Εκτίμηση Ασφάλειας

Η μέθοδος με την οποία ξεκινά η αξιολόγηση, ανάλυση, αναγνώριση και προσδιορισμός του κινδύνου, είθισται να αναφέρεται ως "εκτίμηση ασφάλειας" και εξαρτάται από πολλές παραμέτρους, που καθορίζονται από τις ιδιαίτερες συνθήκες κάθε περιβάλλοντος..    

Αν και από μόνος του ο τίτλος καθορίζει το περιεχόμενο της ενότητας, εν τούτοις πολλές φορές είναι δύσκολο να αναλυθεί ή εκπονηθεί η τόσο απλή από μια πρώτη ματιά εκτίμηση ασφάλειας ή μελέτη ασφάλειας.

Η πηγή κινδύνου για ένα σύνολο είναι δυνατό να αποτελέσει πεδίο συζήτησης, λόγω διαφορετικών προσεγγίσεων και απόψεων σχετικά με τον κίνδυνο. Επιπρόσθετα, η έννοια κίνδυνος επηρεάζεται από πολλαπλούς παράγοντες, περιλαμβανομένης της τοποθεσίας (χώρου) όπου βρίσκεται το σύνολο, της ύπαρξης στον ίδιο χώρο και άλλων συνόλων, καθώς και από το είδος της επιχειρηματικής δραστηριότητας που αναπτύσσει το σύνολο. Η εκτίμηση ασφάλειας είναι η μέθοδος με την οποία ξεκινά η εκτίμηση, ανάλυση, αναγνώριση και προσδιορισμός του κινδύνου. Η διαδικασία της εκτίμησης ασφάλειας εμπεριέχει τη συλλογή των αναγκαίων στοιχείων για την -σε βάθος- ανάλυση του φυσικού και επιχειρησιακού περιβάλλοντος λειτουργίας, στα πλαίσια των οποίων το σύστημα ασφάλειας του συνόλου θα πρέπει να αντιδράσει στην απειλή κατά των συνθηκών αυτών.

Πρέπει να ληφθούν υπόψη, το σύνολο της έκτασης ενός συμβάντος, οι επιπτώσεις από τυχόν απώλειες και τα μέσα και οι τεχνικές που απαιτούνται για τον εντοπισμό ή πρόληψη τέτοιου συμβάντος. Παράγοντες που επηρεάζουν την εκτίμηση, είναι επίσης το μέγεθος και η πολυπλοκότητα του επιθυμητού συστήματος ασφάλειας ως τελικού προϊόντος. Για πολλά χρόνια, η ασφάλεια προσδιορίζεται εμπειρικά με συγκεκριμένα φυσικά "χειροπιαστά" στοιχεία ανάσχεσης, όπως :

• Φράκτες, δηλαδή η πρώτη γραμμή άμυνας σε επίπεδο περιμέτρου – ψευδεπίγραφο αίσθημα ασφάλειας.
• Η εγκατάσταση (κτήριο) με τις πόρτες, κλειδαριές, φύλακες, δηλαδή η δεύτερη γραμμή άμυνας – απλώς για να υπάρχει.
• Το εσωτερικό, δηλαδή η τρίτη γραμμή άμυνας – πάντοτε απούσα.

Εμπειρικά (δυστυχώς στη χώρα μας αποτελεί καθιερωμένη πρακτική), προτείνονται και εφαρμόζονται μέτρα ασφάλειας τόσο στο δημόσιο όσο και στον ιδιωτικό τομέα, χωρίς επιστημονική τεκμηρίωση και ανάλυση. Γιατί; Πρώτα από όλα, γιατί ο καθένας μας θεωρεί εαυτόν ειδικό σε θέματα ασφάλειας (Σύμβουλος Ασφαλείας), ενώ παράλληλα απουσιάζει το νομικό πλαίσιο διαχωρισμού της ιδιότητας του συμβούλου ασφαλείας  (In-house or contract) από εκείνες του πάροχου υπηρεσιών ασφαλείας και του εγκαταστάτη συστημάτων ασφαλείας. Επίσης απουσιάζει η εκπαίδευση στο γνωστικό αντικείμενο της επιστήμης της Ασφάλειας (Security Management Science) σε τριτοβάθμιο επίπεδο και παράλληλα δεν αποδεχόμαστε ως βάση εκκίνησης τουλάχιστον, διεθνείς πρακτικές και πιστοποιήσεις, φοβούμενοι μήπως μας επισυμβεί "απώλεια κεκτημένων". 
Η έρευνα, ανάλυση και τεκμηρίωση επιστημονικά των αναγκών ασφαλείας ενός συνόλου (εκτίμηση ασφαλείας), είναι παρόμοιο με την εξέταση που διενεργεί ο γιατρός, σε συνδυασμό με τις προφορικές πληροφορίες που του δίνουμε, προκειμένου να σχηματίσει πλήρη εικόνα της κατάστασής μας, πριν τη χορήγηση συγκεκριμένης θεραπείας. Ο Golsby ( Four steps to success:1992, σελίδα 53) σημειώνει: Η εκτίμηση ασφαλείας είναι ένα από τα σημαντικότερα "εργαλεία" κάθε επαγγελματία του χώρου.
Ο Floyd (A quantitive tool:1991, σελίδα 51) σημειώνει: H εκτίμηση ασφαλείας είναι από τα βασικά και αναγκαία "εργαλεία" της πρόληψης απωλειών.
Πώς προσδιορίζεται στην επιστήμη της ασφάλειας (διότι πρόκειται για ΕΠΙΣΤΗΜΗ) η έννοια της εκτίμησης ασφαλείας (Security Assessment);

Η αναγκαιότητα για την εκτίμηση ασφάλειας

Εκτίμηση ασφάλειας (Security Assessment) είναι η σε βάθος επιτόπια εξέταση ενός συνόλου και του περιβάλλοντος το σύνολο χώρου.Yλοποιείται ώστε να προσδιορισθεί η κατάσταση ασφαλείας του συνόλου, να αναγνωρισθούν δυσλειτουργίες ή κίνδυνοι, να προσδιορισθούν τα απαιτούμενα μέτρα ασφαλείας και το επίπεδο εφαρμογής τους και τέλος να τεκμηριωθούν με προτάσεις εκείνα τα μέτρα, τα οποία θα ελαχιστοποιούν τη δυνατότητα τέλεσης εγκληματικής ενέργειας κατά του συνόλου. Είναι δυνατόν η έκταση της μελέτης εκτίμησης ασφαλείας να είναι ένα απλό (check-list) ερωτηματολόγιο-όπως ενδεικτικά παρατίθεται παρακάτω- με ικανό χώρο για καταγραφή σημειώσεων. Η ποσότητα ή το τι θα περικλείει από πλευράς πληροφοριών, ποικίλει, εξαρτώμενη πάντοτε από τον απαιτούμενο ή επιθυμητό βαθμό ασφαλείας.
Για παράδειγμα, είναι δυνατό να περιλαμβάνει χάρτες και σχεδιαγράμματα της περιοχής (εγγύς και ευρύτερης), απεικόνιση οδών πρόσβασης, την περίμετρο, πινακίδες προειδοποίησης και απαγόρευσης στάθμευσης, το/τα κτήρια με όλα τα συναφή σχέδια, τα σημεία εισόδου/εξόδου, έλεγχο εισόδου, κλειδαριές και κλειδιά, φωτισμό, σύστημα συναγερμού, προσδιορισμό χώρων περιορισμένης πρόσβασης κ.λπ. Επομένως, είναι πασιφανές ότι η εκτίμηση ασφάλειας είναι το θεμέλιο πάνω στο οποίο δομούνται το πρόγραμμα, οι διαδικασίες και οι πολιτικές ασφαλείας.
Η εκτίμηση ασφάλειας δεν εντάσσεται στη λογική καταγραφής και αποτύπωσης του τι πρέπει και τι δεν πρέπει. Κάθε εκτίμηση είναι διαφορετική και ανεξάρτητη από κάποια προηγούμενη, όπως διαφορετικό και ανεξάρτητο είναι το κάθε υποκείμενο σε εκτίμηση σύνολο, ασχέτως ταυτόσημης επιχειρηματικής δράσης.
Ένα σύνολο (εταιρεία ή οργανισμός) αναθέτει ή είναι αναγκαίο να αναθέσει την εκπόνηση της μελέτης εκτίμησης ασφάλειας για τους παρακάτω λόγους:

•  Υποχρέωση προστασίας της ακεραιότητας του προσωπικού και των επισκεπτών.
•  Αναγκαιότητα προστασίας της περιουσίας.
•  Αναγκαιότητα προστασίας δεδομένων.
•  Νομική υποχρέωση παροχής ασφαλούς περιβάλλοντος εργασίας.
•  Νομική υποχρέωση ελαχιστοποίησης του κινδύνου στο συνολικό οικοσύστημα (Τράπεζες-Συνθήκη Βασιλείας ΙΙ).
• Απειλή για αγωγή.
• Απειλή δυσφήμισης.
• Απαίτηση ασφαλιστικής εταιρείας.

Όμως, αντικειμενικά αντιμετωπίζοντας την αναγκαιότητα εκπόνησης εκτίμησης ασφάλειας, διαπιστώνουμε ότι όλοι οι παραπάνω λόγοι είναι δυνατό να συντεθούν σε έναν και μόνο λόγο, αυτόν της αποφυγής οικονομικής απώλειας, η οποία είναι δυνατό να έχει κάποια από τις παρακάτω μορφές:

• Κόστος αντικατάστασης υλικών.
• Κόστος επισκευής υλικών.
• Κόστος επισκευής υποδομών.
• Κόστος επανακατασκευής.
• Απώλεια εσόδων και μεριδίου αγοράς, ως αποτέλεσμα απώλειας δεδομένων ή κρίσιμων πληροφοριών.
• Κόστος από απώλεια συμβολαίων.
• Αύξηση κόστους ασφάλισης.
• Απώλεια χρόνου.
• Απώλεια της καλής επαγγελματικής φήμης.
• Απώλεια ακεραιότητας.

Πώς υλοποιείται η εκτίμηση ασφάλειας  

Ξεκινά η θεμελίωση της εκτίμησης, με απλή συζήτηση, "ακούγοντας" με μεγάλη προσοχή τον/την αναθέτουσα αρχή, σχηματοποιώντας κατ’ αυτόν τον τρόπο το αρχικό περίγραμμα (τι πρέπει να προστατευθεί, από ποιον ή από τι πρέπει να προστατευθεί, πόσο τρωτό είναι το σύνολο, ποιες είναι οι προτεραιότητες), ανιχνεύοντας τους στόχους και αναζητώντας πρότερες εκτιμήσεις και αναλύσεις. Ο σκοπός και το σύνθετο πλέγμα πολλών επιμέρους προς ανάλυση παραγόντων της εκτίμησης ασφάλειας, ίσως είναι και αυτό που προσδίδει ευελιξία στην εκτίμηση και την κάνει ιδιαίτερη για κάθε περίπτωση. Π.χ., μια απλή επίσκεψη συλλογής στοιχείων από έναν εκτιμητή (Documentologist) έως την ύπαρξη ομάδας εκτιμητών, εφοδιασμένων με ειδικά σχεδιασμένα "εργαλεία" εκτίμησης.
Αυτή η "συζήτηση του ενός", τυπικά εμπεριέχει:

• Λεπτομερή εκτίμηση εν ενεργεία πολιτικών και διαδικασιών ασφαλείας.
• Συνεντεύξεις με τη διοίκηση (senior management) αλλά και με όσους κατέχουν θέσεις "κλειδιά" και που γνωρίζουν τα στοιχεία εκείνα, τα οποία κρίνονται ως κρίσιμα στοιχεία επιβίωσης του συνόλου (π.χ., Ασφάλεια & υγιεινή, Ανθρώπινοι πόροι, IT/IS, Νομικό τμήμα, Οικονομικό τμήμα, Τμήμα συντήρησης, Παραλαβές/ παραδόσεις κ.λπ.). Για νοσοκομεία, θα πρέπει να έχουμε την άποψη του τμήματος επειγόντων περιστατικών, του Φαρμακείου, του τμήματος προμηθειών, του Παιδιατρικού τμήματος κ.λπ. Επιπρόσθετα, στις συνεντεύξεις περικλείονται και πρόσωπα σε θέσεις κλειδιά στις νυκτερινές βάρδιες.
• Παρακολούθηση της λειτουργίας του συνόλου όλες τις ώρες και με όλες τις βάρδιες.
• Επίσκεψη και συζήτηση στο τοπικό Αστυνομικό τμήμα και την τοπική Πυροσβεστική υπηρεσία, καθώς και με άλλους κρατικούς φορείς, εφόσον κρίνεται απαραίτητο.
• Μελέτη σχετικού υλικού (π.χ., ατυχήματα, στατιστικές εγκληματικότητας περιοχής, πολιτικές & διαδικασίες, συμβόλαια, προηγούμενες εκτιμήσεις ασφάλειας, σχέδια εκκένωσης κ.λπ.).
• Αξιολόγηση υφισταμένων και υπό σχεδιασμό διαδικαστικών μέτρων φυσικής ασφάλειας και αντιμέτρων, τα οποία είναι δυνατό να περιλαμβάνουν:
• Σχέδια, πολιτικές και διαδικασίες, που περιλαμβάνουν με τη σειρά τους:
• Εκπαίδευση-ενημέρωση προσωπικού.
• Εξωτερικά και εσωτερικά καταγραφικά (Video και CCTV).
• Φωτισμό, εσωτερικό και εξωτερικό.
• Σήμανση.
• Κλειδαριές και έλεγχο κλειδιών.
• Συστήματα συναγερμού και ειδοποίησης.
• Έλεγχο πρόσβασης.
• Διαχείριση και έλεγχο επισκεπτών.
• Προσωπικό ασφαλείας.
• Απογραφή υλικών, παραλαβές, φορτώσεις.
• Προέλεγχο προσωπικού.
• Διαδικασίες έρευνας.
• Έλεγχο υπεργολάβων.
• Διαδικασίες αναγνώρισης.
• Εκτίμηση και διαχείριση απειλής.
• Εκπαίδευση.
• Επικοινωνίες και ολοκληρωμένα συστήματα άμεσης ειδοποίησης.
• Έλεγχο διαδικασιών ταχυδρομείου και παραλαβής δεμάτων.
• Σχεδιασμό καταστάσεων διαχείρισης κρίσεων και αντίδρασης.
• Δοκιμή συστημάτων ασφαλείας, προσβολή και έλεγχο αντίδρασης.
• Συνεντεύξεις με αυτούς που έχουν την ευθύνη ανάπτυξης και λειτουργίας μέτρων ασφαλείας (έλεγχος πρόσβασης, περιμετρική και εσωτερική ασφάλεια και πρόληψη απωλειών- εφόσον υπάρχουν).
• Το σχηματισμό συνολικής εικόνας, αναλύοντας το σύνολο από πολλές διαφορετικές οπτικές γωνίες άλλων.

Ο Κορμός μιας μελέτης εκτίμησης ασφάλειας

Ο βασικός "συνήθης" κορμός της μελέτης εκτίμησης ασφάλειας, πιθανόν να έχει την παρακάτω δομή:

• ΕΙΣΑΓΩΓΗ – Ιστορικό, υπάρχουσα κατάσταση.
• ΜΕΘΟΔΟΛΟΓΙΑ

Σχεδιασμός

• Σκοπός και αναμενόμενα αποτελέσματα.
• Καταγραφή δεδομένων, παρατηρώντας και συζητώντας.
• Τι είδους και σε τι μέγεθος (ασφάλεια προσωπικού – φυσική ασφάλεια – ασφάλεια υποδομών πληροφορικής).

Αρμοδιότητες

• Ποιος είναι υπεύθυνος;
• Ποιος έχει τη διοικητική εξουσία;
• Προϋπολογισμός;
• Προγραμματισμός;

Τομείς έμφασης και καθήκοντα

• Πού πρέπει να δοθεί έμφαση; (Σε πολιτικές και διαδικασίες – Σε εκπαίδευση και επιμόρφωση – Σε αναβάθμιση υλικοτεχνικής υποδομής).

Επιλογή ή συνδυασμός εναλλακτικών λύσεων διαχείρισης του κινδύνου

• Μηδενισμός κινδύνου – Μείωση κινδύνου – Διάχυση κινδύνου – Μεταφορά κινδύνου – Αποδοχή κινδύνου.

3. ΑΠΟΤΕΛΕΣΜΑΤΑ-ΠΡΟΤΑΣΕΙΣ

Παρατίθενται κατωτέρω συνοπτικά, ενδεικτικά ερωτηματολόγια ενταγμένα στη μελέτη εκπόνησης εκτίμησης ασφάλειας.

ΔΙΑΧΕΙΡΙΣΗ ΚΛΕΙΔΙΩΝ ΕΝΟΣ ΣΥΝΟΛΟΥ 

Παρατηρούμε ότι στα ερωτηματολόγια, μία από τις βασικές ερωτήσεις είναι εκείνη η οποία αναφέρεται στη χρήση κλειδιών. Στη δομή της μελέτης, το συγκεκριμένο στοιχείο της χρήσης κλειδιών εντάσσεται στην ενότητα της Μεθοδολογίας και ειδικότερα στη φυσική ασφάλεια. Λόγω του ότι η διαχείριση των κλειδιών ενός συνόλου συνθέτει το πρώτο ανέξοδο φυσικό οχυρό και προκειμένου να γίνει περισσότερο κατανοητή η σπουδαιότητα αυτού του στοιχείου της εκτίμησης ασφάλειας, παρατίθενται τα ακόλουθα λίγα που αφορούν την οργάνωσή του.

Τι σημαίνει έλεγχος κλειδιών;
Έλεγχος κλειδιών σημαίνει ότι υπάρχει μια οργανωμένη και επίσημη διαδικασία ασφάλειας, η οποία καθορίζει τη χρήση όλων των κλειδιών (master keys και λοιπών), στα πλαίσια της γενικότερης επιχειρηματικής διαδικασίας. Αυτή η πολιτική ελέγχου θεμελιώνεται, προκειμένου να αποτρέπεται η ελεύθερη ή ανεπιθύμητη πρόσβαση.
Σημαντικές ερωτήσεις, των οποίων τις απαντήσεις πρέπει να γνωρίζουμε σε σχέση με τον έλεγχο κλειδιών

• Ποιο είναι το σύστημα εναπόθεσης/φύλαξης κλειδιών;
• Τι κλειδιά έχουμε;
• Τι κλειδιά έχουν δοθεί;
• Ποια κλειδιά δεν είναι σε χρήση;
• Πού είναι τα κλειδιά;
• Ποιος έχει κλειδιά;
• Έχουμε έλεγχο σε όλα τα κλειδιά;

Γνωρίζετε όλους τους χώρους; (Ποιοι είναι; Πού είναι 😉
Γνωρίζετε ή μπορείτε να αναγνωρίσετε τις θέσεις των θυρών και το μηχανισμό κλεισίματος; (Πού βρίσκονται; Ποιο κλειδί ή μηχανισμό ασφαλείας διαθέτουν; Ποιος ελέγχει την ασφάλιση/ απασφάλιση;).
Γνωρίζετε τους κατόχους των κλειδιών; (Ποιοι είναι; Τι είδους και πόσα κλειδιά έχουν; Σε ποιες θύρες έχουν πρόσβαση;).
Διενεργήστε έλεγχο χώρου/χώρων

• Προσδιορισμός θυρών.
• Προσδιορισμός συστήματος ασφάλισης/ απασφάλισης κάθε χώρου/ θύρας.
• Προσδιορισμός ταυτότητας θυρών.

Αναπτύξτε πολιτικές ελέγχου χρήσης κλειδιών

• Ποιος είναι ο υπεύθυνος διαχειριστής κλειδιών;
• Σε ποιο χώρο θα φυλάσσονται;
• Ποιοι/ ποιος θα έχει πρόσβαση στο χώρο αυτό;
• Είναι κατανοητή από όλους η διαδικασία ελέγχου κλειδιών;
• Έχει τη στήριξη της διοίκησης;
• Εξασφαλίστε την τήρηση αρχείων διακίνησης, παραλαβής και παράδοσης κλειδιών;

Με προσεκτική παρατήρηση, θα διαπιστώσουμε ότι η εκτίμηση ασφάλειας προσδιορίζει τον κίνδυνο (Risk analysis), την απειλή εκ του κινδύνου (Threat analysis), την τρωτότητα έναντι του κινδύνου (Vulnerability analysis) και τις επιπτώσεις (Ιmpact analysis) από τη μη λήψη μέτρων. Η λήψη μέτρων (επιθυμητός βαθμός ασφάλειας), τα οποία μέτρα με τη σειρά τους προκύπτουν και αυτά από την εκτίμηση ασφάλειας, εξασφαλίζουν τη συνέχιση της επιχειρηματικής δραστηριότητας του συνόλου (Business continuity), αλλά και τη δυνατότητα προσαρμογής του συνόλου στην απειλή (Resiliency).
ΣΥΜΠΕΡΑΣΜΑ
Η εκτίμηση ασφάλειας και η εφαρμογή των ευρημάτων της, ακυρώνει τη γνωστή λατινική ρήση: Quis Custodiat Custodes? Ποιος επιβλέπει τον επιβλέποντα;