Εκτίμηση κινδύνου και μέτρα ασφαλείας για την προστασία προσωπικών δεδομένων Δρ. Προκόπιος Δρογκάρης NIS Officer edemocracy 2017 Αθήνα 15.12.2017 European Union Agency for Network and Information Security
H έννοια του «κινδύνου» Κίνδυνος (risk) Απειλή (threat) Αντίκτυπος (impact) Η πιθανότητα πραγματοποίησης μιας απειλής σε συνδυασμό με τον αντίκτυπο που αυτή η απειλή θα έχει εφόσον συμβεί. Οτιδήποτε ενδέχεται να βλάψει τα αγαθά που θέλουμε να προστατεύσουμε. Το μέγεθος των αρνητικών επιπτώσεων που μπορεί να επιφέρει μια απειλή. 2
Διαχείριση κινδύνου (risk management) Εκτίμηση κινδύνου Αντιμετώπιση κινδύνου Μείωση Αποδοχή Αποφυγή Λήψη μέτρων Επικοινωνία 3
Άρθρο 32 Ασφάλεια επεξεργασίας 4
Η εκτίμηση κινδύνων στον Γ. Κ. Προστασίας Προσωπικών Δεδομένων Ασφάλεια της επεξεργασίας (άρθρο 32). Γνωστοποίηση παραβίασης δεδομένων προσωπικού χαρακτήρα στην εποπτική αρχή και στο υποκείμενο των δεδομένων (άρθρα 33 & 34). Εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων (άρθρο 35). Προηγούμενη διαβούλευση (άρθρο 36). Προστασία των δεδομένων ήδη από τον σχεδιασμό και εξ ορισμού (άρθρο 25). Κατάρτιση κωδίκων δεοντολογίας και πιστοποίηση (άρθρα 40 & 42). Αρχή της υπευθυνότητας ή λογοδοσίας (accountability) άρθρο 5 παρ. 2 Γ.Κ. 5
Η έννοια του κινδύνου για τα προσωπικά δεδομένα Κίνδυνος (risk) Αποκλειστικά ως προς τις ελευθερίες και τα δικαιώματα των υποκειμένων των δεδομένων Δεν αφορά οικονομικό ή επιχειρησιακό κίνδυνο Ανεξαρτήτου κλίμακας (ακόμα κι αν αφορά ένα μόνο υποκείμενο είναι αρκετό!) Απειλή (threat) Κάθε εξωγενής ή ενδογενής παράγοντας που θα μπορούσε να οδηγήσει σε παραβίαση προσωπικών δεδομένων Κάθε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ άλλο τρόπο σε επεξεργασία (αρ. 4 (12) Γ.Κ.) Αντίκτυπος (impact) Αρνητικές επιπτώσεις στα υποκείμενα των δεδομένων Εξέταση και δευτερογενών επιπτώσεων! Κατάχρηση ή υποκλοπή ταυτότητας. Οικονομική απώλεια. Φυσική ή ψυχολογική βλάβη. Προσβολή, Ταπείνωση. Ενόχληση. Διακρίσεις. Βλάβη της φήμης. Απειλή κατά της ζωής. 6
Διαχείριση κινδύνoυ στην προστασία προσωπικών δεδομένων Τύπος δεδομένων Σκοπός Εκτίμηση κινδύνου Πλαίσιο και φύση της επεξεργασίας Υποκείμενα & παραλήπτες δεδομένων Μέσα και περιβάλλον επεξεργασίας Αντιμετώπιση κινδύνου Λήψη μέτρων Αναθεώρηση επεξεργασίας Διαβούλευση με εποπτική αρχή Η αποδοχή του κινδύνου μπορεί να μην είναι δυνατή Επικοινωνία κινδύνου Υποκείμενα των δεδομένων 7
Κατευθυντήριες γραμμές για τον υπολογισμό του κινδύνου Βήμα 1 Ορισμός πλαισίου και φύση της επεξεργασίας Τύποι προσωπικών δεδομένων Κατηγορίες υποκειμένων επεξεργασίας Μέσα επεξεργασίας Αποδέκτες Βήμα 2 Κατανόηση και αξιολόγηση αντικτύπου Βήμα 3 Αναγνώριση απειλών και πιθανότητα πραγματοποίησής τους Εμπιστευτικότητα Ακεραιότητα Διαθεσιμότητα Δίκτυα και τεχνικές υποδομές Διαδικασίες Πρόσωπα που εμπλέκονται στην επεξεργασία Επιχειρησιακός τομέας και εύρος της επεξεργασίας Βήμα 4 Υπολογισμός κινδύνου 8
Υιοθέτηση μέτρων ανάλογα με το επίπεδο κινδύνου SM.A.1 Security policy The organization should develop and document a security policy with regard to the processing of personal data. The policy should be approved by management and communicated to all employees and relevant external parties. SM.M.1 SM.M.2 Database security Database and applications servers should be configured to run using a separate account, with minimum OS privileges to function correctly. Database and applications servers should only process the personal data that are actually neededs to process in order to achieve its processing purposes. SM.A.2 SM.A.3 The security policy should be reviewed and revised, if necessary, on an annual basis. The security policy should at least refer to: the roles and responsibilities of personnel, the baseline technical and organisation measures adopted for the security of personal data, the data processors or other third parties involved in the processing of personal data. SM.M.3 SM.M.4 Encryption solutions should be considered on specific files or records through software or hardware implementation. Encrypting storage drives should be considered SM.A.4 An inventory of specific policies/procedures related to the security of personal data should be created and maintained, based on the general security policy. SM.M.5 Pseudonymization techniques should be applied through separation of data from direct identifiers to avoid linking to data subject without additional information SM.A.5 The security policy should be reviewed and revised, if necessary, on a semester basis. Related to ISO 27001:2013 - A.5 Security policy control SM.M.6 Techniques supporting privacy at the database level, such as authorized queries, privacy preserving data base querying, searchable encryption, etc., should be considered. Related to ISO 27001:2013 - A. 12 Operations security 9
Ευχαριστώ πολύ PO Box 1309, 710 01 Heraklion, Greece Tel: +30 28 14 40 9710 info@enisa.europa.eu www.enisa.europa.eu