Πολιτική Ασφάλειας Δικτύου

Η Πολιτική Ασφάλειας Δικτύου (Έγγραφο P21) αναπτύχθηκε για να θεσπίσει αυστηρούς ελέγχους τόσο στα εσωτερικά όσο και στα εξωτερικά δίκτυα του οργανισμού, παρέχοντας προστασία έναντι μη εξουσιοδοτημένης πρόσβασης, διακοπής υπηρεσιών, υποκλοπής δεδομένων και κακής χρήσης. Οι κύριοι στόχοι της περιλαμβάνουν τη διασφάλιση της εμπιστευτικότητας, ακεραιότητας και διαθεσιμότητας των δεδομένων κατά τη μεταφορά και σε κατάσταση αποθήκευσης, ενώ ευθυγραμμίζεται στενά με βασικές κανονιστικές και προτυποποιητικές απαιτήσεις όπως ISO/IEC 27001:2022, GDPR Άρθρο 32, Οδηγία NIS2, DORA και COBIT 2019. Η παρούσα πολιτική εφαρμόζεται παγκοσμίως σε όλες τις υποδομές δικτύου, συμπεριλαμβανομένων φυσικών, εικονικών, υπολογιστικού νέφους και υβριδικών περιβαλλόντων. Περιλαμβάνει δρομολογητές, μεταγωγείς, τείχη προστασίας, δίκτυα στο υπολογιστικό νέφος, συστήματα Εικονικού Ιδιωτικού Δικτύου (VPN), καθώς και υποστηρικτικές υπηρεσίες όπως DNS και διακομιστές proxy στο συνολικό πεδίο εφαρμογής της. Τόσο το εσωτερικό προσωπικό όσο και οι τρίτοι πάροχοι υπηρεσιών που αλληλεπιδρούν με αυτά τα δίκτυα δεσμεύονται από τις απαιτήσεις που ορίζονται. Σημαντικά χαρακτηριστικά της πολιτικής περιλαμβάνουν υποχρεωτική τμηματοποίηση δικτύου, ρητά πρωτόκολλα διαμόρφωσης τείχους προστασίας, πρότυπα ασφαλούς δρομολόγησης και συνεχή κεντρική παρακολούθηση και καταγραφή ελέγχου των δραστηριοτήτων δικτύου. Η διακυβέρνηση είναι σαφώς δομημένη, υποχρεώνοντας ρόλους όπως ο Επικεφαλής Ασφάλειας Πληροφοριών (CISO), ο Υπεύθυνος Ασφάλειας Δικτύου, το Κέντρο Επιχειρήσεων Ασφάλειας (SOC), οι Λειτουργίες Πληροφορικής και οι προμηθευτές τρίτων μερών να τηρούν καθορισμένες αρμοδιότητες για ασφαλή σχεδιασμό δικτύου, επιχειρησιακή παρακολούθηση, διαχείριση αλλαγών και αντιμετώπιση περιστατικών. Η πολιτική θέτει προσδοκίες όχι μόνο για τη συνήθη διαχείριση δικτύου, αλλά και για τον χειρισμό εξαιρέσεων, όπως εξαρτήσεις από παλαιά συστήματα, μέσω ελεγχόμενης διαδικασίας έγκρισης με εκτίμηση κινδύνου. Όλες οι εγκρίσεις εξαιρέσεων καταχωρίζονται στο Σύστημα Διαχείρισης Ασφάλειας Πληροφοριών με αυστηρό κύκλο ανασκόπησης 90 ημερών, διασφαλίζοντας ότι δεν παραβλέπονται μακροχρόνιες ευπάθειες. Για την ελαχιστοποίηση των επιφανειών επίθεσης και την κάλυψη των υποχρεώσεων συμμόρφωσης, η πολιτική ορίζει ότι όλα τα δίκτυα ορίων πρέπει να προστατεύονται με τείχη προστασίας επόμενης γενιάς με επιθεώρηση κατάστασης, φιλτράρισμα εφαρμογών και πρόληψη εισβολών. Τα εσωτερικά δίκτυα πρέπει να τμηματοποιούνται μεταξύ περιβάλλοντος παραγωγής, ανάπτυξης, χρηστών και περιοχών επισκεπτών, χρησιμοποιώντας τείχη προστασίας και Εικονικά Τοπικά Δίκτυα (VLANs) για την επιβολή αυστηρού ελέγχου πρόσβασης. Οι λύσεις Εικονικού Ιδιωτικού Δικτύου (VPN) και απομακρυσμένης πρόσβασης πρέπει να χρησιμοποιούν κρυπτογράφηση και πολυπαραγοντικό έλεγχο ταυτότητας, ενώ τα ασύρματα δίκτυα απαιτείται να υιοθετούν πρωτόκολλα ασφάλειας επιπέδου επιχείρησης και διαχωρισμό επισκεπτών. Τα υβριδικά περιβάλλοντα και το υπολογιστικό νέφος δεν εξαιρούνται: οι κανόνες ομάδων ασφάλειας, οι ελεγχόμενοι σύνδεσμοι VPN και οι ρυθμίσεις τείχους προστασίας εγγενείς στο υπολογιστικό νέφος πρέπει να διαχειρίζονται αυστηρά. Για παρακολούθηση και ανίχνευση, η συνεχής καταγραφή ελέγχου σε κεντρικό SIEM, η ανίχνευση ανωμαλιών μέσω NDR και οι καθορισμένες περίοδοι διατήρησης αρχείων καταγραφής αποτελούν βασικές απαιτήσεις. Οι περιοδικές ανασκοπήσεις πολιτικής και οι έλεγχοι είναι υποχρεωτικοί και ενεργοποιούνται από νέες απειλές, αλλαγές δικτύου, κανονιστικές ενημερώσεις ή ευρήματα ελέγχου. Η μη συμμόρφωση, συμπεριλαμβανομένης της σκόπιμης παράκαμψης ελέγχων ασφάλειας, οδηγεί σε πειθαρχικά μέτρα, συμβατικές κυρώσεις ή αναφορά παραβίασης σύμφωνα με τους κανονισμούς. Τέλος, η Πολιτική Ασφάλειας Δικτύου προσδιορίζει επίσης τις διασυνδέσεις της με άλλες κρίσιμες πολιτικές του οργανισμού, συμπεριλαμβανομένων πολιτικών θεμελιώδους ασφάλειας, ελέγχου πρόσβασης, διαχείρισης αλλαγών, διαχείρισης περιουσιακών στοιχείων, καταγραφής ελέγχου και αντιμετώπισης περιστατικών, για μια προσέγγιση άμυνας σε βάθος.