AΠ.1174-014

(5)συνεχείς αποτυχημένες προσπάθειες πρόσβασης για τα κρίσιμα συστήματα, εφόσον αυτό είναι εφικτό. Όταν ο λογαριασμός ενός χρήστη κλειδώσει, παραμένει κλειδωμένος για μία προκαθορισμένη χρονική περίοδο (π.χ. 30 λεπτά) ή έως ότου ο διαχειριστής του συστήματος ξεκλειδώσει το λογαριασμό. Σε περιπτώσεις που το παραπάνω δεν είναι εφικτό για κάποιο πληροφοριακό σύστημα ή εφαρμογή, γιατί δεν μπορεί να το υποστηρίξει, πρέπει να εφαρμοστούν άλλες πρακτικές ασφαλείας, όπως το Web Application Firewall (WAF), το οποίο είναι μια μορφή αναχώματος ασφαλείας (firewall) που ελέγχει την είσοδο / έξοδο ή τις κλήσεις συστήματος μιας διαδικτυακής εφαρμογής ή υπηρεσίας, ή εναλλακτικά να εφαρμόζονται άλλοι μηχανισμοί ασφάλειας. 5.4 Κρυπτογράφηση κωδικού πρόσβασης Οι κωδικοί πρόσβασης πρέπει πάντα να κρυπτογραφούνται ή να έχουν κατακερματιστεί κατά την αποθήκευση ή τη μεταβίβασή τους μέσω δικτύων, ώστε να μην αποκαλύπτονται σε μη εξουσιοδοτημένους χρήστες. Για την κρυπτογράφηση, πρέπει να χρησιμοποιούνται διεθνώς αναγνωρισμένοι αλγόριθμοι. Επιπλέον, τα πληροφοριακά συστήματα πρέπει να σχεδιάζονται και να ελέγχονται έτσι ώστε να διασφαλίζεται ότι η ανάκτηση κρυπτογραφημένων ή μη κωδικών πρόσβασης δεν είναι δυνατή. 5.5 Αποθήκευση κωδικού πρόσβασης Οι κωδικοί πρόσβασης δεν πρέπει να αποθηκεύονται σε οποιαδήποτε μορφή σε συστήματα στα οποία δεν υπάρχει έλεγχος πρόσβασης, συμπεριλαμβανομένων των εγγράφων, των μακροεντολών λογισμικού, των φυλλομετρητών ιστού (web browsers) κτλ. Ενδεικτικά, μπορούν να υποκλαπούν με άμεσο τρόπο οι αποθηκευμένοι κωδικοί από τη μνήμη του web browser χωρίς ο χρήστης να το αντιληφθεί και μάλιστα με τη χρήση των δικαιωμάτων απλού χρήστη (δεν απαιτούνται προνόμια διαχειριστή). Για λόγους ασφαλείας, η ΕΕΤΤ διατηρεί το δικαίωμα να διαγράφει αποθηκευμένους κωδικούς. 5.6 Αποκάλυψη κωδικών πρόσβασης Όλοι οι κωδικοί πρόσβασης ενός συστήματος πρέπει να αλλάζουν άμεσα εάν υπάρχει υποψία ή απόδειξη ότι αποκαλύφθηκαν σε μη εξουσιοδοτημένους χρήστες. 5.7 Απαιτήσεις ασφάλειας κωδικού πρόσβασης Οι κωδικοί πρόσβασης χρηστών και διαχειριστών πρέπει να τηρούν τα πρότυπα και τις καλές πρακτικές ασφάλειας όσον αφορά στο μήκος, την πολυπλοκότητα, το ιστορικό και την περίοδο ισχύος. Όλοι οι κωδικοί πρόσβασης πρέπει να ικανοποιούν τις συγκεκριμένες απαιτήσεις που καθορίζονται στην Πολιτική Ασφάλειας της ΕΕΤΤ. Εάν είναι δυνατό, τα πληροφοριακά συστήματα της ΕΕΤΤ πρέπει να εφαρμόζουν αυτόματα αυτό το πρότυπο, διαφορετικά οι χρήστες πρέπει από μόνοι τους να ακολουθούν τους παραπάνω περιορισμούς ως προς το μήκος, την πολυπλοκότητα κτλ. Οποιαδήποτε απόκλιση από τους ανωτέρω κανόνες πρέπει να τεκμηριώνεται και να εγκρίνεται. Για την αποτελεσματικότερη διαχείριση των κωδικών, συνιστάται η χρήση του εξειδικευμένου συστήματος διαχείρισης κωδικών πρόσβασης που προτείνει η Διεύθυνση Ψηφιακής Διακυβέρνησης. 6 Έλεγχοι ασφάλειας για προνομιακούς χρήστες 6.1 Προνομιακή πρόσβαση στα συστήματα Τα δικαιώματα πρόσβασης για την τροποποίηση των ρυθμίσεων διαχείρισης, συντήρησης και διαμόρφωσης στα πληροφοριακά συστήματα της ΕΕΤΤ πρέπει: 6.2  Να χορηγούνται μόνο σε εξουσιοδοτημένους υπαλλήλους μετά από κατάλληλες εγκρίσεις.  Να περιορίζονται μόνο στα λιγότερα δυνατά προνόμια και στον απόλυτα απαραίτητο βαθμό, με βάση την κρισιμότητα των υπηρεσιακών λειτουργιών ή αρμοδιοτήτων της ΕΕΤΤ, κατά περίπτωση, καθώς και το σχήμα ταξινόμησης των πληροφοριακών πόρων της.  Να ανατίθενται σε διαχειριστές με βάση την ταξινόμηση της εκάστοτε εργασίας. Περιορισμός προνομιακών λογαριασμών Οι προνομιακοί λογαριασμοί χρηστών πρέπει να παρέχονται μόνο στους υπεύθυνους για τη διαχείριση και την ασφάλεια του εκάστοτε συστήματος. Οι λογαριασμοί με διαχειριστικά προνόμια πρέπει να αντιστοιχούν σε τουλάχιστον δύο άτομα ανά σύστημα και ο διαχωρισμός των καθηκόντων πρέπει να επιβάλλεται για τους διαχειριστές. Η ύπαρξη ενός δεύτερου εργαζομένου ως διαχειριστή εμποδίζει αδικαιολόγητες διακοπές της υπηρεσίας και περιορίζει την πιθανότητα εμφάνισης ανάρμοστων ενεργειών του άλλου υπαλλήλου. 6.3 Χορήγηση διαχειριστικών προνομίων σε λογαριασμούς απλών χρηστών Δεν πρέπει να χορηγούνται διαχειριστικά προνόμια σε λογαριασμούς απλών χρηστών εκτός εάν υπάρχει σχετική εξουσιοδότηση. 6.4 Από κοινού πρόσβαση σε προνομιακούς λογαριασμούς Η από κοινού πρόσβαση σε προνομιακούς λογαριασμούς απαγορεύεται. Μπορεί να επιτραπεί μόνο υπό την προϋπόθεση διεξαγωγής κατάλληλων ελέγχων και έπειτα από ρητή έγκριση. 6.5 Πρόσβαση σε προνομιακούς λογαριασμούς μέσω ασφαλών πρωτοκόλλων Η πρόσβαση σε κρίσιμα συστήματα μέσω πραγματοποιείται μέσω ασφαλών πρωτοκόλλων. 6.6 προνομιακών λογαριασμών πρέπει να Ελεγχόμενη πρόσβαση στον πηγαίο κώδικα Η πρόσβαση στον πηγαίο κώδικα πρέπει να ελέγχεται αυστηρά και να χορηγείται μόνο εάν προηγουμένως έχει εγκριθεί από τους αντίστοιχους ιδιοκτήτες πληροφοριών ή εάν υπάρχει νόμιμη ανάγκη. 6.7 Ανάπτυξη λογισμικού και διαχωρισμός πρόσβασης Συνιστάται οι χρήστες που συμμετέχουν στην ανάπτυξη και συντήρηση εφαρμογών να μην έχουν πλήρη πρόσβαση στο περιβάλλον παραγωγής των συστημάτων, εφόσον είναι εφικτό. Η πρόσβαση με δικαιώματα ανάγνωσης θα πρέπει να επιτρέπεται έτσι ώστε να διασφαλίζεται ότι τα περιστατικά ή/και τα προβλήματα των χρηστών αντιμετωπίζονται άμεσα. Συνιστάται, εφόσον είναι εφικτό, ο ρόλος του διαχειριστή και ο ρόλος του προγραμματιστή να μην συγκεντρώνονται στο ίδιο άτομο. 6.8 Πρόσβαση στους ηλεκτρονικούς υπολογιστές των εργαζομένων Η πρόσβαση των αρμόδιων στελεχών της Διεύθυνσης Ψηφιακής Διακυβέρνησης στον ηλεκτρονικό υπολογιστή (remote desktop) ενός εργαζόμενου για λόγους τεχνικής υποστήριξης, διενεργείται μόνο μετά από σχετικό αίτημα υποστήριξης του ίδιου του εργαζόμενου. 7 Διαχείριση κωδικών προνομιακών λογαριασμών 7.1 Πρόσβαση σε κωδικούς προνομιακών λογαριασμών Η πρόσβαση σε ευαίσθητα συστήματα πρέπει να παρέχεται μέσω της χρήσης ενός συστήματος διαχείρισης κωδικών πρόσβασης, όπου είναι εφικτό. Ένα τέτοιο σύστημα επιβάλλει τον έλεγχο ταυτότητας χρήστη χρησιμοποιώντας τα μοναδικά διαπιστευτήριά του. Το σύστημα πρέπει να καταγράφει την εγγραφή πρόσβασης του χρήστη για σκοπούς ελέγχου. 7.2 Δημιουργία έκτακτου διαχειριστικού λογαριασμού πρόσβασης σε κρίσιμα πληροφοριακά συστήματα για χρήση σε κατάσταση έκτακτης ανάγκης Για τα κρίσιμα πληροφοριακά συστήματα της ΕΕΤΤ, η απομακρυσμένη πρόσβαση θα πρέπει να γίνεται με χρήση μεθόδων αυξημένης ασφάλειας (ssh κλειδιών με passphrases για τα linux μηχανήματα και μηχανισμών πρόσβασης πολλαπλών παραγόντων (Multi-Factor Authentication ή MFA) για τα Windows συστήματα). Θα πρέπει, ωστόσο, να υπάρχει σε κάθε σύστημα ένας διαχειριστικός λογαριασμός έκτακτης ανάγκης (last resort) ο οποίος θα χρησιμοποιείται μόνο στην περίπτωση που η πρόσβαση με τα αυξημένα μέτρα δεν είναι εφικτή για κάποιο τεχνικό λόγο. Το συνθηματικό (password) του λογαριασμού αυτού θα αλλάζει μετά τη χρήση του και θα φυλάσσεται σε κρυπτογραφημένο αρχείο κωδικών. 8 Άλλα μέτρα ελέγχου πρόσβασης 8.1 Παρακολούθηση ασφάλειας συστημάτων Σύμφωνα με την ισχύουσα νομοθεσία, η ΕΕΤΤ διατηρεί το δικαίωμα, για λόγους ασφαλείας, να καταγράφει και να παρακολουθεί τις ενέργειες των χρηστών που χρησιμοποιούν τα πληροφοριακά συστήματά της. Λεπτομέρειες για τις σχετικές πολιτικές που εφαρμόζει και τις τεχνολογίες που χρησιμοποιεί για την παρακολούθηση της ασφάλειας, αναφέρονται στην Πολιτική Παρακολούθησης Ασφάλειας Συστημάτων. 8.2 Μη επιτηρούμενοι υπολογιστές και τερματικά Οι υπολογιστές και οι τερματικοί σταθμοί πρέπει να παραμένουν αποσυνδεδεμένοι ή να προστατεύονται με μηχανισμό κλειδώματος οθόνης και πληκτρολογίου που ελέγχεται από έναν κωδικό πρόσβασης, ένα διακριτικό ή παρόμοιο μηχανισμό ελέγχου ταυτότητας χρήστη, όταν δεν επιτηρούνται. 8.3 Αυτόματη αποσύνδεση από τα συστήματα Οι συνδέσεις (συμπεριλαμβανομένων των απομακρυσμένων συνδέσεων) σε συστήματα που έχουν παραμείνει ανενεργά για προκαθορισμένο χρονικό διάστημα πρέπει να τερματίζονται. Ο χρήστης/διαχειριστής πρέπει να είναι σε θέση να αποκαταστήσει τη σύνδεση μόνο μετά την πληκτρολόγηση ενός ονόματος χρήστη και ενός κωδικού πρόσβασης. Εξαιρούνται των ανωτέρω κανόνων παρακολούθησης για λόγους ασφαλείας. 8.4 τα συστήματα που βρίσκονται σε λειτουργία Σφάλματα ειδοποίησης στον έλεγχο ταυτότητας χρήστη Οι χρήστες/διαχειριστές πρέπει να ενημερώνονται μόνο για την αποτυχία της προσπάθειας σύνδεσης. Τα πληροφοριακά συστήματα δεν πρέπει να παρέχουν άλλες πληροφορίες (π.χ. τύπος συστήματος, έκδοση λειτουργικού, κλπ.). 8.5 Απαγόρευση εμφάνισης της τελευταίας σύνδεσης Κατά τη διάρκεια ελέγχου ταυτότητας, το σύστημα δεν πρέπει να εμφανίζει τον προηγούμενο λογαριασμό/όνομα χρήστη που χρησιμοποιήθηκε για την επιτυχή σύνδεση στο σύστημα. 9 Αναθεώρηση των δικαιωμάτων πρόσβασης 9.1 Αναθεώρηση των δικαιωμάτων πρόσβασης Οι λογαριασμοί χρηστών και τα δικαιώματα πρόσβασης σε κρίσιμα ή ευαίσθητα πληροφοριακά συστήματα πρέπει να επανεξετάζονται σε τακτική βάση (π.χ. εξαμηνιαίως) (Βλ. τη διαδικασία περιοδικής επισκόπησης προσβάσεων στο Εγχειρίδιο Διαδικασιών της ΕΕΤΤ). Στο πλαίσιο αυτό, η μη έγκαιρη απόκριση προϊσταμένου σε αίτημα του αρμόδιου στελέχους της Διεύθυνσης Ψηφιακής Διακυβέρνησης να ελεγχθούν οι προσβάσεις του προσωπικού της οργανικής μονάδας και να υποβληθούν ψηφιακά αιτήματα για τις απαιτούμενες αλλαγές εντός συγκεκριμένης προθεσμίας, θα εκλαμβάνεται, με ευθύνη του προϊσταμένου, ως μη ύπαρξη τέτοιων αλλαγών πρόσβασης. Τα προνόμια πρέπει να αναθεωρούνται εάν οι απαιτήσεις ή υπηρεσιακές ευθύνες / αρμοδιότητες αλλάζουν, έτσι ώστε να συνάδουν με τις πραγματικές υπηρεσιακές λειτουργίες. Οι εργαζόμενοι οφείλουν να ενημερώνουν του προϊσταμένους τους εφόσον διατηρούν επιπλέον δικαιώματα πρόσβασης από αυτά που απαιτούνται σύμφωνα με τις αρμοδιότητές τους. Οι προϊστάμενοι πρέπει να υποβάλλουν αμελλητί τα ψηφιακά αιτήματά τους για την αλλαγή προσβάσεων μέσω της εξειδικευμένης εφαρμογής διαχείρισης αιτημάτων υποστήριξης πληροφορικής, προκειμένου η Διεύθυνση Ψηφιακής Διακυβέρνησης να δρομολογεί τις απαραίτητες ενέργειες διεκπεραίωσης των αλλαγών. Επισημαίνεται ότι ο περιοδικός έλεγχος των δικαιωμάτων πρόσβασης είναι ένα από τα κρίσιμα πεδία κατά τους ελέγχους ασφάλειας πληροφοριών που πρέπει να διενεργείται σύμφωνα με την Πολιτική Διενέργειας Ελέγχων Ασφάλειας Πληροφοριών. 9.2 Μετακινήσεις ή αποχωρήσεις εργαζομένων Το Τμήμα Ανθρώπινου Δυναμικού πρέπει, με υποβολή ψηφιακού αιτήματος στην εξειδικευμένη εφαρμογή διαχείρισης αιτημάτων υποστήριξης πληροφορικής, να ενημερώνει τη Διεύθυνση Ψηφιακής Διακυβέρνησης για τις μακροχρόνιες ή οριστικές αποχωρήσεις ή τις μετακινήσεις εργαζομένων σε νέα θέση ή θέση προϊσταμένου, προκειμένου να γίνονται όλες οι απαραίτητες ενέργειες σχετικά με την αναθεώρηση των προνομίων λογικής πρόσβασης στα πληροφοριακά συστήματα της ΕΕΤΤ. (Βλ. στο Εγχειρίδιο Διαδικασιών της ΕΕΤΤ, τη διαδικασία εκτέλεσης εργασιών κατά την αποχώρηση, αλλαγή προσωπικού, καθώς και τη διαδικασία απόδοσης προσβάσεων κατά τη μετακίνηση υπαλλήλου σε νέα θέση ή θέση προϊσταμένου.) 9.3 Απενεργοποίηση και κατάργηση δικαιωμάτων πρόσβασης Στις περιπτώσεις που η υπηρεσιακή σχέση μεταξύ της ΕΕΤΤ και ενός υπαλλήλου ή ενός εξωτερικού συνεργάτη (π.χ. ασκούμενου δικηγόρου) διακόπτεται προσωρινά, λόγω μακροχρόνιας αποχώρησης, τότε πρέπει να απενεργοποιούνται τα δικαιώματα λογικής πρόσβασης σε εφαρμογές, κοινόχρηστους φακέλους, ομαδικά email και επίσης να απενεργοποιείται ο χρήστης από το VPN. Κατά τη μακροχρόνια αποχώρηση, το email του εργαζόμενου παραμένει ενεργό ενώ ρυθμίζεται η αυτόματη απόκριση που ειδοποιεί για την απουσία του (out-of-office auto-reply) και μειώνεται το όριο της χωρητικότητας του mailbox του. Εάν η αποχώρηση είναι οριστική, τότε οι λογαριασμοί χρήστη και τα δικαιώματα πρόσβασης πρέπει να απενεργοποιούνται ή καταργούνται κατάλληλα και να διαγράφεται το email του. (Βλ. στο Εγχειρίδιο Διαδικασιών της ΕΕΤΤ, τις διαδικασίες απενεργοποίησης προσβάσεων σε μακροχρόνια και σε οριστική αποχώρηση.) 9.4 Λήξη συνεργασίας με τρίτα μέρη Σε περίπτωση που σε κάποιο τρίτο μέρος ανατεθεί η εκτέλεση ενός έργου της ΕΕΤΤ, μετά την περάτωση αυτού, ο Ιδιοκτήτης Πληροφοριών πρέπει να ενημερώνει τη Διεύθυνση Ψηφιακής Διακυβέρνησης και τα λοιπά εμπλεκόμενα μέρη για τη λήξη της συνεργασίας, προκειμένου να ανακληθούν οι προσβάσεις στα πληροφοριακά συστήματα της ΕΕΤΤ. 10 Απομακρυσμένη πρόσβαση 10.1 Αρχές απομακρυσμένης πρόσβασης Η απομακρυσμένη πρόσβαση στο δίκτυο της ΕΕΤΤ πρέπει να υλοποιείται με τέτοιο τρόπο, ώστε: 10.2  Να παρέχεται μόνο όταν έχουν ληφθεί τα απαιτούμενα μέτρα ασφαλείας.  Να περιορίζεται στις ελάχιστες υπηρεσίες, συστήματα, λειτουργίες και πληροφορίες που απαιτούνται για την εκτέλεση της εκάστοτε υπηρεσιακής διαδικασίας.  Να χρησιμοποιείται μόνο από συγκεκριμένους εξουσιοδοτημένους χρήστες.  Να χρησιμοποιούνται μόνο εγκεκριμένα προϊόντα και υπηρεσίες.  Η πρόσβαση στο δίκτυο να περιορίζεται μόνο στα απαιτούμενα εσωτερικά πληροφοριακά συστήματα.  Οι απομακρυσμένες επικοινωνίες να είναι κρυπτογραφημένες. Στόχοι Μηχανισμών Απομακρυσμένης Πρόσβασης Όλοι οι μηχανισμοί ελέγχου απομακρυσμένης πρόσβασης της ΕΕΤΤ έχουν τουλάχιστον τους ακόλουθους στόχους: 10.3  Υποστήριξη μόνο έμμεσης πρόσβασης σε εσωτερικά συστήματα πληροφοριών ή / και συσκευές δικτύου της ΕΕΤΤ (π.χ. μέσω μηχανισμών ασφαλείας, όπως αναχωμάτων ασφαλείας, μηχανισμών VPN κ.λπ.)  Έλεγχος ταυτότητας χρηστών μόνο βάσει ενός σχήματος ελέγχου ταυτότητας δύο παραγόντων (two factor authentication), το οποίο απαιτεί δύο διαφορετικές μορφές ταυτοποίησης για την πρόσβαση. Προσθέτει, δηλαδή, ένα επιπλέον επίπεδο επαλήθευσης πέρα από τον απλό κωδικό πρόσβασης, όπως την επαλήθευση μέσω ειδικής εφαρμογής στο κινητό τηλέφωνο. Εμπιστευτικότητα των πληροφοριών πρόσβασης Οι πληροφορίες σχετικά με την πρόσβαση των χρηστών σε πληροφοριακά συστήματα, όπως οι διευθύνσεις IP (Internet Protocol Address), οι διευθύνσεις URL (Uniform Resource Locator), θεωρούνται πληροφορίες μόνο για εσωτερική χρήση. Αυτού του είδους οι πληροφορίες δεν αποκαλύπτονται σε τρίτα μέρη για κανένα λόγο, εκτός εάν απαιτείται από τη νομοθεσία. 10.4 Επιλογή και χρήση μηχανισμών ελέγχου ασφάλειας απομακρυσμένης πρόσβασης Σε περιπτώσεις που παρέχεται απομακρυσμένη πρόσβαση στους χρήστες, χρησιμοποιούνται τουλάχιστον οι ίδιοι μηχανισμοί ασφαλείας, με αυτούς που χρησιμοποιούνται για την πρόσβαση στο εσωτερικό δίκτυο της ΕΕΤΤ. Η επιλογή των κατάλληλων μηχανισμών ασφαλείας γίνεται μόνο μετά από ανάλυση των σχετικών κινδύνων. Η ισχύς των μηχανισμών αυτών είναι ανάλογη με το επίπεδο κρισιμότητας των δεδομένων και κατ’ επέκταση του συστήματος που αυτά τα δεδομένα περιέχονται και στο οποίο παρέχεται η απομακρυσμένη πρόσβαση. 10.5 Περιορισμοί απομακρυσμένης πρόσβασης Η απομακρυσμένη πρόσβαση στα πληροφοριακά συστήματα της ΕΕΤΤ γίνεται σύμφωνα με τις σχετικές διαδικασίες και τα πρότυπα πρόσβασης της ΕΕΤΤ. Ειδικότερα, προκειμένου για την τηλεργασία του προσωπικού της ΕΕΤΤ, ισχύει η Πολιτική Τηλεργασίας και Φορητών Συσκευών. 10.6 Υποδομή περιβάλλοντος χρήστη Η απομακρυσμένη πρόσβαση υλοποιείται αποκλειστικά μέσω των ελεγχόμενων υποδομών περιβάλλοντος χρήστη (π.χ. terminal services, κτλ.), οι οποίες έχουν διαμορφωθεί έτσι ώστε να παρέχουν πρόσβαση μόνο στις απαιτούμενες υπηρεσίες και πληροφοριακά συστήματα. 10.7 Έλεγχοι ασφάλειας Υπάρχει κατάλληλη υποδομή ασφαλείας που διασφαλίζει ότι οι “hosts” (π.χ. φορητοί υπολογιστές κτλ.) που συνδέονται απομακρυσμένα στο δίκτυο της ΕΕΤΤ ελέγχονται πριν αποκτήσουν πρόσβαση στα στοιχεία του δικτύου (π.χ. μέσω χρήσης ενημερωμένου antivirus, εγκατάστασης ενημερώσεων ασφαλείας κτλ.). 10.8 Εποπτεία και λογοδοσία Οι δραστηριότητες των χρηστών κατά την απομακρυσμένη πρόσβασή τους πρέπει να καταγράφονται στο μέγιστο βαθμό. Πιο συγκεκριμένα, καταγράφονται τα ακόλουθα, όπου αυτό είναι εφικτό: 10.9  Οι επιτυχείς και ανεπιτυχείς προσπάθειες πρόσβασης στα συστήματα.  Οι δραστηριότητες των χρηστών στο περιβάλλον «ελεγχόμενου χρήστη», εάν χρησιμοποιείται.  Οι δραστηριότητες των χρηστών στα προσβάσιμα συστήματα. Ευθύνες χρήστη Όλοι οι χρήστες που συνδέονται σε εσωτερικά δίκτυα της ΕΕΤΤ μέσω μηχανισμών απομακρυσμένης πρόσβασης χρησιμοποιούν ενημερωμένο λογισμικό antivirus και antispyware, καθώς και firewall. Οι χρήστες, επίσης, υποχρεούνται να συμμορφώνονται με την Πολιτική Ασφαλείας της ΕΕΤΤ. 11 Λογαριασμοί βάσης δεδομένων και απαιτήσεις κωδικών πρόσβασης 11.1 Κωδικοί hard-coded Οι κωδικοί που έχουν κωδικοποιηθεί “hard coded”, δηλαδή είναι ενσωματωμένοι απευθείας στον πηγαίο κώδικα μιας εφαρμογής, πρέπει να αποφεύγονται, προκειμένου να μην υπάρχει ο κίνδυνος αποκάλυψής τους και μη εξουσιοδοτημένης τροποποίησής τους. 11.2 Προκαθορισμένοι λογαριασμοί Οι προκαθορισμένοι λογαριασμοί διαχείρισης και οι κωδικοί πρόσβασης σε εφαρμογές/βάσεις δεδομένων πρέπει να μετονομάζονται και να τροποποιούνται αντίστοιχα, πριν από την εγκατάσταση της εφαρμογής στο περιβάλλον παραγωγής. 11.3 Δικαιώματα αρχείων και καταλόγου Οι διαχειριστές της ΕΕΤΤ πρέπει να διασφαλίζουν ότι τα κρίσιμα αρχεία των βάσεων δεδομένων και οι κατάλογοι δεν είναι προσβάσιμα από απλούς χρήστες και τα σχετικά δικαιώματα ελέγχονται τακτικά. 11.4 Αποθήκευση κωδικών πρόσβασης Οι βάσεις δεδομένων δεν πρέπει να περιέχουν διαπιστευτήρια χρήστη (π.χ. κωδικούς πρόσβασης). Εάν όμως κωδικοί πρόσβασης αποθηκεύονται σε μία βάση δεδομένων (λόγω του ότι επιχειρησιακά δεν μπορεί να υποστηριχθεί άλλη μέθοδος), τότε θα πρέπει να ισχύουν τα εξής: 11.5  Κάθε κωδικός πρόσβασης θα πρέπει να έχει κατακερματιστεί (με βάση έναν ασφαλή αλγόριθμο κατακερματισμού).  Μόνο τα αποτελέσματα της διαδικασίας κατακερματισμού θα πρέπει να αποθηκευτούν στη βάση δεδομένων.  Μόνο οι εξαιρετικά προνομιακοί χρήστες θα πρέπει να έχουν πρόσβαση στους κωδικούς πρόσβασης. Απομακρυσμένη πρόσβαση στη βάση δεδομένων Οι απομακρυσμένες συνδέσεις σε διακομιστές βάσης δεδομένων (database servers) από διαχειριστές με τη χρήση λογισμικού ή μηχανισμών που υποστηρίζονται από ασθενή πρωτόκολλα ελέγχου ταυτότητας και κρυπτογράφησης απαγορεύονται, δεδομένου ότι τα διαπιστευτήρια διαχείρισης μπορεί να διαβιβαστούν από ένα μη ασφαλές κανάλι επικοινωνίας και να χρησιμοποιηθούν από κάποιον κακόβουλο χρήστη που θα θέσει σε κίνδυνο τον διακομιστή της βάσης δεδομένων. Για να διασφαλιστούν οι υποστηριζόμενοι σύνοδοι (sessions) διαχείρισης, η απομακρυσμένη πρόσβαση σε διακομιστές των βάσεων δεδομένων πρέπει να εφαρμόζεται μόνο όταν: 11.6  Έχει εφαρμοστεί ισχυροποίηση του επιπέδου ασφάλειας του διακομιστή σύμφωνα με τα τεχνικά πρότυπα και τις οδηγίες της ΕΕΤΤ.  Το λειτουργικό σύστημα του διακομιστή της βάσης δεδομένων έχει υποστεί ισχυροποίηση του επιπέδου ασφάλειας μέσω των τελευταίων ενημερώσεων κώδικα που παρέχονται από τον προμηθευτή.  Γίνεται χρήση μηχανισμών/πρωτοκόλλων κρυπτογράφησης (π.χ. SSH, SSL, RD μέσω SSH κτλ.). Απαιτήσεις πολιτικής κωδικού πρόσβασης βάσης δεδομένων Οι κωδικοί πρόσβασης των βάσεων δεδομένων πρέπει να συμμορφώνονται με τα πρότυπα ασφάλειας της ΕΕΤΤ (όπως αυτά περιέχονται στην Πολιτική Ασφαλείας της ΕΕΤΤ) όσον αφορά τα χαρακτηριστικά τους, όπως το μήκος, την πολυπλοκότητα, το ιστορικό, το λεκτικό και την περίοδο ισχύος. 12 Πρόσθετα θέματα ελέγχου πρόσβασης 12.1 Πρόσβαση σε κοινόχρηστο λογαριασμό Μόνο εξουσιοδοτημένοι χρήστες πρέπει να έχουν πρόσβαση στους κοινόχρηστους λογαριασμούς της ΕΕΤΤ. Ο ηλεκτρονικός κατάλογος των χρηστών που είναι εξουσιοδοτημένοι για πρόσβαση στους κοινόχρηστους λογαριασμούς πρέπει να είναι πάντα διαθέσιμος και ενημερωμένος, να φυλάσσεται από τον Ιδιοκτήτη των Πληροφοριών και να υποβάλλεται σε τακτική αξιολόγηση από τον Υπεύθυνο Ασφάλειας Πληροφοριακών Συστημάτων της ΕΕΤΤ. 12.2 Έλεγχοι και ανάλυση κινδύνου Στις περιπτώσεις που χρησιμοποιούνται κοινόχρηστοι λογαριασμοί στα πληροφοριακά συστήματα της ΕΕΤΤ, θα πρέπει να εφαρμόζονται αντισταθμιστικοί έλεγχοι για τον περιορισμό των σχετικών κινδύνων. Η επιλογή και η χρήση αυτών των ελέγχων πρέπει να εξετάζονται από την ΕΕΤΤ κατά τη διαδικασία ανάλυσης κινδύνων. Οποιοσδήποτε σχετικός έλεγχος χρησιμοποιείται, πρέπει να προσδιορίζεται και να αναγράφεται σε σχετικό κατάλογο. 12.3 Έλεγχος πρόσβασης στα αντίγραφα ασφαλείας Η ΕΕΤΤ υλοποιεί κατάλληλα μέτρα για τον έλεγχο της φυσικής και λογικής πρόσβασης στα αντίγραφα ασφαλείας, σε αντιστοιχία με το σχήμα ταξινόμησης των πληροφοριακών πόρων. 13 Πρόσθετα θέματα ελέγχου απομακρυσμένης πρόσβασης 13.1 Απομακρυσμένη πρόσβαση εξωτερικών συνεργατών Οι εξωτερικοί συνεργάτες με απομακρυσμένη πρόσβαση σε πόρους της ΕΕΤΤ (για σκοπούς διαχείρισης, για ανάπτυξη ή συντήρηση ή για οποιονδήποτε άλλο σκοπό) πρέπει να επικυρώνονται με τη χρήση ενός ισχυρού μηχανισμού επαλήθευσης ταυτότητας (π.χ. ταυτοποίησης με κωδικό μιας χρήσης (One-Time Password / OTP)1 ή μέσω ειδοποίησης (push notification)2). Η διαδικασία σύνδεσης τρίτου μέρους στα συστήματα της ΕΕΤΤ αποτελεί αντικείμενο και παρουσιάζεται στην Πολιτική Διαχείρισης Τρίτων Μερών. 13.2 Αναθεώρηση δικαιωμάτων απομακρυσμένης πρόσβασης Τα δικαιώματα των χρηστών για απομακρυσμένη πρόσβαση σε κρίσιμα ή ευαίσθητα πληροφοριακά συστήματα της ΕΕΤΤ πρέπει να ελέγχονται τουλάχιστον μία φορά το εξάμηνο. 1 One-Time Password ή OTP είναι ένας μοναδικός κωδικός πρόσβασης που ισχύει μόνο για μία περίοδο σύνδεσης ή συναλλαγή. Δηλαδή αλλάζει αυτόματα κάθε φορά που χρησιμοποιείται, σε αντίθεση με τους παραδοσιακούς κωδικούς πρόσβασης που παραμένουν στατικοί έως ότου αλλάξουν χειροκίνητα από το χρήστη. 2 Push notification authentication είναι ο μηχανισμός που επαληθεύει την ταυτότητα ενός χρήστη στέλνοντας μια ειδοποίηση σε μια κινητή συσκευή, την οποία ο χρήστης μπορεί να εγκρίνει ή να αρνηθεί να παραχωρήσει πρόσβαση, παρακάμπτοντας την ανάγκη πληκτρολόγησης κωδικών πρόσβασης ή κωδικών μίας χρήσης. 14 Αλλαγές στην Πολιτική Διαχείρισης Λογικής Πρόσβασης Η ΕΕΤΤ αξιολογεί και επικαιροποιεί σε περιοδική βάση το σύνολο των πολιτικών και διαδικασιών που αφορούν στον έλεγχο πρόσβασης, ιδίως όταν λαμβάνουν χώρα σημαντικές αλλαγές στις λειτουργίες της ή στις τεχνολογικές εξελίξεις ή προκύπτουν μεταβολές στο περιβάλλον των κυβερνοαπειλών. » 2. Εντέλλεται την κοινοποίηση της παρούσας Απόφασης στο προσωπικό της ΕΕΤΤ μέσω ανάρτησής της στη Γνωσιακή Πύλη (portal) και αποστολής της με μήνυμα ηλεκτρονικού ταχυδρομείου. 3. Ορίζει ότι η «Πολιτική Διαχείρισης Λογικής Πρόσβασης» πρέπει να εφαρμόζεται υποχρεωτικά και απαρέγκλιτα από το προσωπικό της ΕΕΤΤ. 4. Εξουσιοδοτεί τον Πρόεδρο της ΕΕΤΤ όπως:  Προβεί σε κάθε διαδικαστική ενέργεια ή έκδοση πράξης, που θα διευκολύνει την έγκαιρη και πλήρη ολοκλήρωση κάθε δράσης που αφορά στην εφαρμογή της «Πολιτικής Διαχείρισης Λογικής Πρόσβασης».  Τροποποιεί την «Πολιτική Διαχείρισης Λογικής Πρόσβασης», όποτε αυτό απαιτείται. Ο ΠΡΟΕΔΡΟΣ ΚΑΘΗΓΗΤΗΣ ΚΩΝΣΤΑΝΤΙΝΟΣ ΜΑΣΣΕΛΟΣ