ΣΜΗΜΑ ΠΟΛΙΣΙΜΙΚΗ ΣΔΥΝΟΛΟΓΙΑ ΚΑΙ ΔΠΙΚΟΙΝΧΝΙΑ Πηπρηαθή εξγαζία «Αλάιπζε θαη Γηαρείξηζε Δπηθηλδπλφηεηαο ηεο ππεξεζίαο e - University ηνπ Παλεπηζηεκίνπ Αηγαίνπ» Φνηηεηήο: Καηζάλεο Ηιίαο, θνηηεηήο ΣΠΣΔ, Α.Μ:131/2010059 Δπηβιέπσλ θαζεγεηήο: Καιινληάηεο Υξήζηνο, Σκήκα Πνιηηηζκηθήο Σερλνινγίαο θαη Δπηθνηλσλίαο Σπλεπηβιέπσλ θαζεγεηήο: Κνθνιάθεο ππξίδσλ, Σκήκα Μεραληθψλ Πιεξνθνξηαθψλ θαη Δπηθνηλσληαθψλ πζηεκάησλ Μπηηιήλε, Ιαλνπάξηνο 2015
Πξόινγνο θαη επραξηζηίεο Η παξνχζα κειέηε πξαγκαηνπνηήζεθε ζηα πιαίζηα ηεο πηπρηαθήο εξγαζίαο γηα ηελ απφθηεζε ηνπ πηπρίνπ απφ ην Σκήκα Πνιηηηζκηθήο Σερλνινγίαο θαη Δπηθνηλσλίαο ηνπ Παλεπηζηεκίνπ Αηγαίνπ. θνπφο είλαη ε παξνπζίαζε κηαο νινθιεξσκέλεο θαη ηεθκεξησκέλεο κειέηεο Αλάιπζεο θαη Γηαρείξηζεο Δπηθηλδπλφηεηαο, ε νπνία ζηνρεχεη ζηελ εμαγσγή θαη εθαξκνγή επαξθψλ κέηξσλ πξνζηαζίαο ηεο ππεξεζίαο ηνπ e-university ηνπ Παλεπηζηεκίνπ Αηγαίνπ κε ζηφρν ηελ ζπλερή θαη απξφζθνπηε ιεηηνπξγία ηεο. Θα ήζεια λα επραξηζηήζσ ζεξκά ηνλ θχξην Υξήζην Καιινληάηε, επίθνπξν θαζεγεηή ηνπ Σκήκαηνο Πνιηηηζκηθήο Σερλνινγίαο θαη Δπηθνηλσλίαο ηνπ Παλεπηζηεκίνπ Αηγαίνπ, γηα ηελ ζπλερή θαη νπζηαζηηθή ππνζηήξημή ηνπ θαζ φιε ηε δηάξθεηα ηεο εξγαζίαο θαζψο θαη γηα ηελ εκπηζηνζχλε πνπ κνπ έδεημε γηα ηελ εθπφλεζε ηνπ ζπγθεθξηκέλνπ ζέκαηνο. Η ζπλάληεζε θάζε θνξά καδί ηνπ ήηαλ έλα αθφκα κάζεκα. Δπίζεο, ζέισ λα επραξηζηήζσ ζεξκά ηνλ θχξην πχξν Κνθνιάθε επίθνπξν θαζεγεηή ηεο ρνιήο Θεηηθψλ Δπηζηεκψλ ηνπ Παλεπηζηεκίνπ Αηγαίνπ γηα ηα πνιχηηκα ζρφιηα θαη ηηο ππνδείμεηο ηνπ επί ηνπ ζέκαηνο. Αθφκε, επραξηζηψ ηνλ θχξην Νίθν Υνξηαξηά, ππάιιειν ηεο Τπεξεζίαο Πιεξνθνξηθήο θαη Δπηθνηλσληψλ ζην ηκήκα αλάπηπμεο θαη ππνζηήξημεο πιεξνθνξηαθψλ ζπζηεκάησλ δηνίθεζεο γηα ηελ πνιχηηκε ζπλεξγαζία θαη βνήζεηα θαηά ηε δηάξθεηα εθπφλεζεο ηεο εξγαζίαο. Σέινο, νθείισ έλα κεγάιν επραξηζηψ ζηελ νηθνγέλεηά κνπ, γηαηί ρσξίο ηελ βνήζεηά ηεο (ζε φινπο ηνπο ηνκείο) δελ ζα έθηαλα ζε απηφ ην ζεκείν, ζηνπο θίινπο κνπ (Κψζηα, Παληειή θαη Ηιία) πνπ έγηλαλ δέθηεο ησλ πξνβιεκαηηζκψλ κνπ θαηά ηελ εθπφλεζε ηεο εξγαζίαο θαζψο επίζεο θαη ζηελ Φσηεηλή γηα ηελ ζπκπαξάζηαζε, αγάπε θαη θαηαλφεζε φιν απηφ ην δηάζηεκα. Μπηηιήλε, Ιαλνπάξηνο 2015 Καηζάλεο Ηιίαο
Πίλαθαο πεξηερνκέλσλ 1. Ειςαγωγι... 6 1.1 Πεδίο μελζτθσ εργαςίασ... 6 1.2 Αφορμι για μελζτθ... 7 1.3 Ορολογία... 7 1.4 Οργάνωςθ πτυχιακισ εργαςίασ... 9 2. Η ανάλυςθ και διαχείριςθ επικινδυνότθτασ... 12 2.1 Ειςαγωγι... 12 2.2 Πλαίςιο μεκοδολογίασ... 13 2.2.1 Μζκοδοσ εργαςίασ... 15 2.2.2 Οριοκζτθςθ εργαςίασ... 15 2.3 Το πρότυπο ISO/IEC 27005:2011... 16 2.4 Νομικό πλαίςιο... 16 2.5 Σφγχρονοι κίνδυνοι... 17 2.6 Στόχοι τθσ ανάλυςθσ και διαχείριςθσ επικινδυνότθτασ... 18 2.7 Συμπεράςματα... 18 3. Περιγραφι τθσ μεκόδου CRAMM... 19 3.1 Ειςαγωγι ςτθ CRAMM... 19 3.2 Περιγραφι τθσ CRAMM... 19 3.2.1 Στάδιο 1: Προςδιοριςμόσ και αξιολόγθςθ των αγακϊν.... 21 3.2.2 Στάδιο 2: Ανάλυςθ τθσ επικινδυνότθτασ.... 23 3.2.3 Στάδιο 3: Διαχείριςθ τθσ επικινδυνότθτασ.... 26 3.3 Προχποκζςεισ επιτυχίασ τθσ CRAMM... 28 3.4 Πλεονεκτιματα και μειονεκτιματα τθσ CRAMM... 28 3.5 Συμπεράςματα... 29 4. Η υπθρεςία του e-university... 29 4.1 Γενικι περιγραφι Ειςαγωγι... 29 4.2 Δομι υπθρεςίασ... 30 4.3 Αρχιτεκτονικι του ΠΣ... 30 4.4 Περιγραφι υποςυςτθμάτων... 31 4.4.1 Υποςφςτθμα φοιτθτικισ μζριμνασ... 31 4.4.2 Υποςφςτθμα οικονομικϊν υποκζςεων... 31 4.4.3 Υποςφςτθμα Προμθκειϊν... 31 4.4.4 Υποςφςτθμα δθμοςίων ζργων... 31
4.4.5 Υποςφςτθμα διοικθτικϊν υποκζςεων... 32 4.4.6 Υποςφςτθμα διαχείριςθσ ερευνθτικϊν προγραμμάτων... 32 4.5 Συμπεράςματα... 32 5. Υπθρεςία φοιτθτολογίου του e-university του Πανεπιςτθμίου Αιγαίου... 32 5.1 Ειςαγωγι... 32 5.2 Περιγραφι ςτοιχείων τθσ υπθρεςίασ... 32 5.2.1 Υλικόσ εξοπλιςμόσ... 32 5.2.2 Λογιςμικό... 33 5.2.3 Δεδομζνα... 34 5.2.4 Προςωπικό... 34 6. Ειςαγωγι... 36 6.1 Αποτίμθςθ δεδομζνων... 37 7. Αποτελζςματα τθσ αποτίμθςθσ... 38 7.1 Ειςαγωγι... 38 7.2. Δεδομζνα... 38 7.2.1 Δθλϊςεισ μακθμάτων... 38 7.2.2 Αιτιςεισ... 40 7.2.3 Φοιτθτικι μζριμνα... 41 7.2.4 Στοιχεία φοιτθτι... 42 7.2.5 Βακμολογίεσ... 44 7.3. Σφςτθμα εφαρμογισ... 46 7.3.1 Web server... 46 7.4. Λογιςμικό... 47 7.4.1 Windows server 2008... 47 7.4.2 Λογιςμικό e-university... 48 7.4.3 Λογιςμικό βάςθσ δεδομζνων Oracle... 49 8. Εκτίμθςθ τθσ επικινδυνότθτασ... 51 8.1 Ειςαγωγι... 51 8.2 Απειλζσ τθσ υπθρεςίασ... 51 8.2.1 Διευκρινιςεισ... 52 8.2.2 Συντομογραφίεσ... 52 8.3 Πίνακεσ επικινδυνότθτασ... 53 9. Συμπεράςματα ανάλυςθσ επικινδυνότθτασ... 61 10. Ειςαγωγι ςτο Σχζδιο Αςφάλειασ... 64
10.1 Προχποκζςεισ επιτυχίασ Σχεδίου Αςφάλειασ... 64 10.2 Πλαίςιο Σχεδίου Αςφάλειασ... 64 10.3 Κατθγοριοποίθςθ μζτρων προςταςίασ... 65 11. Εφαρμογι ςχεδίου αςφάλειασ... 67 11.1 Ειςαγωγι... 67 11.2 Προτεινόμενα μζτρα προςταςίασ... 67 12. Σφνοψθ... 88 13. Επίλογοσ... 92 14. Συμπεράςματα... 94 15. Επιςτθμονικι ςυμβολι... 96 16. Περιοριςμοί... 97 17. Μελλοντικι ζρευνα... 98 Βιβλιογραφικζσ αναφορζσ... 99
Μέξνο Α : Θεσξεηηθό Πιαίζην
1. Δηζαγσγή θνπφο ηεο παξνχζαο εξγαζίαο είλαη ε παξνπζίαζε κηαο φζν ην δπλαηφλ πην ηεθκεξησκέλεο αλάιπζεο θαη δηαρείξηζεο επηθηλδπλφηεηαο, κε πεδίν εθαξκνγήο ηελ ππεξεζία ηνπ θνηηεηνινγίνπ ηνπ ππνζπζηήκαηνο Φνηηεηηθήο Μέξηκλαο ηνπ νινθιεξσκέλνπ ζπζηήκαηνο e-university ηνπ Παλεπηζηεκίνπ Αηγαίνπ, ε νπνία ζηνρεχεη ζηελ εμαγσγή επαξθψλ κέηξσλ πξνζηαζίαο γηα ηελ ππεξεζία. Θα πξέπεη λα θαηαζηεί ζαθέο εμ αξρήο πσο ζηνπο ζηφρνπο ηεο εξγαζίαο δελ εληάζζεηαη ε ππνρξεσηηθή πινπνίεζε ηφζν ηεο πνιηηηθήο αζθάιεηαο φζν θαη ησλ κέηξσλ πξνζηαζίαο πνπ ζα πξνηαζνχλ. Βαζηθφηεξε επηδίσμε ησλ ζχγρξνλσλ νξγαληζκψλ φζν αθνξά ζηελ ζπλερή ιεηηνπξγία ηνπο, είλαη ε πξνζηαζία ησλ ππνδνκψλ πνπ ππνζηεξίδνπλ, νη εζσηεξηθέο ιεηηνπξγίεο ηνπο θαη ε αδηάιεηπηε πξνζθνξά ησλ ππεξεζηψλ ηνπο. Με βάζε απηή ηελ δηαπίζησζε ζπκπεξαίλεηαη φηη, ηα πιεξνθνξηαθά ζπζηήκαηα ελφο νξγαληζκνχ εθφζνλ ιεηηνπξγνχλ ζε έλα απνηειεζκαηηθφ πιαίζην, βνεζνχλ επίζεο θαη ηνλ ίδην ηνλ νξγαληζκφ λα ιεηηνπξγήζεη απνηειεζκαηηθά. Η παξαπάλσ δηαηχπσζε ηζρχεη θαη ζηελ πεξίπησζε ηεο ππεξεζίαο πνπ κειεηά ην παξφλ πφλεκα. Απνζθνπψληαο ζηελ ιεηηνπξγία ηεο ππεξεζίαο ηνπ θνηηεηνινγίνπ ηνπ e-university, κε απψηεξν ζθνπφ ηελ παξνρή ππεξεζηψλ θαη ηελ θάιπςε ησλ εζσηεξηθψλ αλαγθψλ ηνπ ίδηνπ ηνπ Ιδξχκαηνο, ππάξρεη ε απαίηεζε πξνζηαζίαο ηεο, ε νπνία πεγάδεη αθελφο απφ ηνπο θηλδχλνπο θαη αθεηέξνπ απφ ινηπνχο παξάγνληεο 1 πνπ απεηινχλ ηα ζχγρξνλα πιεξνθνξηαθά ζπζηήκαηα. 1.1 Πεδίν κειέηεο εξγαζίαο Η γλσζηηθή πεξηνρή ζηελ νπνία εληάζζεηαη ε ζπγθεθξηκέλε εξγαζία είλαη ε αζθάιεηα πιεξνθνξηψλ θαη εηδηθφηεξα ε αζθάιεηα πιεξνθνξηαθψλ ζπζηεκάησλ. Δπνκέλσο ε αλάιπζε θαη δηαρείξηζε επηθηλδπλφηεηαο είλαη κέξνο ηνπ ζπγθεθξηκέλνπ επηζηεκνληθνχ πεδίνπ θαη ε παξνχζα εξγαζία, αζρνιείηαη ηφζν κε ηελ αλάιπζε ησλ θηλδχλσλ φζν θαη κε ηνλ πεξηνξηζκφ ηνπο ζε απνδεθηά επίπεδα. Δπίζεο έλα άιιν επηζηεκνληθφ πεδίν απφ ην νπνίν πηνζεηεί ζηνηρεία ε αλάιπζε θαη δηαρείξηζε επηθηλδπλφηεηαο, είλαη απηφ ηεο επηζηήκεο ησλ πηζαλνηήησλ γλσζηήο θαη σο ζηαηηζηηθή Bayes. Η ζηαηηζηηθή Bayes δηαηππψλεη ηελ άπνςε πσο «ε 1 Εκοφςιεσ ι ακοφςιεσ επεμβάςεισ ςτθν αςφάλεια ενόσ ΠΣ ι τυχαία (φυςικά) γεγονότα.
πηζαλόηεηα λα ζπκβεί έλα γεγνλόο ζην κέιινλ, απνηειεί κεηξήζηκν κέγεζνο» [1]. Μπνξνχκε λα πξνζδηνξίζνπκε επνκέλσο ηελ νπνηαδήπνηε πηζαλφηεηα πξαγκαηνπνίεζεο ελφο γεγνλφηνο, αλαιχνληαο ηνπο παξάγνληεο απφ ηνπο νπνίνπο απνηειείηαη. 1.2 Αθνξκή γηα κειέηε Η αζθάιεηα πιεξνθνξηαθψλ ζπζηεκάησλ εθηφο απφ ηηο γλψζεηο ησλ εηδηθψλ πνπ ζα βνεζήζνπλ ζηελ «επίηεπμή» ηεο, απνηειεί έλαλ ηνκέα ηδηαίηεξα ζχλζεην. Γηα λα πξνζηαηεπζεί ηθαλνπνηεηηθά έλα Π, δεδνκέλεο ηεο άπνςεο πσο δήηεκα απφιπηεο αζθάιεηαο δελ πθίζηαηαη νπφηε κηιάκε γηα ηθαλνπνηεηηθά επίπεδα πξνζηαζίαο, πξέπεη λα ιεθζνχλ ππφςε ζνβαξά, νξηζκέλνη παξάγνληεο πνπ βνεζνχλ πξνο απηήλ ηελ θαηεχζπλζε. Δπνκέλσο νπνηαδήπνηε ελέξγεηα πνπ απνζθνπεί ζηελ πξνζηαζία ελφο πιεξνθνξηαθνχ ζπζηήκαηνο, ζα πξέπεη λα δηέπεηαη απφ ηνπο παξαθάησ παξάγνληεο πξνζηαζίαο, [2]: 1. Η αζθάιεηα ησλ Π εμαξηάηαη απφ πνιινχο παξάγνληεο θαη δελ είλαη απνθιεηζηηθά ηερληθφ ζέκα. 2. Η επίηεπμε απφιπηεο αζθάιεηαο δελ είλαη εθηθηφο ζηφρνο. 3. Γηα θάζε επίπεδν αζθάιεηαο ππάξρεη θαη έλα αληίζηνηρν θφζηνο πνπ ζα πξέπεη λα θαηαβιεζεί γηα ηελ επίηεπμή ηνπ. 4. ην πιαίζην ηεο αξρήο ηεο αλαινγηθφηεηαο, ηα κέηξα πξνζηαζίαο πνπ ζα ιεθζνχλ ζα πξέπεη λα αληηζηνηρνχλ ζην επίπεδν θαη ηε θχζε ησλ πξαγκαηηθψλ θηλδχλσλ πνπ αληηκεησπίδεη ην Π. 1.3 Οξνινγία Η ζπγθεθξηκέλε ελφηεηα παξνπζηάδεη έλα ζχληνκν ιεμηθφ ζεκαληηθψλ ελλνηψλ ην νπνίν είλαη ρξήζηκν γηα ηελ θαιχηεξε θαη ζαθέζηεξε θαηαλφεζε ηεο εξγαζίαο. Οη έλλνηεο πνπ παξνπζηάδνληαη θαη αλαιχνληαη είλαη νη παξαθάησ [3]:
Πιεξνθνξηαθό Σύζηεκα (Information System, IS). Έλα νξγαλσκέλν ζχλνιν αιιειεπηδξψλησλ ζηνηρείσλ (άλζξσπνη, δεδνκέλα, ινγηζκηθφ, πιηθφο εμνπιηζκφο, δηαδηθαζίεο), πνπ επεμεξγάδεηαη δεδνκέλα θαη παξάγεη πιεξνθνξίεο γηα κηα επηρείξεζε ή έλα νξγαληζκφ. Αζθάιεηα Πιεξνθνξηαθνύ Σπζηήκαηνο (IS Security). Έλα νξγαλσκέλν πιαίζην απφ έλλνηεο, αξρέο, δηαδηθαζίεο, ηερληθέο θαη κέηξα πνπ απαηηνχληαη, γηα λα πξνζηαηεπζνχλ ηφζν ηα ζηνηρεία ηνπ Π φζν θαη νιφθιεξν ην Π απφ ηπραία ή ζθφπηκε απεηιή. Αγαζά ή πεξηνπζηαθά ζηνηρεία (Assets). Πιεξνθνξίεο, δεδνκέλα ή ππνινγηζηηθνί πφξνη πνπ έρνπλ αμία, άξα ζπνπδαηφηεηα, εθθξαδφκελε ζε ρξεκαηηθνχο ή άιινπο πφξνπο. Δκπηζηεπηηθόηεηα 2 (Confidentiality). Η δηαζθάιηζε ηεο πξνζπέιαζεο πφξσλ, πιεξνθνξηψλ θιπ. κφλν απφ εμνπζηνδνηεκέλνπο ρξήζηεο. Αθεξαηόηεηα 2 (Integrity). Η δηαζθάιηζε ηεο αθξίβεηαο θαη ηεο πιεξφηεηαο ηεο πιεξνθνξίαο θαη ηαπηφρξνλα ε κε εμνπζηνδνηεκέλε ηξνπνπνίεζή ηεο. Γηαζεζηκόηεηα 2 (Availability). Η δηαζθάιηζε ηεο πξνζπέιαζεο κηαο πιεξνθνξίαο ή ελφο πφξνπ, απφ έλαλ εμνπζηνδνηεκέλν ρξήζηε, κέζα ζε εχινγν ρξνληθφ δηάζηεκα. Αδπλακία ζεκείν εππάζεηαο (Vulnerability). πγθεθξηκέλν ζεκείν ελφο πιεξνθνξηαθνχ ζπζηήκαηνο, ην νπνίν κπνξεί λα επηηξέςεη λα ζπκβεί κηα παξαβίαζε. Απεηιή (Threat). Δλέξγεηα πνπ πηζαλψο λα πξνθαιέζεη ηελ απψιεηα ελφο ή πεξηζζφηεξσλ ραξαθηεξηζηηθψλ ηεο Αζθάιεηαο. Εεκηά (Damage). Ο πεξηνξηζκφο ηεο Αμίαο ελφο Αγαζνχ. Παξαβίαζε (Violation, Breach). Έλα γεγνλφο θαηά ηελ δηάξθεηα ηνπ νπνίνπ κηα ή πεξηζζφηεξεο απφ ηεο ηδηφηεηεο ηεο Αζθάιεηαο, έρνπλ πξνζβιεζεί. Μέηξν Πξνζηαζίαο ή Αληίκεηξν (Security Countermeasure). Έλα κέηξν ζρεδηαζκέλν κε ζθνπφ λα εκπνδίζεη κία παξαβίαζε ή λα κεηψζεη κία αδπλακία ζεκείν εππάζεηαο ή λα κεηψζεη ηηο δπλεηηθέο επηπηψζεηο. Σρέδην Αζθάιεηαο (Security Plan). Έλα έγγξαθν, ζην νπνίν πεξηγξάθνληαη νη απαηηήζεηο αζθάιεηαο ελφο νξγαληζκνχ ή κηαο 2 Οι ιδιότθτεσ τθσ ζννοιασ τθσ αςφάλειασ.
επηρείξεζεο, νη απαξαίηεηεο ελέξγεηεο γηα ηελ πινπνίεζή ηνπο, θαζψο θαη ηα αλαγθαία δηνηθεηηθά θαη νξγαλσηηθά κέηξα. Σν ζρέδην αζθάιεηαο ππφθεηηαη ζε ηαθηηθέο επηζθνπήζεηο θαη αλαζεσξήζεηο, δεδνκέλεο ηεο ξαγδαίαο αλάπηπμεο ηερλνινγηθψλ ιχζεσλ θαη ηεο εθαξκνγήο ηνπο ζηα ζπζηήκαηα πιεξνθνξηθήο θαη δηθηχσλ. Πεξηζηαηηθό (Incident). Γεγνλφο πνπ ζπλέβε εμαηηίαο κηαο απεηιήο Δπίπησζε (Impact). Οξίδεηαη σο ε απψιεηα ελφο Αγαζνχ ή ην απμεκέλν θφζηνο ή άιιε δεκηά πνπ κπνξεί λα ζπκβεί σο απνηέιεζκα κηαο ζπγθεθξηκέλεο πξνζβνιήο. 1.4 Οξγάλσζε πηπρηαθήο εξγαζίαο Η παξνχζα ελφηεηα παξνπζηάδεη ηελ δνκή ηεο εξγαζίαο ε νπνία ρσξίδεηαη ζε ηέζζεξα κέξε (ζεσξεηηθφ, πξαθηηθφ, ζρέδην αζθάιεηαο θαη ζπκπεξάζκαηα) κε επηκέξνπο θεθάιαηα. ην πξψην κέξνο (Μέξνο Α): Σν δεύηεξν θεθάιαην αζρνιείηαη κε ηελ αλάιπζε θαη δηαρείξηζε επηθηλδπλφηεηαο. Παξνπζηάδεη ην πιαίζην ηεο κεζνδνινγίαο θαη ηελ νξηνζέηεζε ηεο εξγαζίαο, εθζέηεη ηνπο θηλδχλνπο απφ ηηο ζχγρξνλεο εμειίμεηο, παξνπζηάδεη ην λνκηθφ πιαίζην γχξσ απφ ηελ εξγαζία θαη αλαθέξεη ηνπο ζηφρνπο ηεο κεζνδνινγίαο. Σν ηξίην θεθάιαην αζρνιείηαη κε ηελ αλαιπηηθή πεξηγξαθή ηεο κεζφδνπ CRAMM ε νπνία ρξεζηκνπνηήζεθε ζηε ζπγθεθξηκέλε εξγαζία γηα ηελ αλάιπζε θαη δηαρείξηζε επηθηλδπλφηεηαο. Παξνπζηάδνληαη αλαιπηηθά ηα βήκαηα πνπ ηελ απνηεινχλ, νη πξνυπνζέζεηο επηηπρίαο, ηα πιενλεθηήκαηα θαη ηα κεηνλεθηήκαηα ηεο. Σν ηέηαξην θεθάιαην πεξηγξάθεη δηεμνδηθά ηελ ππεξεζία ηνπ e-university, ησλ ζηνηρείσλ θαη ησλ ππεξεζηψλ απφ ηα νπνία απνηειείηαη. Σν πέκπην θεθάιαην πεξηγξάθεη ηελ ππεξεζία ηνπ θνηηεηνινγίνπ ηνπ ζπζηήκαηνο e-university ηνπ Παλεπηζηεκίνπ Αηγαίνπ θαη ησλ ππεξεζηψλ πνπ πξνζθέξεη.
ην δεχηεξν κέξνο (Μέξνο Β): Σν έθην θεθάιαην απνηειεί κία εηζαγσγή ζηελ απνηίκεζε ησλ δεδνκέλσλ. Σν έβδνκν θεθάιαην πεξηγξάθεη ηα δεδνκέλα ηεο ππεξεζίαο πνπ απνηηκψληαη θαζψο θαη ηα απνηειέζκαηα ηεο απνηίκεζεο. Σν όγδνν θεθάιαην παξνπζηάδεη ηηο απεηιέο ηεο ππεξεζίαο, νξηζκέλεο δηεπθξηλήζεηο γηα θαιχηεξε θαηαλφεζε θαζψο θαη ηα απνηειέζκαηα ηεο εθηίκεζεο επηθηλδπλφηεηαο κε ηνπο αληίζηνηρνπο πίλαθεο. Σν έλαην θεθάιαην εθζέηεη νξηζκέλα ζπκπεξάζκαηα πνπ εμήρζεζαλ θαηά ηε δηάξθεηα ηεο αλάιπζεο επηθηλδπλφηεηαο. ην ηξίην κέξνο (Μέξνο Γ): Σν δέθαην θεθάιαην παξνπζηάδεη κηα εηζαγσγή ζην ζρέδην αζθάιεηαο, ηα πξναπαηηνχκελα ηεο επηηπρίαο ησλ αληηκέηξσλ, εθζέηεη ην πιαίζην ηνπ ζρεδίνπ αζθάιεηαο θαη ρσξίδεη ηα κέηξα πξνζηαζίαο ζε δχν θαηεγνξίεο βάζεη ηεο απνηειεζκαηηθφηεηαο θαη ηεο θαηάζηαζήο ηνπο. Σν ελδέθαην θεθάιαην παξνπζηάδεη ηαμηλνκεκέλα θαηά ζεηξά πξνηεξαηφηεηαο ηα πξνηεηλφκελα κέηξα πξνζηαζίαο. Σν δσδέθαην θεθάιαην απνηειεί κηα ζχλνςε ησλ φζσλ παξνπζηάζηεθαλ ζην ηξίην κέξνο ηεο εξγαζίαο. ην ηέηαξην κέξνο (Μέξνο Γ): Σν δέθαην ηξίην θεθάιαην παξνπζηάδεη πεξηιεπηηθά ηνλ ζηφρν θαη ηνλ ζθνπφ ηεο εξγαζίαο. Σν δέθαην ηέηαξην θεθάιαην εθζέηεη ηα ζπκπεξάζκαηα ηεο εξγαζίαο. Σν δέθαην πέκπην θεθάιαην παξνπζηάδεη ηελ ζπκβνιή ηεο εξγαζίαο ζην επηζηεκνληθφ πεδίν ηεο αζθάιεηαο πιεξνθνξηθψλ ζπζηεκάησλ. Σν δέθαην έθην θεθάιαην ζεκεηψλεη ηνπο πεξηνξηζκνχο πνπ ππήξραλ θαηά ηελ εθπφλεζε ηεο εξγαζίαο.
Σν δέθαην έβδνκν θεθάιαην αλαθέξεη ηηο δπλεηηθέο επεθηάζεηο ηηο εξγαζίαο.
2. Ζ αλάιπζε θαη δηαρείξηζε επηθηλδπλόηεηαο 2.1 Δηζαγσγή Οη ππνινγηζηηθνί πφξνη θαη νη πιεξνθνξίεο πνπ έρνπλ αμία γηα έλαλ νξγαληζκφ, νλνκάδνληαη πεξηνπζηαθά ζηνηρεία ή αγαζά (assets) θαη πξέπεη λα πξνζηαηεπζνχλ, δηφηη ε αμία ηνπο είλαη αλάινγε ηεο επίπησζεο (impact) πνπ ζα έρεη κηα πηζαλή απψιεηά ηνπο. Η απψιεηα ελφο ή πεξηζζφηεξσλ αγαζψλ ζην πιεξνθνξηαθφ ζχζηεκα, γηα λα πξαγκαηνπνηεζεί πξνυπνζέηεη ηελ παξαβίαζε (violation) ηεο αζθάιεηάο ηνπ. Μηα παξαβίαζε, κε ηελ ζεηξά ηεο, γηα λα πξαγκαηνπνηεζεί ρξεηάδεηαη «ηελ ύπαξμε θάπνηαο εππάζεηαο (vulnerability) ζην ζύζηεκα θαη ηελ εκθάληζε κηαο ζρεηηθήο απεηιήο (threat)» [1][2]. Με βάζε ηα παξαπάλσ, ζπκπεξαίλνπκε ηα εμήο: απηφ πνπ πξνμελεί δεκηά ζε έλα αγαζφ είλαη κία απεηιή ε νπνία εθκεηαιιεχεηαη κία αδπλακία. Σν ζπκβάλ απηφ είλαη γλσζηφ ζαλ παξαβίαζε ηεο αζθάιεηαο ηνπ πιεξνθνξηαθνχ ζπζηήκαηνο θαη νη επηπηψζεηο πνπ πξνμελεί ζηνλ νξγαληζκφ, είλαη αλάινγεο ηεο αμίαο ηνπ αγαζνχ. Δπίζεο γηα λα απνθηήζνπκε κηα νινθιεξσκέλε θαη ηεθκεξησκέλε άπνςε γηα ηελ ήδε ππάξρνπζα θαηάζηαζε ηνπ πιεξνθνξηαθνχ ζπζηήκαηνο πνπ ζέινπκε λα αλαιχζνπκε, πξέπεη λα δψζνπκε απαληήζεηο ζε νξηζκέλα εξσηήκαηα, ηα νπνία ε αλάιπζε επηθηλδπλφηεηαο κπνξεί λα καο βνεζήζεη λα θαηαλνήζνπκε. Σα εξσηήκαηα απηά είλαη ηα εμήο: Πνηα ζηνηρεία ηνπ Π πξέπεη λα πξνζηαηέςνπκε; Πνηα απφ απηά είλαη ηα πην ζεκαληηθά; Απφ πνηεο Απεηιέο θηλδπλεχεη ην Π; Πνηα είλαη ηα αδχλαηα ζεκεία ηνπ; Πνηα Μέηξα Πξνζηαζίαο πξέπεη λα ιεθζνχλ; χκθσλα κε ηα παξαπάλσ, αθνχ ηα πιεξνθνξηαθά ζπζηήκαηα ελφο νξγαληζκνχ είλαη ζεκαληηθά γηα ηελ ιεηηνπξγία ηνπ θαη πξνθεηκέλνπ ηα πξναλαθεξζέληα εξσηήκαηα λα ιάβνπλ απαληήζεηο, ε κφλε κέζνδνο γηα ηελ αθξηβή θαηαγξαθή ησλ πξνβιεκάησλ πνπ εηπψζεθαλ είλαη ε αλάιπζε θαη δηαρείξηζε επηθηλδπλφηεηαο (risk analysis and management method).
ηα πιαίζηα ηεο κεζφδνπ αξρηθά, θαηαγξάθνληαη θαη απνηηκψληαη ηα αγαζά ηνπ πιεξνθνξηαθνχ ζπζηήκαηνο, κειεηψληαη ηφζν νη απεηιέο πνπ ζέηνπλ ζε θίλδπλν ην ζχζηεκα φζν θαη νη εππάζεηεο πνπ απηφ παξνπζηάδεη. Σν ζηάδην απηφ νλνκάδεηαη αλάιπζε επηθηλδπλφηεηαο (risk analysis). ηε ζπλέρεηα ππνινγίδεηαη ν βαζκφο επηθηλδπλφηεηαο ηνπ ζπζηήκαηνο ν νπνίνο απαηηεί δηαρείξηζε θαη ζπληάζζεηαη έλα νινθιεξσκέλν ζρέδην αζθάιεηαο ην νπνίν πεξηιακβάλεη αθελφο ηα πξνηεηλφκελα κέηξα πξνζηαζίαο θαη αθεηέξνπ ηελ πνιηηηθή αζθάιεηαο πνπ πξέπεη λα αθνινπζήζεη ν νξγαληζκφο. Σν ζηάδην απηφ νλνκάδεηαη δηαρείξηζε επηθηλδπλφηεηαο (risk management). Γεδνκέλνπ φηη ην ζχζηεκά καο απεηιείηαη απφ θηλδχλνπο, ζε απηφ ην ζεκείν θαιφ είλαη λα νξίζνπκε ηνλ φξν επηθηλδπλφηεηα (risk). Η επηθηλδπλφηεηα ελφο πιεξνθνξηαθνχ ζπζηήκαηνο είλαη ζπλάξηεζε ηξηψλ παξαγφλησλ [1]: 1. Σεο αμίαο ησλ αγαζψλ απφ ηελ επίπησζε ηεο δεκηάο πνπ ζα ππνζηνχλ. 2. Σεο ζνβαξφηεηαο θαη ηνπ κεγέζνπο ησλ απεηιψλ θαη 3. Σνπ επηπέδνπ ηεο εππάζεηαο ηνπ πιεξνθνξηαθνχ ζπζηήκαηνο. Αληηθεηκεληθφο ζθνπφο ηεο φιεο πξνζπάζεηαο αζθάιεηαο ελφο πιεξνθνξηαθνχ ζπζηήκαηνο, είλαη ε δηαρείξηζε ηεο επηθηλδπλφηεηαο. Με ηνλ φξν δηαρείξηζε ηεο επηθηλδπλφηεηαο, αλαθεξφκαζηε ζηνλ «έιεγρν θαη ηνλ πεξηνξηζκό ηεο επηθηλδπλόηεηαο ζε απνδεθηά επίπεδα» [1]. Η επηθηλδπλφηεηα κπνξεί λα πεξηνξηζηεί, εθαξκφδνληαο ηα θαηάιιεια αληίκεηξα ηα νπνία είλαη αλάινγα ησλ θηλδχλσλ 3, λα κεηαβηβαζηεί, παξαδείγκαηνο ράξηλ κε αζθάιηζε θαη λα αλαιεθζεί, δειαδή λα είκαζηε ζε ζέζε λα απνδερζνχκε ηηο επηπηψζεηο ελφο επεηζνδίνπ. 2.2 Πιαίζην κεζνδνινγίαο χκθσλα κε ηνλ Γηεζλή Οξγαληζκφ Σππνπνίεζεο (ISO International Organization for Standardization), ε κεζνδνινγία δηαθαηέρεηαη απφ νξηζκέλα ζηάδηα ηα νπνία αθελφο πξέπεη λα αθνινπζεζνχλ απνηειψληαο έηζη έλα γεληθφ πιαίζην θαη αθεηέξνπ νπνηαδήπνηε κέζνδνο αλάιπζεο επηθηλδπλφηεηαο ζα πξέπεη λα ηα ζπκπεξηιάβεη ζε θάπνηα κνξθή. Σα ζηάδηα απηά είλαη ηα παξαθάησ [4]: 3 Αρχι τθσ Αναλογικότθτασ
1. Πξνζδηνξηζκφο θαη απνηίκεζε ησλ αγαζψλ. 2. Δθηίκεζε ηεο απεηιήο. 3. Δθηίκεζε ηεο εππάζεηαο. 4. Δθηίκεζε ησλ πθηζηάκελσλ κέζσλ πξνζηαζίαο. 5. Τπνινγηζκφο ηεο επηθηλδπλφηεηαο. Σα παξαπάλσ ζηάδηα απνηεινχλ ην πιαίζην ηεο αλάιπζεο επηθηλδπλφηεηαο. Αθνχ θηάζνπκε ζην ηειεπηαίν ζηάδην θαη νινθιεξσζεί ν ππνινγηζκφο ηεο επηθηλδπλφηεηαο, νινθιεξψλεηαη θαη ην ζηάδην ηεο αλάιπζεο επηθηλδπλφηεηαο. Σν δεηνχκελν θαη πξαγκαηηθφο ζθνπφο ηεο φιεο πξνζπάζεηαο, φπσο έρεη ήδε αλαθεξζεί, είλαη ν πεξηνξηζκφο ηεο ζε απνδεθηά επίπεδα. Η δηαρείξηζε επηθηλδπλφηεηαο πεξηιακβάλεη ηα εμήο ζηάδηα [1]: 1. Δπηινγή αληηκέηξσλ. 2. Καζνξηζκφο πνιηηηθήο αζθάιεηαο. 3. χληαμε ζρεδίνπ αζθάιεηαο. 4. Δθαξκνγή θαη παξαθνινχζεζε ηνπ ζρεδίνπ. Μηιψληαο γηα ηελ επηθηλδπλφηεηα, ηνλ πεξηνξηζκφ θαη γεληθά ηελ δηαρείξηζή ηεο, ε νπνία επηηπγράλεηαη κε ην ζρέδην αζθάιεηαο, πξνθχπηεη έλα εχινγν εξψηεκα ην νπνίν είλαη απφξξνηα ησλ φζσλ έρνπκε ήδε αλαθέξεη. ε πνηα επίπεδα ζα πξέπεη λα πεξηνξίζνπκε ηελ επηθηλδπλφηεηα ψζηε λα είλαη απνδεθηή; Μπνξνχκε λα ηελ κεδελίζνπκε ψζηε λα είκαζηε απνιχησο αζθαιείο; Ξεθηλψληαο απφ ην δεχηεξν εξψηεκα, κεδεληθή επηθηλδπλφηεηα πξνθχπηεη είηε φηαλ ηα αγαζά ηνπ ζπζηήκαηφο καο έρνπλ αμία ίζε ηνπ κεδελφο, είηε φηαλ ε πηζαλφηεηα λα πξαγκαηνπνηεζεί έλα επεηζφδην αζθάιεηαο είλαη θαη απηή ίζε κε κεδέλ. Απηφ πξαθηηθά ζεκαίλεη πσο, αλ εληνπίζνπκε αγαζά ζην ζχζηεκά καο, θαηά ην ζηάδην ηεο αλάιπζεο επηθηλδπλφηεηαο, κε κεδεληθή ή ζρεδφλ κεδεληθή αμία, δελ ζα ηα ιάβνπκε ππφςε ζηε δηαρείξηζε ηεο επηθηλδπλφηεηαο, δηφηη ζχκθσλα κε ηελ αξρή ηεο αλαινγηθφηεηαο, δελ απαηηείηαη ε ιήςε κέηξσλ πξνζηαζίαο γη απηά ηα ζηνηρεία. Σν λα κελ ιάβνπκε κέηξα γηα αγαζά κε κεδεληθή αμία είλαη θάηη ην ξεαιηζηηθφ. Σν λα κεδεληζηεί φκσο ε πηζαλφηεηα πξαγκαηνπνίεζεο ελφο επεηζνδίνπ αζθάιεηαο δελ είλαη εθηθηφο ζηφρνο γηα ηνπο εμήο ιφγνπο [1]:
1. Οη απεηιέο 4 πνπ αληηκεησπίδεη έλα ζχγρξνλν πιεξνθνξηαθφ ζχζηεκα είλαη δπλακηθέο (κεηαβάιινληαη ζπλερψο) θαη νη αηηίεο πνπ ηηο πξνθαινχλ είλαη ζχλζεηεο. 2. Ο αλζξψπηλνο παξάγνληαο 5 είλαη δχζθνινο λα πξνβιεθζεί ζηελ αζθάιεηα ησλ πιεξνθνξηαθψλ ζπζηεκάησλ. 3. Οη πφξνη πνπ δηαζέηεη έλαο νξγαληζκφο είλαη πεπεξαζκέλνη. Βάζεη ηεο παξαπάλσ δηαπίζησζεο, φηη ν κεδεληζκφο ηεο επηθηλδπλφηεηαο δελ είλαη εθηθηφο, νδεγνχκαζηε ζηελ απάληεζε ηνπ πξψηνπ εξσηήκαηνο, δειαδή ζε πνηα επίπεδα πξέπεη λα πεξηνξίζνπκε ηελ επηθηλδπλφηεηα. Ο πεξηνξηζκφο ηεο επηθηλδπλφηεηαο αθελφο πξέπεη λα γίλεη ζε απνδεθηά γηα ηνλ νξγαληζκφ επίπεδα θαη αθεηέξνπ εμαξηάηαη ηφζν απφ ην θφζηνο ησλ κέηξσλ πξνζηαζίαο φζν θαη απφ ηελ απνηειεζκαηηθφηεηά ηνπο, ζηε κείσζε ηεο επηθηλδπλφηεηαο. 2.2.1 Μέζνδνο εξγαζίαο Η αλάιπζε επηθηλδπλφηεηαο ζηελ παξνχζα εξγαζία, πξαγκαηνπνηήζεθε κε ηελ κέζνδν CRAMM (UK CCTA Risk Analysis and Management Methodology) θαη ηνπ αληίζηνηρνπ ινγηζκηθνχ, ε νπνία παξνπζηάδεηαη δηεμνδηθά ζην επφκελν θεθάιαην. 2.2.2 Οξηνζέηεζε εξγαζίαο Γηα ηελ αλάιπζε θαη δηαρείξηζε επηθηλδπλφηεηαο ηεο ππεξεζίαο έρνπλ ιεθζεί ππφςε δηαθφξνπ είδνπο απεηιέο 6 θαζψο επίζεο θαη νη ηερλνινγηθέο αδπλακίεο, νη αδπλακίεο ησλ εγθαηαζηάζεσλ θαζψο θαη νηθνλνκηθνί πεξηνξηζκνί. Δίλαη ζεκαληηθφ λα αλαθεξζεί πσο ε κειέηε βαζίζηεθε ζηηο απφςεηο θαη ζηηο πιεξνθνξίεο πνπ δφζεθαλ απφ ηα ζηειέρε ηεο Τπεξεζίαο Πιεξνθνξηθήο θαη Δπηθνηλσληψλ (ΤΠΔ) ηνπ Παλεπηζηεκίνπ Αηγαίνπ. πλεπψο, ε αθξίβεηα ησλ πιεξνθνξηψλ απηψλ επεξεάδεη άκεζα θαη ηελ αθξίβεηα ησλ απνηειεζκάησλ ηεο κειέηεο. 4 Παραδείγματα μερικϊν απειλϊν είναι οι φυςικζσ απειλζσ (πυρκαγιά, ςειςμόσ κλπ.), απειλζσ μθ εξουςιοδοτθμζνθσ πρόςβαςθσ (hacking, cracking κλπ.), τεχνικζσ βλάβεσ, λάκοσ χειριςμοί κ.α. 5 Χριςτθσ, χειριςτισ, ςχεδιαςτισ, υπεφκυνοσ ςυντιρθςθσ κ.α. 6 Απειλζσ από: φυςικά γεγονότα, κακόβουλεσ ενζργειεσ, κακόβουλεσ ενζργειεσ του ίδιου το προςωπικοφ, λανκαςμζνθ χριςθ ςυςτιματοσ και αδυναμίεσ υλικοφ.
2.3 Τν πξόηππν ISO/IEC 27005:2011 Όπσο αλαθέξζεθε ήδε πξνεγνπκέλσο, ε κεζνδνινγία δηέπεηαη απφ νξηζκέλα ζηάδηα ηα νπνία θαζνξίδνληαη απφ ηνλ Γηεζλή Οξγαληζκφ Σππνπνίεζεο (ISO International Organization for Standardization). Η αλάιπζε θαη δηαρείξηζε επηθηλδπλφηεηαο βαζίδεηαη ζε κηα κεγάιε νηθνγέλεηα πξνηχπσλ ηελ «νηθνγέλεηα ISO/IEC 27000» θαη πην ζπγθεθξηκέλα ζην πξφηππν ISO/IEC 27005:2011, ην νπνίν εμεγείηαη ζηε ζπλέρεηα Ο πιήξεο ηίηινο ηνπ είλαη: ISO/IEC 27005, Information Technology Security Techniques Information Security Risk Management (Τερλνινγία Πιεξνθνξηώλ Τερληθέο Αζθάιεηαο Γηαρείξηζε Κηλδύλσλ Αζθάιεηαο Πιεξνθνξηώλ). θνπφο ηνπ πξνηχπνπ είλαη αθελφο ε παξνρή νδεγηψλ γηα ηε δηαρείξηζε θηλδχλσλ θαη αθεηέξνπ ε παξνρή βνήζεηαο γηα ηελ ηθαλνπνηεηηθή πινπνίεζε ηεο αζθάιεηαο πιεξνθνξηψλ κέζσ ηεο δηαρείξηζεο επηθηλδπλφηεηαο. Σν πξφηππν δελ νξίδεη ή πξνηείλεη θάπνηα ζπγθεθξηκέλε κέζνδν αλάιπζεο θαη δηαρείξηζεο επηθηλδπλφηεηαο, πνπ πξέπεη λα αθνινπζεζεί, αιιά νξίδεη κηα απζηεξή, δνκεκέλε θαη ζπζηεκαηηθή δηαδηθαζία απφ ηελ αλάιπζε επηθηλδπλφηεηαο κέρξη ην πιάλν δηαρείξηζεο ηεο επηθηλδπλφηεηαο [4]. Σν πξφηππν ISO/IEC 27005:2011 αθνινπζεί ηνπο θαλφλεο θαη ζπκπιεξψλεη ην πξφηππν ISO/IEC 27001. 2.4 Ννκηθό πιαίζην Έρνληαο θαηαζηεί γλσζηφ φηη ην παξφλ πφλεκα αζρνιείηαη κε ηελ ππεξεζία ηνπ e-university ην νπνίν είλαη έλα νινθιεξσκέλν πιεξνθνξηαθφ ζχζηεκα πνπ εθηφο ησλ άιισλ δηαρεηξίδεηαη θαη δεδνκέλα πξνζσπηθνχ ραξαθηήξα, δελ ζα πξέπεη λα παξαιεθζεί ε ηζρχνπζα λνκνζεζία γχξσ απφ ηνλ ηνκέα ηεο επεμεξγαζίαο ησλ δεδνκέλσλ απηψλ. Μέζα ζην ζχγρξνλν ηερλνινγηθφ πεξηβάιινλ ζην νπνίν δνχκε θαη ζηελ χπαξμε κηαο άιιεο θνηλσλίαο, απηή ηεο πιεξνθνξίαο, ην άηνκν απφ νληφηεηα αλάγεηαη ζε «πιεξνθνξηαθό αληηθείκελν» [5] θαζψο αλαιψλεηαη ζε κηα δηαξθή ζπλαιιαγή ησλ δεδνκέλσλ πνπ ην αθνξνχλ. Βαζηθή επηδίσμε ηεο λνκνζεζίαο είλαη αθελφο ε πξνζηαζία ησλ δεδνκέλσλ ηνπ αηφκνπ κε ηελ παξνρή νξηζκέλσλ δηθαησκάησλ πξνο απηφ θαη αθεηέξνπ λα ζέζεη νξηζκέλεο ππνρξεψζεηο ζηνπο ππεπζχλνπο επεμεξγαζίαο
ησλ δεδνκέλσλ πξνζσπηθνχ ραξαθηήξα κε ηηο αλάινγεο θπξψζεηο φηαλ απηέο δελ ηεξνχληαη. ηελ Διιάδα έρεη ζπζηαζεί ε Αξρή Πξνζηαζίαο Γεδνκέλσλ Πξνζσπηθνχ Υαξαθηήξα σο αλεμάξηεηε δηνηθεηηθή αξρή, ζεζπίδνληαο ην λφκν 2472/97 πνπ «πξνζηαηεύεη ην άηνκν από ηελ επεμεξγαζία πξνζσπηθώλ δεδνκέλσλ» [6]. 2.5 Σύγρξνλνη θίλδπλνη Υξεζηκνπνηψληαο ηηο ζχγρξνλεο ηερλνινγίεο πιεξνθνξηθήο θαη επηθνηλσληψλ, εθηφο απφ ηηο δπλαηφηεηεο 7 πνπ παξέρνπλ, παξνπζηάδνληαη θαη νξηζκέλνη θίλδπλνη νη νπνίνη αθελφο κπνξνχλ λα βιάςνπλ ηελ εχξπζκε ιεηηνπξγία ησλ πιεξνθνξηαθψλ ζπζηεκάησλ θαη ελ ηέιεη ηελ νκαιή ιεηηνπξγία νιφθιεξνπ ηνπ εθπαηδεπηηθνχ ηδξχκαηνο (ζηε ζπγθεθξηκέλε πεξίπησζε) θαη αθεηέξνπ δελ κπνξνχλ λα αγλνεζνχλ θαηά ηελ αλάιπζε ηεο επηθηλδπλφηεηαο. Σν πιήζνο θαη ε πνηθηιία ησλ θηλδχλσλ θαη ησλ απεηιψλ είλαη ηέηνην πνπ δελ ζα πξέπεη λα αγλνεζεί απφ έλαλ νξγαληζκφ. Ιδηαίηεξα ζην ρψξν ηεο εθπαίδεπζεο ε αιιειεμάξηεζε ησλ εθπαηδεπηηθψλ ηδξπκάησλ κε ηα ζπζηήκαηα πιεξνθνξηθήο απμάλεηαη νινέλα θαη πεξηζζφηεξν, αθνινπζψληαο έηζη ηηο εμειίμεηο γχξσ απφ ηηο ζχγρξνλεο ηερλνινγίεο. Καηά ζπλέπεηα, ε πξνζηαζία ησλ Π απφ ηπραίεο ή ζθφπηκεο απεηιέο είλαη απνιχησο αλαγθαία, θαζψο επεξεάδεη άκεζα απφ ηελ κία, ηελ πνηφηεηα ησλ πξνζθεξφκελσλ ππεξεζηψλ ησλ εθπαηδεπηηθψλ ηδξπκάησλ θαη απφ ηελ άιιε ηελ ζπλνιηθή εηθφλα ηνπ ηδξχκαηνο. Έηζη έλα εθπαηδεπηηθφ ίδξπκα (ζηε ζπγθεθξηκέλε πεξίπησζε) ή έλαο νξγαληζκφο (γεληθά), δελ ζα πξέπεη λα βιέπεη ηελ αζθάιεηα Π σο έμνδα ή ζπαηάιε ρξεκάησλ, αιιά ζα πξέπεη λα ηελ δεη ζαλ επέλδπζε γηα ην παξφλ αιιά θαη γηα ην κέιινλ. Οη εμειίμεηο ζηνλ ηνκέα ηεο αζθάιεηαο Π, πξνζθέξνπλ έλα ζεκαληηθφ πιήζνο απνηειεζκαηηθψλ ηερληθψλ θαη πξντφλησλ πξνζηαζίαο, ηα νπνία κπνξνχλ λα πξνζθέξνπλ ιχζεηο ζηα πεξηζζφηεξα δεηήκαηα αζθάιεηαο πνπ αληηκεησπίδεη έλα ζχγρξνλν Π. Παξφια απηά, αθφκα θαη εμειηγκέλα ηερλνινγηθά ζπζηήκαηα «πέθηνπλ ζχκαηα» παξαβίαζεο ηεο αζθάιεηάο ηνπο, γεγνλφο πνπ ζεκαίλεη πσο «ηα ηερληθά κέζα δελ εγγπώληαη απόιπηε πξνζηαζία» [2]. 7 Συλλογι, επεξεργαςία και διανομι πλθροφοριϊν
2.6 Σηόρνη ηεο αλάιπζεο θαη δηαρείξηζεο επηθηλδπλόηεηαο Μέζα απφ ηελ παξνχζα εξγαζία δηαθαίλνληαη νξηζκέλνη ζηφρνη, ηνπο νπνίνπο ε αλάιπζε θαη δηαρείξηζε επηθηλδπλφηεηαο είλαη ζε ζέζε λα πξαγκαηνπνηήζεη. Οη ζηφρνη απηνί, νη νπνίνη αθνξνχλ ηελ ππεξεζία ηνπ θνηηεηνινγίνπ ηνπ e-university, είλαη νη εμήο: 1. Ο εληνπηζκφο ησλ απεηιψλ, ησλ αδπλακηψλ, ησλ επηπηψζεσλ θαη ησλ θηλδχλσλ ηεο ππεξεζίαο. 2. Η εθηίκεζε ηεο επηθηλδπλφηεηαο ηεο ππεξεζίαο. 3. Η ζχληαμε ζρεδίνπ αζθάιεηαο γηα ηε ιήςε κέηξσλ πξνζηαζίαο πνπ αθνξνχλ ηφζν ην ίδην ην ζχζηεκα αιιά θαη ηελ θπζηθή αζθάιεηα θαζψο θαη ηελ αλάζεζε ξφισλ. 4. Πξνηάζεηο γηα ηελ κεηέπεηηα παξαθνινχζεζε ηεο επηθηλδπλφηεηαο. 2.7 Σπκπεξάζκαηα ην παξφλ θεθάιαην παξνπζηάζηεθε ε κεζνδνινγία ηεο αλάιπζεο θαη δηαρείξηζεο επηθηλδπλφηεηαο θαζψο θαη ηα ραξαθηεξηζηηθά ηεο. Έπεηηα παξνπζηάζηεθαλ, ην πξφηππν πάλσ ζην νπνίν βαζίδεηαη ε κεζνδνινγία, ην θαλνληζηηθφ πιαίζην, νη θίλδπλνη ηεο ζχγρξνλεο επνρήο θαη ηέινο νη ζηφρνη ηεο κεζνδνινγίαο γηα ηελ ππφ κειέηε ππεξεζία.
3. Πεξηγξαθή ηεο κεζόδνπ CRAMM 3.1 Δηζαγσγή ζηε CRAMM Γηα ηελ πξαγκαηνπνίεζε ηεο αλάιπζεο θαη δηαρείξηζεο επηθηλδπλφηεηαο ηεο ππεξεζίαο ηνπ θνηηεηνινγίνπ ηνπ e-university ηνπ Παλεπηζηεκίνπ Αηγαίνπ, ρξεζηκνπνηήζεθε ε κέζνδνο CRAMM 8 (CCTA Risk Analysis and Management Methodology). Η CRAMM αλαπηχρζεθε απφ ηελ Κεληξηθή Τπεξεζία Τπνινγηζηψλ θαη Σειεπηθνηλσληψλ (Central Computer and Telecommunications Agency) ηνπ Ηλσκέλνπ Βαζηιείνπ ην 1987 θαη απνηειεί ζεκείν αλαθνξάο ηφζν ζηε ρψξα φζν θαη ζηνλ ππφινηπν επξσπατθφ ρψξν. Δπίζεο έρεη εθαξκνζηεί κε επηηπρία ζε κηθξνχο θαη κεγάινπο νξγαληζκνχο ράξε ζηνλ ζπζηεκαηηθφ ραξαθηήξα ηεο. Σέινο ε κέζνδνο CRAMM ζπλνδεχεηαη απφ ινγηζκηθφ, ην νπνίν βξίζθεηαη ζηελ έθδνζε 5.1 θαη πεξηιακβάλεη φια ηα βήκαηά ηεο απνηειψληαο αλαπφζπαζην ηκήκα ηεο. Η επηινγή ηεο CRAMM, ζε ζρέζε κε άιιεο κεζφδνπο 9 αλάιπζεο θαη δηαρείξηζεο επηθηλδπλφηεηαο γηα ηελ πξαγκαηνπνίεζε ηεο εξγαζίαο, έγηλε γηα ηνπο παξαθάησ ιφγνπο: 1. Δίλαη ε πην δηαδεδνκέλε κέζνδνο ζηνλ επξσπατθφ ρψξν θαη ππάξρεη ζρεηηθή εκπεηξία ζηε ρξήζε ηεο απφ εηδηθνχο αλαιπηέο. 2. Σν ινγηζκηθφ πνπ ηελ ζπλνδεχεη, ηελ θάλεη πην εχθνιε ζηε ρξήζε ηεο θαη ε φιε πξνζπάζεηα γίλεηαη πην απηνκαηνπνηεκέλα. 3. Παξέρεη κηα εθηελή βηβιηνζήθε αληηκέηξσλ θαιχπηνληαο έηζη φιεο ηηο πηπρέο ηεο αζθάιεηαο Π. 4. Η ζπγθεθξηκέλε κεζνδνινγία αλαπηχρζεθε γηα λα ρξεζηκνπνηεζεί σο επί ην πιείζηνλ ζε κεγάινπο νξγαληζκνχο, φπσο γηα παξάδεηγκα ζε εθπαηδεπηηθά ηδξχκαηα (ζηελ παξνχζα εξγαζία). 3.2 Πεξηγξαθή ηεο CRAMM Γηα λα πξαγκαηνπνηεζεί ε αλάιπζε θαη δηαρείξηζε επηθηλδπλφηεηαο ζχκθσλα κε ηελ CRAMM, αθνινπζνχληαη ηξία βαζηθά ζηάδηα: 8 CRAMM User Guide, Crown Copyright 9 Μερικζσ μζκοδοι είναι: SBA, MARION, OCTAVE, MEHARI, MAGERIT, COBRA, CORAS, RiskWatch, EBIOS, Callio Secura, NSA IAM κ.α.
1. Πξνζδηνξηζκφο θαη αμηνιφγεζε ησλ αγαζψλ 2. Αλάιπζε επηθηλδπλφηεηαο 3. Γηαρείξηζε επηθηλδπλφηεηαο Ο πίλαθαο πνπ αθνινπζεί παξνπζηάδεη ηα ζηάδηα ηεο κεζφδνπ καδί κε ηα ζπγθεθξηκέλα βήκαηα πνπ αθνινπζεί: Πίνακασ 1: Στάδια και βήματα ανάλυςησ και διαχείριςησ επικινδυνότητασ ςφμφωνα με την μζθοδο CRAMM [1]. Σηάδηα κεζόδνπ ηάδην 1 Πξνζδηνξηζκφο θαη αμηνιφγεζε ησλ αγαζψλ (identification and valuation of assets) ηάδην 2 Αλάιπζε επηθηλδπλφηεηαο (Risk analysis) Βήκαηα ζην θάζε ζηάδην Βήκα 1.1: Γεκηνπξγία κνληέινπ Π. Βήκα 1.2: Απνηίκεζε ζηνηρείσλ - αγαζψλ ηνπ Π. Βήκα 1.3: Δπηβεβαίσζε θαη επηθχξσζε ηεο απνηίκεζεο. Βήκα 2.1: Πξνζδηνξηζκφο ησλ Απεηιψλ πνπ αθνξνχλ ην θάζε Αγαζφ. Βήκα2.2: Δθηίκεζε Απεηιψλ (threat assessment) θαη Αδπλακηψλ - εκείσλ Δππάζεηαο (vulnerability assessment). Βήκα 2.3: Τπνινγηζκφο Δπηθηλδπλφηεηαο γηα θάζε ζπλδπαζκφ Αγαζνχ - Απεηιήο. Βήκα 2.4: Δπηβεβαίσζε θαη Δπηθχξσζε ηνπ βαζκνχ Δπηθηλδπλφηεηαο. ηάδην 3 Γηαρείξηζε επηθηλδπλφηεηαο (Risk management) Βήκα 3.1: Πξνζδηνξηζκφο ηεο ιίζηαο ησλ πξνηεηλφκελσλ αληίκεηξσλ (safeguards - countermeasures). Βήκα 3.2: Καηάξηηζε ρεδίνπ - Πιάλνπ αζθάιεηαο (security plan). Σα ζηάδηα θαη ηα επηκέξνπο βήκαηα, φπσο παξνπζηάζηεθαλ ζηνλ παξαπάλσ πίλαθα, αλαιχνληαη δηεμνδηθά ζηε ζπλέρεηα.
3.2.1 Σηάδην 1: Πξνζδηνξηζκόο θαη αμηνιόγεζε ησλ αγαζώλ. ην πξψην ζηάδην παξνπζηάδνληαη ηα αγαζά ηνπ πιεξνθνξηαθνχ ζπζηήκαηνο πνπ πξέπεη λα πξνζηαηεπζνχλ. Σα βήκαηα ηνπ ζηαδίνπ είλαη ηα εμήο: Βήκα 1.1: Γεκηνπξγία ηνπ κνληέινπ ηνπ Π. Βήκα 1.2: Απνηίκεζε ησλ ζηνηρείσλ ηνπ Π. Βήκα 1.3: Δπηβεβαίσζε θαη επηθχξσζε ηεο απνηίκεζεο. Βήκα 1.1: Γεκηνπξγία ηνπ κνληέινπ ηνπ ΠΣ. ε απηφ ην βήκα πξνζδηνξίδνληαη ηα δεδνκέλα, ην ινγηζκηθφ θαη ην πιηθφ πνπ δηαρεηξίδεηαη ην Π. Σα ζηνηρεία απηά αιιειεπηδξνχλ κεηαμχ ηνπο θαη παξνπζηάδνληαη νη αιιεινζπζρεηίζεηο απηψλ. Γηα παξάδεηγκα, αθνχ ζέινπκε λα πξνζηαηέςνπκε δεδνκέλα πνπ ηεξνχληαη ζε ππνινγηζηέο, ζα πξέπεη αθελφο λα πξνζηαηέςνπκε ην πιηθφ θαη αθεηέξνπ ην ινγηζκηθφ πνπ απνζεθεχεη θαη επεμεξγάδεηαη ηα δεδνκέλα απηά. Γηα λα δεκηνπξγεζεί ην κνληέιν ηνπ Π αθνινπζνχληαη νξηζκέλα βήκαηα. Απηά είλαη ηα εμήο [1]: Πξνζδηνξηζκφο ησλ δεδνκέλσλ πνπ επεμεξγάδεηαη ην Π θαη δεκηνπξγία νκάδσλ δεδνκέλσλ. Πξνζδηνξηζκφο ησλ πιηθψλ ζηνηρείσλ πνπ ππνζηεξίδνπλ ηελ επεμεξγαζία ησλ δεδνκέλσλ. Πξνζδηνξηζκφο ησλ ρψξσλ φπνπ βξίζθνληαη ηα πιηθά ζηνηρεία. Πξνζδηνξηζκφο ηνπ ινγηζκηθνχ πνπ ρξεζηκνπνηείηαη γηα ηελ επεμεξγαζία ησλ δεδνκέλσλ. Γεκηνπξγία ησλ κνληέισλ πνπ ζπζρεηίδνπλ ηα παξαπάλσ. Γηα ηελ δνκή ηνπ ζπζηήκαηνο αιιά θαη γηα κηα νινθιεξσκέλε εηθφλα ησλ δεδνκέλσλ πνπ απηφ ρεηξίδεηαη, ζεκαληηθή είλαη ε ζπλεξγαζία κε ην πξνζσπηθφ θαη ηνπο θχξηεο ρξήζηεο ηνπ ζπζηήκαηνο, ψζηε ε ζπιινγή ησλ παξαπάλσ ζηνηρείσλ λα είλαη αξθεηά ηεθκεξησκέλε. Αθνχ νινθιεξσζεί ε παξαπάλσ δηαδηθαζία, ην κνληέιν ηνπ ζπζηήκαηνο εηζάγεηαη ζηελ CRAMM θαη ην ινγηζκηθφ ειέγρεη ηε ζπλνρή ηνπ.