Β κύκλος εργασιών Οµάδα Εργασίας OE B1

Β κύκλος εργασιών Οµάδα Εργασίας OE B1 «ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΑΚΩΝ & ΕΠΙΚΟΙΝΩΝΙΑΚΩΝ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟ ΧΩΡΟ ΤΟΥ ΗΛΕΚΤΡΟΝΙΚΟΥ ΕΠΙΧΕΙΡΕΙΝ» Εκτελεστική Περίληψη Παραδοτέου Συντονιστές: Σωκράτης Κ. Κάτσικας, Αντιπρύτανης Πανεπιστηµίου Αιγαίου Λίλιαν Μήτρου, Αρχή Προστασίας εδοµένων Προσωπικού Χαρακτήρα Rapporteur: Στέφανος Γκρίτζαλης, Επίκουρος Καθηγητής Πανεπιστηµίου Αιγαίου, Τµήµα Μηχανικών Πληροφοριακών & Επικιοινωνιακών Συστηµάτων Αθήνα, Ιούλιος 2002

1. Αναγκαιότητα Ασφαλούς Ηλεκτρονικού Επιχειρειν 1.1 Πλαίσιο ανάπτυξης της Κοινωνίας και Οικονοµίας της Πληροφορίας Η γενικευµένη εφαρµογή των τεχνολογιών της Πληροφορικής και των Επικοινωνιών αποτελεί σήµερα κυρίαρχο µοχλό στην κοινωνικο-οικονοµική ανάπτυξη σε διεθνές επίπεδο, οδηγώντας στην περαιτέρω διαµόρφωση της Κοινωνίας της Πληροφορίας. Οι εξελίξεις αυτές έχουν ήδη αρχίσει να προκαλούν ισχυρές ανακατατάξεις στο διεθνή οικονοµικό, κοινωνικό και πολιτισµικό ιστό. Ειδικότερα στο οικονοµικό πεδίο, η γενικευµένη αξιοποίηση των δυνατοτήτων των ανοιχτών δικτύων οδηγεί στην ολοένα αυξανόµενη παγκοσµιοποίηση του εµπορίου, του ανταγωνισµού και των επενδύσεων, οδηγώντας στη δηµιουργία της Οικονοµίας της Πληροφορίας. Οι προοπτικές αυτές δηµιουργούν σηµαντικές δυνατότητες για τις ιδιωτικές επιχειρήσεις. Παράλληλα, όµως σηµατοδοτούν και την αναγκαιότητα ανάληψης επειγουσών δράσεων από τη ηµόσια ιοίκηση, στην κατεύθυνση αφενός του εκσυγχρονισµού των παρεχοµένων υπηρεσιών προς όφελος του κοινωνικού συνόλου, αφετέρου της µείωσης του λειτουργικού κόστους. Σύµφωνα µε µελέτη που εκπόνησε ο διεθνής οίκος PriceWaterhouseCoopers και τα αποτελέσµατα της οποίας ανακοινώθηκαν την Άνοιξη του 2000 στο Παγκόσµιο Οικονοµικό Φόρουµ στο Νταβός της Ελβετίας, ο κύκλος εργασιών των επιχειρήσεων σε όλο τον κόσµο λόγω της αξιοποίησης των δυνατοτήτων του Internet θα πολλαπλασιαστεί µέσα σε λίγα µόνο χρόνια, ενώ οι επιχειρήσεις που θα δραστηριοποιηθούν στο χώρο αυτό δεν πρόκειται να αντιµετωπίσουν σοβαρά οικονοµικά προβλήµατα κατά τη διάρκεια της επόµενης τριετίας. Οι 9 στους 10 ερωτηθέντες επιχειρηµατίες εµφανίσθηκαν αισιόδοξοι για τις µεσοπρόθεσµες και µακροπρόθεσµες προοπτικές ανάπτυξης των επιχειρήσεων τους από τη δραστηριοποίηση στο Internet. Στην Ελλάδα, σύµφωνα µε µελέτη της Research International που διεξήχθη για λογαριασµό της εταιρείας Intel στο τέλος του έτους 2000, σε δείγµα 100 µικρών και µεγάλων επιχειρήσεων από το χώρο της πληροφορικής, των επικοινωνιών, των χρηµατοοικονοµικών υπηρεσιών, τη µεταποίηση και το λιανικό εµπόριο, το 70% των επιχειρήσεων σκοπεύει να αξιοποιήσει τις δυνατότητες του Ηλεκτρονικού Εµπορίου και µάλιστα 43% σε σύντοµο χρονικό διάστηµα, αν και κατά την εποχή της εκπόνησης της µελέτης µόνον 6% από αυτές πραγµατοποιούσαν εµπορικές συναλλαγές µέσω Internet. 2

Σε όλες όµως τις προαναφερθείσες µελέτες, επιβεβαιωνόταν η κρατούσα άποψη ότι η Ευρωπαϊκή Ένωση παρουσιάζει σαφή υστέρηση στον τοµέα αυτό, έναντι των Ηνωµένων Πολιτειών. Στην κατεύθυνση αυτή, ήδη από τις 26 Ιανουαρίου 2000 η Ευρωπαϊκή Επιτροπή είχε εγκρίνει ένα ιδιαίτερα φιλόδοξο πρόγραµµα για την προώθηση του Ηλεκτρονικού Εµπορίου στην Ευρωπαϊκή Ένωση. Σκοπός είναι να µειωθεί η απόσταση που χωρίζει την Ευρωπαϊκή Ένωση από τις Ηνωµένες Πολιτείες σε θέµατα Ηλεκτρονικού Εµπορίου. Η πρόκληση είναι σηµαντική και οι απαιτούµενες δράσεις έχουν εξαιρετικά επείγοντα χαρακτήρα, αν αναλογισθεί κανείς ότι οι προσωπικοί υπολογιστές έχουν ήδη διεισδύσει σε ποσοστό µεγαλύτερο του 50% των νοικοκυριών στις Ηνωµένες Πολιτείες, ενώ στην Ευρωπαϊκή Ένωση στο 30% και στην Ελλάδα κάτω από 20%. Επίσης το ποσοστό των νοικοκυριών που είναι συνδεδεµένα µε το Internet στις Ηνωµένες Πολιτείες υπερβαίνει το 30%, στην Ευρωπαϊκή Ένωση πλέον του 15% και στην Ελλάδα περί το 10%, ποσοστό που αντιστοιχεί σε αριθµό της τάξεως των 900.000 ατόµων (Ευροβαρόµετρο 1999 και V-PRC 2001). Παράλληλα, η Ευρωπαϊκή Ένωση για την προώθηση και της περιφερειακής συνοχής µέσω της Κοινωνίας της Πληροφορίας, προωθεί περαιτέρω τη σηµαντική πρωτοβουλία eeurope. Ιδιαίτερο ενδιαφέρον, µάλιστα, παρουσιάζουν δηλώσεις του Φιλανδού Επιτρόπου της Ευρωπαϊκής Ένωσης κ. Λικανεν, αρµόδιου για την Κοινωνία της Πληροφορίας και την Επιχειρηµατική Πολιτική, σύµφωνα µε τις οποίες το Ηλεκτρονικό Εµπόριο φαίνεται να προσανατολίζεται κατά προτεραιότητα σε τρεις τοµείς: τις τραπεζικές εργασίες, τον τουρισµό και τις πωλήσεις ηλεκτρονικών υπολογιστών. 1.2 Ασφαλείς εµπορικές δοσοληψίες µέσω του Internet Πρόσφατες, όµως, µελέτες στις Ηνωµένες Πολιτείες, την Ευρωπαϊκή Ένωση και την Ελλάδα, αναδεικνύουν ότι η πραγµατοποίηση επιχειρηµατικών πρωτοβουλιών µέσω του Internet σε πολλές περιπτώσεις αναστέλλεται λόγω ζητηµάτων ασφάλειας, τα οποία στην αρχή προβληµατίζουν και τελικά αποθαρρύνουν δυνητικούς εµπορικούς εταίρους. Εκτιµάται ότι µέχρι πρόσφατα στην Ευρωπαϊκή Ένωση αντιστοιχούσε µόνον 1.0 ασφαλής εξυπηρέτης Παγκόσµιου Ιστού (secure Web servers) ανά 100.000 κατοίκους, ενώ στην Ελλάδα η αναλογία εκτιµάται µόλις σε 0.2 ασφαλείς εξυπηρέτες Παγκόσµιου Ιστού ανά 100.000 κατοίκους. 3

Για την αντιµετώπιση των προβληµάτων ασφάλειας, απαιτείται η χάραξη πολιτικών, η ανάπτυξη στρατηγικών, η σχεδίαση µεθοδολογιών, η υλοποίηση µηχανισµών, καθώς και η διαρκής αξιολόγηση του συνολικού εγχειρήµατος, για την επίτευξη ασφάλειας και εµπιστοσύνης κατά τη διάρκεια µιας επικοινωνίας. Για την αποτελεσµατική υλοποίηση ενός ολοκληρωµένου πλαισίου λειτουργίας ασφαλών ηλεκτρονικών συναλλαγών, η Ευρωπαϊκή Επιτροπή ήδη από το 1997 δηµοσίευσε ένα σύνολο τεχνικών, κανονιστικών και νοµικών ζητηµάτων και ανακοίνωσε την προετοιµασία ενεργειών για τη σχεδίαση ενός πλαισίου ρυθµίσεων και δράσεων, στην κατεύθυνση της υλοποίησης ασφαλούς λειτουργίας της ηλεκτρονικής αγοράς υπηρεσιών και προϊόντων. Συνήθεις απαιτήσεις ασφάλειας των χρηστών σε περιβάλλον ηλεκτρονικών δοσοληψιών είναι: η εµπιστευτικότητα (confidentiality) και η ακεραιότητα (integrity) των διακινουµένων µηνυµάτων, η αυθεντικοποίηση (authentication) αποστολέα, η µη-αποποίηση (nonrepudiation) αποστολής και λήψης µηνύµατος, η διαθεσιµότητα (availability) του συστήµατος, η χρονοσήµανση (timestamping) αποστολής ή λήψης ενός µηνύµατος, η υπευθυνότητα µιας δράσης (accountability) κλπ. Σηµαντική συνεισφορά στην ικανοποίηση αντιστοίχων απαιτήσεων έχουν εφαρµογές της επιστήµης της Κρυπτογραφίας. Για παράδειγµα, οι ψηφιακές υπογραφές (digital signatures) χρησιµοποιούνται για να επαληθεύσουν το φορέα αποστολής δεδοµένων, και να διασφαλίσουν τη µη τροποποίηση και µη αποποίηση ενός µηνύµατος. Η κρυπτογράφηση και αποκρυπτογράφηση (encryption/decryption) αξιοποιούνται για τη διατήρηση της εµπιστευτικότητας των δεδοµένων της επικοινωνίας. Σύµφωνα µε την Ευρωπαϊκή Επιτροπή, η ύπαρξη διισταµένων απόψεων σε νοµικά και τεχνικά θέµατα στην ευρύτερη γνωστική περιοχή της ασφάλειας δικτύων, θα µπορούσε να δηµιουργήσει σηµαντικά εµπόδια στην εσωτερική αγορά και κατά συνέπεια θα αρκούσε για να παρεµποδίσει την ανάπτυξη νέων οικονοµικών δραστηριοτήτων που σχετίζονται µε το Ηλεκτρονικό Εµπόριο. Για το λόγο αυτόν, η Ευρωπαϊκή Επιτροπή έχει ήδη δροµολογήσει ενέργειες και έχει λάβει σχετικές αποφάσεις, ώστε να υποβοηθηθεί το υπάρχον πλαίσιο διενέργειας ηλεκτρονικών συναλλαγών. Στην κατεύθυνση αυτή, έχει εκδοθεί από τις 13 εκεµβρίου 1999 η Οδηγία 99/93 για το πλαίσιο αξιοποίησης των Ηλεκτρονικών Υπογραφών και δηµοσιεύθηκε στις Εφηµερίδες των Ευρωπαϊκών Κοινοτήτων στις 19 Ιανουαρίου 2000. Στην Ελλάδα η ενσωµάτωση της Οδηγίας αυτής στο ισχύον δίκαιο επιτεύχθηκε µε τη δηµοσίευση του Προεδρικού ιατάγµατος 150/2001 (ΦΕΚ 125 Α/25.6.2001). 4

2. Αποτύπωση θέσεων και απόψεων των µελών της Οµάδας Β1 Η Οµάδα Εργασίας Β1 «Ασφάλεια Πληροφοριακών και Επικοινωνιακών Συστηµάτων στο χώρο του Ηλεκτρονικού Επιχειρείν» κατέγραψε τις θέσεις και απόψεις των µελών της, όπως αυτές συζητήθηκαν στις συναντήσεις που διεξήχθησαν, για τα σηµαντικότερα θέµατα της γνωστικής περιοχής, µε έµφαση σε δύο επιµέρους περιοχές: ιαχείριση Ασφάλειας Πληροφοριών (information security management) σε περιβάλλον Μικροµεσαίων Επιχειρήσεων. Προστασία Ιδιωτικότητας (privacy) και Προσωπικών εδοµένων στις δράσεις του Ηλεκτρονικού Επιχειρείν. Για την αποτύπωση της γενικότερης πρακτικής που ακολουθείται στα ανωτέρω θέµατα από µικρές και µεσαίες επιχειρήσεις στην Ελλάδα, εστάλησαν αντίστοιχα ερωτηµατολόγια σε σειρά ιδιωτικών επιχειρήσεων που εντάσσονται σε διάφορους τοµείς της οικονοµίας. Τα σηµαντικότερα σηµεία που προέκυψαν από τις απαντήσεις είναι τα ακόλουθα: Τα περισσότερα στελέχη των επιχειρήσεων είναι αρκετά ή πολύ εξοικειωµένα σε θέµατα ασφάλειας και εκτιµούν ως σηµαντικότερους κινδύνους τη µη εξουσιοδητηµένη πρόσβαση σε πόρους της επιχείρησης και τα προγράµµατα ιούς. Σε ποσοστό 62% των επιχειρήσεων που απάντησαν δεν έχουν παρατηρηθεί περιστατικά παραβίασης της ασφάλειας, σε ποσοστό 21% υπήρχαν σχετικά περιστατικά, ενώ το ποσοστό αυτών που σηµείωσαν «εν απαντώ» έφτανε το 16%. Τα µέτρα προστασίας που έχουν ληφθεί από τις επιχειρήσεις βασίζονται σε ποσοστό 76% στην τεχνογνωσία των στελεχών, ενώ 24% των επιχειρήσεων έχει προσφύγει σε εξωτερικούς συµβούλους. Λιγότεροι από τους µισούς φορείς έχουν εκπονήσει σχέδια συνέχισης της επιχειρηµατικής τους λειτουργίας. Το µεγαλύτερο ποσοστό των ερωτηθέντων είναι επαρκώς εξοικειωµένο µε τους όρους «προσωπικά δεδοµένα» και «προστασία της ιδιωτικότητας», ενώ δηλώνει ότι γνωρίζει την ύπαρξη σχετικής νοµοθεσίας στη χώρα µας. Ποσοστό 47% των φορέων έχει απευθυνθεί στην Αρχή Προστασίας Προσωπικών εδοµένων στο πλαίσιο προσωπικών ή επιχειρηµατικών δραστηριοτήτων. Ποσοστό 45% των επιχειρήσεων δηλώνει ότι στον ιστοχώρο/ιστοσελίδα τους περιέχεται δήλωση για την πολιτική προστασίας προσωπικών δεδοµένων που ακολουθείται (privacy statement). 5

Ποσοστό 12% των επιχειρήσεων χρησιµοποιεί cookies ή άλλες συναφείς τεχνικές επιλογές, ενώ ποσοστό 8% δεν απάντησε. Περισσότεροι από τους µισούς ερωτηθέντες αγνοούν τον όρο «Τεχνολογίες Ενίσχυσης Ιδιωτικότητας». Σχεδόν όλοι οι ερωτηθέντες πιστεύουν ότι φόβοι και ενδοιασµοί για την προστασία προσωπικών δεδοµένων έχουν αποτρέψει καταναλωτές να προβούν σε ενδοδικτυακές συναλλαγές. Παράλληλα, εκτιµώντας ως ιδιαίτερα σηµαντικά τα θέµατα ιαχείρισης Ασφάλειας Πληροφοριών, το παραδοτέο της Οµάδας Β1 βασίζεται στο πρότυπο ISO/IEC 17799 Information Security Management, το οποίο προετοιµάστηκε από το British Standards Institution (BS 7799) και υιοθετήθηκε από την Joint Technical Committee JTC 1 Information Technology, παράλληλα µε την αποδοχή του από εθνικές αρχές προτυποποίησης. Αναφέρεται σε θέµατα διαχείρισης ασφάλειας πληροφοριών και έχει εφαρµογή και ιδιαίτερη σηµασία στις απαιτούµενες δράσεις και ενέργειες επιχειρήσεων κάθε τύπου, οι οποίες δραστηριοποιούνται στο χώρο της ψηφιακής οικονοµίας και του ηλεκτρονικού επιχειρείν. Ιδιαίτερο ενδιαφέρον παρουσιάζει η δυνατότητα εφαρµογής του σε µικρές και µεσαίες επιχειρήσεις, αφού περιλαµβάνει, µε πληρότητα, βασικούς κανόνες ακολουθητέας πρακτικής για επίτευξη αποτελεσµατικής διαχείρισης της ασφάλειας των πληροφοριών, ανεξαρτήτως του τοµέα δραστηριοποίησης της συγκεκριµένης επιχείρησης. Τα γενικά συµπεράσµατα της Οµάδας Β1 είναι τα ακόλουθα: Θεωρείται ιδιαίτερα σηµαντική η επέκταση αξιοποίησης ηλεκτρονικών υπηρεσιών στο χώρο των e-commerce, e-business, e-government, επιτυγχάνοντας όµως τεκµηριωµένα υψηλό επίπεδο ασφάλειας και εµπιστοσύνης. Εκτιµάται ως εξαιρετικά επείγουσα η προώθηση των απαιτούµενων δράσεων εκ µέρους της Εθνικής Επιτροπής Τηλεπικοινωνιών και Ταχυδροµείων, για τον καθορισµό του πλαισίου διαπίστευσης, λειτουργίας, εποπτείας και ελέγχου Παρόχων Υπηρεσιών Πιστοποίησης (Certification Service Providers). Αξιολογούνται θετικά οι πρώτες - πιλοτικές - προσπάθειες φορέων και υπηρεσιών του ηµόσιου Τοµέα για την προώθηση και αξιοποίηση των δυνατοτήτων των ψηφιακών υπογραφών, όπως αυτές καθορίζονται από το Π 150/2001 (25.6.2001) στην κατεύθυνση της Οδηγίας 99/93 του Ευρωπαϊκού Κοινοβουλίου και του Συµβουλίου. 6

Θεωρείται χρήσιµη η σύνταξη αναλυτικών και σαφών πολιτικών υπογραφής ( signature policy ) για τις παρεχόµενες ηλεκτρονικές υπηρεσίες στα πλαίσια της Κοινωνίας της Πληροφορίας. Θεωρείται ιδιαίτερα χρήσιµη η δυνατότητα αξιοποίησης µεθοδολογιών ανάλυσης και διαχείρισης επικινδυνότητας (risk analysis and management methodologies) πληροφοριακών συστηµάτων, στην κατεύθυνση της λήψης αποτελεσµατικών αντιµέτρων (countermeasures), εκπόνησης πολιτικής ασφάλειας (security policy) και ανάπτυξης ολοκληρωµένων σχεδίων ασφάλειας (security plan) από επιχειρήσεις του ιδιωτικού και του δηµόσιου τοµέα. Τονίζεται η ανάγκη διασφάλισης των συστηµάτων επιχειρήσεων, στις συνήθεις πλέον περιπτώσεις που η ανάπτυξη του πληροφοριακού συστήµατος ή/και η επεξεργασία των δεδοµένων έχουν ανατεθεί σε άλλον εξωτερικό φορέα (outsourcing). Υπενθυµίζεται η χρησιµότητα ανάπτυξης ενός αποτελεσµατικού «Σχεδίου Επιχειρησιακής Συνέχειας» ( Business Continuity Plan ), προσαρµοσµένου βεβαίως στο µέγεθος της επιχείρησης και στη σηµαντικότητα που έχει το πληροφοριακό σύστηµα για αυτήν. Εκτιµώνται ως ιδιαίτερα θετικά τα αποτελέσµατα του έργου της Αρχής Προστασίας εδοµένων Προσωπικού Χαρακτήρα, στην κατεύθυνση αποφυγής δηµιουργίας «επιφυλακτικών πολιτών» οι οποίοι θα απέχουν από συµµετοχή σε ηλεκτρονικές δοσοληψίες µε χρήση του Internet. 7