Information Security Policy

1. Θεμελιώδεις Αρχές

Η πολιτική ασφάλειας βασίζεται στις τρεις βασικές αρχές της πληροφοριακής ασφάλειας:

• Εμπιστευτικότητα (Confidentiality): πρόσβαση στις πληροφορίες μόνο από εξουσιοδοτημένα πρόσωπα.
• Ακεραιότητα (Integrity): προστασία από μη εξουσιοδοτημένες τροποποιήσεις.
• Διαθεσιμότητα (Availability): πρόσβαση στις πληροφορίες όταν απαιτείται.

2. Δικηγορικό Απόρρητο

Το δικηγορικό απόρρητο αποτελεί απόλυτη υποχρέωση, όπως κατοχυρώνεται στα άρθρα 38–39 του Κώδικα Δικηγόρων (ν. 4194/2013). Η προστασία του απορρήτου των πελατών μας είναι πρωταρχικής σημασίας και εφαρμόζεται σε όλες τις διαδικασίες.

3. Τεχνικά Μέτρα

Κρυπτογράφηση

• Κρυπτογράφηση δεδομένων κατά την αποστολή (TLS/SSL) και κατά την αποθήκευση (at-rest encryption).
• Ασφαλής επικοινωνία μέσω κρυπτογραφημένων καναλιών.

Έλεγχος Πρόσβασης

• Έλεγχος πρόσβασης με ισχυρά συνθηματικά και 2FA όπου εφαρμόζεται.
• Αρχή ελάχιστου προνομίου (principle of least privilege).
• Καταγραφή και έλεγχος πρόσβασης σε ευαίσθητα δεδομένα.

Προστασία Συστημάτων

• Ενημερωμένο λογισμικό ασφαλείας και firewalls.
• Τακτικές ενημερώσεις συστημάτων (security patches).
• Antivirus & anti-malware σε όλους τους σταθμούς εργασίας.

Backup & Disaster Recovery

• Καθημερινά αντίγραφα ασφαλείας σε ασφαλείς τοποθεσίες.
• Σχέδιο ανάκαμψης από καταστροφή.
• Τακτικές δοκιμές αποκατάστασης.

4. Οργανωτικά Μέτρα

• Δεσμεύσεις εμπιστευτικότητας για όλους τους συνεργάτες.
• Εσωτερικές διαδικασίες χειρισμού εμπιστευτικών πληροφοριών.
• Φυσική ασφάλεια των γραφείων (ελεγχόμενη πρόσβαση, κλείδωμα αρχείων).
• Ασφαλής καταστροφή φυσικών εγγράφων (shredding).

5. Διαχείριση Περιστατικών

Σε περίπτωση περιστατικού ασφαλείας ή παραβίασης δεδομένων, ενεργοποιούνται άμεσα διαδικασίες διαχείρισης που περιλαμβάνουν:

• Άμεση διερεύνηση και περιορισμό του περιστατικού.
• Ειδοποίηση Αρχής Προστασίας Δεδομένων (εντός 72 ωρών, εφόσον απαιτείται).
• Ενημέρωση επηρεαζόμενων πελατών.
• Καταγραφή και ανάλυση για αποτροπή επανάληψης.

6. Εκπαίδευση

Το προσωπικό του γραφείου λαμβάνει τακτική εκπαίδευση σε θέματα πληροφοριακής ασφάλειας, προστασίας δεδομένων και αναγνώρισης απειλών (phishing, social engineering κλπ).