ΑΠ.1089-032

` Μαρούσι, 30-10-2023 ΑΠ: 1089/32 ΑΠΟΦΑΣΗ Έγκριση της «Πολιτικής Διατήρησης Πληροφοριών» Η Εθνική Επιτροπή Τηλεπικοινωνιών και Ταχυδρομείων (ΕΕΤΤ), Έχοντας υπόψη:

1. Τις διατάξεις: α. του Ν. 4070/2012 «Ρυθμίσεις Ηλεκτρονικών Επικοινωνιών, Μεταφορών, Δημοσίων Έργων και άλλες διατάξεις» (ΦΕΚ 82/Α/2012), όπως ισχύει τροποποιηθείς, β. του Ν. 4053/2012 «Ρύθμιση λειτουργίας της ταχυδρομικής αγοράς, θεμάτων ηλεκτρονικών επικοινωνιών και άλλες διατάξεις» (ΦΕΚ 44/Α/2012), όπως ισχύει τροποποιηθείς, γ. του Ν. 4727/2020 «Ψηφιακή Διακυβέρνηση (Ενσωμάτωση στην Ελληνική Νομοθεσία της Οδηγίας (ΕΕ) 2016/2102 και της Οδηγίας (ΕΕ) 2019/1024) – Ηλεκτρονικές Επικοινωνίες (Ενσωμάτωση στο Ελληνικό Δίκαιο της Οδηγίας (ΕΕ) 2018/1972) και άλλες διατάξεις.» (ΦΕΚ 184/Α/2020), δ. του Κανονισμού (ΕΕ) αριθ. 679/2016 της 27ης Απριλίου 2016 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων ή ΓΚΠΔ), ε. του N. 4624/2019 «Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, μέτρα εφαρμογής του Κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και ενσωμάτωση στην εθνική νομοθεσία της Οδηγίας (ΕΕ) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 και άλλες διατάξεις» (ΦΕΚ 137/Α/2019), Σελίδα 1 από 17 Digitally signed by SPYRIDON SYNDONAS Date: 2023.11.13 18:19:43 EET Γραμματεία Ολομέλειας της ΕΕΤΤ ` στ. του ΠΔ 25/2014 «Ηλεκτρονικό Αρχείο και Ψηφιοποίηση εγγράφων» (ΦΕΚ 44/Α/2014), ζ. του Ν. 4577/2018 «Ενσωμάτωση στην ελληνική νομοθεσία της Οδηγίας 2016/1148/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου σχετικά με μέτρα για υψηλό κοινό επίπεδο ασφάλειας συστημάτων δικτύου και πληροφοριών σε ολόκληρη την Ένωση και άλλες διατάξεις», (ΦΕΚ 199/ Α' /03-12-2018), όπως ισχύει, η. του Ν. 4961/2022 «Αναδυόμενες τεχνολογίες πληροφορικής και επικοινωνιών, ενίσχυση της ψηφιακής διακυβέρνησης και άλλες διατάξεις», (ΦΕΚ 146/Α’/27-72022),
2. Την ΑΠ 996/08/22-06-2021 Απόφαση της ΕΕΤΤ «Έγκριση Οργανισμού της Εθνικής Επιτροπής Τηλεπικοινωνιών και Ταχυδρομείων» (ΦΕΚ 3367/Β΄/2021),
3. Την ΑΠ 1004/40/30-8-2021 Απόφαση της ΕΕΤΤ «Κανονισμός Λειτουργίας της Εθνικής Επιτροπής Τηλεπικοινωνιών και Ταχυδρομείων (ΕΕΤΤ) » (ΦΕΚ 4660/Β΄/8-10-2021), όπως ισχύει τροποποιηθείσα με την ΑΠ 1062/18/24-012023 (ΦΕΚ 947/Β΄/2023),
4. Την ΑΠ 852/19/21-05-2018 Απόφαση της ΕΕΤΤ «Ορισμός Υπευθύνου Προστασίας Δεδομένων της ΕΕΤΤ σύμφωνα με τον Κανονισμό (ΕΕ) 679/2016 (Γενικός Κανονισμός για την Προστασία Δεδομένων)»,
5. Την ΑΠ 1017/32/29-11-2021 Απόφαση της ΕΕΤΤ «Ορισμός Υπευθύνου Ασφάλειας των Πληροφοριών (ΥΑΠ - CISO)»,
6. Την ΑΠ 1021/33/29-12-2021 Απόφαση της ΕΕΤΤ «Ορισμός Υπευθύνου Ασφάλειας Πληροφοριακών Συστημάτων (ΥΑΠΣ), Υπευθύνου Φυσικής Ασφάλειας (ΥΦΑ) και Συγκρότηση Επιτροπών Ασφάλειας που προκύπτουν από τον Κανονισμό της ΕΕΤΤ»,
7. Την ΑΠ 1070/29/10-04-2023 Απόφαση της ΕΕΤΤ «Εκκαθάριση των αρχείων της ΕΕΤΤ» (ΦΕΚ 3528/Β/25-5-2023),
8. Την εγκεκριμένη από τον Πρόεδρο της ΕΕΤΤ «Πολιτική Ασφαλείας της ΕΕΤΤ, έκδοση 1.0» με αριθ. πρωτ. 278/1-6-2018, Σελίδα 2 από 17 `
9. Την ΑΠ 989/25/26-04-2021 Απόφαση της ΕΕΤΤ «Έγκριση της εφαρμογής της αναθεωρημένης “Πολιτικής Αποδεκτής Χρήσης των Πληροφοριακών Αγαθών της ΕΕΤΤ”»,
10. Την ΑΠ 1046/15/10-10-2022 Απόφαση της ΕΕΤΤ «Έγκριση της “Πολιτικής Τηλεργασίας και Φορητών Συσκευών”»,
11. Την ΑΠ 1048/13/24-10-2022 Απόφαση της ΕΕΤΤ «Έγκριση της “Πολιτικής Διαχείρισης Συμβάντων Ασφαλείας Πληροφοριών”»,
12. Την ΑΠ 1050/26/07-11-2022 Απόφαση της ΕΕΤΤ «Έγκριση της “Πολιτικής Φυσικής και Περιβαλλοντικής Ασφάλειας”»,
13. Την ΑΠ 1069/13/27-03-2023 Απόφαση της ΕΕΤΤ «Έγκριση της “Πολιτικής Ασφάλειας Τελικού Χρήστη”»,
14. Την ΑΠ 1076/25/20-06-2023 Απόφαση της ΕΕΤΤ «Έγκριση της “Πολιτικής Ενημέρωσης και Εκπαίδευσης Προσωπικού σε θέματα ασφάλειας πληροφοριών”»,
15. Την ΑΠ 1078/23/17-07-2023 Απόφαση της ΕΕΤΤ «Έγκριση της “Πολιτικής Προστασίας Προσωπικών Δεδομένων”»,
16. Την Εισήγηση αριθ. 37122/25-10-2023 της αρμόδιας Υπηρεσίας της ΕΕΤΤ, και ύστερα από προφορική εισήγηση του Προέδρου της ΕΕΤΤ (Καθηγητή Κωνσταντίνου Μασσέλου), Επειδή : Α. Η ΕΕΤΤ παράγει, λαμβάνει και διαχειρίζεται καθημερινά πληροφορίες, έγγραφα και δεδομένα, σημαντικού όγκου και αξίας, σε έντυπη και σε ηλεκτρονική μορφή, τόσο στο πλαίσιο άσκησης των αρμοδιοτήτων της όσο και για τη συμμόρφωσή της με νομικές, κανονιστικές και λοιπές υποχρεώσεις. Β. Κρίνεται σκόπιμη η υιοθέτηση μιας πολιτικής, η οποία θα καθορίζει τους κανόνες για την ασφαλή διατήρηση, διάθεση, διαγραφή/καταστροφή των πληροφοριών, εγγράφων και δεδομένων που κατέχει η ΕΕΤΤ και θα ενημερώνει το προσωπικό για τις δικές του υποχρεώσεις, προκειμένου να διασφαλίζεται η ακεραιότητα, εμπιστευτικότητα και Σελίδα 3 από 17 ` διαθεσιμότητά τους. Η πολιτική αυτή θα εξασφαλίζει ότι οι πληροφορίες, τα έγγραφα και τα δεδομένα της ΕΕΤΤ προστατεύονται και συντηρούνται επαρκώς κατά τη χρονική περίοδο διατήρησής τους (με μέτρα προστασίας, όπως ενδεικτικά, η λήψη αντιγράφων ασφαλείας (Back-up), η καταγραφή και παρακολούθηση συμβάντων (log files) κτλ.) και στην κατάλληλη χρονική στιγμή, όταν δεν χρειάζονται πλέον ή δεν έχουν αξία, καταστρέφονται με ασφαλή μέθοδο. Αποφασίζει : Α. Εγκρίνει την «Πολιτική Διατήρησης Πληροφοριών», η οποία καθορίζει τους κανόνες αναφορικά με τη διατήρηση, διάθεση, διαγραφή/καταστροφή των πληροφοριών, εγγράφων και δεδομένων που κατέχει η ΕΕΤΤ, τόσο σε έντυπη όσο και σε ηλεκτρονική μορφή. Η «Πολιτική Διατήρησης Πληροφοριών» της ΕΕΤΤ έχει ως εξής: « Πολιτική Διατήρησης Πληροφοριών Έκδοση: 1η Τελευταία Ημερομηνία Ενημέρωσης: Οκτώβριος 2023
17. Σκοπός και πεδίο εφαρμογής Η ΕΕΤΤ επεξεργάζεται καθημερινά πληροφορίες, έγγραφα και δεδομένα (για λόγους συντομίας καλούνται εφεξής πληροφορίες), τόσο σε έντυπη όσο και σε ηλεκτρονική μορφή. Η επεξεργασία αυτή είναι απαραίτητη στο πλαίσιο άσκησης των αρμοδιοτήτων της, καθώς και για τη συμμόρφωσή της με νομικές, κανονιστικές και λοιπές υποχρεώσεις. Η παρούσα πολιτική εφαρμόζεται σε όλες τις πληροφορίες που δημιουργούνται, λαμβάνονται, κατέχονται και χρησιμοποιούνται στην ΕΕΤΤ, με την ευρύτερη έννοια του όρου, ανεξάρτητα από:  μορφή της πληροφορίας (φυσική ή ηλεκτρονική),  είδος (εσωτερική, εισερχόμενη, εξερχόμενη πληροφορία, απόφαση, πράξη κτλ.),  τύπο (αρχείο κειμένου, εικόνων, πολυμέσων, παρουσιάσεων, έγγραφο pdf, αρχείο από Σύστημα Γεωγραφικών Πληροφοριών (GIS), ιστοσελίδα, ηλεκτρονικό μήνυμα, κτλ.),  δομή (δομημένη σε βάσεις δεδομένων ή αδόμητη για παράδειγμα σε αρχεία αυτοματοποίησης γραφείου),  τρόπο δημιουργίας (π.χ. χειρόγραφο, εκτύπωση, παραγόμενο από σαρωτή, από εφαρμογή αυτοματισμού γραφείου, από εφαρμογή ηλεκτρονικού ταχυδρομείου, Σελίδα 4 από 17 ` από εξειδικευμένες εφαρμογές και πληροφοριακά συστήματα της ΕΕΤΤ, από σύστημα ελέγχου πρόσβασης, κτλ.),  μέσο διαχείρισης και αποθήκευσης (π.χ. πληροφορία αποθηκευμένη ηλεκτρονικά, μεταφερόμενη με ηλεκτρονικά μέσα κτλ.),  αντικείμενο / χρήση (π.χ. συμβάσεις, παραστατικά, οικονομικά στοιχεία, αιτήσεις, καταγγελίες, πολιτικές, διαδικασίες, εγκύκλιοι, ενημερωτικό υλικό, πληροφορίες προσωπικού, κατάλογοι επικοινωνίας, εγχειρίδια, μητρώα, ερωτηματολόγια, μελέτες, εκθέσεις, στατιστικά στοιχεία, αναφορές, παραδοτέα έργων που δημιουργούνται από ή για λογαριασμό της ΕΕΤΤ, πηγαίος κώδικας εφαρμογών υπολογιστή κτλ.),  άλλη τυχόν κατηγοριοποίηση (γεωγραφική/χωροταξική, θεματική, βασισμένη στον τρόπο ροής της πληροφορίας εντός της ΕΕΤΤ κτλ.). Η παρούσα πολιτική καθορίζει τους κανόνες αναφορικά με τη διατήρηση και διάθεση των πληροφοριών που κατέχει η ΕΕΤΤ, καθώς και τη διαγραφή/καταστροφή τους έπειτα από την εκπλήρωση του σκοπού της επεξεργασίας τους και εφόσον δεν υφίσταται νομική υποχρέωση περαιτέρω τήρησής τους. Ενημερώνει το προσωπικό για τις δικές του υποχρεώσεις για την προστασία των πληροφοριών της ΕΕΤΤ. Η παρούσα πολιτική συμμορφώνεται με την ισχύουσα νομοθεσία και βέλτιστες πρακτικές. Το σύνολο του προσωπικού οφείλει να εξοικειωθεί και να συμμορφώνεται με αυτήν και να προβαίνει σε όλες τις απαραίτητες ενέργειες για να διασφαλίζει την ακεραιότητα, εμπιστευτικότητα και διαθεσιμότητα των πληροφοριών που δημιουργεί και διατηρεί η ΕΕΤΤ. Σκοπός της πολιτικής είναι να εξασφαλίσει ότι οι πληροφορίες της ΕΕΤΤ προστατεύονται και συντηρούνται επαρκώς και καταστρέφονται την κατάλληλη χρονική στιγμή όταν δεν χρειάζονται πλέον ή δεν έχουν αξία. Πιο συγκεκριμένα, η παρούσα πολιτική καλύπτει τις παρακάτω πτυχές ασφαλείας της πληροφορίας:  Γενικά θέματα διαχείρισης πληροφοριών  Αρμοδιότητες και ρόλοι στην ασφάλεια πληροφοριών  Αρχές πρόσβασης στις πληροφορίες  Διαβίβαση και διάδοση πληροφοριών  Φύλαξη και αποθήκευση  Αντιγραφή και εκτύπωση  Διαχείριση πληροφοριών κατά τη μετακίνηση/αποχώρηση εργαζομένου  Έλεγχοι για την προστασία των πληροφοριών  Διαχείριση μη εξουσιοδοτημένης αποκάλυψης πληροφοριών  Διαχείριση αντιγράφων ασφαλείας (back-up)  Διατήρηση των πληροφοριών κατά την απαιτούμενη χρονική περίοδο διατήρησης  Διαγραφή / καταστροφή πληροφοριών  Διατήρηση και ανάλυση αρχείων καταγραφής (log files) Σελίδα 5 από 17 ` Στην παρούσα αναφέρονται για λόγους πληρότητας αλλά δεν αναλύονται διεξοδικά θέματα τα οποία είτε αποτελούν αντικείμενο σχετικής νομοθεσίας είτε εξειδικεύονται σε άλλες πολιτικές ασφαλείας της ΕΕΤΤ, όπως ενδεικτικά, προστασία των προσωπικών δεδομένων, προσβάσεις και δικαιώματα, ταυτοποίηση και αυθεντικοποίηση χρηστών, ασφάλεια τελικών χρηστών, διαχείριση συμβάντων ασφαλείας, φυσική ασφάλεια των πληροφοριών, διαβάθμιση πληροφοριακών πόρων, κτλ.
18. Γενικές αρχές διαχείρισης των πληροφοριών της ΕΕΤΤ Η ΕΕΤΤ συμμορφώνεται με την ισχύουσα νομοθεσία ως προς την επεξεργασία, διαχείριση, αρχειοθέτηση, ψηφιοποίηση, αποθήκευση, τήρηση και εκκαθάριση των έντυπων εγγράφων και ηλεκτρονικών αρχείων της. 2.1 Καταγραφή των πληροφοριών Σύμφωνα με το ισχύον νομοθετικό πλαίσιο και τις διαδικασίες λειτουργίας της, η ΕΕΤΤ καταγράφει, κατ’ ελάχιστον σε ετήσια βάση, κατάλογο με τις κατηγορίες εγγράφων, πληροφοριών και δεδομένων που έχει στην κατοχή της και μεταξύ αυτών: α) εκείνες τις πληροφορίες που διαθέτει ελεύθερα προς περαιτέρω χρήση και αξιοποίηση για εμπορικούς ή μη εμπορικούς σκοπούς, δηλαδή τα λεγόμενα «ανοικτά δεδομένα» της, καθώς και β) τις υπόλοιπες πληροφορίες για τις οποίες συντρέχουν περιορισμοί μη δημόσιας διάθεσης (π.χ. διότι η πρόσβαση απαγορεύεται για λόγους προστασίας δεδομένων προσωπικού χαρακτήρα, για λόγους εμπορικού, βιομηχανικού επιχειρηματικού, επαγγελματικού ή εταιρικού απορρήτου κτλ.). Η καταγραφή αυτή της πληροφορίας που κατέχει η ΕΕΤΤ είναι κρίσιμη, καθώς αποτελεί τη βάση για τη διαχείριση και την προστασία της. 2.2 Καθορισμός ιδιοκτήτη της πληροφορίας Οι ανωτέρω κατηγορίες πληροφορίας καταγράφονται από τον κάτοχο/ιδιοκτήτη της πληροφορίας (information owner), δηλαδή από την αρμόδια οργανική μονάδα που δημιουργεί ή/και διαχειρίζεται την πληροφορία στο πλαίσιο των αρμοδιοτήτων της. Η ιδιοκτήτης οργανική μονάδα είναι υπεύθυνη για την κατηγοριοποίηση, διαχείριση, διάθεση, δημοσίευση, έλεγχο και προστασία της πληροφορίας της και ακόμα και στην περίπτωση που αναθέσει την επεξεργασίας της σε άλλο εξειδικευμένο προσωπικό, εξακολουθεί να διατηρεί τη γενική ευθύνη της. 2.3 Ταξινόμηση των πληροφοριών Η ιδιοκτήτης οργανική μονάδα πρέπει να ταξινομεί/διαβαθμίζει τις πληροφορίες που κατέχει, δηλαδή να τις διαχωρίζει και οργανώνει σε σχετιζόμενες ομάδες με βάση τα κοινά χαρακτηριστικά τους, όπως το βαθμό ευαισθησίας, τους κινδύνους που ενέχουν, τις συνέπειες από πιθανή απώλεια ή διαρροή και τις τυχόν υποχρεώσεις που η ΕΕΤΤ φέρει έναντι της σχετικής νομοθεσίας. Το επίπεδο ταξινόμησης/διαβάθμισης της πληροφορίας πρέπει να καθορίζει και τα τεχνικά και οργανωτικά μέτρα προστασίας που εφαρμόζονται κατά την αποθήκευση και χρήση της (για παράδειγμα η κρυπτογράφηση αποτελεί ένα ενδεικτικό μέτρο προστασίας που χρησιμοποιείται όταν κρίνεται απαραίτητο), ώστε να ικανοποιούνται επαρκώς οι υπηρεσιακές ανάγκες και η διαχείριση του κινδύνου. Το επίπεδο ταξινόμησης/διαβάθμισης της πληροφορίας πρέπει να αναπροσαρμόζεται, εφόσον απαιτείται. Σελίδα 6 από 17 `
19. Αρμοδιότητες και ρόλοι για την ασφάλεια των πληροφοριών Σύμφωνα με τον Οργανισμό της ΕΕΤΤ, ορίζεται Υπεύθυνος Ασφάλειας Πληροφοριών (ΥΑΠ-CISO) που αναφέρεται απευθείας στην Ολομέλεια και φέρει την ευθύνη διαχείρισης της στρατηγικής ασφάλειας πληροφοριών της ΕΕΤΤ, καθώς και της εισήγησης προς την Ολομέλεια των απαιτούμενων επενδύσεων για τη διασφάλιση των πληροφοριακών πόρων της. Ο ΥΑΠ, εάν απαιτηθεί, αποτελεί το σημείο επαφής με την Εθνική Αρχή Κυβερνοασφάλειας, παρέχοντας απαιτούμενες πληροφορίες, στοιχεία και κατευθύνσεις στο πλαίσιο της Εθνικής Στρατηγικής Κυβερνοασφάλειας, όπως κάθε φορά αυτή ισχύει. Σύμφωνα με τον Κανονισμό Λειτουργίας της ΕΕΤΤ, ορίζεται Υπεύθυνος Ασφάλειας των Πληροφοριακών Συστημάτων (ΥΑΠΣ), ο οποίος ανήκει στο Τμήμα Υποδομών και Δικτύων της Διεύθυνσης Ψηφιακής Διακυβέρνησης και έχει την ειδικότερη ευθύνη της ασφάλειας των πληροφοριακών συστημάτων και δικτύων. Σύμφωνα με τον Κανονισμό Λειτουργίας της, η ΕΕΤΤ έχει συγκροτήσει Επιτροπή Ασφάλειας Πληροφοριών (Information Security Committee – ISC) που επεξεργάζεται θέματα ασφάλειας πληροφοριών και είναι υπεύθυνη να συνδράμει τον ΥΑΠ στον καθορισμό των βασικών αρχών, της στρατηγικής και του λειτουργικού πλαισίου των δραστηριοτήτων της σε σχέση με την ασφάλεια των πληροφοριών. Επίσης, έχει συγκροτήσει Ομάδα Διαχείρισης Συμβάντων Ασφάλειας (Security Incident Handling Team - SIHT), η οποία αποτελεί την τεχνική ομάδα που ανταποκρίνεται σε περιστατικά ασφαλείας όταν αυτά λαμβάνουν χώρα και δύναται να επικουρεί στο μετριασμό του αντικτύπου των απειλών ασφαλείας της ΕΕΤΤ. Τα στελέχη της ΕΕΤΤ με αρμοδιότητες στην ασφάλεια πληροφοριών συνεργάζονται στενά με τα αρμόδια στελέχη προστασίας δεδομένων προσωπικού χαρακτήρα, καθώς πρόκειται για δύο άρρηκτα συνδεδεμένα αντικείμενα. Πέρα από τα παραπάνω, ο Προϊστάμενος κάθε οργανικής μονάδας που είναι η ιδιοκτήτης πληροφοριών είναι κύριος υπεύθυνος για τη διατήρηση, διάθεση και προστασία των πληροφοριών της οργανικής μονάδας.
20. Προστασία των πληροφοριών της ΕΕΤΤ 4.1 Σύστημα Ηλεκτρονικής Διαχείρισης Εγγράφων Η διαχείριση και διακίνηση των εγγράφων της ΕΕΤΤ πραγματοποιείται μέσω του συστήματος ηλεκτρονικής διαχείρισης εγγράφων της, το οποίο εξασφαλίζει ελεγχόμενη, εύχρηστη και άμεση διακίνηση, ανάθεση, αναζήτηση, πρόσβαση, διαχείριση της πληροφορίας, βάσει του εκάστοτε ισχύοντος νομοθετικού πλαισίου. Το σύστημα υποστηρίζει ψηφιακές υπογραφές ώστε, βάσει του προσωπικού ψηφιακού πιστοποιητικού κάθε χρήστη, το έγγραφο να υπογράφεται και κατόπιν να διακινείται ψηφιακά, διασφαλίζοντας την πιστοποίηση ταυτότητας του υπογράφοντα. Τα εμπιστευτικά έγγραφα διαχειρίζονται από το σύστημα ηλεκτρονικής διαχείρισης εγγράφων, σύμφωνα με τα οριζόμενα στον Κανονισμό Λειτουργίας της ΕΕΤΤ. 4.2 Πρόσβαση στις πληροφορίες Η ΕΕΤΤ παρέχει εξουσιοδοτημένη πρόσβαση στις πληροφορίες της με σκοπό την επίτευξη των υπηρεσιακών στόχων της. Δικαιώματα πρόσβασης δίνονται μόνο σε εκείνους τους χρήστες, από το προσωπικό ή/και τρίτους, οι οποίοι τα χρειάζονται για να Σελίδα 7 από 17 ` εκτελέσουν τα καθήκοντα τους και μόνο στο βαθμό που αυτό είναι απολύτως αναγκαίο. Εξασφαλίζεται επίπεδο ασφάλειας ανάλογο με το βαθμό ευαισθησίας και κρισιμότητας των πληροφοριών. Ο Προϊστάμενος της οργανικής μονάδας που είναι ιδιοκτήτης των πληροφοριών, είναι υπεύθυνος να αποδώσει δικαιώματα πρόσβασης στις πληροφορίες της οργανικής μονάδας. Οποιαδήποτε αποκάλυψη πληροφοριών ή άλλη χρήση χωρίς την κατάλληλη έγκριση από μέρους του απαγορεύεται αυστηρά. Επιπλέον, η πρόσβαση τρίτων (συμπεριλαμβανομένων των συνεργατών της ΕΕΤΤ, όπως των ασκούμενων δικηγόρων και φοιτητών που πραγματοποιούν την πρακτική τους άσκηση) σε πληροφορίες της ΕΕΤΤ συνοδεύεται υποχρεωτικά από υπογεγραμμένη σύμβαση εμπιστευτικότητας. 4.3 Διαβίβαση και διάδοση πληροφοριών Για λόγους διαφάνειας, οι αποφάσεις και οι πράξεις της ΕΕΤΤ αναρτώνται στο Πρόγραμμα Διαύγεια σύμφωνα με την κείμενη νομοθεσία και τις σχετικές διαδικασίες της ΕΕΤΤ και ισχύουν από την ανάρτησή τους. Οι αποφάσεις για τις οποίες προβλέπεται από το νόμο η δημοσίευσή τους στην Εφημερίδα της Κυβέρνησης (Ε.τ.Κ.), αποστέλλονται στο Εθνικό Τυπογραφείο και δημοσιεύονται στην Ε.τ.Κ. Οι πληροφορίες εσωτερικής χρήσης, που δύνανται να διαμοιράζονται εσωτερικά στο προσωπικό της ΕΕΤΤ (όπως εσωτερικές ανακοινώσεις, πολιτικές, εγκύκλιοι, διαδικασίες λειτουργίας, εσωτερικός τηλεφωνικός κατάλογος κτλ.), αναρτώνται στη Γνωσιακή Πύλη της, σύμφωνα με τις διαδικασίες της ΕΕΤΤ, με σκοπό την ενημέρωση όλων εντός της. Η δημόσια πληροφορία (ημερήσια διάταξη συνεδριάσεων Ολομέλειας, αποφάσεις, δελτία τύπου, ανακοινώσεις, εκδόσεις της ΕΕΤΤ κτλ.) που έχει ως σκοπό την επικοινωνία με το ευρύ κοινό και την ενημέρωση καταναλωτών, παρόχων, μέσων μαζικής ενημέρωσης κτλ., αναρτάται στον ή στους διαδικτυακούς τόπους της ΕΕΤΤ, μετά από τις κατάλληλες εγκρίσεις και σύμφωνα με τις σχετικές διαδικασίες λειτουργίας της. Μόνο εγκεκριμένα έγγραφα / αρχεία της ΕΕΤΤ πρέπει να δημοσιεύονται ή να κυκλοφορούν σε ιστοτόπους, στο διαδίκτυο ή σε τρίτους αντίστοιχα. Αντιθέτως, έγγραφα που ταξινομήθηκαν ως κρίσιμα ή ευαίσθητα πρέπει να παραδίδονται σε καθορισμένο παραλήπτη. Η διαβίβαση εγγράφων ή αρχείων που περιέχουν πληροφορίες ταξινομημένες ως ευαίσθητες ή κρίσιμες, σε οργανική μονάδα της ΕΕΤΤ ή σε τρίτο πρέπει να εγκρίνεται σύμφωνα με τις διαδικασίες λειτουργίας της. Τα έγγραφα ή αρχεία αυτά πρέπει να παραδίδονται με κατάλληλη ασφαλή μέθοδο, ώστε να τηρείται η εμπιστευτικότητα, ακεραιότητα και διαθεσιμότητά τους. Πριν παραδοθούν σε τρίτους ή διακινηθούν από τρίτους τα έγγραφα / αρχεία, που περιέχουν πληροφορίες ταξινομημένες ως ευαίσθητες ή κρίσιμες, θα πρέπει να υπογραφεί από τον τρίτο μια σύμβαση εμπιστευτικότητας. Όταν ένας εργαζόμενος λαμβάνει έγγραφο / αρχείο, που έχει ταξινομηθεί ή είναι ευαίσθητο, του οποίου δεν είναι ο αποδέκτης, πρέπει να ενημερώσει τον αποστολέα και να επιστρέψει το έγγραφο / αρχείο χωρίς να το διαβάσει και χωρίς να το προωθήσει σε άλλους παραλήπτες. Σελίδα 8 από 17 ` Οι χρήστες της πληροφορίας πρέπει να συμμορφώνονται με τους παραπάνω κανόνες χειρισμού, βάσει του επιπέδου ταξινόμησής της και όταν παρατηρούν κάποια παραβίαση της ασφάλειάς της πρέπει να την αναφέρουν αμέσως στον αρμόδιο Προϊστάμενο της ιδιοκτήτριας οργανικής μονάδας ή στη Διεύθυνση Ψηφιακής Διακυβέρνησης στην περίπτωση που αφορά πληροφοριακό σύστημα ή εφαρμογή. 4.4 Φύλαξη και αποθήκευση πληροφοριών Οι φάκελοι σε φυσική μορφή που περιέχουν ευαίσθητες πληροφορίες πρέπει να είναι τοποθετημένοι σε φωριαμούς που να κλειδώνουν και να μην εκτίθενται σε κοινή θέα. Δεν πρέπει να αφήνονται εκτεθειμένα, χωρίς επίβλεψη, έγγραφα πάνω σε γραφεία. Η μεταφορά των φυσικών φακέλων σε διαφορετικά γραφεία ή σε άλλες οργανικές μονάδες πρέπει να καταγράφεται. Ομοίως, πρέπει να λαμβάνονται τα κατάλληλα μέτρα για τη φυσική ασφάλεια και προστασία των φορητών μέσων αποθήκευσης. Πρέπει να φυλάσσονται σε ασφαλή σημεία όταν δεν είναι σε χρήση και να είναι πάντα υπό επίβλεψη κατά τη διάρκεια της χρήσης τους. Στους σκληρούς δίσκους των φορητών υπολογιστών που διαθέτει η ΕΕΤΤ στο προσωπικό της, λειτουργεί λογισμικό κρυπτογράφησης, ώστε να ελαχιστοποιείται ο κίνδυνος διαρροής πληροφοριών ή μη εξουσιοδοτημένης πρόσβασης σε περίπτωση κλοπής ή απώλειας της συσκευής. Τα αρχεία με κρίσιμες πληροφορίες πρέπει να αποθηκεύονται από το χρήστη τους στην κατάλληλη, κεντρική τοποθεσία στο File server που είναι κατάλληλα διαμορφωμένη ως προς την ασφάλεια και τα δικαιώματα πρόσβασης, προκειμένου να παρέχει δυνατότητα προσπέλασης στα αρχεία αυτά και από άλλους υπολογιστές στο ίδιο δίκτυο (όπως από χρήστες του ίδιου Τμήματος, Διεύθυνσης, επιτροπής ή ομάδας εργασίας κτλ.). Η χρήση εφαρμογών διαδικτύου αποθήκευσης και ανταλλαγής αρχείων για υπηρεσιακούς σκοπούς (όπως dropbox, WeTransfer κλπ) απαγορεύεται, εκτός εάν υπάρχει σχετική έγκριση από τη Διεύθυνση Ψηφιακής Διακυβέρνησης. Η αποθήκευση πληροφοριών διαφορετικού επιπέδου ταξινόμησης/διαβάθμισης στο ίδιο μέσο αποθήκευσης πρέπει να αποφεύγεται. Εναλλακτικά, σε κάθε μέσο αποθήκευσης που περιέχει πληροφορίες διαφορετικής ταξινόμησης/διαβάθμισης πρέπει να αποδίδεται το υψηλότερο επίπεδο ταξινόμησης/διαβάθμισης των πληροφοριών που περιέχει. 4.5 Αντιγραφή και εκτύπωση πληροφοριών Η αποθήκευση πληροφοριών σε όσο το δυνατό λιγότερα σημεία, βοηθά στην αποφυγή δημιουργίας διπλοτύπων τα οποία δύσκολα επικαιροποιούνται, καθώς επίσης ελαχιστοποιεί τον κίνδυνο ύπαρξης κάποιων εναπομεινάντων αντιγράφων μετά το πέρας της περιόδου διατήρησης και τη διαγραφή των πρωτοτύπων. Οι εργαζόμενοι θα πρέπει να επεξεργάζονται και να ενημερώνουν ένα κεντρικό αντίγραφο, όπου αυτό είναι εφικτό. Στην περίπτωση που απαιτηθεί εκτύπωση ή δημιουργία αντιγράφων των αρχείων κατά τη διάρκεια εκτέλεσης μιας σχετικής εργασίας, θα πρέπει να γίνεται διαγραφή ή καταστροφή αυτών μετά το πέρας της εργασίας, ενώ παράλληλα θα πρέπει να γίνεται διατήρηση της πλέον ενημερωμένης / τελικής έκδοσης των αρχείων στην κατάλληλη, κεντρική τοποθεσία στο File server. Σελίδα 9 από 17 ` Η δημιουργία αντιγράφων ευαίσθητων ή κρίσιμων πληροφοριών με τη χρήση οποιασδήποτε μεθόδου (π.χ. εκτύπωση) δεν πρέπει να γίνεται χωρίς την κατάλληλη εξουσιοδότηση από τον ιδιοκτήτη των πληροφοριών. Η πρόσβαση σε μηχανές πολλαπλών λειτουργιών (εκτυπωτές, φωτοτυπικά μηχανήματα, σαρωτές, κτλ.) πρέπει να ελέγχεται, ώστε να αποφεύγεται η χωρίς έγκριση εκτύπωση εγγράφων που περιέχουν ευαίσθητες ή κρίσιμες πληροφορίες. Ο εργαζόμενος πρέπει να εξασφαλίζει ότι όλες οι εκτυπώσεις πληροφοριών που έχουν ταξινομηθεί ως κρίσιμες ή ευαίσθητες απομακρύνονται αμέσως από τα μηχανήματα, ώστε να μη γίνεται αποκάλυψη των πληροφοριών σε μη εξουσιοδοτημένα άτομα. 4.6 Διαχείριση πληροφοριών κατά τη μετακίνηση/αποχώρηση εργαζομένου Η ΕΕΤΤ πρέπει να ακολουθεί μία δομημένη διαδικασία μεταφοράς γνώσεων στις περιπτώσεις αποχώρησης (π.χ. λόγω συνταξιοδότησης, μετάταξης σε άλλη υπηρεσία, παραίτησης κ.ά.) ή μακροχρόνιας απουσίας (π.χ. λόγω απόσπασης, μετακίνησης, άδειας ανατροφής τέκνου, άδειας άνευ αποδοχών κ.ά.) εργαζομένων της από τη θέση εργασίας τους. Η δομημένη αυτή διαδικασία θα διασφαλίζει τη μεταφορά της γνώσης/πληροφορίας από τον εργαζόμενο που αποχωρεί, στο διάδοχο της θέσης και στην οργανική μονάδα, με στόχο τη συνέχεια της δημόσιας διοίκησης και την ομαλή λειτουργία της υπηρεσίας. Παράλληλα, η EETT διατηρεί το δικαίωμα να εξετάζει κάθε αρχείο το οποίο ζητείται να διατηρηθεί, αντιγραφεί, ληφθεί ή εξαχθεί από εργαζόμενο ο οποίος μετακινείται/αποχωρεί από τη θέση εργασίας του στην EETT, προκειμένου να καθορίσει την κυριότητα και να εγκρίνει τη δημοσίευση, την κατάργηση, την αντιγραφή, τη λήψη ή την εξαγωγή του εν λόγω αρχείου. Ο Προϊστάμενος είναι υπεύθυνος για τη διατήρηση και την καταστροφή των αρχείων των εργαζομένων που αποχωρούν από το Τμήμα του, σύμφωνα με τις διατάξεις της παρούσας πολιτικής. Η ΕΕΤΤ απενεργοποιεί/καταργεί τους λογαριασμούς πρόσβασης αυτών που αποχωρούν με μακροχρόνια άδεια ή οριστικά και τις εξουσιοδοτήσεις τους σε πληροφοριακά συστήματα, εφαρμογές και υπολογιστές. 4.7 Σχεδιασμός πληροφοριακών συστημάτων και εφαρμογών Ο σχεδιασμός των πληροφοριακών συστημάτων και εφαρμογών που χρησιμοποιούνται στην επεξεργασία πληροφοριών και προσωπικών δεδομένων πρέπει να πραγματοποιείται λαμβάνοντας υπόψη τις βασικές αρχές της ασφάλειας και της ιδιωτικότητας (privacy by design). Ως εκ τούτου, οι εφαρμογές πρέπει να ακολουθούν την αρχή της ελαχιστοποίησης των δεδομένων (data minimization), της τήρησης της ακρίβειας και ποιότητας των δεδομένων και να περιλαμβάνουν τη δυνατότητα της επικαιροποίησης, καθώς και διαγραφής δεδομένων μετά το χρονικό διάστημα που απαιτείται για την πραγματοποίηση του σκοπού της επεξεργασίας. Επίσης, πρέπει να επιτρέπουν την υλοποίηση όλων των απαιτούμενων τεχνικών μηχανισμών ασφάλειας για την προστασία τους από τυχαία ή αθέμιτη καταστροφή, τυχαία απώλεια, αλλοίωση, απαγορευμένη διάδοση ή πρόσβαση και κάθε άλλη μορφή αθέμιτης επεξεργασίας. 4.8 Έλεγχοι για την προστασία των πληροφοριών Οι πληροφορίες της ΕΕΤΤ πρέπει να παραμένουν ακριβείς και επαρκώς προστατευμένες. Πρέπει να εφαρμόζονται οι κατάλληλοι μηχανισμοί ελέγχου των πληροφοριών με βάση την ευαισθησία και κρισιμότητά τους, ώστε να γίνεται η διαχείρισή τους με ασφαλή τρόπο. Σελίδα 10 από 17 ` Πρέπει να διενεργούνται συχνοί, σχεδιασμένοι έλεγχοι ασφαλείας, συμπεριλαμβανομένων επιτόπιων ελέγχων για να διασφαλιστεί ότι εφαρμόζονται οι πολιτικές και οι διαδικασίες που προβλέπονται. Οι χρήστες των πληροφοριών και πληροφοριακών συστημάτων της ΕΕΤΤ είναι ενήμεροι ότι οι πληροφορίες και τα πληροφοριακά συστήματά της παρέχονται στο προσωπικό της ως μέσο για την επίτευξη των υπηρεσιακών καθηκόντων του. Αποτελούν ιδιοκτησία της και δεν πρέπει να χρησιμοποιούνται για προσωπικούς/ιδιωτικούς λόγους. Το προσωπικό της ΕΕΤΤ γνωρίζει ότι η ΕΕΤΤ διατηρεί το δικαίωμα παρακολούθησης της πρόσβασης στις πληροφορίες και τα συστήματα, έτσι ώστε να διατηρηθεί η εμπιστευτικότητα, η ακεραιότητα και η διαθεσιμότητά τους. 4.9 Μη εξουσιοδοτημένη αποκάλυψη πληροφοριών Όλοι οι εργαζόμενοι, συνεργάτες, τρίτα μέρη που χρησιμοποιούν τις πληροφορίες της ΕΕΤΤ πρέπει να αναφέρουν άμεσα στην Διεύθυνση Ψηφιακής Διακυβέρνησης ύποπτα περιστατικά που αφορούν την ασφάλεια των πληροφοριών. Ο Υπεύθυνος Ασφάλειας Πληροφοριών της ΕΕΤΤ πρέπει να ενημερώνεται αμέσως σε περίπτωση που πληροφορίες χαθούν, αποκαλυφθούν σε μη εξουσιοδοτημένα άτομα ή αλλοιωθούν. Η Ομάδα Διαχείρισης Συμβάντων Ασφάλειας, στη συνέχεια, αναλαμβάνει τη διαχείριση των περιστατικών, σύμφωνα με το σχεδιασμό που έχει εκπονηθεί.
21. Διαχείριση αντιγράφων ασφαλείας των πληροφοριών 5.1 Λήψη αντιγράφων ασφαλείας Η λήψη αντιγράφων ασφαλείας (Back-Up), αφορά στην υλοποίηση τεχνολογιών και διαδικασιών για την προστασία των πληροφοριακών συστημάτων και των πληροφοριών τους, έναντι απώλειας. Η λήψη αντιγράφων ασφαλείας και η δυνατότητα επαναφοράς των πληροφοριών από αυτά, είναι κρίσιμα θέματα για τη διατήρηση της ακεραιότητας και διαθεσιμότητας των πληροφοριών και των πληροφοριακών συστημάτων και επομένως για τη διασφάλιση της ομαλής λειτουργίας κάθε Οργανισμού. Τα αντίγραφα ασφαλείας επιτρέπουν την ανάκτηση δεδομένων με τις λιγότερες δυνατές απώλειες, ενδεικτικά, σε περιπτώσεις ακούσιας διαγραφής αρχείων, δυσλειτουργίας ή καταστροφής σκληρού δίσκου, μετά από επίθεση από κάποιο ιό που διέγραψε ή κατέστρεψε αρχεία, σε μια μεγάλη φυσική καταστροφή, κτλ. Τα αντίγραφα ασφαλείας δεν πρέπει να θεωρούνται ως εργαλείο ή μέθοδος αρχειοθέτησης των αρχείων. Σύμφωνα με τον Κανονισμό Λειτουργίας, η ΕΕΤΤ εκτελεί ημερησίως, εβδομαδιαίως, μηνιαίως και ετησίως λήψη αντιγράφων ασφαλείας των συστημάτων της, τα οποία διατηρεί αποκλειστικά για σκοπούς επαναφοράς των πληροφοριών της μετά από απώλεια ή καταστροφή. Τα αντίγραφα ασφαλείας και οι λύσεις και τεχνολογίες δημιουργίας τους λαμβάνονται και εφαρμόζονται με βάση τις επιχειρησιακές απαιτήσεις της ΕΕΤΤ και τις σχετικές πολιτικές ασφαλείας. Ειδικότερα, αντίγραφα ασφαλείας των πληροφοριών, των χαρακτηριστικών των συστημάτων, των εφαρμογών και των αρχείων καταγραφής (log files) λαμβάνονται από τη Διεύθυνση Ψηφιακής Διακυβέρνησης, με αυτοματοποιημένο τρόπο, σε τακτά χρονικά διαστήματα και συνδυάζοντας με τον κατάλληλο τρόπο τις διαθέσιμες τεχνολογίες, σύμφωνα με τις διαδικασίες λειτουργίας της ΕΕΤΤ. Έτσι, λαμβάνονται πλήρη (full) αντίγραφα ασφαλείας σε εβδομαδιαία, μηνιαία και ετήσια βάση, καθώς και σταδιακά Σελίδα 11 από 17 ` (incremental) αντίγραφα όλων των σημαντικών συστημάτων, σε ημερήσια βάση, τα οποία περιλαμβάνουν τις τροποποιήσεις από το προηγούμενο αντίγραφο. Για τις εφαρμογές της ΕΕΤΤ που είναι εγκατεστημένες στο Κυβερνητικό Νέφος Δημοσίου Τομέα (G-Cloud), αντίγραφα ασφαλείας λαμβάνονται ημερησίως και ανακυκλώνονται μηνιαίως. Επίσης, για λόγους ασφαλείας, η Διεύθυνση Ψηφιακής Διακυβέρνησης παράγει ένα πλήρες αντίγραφο ασφαλείας ενός πληροφοριακού συστήματος κάθε φορά πριν από την εφαρμογή σημαντικών ή κρίσιμων αλλαγών σε αυτό. Η ΕΕΤΤ προστατεύει τα ληφθέντα αντίγραφα ασφαλείας με κρυπτογράφηση κατά την αποθήκευσή τους. 5.2 Μέσα αποθήκευσης αντιγράφων ασφαλείας Για την αποθήκευση των αντιγράφων ασφαλείας χρησιμοποιούνται μέσα, τα οποία ελέγχονται ότι πληρούν όλες τις απαραίτητες προϋποθέσεις λειτουργικότητας. Ο χειρισμός των μέσων αποθήκευσης διενεργείται σύμφωνα με τις οδηγίες του κατασκευαστή. Όλα τα μέσα αποθήκευσης αντιγράφων ασφαλείας πρέπει να ταξινομούνται με το ίδιο επίπεδο ταξινόμησης/διαβάθμισης, το οποίο έχει δοθεί στις αρχικές πληροφορίες. Τα αντίγραφα ασφαλείας πρέπει να αποθηκεύονται σε ασφαλείς χώρους εντός και εκτός των εγκαταστάσεων της ΕΕΤΤ, που διαθέτουν προστασία από κινδύνους περιβαλλοντικής φύσεως (φωτιά, πλημμύρες, σεισμούς κτλ.) και κατάλληλα μέσα για τον έλεγχο της πρόσβασης. Οι περιοχές αποθήκευσης των αντιγράφων ασφαλείας, εκτός των εγκαταστάσεων της ΕΕΤΤ, επιλέγονται με κριτήριο την ασφάλεια και τις απαιτήσεις ανάκτησης και η καταλληλότητά τους ελέγχεται σε περιοδική βάση. Έτσι, το μηνιαίο και το ετήσιο πλήρες αντίγραφο μεταφέρονται και φυλάσσονται εκτός των εγκαταστάσεων της ΕΕΤΤ, σε έτερη ασφαλή φυσική τοποθεσία και συγκεκριμένα σε τραπεζική θυρίδα. Η Διεύθυνση Ψηφιακής Διακυβέρνησης παρέχει τη σχετική καθοδήγηση για τα παραπάνω. 5.3 Κεντρικοποιημένη υποδομή δημιουργίας αντιγράφων ασφαλείας Mια κεντρική υποδομή δημιουργίας αντιγράφων ασφαλείας χρησιμοποιείται από τη Διεύθυνση Ψηφιακής Διακυβέρνησης, για να λαμβάνει, με αυτόματο τρόπο, αντίγραφα ασφαλείας όλων των κεντρικών συστημάτων της ΕΕΤΤ, χωρίς να απαιτείται κάποια ενέργεια από τους χρήστες. Σε περίπτωση που εμφανιστούν προβλήματα κατά τη λήψη αντιγράφων, η κεντρική υποδομή λήψης αντιγράφων ασφαλείας ενημερώνει αυτόματα, με μήνυμα ηλεκτρονικού ταχυδρομείου, τα αρμόδια στελέχη της Διεύθυνσης Ψηφιακής Διακυβέρνησης, τα οποία στη συνέχεια ελέγχουν τα αρχεία καταγραφής (log files), εντοπίζουν, διορθώνουν το πρόβλημα και επανελέγχουν για την επιτυχή δημιουργία του αντιγράφου. Δεν δημιουργούνται, με αυτοματοποιημένο τρόπο, αντίγραφα ασφαλείας για τους υπολογιστές του προσωπικού της ΕΕΤΤ. Το προσωπικό έχει την ευθύνη να λαμβάνει αντίγραφα ασφαλείας για τα δεδομένα που διατηρεί στον υπολογιστή του, με συχνότητα που κρίνει το ίδιο και που ανταποκρίνεται στη σπουδαιότητα των πληροφοριών που επεξεργάζεται. Οι οργανικές μονάδες και το προσωπικό τους πρέπει να μεριμνούν ώστε σημαντικά, κρίσιμα και τυχόν ευαίσθητα δεδομένα να αποθηκεύονται κεντρικά στο δίκτυο της ΕΕΤΤ (στο File server) και όχι σε τοπικούς δίσκους, προκειμένου τα αντίγραφα ασφαλείας τους Σελίδα 12 από 17 ` να λαμβάνονται κεντρικά από τη διεύθυνση Ψηφιακής Διακυβέρνησης και να διασφαλίζεται η διαθεσιμότητά τους. Ο χειρισμός των μέσων που χρησιμοποιούνται για την παραγωγή των αντιγράφων συμμορφώνεται με τις οδηγίες τους κατασκευαστή. 5.4 Έλεγχοι και δοκιμές της λήψης αντιγράφων ασφαλείας και της επαναφοράς τους Όπως έχει ήδη σημειωθεί, η κεντρική υποδομή δημιουργίας αντιγράφων ασφαλείας ενημερώνει αυτόματα με μήνυμα ηλεκτρονικού ταχυδρομείου για τυχόν προβλήματα κατά τη λήψη των αντιγράφων ασφαλείας. Επιπλέον, σε εβδομαδιαία βάση, η Διεύθυνση Ψηφιακής Διακυβέρνησης ελέγχει τα αρχεία καταγραφής (log files) για να εντοπίσει και διορθώσει τυχόν προβλήματα κατά τη λήψη των αντιγράφων. Επαναφορές δεδομένων διενεργούνται μέσα στο χρόνο μετά από αιτήματα χρηστών. Περαιτέρω, προκειμένου να ελέγχεται ότι οι διαδικασίες επαναφοράς είναι αποτελεσματικές, δηλαδή ότι μπορούν να υλοποιηθούν εντός ικανοποιητικού χρονικού διαστήματος και με τα επιθυμητά αποτελέσματα και ότι τα δεδομένα που περιέχονται στα μέσα των αντιγράφων ασφαλείας παραμένουν ευανάγνωστα, προτείνεται, σε περιοδικά χρονικά διαστήματα, να εκπονούνται δοκιμές επαναφοράς δεδομένων για όλα τα ευαίσθητα και κρίσιμα πληροφορικά συστήματα της ΕΕΤΤ.
22. Διατήρηση των πληροφοριών Οι πληροφορίες της ΕΕΤΤ διατηρούνται για χρονική περίοδο διατήρησης, έως ότου διαγραφούν ή καταστραφούν. Οι προθεσμίες διατήρησης ανά κατηγορία εγγράφων της ΕΕΤΤ ορίζονται στην υπ’ αριθ. 1070/29/10-4-2023 «Εκκαθάριση των αρχείων της ΕΕΤΤ» Απόφαση της ΕΕΤΤ (ΦΕΚ 3528/25-5-2023), όπως ισχύει. Επομένως, οι πληροφορίες που κατέχει η ΕΕΤΤ, ανεξαρτήτως μορφής (φυσική ή ψηφιακή) και συμπεριλαμβανομένων τόσο των πρωτότυπων εγγράφων όσο και των αναπαραγωγών τους, πρέπει να συμμορφώνονται με τις απαιτήσεις διατήρησης της παραπάνω Απόφασης. Η διατήρηση των πληροφοριών είναι ευθύνη των Προϊσταμένων των οργανικών μονάδων που είναι οι ιδιοκτήτες των αντίστοιχων πληροφοριών. Για το σκοπό αυτό, ο Προϊστάμενος κάθε οργανικής μονάδας, θα πρέπει να προβαίνει σε έλεγχο της εφαρμογής της πολιτικής αυτής στο χώρο ευθύνης του με βάση τις προθεσμίες διατήρησης, ώστε να διαχωρίζει τα αρχεία, έγγραφα και δεδομένα που πρέπει να διατηρηθούν και εκείνα που πρέπει να διαγραφούν / καταστραφούν. Μετά το πέρας της περιόδου διατήρησης, θα πρέπει να εφαρμόζονται τα κατάλληλα μέτρα διαγραφής/καταστροφής, όπως περιγράφονται παρακάτω, ώστε να εξασφαλίζεται ότι οι πληροφορίες της ΕΕΤΤ διατηρούνται μόνο για όσο χρονικό διάστημα απαιτείται. Αναφορικά με τα αντίγραφα ασφαλείας, επίσης, τηρείται ένας σαφές χρονοδιάγραμμα για τη χρονική διατήρηση και διαγραφή των δεδομένων που αποθηκεύονται σε αυτά. Έτσι, σύμφωνα με τις διαδικασίες λειτουργίας της ΕΕΤΤ, τα ημερήσια αντίγραφα ασφαλείας διατηρούνται για χρονικό διάστημα δύο