Αρχική Ανοιχτή δημόσια διαβούλευση για τη Βίβλο Ψηφιακού Μετασχηματισμού 2020-20258.5. ΚυβερνοασφάλειαΣχόλιο του χρήστη Βαρθαλίτης Άγγελος | 3 Δεκεμβρίου 2020, 23:33
  • Σχόλιο του χρήστη 'Βαρθαλίτης Άγγελος' | 3 Δεκεμβρίου 2020, 23:33

    Ανάπτυξη ολοκληρωμένου συστήματος – πλαισίου διαχείρισης κυβερνοασφάλειας Η πρότασή μου για την ανάπτυξη ενός ολοκληρομένου συστήματος είναι χρήση υπαρχόντων πλαισίων όπως το NIST καθώς αφορά κυβερνητικές αλλα κι ιδιωτικές υπηρεσίες σε συνδιασμό με ISO27xxx. Κατά την άποψή μου δε χρειάζεται να δημιουργηθεί εξ'αρχής ένα ειδικό πλαίσιο. Δράσεις υποστήριξης για την αναβάθμιση των συστημάτων και των δυνατοτήτων ασφάλειας κρίσιμων υποδομών Οι δράσεις πρέπει να είναι σχετικές με ένα αρχικό vulnerability and risk assessment (για παράδειγμα την χρήση TLS σε ΟΛΑ τα κυβερνητικά sites κλπ). Με αυτό τον τρόπο θα μπορέσετε να διαχειριστείτε συγκεκριμένα προβλήματα στην αρχή ώστε να εμπίπτουν στο Πλαίσιο Διαχείρησης Κυβερνοασφάλειας. Έλεγχος τρωτότητας (Penetration Testing) των ιστοτόπων και των δικτύων των Κυβερνητικών Οργανισμών και των κρίσιμων υποδομών της χώρας Security by design και Pentest σε περιβάλλον Pre-Production σε ΚΑΘΕ νέο webapp, η MobileApp το οποίο έχει public exposure. Ανάπτυξη και τήρηση Μητρώου-αποθετηρίου (Asset Registry) δικτύων, υλικού, συσκευών, συστημάτων και πληροφοριακών αγαθών των κρίσιμων υποδομών της χώρας Αυτοματοποιημένο και συνδεδεμένο με τις οικονομικές υπηρεσίες, την υπηρεσία κυβερνοασφάλειας, την υπηρεσία προσωπικού και τις τεχνικές ομάδες οι οποίες χειρίζονται προβλήματα στον εξοπλισμό για τον πλήρη έλεγχο κατα την εισοδο, εργασία κι έξοδο εργαζομένων αλλά και εξοπλισμού (on maintenance, damage). Είναι σωστή η εγκατάσταση agent για την ειδοποίηση του SOC (security operations center) σε περίπτωση επίθεσης στο asset (SIEM solution κι EDR) Αναγκαία η ίδρυση SOC για incident και crisis management. Απαραίτητος ο έλεγχος όλων των websites με εργαλείο το οποίο ελέγχει κάνει καθημερινό assessment σύμφωνα με OWASP, DarkWeb notifications. Όσον αφορά το KYC, οι καλύτεροι οργανισμοί αυτοί τη στιγμή είναι οι τράπεζες (πρόσφατα ενημερωμένα KYC DBs), υπάρχουν συστήματα τα οποία μπορούν να συνδέσουν το τραπεζικό KYC DB με κυβερνητικά συστήματα για την είσοδο κι υπογραφή εγγράφων απο τους πολίτες. Σε διαφορετική περίπτωση η είσοδος σε κυβερνητικές σελίδες πρέπει να υποστηρίζουν MFA (app, token, etc αλλα οχι SMS - βλεπε SIM Swapping).