The National Collegiate Cyber Defense Competition (NCCDC) is the championship event for the Collegiate Cyber Defense Competition system – the largest college-level cyber defense competition in the world.[1] The event is held annually in the San Antonio area. The 5th National Collegiate Cyber Defense Competition is scheduled for April 16–18, 2010.
In an effort to help facilitate the development of a regular, national level cyber security exercise, the Center for Infrastructure Assurance and Security at the University of Texas at San Antonio (UTSA) hosted the first Collegiate Cyber Defense Competition for the Southwestern region in May 2005. On June 29, 2010, United States House legislature passed recognizing the National CCDC for promoting cyber security curriculum.[2]
While similar to other cyber defense competitions in many aspects, the NCCDC, is unique in that it focuses on the operational aspect of managing and protecting an existing network infrastructure. While other exercises examine the abilities of a group of students to design, configure, and protect a network over the course of an entire semester, this competition is focused on the more operational task of assuming administrative and protective duties for an existing commercial network. Teams are assessed based on their ability to detect and respond to outside threats, maintain availability of existing services such as mail servers and web servers, respond to business requests such as the addition or removal of additional services, and balance security needs against business needs.[3]
Source : wikipedia
Δευτέρα 28 Φεβρουαρίου 2011
Κυριακή 27 Φεβρουαρίου 2011
Ηλεκτρονικό Ταχυδρομείο: Spam / Phising
Spam
Τι είναι η ανεπιθύμητη ηλεκτρονική αλληλογραφία; (spam email)
Spam email είναι τα ανεπιθύμητα μηνύματα που, κατακλύζουν το λογαριασμό του ηλεκτρονικού ταχυδρομείου (email account) μας διαφημίζοντας διάφορα είδη - προϊόντα ή υπηρεσίες. Είναι πολύ πιθανό να «γίνουμε συνδρομητές» σε μια υπηρεσία αποστολής διαφημιστικής αλληλογραφίας χωρίς να το καταλάβουμε ζητώντας ενημέρωση από εταιρείες μέσω του Διαδικτύου, συμμετέχοντας σε chatroom, blogs, forum ή συμπληρώνοντας το email μας προφίλ μας σε σελίδες κοινωνικής δικτύωσης. Ο ανεπιθύμητος αποστολέας (spammer) βρίσκει στο Διαδίκτυο διευθύνσεις e-mail μέσω ενός λογισμικού που λέγεται web crawler ή spider (αράχνη) τις οποίες αποθηκεύει και μπορεί να χρησιμοποιήσει στη συνέχεια για αποστολή ανεπιθύμητων μηνυμάτων.
Τι μπορούμε να κάνουμε;
ΠΟΤΕ δεν αγοράζουμε προϊόντα που διαφημίζονται στα spam email ούτε μπαίνουμε να πλοηγηθούμε στoυς συνδέσμους (link) που περιέχονται σε αυτά γιατί τα περισσότερα από αυτά είναι απάτες –scams.
Χρησιμοποιούμε δύο λογαριασμούς ηλεκτρονικού ταχυδρομείου. Ο ένας αποτελεί τον προσωπικό λογαριασμό μας, τον δίνουμε στους φίλους μας και ο άλλος χρησιμοποιείται όταν θέλουμε να εγγραφούμε σε κάποιο forum, παιχνίδι και γενικά και κάθε δραστηριότητα μας στο Διαδίκτυο.
Δεν απαντάμε ποτέ σε spammers γιατί είναι σαν να λέμε στείλε μας και άλλα email.
Γράφουμε το email μας σε διαδικτυακούς τόπους που εμπιστευόμαστε και σε μορφή myemail at εταιρεία τελεία gr παραλείποντας δηλαδή το @.
Ελέγχουμε για προεπιλεγμένα κουτάκια όταν χρησιμοποιούμε διάφορες ιστοσελίδες.
Υπάρχει μεγάλη ποικιλία λογισμικών φιλτραρίσματος, πολλά από τα οποία διατίθενται και στο Διαδίκτυο. Το λογισμικό φιλτραρίσματος δεν είναι πάντα αποτελεσματικό γιατί πολλές φορές χαρακτηρίζονται ως spam μηνύματα που δεν είναι και το αντίστροφο.
Όσοι δεν επιθυμούμε να λαμβάνουμε spam, μπορούμε να το δηλώσουμε στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα http://www.dpa.gr/
Phising
Τι είναι τα μηνύματα ηλεκτρονικού ταχυδρομείου (phishing);
Mηνύματα ηλεκτρονικού ταχυδρομείου που μοιάζουν πως έχουν σταλεί από οργανισμούς που εμπιστευόμαστε όπως για παράδειγμα η τράπεζα μας και στοχεύουν στην απόσπασης προσωπικών στοιχείων, οικονομικού συνήθως χαρακτήρα που αφορούν τραπεζικούς λογαριασμούς και πιστωτικές κάρτες οδηγώντας μας σε ψεύτικες ιστοσελίδες αλλά νομιμοφανείς.
Πώς αναγνωρίζουμε ότι πρόκειται για περίπτωση phishing;
Ζητάνε να επιβεβαιώσουμε κωδικούς πρόσβασης, αριθμούς τραπεζικών λογαριασμών και να απαντήσουμε άμεσα αλλιώς θα υποστούμε διάφορες κυρώσεις. "Εάν δεν απαντήσετε εντός 48 ωρών, ο λογαριασμός σας θα κλείσει."
Μας αποκαλούν Αγαπητέ πελάτη κτλ
Ζητάνε να μεταβούμε σε κάποιο link το οποίο φαίνεται πως μας οδηγεί σε κάποια ιστοσελίδα που εμπιστευόμαστε αλλά στην πραγματικότητα οδηγούμαστε σε κάποιο phony Web site αλλά νομιμοφανείς.
Τι πρέπει να γνωρίζουμε;
Οι επιχειρήσεις ή οι τραπεζικοί οργανισμοί δεν πρόκειται ποτέ να μας ζητήσουν να στείλουμε κωδικούς πρόσβασης, ονόματα σύνδεσης, αριθμούς ταυτότητας ή άλλα προσωπικά στοιχεία μέσω e-mail.
Προωθούμε το email στο τμήμα υποστήριξης της Τράπεζας
Δεν ακολουθούμε υπερσυνδέσμους από email ή ιστοσελίδες αλλά πάντα πληκτρολογούμε τις διευθύνσεις που μας ζητάνε να επισκεφτούμε.
Ελέγχουμε την γραμμή κατάστασης (status bar) του φυλλομετρητή μας για να δούμε την ηλεκτρονική διεύθυνση.
Εγκαθιστούμε τις τελευταίες εκδόσεις των φυλλομετρητών (browsers) που έχουν ενσωματωμένο φίλτρο antiphishing φίλτρο και το οποίο αναγνωρίζει σελίδες που επισκεπτόμαστε με βάση τη λίστα των phishing sites που διαθέτουν οι εταιρείες…
Εάν έχουμε Windows Vista ή Windows XP και Service Pack 2 μπορούμε να κατεβάσουμε τον Internet Explorer 7 δωρεάν από το Διαδίκτυο στην ηλεκτρονική διεύθυνση :
http://www.microsoft.com/windows/downloads/ie/getitnow.mspx
Αντίστοιχα μπορούμε να κατεβάσουμε την τελευταία έκδοση του Firefox Mozilla στην ηλεκτρονική διεύθυνση:
http://www.mozilla-europe.org/el/firefox/
και του Opera στην ηλεκτρονική διεύθυνση:
http://www.opera.com/
Επίσης, το WOT (Web of Trust) και με τις παλαιότερες εκδόσεις, το οποίο αλλάζει το χρώμα της μπάρας διευθύνσεων ανάλογα με την εμπιστευτικότητα του ηλεκτρονικού πωλητή ή ακόμα και τη γραμμή εργαλείων (toolbar) netcraft.
H Mozilla προσφέρει τη δυνατότητα να ελέγχουμε την αποτελεσματικότητα του antiphishing φίλτρου μας προσπαθώντας να μπούμε σε σελίδες που παρέχουν βλαβερό λογισμικό και έχουν κατασκευαστεί για το σκοπό αυτό http://www.mozilla.com/en-US/firefox/phishing-protection/
Source : www.dart.gov.gr
Τι είναι η ανεπιθύμητη ηλεκτρονική αλληλογραφία; (spam email)
Spam email είναι τα ανεπιθύμητα μηνύματα που, κατακλύζουν το λογαριασμό του ηλεκτρονικού ταχυδρομείου (email account) μας διαφημίζοντας διάφορα είδη - προϊόντα ή υπηρεσίες. Είναι πολύ πιθανό να «γίνουμε συνδρομητές» σε μια υπηρεσία αποστολής διαφημιστικής αλληλογραφίας χωρίς να το καταλάβουμε ζητώντας ενημέρωση από εταιρείες μέσω του Διαδικτύου, συμμετέχοντας σε chatroom, blogs, forum ή συμπληρώνοντας το email μας προφίλ μας σε σελίδες κοινωνικής δικτύωσης. Ο ανεπιθύμητος αποστολέας (spammer) βρίσκει στο Διαδίκτυο διευθύνσεις e-mail μέσω ενός λογισμικού που λέγεται web crawler ή spider (αράχνη) τις οποίες αποθηκεύει και μπορεί να χρησιμοποιήσει στη συνέχεια για αποστολή ανεπιθύμητων μηνυμάτων.
Τι μπορούμε να κάνουμε;
ΠΟΤΕ δεν αγοράζουμε προϊόντα που διαφημίζονται στα spam email ούτε μπαίνουμε να πλοηγηθούμε στoυς συνδέσμους (link) που περιέχονται σε αυτά γιατί τα περισσότερα από αυτά είναι απάτες –scams.
Χρησιμοποιούμε δύο λογαριασμούς ηλεκτρονικού ταχυδρομείου. Ο ένας αποτελεί τον προσωπικό λογαριασμό μας, τον δίνουμε στους φίλους μας και ο άλλος χρησιμοποιείται όταν θέλουμε να εγγραφούμε σε κάποιο forum, παιχνίδι και γενικά και κάθε δραστηριότητα μας στο Διαδίκτυο.
Δεν απαντάμε ποτέ σε spammers γιατί είναι σαν να λέμε στείλε μας και άλλα email.
Γράφουμε το email μας σε διαδικτυακούς τόπους που εμπιστευόμαστε και σε μορφή myemail at εταιρεία τελεία gr παραλείποντας δηλαδή το @.
Ελέγχουμε για προεπιλεγμένα κουτάκια όταν χρησιμοποιούμε διάφορες ιστοσελίδες.
Υπάρχει μεγάλη ποικιλία λογισμικών φιλτραρίσματος, πολλά από τα οποία διατίθενται και στο Διαδίκτυο. Το λογισμικό φιλτραρίσματος δεν είναι πάντα αποτελεσματικό γιατί πολλές φορές χαρακτηρίζονται ως spam μηνύματα που δεν είναι και το αντίστροφο.
Όσοι δεν επιθυμούμε να λαμβάνουμε spam, μπορούμε να το δηλώσουμε στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα http://www.dpa.gr/
Phising
Τι είναι τα μηνύματα ηλεκτρονικού ταχυδρομείου (phishing);
Mηνύματα ηλεκτρονικού ταχυδρομείου που μοιάζουν πως έχουν σταλεί από οργανισμούς που εμπιστευόμαστε όπως για παράδειγμα η τράπεζα μας και στοχεύουν στην απόσπασης προσωπικών στοιχείων, οικονομικού συνήθως χαρακτήρα που αφορούν τραπεζικούς λογαριασμούς και πιστωτικές κάρτες οδηγώντας μας σε ψεύτικες ιστοσελίδες αλλά νομιμοφανείς.
Πώς αναγνωρίζουμε ότι πρόκειται για περίπτωση phishing;
Ζητάνε να επιβεβαιώσουμε κωδικούς πρόσβασης, αριθμούς τραπεζικών λογαριασμών και να απαντήσουμε άμεσα αλλιώς θα υποστούμε διάφορες κυρώσεις. "Εάν δεν απαντήσετε εντός 48 ωρών, ο λογαριασμός σας θα κλείσει."
Μας αποκαλούν Αγαπητέ πελάτη κτλ
Ζητάνε να μεταβούμε σε κάποιο link το οποίο φαίνεται πως μας οδηγεί σε κάποια ιστοσελίδα που εμπιστευόμαστε αλλά στην πραγματικότητα οδηγούμαστε σε κάποιο phony Web site αλλά νομιμοφανείς.
Τι πρέπει να γνωρίζουμε;
Οι επιχειρήσεις ή οι τραπεζικοί οργανισμοί δεν πρόκειται ποτέ να μας ζητήσουν να στείλουμε κωδικούς πρόσβασης, ονόματα σύνδεσης, αριθμούς ταυτότητας ή άλλα προσωπικά στοιχεία μέσω e-mail.
Προωθούμε το email στο τμήμα υποστήριξης της Τράπεζας
Δεν ακολουθούμε υπερσυνδέσμους από email ή ιστοσελίδες αλλά πάντα πληκτρολογούμε τις διευθύνσεις που μας ζητάνε να επισκεφτούμε.
Ελέγχουμε την γραμμή κατάστασης (status bar) του φυλλομετρητή μας για να δούμε την ηλεκτρονική διεύθυνση.
Εγκαθιστούμε τις τελευταίες εκδόσεις των φυλλομετρητών (browsers) που έχουν ενσωματωμένο φίλτρο antiphishing φίλτρο και το οποίο αναγνωρίζει σελίδες που επισκεπτόμαστε με βάση τη λίστα των phishing sites που διαθέτουν οι εταιρείες…
Εάν έχουμε Windows Vista ή Windows XP και Service Pack 2 μπορούμε να κατεβάσουμε τον Internet Explorer 7 δωρεάν από το Διαδίκτυο στην ηλεκτρονική διεύθυνση :
http://www.microsoft.com/windows/downloads/ie/getitnow.mspx
Αντίστοιχα μπορούμε να κατεβάσουμε την τελευταία έκδοση του Firefox Mozilla στην ηλεκτρονική διεύθυνση:
http://www.mozilla-europe.org/el/firefox/
και του Opera στην ηλεκτρονική διεύθυνση:
http://www.opera.com/
Επίσης, το WOT (Web of Trust) και με τις παλαιότερες εκδόσεις, το οποίο αλλάζει το χρώμα της μπάρας διευθύνσεων ανάλογα με την εμπιστευτικότητα του ηλεκτρονικού πωλητή ή ακόμα και τη γραμμή εργαλείων (toolbar) netcraft.
H Mozilla προσφέρει τη δυνατότητα να ελέγχουμε την αποτελεσματικότητα του antiphishing φίλτρου μας προσπαθώντας να μπούμε σε σελίδες που παρέχουν βλαβερό λογισμικό και έχουν κατασκευαστεί για το σκοπό αυτό http://www.mozilla.com/en-US/firefox/phishing-protection/
Source : www.dart.gov.gr
Σάββατο 26 Φεβρουαρίου 2011
The Comprehensive National Cybersecurity Initiative
President Obama has identified cybersecurity as one of the most serious economic and national security challenges we face as a nation, but one that we as a government or as a country are not adequately prepared to counter. Shortly after taking office, the President therefore ordered a thorough review of federal efforts to defend the U.S. information and communications infrastructure and the development of a comprehensive approach to securing America’s digital infrastructure.
In May 2009, the President accepted the recommendations of the resulting Cyberspace Policy Review, including the selection of an Executive Branch Cybersecurity Coordinator who will have regular access to the President. The Executive Branch was also directed to work closely with all key players in U.S. cybersecurity, including state and local governments and the private sector, to ensure an organized and unified response to future cyber incidents; strengthen public/private partnerships to find technology solutions that ensure U.S. security and prosperity; invest in the cutting-edge research and development necessary for the innovation and discovery to meet the digital challenges of our time; and begin a campaign to promote cybersecurity awareness and digital literacy from our boardrooms to our classrooms and begin to build the digital workforce of the 21st century. Finally, the President directed that these activities be conducted in a way that is consistent with ensuring the privacy rights and civil liberties guaranteed in the Constitution and cherished by all Americans.
The activities under way to implement the recommendations of the Cyberspace Policy Review build on the Comprehensive National Cybersecurity Initiative (CNCI) launched by President George W. Bush in National Security Presidential Directive 54/Homeland Security Presidential Directive 23 (NSPD-54/ HSPD-23) in January 2008. President Obama determined that the CNCI and its associated activities should evolve to become key elements of a broader, updated national U.S. cybersecurity strategy. These CNCI initiatives will play a key role in supporting the achievement of many of the key recommendations of President Obama’s Cyberspace Policy Review.
The CNCI consists of a number of mutually reinforcing initiatives with the following major goals designed to help secure the United States in cyberspace:
To establish a front line of defense against today’s immediate threats by creating or enhancing shared situational awareness of network vulnerabilities, threats, and events within the Federal Government—and ultimately with state, local, and tribal governments and private sector partners—and the ability to act quickly to reduce our current vulnerabilities and prevent intrusions.
To defend against the full spectrum of threats by enhancing U.S. counterintelligence capabilities and increasing the security of the supply chain for key information technologies.
To strengthen the future cybersecurity environment by expanding cyber education; coordinating and redirecting research and development efforts across the Federal Government; and working to define and develop strategies to deter hostile or malicious activity in cyberspace.
In building the plans for the CNCI, it was quickly realized that these goals could not be achieved without also strengthening certain key strategic foundational capabilities within the Government. Therefore, the CNCI includes funding within the federal law enforcement, intelligence, and defense communities to enhance such key functions as criminal investigation; intelligence collection, processing, and analysis; and information assurance critical to enabling national cybersecurity efforts.
The CNCI was developed with great care and attention to privacy and civil liberties concerns in close consultation with privacy experts across the government. Protecting civil liberties and privacy rights remain fundamental objectives in the implementation of the CNCI.
In accord with President Obama’s declared intent to make transparency a touchstone of his presidency, the Cyberspace Policy Review identified enhanced information sharing as a key component of effective cybersecurity. To improve public understanding of Federal efforts, the Cybersecurity Coordinator has directed the release of the following summary description of the CNCI.
CNCI Initiative Details
Initiative #1. Manage the Federal Enterprise Network as a single network enterprise with Trusted Internet Connections. The Trusted Internet Connections (TIC) initiative, headed by the Office of Management and Budget and the Department of Homeland Security, covers the consolidation of the Federal Government’s external access points (including those to the Internet). This consolidation will result in a common security solution which includes: facilitating the reduction of external access points, establishing baseline security capabilities; and, validating agency adherence to those security capabilities. Agencies participate in the TIC initiative either as TIC Access Providers (a limited number of agencies that operate their own capabilities) or by contracting with commercial Managed Trusted IP Service (MTIPS) providers through the GSA-managed NETWORX contract vehicle.
Initiative #2. Deploy an intrusion detection system of sensors across the Federal enterprise. Intrusion Detection Systems using passive sensors form a vital part of U.S. Government network defenses by identifying when unauthorized users attempt to gain access to those networks. DHS is deploying, as part of its EINSTEIN 2 activities, signature-based sensors capable of inspecting Internet traffic entering Federal systems for unauthorized accesses and malicious content. The EINSTEIN 2 capability enables analysis of network flow information to identify potential malicious activity while conducting automatic full packet inspection of traffic entering or exiting U.S. Government networks for malicious activity using signature-based intrusion detection technology. Associated with this investment in technology is a parallel investment in manpower with the expertise required to accomplish DHS’s expanded network security mission. EINSTEIN 2 is capable of alerting US-CERT in real time to the presence of malicious or potentially harmful activity in federal network traffic and provides correlation and visualization of the derived data. Due to the capabilities within EINSTEIN 2, US-CERT analysts have a greatly improved understanding of the network environment and an increased ability to address the weaknesses and vulnerabilities in Federal network security. As a result, US-CERT has greater situational awareness and can more effectively develop and more readily share security relevant information with network defenders across the U.S. Government, as well as with security professionals in the private sector and the American public. The Department of Homeland Security’s Privacy Office has conducted and published a Privacy Impact Assessment for the EINSTEIN 2 program.
Initiative #3. Pursue deployment of intrusion prevention systems across the Federal enterprise. This Initiative represents the next evolution of protection for civilian Departments and Agencies of the Federal Executive Branch. This approach, called EINSTEIN 3, will draw on commercial technology and specialized government technology to conduct real-time full packet inspection and threat-based decision-making on network traffic entering or leaving these Executive Branch networks. The goal of EINSTEIN 3 is to identify and characterize malicious network traffic to enhance cybersecurity analysis, situational awareness and security response. It will have the ability to automatically detect and respond appropriately to cyber threats before harm is done, providing an intrusion prevention system supporting dynamic defense. EINSTEIN 3 will assist DHS US-CERT in defending, protecting and reducing vulnerabilities on Federal Executive Branch networks and systems. The EINSTEIN 3 system will also support enhanced information sharing by US-CERT with Federal Departments and Agencies by giving DHS the ability to automate alerting of detected network intrusion attempts and, when deemed necessary by DHS, to send alerts that do not contain the content of communications to the National Security Agency (NSA) so that DHS efforts may be supported by NSA exercising its lawfully authorized missions. This initiative makes substantial and long-term investments to increase national intelligence capabilities to discover critical information about foreign cyber threats and use this insight to inform EINSTEIN 3 systems in real time. DHS will be able to adapt threat signatures determined by NSA in the course of its foreign intelligence and DoD information assurance missions for use in the EINSTEIN 3 system in support of DHS’s federal system security mission. Information sharing on cyber intrusions will be conducted in accordance with the laws and oversight for activities related to homeland security, intelligence, and defense in order to protect the privacy and rights of U.S. citizens.
DHS is currently conducting a exercise to pilot the EINSTEIN 3 capabilities described in this initiative based on technology developed by NSA and to solidify processes for managing and protecting information gleaned from observed cyber intrusions against civilian Executive Branch systems. Government civil liberties and privacy officials are working closely with DHS and US-CERT to build appropriate and necessary privacy protections into the design and operational deployment of EINSTEIN 3.
Initiative #4: Coordinate and redirect research and development (R&D) efforts. No single individual or organization is aware of all of the cyber-related R&D activities being funded by the Government. This initiative is developing strategies and structures for coordinating all cyber R&D sponsored or conducted by the U.S. government, both classified and unclassified, and to redirect that R&D where needed. This Initiative is critical to eliminate redundancies in federally funded cybersecurity research, and to identify research gaps, prioritize R&D efforts, and ensure the taxpayers are getting full value for their money as we shape our strategic investments.
Initiative #5. Connect current cyber ops centers to enhance situational awareness. There is a pressing need to ensure that government information security offices and strategic operations centers share data regarding malicious activities against federal systems, consistent with privacy protections for personally identifiable and other protected information and as legally appropriate, in order to have a better understanding of the entire threat to government systems and to take maximum advantage of each organization’s unique capabilities to produce the best overall national cyber defense possible. This initiative provides the key means necessary to enable and support shared situational awareness and collaboration across six centers that are responsible for carrying out U.S. cyber activities. This effort focuses on key aspects necessary to enable practical mission bridging across the elements of U.S. cyber activities: foundational capabilities and investments such as upgraded infrastructure, increased bandwidth, and integrated operational capabilities; enhanced collaboration, including common technology, tools, and procedures; and enhanced shared situational awareness through shared analytic and collaborative technologies.
The National Cybersecurity Center (NCSC) within the Department of Homeland Security will play a key role in securing U.S. Government networks and systems under this initiative by coordinating and integrating information from the six centers to provide cross-domain situational awareness, analyzing and reporting on the state of U.S. networks and systems, and fostering interagency collaboration and coordination.
Initiative #6. Develop and implement a government-wide cyber counterintelligence (CI) plan. A government-wide cyber counterintelligence plan is necessary to coordinate activities across all Federal Agencies to detect, deter, and mitigate the foreign-sponsored cyber intelligence threat to U.S. and private sector information systems. To accomplish these goals, the plan establishes and expands cyber CI education and awareness programs and workforce development to integrate CI into all cyber operations and analysis, increase employee awareness of the cyber CI threat, and increase counterintelligence collaboration across the government. The Cyber CI Plan is aligned with the National Counterintelligence Strategy of the United States of America (2007) and supports the other programmatic elements of the CNCI.
Initiative #7. Increase the security of our classified networks. Classified networks house the Federal Government’s most sensitive information and enable crucial war-fighting, diplomatic, counterterrorism, law enforcement, intelligence, and homeland security operations. Successful penetration or disruption of these networks could cause exceptionally grave damage to our national security. We need to exercise due diligence in ensuring the integrity of these networks and the data they contain.
Initiative #8. Expand cyber education. While billions of dollars are being spent on new technologies to secure the U.S. Government in cyberspace, it is the people with the right knowledge, skills, and abilities to implement those technologies who will determine success. However there are not enough cybersecurity experts within the Federal Government or private sector to implement the CNCI, nor is there an adequately established Federal cybersecurity career field. Existing cybersecurity training and personnel development programs, while good, are limited in focus and lack unity of effort. In order to effectively ensure our continued technical advantage and future cybersecurity, we must develop a technologically-skilled and cyber-savvy workforce and an effective pipeline of future employees. It will take a national strategy, similar to the effort to upgrade science and mathematics education in the 1950’s, to meet this challenge.
Initiative #9. Define and develop enduring “leap-ahead” technology, strategies, and programs. One goal of the CNCI is to develop technologies that provide increases in cybersecurity by orders of magnitude above current systems and which can be deployed within 5 to 10 years. This initiative seeks to develop strategies and programs to enhance the component of the government R&D portfolio that pursues high-risk/high-payoff solutions to critical cybersecurity problems. The Federal Government has begun to outline Grand Challenges for the research community to help solve these difficult problems that require ‘out of the box’ thinking. In dealing with the private sector, the government is identifying and communicating common needs that should drive mutual investment in key research areas.
Initiative #10. Define and develop enduring deterrence strategies and programs. Our Nation’s senior policymakers must think through the long-range strategic options available to the United States in a world that depends on assuring the use of cyberspace. To date, the U.S. Government has been implementing traditional approaches to the cybersecurity problem—and these measures have not achieved the level of security needed. This Initiative is aimed at building an approach to cyber defense strategy that deters interference and attack in cyberspace by improving warning capabilities, articulating roles for private sector and international partners, and developing appropriate responses for both state and non-state actors.
Initiative #11. Develop a multi-pronged approach for global supply chain risk management. Globalization of the commercial information and communications technology marketplace provides increased opportunities for those intent on harming the United States by penetrating the supply chain to gain unauthorized access to data, alter data, or interrupt communications. Risks stemming from both the domestic and globalized supply chain must be managed in a strategic and comprehensive way over the entire lifecycle of products, systems and services. Managing this risk will require a greater awareness of the threats, vulnerabilities, and consequences associated with acquisition decisions; the development and employment of tools and resources to technically and operationally mitigate risk across the lifecycle of products (from design through retirement); the development of new acquisition policies and practices that reflect the complex global marketplace; and partnership with industry to develop and adopt supply chain and risk management standards and best practices. This initiative will enhance Federal Government skills, policies, and processes to provide departments and agencies with a robust toolset to better manage and mitigate supply chain risk at levels commensurate with the criticality of, and risks to, their systems and networks.
Initiative #12. Define the Federal role for extending cybersecurity into critical infrastructure domains. The U.S. Government depends on a variety of privately owned and operated critical infrastructures to carry out the public’s business. In turn, these critical infrastructures rely on the efficient operation of information systems and networks that are vulnerable to malicious cyber threats. This Initiative builds on the existing and ongoing partnership between the Federal Government and the public and private sector owners and operators of Critical Infrastructure and Key Resources (CIKR). The Department of Homeland Security and its private-sector partners have developed a plan of shared action with an aggressive series of milestones and activities. It includes both short-term and long-term recommendations, specifically incorporating and leveraging previous accomplishments and activities that are already underway. It addresses security and information assurance efforts across the cyber infrastructure to increase resiliency and operational capabilities throughout the CIKR sectors. It includes a focus on public-private sharing of information regarding cyber threats and incidents in both government and CIKR.
Source : US National Security Council
In May 2009, the President accepted the recommendations of the resulting Cyberspace Policy Review, including the selection of an Executive Branch Cybersecurity Coordinator who will have regular access to the President. The Executive Branch was also directed to work closely with all key players in U.S. cybersecurity, including state and local governments and the private sector, to ensure an organized and unified response to future cyber incidents; strengthen public/private partnerships to find technology solutions that ensure U.S. security and prosperity; invest in the cutting-edge research and development necessary for the innovation and discovery to meet the digital challenges of our time; and begin a campaign to promote cybersecurity awareness and digital literacy from our boardrooms to our classrooms and begin to build the digital workforce of the 21st century. Finally, the President directed that these activities be conducted in a way that is consistent with ensuring the privacy rights and civil liberties guaranteed in the Constitution and cherished by all Americans.
The activities under way to implement the recommendations of the Cyberspace Policy Review build on the Comprehensive National Cybersecurity Initiative (CNCI) launched by President George W. Bush in National Security Presidential Directive 54/Homeland Security Presidential Directive 23 (NSPD-54/ HSPD-23) in January 2008. President Obama determined that the CNCI and its associated activities should evolve to become key elements of a broader, updated national U.S. cybersecurity strategy. These CNCI initiatives will play a key role in supporting the achievement of many of the key recommendations of President Obama’s Cyberspace Policy Review.
The CNCI consists of a number of mutually reinforcing initiatives with the following major goals designed to help secure the United States in cyberspace:
To establish a front line of defense against today’s immediate threats by creating or enhancing shared situational awareness of network vulnerabilities, threats, and events within the Federal Government—and ultimately with state, local, and tribal governments and private sector partners—and the ability to act quickly to reduce our current vulnerabilities and prevent intrusions.
To defend against the full spectrum of threats by enhancing U.S. counterintelligence capabilities and increasing the security of the supply chain for key information technologies.
To strengthen the future cybersecurity environment by expanding cyber education; coordinating and redirecting research and development efforts across the Federal Government; and working to define and develop strategies to deter hostile or malicious activity in cyberspace.
In building the plans for the CNCI, it was quickly realized that these goals could not be achieved without also strengthening certain key strategic foundational capabilities within the Government. Therefore, the CNCI includes funding within the federal law enforcement, intelligence, and defense communities to enhance such key functions as criminal investigation; intelligence collection, processing, and analysis; and information assurance critical to enabling national cybersecurity efforts.
The CNCI was developed with great care and attention to privacy and civil liberties concerns in close consultation with privacy experts across the government. Protecting civil liberties and privacy rights remain fundamental objectives in the implementation of the CNCI.
In accord with President Obama’s declared intent to make transparency a touchstone of his presidency, the Cyberspace Policy Review identified enhanced information sharing as a key component of effective cybersecurity. To improve public understanding of Federal efforts, the Cybersecurity Coordinator has directed the release of the following summary description of the CNCI.
CNCI Initiative Details
Initiative #1. Manage the Federal Enterprise Network as a single network enterprise with Trusted Internet Connections. The Trusted Internet Connections (TIC) initiative, headed by the Office of Management and Budget and the Department of Homeland Security, covers the consolidation of the Federal Government’s external access points (including those to the Internet). This consolidation will result in a common security solution which includes: facilitating the reduction of external access points, establishing baseline security capabilities; and, validating agency adherence to those security capabilities. Agencies participate in the TIC initiative either as TIC Access Providers (a limited number of agencies that operate their own capabilities) or by contracting with commercial Managed Trusted IP Service (MTIPS) providers through the GSA-managed NETWORX contract vehicle.
Initiative #2. Deploy an intrusion detection system of sensors across the Federal enterprise. Intrusion Detection Systems using passive sensors form a vital part of U.S. Government network defenses by identifying when unauthorized users attempt to gain access to those networks. DHS is deploying, as part of its EINSTEIN 2 activities, signature-based sensors capable of inspecting Internet traffic entering Federal systems for unauthorized accesses and malicious content. The EINSTEIN 2 capability enables analysis of network flow information to identify potential malicious activity while conducting automatic full packet inspection of traffic entering or exiting U.S. Government networks for malicious activity using signature-based intrusion detection technology. Associated with this investment in technology is a parallel investment in manpower with the expertise required to accomplish DHS’s expanded network security mission. EINSTEIN 2 is capable of alerting US-CERT in real time to the presence of malicious or potentially harmful activity in federal network traffic and provides correlation and visualization of the derived data. Due to the capabilities within EINSTEIN 2, US-CERT analysts have a greatly improved understanding of the network environment and an increased ability to address the weaknesses and vulnerabilities in Federal network security. As a result, US-CERT has greater situational awareness and can more effectively develop and more readily share security relevant information with network defenders across the U.S. Government, as well as with security professionals in the private sector and the American public. The Department of Homeland Security’s Privacy Office has conducted and published a Privacy Impact Assessment for the EINSTEIN 2 program.
Initiative #3. Pursue deployment of intrusion prevention systems across the Federal enterprise. This Initiative represents the next evolution of protection for civilian Departments and Agencies of the Federal Executive Branch. This approach, called EINSTEIN 3, will draw on commercial technology and specialized government technology to conduct real-time full packet inspection and threat-based decision-making on network traffic entering or leaving these Executive Branch networks. The goal of EINSTEIN 3 is to identify and characterize malicious network traffic to enhance cybersecurity analysis, situational awareness and security response. It will have the ability to automatically detect and respond appropriately to cyber threats before harm is done, providing an intrusion prevention system supporting dynamic defense. EINSTEIN 3 will assist DHS US-CERT in defending, protecting and reducing vulnerabilities on Federal Executive Branch networks and systems. The EINSTEIN 3 system will also support enhanced information sharing by US-CERT with Federal Departments and Agencies by giving DHS the ability to automate alerting of detected network intrusion attempts and, when deemed necessary by DHS, to send alerts that do not contain the content of communications to the National Security Agency (NSA) so that DHS efforts may be supported by NSA exercising its lawfully authorized missions. This initiative makes substantial and long-term investments to increase national intelligence capabilities to discover critical information about foreign cyber threats and use this insight to inform EINSTEIN 3 systems in real time. DHS will be able to adapt threat signatures determined by NSA in the course of its foreign intelligence and DoD information assurance missions for use in the EINSTEIN 3 system in support of DHS’s federal system security mission. Information sharing on cyber intrusions will be conducted in accordance with the laws and oversight for activities related to homeland security, intelligence, and defense in order to protect the privacy and rights of U.S. citizens.
DHS is currently conducting a exercise to pilot the EINSTEIN 3 capabilities described in this initiative based on technology developed by NSA and to solidify processes for managing and protecting information gleaned from observed cyber intrusions against civilian Executive Branch systems. Government civil liberties and privacy officials are working closely with DHS and US-CERT to build appropriate and necessary privacy protections into the design and operational deployment of EINSTEIN 3.
Initiative #4: Coordinate and redirect research and development (R&D) efforts. No single individual or organization is aware of all of the cyber-related R&D activities being funded by the Government. This initiative is developing strategies and structures for coordinating all cyber R&D sponsored or conducted by the U.S. government, both classified and unclassified, and to redirect that R&D where needed. This Initiative is critical to eliminate redundancies in federally funded cybersecurity research, and to identify research gaps, prioritize R&D efforts, and ensure the taxpayers are getting full value for their money as we shape our strategic investments.
Initiative #5. Connect current cyber ops centers to enhance situational awareness. There is a pressing need to ensure that government information security offices and strategic operations centers share data regarding malicious activities against federal systems, consistent with privacy protections for personally identifiable and other protected information and as legally appropriate, in order to have a better understanding of the entire threat to government systems and to take maximum advantage of each organization’s unique capabilities to produce the best overall national cyber defense possible. This initiative provides the key means necessary to enable and support shared situational awareness and collaboration across six centers that are responsible for carrying out U.S. cyber activities. This effort focuses on key aspects necessary to enable practical mission bridging across the elements of U.S. cyber activities: foundational capabilities and investments such as upgraded infrastructure, increased bandwidth, and integrated operational capabilities; enhanced collaboration, including common technology, tools, and procedures; and enhanced shared situational awareness through shared analytic and collaborative technologies.
The National Cybersecurity Center (NCSC) within the Department of Homeland Security will play a key role in securing U.S. Government networks and systems under this initiative by coordinating and integrating information from the six centers to provide cross-domain situational awareness, analyzing and reporting on the state of U.S. networks and systems, and fostering interagency collaboration and coordination.
Initiative #6. Develop and implement a government-wide cyber counterintelligence (CI) plan. A government-wide cyber counterintelligence plan is necessary to coordinate activities across all Federal Agencies to detect, deter, and mitigate the foreign-sponsored cyber intelligence threat to U.S. and private sector information systems. To accomplish these goals, the plan establishes and expands cyber CI education and awareness programs and workforce development to integrate CI into all cyber operations and analysis, increase employee awareness of the cyber CI threat, and increase counterintelligence collaboration across the government. The Cyber CI Plan is aligned with the National Counterintelligence Strategy of the United States of America (2007) and supports the other programmatic elements of the CNCI.
Initiative #7. Increase the security of our classified networks. Classified networks house the Federal Government’s most sensitive information and enable crucial war-fighting, diplomatic, counterterrorism, law enforcement, intelligence, and homeland security operations. Successful penetration or disruption of these networks could cause exceptionally grave damage to our national security. We need to exercise due diligence in ensuring the integrity of these networks and the data they contain.
Initiative #8. Expand cyber education. While billions of dollars are being spent on new technologies to secure the U.S. Government in cyberspace, it is the people with the right knowledge, skills, and abilities to implement those technologies who will determine success. However there are not enough cybersecurity experts within the Federal Government or private sector to implement the CNCI, nor is there an adequately established Federal cybersecurity career field. Existing cybersecurity training and personnel development programs, while good, are limited in focus and lack unity of effort. In order to effectively ensure our continued technical advantage and future cybersecurity, we must develop a technologically-skilled and cyber-savvy workforce and an effective pipeline of future employees. It will take a national strategy, similar to the effort to upgrade science and mathematics education in the 1950’s, to meet this challenge.
Initiative #9. Define and develop enduring “leap-ahead” technology, strategies, and programs. One goal of the CNCI is to develop technologies that provide increases in cybersecurity by orders of magnitude above current systems and which can be deployed within 5 to 10 years. This initiative seeks to develop strategies and programs to enhance the component of the government R&D portfolio that pursues high-risk/high-payoff solutions to critical cybersecurity problems. The Federal Government has begun to outline Grand Challenges for the research community to help solve these difficult problems that require ‘out of the box’ thinking. In dealing with the private sector, the government is identifying and communicating common needs that should drive mutual investment in key research areas.
Initiative #10. Define and develop enduring deterrence strategies and programs. Our Nation’s senior policymakers must think through the long-range strategic options available to the United States in a world that depends on assuring the use of cyberspace. To date, the U.S. Government has been implementing traditional approaches to the cybersecurity problem—and these measures have not achieved the level of security needed. This Initiative is aimed at building an approach to cyber defense strategy that deters interference and attack in cyberspace by improving warning capabilities, articulating roles for private sector and international partners, and developing appropriate responses for both state and non-state actors.
Initiative #11. Develop a multi-pronged approach for global supply chain risk management. Globalization of the commercial information and communications technology marketplace provides increased opportunities for those intent on harming the United States by penetrating the supply chain to gain unauthorized access to data, alter data, or interrupt communications. Risks stemming from both the domestic and globalized supply chain must be managed in a strategic and comprehensive way over the entire lifecycle of products, systems and services. Managing this risk will require a greater awareness of the threats, vulnerabilities, and consequences associated with acquisition decisions; the development and employment of tools and resources to technically and operationally mitigate risk across the lifecycle of products (from design through retirement); the development of new acquisition policies and practices that reflect the complex global marketplace; and partnership with industry to develop and adopt supply chain and risk management standards and best practices. This initiative will enhance Federal Government skills, policies, and processes to provide departments and agencies with a robust toolset to better manage and mitigate supply chain risk at levels commensurate with the criticality of, and risks to, their systems and networks.
Initiative #12. Define the Federal role for extending cybersecurity into critical infrastructure domains. The U.S. Government depends on a variety of privately owned and operated critical infrastructures to carry out the public’s business. In turn, these critical infrastructures rely on the efficient operation of information systems and networks that are vulnerable to malicious cyber threats. This Initiative builds on the existing and ongoing partnership between the Federal Government and the public and private sector owners and operators of Critical Infrastructure and Key Resources (CIKR). The Department of Homeland Security and its private-sector partners have developed a plan of shared action with an aggressive series of milestones and activities. It includes both short-term and long-term recommendations, specifically incorporating and leveraging previous accomplishments and activities that are already underway. It addresses security and information assurance efforts across the cyber infrastructure to increase resiliency and operational capabilities throughout the CIKR sectors. It includes a focus on public-private sharing of information regarding cyber threats and incidents in both government and CIKR.
Source : US National Security Council
Πέμπτη 24 Φεβρουαρίου 2011
Ηλεκτρονικό φροντιστήριο
Ηλεκτρονικό φροντιστήριο στο σπίτι και µάλιστα δωρεάν θα έχουν πλέον όλοι οι µαθητές της Γ’ Λυκείου που προετοιµάζονται για τις εξετάσεις: το υπουργείο Παιδείας προσφέρει στα παιδιά ψηφιακά βοηθήµατα για τα µαθήµατά τους µέσω Ιντερνετ µε στόχο να τα προετοιµάσει καλύτερα για τις Πανελλαδικές Εξετάσεις.
Η νέα υπηρεσία ψηφιακών βοηθηµάτων – που υλοποιείται στο πλαίσιο του ψηφιακού σχολείου – παρουσιάζεται σήµερα από το υπουργείο Παιδείας παρουσία της πολιτικής ηγεσίας του. Με τα ψηφιακά βοηθήµατα οι µαθητές θα µπορούν να αντλούν από τον υπολογιστή τους επιπλέον υλικό και ασκήσεις για τα µαθήµατα στα οποία θα εξεταστούν. Επιπλέον, µεγάλο µέρος του συµπληρωµατικού υλικού θα προσφέρεται σε µορφή βίντεο. ∆ηλαδή οι µαθητές θα παρακολουθούν στην οθόνη τού υπολογιστή τους εκπαιδευτικούς οι οποίοι θα τους εξηγούν και θα τους επισηµαίνουν καίρια σηµεία. Τα ψηφιακά βοηθήµατα θα είναι διαθέσιµα δωρεάν στην ιστοσελίδα του ψηφιακού σχολείου http:// digitalschool.minedu.gov.gr καθώς και ξεχωριστά στη νέα ιστοσελίδα www.study4exams.gr.
Το σύνολο της ύλης κάθε βοηθήµατος περιλαµβάνει όλα τα κεφάλαια της ύλης του σχολικού βιβλίου που έχουν επιλεγεί για τις Πανελλαδικές Εξετάσεις. Η βασική δοµή της ύλης αποτελείται από τα αντίστοιχα κεφάλαια, τα οποία µε τη σειρά τους είναι χωρισµένα σε ενότητες. Κάθε ενότητα περιλαµβάνει µεταξύ άλλων βιντεοδιάλεξη (βιντεοσκοπηµένη παράδοση της αντίστοιχης ύλης), παραδείγµατα για την κατανόηση της θεωρίας µε υποδειγµατικές λυµένες ασκήσεις, ερωτή σεις και ασκήσεις γιαεξάσκηση, απαντήσεις και λύσεις των ασκήσεων.
Στόχοςτωνυπευθύνωντου υπουργείου είναι «τα µαθήµατα να προσφέρουν έναν συµπληρωµατικό, ευέλικτο και σύγχρονο τρόπο πρόσβασης των µαθητών σε χρήσιµο υποβοηθητικό υλικό, αποκλειστικά και µόνο για τις ανάγκες προετοιµασίας τους ενόψει των Πανελλαδικών Εξετάσεων», τονίζεται σε ανακοίνωσή του. Οι υπεύθυνοι του υπουργείου συµβουλεύουν πάντως τους µαθητές ότι δεν πρέπει να περιορίζουν τη µελέτη τους µόνο στην ύλη των ψηφιακών βοηθηµάτων. Οπως τονίζουν µέσα στην ιστοσελίδα www. study4exams.gr, τα παιδιά πρωτίστως πρέπει να µελετούν την ύλη του σχολικού βιβλίου. Αυτό άλλωστε, λένε, υπονοείται και από τον τίτλο «ψηφιακό εκπαιδευτικό βοήθηµα». Η µελέτη της ύλης του είναι προσθετική στη µελέτη της σχολικής ύλης και σε καµιά περίπτωση δεν την υποκαθιστά.
Χρήσιµο υλικό για τις ανάγκες προετοιµασίας ενόψει Πανελλαδικών
Δωρεάν
η πρόσβαση
είναι ελεύθερη τόσο για τους µαθητές όσο και για τους εκπαιδευτικούς, και δεν θα απαιτείται καµία εγγραφή ή κωδικός.
Source : TA NEA
Η νέα υπηρεσία ψηφιακών βοηθηµάτων – που υλοποιείται στο πλαίσιο του ψηφιακού σχολείου – παρουσιάζεται σήµερα από το υπουργείο Παιδείας παρουσία της πολιτικής ηγεσίας του. Με τα ψηφιακά βοηθήµατα οι µαθητές θα µπορούν να αντλούν από τον υπολογιστή τους επιπλέον υλικό και ασκήσεις για τα µαθήµατα στα οποία θα εξεταστούν. Επιπλέον, µεγάλο µέρος του συµπληρωµατικού υλικού θα προσφέρεται σε µορφή βίντεο. ∆ηλαδή οι µαθητές θα παρακολουθούν στην οθόνη τού υπολογιστή τους εκπαιδευτικούς οι οποίοι θα τους εξηγούν και θα τους επισηµαίνουν καίρια σηµεία. Τα ψηφιακά βοηθήµατα θα είναι διαθέσιµα δωρεάν στην ιστοσελίδα του ψηφιακού σχολείου http:// digitalschool.minedu.gov.gr καθώς και ξεχωριστά στη νέα ιστοσελίδα www.study4exams.gr.
Το σύνολο της ύλης κάθε βοηθήµατος περιλαµβάνει όλα τα κεφάλαια της ύλης του σχολικού βιβλίου που έχουν επιλεγεί για τις Πανελλαδικές Εξετάσεις. Η βασική δοµή της ύλης αποτελείται από τα αντίστοιχα κεφάλαια, τα οποία µε τη σειρά τους είναι χωρισµένα σε ενότητες. Κάθε ενότητα περιλαµβάνει µεταξύ άλλων βιντεοδιάλεξη (βιντεοσκοπηµένη παράδοση της αντίστοιχης ύλης), παραδείγµατα για την κατανόηση της θεωρίας µε υποδειγµατικές λυµένες ασκήσεις, ερωτή σεις και ασκήσεις γιαεξάσκηση, απαντήσεις και λύσεις των ασκήσεων.
Στόχοςτωνυπευθύνωντου υπουργείου είναι «τα µαθήµατα να προσφέρουν έναν συµπληρωµατικό, ευέλικτο και σύγχρονο τρόπο πρόσβασης των µαθητών σε χρήσιµο υποβοηθητικό υλικό, αποκλειστικά και µόνο για τις ανάγκες προετοιµασίας τους ενόψει των Πανελλαδικών Εξετάσεων», τονίζεται σε ανακοίνωσή του. Οι υπεύθυνοι του υπουργείου συµβουλεύουν πάντως τους µαθητές ότι δεν πρέπει να περιορίζουν τη µελέτη τους µόνο στην ύλη των ψηφιακών βοηθηµάτων. Οπως τονίζουν µέσα στην ιστοσελίδα www. study4exams.gr, τα παιδιά πρωτίστως πρέπει να µελετούν την ύλη του σχολικού βιβλίου. Αυτό άλλωστε, λένε, υπονοείται και από τον τίτλο «ψηφιακό εκπαιδευτικό βοήθηµα». Η µελέτη της ύλης του είναι προσθετική στη µελέτη της σχολικής ύλης και σε καµιά περίπτωση δεν την υποκαθιστά.
Χρήσιµο υλικό για τις ανάγκες προετοιµασίας ενόψει Πανελλαδικών
Δωρεάν
η πρόσβαση
είναι ελεύθερη τόσο για τους µαθητές όσο και για τους εκπαιδευτικούς, και δεν θα απαιτείται καµία εγγραφή ή κωδικός.
Source : TA NEA
Ο δικός μας ρόλος στην διαδικτυακή ασφάλεια ( κείμενο στα αγγλικά)
Raising security awareness is a role which needs to be played by everyone, but in the corporate world it’s a role which needs top performances of management and those who are responsible for security.
That’s because those are the people who are should be most concerned by the impact, financial, reputational or organizational of security incidents. If these key management people do not take action, security awareness will never be raised and the organization will keep on having a bigger than desired security exposure.
That’s of course easier said than done. So how should we go about ? Here’s a start (but by no means the only way, neither has it the pretention of being exhaustive).
Establishing direction and objectives
Every organization is different. It has different culture, different kind of users, other ways of doing business.
So there is no “one size fits all” approach in most cases. So before starting up a program we should look at the organization and identify areas of security improvement.
Some questions one might want to ask during such an analyses are :
■which security incidents occur frequently in our organization ?
■what is the impact of these security incidents (financial, reputational, organizational, …) ?
■what is already in the organization’s security policy and what is not ?
■how can the security policy be improved ?
From these questions one might decide some key areas for improvement, and one might even see that the current security policy is unclear on some topics and therefore could be improved.
After revising the security policy (if needed) one should have a clear indication, by means of a gap analyses between the security policy and the actual state of security in the organization, of the key priorities to focus on in a security awareness program.
It’s obvious that this kind of analyses might lead to other security projects as well, as there might be gaps identified which can not be resolved by increasing the awareness levels only.
Establishing a security awareness plan
According to the US National Institute of Standards and Technology (NIST), there are three major steps in the development of an IT security awareness and training program :
■designing the program (based upon the previously performed gap analyses)
■developing the awareness and training material
■implementing the program
NIST security awareness program stack
Even a small amount of IT security awareness and training can go a long way toward improving the IT security posture of, and vigilance within, an organization.
This program deserves support from senior management. If support is not there, and the awareness campaign is done from inside the IT department for example, it is obvious that the program will get less attention and might be qualified by users as some other IT “thing” they have to cope with.
Directions from senior management are most of the time perceived by our users as something to which they should pay closer attention to; and therefore it will be more effective.
Establishing priorities
Experience shows that a gap analyses executed on an organisation can reveal a longer list than expected of issues to tackle. It might be that you need to come to terms with the fact that you will not be able to solve everything at once.
Determining priorities in the communication you will convey are therefore probably needed. You should forget either that users also have a limited capacity to cope with too much information. cope with too much information. So it might be better to communicate about fewer topics instead of trying to communicate everything (at once).
So focus and prioritization comes into play. Here are some ideas as suggested by NIST :
■Password usage and management – including creation, frequency of changes, and protection
■Protection from viruses, worms, Trojan horses, and other malicious code – scanning, updating definitions
■Policy – implications of noncompliance
■Unknown e-mail/attachments
■Web usage – allowed versus prohibited; monitoring of user activity
■Spam
■Data backup and storage – centralized or decentralized approach
■Social engineering
■Incident response – contact whom? “What do I do?”
■Shoulder surfing
■Changes in system environment – increases in risks to systems and data (e.g., water, fire, dust or dirt, physical access)
■Inventory and property transfer – identify responsible organization and user responsibilities (e.g., media sanitization)
■Personal use and gain issues – systems at work and home
■Handheld device security issues – address both physical and wireless security issues
■Use of encryption and the transmission of sensitive/confidential information over the Internet – address agency policy, procedures, and technical contact for assistance
■Laptop security while on travel – address both physical and information security issues
■Personally owned systems and software at work – state whether allowed or not (e.g., copyrights)
■Timely application of system patches – part of configuration management
■Software license restriction issues – address when copies are allowed and not allowed
■Supported/allowed software on organization systems – part of configuration management
■Access control issues – address least privilege and separation of duties
■Individual accountability – explain what this means in the organization
■Use of acknowledgement statements – passwords, access to systems and data, personal use and gain
■Visitor control and physical access to spaces – discuss applicable physical security policy and procedures, e.g., challenge strangers, report unusual activity
■Desktop security – discuss use of screensavers, restricting visitors’ view of information on screen (preventing/limiting “shoulder surfing”), battery backup devices, allowed access to systems
■Protect information subject to confidentiality concerns – in systems, archived, on backup media, in hardcopy form, and until destroyed
■E-mail list etiquette – attached files and other rules
Some of these surely also apply to your organization …
Establishing the security culture
The most successfull security awareness programs are those which are repetitive and spanned in time.
Humans tend to forget quickly (especially if they have other work to do).
Therefore repetition over a longer period of time is the key to the success of your security awareness program.
Only this way you can achieve an organizational culture where users have a security aware culture and act accordingly. And that’s what we’re aiming for.
So it’s time to act and try to convey the message to your management !
Source : ITsecurity.be
That’s because those are the people who are should be most concerned by the impact, financial, reputational or organizational of security incidents. If these key management people do not take action, security awareness will never be raised and the organization will keep on having a bigger than desired security exposure.
That’s of course easier said than done. So how should we go about ? Here’s a start (but by no means the only way, neither has it the pretention of being exhaustive).
Establishing direction and objectives
Every organization is different. It has different culture, different kind of users, other ways of doing business.
So there is no “one size fits all” approach in most cases. So before starting up a program we should look at the organization and identify areas of security improvement.
Some questions one might want to ask during such an analyses are :
■which security incidents occur frequently in our organization ?
■what is the impact of these security incidents (financial, reputational, organizational, …) ?
■what is already in the organization’s security policy and what is not ?
■how can the security policy be improved ?
From these questions one might decide some key areas for improvement, and one might even see that the current security policy is unclear on some topics and therefore could be improved.
After revising the security policy (if needed) one should have a clear indication, by means of a gap analyses between the security policy and the actual state of security in the organization, of the key priorities to focus on in a security awareness program.
It’s obvious that this kind of analyses might lead to other security projects as well, as there might be gaps identified which can not be resolved by increasing the awareness levels only.
Establishing a security awareness plan
According to the US National Institute of Standards and Technology (NIST), there are three major steps in the development of an IT security awareness and training program :
■designing the program (based upon the previously performed gap analyses)
■developing the awareness and training material
■implementing the program
NIST security awareness program stack
Even a small amount of IT security awareness and training can go a long way toward improving the IT security posture of, and vigilance within, an organization.
This program deserves support from senior management. If support is not there, and the awareness campaign is done from inside the IT department for example, it is obvious that the program will get less attention and might be qualified by users as some other IT “thing” they have to cope with.
Directions from senior management are most of the time perceived by our users as something to which they should pay closer attention to; and therefore it will be more effective.
Establishing priorities
Experience shows that a gap analyses executed on an organisation can reveal a longer list than expected of issues to tackle. It might be that you need to come to terms with the fact that you will not be able to solve everything at once.
Determining priorities in the communication you will convey are therefore probably needed. You should forget either that users also have a limited capacity to cope with too much information. cope with too much information. So it might be better to communicate about fewer topics instead of trying to communicate everything (at once).
So focus and prioritization comes into play. Here are some ideas as suggested by NIST :
■Password usage and management – including creation, frequency of changes, and protection
■Protection from viruses, worms, Trojan horses, and other malicious code – scanning, updating definitions
■Policy – implications of noncompliance
■Unknown e-mail/attachments
■Web usage – allowed versus prohibited; monitoring of user activity
■Spam
■Data backup and storage – centralized or decentralized approach
■Social engineering
■Incident response – contact whom? “What do I do?”
■Shoulder surfing
■Changes in system environment – increases in risks to systems and data (e.g., water, fire, dust or dirt, physical access)
■Inventory and property transfer – identify responsible organization and user responsibilities (e.g., media sanitization)
■Personal use and gain issues – systems at work and home
■Handheld device security issues – address both physical and wireless security issues
■Use of encryption and the transmission of sensitive/confidential information over the Internet – address agency policy, procedures, and technical contact for assistance
■Laptop security while on travel – address both physical and information security issues
■Personally owned systems and software at work – state whether allowed or not (e.g., copyrights)
■Timely application of system patches – part of configuration management
■Software license restriction issues – address when copies are allowed and not allowed
■Supported/allowed software on organization systems – part of configuration management
■Access control issues – address least privilege and separation of duties
■Individual accountability – explain what this means in the organization
■Use of acknowledgement statements – passwords, access to systems and data, personal use and gain
■Visitor control and physical access to spaces – discuss applicable physical security policy and procedures, e.g., challenge strangers, report unusual activity
■Desktop security – discuss use of screensavers, restricting visitors’ view of information on screen (preventing/limiting “shoulder surfing”), battery backup devices, allowed access to systems
■Protect information subject to confidentiality concerns – in systems, archived, on backup media, in hardcopy form, and until destroyed
■E-mail list etiquette – attached files and other rules
Some of these surely also apply to your organization …
Establishing the security culture
The most successfull security awareness programs are those which are repetitive and spanned in time.
Humans tend to forget quickly (especially if they have other work to do).
Therefore repetition over a longer period of time is the key to the success of your security awareness program.
Only this way you can achieve an organizational culture where users have a security aware culture and act accordingly. And that’s what we’re aiming for.
So it’s time to act and try to convey the message to your management !
Source : ITsecurity.be
Τετάρτη 23 Φεβρουαρίου 2011
Κοινωνική δικτύωση και εικονικές συζητήσεις : Προσέχουμε τις παρέες μας
•Social networking – Σελίδες κοινωνικής δικτύωσης: Ιστοσελίδες κοινωνικών δικτύων (social networking sites), όπως π.χ. Facebook, MySpace, Hi5 κ.α είναι ιστοσελίδες στις οποίες είναι εφικτή η δημιουργία από τους χρήστες δικού τους περιεχομένου, το οποίο μπορούν να το μοιραστούν με ένα ευρύ δίκτυο ατόμων, ακόμα και σε παγκόσμιο επίπεδο, ο σχολιασμός πάνω στο περιεχόμενο άλλων, η μεταφόρτωση φωτογραφιών, η καταχώριση εγγραφών ημερολογίου, η δημιουργία κειμένων με εικόνες, μουσική και βίντεο κ.α. Το είδος των σχολίων και των δημοσιεύσεων συνιστά το προφίλ του κάθε χρήστη αυτών των δικτύων, το οποίο μπορεί να διαφοροποιείται διαρκώς, ανάλογα με τα ενδιαφέροντά του και τη διάθεση του κάθε στιγμή.
• Chat-rooms Εικονικά δωμάτια συζητήσεων: είναι η συμμετοχή σε ανοιχτές ομάδες συνομιλίας στο Διαδίκτυο, όπου μπορεί κανείς να μιλήσει με άλλους χρήστες σε πραγματικό χρόνο, χρησιμοποιώντας ψευδώνυμο. Σε μια συνομιλία μπορούν να συμμετέχουν πολλοί χρήστες αλλά, σε πολλές περιπτώσεις, είναι επίσης δυνατό να υπάρξει προσωπική συνομιλία μεταξύ δύο συμμετεχόντων.
• Instant messaging - Άμεσα μηνύματα: είναι μια μορφή επικοινωνίας σε πραγματικό χρόνο μεταξύ δύο ή περισσότερων άτομων από μια λίστα επαφών μέσω Διαδικτύου.
Οδηγίες Χρήσεως για …Social networking
Τι μπορούμε να συμβουλέψουμε τα παιδιά μας;
Όταν δημιουργούμε το προφίλ μας (αλλά και κατά τη χρήση) ρυθμίζουμε ποιοι έχουν πρόσβαση στα προσωπικά μας δεδομένα μέσω των privacy settings επιτρέποντας μόνο στους φίλους μας να βλέπουν το προφίλ μας, τις φωτογραφίες μας, τα προσωπικά σχόλια μας και πότε είμαστε online. Επιπρόσθετα, ρυθμίζουμε τη μορφή που εμφανίζεται το προφίλ σας στα αποτελέσματα κάποιας μηχανής αναζήτησης.
Εάν κάποιος φίλος γίνεται ενοχλητικός ή κάποιος άγνωστος μας βομβαρδίζει με μηνύματα μπορούμε να τον βάλουμε στη μαύρη λίστα.
Δε δίνουμε προσωπικές πληροφορίες όπως την ηλικία μας, το σχολείο μας, τη διεύθυνση μας.
Δεν ανεβάζουμε προσωπικές μας φωτογραφίες ή φωτογραφίες που αποκαλύπτουν στοιχεία τα οποία μπορούν να βοηθήσουν στον εντοπισμό μας στο φυσικό κόσμο όπως το όνομα του σχολείου μας, την πινακίδα του αυτοκινήτου μας, την είσοδο του σπιτιού μας κτλ. Θυμόμαστε ότι κάθε πληροφορία και φωτογραφία που ανεβάζουμε στο Διαδίκτυο μένει εκεί για πάντα ακόμα και αν αποφασίσουμε να τη διαγράψουμε. Φροντίζουμε ώστε οι φωτογραφίες που ανεβάζουμε είναι σε χαμηλή ανάλυση ή υδατογραφημένες.
Τι κάνουμε εμείς οι ίδιοι;
Εξοικειωθείτε οι ίδιοι με αυτές τις δραστηριότητες και επισκεφτείτε και οι ίδιοι το προφιλ του παιδιού σας.
Φτιάξτε και εσείς προφίλ! Ζητείστε και τη βοήθεια του παιδιού σας!
Οδηγίες Χρήσεως για …chat
Τι μπορούμε να συμβουλέψουμε τα παιδιά μας;
Προσέχουμε όσους μας ρωτούν πολλές προσωπικές ερωτήσεις, ιδιαίτερα όταν δεν σταματούν ενώ τους το ζητάμε. Εάν αισθανθούμε άσχημα απλά φεύγουμε από το δωμάτιο.
Επιλέγουμε κάποιο έξυπνο ψευδώνυμο που δεν αποκαλύπτει στοιχεία όπως το πραγματικό όνομα σου, την ηλικία.
Δε δίνουμε προσωπικές πληροφορίες όπως την ηλικία μας, το σχολείο μας, τη διεύθυνση μας.
Οδηγίες Χρήσεως για … instant messaging
Τι μπορούμε να συμβουλέψουμε τα παιδιά μας;
Επικοινωνούμε μόνο με άτομα που γνωρίζουμε στο φυσικό κόσμο.
Εάν κάποιος θέλει να μας προσθέσει στη λίστα επαφών του και δεν τον γνωρίζουμε τον κάνουμε block. Έτσι, δε θα μπορεί να δει πότε είμαστε online και να επικοινωνεί μαζί μας.
Δεν είναι καλή ιδέα να υπάρχει προσωπική φωτογραφία στο προφίλ, μπορούμε να χρησιμοποιούμε κάποια από τις φωτογραφίες που υπάρχουν στο ΙΜ.
Δεν αποδεχόμαστε αρχεία από άτομα που δεν γνωρίζουμε! Αυτό περιλαμβάνει και τα URL.
Επιλέγουμε κάποιο έξυπνο ψευδώνυμο που δεν αποκαλύπτει στοιχεία όπως το πραγματικό όνομα σου και την ηλικία.
Δε δίνουμε προσωπικές πληροφορίες όπως την ηλικία μας, το σχολείο μας, τη διεύθυνση μας.
Προτείνετε στα παιδιά σας να βάλουνε τους φίλους τους απλό το σχολείο στη λίστα με τους άτομα που συνομιλούν ώστε να μην αισθάνονται την ανάγκη να επικοινωνούν με αγνώστους.
Παιχνίδια στο Διαδίκτυο (online gaming)
Για να μάθετε αν το αγαπημένο παιχνίδι του παιδί σας είναι κατάλληλο για την ηλικία του, χρησιμοποιείστε το σύστημα PEGI που δημιουργήθηκε ειδικά για γονείς και κατατάσσει τα παιχνίδια σε ηλιακές ομάδες χαρακτηρίζοντας το περιεχόμενο τους με τη χρήση έξυπνων εικονιδίων.
=βία =χυδαία γλώσσα
Ψάξτε λοιπόν το παιχνίδι που παίζει το παιδί στην παρακάτω διεύθυνση και βρείτε σε τι ηλικίες απευθύνεται.
http://www.pegi.info/el/index/id/93
Και για πιο προχωρημένους γονείς …
Γνωρίζετε πως μπορείτε να ρυθμίσετε τις ώρες που παίζει το παιδί σας στο διαδίκτυο; Μιλώντας μαζί του μαθαίνετε το αγαπημένο του παιχνίδι ή ακόμα και από το ιστορικό (link στην αντίστοιχη ενότητα) ή τα αγαπημένα μπορείτε να βρείτε τα παιχνίδια που παίζει και αν είναι κατάλληλα για την ηλικία του. Τότε μπορείτε να επικοινωνήσετε με την εταιρεία η οποία δε θα του επιτρέψει να ξαναπαίξει.
Ρυθμίστε τις ώρες που θα έχει το παιδί σας πρόσβαση στο διαδίκτυο μέσω του router / δρομολογητή.
Source : www.dart.gov.com
• Chat-rooms Εικονικά δωμάτια συζητήσεων: είναι η συμμετοχή σε ανοιχτές ομάδες συνομιλίας στο Διαδίκτυο, όπου μπορεί κανείς να μιλήσει με άλλους χρήστες σε πραγματικό χρόνο, χρησιμοποιώντας ψευδώνυμο. Σε μια συνομιλία μπορούν να συμμετέχουν πολλοί χρήστες αλλά, σε πολλές περιπτώσεις, είναι επίσης δυνατό να υπάρξει προσωπική συνομιλία μεταξύ δύο συμμετεχόντων.
• Instant messaging - Άμεσα μηνύματα: είναι μια μορφή επικοινωνίας σε πραγματικό χρόνο μεταξύ δύο ή περισσότερων άτομων από μια λίστα επαφών μέσω Διαδικτύου.
Οδηγίες Χρήσεως για …Social networking
Τι μπορούμε να συμβουλέψουμε τα παιδιά μας;
Όταν δημιουργούμε το προφίλ μας (αλλά και κατά τη χρήση) ρυθμίζουμε ποιοι έχουν πρόσβαση στα προσωπικά μας δεδομένα μέσω των privacy settings επιτρέποντας μόνο στους φίλους μας να βλέπουν το προφίλ μας, τις φωτογραφίες μας, τα προσωπικά σχόλια μας και πότε είμαστε online. Επιπρόσθετα, ρυθμίζουμε τη μορφή που εμφανίζεται το προφίλ σας στα αποτελέσματα κάποιας μηχανής αναζήτησης.
Εάν κάποιος φίλος γίνεται ενοχλητικός ή κάποιος άγνωστος μας βομβαρδίζει με μηνύματα μπορούμε να τον βάλουμε στη μαύρη λίστα.
Δε δίνουμε προσωπικές πληροφορίες όπως την ηλικία μας, το σχολείο μας, τη διεύθυνση μας.
Δεν ανεβάζουμε προσωπικές μας φωτογραφίες ή φωτογραφίες που αποκαλύπτουν στοιχεία τα οποία μπορούν να βοηθήσουν στον εντοπισμό μας στο φυσικό κόσμο όπως το όνομα του σχολείου μας, την πινακίδα του αυτοκινήτου μας, την είσοδο του σπιτιού μας κτλ. Θυμόμαστε ότι κάθε πληροφορία και φωτογραφία που ανεβάζουμε στο Διαδίκτυο μένει εκεί για πάντα ακόμα και αν αποφασίσουμε να τη διαγράψουμε. Φροντίζουμε ώστε οι φωτογραφίες που ανεβάζουμε είναι σε χαμηλή ανάλυση ή υδατογραφημένες.
Τι κάνουμε εμείς οι ίδιοι;
Εξοικειωθείτε οι ίδιοι με αυτές τις δραστηριότητες και επισκεφτείτε και οι ίδιοι το προφιλ του παιδιού σας.
Φτιάξτε και εσείς προφίλ! Ζητείστε και τη βοήθεια του παιδιού σας!
Οδηγίες Χρήσεως για …chat
Τι μπορούμε να συμβουλέψουμε τα παιδιά μας;
Προσέχουμε όσους μας ρωτούν πολλές προσωπικές ερωτήσεις, ιδιαίτερα όταν δεν σταματούν ενώ τους το ζητάμε. Εάν αισθανθούμε άσχημα απλά φεύγουμε από το δωμάτιο.
Επιλέγουμε κάποιο έξυπνο ψευδώνυμο που δεν αποκαλύπτει στοιχεία όπως το πραγματικό όνομα σου, την ηλικία.
Δε δίνουμε προσωπικές πληροφορίες όπως την ηλικία μας, το σχολείο μας, τη διεύθυνση μας.
Οδηγίες Χρήσεως για … instant messaging
Τι μπορούμε να συμβουλέψουμε τα παιδιά μας;
Επικοινωνούμε μόνο με άτομα που γνωρίζουμε στο φυσικό κόσμο.
Εάν κάποιος θέλει να μας προσθέσει στη λίστα επαφών του και δεν τον γνωρίζουμε τον κάνουμε block. Έτσι, δε θα μπορεί να δει πότε είμαστε online και να επικοινωνεί μαζί μας.
Δεν είναι καλή ιδέα να υπάρχει προσωπική φωτογραφία στο προφίλ, μπορούμε να χρησιμοποιούμε κάποια από τις φωτογραφίες που υπάρχουν στο ΙΜ.
Δεν αποδεχόμαστε αρχεία από άτομα που δεν γνωρίζουμε! Αυτό περιλαμβάνει και τα URL.
Επιλέγουμε κάποιο έξυπνο ψευδώνυμο που δεν αποκαλύπτει στοιχεία όπως το πραγματικό όνομα σου και την ηλικία.
Δε δίνουμε προσωπικές πληροφορίες όπως την ηλικία μας, το σχολείο μας, τη διεύθυνση μας.
Προτείνετε στα παιδιά σας να βάλουνε τους φίλους τους απλό το σχολείο στη λίστα με τους άτομα που συνομιλούν ώστε να μην αισθάνονται την ανάγκη να επικοινωνούν με αγνώστους.
Παιχνίδια στο Διαδίκτυο (online gaming)
Για να μάθετε αν το αγαπημένο παιχνίδι του παιδί σας είναι κατάλληλο για την ηλικία του, χρησιμοποιείστε το σύστημα PEGI που δημιουργήθηκε ειδικά για γονείς και κατατάσσει τα παιχνίδια σε ηλιακές ομάδες χαρακτηρίζοντας το περιεχόμενο τους με τη χρήση έξυπνων εικονιδίων.
=βία =χυδαία γλώσσα
Ψάξτε λοιπόν το παιχνίδι που παίζει το παιδί στην παρακάτω διεύθυνση και βρείτε σε τι ηλικίες απευθύνεται.
http://www.pegi.info/el/index/id/93
Και για πιο προχωρημένους γονείς …
Γνωρίζετε πως μπορείτε να ρυθμίσετε τις ώρες που παίζει το παιδί σας στο διαδίκτυο; Μιλώντας μαζί του μαθαίνετε το αγαπημένο του παιχνίδι ή ακόμα και από το ιστορικό (link στην αντίστοιχη ενότητα) ή τα αγαπημένα μπορείτε να βρείτε τα παιχνίδια που παίζει και αν είναι κατάλληλα για την ηλικία του. Τότε μπορείτε να επικοινωνήσετε με την εταιρεία η οποία δε θα του επιτρέψει να ξαναπαίξει.
Ρυθμίστε τις ώρες που θα έχει το παιδί σας πρόσβαση στο διαδίκτυο μέσω του router / δρομολογητή.
Source : www.dart.gov.com
Ηλεκτρονικές αγορές- Η γνώση προφυλλάσει
Σε γενικές γραμμές, η αγορά από το internet (διαδίκτυο) είναι ασφαλής, ιδιαίτερα όταν γίνεται από αναγνωρισμένα και μεγάλα ηλεκτρονικά καταστήματα.
Υπάρχουν όμως και κάποιες περιπτώσεις που κρύβουν κινδύνους για τους καταναλωτές.
Οι κίνδυνοι αυτοί σχετίζονται κυρίως με την αθέτηση των όρων της εμπορικής συμφωνίας (μη παράδοση των προϊόντων ή των υπηρεσιών, παράδοση ελαττωματικών αγαθών, χρέωση κρυφών εξόδων).
Στις σελίδες που ακολουθούν θα βρεις χρήσιμες πληροφορίες νια την αποφυγή της ηλεκτρονικής εξαπάτησης.
Σε γενικές γραμμές, χρειάζεται να είσαι καχύποπτος και να προσέχεις ιδιαίτερα, διαβάζοντας τους όρους της εμπορικής συναλλαγής και ελέγχοντας τη φερεγγυότητα του ηλεκτρονικού καταστήματος με το οποίο συναλλάσσεσαι.
Υπάρχουν πολλοί τρόποι για να προστατευτεί κανείς από την εξαπάτηση κατά τη διάρκεια εμπορικών συναλλαγών στο διαδίκτυο και οποιοσδήποτε συνδυασμός τους θα σε προστατεύσει επαρκώς.
Ειδικότερα:
Να διαβάζεις με προσοχή τους όρους της σύμβασης συναλλαγής
Να διαβάζεις με προσοχή τους όρους χρήσης της ιστοσελίδας που χρησιμοποιείς
Να βεβαιώνεσαι για τη φερεγγυότητα του ηλεκτρονικού καταστήματος με το οποίο συναλλάσσεσαι
Να ελέγχεις τις πληροφορίες για το προϊόν, την τιμή του και το νόμισμα που θα γίνει η συναλλαγή, καθώς και για το τελικό κόστος (με τα έξοδα αποστολής)
Να μελετάς την πολιτική επιστροφών της εταιρίας
Να διαβάζεις προσεκτικά τους όρους ασφαλείας πληρωμών της ιστοσελίδας
Να εξακριβώνεις το χρόνο παράδοσης του προϊόντος
Άλλοι τρόποι προστασίας:
Να εξοπλιστείς με ειδικό λογισμικό ασφαλείας, που ανιχνεύει κακόβουλο λογισμικό στον υπολογιστή σου
Όταν πληρώνεις, να είσαι σίγουρος για την ασφαλή και κρυπτογραφημένη σύνδεση του υπολογιστή - εμφανίζεται είτε με την αλλαγή χρώματος της περιοχής που γράφεις την ηλεκτρονική διεύθυνση, είτε με ένα σύμβολο κάτω δεξιά στο πρόγραμμα πλοήγησης, είτε με την αλλαγή της διεύθυνσης από http:// σε https://
Να μην αποθηκεύεις προσωπικούς κωδικούς πρόσβασης στον υπολογιστή
Να μη δίνεις τους προσωπικούς κωδικούς σου σε τρίτα άτομα
Ο κωδικός σου πρέπει, για μεγαλύτερη ασφάλεια, να περιέχει γράμματα, αριθμούς και σύμβολα
Να μη δίνεις προσωπικές πληροφορίες μέσα από το ηλεκτρονικό ταχυδρομείο γιατί δεν είναι κρυπτογραφημένη και ασφαλής υπηρεσία
Να προσέχεις τη διεύθυνση που γράφεις, αν είναι η πραγματική
Προτίμησε για αγορές προπληρωμένες δικτυακές υπηρεσίες, καθώς παρέχονται από εταιρίες φερέγγυες και σοβαρές που προσφέρουν αποζημίωση σε περίπτωση εξαπάτησης
Να χρησιμοποιείς προπληρωμένες πιστωτικές κάρτες
Κατά τη διάρκεια της συναλλαγής:
Να αποθηκεύεις στον υπολογιστή τη συναλλαγή που πραγματοποιείς
Να γνωρίζεις την πολιτική της εταιρίας αναφορικά με τη χρήση των προσωπικών σου δεδομένων
Να εκτυπώνεις και να κρατάς την πολιτική επιστροφών
Μετά την αγορά:
Να θυμάσαι ότι έχεις τα ίδια δικαιώματα σα να είχες αγοράσει από ένα κανονικό κατάστημα
Να κρατάς όλα τα στοιχεία επικοινωνίας - ίσως τα χρειαστείς σε περίπτωση αργοπορίας ή προβλήματος με την παράδοση του προϊόντος
Να κρατάς αντίγραφο των όρων και των προϋποθέσεων αγοράς
Συμβουλές για την αντιμετώπιση προβλημάτων:
Σύμφωνα με τη νομοθεσία της Ευρωπαϊκής Ένωσης, μπορείς να ακυρώσεις μια υπηρεσία ή να επιστρέψεις ένα προϊόν, μέσα σε συγκεκριμένο χρονικό διάστημα - συνήθως επτά ημερών - γνωστό και ως "cooling-off period"
Σε περίπτωση επιστροφής, πληρώνεις ο ίδιος τα έξοδα αποστολής
Σε περίπτωση παράδοσης ελαττωματικού προϊόντος, μπορείς και πρέπει να προβείς άμεσα σε καταγγελία στις αρμόδιες υπηρεσίες
Σε περίπτωση μη εκτέλεσης μιας υπηρεσίας, δικαιούσαι την επιστροφή των χρημάτων σου
Source: dart.gov.com
Υπάρχουν όμως και κάποιες περιπτώσεις που κρύβουν κινδύνους για τους καταναλωτές.
Οι κίνδυνοι αυτοί σχετίζονται κυρίως με την αθέτηση των όρων της εμπορικής συμφωνίας (μη παράδοση των προϊόντων ή των υπηρεσιών, παράδοση ελαττωματικών αγαθών, χρέωση κρυφών εξόδων).
Στις σελίδες που ακολουθούν θα βρεις χρήσιμες πληροφορίες νια την αποφυγή της ηλεκτρονικής εξαπάτησης.
Σε γενικές γραμμές, χρειάζεται να είσαι καχύποπτος και να προσέχεις ιδιαίτερα, διαβάζοντας τους όρους της εμπορικής συναλλαγής και ελέγχοντας τη φερεγγυότητα του ηλεκτρονικού καταστήματος με το οποίο συναλλάσσεσαι.
Υπάρχουν πολλοί τρόποι για να προστατευτεί κανείς από την εξαπάτηση κατά τη διάρκεια εμπορικών συναλλαγών στο διαδίκτυο και οποιοσδήποτε συνδυασμός τους θα σε προστατεύσει επαρκώς.
Ειδικότερα:
Να διαβάζεις με προσοχή τους όρους της σύμβασης συναλλαγής
Να διαβάζεις με προσοχή τους όρους χρήσης της ιστοσελίδας που χρησιμοποιείς
Να βεβαιώνεσαι για τη φερεγγυότητα του ηλεκτρονικού καταστήματος με το οποίο συναλλάσσεσαι
Να ελέγχεις τις πληροφορίες για το προϊόν, την τιμή του και το νόμισμα που θα γίνει η συναλλαγή, καθώς και για το τελικό κόστος (με τα έξοδα αποστολής)
Να μελετάς την πολιτική επιστροφών της εταιρίας
Να διαβάζεις προσεκτικά τους όρους ασφαλείας πληρωμών της ιστοσελίδας
Να εξακριβώνεις το χρόνο παράδοσης του προϊόντος
Άλλοι τρόποι προστασίας:
Να εξοπλιστείς με ειδικό λογισμικό ασφαλείας, που ανιχνεύει κακόβουλο λογισμικό στον υπολογιστή σου
Όταν πληρώνεις, να είσαι σίγουρος για την ασφαλή και κρυπτογραφημένη σύνδεση του υπολογιστή - εμφανίζεται είτε με την αλλαγή χρώματος της περιοχής που γράφεις την ηλεκτρονική διεύθυνση, είτε με ένα σύμβολο κάτω δεξιά στο πρόγραμμα πλοήγησης, είτε με την αλλαγή της διεύθυνσης από http:// σε https://
Να μην αποθηκεύεις προσωπικούς κωδικούς πρόσβασης στον υπολογιστή
Να μη δίνεις τους προσωπικούς κωδικούς σου σε τρίτα άτομα
Ο κωδικός σου πρέπει, για μεγαλύτερη ασφάλεια, να περιέχει γράμματα, αριθμούς και σύμβολα
Να μη δίνεις προσωπικές πληροφορίες μέσα από το ηλεκτρονικό ταχυδρομείο γιατί δεν είναι κρυπτογραφημένη και ασφαλής υπηρεσία
Να προσέχεις τη διεύθυνση που γράφεις, αν είναι η πραγματική
Προτίμησε για αγορές προπληρωμένες δικτυακές υπηρεσίες, καθώς παρέχονται από εταιρίες φερέγγυες και σοβαρές που προσφέρουν αποζημίωση σε περίπτωση εξαπάτησης
Να χρησιμοποιείς προπληρωμένες πιστωτικές κάρτες
Κατά τη διάρκεια της συναλλαγής:
Να αποθηκεύεις στον υπολογιστή τη συναλλαγή που πραγματοποιείς
Να γνωρίζεις την πολιτική της εταιρίας αναφορικά με τη χρήση των προσωπικών σου δεδομένων
Να εκτυπώνεις και να κρατάς την πολιτική επιστροφών
Μετά την αγορά:
Να θυμάσαι ότι έχεις τα ίδια δικαιώματα σα να είχες αγοράσει από ένα κανονικό κατάστημα
Να κρατάς όλα τα στοιχεία επικοινωνίας - ίσως τα χρειαστείς σε περίπτωση αργοπορίας ή προβλήματος με την παράδοση του προϊόντος
Να κρατάς αντίγραφο των όρων και των προϋποθέσεων αγοράς
Συμβουλές για την αντιμετώπιση προβλημάτων:
Σύμφωνα με τη νομοθεσία της Ευρωπαϊκής Ένωσης, μπορείς να ακυρώσεις μια υπηρεσία ή να επιστρέψεις ένα προϊόν, μέσα σε συγκεκριμένο χρονικό διάστημα - συνήθως επτά ημερών - γνωστό και ως "cooling-off period"
Σε περίπτωση επιστροφής, πληρώνεις ο ίδιος τα έξοδα αποστολής
Σε περίπτωση παράδοσης ελαττωματικού προϊόντος, μπορείς και πρέπει να προβείς άμεσα σε καταγγελία στις αρμόδιες υπηρεσίες
Σε περίπτωση μη εκτέλεσης μιας υπηρεσίας, δικαιούσαι την επιστροφή των χρημάτων σου
Source: dart.gov.com
Εγγραφή σε:
Αναρτήσεις (Atom)