ΕΒΕΠ: Οδηγός κυβερνοασφάλειας για επιχειρήσεις – Τα τρία βήματα προστασίας από κυβερνοεπιθέσεις

• Τη δημιουργία ενός ενιαίου οδηγού κυβερνοασφάλειας για τις ελληνικές επιχειρήσεις προτείνει το ΕΒΕΠ, αξιοποιώντας υπάρχουσες οδηγίες της ENISA, του ΣΕΒ και ευρωπαϊκών φορέων.
• Τρεις βασικούς άξονες περιλαμβάνει το προτεινόμενο πλαίσιο, «Προλαμβάνω – Αντιδρώ – Συνεχίζω», με πρακτικές οδηγίες για την προστασία από κυβερνοαπειλές και την αντιμετώπιση περιστατικών.
• Ιδιαίτερη έμφαση δίνεται στις μικρομεσαίες επιχειρήσεις, με ειδικές κατευθύνσεις για το εμπόριο, τις πληρωμές, τη βιομηχανία, τις μεταφορές, τον τουρισμό και άλλους κρίσιμους κλάδους.

Την ανάπτυξη ενός ενιαίου και εύχρηστου οδηγού κυβερνοασφάλειας, που θα βοηθά τις επιχειρήσεις να προστατεύονται από ψηφιακές απειλές και να αντιμετωπίζουν αποτελεσματικότερα ενδεχόμενες επιθέσεις, προτείνει το Εμπορικό και Βιομηχανικό Επιμελητήριο Πειραιώς (ΕΒΕΠ).

Η πρωτοβουλία αποσκοπεί στη συνεργασία των αρμόδιων αρχών, των επιμελητηρίων και των κλαδικών φορέων, ώστε η διαθέσιμη τεχνογνωσία να μετατραπεί σε συγκεκριμένα μέτρα προστασίας που μπορούν να εφαρμοστούν στην καθημερινή λειτουργία μιας επιχείρησης.

Ιδιαίτερη έμφαση δίνεται στις μικρές και πολύ μικρές επιχειρήσεις, οι οποίες συχνά δεν διαθέτουν εξειδικευμένο προσωπικό πληροφορικής ή οργανωμένα συστήματα αντιμετώπισης κυβερνοεπιθέσεων.

Σύμφωνα με το ΕΒΕΠ, η ψηφιακή ασφάλεια δεν αφορά πλέον αποκλειστικά τα πληροφοριακά συστήματα μεγάλων οργανισμών, αλλά συνδέεται άμεσα με τη λειτουργία της αγοράς, τις ηλεκτρονικές πληρωμές, την παραγωγή, τις μεταφορές και την προστασία προσωπικών δεδομένων.

Γιατί η κυβερνοασφάλεια αφορά κάθε επιχείρηση

Η αυξανόμενη εξάρτηση των επιχειρήσεων από ψηφιακές υποδομές δημιουργεί νέες προκλήσεις για την προστασία των συναλλαγών και τη διατήρηση της ομαλής λειτουργίας τους.

Όπως επισημαίνει το ΕΒΕΠ, μια κυβερνοεπίθεση μπορεί να επηρεάσει κρίσιμες διαδικασίες, από την εκτέλεση πληρωμών και παραγγελιών έως τη διαχείριση αποθεμάτων, την παραγωγή και τις μεταφορές.

Ιδιαίτερα σημαντικός είναι ο κίνδυνος που προκύπτει από την εξάρτηση πολλών επιχειρήσεων από κοινούς παρόχους λογισμικού ή συνδεδεμένο τεχνολογικό εξοπλισμό.

Μια επίθεση σε έναν τέτοιο πάροχο μπορεί να επηρεάσει ταυτόχρονα μεγάλο αριθμό επιχειρήσεων, προκαλώντας αλυσιδωτές διακοπές στην εφοδιαστική αλυσίδα.

Οι συνέπειες μπορεί να είναι ακόμη σοβαρότερες σε κλάδους όπου η λειτουργία των πληροφοριακών συστημάτων συνδέεται με τη διατήρηση ευπαθών προϊόντων, την υγεία ή την ασφάλεια κρίσιμων εγκαταστάσεων.

Για τον λόγο αυτό, το Επιμελητήριο υποστηρίζει ότι η κυβερνοασφάλεια πρέπει να αντιμετωπίζεται ως βασικό στοιχείο της επιχειρησιακής ανθεκτικότητας και όχι μόνο ως τεχνικό ζήτημα.

Οι τρεις άξονες του σχεδίου: «Προλαμβάνω – Αντιδρώ – Συνεχίζω»

Στο επίκεντρο της πρότασης βρίσκεται ένα πρακτικό πλαίσιο οργανωμένο σε τρεις βασικούς άξονες, το οποίο θα επιτρέπει στις επιχειρήσεις να γνωρίζουν ποιες ενέργειες χρειάζεται να πραγματοποιήσουν πριν, κατά τη διάρκεια και μετά από ένα περιστατικό κυβερνοασφάλειας.

1. Προλαμβάνω: Μέτρα προστασίας πριν από την επίθεση

Ο πρώτος άξονας αφορά την πρόληψη και την ενίσχυση της ασφάλειας των ψηφιακών υποδομών.

Μεταξύ των βασικών πρακτικών περιλαμβάνονται:

• Η ασφαλής διαχείριση προσβάσεων και η χρήση πολυπαραγοντικής ταυτοποίησης.
• Οι τακτικές ενημερώσεις λογισμικού και συστημάτων.
• Η διατήρηση προστατευμένων αντιγράφων ασφαλείας και η πραγματοποίηση δοκιμών επαναφοράς.
• Η εκπαίδευση των εργαζομένων στην αναγνώριση και αντιμετώπιση ψηφιακών απειλών.

2. Αντιδρώ: Άμεση αντιμετώπιση περιστατικού

Ο δεύτερος άξονας επικεντρώνεται στις ενέργειες που πρέπει να ακολουθούνται όταν εντοπίζεται μια πιθανή κυβερνοεπίθεση.

Το ΕΒΕΠ προτείνει την άμεση ενημέρωση των υπευθύνων και της τεχνικής υποστήριξης, τον ασφαλή περιορισμό του περιστατικού και τη διατήρηση των απαραίτητων αποδεικτικών στοιχείων.

Παράλληλα, οι επιχειρήσεις θα πρέπει να αξιολογούν τις ενδεχόμενες υποχρεώσεις αναφοράς του συμβάντος στις αρμόδιες αρχές, ανάλογα με το είδος της δραστηριότητάς τους και το εφαρμοστέο κανονιστικό πλαίσιο.

3. Συνεχίζω: Διασφάλιση της επιχειρησιακής λειτουργίας

Ο τρίτος άξονας αφορά τη δυνατότητα μιας επιχείρησης να συνεχίσει να λειτουργεί με ασφάλεια μετά από ένα περιστατικό.

Προτεραιότητα δίνεται στην προστασία των εργαζομένων, των προϊόντων και των εγκαταστάσεων, στην ενεργοποίηση εναλλακτικών διαδικασιών και στη σταδιακή, ελεγχόμενη αποκατάσταση των συστημάτων.

Στόχος είναι να περιορίζονται οι οικονομικές επιπτώσεις και οι διακοπές λειτουργίας, ιδιαίτερα σε δραστηριότητες που εξαρτώνται από τη συνεχή διαθεσιμότητα ψηφιακών υπηρεσιών.

Αξιοποίηση των ευρωπαϊκών οδηγών και του πλαισίου NIS2

Η πρόταση του ΕΒΕΠ δεν προβλέπει τη δημιουργία ενός νέου οδηγού από μηδενική βάση, αλλά τη συγκέντρωση και προσαρμογή της ήδη διαθέσιμης ελληνικής και ευρωπαϊκής τεχνογνωσίας.

Σημαντικό υλικό υπάρχει ήδη από τον Ευρωπαϊκό Οργανισμό Κυβερνοασφάλειας (ENISA), ο οποίος έχει δημοσιεύσει οδηγό με 12 βασικά βήματα προστασίας για τις μικρομεσαίες επιχειρήσεις.

Παράλληλα, διαθέσιμο είναι το ευρωπαϊκό εγχειρίδιο «Small Businesses – Strong Defences Playbook», το οποίο έχει μεταφραστεί και στα ελληνικά.

Στην ίδια κατεύθυνση κινούνται και οι οδηγοί του ΣΕΒ, οι οποίοι περιλαμβάνουν πρακτικές κατευθύνσεις για την κυβερνοασφάλεια και την προσαρμογή των επιχειρήσεων στις απαιτήσεις της ευρωπαϊκής οδηγίας NIS2.

Το ΕΒΕΠ προτείνει το υλικό αυτό να συγκεντρωθεί σε ένα ενιαίο πλαίσιο, το οποίο θα διακρίνει τις γενικές καλές πρακτικές ασφαλείας από τις ειδικές κανονιστικές υποχρεώσεις που ισχύουν για κάθε επιχείρηση.

Με αυτόν τον τρόπο, οι επιχειρήσεις θα μπορούν να εντοπίζουν ευκολότερα τόσο τα βασικά μέτρα προστασίας όσο και τις υποχρεώσεις που απορρέουν από τη δραστηριότητά τους.

Ειδικές οδηγίες για εμπόριο, τρόφιμα, τουρισμό και βιομηχανία

Ιδιαίτερο στοιχείο της πρότασης είναι η δημιουργία εξειδικευμένων παραρτημάτων ανά επιχειρηματικό κλάδο, καθώς οι κίνδυνοι και οι ανάγκες διαφέρουν σημαντικά μεταξύ των δραστηριοτήτων.

Σύμφωνα με το ΕΒΕΠ, το υλικό θα μπορούσε να περιλαμβάνει ειδικές οδηγίες για το εμπόριο και τις ηλεκτρονικές πληρωμές, τα τρόφιμα και την ψυκτική αλυσίδα, τις μεταφορές και τη ναυτιλία, τη βιομηχανία, την ενέργεια, τον τουρισμό, την υγεία και τους παρόχους τεχνολογίας.

Για παράδειγμα, μια επιχείρηση λιανικής μπορεί να αντιμετωπίζει κυρίως κινδύνους που σχετίζονται με τα συστήματα πληρωμών και τα προσωπικά δεδομένα πελατών, ενώ μια επιχείρηση τροφίμων μπορεί να χρειάζεται πρόσθετη προστασία για τον εξοπλισμό ψύξης και τις διαδικασίες αποθήκευσης.

Αντίστοιχα, στις μεταφορές και στη ναυτιλία, ιδιαίτερη σημασία αποκτά η προστασία των πληροφοριακών συστημάτων που υποστηρίζουν τις καθημερινές επιχειρησιακές δραστηριότητες.

Η προσαρμογή των οδηγιών ανά κλάδο επιδιώκει να καταστήσει την κυβερνοασφάλεια περισσότερο κατανοητή και εφαρμόσιμη, ιδιαίτερα για επιχειρήσεις χωρίς εξειδικευμένα τμήματα πληροφορικής.

Κάρτα άμεσης αντίδρασης και ασκήσεις ετοιμότητας

Πέρα από τις βασικές οδηγίες, το ΕΒΕΠ προτείνει τη δημιουργία συμπληρωματικών εργαλείων που θα μπορούν να χρησιμοποιούνται άμεσα από τους επιχειρηματίες.

Μεταξύ αυτών περιλαμβάνονται μια μονοσέλιδη κάρτα άμεσης αντίδρασης σε κυβερνοεπίθεση, ένας επικαιροποιημένος κατάλογος επίσημων σημείων επικοινωνίας και ένα απλό ερωτηματολόγιο αυτοελέγχου.

Παράλληλα, προτείνεται η διάθεση υποδειγμάτων επιχειρησιακής συνέχειας, ώστε οι επιχειρήσεις να μπορούν να οργανώνουν εκ των προτέρων τις ενέργειές τους σε περίπτωση διακοπής κρίσιμων ψηφιακών υπηρεσιών.

Σημαντικό ρόλο θα μπορούσαν να διαδραματίσουν και τα επιμελητήρια, μέσα από ενημερωτικές δράσεις και σύντομες ασκήσεις ετοιμότητας για τα μέλη τους.

Στόχος είναι η πρόληψη των κυβερνοαπειλών να εξελιχθεί σε οργανωμένη επιχειρηματική πρακτική, χωρίς να απαιτούνται απαραίτητα μεγάλες επενδύσεις ή εξειδικευμένες εσωτερικές ομάδες.

Κορκίδης: Η κυβερνοασφάλεια πρέπει να φτάσει σε κάθε μικρή επιχείρηση

Ο πρόεδρος του ΕΒΕΠ, Βασίλης Κορκίδης, υπογραμμίζει ότι το βασικό ζητούμενο δεν είναι η παραγωγή περισσότερων θεωρητικών οδηγιών, αλλά η μεταφορά της διαθέσιμης γνώσης στην καθημερινότητα των επιχειρήσεων.

«Υπάρχει ήδη αξιόλογη ελληνική και ευρωπαϊκή γνώση για την κυβερνοασφάλεια. Το ζητούμενο είναι να φτάσει μέχρι το μικρό κατάστημα, την αποθήκη, το εργαστήριο και κάθε επιχείρηση που δεν διαθέτει εξειδικευμένο προσωπικό», επισημαίνει.

Όπως τονίζει, ο επιχειρηματίας χρειάζεται σαφείς απαντήσεις σε βασικά ερωτήματα, όπως ποια συστήματα πρέπει να προστατεύσει κατά προτεραιότητα, με ποιον πρέπει να επικοινωνήσει σε περίπτωση επίθεσης και πώς μπορεί να συνεχίσει τη λειτουργία της επιχείρησής του με ασφάλεια.

«Προτείνουμε να ενώσουμε τις δυνάμεις μας, αξιοποιώντας τους διαθέσιμους οδηγούς και προσαρμόζοντάς τους στις πραγματικές ανάγκες κάθε κλάδου», αναφέρει ο πρόεδρος του ΕΒΕΠ.

Παράλληλα, επισημαίνει ότι η ψηφιακή ανθεκτικότητα των επιχειρήσεων ενισχύει την ασφάλεια των συναλλαγών και τη συνοχή της αγοράς, καθώς οι επιπτώσεις μιας κυβερνοεπίθεσης μπορούν να επεκταθούν πέρα από την επιχείρηση που αποτελεί τον αρχικό στόχο.

Σύμφωνα με τον ίδιο, στόχος είναι η διαθέσιμη γνώση για την κυβερνοασφάλεια και τη διαχείριση κυβερνοκρίσεων να μετατραπεί σε απλά και εφαρμόσιμα μέτρα προστασίας για κάθε μικρομεσαία επιχείρηση.

Η πρόταση του ΕΒΕΠ αναδεικνύει την ανάγκη ενίσχυσης της κυβερνοασφάλειας σε ολόκληρη την επιχειρηματική κοινότητα, ιδιαίτερα σε μια περίοδο κατά την οποία οι ψηφιακές τεχνολογίες αποτελούν βασική προϋπόθεση για την καθημερινή λειτουργία και την ανταγωνιστικότητα των επιχειρήσεων.

ΔΙΑΒΑΣΤΕ ΠΕΡΙΣΣΟΤΕΡΕΣ ΕΙΔΗΣΕΙΣ:

• Εξαγορές δισεκατομμυρίων υπό πίεση: Το νέο τοπίο στις ΗΠΑ μετά τις εκλογές
• Τράπεζες: Κέρδη 3,8 δισ. ευρώ στο εννεάμηνο και διανομές 690 εκατ. στους μετόχους
• Black Friday: Δύο στους τρεις Έλληνες ετοιμάζονται για αγορές – Πόσα θα ξοδέψουν
• Συντάξεις: Μεγαλώνει ο «κουμπαράς» των ασφαλισμένων – Στα 3,2 δισ. ευρώ τα κεφάλαια