Advances in the deployment of information systems and their capabilities are such nowadays, that almost every organization or enterprise uses one to accomplish its business processes. Furthermore, organizations and enterprises that constitute the critical infrastructure of a country use a wide variety of information systems in order to pull through their difficult and crucial role. In daily basis, organizations that comprise critical infrastructure process and transfer big amounts of data, which are extremely important for the operational qualification of the state. Any case of malfunction, disruption or system failure, could prove fatal for the business continuity of the critical infrastructure and lead to immeasurable consequences (including financial) for the country in general. This paper suggests the optimal security practices, that administrator/s of information systems and IT infrastructure in an organization of critical infrastructure should follow, in order to reach a high level of security.
For the foretold goal the following two knowledge pillars were chosen for study and were taken into consideration a) the latest European regulation named “General Data Protection Regulation 679/2016” or for short GDPR and b) the International Standards Organization’s ISO series 27000 (27005,27002,27001 in specific). Based on those pillars we studied, analyzed and suggest optimal security practices for fifteen separate security areas which are in particular: Phishing, Access Control, Password Management, Information classification and Handling, Cryptographic Controls, Device Management, Teleworking, Protection from Malware, Management of Technical Vulnerabilities, Privacy and PII, Network security – Information transfer, Insider threat, Physical and Environmental Security, Security incident Recovery planning και Backup.
Η ανάπτυξη των πληροφοριακών συστημάτων και των δυνατοτήτων τους είναι τέτοια στην εποχή μας που πλέον σχεδόν κάθε δημόσιος οργανισμός ή ιδιωτική εταιρία τα χρησιμοποιεί για την διεκπεραίωση των επιχειρηματικών διεργασιών του. Ακόμα και οργανισμοί ή εταιρίες που αποτελούν κρίσιμες υποδομές μιας χώρας χρησιμοποιούν ευρύτατα διάφορα πληροφοριακά συστήματα προκειμένου να μπορούν να ανταπεξέλθουν στον δύσκολο και καίριο ρόλο τους. Καθημερινά οργανισμοί κρίσιμης υποδομής μιας χώρας επεξεργάζονται και ανταλλάσσουν μεγάλο όγκο δεδομένων που είναι ιδιαίτερα σημαντικά για την εύρυθμη λειτουργία ενός κράτους. Τυχόν απώλεια, αστοχία ή δυσλειτουργία μπορεί να αποβεί μοιραία για την κρίσιμη υποδομή και να έχει ανυπολόγιστες οικονομικές ή άλλου είδους συνέπειες για τη χώρα γενικότερα. Για το λόγο αυτό η παρούσα εργασία προτείνει τις βέλτιστες πρακτικές ασφαλείας που πρέπει να τηρεί ο διαχειριστής-ες των πληροφοριακών πόρων (ΠΣ και υποδομή IT) μιας κρίσιμης υποδομής ώστε να εξασφαλίζεται ένα υψηλό επίπεδο ασφαλείας.
Για τον προαναφερόμενο σκοπό επιλέχθηκαν για μελέτη δύο γνωστικοί πυλώνες α) ο Ευρωπαϊκός Κανονισμός 679/2016 – GDPR και β) η σειρά προτύπων 27000 του Διεθνή Οργανισμού Τυποποίησης ISO (27005, 27002, 27001 πιο συγκεκριμένα). Βάσει αυτών μελετήθηκαν, αναλύθηκαν και προτείνονται βέλτιστες πρακτικές για δεκαπέντε διακριτές θεματικές ενότητες ασφάλειας οι οποίες είναι: Phishing, Access Control, Password Management, Information classification and Handling, Cryptographic Controls, Device Management, Teleworking, Protection from Malware, Management of Technical Vulnerabilities, Privacy and PII, Network security – Information transfer, Insider threat, Physical and Environmental Security, Security incident Recovery planning και Backup.
