Κυβερνοεπιθέσεις: Στο «κάδρο» και η Ελλάδα

Οι κυβερνοεπιθέσεις των τελευταίων εβδομάδων έχουν θορυβήσει αρμόδιες Αρχές και επιχειρήσεις παγκοσμίως σχετικά με την έκθεση σε τεχνολογικές απειλές. Τον κώδωνα του κινδύνου έχει κρούσει επανειλημμένως και στην Ελλάδα η Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ), που έχει προβεί σε πέντε ενημερώσεις από τα μέσα Οκτωβρίου μέχρι σήμερα, πληροφορώντας για τους κινδύνους σε συστήματα βιομηχανικού ελέγχου (Operation Technology ή ΟΤ) αλλά και για τα κενά στη γλώσσα ΡΗΡ που χρησιμοποιούν περίπου 7 στις 10 ιστοσελίδες παγκοσμίως.

Ωστόσο, η εγρήγορση για τις κυβερνοαπειλές δεν έχει μεταφραστεί ακόμα σε δράσεις από επιχειρήσεις και φορείς που κινδυνεύουν. Οπως λέει στα «ΝΕΑ Σαββατοκύριακο» ο γενικός διευθυντής της εταιρείας κυβερνοασφάλειας Odyssey Cybersecurity Απόστολος Πανδρούλας, δεν έχει παρατηρηθεί αυξημένη κινητικότητα στην αγορά υπηρεσιών κυβερνοασφάλειας τις τελευταίες εβδομάδες. «Η αγορά αργεί να αντιδράσει, οι επιχειρήσεις δεν πιστεύουν ότι θα είναι τα επόμενα θύματα. Ομως, η Ελλάδα διατρέχει τον ίδιο κίνδυνο με άλλες χώρες – μέλη της ΕΕ», επισημαίνει.

«Οι επιχειρήσεις που δεν έχουν τεχνολογικό αντικείμενο στο επίκεντρό τους δεν έχουν τη νοοτροπία να προστατευτούν από τις κυβερνοαπειλές». Σημειώνει, πάντως, πως ορισμένοι τομείς, όπως οι τράπεζες και οι ενεργειακές υποδομές (ειδικά των διυλιστηρίων), είναι επαρκώς θωρακισμένοι για τους περισσότερους κινδύνους, όμως αυτό δεν ισχύει για τη μεγάλη πλειονότητα των εταιρειών, συμπεριλαμβανομένων των σουπερμάρκετ.

Αλλωστε, η τρέχουσα περίοδος δεν είναι ευνοϊκή για την πραγματοποίηση μεγάλων επενδύσεων, λόγω της γενικευμένης αβεβαιότητας στις αγορές και της αύξησης του λειτουργικού κόστους, κυρίως ως αποτελέσματος των υψηλών τιμών της ενέργειας. «Ακόμα κι αν οι υπεύθυνοι τεχνολογίας μπορεί να επισημαίνουν την ανάγκη για συστήματα κυβερνοασφάλειας, οι διευθύνοντες σύμβουλοι των εταιρειών που παίρνουν τις αποφάσεις συχνά δεν ακολουθούν τις συστάσεις», λέει ο Απόστολος Πανδρούλας.

Σουπερμάρκετ και ΑΠΕ

Με την εκτίμηση αυτή συμφωνεί ο Διομήδης Σπινέλλης, καθηγητής στο Τμήμα Διοικητικής Επιστήμης και Τεχνολογίας του Οικονομικού Πανεπιστημίου Αθηνών (ΟΠΑ), που μίλησε στα «ΝΕΑ» στο πλαίσιο πρόσφατου ρεπορτάζ (23/10) για την αύξηση των κυβερνοαπειλών, μετά την εκδήλωση των πρώτων επιθέσεων στα γαλλικά σουπερμάρκετ. «Οι κυριότερες αδυναμίες είναι η χρήση παλαιού λογισμικού, η καθυστέρηση στην εγκατάσταση ενημερώσεων ασφαλείας, οι ανεπαρκείς έλεγχοι πρόσβασης, η ελλιπής εκπαίδευση του προσωπικού και η απουσία δοκιμασμένων σχεδίων αντιμετώπισης περιστατικών», λέει.  

Τον Οκτώβριο δημοσιεύθηκε έρευνα της ολλανδικής Αρχής Κυβερνοασφάλειας και της εταιρείας Modat για τα ευάλωτα συστήματα ανανεώσιμων πηγών ενέργειας (ΑΠΕ) ανά την Ευρώπη. Σύμφωνα με την έρευνα, υπάρχουν περισσότερα από 8.500 συστήματα ΑΠΕ που είναι συνδεδεμένα στο Διαδίκτυο στην Ευρώπη και ως εκ τούτου αντιμετωπίζουν μεγάλο κίνδυνο από κυβερνοεπιθέσεις. Η Ελλάδα βρίσκεται στη δεύτερη θέση σε ό,τι αφορά την έκθεση στον κίνδυνο στα φωτοβολταϊκά με 1.860 ελεγκτές ηλιακών πάρκων και στην πέμπτη θέση στα αιολικά με 17 εκτεθειμένα συστήματα. Πιο ευάλωτη εμφανίζεται μόνο η Ισπανία, με 2.766 φωτοβολταϊκά και 11 αιολικά.

«Κρίσιμα συστήματα και υποδομές θα πρέπει να λειτουργούν σε περιβάλλον απομονωμένο από το Διαδίκτυο, καθώς ο απομακρυσμένος έλεγχος τα καθιστά ιδιαιτέρως ευάλωτα. Όταν η απομακρυσμένη σύνδεση είναι πραγματικά απαραίτητη, θα πρέπει να πραγματοποιείται μόνο μέσω ασφαλών καναλιών, όπως ένα εικονικό ιδιωτικό δίκτυο (VPN), με ισχυρή ταυτοποίηση των χρηστών, πρόσβαση αυστηρά περιορισμένη σε όσους τη χρειάζονται και καταγραφή κάθε ενέργειας», τονίζει ο υποδιοικητής της ΕΑΚ Δημήτρης Ζαμπακόλας.

Η κρίσιμη τριετία

Η NIS2 είναι η Οδηγία της ΕΕ για την ασφάλεια των δικτύων και των πληροφοριακών συστημάτων στην Ευρώπη. Ψηφίστηκε το 2022 και απαιτεί από τα κράτη – μέλη να ενισχυθούν σε επίπεδο κυβερνοασφάλειας, εισάγοντας παράλληλα μέτρα διαχείρισης κινδύνων και απαιτήσεις υποβολής εκθέσεων για περιστατικά εντός συγκεκριμένων χρονικών περιθωρίων.

Η NIS2 ορίζει 11 υψηλής κρισιμότητας τομείς της οικονομίας και ακόμα 7 λιγότερο κρίσιμους τομείς. Στους πρώτους συμπεριλαμβάνονται ενέργεια, μεταφορές, τράπεζες, χρηματοπιστωτικές αγορές, υγεία, δίκτυο πόσιμου νερού, λύματα, ψηφιακές υποδομές (data centers κ.λπ.), υπηρεσίες πληροφορικής και κυβερνοασφάλειας, δημόσια διοίκηση και ο τομέας του Διαστήματος, ενώ στους δεύτερους βρίσκουμε τις ταχυδρομικές υπηρεσίες, τη διαχείριση αποβλήτων, τα χημικά προϊόντα, τα τρόφιμα κ.ά.

Η Ελλάδα ήταν η έβδομη χώρα στην ΕΕ που ενσωμάτωσε την Οδηγία στην εθνική νομοθεσία, με τον Ν. 5160/2024, ενώ από τον φετινό Σεπτέμβριο έχει ξεκινήσει και η εφαρμογή του κανονισμού της ΕΕ για την Ανθεκτικότητα στον Κυβερνοχώρο (Cyber Resilience Act ή CRA) που θεσπίζει υποχρεωτικό πλαίσιο κυβερνοασφάλειας για τα προϊόντα ψηφιακής τεχνολογίας (έξυπνες συσκευές, κάμερες, λογισμικά) που πωλούνται στην ΕΕ. Παράλληλα, έχει ιδρυθεί και λειτουργεί η Γενική Γραμματεία Κρίσιμων Οντοτήτων, υπό τον Σπύρο Παπαγεωργίου, στις αρμοδιότητες της οποίας υπάγεται και η θωράκιση απέναντι σε κυβερνοεπιθέσεις και κάθε είδους υβριδικές απειλές.

Ωστόσο, οι ειδικοί εκτιμούν ότι θα χρειαστούν δύο με τρία χρόνια μέχρι οι ελληνικές επιχειρήσεις να υιοθετήσουν τις διατάξεις της Οδηγίας, καθώς τόσο στην Ελλάδα όσο και στην υπόλοιπη Ευρώπη υπάρχει καθυστέρηση. «Οι τεχνολογίες για την προστασία των συστημάτων βιομηχανικού ελέγχου υπάρχουν εδώ και περίπου πέντε χρόνια, όμως η υιοθέτηση αργεί», σημειώνει ο Απόστολος Πανδρούλας. «Απόλυτη ασφάλεια δεν υπάρχει ποτέ», ξεκαθαρίζουν όλοι οι ειδικοί που μας μίλησαν.