Οι κινητές συσκευές, όπως τα smartphones και τα tablet, είναι σημαντικά εργαλεία για τον οργανισμό και ο Δήμου Χερσονήσου (ΔΧ) υποστηρίζει τη χρήση τους για την επίτευξη επιχειρηματικών στόχων.
Όταν χρησιμοποιείτε κινητό εξοπλισμό υπολογιστών (φορητούς υπολογιστές, tablet κ.λπ.) απαιτείται ιδιαίτερη προσοχή για τη διασφάλιση της προστασίας των ευαίσθητων πληροφοριών.
Η τηλεργασία χρησιμοποιεί τις τεχνολογίες τηλεπικοινωνιών για να μπορεί το προσωπικό να εργάζεται εκτός των εγκαταστάσεων. Η τηλεργασία πρέπει να εγκρίνεται και να ελέγχεται από τη διοίκηση και προϋποθέτει ότι πληρούνται οι κατάλληλες προϋποθέσεις και απαιτήσεις.
Σημείωση: Η χρήση κινητών συσκευών και η τηλεργασία γενικά ΔΕΝ επιτρέπεται. Εάν ο υπεύθυνος ασφαλείας πληροφοριών του Δήμου Χερσονήσου (ΔΧ) εγκρίνει τη χρήση κινητών συσκευών και τηλεργασίας, τότε αυτή η πολιτική θα πρέπει να ακολουθηθεί.
Όλες οι κινητές συσκευές, είτε ανήκουν στο ΔΧ ή ανήκουν σε υπαλλήλους, συμπεριλαμβανομένων των smartphone και των υπολογιστών tablet, που έχουν πρόσβαση σε εταιρικά δίκτυα, δεδομένα και συστήματα διέπονται από αυτήν την πολιτική ασφάλειας κινητών συσκευών.
Η πολιτική αυτή καλύπτει τις ακόλουθες πτυχές ασφάλειας της κινητής πληροφορικής και της τηλεργασίας:
Ο υπεύθυνος ασφάλειας πληροφοριών του ΔΧ έχει τη συνολική ευθύνη για τη δημιουργία των ελέγχων ασφαλείας για κινητές συσκευές που ανήκουν ή παρέχονται από το ΔΧ και πρέπει να :
Το προσωπικό του ΔΧ θα πρέπει να συμμορφώνεται με αυτήν την πολιτική. Οι διευθυντές του ΔΧ θα πρέπει να διασφαλίζουν ότι η πολιτική εφαρμόζεται από όλους τους υπαλλήλους των υπηρεσιών τους και να ενημερώνουν τον Υπεύθυνο Ασφάλειας Πληροφοριών για οποιοδήποτε περιστατικό ή αδυναμία ασφαλείας που σχετίζεται με τις κινητές συσκευές και την τηλεργασία.
Ο ΔΧ πρέπει να εφαρμόζει συνδυασμό ειδικών ελέγχων ασφαλείας για τον κινητό εξοπλισμό πληροφορικής / τηλεργασίας βασισμένο :
Ως εκ τούτου, η στρατηγική ασφάλειας του εξοπλισμού κινητής πληροφορικής / τηλεργασίας τοθ ΔΧ θα πρέπει να εξετάσει το ενδεχόμενο ενσωμάτωσης μηχανισμών και πρακτικών ασφαλείας, όπως οι ακόλουθες:
Πρέπει να υπάρχει μηχανισμός ασφαλείας / υποδομή για να εξασφαλίζεται ότι εφαρμόζονται διάφοροι έλεγχοι ασφαλείας πριν επιτραπεί η πρόσβαση στο εταιρικό δίκτυο για σκοπούς τηλεργασίας. Πιο συγκεκριμένα, κατά τη διάρκεια της απομακρυσμένης σύνδεσης του εξοπλισμού κινητής πληροφορικής / τηλεργασίας με το εταιρικό δίκτυο, πρέπει να ελέγχονται τα ακόλουθα, κατά περίπτωση:
Η εσωτερική ή εξωτερική απομακρυσμένη πρόσβαση σε εταιρικούς πόρους δικτύου πρέπει να επιτρέπεται μόνο εάν ο κινητός εξοπλισμός πληροφορικής / τηλεργασίας είναι σύμφωνος με τους παραπάνω κανόνες και πρέπει να εκτελείται σύμφωνα με το σχετικό ISMSP-02 Πολιτική Ελέγχου Πρόσβασης και διαδικασίες.
Οποιαδήποτε πρόσβαση στο δίκτυο του ΔΧ (π.χ. για πρόσβαση στην υπηρεσία κοινής χρήσης αρχείων, για τη διαχείριση υποδομών ασφαλείας κ.λπ.) πρέπει να εκτελείται μόνο μέσω ασφαλούς σύνδεσης εικονικού ιδιωτικού δικτύου (VPN). Η πρόσβαση πρέπει να παρέχεται με τη χρήση μηχανισμών ελέγχου ταυτότητας δύο παραγόντων, συμπεριλαμβανομένων των υπηρεσιών που βασίζονται στο cloud.
Όλοι οι υπάλληλοι και οι τρίτοι χρήστες που είναι εξουσιοδοτημένοι να χρησιμοποιούν τον εξοπλισμό κινητής τηλεφωνίας / τηλεργασίας που ανήκει στο ΔΧ για την εκτέλεση συγκεκριμένων καθηκόντων πρέπει να επιστρέψουν τον εξοπλισμό που τους παρέχεται και ανήκει στο ΔΧ, μετά τη διεξαγωγή των συγκεκριμένων δραστηριοτήτων ή να παύσουν να απασχολούνται από το ΔΧ.
Η άδεια χρήσης του κινητού εξοπλισμού πληροφορικής / τηλεργασίας είναι αυστηρά προσωπική και οποιαδήποτε χρήση από μη εξουσιοδοτημένα μέρη απαγορεύεται ρητά. Όλοι οι εξουσιοδοτημένοι υπάλληλοι / χρήστες πρέπει να διασφαλίσουν ότι ο εν λόγω εξοπλισμός χρησιμοποιείται μόνο από τους ίδιους και όχι από μη εξουσιοδοτημένους υπαλλήλους, συμπεριλαμβανομένων των συγγενών τους.
Πρέπει να επιβάλλονται επαρκείς έλεγχοι ασφαλείας σε κάθε κινητό υπολογιστή και εξοπλισμό τηλεργασίας για την προστασία τους από κακόβουλο και κινητό κώδικα. Για τον εταιρικό εξοπλισμό, το λογισμικό προστασίας πρέπει να ενημερώνεται από το αρμόδιο προσωπικό πληροφορικής σε τακτά χρονικά διαστήματα.
Όλοι οι φορητοί υπολογιστές πρέπει να προστατεύονται με ισχυρούς μηχανισμούς ελέγχου πρόσβασης, έτσι ώστε η πρόσβαση σε αυτούς να επιτρέπεται μόνο σε εξουσιοδοτημένους χρήστες. Η αναγνώριση χρήστη και ο έλεγχος ταυτότητας πρέπει να εφαρμόζονται τόσο σε επίπεδο λειτουργικού συστήματος όσο και σε επίπεδο δικτύου.
Πρέπει να λαμβάνονται όλες οι απαραίτητες προφυλάξεις για την ασφαλή και ασφαλή μεταφορά και αποθήκευση των φορητών υπολογιστών. Οι φορητές υπολογιστικές συσκευές χωρίς παρακολούθηση πρέπει να είναι φυσικά ασφαλισμένες. Επιπλέον, πρέπει να λαμβάνονται υπόψη οι περιβαλλοντικές συνθήκες ώστε να εξασφαλίζεται ότι ο εξοπλισμός ή τα δεδομένα {ABBREVIATION_NAME} δεν διατηρούνται σε περιοχή όπου η θερμότητα, το κρύο, το νερό ή η υγρασία θα μπορούσαν να προκαλέσουν βλάβη.
Οι αλλαγές λογισμικού ή υλικού των εταιρικών φορητών υπολογιστών, συμπεριλαμβανομένης της τροποποίησης των ρυθμίσεων ασφαλείας, απαγορεύονται, εκτός εάν ληφθεί κατάλληλη έγκριση για αλλαγές σε αυτά τα συστήματα μετά τις σχετικές διαδικασίες αλλαγής και ρύθμισης παραμέτρων του ΔΧ.
Οι ευαίσθητες ή κρίσιμες πληροφορίες που είναι αποθηκευμένες σε φορητούς υπολογιστές πρέπει να κρυπτογραφούνται, όπου είναι εφικτό, χρησιμοποιώντας τις εγκεκριμένες μεθόδους και τις τεχνολογίες κρυπτογράφησης του ΔΧ.
Όταν οι ευαίσθητες και κρίσιμες πληροφορίες του ΔΧ μεταδίδονται προς / από φορητούς υπολογιστές που χρησιμοποιούν ασύρματο δίκτυο, πρέπει να εφαρμόζονται όλα τα απαραίτητα στοιχεία ελέγχου και τεχνολογίες για τη διασφάλιση της εμπιστευτικότητας και της ακεραιότητας των δεδομένων που διέρχονται μέσω ασύρματων δικτύων.
Όταν οι χρήστες συνδέονται με τα ασύρματα δίκτυα του ΔΧ ή σε δημόσιες περιοχές Wi-Fi / τοποθεσίες που παρέχουν ασύρματη πρόσβαση στο Internet (μέσω κινητού υπολογιστή / εξοπλισμού τηλεργασίας) πρέπει να:
Όλοι οι χρήστες του εξοπλισμού κινητής πληροφορικής / τηλεργασίας που ανήκει στο ΔΧ πρέπει να αναφέρουν αμέσως στη σχετική υπηρεσία οποιαδήποτε απώλεια κινητού εξοπλισμού πληροφορικής / τηλεργασίας (ή/και ενός μηχανισμού ελέγχου ταυτότητας, όπως ένα διακριτικό), στο καθορισμένο από τον ΔΧ πρωτεύον σημείο επαφής (POC) ή απευθείας στο δευτερεύον σημείο επαφής, έτσι ώστε να λαμβάνονται όλες οι σχετικές ενέργειες χειρισμού και να ανακαλούνται τα δικαιώματα πρόσβασης το συντομότερο δυνατόν, προκειμένου να προστατεύονται οι ευαίσθητες ή κρίσιμες πληροφορίες από την αποκάλυψη ή τη μη εξουσιοδοτημένη πρόσβαση. Η απώλεια του εξοπλισμού αυτού πρέπει να θεωρείται ως συμβάν ασφάλειας πληροφοριών.
Σε περιπτώσεις όπου δεν παρέχεται αυτοματοποιημένη διαδικασία για την προστασία των ενημερώσεων λογισμικού από κακόβουλο και κώδικα κινητής τηλεφωνίας, τότε οι χρήστες είναι υπεύθυνοι για την ενημέρωση του ίδιου του λογισμικού προστασίας.
Τα αντιγράφων ασφαλείας των κρίσιμων δεδομένων πρέπει να λαμβάνονται σε τακτά χρονικά διαστήματα για όλους τους φορητούς υπολογιστές μέσω μιας αυτοματοποιημένης διαδικασίας δημιουργίας αντιγράφων ασφαλείας. Σε περιπτώσεις όπου δεν προβλέπεται αυτοματοποιημένη διαδικασία δημιουργίας αντιγράφων ασφαλείας για τη δημιουργία αντιγράφων ασφαλείας φορητών υπολογιστών, οι ίδιοι οι χρήστες είναι υπεύθυνοι για τη λήψη αρχείων αντιγράφων ασφαλείας για τους φορητούς υπολογιστές τους και την αποθήκευσή τους σε ασφαλές μέρος.
Η απομόνωση του ασύρματου προγράμματος-πελάτη για τους επισκέπτες πρέπει να υλοποιηθεί για να απαγορεύεται η σύνδεση με τα συστήματα πληροφοριών του ΔΧ. Εάν υπάρχει επιχειρηματική ανάγκη, οι υπάλληλοι πρέπει να συνδεθούν μέσω της εγκεκριμένης σύνδεσης του ΔΧ (VPN) με τα απαιτούμενα συστήματα πληροφοριών του ΔΧ.
Η ασφάλεια σε επίπεδο δικτύου πρέπει να καθορίζεται από την άποψη του ελέγχου ταυτότητας, της κρυπτογράφησης και της εξουσιοδότησης σε κάθε ασύρματη σύνδεση δικτύου μεταξύ ασύρματων κινητών πελατών (π.χ. φορητοί υπολογιστές, έξυπνα τηλέφωνα, κινητά τηλέφωνα κ.λπ.) στο εσωτερικό προστατευμένο δίκτυο μέσω σημείων πρόσβασης του ΔΧ. Όλες οι ασύρματες επικοινωνίες (Wi-Fi) που αφορούν τη χρήση κινητών υπολογιστικών συσκευών πρέπει να κρυπτογραφούνται χρησιμοποιώντας τα ισχυρότερα ασύρματα πρωτόκολλα.
Η ομάδα ασφάλειας πληροφοριών θα επαληθεύσει τη συμμόρφωση με αυτήν την πολιτική μέσω διαφόρων μεθόδων, συμπεριλαμβανομένων ενδεικτικά των αναφορών επιχειρηματικών εργαλείων, των εσωτερικών και εξωτερικών ελέγχων και των σχολίων προς τον κάτοχο της πολιτικής.
Οποιαδήποτε εξαίρεση στην πολιτική πρέπει να εγκριθεί από την ομάδα ασφάλειας πληροφοριών εκ των προτέρων.
Οι υπάλληλοι που παραβιάζουν σκόπιμα αυτήν την πολιτική θα υπάγονται στις πειθαρχικές ποινές που προβλέπονται, συμπεριλαμβανομένης τη λήξη της απασχόλησης.