Ασφάλεια από τη σχεδίαση και εξ' ορισμού
| dc.contributor.advisor | Λαμπρινουδάκης, Κωνσταντίνος | |
| dc.contributor.author | Φράγκος, Κυριάκος | |
| dc.date.accessioned | 2022-01-10T12:55:21Z | |
| dc.date.available | 2022-01-10T12:55:21Z | |
| dc.date.issued | 2020 | |
| dc.identifier.uri | https://dione.lib.unipi.gr/xmlui/handle/unipi/14016 | |
| dc.identifier.uri | http://dx.doi.org/10.26267/unipi_dione/1439 | |
| dc.description.abstract | Οι περισσότεροι οργανισμοί υιοθετούν μια μεθοδολογία που ονομάζεται κύκλος ζωής ανάπτυξης συστημάτων (Systems Development Lifecycle SDLC) για την ανάπτυξη και εφαρμογή συστημάτων πληροφορικής. Η SDLC είναι μια διαδικασία πολλαπλών βημάτων κύκλου ζωής για την παροχή συστημάτων πληροφορικής και την εξασφάλιση καλής ποιότητας των συστημάτων τα οποία πληρούν τις προδιαγραφές και, εντός των εκτιμήσεων χρόνου και κόστους. Ενώ οι περισσότεροι οργανισμοί αναγνωρίζουν ότι η ασφάλεια είναι ένα σημαντικό θέμα στην ανάπτυξη συστημάτων πληροφορικής, το κόστος και οι επιχειρηματικές επιδόσεις συχνά υπερισχύουν της ασφάλειας. Παρόλο που η ευαισθητοποίηση έχει αυξηθεί σε θέματα ασφάλειας, οι περισσότεροι οργανισμοί επικεντρώνονται στην εφαρμογή της ασφάλειας μόνο κατά το στάδιο της ανάθεσης της ανάπτυξης του συστήματος και προσπαθούν να εγκατασταθεί η ασφάλεια στην τελική φάση της σχεδίασης, με αποτέλεσμα την αναποτελεσματική εφαρμογή της ασφάλειας. Ένας αποτελεσματικός τρόπος προστασίας των υπολογιστικών συστημάτων από τις απειλές στον κυβερνοχώρο είναι να ενσωματώσουμε την ασφάλεια σε κάθε βήμα του κύκλος ζωής ανάπτυξης των συστημάτων (SDLC), από την έναρξη, στην ανάπτυξη, στην εγκατάσταση και στην τελική διάθεση του συστήματος. Αυτή η προσέγγιση είναι η προσέγγιση Security by Design (SbD) και Security by Default (SbD) το οποίο και θα μελετήσουμε. Το Security by Design είναι μια προσέγγιση για την ανάπτυξη λογισμικού και υλικού που επιδιώκει να ελαχιστοποιήσουν τα τρωτά σημεία των συστημάτων και να μειώσουν την επιφάνεια επίθεσης μέσω του σχεδιασμού και την ενσωμάτωση της ασφάλειας σε κάθε φάση του κύκλου ζωής ανάπτυξης (SDLC). Αυτό περιλαμβάνει την ενσωμάτωση των προδιαγραφών ασφαλείας στο σχεδιασμό, τη συνεχή αξιολόγηση της ασφάλειας σε κάθε φάση και την τήρηση των βέλτιστων πρακτικών. Οι αξίες της ενσωμάτωσης της ασφάλειας στην SDLC περιλαμβάνουν: Έγκαιρη ταυτοποίηση και μετριασμός των τρωτών σημείων ασφαλείας και των λανθασμένων ρυθμίσεων των συστημάτων. Προσδιορισμός κοινών υπηρεσιών ασφαλείας και εργαλείων για τη μείωση του κόστους, ενώ παράλληλα βελτιώνεται η στάση της ασφάλειας μέσω αποδεδειγμένων μεθόδων και τεχνικών. Διευκόλυνση των βασικών αποφάσεων των ενδιαφερομένων με ενημέρωση μέσω ενός risk management. Τεκμηρίωση σημαντικών αποφάσεων ασφαλείας καθ 'όλη τη διάρκεια του κύκλου ζωής του συστήματος, εξασφαλίζοντας ότι η ασφάλεια θα εξετάζεται ορθώς και πλήρως σε όλες τις φάσεις. Βελτιωμένη λειτουργικότητα συστημάτων που διαφορετικά θα παρεμποδίζεται από την απομονωμένη ασφάλεια των συστημάτων. Ειδικά για την ασφάλεια του κυβερνοχώρου, το Security by Design καλύπτει τις ανησυχίες για την προστασία του κυβερνοχώρου καθ 'όλη τη διάρκεια του κύκλου ζωής ενός συστήματος. Αυτό περιλαμβάνει σχεδιασμό ασφάλειας ειδικά για την αναγνώριση, την προστασία, την ανίχνευση, την ανταπόκριση και τις δυνατότητες αποκατάστασης για να ενισχυθεί η ηλεκτρονική ανθεκτικότητα του συστήματος. Ένας λιγότερο γνωστός όρος είναι το Security by Default, εφαρμόζει την ίδια αρχή στην εξασφάλιση δεδομένων στην πηγή. Αναφέρεται στην εξασφάλιση πληροφοριών. Το Security by Default η αλλιώς ασφάλεια από προεπιλογή στα δεδομένα μας, καθιστούν την υπόθεση ότι όλα τα δεδομένα πρέπει να έχουν ενσωματωμένη ασφάλεια. Τα συστήματα που επεξεργάζονται και αποθηκεύουν αυτά τα δεδομένα θα πρέπει να τηρούν αυστηρά τις πολιτικές ασφαλείας που είναι ενσωματωμένες σε αυτά. Αυτή η προσέγγιση δεν είναι τόσο γνωστή, διότι απλά δεν χρησιμοποιείται ευρέως. Μέχρι σήμερα, δεν έχουμε ενσωματώσει την ασφάλεια σε κάθε κομμάτι δεδομένων καθώς δημιουργείται, δημιουργώντας έτσι ένα σοβαρό πρόβλημα, ιδιαίτερα για τις κυβερνητικές υπηρεσίες. Πριν από τη δημιουργία ενός νέου προϊόντος, πολλές ερωτήσεις περνούν από το κεφάλι ενός προγραμματιστή λογισμικού: Πως θα πρέπει να είναι οι νέες οθόνες εισαγωγής; Πόσο αποτελεσματικό θα έπρεπε να είναι το νέο λογισμικό; Ωστόσο, υπάρχει μια σημαντική πτυχή που εξακολουθεί να παραμελείτε πολύ συχνά και αυτό είναι η ασφάλεια. Και αυτό σε μια εποχή που ο αριθμός των επιθέσεων στον κυβερνοχώρο αυξάνεται ραγδαία, όπως αποκαλύπτεται στην έκθεση σχετικά με την κατάσταση από τη γερμανική Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών (BSI). Σύμφωνα με αυτό, οι ειδικοί ανακαλύπτουν περίπου 380.000 νέες εκδόσεις malware κάθε μέρα. Το πρόβλημα είναι ότι το 95% των επιτυχημένων επιθέσεων οφείλεται σε κακό προγραμματισμένο, κακώς διατηρημένο ή κακώς διαμορφωμένο λογισμικό", λέει ο Διευθυντής Εσωτερικής Ασφάλειας και Cyber Defense στην Deutsche Telekom. Ωστόσο, αυτό το πρόβλημα θα μπορούσε να λυθεί λαμβάνοντας υπόψη την ασφάλεια απευθείας από την αρχή της ανάπτυξης του - "αντί να μπαλώνουμε τρύπες στο τελικό προϊόν". Η παρούσα έρευνα πραγματεύεται και εμβαθύνει στο τι είναι το security by design - security by default, ποια τα οφέλη που θα επιφέρουν με την εφαρμογή τους και πως επιτυγχάνεται αυτό. Επίσης θα αναλύονται τα στάδια των βασικών αρχών σχεδιασμού για την εξασφάλιση της ασφάλειας σε κάθε στάδιο ανάπτυξης ενός συστήματος. Περαιτέρω θα αναλύσουμε πως θα διασφαλίσουμε την ιδιωτικότητα των πληροφοριών, ποια η φιλοσοφία αναπτύχθηκε στο τομέα αυτόν και πως θα καταφέρουμε να πετύχουμε μια ομαλή ενσωματώσει της προστασίας σε κάθε σκέλος του σχεδιασμού και της ανάπτυξης ενός προϊόντος η μιας υπηρεσίας. Επιπλέον θα δούμε τον ρόλο και των συσχετισμό της ασφάλειας από τον σχεδιασμό με τον Γενικό Κανονισμό Προστασίας Δεδομένων (GDPR). Παρέχεται μια εικόνα των κενών στην υιοθέτηση της προστασίας της ιδιωτικής ζωής από την βιομηχανία. Με βάση τα στοιχεία αυτά αναλύουμε εκτενέστερα τα κενά του ισχύον κανονισμού (όπως για παράδειγμα ασαφής διατύπωση των υποχρεώσεων, αδυναμίες κυρώσεων, υποχρεώσεις διατήρησης ή από κάλυψης προσωπικών δεδομένων). Δίνεται μια έμφαση στο Γενικό Κανονισμό Προστασίας Δεδομένων (GDPR) και ποιοι οι περιορισμοί στις υπάρχουσες τεχνολογίες και την μέθοδο σχεδιασμού, και ποια τα κίνητρα για την υιοθέτηση και την συμμόρφωση με τον κανονισμό. Τέλος έχει αναπτυχθεί ένας οδηγός - κατευθυντήριες γραμμές ώστε να γίνει πιο κατανοητό από την βιομηχανία το πώς θα συμμορφωθούν με την απαίτηση για την προστασία από τον σχεδιασμό και εξ’ ορισμού σύμφωνα με το άρθρο 25 του γενικού κανονισμού και ποια τα οφέλη της συμμόρφωσης. | el |
| dc.format.extent | 111 | el |
| dc.language.iso | el | el |
| dc.publisher | Πανεπιστήμιο Πειραιώς | el |
| dc.rights | Αναφορά Δημιουργού - Μη Εμπορική Χρήση - Παρόμοια Διανομή 3.0 Ελλάδα | * |
| dc.rights.uri | http://creativecommons.org/licenses/by-nc-sa/3.0/gr/ | * |
| dc.title | Ασφάλεια από τη σχεδίαση και εξ' ορισμού | el |
| dc.type | Master Thesis | el |
| dc.contributor.department | Σχολή Τεχνολογιών Πληροφορικής και Επικοινωνιών. Τμήμα Ψηφιακών Συστημάτων | el |
| dc.description.abstractEN | Most organisations adopt a Systems Development Lifecycle (SDLC) methodology for the development and implementation of computer systems. SDLC is a multi-step lifecycle process to deliver computer systems to ensure good-quality systems that meet specifications and, within time and cost estimates. While most organisations acknowledge that security is an important consideration in developing computer systems, costs and business performance often take precedence over security. Even though awareness has been elevated on security issues, most organisations focus on applying security only at the commissioning stage of the system development and try to forced fit security into the final design, resulting in ineffective application of security An effective way to protect computer systems against cyber threats is to integrate security into every step of the SDLC, from initiation, to development, to deployment and eventual disposal of the system. This approach is the Security-by-Design (SbD) approach, something that discussed in this research. Security-by-Design is an approach to software and hardware development that seeks to minimise systems vulnerabilities and reduce the attack surface through designing and building security in every phase of the SDLC. This includes incorporating security specifications in the design, continuous security evaluation at each phase and adherence to best practices. The values of integrating security into SDLC include: Early identification and mitigation of security vulnerabilities and misconfigurations of systems. Identification of shared security services and tools to reduce cost, while improving security posture through proven methods and techniques. Facilitation of informed key stakeholder decisions through comprehensive risk management in a timely manner. Documentation of important security decisions throughout the lifecycle of the system, ensuring that security was full considered during all phases. Improved systems operability that would otherwise be hampered by isolated security of systems. Specific to cybersecurity, Security-by-Design addresses the cyber protection considerations throughout a system’s lifecycle. This includes security design specifically for the identification, protection, detection, response and recovery capabilities to strengthen the cyber resiliency of the system. A lesser-known term, Security by Default applies the same principle to securing data at the source. It is referring to securing information. Secure by Default data makes the case that all data should have embedded security, and the systems that consume, process and store this data must adhere to the security policies embedded therein. This approach is not as well known because it’s simply not widely employed, if at all. To date, we have failed to embed security into each piece of data as it is created, creating a serious problem, particularly for government agencies. Before a new product is made, many questions go through a software developer’s head: what should the new input screens look like? How efficient should the new software be? Yet there is one important aspect that is still neglected too often: security. And this at a time when the number of cyber-attacks is increasing rapidly, as is revealed in the status report by the German Federal Office for Information Security (BSI). According to this, experts discover around 380,000 new malware versions every day, for example. It is said that “the problem is: that the 95 percent of successful attacks are due to poorly programmed, poorly maintained or poorly configured software,” something that admitted by Head of Internal Security & Cyber Defense at Deutsche Telekom. Yet this problem could be solved by taking security into consideration directly from the outset – “instead of sticking a plaster over the product only once it already has been assembled” This research addresses and deepens what security is by design - security by default, what benefits they will bring with their implementation and how that is achieved. It will also analyze the stages of the basic design principles to ensure security at each stage of development of a system. We will further analyze how we will ensure the privacy of information, what philosophy has developed in this field, and how we can achieve a smooth incorporation of protection into every aspect of the design and development of a product or service. In addition, we will see the role and correlation of security with design with the General Data Protection Regulation (GDPR). Gap analysis in the adoption of privacy by industry is provided. On the basis of these data, we analyze more closely the gaps in the current regulation (such as imprecise wording, weaknesses in penalties, retention obligations or personal data coverage).An emphasis is placed on the General Data Protection Regulation (GDPR) and what limitations on existing technologies and design method, and what incentives to adopt and comply with the regulation. Finally, a guide - guidelines have been developed to make industry more understandable how they will comply with the requirement for protection from design and by definition in accordance with Article 25 of the General Regulation and what the benefits of compliance. | el |
| dc.contributor.master | Ασφάλεια Ψηφιακών Συστημάτων | el |
| dc.subject.keyword | Security by Design (SbD) | el |
| dc.subject.keyword | Security by Default (SbD) | el |
| dc.subject.keyword | Systems Development Lifecycle (SDLC) | el |
| dc.subject.keyword | Privacy by Design (PbD) | el |
| dc.subject.keyword | Privacy by Default (PbD) | el |
| dc.subject.keyword | Data Protection by design (DPbD) | el |
| dc.subject.keyword | General Data Protection Regulation (GDPR) | el |
| dc.subject.keyword | Cybersecurity | el |
| dc.subject.keyword | Security | el |
| dc.subject.keyword | Privacy | el |
| dc.subject.keyword | Privacy Enhancing Technology (PET) | el |
| dc.subject.keyword | Information Technologies (IT) | el |
| dc.date.defense | 2020-03-11 |
Αρχεία σε αυτό το τεκμήριο
Αυτό το τεκμήριο εμφανίζεται στις ακόλουθες συλλογές
-
Τμήμα Ψηφιακών Συστημάτων
Department of Digital Systems
Εκτός από όπου διευκρινίζεται διαφορετικά, το τεκμήριο διανέμεται με την ακόλουθη άδεια:
Αναφορά Δημιουργού - Μη Εμπορική Χρήση - Παρόμοια Διανομή 3.0 Ελλάδα
Αναφορά Δημιουργού - Μη Εμπορική Χρήση - Παρόμοια Διανομή 3.0 Ελλάδα