Γράφει η Ειρήνη Αντωνάκη
Οι κυβερνοεπιθέσεις εξελίσσονται διαρκώς, αποκτώντας ολοένα και πιο σύνθετη μορφή και διευρύνοντας τους στόχους τους. Ενώ παλαιότερα οι κακόβουλοι χρήστες επικεντρώνονταν κυρίως στην υποκλοπή αρχείων και προσωπικών δεδομένων, σήμερα στο στόχαστρο βρίσκονται ακόμη και τα ίδια τα συστήματα λειτουργίας μιας επιχείρησης.
Για το ζήτημα μίλησε στο «Θέμα Κρήτης» ο Επίκουρος Καθηγητής του Τμήματος Ηλεκτρολόγων Μηχανικών και Μηχανικών Υπολογιστών του Ελληνικού Μεσογειακού Πανεπιστημίου (ΕΛΜΕΠΑ), Ευάγγελος Μαρκάκης.
Όπως εξηγεί ο κ. Μαρκάκης, οι επιθέσεις αξιοποιούν αδυναμίες λογισμικού, υποκλεμμένα στοιχεία εργαζομένων ή ανεπαρκώς προστατευμένες εξωτερικές προσβάσεις, προκαλώντας σοβαρές οικονομικές ζημιές και διακοπή της επιχειρηματικής δραστηριότητας. Παράλληλα, η αξιοποίηση της Τεχνητής Νοημοσύνης διευκολύνει τη δημιουργία ολοένα πιο πειστικών μηνυμάτων εξαπάτησης (phishing), καθιστώντας δυσκολότερο τον εντοπισμό τους.
Όταν οι κυβερνοεπιθέσεις απειλούν την ασφάλεια των τροφίμων
Ιδιαίτερη ανησυχία προκαλούν οι επιθέσεις που δεν περιορίζονται στην κλοπή πληροφοριών, αλλά μπορούν να επηρεάσουν ακόμη και την ασφάλεια των προϊόντων και, κατ’ επέκταση, τη δημόσια υγεία. Χαρακτηριστική είναι η περίπτωση των συστημάτων εμπορικής ψύξης σε επιχειρήσεις τροφίμων, όπου η μη εξουσιοδοτημένη πρόσβαση στους ηλεκτρονικούς ελεγκτές μπορεί να οδηγήσει σε αλλαγή των ρυθμίσεων θερμοκρασίας. Αυτό ενδέχεται να προκαλέσει αλλοίωση ευπαθών προϊόντων, δημιουργώντας κινδύνους για τους καταναλωτές.
Σύμφωνα με τον κ. Μαρκάκη, η Εθνική Αρχή Κυβερνοασφάλειας είχε προειδοποιήσει τον Οκτώβριο για περισσότερα από 300 εκτεθειμένα συστήματα ελέγχου εμπορικής ψύξης στην Ελλάδα. Τον Νοέμβριο, έπειτα από καταγγελίες επιχειρήσεων τροφίμων, διαπιστώθηκαν περιστατικά αλλαγής ρυθμίσεων σε τέτοια συστήματα. Το πρόβλημα εντοπίζεται, μεταξύ άλλων, στη σύνδεση των συσκευών απευθείας στο διαδίκτυο, αλλά και στη χρήση αδύναμων ή εργοστασιακών κωδικών πρόσβασης, που διευκολύνουν την πρόσβαση μη εξουσιοδοτημένων χρηστών.
Στο στόχαστρο και οι μικρομεσαίες επιχειρήσεις
Το ζήτημα αφορά και τις μικρομεσαίες επιχειρήσεις, οι οποίες δεν θα πρέπει να θεωρούν ότι αποτελούν λιγότερο πιθανό στόχο. Ακόμη και μια μικρή επιχείρηση μπορεί να διαχειρίζεται σημαντικά προσωπικά και οικονομικά δεδομένα, ενώ μια κυβερνοεπίθεση μπορεί να διακόψει τη λειτουργία της, να προκαλέσει απώλεια αρχείων ή να θέσει σε κίνδυνο τις συναλλαγές της με πελάτες και προμηθευτές.
Πρόληψη και προστασία των ψηφιακών συστημάτων
Καθοριστικό ρόλο στην αντιμετώπιση τέτοιων περιστατικών έχει η πρόληψη. Όπως επισημαίνει ο καθηγητής, οι επιχειρήσεις πρέπει να γνωρίζουν ποιες συσκευές τους είναι συνδεδεμένες στο διαδίκτυο, ποιος διαθέτει απομακρυσμένη πρόσβαση σε αυτές και με ποιον τρόπο πραγματοποιείται ο έλεγχός τους.
Ιδιαίτερη σημασία έχει να μην εκτίθενται απευθείας στο δημόσιο διαδίκτυο συστήματα όπως οι ηλεκτρονικοί ελεγκτές ψύξης. Αντίστοιχα, η απομακρυσμένη πρόσβαση πρέπει να προστατεύεται με ισχυρούς κωδικούς, πολλαπλά επίπεδα ασφάλειας και τακτικές ενημερώσεις λογισμικού, ώστε να περιορίζονται οι πιθανότητες παραβίασης.
Ψηφιακή εγκληματολογία και αναζήτηση ευθυνών
Παράλληλα, σημαντική είναι και η δυνατότητα διερεύνησης μιας κυβερνοεπίθεσης μετά την εκδήλωσή της. Μέσω της ψηφιακής εγκληματολογίας, οι ειδικοί μπορούν να εντοπίσουν και να καταγράψουν ψηφιακά ίχνη, να ανασυνθέσουν τον τρόπο με τον οποίο πραγματοποιήθηκε μια επίθεση και να συγκεντρώσουν στοιχεία που μπορούν να αξιοποιηθούν ακόμη και στο πλαίσιο μιας δικαστικής διαδικασίας.
Σε αυτή την κατεύθυνση κινούνται και ερευνητικά έργα, όπως τα SALUS και Justice, τα οποία συνδέονται με την αξιοποίηση ψηφιακών τεκμηρίων για τη διερεύνηση περιστατικών.
Τι προβλέπει η ευρωπαϊκή οδηγία NIS2
Σε ευρωπαϊκό επίπεδο, η οδηγία NIS2, η οποία ενσωματώθηκε στην ελληνική νομοθεσία με τον Ν. 5160/2024, επιχειρεί να ενισχύσει τη συνολική προστασία απέναντι στις ψηφιακές απειλές. Προβλέπει αυξημένες υποχρεώσεις για συγκεκριμένες επιχειρήσεις και οργανισμούς που δραστηριοποιούνται σε κρίσιμους τομείς, όπως η ενέργεια, οι μεταφορές, η υγεία, οι ψηφιακές υποδομές και η παραγωγή τροφίμων.
Μεταξύ άλλων, οι υποχρεώσεις αυτές αφορούν την αξιολόγηση και διαχείριση κινδύνων, την εκπαίδευση του προσωπικού, την προστασία των συστημάτων, τον έλεγχο των προμηθευτών, την ύπαρξη σχεδίων για τη συνέχιση της λειτουργίας και την έγκαιρη αναφορά σημαντικών περιστατικών.
Όπως διευκρινίζει ο κ. Μαρκάκης, η οδηγία δεν αφορά αυτομάτως κάθε μικρή επιχείρηση, καθώς η υπαγωγή εξαρτάται από συγκεκριμένα κριτήρια, όπως ο κλάδος δραστηριότητας και το μέγεθός της, καθώς και από τις προβλεπόμενες εξαιρέσεις.
Το βασικό συμπέρασμα είναι ότι η κυβερνοασφάλεια δεν αποτελεί αποκλειστική ευθύνη των τεχνικών μιας επιχείρησης, αλλά ζήτημα διοίκησης, οργάνωσης και συνολικής επιχειρησιακής ετοιμότητας. Άλλωστε, μια ψηφιακή επίθεση μπορεί πλέον να έχει συνέπειες που ξεπερνούν κατά πολύ τα όρια μιας οθόνης ή ενός υπολογιστή.
