Πολιτική Ασφαλών Επικοινωνιών και Πολυπαραγοντικού Ελέγχου Ταυτότητας

Η Πολιτική Ασφαλών Επικοινωνιών και Πολυπαραγοντικού Ελέγχου Ταυτότητας (MFA) θεσπίζει ολοκληρωμένους ελέγχους για τη διασφάλιση των επικοινωνιών του οργανισμού και της πρόσβασης χρηστών, σε ευθυγράμμιση με αυστηρά ρυθμιστικά και κλαδικά πρότυπα. Κύριος σκοπός της είναι να διασφαλίζει την εμπιστευτικότητα και την ακεραιότητα των πληροφοριών που μεταδίδονται μέσω όλων των καναλιών επικοινωνίας, συμπεριλαμβανομένων φωνής, βίντεο, κειμένου και συστημάτων έκτακτης ανάγκης, επιβάλλοντας προηγμένες διαδικασίες αυθεντικοποίησης σύμφωνα με το NIS2 Άρθρο 21(2)(j). Εφαρμόζεται σε όλους τους εργαζομένους, αναδόχους και εξωτερικά μέρη και επιβάλλει την αποκλειστική χρήση εγκεκριμένων από τον οργανισμό και κρυπτογραφημένων εργαλείων επικοινωνίας για ευαίσθητες ή επιχειρησιακές πληροφορίες. Οι απαιτήσεις αυτές επεκτείνονται στα συστήματα ειδοποίησης έκτακτης ανάγκης, διασφαλίζοντας ότι ακόμη και κατά τη διάρκεια κρίσεων, η επικοινωνία παραμένει ασφαλής, ανθεκτική και διαθέσιμη. Οι συντονιστές απόκρισης έκτακτης ανάγκης έχουν άμεσο ρόλο τόσο στις περιοδικές δοκιμές και επικύρωση αυτών των συστημάτων όσο και στην εκπαίδευση του προσωπικού για τη σωστή και ασφαλή χρήση τους. Κρίσιμος στόχος της πολιτικής είναι η επιβολή πολυπαραγοντικού ελέγχου ταυτότητας για κάθε πρόσβαση σε δίκτυο και σύστημα, ιδίως για προνομιούχους λογαριασμούς και απομακρυσμένη πρόσβαση. Οι κάτοχοι προνομιούχων λογαριασμών πρέπει να χρησιμοποιούν ξεχωριστά μοναδικά διαπιστευτήρια που επιβάλλουν πάντα πολυπαραγοντικό έλεγχο ταυτότητας ή συνεχή αυθεντικοποίηση, και κάθε κλιμάκωση πρόσβασης είναι αυστηρά χρονικά περιορισμένη και υπό παρακολούθηση. Εάν τεχνικοί περιορισμοί εμποδίζουν την άμεση υλοποίηση πολυπαραγοντικού ελέγχου ταυτότητας ή κρυπτογράφησης, όπως περιορισμοί παλαιών συστημάτων ή επιχειρησιακές διακοπές, απαιτούνται αντισταθμιστικοί έλεγχοι, όπως ενισχυμένη παρακολούθηση συστημάτων ή προσωρινοί περιορισμοί θυρών, με όλες τις εξαιρέσεις να εγκρίνονται επίσημα από τον Επικεφαλής Ασφάλειας Πληροφοριών (CISO) και να υπόκεινται σε τριμηνιαία ανασκόπηση. Η πολιτική επιβάλλει επίσης αυστηρά προγράμματα ευαισθητοποίησης και εκπαίδευση για όλους τους χρήστες, τόσο κατά τη διαδικασία ένταξης όσο και ετησίως στη συνέχεια. Οι συνεδρίες αυτές, με αυξημένη έμφαση για ευαίσθητους ρόλους όπως διαχειριστές και στελέχη, διασφαλίζουν ότι το προσωπικό μπορεί να διακρίνει ασφαλή από ανασφαλή κανάλια, να κατανοεί τις τακτικές κοινωνικής μηχανικής και επιθέσεις ηλεκτρονικού ψαρέματος και να χρησιμοποιεί σωστά τα εργαλεία ασφαλών επικοινωνιών. Πέρα από τη διαδικασία ένταξης, παρέχεται στοχευμένη κατάρτιση για χρήστες με αυξημένα επίπεδα κινδύνου, με έμφαση σε προηγμένες μεθόδους αυθεντικοποίησης και στους ιδιαίτερους κινδύνους που σχετίζονται με τις επικοινωνίες έκτακτης ανάγκης. Για τη διασφάλιση της συνεχούς συμμόρφωσης, διενεργούνται συνεχής παρακολούθηση της συμμόρφωσης και ετήσιοι έλεγχοι όλων των συστημάτων αυθεντικοποίησης και επικοινωνίας. Κάθε χρήστης που επιχειρεί να παρακάμψει τις πολιτικές ή να χρησιμοποιήσει μη εγκεκριμένα εργαλεία ή μη ασφαλείς μεθόδους επικοινωνίας, υπόκειται σε πειθαρχικά μέτρα, συμπεριλαμβανομένης πιθανής απόλυσης. Οι ομάδες Πληροφορικής και Ασφάλειας Πληροφοριών διατηρούν την ευθύνη για την παρακολούθηση των αρχείων καταγραφής και την επιβολή ασφαλών προεπιλεγμένων ρυθμίσεων διαμόρφωσης, ενώ οι διαδικασίες ελέγχου επαληθεύουν τη συνεχή ευθυγράμμιση με τις υποχρεώσεις πολιτικής και τις ρυθμιστικές υποχρεώσεις. Η παρούσα πολιτική παρέχει έτσι μια πολυεπίπεδη, ολοκληρωμένη προσέγγιση για την προστασία των περιουσιακών στοιχείων πληροφοριών του οργανισμού, ενσωματώνοντας στενά ελέγχους τόσο για ασφαλείς επικοινωνίες όσο και για αυθεντικοποίηση πρόσβασης, σε πλήρη ευθυγράμμιση με οδηγίες όπως το NIS2, το ISO/IEC 27001:2022 και συναφή πλαίσια.