| Κατηγορίες Κίνδυνοι κινδύνων ΤΠΕ | ΤΠΕ (μη εξαντλητική αναφορά10 ) | Περιγραφή κινδύνων | Παραδείγματα | |
| και αποκατάστασης σε καταστροφής Κυβερνοεπιθέσει ς που διακοπές καταστροφές | περίπτωση προκαλούν και | δεδομένων αποκατάστασης) όταν ενεργοποιούνται για την αντιμετώπιση ενός συμβάντος. Επιθέσεις για διάφορους σκοπούς (π.χ. ακτιβισμό, εκβιασμό) οι οποίες προκαλούν υπερφόρτωση των συστημάτων και του δικτύου και εμποδίζουν την πρόσβαση σε υπηρεσίες υπολογιστών στο διαδίκτυο από τους νόμιμους χρήστες τους. | • | κέντρου δεδομένων να παρέχει τη σχεδιαζόμενη συνέχεια υπηρεσίας. Κατανεμημένες επιθέσεις άρνησης εξυπηρέτησης (DDoS attacks) πραγματοποιούνται μέσω πολλαπλών συστημάτων πληροφορικής στο διαδίκτυο τα οποία ελέγχονται από πληροφορικό πειρατή (hacker) ο οποίος αποστέλλει μεγάλες ποσότητες φαινομενικά νόμιμων αιτημάτων εξυπηρέτησης σε υπηρεσίες στο διαδίκτυο (π.χ. δικτυοτραπεζική). |
| Κίνδυνοι Κυβερνοεπιθέσει ασφάλειας των ς και ΤΠΕ εξωτερικές επιθέσεις βασίζονται ΤΠΕ | άλλες που σε | Επιθέσεις που πραγματοποιούνται από το διαδίκτυο ή εξωτερικά δίκτυα για διάφορους σκοπούς (π.χ. απάτη, κατασκοπία, ακτιβισμό/δολιοφθορά, κυβερνοτρομοκρατία) με τη χρήση διάφορων τεχνικών (π.χ. χειραγώγησης, απόπειρας εισβολής μέσω της εκμετάλλευσης τρωτών σημείων, εγκατάστασης κακόβουλου λογισμικού) που έχουν αποτέλεσμα τη ανάληψη του ελέγχου εσωτερικών συστημάτων ΤΠΕ. Εκτέλεση δόλιων συναλλαγών πληρωμών από πληροφορικούς πειρατές μέσω της παραβίασης ή της παράκαμψης της ασφάλειας υπηρεσιών ηλεκτρονικής τραπεζικής και πληρωμών και/ή μέσω της επίθεσης και | Διάφοροι • • • • • • | τύποι επιθέσεων: Μόνιμη προηγμένη απειλή (APT) για την ανάληψη του ελέγχου εσωτερικών συστημάτων ή την κλοπή πληροφοριών (π.χ. πληροφοριών σχετικών με την κλοπή ταυτότητας, στοιχείων πιστωτικής κάρτας). Κακόβουλο λογισμικό (π.χ. ransomware) που κρυπτογραφεί δεδομένα με σκοπό τον εκβιασμό. Μόλυνση εσωτερικών συστημάτων ΤΠΕ από προγράμματα «δούρειους ίππους» για την εκτέλεση ενεργειών κακόβουλων συστημάτων με συγκαλυμμένο τρόπο. Εκμετάλλευση των τρωτών σημείων των συστημάτων ΤΠΕ και/ή των εφαρμογών (web) [π.χ. επίθεση τύπου SQL injection (έγχυση SQL)] για την απόκτηση πρόσβασης στο εσωτερικό σύστημα ΤΠΕ. Επιθέσεις κατά υπηρεσιών ηλεκτρονικής τραπεζικής ή πληρωμών με στόχο τη διάπραξη μη εγκεκριμένων συναλλαγών. Δημιουργία και αποστολή δόλιων συναλλαγών |
| Κατηγορίες Κίνδυνοι κινδύνων ΤΠΕ | ΤΠΕ (μη εξαντλητική αναφορά10 ) | Περιγραφή κινδύνων της εκμετάλλευσης τρωτών όσον αφορά την ασφάλεια σημείων στα εσωτερικά συστήματα πληρωμών του ιδρύματος. Εκτέλεση δόλιων συναλλαγών χρεογράφων από πληροφορικούς πειρατές μέσω της παραβίασης ή της παράκαμψης της ασφάλειας των υπηρεσιών ηλεκτρονικής τραπεζικής που παρέχουν επίσης πρόσβαση στους λογαριασμούς χρεογράφων του πελάτη. Επιθέσεις σε συνδέσεις επικοινωνιών και συζητήσεις κάθε είδους ή σε συστήματα ΤΠΕ με στόχο τη συλλογή πληροφοριών και/ή τη διάπραξη απάτης. | Παραδείγματα • • | πληρωμών από σημεία εντός των εσωτερικών συστημάτων πληρωμών του ιδρύματος (π.χ. δόλια μηνύματα κωδικού SWIFT). Επιθέσεις διόγκωσης και πώλησης (pump and dump) κατά τις οποίες οι επιτιθέμενοι αποκτούν πρόσβαση σε λογαριασμούς χρεογράφων ηλεκτρονικής τραπεζικής των πελατών και δίνουν δόλιες εντολές αγοράς ή πώλησης για να επηρεάσουν την αγοραία τιμή και/ή να αποκομίσουν κέρδη με βάση θέσεις χρεογράφων που έχουν προηγουμένως δημιουργήσει. Λαθρακρόαση/υποκλοπή μη προστατευμένης διαβίβασης δεδομένων επαλήθευσης σε αποκρυπτογράφητο κείμενο. |
| Ανεπαρκής εσωτερική ασφάλεια | ΤΠΕ | Απόκτηση μη εξουσιοδοτημένης πρόσβασης σε κρίσιμα συστήματα ΤΠΕ από σημεία εντός του ιδρύματος για διάφορους σκοπούς (π.χ. απάτη, εκτέλεση και απόκρυψη δραστηριοτήτων δόλιων συναλλαγών, κλοπή δεδομένων, ακτιβισμό/δολιοφθορά) με διάφορες τεχνικές (π.χ. κατάχρηση και/ή κλιμάκωση προνομίων, κλοπή ταυτότητας, κοινωνική μηχανική, εκμετάλλευση τρωτών σημείων σε συστήματα ΤΠΕ, εγκατάσταση κακόβουλου λογισμικού). Μη εξουσιοδοτημένοι χειρισμοί των ΤΠΕ λόγω ανεπαρκών διαδικασιών και πρακτικών διαχείρισης της πρόσβασης σε ΤΠΕ. | • • • • | Εγκατάσταση λογισμικού καταγραφής πληκτρολογήσεων (key logger) για την κλοπή αναγνωριστικών και κωδικών πρόσβασης των χρηστών για την απόκτηση μη εξουσιοδοτημένης πρόσβασης σε εμπιστευτικά δεδομένα και/ή τη διάπραξη απάτης. Παραβίαση/τυχαία εύρεση κωδικών πρόσβασης χαμηλής ασφάλειας για την απόκτηση παράνομων ή αυξημένων δικαιωμάτων πρόσβασης. Ο διαχειριστής του συστήματος χρησιμοποιεί τα λειτουργικά συστήματα ή τα προγράμματα γενικής χρήσης βάσεων δεδομένων (για απευθείας τροποποιήσεις βάσεων δεδομένων) για τη διάπραξη απάτης. Μη απενεργοποίηση ή διαγραφή περιττών λογαριασμών, όπως λογαριασμών προσωπικού που άλλαξε τμήμα και/ή αποχώρησε από το |
| Κατηγορίες Κίνδυνοι κινδύνων ΤΠΕ | ΤΠΕ (μη εξαντλητική αναφορά10 ) | Περιγραφή κινδύνων Απειλές κατά της ασφάλειας λόγω έλλειψης ευαισθητοποίησης για την ασφάλεια, καθώς οι εργαζόμενοι δεν κατανοούν, παραμελούν ή δεν συμμορφώνονται με πολιτικές και διαδικασίες ασφάλειας ΤΠΕ. Μη εξουσιοδοτημένη αποθήκευση ή μεταφορά εμπιστευτικών πληροφοριών εκτός του ιδρύματος. | Παραδείγματα • • • • • | ίδρυμα, συμπεριλαμβανομένων φιλοξενούμενων ή προμηθευτών που δεν χρειάζονται πλέον πρόσβαση, μέσω των οποίων παρέχεται μη εξουσιοδοτημένη πρόσβαση σε συστήματα ΤΠΕ. Χορήγηση υπερβολικών δικαιωμάτων και προνομίων πρόσβασης, η οποία επιτρέπει τη μη εξουσιοδοτημένη πρόσβαση και/ή καθιστά δυνατή την απόκρυψη δόλιων δραστηριοτήτων. Εργαζόμενοι οι οποίοι εξαπατώνται ώστε να παράσχουν συνδρομή για μια επίθεση (π.χ. κοινωνική μηχανική). Εσφαλμένες πρακτικές σχετικά με τα διαπιστευτήρια: κοινή χρήση κωδικών πρόσβασης, χρήση κωδικών πρόσβασης που είναι εύκολο να μαντέψει κανείς, χρήση του ίδιου κωδικού πρόσβασης για πολλούς διαφορετικούς σκοπούς, κ.λπ. Αποθήκευση μη κρυπτογραφημένων εμπιστευτικών δεδομένων σε φορητούς υπολογιστές και σε φορητές λύσεις αποθήκευσης δεδομένων (π.χ. κλειδιά USB) που μπορούν να χαθούν ή να κλαπούν. Κλοπή ή σκόπιμη διαρροή ή λαθραία διακίνηση εμπιστευτικών πληροφοριών σε μη εξουσιοδοτημένα πρόσωπα ή στο κοινό. |
| Ανεπαρκής φυσική ΤΠΕ | ασφάλεια | Παράνομη χρήση ή κλοπή περιουσιακών στοιχείων ΤΠΕ μέσω φυσικής πρόσβασης η οποία προκαλεί ζημία, απώλεια περιουσιακών στοιχείων ή δεδομένων ή καθιστά δυνατή την υλοποίηση άλλων απειλών. | • | Πραγματική διάρρηξη σε κτίρια γραφείων και/ή μηχανογραφικά κέντρα για την κλοπή εξοπλισμού ΤΠΕ (π.χ. επιτραπέζιων υπολογιστών, φορητών υπολογιστών, λύσεων αποθήκευσης) και/ή την αντιγραφή δεδομένων μέσω φυσικής πρόσβασης σε συστήματα ΤΠΕ. |
| Κατηγορίες Κίνδυνοι κινδύνων ΤΠΕ | ΤΠΕ (μη εξαντλητική αναφορά10 ) | Περιγραφή κινδύνων Εκούσια ή ακούσια ζημία σε φυσικά περιουσιακά στοιχεία ΤΠΕ λόγω τρομοκρατίας, ατυχημάτων ή ατυχών/εσφαλμένων χειρισμών από το προσωπικό του ιδρύματος και/ή τρίτα μέρη (προμηθευτές, τεχνικούς). Ανεπαρκής φυσική προστασία έναντι φυσικών καταστροφών η οποία προκαλεί μερική ή πλήρη καταστροφή συστημάτων ΤΠΕ/κέντρων δεδομένων από φυσικές καταστροφές. | Παραδείγματα • • • | Φυσική τρομοκρατία (π.χ. τρομοκρατικές βόμβες) ή δολιοφθορά περιουσιακών στοιχείων ΤΠΕ. Καταστροφή μηχανογραφικού κέντρου από πυρκαγιά, διαρροή νερού ή άλλους παράγοντες. Σεισμοί, ακραία υψηλές θερμοκρασίες, ανεμοθύελλες, χιονοθύελλες, πλημμύρες, πυρκαγιές, κεραυνοί. |
| Κίνδυνοι Ανεπαρκείς αλλαγών ΤΠΕ έλεγχοι αλλαγών συστημάτων και ανάπτυξης | των ΤΠΕ της ΤΠΕ | Συμβάντα προκαλούμενα από σφάλματα ή τρωτά σημεία που δεν έχουν εντοπιστεί ως αποτέλεσμα αλλαγής (π.χ. απρόβλεπτες επιπτώσεις μιας αλλαγής ή μη κατάλληλη διαχείριση μιας αλλαγής λόγω έλλειψης δοκιμών ή ακατάλληλων πρακτικών διαχείρισης των αλλαγών) π.χ. σε λογισμικό, συστήματα ΤΠΕ και δεδομένα ΤΠΕ. | • • • • • | Έγκριση για σκοπούς παραγωγής λογισμικού που δεν έχει υποβληθεί σε επαρκείς δοκιμές ή αλλαγές διαμόρφωσης με απρόσμενες δυσμενείς επιπτώσεις σε δεδομένα (π.χ. αλλοίωση, διαγραφή) και/ή στις επιδόσεις του συστήματος ΤΠΕ (π.χ. τεχνική βλάβη, υποβάθμιση επιδόσεων). Ανεξέλεγκτες αλλαγές σε συστήματα ή δεδομένα ΤΠΕ στο περιβάλλον παραγωγής. Έγκριση για σκοπούς παραγωγής συστημάτων ΤΠΕ και εφαρμογών διαδικτύου ανεπαρκούς ασφάλειας, η οποία παρέχει σε πληροφορικούς πειρατές ευκαιρίες να επιτεθούν στις παρεχόμενες υπηρεσίες διαδικτύου και/ή να παραβιάσουν τα εσωτερικά συστήματα ΤΠΕ. Ανεξέλεγκτες αλλαγές στον πηγαίο κώδικα εσωτερικά αναπτυγμένου λογισμικού. Ανεπαρκείς δοκιμές λόγω απουσίας κατάλληλου περιβάλλοντος δοκιμής. |
| Ακατάλληλη αρχιτεκτονική ΤΠΕ | | Μη ικανοποιητική διαχείριση αρχιτεκτονικής ΤΠΕ κατά τον σχεδιασμό, τη δημιουργία και τη συντήρηση συστημάτων ΤΠΕ (π.χ. λογισμικού, υλικού, δεδομένων) που μπορεί να οδηγήσει, με την πάροδο του χρόνου, σε περίπλοκα, δύσκολα, δύσκαμπτα και δαπανηρά | • | Ανεπαρκής διαχείριση αλλαγών σε συστήματα ΤΠΕ, λογισμικό και/ή δεδομένα κατά τη διάρκεια παρατεταμένης χρονικής περιόδου, οι οποίες οδηγούν σε πολύπλοκα, ετερογενή και δύσκολα όσον αφορά τη διαχείρισή τους συστήματα και |
| Κατηγορίες Κίνδυνοι κινδύνων ΤΠΕ | ΤΠΕ (μη εξαντλητική αναφορά10 ) | Περιγραφή κινδύνων όσον αφορά τη διαχείρισή τους συστήματα ΤΠΕ, τα οποία δεν είναι πλέον επαρκώς ευθυγραμμισμένα με τις ανάγκες της επιχείρησης και υπολείπονται των πραγματικών απαιτήσεων διαχείρισης κινδύνου. | Παραδείγματα • | αρχιτεκτονικές ΤΠΕ, γεγονός που προκαλεί πολλές δυσμενείς επιπτώσεις όσον αφορά τη διαχείριση των δραστηριοτήτων και των κινδύνων (π.χ. έλλειψη ευελιξίας, συμβάντα και αστοχίες ΤΠΕ, υψηλό λειτουργικό κόστος, αποδυναμωμένη ασφάλεια και ανθεκτικότητα ΤΠΕ, μειωμένη ποιότητα δεδομένων και μειωμένες ικανότητες υποβολής αναφορών). Υπερβολική προσαρμογή στις ανάγκες του χρήση και επέκταση πακέτων εμπορικού λογισμικού με εσωτερικά αναπτυγμένο λογισμικό, οι οποίες δεν επιτρέπουν την εφαρμογή μελλοντικών εκδόσεων και αναβαθμίσεων του εμπορικού λογισμικού και επιφέρει τον κίνδυνο μη υποστήριξης στο μέλλον από τον προμηθευτή. |
| Ανεπαρκής διαχείριση κύκλου πρόχειρων διορθώσεων | ζωής και | Μη διατήρηση επαρκούς καταλόγου όλων των περιουσιακών στοιχείων ΤΠΕ για την υποστήριξη ορθών πρακτικών διαχείρισης κύκλου ζωής και πρόχειρων διορθώσεων και σε συνδυασμό με αυτές. Αυτό οδηγεί σε συστήματα ΤΠΕ στα οποία δεν έχουν γίνει οι απαραίτητες διορθώσεις (και είναι, επομένως, περισσότερο ευάλωτα) και τα οποία είναι παρωχημένα και, συνεπώς, ενδέχεται να μην υποστηρίζουν τις ανάγκες διαχείρισης δραστηριοτήτων και κινδύνων. | • | Μη διορθωμένα και παρωχημένα συστήματα ΤΠΕ που μπορεί να προκαλέσουν δυσμενείς επιπτώσεις όσον αφορά τη διαχείριση δραστηριοτήτων και κινδύνων (π.χ. έλλειψη ευελιξίας, διακοπές λειτουργίας ΤΠΕ, αποδυναμωμένη ασφάλεια και ανθεκτικότητα ΤΠΕ). |
| Κίνδυνοι Δυσλειτουργική ακεραιότητας επεξεργασία δεδομένων ΤΠΕ δυσλειτουργικός χειρισμός δεδομένων | ή ΤΠΕ | Σφάλματα ή αστοχίες συστημάτων, επικοινωνίας και/ή εφαρμογών ή μια εσφαλμένα εκτελεσμένη διαδικασία εξαγωγής, μεταφοράς και φόρτωση (ETL) δεδομένων είναι πιθανό να προκαλέσει αλλοίωση ή απώλεια δεδομένων. | • • • | Σφάλμα συστήματος πληροφορικής κατά τη μαζική επεξεργασία στοιχείων (batch processing) το οποίο προκαλεί εσφαλμένα υπόλοιπα σε τραπεζικούς λογαριασμούς του πελάτη. Ερωτήματα που δεν εκτελούνται σωστά. Απώλεια δεδομένων λόγω σφάλματος κατά την αντιγραφή δεδομένων (δημιουργία αντιγράφων |
| Κατηγορίες Κίνδυνοι κινδύνων ΤΠΕ | ΤΠΕ (μη εξαντλητική αναφορά10 ) | Περιγραφή κινδύνων | Παραδείγματα | ασφάλειας). |
| Μη ικανοποιητικά σχεδιασμένοι έλεγχοι επικύρωσης δεδομένων συστήματα | σε ΤΠΕ | Σφάλματα που αφορούν έλλειψη ελέγχων ή μη αποτελεσματικούς αυτοματοποιημένους ελέγχους εισαγωγής και αποδοχής δεδομένων (π.χ. για χρησιμοποιημένα δεδομένα τρίτων), ελέγχους μεταφοράς, επεξεργασίας και εξαγωγής δεδομένων στα συστήματα ΤΠΕ (π.χ. ελέγχους επικύρωσης εισαγωγής, συμφωνία στοιχείων). | • • • • | Ανεπαρκής ή μη έγκυρη μορφοποίηση/επικύρωση εισαγωγών δεδομένων σε εφαρμογές και/ή διασυνδέσεις χρήστη. Απουσία ελέγχων συμφωνίας δεδομένων σε σχέση με τα παραγόμενα αποτελέσματα. Απουσία ελέγχων στις διαδικασίες εξαγωγής δεδομένων που εκτελούνται (π.χ. ερωτήματα βάσης δεδομένων) που οδηγούν σε εσφαλμένα δεδομένα. Χρήση εσφαλμένων εξωτερικών δεδομένων. |
| Μη ικανοποιητικά ελεγχόμενες αλλαγές δεδομένων συστήματα παραγωγής. Αρχιτεκτονική δεδομένων, δεδομένων, μοντέλα δεδομένων λεξικά που σχεδιαστεί ικανοποιητικά | σε ΤΠΕ ροές ή δεδομένα δεν έχουν | Σφάλματα δεδομένων που προκαλούνται λόγω έλλειψης ελέγχων της ορθότητας και του δικαιολογημένου χαρακτήρα των χειρισμών δεδομένων που πραγματοποιούνται στην παραγωγή συστημάτων ΤΠΕ. Αρχιτεκτονικές δεδομένων, μοντέλα δεδομένων, ροές δεδομένων ή λεξικά δεδομένων τα οποία δεν υφίστανται ικανοποιητική διαχείριση μπορούν να οδηγήσουν σε πολλαπλές εκδόσεις των ίδιων δεδομένων στα διάφορα συστήματα ΤΠΕ, οι οποίες δεν συμφωνούν πλέον λόγω των διαφορετικών μοντέλων δεδομένων ή ορισμών δεδομένων που έχουν χρησιμοποιηθεί και/ή διαφορών στην υποκείμενη διαδικασία παραγωγής και αλλαγής δεδομένων. | • • | Απευθείας πρόσβαση και αλλαγή των δεδομένων στα συστήματα ΤΠΕ παραγωγής από αναλυτές λογισμικού και διαχειριστές βάσεων δεδομένων κατά μη ελεγχόμενο τρόπο, π.χ. στην περίπτωση ενός συμβάντος ΤΠΕ. Η ύπαρξη διαφορετικών βάσεων δεδομένων πελατών ανά προϊόν ή επιχειρηματική μονάδα με διαφορετικούς ορισμούς και πεδία δεδομένων, η οποία έχει ως αποτέλεσμα δεδομένα πελατών σε επίπεδο χρηματοπιστωτικού συστήματος ή ομίλου τα οποία δεν έχουν υποβληθεί σε συμφωνία και τα οποία είναι δύσκολο να συγκριθούν και να ενοποιηθούν. |