Πολιτική Διαχείρισης Περιστατικών Ασφαλείας

Η παρούσα πολιτική περιγράφει τον τρόπο με τον οποίο η SYMPHON εντοπίζει, αξιολογεί, περιορίζει, διερευνά και αποκαθιστά περιστατικά ασφάλειας που ενδέχεται να επηρεάσουν συστήματα ή δεδομένα πελατών.

1. Σκοπός και Πεδίο Εφαρμογής

Η πολιτική εφαρμόζεται σε παραγωγικά συστήματα, βάσεις δεδομένων, APIs, cloud υποδομές και ενσωματώσεις τρίτων υπηρεσιών (όπως Shopify). Στόχος είναι η ελαχιστοποίηση επιπτώσεων, η διασφάλιση δεδομένων και η συμμόρφωση με κανονιστικές υποχρεώσεις.

2. Ορισμός Περιστατικού Ασφαλείας

Περιστατικό ασφαλείας θεωρείται οποιοδήποτε γεγονός που επηρεάζει την εμπιστευτικότητα, ακεραιότητα ή διαθεσιμότητα συστημάτων και δεδομένων.

• Μη εξουσιοδοτημένη πρόσβαση σε λογαριασμό ή δεδομένα
• Πιθανή ή επιβεβαιωμένη διαρροή προσωπικών δεδομένων
• Παραβίαση API tokens ή credentials
• Εκμετάλλευση ευπάθειας ή σοβαρή διακοπή υπηρεσίας

3. Ταξινόμηση Σοβαρότητας

• Critical: επιβεβαιωμένη ή υψηλά πιθανή παραβίαση προσωπικών δεδομένων ή ευρείας κλίμακας επίπτωση
• High: σοβαρό συμβάν με περιορισμένη έκταση και κίνδυνο κλιμάκωσης
• Medium: μετρίου κινδύνου συμβάν με ελεγχόμενη επίπτωση
• Low: χαμηλής σοβαρότητας συμβάν ή ύποπτη δραστηριότητα

4. Ρόλοι και Αρμοδιότητες

• Incident Lead: συντονισμός, ταξινόμηση και απόφαση κλεισίματος περιστατικού
• Technical Response Owner: τεχνικός περιορισμός, διερεύνηση και αποκατάσταση
• Privacy/Legal Owner: αξιολόγηση επίπτωσης σε προσωπικά δεδομένα και κανονιστικές ενέργειες
• Communications Owner: εσωτερική και εξωτερική επικοινωνία όταν απαιτείται

5. Διαδικασία Αντιμετώπισης

• Εντοπισμός και αναφορά: καταγραφή και αρχική αξιολόγηση
• Triage: επιβεβαίωση συμβάντος και ταξινόμηση σοβαρότητας
• Containment: απομόνωση επηρεασμένων πόρων, ανάκληση tokens/keys όπου απαιτείται
• Investigation & Eradication: ανάλυση αιτίας και μόνιμη διόρθωση
• Recovery: ασφαλής επαναφορά λειτουργίας με ενισχυμένη παρακολούθηση
• Post-incident review: αναδρομή, lessons learned και corrective actions

6. Καταγραφή και Διατήρηση Αποδεικτικών

Η SYMPHON διατηρεί καταγραφή ενεργειών και σχετικά logs για την τεκμηρίωση του περιστατικού, την ανάλυση αιτίας και τη βελτίωση των μέτρων ασφάλειας.

7. Περιστατικά που Αφορούν Προσωπικά Δεδομένα

Σε περιστατικά που ενδέχεται να επηρεάζουν προσωπικά δεδομένα, πραγματοποιείται ειδική αξιολόγηση κινδύνου και εφαρμόζονται οι απαραίτητες ενέργειες ενημέρωσης και συμμόρφωσης βάσει εφαρμοστέας νομοθεσίας (συμπεριλαμβανομένου του GDPR όπου απαιτείται).

8. Επικοινωνία και Ενημερώσεις

Όταν απαιτείται, η SYMPHON παρέχει έγκαιρες ενημερώσεις προς επηρεαζόμενους πελάτες/συνεργάτες, περιγράφοντας τη φύση του περιστατικού, τα μέτρα περιορισμού και τα επόμενα βήματα.

9. Συνεχής Βελτίωση

Η πολιτική αναθεωρείται περιοδικά και μετά από σημαντικά περιστατικά, με στόχο τη συνεχή ενίσχυση της ανθεκτικότητας και της αποτελεσματικότητας της απόκρισης.