ΣΤΡΑΤΗΓΙΚΗ ΚΥΒΕΡΝΟΑΣΦΑΛΕΙΑΣ ΤΗΣ ΚΥΠΡΙΑΚΗΣ ΔΗΜΟΚΡΑΤΙΑΣ 2020 Κυβερνοασφάλειας, ως αυτή τροποποιείται και βελτιώνεται, και η μεθοδολογία αυτή αποτελεί αναπόσπαστο μέρος της διαχείρισης κινδύνων σε εθνικό επίπεδο. Για τη βελτιστοποίηση της αξιολόγησης αυτής, θα πρέπει να διενεργούνται σχετικές αξιολογήσεις κινδύνων από τον κάθε φορέα που χειρίζεται κρίσιμες υποδομές (βλ. θεματική ενότητα 3.4 - Πλαίσιο Κυβερνοασφάλειας). 3.5.2. Αξιολόγηση επικινδυνότητας και διαχείριση κινδύνων σε επίπεδο κρίσιμων υποδομών πληροφοριών και βασικών υπηρεσιών Η ΑΨΑ ως αρμόδια αρχή θα πρέπει να καθορίσει μια συνεκτική προσέγγιση για την αξιολόγηση των κινδύνων και σε επίπεδο κρίσιμων υποδομών πληροφοριών και βασικών υπηρεσιών, η οποία πρέπει να ακολουθείται από όλες τις κυβερνητικές οντότητες και τους φορείς εκμετάλλευσης κρίσιμων υποδομών πληροφορίων και βασικών υπηρεσιών, που εντοπίζονται σε εθνικό επίπεδο. Η προσέγγιση θα πρέπει επίσης να οδηγεί στον εντοπισμό των βασικών στοιχείων του ενεργητικού και των υπηρεσιών των κρίσιμων υποδομών πληροφοριών και βασικών υπηρεσιών, οι οποίες είναι κρίσιμες για την εύρυθμη λειτουργία της κοινωνίας και της οικονομίας, καθώς και τις απειλές και τους κινδύνους που συνδέονται με αυτές. Επιπλέον, θα πρέπει να προσδιοριστούν οι ευθύνες των βασικών φορέων σε κάθε τομέα όσον αφορά την εκτίμηση, αποδοχή και αντιμετώπιση των εθνικών κινδύνων στον κυβερνοχώρο. Η ΑΨΑ θα πρέπει επίσης να καθορίσει μια κοινή μεθοδολογία για τη διαχείριση των κινδύνων ασφάλειας στον κυβερνοχώρο. Αυτό θα διασφαλίσει την αποτελεσματικότητα και τη συνοχή σε όλους τους οργανισμούς και θα διευκολύνει την ανταλλαγή πληροφοριών σχετικά με τους κινδύνους μεταξύ των αλληλοεξαρτώμενων συστημάτων. Η μεθοδολογία είναι δυνατόν να λαμβάνει υπόψη τα διεθνή πρότυπα, καθώς μπορεί να μειώσει το κόστος και να αποφέρει καλύτερη αλληλεπίδραση με τον ιδιωτικό τομέα. Η μεθοδολογία θα πρέπει να παρέχει καθοδήγηση σχετικά με την ανάθεση ρόλων και αρμοδιοτήτων για διάφορες πτυχές διαχείρισης κινδύνου, όπως η εκτίμηση των απειλών, η αποτίμηση των περιουσιακών στοιχείων, η εφαρμογή και η διατήρηση των μέτρων μετριασμού των επιπτώσεων και η αποδοχή του εναπομένοντος κινδύνου. Η μεθοδολογία θα πρέπει να περιλαμβάνει πρόγραμμα πιστοποίησης που θα συμβάλλει στην αξιολόγηση και τελικά στη βελτίωση της συμμόρφωσης. Είναι σημαντικό ότι για τη σύναψη συμβάσεων και την ανάπτυξη υποδομών ή υπηρεσιών, η μεθοδολογία διαχείρισης των κινδύνων θα πρέπει επιπλέον να παρέχει καθοδήγηση σχετικά με την ελαχιστοποίηση του κινδύνου μέσω ασφαλούς αρχιτεκτονικής και σχεδιασμού, αναγνωρίζοντας ότι η ασφάλεια επιτυγχάνεται καλύτερα όταν αποτελεί αναπόσπαστο μέρος της διαδικασίας σχεδιασμού ενός προϊόντος, μιας διαδικασίας ή μιας υπηρεσίας (security by design). Δράσεις: Αξιολόγηση και διαχείριση των κινδύνων κυβερνοασφάλειας στην Κυπριακή Δημοκρατία, μέσω μιας δομημένης μεθοδολογίας για τον εντοπισμό των κρίσιμων υποδομών πληροφορίας και των κινδύνων που δύναται να τις επηρεάσουν, με ανάλυση των πιθανών επιπτώσεων και των επιλογών μετριασμού (risk treatment options), καθώς και της συνεχούς βελτίωσης. 6.1 Η αξιολόγηση κινδύνων θα διενεργείται σε τακτά χρονικά διαστήματα (κάθε 2 χρόνια) για επικαιροποίηση των αποτελεσμάτων και καθοδήγηση του συνόλου των Δράσεων της Στρατηγικής, σύμφωνα με τις πρόνοιες της οδηγίας NIS και της κείμενης εθνικής νομοθεσίας. 30