαο. Ζ αλαθνξά καο ζηνπο ηνκείο αζθάιεηαο ηειεηψλεη κε κηα ζπλνπηηθή παξάζεζε ησλ ραξαθηεξηζηηθψλ γλσξηζκάησλ πνπ ζα πξέπεη λα έρεη ν έιεγρνο θαη ε ζπκκφξθσζε κέζα ζηα πιαίζηα ελφο νινθιεξσκέλνπ ζρεδίνπ αζθάιεηαο. Έλα βαζηθφ ραξαθηεξηζηηθφ είλαη βέβαηα ε πξφβιεςε γηα δηελέξγεηα εζσηεξηθνχ ειέγρνπ θαη επηζεψξεζεο αζθάιεηαο ζε ζπλδπαζκφ κε έλαλ αμηφπηζην αλεμάξηεην εμσηεξηθφ έιεγρν. θνπφο ηνπο είλαη ε θαηαγξαθή ησλ ηεξνχκελσλ δηαδηθαζηψλ αζθαιείαο θαη ε επηζήκαλζε ησλ αδχλακσλ ζεκείσλ θαη ησλ θελψλ αζθαιείαο πξνθεηκέλνπ λα δηνξζσζνχλ. ε απηφ βνεζά θαη ε ηήξεζε αξρείσλ θαηαγξαθήο ζπκβάλησλ ψζηε κέζσ ηεο παξαθνινχζεζεο θαη αλάιπζεο ησλ αξρείσλ θαηαγξαθήο ζπκβάλησλ λα 16 Ζιηφπνπινο Νφηεο, Ζ πξαθηηθή πξνζέγγηζε ηεο αζθάιεηαο πιεξνθνξηψλ, Security Information Management Event, 21/06/2005