ΠΑΡΑΤΗΡΗΣΕΙΣ ΚΑΙ ΠΡΟΤΑΣΕΙΣ ΕΠΙ ΤΟΥ ΣΧΕΔΙΟΥ «ΠΟΛΙΤΙΚΗ ΑΣΦΑΛΕΙΑΣ ΠΛΗΡΟΦΟΡΙΩΝ» ΤΟΥ ΠΑΝΕΠΙΣΤΗΜΙΟΥ ΠΑΤΡΩΝ

Η διαμόρφωση ενός σύγχρονου και αξιόπιστου πλαισίου προστασίας των πληροφοριακών συστημάτων και των δεδομένων του Πανεπιστημίου Πατρών αποτελεί αναμφίβολα αναγκαία και σημαντική προτεραιότητα. Ωστόσο, σε ένα δημόσιο Ανώτατο Εκπαιδευτικό Ίδρυμα, η κυβερνοασφάλεια οφείλει να υπηρετεί την ακαδημαϊκή ελευθερία, την ελεύθερη διακίνηση των ιδεών, τα εργασιακά δικαιώματα και τη δημοκρατική λειτουργία, χωρίς να μετατρέπεται σε μηχανισμό επιτήρησης, γραφειοκρατικής ασφυξίας ή μετακύλισης του κόστους στους εργαζόμενους.

Επί των επιμέρους ενοτήτων του σχεδίου καταθέτουμε τις ακόλουθες συγκεκριμένες παρατηρήσεις και τροποποιήσεις:

1. Ενότητα 1.8 (Διακυβέρνηση και Οργανωτική Δομή): Ρόλος της Συγκλήτου και θεσμική λογοδοσία Στο κείμενο αναφέρεται αόριστα ότι «η Διοίκηση του Πανεπιστημίου» εγκρίνει την Πολιτική, επιβλέπει τα μέτρα και καθορίζει το επίπεδο αποδοχής κινδύνου, ενώ ο ΥΑΣΠΕ αναφέρεται απευθείας σε αυτήν.

• Πρόταση τροποποίησης: Να αποσαφηνιστεί ρητά ότι ανώτατο όργανο έγκρισης, αναθεώρησης και δημοκρατικού ελέγχου της Πολιτικής Ασφάλειας είναι η Σύγκλητος του Πανεπιστημίου Πατρών. Να θεσπιστεί ετήσια δημόσια έκθεση απολογισμού προς τη Σύγκλητο και την πανεπιστημιακή κοινότητα, με διαβούλευση και συμμετοχή των εκπροσώπων των συλλόγων εργαζομένων (ΔΕΠ, ΕΤΕΠ, ΕΔΙΠ, Διοικητικών) και των Φοιτητικών Συλλόγων.

2. Ενότητα Π.5 (Πολιτική Παρακολούθησης και Καταγραφής): Προστασία απορρήτου και ακαδημαϊκής ελευθερίας Η πρόβλεψη για συστηματική ανάλυση της δικτυακής κίνησης και συγκέντρωση αρχείων καταγραφής (logs) σε «ενιαίο περιβάλλον ανάλυσης» (Π.5.4, Π.5.5) ενέχει σοβαρούς κινδύνους εκτεταμένης επιτήρησης εάν δεν πλαισιωθεί από αυστηρές θεσμικές εγγυήσεις.

• Πρόταση τροποποίησης: Να ενσωματωθεί ρητή διάταξη ότι οι μηχανισμοί παρακολούθησης (monitoring) περιορίζονται αυστηρά σε τεχνικά μεταδεδομένα δικτύου (metadata) για την αποτροπή κακόβουλων επιθέσεων και απαγορεύεται ρητά η επιθεώρηση του περιεχομένου των επικοινωνιών (Deep Packet Inspection), της αλληλογραφίας ή των ερευνητικών δεδομένων. Επιπλέον, να διασφαλιστεί ρητά ότι τα αρχεία καταγραφής (logs) δεν δύνανται σε καμία περίπτωση να αξιοποιηθούν για εργασιακό, πειθαρχικό, πολιτικό ή συνδικαλιστικό έλεγχο μελών της κοινότητας, καθώς και να οριστεί συγκεκριμένος, σύντομος ανώτατος χρόνος διατήρησής τους με αυτόματη διαγραφή.

3. Ενότητα Π.11.5 (Πολιτική Ασφάλειας Δικτύου): Εγγυήσεις κατά τον περιορισμό ή διακοπή πρόσβασης Η πρόβλεψη που επιτρέπει στην τεχνική υπηρεσία να απομονώνει ή να διακόπτει προσωρινά τη σύνδεση χρήστη, συσκευής ή υπηρεσίας (Π.11.5) στερείται διαδικαστικών εγγυήσεων.

• Πρόταση τροποποίησης: Η διακοπή πρόσβασης να επιτρέπεται αποκλειστικά σε αποδεδειγμένη κατάσταση έκτακτης τεχνικής ανάγκης (π.χ. ενεργή κυβερνοεπίθεση ή διάδοση κακόβουλου λογισμικού). Να προβλεφθεί υποχρέωση άμεσης και έγγραφης αιτιολογημένης ενημέρωσης του θιγόμενου μέλους της κοινότητας ή εργαστηρίου και δικαίωμα άμεσης επανεξέτασης και αποκατάστασης, ώστε το μέτρο να μην χρησιμοποιηθεί ποτέ ως εργαλείο διοικητικής ή ακαδημαϊκής λογοκρισίας.

4. Ενότητες Π.15 & Π.22 (Φορητές Συσκευές και Πολιτική BYOD): Όχι στη μετακύλιση κόστους και ευθυνών στο προσωπικό Οι ενότητες Π.15 και Π.22 επιβάλλουν εκτεταμένες υποχρεώσεις ασφάλειας (κρυπτογράφηση δίσκων, περιορισμούς λογισμικού, υποχρέωση διαγραφής δεδομένων κ.ά.) σε προσωπικές συσκευές εργαζομένων που χρησιμοποιούνται για διδακτικούς, ερευνητικούς ή διοικητικούς σκοπούς.

• Πρόταση τροποποίησης: Να καταγραφεί ρητά ότι η χρήση προσωπικών συσκευών (BYOD) είναι απολύτως προαιρετική και δεν μπορεί να αποτελεί προϋπόθεση για την εκτέλεση διδακτικού, ερευνητικού ή διοικητικού έργου. Το Πανεπιστήμιο οφείλει να δεσμευτεί ότι παρέχει δωρεάν, σύγχρονο και ασφαλή υπηρεσιακό εξοπλισμό (φορητούς υπολογιστές, σταθμούς εργασίας) και τις απαραίτητες άδειες λογισμικού σε όλο το προσωπικό, αντί να μετακυλίει το οικονομικό κόστος και τις νομικές ευθύνες συμμόρφωσης στους εργαζόμενους. Να απαγορευτεί ρητά η εγκατάσταση λογισμικού απομακρυσμένης διαχείρισης/ελέγχου (MDM) σε προσωπικές συσκευές.

5. Ενότητες Π.7.6 & Π.11.4 (Συστήματα εκτός κεντρικής υποδομής): Διασφάλιση της ερευνητικής αυτονομίας Η υποχρέωση καταχώρισης κάθε εργαστηριακού εξυπηρετητή και υποδομής στο κεντρικό μητρώο αγαθών με γραφειοκρατικές διαδικασίες ταξινόμησης και προηγούμενων εγκρίσεων (Π.7.6, Π.11.4) κινδυνεύει να δυσχεράνει την καθημερινή πειραματική και ερευνητική λειτουργία των εργαστηρίων.

• Πρόταση τροποποίησης: Να προβλεφθούν απλοποιημένες διαδικασίες και ευέλικτες ρυθμίσεις για υπολογιστικά clusters, πειραματικά testbeds και ερευνητικούς διακομιστές, διασφαλίζοντας ότι οι υπηρεσίες ΤΠΕ λειτουργούν υποστηρικτικά προς την έρευνα και τη διδασκαλία χωρίς να επιβάλλουν γραφειοκρατικά προσκόμματα.

6. Ενότητες Π.4.4 & Π.16 (Εξωτερικοί φορείς και Εφοδιαστική Αλυσίδα): Όχι στην ιδιωτικοποίηση της ασφάλειας – Στελέχωση με μόνιμο προσωπικό Η πρόβλεψη δυνατότητας ανάθεσης ελέγχων κυβερνοασφάλειας, δοκιμών διείσδυσης και υπηρεσιών σε «εξωτερικούς, ανεξάρτητους φορείς» (Π.4.4, Π.16) εγκυμονεί τον κίνδυνο εκχώρησης κρίσιμων υποδομών και ευαίσθητων δεδομένων σε ιδιώτες εργολάβους.

• Πρόταση τροποποίησης: Προτεραιότητα του Ιδρύματος πρέπει να είναι η ανάπτυξη των εσωτερικών του δυνατοτήτων μέσω διεκδίκησης μαζικών προσλήψεων μόνιμου εξειδικευμένου τεχνικού και πληροφοριακού προσωπικού για τη στελέχωση της Διεύθυνσης Ψηφιακής Διακυβέρνησης και ΤΠΕ. Να αποκλειστεί η παραχώρηση διαχείρισης κρίσιμων υποδομών και πρόσβασης σε πρωτογενή δεδομένα φοιτητών και προσωπικού σε ιδιωτικές εταιρείες.

Συνοψίζοντας: Η θωράκιση των ψηφιακών υποδομών του Πανεπιστημίου Πατρών επιτυγχάνεται ουσιαστικά μόνο μέσα από τη γενναία δημόσια χρηματοδότηση, την ενίσχυση της Διεύθυνσης ΤΠΕ με μόνιμο προσωπικό, την παροχή δωρεάν εξοπλισμού στην κοινότητα και τον σεβασμό του απορρήτου, της ακαδημαϊκής ελευθερίας και του κυρίαρχου ρόλου της Συγκλήτου.