ΑΣΦΑΛΕΙΑ CLOUD & ΥΠΟΔΟΜΩΝ

Οι περισσότερες ελληνικές ΜμΕ χρησιμοποιούν cloud εφαρμογές χωρίς να έχουν ενεργοποιήσει βασικά μέτρα ασφαλείας — λόγω άγνοιας ή έλλειψης εξειδικευμένου προσωπικού. Το αποτέλεσμα: εκτεθειμένα δεδομένα, ευπάθεια σε phishing, και μη συμμόρφωση με τον ΓΚΠΔ (άρθρο 32).

MICROSOFT 365 SECURITY

• Multi-Factor Authentication (MFA) για όλους τους χρήστες
• Conditional Access policies βάσει συσκευής, τοποθεσίας, ρόλου
• Microsoft Defender for Office 365 — anti-phishing, anti-malware
• Data Loss Prevention (DLP) policies για ευαίσθητα δεδομένα
• Sensitivity labels & encryption για εμπιστευτικά αρχεία
• Audit log retention & alerting

GOOGLE WORKSPACE SECURITY

• Ενεργοποίηση 2-Step Verification σε όλο τον οργανισμό
• Context-Aware Access & Advanced Protection Program
• Gmail security — DKIM, SPF, DMARC configuration
• Drive sharing policies & data export controls
• Vault για συμμόρφωση & ediscovery

AWS & AZURE HARDENING

• IAM roles & least-privilege access policies
• Network security — Security Groups, NSGs, private subnets
• Encryption at-rest & in-transit (KMS / Key Vault)
• AWS Config / Azure Policy για continuous compliance
• CloudTrail / Azure Monitor logging & alerting
• Backup & disaster recovery σχεδιασμός

Πρακτικό σημείωμα: Το άρθρο 32 του ΓΚΠΔ απαιτεί «κατάλληλα τεχνικά και οργανωτικά μέτρα» — δεν ορίζει συγκεκριμένα προϊόντα. Η ΑΠΔΠΧ έχει επιβάλει πρόστιμα όταν διαπίστωσε ότι ένας υπεύθυνος επεξεργασίας δεν είχε ενεργοποιήσει MFA, δεν είχε backups, ή δεν είχε προστασία από ransomware.

BACKUP STRATEGY

Το cloud δεν είναι backup. Microsoft, Google και AWS έχουν shared responsibility model — εσείς είστε υπεύθυνοι για τα δεδομένα σας. Σχεδιάζουμε strategy 3-2-1 με τρίτο cloud backup provider, point-in-time restore, και τακτικά δοκιμασμένα recovery drills.

MONITORING & ALERTING

• Κεντρική συλλογή logs από όλες τις cloud υπηρεσίες
• Alerts σε ύποπτη δραστηριότητα (impossible travel, brute force)
• Μηνιαίες αναφορές ασφαλείας προς τη διοίκηση
• Άμεση ενημέρωση σε περίπτωση περιστατικού

VENDOR & SUB-PROCESSOR ASSESSMENT

Αξιολογούμε τους cloud παρόχους που χρησιμοποιείτε σε σχέση με τις απαιτήσεις του ΓΚΠΔ — DPAs, SCCs για διαβιβάσεις εκτός ΕΕ, certifications (ISO 27001, SOC 2), και data residency. Σας παραδίδουμε αναφορά συμμόρφωσης για κάθε vendor.