Ο ελεγκτής ξεκινά σχεδόν πάντα από τα έγγραφα. Ζητά τη γενική πολιτική, το πρακτικό του ΔΣ που την ενέκρινε, και μετά τις θεματικές πολιτικές μία προς μία. Η ΚΥΑ 1689/2025 λέει ποιες είναι: μία γενική και έντεκα θεματικές στο άρθρο 6. Οι υπόλοιπες υποχρεώσεις τεκμηρίωσης είναι σκορπισμένες στα άρθρα 4 έως 25, και το εργαλείο τις συγκεντρώνει σε είκοσι ακόμη έγγραφα: αποφάσεις, διαδικασίες, πλάνα και μητρώα. Αν είσαι σημαντική οντότητα, είναι δεκαοκτώ.
Εδώ δηλώνεις για καθένα αν υπάρχει, σε ποια κατάσταση είναι, ποιος είναι υπεύθυνος και πότε αναθεωρήθηκε. Παίρνεις ποσοστό κάλυψης, τα κενά με σειρά προτεραιότητας και το μητρώο στη μορφή που θα το δει ο ελεγκτής. Χρειάζεσαι δέκα λεπτά. Δεν χρειάζεται εγγραφή.
Μητρώο πολιτικών · ΚΥΑ 1689/2025 · NIS2 · ISO/IEC 27001 · GDPR
Έξι βήματα. Κάθε βήμα ανοίγει αφού ολοκληρώσεις το προηγούμενο. Με Tab πας στο επόμενο πεδίο, με τα ← → αλλάζεις κατάσταση σε ένα έγγραφο και με Enter πατάς το κουμπί που είναι επιλεγμένο. Οι ημερομηνίες γράφονται ηη/μμ/εεεε.
Το μητρώο σου
Το .xlsx είναι το μητρώο που κρατάς και ενημερώνεις: λίστες επιλογών, ημερομηνίες που αναθεωρούνται μόνες τους, φύλλο κενών με υπεύθυνο και προθεσμία. Την επόμενη φορά το φορτώνεις εδώ και συνεχίζεις. Το .pdf είναι για το ΔΣ και τον φάκελο του ελέγχου, με θέσεις υπογραφής.
Ανά ενότητα
Τα κενά, με σειρά προτεραιότητας
Κρίσιμα είναι όσα ελέγχονται πρώτα: η γενική πολιτική, το πρόγραμμα και η έγκρισή του, ο ΥΑΣΠΕ, η εκτίμηση κινδύνων και η διαχείριση περιστατικών. Πάτα ένα κενό για να πας στο έγγραφο.
Το μητρώο
Όπως θα το δει ο ελεγκτής. Στο .xlsx έχει και τις στήλες για τα τέσσερα πλαίσια.
| Κωδ. | Έγγραφο | Κατάσταση | Owner | Έγκριση ΔΣ | Τελευταία αναθ. | Επόμενη αναθ. |
|---|
Ανά πλαίσιο συμμόρφωσης
Οι απαιτήσεις που τεκμηριώνουν τα έγγραφα του μητρώου, με την κατάσταση του πιο αδύναμου εγγράφου για καθεμία. Κάθε κωδικός ανοίγει την απαίτηση στον αντίστοιχο οδηγό.
■ λείπει · ■ σε σχέδιο ή με εύρημα · ■ σε τάξη
Το αποτέλεσμα βασίζεται μόνο σε όσα δήλωσες. Το εργαλείο δεν διαβάζει τα έγγραφά σου και δεν κρίνει το περιεχόμενό τους. Δεν είναι ελεγκτική γνώμη ούτε νομική συμβουλή.
Όσα γράφεις δεν αποστέλλονται πουθενά και δεν αποθηκεύονται: ο υπολογισμός και τα αρχεία .xlsx και .pdf γίνονται μέσα στον browser σου. Αν κλείσεις τη σελίδα, κράτα το .xlsx για να συνεχίσεις.
Τι παίρνεις
Ένα .xlsx που γίνεται το μητρώο σου. Έχει λίστες για την κατάσταση και τον υπεύθυνο, ημερομηνίες ηη/μμ/εεεε, και επόμενη αναθεώρηση που υπολογίζεται μόνη της και γίνεται κόκκινη όταν περάσει. Το φύλλο «Κενά και ενέργειες» είναι το πλάνο διορθωτικών ενεργειών, με υπεύθυνο, προθεσμία και κατάσταση. Το φύλλο «Σύνοψη» ξαναμετρά την κάλυψη κάθε φορά που αλλάζεις κάτι. Την επόμενη φορά φορτώνεις το ίδιο αρχείο εδώ, ακόμη κι αν το έχεις αλλάξει στο Excel, και συνεχίζεις από εκεί που ήσουν.
Ένα .pdf για το ΔΣ και τον φάκελο του ελέγχου. Έχει την κάλυψη ανά ενότητα, τα κενά, το μητρώο σε οριζόντια σελίδα, ποιες απαιτήσεις της ΚΥΑ 1689/2025, της Οδηγίας NIS2, του ISO/IEC 27001 και του GDPR τεκμηριώνει κάθε έγγραφο, και θέσεις υπογραφής για τον ΥΑΣΠΕ και για το ανώτατο όργανο διοίκησης. Το φέρνεις στο ΔΣ ως εισήγηση, και το πρακτικό που βγαίνει είναι τεκμήριο κατά το άρθρο 3 παρ. 3 της ΚΥΑ.
Αν θέλεις να δεις πώς μοιάζει ένα συμπληρωμένο μητρώο, πάτα «Δες ένα παράδειγμα». Φορτώνει τη MyCompany, μια φανταστική σημαντική οντότητα με κατασκευασμένα στοιχεία: πολιτικές εγκεκριμένες από τον CIO αντί για το ΔΣ, μία πολιτική που δεν αναθεωρήθηκε μετά την ΚΥΑ, και ένα πλάνο συνέχειας που είναι ακόμα σχέδιο.
Τι μετράει ως κενό
Ένα έγγραφο που δεν υπάρχει ή που δεν ξέρεις αν υπάρχει είναι κενό με την προτεραιότητα του εγγράφου. Κρίσιμα είναι πέντε: η γενική πολιτική, το πρόγραμμα με την έγκρισή του από το ΔΣ, ο ορισμός του ΥΑΣΠΕ, η εκτίμηση κινδύνων με τη μεθοδολογία της, και η πολιτική διαχείρισης περιστατικών. Χωρίς αυτά ο έλεγχος δεν προχωρά.
Ένα σχέδιο πέφτει μία βαθμίδα, αλλά δεν μετράει στην κάλυψη. Ο ελεγκτής δέχεται μόνο έγγραφα σε ισχύ.
Ένα εγκεκριμένο έγγραφο μπορεί κι αυτό να έχει εύρημα:
- Η ΚΥΑ ζητά ρητά έγκριση από το ανώτατο όργανο διοίκησης για τη γενική πολιτική και τις έντεκα θεματικές (άρθρο 6), για το πρόγραμμα (άρθρο 4) και για την αξιολόγηση των ρόλων (άρθρο 7). Μια πολιτική που ενέκρινε ο CIO δεν αρκεί.
- Η τελευταία αναθεώρηση είναι πριν από τις 06/05/2025, όταν δημοσιεύτηκε η ΚΥΑ. Το έγγραφο πιθανότατα δεν έχει το ελάχιστο περιεχόμενο που ορίζει.
- Η επόμενη αναθεώρηση πέρασε.
- Δεν υπάρχει υπεύθυνος.
Η ΚΥΑ λέει «σε προγραμματισμένα χρονικά διαστήματα» και δεν ορίζει συχνότητα. Οι 12 μήνες που χρησιμοποιεί το εργαλείο είναι η συνήθης πρακτική, και το μητρώο εξαιρέσεων ενημερώσεων έχει 6. Στο .xlsx τους αλλάζεις αν η δική σου πολιτική ορίζει άλλο διάστημα.
Ένα έγγραφο ή δώδεκα;
Η ΚΥΑ ζητά γραπτές πολιτικές, όχι συγκεκριμένο αριθμό αρχείων. Μια μικρή επιχείρηση μπορεί να έχει τη γενική πολιτική με τις θεματικές ως ενότητες, αρκεί καθεμία να έχει το περιεχόμενο που ζητά το αντίστοιχο άρθρο και να εγκρίνεται από το ΔΣ. Σε αυτή την περίπτωση δηλώνεις κάθε θεματική ως εγκεκριμένη και γράφεις στις παρατηρήσεις την ενότητα που την καλύπτει. Ο ελεγκτής θα ψάξει αυτή την αντιστοίχιση.
Πού βοηθά το Microsoft 365
Καμία ρύθμιση και καμία άδεια Microsoft 365 δεν γράφει, δεν εγκρίνει και δεν αναθεωρεί μια πολιτική. Αυτό το μέρος της ΚΥΑ είναι οργανωτικό. Το Microsoft Purview Compliance Manager σού επιτρέπει να ανεβάζεις τα έγγραφα ή links προς αυτά ως τεκμήρια στο Evidence των improvement actions, ώστε να είναι μαζί με τα τεχνικά μέτρα. Για τα τεχνικά μέτρα που επιβάλλουν οι πολιτικές σου, όπως το MFA της πολιτικής ελέγχου πρόσβασης ή το device control της πολιτικής αφαιρούμενων μέσων, συνέχισε με το «Είναι έτοιμο το Microsoft 365 σου για τον ελεγκτή;».
Πολιτικές και MITRE ATT&CK
Μια θεματική πολιτική είναι η απόφαση της διοίκησης πίσω από ένα μέτρο. Γι’ αυτό, στο «Τι πρέπει να περιέχει» κάθε εγγράφου βλέπεις τα MITRE ATT&CK® mitigations που διέπει. Η πολιτική ελέγχου πρόσβασης διέπει το M1032 Multi-factor Authentication και το M1026 Privileged Account Management, η πολιτική αντιγράφων ασφαλείας το M1053 Data Backup και η πολιτική ασφάλειας δικτύων το M1030 Network Segmentation. Η πολιτική εφοδιαστικής αλυσίδας απαντά σε δύο techniques, το T1195 Supply Chain Compromise και το T1199 Trusted Relationship. Όταν ένα mitigation δεν έχει γραπτή πολιτική πίσω του, εφαρμόζεται όπως το θυμάται ο καθένας, και αυτό ο ελεγκτής το βλέπει αμέσως. Η ίδια αντιστοίχιση υπάρχει σε στήλη του .xlsx.
Τι δεν καλύπτει το εργαλείο
- Το περιεχόμενο των εγγράφων. Το εργαλείο δεν διαβάζει τις πολιτικές σου. Το αν μια πολιτική έχει όσα ζητά το άρθρο το κρίνεις εσύ. Στο «Τι πρέπει να περιέχει» κάθε εγγράφου βλέπεις τι ψάχνει ο ελεγκτής, και την πλήρη απαίτηση στον οδηγό της ΚΥΑ 1689/2025.
- Τις κατευθύνσεις της ΕΑΚ. Αν η Εθνική Αρχή Κυβερνοασφάλειας εκδώσει πρότυπα ή οδηγίες για τις πολιτικές, υπερισχύουν και το εργαλείο θα ενημερωθεί.
- Τη νομική κρίση. Το εργαλείο είναι βοήθημα και δεν αποτελεί νομική συμβουλή ούτε ελεγκτική γνώμη.
Πηγές και επαλήθευση
Το thecybersec.gr είναι προσωπικό blog και δεν εκπροσωπεί την Εθνική Αρχή Κυβερνοασφάλειας.
🛠️ Η τεχνική πλευρά: Είναι έτοιμο το Microsoft 365 σου για τον ελεγκτή;