ΡΟΛΙΤΙΚΗ ΑΣΦΑΛΕΙΑΣ ΕΛΛΗΝΙΚΟΥ ΚΕΝΤΟΥ ΕΕΥΝΑΣ & ΔΑΣΗΣ ΕΡΙ ΤΟΥ ΚΟΙΝΩΝΙΚΟΥ ΦΑΙΝΟΜΕΝΟΥ ΤΗΣ ΕΞΑΦΑΝΙΣΗΣ ΦΥΣΙΚΩΝ ΡΟΣΩΡΩΝ Η Ρολιτικι Αςφάλειασ περιλαμβάνει τον ςκοπό και τουσ ςτόχουσ τθσ αςφάλειασ, οδθγίεσ, διαδικαςίεσ, κανόνεσ, ρόλουσ και υπευκυνότθτεσ που αφοροφν ςτθν προςταςία των πλθροφοριακϊν ςυςτθμάτων τθσ Αςτικισ Μθ Κερδοςκοπικισ Επιςτθμονικισ Εταιρείασ «Ελλθνικό Κζντρο Ζρευνασ & Δράςθσ επί του κοινωνικοφ φαινομζνου τθσ εξαφάνιςθσ φυςικϊν προςϊπων», με τον διακριτικό τίτλο «Omnibus». Η Πολιτικι Αςφάλειασ διατυπϊνεται ςτο παρόν ζγγραφο, το οποίο κα πρζπει να γνωρίηουν και να εφαρμόηουν όλοι οι χριςτεσ των Πλθροφοριακϊν υςτθμάτων τθσ Α.Μ.Κ.Ε. Omnibus. Οι οδθγίεσ και οι διαδικαςίεσ που περιλαμβάνονται ςτθν Πολιτικι Αςφάλειασ υλοποιοφνται με τθν εφαρμογι των αναγκαίων διοικθτικϊν και οργανωτικϊν μζτρων προςταςίασ. Η Πολιτικι Αςφάλειασ, μαηί με το ςφνολο των μζτρων προςταςίασ, αποτελοφν το Σχζδιο Αςφάλειασ (security plan), το οποίο υπόκειται ςε τακτικζσ επιςκοπιςεισ και ανακεωριςεισ, δεδομζνθσ τθσ ραγδαίασ ανάπτυξθσ τεχνολογικϊν λφςεων και τθσ εφαρμογισ τουσ ςτα ςυςτιματα πλθροφορικισ και δικτφων. 1. ΟΙΣΜΟΙ το παρόν ζγγραφο χρθςιμοποιοφνται οι παρακάτω οριςμοί: Εφαρμοςτζα νομοκεςία Οδθγία Ρροςταςίασ Δεδομζνων Ρροςωπικά δεδομζνα ςθμαίνει τθ ςχετικι νομοκεςία προςταςίασ δεδομζνων και ιδιωτικοφ απορριτου ςτθν οποία υπόκειται θ Α.Μ.Κ.Ε. Omnibus, ςθμαίνει τθν Οδθγία 95/46/EΚ του Ευρωπαϊκοφ Κοινοβουλίου και του υμβουλίου τθσ 24 θσ Οκτωβρίου 1995 ςχετικά με τθν προςταςία των ατόμων ςτο πλαίςιο τθσ επεξεργαςίασ προςωπικϊν δεδομζνων και τθσ ελεφκερθσ διακίνθςθσ των δεδομζνων αυτϊν (Επίςημη εφημερίδα L 281, 23/11/1995 ςελ. 0031 0050), ςθμαίνει τα προςωπικά δεδομζνα όπωσ κακορίηονται ςτθν Οδθγία Προςταςίασ δεδομζνων (λ.χ. κάκε πλθροφορία θ οποία ςχετίηεται με προςδιοριςμζνο ι προςδιοριηόμενο φυςικό πρόςωπο (υποκείμενο των δεδομζνων) Προςδιοριηόμενο πρόςωπο ςθμαίνει άτομο που δφναται να προςδιοριςτεί, άμεςα ι ζμμεςα, ιδίωσ μζςω αναγνωριςτικοφ αρικμοφ ι ενόσ ι περιςςότερων παραγόντων που ςυνδζονται με τθ ςωματικι, φυςιολογικι, πνευματικι, οικονομικι, πολιτιςτικι ι κοινωνικι ταυτότθτά του) και κάκε άλλοσ ςυναφισ οριςμόσ ςτθν Εφαρμοςτζα νομοκεςία εφόςον υπερβαίνει το πεδίο εφαρμογισ τθσ Οδθγίασ Προςταςίασ δεδομζνων,
Αρχι Ρροςταςίασ Δεδομζνων Επεξεργαςία, επεξεργάηομαι ι επεξεργαςμζνο Υπθρεςίεσ Ελάχιςτεσ απαιτιςεισ αςφαλείασ τθσ Α.Μ.Κ.Ε. Omnibus Ρλθροφοριακά Συςτιματα ςθμαίνει τθ ςχετικι εποπτικι αρχι θ οποία είναι επιφορτιςμζνθ με τθν διαφφλαξθ του ιδιωτικοφ απορριτου ι τθσ προςταςίασ δεδομζνων ςτθ χϊρα δραςτθριοποίθςθσ τθσ Α.Μ.Κ.Ε. Omnibus, ςθμαίνει τθν επεξεργαςία, όπωσ κακορίηεται ςτθν Οδθγία Προςταςίασ δεδομζνων (λ.χ. κάκε πράξθ ι ςειρά πράξεων που διενεργοφνται επί προςωπικϊν δεδομζνων, ςυμπεριλαμβανομζνων ενδεικτικά τθσ ςυλλογισ, καταγραφισ, οργάνωςθσ, αποκικευςθσ, προςαρμογισ ι τροποποίθςθσ, ανάκτθςθσ, εξζταςθσ, χριςθσ, αποκάλυψθσ, διάκεςθσ, προςαρμογισ, ςυνδυαςμοφ, αποκλειςμοφ, διαγραφισ και καταςτροφισ προςωπικϊν δεδομζνων) και κάκε άλλοι ςυναφείσ οριςμοί ςτθν Εφαρμοςτζα νομοκεςία, εφόςον υπερβαίνουν το πεδίο εφαρμογισ τθσ Οδθγίασ Προςταςίασ δεδομζνων, ςθμαίνει τισ Τπθρεςίεσ και τθ ςχετιηόμενθ Επεξεργαςία προςωπικϊν δεδομζνων ςε ζγγραφα τθσ Α.Μ.Κ.Ε. Omnibus, ςθμαίνει τα μζτρα αςφαλείασ που κακορίηονται ςτο Παράρτθμα A, όπωσ εκάςτοτε ανακεωροφνται ι κεςπίηονται εκ νζου από τον ΕΠΕΞΕΡΓΑΣΗ ΔΕΔΟΜΕΝΩΝ ςφμφωνα με τουσ όρουσ του παρόντοσ εγγράφου. ςθμαίνει το ςφνολο των ςυςτθμάτων που χρθςιμοποιοφνται για πρόςβαςθ, αποκικευςθ ι άλλθ επεξεργαςία Προςωπικϊν δεδομζνων, ςυμπεριλαμβανομζνων των προςωρινϊν αρχείων. 2. ΟΙΣΜΟΣ ΕΡΕΞΕΓΑΣΤΗ ΔΕΔΟΜΕΝΩΝ Ο Επεξεργαςτισ δεδομζνων ορίηεται από τθν Α.Μ.Κ.Ε. Omnibus ωσ υπεφκυνοσ επεξεργαςίασ προςωπικϊν δεδομζνων για τθν παροχι των ςχετικϊν Τπθρεςιϊν. 3. ΡΟΣΤΑΣΙΑ ΔΕΔΟΜΕΝΩΝ 3.1 Ο Επεξεργαςτισ δεδομζνων εγγυάται και δεςμεφεται, αναφορικά με τα Προςωπικά δεδομζνα που επεξεργάηεται εκ μζρουσ τθσ Α.Μ.Κ.Ε. Omnibus ότι: 3.1.1 κα επεξεργάηεται μόνο Προςωπικά δεδομζνα για τουσ ςκοποφσ τθσ παροχισ Τπθρεςιϊν και, κατά τθν εκτζλεςθ των κακθκόντων του, κα ενεργεί αποκλειςτικά βάςει των οδθγιϊν που ζχει λάβει από τθν Α.Μ.Κ.Ε. Omnibus. Ειδικότερα, ο Επεξεργαςτισ δεδομζνων δεν κα αςκεί, μεταβιβάηει, ι φζρεται να μεταβιβάηει, τον ζλεγχο των Προςωπικϊν δεδομζνων ςε τρίτο μζροσ, εκτόσ και αν ζχει λάβει ςαφείσ οδθγίεσ ωσ προσ αυτό από τθν Α.Μ.Κ.Ε. Omnibus, 3.1.2 κα τθρεί τα Προςωπικά δεδομζνα ευλόγωσ χωριςτά από άλλα δεδομζνα τα οποία επεξεργάηεται εκ μζρουσ άλλου μζρουσ, 3.1.3 δεν κα επεξεργάηεται, χειρίηεται ι χρθςιμοποιεί τα Προςωπικά δεδομζνα για άλλο ςκοπό από το ςκοπό τθσ παροχισ των ςυγκεκριμζνων Τπθρεςιϊν,
3.1.4 τθρεί και κα τθρεί τα κατάλλθλα και επαρκι τεχνικά και οργανωτικά μζτρα αςφαλείασ για τθν προςταςία των Προςωπικϊν δεδομζνων ι πλθροφοριϊν ζναντι τυχαίασ ι παράνομθσ καταςτροφισ ι τυχαίασ απϊλειασ, ηθμίασ, μεταβολισ, μθ εξουςιοδοτθμζνθσ αποκάλυψθσ ι πρόςβαςθσ ςε αυτά, ιδίωσ αν θ Επεξεργαςία ςυνεπάγεται τθ μετάδοςθ δεδομζνων ςε δίκτυο, και ζναντι κάκε άλλθσ παράνομθσ μορφισ Επεξεργαςίασ, και επιπρόςκετα κα ςυμμορφϊνεται με τισ Ελάχιςτεσ απαιτιςεισ αςφαλείασ τθσ Α.Μ.Κ.Ε. Omnibus και 3.1.5 κα παρζχει πρόςβαςθ ςτισ αρμόδιεσ ρυκμιςτικζσ αρχζσ, οι οποίεσ διακζτουν το νόμιμο δικαίωμα διενζργειασ ελζγχου ςτισ δραςτθριότθτεσ επεξεργαςίασ τθσ Α.Μ.Κ.Ε. Omnibus, ςτον χϊρο των εγκαταςτάςεων τθσ εταιρίασ, ςτουσ υπολογιςτζσ και ςε άλλα πλθροφοριακά ςυςτιματα και αρχεία, όπωσ εφλογα ηθτθκεί, ϊςτε να βεβαιωκεί ότι ο Επεξεργαςτισ δεδομζνων ςυμμορφϊνεται με τισ υποχρεϊςεισ του που απορρζουν από το παρόν ζγγραφο. 3.2 Ο Επεξεργαςτισ δεδομζνων κα εκπονιςει και υλοποιιςει τισ κατάλλθλεσ διαδικαςίεσ και ςυναφι τεχνικά μζτρα με τα οποία κα διαςφαλιςτεί θ ςυμμόρφωςθ με τισ οδθγίεσ τθσ Α.Μ.Κ.Ε. Omnibus, ςυμπεριλαμβανομζνων ενδεικτικά των παρακάτω: 3.2.1 ενδεχόμενθ επικαιροποίθςθ, τροποποίθςθ ι διόρκωςθ Προςωπικϊν δεδομζνων ατόμου κατόπιν ςχετικοφ αιτιματοσ, 3.2.2 ακφρωςθ ι αποκλειςμόσ πρόςβαςθσ ςε Προςωπικά δεδομζνα κατόπιν λιψθσ ςχετικϊν οδθγιϊν από τθν Α.Μ.Κ.Ε. Omnibus, 3.2.3 θ διαγραφι αχρείαςτων και προςωρινϊν αρχείων που περιζχουν Προςωπικά δεδομζνα. 3.3 Ο Επεξεργαςτισ δεδομζνων κα αποηθμιϊνει τθν Α.Μ.Κ.Ε. Omnibus ζναντι οποιαςδιποτε αξίωςθσ, δίωξθσ ι αγωγισ ςε βάροσ τθσ Α.Μ.Κ.Ε. Omnibus λόγω παραβίαςθσ από τον Επεξεργαςτι δεδομζνων των εγγυιςεων και αναλθφκειςϊν υποχρεϊςεων που απορρζουν από το παρόν ζγγραφο. 3.4 Ο Επεξεργαςτισ δεδομζνων δεν κα ανακζτει τθν Επεξεργαςία προςωπικϊν δεδομζνων ςε τρίτουσ, εκτόσ αν ζχει ενθμερϊςει τθν Α.Μ.Κ.Ε. Omnibus για τα πλιρθ ςτοιχεία του τρίτου μζρουσ, ςυμπεριλαμβανομζνων λεπτομερειακϊν ςτοιχείων για τισ ςχετικζσ λειτουργίεσ Επεξεργαςίασ, ειδικϊν οδθγιϊν για τθν Επεξεργαςία, και ειδικϊν Τπθρεςιϊν. 4. ΑΣΦΑΛΕΙΑ ΕΡΙΚΟΙΝΩΝΙΩΝ 4.1 Ο Επεξεργαςτισ δεδομζνων κα λάβει κάκε κατάλλθλο τεχνικό και οργανωτικό μζτρο ϊςτε να διαςφαλίςει κατά το δυνατόν τθν αςφάλεια των θλεκτρονικϊν επικοινωνιϊν (ςυμπεριλαμβανομζνων, ενδεικτικά, μζτρων που αποςκοποφν ςτθ διαςφάλιςθ του απόρρθτου των επικοινωνιϊν και να αποτρζψει παράνομθ λιψθ ι υποκλοπι επικοινωνιϊν και μθ εξουςιοδοτθμζνθ πρόςβαςθ ςε υπολογιςτι ι ςφςτθμά του). 4.2 Ο Επεξεργαςτισ δεδομζνων κα ςυμμορφϊνεται με οποιαδιποτε απαίτθςθ αςφαλείασ θ οποία ρθτϊσ ηθτείται από τα κεςμικά όργανα τθσ Α.Μ.Κ.Ε. Omnibus ι τρίτουσ, ςτο πλαίςιο τθσ ςυμμόρφωςθσ με τθν Εφαρμοςτζα νομοκεςία.
ΡΑΑΤΗΜΑ Α ΕΛΑΧΙΣΤΕΣ ΑΡΑΙΤΗΣΕΙΣ ΑΣΦΑΛΕΙΑΣ Ελάχιςτεσ απαιτιςεισ αςφαλείασ για προςωπικά δεδομζνα και πλθροφορίεσ.
ΡΕΙΕΧΟΜΕΝΑ 1 ΓΕΝΙΚΟ ΡΛΑΙΣΙΟ 1 1.1 κοπόσ 1 2 ΕΛΑΧΙΣΤΕΣ ΑΡΑΙΤΗΣΕΙΣ ΑΣΦΑΛΕΙΑΣ 1 2.1 Ζγκριςθ 1 2.2 Αναγνϊριςθ 1 2.3 Σαυτοποίθςθ 1 2.4 Ζλεγχοι πρόςβαςθσ 2 2.5 Διαχείριςθ μζςων 2 2.6 Διάκεςθ μζςων 3 2.7 Δίκτυα θλεκτρονικισ επικοινωνίασ 4 2.8 Αντίγραφα αςφαλείασ και ανάκτθςθ από καταςτροφζσ 4 2.9 Αρχείο πρόςβαςθσ 5 2.10 Τλικό αρχείο πρόςβαςθσ 5 2.11 Αρχείο ςυμβάντων 5 2.12 Δοκιμζσ με πραγματικά δεδομζνα 6 2.13 Anti-virus 6 2.14 Ενθμζρωςθ Λογιςμικοφ 6 2.15 Αρμοδιότθτεσ και υποχρεϊςεισ προςωπικοφ 6 2.16 Προςυμβατικζσ υποχρεϊςεισ ελζγχου 6 2.17 Ζγγραφο αςφαλείασ 7 2.18 Τπεφκυνοσ αςφαλείασ 7 2.19 Ζλεγχοσ 7
1. ΓΕΝΙΚΟ ΠΛΑΙΙΟ Σκοπόσ Σο παρόν ζγγραφο περιγράφει τα ελάχιςτα μζτρα αςφαλείασ που πρζπει να υλοποιθκοφν για τον κοπό τθσ προςταςίασ των προςωπικϊν δεδομζνων και πλθροφοριϊν, πρωτίςτωσ με γνϊμονα τθν τιρθςθ των απαιτιςεων τθσ ιςχφουςασ νομοκεςίασ περί προςταςίασ δεδομζνων και ιδιωτικοφ απορριτου. Οι απαιτιςεισ αυτζσ πρζπει να τθροφνται από παράγοντεσ που επεξεργάηονται προςωπικά δεδομζνα εκ μζρουσ τθσ Α.Μ.Κ.Ε. Omnibus, οι οποίοι αναφζρονται ωσ Επεξεργαςτισ δεδομζνων. Κακϊσ οι τεχνικζσ διαςφάλιςθσ των πλθροφοριϊν και οι απειλζσ ςτθν αςφάλεια μεταβάλλονται ςυνεχϊσ, κατά ςυνζπεια, θ αςφάλεια πρζπει να αξιολογείται διαρκϊσ βάςει των υφιςτάμενων ειδικϊν ςυνκθκϊν, ϊςτε να προςδιοριςτεί το κατάλλθλο επίπεδο προςταςίασ. Κατ επζκταςθ, ενδζχεται να χρειαςτοφν επιπρόςκετα μζτρα αςφαλείασ, πζραν των όςων περιγράφονται ςτο παρόν ζγγραφο, ανάλογα με τισ περιςτάςεισ. 2. ΕΛΑΧΙΣΕ ΑΠΑΙΣΗΕΙ ΑΦΑΛΕΙΑ 2.1 Ζγκριςθ a) Μόνο το προςωπικό που διακζτει ςαφι λειτουργικό λόγο πρόςβαςθσ ςτα Ρλθροφοριακά ςυςτιματα ι διενζργειασ Επεξεργαςίασ προςωπικϊν δεδομζνων ζχει τθν ζγκριςθ να το πράξει ωσ Εξουςιοδοτθμζνοσ χριςτθσ. 2.2 Αναγνϊριςθ a) Κάκε Εξουςιοδοτθμζνοσ χριςτθσ πρζπει να διακζτει μοναδικό κωδικό αναγνϊριςθσ που δεν δφναται να μεταβιβαςτεί ςε άλλο πρόςωπο, ακόμθ και μεταγενζςτερα. b) Θα τθρείται ενθμερωμζνο αρχείο Εξουςιοδοτθμζνων χρθςτϊν, και κα ακολουκοφνται οι διαδικαςίεσ αναγνϊριςθσ και ταυτοποίθςθσ για κάκε πρόςβαςθ ςε Ρλθροφοριακά ςυςτιματα ι για τθ διενζργεια Επεξεργαςίασ προςωπικϊν δεδομζνων. 2.3 Ταυτοποίθςθ a) Επιτρζπεται ςτουσ Εξουςιοδοτθμζνουσ χριςτεσ θ επεξεργαςία Ρροςωπικϊν δεδομζνων, εφόςον διακζτουν κάρτεσ ταυτοποίθςθσ, ϊςτε να ολοκλθρϊςουν επιτυχϊσ τθ διαδικαςία ταυτοποίθςθσ είτε για μία ειδικι πράξθ Επεξεργαςίασ είτε για μία ςειρά λειτουργιϊν Επεξεργαςίασ. b) Η Ταυτοποίθςθ πρζπει να βαςίηεται ςε ζνα μυςτικό κωδικό πρόςβαςθσ που ςχετίηεται με το Αναγνωριςτικό κάκε χριςτθ, και τον οποίο κωδικό πρόςβαςθσ κα τον γνωρίηει μόνο ο Εξουςιοδοτθμζνοσ χριςτθσ, c) Μία ι περιςςότερεσ κάρτεσ ταυτοποίθςθσ κα παραχωροφνται ςτον Εξουςιοδοτθμζνο χριςτθ ι κα ςυνδζονται με αυτόν. - 1 -
d) Ρρζπει να προβλζπεται μία διαδικαςία με τθν οποία διαςφαλίηεται θ εμπιςτευτικότθτα και ακεραιότθτα του κωδικοφ πρόςβαςθσ. Οι κωδικοί πρόςβαςθσ πρζπει να φυλάςςονται κατά τρόπο ϊςτε να μοιάηουν ακατάλθπτοι, όντασ ταυτόχρονα ζγκυροι. Ρρζπει να τθρείται κάποια διαδικαςία για τθ χοριγθςθ, διανομι και φφλαξθ των κωδικϊν πρόςβαςθσ. e) Ο κωδικόσ πρόςβαςθσ πρζπει να διακζτει τουλάχιςτον οκτϊ χαρακτιρεσ. Δεν πρζπει να περιλαμβάνει ςτοιχεία που να ςυςχετίηονται εφκολα με τον Εξουςιοδοτθμζνο χριςτθ και πρζπει να τροποποιείται από τον Εξουςιοδοτθμζνο χριςτθ, ϊςτε να παραμζνει γνωςτόσ μόνο ςε εκείνον, κατά τθν πρϊτθ φορά χριςθσ, κακϊσ και τουλάχιςτον μία φορά κάκε τρεισ μινεσ. f) Στισ οδθγίεσ που παρζχονται ςτουσ Εξουςιοδοτθμζνουσ χριςτεσ κα διατυπϊνεται θ υποχρζωςθ, ωσ προχπόκεςθ πρόςβαςθσ ςτα Ρλθροφοριακά ςυςτιματα, λιψθσ των κατάλλθλων μζτρων προφφλαξθσ ϊςτε να διαςφαλιςτεί ότι τα εμπιςτευτικά ςτοιχεία ςτισ κάρτεσ παραμζνουν μυςτικά και ότι λαμβάνεται κάκε μζριμνα για τισ ςυςκευζσ που χρθςιμοποιοφνται και βρίςκονται αποκλειςτικά ςτθν κατοχι των Εξουςιοδοτθμζνων χρθςτϊν. g) Οι κάρτεσ Ταυτοποίθςθσ πρζπει επίςθσ να απενεργοποιοφνται, εφόςον ο Εξουςιοδοτθμζνοσ χριςτθσ χάνει το δικαίωμα εξουςιοδοτθμζνθσ πρόςβαςθσ ςτα Ρλθροφοριακά ςυςτιματα ι ςτθν Επεξεργαςία των Ρροςωπικϊν δεδομζνων ι αποκλείεται από αυτά. 2.4 Ζλεγχοι πρόςβαςθσ a) Οι Εξουςιοδοτθμζνοι χριςτεσ πρζπει να διακζτουν πρόςβαςθ μόνο ςτα δεδομζνα και τουσ πόρουσ που είναι αναγκαίοι για τθν εκτζλεςθ των κακθκόντων τουσ. b) Θα χρθςιμοποιείται ζνα ςφςτθμα παροχισ πρόςβαςθσ ςτουσ Εξουςιοδοτθμζνουσ χριςτεσ ςτα δεδομζνα και τουσ πόρουσ που απαιτοφνται. c) Ρρζπει να λαμβάνονται μζτρα για τθν αποτροπι μθ εξουςιοδοτθμζνθσ πρόςβαςθσ από χριςτθ ςε Ρλθροφοριακά ςυςτιματα, ςυμπεριλαμβανομζνθσ τθσ υιοκζτθςθσ κατάλλθλων τεχνικϊν μζτρων. Ειδικότερα, τα τείχθ προςταςίασ (firewalls) και ςυςτιματα ανίχνευςθσ ειςβολισ που αντικατοπτρίηουν τθν εξζλιξθ τθσ τεχνολογίασ και τισ βζλτιςτεσ πρακτικζσ του κλάδου πρζπει να υλοποιοφνται για τθν προςταςία των Ρλθροφοριακϊν ςυςτθμάτων από μθ εξουςιοδοτθμζνθ πρόςβαςθ. d) Το λειτουργικό ςφςτθμα ι οι ζλεγχοι πρόςβαςθσ των βάςεων δεδομζνων πρζπει να είναι ςωςτά ρυκμιςμζνα για τθ διαςφάλιςθ τθσ εξουςιοδοτθμζνθσ πρόςβαςθσ. 2.5 Διαχείριςθ ΜΕΣΩΝ a) Τα Ρλθροφοριακά ςυςτιματα και τα υλικά μζςα αποκικευςθσ Ρροςωπικϊν δεδομζνων πρζπει να είναι εγκατεςτθμζνα ςε αςφαλζσ περιβάλλον. - 2 -
b) Τα Μζςα που περιζχουν Ρροςωπικά δεδομζνα πρζπει να κακιςτοφν δυνατι τθν αναγνϊριςθ, καταγραφι και αποκικευςθ τθσ πλθροφορίασ που περιζχουν ςε υλικι τοποκεςία με υλικι πρόςβαςθ (κακοριςμζνοι χϊροι) με περιοριςμζνθ πρόςβαςθ ςτο προςωπικό που είναι εντεταλμζνο να ζχει πρόςβαςθ ςτο ςυγκεκριμζνο χϊρο. c) Ρρζπει να δθμιουργθκεί ζνα ςφςτθμα για τθν καταγραφι ειςερχομζνων μζςων, με το οποίο κακίςταται δυνατι θ άμεςθ ι ζμμεςθ αναγνϊριςθ του είδουσ των μζςων, τθσ θμερομθνίασ και ϊρασ, του αποςτολζα, του αρικμοφ μζςων, του είδουσ τθσ πλθροφορίασ που περιζχεται ς αυτό, του τρόπου με τον οποίον εςτάλθ και του προςϊπου που είναι υπεφκυνο για τθ λιψθ του, το οποίο πρζπει να διακζτει τθν κατάλλθλθ εξουςιοδότθςθ. d) Ρρζπει επίςθσ να δθμιουργθκεί ζνα ςφςτθμα για τθν καταγραφι εξερχομζνων μζςων, με το οποίο κακίςταται δυνατι ι άμεςθ ι ζμμεςθ αναγνϊριςθ του είδουσ των μζςων, τθσ θμερομθνίασ και ϊρασ, του αποδζκτθ, του αρικμοφ μζςων, του είδουσ τθσ πλθροφορίασ που περιζχεται ς αυτά, του τρόπου με τον οποίον εςτάλθ και του προςϊπου που είναι υπεφκυνο για τθ λιψθ του, το οποίο πρζπει να διακζτει τθν κατάλλθλθ εξουςιοδότθςθ. e) Πταν τα μζςα πρόκειται να απορριφκοφν ι να ξαναχρθςιμοποιθκοφν, πρζπει να λθφκοφν τα κατάλλθλα μζτρα ϊςτε να αποτραπεί τυχόν ανάκτθςθ Ρροςωπικϊν δεδομζνων και κάκε άλλθσ πλθροφορίασ που είναι αποκθκευμζνθ ς αυτά, πριν εξζλκουν από το απόκεμα. f) Ψθφιακοί δίςκοι CD-ROM και άλλα μζςα μονισ εγγραφισ που χρθςιμοποιοφνται για αποκικευςθ προςωπικϊν δεδομζνων πρζπει να κακίςτανται μθ αναγνϊςιμα πριν τθν απόρριψι τουσ. g) Εφόςον μζςα που περιζχουν Ρροςωπικά δεδομζνα πρζπει να εξζλκουν του κακοριςμζνου χϊρου φφλαξθσ λόγω ενεργειϊν ςυντιρθςθσ, πρζπει να λαμβάνονται τα αναγκαία μζτρα ϊςτε να αποτραπεί τυχόν μθ εξουςιοδοτθμζνθ ανάκτθςθ Ρροςωπικϊν δεδομζνων και κάκε άλλθσ πλθροφορίασ που είναι αποκθκευμζνθ ς αυτά. h) Κάκε εκτυπωμζνο υλικό που περιζχει Ρροςωπικά δεδομζνα πρζπει να ςχίηεται ςτον καταςτροφζα εγγράφων πριν τθν απόρριψι του. i) Για τθν εξαγωγι μζςων που περιζχουν Ρροςωπικά δεδομζνα από τον κακοριςμζνο χϊρο φφλαξισ τουσ απαιτείται ειδικι εξουςιοδότθςθ από τον ελεγκτι. 2.6 Διάκεςθ μζςων a) Μζςα που περιζχουν Ρροςωπικά δεδομζνα δφνανται να διατίκενται μόνον εφόςον τα δεδομζνα τουσ ζχουν κρυπτογραφθκεί ϊςτε να διαςφαλίηεται ότι τα Ρροςωπικά δεδομζνα και κάκε άλλθ πλθροφορία δεν είναι καταλθπτά ι δε δφνανται να τφχουν επεξεργαςίασ εν κινιςει. Σε περίπτωςθ που θ κρυπτογράφθςθ διενεργείται από τθν - 3 -
Α.Μ.Κ.Ε. Omnibus, πριν τθν αντιγραφι δεδομζνων ςτα μζςα θ Α.Μ.Κ.Ε. Omnibus κα παράςχει ςτον Επεξεργαςτι δεδομζνων τα κριτιρια αποκρυπτογράφθςθσ, προκειμζνου να καταςτεί δυνατι θ αποκρυπτογράφθςθ από τον Επεξεργαςτι δεδομζνων κατά τθν άφιξθ ςτον επικυμθτό προοριςμό. b) Μζςα που περιζχουν Ρροςωπικά δεδομζνα πρζπει να είναι διακζςιμα μόνο ςε Εξουςιοδοτθμζνουσ χριςτεσ. c) Οι διαδικαςίεσ εκτφπωςθσ / αντιγραφισ πρζπει να ελζγχονται από τουσ Εξουςιοδοτθμζνουσ χριςτεσ, ϊςτε να αποτραπεί το ενδεχόμενο εκ παραδρομισ παρουςίασ εκτφπωςθσ ι αντιγράφου που περιζχουν Ρροςωπικά δεδομζνα ςτουσ εκτυπωτζσ ι τα φωτοαντιγραφικά μθχανιματα. d) Τα εκτυπωμζνα αντίγραφα προςωπικϊν δεδομζνων πρζπει να φζρουν τθν επιςιμανςθ διαβάκμιςθσ Ρροςωπικό και Εμπιςτευτικό. e) Η Κρυπτογράφθςθ πρζπει να χρθςιμοποιείται για τθν προςταςία των Ρροςωπικϊν δεδομζνων που είναι αποκθκευμζνα ςε φορθτι ςυςκευι, ι όπου απαιτείται θ αποκικευςθ ι επεξεργαςία Ρροςωπικϊν δεδομζνων ςε μθ αςφαλζσ περιβάλλον. f) Ζντυπα ζγγραφα που περιζχουν Ρροςωπικά δεδομζνα πρζπει να μεταφζρονται εντόσ ςφραγιςμζνου δοχείου / φακζλου, ο οποίοσ φζρει ςαφι ςιμανςθ ότι το ζγγραφο πρζπει να παραδοκεί ιδιοχείρωσ ςε Εξουςιοδοτθμζνο χριςτθ. 2.7 Δίκτυα θλεκτρονικισ επικοινωνίασ a) Ρροςωπικά δεδομζνα δφνανται να διανεμθκοφν μζςα από Δίκτυα θλεκτρονικισ επικοινωνίασ μόνο αν ζχουν κρυπτογραφθκεί ι ζχει χρθςιμοποιθκεί άλλοσ μθχανιςμόσ αςφαλείασ για να διαςφαλιςτεί ότι θ πλθροφορία δεν είναι καταλθπτι ι δεν μπορεί να αλλοιωκεί από τρίτο μζροσ. 2.8 Αντίγραφα αςφαλείασ και ανάκτθςθ από καταςτροφζσ a) Οι διαδικαςίεσ για τθ δθμιουργία αντιγράφων αςφαλείασ πρζπει να διαςφαλίηουν ότι αρχεία με Ρροςωπικά δεδομζνα δφνανται να αναςυςτακοφν ςτθν κατάςταςθ που βρίςκονταν τθ χρονικι ςτιγμι κατά τθν οποία χάκθκαν ι καταςτράφθκαν. b) Σε περίπτωςθ κάποιου ζκτακτου περιςτατικοφ, όπωσ φυςικζσ καταςτροφζσ (π.χ. ςειςμόσ, πυρκαγιά, πλθμμφρα) ι μεγάλθσ εμβζλειασ περιςτατικά αςφαλείασ (π.χ. καταςτροφι από ιομορφικό λογιςμικό), ο υπεφκυνοσ επεξεργαςίασ πρζπει προλθπτικά να ζχει καταρτίςει ςχζδιο ανάκτθςθσ, το οποίο προβλζπει τθ λιψθ τεχνικϊν μζτρων αςφάλειασ, όπωσ: - b.1 θ εβδομαδιαία παραγωγι αντιγράφων αςφαλείασ ςε εξωτερικό αποκθκευτικό μζςο και θ μεταφορά του ςε αςφαλι χϊρο ςτον οποίο ζχει πρόςβαςθ μόνο ο ίδιοσ ι άλλα ρθτϊσ εξουςιοδοτθμζνα άτομα, - b.2 θ θμεριςια αποκικευςθ αντιγράφων αςφαλείασ ςε διαδικτυακό αποκθκευτικό χϊρο αςφαλείασ (λ.χ. icloud, Microsoft SkyDrive, Google Drive) με κωδικοφσ πρόςβαςθσ που κα διακζτει και κα επικαιροποιεί τακτικά ο υπεφκυνοσ επεξεργαςίασ, - 4 -
- b.3 ςε περίπτωςθ που θ ανάκτθςθ δεδομζνων κακίςταται αδφνατθ με τα υπάρχοντα τεχνικά μζτρα και τεχνολογικά μζςα τθσ ΑΜΚΕ Omnibus, κα αναηθτείται θ ςυνεργαςία με εξειδικευμζνουσ επαγγελματίεσ αςφαλείασ που διακζτουν τα αρτιότερα τεχνολογικά μζςα. Σε μια τζτοια περίπτωςθ, απαιτείται θ πλθρζςτερθ δυνατι ενθμζρωςθ για τα ςτοιχεία και τθν τεχνικι επάρκεια / καταλλθλότθτα του ςυνεργαηόμενου φορζα ι ιδιϊτθ, ϊςτε με τθ ςφμφωνθ γνϊμθ των κεςμοκετθμζνων οργάνων τθσ ΑΜΚΕ Omnibus να επιδιωχκεί θ ανάκτθςθ δεδομζνων με τθ μεςολάβθςθ και υποςτιριξθ τρίτου. 2.9. Αρχείο πρόςβαςθσ a) Tο αρχείο των χρθςτϊν εκείνων που διακζτουν εξουςιοδοτθμζνθ πρόςβαςθ ςτο Ρλθροφοριακό Σφςτθμα, κα κακορίηει τθν εξουςιοδοτθμζνθ πρόςβαςθ που είναι διακζςιμθ ςτον κακζνα. b) Ρρζπει να τθρείται πάντοτε Ιςτορικό πρόςβαςθσ Εξουςιοδοτθμζνων χρθςτϊν ςε Ρροςωπικά δεδομζνα ςε αςφαλι τοποκεςία ελζγχου. c) Τα ελάχιςτα ςτοιχεία που πρζπει να καταγράφονται ςε κάκε πρόςβαςθ ςτα Ρλθροφοριακά ςυςτιματα είναι το Αναγνωριςτικό χριςτθ, θ θμερομθνία και θ ϊρα τθσ πρόςβαςθσ, το αρχείο ι τα δεδομζνα που προςπελάςτθκαν, το είδοσ τθσ πρόςβαςθσ και αν θ τελευταία ιταν εξουςιοδοτθμζνθ ι όχι. d) Αν θ πρόςβαςθ ιταν εξουςιοδοτθμζνθ, είναι αναγκαίο να διατθρθκεί θ πλθροφορία που καταδεικνφει το αρχείο που προςπελάςτθκε. e) Οι μθχανιςμοί που κακιςτοφν δυνατι τθν καταγραφι των δεδομζνων, κατά τισ προθγοφμενεσ παραγράφουσ κα τίκενται υπό τον άμεςο ζλεγχο του Υπεφκυνου αςφαλείασ (βλ. Ενότθτα 2.18), και ςε καμία περίπτωςθ δεν πρζπει να επιτρζπεται θ απενεργοποίθςι τουσ. f) Η ελάχιςτθ περίοδοσ τιρθςθσ των καταγεγραμμζνων δεδομζνων είναι δφο ζτθ. 2.10 Υλικό αρχείο πρόςβαςθσ a) Μόνο το προςωπικό που είναι κατάλλθλα εξουςιοδοτθμζνο δφναται να ζχει πρόςβαςθ ςτο χϊρο όπου βρίςκονται τα Ρλθροφοριακά ςυςτιματα και μζςα αποκικευςθσ Ρροςωπικϊν δεδομζνων. b) Θα τθρείται αρχείο με το προςωπικό που διακζτει πρόςβαςθ ςτο χϊρο αυτό, ςτο οποίο κα καταγράφονται το ονοματεπϊνυμο, θ θμερομθνία και θ ϊρα πρόςβαςθσ. 2.11 Αρχείο ςυμβάντων a) Ρροβλζπεται διαδικαςία για τθν υποβολι αναφοράσ, τθν ανταπόκριςθ και τθ διαχείριςθ ςυμβάντων αςφαλείασ. Θα περιλαμβάνει αρχείο όλων των ςυμβάντων, τθν ϊρα κατά τθν οποία ςθμειϊκθκαν, το πρόςωπο που τα ανζφερε, τον αποδζκτθ τθσ αναφοράσ και τισ ςυνζπειζσ τουσ. - 5 -
b) Θα ακολουκείται διαδικαςία για τθν ανάκτθςθ δεδομζνων, επιςθμαίνοντασ το πρόςωπο που ανζλαβε τθ διαδικαςία, τα δεδομζνα που ανακτικθκαν και, όπου χρειάςτθκε, τα δεδομζνα που ειςιχκθςαν χειροκίνθτα κατά τθ διαδικαςία τθσ ανάκτθςθσ. c) Απαιτείται ζγγραφθ ζγκριςθ για διαδικαςίεσ ανάκτθςθσ δεδομζνων. 2.12 Δοκιμζσ με πραγματικά δεδομζνα a) Στισ δοκιμζσ πριν τθν υλοποίθςθ ι τροποποίθςθ των Ρλθροφοριακϊν ςυςτθμάτων Επεξεργαςίασ Ρροςωπικϊν δεδομζνων δεν κα χρθςιμοποιθκοφν πραγματικά ι «ηωντανά» δεδομζνα εκτόσ και αν θ χριςθ τουσ είναι επιβεβλθμζνθ και δεν υπάρχει εφλογθ εναλλακτικι λφςθ. Ππου χρθςιμοποιθκοφν πραγματικά ι «ηωντανά» δεδομζνα, πρζπει να περιοριςτοφν ςτον αναγκαίο βακμό για τουσ ςκοποφσ τθσ δοκιμισ και το επίπεδο αςφαλείασ που αντιςτοιχεί ςτον τφπο των επεξεργαςμζνων προςωπικϊν δεδομζνων πρζπει να είναι εγγυθμζνο. 2.13 Anti-virus a) Στα Ρλθροφοριακά ςυςτιματα πρζπει να εγκαταςτακεί Ρρόγραμμα προςταςίασ από ιοφσ. Το λογιςμικό Antivirus πρζπει να ενθμερϊνεται τακτικά ςφμφωνα με τισ εξελίξεισ τθσ τεχνολογίασ και τισ βζλτιςτεσ πρακτικζσ για τα Ρλθροφοριακά ςυςτιματα (και τουλάχιςτον κάκε ζξι μινεσ). 2.14 Ενθμζρωςθ Λογιςμικοφ a) Το λογιςμικό, υλικολογιςμικό και υλιςμικό που χρθςιμοποιοφνται ςτα Ρλθροφοριακά ςυςτιματα κα ελζγχονται τακτικά, προκειμζνου να ανιχνεφονται και να επιλφονται τρωτά ςθμεία και αδυναμίεσ ςτα Ρλθροφοριακά ςυςτιματα. Ο ζλεγχοσ αυτόσ πρζπει να διενεργείται τουλάχιςτον κάκε ζξι μινεσ. 2.15 Αρμοδιότθτεσ και υποχρεϊςεισ του προςωπικοφ a) Μόνο προςωπικό που ζχει επιδείξει εντιμότθτα, ακεραιότθτα και εχεμφκεια πρζπει να απαρτίηει τουσ Εξουςιοδοτθμζνουσ χριςτεσ ι να διακζτει πρόςβαςθ ςε χϊρουσ όπου βρίςκονται Ρλθροφοριακά ςυςτιματα ι μζςα που περιζχουν Ρροςωπικά δεδομζνα. b) Ρρζπει να λθφκοφν όλα τα αναγκαία μζτρα για να εξοικειωκεί το προςωπικό με τισ ελάχιςτεσ απαιτιςεισ αςφαλείασ αναφορικά με τθν εκτζλεςθ των κακθκόντων, τισ αρμοδιότθτζσ τουσ και τισ επιπτϊςεισ από κάκε παραβίαςθ των απαιτιςεων αυτϊν. c) Οι Αρμοδιότθτεσ και οι υποχρεϊςεισ του προςωπικοφ που διακζτει πρόςβαςθ ςε Ρροςωπικά δεδομζνα και Ρλθροφοριακά ςυςτιματα κα κακοριςτοφν ςαφϊσ και κα καταγραφοφν. 2.16 Ρροςυμβατικζσ υποχρεϊςεισ ελζγχου a) Εφόςον ζχει διενεργθκεί προςυμβατικόσ ζλεγχοσ ι αξιολόγθςθ, τυχόν επιπρόςκετεσ απαιτιςεισ αςφαλείασ όπωσ προςδιορίηονται ςτο ςυγκεκριμζνο ζλεγχο ι τθν αξιολόγθςθ και ςυμφωνοφνται εγγράφωσ κα αποτελοφν μζροσ των ελάχιςτων αυτϊν απαιτιςεων αςφαλείασ. - 6 -
2.17 Ζγγραφο αςφαλείασ a) Το ζγγραφο αςφαλείασ, το οποίο περιλαμβάνει τα μζτρα που υιοκετικθκαν για τθ ςυμμόρφωςθ με τισ ελάχιςτεσ αυτζσ απαιτιςεισ αςφαλείασ, κα είναι διακζςιμο ςτο προςωπικό που διακζτει πρόςβαςθ ςε Ρροςωπικά δεδομζνα και ςτα Ρλθροφοριακά ςυςτιματα. b) Το ζγγραφο αςφαλείασ πρζπει να καλφπτει τα παρακάτω ςθμεία κατ ελάχιςτον: - b.1 Το πεδίο εφαρμογήσ, με λεπτομερή προςδιοριςμό προςτατευόμενων πόρων. - b.2 Τα μζτρα, πρότυπα, διαδικαςίεσ και κανόνεσ διαςφάλιςησ τησ αςφάλειασ. - b.3 Τη δομή των αρχείων που περιζχουν Προςωπικά δεδομζνα και μία περιγραφή των Πληροφοριακών ςυςτημάτων ςτα οποία τυγχάνουν επεξεργαςίασ. - b.4 Αρμοδιότητεσ και υποχρεώςεισ του προςωπικοφ. - b.5 Διαδικαςίεσ για την υποβολή αναφορών, τη διαχείριςη και ανταπόκριςη ςε ςυμβάντα. - b.6 Διαδικαςίεσ για τη δημιουργία αντιγράφων αςφαλείασ και την ανάκτηςη δεδομζνων. c) Το ζγγραφο αςφαλείασ πρζπει να προςδιορίηει τον Υπεφκυνο αςφαλείασ (βλ. Ενότθτα 2.18), τουσ περιοδικοφσ ελζγχουσ που πρζπει να διενεργοφνται για να εποπτεφεται θ ςυμμόρφωςθ με τισ ελάχιςτεσ αυτζσ απαιτιςεισ αςφαλείασ και τα μζτρα που πρζπει να λαμβάνονται για να διαςφαλιςτεί θ τυχόν απόρριψθ ι επανάχρθςθ των μζςων. d) Συμπλθρωματικά και επικουρικά ςτο ζγγραφο αςφαλείασ, υπάρχει και ιςχφει ο Κϊδικασ Δεοντολογίασ τθσ ΑΜΚΕ Omnibus. 2.18 Υπεφκυνοσ αςφαλείασ a) Ρρόκειται για το πρόςωπο που είναι υπεφκυνο για τθ ςυνολικι ςυμμόρφωςθ με τισ 2.19 Ζλεγχοσ ελάχιςτεσ απαιτιςεισ αςφαλείασ. Το πρόςωπο αυτό κα διακζτει τθν κατάλλθλθ κατάρτιςθ και εμπειρία ςτθ διαχείριςθ τθσ αςφάλειασ των πλθροφοριϊν και κα εφοδιάηεται με τα επαρκι μζςα για να διαςφαλίηει αποτελεςματικά τθ ςυμμόρφωςθ. a) Ρρζπει να διενεργείται τακτικόσ ζλεγχοσ ςυμμόρφωςθσ με τισ ελάχιςτεσ απαιτιςεισ αςφαλείασ, τουλάχιςτον μία φορά ανά ζτοσ και να παραδίδεται υπό μορφι αναφοράσ ελζγχου. b) Η αναφορά ελζγχου πρζπει να παρζχει μία αξιολόγθςθ για το βακμό ςτον οποίο τα μζτρα αςφαλείασ και οι ζλεγχοι που ζχουν υιοκετθκεί ςυμμορφϊνονται με τισ - 7 -
ελάχιςτεσ αυτζσ απαιτιςεισ αςφαλείασ, να προςδιορίηει τυχόν ελλείψεισ και (ςτθν περίπτωςθ αυτι) να προτείνει τα ενδεδειγμζνα διορκωτικά ι ςυμπλθρωματικά μζτρα. Ακόμθ, πρζπει να περιλαμβάνει τα δεδομζνα, τα γεγονότα και τισ τελικζσ παρατθριςεισ, κακϊσ και τισ ςυνακόλουκεσ ςυςτάςεισ. c) Η αναφορά ελζγχου πρζπει να αναλφεται από τον Υπεφκυνο αςφαλείασ, ο οποίοσ κα αποςτείλει τα ςυμπεράςματά τθσ ςτα κεςμικά όργανα τθσ ΑΜΚΕ Omnibus και κα παραμείνει ςτθ διάκεςι τθσ. ΤΕΛΟΣ ΕΓΓΑΦΟΥ - 8 -